Chân dung Lapsus$, nhóm tin tặc đứng sau vụ tấn công Microsoft – Tin Công Nghệ

Lapsus$ được cho rằng nguy cơ rất lớn đối với những doanh nghiệp trong năm 2022. Hàng loạt các tên tuổi lớn như Microsoft, Nvidia, Okta, LG… công nhận là nạn nhân của Lapsus$ chỉ trong khoảng 3 tháng. Dù tháng 3 sắp kết thúc, người ta vẫn biết rất ít về nhóm này.

Không giống với những tin tặc thành đạt khác thời gian gần đây, Lapsus$ tỏ ra độc đáo vì không dùng mã độc tống tiền mà sử dụng các phương thức khác để đòi tiền mục tiêu. Sau vụ tiến công vào công ty định danh Okta, nhóm thông báo tạm thời “rửa tay gác kiếm” vì có vài thành viên đi… nghỉ mát đến hết tháng.

Ai đứng sau Lapsus$?

Theo chuyên gia bảo mật Marcus Hutchins, Lapsus$ là nhóm tin tặc “vừa hoàn mỹ vừa không”. Một mặt, chúng chịu trách nhiệm của nhiều vụ tiến công vào các mục tiêu cao cấp mà ngay khi những băng nhóm tội phạm mạng giàu kinh nghiệm khác cũng không đụng tới. Một mặt, chúng tỏ ra chủ quan trong hoạt động. Thay vì ẩn mình trong bóng tối, chúng lại quảng cáo hoạt động của mình trên kênh Telegram và thậm chí cung cấp một kênh để bình chọn rò rỉ dữ liệu nào tiếp theo.

Hutchins cho rằng “chúng hình như chỉ là trẻ nhỏ nhưng lại có trách nhiệm tấn công các đơn vị hàng đầu”. Nhà nghiên cứu bảo mật Bill Demirkapi cũng đồng tình. Lapsus$ khoe khoang về việc đã tiếp cận được máy server nội bộ của Microsoft trong khi vẫn đang trích xuất mã nguồn của hãng.

Hãng bảo mật Check Point nói hacker đến từ Bồ Đào Nha và Brazil. Vụ xâm phạm lớn đầu tiên diễn ra vào tháng 12/2021, nhằm vào Bộ Y tế Brazil và các tổ chức nhà nước khác. Một báo cáo khác từ Bloomberg gợi ý toàn bộ hoạt động do 1 thiếu niên 16 tuổi tại Anh cầm đầu, còn các thành viên khác sống tại Anh, Brazil.

Nhà hành pháp Anh đã bắt giữ 7 người vào trong ngày 24/3 do liên quan đến nhóm Lapsus$. Những người bị bắt trong độ tuổi 16 đến 21, đều được thả ra nhưng cấm ra khỏi nơi cư trú.

Cách thức hoạt động

Nghiên cứu của Microsoft tháng 3/2022 nêu chi tiết cuộc thanh tra của hãng với nhóm hacker này, bật mí cách thức hoạt động của group và làm làm sao chúng xâm nhập các tổ chức lớn trên thế giới. Dù không nêu tên người đứng sau, Microsoft nhận định Lapsus$ dựa trên mô hình phá hoại và tống tiền thuần túy. Các phương thức tiến công mà chúng sử dụng rất đa dạng, phức tạp. Nhận thức của chúng dường như không tương xứng với mức độ thành thạo và tinh vi khi tấn công.

Lapsus$ sử dụng cách thức tấn công phi kỹ thuật (social engineering) giúp hacker nắm được tin tức về nhân viên và công ty. Mục tiêu của group là quyền truy cập doanh nghiệp thông qua các thông tin đăng nhập bị đánh cắp, tạo điều kiện để đánh cắp dữ liệu và tấn công phá hoại.

Để có được quyền truy cập, Lapsus$ vận dụng nhiều cách khác nhau, cho dù là triển khai trình đánh cắp mật khẩu Redline, kiếm tìm kho lưu giữ mã công khai để tìm tin tức đăng nhập bị lộ; mua tin tức đăng nhập qua môi giới; hay đơn giản đặc biệt là trả tiền cho nhân viên công ty.

Nhóm sử dụng giao thức desktop từ xa (RDP) và hạ tầng desktop ảo (VDI) như Citrix để truy cập môi trường của 1 doanh nghiệp. Chúng vượt qua xác thực đa yếu tố (MFA) bằng những kỹ thuật như spam chủ tài khoản chính chủ bằng lời nhắc MFA sau khi đánh cắp mật khẩu của họ. Trong một đoạn chat trên Telegram, hacker cho thấy gửi spam lời nhắc MFA trong lúc chuyên viên đang ngủ là cách đơn giản nhất để họ chấp thuận vì họ đều muốn tắt thông báo.

Theo Microsoft, Lapsus$ còn sử dụng mạng riêng ảo (VPN) rất thông minh, cho thấy chúng hiểu rõ cách những dịch vụ theo dõi đám mây phát hiện hành vi đáng ngờ như thế nào. Nhóm cũng tạo các máy ảo (virtual machine) trên hạ tầng đám mây của nạn nhân để tiền hành các vụ tấn công kế đến trước lúc khóa doanh nghiệp khỏi nền tảng đám mây. Sau khi Lapsus$ khống chế hoàn toàn, chúng bảo hiểm tất cả email đến và đi đều được chuyển tiếp về hạ tầng riêng của chúng, nơi chúng khai thác nhiều dữ liệu nhất cũng có thể trước khi xóa khỏi hệ thống và tài nguyên. Trong một số trường hợp, Lapsus$ sau đó đòi hỏi nạn nhân trả tiền để không ban bố thông tin.

Thành quả

Hai chuyên gia bảo mật Soufiane Tahiri và Anis Haboubi đã phân tích một trong những ví được nghĩ rằng liên quan với Lapsus$, phát giác số dư là 3.790,62159317 Bitcoin, tương đương 123,9 triệu bảng Anh. Con số này chưa được Lapsus$ hay tổ chức nào xác nhận.

Du Lam (Theo IT Pro)

tấn công mạng, microsoft bị hack, mã nguồn microsoft, nhóm Lapsus$

Nội dung Chân dung Lapsus$, nhóm tin tặc đứng sau vụ tấn công Microsoft – Tin Công Nghệ được tổng hợp sưu tầm biên tập bởi: napmucmayintannoi.com. Mọi ý kiến vui lòng gửi Liên Hệ cho napmucmayintannoi.com để điều chỉnh. napmucmayintannoi.com tks.