Tin tặc liên quan Trung Quốc xây dựng công cụ tấn công tự động trong 4 ngày

Một cú chạy nước rút bốn ngày với hậu quả nghiêm trọng

Theo báo cáo từ Cyber Magazine, các tin tặc liên quan đến Trung Quốc đã xây dựng một khung tấn công tự động chỉ trong bốn ngày và sử dụng nó để nhắm mục tiêu vào các hệ thống chính phủ Đài Loan. Chiến dịch đã dẫn đến việc đánh cắp hơn 2.500 tài liệu, một quy mô và tốc độ nổi bật ngay cả trong bối cảnh mối đe dọa nơi các vụ xâm nhập liên quan đến nhà nước nhắm vào Đài Loan đã trở nên thường xuyên.

Điều khiến sự việc này đáng chú ý không chỉ là khối lượng dữ liệu bị đánh cắp, mà còn là tốc độ lắp ráp được báo cáo. Việc xây dựng một khung tấn công có thể hoạt động chỉ trong vài ngày, thay vì vài tuần hoặc vài tháng, cho thấy những kẻ tấn công có thể chuyển từ lập kế hoạch sang thực thi với hiệu quả bất thường. Đối với một khu vực từ lâu đã là mục tiêu của hoạt động gián điệp mạng dai dẳng và được đầu tư đầy đủ nguồn lực, mốc thời gian bị nén lại này đặt ra những câu hỏi mới về tốc độ các mạng lưới chính phủ có thể bị thăm dò, xâm nhập và rút cạn thông tin nhạy cảm một khi kẻ tấn công đã nhắm mục tiêu.

Vì sao mục tiêu chính phủ mang lại rủi ro quyền riêng tư lớn hơn

Khi tin tặc đánh cắp tài liệu từ các hệ thống chính phủ, hậu quả hiếm khi chỉ giới hạn trong cơ quan bị xâm nhập. Cơ sở dữ liệu chính phủ thường chứa hồ sơ cá nhân của công dân, nhà thầu và nhân viên công: thông tin nhận dạng, thư từ, trao đổi nội bộ và các hồ sơ hành chính có thể tiết lộ nhiều hơn dự định. Một vụ xâm nhập ở quy mô này, ngay cả khi động cơ chính là gián điệp thay vì lợi ích tài chính, vẫn tạo ra nguy cơ lộ quyền riêng tư về sau cho bất kỳ ai có thông tin đi qua các hệ thống bị xâm phạm.

Đây là một phần trong mô hình hoạt động rộng hơn có liên quan đến Trung Quốc nhắm vào cả các tổ chức công lẫn hạ tầng tư nhân. Báo cáo trước đây đã mô tả chi tiết cách ransomware StormEncryptor liên quan Trung Quốc khai thác công cụ RMM để di chuyển âm thầm qua các mạng, sử dụng phần mềm quản lý từ xa hợp pháp làm vỏ bọc. Dù mục tiêu là đánh cắp tài liệu, như trong vụ ở Đài Loan, hay triển khai ransomware, điểm chung vẫn giống nhau: những kẻ tấn công ngày càng tìm cách hòa lẫn vào hoạt động mạng bình thường, khiến việc phát hiện khó hơn và thời gian ẩn trú kéo dài hơn trước khi ai đó nhận ra có điều bất thường.

Vấn đề tốc độ đối với những người phòng thủ

Các mô hình an ninh mạng truyền thống giả định rằng đội ngũ phòng thủ có một khoảng thời gian chuẩn bị nhất định giữa giai đoạn trinh sát ban đầu và một vụ xâm nhập toàn diện. Cửa sổ bốn ngày từ khi xây dựng đến khi đánh cắp dữ liệu nén đáng kể giả định đó. Các đội CNTT chính phủ, vốn thường vận hành với các hệ thống cũ, nhân sự hạn chế và chu kỳ vá chậm hơn so với khu vực tư nhân, đặc biệt dễ bị tổn thương trước các cuộc tấn công diễn ra nhanh hơn mức mà các quy trình ứng phó sự cố tiêu chuẩn được thiết kế để xử lý.

Tốc độ này cũng ảnh hưởng đến cách các tổ chức nghĩ về giám sát. Nếu một khung tấn công có thể được lắp ráp và triển khai trong vài ngày, các đội bảo mật cần khả năng quan sát liên tục, theo thời gian thực đối với hoạt động mạng thay vì kiểm tra định kỳ. Việc chờ đợi một đợt rà soát bảo mật theo lịch để phát hiện các truyền dữ liệu bất thường không còn đủ khi toàn bộ vòng đời của một vụ xâm nhập, từ cài đặt đến đánh cắp dữ liệu, có thể xảy ra trước cả khi đợt rà soát đó được lên lịch.

Điều này có ý nghĩa gì với bạn

Hầu hết độc giả không phải là nhân viên chính phủ có quyền truy cập trực tiếp vào các hệ thống bị nhắm mục tiêu trong sự việc này, nhưng tác động lan tỏa của các vụ xâm nhập liên quan đến nhà nước còn vươn xa hơn mức họ có thể nghĩ. Nếu bạn tương tác với các dịch vụ chính phủ, dù là gia hạn giấy tờ, nộp biểu mẫu hay trao đổi với các cơ quan công, dữ liệu của bạn có thể đi qua các hệ thống là mục tiêu hấp dẫn cho đúng loại hoạt động này. Các vụ xâm nhập liên quan đến hạ tầng chính phủ có thể làm lộ các chi tiết cá nhân và cuối cùng bị lan truyền vượt xa mục tiêu ban đầu, đôi khi xuất hiện trở lại trong các vụ lừa đảo hoặc kế hoạch đánh cắp danh tính không liên quan về sau.

Bài học rộng hơn cho mỗi cá nhân là bạn không thể kiểm soát hoàn toàn an ninh của các tổ chức mà mình phụ thuộc, nhưng bạn có thể kiểm soát lượng dữ liệu của chính mình bị lộ và tốc độ nhận ra có điều bất thường. Điều đó có nghĩa là luôn cảnh giác với các thông báo từ cơ quan chính phủ về sự cố dữ liệu, sử dụng thông tin đăng nhập mạnh và duy nhất ở bất kỳ đâu có tài khoản gắn với dịch vụ chính phủ, và tiếp nhận với thái độ hoài nghi đối với các liên lạc bất ngờ tự xưng là từ nguồn chính thức, vì dữ liệu bị đánh cắp thường được tái sử dụng cho các chiến dịch lừa đảo tiếp theo.

Các bước hành động cụ thể

Nếu loại sự cố này khiến bạn lo ngại, một vài bước thực tế có thể giúp hạn chế rủi ro. Trước tiên, hãy theo dõi các thông báo chính thức từ bất kỳ cơ quan chính phủ nào bạn tương tác để nắm thông tin về sự cố dữ liệu và hành động nhanh nếu có thông báo liên quan đến bạn. Thứ hai, sử dụng mật khẩu duy nhất cho các tài khoản liên quan đến chính phủ và bật xác thực đa yếu tố ở bất kỳ nơi nào được cung cấp. Thứ ba, cẩn trọng với các email hoặc tin nhắn không mong muốn nhắc đến dịch vụ chính phủ, vì tài liệu bị đánh cắp thường được dùng để tạo ra các vụ lừa đảo tiếp theo có sức thuyết phục. Cuối cùng, hãy chú ý đến các báo cáo về hoạt động mạng liên quan đến Trung Quốc, vì các chiến dịch như thế này thường báo hiệu các xu hướng nhắm mục tiêu rộng hơn mà cuối cùng có thể chạm đến các lĩnh vực ngoài chính phủ, bao gồm cơ sở hạ tầng quan trọng và khu vực tư nhân.

Những sự cố như vụ tấn công mạng tự động nhắm vào Đài Loan này là lời nhắc nhở rằng tốc độ của các mối đe dọa mạng đang gia tăng, và cập nhật thông tin là một trong những cách đơn giản nhất để luôn sẵn sàng.