Một sự cố tấn công mạng nghiêm trọng mới đây nhắm vào hệ thống của một tổ chức tài chính đã gây thiệt hại ban đầu hơn 10 tỷ đồng. Trước tình hình đó, VNCS Global khuyến nghị các tổ chức, đặc biệt là doanh nghiệp khẩn trương rà soát hệ thống CNTT, tăng cường giám sát an ninh mạng và kiểm soát chặt chẽ các hệ thống có khả năng thực hiện giao dịch tài chính.
Trong quá trình giám sát an toàn thông tin, đội ngũ Security Operations Center (SOC) của VNCS Global ghi nhận thông tin về một sự cố tấn công mạng có diễn biến phức tạp, trong đó kẻ tấn công từng bước xâm nhập từ ứng dụng AI nội bộ, chiếm quyền kiểm soát hạ tầng CI/CD, sau đó mở rộng phạm vi truy cập vào mạng nội bộ và các hệ thống quan trọng.
Đáng chú ý, đối tượng đã truy cập được vào cổng chi hộ ngân hàng và thực hiện hàng chục lệnh chi tới một số ít tài khoản nhận trong thời gian ngắn.
Theo thông tin ban đầu, tổng thiệt hại được ghi nhận ở mức hơn 10 tỷ đồng. Phần lớn số tiền đã được phong tỏa, tuy nhiên vẫn còn một phần nhỏ chưa được phong tỏa. Ngoài ra, một số lệnh chi không thành công đang chờ ngân hàng xác nhận về tình trạng giao dịch.
1. Diễn biến cuộc tấn công
Theo thông tin ghi nhận, cuộc tấn công trải qua các giai đoạn chính:
- Xâm nhập ban đầu: Kẻ tấn công khai thác một ứng dụng AI nội bộ trong môi trường phát triển bị mở truy cập từ Internet, từ đó chiếm quyền kiểm soát máy chủ CI/CD.
- Mở rộng truy cập: Đối tượng tiến hành dò mật khẩu VPN, sau đó truy cập thành công vào mạng nội bộ.
- Chiếm quyền hệ thống trọng yếu: Kẻ tấn công tiếp cận máy chủ điều phối dữ liệu, thiết lập đường hầm kết nối ra bên ngoài và tiếp tục chiếm quyền máy chủ quản lý danh tính (Domain Controller).
- Thực hiện giao dịch trái phép: Đối tượng sử dụng quyền truy cập vào cổng chi hộ ngân hàng để thực hiện hàng chục lệnh chi trong thời gian ngắn.
- Ứng phó sự cố: Đơn vị bị ảnh hưởng tiến hành cắt đường hầm kết nối và tạm dừng các hệ thống liên quan. Tuy nhiên, sau đó tiếp tục xuất hiện đợt tấn công thứ hai nhắm vào các ứng dụng web công khai.
2. Các điểm yếu bảo mật được xác định
Qua thông tin sự cố ban đầu, một số điểm yếu bảo mật đã được xác nhận là nguyên nhân tạo điều kiện cho kẻ tấn công xâm nhập và mở rộng phạm vi kiểm soát:
- Ứng dụng AI nội bộ bị phơi lộ trên Internet, dùng secret mẫu công khai và cho phép chạy lệnh tùy ý. Kết hợp với dịch vụ quản lý container không xác thực trong mạng nội bộ nên kẻ tấn công dễ dàng chiếm quyền cao nhất.
- Mật khẩu nội bộ được lưu dưới dạng văn bản thuần trong kho mã nguồn. Mật khẩu quản trị dùng chung và cho phép đăng nhập từ xa bằng mật khẩu.
- VPN dùng tài khoản dùng chung, còn bật giao thức cũ, không khoá tài khoản sau nhiều lần đăng nhập sai và không có xác thực đa yếu tố.
- Các máy bị nhắm chưa được cài giải pháp bảo vệ end point nên không phát hiện được sớm. Lệnh chi chỉ dừng khi tài khoản hết số dư, chưa thấy cơ chế giới hạn hạn mức hay cảnh báo giao dịch bất thường phát huy tác dụng.
Trong quá trình ghi nhận sự cố, đội ngũ SOC phát hiện một số dấu hiệu cho thấy kẻ tấn công có thể đã sử dụng công cụ hỗ trợ tự động hóa, có yếu tố AI, bao gồm:
- Đường hầm kết nối ra bên ngoài được tự xây dựng.
- Mã độc ngụy trang dưới dạng dịch vụ hệ thống.
- Các tập script có chú thích bằng ngôn ngữ nước ngoài.
Tuy nhiên, hiện chưa có đủ căn cứ kỹ thuật để xác định nguồn gốc hoặc quy kết danh tính nhóm tấn công.
3. Các IOC nghi vấn
VNCS Global ghi nhận một số chỉ dấu xâm phạm (Indicators of Compromise – IOC) nghi vấn liên quan đến sự cố:
Domain: www.microsoftts.com, ws1.updatejoy.com, updatecloud.online
IP: 177.2.184.46 (dò VPN), 159.26.99.122 (điều khiển C2), 154.36.161.239:15086, 207.148.72.117:8443
Đợt 2: 162.214.74.29, 198.244.254.77, 160.250.131.252
Kết luận: Sự cố trên cho thấy những điểm yếu trong ứng dụng nội bộ, hệ thống CI/CD, cơ chế xác thực VPN và bảo vệ máy chủ có thể tạo thành chuỗi tấn công liên hoàn, dẫn đến việc đối tượng xâm nhập sâu vào hạ tầng và gây thiệt hại tài chính nghiêm trọng. VNCS Global khuyến nghị khách hàng và đối tác chủ động rà soát hệ thống, tăng cường năng lực giám sát và phối hợp với đội ngũ an toàn thông tin để kịp thời phát hiện, xử lý các dấu hiệu bất thường.
Đội ngũ SOC của VNCS Global sẽ tiếp tục theo dõi, cập nhật thông tin và đưa ra các cảnh báo liên quan khi có thêm dữ liệu xác thực về sự cố.
