Google: Hacker lừa 24 nhà ngoại giao Đông Nam Á cài phần mềm độc hại

20 giờ trước Gốc

Hôm 25.8, Google thông báo khoảng 24 nhà ngoại giao ở Đông Nam Á đã trở thành mục tiêu trong một chiến dịch gián điệp mạng hồi đầu năm nay.

Theo Google Threat Intelligence Group, những cuộc tấn công này sử dụng kỹ thuật social engineering (kỹ nghệ xã hội, hay hình thức lừa đảo dựa trên thao túng tâm lý) và phần mềm độc hại giả dạng các bản cập nhật phần mềm vô hại, được cho là do nhóm UNC6384 thực hiện, dựa trên bằng chứng kỹ thuật.

Thuật ngữ “UNC” được dùng để chỉ hoạt động tấn công mạng có mối liên hệ với nhau nhưng chưa được quy cho một nhóm hacker cụ thể. Nói cách khác, khi các nhà nghiên cứu an ninh mạng phát hiện nhiều cuộc tấn công có dấu hiệu tương đồng nhưng chưa đủ thông tin để gán cho một nhóm hacker đã biết đến, họ sẽ tạm thời đặt tên dạng “UNC + số” cho các hoạt động đó.

Khoảng 24 nạn nhân đã tải xuống phần mềm độc hại này, theo Patrick Whitsell - kỹ sư an ninh cấp cao của Google. Dù Google không tiết lộ quốc tịch của các nhà ngoại giao ở Đông Nam Á bị ảnh hưởng, Patrick Whitsell nói với hãng tin Bloomberg rằng ông tin chắc rằng kẻ tấn công "liên quan đến Trung Quốc”.

Google Threat Intelligence Group là bộ phận của Google chuyên nghiên cứu, phân tích và cung cấp thông tin tình báo về các mối đe dọa an ninh mạng trên toàn cầu. Nhiệm vụ chính của Google Threat Intelligence Group:

- Theo dõi và điều tra các chiến dịch tấn công mạng, đặc biệt là các nhóm hacker có liên hệ với quốc gia hoặc tổ chức tội phạm mạng lớn.

- Thu thập và phân tích dữ liệu từ nhiều nguồn, gồm hạ tầng Google, các báo cáo bảo mật và dữ liệu nguồn mở, để tìm ra mô hình, công cụ và kỹ thuật mà hacker sử dụng.

- Cung cấp cảnh báo cho các tổ chức, doanh nghiệp và cộng đồng an ninh mạng, giúp họ phát hiện sớm và giảm thiểu rủi ro từ các mối đe dọa mạng.

Google cho biết hacker đã xâm nhập vào mạng Wi-Fi của mục tiêu, sau đó lợi dụng quyền truy cập này để lừa các nhà ngoại giao tải xuống phần mềm độc hại có tên SOGU.SEC giả dạng plug-in của Adobe. Sau đó, SOGU.SEC được cài đặt trực tiếp vào bộ nhớ thiết bị để tránh bị phát hiện, Patrick Whitsell giải thích.

“Tôi cho rằng các nhà ngoại giao thường có những tài liệu rất nhạy cảm trên laptop phục vụ cho công việc hàng ngày. Khi đã xâm nhập được thiết bị đó, hacker có thể lấy những tài liệu này”, Patrick Whitsell tiết lộ, nhưng cho biết ông không thể xác định được có bao nhiêu dữ liệu đã bị gửi đi hoặc bị mất.

Google tiết lộ 24 nhà ngoại giao ở Đông Nam Á bị hacker lừa cài phần mềm độc hại SOGU.SEC - Ảnh: Bloomberg

Căng thẳng an ninh mạng giữa Mỹ và Trung Quốc

Báo cáo trên có thể làm gia tăng căng thẳng về an ninh mạng giữa Mỹ và Trung Quốc.

Tháng trước, Microsoft cảnh báo các nhóm hacker Trung Quốc đã khai thác lỗ hổng trong phần mềm SharePoint của hãng để xâm nhập các tổ chức trên toàn cầu.

SharePoint là nền tảng phần mềm do Microsoft phát triển, chủ yếu được sử dụng để lưu trữ, chia sẻ, quản lý tài liệu và hợp tác nội bộ trong các tổ chức, doanh nghiệp. Nói cách khác, SharePoint giống mạng nội bộ, nơi mọi người trong công ty có thể truy cập các file tài liệu, chia sẻ thông tin, cộng tác trên cùng một dự án và làm việc nhóm một cách hiệu quả hơn.

Đến tháng 8, chính phủ Trung Quốc lại cáo buộc gián điệp Mỹ tấn công mạng vào các công ty quân sự của nước châu Á này thông qua một lỗ hổng trong Exchange của Microsoft.

Exchange là nền tảng máy chủ email và cộng tác do Microsoft phát triển, được nhiều tổ chức và doanh nghiệp sử dụng để quản lý email, lịch làm việc, danh bạ và các tác vụ cộng tác khác.

Hôm 20.8, Microsoft cho biết đã thu hẹp quyền truy cập của một số công ty Trung Quốc vào hệ thống cảnh báo sớm về các lỗ hổng an ninh mạng. Điều này diễn ra sau khi giới chuyên gia nghi ngờ phía Trung Quốc có liên quan đến chiến dịch tấn công mạng nhắm vào máy chủ SharePoint của Microsoft hồi tháng 7.

Các chuyên gia an ninh mạng cho rằng đã có rò rỉ từ Chương trình Bảo vệ Chủ động của Microsoft (MAPP). Đây là chương trình mà Microsoft sử dụng để giúp các công ty an ninh mạng trên toàn cầu, gồm cả từ Trung Quốc, nắm được thông tin về các mối đe dọa trước công chúng, từ đó có thể giúp phòng thủ tốt hơn trước hacker. Cụ thể hơn, MAPP chia sẻ sớm thông tin về các lỗ hổng bảo mật và bản vá trước khi Microsoft công bố công khai.

Các nạn nhân của vụ tấn công lên tới hơn hàng trăm cơ quan chính phủ và tập đoàn trên toàn thế giới, gồm cả Cơ quan An ninh Hạt nhân Quốc gia Mỹ - đơn vị chịu trách nhiệm thiết kế và duy trì kho vũ khí hạt nhân của nước này.

Với một số cuộc tấn công, Microsoft đã đổ lỗi cho ba nhóm hacker Trung Quốc là Linen Typhoon, Violet Typhoon, Storm-2603. Phía Trung Quốc đã phủ nhận việc có liên quan đến bất kỳ vụ tấn công SharePoint nào.

Trước đó, Reuters đưa tin Microsoft đã thông báo cho các thành viên trong MAPP về các lỗ hổng của SharePoint vào các ngày 24.6, 3.7 và 7.7. Gã khổng lồ công nghệ Mỹ cho biết lần đầu tiên quan sát thấy các nỗ lực khai thác lỗ hổng SharePoint vào ngày 7.7, khiến một số chuyên gia cho rằng kịch bản hợp lý nhất cho sự bùng nổ đột ngột các vụ tấn công mạng là do một thành viên bất hảo của MAPP đã lạm dụng thông tin.

Trong thông báo hôm 20.8, Microsoft cho biết một số công ty Trung Quốc sẽ không còn được nhận được proof of concept code - loại mã mô phỏng cách hoạt động của phần mềm độc hại thực sự. Mã này có thể giúp các chuyên gia an ninh mạng nhanh chóng củng cố hệ thống của họ, nhưng cũng có thể bị hacker lợi dụng để đi trước một bước so với bên phòng thủ.

Microsoft tuyên bố hãng ý thức được rằng thông tin cung cấp cho các đối tác có thể bị khai thác, “đó là lý do chúng tôi thực hiện các biện pháp, cả công khai lẫn bí mật, để ngăn chặn việc lạm dụng”.

“Microsoft liên tục xem xét các thành viên tham gia và sẽ đình chỉ hoặc loại bỏ họ nếu phát hiện vi phạm hợp đồng với chúng tôi, gồm cả điều khoản cấm tham gia vào các cuộc tấn công có tính chất chủ động”, gã khổng lồ công nghệ Mỹ cho biết thêm.

Gã khổng lồ phần mềm Mỹ từ chối tiết lộ tình trạng điều tra vụ tấn công nhắm vào SharePoint cũng như không đi sâu vào chi tiết về những công ty nào đã bị hạn chế.

Microsoft thu hẹp quyền truy cập của một số công ty Trung Quốc vào hệ thống cảnh báo sớm về các lỗ hổng an ninh mạng - Ảnh: Reuters

Gần đây, giới chức Trung Quốc bày tỏ lo ngại về việc chip Nvidia H20, vừa được chính quyền Trump cấp phép bán trở lại cho khách hàng Trung Quốc sau một thời gian tạm dừng, có thể gây rủi ro an ninh mạng. Đây là điều mà công ty Mỹ bác bỏ.

Thậm chí, một số cơ quan Trung Quốc như Cục Quản lý Không gian mạng (CAC), Ủy ban Cải cách và Phát triển Quốc gia (NDRC) và Bộ Công nghiệp và Công nghệ Thông tin (MIIT) tìm cách hạn chế doanh nghiệp công nghệ trong nước mua chip AI Nvidia, theo hai nguồn tin của FT.

Hiện Nvidia đã yêu cầu một số nhà cung ứng ngừng công việc liên quan đến H20 sau khi Trung Quốc cảnh báo về các rủi ro an ninh của loại chip AI này.

H20 là chip AI đã bị Nvidia giảm hiệu suất theo yêu cầu từ Mỹ để bán riêng cho Trung Quốc từ năm 2024, được sử dụng rộng rãi trong quá trình huấn luyện mô hình và suy luận.

Huấn luyện là giai đoạn mô hình AI học từ một tập dữ liệu lớn. Suy luận là bước sử dụng mô hình AI đã được huấn luyện để đưa ra dự đoán hoặc tạo phản hồi, chẳng hạn trả lời câu hỏi thông qua chatbot.

Đầu tháng 8, Tổng thống Donald Trump đã mở đường cho khả năng chip H20 được bán lại tại Trung Quốc, khi đạt thỏa thuận với Nvidia và AMD để chính phủ Mỹ sẽ nhận 15% doanh thu từ việc bán một số chip AI tiên tiến tại thị trường này.

Các hình thức social engineering phổ biến

Social engineering là hình thức lừa đảo dựa trên thao túng tâm lý con người để đánh cắp thông tin nhạy cảm, truy cập hệ thống trái phép hoặc lây nhiễm phần mềm độc hại. Thay vì tấn công kỹ thuật trực tiếp vào hệ thống máy tính, hacker tận dụng sự tin tưởng, thiếu cảnh giác hoặc tâm lý tự nhiên của con người để khiến nạn nhân tự cung cấp thông tin hoặc thực hiện hành động có lợi. Bên dưới là các hình thức phổ biến của kiểu tấn công này:

Phishing (lừa đảo qua email/tin nhắn): Đây là hình thức phổ biến nhất. Kẻ tấn công gửi email hoặc tin nhắn giả mạo (ví dụ giả danh ngân hàng, công ty lớn, cơ quan chính phủ) để lừa nạn nhân nhấp vào liên kết độc hại, tải xuống file đính kèm chứa mã độc hoặc gõ thông tin đăng nhập vào một trang web giả mạo.

Spear phishing (lừa đảo mục tiêu cụ thể): Tương tự phishing nhưng tinh vi hơn, kẻ tấn công nhắm vào một cá nhân hoặc nhóm cụ thể, sử dụng thông tin cá nhân của nạn nhân (thu thập được từ mạng xã hội hoặc các nguồn công khai khác) để làm cho email/tin nhắn trở nên đáng tin cậy hơn.

Whaling (lừa đảo "cá voi"): Một dạng spear phishing nhắm vào các "cá voi" - nhân vật cấp cao như CEO (giám đốc điều hành) và CFO (giám đốc tài chính) – với mục tiêu là lừa họ thực hiện các giao dịch tài chính lớn hoặc tiết lộ thông tin cực kỳ nhạy cảm.

Pretexting (ngụy tạo): Kẻ tấn công tạo ra một kịch bản giả mạo, một tiền đề đáng tin cậy để lừa nạn nhân tiết lộ thông tin. Ví dụ, hacker có thể giả danh nhân viên hỗ trợ CNTT cần thông tin tài khoản để kiểm tra hệ thống.

Baiting (giăng bẫy): Kẻ tấn công để lại một thiết bị nhiễm mã độc (như ổ đĩa USB) ở nơi công cộng với hy vọng có người sẽ nhặt được và cắm vào máy tính của họ. Ngoài ra, hacker có thể cung cấp phần mềm, phim, nhạc miễn phí nhưng thực chất chứa mã độc.

Quid Pro Quo (trao đổi): Kẻ tấn công đưa ra một "phần thưởng" nhỏ (ví dụ hỗ trợ kỹ thuật miễn phí, quà tặng) để đổi lấy thông tin cá nhân hoặc quyền truy cập vào hệ thống.

Tailgating/Piggybacking (theo sau/đi ké): Kẻ tấn công theo chân một người dùng hợp pháp để vào được khu vực an ninh, ví dụ như đi theo nhân viên vào tòa nhà bằng cách giả vờ quên thẻ.

Cách phòng tránh social engineering

Luôn cảnh giác: Đặt câu hỏi về các yêu cầu đột ngột về thông tin cá nhân hoặc hành động khẩn cấp.

Kiểm tra kỹ nguồn gốc: Xác minh người gửi email, tin nhắn hoặc cuộc gọi. Nếu có bất kỳ nghi ngờ nào, hãy liên hệ trực tiếp với tổ chức đó qua số điện thoại hoặc email chính thức của họ (không phải thông tin trong email/tin nhắn đáng ngờ).

Không nhấp vào liên kết lạ: Tránh nhấp vào các liên kết đáng ngờ hoặc tải xuống file đính kèm từ những người bạn không biết hoặc những email không rõ ràng.

Bảo mật thông tin cá nhân: Hạn chế chia sẻ quá nhiều thông tin cá nhân trên mạng xã hội, vì chúng có thể được kẻ tấn công sử dụng để xây dựng kịch bản lừa đảo.

Sử dụng xác thực đa yếu tố (MFA): Bật MFA cho tất cả tài khoản quan trọng để tăng cường bảo mật.

Đào tạo nhận thức an ninh mạng: Các tổ chức nên thường xuyên đào tạo nhân viên về mối đe dọa social engineering và cách nhận biết chúng.

Social engineering là mối đe dọa dai dẳng vì khai thác điểm yếu cố hữu của con người. Nâng cao nhận thức và cảnh giác là tuyến phòng thủ tốt nhất chống lại loại hình tấn công này.

Sơn Vân