Chiến dịch tấn công mạng 'tháng mười đỏ' đã thành công như thế nào bên dưới radar

Kaspersky Lab đã phát hành báo cáo đầu tiên gồm hai phần về "Tháng 10 đỏ", một cuộc tấn công phần mềm độc hại mà công ty tin rằng đang xâm phạm các hệ thống chính phủ cấp cao trên khắp châu Âu và có thể nhắm mục tiêu cụ thể vào các tài liệu được phân loại. Theo báo cáo, dữ liệu bị đánh cắp theo thứ tự "hàng trăm Terabyte" và hầu như không bị phát hiện trong khoảng năm năm.

Tháng Mười Đỏ, hay "Rocra", lấy tên từ tháng mà nó được phát hiện lần đầu tiên và chiếc tàu ngầm im lặng tí hon của Nga do tác giả Tom Clancy tưởng tượng. Bạn có thể về Tháng Mười Đỏ và nền tảng của nó tại PC Mag.

Tấn công nhắm mục tiêu cụ thể

Báo cáo mô tả Tháng Mười Đỏ là một "khuôn khổ", có thể nhanh chóng được nâng cấp để tận dụng điểm yếu của nạn nhân. Những kẻ tấn công bắt đầu cuộc tấn công của chúng bằng các email spearphising hoặc các tài liệu bị nhiễm được thiết kế để thu hút các mục tiêu của chúng. Khi bị lây nhiễm, những kẻ xâm nhập sẽ thu thập thông tin trên hệ thống trước khi cài đặt các mô-đun cụ thể để phát triển sự xâm nhập. Kaspersky đã đếm khoảng 1.000 tệp duy nhất như vậy thuộc khoảng 30 loại mô-đun.

Đây là một cách tiếp cận khác biệt rõ rệt so với Flame hoặc phần mềm độc hại lấy tiêu đề khác. Báo cáo cho biết, "có sự tương tác cao giữa kẻ tấn công và nạn nhân - hoạt động được điều khiển bởi loại cấu hình mà nạn nhân có, loại tài liệu sử dụng, cài đặt phần mềm, ngôn ngữ bản địa, v.v."

"So với Flame và Gauss, là các chiến dịch tấn công mạng tự động hóa cao, Rocra mang tính 'cá nhân' hơn rất nhiều và được tinh chỉnh cho các nạn nhân, " Kaspersky viết.

Những kẻ tấn công đã ranh ma như chúng có phương pháp, thực sự thay đổi chiến thuật để sử dụng thông tin bị đánh cắp. "Thông tin được thu thập từ các mạng bị nhiễm được sử dụng lại trong các cuộc tấn công sau này", Kaspersky viết. "Ví dụ: thông tin bị đánh cắp đã được biên soạn trong một danh sách và được sử dụng khi kẻ tấn công cần đoán mật khẩu và thông tin mạng ở các vị trí khác."

Tránh xa Radar

Kiểu tấn công nhắm mục tiêu này không chỉ cho phép những kẻ đứng sau Tháng Mười Đỏ đi sau các mục tiêu cấp cao, mà còn giúp hoạt động này không bị phát hiện trong nhiều năm. "Sự kết hợp giữa những kẻ tấn công có kỹ năng cao, được tài trợ tốt và phân phối hạn chế thường có nghĩa là phần mềm độc hại có thể tồn tại dưới radar trong một khoảng thời gian đáng kể", nhà nghiên cứu cao cấp của Kaspersky, Roel Schouwenberg nói với SecurityWatch . "Ngoài ra, chúng tôi chưa thấy việc sử dụng bất kỳ lỗ hổng zero-day nào, một lần nữa cho thấy mức độ quan trọng của việc vá lỗi."

Schouwenberg tiếp tục nói rằng nhiều lớp bảo mật có thể giúp ngăn chặn các cuộc tấn công này. Ông nói với SecurityWatch, "đây là lý do tại sao phòng thủ theo chiều sâu là quan trọng và các phương pháp tiếp cận như từ chối mặc định, danh sách trắng và kiểm soát ứng dụng đi vào hoạt động. Các cuộc tấn công có thể bị dừng ngay cả khi không phát hiện chính xác."

Không nhất thiết là công việc của các quốc gia

Mặc dù các mục tiêu cấp cao, Kaspersky nhấn mạnh rằng không có liên kết dứt khoát với một cuộc tấn công do nhà nước tài trợ. Báo cáo nói rằng trong khi thông tin được nhắm mục tiêu có thể có giá trị đối với các quốc gia, "thông tin đó có thể được giao dịch dưới lòng đất và được bán cho người trả giá cao nhất, tất nhiên có thể ở bất cứ đâu."

Các mối đe dọa được thiết kế riêng như Tháng Mười Đỏ là loại tình huống xấu nhất khiến nhân viên an ninh tại Lầu Năm Góc thức suốt đêm. May mắn thay, tính đặc thù làm cho Tháng Mười Đỏ thành công cũng có nghĩa là không có khả năng đe dọa những người tiêu dùng thường xuyên như bạn và tôi.

Thật không may, điều đó không thay đổi thực tế rằng một người chơi mới và mạnh mẽ đã hoạt động đằng sau hậu trường trong nhiều năm.

Để biết thêm từ Max, hãy theo dõi anh ấy trên Twitter @wmaxeddy.