Kể từ khi phát minh mạng máy tính, hacker luôn cố gắng bất hợp pháp xâm nhập hệ thống và giành quyền kiểm soát các tài sản trên Web. Thường họ làm điều này bằng cách cố gắng lừa người dùng tải phần mềm bị nhiễm cho phép truy cập máy nạn nhân.
Nhưng nếu họ không cần lừa dỗ? Nếu họ phân phối virus qua kênh hợp pháp bằng cách chiếm đoạt bản cập nhật phần mềm? Điều này đã xảy ra khi hacker chiếm quyền phân phối bản cập nhật 5.33 của CCleaner vào lúc nào đó tháng 9 năm 2017 và Cisco phát hiện cuộc tấn công sau đó trong tháng.
Một chút về tấn công chuỗi cung ứng (Supply Chain Attacks)
Loại sự cố mà người dùng CCleaner vừa trải qua được gọi là tấn công chuỗi cung ứng. Hacker khai thác bảo mật của nhà phát triển (Avast, không kém), chèn malware của họ vào CCleaner, và mượt mà phát hành bản cập nhật 5.33 đến 700 nghìn máy tính. Malware bên trong không chỉ đưa tất cả máy tính này vào botnet mà còn nhắm vào hai mươi công ty công nghệ lớn khác (bao gồm Cisco), cố gắng lấy thông tin về hệ thống và hoạt động của chúng.
Đây là dạng trinh sát rất tinh vi chúng ta thường thấy từ các cơ quan chính phủ và thực thể tham nhũng khác có khả năng thuê đội ngũ coder giỏi.
Tấn công chuỗi cung ứng đặc biệt nguy hiểm vì phần mềm bị hỏng đến máy tính qua kênh hợp pháp. Hacker sẽ giành quyền truy cập trái phép vào các máy chủ này dùng cùng phương pháp họ dùng để đăng nhập bất kỳ máy chủ nào khác, thường bằng cách khai thác lỗ hổng trong phần mềm họ chạy hoặc dùng các dạng lừa đảo tinh vi (phishing).
Bạn có thể làm gì để ngăn chặn các cuộc tấn công này?
Vậy, chúng ta đã xác định trong tấn công chuỗi cung ứng, malware đến từ kênh hợp pháp. Điều này có nghĩa là ngay cả khi bạn làm mọi thứ có thể để ngăn nhiễm độc (như chỉ tải phần mềm từ nguồn tin cậy), bạn vẫn có thể thành nạn nhân của loại tấn công này mà không hề hay biết. Có lẽ khía cạnh đáng lo ngại nhất của loại tấn công này là việc gì có thể làm để ngăn chặn nó hoàn toàn nằm trong tay của thực thể phân phối phần mềm. Bạn thực tế không có quyền kiểm soát phòng ngừa.
Tuy nhiên, bạn có thể giảm thiểu thiệt hại của cuộc tấn công như vậy bằng cách liên tục cập nhật phần mềm. Tôi biết nghe có vẻ ngược ngạo vì bạn vẫn phụ thuộc vào nhà phân phối đã cho bạn phần mềm ban đầu. Nhưng vì chính họ là người bị hacker xâm phạm, họ cũng sẽ phát hành bản cập nhật "theo sau" (followup) cho phần mềm của họ.
Tuy nhiên, hãy cẩn trọng với phần mềm chưa được cập nhật trong một thời gian (vài tháng đến một năm). Rất có thể nhà phát triển đã bỏ dự án. Nhưng nếu phần mềm đó tự động cập nhật, hacker có thể tận dụng điều này và cho bạn bản sao bị nhiễm độc.
Vì nhà phát triển đã bỏ dự án, có khả năng họ sẽ không phát hành bản vá. Mặc dù bạn mong đợi dự án phần mềm bị bỏ sẽ tắt máy chủ cập nhật, điều này không luôn xảy ra. Đôi khi nhà phát triển cũng đặt các dự án khác trên cùng máy chủ có thể vẫn hoạt động.
Đây là điểm mấu chốt: Dù máy chủ không còn hoạt động, URL sẽ hết hạn tại một thời điểm. Sau đó tất cả những gì một người cần làm để phân phối malware qua kênh hợp pháp là mua tên miền DNS và đẩy phiên bản "mới" của họ. Điều duy nhất bạn có thể làm để ngăn chặn điều này là tắt bất kỳ cập nhật tự động nào trên phần mềm đã bị bỏ rơi.
Những chuyện như vậy hiếm khi xảy ra, nhưng nếu CCleaner có thể bị chiếm đoạt theo cách đó, không likely (có khả năng) tấn công chuỗi cung ứng đang trong xu hướng giảm. Ngược lại, chúng ta có thể mong đợi thấy sự kiện như thế này truyền cảm hứng hacker để để lại dấu ấn của riêng họ.
Bạn có lời khuyên nào khác có thể hữu ích trong kịch bản này? Hãy bàn luận trong bình luận!