Mối Đe Dọa Vô Hình: Mổ Xẻ Các Vụ Triệt Phá Phishing-as-a-Service và Chiến Lược Phòng Thủ Chủ Động

Bối cảnh mối đe dọa kỹ thuật số luôn thay đổi, nhưng một số vector tấn công vẫn duy trì hiệu quả một cách dai dẳng. Lừa đảo (phishing), đặc biệt, đã chứng kiến sự phát triển dân chủ hóa thông qua các bộ công cụ Phishing-as-a-Service (PaaS). Các bộ công cụ này hạ thấp rào cản gia nhập vào tội phạm mạng, cho phép ngay cả những kẻ tấn công thiếu tinh vi cũng có thể triển khai các chiến dịch rất thuyết phục và gây hại. Các hành động thực thi pháp luật và báo cáo ngành gần đây nhấn mạnh bản chất phổ biến của các dịch vụ này và nhu cầu cấp thiết về các cơ chế phòng thủ mạnh mẽ, chủ động.

Điều gì đã xảy ra

Các sự cố gần đây đã làm nổi bật sự tinh vi của các hoạt động Phishing-as-a-Service (PaaS). Một ví dụ đáng chú ý liên quan đến một bộ công cụ PaaS, được cho là đã bị phá vỡ. Dịch vụ cụ thể này có liên quan đến việc xâm phạm nhiều hộp thư đến. Bộ công cụ này đã sử dụng một kỹ thuật được gọi là lừa đảo mã thiết bị (device code phishing), một phương pháp làm sai lệch luồng thiết bị OAuth tiêu chuẩn để giành quyền truy cập trái phép mà không trực tiếp đánh cắp mật khẩu.

Một hoạt động PaaS quan trọng khác được xác định vì đã sử dụng rộng rãi các nền tảng mạng xã hội để phát tán các liên kết lừa đảo. Bộ công cụ này đã tận dụng các ưu đãi hấp dẫn để dụ dỗ nạn nhân. Hoạt động này đã thể hiện phạm vi tiếp cận rộng lớn, ảnh hưởng đến người dùng ở nhiều khu vực khác nhau và nhắm mục tiêu vào các thương hiệu lớn trong các lĩnh vực như bán lẻ, ngân hàng và viễn thông. Quy mô và phạm vi tiếp cận của các hoạt động này làm nổi bật thách thức dai dẳng do các bộ công cụ PaaS gây ra.

Tại sao mô hình này cứ lặp lại

Thành công bền vững của các bộ công cụ PaaS bắt nguồn từ một số yếu tố có lợi cho kẻ tấn công trong khi thách thức những người phòng thủ. Thứ nhất, các dịch vụ này làm giảm đáng kể rào cản kỹ thuật cho tội phạm mạng. Các bộ công cụ làm sẵn, thường có sẵn để mua hoặc đăng ký, cung cấp cơ sở hạ tầng lừa đảo tinh vi, các mẫu và thậm chí cả các công cụ quản lý nạn nhân, đòi hỏi chuyên môn kỹ thuật tối thiểu từ người vận hành.

Thứ hai, khả năng thích ứng của các bộ công cụ PaaS cho phép chúng nhanh chóng tích hợp các kỹ thuật né tránh mới và nhắm mục tiêu vào nhiều nền tảng và dịch vụ. Sự linh hoạt này cho phép chúng vượt qua các biện pháp kiểm soát bảo mật truyền thống và khai thác các cơ chế xác thực đang phát triển, chẳng hạn như luồng mã thiết bị được sử dụng trong một số chiến dịch. Sự xuất hiện liên tục của các biến thể và vector tấn công mới khiến các tổ chức khó duy trì một hệ thống phòng thủ tĩnh.

Cuối cùng, bản chất toàn cầu của các dịch vụ này, thường được lưu trữ trên nhiều khu vực pháp lý khác nhau, làm phức tạp các nỗ lực thực thi pháp luật. Mặc dù việc triệt phá các hoạt động cụ thể là rất quan trọng, nhưng bản chất phi tập trung và kiên cường của hệ sinh thái tội phạm mạng có nghĩa là các dịch vụ hoặc biến thể mới thường xuất hiện để lấp đầy khoảng trống. Sự dễ dàng thiết lập cơ sở hạ tầng mới và tuyển dụng các nhà điều hành mới góp phần vào mô hình lặp lại này.

Kịch bản của kẻ tấn công theo từng bước

Phương pháp hoạt động của các bộ công cụ PaaS tuân theo một kịch bản rõ ràng, nhiều giai đoạn:

Giai đoạn 1: Mua sắm Cơ sở hạ tầng và Bộ công cụ

Kẻ tấn công trước tiên mua hoặc phát triển bộ công cụ lừa đảo. Các dịch vụ được mua trên các diễn đàn ngầm hoặc được phát triển nội bộ. Bộ công cụ này bao gồm các mẫu trang lừa đảo được thiết kế để bắt chước các cổng đăng nhập hợp pháp, cơ chế thu thập thông tin xác thực và đôi khi cả các bảng điều khiển phụ trợ để quản lý các chiến dịch và dữ liệu đã thu thập.

Giai đoạn 2: Lựa chọn và Trinh sát Mục tiêu

Bước tiếp theo là xác định mục tiêu. Điều này có thể bao gồm từ các chiến dịch rộng lớn, không phân biệt nhắm mục tiêu vào một lượng lớn người dùng, như đã thấy với các chương trình giảm giá trên mạng xã hội, đến các chiến dịch tập trung hơn nhắm mục tiêu vào các tổ chức cụ thể. Trinh sát có thể liên quan đến việc xác định các dịch vụ phổ biến được mục tiêu sử dụng, chẳng hạn như bộ ứng dụng năng suất đám mây, để điều chỉnh mồi nhử lừa đảo.

Giai đoạn 3: Tạo mồi nhử và Phân phối

Kẻ tấn công tạo ra các mồi nhử hấp dẫn để lừa nạn nhân. Đối với một số hoạt động, điều này liên quan đến quảng cáo trên mạng xã hội hứa hẹn giảm giá lớn, dẫn người dùng đến các trang web thương mại điện tử giả mạo. Các chiến dịch khác đã sử dụng lừa đảo mã thiết bị. Trong kịch bản này, nạn nhân được hướng dẫn đến một trang web độc hại mà thay vì yêu cầu mật khẩu, sẽ nhắc họ nhập mã thiết bị hiển thị trên một màn hình khác. Mã này sau đó được kẻ tấn công sử dụng để ủy quyền cho thiết bị của chính chúng với trang đăng nhập hợp pháp của nạn nhân.

Giai đoạn 4: Thu thập Thông tin Xác thực và Chiếm đoạt Phiên làm việc

Sau khi tương tác thành công với trang lừa đảo, bộ công cụ sẽ thu thập thông tin xác thực hoặc, trong trường hợp lừa đảo mã thiết bị, lấy được mã thông báo xác thực. Với lừa đảo mã thiết bị, kẻ tấn công có quyền truy cập vào phiên của nạn nhân, bỏ qua hiệu quả xác thực đa yếu tố (MFA) nếu không được cấu hình đúng cách hoặc nếu người dùng chấp thuận đăng nhập độc hại. Điều này cho phép truy cập vào các tài nguyên nhạy cảm như hộp thư email.

Giai đoạn 5: Kiếm tiền và Duy trì Quyền truy cập

Cuối cùng, dữ liệu đã thu thập được kiếm tiền. Điều này có thể liên quan đến việc bán quyền truy cập vào các tài khoản bị xâm phạm, khởi động các cuộc tấn công tiếp theo từ môi trường bị xâm phạm hoặc trực tiếp rút trích dữ liệu nhạy cảm. Kẻ tấn công thường nhắm mục tiêu duy trì quyền truy cập, duy trì quyền truy cập càng lâu càng tốt trước khi bị phát hiện.

Sự tinh vi của các bộ công cụ lừa đảo hiện đại không chỉ nằm ở năng lực kỹ thuật của chúng, mà còn ở khả năng khai thác tâm lý con người và các luồng xác thực hợp pháp, khiến các biện pháp phòng thủ truyền thống không đủ hiệu quả.

Những gì người phòng thủ đã bỏ lỡ

Trong các sự cố liên quan đến bộ công cụ PaaS, một số khoảng trống phòng thủ thường trở nên rõ ràng. Một thách thức chính là sự lan rộng nhanh chóng của các miền lừa đảo mới và các trang web giống hệt. Các phương pháp chặn truyền thống khó có thể theo kịp số lượng lớn các đăng ký mới, lỗi chính tả (typosquat) và các miền punycode mà các bộ công cụ này tạo ra. Các dịch vụ cung cấp hoạt động săn lùng chủ động liên tục và các vụ triệt phá pháp lý toàn cầu nhanh chóng là một phản ứng đối với thách thức này, nhấn mạnh nhu cầu phát hiện và phản ứng nhanh hơn nhiều tổ chức có thể đạt được nội bộ.

Một sai sót nghiêm trọng khác liên quan đến bản chất đang phát triển của các cách bỏ qua xác thực. Các sự cố gần đây đã chứng minh cách kẻ tấn công có thể vũ khí hóa các luồng xác thực hợp pháp như luồng mã thiết bị OAuth. Nhiều tổ chức có thể chưa đào tạo đầy đủ người dùng hoặc cấu hình các giải pháp bảo mật của họ để phát hiện hoặc ngăn chặn các cuộc tấn công không liên quan đến việc đánh cắp mật khẩu trực tiếp. Trọng tâm thường vẫn là thu thập thông tin xác thực thông qua các trang đăng nhập giả mạo, bỏ qua các chiến thuật kỹ thuật xã hội tinh vi hơn tận dụng các hành vi hệ thống hợp pháp.

Hơn nữa, tốc độ xâm phạm và quy mô của các cuộc tấn công này thường làm quá tải khả năng phản ứng sự cố. Đến khi một chiến dịch lừa đảo được phát hiện và khắc phục, một số lượng đáng kể tài khoản có thể đã bị xâm phạm. Điều này cho thấy cần có thông tin tình báo mối đe dọa chủ động hơn và các tư thế phòng thủ phòng ngừa thay vì chỉ các biện pháp phản ứng.

Danh sách kiểm tra phòng thủ thực tế

Các CISO và kỹ sư bảo mật phải triển khai chiến lược phòng thủ đa lớp để chống lại mối đe dọa đang phát triển của các bộ công cụ PaaS. Điều này bao gồm cả các phương pháp tiếp cận công nghệ và lấy con người làm trung tâm.

• Nâng cao Bảo mật Cổng Email và Web: Triển khai tính năng lọc email nâng cao phát hiện các kỹ thuật lừa đảo tinh vi, bao gồm viết lại URL, tương đồng miền và phân tích nội dung. Triển khai các cổng web với nguồn cấp dữ liệu thông tin tình báo mối đe dọa theo thời gian thực để chặn quyền truy cập vào các miền độc hại đã biết và các trang web đáng ngờ mới đăng ký.
• Tăng cường Cơ chế Xác thực: Thực thi xác thực đa yếu tố (MFA) mạnh mẽ trên tất cả các dịch vụ quan trọng. Đối với các luồng mã thiết bị, đảm bảo người dùng được đào tạo để xác minh tính hợp pháp của yêu cầu và thiết bị khởi tạo nó. Cân nhắc sử dụng khóa bảo mật FIDO2 hoặc khóa bảo mật phần cứng nếu khả thi, vì chúng vốn có khả năng chống lừa đảo cao hơn.
• Thực hiện Đào tạo Nâng cao Nhận thức Người dùng Liên tục: Thường xuyên giáo dục nhân viên về các chiến thuật lừa đảo mới nhất, bao gồm các mồi nhử kỹ thuật xã hội, lừa đảo mã thiết bị và những mối nguy hiểm khi nhấp vào các liên kết đáng ngờ hoặc nhập thông tin xác thực trên các trang web chưa được xác minh. Nhấn mạnh tư duy phản biện và quy trình xác minh.
• Triển khai Dịch vụ Bảo vệ Thương hiệu và Triệt phá Mạnh mẽ: Hợp tác với các dịch vụ cung cấp hoạt động săn lùng chủ động liên tục các miền lừa đảo, lỗi chính tả và ứng dụng di động giả mạo. Đảm bảo các dịch vụ này cung cấp các vụ triệt phá nhanh chóng, có hiệu lực pháp lý với SLA ngắn.
• Triển khai Phát hiện và Phản ứng Điểm cuối (EDR): Sử dụng các giải pháp EDR để giám sát các hoạt động đáng ngờ trên các điểm cuối, bao gồm các nỗ lực truy cập trái phép, thực thi quy trình bất thường và rút trích dữ liệu, ngay cả khi xảy ra sự xâm nhập ban đầu.
• Tận dụng Thông tin Tình báo Mối đe dọa: Tích hợp các nguồn cấp dữ liệu thông tin tình báo mối đe dọa theo thời gian thực vào các hoạt động bảo mật để luôn được thông báo về các bộ công cụ PaaS mới nổi, các chiến thuật, kỹ thuật và quy trình (TTP) của chúng, cũng như các chỉ số thỏa hiệp (IoC). Điều này cho phép các quy tắc chặn và phát hiện chủ động.
• Thường xuyên Kiểm tra và Thử nghiệm các Biện pháp Kiểm soát Bảo mật: Định kỳ xem xét và thử nghiệm hiệu quả của các biện pháp kiểm soát bảo mật hiện có đối với các kỹ thuật lừa đảo đã biết và mới nổi. Điều này bao gồm mô phỏng các cuộc tấn công lừa đảo nội bộ để đánh giá mức độ dễ bị tổn thương của người dùng và hiệu quả kiểm soát.

Kiểm thử tấn công hiện đại sẽ phát hiện ra điều này như thế nào

Các cuộc kiểm tra bảo mật truyền thống thường không đủ để xác định các lỗ hổng tinh vi bị khai thác bởi các bộ công cụ PaaS nâng cao. Đây là lúc kiểm thử tấn công hiện đại, đặc biệt là kiểm thử tấn công tự động với các Bằng chứng Khái niệm (PoC) có thể thực thi, trở nên không thể thiếu. Nền tảng của chúng tôi, cung cấp thông tin tình báo mối đe dọa kết hợp với kiểm thử tấn công tự động, sẽ cung cấp những hiểu biết quan trọng về khả năng dễ bị tổn thương của một tổ chức đối với các cuộc tấn công như những cuộc tấn công được thực hiện bởi các hoạt động lừa đảo nâng cao.

Đối với một cuộc tấn công lừa đảo mã thiết bị, kiểm thử tấn công tự động sẽ mô phỏng phương pháp của kẻ tấn công. Nó sẽ cố gắng khởi tạo một luồng mã thiết bị, tạo ra một mồi nhử lừa đảo thuyết phục nhắm mục tiêu vào nhân viên và sau đó giám sát cách các biện pháp kiểm soát bảo mật của tổ chức (cổng email, bộ lọc web, EDR) và nhân viên phản ứng. Các PoC có thể thực thi sẽ chứng minh các bước chính xác mà kẻ tấn công sẽ thực hiện, từ kỹ thuật xã hội ban đầu đến khả năng chiếm đoạt phiên làm việc, mà không thực sự gây ra sự xâm phạm.

Loại thử nghiệm này vượt xa việc quét lỗ hổng đơn giản. Nó xác nhận hiệu quả của cấu hình MFA, đào tạo nâng cao nhận thức người dùng và các kế hoạch ứng phó sự cố chống lại các chuỗi tấn công trong thế giới thực. Ví dụ, nếu hệ thống có thể mô phỏng thành công một cuộc tấn công lừa đảo mã thiết bị vượt qua các biện pháp kiểm soát hiện có và có thể dẫn đến việc xâm phạm hộp thư đến, nó sẽ cung cấp một PoC có thể thực thi. PoC này minh họa rõ ràng lỗ hổng, cho phép các nhóm bảo mật xác định chính xác nơi phòng thủ đã thất bại—cho dù đó là bộ lọc email, sự cảnh giác của người dùng hay một lỗ hổng trong việc thực thi MFA. Thành phần thông tin tình báo mối đe dọa đảm bảo các mô phỏng này dựa trên các TTP mới nhất của kẻ tấn công, phản ánh các mối đe dọa hiện tại như mồi nhử trên mạng xã hội hoặc các cách bỏ qua kỹ thuật cụ thể.

Những điều cần theo dõi tiếp theo

Sự phát triển của các bộ công cụ PaaS không có dấu hiệu chậm lại. Người phòng thủ phải lường trước một số xu hướng chính. Thứ nhất, hãy mong đợi sự tập trung ngày càng tăng vào việc bỏ qua các cơ chế xác thực nâng cao, bao gồm MFA sinh trắc học và khóa bảo mật (passkeys), thông qua kỹ thuật xã hội ngày càng tinh vi hoặc các lỗ hổng kỹ thuật. Mặc dù khóa bảo mật cung cấp khả năng chống lừa đảo mạnh mẽ, kẻ tấn công sẽ tìm kiếm các vector mới nếu không được triển khai hoàn hảo.

Thứ hai, việc tích hợp AI và máy học vào các bộ công cụ PaaS có thể sẽ tăng tốc. Điều này có thể biểu hiện dưới dạng các mồi nhử lừa đảo động và cá nhân hóa hơn, lừa đảo bằng giọng nói hoặc video deepfake do AI tạo ra và trinh sát tự động xác định các mục tiêu có giá trị cao hơn với hiệu quả cao hơn. Sự tinh vi của nội dung tấn công sẽ tăng lên đáng kể.

Cuối cùng, trò chơi mèo vờn chuột giữa các vụ triệt phá của cơ quan thực thi pháp luật và sự xuất hiện của các hoạt động PaaS mới sẽ tiếp tục. Các tổ chức phải nhận ra rằng mặc dù các vụ triệt phá làm gián đoạn các dịch vụ riêng lẻ, nhưng hệ sinh thái cơ bản vẫn kiên cường. Điều này đòi hỏi một sự thay đổi hướng tới một tư thế phòng thủ chủ động, dựa trên thông tin tình báo mối đe dọa, liên tục thích ứng với các TTP mới nổi thay vì chỉ phản ứng với các sự cố trong quá khứ. Trọng tâm phải là hiểu được tư duy của kẻ tấn công và kiểm tra các biện pháp phòng thủ chống lại các kịch bản đang phát triển đó.