Vẫn còn một yếu tố của tiền điện tử “Miền Tây hoang dã” vào năm 2020, vì tiền điện tử bị đánh cắp thông qua các vụ hack và tấn công ransomware vẫn đang được rút ra tiền mặt trên các sàn giao dịch lớn trên thế giới. Các cuộc tấn công ransomware đã được chứng minh là một con bò tiền sinh lợi cho tội phạm mạng trong vài năm qua, với Cục Điều tra Liên bang Hoa Kỳ ước tính rằng hơn 144 triệu đô la Bitcoin đã bị đánh cắp từ tháng 10 năm 2013 đến tháng 11 năm 2019.
Một cuộc họp báo do FBI tổ chức vào tháng Hai đã tiết lộ số tiền khổng lồ được trả bằng tiền chuộc cho những kẻ tấn công bởi những nạn nhân đang tuyệt vọng lấy lại quyền truy cập vào hệ thống và dữ liệu bị nhiễm của họ. Điều thú vị là những kẻ tấn công đã nhận được phần lớn tiền chuộc bằng Bitcoin (BTC). Gần đây hơn, các nhà nghiên cứu đã lấy mẫu 63 giao dịch liên quan đến ransomware, chiếm khoảng 5,7 triệu đô la tiền bị đánh cắp và phát hiện ra rằng hơn 1 triệu đô la Bitcoin đã được chuyển thành tiền mặt trên Binance sau một chuỗi giao dịch trên các địa chỉ ví khác nhau.
Có một số biến thể ransomware khét tiếng được sử dụng bởi các nhóm tin tặc và tội phạm mạng khác nhau. Công ty bảo mật mạng Kaspersky nhấn mạnh sự gia tăng trong các loại tấn công nhắm mục tiêu vào các tổ chức lớn hơn vào tháng 7, vạch ra hai mối đe dọa phần mềm độc hại cụ thể: VHD và Hakuna MATA.
Những mối đe dọa cụ thể này dường như nhạt so với số lượng tiền điện tử bị đánh cắp thông qua việc sử dụng các mối đe dọa phần mềm độc hại lớn hơn như ransomware Ryuk. Vì vậy, đây là lý do tại sao Ryuk lại là một phương pháp tấn công ưa thích và có thể làm gì để ngăn chặn và không khuyến khích những kẻ tấn công rút tiền thu được lợi bất cập hại của họ trên các nền tảng trao đổi lớn.
Thành Troy ở cổng thành: Ryuk
Những vectơ tấn công mới hơn này được đề cập trong báo cáo tháng 7 của Kaspersky không hoàn toàn gây được danh tiếng như ransomware Ryuk. Vào cuối năm 2019, Kaspersky đã phát hành một báo cáo điều đó làm nổi bật hoàn cảnh của các đô thị và thành phố đã trở thành con mồi cho các cuộc tấn công bằng mã độc tống tiền (ransomware). Ryuk được công ty xác định là phương tiện tấn công ưa thích vào các tổ chức lớn hơn, với các hệ thống chính phủ và thành phố là mục tiêu hàng đầu trong năm 2019.
Ryuk xuất hiện lần đầu tiên vào nửa cuối năm 2018 và gây ra sự tàn phá khi nó lan truyền qua các mạng máy tính và hệ thống trên khắp thế giới. Được đặt theo tên của nhân vật nổi tiếng Ryuk trong loạt truyện tranh Death Note, phần mềm độc hại này là một hành động thông minh nhằm vào “Vua của cái chết”, kẻ tự gây cười bằng cách gửi một “bức thư tử thần” cho thế giới con người cho phép người tìm thấy ghi chú giết bất kỳ ai bằng cách đơn giản biết tên và ngoại hình của họ.
Phần mềm độc hại thường được phân phối theo cách tiếp cận hai giai đoạn cho phép những kẻ tấn công kiểm tra mạng trước. Điều này thường bắt đầu với một số lượng lớn máy nhận được email chứa tài liệu mà người dùng có thể vô tình tải xuống. Tệp đính kèm chứa một bot phần mềm độc hại Trojan Emotet sẽ kích hoạt nếu tệp được tải xuống.
Giai đoạn thứ hai của cuộc tấn công cho thấy bot Emotet giao tiếp với các máy chủ của nó để cài đặt một phần mềm độc hại khác được gọi là Trickbot. Đây là phần mềm cho phép kẻ tấn công thực hiện thăm dò mạng.
Nếu những kẻ tấn công tấn công một nồi mật ngọt – tức là một mạng lưới của một doanh nghiệp lớn, văn phòng chính phủ hoặc thành phố – thì bản thân phần mềm tống tiền Ryuk sẽ được triển khai trên các nút khác nhau của mạng. Đây là vector thực sự mã hóa các tệp hệ thống và giữ dữ liệu đó để đòi tiền chuộc. Ryuk mã hóa các tệp cục bộ trên các máy tính riêng lẻ và các tệp được chia sẻ qua mạng.
Hơn nữa, Kaspersky giải thích rằng Ryuk cũng có khả năng buộc các máy tính khác trong mạng bật nếu chúng đang ở chế độ ngủ, điều này sẽ lan truyền phần mềm độc hại qua một số lượng lớn hơn các nút. Các tệp nằm trên các máy tính trên mạng ở chế độ ngủ thường không có sẵn để truy cập, nhưng nếu phần mềm độc hại Ryuk có thể đánh thức các PC đó, nó cũng sẽ mã hóa các tệp trên các máy đó.
Có hai lý do chính khiến tin tặc tìm cách tấn công các mạng máy tính của chính phủ hoặc thành phố: Thứ nhất, nhiều hệ thống trong số này được bảo vệ bởi bảo hiểm, điều này khiến khả năng đạt được giải quyết bằng tiền cao hơn rất nhiều. Thứ hai, các mạng lớn hơn này về bản chất gắn liền với các mạng lớn khác, điều này có thể dẫn đến hiệu ứng sâu rộng, làm tê liệt. Hệ thống và dữ liệu cung cấp năng lượng cho các bộ phận hoàn toàn khác nhau có thể bị ảnh hưởng, điều này đòi hỏi một giải pháp nhanh chóng, thường xuyên hơn là không dẫn đến việc trả tiền cho những kẻ tấn công.
Đấu tranh rút tiền mặt trên các sàn giao dịch lớn
Mục tiêu cuối cùng của các cuộc tấn công ransomware này khá đơn giản: yêu cầu một khoản thanh toán lớn, thường được thực hiện bằng tiền điện tử. Bitcoin đã là lựa chọn thanh toán ưa thích của những kẻ tấn công. Tuy nhiên, việc sử dụng tiền điện tử ưu việt làm phương thức thanh toán ưa thích có hậu quả không mong muốn đối với những kẻ tấn công, vì tính minh bạch của chuỗi khối Bitcoin có nghĩa là các giao dịch này có thể được theo dõi ở cả cấp vi mô và vĩ mô.
Có liên quan: Thật không may là các cuộc tấn công bằng ransomware đòi tiền điện tử sẽ ở lại đây
Đó chính xác là những gì các nhà nghiên cứu đã và đang làm và bằng cách xem xét điểm cuối của các giao dịch này, các nhà phân tích có thể thấy những kẻ tấn công đang sử dụng một số sàn giao dịch tiền điện tử lớn nhất. Vào cuối tháng 8, có thông tin tiết lộ rằng số Bitcoin trị giá hơn 1 triệu đô la đã được đòi tiền mặt thông qua Binance.
Nhóm bảo mật của Binance đã tiết lộ với Cointelegraph rằng các giao dịch này đã được hơn 18 tháng và sàn giao dịch đã tích cực theo dõi các tài khoản có liên quan. Nhóm nghiên cứu cũng nhấn mạnh việc những kẻ tấn công sử dụng sàn giao dịch của mình như một sản phẩm phụ của khối lượng tuyệt đối tiền điện tử được giao dịch trên nền tảng, điều này mang lại cho những kẻ bất chính nhiều cơ hội hơn để trà trộn vào đám đông. Người phát ngôn nói thêm:
“Điều này còn phức tạp hơn bởi thực tế là Binance có rất nhiều khách hàng hoạt động trên nền tảng của mình, với một số khách hàng nhận được số tiền như vậy thông qua các giao dịch ngang hàng đơn giản và những người khác nhận thông qua các dịch vụ của công ty thúc đẩy nền tảng của chúng tôi để có tính thanh khoản.”
Cointelegraph đã liên hệ với công ty an ninh mạng Cymulate có trụ sở tại Israel để tìm hiểu những gì các sàn giao dịch có thể làm để ngăn chặn tốt hơn tội phạm mạng sử dụng nền tảng của họ để thanh lý tiền điện tử bị đánh cắp. Avihai Ben-Yossef, người đồng sáng lập và giám đốc công nghệ của công ty, cho rằng các công ty cung cấp tính năng bảo vệ chống vi-rút, phát hiện và phản hồi điểm cuối có vai trò quan trọng trong việc theo dõi tiền điện tử đòi tiền chuộc, vì họ biết số tiền được thanh toán và ví tiền tương ứng địa chỉ nhận tiền chuộc. Ông nói thêm rằng từ đó, các sàn giao dịch có thể theo dõi và theo dõi các khoản thanh toán này:
“Các nhà phân tích có thể thu thập số ví và kiểm tra xem có bao nhiêu tiền trong mỗi ví và sau đó tạo tổng của tất cả các ví được tìm thấy. Điều quan trọng cần lưu ý là sẽ luôn có nhiều hơn và bạn cần có thể theo dõi từng thứ từ các tải trọng Ryuk đã tạo. ”
Không có nghi ngờ rằng đây có thể là một quá trình tốn thời gian. Tuy nhiên, việc những kẻ tấn công sử dụng địa chỉ ví để nhận tiền chuộc khiến các đội bảo mật có thể theo dõi chuyển động của những khoản tiền đó.
Nhìn chung, năm 2020 là một năm có lợi cho tội phạm mạng, những kẻ đã sử dụng các cuộc tấn công ransomware, vốn đang không ngừng phát triển. Ben-Yossef cảnh báo các tổ chức và công ty đảm bảo họ có an ninh mạng tốt nhất để chống lại môi trường tội phạm mạng thay đổi liên tục:
“Các cuộc tấn công bằng ransomware nói chung ngày càng trở nên tinh vi hơn. Chúng bao gồm chuyển động ngang, lọc dữ liệu và nhiều phương pháp khác gây hậu quả nghiêm trọng cho các công ty không trả tiền chuộc. Có một người kế nhiệm mới cho RYUK, Conti, được viết hơi khác một chút và rất có thể do các hacker khác phát triển. Điều quan trọng là các tổ chức phải điều chỉnh các công cụ kiểm tra bảo mật như mô phỏng vi phạm và tấn công để đảm bảo các biện pháp kiểm soát bảo mật của họ đang hoạt động với hiệu quả tối ưu trước các mối đe dọa mới nổi. ”