Hãy tưởng tượng bạn đang viết email quan trọng cho công việc và đột ngột mất quyền truy cập mọi thứ. Hoặc nhận thông báo lỗi ác độc đòi hỏi Bitcoin để giải mã máy tính. Có nhiều kịch bản khác nhau, nhưng một điều giống nhau cho mọi tấn công ransomware - kẻ tấn công luôn cung cấp hướng dẫn lấy lại quyền truy cập. Tất nhiên, điều kiện duy nhất là bạn phải trả tiền chuộc lớn trước.
Một loại ransomware tàn khốc gọi là "Maze" đang hoành hành trong thế giới an ninh mạng. Đây là những gì bạn cần biết về Maze ransomware tấn công Cognizant.
Maze Ransomware Là Gì?
Maze ransomware xuất hiện dưới dạng chủng Windows, được phân phối qua email spam và exploit kit, đòi hỏi số lượng lớn Bitcoin hoặc tiền mã hóa để đổi lấy giải mã và khôi phục dữ liệu bị đánh cắp.
Các email đến với tiêu đề có vẻ vô hại như "Hóa đơn Verizon của bạn đã sẵn sàng xem" hoặc "Bỏ lỡ giao hàng" nhưng xuất phát từ tên miền độc hại. Tin đồn cho rằng Maze là ransomware dựa trên liên kết (affiliate-based) hoạt động qua mạng lưới các nhà phát triển chia sẻ lợi nhuận với các nhóm xâm nhập vào mạng công ty.
Để đưa ra chiến lược bảo vệ và hạn chế tiếp xúc với các tấn công tương tự, chúng ta nên suy ngẫm về vụ tấn công Maze trên Cognizant...
Tấn Công Maze Ransomware Trên Cognizant
Tháng 4 năm 2020, Cognizant, công ty Fortune 500 và một trong những nhà cung cấp dịch vụ IT lớn nhất toàn cầu, trở thành nạn nhân của vụ tấn công Maze tàn khốc gây gián đoạn dịch vụ nghiêm trọng trên toàn bộ hệ thống.
Do việc xóa thư mục nội bộ do tấn công này thực hiện, một số nhân viên Cognizant bị gián đoạn liên lạc, và đội ngũ kinh doanh bị bế tắc vì không có cách nào liên lạc với khách hàng và ngược lại.
Thực tế vi phạm dữ liệu Cognizant xảy ra khi công ty đang chuyển nhân viên làm việc từ xa do đại dịch Coronavirus khiến tình huống thêm khó khăn. Theo báo cáo của CRN, nhân viên bị buộc phải tìm cách khác liên lạc đồng nghiệp do mất quyền truy cập email.
"Không ai muốn bị tấn công ransomware," CEO Cognizant, Brian Humphries nói. "Tôi cá nhân không tin ai thực sự miễn dịch với nó, nhưng khác biệt nằm ở cách bạn quản lý nó. Chúng tôi cố gắng quản lý chuyên nghiệp và trưởng thành."
Công ty nhanh chóng ổn định tình hình bằng cách nhờ sự giúp đỡ của các chuyên gia an ninh mạng hàng đầu và đội ngũ bảo mật nội bộ. Tấn công mạng trên Cognizant cũng được báo cáo cho cơ quan thực thi pháp luật và khách hàng Cognizant được cung cấp cập nhật liên tục về Chỉ báo Đánh đổi (IOC).
Tuy nhiên, công ty vẫn chịu thiệt hại tài chính lớn do cuộc tấn công, lên tới 50-70 triệu USD doanh thu mất đi.
Tại Sao Maze Ransomware Là "Đôi Đe Dọa"?
Không chỉ bị ransomware tấn công đã đủ tệ, nhà phát minh ra Maze còn thêm một cái xoáy độc hại cho nạn nhân. Một chiến thuật độc ác gọi là "léo lẻo kép" (double extortion) được giới thiệu cùng tấn công Maze, nơi nạn nhân bị đe dọa rò rỉ dữ liệu đã bị xâm phạm nếu từ chối hợp tác và đáp ứng yêu cầu chuộc tiền.
Loại ransomware tiếng tăm này đúng là "đôi đe dọa" vì ngoài việc đóng băng truy cập mạng của nhân viên, nó còn tạo bản sao toàn bộ dữ liệu mạng và dùng để khai thác, dụ dỗ nạn nhân đáp ứng yêu cầu chuộc tiền.
Rất tiếc, chiến thuật施压 của nhóm Maze không dừng lại ở đó. Nghiên cứu gần đây cho thấy TA2101, nhóm đứng sau Maze ransomware, hiện đã phát hành trang web chuyên liệt kê tất cả nạn nhân không hợp tác và thường xuyên công bố mẫu dữ liệu bị đánh cắp như hình thức trừng phạt.
Cách Hạn Chế Vụ Việc Maze Ransomware
Giảm thiểu và loại bỏ rủi ro ransomware là quy trình đa mặt, kết hợp và tùy chỉnh các chiến lược dựa trên từng trường hợp và hồ sơ rủi ro của từng tổ chức. Dưới đây là các chiến lược phổ biến nhất giúp ngăn chặn tấn công Maze ngay từ đầu.
Thực Thi Danh Sách Trắng Ứng Dụng
Danh sách trắng ứng dụng là kỹ thuật giảm thiểu mối đe dọa chủ động, chỉ cho phép chương trình hoặc phần mềm được ủy quyền trước chạy, tất cả các chương trình khác bị chặn mặc định.
Kỹ thuật này giúp cực lớn trong việc nhận diện cố gắng thực thi mã độc bất hợp pháp và hỗ trợ ngăn cài đặt trái phép.
Vá Ứng Dụng Và Khuyết Tật Bảo Mật
Khuyết tật bảo mật nên được vá ngay khi phát hiện để ngăn chặn thao túng và lạm dụng bởi kẻ tấn công. Dưới đây là khung thời gian khuyến nghị để áp dụng bản vá kịp thời dựa trên mức độ nghiêm trọng:
- Rủi ro cực đoan: trong vòng 48 giờ sau khi bản vá được phát hành.
- Rủi ro cao: trong vòng hai tuần sau khi bản vá được phát hành.
- Rủi ro trung bình hoặc thấp: trong vòng một tháng sau khi bản vá được phát hành.
Cấu Hình Cài Đặt Macro Microsoft Office
Macro dùng để tự động hóa tác vụ thông thường nhưng đôi khi trở thành mục tiêu dễ dàng để vận chuyển mã độc vào hệ thống hoặc máy tính khi được kích hoạt. Cách tốt nhất là giữ chúng vô hiệu hóa nếu có thể hoặc để chúng được đánh giá, xem xét trước khi sử dụng.
Làm Cứng Ứng Dụng
Làm cứng ứng dụng là phương pháp bảo vệ ứng dụng và áp dụng các lớp bảo mật bổ sung để bảo vệ chúng khỏi đánh cắp. Ứng dụng Java rất dễ bị lỗ hổng bảo mật và có thể được kẻ đe dọa dùng làm điểm vào. Việc bảo vệ mạng của bạn bằng phương pháp này ở cấp độ ứng dụng là cấp thiết.
Hạn Chế Đặc Quyền Quản Trị
Đặc quyền quản trị cần được xử lý với sự thận trọng tối đa vì tài khoản admin có quyền truy cập mọi thứ. Luôn áp dụng Nguyên tắc Đặc Quyền Tối Thiểu (POLP) khi thiết lập truy cập và quyền hạn vì đó có thể là yếu tố then chốt giảm thiểu ransomware Maze hoặc bất kỳ tấn công mạng nào.
Vá Hệ Điều Hành
Theo quy tắc chung, bất kỳ ứng dụng, máy tính, và thiết bị mạng nào có lỗ hổng rủi ro cực đoan nên được vá trong vòng 48 giờ. Cũng rất quan trọng đảm bảo chỉ sử dụng phiên bản mới nhất của hệ điều hành và tránh các phiên bản không còn được hỗ trợ tại mọi chi phí.
Triển Khai Xác Thực Đa Yếu Tố
Xác thực đa yếu tố (MFA) thêm lớp bảo mật bổ sung vì nhiều thiết bị được ủy quyền cần thiết để đăng nhập vào giải pháp truy cập từ xa như ngân hàng trực tuyến hoặc bất kỳ hành động đặc quyền nào yêu cầu sử dụng thông tin nhạy cảm.
Bảo Vệ Trình Duyệt
Đảm bảo trình duyệt luôn được cập nhật, quảng cáo pop-up bị chặn, và cài đặt trình duyệt ngăn cài đặt tiện ích mở rộng không xác định.
Xác minh trang web bạn truy cập có hợp pháp bằng cách kiểm tra thanh địa chỉ. Chỉ nhớ, HTTPS an toàn còn HTTP kém an toàn hơn nhiều.
Sử Dụng Bảo Mật Email
Phương thức xâm nhập chính của ransomware Maze là qua email.
Triển khai xác thực đa yếu tố để thêm lớp bảo mật và đặt ngày hết hạn cho mật khẩu. Cũng hãy đào tạo bản thân và nhân viên không bao giờ mở email từ nguồn không xác định hoặc ít nhất không tải bất kỳ tệp đính kèm đáng ngờ nào. Đầu tư vào giải pháp bảo vệ email đảm bảo truyền tải email an toàn.
Tạo Sao Lưu Định Kỳ
Sao lưu dữ liệu là phần không thể thiếu của kế hoạch khôi phục thảm họa. Trong trường hợp bị tấn công, bằng cách khôi phục bản sao lưu thành công, bạn có thể dễ dàng giải mã dữ liệu gốc đã được sao lưu và bị hacker mã hóa. Ý tưởng tốt là thiết lập sao lưu tự động và tạo mật khẩu duy nhất, phức tạp cho nhân viên.
Chú Ý Endpoint Và Thông Tin Đăng Nhập Bị Ảnh Hưởng
Cuối cùng, nếu bất kỳ endpoint mạng nào của bạn bị ảnh hưởng bởi Maze ransomware, bạn nên nhanh chóng xác định tất cả thông tin đăng nhập được sử dụng trên chúng. Luôn giả định tất cả endpoint đều có sẵn và/hoặc bị xâm phạm bởi hacker. Nhật ký sự kiện Windows (Windows Event Log) sẽ hữu ích cho phân tích đăng nhập sau xâm phạm.
Bối Rối Về Tấn Công Maze Trên Cognizant
Vụ vi phạm Cognizant khiến nhà cung cấp giải pháp IT phải loay hoay khôi phục từ thiệt hại tài chính và dữ liệu khổng lồ. Tuy nhiên, với sự giúp đỡ của chuyên gia an ninh mạng hàng đầu, công ty nhanh chóng phục hồi sau cuộc tấn công tàn khốc này.
Vụ việc này chứng minh rõ ràng tấn công ransomware nguy hiểm như thế nào.
Ngoài Maze, còn hàng loạt tấn công ransomware khác do các kẻ đe dọa tàn bạo thực hiện hàng ngày. Tin tốt là, với sự chăm chỉ và thực hành bảo mật nghiêm ngặt, bất kỳ công ty nào cũng có thể giảm thiểu các cuộc tấn công này trước khi chúng xảy ra.