Chợ đen đang rao bán hơn 70.000 máy chủ bị hack

Thị trường xDedic, dự đoán được điều hành bởi nhóm tội phạm mạng nói tiếng Nga, hiện đang có 70.624 máy chủ Remote Desktop Protocol (RDP) được rao bán. Trong đó, có nhiều máy chủ cấp quyền truy cập đến những trang web thương mại, các dịch vụ và đang chạy nhiều phần mềm cài đặt dành cho việc gửi mail trực tiếp, kế toán tài chính và Point-of-Sale (PoS). Chúng có thể được dùng để tấn công hệ thống hoặc làm bệ phóng cho những cuộc tấn công lớn hơn, trong khi đó chủ hệ thống, bao gồm các tổ chức chính phủ, tập đoàn và trường đại học lại biết rất ít hoặc chẳng biết gì về chuyện đang xảy ra.

xDedic là một ví dụ điển hình cho kiểu chợ đen mới của tội phạm mạng, được hậu thuẫn tốt và cấp quyền truy cập dễ dàng, nhanh chóng vào hệ thống tổ chức hợp pháp với chi phí thấp cho bất kì tội phạm mạng nào, kể cả từ cấp độ nhập môn đến băng nhóm APT nhằm che giấu hành động phi pháp càng lâu càng tốt.

Việt Nam đứng danh sách thứ 27 trong 173 quốc gia được rao bán máy chủ bị hack

Một nhà cung cấp dịch vụ Internet ở châu Âu (ISP) đã cảnh báo Kaspersky Lab về sự tồn tại của xDedic và cùng làm việc với nhau để điều tra cách diễn đàn hoạt động. Quá trình này đơn giản và ti mỉ: hacker đột nhập vào máy chủ, thường là thông qua các cuộc tấn công brute-force và mang về các thông tin cho xDedic. Các máy chủ bị hack sau đó được kiểm tra cấu hình RDP, bộ nhớ, phần mềm, lịch sử duyệt web và nhiều hơn nữa – tất cả các tính năng mà khách hàng có thể tìm kiếm trước khi mua hàng. Sau đó, chúng được thêm vào một danh mục trực tuyến bao gồm quyền truy cập vào.

Máy chủ được gắn thẻ để có quyền truy cập hoặc lưu trữ các trang web và dịch vụ nhất định, bao gồm chơi game, cá cược, hẹn hò, mua sắm trực tuyến, ngân hàng và thanh toán trực tuyến, mạng điện thoại di động, ISP và trình duyệt. Máy chủ với phần mềm được cài đặt sẵn có thể tạo điều kiện cho việc tấn công diễn ra, bao gồm phần mềm mail trực tiếp, tài chính và PoS. Tất cả đều được một loạt các công cụ dùng để hack và lấy thông tin hệ thống hỗ trợ.

Chỉ từ 6 USD cho mỗi máy chủ, thành viên diễn đàn xDedic đã có thể truy cập vào tất cả dữ liệu của một máy chủ và sử dụng chúng như nền tảng để tấn công về sau, có thể bao gồm tấn công có chủ đích, phần mềm độc hại, DDoS, lừa đảo bằng email, tấn công bằng kỹ thuật xã hội và adware.

Chủ nhân của những máy chủ hợp pháp, các tổ chức có danh tiếng bao gồm mạng lưới chính phủ, tập đoàn và trường đại học thường không biết rằng hệ thống công nghệ thông tin (CNTT) của mình đang bị tổn hại. Hơn nữa, một khi chiến dịch hoàn thành, những kẻ tấn công có thể quay lại truy cập vào máy chủ dự phòng để lấy thông tin đem rao bán và toàn bộ quá trình có thể lặp lại một lần nữa.

Costin Raiu, Giám đốc Nhóm Phân tích và Nghiên cứu toàn cầu, Kaspersky Lab chia sẻ: “xDedic lại một lần nữa xác nhận vấn đề tội phạm mạng hoạt động như một dịch vụ đang lan rộng bên cạnh hệ thống sinh thái thương mại và nền tảng giao dịch. Sự tồn tại của nó khiến tất cả mọi người, từ những kẻ tấn công gà mờ đến những cái tên APT được quốc gia hậu thuẫn, đều dễ dàng tấn công với khả năng phá hủy theo cách ít tốn kém, nhanh chóng và hiệu quả. Nạn nhân cuối cùng không chỉ là người tiêu dùng hay tổ chức bị nhắm tới trong một cuộc tấn công, mà còn là chủ sở hữu máy chủ không hề hay biết nguy hiểm đang diễn ra: họ có thể hoàn toàn không biết rằng các máy chủ của mình bị xâm nhập hết lần này đến lần khác cho những cuộc tấn công khác nhau mà tất cả đều diễn ra một cách rõ ràng như vậy”.

Kaspersky Lab khuyến nghị các tổ chức nên cài đặt một giải pháp bảo mật thiết thực như một phần của hệ thống bảo mật CNTT toàn diện và đa tầng. Bắt buộc sử dụng mật khẩu có độ mạnh cao trong quá trình xác thực máy chủ. Liên tục thực hiện quy trình quản lý các bản vá lỗi. Tiến hành kiểm toán bảo mật hệ thống CNTT thường xuyên xem xét đầu tư dịch vụ tình báo về các mối đe dọa để tổ chức luôn nhận biết các mối đe dọa đang nổi lên và cung cấp cái nhìn sâu sắc về góc độ tội phạm để giúp họ biết được mức độ nguy hiểm mình phải đối mặt.