Bản tin Kaspersky Security năm 2017 – Năm đánh dấu nhiều cuộc tấn công mã độc nguy hiểm.

Trong năm 2017, hàng loạt các doanh nghiệp quốc tế và hệ thống quản lí công nghiệp đã trở thành mục tiêu của nhiều cuộc tấn công. Đây cũng là năm mà số lượng các cuộc tấn công tăng cao và nối tiếp nhau, nhưng chưa có sự đổi mới đáng kể về mặt ý tưởng và kết cấu của mã độc.

Theo tổng kết của các chuyên gia Kaspersky Lab, 3 cuộc tấn công lớn nhất trong năm nay là WannaCry (bùng nổ từ ngày 12/5), ExPetr (từ ngày 27/6)  và BadRabbit (cuối tháng 10). Ba cuộc tấn công này gây thiệt hại lớn về dữ liệu và tiền của, đặc biệt là mã độc WannaCry - đã lây lan lên đến hàng trăm nghìn máy tính trên toàn thế giới, trong đó có nhiều công ty lớn như Renault, Dautsche Bahn, Honda, ... đã trở thành nạn nhân khiến một số nhà máy và cơ sở sản xuất của các doanh nghiệp này phải tạm thời đóng cửa do hệ thống quản lý máy tính bị tê liệt. Ngoài ra, ExPetr – một mã độc hướng đến các công ty, tổ chức lớn trên thế giới trong ngành vận tải biển, quảng cáo và luật cũng đã gây thiệt hại lớn lên đến hàng trăm triệu đô, ví dụ cụ thể là Reckitt Benckiser - Tập đoàn hàng tiêu dùng hàng đầu Anh Quốc đã mất kết nối đến hàng nghìn laptop, 2000 servers và 500 hệ thống máy tính chỉ trong vòng 45 phút với tổn thất dự kiến lên đến 130 triệu đô. Không chỉ có Reckitt Benckiser, Maersk – Hãng tàu lớn nhất thế giới cũng là nạn nhân của ExPetr với tổng thiệt hại lên đến 300 triệu đô.

Không chỉ những hacker đứng đằng sau 3 cuộc tấn công lớn trên đã lợi dụng các lỗ hỏng bảo mật được bán bởi Shadow Brokers để lây lan mã độc, một số mã độc khác ít được biết đến như AES-NI (Trojan-Ransom.Win32.AecHu) và Uiwix (a variant of Trojan-Ransom.Win32.Cryptoff) cũng sử dụng chiến lược tấn công tương tự. Tuy nhiên, do những mã độc này không sử dụng cơ chế “worm” nhân bản như WannaCry nên mức độ lây lan không đáng kể.

Các nhà nghiên cứu cũng cho biết động cơ và mục đích của những cuộc tấn công mã độc trên vẫn còn là một bí ẩn. Tuy nhiên, Kaspersky Lab cũng nhận thấy các mã độc tống tiền ransomware được sử dụng chủ yếu nhằm hủy hoại dữ liệu máy tính chứ không phải để thu lợi về tài chính. Thực tế cho thấy các cuộc tấn công có sử dụng mã độc tống tiền không thu được nhiều lợi nhuận từ tiền chuộc, cụ thể là WannaCry chỉ thu được tổng cộng 55,000 đô Bitcoin – một con số tương đối nhỏ so với mã độc có sức tàn phá dữ liệu với quy mô lớn như vậy.

Ngoài ra, các chuyên gia cũng nhận thấy có sự xuất hiện trở lại của mã độc Crysis (gần như đã chết vào 6/2017)là những phiên bản copy của phiên bản cũ.        

Bên cạnh những thảm hoạ trên, một điểm thú vị đáng chú ý đó là sự xuất hiện của các chìa khoá vạn năng (master key) như Petya/Mischa/GoldenEye có khả năng mở khoá dữ liệu bị nhiễm độc. Những phần mềm master key này được viết bởi một số nhóm với mục đích chứng minh sự trong sạch của mình.

Phương thức lây lan mã độc qua RDP (Remote Desktop Protocol) ngày càng trở nên phổ biến. Thay vì đánh lừa nạn nhân mở tập tin chứa mã độc hay lợi dụng bộ dụng cụ khai thác để xâm nhập vào hệ thống, hacker dùng kỹ thuật Brute force - thử tất cả các chuỗi mật khẩu có thể để tìm ra mật khẩu để đăng nhập vào các thiết bị có kết nối Internet và RDP đang hoạt động.

Một số thống kê về Mã độc tống tiền ransomware trong năm 2017

• Năm 2017, số lượng các nhóm ransomware mới là 38, giảm gần một nửa so với con số 62 ở năm 2016. Một lí do có thể giải thích cho sự suy giảm này là do các mô hình ransomware vốn đã khá hạn chế và việc sáng tạo ra các ransomware mới không phải là điều dễ dàng.
• Nhiều cải tiến được phát trên các “gia đình” ransomware mới và cũ trong năm nay: hơn 96.000 so với 54.000 vào năm 2016. Do các phần mềm bảo vệ an ninh mạng đang ngày càng nhạy bén trong việc phát hiện và tiêu diệc ransomware, các hacker đã cố gắng thiết kế mã độc của họ phức tạp hơn để có thể lẩn tránh được các phần mềm này.
• Con số các cuộc tấn công xảy ra đối với khách hàng của Kaspersky Lab không khá hơn năm 2016 là bao nhiêu. Nhìn chung, chỉ dưới 950.000 người dùng bị tấn công vào năm 2017 so với khoảng 1.5 triệu vào năm 2016 nhưng nếu chỉ xét số liệu về các bộ mã hóa, lượng dữ liệu bị tấn công vào năm 2017 tương tự như năm 2016. Ngoài ra còn chưa tính đến khoảng 727.000 nạn nhân trên khắp thế giới không phải khách hàng của Kaspersky đã bị tấn công bởi mã độc WannaCry.
• Mục tiêu tấn công chủ yếu của WannaCry, ExPetr and BadRabbit là các doanh nghiệp lớn với tỉ lệ các cuộc tấn công nhắm vào các doanh nghiệp này là 26,2% vào năm 2017, có tăng nhẹ so với 22,6% vào năm 2016. Đối với các doanh nghiệp vừa và nhỏ, con số chỉ hơn 4%.

Ransomware và Những dự đoán về đồng tiền ảo cryptocurrency

Liệu mô hình kinh doanh bằng mã độc tống tiền ransomware đang bước gần đến thời kì suy thoái? Liệu các tội phạm mạng có tìm ra được phương thức kiếm tiền mới để thay thế cho ransomware? Câu trả lời có thể là khai thác cryptocurrency. Kaspersky Lab dự đoán xu hướng đào tiền ảo cryptocurrency sẽ gia tăng đáng kể vào năm 2018. Ransomware tuy thu được nhiều lợi nhuận nhưng chỉ được một lần, trong khi cryptocurrency lại theo khuynh hướng “chậm mà chắc” – có thể lợi nhuận ban đầu ít hơn nhưng về lâu dài sẽ thu được nhiều và ổn định hơn ransomware. Tuy nhiên, cho dù tiền ảo cryptocurrency có nhiều lợi thế hơn như thế nào đi nữa thì ransomware cũng sẽ còn tồn tại lâu dài với nhiều hình dạng và cách thức tấn công khó có thể lường trước được.