Các báo cáo trong tuần này mô tả một hạ tầng bí mật có tên Silent Train mà nhóm Volt Typhoon có liên hệ với Trung Quốc được cho là đã sử dụng để che giấu các cuộc tấn công nhằm vào các cơ quan Hoa Kỳ, các công ty quốc phòng và cơ sở hạ tầng trọng yếu. Mạng lưới Silent Train của Volt Typhoon đáng chú ý không phải vì phần mềm độc hại liên quan mà vì những gì được dùng để xây dựng nó: các thiết bị bị xâm nhập thông thường, bao gồm cả loại router văn phòng nhỏ và gia đình mà nhiều người không bao giờ để ý tới.
Bài viết nguồn khá ngắn gọn, nên bài đăng này tách riêng những gì được báo cáo và những gì độc giả có thể làm. Bài học thực tiễn vẫn áp dụng dù bạn có làm việc gần chính phủ hay quốc phòng hay không.
Silent Train và Volt Typhoon đang làm gì
Theo báo cáo, Volt Typhoon đã sử dụng Silent Train như một mạng truy cập bí mật để che giấu nguồn gốc các cuộc tấn công của mình. Các bài viết dẫn nghiên cứu từ Black Lotus Labs của Lumen cho biết mạng lưới này có liên quan đến bốn chiến dịch khai thác zero-day. Bài viết mô tả các mục tiêu là các nền tảng quản lý mạng và các hệ thống điều khiển doanh nghiệp khác, đồng thời cho biết lưu lượng được chuyển tiếp qua các chuỗi luân phiên gồm các thiết bị văn phòng nhỏ và văn phòng tại gia (SOHO) cùng thiết bị IoT bị tấn công. Một số bản tóm tắt mô tả mạng lưới này hiện đã bị vô hiệu hóa.
Zero-day là một lỗ hổng mà nhà cung cấp chưa biết đến, nên không có bản vá nào tồn tại khi kẻ tấn công bắt đầu sử dụng nó. Kết hợp zero-day với một mạng chuyển tiếp liên tục thay đổi khiến hoạt động này khó bị truy vết hơn. Những người phòng thủ khi thấy một kết nối đáng ngờ có thể phát hiện ra rằng nó đến từ một thiết bị trông bình thường trong một gia đình hoặc doanh nghiệp nhỏ, chứ không phải từ hạ tầng có dấu hiệu thù địch rõ ràng.
Một bình luận của nhà báo an ninh về câu chuyện này lưu ý rằng các quan chức từ lâu đã mô tả Volt Typhoon là tinh vi và có khả năng tàng hình, thường mà không công bố nhiều chi tiết kỹ thuật. Những nghiên cứu như thế này bắt đầu lấp đầy khoảng trống đó.
Vì sao router bị xâm nhập là vỏ bọc lý tưởng cho tin tặc nhà nước
Router, tường lửa, camera và các thiết bị biên khác chia sẻ một số đặc điểm khiến chúng trở nên hấp dẫn như các điểm chuyển tiếp:
- Chúng nằm trên ranh giới mạng. Lưu lượng đi qua chúng trông giống như hoạt động internet bình thường.
- Chúng hiếm khi được cập nhật. Nhiều chủ sở hữu cài router một lần và không bao giờ đăng nhập lại.
- Chúng thường hết vòng đời. Khi nhà cung cấp ngừng phát hành bản vá, các lỗ hổng đã biết vẫn tồn tại vĩnh viễn.
- Chúng thiếu giám sát an ninh. Hầu hết thiết bị gia đình và văn phòng nhỏ không có bảo vệ điểm cuối, và chủ sở hữu hiếm khi kiểm tra nhật ký của chúng.
Nếu kẻ tấn công kiểm soát một chuỗi thiết bị như vậy, một yêu cầu đến mục tiêu chính phủ có thể nảy qua nhiều địa chỉ IP dân cư hoặc doanh nghiệp nhỏ trước tiên. Chủ sở hữu của những thiết bị đó có thể không bao giờ nhận ra có gì sai, và thiết bị của họ trở thành một phần trong hạ tầng tấn công của người khác.
Điều này phù hợp với một mô hình rộng hơn của các nhóm có liên hệ nhà nước khi xâu chuỗi các lỗ hổng chưa được vá nhắm vào các mục tiêu có giá trị cao. Một ví dụ là chiến dịch UTA0565 của Trung Quốc khai thác zero-day trên Chrome và Windows. Nghiên cứu về các nhóm Trung Quốc tăng gấp đôi khối lượng tấn công nhờ AI DeepSeek cho thấy tốc độ của hoạt động này có thể tiếp tục tăng.
Cách bảo mật thiết bị biên tại gia đình và văn phòng nhỏ
Bạn không thể ngăn một nhóm cấp nhà nước nhắm vào một cơ quan chính phủ, nhưng bạn có thể tránh trở thành một trong những bàn đạp của họ. Các bước thực tế bao gồm:
- Kiểm tra kiểu máy và phiên bản firmware của router. Đăng nhập vào trang quản trị hoặc ứng dụng của nhà cung cấp và tìm các bản cập nhật có sẵn. Bật cập nhật tự động nếu có.
- Tìm hiểu xem thiết bị của bạn đã hết vòng đời chưa. Tra cứu trang hỗ trợ của nhà cung cấp. Nếu kiểu máy không còn nhận được cập nhật bảo mật, hãy lên kế hoạch thay thế. Không cài đặt nào có thể bù đắp hoàn toàn cho firmware chưa được vá.
- Thay đổi thông tin đăng nhập mặc định. Sử dụng mật khẩu quản trị mạnh và duy nhất, đồng thời thay đổi tên mạng và thông tin đăng nhập mặc định nếu nhà cung cấp xuất xưởng chúng ở dạng mặc định.
- Tắt quản trị từ xa. Trừ khi bạn cần, hãy vô hiệu hóa quyền truy cập quản lý từ internet, cùng với các tính năng như UPnP nếu bạn không sử dụng chúng.
- Khởi động lại và rà soát. Khởi động lại thiết bị định kỳ, và tìm các cài đặt lạ, thiết bị kết nối không quen biết, hoặc thay đổi DNS mà bạn không thực hiện.
- Thay thế hoặc cô lập thiết bị IoT. Đặt camera và thiết bị thông minh trên mạng khách, và loại bỏ bất kỳ thiết bị nào không còn nhận được cập nhật.
Các doanh nghiệp nhỏ cũng nên duy trì danh mục mọi thiết bị biên, chỉ định người theo dõi các khuyến cáo của nhà cung cấp, và coi tường lửa cùng các nền tảng quản lý là mục tiêu vá lỗi ưu tiên cao.
VPN giúp ích ở đâu và không giúp ích ở đâu
VPN mã hóa lưu lượng giữa thiết bị của bạn và nhà cung cấp VPN, giúp bảo vệ bạn trên các mạng không đáng tin cậy như Wi-Fi công cộng và che giấu hoạt động duyệt web của bạn khỏi nhà cung cấp dịch vụ internet. Đó là những lợi ích thực sự.
VPN không khắc phục được một router dễ bị tổn thương hoặc đã bị xâm nhập. Nếu kẻ tấn công đã kiểm soát thiết bị kết nối bạn với internet, VPN trên máy tính xách tay của bạn sẽ không loại bỏ được chúng, và cũng không ngăn chúng sử dụng router của bạn làm điểm chuyển tiếp cho lưu lượng của người khác. Nó cũng không vá firmware hay thay thế phần cứng không được hỗ trợ. Hãy coi VPN là một lớp bảo vệ quyền riêng tư, không phải là sự thay thế cho việc bảo trì thiết bị ở biên mạng của bạn.
Điều này có ý nghĩa gì với bạn
Với hầu hết độc giả, câu chuyện Silent Train là lời nhắc nhở rằng chiếc router ở hành lang là một phần trong bức tranh an ninh của internet. Kẻ tấn công coi trọng những thiết bị này vì chúng không được giám sát và không được vá. Giữ thiết bị của bạn được cập nhật, hoặc loại bỏ khi hết hỗ trợ, bảo vệ mạng của chính bạn và tước đi của tin tặc nhà nước thêm một điểm chuyển tiếp.
Kiểm tra thiết bị biên của bạn trong tuần này
Dành ra 20 phút trong vài ngày tới để xem xét bài học mạng lưới Silent Train của Volt Typhoon trong thực tế: kiểm tra firmware router của bạn, xác nhận nó vẫn được hỗ trợ, thay đổi mật khẩu mặc định, và vô hiệu hóa quản trị từ xa. Nếu bạn quản lý một văn phòng nhỏ, hãy mở rộng việc rà soát đó sang tường lửa, camera và bất kỳ thiết bị nào khác hướng ra internet.
Để có thêm một ví dụ về việc kẻ tấn công nhắm vào các thiết bị vành đai, hãy đọc về cách một zero-day VMware ESX và chuỗi PHP2Shell được sử dụng để chiếm quyền root tường lửa.
