Lỗ Hổng trong Các Công Cụ Hacker Phổ Biến Mở Ra Khả Năng Đáp Trả

Khái niệm về "tấn công trả đũa" đã thu hút sự chú ý—và tạo nên nhiều tranh cãi—gần đây khi địa chính trị ngày càng chú trọng đến mối đe dọa của chiến tranh mạng. Ý tưởng rằng những nạn nhân của cuộc tấn công mạng nên được phép theo luật lệ tấn công lại những người tấn công được cho là đã thúc đẩy một dự luật, Đạo luật Chắc chắn Phòng Thủ Mạng Hoạt Động, mà đại diện Tom Graves của Georgia đã chia sẻ để có thể giới thiệu trong mùa thu năm nay. Và mặc dù nhiều người phản đối việc tấn công trả đũa vì nó là một con đường nguy hiểm và dao động về mặt đạo đức, nghiên cứu cho thấy rằng, tốt hay xấu, trong nhiều trường hợp, điều này không hề khó khăn chút nào.

Hóa ra nhiều công cụ hacking phổ biến chính chúng lại đầy lỗ hổng bảo mật. Điều này không nhất thiết làm cho việc đáp trả tấn công trở nên tốt, nhưng lại cho thấy rằng những người tấn công thường không chú ý nhiều đến an ninh. Khi ý tưởng về việc tấn công trả đũa được ủng hộ, điều này cuối cùng có thể tạo ra hậu quả cho chúng.

Đội Quân RAT

Những kẻ tấn công thường dựa vào một số "công cụ quản trị từ xa" phổ biến để kiểm soát hệ thống của nạn nhân từ xa, như họ đang ngồi trước máy tính của họ. Tự nhiên, không phải tất cả các RAT đều phù hợp cho tất cả các cuộc tấn công. Nhưng kẻ tấn công thường xuyên sử dụng một số công cụ hơn những công cụ khác, trước khi chuyển sang các lựa chọn chuyên sâu hoặc tốn nhiều tài nguyên nếu cần thiết. Sự phổ biến này đã khiến nghiên cứu viên mức cao về mối đe dọa của Symantec, Waylon Grange, nghĩ: RATs có lỗ hổng bảo mật riêng của chúng có thể mang lại cho nạn nhân quyền truy cập dễ dàng vào hệ thống của một hacker.

Grange phân tích ba RAT phổ biến không có lỗ hổng nổi tiếng—Gh0st Rat, PlugX và XtremeRat—và nhanh chóng phát hiện ra những lỗ hổng có thể khai thác dễ dàng trong tất cả chúng. Anh sẽ trình bày những kết quả này vào thứ Bảy tại hội nghị an ninh DefCon ở Las Vegas.

"Tôi phát hiện ra rằng các RATs rất dễ bị tấn công, chúng không được viết mã tốt, và việc tấn công lại chúng là rất khả thi," Grange nói. "Nhiều biện pháp giảm nhẹ hiện tại và những điều làm cho việc khai thác trở nên khó khăn chung thì không tồn tại trong những công cụ này, như chúng đã bị lạc lại vào đầu những năm 2000 về mặt phức tạp. Vì vậy, đối với tôi, việc tìm ra những lỗ hổng này là rất dễ dàng."

Những RAT mà Grange xem xét đã được sử dụng trên khắp thế giới trong các cuộc tấn công vào các ngành công nghiệp như công nghệ, sản xuất, chăm sóc sức khỏe và năng lượng—để không kể đến các cuộc hack vào đại sứ quán, bộ trưởng, các tổ chức phi chính phủ và chính phủ. Người tấn công đã sử dụng Gh0st Rat, ví dụ, trong các cuộc hack đa dạng như NATO, Associated Press và Đại Lâm Tâm Khảm.

Trong nhiều lỗ hổng mà Grange phát hiện, một nạn nhân muốn tấn công trả đũa có thể khai thác các lỗ hổng thiết lập trong RAT của kẻ tấn công để truy cập máy chủ điều khiển và kiểm soát của chúng (máy tính kẻ tấn công sử dụng để chỉ đạo RAT), tải xuống tệp từ hệ thống của kẻ tấn công đó, đặt mã trên đó, hoặc thậm chí tạo một cổng sau để đặt trên hệ thống của kẻ tấn công trong thời gian dài. Tấn công trả đũa có một số mục tiêu có thể thông thường—phục kích có lẽ, nhưng cũng là thu thập thông tin như một phần của việc cố gắng khám phá động cơ hoặc danh tính của kẻ tấn công. Các lỗ hổng mà Grange phát triển có thể lý thuyết làm cho các cuộc tấn công phản công trở nên dễ dàng để nạn nhân đạt được những mục tiêu này.

"Nếu bạn quay lại trên một trong những máy đó và bạn ngồi đó và lắng nghe, bạn có thể thấy họ đang tấn công những người khác hoặc loại nhóm mà họ theo đuổi hoặc loại thông tin nào mà họ theo đuổi, điều này là thông tin quan trọng khi đến việc xác định nguồn gốc," Grange nói.

Những người phản đối việc tấn công trả đũa sợ một con đường dài không ngừng trong đó hầu hết các quốc gia cuối cùng đều cho phép nó, các cuộc tấn công mạng tăng nhanh hơn và cảnh sát trên khắp thế giới bắt đầu đối mặt với một sự bất bình đẳng về thẩm quyền. Nhiều hơn những cuộc tấn công trả đũa có thể cũng đồng nghĩa với nhiều tổn thương phụ. Nếu một kẻ tấn công đã định hướng lưu lượng xâm phạm của mình qua các hệ thống vô hại để che giấu dấu vết, những trung gian vô tội này có thể bị đánh bại bằng các đòn tấn công trả đũa của những người cố gắng tấn công lại.

Tuy nhiên, lỗ hổng trong các công cụ tấn công không chỉ có thể được sử dụng bởi những nạn nhân tư nhân muốn tấn công trả đũa. Không phải là một bước nhảy lớn khi tưởng tượng rằng các cơ quan tình báo trên thế giới đã tirồn tới những lỗ hổng này để thu thập thông tin và xác định tội phạm. "Không rõ lắm về việc bạn sẽ làm gì khi bạn trở lại máy của kẻ tấn công, chúng ta chỉ có thể đưa ra những suy luận mơ hồ này," Grange nói. "Đó là một lĩnh vực chưa thực sự được suy nghĩ hoặc thảo luận đầy đủ—ít nhất là trên công cộng".

Ghép Ghép

Grange lưu ý rằng các kẻ tấn công ở khu vực Châu Á-Thái Bình Dương đặc biệt ưa chuộng ba công cụ mà anh ta xem xét, mặc dù chúng cũng phổ biến ở nơi khác. Tất nhiên, các công cụ tấn công không được tạo ra trong một môi trường doanh nghiệp, hoặc một nơi mà các nhà phát triển phải tuân theo yêu cầu của khách hàng. Chúng lưu thông và tiến triển mà không có sự giám sát trung ương, nên không ngạc nhiên khi chúng chứa đựng lỗ hổng và lỗi. Điều này cũng khiến chúng khó có thể vá đầy đủ. Ngay cả khi có người cố gắng sửa một lỗ hổng, các phiên bản đã được tiết lộ của công cụ vẫn sẽ lưu thông mãi mãi, và lỗi mới có thể xuất hiện.

"Tôi nghĩ về việc khi tôi công bố bài nói này, một số nhóm có thể cố gắng sửa những lỗ hổng này, nhưng tôi nghĩ rằng những lỗ hổng trong ba công cụ mà tôi xem xét là đủ hệ thống để những lỗ hổng khác sẽ xuất hiện, nên tôi không cảm thấy như bạn đang mất điều gì quan trọng ở đây," Grange nói. "Mã nguồn là một tình hình lộn xộn, và sẽ khó khăn cho ai đó cố gắng làm sạch tất cả các phiên bản của nó." Tuy nhiên, anh lưu ý rằng có lẽ sẽ đáng giá nỗ lực từ góc nhìn của một kẻ tấn công để vá các RATs hoặc xem xét những cái mà an toàn hơn.

Hacker có thể luôn áp dụng các biện pháp phòng ngừa khác để bảo vệ bản thân bằng cách kiểm soát RATs từ máy ảo, hoặc máy tính chuyên dụng không có bất kỳ thứ gì khác trên đó, và không thể tiết lộ nhiều nếu bị tấn công. Nhưng hệ thống phân tán như vậy cho một cuộc tấn công đòi hỏi kế hoạch và nguồn lực mà một kẻ tấn công có thể có hoặc không có. Và kẻ tấn công vẫn có thể phạm phải sai lầm khi cố gắng cô lập một hệ thống có thể dẫn đến ai đó trở lại hệ thống cơ sở hạ tầng rộng lớn của họ.

Sự dễ dàng mà Grange tìm thấy những lỗ hổng quan trọng trong các chương trình mà anh ta xem xét phản ánh tính chất ngẫu nhiên của hacking độc hại hiện nay. Ngay cả những cuộc tấn công tinh vi nhất, đôi khi được gọi là "mối đe dọa kiên trì tiên tiến," thường sử dụng các công cụ hacking phổ biến như những RATs nổi tiếng này. Cả những nhóm được tài trợ bởi nhà nước và những tên tội phạm mạng sáng tạo đều dựa vào các công cụ dễ dàng có sẵn để làm cho công việc của họ trở nên nhanh chóng và dễ dàng hơn.

"Những công cụ mà họ đang sử dụng rất, rất lỏng lẻo. Họ không phải là một nhóm không thể chạm vào, họ thực sự chơi trên cùng một sân chơi với chúng ta," Grange nói.