#active-directory

FBI's CJIS v6.1: What Security Teams Need to Know.

FBI đã cập nhật CJIS Security Policy lên phiên bản 6.1, tập trung tăng cường yêu cầu về encryption và vulnerability scanning. Sự thay đổi này tiếp tục xu hướng chuyển dịch sang đánh giá bảo mật liên tục (continuous security assessment). Các agency cần chuẩn bị cho việc kiểm tra password, MFA và identity requirements trong các đợt audit sắp tới. Bài viết cung cấp thông tin chi tiết về các thay đổi cụ thể và cách thức đáp ứng các yêu cầu mới này.

Bài viết này giúp lập trình viên hiểu rõ các yêu bảo bảo mật mới nhất của FBI CJIS v6.1 để xây dựng hệ thống tuân thủ và an toàn hơn.

PAYLOAD ransomware attacks through Active Directory GPO

Kaspersky GERT experts dive into the technical incident analysis of PAYLOAD ransomware: an encryptionless, binary-less operation that abused Active Directory mechanisms for managing Group Policy Objects.

What Recent AI-Powered Attacks Mean for Your Identity Security

Các cuộc tấn công AI đang đẩy nhanh việc đánh cắp thông tin xác thực và dễ dàng mở rộng quy mô, tạo ra nhiều cơ hội cho kẻ tấn công lạm dụng danh tính hợp lệ. Các công cụ AI như GPT-4 có thể tạo hàng ngàn mật khẩu yếu trong vài giây, làm gia tăng đáng kể nguy cơ tấn công brute force. Hậu quả là các tổ chức đang đối mặt với nguy cơ tấn công Credential Stuffing và Account Takeover gia tăng lên đến 300% so với năm trước. Giải pháp hiệu quả đòi hỏi các chiến lược Identity Security phải đi ra ngoài việc xác thực thành công bằng cách kiểm tra cả người dùng và thiết bị yêu cầu truy cập. Điều đáng học hỏi là việc triển khai multi-factor authentication (MFA) và các giải pháp Zero Trust Architecture để giảm thiểu rủi ro lạm dụng danh tính.

Bài viết này giúp bạn hiểu cách AI đang đe dọa bảo mật nhận dạng và tại sao cần xác thực cả người dùng và thiết bị.

Windows 11 KB5124008 update breaks domain trust for some users

Cập nhật Windows 11 KB5124008 đang gây ra vấn đề tin cậy domain cho một số hệ thống doanh nghiệp, ngăn người dùng đăng nhập bằng thông tin xác thực hợp lệ. Nguyên nhân kỹ thuật có thể liên quan đến cách bản vá xử lý certificate validation trong authentication chain. Hệ quả là các user gặp lỗi "The trust relationship between this workstation and the primary domain failed" khi cố gắng đăng nhập vào domain. Microsoft đã xác nhận vấn đề và đang điều tra, nhưng chưa có patch khắc phục ngay lập tức. Điều đáng học là các quản trị viên nên tạm hoãn triển khai KB5124008 trên các hệ thống domain quan trọng cho đến khi có bản vá mới.

Bài viết cảnh báo bạn về lỗi cập nhật KB5124008 có thể khiến tài khoản doanh nghiệp không đăng nhập được.

NightEagle APT targets Russian organizations

NightEagle APT đang nhắm mục tiêu vào các tổ chức Nga với chiến dịch mới sử dụng GhostContainer backdoor. Nhóm này tận dụng lỗ hổng trong Active Directory và RDP để thâm nhập hệ thống. Công cụ tấn công được lưu trữ trên nền tảng GitHub, cho thấy sự tinh vi trong phương thức hoạt động. Việc sử dụng các dịch vụ hợp pháp như GitHub làm nền tảng để che giấu hoạt động độc hại là điểm đáng học hỏi về kỹ thuật tấn công hiện đại.

Lập trình viên nên đọc bài này để hiểu về kỹ thuật tấn công GhostContainer và lỗ hổng Active Directory, RDP do nhóm NightEagle APT sử dụng.

An Odd Sort

A reader-submitted PowerShell script for querying Active Directory user data is dissected as a classic example of bad code. The script attempts alphabetical sorting by looping through letters a-z and filtering names starting with each letter, without ever actually sorting the results. It then redundantly performs a second search for each user just to fetch fields it already excluded from the first query, and uses a loop over FindAll() results instead of the simpler FindOne() despite expecting a single match. Despite its inefficiency, the script survives because a manager likes the CSV output it produces.

AD Rights Management Service (Part 2): Extraction, Offline Decryption, and the Unrotatable Key

An AD RMS Service Group account exports the AD RMS Server Licensor Certificate private key. That 1172-byte key decrypts every document the deployment ever protected, offline, and keeps doing so after the deployment is rebuilt.

Papercut AI Swarm Attack Heralds Changes for Cyber Kill Chain

From creating exploit labs for staging agentic attacks to scanning to lateral movement and exfiltration, innovative attackers are widely incorporating AI.

From Findings to Fixes: Getting Value from Red Team Results

A red team report is a starting point. Learn how to extract full value from findings: root cause analysis, detection gap mapping, remediation prioritization, and building the improvement habit.

AD Rights Management Service (Part 1): Architecture, Deprecation, and Reconnaissance

Active Directory Rights Management Services still ships in Windows Server 2025, years after Microsoft began steering customers to the cloud, and it remains fully supported on-premises. Part 1 maps the AD RMS trust model (the Server Licensor Certificate, the license flow, the SOAP surface) and shows how to discover an RMS deployment, fingerprint an AD RMS-protected file, and trace the path to that certificate's private key.

Host & Network Penetration Testing: Post-Exploitation CTF 2 — eJPT (INE)

Bài viết mô tả giai đoạn post‑exploitation trong CTF eJPT của INE, nơi người chơi bắt đầu từ một shell có quyền hạn thấp trên máy mục tiêu. Nguyên nhân kỹ thuật bao gồm việc brute‑force SSH bằng Hydra với danh sách mật khẩu phổ biến, dẫn đến việc lấy được credential hợp lệ, và việc lấy được NTLM hash từ LSASS sau khi dump memory, sau đó crack bằng Hashcat ở mode 1000. Với hash được giải, tác giả sử dụng SeImpersonatePrivilege cùng công cụ PrintSpoofer để tạo token hệ thống, đồng thời khai thác cấu hình sai của DACL trên thư mục chia sẻ để ghi file độc hại và thực thi mã. Hệ quả là attacker đạt được quyền SYSTEM, có thể di chuyển ngang sang domain controller và lấy được hash krbtgt, từ đó kiểm soát toàn bộ môi trường Active Directory. Điều đáng học là phải enforcing mật khẩu SSH mạnh, tắt hoặc giới thiệu NTLM, hạn chế SeImpersonatePrivilege chỉ cho tài khoản cần thiết và thường xuyên kiểm tra DACL trên các share để ngăn chặn việc ghi file trái phép.

Bài viết này giúp lập trình viên nâng cao kỹ năng bảo mật hệ thống qua các phương pháp tấn công thực tế như SSH brute-forcing và NTLM hash cracking.

VulnNet Roasted — TryHackMe Active Directory Write-up

Bài viết mô tả quá trình giải quyết phòng lab VulnNet Roasted trên TryHackMe, một môi trường mô phỏng Active Directory cho mục tiêu luyện tập khai thác. Nguyên nhân kỹ thuật là việc khai thác Kerberoasting qua việc liệt kê Service Principal Names (SPN) và yêu cầu ticket dịch vụ cho các tài khoản service có mật khẩu yếu. Sau khi lấy được ticket mã hóa RC4_HMAC, tác giả sử dụng công cụ hashcat để tra cứu mật khẩu rõ ràng, từ đó đạt được quyền truy cập vào các tài khoản có đặc quyền cao. Hệ quả của cuộc tấn công là khả năng nâng cấp đặc quyền lên mức Domain Admin, cho phép kiểm soát toàn bộ miền và truy cập dữ liệu nhạy cảm. Điều đáng học là cần triển khai chính sách mật khẩu mạnh cho tài khoản service, giám sát các yêu cầu ticket bất thường và sử dụng các giải pháp như AES encryption cho Kerberos để giảm thiểu rủi ro Kerberoast.

Bài viết này cung cấp hướng dẫn chi tiết để khai thác lỗ hổng Kerberoasting trong môi trường Active Directory.

Fake Cloudflare CAPTCHA tricks victims into opening a tunnel for attackers

TerminalFix tricks victims into running malicious PowerShell commands, launching a multi-stage attack that ends with a reverse tunnel into the compromised network.

From Fake Workers to Account Recovery: The Growing Identity Verification Risk

Attackers are increasingly targeting the processes used to establish or recover identity rather than attacking the login itself. Specops explains how stronger identity verification can help organizations prevent fake workers and social engineering attacks from gaining legitimate access.

All Your GUCs in a Row: krb_caseins_users and krb_server_keyfile

Bài viết giải thích hai GUC của PostgreSQL liên quan đến xác thực GSSAPI/Kerberos: krb_server_keyfile (đường dẫn tới keytab của server) và krb_caseins_users (so khớp principal không phân biệt chữ hoa/thường). Khuyến nghị sử dụng keytab riêng biệt thay vì keytab hệ thống để tránh nguy cơ leo thang từ việc xâm nhập PostgreSQL thành xâm nhập toàn bộ host. Ngoài ra, bài viết đề cập nguồn gốc lịch sử của krb_caseins_users từ một thảo luận mailing list năm 2005 về đăng nhập không phân biệt chữ hoa/thường trên Windows, và khuyến cáo chỉ bật tùy chọn này khi sử dụng KDC Active Directory, tắt khi dùng MIT hay Heimdal để tránh lỗ hổng bảo mật.

Nếu bạn quản lý hoặc phát triển ứng dụng PostgreSQL sử dụng Kerberos để xác thực an toàn, bài viết này sẽ giúp bạn tối ưu hóa cấu hình an toàn cho các biến GUC quan trọng, tránh các lỗ hổng như tấn công từ keytab hệ thống hoặc xung đột với các hệ thống khác nhau.

Certighost and the Privilege Hiding in Your Certificate Authority

Lỗ hổng CVE-2026-54121 cho phép người dùng domain tiêu chuẩn biến Certificate Authority (CA) doanh nghiệp thành Domain Controller. Bản vá lỗi khá đơn giản, nhưng bài học quan trọng là quản lý đặc quyền, niềm tin ngầm định và coi hạ tầng PKI như hệ thống nhận dạng cấp 0 vốn đã có từ lâu.

Lập trình viên cần đọc bài này để hiểu cách bảo mật cơ bản của hệ thống PKI—chính là nền tảng an ninh quan trọng nhất trong các hệ thống doanh nghiệp—và tránh những lỗ hổng như CVE-2026-54121 có thể khiến một người dùng bình thường tấn công hệ thống quản trị nội bộ.

Migrating to High Availability - an FSI success story

Cách trả lời từng câu hỏi và chia nhỏ quá trình nâng cấp phức tạp thành các bước an toàn đã giúp một doanh nghiệp thận trọng cuối cùng cũng triển khai thành công High Availability.

Lập trình viên nên đọc bài này để hiểu cách áp dụng phân tích rủi ro và chiến lược tiến triển từng bước trong việc nâng cấp hệ thống, giúp giảm thiểu rủi ro và tối ưu hóa khả năng phục hồi cho các ứng dụng doanh nghiệp.

Akira Ransomware Affiliate Rebooted Into Safe Mode to Dodge EDR and Broke Its Own Attack

Một đối tác của ransomware Akira xâm nhập mạng qua tài khoản SonicWall VPN không có MFA, di chuyển ngang đến bộ điều khiển miền, đánh cắp dữ liệu Active Directory và chia sẻ tệp, sau đó khởi động lại máy chủ bị xâm nhập vào chế độ Safe Mode có mạng để vô hiệu hóa EDR và Microsoft Defender trước khi chạy mã độc tống tiền. Mặc dù đã cấu hình sẵn AnyDesk để tồn tại sau khởi động lại, nhưng môi trường Safe Mode hạn chế bộ nhớ khiến payload akira.exe bị lỗi hết bộ nhớ trước khi mã hóa. Dữ liệu đánh cắp vẫn khiến nạn nhân có nguy cơ bị tống tiền ngay cả khi cuộc tấn công thất bại. Huntress khuyến nghị theo dõi khởi động Safe Mode, hoạt động msconfig/bcdedit và bắt buộc MFA cho tài khoản VPN.

Lập trình viên nên đọc bài này để hiểu cách các nhóm tấn công vượt qua hệ thống bảo vệ hiện đại bằng kỹ thuật kỹ thuật số, từ đó tìm hiểu cách bảo vệ hệ thống chống lại các cuộc tấn công phức tạp như này bằng các biện pháp phòng thủ hiện đại.