Mã độc: Vũ khí đắc lực thời chiến tranh mạng

Theo báo cáo Các mối đe dọa trực tuyến quý 1-2023 của Hãng bảo mật Avast, virus đánh cắp thông tin vẫn là một trong những mối đe dọa hàng đầu, với nguy cơ lây nhiễm tổng thể tăng 22% so với quý 4-2022. Cũng theo báo cáo này, người dùng máy tính và thiết bị di động khắp thế giới tiếp tục bị đe dọa bởi các kiểu mã độc phổ biến như ransomware (tống tiền), adware (hiển thị các quảng cáo không mong muốn), trojan (đội lốt phần mềm hợp pháp), spyware (phần mềm gián điệp), và một hình thức mới là mã độc ngân hàng (banker).

Banker là malware nhằm đánh cắp thông tin tài khoản ngân hàng, ví tiền điện tử, thường được phân phối thông qua tin nhắn lừa đảo hoặc trang web giả mạo. Sau khi được cài đặt và kích hoạt trên thiết bị di động của nạn nhân, mã độc này sẽ đọc được các tin nhắn SMS xác thực lớp và tạo trang giả mạo ngân hàng để đánh cắp thông tin đăng nhập.

Trong thời chiến tranh mạng, malware là một vũ khí đắc lực để phá hoại và thu thập thông tin. Ngày 24-5, Microsoft công bố đã phát hiện "hoạt động độc hại lén lút và có chủ đích" nhằm vào các tổ chức cơ sở hạ tầng quan trọng ở Hoa Kỳ, với mục đích hoạt động gián điệp và thu thập thông tin.

Hãng công nghệ Mỹ đưa ra "đánh giá với độ tin cậy vừa phải" rằng đây là chiến dịch do Volt Typhoon, một tổ chức được nhà nước bảo trợ có trụ sở tại Trung Quốc, thực hiện, nhằm phát triển các khả năng làm gián đoạn cơ sở hạ tầng liên lạc quan trọng giữa Hoa Kỳ và châu Á trong các cuộc khủng hoảng trong tương lai.

Volt Typhoon hoạt động từ giữa năm 2021, nhắm vào các tổ chức cơ sở hạ tầng quan trọng ở đảo Guam và các nơi khác ở Hoa Kỳ. Các tổ chức bị ảnh hưởng trong chiến dịch xâm nhập này thuộc đa lĩnh vực, từ truyền thông, sản xuất, giao thông vận tải, xây dựng đến hàng hải, chính phủ, công nghệ thông tin và giáo dục. 

Các hành vi quan sát được cho thấy các đối tượng này "có ý định thực hiện hoạt động gián điệp và duy trì quyền truy cập mà không bị phát hiện càng lâu càng tốt".

"Không bị phát hiện" là mục tiêu tối thượng của những kẻ tấn công. Theo Microsoft, nhóm này chủ yếu áp dụng kỹ thuật living-off-the-land (sử dụng công cụ có sẵn trên hệ thống) và hands-on-keyboard (kẻ tấn công trực tiếp thao tác trên môi trường đã xâm nhập thay vì chạy mã tự động) để thu thập dữ liệu, bao gồm thông tin đăng nhập từ hệ thống mạng và cục bộ rồi dùng chúng để xâm nhập và ở ẩn trong hệ thống. 

Để tránh bị phát hiện, những kẻ tấn công đã điều hướng truy cập thông qua các thiết bị mạng văn phòng nhỏ và văn phòng tại nhà mà chúng đã chiếm được quyền kiểm soát trước đó (chẳng hạn router).

Tất nhiên đây chỉ là thông tin do Mỹ đưa ra. Trung Quốc chưa bao giờ nhận trách nhiệm cho bất kỳ vụ tấn công, xâm nhập vào hạ tầng mạng nào của Mỹ. Ngay sau khi Microsoft công bố thông tin về Volt Typhoon, Trung Quốc cũng phát cảnh báo "coi chừng bị Mỹ hack" đến các công ty của nước này. 

Chuyện tố qua tố lại này cũng không phải bây giờ mới thấy. Năm 2015, tin tặc xâm nhập Cơ quan Quản lý nhân sự liên bang Hoa Kỳ, đánh cắp dữ liệu gồm dấu vân tay của gần 6 triệu công dân Mỹ; Washington tất nhiên nghi ngờ Bắc Kinh có dính líu. Ngược lại, theo tài liệu do Edward Snowden rò rỉ, có bằng chứng cho thấy Mỹ cũng nỗ lực xâm nhập hệ thống của Huawei và nhiều mục tiêu quân sự, lãnh đạo khác của Trung Quốc.

Còn trong cuộc chiến Ukraine, wiper - mã độc xóa sạch thông tin ổ cứng và bộ nhớ trên hệ thống của nạn nhân - được sử dụng triệt để trong năm đầu chiến tranh, theo các đánh giá độc lập của hãng an ninh mạng ESET (Slovakia), Fortinet (Mỹ) và Mandiant, công ty ứng phó sự cố an ninh mạng thuộc Google.

Theo Wired, các nhà nghiên cứu an ninh mạng đã tìm thấy các mẫu phần mềm độc hại không chỉ nhắm vào máy chạy Windows và Linux mà còn cả các hệ điều hành ít phổ biến hơn như Solaris và FreeBSD. Các malware này được viết bằng nhiều ngôn ngữ lập trình và bằng các kỹ thuật khác nhau để phá hủy mã của máy mục tiêu, từ phá phân vùng ổ cứng đến ghi đè dữ liệu rác lên toàn bộ các tập tin.

Tổng cộng, tính đến tháng 2-2023, 12 tháng kể từ ngày chiến sự nổ ra, Fortinet đếm được 16 dòng malware wiper khác nhau ở Ukraine, so với chỉ một hoặc hai loại trong những năm trước. 

Phát hiện này cho thấy một mối đe dọa toàn cầu: các mã độc nói trên đều có mặt trong kho lưu trữ phần mềm độc hại VirusTotal, thậm chí là cả cộng đồng mã nguồn mở Github. Khi mã độc được chia sẻ và phát triển công khai, bất kỳ ai cũng có thể lấy và sử dụng nó. Quả vậy, công cụ của Fortinet đã phát hiện hacker dùng các wiper malware phát hiện ở Ukraine để nhắm vào các mục tiêu ở 25 quốc gia.