FBI cảnh báo: Người dùng internet cảnh giác trước chiến dịch tấn công mạng đa quốc gia

Phần mềm độc hại tên gọi “Ghost - Hồn ma”

Cục Điều tra Liên bảng Mỹ (FBI) cho biết, trong bối cảnh phức tạp của mạng internet nói chung và mạng xã hội nói riêng, những hình thức lừa đảo xuất hiện dưới nhiều hình hài. Không chỉ đơn giản là tấn công giả mạo (phishing), kỹ nghệ xã hội (social engineering, hay hiểu đơn giản là thao túng tâm lý nạn nhân), hay bấm vào các liên kết độc hại, kẻ gian đang liên tục làm mới mình để hiệu quả hơn. Trong đó người dùng internet phải cảnh giác trước một chiến dịch tấn công mạng lớn, áp dụng những hình thức phi lừa đảo và ransomware (những phần mềm độc hại có thể khóa phần cứng và đòi tiền chuộc).

Có tên gọi “Ghost - Hồn ma”, chiến dịch lớn của tổ chức tin tặc đã khiến FBI phải lập tức buông lời cảnh báo tới công chúng, đồng thời cung cấp một số biện pháp giúp người dùng tự bảo vệ mình.

FBI và Cơ quan An ninh mạng và Cơ sở hạ tầng (CISA) cho biết thêm, cuộc tấn công đầu tiên đã được ghi nhận vào đầu năm 2021, khi các tin tặc của nhóm Ghost khai thác lỗ hổng có trong hệ thống chưa được cập nhật bảo mật. Cuộc tấn công gần đây nhất diễn ra vào tháng 1/2025.

Theo FBI, những thành viên của nhóm này sử dụng nhiều tên khác nhau, bao gồm Cring, Crypt3r, Phantom, Strike, Hello, Wickrme, HsHarada và Rapture. Một số file ransomeware được sử dụng trong chiến dịch có tên Cring.exe, Ghost.exe, ElysiumO.exe và Locker.exe.

Tuy nhiên, phương thức tấn công của chúng không thay đổi. Thay vì sử dụng hình thức lừa đảo qua email, tương tự nhiều những cuộc tấn công ransomware hiện nay, Ghost tận dụng các mã lập trình đã được công khai để tấn công các lỗ hổng bảo mật còn tồn tại trên các phần mềm, firmware. Nhóm nhắm tới các máy chủ có kết nối internet, sau đó triển khai mã độc ransomware trên các máy trong hệ thống.

Nhiều cuộc tấn công mạng xuyên quốc gia đe dọa an ninh người dùng internet. Ảnh minh họa

"FBI đã quan sát thấy nhóm tin tặc Ghost xâm nhập ban đầu vào hệ thống bằng cách khai thác các ứng dụng có kết nối công khai, liên quan đến nhiều lỗ hổng bảo mật phổ biến (CVE). Phương thức tấn công của chúng bao gồm lợi dụng các lỗ hổng trong thiết bị Fortinet FortiOS, máy chủ chạy Adobe ColdFusion, Microsoft SharePoint và Microsoft Exchange, thường được gọi là chuỗi tấn công ProxyShell”, cảnh báo của FBI viết.

Trước chiến dịch tấn công mạng lớn, FBI khuyên người dùng nên sao lưu hệ thống, lưu trữ dữ liệu tách biệt khỏi hệ thống gốc, cài đặt sao cho chúng không thể bị chỉnh sửa hoặc mã hóa bởi các thiết bị trong mạng khác, tránh trường hợp đã có máy “nhiễm độc”. Vá các lỗ hổng bảo mật đã biết bằng cách cập nhật kịp thời hệ điều hành, phần mềm và firmware theo khung thời gian dựa trên mức độ rủi ro.

Phân đoạn mạng nội bộ để hạn chế khả năng lây nhiễm giữa các máy trong hệ thống. Bắt buộc sử dụng xác thực đa yếu tố (MFA) chống lừa đảo cho tất cả tài khoản đặc quyền và tài khoản dịch vụ email.

Theo các chuyên gia, Ghost là một tác nhân đe dọa cấp quốc gia nguy hiểm mà các tổ chức phải nỗ lực tự bảo vệ mình. Nhóm này đang tích cực khai thác các lỗ hổng bảo mật (CVE) đã biết trong các công nghệ phổ biến, điều này nhấn mạnh tầm quan trọng của việc ưu tiên vá lỗi và khắc phục sự cố”.

Các cuộc tấn công bằng ransomware Ghost cho thấy rõ hacker đang khai thác những lỗ hổng sinh ra từ việc quá tải khiến đội ngũ an ninh đang phải cật lực vá những lỗ hổng xuất hiện với mật độ lớn. Điều này chứng minh rằng các phương pháp quản lý lỗ hổng bảo mật cũ không thể theo kịp số lượng lỗ hổng ngày càng gia tăng mà tin tặc đang khai thác.

Cuối cùng, Tim Mackey, trưởng bộ phận chiến lược rủi ro chuỗi cung ứng phần mềm tại Black Duck, cho biết các cuộc tấn công nhắm vào các phần cứng cũ và Internet of Things (IoT) là điều có thể dự đoán trước. Do đó, cần phải lập kế hoạch đối phó như một phần trong yêu cầu vận hành của thiết bị.

Tin tặc hiểu rằng các phương pháp bảo mật luôn phát triển. Ngay cả một thiết bị được coi là an toàn nhất cách đây một thập kỷ cũng có thể rất dễ bị tấn công theo tiêu chuẩn ngày nay, chưa kể đến những cuộc tấn công có thể xảy ra trong tương lai.

Vì vòng đời sử dụng của bất kỳ thiết bị vật lý được tính bằng năm, thậm chí hàng thập kỷ. Các tổ chức khi mua sắm những thiết bị này cần hợp tác chặt chẽ với nhà cung cấp để xây dựng một kế hoạch vận hành và giảm thiểu rủi ro dài hạn. Kế hoạch này không chỉ đảm bảo khả năng cập nhật bản vá mà còn bao gồm việc chia sẻ chủ động các kịch bản mối đe dọa.

Gia tăng các cuộc tấn công mạng tại Việt Nam đầu năm 2025

Liên quan tới tấn công mạng năm 2025, Cục An toàn thông tin đã phát hành Báo cáo An toàn thông tin mạng Việt Nam về tình hình an toàn thông tin đầu năm và thống kê kết nối chia sẻ dữ liệu về mã độc, giám sát.

Theo đó thực hiện công tác kiểm tra, rà soát an toàn thông tin trên không gian mạng, Trung tâm Giám sát an toàn không gian mạng quốc gia (NCSC) đã ghi nhận 125.593 địa chỉ website giả mạo cơ quan, tổ chức.

NCSC phân tích rằng chúng sử dụng những website giả mạo này để lừa đảo, gây thiệt hại cho người dân trên không gian mạng, đồng thời gây thiệt hại nghiêm trọng đến uy tín, thương hiệu của chính cơ quan, tổ chức bị giả mạo.

Cục An toàn thông tin đã tích cực triển khai việc cấp chứng nhận Tín nhiệm mạng cho các hệ thống phục vụ giao dịch điện tử theo Nghị định 137/2024/NĐ-CP, tổng số hệ thống được cấp chứng nhận hiện đạt 7.740 hệ thống. Trong tháng 1/2025, hệ thống của NCSC đã phát hiện 72 website giả mạo thương hiệu với mục đích lừa đảo được phát tán trên không gian mạng.

Theo NCSC, trong tháng 1/2025, hệ thống giám sát, rà quét từ xa của NCSC đã phát hiện hơn 1.600 lỗ hổng trên 5.000 hệ thống đang mở công khai trên internet. NCSC cũng đã ghi nhận 12 lỗ hổng mới được công bố, có mức độ ảnh hưởng nghiêm trọng/cao có thể bị lợi dụng để tấn công, khai thác vào các hệ thống của các cơ quan, tổ chức.

Trong tháng, hệ thống giám sát kỹ thuật của NCSC đã ghi nhận có 784.180 điểm yếu, lỗ hổng an toàn thông tin tại các máy chủ, máy trạm, hệ thống thông tin của các cơ quan tổ chức nhà nước.

Ngoài ra, thực hiện phân tích, theo dõi và dự báo, cảnh báo sớm xu hướng về tấn công mạng, Cục An toàn thông tin phát hiện xu hướng tấn công mã hóa tống tiền (ransomware) tăng cao trong thời gian gần đây. Đã có một số hệ thống thông tin của cơ quan, tổ chức, doanh nghiệp tại Việt Nam bị sự cố tấn công, gây gián đoạn hoạt động và thiệt hại về vật chất, hình ảnh của các cơ quan, tổ chức, doanh nghiệp, cũng như hoạt động bảo đảm an toàn không gian mạng quốc gia.

NCSC đã tiến hành thu thập, phân tích và phát hiện nhiều chỉ báo (Indicators of compromise) về tấn công mạng có thể ảnh hưởng đến cơ quan, tổ chức, doanh nghiệp Việt Nam.

Theo đó, các đơn vị cần chủ động rà soát các máy chủ, máy trạm, rà soát toàn bộ các hệ thống giám sát theo các chỉ báo mà NCSC cung cấp trong báo cáo nhằm xử lý sớm các rủi ro trong hệ thống, liên tục cập nhật các chỉ báo về tấn công mạng, đặc biệt là các chỉ báo đã được chia sẻ từ hệ thống của NCSC.

Đáng chú ý, trong tháng 1/2025, NCSC phát hiện 19 hệ thống của các đơn vị có kết nối đến hạ tầng botnet. NCSC đã thực hiện chia sẻ các thông tin botnet này đến các đơn vị thông qua hệ thống phát hiện cảnh báo sớm botnet.

An Dương (T/h)