Phát hiện nhóm gián điệp mạng

Vừa qua, Kaspersky Lab đã phát hiện điểm bất thường trong mạng khách của tổ chức. Sự bất thường này dẫn các nhà nghiên cứu đến “ProjectSauron” – mối đe dọa cấp quốc gia tấn công vào các tổ chức quốc gia bằng bộ công cụ đặc biệt cho mỗi nạn nhân, khiến công cụ phát hiện truyền thống gần như vô dụng. Mục đích chính của cuộc tấn công này là gián điệp mạng.

Gián điệp mạng ProjectSauron đặc biệt có hứng thú trong việc đoạt quyền truy cập vào phương tiện truyền thông bị mã hóa

ProjectSauron gây ấn tượng bởi nó là cái tên lâu đời và có kinh nghiệm, không ngừng học hỏi từ những mối đe dọa cực kì nguy hiểm, gồm Duqu, Flame, Equation và Regin; chọn ra một số phương pháp tiên tiến nhất và cải thiện chúng để tránh bị phát hiện.

Công cụ và phương pháp đặc biệt ưa thích của ProjectSauron, gồm có dấu vết đặc biệt, chạy trên bộ nhớ, thiên về truyền thông bí mất… Trong đó, mã độc chính của dấu vết đặc biệt được cấy vào hệ thống có nhiều tên, kích cỡ khác nhau và được xây dựng riêng cho mỗi mục tiêu, khiến việc phát hiện ra nó rất khó khăn vì bộ chỉ số thỏa hiệp tương ứng có rất ít giá trị cho các mục tiêu khác.

Với việc chạy trên bộ nhớ, mã độc chính cấy vào hệ thống lợi dụng kịch bản update phần mềm hợp pháp và hoạt động như một backdoor, tải module mới hoặc chạy lệnh từ kẻ tấn công hoàn toàn trên bộ nhớ. Còn xu hướng thiên về truyền thông bí mật, ProjectSauron chủ động tìm kiếm thông tin liên quan đến phần mềm dùng để mã hóa hệ thống khá hiếm và có thể tùy biến.

Ngoài ra, ProjectSauron còn sử dụng bộ công cụ đơn giản được viết bằng ngôn ngữ LUA. Việc sử dụng nhiều phần trong bộ ngôn ngữ LUA ở phần mềm độc hại là rất hiếm, chỉ từng được thấy trong các cuộc tấn công của Flame và Animal Farm. ProjectSauron cũng có thể vượt ra khỏi không gian trong nhiều mạng lưới khi sử dụng ổ đĩa USB. Những ổ đĩa USB này có thể chứa nhiều phần riêng đã được ẩn đi trong đó có dữ liệu bị đánh cắp. ProjectSauron sử dụng một số bộ định tuyến để xuất dữ liệu, gồm có những phương tiện truyền thông hợp pháp như email và DNS, với thông tin bị đánh cắp được sao chép từ nạn nhân, giả dạng trong lưu lượng hàng ngày.

Đến nay đã có hơn 30 tổ chức là nạn nhân được phát hiện tại Nga, Iran, Rwanda và có thể ở những quốc gia nói tiếng Ý. Dựa trên phân tích, Kaspersky tin rằng sẽ có nhiều tổ chức và vùng địa lý hơn nữa bị ảnh hưởng, nhìn chung là những tổ chức đóng vai trò quan trọng trong việc cung cấp dịch vụ quốc gia, bao gồm: Chính phủ, quân đội, trung tâm nghiên cứu khoa học, nhà cung cấp dịch vụ viễn thông, tổ chức tài chính.

Có thể nói, ProjectSauron đã xuất hiện từ tháng 6/2011 và đến năm 2016 vẫn còn hoạt động. Vector lây nhiễm ban đầu mà ProjectSauron sử dụng để xâm nhập mạng lưới nạn nhân đến nay vẫn còn là ẩn số. Vitaly Kamluk, Nhà nghiên cứu bảo mật tại Kaspersky Lab chia sẻ: “Hiện nay, rất nhiều cuộc tấn công có chủ đích dựa trên những công cụ sẵn có và rẻ tiền. Trái lại, ProjectSauron là một trong những cái tên dựa vào những công cụ tự viết và đáng tin cậy, và mã có thể tùy biến. Việc chỉ sử dụng công cụ chỉ thị duy nhất, ví dụ như máy chủ kiểm soát, key mã hóa bên cạnh chọn ra những phương pháp tiên tiến nhất từ những mối đe dọa khác, là rất hiếm. Cách duy nhất chống lại những mối đe dọa như vậy là có nhiều tầng bảo mật phù hợp dựa trên chuỗi cảm biến dùng để giám sát điểm bất thường dù là nhỏ nhất trong phần mềm tổ chức, cùng với tình báo về mối đe dọa và phân tích forensic để phát hiện những hoạt động mà bề ngoài không thể hiện điều gì đáng nghi”.