Cảnh báo toàn cầu: Tin tặc lợi dụng công cụ hợp pháp để tấn công hệ thống an ninh mạng

14 phút trước

3 phút đọc

Các cơ quan an toàn thông tin quốc tế vừa phát đi một cảnh báo an ninh mạng quan trọng liên quan đến chiến dịch gián điệp mạng quy mô lớn. Theo đó, nhóm tin tặc có liên kết với chính phủ Trung Quốc đang kết hợp các công cụ rà quét tự động trên diện rộng với các phần mềm quản trị hợp pháp để xâm nhập, duy trì kết nối và đánh cắp dữ liệu từ nhiều tổ chức trên toàn cầu.

canh-bao-an-ninh-mang — *Cảnh báo an ninh mạng toàn cầu*

Cảnh báo an ninh mạng về nguy cơ từ các công cụ rà quét tự động

Thông tin cố vấn an ninh này được đưa ra dựa trên sự phối hợp giữa Trung tâm An ninh mạng Úc (ACSC), Cục Điều tra Liên bang Mỹ (FBI), CISA, NSA, Trung tâm An ninh mạng Quốc gia Anh, cùng các cơ quan đối tác từ Canada, Nhật Bản, New Zealand và Tây Ban Nha. Báo cáo tập trung vào Integrity Technology Group (Integrity Tech) – doanh nghiệp có trụ sở tại Trung Quốc bị xác định là bên cung cấp hạ tầng và công cụ phục vụ các hoạt động tấn công mạng.

Dựa trên bằng chứng thu thập được từ nhiều cuộc điều tra, nhóm tấn công đã sử dụng các phần mềm quét mã nguồn mở như Nmap, masscan, dirsearch kết hợp với công cụ MicroScan chạy trên nền tảng Python (chứa hơn 1.300 kịch bản kiểm thử) để tự động phát hiện điểm yếu trên các hệ thống kết nối internet.

Bên cạnh đó, các tin tặc còn nhắm vào môi trường Microsoft Exchange và Microsoft 365. Chúng sử dụng công cụ EBurst để thực hiện dò quét mật khẩu (password spraying), đồng thời chèn mã độc XSS để tạo giao diện đăng nhập giả mạo nhằm chiếm đoạt tài khoản người dùng.

Kỹ thuật "sống ký sinh" để duy trì kết nối và ẩn mình

Sau khi vượt qua lớp phòng thủ ban đầu, nhóm tin tặc áp dụng kỹ thuật "Living off the Land" (sống nhờ vào tài nguyên có sẵn). Thay vì sử dụng các mã độc lạ dễ bị phần mềm an ninh phát hiện, chúng khai thác chính những ứng dụng quản trị hợp pháp trong hệ thống của nạn nhân.

Điển hình là việc lợi dụng phần mềm SoftEther VPN để tạo đường truyền kết nối từ xa. Do SoftEther là công cụ quản trị hợp lệ, hoạt động của nó không làm kích hoạt các cảnh báo an ninh thông thường. Tin tặc thiết lập để phần mềm này tự động kết nối lại, đảm bảo quyền truy cập kéo dài ngay cả khi đợt thâm nhập ban đầu bị cản trở.

Từ lối vào này, kẻ tấn công dùng kịch bản truy cập vào Microsoft Exchange Web Services để thu thập email, danh bạ và lịch làm việc. Dữ liệu trước khi tuồn ra ngoài sẽ được nén hoặc mã hóa, đồng thời đổi tên tệp giống như các tài nguyên trang web thông thường để tránh bị chú ý.

Các mục tiêu bị ảnh hưởng trải rộng trên nhiều lĩnh vực gồm cơ quan chính phủ, y tế, sản xuất, công nghệ thông tin, thực thi pháp luật, giáo dục và tổ chức tôn giáo tại Mỹ, Đông Nam Á, Bắc Mỹ và Châu Phi.

Khuyến nghị phòng thủ và tăng cường giám sát

Trước các phương thức ngụy trang ngày càng khó phát hiện, các cơ quan an ninh nhận định việc chỉ dựa vào tường lửa hoặc danh sách địa chỉ IP độc hại đã không còn đủ hiệu quả. Các tổ chức cần chuyển sang chiến lược giám sát nội bộ liên tục và chủ động săn lùng các nguy cơ.

Các biện pháp kỹ thuật được khuyến cáo triển khai bao gồm:

Bắt buộc áp dụng xác thực đa yếu tố (MFA) cho toàn bộ tài khoản.
Cập nhật kịp thời các bản vá lỗi cho những dịch vụ mở ra internet.
Giám sát chặt chẽ các tài khoản có quyền quản trị cao và tiến trình sao chép Active Directory.
Kiểm tra các kết nối mạng bất thường, quản lý các ứng dụng đám mây có quyền truy cập dữ liệu nhạy cảm và theo dõi lượng dữ liệu truyền ra bên ngoài.
Rà soát và đánh giá hệ thống phòng thủ theo mô hình tham chiếu MITRE ATT&CK.
Khi phát hiện có dấu hiệu bị xâm nhập, cần lập tức cô lập thiết bị, lưu trữ dữ liệu chứng cứ và tiến hành các bước loại bỏ kẻ tấn công khỏi hệ thống.