Microsoft - "bàn tiệc miễn phí" cho hacker

4 lỗ hổng

Một chiến dịch gián điệp bí mật của hacker Trung Quốc nhắm mục tiêu vào “những cá nhân cụ thể”, thông qua các lỗ hổng trong phần mềm email của Microsoft, đã leo thang thành cuộc tấn công toàn cầu tàn khốc đe dọa hàng chục ngàn nạn nhân trong khu vực công và doanh nghiệp. Cơ quan An ninh mạng và Cơ sở hạ tầng Mỹ (CISA) đã đưa ra cảnh báo trên Twitter vào ngày 8-3, kêu gọi các tổ chức trong tất cả lĩnh vực tuân theo hướng dẫn để giải quyết tình trạng khai thác rộng rãi trong nước và quốc tế, với 4 lỗ hổng trong ứng dụng email Exchange của Microsoft.

Thông báo của Microsoft ngày 3-3 đổ lỗi cho nhóm hacker được nhà nước Trung Quốc hậu thuẫn có tên Hafnium, đã tiến hành các cuộc tấn công lén lút, thâm nhập các máy chủ email của các mục tiêu được lựa chọn vào đầu năm. Công ty đã tung ra các bản vá cho các lỗi đó nhưng các chuyên gia cho biết kể từ khi các lỗ hổng bị lộ diện, đã có một loạt cuộc tấn công bởi nhiều nhóm hacker, bao gồm cả các nhóm tội phạm, lao vào xâu xé nạn nhân trước khi các bản sửa lỗi kịp vá lại hệ thống bảo mật của họ.

Ngân hàng châu Âu (EBA) trong tuần trước đã trở thành cơ quan đáng chú ý đầu tiên công khai thừa nhận bị hacker xâm phạm. Dmitri Alperovitch, đồng sáng lập nhóm bảo mật CrowdStrike, người đang điều hành Công cụ tăng tốc chính sách Silverado, cho biết: “Những nạn nhân chưa được vá vào giữa đến cuối tuần trước đều có thể đã bị tấn công bởi 1 hoặc vài nhóm hacker". John Hultquist, Phó Chủ tịch bộ phận Đe dọa Tình báo Mandiant của Công ty an ninh mạng FireEye, cảnh báo trên Twitter: “Khi những lỗ hổng này bị các tổ chức tội phạm khai thác, vấn đề sẽ trở thành cuộc khủng hoảng đối với các tổ chức có ít tài nguyên nhất".

Lo ngại gia tăng

Lúc đầu, vụ hack của Microsoft dường như diễn ra lén lút. Sean Koessel, Phó Chủ tịch phụ trách dịch vụ chuyên nghiệp của Volexity - nhóm an ninh mạng đã giúp xác định các lỗ hổng của Microsoft, cho biết vào đầu tháng 1 họ đã phát hiện ra các tin tặc nhắm vào các tổ chức phi chính phủ, tổ chức tư vấn. “Họ có thể xâm nhập theo ý muốn và đánh cắp email có chọn lọc, không giống như một trò đập phá. Nhưng vào tuần cuối cùng của tháng 2, Hafnium hoặc một nhóm khác đã nhanh chóng leo thang các cuộc tấn công. Sau khi Microsoft công khai các lỗ hổng, làn sóng tấn công thứ 3 thậm chí lớn hơn đã đến, khi các nhóm tội phạm khác nhảy vào khai thác các lỗ hổng. Mọi thứ đều vỡ trận" - Koessel nói.

Lần thứ 2 trong vòng chưa đầy 4 tháng, các khu vực công và tư trên thế giới phải nỗ lực để xác định xem liệu họ có bị tấn công, và nếu có thiệt hại đã gây ra là gì. Các chuyên gia cho biết khi tin tặc đã thiết lập được chỗ đứng trong hệ thống, chúng cần phải được đẩy ra một cách triệt để. Chris Krebs, cựu Giám đốc CISA, viết trên Twitter: “Các nhóm ứng phó sự cố đã bị thiêu rụi và đây là thời điểm thực sự tồi tệ”. Trong khi đó, các ước tính về số nạn nhân chênh lệch nhau. Nhà nghiên cứu an ninh mạng dày dạn kinh nghiệm Brian Krebs tuyên bố ít nhất 30.000 tổ chức của Mỹ, bao gồm số lượng đáng kể doanh nghiệp nhỏ, thị trấn, thành phố và chính quyền địa phương đã bị tấn công. Trong khi đó, các ước tính khác cho biết có tới 250.000 nạn nhân.

Huntress, nhóm an ninh mạng tập trung vào các doanh nghiệp nhỏ, cho biết đã phát hiện hơn 350 nạn nhân bị xâm phạm trong số khách hàng của mình, bao gồm các khách sạn nhỏ, 1 công ty kem, 1 nhà sản xuất thiết bị nhà bếp, nhiều cộng đồng công dân cao cấp và những doanh nghiệp tầm trung”. Roni Suchowski, nhà nghiên cứu bảo mật độc lập có trụ sở tại Anh, kiểm tra gần 12.000 máy chủ Exchange có thể truy cập internet, đã phát hiện khoảng 4.500 máy chủ dễ bị tấn công, tức hơn 1/3. Suchowski cho biết các tổ chức có trụ sở tại Anh bị ảnh hưởng bao gồm các trang web của chính phủ và Cơ quan Y tế Quốc dân (NHS), tổ chức học thuật, công ty luật và công ty tư nhân, bao gồm một nhóm tài sản trong chỉ số FTSE 250. 

Một loạt thông báo của các quan chức Mỹ trong tuần qua đã kêu gọi các tổ chức hành động ngay lập tức. Ngày 6-3, CISA đã tổ chức cuộc gọi với hơn 4.000 nhóm cơ sở hạ tầng quan trọng trong cả khu vực tư nhân và chính phủ, thúc giục họ vá hệ thống của mình. Jen Psaki, Thư ký báo chí Nhà Trắng, cho biết hôm 6-3 rằng có số lượng lớn nạn nhân trong vụ hack này.

Gián điệp công nghiệp

Trung Quốc từ lâu đã là một trong những quốc gia tích cực nhất trong việc tiến hành chiến tranh mạng chống lại Mỹ, theo cáo buộc của Washington. Thí dụ, các hacker Trung Quốc đã lấy cắp thành công dữ liệu nhạy cảm về hàng triệu nhân viên chính phủ trong vụ tấn công Văn phòng Quản lý Nhân sự, được phát hiện vào năm 2015.

Bà Theresa Payton, cựu Giám đốc thông tin Nhà Trắng và Giám đốc điều hành của Công ty tư vấn an ninh mạng Fortalice Solutions, nói: “Làn sóng tấn công có chủ đích đầu tiên có thể là một chiến dịch “gián điệp công nghiệp” cổ điển của Trung Quốc. Các tin tặc có thể đã săn lùng thông tin nghiên cứu và phát triển vaccine coronavirus, tài sản trí tuệ liên quan đến Big Tech, hoặc các chỉ số về chính sách thương mại của Mỹ liên quan đến Trung Quốc”. Bắc Kinh đã phản bác các cáo buộc này.

Các chuyên gia cảnh báo việc tham gia tấn công của các nhóm tội phạm hack có thể khiến nạn nhân bị tấn công bởi ransomware, tức những kẻ tấn công chiếm giữ dữ liệu của nạn nhân và sẽ chỉ phát hành nó nếu họ nhận được thanh toán. Các cuộc tấn công đã khiến một số người thúc giục Tổng thống Joe Biden có lập trường cứng rắn hơn đối với Trung Quốc, vào thời điểm chính phủ của ông đang xem xét các hình phạt bao gồm cả các biện pháp trừng phạt đối với Nga vì vụ hack SolarWinds - chiến dịch gián điệp của Nga, đã chiếm đoạt một sản phẩm phần mềm phổ biến để có được quyền truy cập vào hệ thống của hàng ngàn nạn nhân, như các bộ Thương mại và Tài chính Mỹ. 

Với các lỗ hổng trong phần mềm email của Microsoft, hàng chục ngàn, thậm chí hàng trăm ngàn nạn nhân đã trở thành "bàn tiệc miễn phí" cho hacker.