Tội phạm mạng không cần tấn công tinh vi, chúng cần những kịch bản có thể lặp lại

Trong năm qua, phương thức thâm nhập phổ biến nhất vào doanh nghiệp không phải là một kỹ thuật hack cao siêu, mà là… yêu cầu người dùng tự mở cửa. Kỹ thuật này, được gọi là ClickFix, đánh lừa người dùng bằng cách giả mạo thông báo xác thực “không phải robot”, sau đó hướng dẫn họ sao chép và dán một đoạn mã độc hại vào terminal. Với 47% các cuộc tấn công ghi nhận được, ClickFix không cần khai thác vulnerability, không cần đính kèm file, và do đó không để lại dấu vết cho các giải pháp bảo mật truyền thống.

Tư duy “công nghiệp hóa” trong tấn công mạng

Các nhóm tội phạm mạng hiện nay vận hành như một doanh nghiệp thực thụ. Thay vì phát minh ra các exploit mới cho mỗi nạn nhân, chúng tìm kiếm những quy trình có thể tái sử dụng (playbook). Dữ liệu từ Verizon cho thấy các cuộc tấn công khai thác CVE trên các thiết bị biên (edge devices) đã tăng 55% trong năm qua. Kẻ tấn công chỉ cần chờ đợi các bản proof of concept được công bố trên GitHub, sau đó quét toàn bộ internet để tìm kiếm các mục tiêu chưa kịp patch.

Điều này tương tự như ngành dược phẩm generic: không cần nghiên cứu thuốc mới, chỉ cần sản xuất hàng loạt công thức đã biết với chi phí thấp nhất. Các nhóm ransomware như Qilin hay The Gentlemen không cạnh tranh bằng trình độ kỹ thuật, mà cạnh tranh bằng “thông lượng” (throughput) – số lượng nạn nhân bị tấn công mỗi tháng.

Sống nhờ vào tài nguyên sẵn có (Living off the Land)

Sau khi thâm nhập thành công, kẻ tấn công thường sử dụng chính các công cụ quản trị có sẵn trên máy tính nạn nhân (scripting engines, công cụ quản lý từ xa) thay vì cài đặt malware lạ. Cách tiếp cận này giúp chúng:

• Không cần thay đổi công cụ khi gặp các hệ thống khác nhau.
• Dễ dàng vượt qua các lớp kiểm soát bảo mật vì các công cụ này vốn được coi là hợp lệ.
• Giảm thiểu dấu vết để lại trên hệ thống.

Tại sao AI chưa phải là “chìa khóa vạn năng” cho tội phạm?

Nhiều người cho rằng AI sẽ giúp tội phạm tạo ra các cuộc tấn công tự động hóa phức tạp. Tuy nhiên, dưới góc độ kinh tế, điều này không hợp lý. Một mô hình AI tự động hóa sẽ làm tăng chi phí cho mỗi lần tấn công, trong khi mô hình kinh doanh hiện tại đang hướng tới việc giảm chi phí về gần bằng 0. Kẻ tấn công chỉ sẽ áp dụng AI khi nó trở nên rẻ hơn so với việc chạy các playbook thủ công hiện có.

Lời khuyên cho đội ngũ phòng thủ

Vì các cuộc tấn công hiện nay đã được chuẩn hóa, đội ngũ bảo mật cũng cần tập trung vào các biện pháp phòng thủ có tính hệ thống:

• Patch thông minh: Tập trung ưu tiên các lỗ hổng trên thiết bị kết nối internet có khả năng thực thi mã từ xa (RCE) mà không cần xác thực.
• Kiểm soát thực thi: Hạn chế quyền chạy script và các công cụ quản trị hệ thống đối với người dùng thông thường.
• Quản lý danh tính: Đây là lớp phòng thủ quan trọng nhất để ngăn chặn việc một máy bị chiếm quyền trở thành một sự cố nghiêm trọng.
• Giám sát tập trung: Đừng nhìn vào các sự kiện đơn lẻ. Hãy kết nối các hành vi (ví dụ: một tài khoản quản trị đăng nhập, chạy lệnh script, và kết nối tới cloud) để phát hiện bất thường.
• Đảm bảo có người theo dõi: Một hệ thống cảnh báo không có nhân sự giám sát thực tế chỉ là một tệp log vô nghĩa.

Tóm lại, kẻ tấn công không tìm kiếm một chiếc “Lamborghini” công nghệ cao, chúng tìm kiếm một chiếc “Toyota”: bền bỉ, dễ lái, dễ sửa chữa và có thể chạy hàng vạn lần mà không gặp sự cố. Hiểu được điều này, chúng ta có thể tập trung đóng lại những cánh cửa mà các playbook này đang dựa vào.

Nguồn tham khảo: The Hacker News