Tổng quan về chiến dịch tấn công nhắm vào hệ điều hành Windows tùy biến
Thông tin chi tiết về chiến dịch này vừa được Nhóm Nghiên cứu và Phân tích Toàn cầu (GReAT) thuộc hãng bảo mật Kaspersky công bố tại Hội nghị Thượng đỉnh Phân tích bảo mật tổ chức ở Bali, Indonesia.
Trọng tâm của các đợt xâm nhập lần này là phiên bản hệ điều hành Windows 10 đã qua tùy chỉnh riêng biệt, hiện đang được vận hành bởi các cơ quan quản lý nhà nước tại một quốc gia khu vực châu Á.
Điểm đáng lo ngại nhất là việc kẻ tấn công đã chế tạo thành công một bộ khung mã độc hoàn toàn mới chưa từng xuất hiện trên không gian mạng trước đây, mang tên gọi NetamLoader. Công cụ này sở hữu năng lực kích hoạt và lôi kéo thêm nhiều thành phần mã độc hại khác mà vẫn qua mặt được các lớp phòng thủ truyền thống.
Cho đến thời điểm hiện tại, danh tính chính xác của nhóm tội phạm mạng đứng đằng sau chiến dịch này vẫn chưa thể xác định rõ ràng.
Cơ chế hoạt động và cách thức ngụy trang tinh vi của NetamLoader
Thông qua quá trình phân tích và điều tra sâu rộng, các chuyên gia phát hiện ra rằng kẻ xấu đã can thiệp trực tiếp vào các tệp hỗ trợ hệ thống nhằm "mượn tay" những phần mềm hoàn toàn hợp pháp tải xuống các lệnh độc hại.
Cụ thể, nằm ẩn mình bên trong thư mục cập nhật Windows của thiết bị nạn nhân là hàng loạt thành phần mang chữ ký số chính chủ từ Microsoft, kết hợp cùng công cụ quản trị bản vá từ bên thứ ba mang tên Patch My PC.
Mặc dù vậy, dữ liệu từ cuộc điều tra cũng xác thực rằng hệ thống phân phối của Patch My PC hoàn toàn không bị xâm nhập. Kẻ gian chỉ lợi dụng những kẽ hở tồn tại trong quy trình phân phối hoặc chu trình cập nhật để lén lút cài cắm tệp nén chứa mã độc vào các cỗ máy mục tiêu.
Khi đã xâm nhập thành công, mã độc NetamLoader thực hiện giải nén dữ liệu thông qua nhiều tầng kết hợp gồm mã hóa bảo mật (Encryption), nén dữ liệu (Compression) cùng mã hóa định dạng (Encoding). Tiếp theo, nó tiến hành nhúng thẳng mã thực thi trực tiếp vào các tiến trình Windows hợp pháp nhằm xóa sạch mọi dấu vết hoạt động.
Khả năng vô hiệu hóa hệ thống phòng thủ và né tránh giám sát
Bộ khung mã độc này được trang bị sẵn tính năng tự động tắt hoàn toàn công cụ quét diệt virus của hệ thống. Đồng thời, nó cũng tiến hành xóa bỏ các tệp dữ liệu nhật ký (log) nhằm gây khó khăn tối đa cho các kỹ sư trong quá trình điều tra ngược.
Nhằm qua mặt các hệ thống giám sát lưu lượng mạng trong ngắn hạn, NetamLoader đã tích hợp cơ chế trì hoãn cực kỳ tinh vi. Mã độc này sẽ chủ động chờ đợi trong khoảng thời gian từ 20 đến 40 phút rồi mới thực hiện kết nối đầu tiên về máy chủ điều khiển (C&C Server).
Trong trường hợp máy chủ không đưa ra phản hồi, tiến trình độc hại này sẽ tiếp tục tạm dừng mọi hoạt động từ 22 cho tới 28 tiếng trước khi thử thiết lập kết nối lại. Phương thức này giúp lượng lưu lượng mạng phát sinh ở mức rất thấp và hầu như không để lộ tín hiệu nào bất thường.
Góc nhìn chuyên gia từ TTC Việt Nam về bài toán bảo mật hệ thống
Nhận định về xu hướng tấn công này, các chuyên gia kỹ thuật tại TTC Việt Nam cho rằng việc các cơ quan nhà nước và tổ chức lớn tiến hành tự chủ công nghệ bằng cách xây dựng hệ điều hành riêng là một bước tiến chiến lược nhằm gia tăng quyền kiểm soát. Tuy nhiên, điều này cũng đồng thời kéo theo bài toán phức tạp về việc bảo vệ toàn diện cả một hệ sinh thái rộng lớn, từ hạ tầng kênh cập nhật cho đến các công cụ phụ trợ đi kèm. Các tổ chức không thể chỉ đơn thuần dựa vào việc kiểm tra tính hợp pháp của từng phần mềm riêng lẻ, mà cần phải có cái nhìn tổng thể về sự tương tác chéo giữa các ứng dụng trong cùng một hệ thống mạng.
Khuyến pháp phòng ngừa và bảo vệ hạ tầng công nghệ thông tin
Đứng trước những phương thức tấn công ngày càng tinh vi, ông Sergey Lozhkin - Giám đốc Trung tâm Nghiên cứu Kaspersky GReAT khu vực APAC & META - đã đưa ra những phân tích chuyên sâu. Theo đó, việc quản trị an ninh mạng đòi hỏi sự cẩn trọng toàn diện từ khâu vận hành đến giám sát.
Đối với các cơ quan công quyền cùng các tổ chức chính phủ, khuyến nghị trọng tâm là cần nhanh chóng siết chặt việc kiểm tra và giám sát khu vực thư mục chứa các bản cập nhật Windows. Bên cạnh đó, các công cụ quản lý từ bên thứ ba cũng cần được kiểm soát nghiêm ngặt. Việc áp dụng các giải pháp lưu trữ nhật ký hệ thống theo hình thức tập trung, đồng thời tách biệt hoàn toàn với máy tính đầu cuối, sẽ là chìa khóa then chốt giúp ngăn chặn triệt để nguy cơ tin tặc xâm nhập và xóa dấu vết.
Để được tư vấn các giải pháp bảo mật mạng toàn diện, phòng chống mã độc tiên tiến và tối ưu hóa hạ tầng viễn thông cho doanh nghiệp, cơ quan nhà nước, hãy liên hệ ngay với đội ngũ chuyên gia của TTC Việt Nam (ttcvn.net) để nhận được sự hỗ trợ chuyên sâu nhất.
