Baiting là gì?
Baiting là kỹ thuật tấn công kỹ thuật xã hội (social engineering) – kẻ tấn công sử dụng lợi ích hấp dẫn (mồi) để lừa nạn nhân tự nguyện vi phạm chính sách bảo mật: cắm USB lạ, tải file độc, nhập credential, click link độc.
Cơ chế hoạt động
- Mồi (Bait): USB drive gắn nhãn "Salary 2024", "Confidential – M&A Plan", "Free Movie", "Software Crack", "Crypto Wallet Backup".
- Triển khai: Rơi USB ở bãi đỗ xe, thang máy, sảnh, quán cà phê gần công ty mục tiêu. Hoặc gửi link tải "crack software", "free course", "leaked database" qua email/social media.
- Kích hoạt: Nạn nhân cắm USB / click link / chạy file → mã độc thực thi (autorun, exploit LNK, macro, MSI, script).
- Kết quả: Cài backdoor/ransomware/keylogger, cắp credential, lateral movement, data exfil.
Các dạng Baiting phổ biến
| Loại | Mồi | Vector | Ví dụ thực tế |
|---|---|---|---|
| Physical | USB drive, external HDD, cable sạc bị nhúng chip (O.MG Cable) | Rơi tại nơi công cộng, tặng quà hội nghị | Stuxnet (USB lan qua air-gap), các nhóm APT.drop USB ở bãi đỗ xe bộ đội |
| Digital (Online) | Free software crack, keygen, game mod, leaked database, "exclusive" report | Torrent, forum, GitHub gist, email attachment, malvertising | Fake "Cobalt Strike crack" cài ransomware; "Free Netflix account" steal cookie |
| Hybrid | QR code trên poster/flyer "Scan để nhận quà" → trang phishing / tải APK độc | QR code vật lý + payload số | Quishing (QR phishing) tăng mạnh 2023-2024 |
Baiting vs Phishing vs Pretexting
- Phishing: Email/msg giả mạo thực thể uy tín → lừa click/link/nhập pass (urgency, fear).
- Pretexting: Tạo bối cảnh giả (giả IT support, auditor, recruiter) → xây dựng niềm tin → xin thông tin.
- Baiting: Dùng ham muốn/tò mò (miễn phí, độc quyền, lợi ích cá nhân) → nạn nhân tự tìm đến mồi.
Ví dụ nổi tiếng
- Stuxnet (2010): USB drop tại nhà máy hạt nhân Natanz – nhân viên cắm USB tìm thấy → lan qua air-gap.
- Operation Aurora (2009): Baiting qua lỗi IE + compromised website – nhưng vector ban đầu là spear-phishing.
- RSA Breach (2011): Email có file Excel "2011 Recruitment Plan.xls" chứa exploit Flash (CVE-2011-0609) – baiting qua file attachment.
- BadUSB / Rubber Ducky: Thiết bị HID giả lập bàn phím – inject keystroke trong mili-giây.
Phòng chống Baiting
- Chính sách & Đào tạo: "Không cắm USB không rõ nguồn gốc", "Không tải crack/keygen", "Báo cáo thiết bị lạ cho IT/Security". Phishing simulation bao gồm baiting scenario.
- Kiểm soát kỹ thuật (Technical Controls):
- Disable AutoRun/AutoPlay (GPO: `Turn off Autoplay` = Enabled).
- USB Port Blocking / Endpoint USB Control (Symantec DLP, Microsoft Defender for Endpoint Device Control, CrowdStrike USB policy).
- Application Control: AppLocker / WDAC / SELinux – chỉ cho phép signed/approved binary chạy.
- EDR/XDR: Detect suspicious process tree (explorer.exe → powershell.exe → encoded command).
- Network: DNS filtering, SSL inspection, block known malicious domain/IP.
- Physical Security: Camera, badge reader, mantrap tại server room; policy "Clean Desk" – không để USB/laptop unattended.
- Incident Response: Playbook cho "USB drop found", "User clicked suspicious link" – isolate, forensic, rotate credential.
Kết luận
Baiting khai thác tâm lý con người (tò mò, ham muốn, lười đọc chính sách) – không thể phòng 100% bằng kỹ thuật. Cần kết hợp: Văn hóa bảo mật (Security Culture) + Kiểm soát endpoint cứng + Giám sát mạng/phân tích hành vi + Quy trình ứng phó nhanh.