Cảnh báo nguy cơ từ mã độc tống tiền “The Gentlemen” và biện pháp phòng ngừa

Mã độc tống tiền là gì và “The Gentlemen” hoạt động như thế nào?

Ransomware là một dạng phần mềm độc hại được sử dụng để xâm nhập vào máy tính hoặc hệ thống mạng, sau đó mã hóa dữ liệu, làm gián đoạn hoạt động và yêu cầu nạn nhân trả tiền chuộc để khôi phục quyền truy cập. Với các biến thể hiện đại, đối tượng tấn công thường không dừng ở việc mã hóa dữ liệu mà còn âm thầm thu thập, sao chép thông tin quan trọng trước khi khóa hệ thống, tạo thành hình thức “tống tiền kép”.

“The Gentlemen” là nhóm mã độc tống tiền hoạt động theo mô hình ransomware-as-a-service (RaaS), có thể hiểu là nhóm phát triển công cụ ransomware và cung cấp cho các đối tượng khác sử dụng để tiến hành tấn công, sau đó chia sẻ lợi nhuận thu được. Phương thức hoạt động của “The Gentlemen” cho thấy tính tổ chức và mức độ tinh vi tương đối cao. Nhóm có thể thu thập thông tin về mục tiêu, sử dụng hoặc mua quyền truy cập trái phép đã có sẵn vào hệ thống; tìm cách chiếm quyền hệ thống ở mức cao; sử dụng phần mềm trung gian để tạo kết nối bí mật trong mạng nội bộ, di chuyển giữa các máy chủ và né tránh công cụ giám sát. Sau khi đã thâm nhập sâu, đối tượng vừa mã hóa dữ liệu vừa đánh cắp thông tin để gây sức ép buộc nạn nhân trả tiền chuộc.

Các con đường lây nhiễm ransomware thường gặp gồm email giả mạo có tệp đính kèm hoặc đường dẫn độc hại; phần mềm bẻ khóa, phần mềm không rõ nguồn gốc; thiết bị lưu trữ ngoài hoặc website có chứa mã độc; khai thác lỗ hổng bảo mật, dịch vụ truy cập từ xa cấu hình yếu; quảng cáo hoặc website bị chèn mã độc.

Thời gian gần đây, hoạt động tấn công bằng mã độc tống tiền (ransomware) nhằm vào cơ quan nhà nước và doanh nghiệp tiếp tục diễn biến phức tạp. Các cuộc tấn công ransomware tại khu vực Đông Nam Á có xu hướng gia tăng, trong đó nhóm “The Gentlemen” đã công khai dữ liệu của nhiều nạn nhân thuộc các lĩnh vực y tế, công nghệ, logistics, sản xuất điện tử và một số ngành nghề khác.

Hưng Yên có nhiều khu, cụm công nghiệp, tập trung số lượng lớn doanh nghiệp hoạt động trong các lĩnh vực điện - điện tử, cơ khí chế tạo, logistics, dệt may, chế biến nông sản, thực phẩm và nhiều ngành sản xuất, dịch vụ. Cùng với quá trình chuyển đổi số, việc sử dụng ngày càng nhiều hệ thống quản trị, cơ sở dữ liệu, phần mềm dùng chung và các dịch vụ kết nối internet làm tăng hiệu quả hoạt động nhưng đồng thời cũng mở rộng nguy cơ có thể bị tội phạm mạng khai thác.

Trước thực tế trên, Công an tỉnh Hưng Yên, nòng cốt là Phòng An ninh mạng đã chủ động triển khai các biện pháp hướng dẫn, rà quét, cảnh báo và hỗ trợ các cơ quan, đơn vị, doanh nghiệp trên địa bàn nâng cao năng lực phòng, chống tấn công mạng. Đến nay, đơn vị đã tổ chức hướng dẫn, kiểm tra trực tiếp và gửi văn bản cảnh báo tới hơn 85 cơ quan, sở, ngành và đơn vị sự nghiệp trên địa bàn tỉnh; đồng thời phối hợp rà quét lỗ hổng bảo mật, hướng dẫn xây dựng phương án phòng, chống ransomware cho hơn 120 doanh nghiệp lớn, trọng tâm là các doanh nghiệp FDI, doanh nghiệp sản xuất, logistics tại các khu công nghiệp như Thăng Long II, Phố Nối A, Yên Mỹ, Dệt may Phố Nối...

Công an tỉnh cũng đã tổ chức 06 buổi hội thảo, tập huấn chuyên đề cho hơn 1.200 lượt cán bộ phụ trách công nghệ thông tin, quản trị hệ thống của các cơ quan, đơn vị, doanh nghiệp, tập trung vào kỹ năng nhận diện phương thức, thủ đoạn tấn công mạng, xây dựng kịch bản ứng cứu sự cố và chủ động phòng ngừa nguy cơ bị mã độc tống tiền xâm nhập, mã hóa hoặc đánh cắp dữ liệu.

Đối với doanh nghiệp sản xuất, logistics, một cuộc tấn công ransomware có thể làm gián đoạn hệ thống quản lý, dây chuyền sản xuất, dữ liệu đơn hàng hoặc chuỗi cung ứng; kéo theo nguy cơ đình trệ hoạt động, thiệt hại tài chính, ảnh hưởng tiến độ hợp đồng và lộ bí mật kinh doanh. Đối với cơ quan hành chính, đơn vị sự nghiệp, nguy cơ tập trung vào việc gián đoạn dịch vụ công trực tuyến, mất hoặc rò rỉ dữ liệu cá nhân, ảnh hưởng đến công tác quản lý, điều hành và cung cấp dịch vụ cho người dân.

Cảnh báo và khuyến cáo phòng ngừa

Từ thực tiễn công tác phòng ngừa, rà quét và hỗ trợ xử lý các nguy cơ an ninh mạng trên địa bàn, Công an tỉnh Hưng Yên đề nghị các cơ quan, đơn vị, doanh nghiệp và người dân chủ động triển khai đồng bộ các biện pháp phòng ngừa, bảo đảm an toàn, an ninh thông tin, trong đó tập trung thực hiện một số nội dung sau:

Một là, thực hiện sao lưu dữ liệu định kỳ theo nguyên tắc 3-2-1, bảo đảm duy trì tối thiểu 03 bản sao dữ liệu trên 02 loại thiết bị hoặc môi trường lưu trữ khác nhau, trong đó có ít nhất 01 bản sao được lưu trữ ngoại tuyến, tách biệt với hệ thống mạng; thường xuyên kiểm tra, đánh giá khả năng khôi phục dữ liệu để bảo đảm có thể sử dụng khi xảy ra sự cố.

Hai là, thường xuyên cập nhật đầy đủ, kịp thời các bản vá bảo mật đối với hệ điều hành, phần mềm và các hệ thống, dịch vụ công nghệ thông tin, nhất là những hệ thống có kết nối trực tiếp với internet; không sử dụng các phần mềm, hệ điều hành đã hết thời hạn hỗ trợ hoặc không còn được cập nhật bản vá bảo mật.

Ba là, tăng cường bảo vệ tài khoản người dùng, đặc biệt là tài khoản quản trị hệ thống; triển khai xác thực đa yếu tố (MFA/2FA) đối với các tài khoản quản trị và các hệ thống cho phép truy cập từ xa như VPN, RDP. Hạn chế tối đa việc mở các cổng, dịch vụ truy cập từ xa trên internet khi không thực sự cần thiết.

Bốn là, thực hiện phân tách, phân đoạn mạng nội bộ phù hợp với chức năng, nhiệm vụ của từng hệ thống; hạn chế khả năng mã độc di chuyển ngang và lây lan từ thiết bị đầu cuối sang máy chủ, cơ sở dữ liệu và các hệ thống thông tin khác khi xảy ra sự cố.

Năm là, tăng cường công tác giám sát an ninh mạng; chủ động phát hiện, xử lý các dấu hiệu bất thường như đăng nhập trái phép, kết nối từ địa chỉ không xác định, hoạt động truy cập bất thường, sao chép hoặc truyền dữ liệu với khối lượng lớn. Đối với các cơ quan, đơn vị, doanh nghiệp chưa đủ điều kiện về nhân lực, trang thiết bị, cần chủ động phối hợp với đơn vị chuyên trách về an ninh mạng để được hướng dẫn, hỗ trợ.

Sáu là, xây dựng, hoàn thiện và thường xuyên cập nhật phương án, kịch bản ứng phó, xử lý sự cố an ninh mạng; xác định rõ trách nhiệm của từng bộ phận, cá nhân khi xảy ra sự cố, bảo đảm khả năng cô lập, khắc phục và khôi phục hoạt động của hệ thống trong thời gian sớm nhất. Đồng thời, chủ động đánh giá nguy cơ mất an toàn thông tin xuất phát từ nhà cung cấp, đối tác và các hệ thống có kết nối trong chuỗi cung ứng.

Bảy là, thường xuyên tổ chức tuyên truyền, tập huấn, nâng cao nhận thức và kỹ năng bảo đảm an toàn thông tin cho cán bộ, nhân viên. Chú trọng hướng dẫn nhận diện thư điện tử, tin nhắn, đường dẫn có dấu hiệu lừa đảo; không mở tệp đính kèm, truy cập đường dẫn không rõ nguồn gốc; không tự ý cài đặt, sử dụng phần mềm không được kiểm chứng hoặc không rõ nguồn gốc.

Tám là, khi phát hiện hoặc nghi ngờ hệ thống bị tấn công ransomware, cần khẩn trương cô lập thiết bị, hệ thống có dấu hiệu bị xâm nhập; bảo toàn dữ liệu, nhật ký và các dấu vết liên quan phục vụ công tác xác minh, xử lý; đồng thời thông báo, phối hợp với lực lượng Công an và đơn vị chuyên trách về an ninh mạng để được hướng dẫn, hỗ trợ xử lý. Không tự ý xóa dữ liệu, cài đặt lại hệ thống hoặc thực hiện các biện pháp có thể làm mất dấu vết phục vụ công tác điều tra. Không tự ý thực hiện việc trả tiền chuộc, bởi việc trả tiền không bảo đảm dữ liệu được khôi phục và không loại trừ nguy cơ tiếp tục bị tấn công, chiếm đoạt hoặc công khai dữ liệu.

Công an tỉnh Hưng Yên đề nghị các cơ quan, đơn vị, doanh nghiệp và người dân nâng cao ý thức, trách nhiệm trong bảo đảm an toàn, an ninh thông tin; chủ động phòng ngừa, phát hiện và xử lý kịp thời các nguy cơ, sự cố an ninh mạng, góp phần bảo vệ an toàn dữ liệu, duy trì hoạt động ổn định của hệ thống thông tin và phục vụ hiệu quả nhiệm vụ phát triển kinh tế - xã hội.