APT Group tấn công cơ sở hạ tầng quan trọng tại Đông Nam Á

Các nhóm tấn công có chủ đích (APT) nhắm vào cơ sở hạ tầng quan trọng tại Đông Nam Á, như năng lượng, viễn thông, giao thông, tài chính và cơ quan nhà nước, thường không phá hoại ồn ào mà xâm nhập lặng lẽ, duy trì hiện diện lâu dài để thu thập thông tin hoặc chuẩn bị cho các hành động sau này. Cách chúng vào thường là thư lừa đảo nhắm mục tiêu, lỗ hổng trên thiết bị biên như VPN, tường lửa, và chuỗi cung ứng phần mềm. Bài viết này phân tích mô thức tấn công đã được cộng đồng bảo mật mô tả nhiều lần, lý do khu vực trở thành mục tiêu và những gì các tổ chức vận hành hạ tầng nên ưu tiên.

APT là gì và khác tội phạm mạng thông thường ra sao

APT (Advanced Persistent Threat) chỉ những nhóm có nguồn lực lớn, kiên nhẫn và mục tiêu rõ ràng. Nhiều báo cáo của các hãng bảo mật cho rằng một số nhóm có liên hệ với nhà nước, dù việc quy kết luôn phức tạp và cần thận trọng.

Vì sao Đông Nam Á là mục tiêu

• Vị trí chiến lược: khu vực có các tuyến hàng hải, cáp quang biển và vấn đề địa chính trị được nhiều bên quan tâm.
• Chuyển đổi số nhanh: hạ tầng mới được kết nối Internet nhanh hơn tốc độ xây dựng năng lực bảo mật.
• Hệ thống công nghiệp cũ: nhiều nhà máy điện, trạm biến áp, hệ thống nước vẫn dùng thiết bị điều khiển thế hệ cũ, khó vá lỗi.
• Chuỗi cung ứng khu vực: nhà thầu, nhà tích hợp hệ thống phục vụ nhiều tổ chức cùng lúc, là bàn đạp lý tưởng.
• Thiếu hụt nhân lực: số chuyên gia an ninh mạng, đặc biệt mảng công nghệ vận hành (OT), chưa đáp ứng nhu cầu.

Chuỗi tấn công điển hình

1. Trinh sát

Kẻ tấn công thu thập thông tin công khai: danh sách nhân sự trên mạng xã hội nghề nghiệp, tài liệu đấu thầu, thiết bị lộ ra Internet qua các công cụ quét. Mỗi chi tiết giúp họ soạn thư lừa đảo đáng tin hơn hoặc chọn lỗ hổng phù hợp.

2. Xâm nhập ban đầu

• Thư lừa đảo nhắm mục tiêu: tài liệu mời họp, công văn, hồ sơ dự án kèm mã độc. Chi tiết về kỹ thuật thao túng tâm lý có trong bài tấn công Social Engineering và cách phòng tránh.
• Khai thác thiết bị biên: VPN, cổng email, tường lửa có lỗ hổng chưa vá, một xu hướng được phân tích trong bài nhóm APT lợi dụng lỗ hổng VPN.
• Chuỗi cung ứng: xâm nhập nhà cung cấp phần mềm hoặc dịch vụ quản trị từ xa để đi vào khách hàng của họ, như mô tả trong bài tấn công chuỗi cung ứng.

3. Duy trì và ẩn mình

Kẻ tấn công cài cửa hậu, tạo tài khoản mới hoặc chiếm tài khoản hợp lệ. Xu hướng "sống nhờ tài nguyên hệ thống" (living off the land) ngày càng phổ biến: dùng chính công cụ quản trị có sẵn như PowerShell, WMI, công cụ điều khiển từ xa hợp pháp, khiến hoạt động trông giống quản trị viên.

4. Di chuyển ngang

Từ máy văn phòng, kẻ tấn công thu thập thông tin xác thực, tìm đường sang máy chủ quan trọng, hệ thống quản lý danh tính và nếu có thể, sang mạng điều khiển công nghiệp.

5. Thu thập và chuyển dữ liệu

Dữ liệu được nén, mã hóa và gửi ra ngoài từ từ qua các kênh khó phát hiện như dịch vụ đám mây hợp pháp.

Điểm riêng của môi trường công nghệ vận hành

Hệ thống điều khiển công nghiệp (ICS/SCADA) ưu tiên tính sẵn sàng và an toàn vận hành hơn tính bí mật. Thiết bị có vòng đời hàng chục năm, không thể khởi động lại tùy tiện để vá, giao thức công nghiệp thường không có xác thực. Vì vậy, mục tiêu phòng thủ hàng đầu là ngăn kẻ tấn công từ mạng văn phòng đi sang mạng OT, và phát hiện sớm bất kỳ truy cập bất thường nào.

Ưu tiên phòng thủ cho tổ chức vận hành hạ tầng

1. Kiểm kê tài sản và bề mặt tấn công: biết rõ thiết bị nào lộ ra Internet, đặc biệt VPN, cổng quản trị từ xa.
2. Vá nhanh thiết bị biên: có quy trình vá khẩn cấp khi lỗ hổng đang bị khai thác được công bố.
3. Xác thực đa yếu tố chống lừa đảo cho truy cập từ xa và tài khoản quản trị.
4. Phân vùng mạng: tách mạng IT và OT, kiểm soát chặt các điểm kết nối, dùng máy trung gian (jump host) có giám sát.
5. Giám sát hành vi: chú ý việc dùng công cụ quản trị bất thường, đăng nhập ngoài giờ, lưu lượng ra ngoài tăng đột biến. Khung MITRE ATT&CK, gồm cả phần dành cho ICS, giúp xây dựng kịch bản phát hiện.
6. Quản lý nhà cung cấp: giới hạn quyền truy cập từ xa của nhà thầu, yêu cầu tiêu chuẩn bảo mật trong hợp đồng.
7. Diễn tập ứng cứu: có kế hoạch vận hành thủ công khi hệ thống điều khiển phải ngắt kết nối.
8. Chia sẻ thông tin: tham gia mạng lưới chia sẻ chỉ dấu tấn công với cơ quan chuyên trách và các tổ chức cùng ngành.

Đọc tin tức về APT thế nào cho đúng

Các báo cáo về chiến dịch APT thường đến từ hãng bảo mật, kèm tên gọi riêng cho từng nhóm; cùng một nhóm có thể có nhiều tên khác nhau. Việc quy kết cho một quốc gia là đánh giá dựa trên bằng chứng kỹ thuật và tình báo, có độ tin cậy khác nhau. Với người làm bảo mật, giá trị lớn nhất của báo cáo nằm ở chỉ dấu kỹ thuật và mô tả hành vi, giúp kiểm tra xem hệ thống của mình có dấu hiệu tương tự hay không, thay vì ở phần quy kết.