Chiến dịch Olympus Blade: Phân tích cuộc triệt phá PhaaS và củng cố phòng thủ trước làn sóng tiếp theo

Tinh thần kinh doanh của thế giới ngầm kỹ thuật số tiếp tục thể hiện trong các doanh nghiệp tội phạm phức tạp, có khả năng mở rộng. Cuộc triệt phá gần đây một bộ công cụ Lừa đảo dưới dạng dịch vụ (PhaaS) đang lan rộng bởi một hoạt động chung liên quan đến các cơ quan thực thi pháp luật, dưới sự bảo trợ của một sáng kiến chống tội phạm mạng, đóng vai trò là lời nhắc nhở rõ ràng về mối đe dọa dai dẳng này. Sự cố này nhấn mạnh nhu cầu cấp thiết đối với các CISO và kỹ sư bảo mật để hiểu các phương pháp hoạt động của các dịch vụ này và triển khai các biện pháp phòng thủ chủ động, kiên cường.

Điều gì đã xảy ra

Các cơ quan thực thi pháp luật quốc tế đã thực hiện một cuộc tấn công phối hợp chống lại một nền tảng PhaaS cung cấp khả năng lừa đảo tinh vi cho nhiều cá nhân. Hành động này đã thành công làm ngừng hoạt động nhiều máy chủ và thu giữ các tên miền không thể thiếu đối với dịch vụ lừa đảo của nó. Dịch vụ này được cho là có sẵn thông qua mô hình đăng ký, giúp các công cụ lừa đảo tiên tiến có thể tiếp cận được với nhiều cá nhân.

Một bộ công cụ PhaaS khác, tập trung đặc biệt vào lừa đảo qua SMS (smishing), cũng là mục tiêu trong các hành động thực thi pháp luật liên quan. Những nỗ lực phối hợp này của các cơ quan khác nhau nhằm phá vỡ cơ sở hạ tầng và mạng lưới tài chính hỗ trợ tội phạm mạng. Các sáng kiến thực thi pháp luật đặc biệt nhắm vào các tác nhân tội phạm và cơ sở hạ tầng đằng sau tội phạm mạng, tội phạm được hỗ trợ bởi mạng và gian lận, phản ứng với những tổn thất đáng kể được báo cáo trong năm trước.

Tại sao mô hình này cứ lặp lại

Sự gia tăng của các bộ công cụ PhaaS là hệ quả trực tiếp của việc thương mại hóa tội phạm mạng. Các dịch vụ này làm giảm rào cản gia nhập đối với những kẻ tấn công đầy tham vọng, cung cấp cơ sở hạ tầng, mẫu và thường là hỗ trợ kỹ thuật sẵn có. Mô hình kinh tế rất hấp dẫn đối với tội phạm: một khoản phí tương đối thấp cho phép tiếp cận các công cụ có thể tạo ra lợi nhuận bất hợp pháp đáng kể thông qua đánh cắp thông tin đăng nhập, gian lận tài chính và đánh cắp dữ liệu.

Mô hình này vẫn tồn tại vì các vectơ tấn công cơ bản—tính dễ bị tổn thương của con người và cấu hình hệ thống sai—vẫn phổ biến. Mặc dù công nghệ phát triển, yếu tố con người trong lừa đảo vẫn là mục tiêu chính. Tội phạm mạng luôn tìm cách khai thác mọi điểm yếu trực tuyến, bất kể quy mô của tổ chức mục tiêu, ngân sách an ninh mạng hay lĩnh vực.

Khả năng tiếp cận và chi phí thấp của các bộ công cụ PhaaS biến các cuộc tấn công mạng phức tạp thành một dịch vụ, dân chủ hóa tội phạm mạng cho một cơ sở tội phạm rộng lớn hơn, ít có kỹ năng kỹ thuật hơn.

Kịch bản của kẻ tấn công từng bước

Các nền tảng Lừa đảo dưới dạng dịch vụ hợp lý hóa toàn bộ chuỗi tấn công, cung cấp cho tội phạm một lộ trình hướng dẫn đến việc khai thác.

1. Đăng ký và Thiết lập

Kẻ tấn công đăng ký một bộ công cụ PhaaS với một khoản phí. Điều này cung cấp cho họ quyền truy cập vào bảng điều khiển và tài nguyên của nền tảng. Dịch vụ này có thể bao gồm nhiều mẫu lừa đảo khác nhau, thường bắt chước các thương hiệu và dịch vụ hợp pháp.

2. Cấu hình Chiến dịch

Người đăng ký cấu hình các chiến dịch lừa đảo của họ, chọn đối tượng mục tiêu, tạo ra các mồi nhử thuyết phục và tùy chỉnh các trang đăng nhập giả mạo hoặc biểu mẫu nhập dữ liệu. Trong trường hợp các dịch vụ tập trung vào smishing, điều này sẽ bao gồm việc thiết lập các chiến dịch được điều chỉnh cho người dùng di động.

3. Phân phối và Thực hiện

Nền tảng PhaaS thường cung cấp các cơ chế để phân phối các tin nhắn lừa đảo, cho dù qua email, SMS hay các nền tảng nhắn tin khác. Dịch vụ này quản lý việc lưu trữ các trang lừa đảo và việc thu thập thông tin đăng nhập bị đánh cắp hoặc thông tin nhạy cảm.

4. Thu thập và Khai thác Dữ liệu

Khi nạn nhân tương tác với các mồi nhử lừa đảo, thông tin đăng nhập hoặc dữ liệu của họ sẽ được thu thập bởi cơ sở hạ tầng PhaaS. Dịch vụ sau đó trình bày thông tin bị đánh cắp này cho người đăng ký, người có thể sử dụng nó để khai thác thêm, chẳng hạn như truy cập trái phép vào mạng công ty, tài khoản tài chính hoặc đánh cắp danh tính.

Điều mà những người bảo vệ đã bỏ lỡ

Hiệu quả của các chiến dịch PhaaS thường phụ thuộc vào một số yếu tố mà những người bảo vệ gặp khó khăn trong việc giải quyết đầy đủ. Một thách thức đáng kể là quy mô và sự tinh vi của các cuộc tấn công được kích hoạt bởi các dịch vụ này. Khối lượng lớn các nỗ lực lừa đảo tiềm năng có thể làm quá tải các cơ chế phát hiện truyền thống.

Nhiều tổ chức vẫn phụ thuộc nhiều vào thông tin tình báo mối đe dọa phản ứng và các phương pháp phát hiện dựa trên chữ ký, vốn gặp khó khăn trước các chiến dịch lừa đảo đang phát triển nhanh chóng. Việc tập trung vào phòng thủ chu vi thường bỏ qua mối đe dọa nội bộ do thông tin đăng nhập bị xâm phạm. Hơn nữa, các quy trình xác minh danh tính không nhất quán có thể cung cấp một giải pháp thay thế rẻ hơn để thuê một bộ công cụ PhaaS cho một số tác nhân, cho thấy một vấn đề hệ thống rộng lớn hơn cho phép các hoạt động bất hợp pháp.

Một nhà quan sát đã nhấn mạnh một khía cạnh quan trọng, thường bị bỏ qua: sự phụ thuộc liên tục vào người dùng để trở thành tuyến phòng thủ cuối cùng. Một bình luận, “Làm tốt lắm, nhưng lỗi tự động hóa thực sự là chúng ta vẫn dạy mọi người tin tưởng vào hộp thư đến của họ. Giải pháp nhàm chán cho vấn đề đó là gì?” tóm tắt ngắn gọn tính dễ bị tổn thương cố hữu trong các mô hình bảo mật lấy con người làm trung tâm.

Danh sách kiểm tra phòng thủ thực tế

Xây dựng hệ thống phòng thủ mạnh mẽ chống lại các cuộc tấn công do PhaaS điều khiển đòi hỏi một cách tiếp cận nhiều lớp nhằm giải quyết cả lỗ hổng kỹ thuật và con người.

• Triển khai Lọc Email & SMS Nâng cao: Triển khai các giải pháp dựa trên AI/ML phân tích nội dung tin nhắn, danh tiếng người gửi và các mẫu URL để phát hiện các nỗ lực lừa đảo và smishing tinh vi trước khi chúng đến tay người dùng cuối.
• Bắt buộc Xác thực Đa yếu tố (MFA): Thực thi MFA trên tất cả các hệ thống và ứng dụng quan trọng. Ngay cả khi thông tin đăng nhập bị đánh cắp, MFA vẫn đóng vai trò là rào cản quan trọng đối với truy cập trái phép.
• Đào tạo Nhận thức Bảo mật Định kỳ với Mô phỏng Lừa đảo: Tiến hành đào tạo thường xuyên, có mục tiêu nhằm giáo dục nhân viên về việc nhận diện các chiến thuật lừa đảo, bao gồm smishing, và kết hợp các mô phỏng lừa đảo thực tế để kiểm tra sự cảnh giác của họ.
• Triển khai Cách ly Trình duyệt & Lọc Nội dung Web: Cách ly nội dung web có khả năng độc hại và chặn quyền truy cập vào các trang web lừa đảo đã biết. Điều này ngăn người dùng tương tác với các trang bị xâm phạm ngay cả khi họ nhấp vào một liên kết độc hại.
• Tích hợp Thông tin Tình báo Mối đe dọa Liên tục: Đăng ký và tích hợp tích cực các nguồn cấp dữ liệu thông tin tình báo mối đe dọa, đặc biệt là những nguồn tập trung vào các bộ công cụ PhaaS mới nổi, các miền lừa đảo đã biết và các phương pháp của kẻ tấn công.
• Giám sát Mạo danh Thương hiệu: Chủ động giám sát internet để tìm các trường hợp thương hiệu của tổ chức bạn bị mạo danh trong các chiến dịch lừa đảo. Sử dụng các dịch vụ bảo vệ rủi ro kỹ thuật số để phát hiện và gỡ bỏ các trang web gian lận.
• Triển khai Nguyên tắc Zero Trust: Giả định vi phạm và xác minh mọi yêu cầu truy cập, bất kể nó có nguồn gốc từ bên trong hay bên ngoài mạng. Điều này giảm thiểu tác động của thông tin đăng nhập bị xâm phạm.

Cách kiểm thử tấn công hiện đại sẽ phát hiện ra điều này

Kiểm thử xâm nhập truyền thống thường cung cấp một ảnh chụp nhanh tại một thời điểm, nhưng bản chất năng động của PhaaS đòi hỏi một cách tiếp cận liên tục, thích ứng hơn. Kiểm thử tấn công hiện đại, đặc biệt với khả năng tự động và các Proof-of-Concept (PoC) có thể thực thi, sẽ tăng cường đáng kể tư thế phòng thủ của một tổ chức chống lại các mối đe dọa từ các dịch vụ như vậy.

Nền tảng của chúng tôi tận dụng thông tin tình báo mối đe dọa để tự động tiến hành kiểm thử tấn công. Điều này liên quan đến việc mô phỏng các chiến dịch lừa đảo và smishing trong thế giới thực, tương tự như những chiến dịch được dàn dựng bởi các bộ công cụ PhaaS. Bằng cách tạo ra các PoC có thể thực thi, nền tảng của chúng tôi có thể chứng minh chính xác cách một vectơ lừa đảo cụ thể sẽ xâm phạm một tổ chức, làm nổi bật các lỗ hổng chính xác—cho dù đó là sự dễ bị tổn thương của con người, bỏ qua bộ lọc email hay cấu hình mạng sai.

Kiểm thử tự động, liên tục này cung cấp phản hồi ngay lập tức về hiệu quả của các biện pháp kiểm soát hiện có và xác định các lỗ hổng trước khi đối thủ có thể khai thác chúng. Nó vượt ra ngoài các lỗ hổng lý thuyết để đến các rủi ro thực tế, có thể chứng minh được, cho phép các CISO và kỹ sư bảo mật ưu tiên các nỗ lực khắc phục dựa trên khả năng khai thác thực tế.

Điều cần theo dõi tiếp theo

Việc triệt phá các hoạt động PhaaS này là một chiến thắng đáng kể, nhưng nhu cầu cơ bản về các công cụ tội phạm mạng dễ tiếp cận vẫn còn. Chúng ta có thể dự đoán sự xuất hiện của các bộ công cụ PhaaS mới, có khả năng kết hợp các kỹ thuật né tránh tiên tiến hơn hoặc nhắm mục tiêu vào các nền tảng thích hợp. Xu hướng hướng tới PhaaS chuyên biệt, như các dịch vụ tập trung vào smishing, cho thấy rằng các dịch vụ trong tương lai có thể tập trung vào các vectơ tấn công hoặc ngành cụ thể.

Hơn nữa, sự phát triển của AI và công nghệ deepfake có thể dẫn đến các cuộc tấn công lừa đảo thuyết phục và cá nhân hóa hơn, khiến việc phát hiện trở nên khó khăn hơn nữa. Các tổ chức phải luôn cảnh giác, liên tục cập nhật các mô hình mối đe dọa của họ và đầu tư vào các giải pháp bảo mật thích ứng có thể chống lại các mối đe dọa đang phát triển này. “Giải pháp nhàm chán” của việc không dạy mọi người tin tưởng vào hộp thư đến của họ, như một bình luận gợi ý, có thể sẽ liên quan đến các biện pháp kiểm soát kỹ thuật tinh vi hơn nhằm loại bỏ gánh nặng phát hiện khỏi người dùng cuối, kết hợp với kiểm thử tấn công nâng cao để xác thực hiệu quả của chúng.