Chiến dịch tấn công mạng Sality của Nga bị triệt phá sau hai thập kỷ hoạt động

Giới chức thực thi pháp luật Hoa Kỳ và công ty an ninh mạng CrowdStrike đã công bố việc triệt phá Sality, một chiến dịch tấn công mạng của Nga đã hoạt động trong suốt hai thập kỷ. Đây là một nỗ lực phối hợp quốc tế nhằm vô hiệu hóa một trong những mạng lưới máy tính bị chiếm quyền (botnet) lâu đời nhất trên Internet.

Nỗ lực phối hợp quốc tế

Theo thông báo từ Cục Điều tra Liên bang (FBI) và Bộ Tư pháp Hoa Kỳ, các cơ quan này đã thu giữ các tên miền web mà tin tặc sử dụng để kiểm soát máy tính của nạn nhân. Các hoạt động này được thực hiện với sự phối hợp của các cơ quan thực thi pháp luật châu Âu và các tổ chức khác.

Trong một tuyên bố, Trợ lý thứ nhất của Chưởng lý Hoa Kỳ, Bill Essayli, nhấn mạnh: "Tội phạm mạng, botnet và phần mềm độc hại là một mối nguy hiểm rõ ràng và hiện hữu đối với an ninh và kinh tế của quốc gia chúng ta." Về phía CrowdStrike, công ty cho biết họ đã cắt đứt mạng lưới máy tính bị xâm nhập khỏi sự điều khiển của kẻ chủ mưu, một phần của quá trình này được trình diễn trực tiếp tại hội nghị tình báo mối đe dọa Day Zero ở Las Vegas.

Mối đe dọa từ Sality

Được phát hiện lần đầu vào năm 2003, Sality là một trong những doanh nghiệp tội phạm mạng hoạt động lâu nhất. Mặc dù trong những năm gần đây đã bị lu mờ bởi các loại hình tấn công đòi tiền chuộc (ransomware) gây rối hơn, Sality vẫn là một mối đe dọa đáng kể.

Bộ Tư pháp Hoa Kỳ cho biết chiến dịch này có trụ sở tại Nga. Mạng botnet Sality bị lợi dụng cho nhiều mục đích bất hợp pháp, bao gồm:

• Gửi thư rác (spam)
• Thực hiện các cuộc tấn công từ chối dịch vụ phân tán (DDoS)
• Đánh cắp tiền điện tử

Ad

Điểm đặc biệt của Sality là cấu trúc ngang hàng (peer-to-peer), cho phép nó nhận lệnh thông qua một mạng lưới máy tính bị xâm nhập phi tập trung. Điều này khiến nó có khả năng chống chịu đặc biệt cao trước các hành động thực thi pháp luật.

Kỹ thuật triệt phá phức tạp

CrowdStrike cho biết họ đã biến chính sức mạnh của Sality thành điểm yếu của nó. Bằng cách gieo thông tin giả vào mạng lưới, các chuyên gia đã lừa các thành phần của botnet tự cắt đứt liên lạc với người tạo ra nó.

Nhà nghiên cứu Tillmann Werner của CrowdStrike chia sẻ với Reuters: "Đây là vụ tiếp quản botnet phức tạp nhất chúng tôi từng thực hiện." Ông giải thích rằng việc phân tích kỹ thuật đảo ngược cấu trúc của botnet, tìm ra điểm yếu và xây dựng cơ sở hạ tầng cần thiết để đánh sập nó đòi hỏi công việc rất tỉ mỉ. "Nó được xây dựng để có khả năng phục hồi, để tồn tại sau các nỗ lực gỡ bỏ hoặc tiếp quản."

Tương lai bất định

David Watson, giám đốc của tổ chức an ninh phi lợi nhuận The Shadowserver Foundation, cũng tham gia vào chiến dịch, cho biết Sality tuy "khá lỗi thời" nhưng vẫn có thể gây nguy hiểm. "Nó vẫn là một vector xâm nhập vào rất nhiều tổ chức," ông Watson nói.

Bước tiếp theo sẽ là quan sát xem kẻ chủ mưu của Sality, người vẫn chưa được công khai danh tính, có hành động gì để giành lại quyền kiểm soát hoặc tái tạo botnet hay không. "Anh ta sẽ làm gì? Anh ta có chống trả không?" ông Watson đặt câu hỏi.