Kaspersky Phát Hiện Sự Kết Nối Giữa Cuộc Tấn Công Vào Bộ Quốc Phòng Hàn Quốc Và Cuộc Tấn Công 60 Máy ATM

Khoảng giữa tháng 07/2017, sau một phân tích phần mềm độc hại, các nhà nghiên cứu Kaspersky Lab đã kết nối cuộc tấn công vào Bộ Quốc phòng Hàn Quốc hồi năm 2016 với một cuộc tấn công sau đó đã lây nhiễm 60 máy ATM và lấy trộm dữ liệu của hơn 2,000 thẻ tín dụng.

Được biết, mã độc và kỹ thuật được sử dụng trong cả 2 cuộc tấn công có sự tương đồng với các cuộc tấn công trước đó, được cho là do nhóm Lazarus, đã chịu trách nhiệm cho hàng loạt các cuộc tấn công tàn phá chống lại các tổ chức thương mại và chính phủ toàn thế giới.

Hồi tháng 08/2016, một cuộc tấn công mạng vào Bộ Quốc phòng Hàn Quốc đã làm khoảng 3,000 máy chủ bị lây nhiễm. Cơ quan Quốc phòng Hàn Quốc đã công bố sự cố vào tháng 12/2016, thừa nhận rằng một số thông tin bí mật có thể đã bị lộ. Khoảng 6 tháng sau, Viện Bảo mật Tài chính Hàn Quốc báo cáo, có ít nhất 60 máy ATM cũng ở Hàn Quốc, do một nhà cung cấp địa phương quản lý, đã bị nhiễm phần mềm độc hại. Theo Dịch vụ Giám sát Tài chính, sự cố đã dẫn đến khoảng 2,500 thẻ bị đánh cắp thông tin và xảy ra rút tiền bất hợp pháp ở Đài Loan khoảng 2,500 USD từ các tài khoản. Kaspersky Lab đã nghiên cứu phần mềm độc hại được sử dụng trong sự cố máy ATM và phát hiện ra rằng các máy ATM đã bị tấn công cùng với mã độc được sử dụng để đánh vào Bộ Quốc phòng Hàn Quốc vào tháng 08/2016.

Phát hiện ra sự kết nối giữa các cuộc tấn công và các lỗ hổng trước đó, Kaspersky Lab đã tìm ra những điểm tương đồng với các hoạt động của mã độc DarkSeoul, và các hoạt động khác, được cho là do nhóm hacker của Lazarus. Sự tương đồng bao gồm sử dụng các quy trình giải mã tương tự và kỹ thuật làm rối, chồng chéo trong cơ sở hạ tầng lệnh và kiểm soát, và sự giống nhau trong mã.

Lazarus là nhóm tội phạm mạng, được cho là đứng đằng sau một loạt các vụ tấn công mạng lớn và tàn phá khắp thế giới, trong đó bao gồm cả vụ hack vào hãng Sony Pictures hồi năm 2014 và vụ việc 81 triệu USD của Ngân hàng Bangladesh năm 2016. Seongsu Park, chuyên gia thuộc nhóm nghiên cứu và phân tích toàn cầu của Kaspersky Lab cho biết: “Những cuộc tấn công vào cả quân đội lẫn các máy ATM đều rất lớn và gây thiệt hại không nhỏ, chúng là bằng chứng của một xu hướng đáng lo ngại. Hàn Quốc đã là mục tiêu của các cuộc tấn công mạng từ năm 2013, nhưng đây là lần đầu tiên các máy ATM bị nhắm mục tiêu hoàn toàn về mặt tài chính. Nếu sự kết nối được tìm thấy là chính xác, có thể thấy nhóm Lazarus đang chuyển sự chú ý và sử dụng vũ khí mã độc để trục lợi. Các ngân hàng và các tổ chức tài chính khác cần phải tăng cường bảo vệ trước khi quá muộn”.​ Để giảm nguy cơ, Kaspersky Lab khuyến cáo triển khai các biện pháp an ninh bao gồm:

• Giới thiệu một chiến lược ngăn ngừa gian lận doanh nghiệp đối với các phần đặc biệt của ATM và an ninh giao dịch ngân hàng qua Internet. An ninh logic, an ninh vật lý của máy ATM và các biện pháp phòng ngừa gian lận cần được thực hiện cùng nhau, vì các cuộc tấn công đang trở nên ngày càng phức tạp hơn.

• Đảm bảo có một giải pháp bảo mật toàn diện, đa tầng. Đối với các tổ chức tài chính, nên sử dụng các giải pháp chuyên biệt với các tính năng Mặc định từ chối và Tích hợp tường lửa như Kaspersky Embedded Systems Security. Các giải pháp có thể phát hiện bất kỳ hoạt động đáng ngờ nào trong cơ sở hạ tầng thiết bị thanh toán. Ngoài ra cũng nên thực hiện phân khúc mạng cho các thiết bị ATM hoặc POS.

• Thực hiện kiểm tra an ninh hàng năm và thử nghiệm thâm nhập. Tốt nhất là để các chuyên gia tìm ra các lỗ hổng bảo mật trước, hơn là để bọn tội phạm tìm ra.

• Xem xét đầu tư vào thông tin tình báo để có thể hiểu được hình thức các mối đe dọa mới nổi và đang phát triển nhanh chóng để giúp tổ chức và khách hàng chuẩn bị kĩ càng.

• Đào tạo nhân viên để họ có thể phát hiện các email đáng ngờ mà có khả năng là giai đoạn đầu của một cuộc tấn công.