Botnet và nguy cơ tấn công DDoS quy mô lớn vào hạ tầng IoT

Botnet IoT là mạng lưới hàng chục nghìn đến hàng trăm nghìn thiết bị như camera IP, router gia đình, đầu ghi hình bị nhiễm mã độc và bị điều khiển từ xa. Khi kẻ tấn công ra lệnh, tất cả cùng gửi lưu lượng tới một mục tiêu, tạo thành tấn công từ chối dịch vụ phân tán (DDoS) đủ sức làm tê liệt website, nhà cung cấp dịch vụ, thậm chí cả hạ tầng DNS. Thiết bị IoT bị nhắm vì thường dùng mật khẩu mặc định, ít được cập nhật và luôn bật. Bài viết giải thích cách botnet hình thành, các kiểu tấn công DDoS và biện pháp cho cả người dùng lẫn doanh nghiệp.

Bài học từ Mirai

Năm 2016, mã độc Mirai gây chấn động khi lây nhiễm số lượng lớn thiết bị IoT chỉ bằng cách thử một danh sách ngắn tên đăng nhập và mật khẩu mặc định qua Telnet. Botnet này thực hiện nhiều đợt DDoS kỷ lục thời điểm đó, trong đó có cuộc tấn công vào nhà cung cấp DNS Dyn khiến nhiều dịch vụ lớn bị gián đoạn ở Bắc Mỹ và châu Âu. Sau khi mã nguồn Mirai bị công bố, hàng loạt biến thể ra đời, bổ sung khai thác lỗ hổng thay vì chỉ dò mật khẩu. Đến nay, các họ mã độc kế thừa ý tưởng của Mirai vẫn hoạt động mạnh.

Vòng đời của một botnet IoT

1. Quét: các thiết bị đã nhiễm liên tục quét Internet tìm thiết bị mở cổng quản trị như Telnet, SSH, giao diện web.
2. Xâm nhập: thử mật khẩu mặc định hoặc khai thác lỗ hổng firmware đã biết.
3. Cài mã độc: tải về bản mã độc phù hợp kiến trúc chip của thiết bị (ARM, MIPS...). Phần lớn thiết bị IoT chạy Linux rút gọn, nên mã độc cho Linux nhúng rất phổ biến, cùng hệ sinh thái với các dòng mã độc nhắm vào hệ thống Linux.
4. Chiếm quyền: mã độc tắt dịch vụ quản trị để chủ nhân và botnet khác không vào được, sau đó kết nối tới máy chủ điều khiển.
5. Chờ lệnh: thiết bị vẫn hoạt động gần như bình thường, chủ nhân khó nhận ra.
6. Tấn công: khi nhận lệnh, cả mạng lưới đồng loạt tấn công, hoặc được cho thuê như một dịch vụ.

Các kiểu tấn công DDoS phổ biến

Botnet IoT đặc biệt nguy hiểm ở tấn công tầng ứng dụng vì mỗi thiết bị có địa chỉ IP thật, khác nhau, khiến việc lọc theo nguồn gần như không khả thi.

Hậu quả không chỉ dừng ở website bị sập

• Thiệt hại doanh thu khi dịch vụ ngừng hoạt động, nhất là thương mại điện tử, ngân hàng, game trực tuyến.
• Tống tiền: kẻ tấn công đe dọa DDoS nếu không trả tiền.
• Màn khói: DDoS thu hút sự chú ý của đội vận hành trong khi một cuộc xâm nhập khác diễn ra.
• Ảnh hưởng dây chuyền: tấn công vào nhà cung cấp DNS hay hạ tầng dùng chung làm sập cả các dịch vụ không bị nhắm trực tiếp.
• Với chủ thiết bị: mạng nhà chậm, thiết bị nóng, và thiết bị bị nhiễm có thể bị dùng để xâm nhập các máy khác trong cùng mạng.

Người dùng gia đình nên làm gì

1. Đổi mật khẩu mặc định của router, camera, đầu ghi ngay khi lắp đặt, dùng mật khẩu riêng cho từng thiết bị. Đây cũng là bài học từ các vụ lộ mật khẩu hàng loạt: mật khẩu dễ đoán luôn bị thử đầu tiên.
2. Cập nhật firmware định kỳ; bật tự động cập nhật nếu có.
3. Tắt quản trị từ xa, UPnP, Telnet nếu không cần.
4. Không mở cổng camera ra Internet: dùng ứng dụng chính hãng hoặc VPN về nhà thay vì chuyển tiếp cổng.
5. Tách mạng: đặt thiết bị IoT ở mạng khách hoặc VLAN riêng, cách ly với máy tính chứa dữ liệu quan trọng. Nếu router hỗ trợ, cấu hình thêm DNS mã hóa có lọc tên miền độc hại để chặn kết nối tới máy chủ điều khiển đã biết.
6. Chọn sản phẩm có cam kết cập nhật: ưu tiên hãng công bố thời gian hỗ trợ bảo mật.
7. Khởi động lại khi nghi ngờ rồi đổi mật khẩu ngay; nhiều mã độc IoT không tồn tại sau khi khởi động lại, nhưng sẽ quay lại nếu lỗ hổng còn đó.

Danh sách rủi ro chi tiết hơn với thiết bị thông minh trong nhà có trong bài cảnh báo nguy cơ mất an toàn thông tin từ thiết bị IoT.

Doanh nghiệp nên chuẩn bị gì trước DDoS

• Dịch vụ chống DDoS chuyên dụng từ nhà mạng hoặc mạng phân phối nội dung (CDN) có năng lực hấp thụ lưu lượng lớn.
• Kiến trúc phân tán: không để một điểm duy nhất gánh toàn bộ lưu lượng; dùng nhiều nhà cung cấp DNS.
• Giới hạn tốc độ và tường lửa ứng dụng web để lọc tấn công tầng ứng dụng.
• Kịch bản ứng phó: biết ai cần liên hệ ở nhà mạng, ngưỡng nào kích hoạt chế độ chống tấn công, cách thông báo khách hàng.
• Quản lý thiết bị IoT nội bộ: camera, máy in, thiết bị phòng họp cũng có thể trở thành bot nếu không được kiểm soát.
• Không trả tiền chuộc: trả tiền không đảm bảo tấn công dừng và khuyến khích kẻ tấn công quay lại.

Trách nhiệm của nhà sản xuất

Nhiều quốc gia và khu vực đã đưa ra quy định yêu cầu thiết bị kết nối không được dùng mật khẩu mặc định chung, phải có kênh tiếp nhận báo cáo lỗ hổng và công bố thời gian hỗ trợ cập nhật. Khi các yêu cầu này phổ biến hơn, số thiết bị dễ bị lây nhiễm sẽ giảm. Trong lúc chờ đợi, mỗi người dùng đổi mật khẩu và cập nhật thiết bị của mình chính là góp phần thu hẹp nguồn "lính" cho các botnet.