Ransomware đã tiến hóa vượt xa việc mã hóa tệp tin đơn thuần. Những cuộc tấn công gây thiệt hại nặng nề nhất hiện nay đi theo một vòng đời có thể dự đoán được, kết thúc không chỉ bằng một, mà là hai yêu cầu tiền chuộc. Hiểu được cách thức diễn ra của quy trình này, và những điểm yếu của các biện pháp phòng thủ phổ biến như VPN, là bước đầu tiên để xây dựng một thế trận an ninh thực sự có khả năng chống chịu.
Vòng đời của Cuộc Tấn công Ransomware, Từng Bước Một
Các chiến dịch ransomware hiện đại hiếm khi bắt đầu bằng việc mã hóa. Đó là hành động cuối cùng, không phải nước đi mở màn. Trong các vụ tấn công phức tạp, kẻ tấn công trước tiên giành quyền truy cập vào mạng lưới, thường thông qua thông tin đăng nhập bị đánh cắp, lừa đảo (phishing), hoặc một lỗ hổng bị lộ. Một khi đã xâm nhập, chúng âm thầm khám phá môi trường, leo thang đặc quyền, và xác định những dữ liệu nhạy cảm hoặc có giá trị nhất mà chúng có thể tìm thấy.
Đây là phần quan trọng: trước khi bất kỳ tệp tin nào bị khóa, kẻ tấn công đánh cắp dữ liệu nhạy cảm đó và chuyển đến các máy chủ mà chúng kiểm soát. Bước này, đôi khi bị bỏ qua trong các mô tả cũ về ransomware, hiện là thông lệ tiêu chuẩn của các nhóm tinh vi. Chỉ sau khi dữ liệu đã bị sao chép ra ngoài, phần mềm độc hại mới chuyển sang mã hóa các tệp tin trên hệ thống của nạn nhân, khiến chúng không thể truy cập được trong một đợt bùng phát nhanh chóng và thường được tự động hóa.
Với cả hai đòn bẩy đã được thiết lập – hệ thống bị mã hóa và dữ liệu bị đánh cắp – kẻ tấn công đưa ra yêu cầu tiền chuộc. Đây là lúc "tống tiền kép" phát huy tác dụng. Nạn nhân bị gây áp lực phải trả tiền không chỉ để lấy khóa giải mã khôi phục hệ thống, mà còn để ngăn chặn việc công khai hoặc rao bán thông tin bí mật. Từ chối trả tiền giờ đây không chỉ có nguy cơ mất dữ liệu vĩnh viễn; nó còn có nguy cơ bị rò rỉ công khai hồ sơ khách hàng, thông tin tài chính, hoặc tài sản trí tuệ.
Chiến dịch gây áp lực hai mũi nhọn này đã trở nên phổ biến đến mức một số tác nhân đe dọa hiện bỏ qua hoàn toàn việc mã hóa và chỉ dựa vào mối đe dọa lộ dữ liệu. Các chiến dịch tống tiền gần đây liên quan đến các nhóm như Clop đã cho thấy rõ sự chuyển dịch này, như đã thấy trong làn sóng tống tiền Clop PLM nhắm vào các hệ thống PTC Windchill và chiến dịch ransomware Clop liên quan chống lại PTC Windchill và FlexPLM, nơi chính dữ liệu bị đánh cắp đã trở thành đòn bẩy chính.
Tại sao VPN không thể Bảo vệ Bạn Hoàn toàn
VPN mã hóa kết nối internet của bạn và có thể che chắn lưu lượng truy cập khỏi bị chặn bắt hoặc vị trí của bạn khỏi bị theo dõi. Điều đó có giá trị, nhưng nó chỉ giải quyết một phần hẹp của bề mặt rủi ro. VPN không thể ngăn chặn kẻ tấn công đã có được thông tin đăng nhập hợp lệ, khai thác lỗ hổng phần mềm, hoặc thuyết phục nhân viên nhấp vào liên kết độc hại. Một khi đã xâm nhập vào mạng lưới, các tác nhân ransomware di chuyển ngang qua các hệ thống nội bộ, đánh cắp dữ liệu và triển khai các gói mã hóa hoàn toàn độc lập với cách mọi người kết nối internet ban đầu.
Nói cách khác, VPN bảo vệ đường hầm, không phải đích đến. Nó không thể kiểm tra những gì đang xảy ra bên trong mạng của bạn, phát hiện các hoạt động truyền dữ liệu bất thường, hoặc ngăn chặn phần mềm độc hại thực thi khi nó đã có chỗ đứng. Coi VPN như một biện pháp phòng thủ ransomware hoàn chỉnh sẽ tạo ra một điểm mù nguy hiểm, đặc biệt khi các cuộc tấn công ngày càng tự động hóa. Các nhà nghiên cứu bảo mật thậm chí đã ghi nhận các trường hợp tấn công ransomware hoàn toàn tự động do AI điều khiển, trong đó một tác nhân AI xử lý việc trinh sát, khai thác và tống tiền mà không cần người vận hành con người chỉ đạo từng bước. Những mối đe dọa như thế này di chuyển nhanh hơn phạm vi mà VPN từng được thiết kế để giải quyết.
Tại sao Trả tiền không Đảm bảo An toàn
Ngay cả những tổ chức trả tiền chuộc cũng thường phát hiện ra vấn đề vẫn chưa kết thúc. Nghiên cứu gần đây về các nạn nhân ransomware ở Anh cho thấy một tỷ lệ đáng kể các tổ chức đã trả tiền vẫn phải đối mặt với vòng tống tiền thứ hai, dù là thông qua các yêu cầu mới, các vụ rò rỉ thêm, hoặc các cuộc tấn công hoàn toàn mới. Dữ liệu đó củng cố một sự thật phũ phàng: tống tiền kép không kết thúc sau khi nạn nhân trả tiền. Trả tiền có thể câu giờ, nhưng nó không xóa bỏ sự thật rằng dữ liệu của bạn đã bị đánh cắp hoặc khôi phục lòng tin rằng vi phạm đã được ngăn chặn hoàn toàn.
Điều này có Ý nghĩa gì với Bạn
Cho dù bạn đang quản lý mạng lưới của một doanh nghiệp nhỏ hay chỉ đơn giản muốn hiểu các rủi ro gắn liền với hệ thống mình phụ thuộc, vòng đời tấn công ransomware nên định hình lại cách bạn nghĩ về bảo vệ. Việc phòng ngừa phải diễn ra từ trước khi mã hóa xảy ra, bởi vì vào lúc các tệp tin bị khóa, dữ liệu nhạy cảm thường đã rời khỏi tổ chức.
Điều này có nghĩa là các lớp phòng thủ quan trọng hơn nhiều so với bất kỳ công cụ đơn lẻ nào. Sao lưu thường xuyên, được kiểm tra và lưu trữ ngoại tuyến hoặc trong môi trường biệt lập sẽ làm giảm đòn bẩy mà việc mã hóa mang lại cho kẻ tấn công. Phân đoạn mạng giới hạn phạm vi kẻ xâm nhập có thể di chuyển sau khi giành được quyền truy cập ban đầu. Giám sát liên tục các hoạt động truyền dữ liệu bất thường có thể phát hiện việc đánh cắp dữ liệu trước khi nó trở thành một sự kiện tống tiền quy mô lớn. Xác thực đa yếu tố và vá lỗi kịp thời chặn đứng nhiều điểm truy cập ban đầu mà kẻ tấn công dựa vào.
Những Hành động Thiết thực
Bắt đầu bằng cách giả định rằng bất kỳ lớp bảo mật đơn lẻ nào, bao gồm cả VPN, đều có thể bị vượt qua. Sao lưu dữ liệu quan trọng theo lịch trình mà bạn thực sự kiểm tra, không chỉ giả định là nó hoạt động. Phân đoạn mạng của bạn để một tài khoản bị xâm phạm không thể chạm tới mọi thứ. Giám sát các luồng dữ liệu ra ngoài để phát hiện bất thường, vì việc đánh cắp dữ liệu thường diễn ra trước khi mã hóa hàng giờ hoặc hàng ngày. Và xây dựng một kế hoạch ứng phó sự cố ngay bây giờ, trước khi bạn cần đến nó, để các quyết định về yêu cầu tiền chuộc không được đưa ra dưới áp lực. Hiểu rõ toàn bộ vòng đời tấn công ransomware, không chỉ khoảnh khắc các tệp tin bị khóa, chính là điều phân biệt các tổ chức có thể phục hồi nhanh chóng với những tổ chức không thể.
