Các nhà nghiên cứu bảo mật tại Fox-IT của Hà Lan mới đây tuyên bố họ có bằng chứng cho thấy những đợt tấn công gần đây của nhóm hacker khét tiếng APT20 của Trung Quốc đã qua mặt được phương thức bảo mật 2 lớp (2FA). Hầu hết mục tiêu của APT20 là các cơ quan chính phủ các nước và các nhà cung cấp dịch vụ khác nhau như y tế, hàng không, tài chính, bảo hiểm, năng lượng, và thậm chí đôi lúc các trang web cờ bạc cũng bị APT20 đưa vào tầm ngắm.
Những quốc gia và các ngành kinh doanh của các công ty bị APT20 tấn công trong vài năm qua
APT20 bắt đầu thực hiện những hành vi xâm nhập trái phép máy chủ của các cơ quan và tổ chức từ năm 2011, nhưng đến khoảng 2016-2017, các nhà nghiên cứu bảo mật mất dấu những hacker Trung Quốc, khi chúng thay đổi phương thức hoạt động. Mãi đến bây giờ Fox-IT mới đưa ra báo cáo về những thay đổi đó. Theo họ, hacker tập trung đánh vào máy chủ của các tổ chức, công ty, và hầu hết đều nhắm tới nền tảng JBoss, platform thường được các cơ quan chính phủ và doanh nghiệp sử dụng.
Một khi đã thâm nhập được vào đến máy chủ, hacker sẽ đi tìm các tài khoản có quyền admin để xâm nhập sâu hơn vào hệ thống. Thậm chí chúng còn có thể lấy được cả thông tin VPN riêng của người chủ sở hữu tài khoản admin, đăng nhập đường hoàng vào hệ thống của các tổ chức. Những hacker này hiếm khi bị phát hiện, vì chúng sử dụng những công cụ chính thống vốn đã được cài đặt trong máy chủ và thiết bị, thay vì dùng những malware tự viết, vốn dễ bị phần mềm bảo mật phát hiện ra hơn. Điều đó dẫn chúng ta đến với việc làm cách nào hacker Trung Quốc lại qua mặt được hàng rào bảo vệ 2FA của những ứng dụng VPN cho doanh nghiệp.
Fox-IT mới chỉ đưa ra được ý tưởng dự đoán làm cách nào hacker Trung Quốc lại qua mặt được 2FA, nhờ vào việc phát hiện ra những kẻ tấn công kết nối được với các tài khoản VPN được bảo vệ 2 lớp. Có thể APT20 đã ăn cắp được software token RSA SecurID từ chính hệ thống bị hack, rồi sau đó dùng chính chiếc máy đã bị hack để xin mã OTP qua mặt hai lớp bảo mật. Thông thường thì điều này gần như không thể xảy ra. Để dùng được token mềm, người dùng phải kết nối token cứng vào máy tính, rồi thiết bị và phần mềm OTP sẽ tạo ra mã cho người dùng đăng nhập. Nếu không có token cứng, RSA SecurID sẽ hiện thông báo lỗi như thế này:
Tuy nhiên Fox-IT cho rằng hacker Trung Quốc có thể qua mặt hệ thống như sau: Token mềm tạo ra mã OTP cho một hệ thống cụ thể, nhưng thông tin của hệ thống hoàn toàn có thể bị hacker lấy cắp sau khi đã xâm nhập được vào đó. Hacker thậm chí cũng chẳng cần lấy hết thông tin hệ thống để đánh lừa RSA SecurID, vì những giá trị này chỉ được kiểm tra khi xuất thông tin SecurID Token Seed, không liên quan tới tiến trình lấy mã OTP bảo mật 2 bước. Hacker chỉ cần qua mặt bước phần mềm token kiểm tra có đúng hệ thống hay không mà thôi. Nhờ đó, hacker có thể qua mặt phương thức bảo mật 2 lớp để ăn cắp mã OTP RSA SecurID bản mềm, tạo ra những mã OTP có giá trị để đăng nhập tài khoản VPN, tiếp tục xâm nhập vào hệ thống của cả một công ty hay tổ chức chính phủ:
Những quốc gia và các ngành kinh doanh của các công ty bị APT20 tấn công trong vài năm qua
APT20 bắt đầu thực hiện những hành vi xâm nhập trái phép máy chủ của các cơ quan và tổ chức từ năm 2011, nhưng đến khoảng 2016-2017, các nhà nghiên cứu bảo mật mất dấu những hacker Trung Quốc, khi chúng thay đổi phương thức hoạt động. Mãi đến bây giờ Fox-IT mới đưa ra báo cáo về những thay đổi đó. Theo họ, hacker tập trung đánh vào máy chủ của các tổ chức, công ty, và hầu hết đều nhắm tới nền tảng JBoss, platform thường được các cơ quan chính phủ và doanh nghiệp sử dụng.
Một khi đã thâm nhập được vào đến máy chủ, hacker sẽ đi tìm các tài khoản có quyền admin để xâm nhập sâu hơn vào hệ thống. Thậm chí chúng còn có thể lấy được cả thông tin VPN riêng của người chủ sở hữu tài khoản admin, đăng nhập đường hoàng vào hệ thống của các tổ chức. Những hacker này hiếm khi bị phát hiện, vì chúng sử dụng những công cụ chính thống vốn đã được cài đặt trong máy chủ và thiết bị, thay vì dùng những malware tự viết, vốn dễ bị phần mềm bảo mật phát hiện ra hơn. Điều đó dẫn chúng ta đến với việc làm cách nào hacker Trung Quốc lại qua mặt được hàng rào bảo vệ 2FA của những ứng dụng VPN cho doanh nghiệp.
Fox-IT mới chỉ đưa ra được ý tưởng dự đoán làm cách nào hacker Trung Quốc lại qua mặt được 2FA, nhờ vào việc phát hiện ra những kẻ tấn công kết nối được với các tài khoản VPN được bảo vệ 2 lớp. Có thể APT20 đã ăn cắp được software token RSA SecurID từ chính hệ thống bị hack, rồi sau đó dùng chính chiếc máy đã bị hack để xin mã OTP qua mặt hai lớp bảo mật. Thông thường thì điều này gần như không thể xảy ra. Để dùng được token mềm, người dùng phải kết nối token cứng vào máy tính, rồi thiết bị và phần mềm OTP sẽ tạo ra mã cho người dùng đăng nhập. Nếu không có token cứng, RSA SecurID sẽ hiện thông báo lỗi như thế này:
Tuy nhiên Fox-IT cho rằng hacker Trung Quốc có thể qua mặt hệ thống như sau: Token mềm tạo ra mã OTP cho một hệ thống cụ thể, nhưng thông tin của hệ thống hoàn toàn có thể bị hacker lấy cắp sau khi đã xâm nhập được vào đó. Hacker thậm chí cũng chẳng cần lấy hết thông tin hệ thống để đánh lừa RSA SecurID, vì những giá trị này chỉ được kiểm tra khi xuất thông tin SecurID Token Seed, không liên quan tới tiến trình lấy mã OTP bảo mật 2 bước. Hacker chỉ cần qua mặt bước phần mềm token kiểm tra có đúng hệ thống hay không mà thôi. Nhờ đó, hacker có thể qua mặt phương thức bảo mật 2 lớp để ăn cắp mã OTP RSA SecurID bản mềm, tạo ra những mã OTP có giá trị để đăng nhập tài khoản VPN, tiếp tục xâm nhập vào hệ thống của cả một công ty hay tổ chức chính phủ:
Theo ZDNet
