Beaconing trong bảo mật là gì?
Tội phạm mạng có nhiều dạng, từ các cuộc tấn công bằng mạng botnet cho đến phần mềm tống tiền. Bất chấp sự khác biệt của chúng, nhiều vụ tấn công trong số này bắt đầu tương tự nhau và báo hiệu phần mềm độc hại là một trong những chủ đề phổ biến mà bạn sẽ thấy. Vậy, đèn hiệu phần mềm độc hại là gì và chính xác thì nó làm gì?
Giống như cách một đèn hiệu trong ngọn hải đăng báo hiệu cho các tàu gần đó, đèn hiệu trong mạng là một tín hiệu kỹ thuật số định kỳ. Trong trường hợp báo hiệu phần mềm độc hại, những tín hiệu đó đi giữa một thiết bị bị nhiễm và một máy chủ điều khiển và kiểm soát (C2) ở một nơi khác. Điều đó cho phép tội phạm mạng kiểm soát phần mềm độc hại từ xa.
Mục Lục
Các loại Beaconing khác nhau
Báo hiệu phần mềm độc hại cho phép tin tặc biết rằng họ đã lây nhiễm thành công hệ thống để sau đó họ có thể gửi lệnh và thực hiện một cuộc tấn công. Đây thường là dấu hiệu đầu tiên của các cuộc tấn công từ chối dịch vụ phân tán (DDoS), đã tăng 55% từ năm 2020 đến năm 2021. Các báo hiệu này cũng có nhiều dạng khác nhau.
Một trong những kiểu phổ biến nhất là đèn hiệu DNS. Máy chủ bị nhiễm sử dụng các yêu cầu thông thường của hệ thống tên miền (DNS) để ẩn đèn hiệu của nó. Bằng cách đó, các tín hiệu giữa phần mềm độc hại và máy chủ C2 trông giống như giao tiếp mạng bình thường.
Một số hoạt động báo hiệu phần mềm độc hại sử dụng HTTPS, giao thức truyền thông tin được mã hóa mà bạn thường thấy trong việc sử dụng Internet hàng ngày. Vì HTTPS mã hóa hầu hết mọi thông tin giữa máy khách và dịch vụ web nên nó có thể là một nơi lý tưởng để che giấu các hành động độc hại.
Bất kể là loại nào, tất cả đèn hiệu phần mềm độc hại đều cố gắng che giấu giao tiếp giữa tác nhân đe dọa và thiết bị bị nhiễm. Tội phạm mạng nếu che giấu thành công hoạt động báo hiệu của chúng có thể chiếm lấy máy bị nhiễm, gây ra thiệt hại đáng kể.
Ví dụ về các cuộc tấn công Beaconing
Một số cuộc tấn công mạng quan trọng nhất trong lịch sử gần đây bắt đầu bằng đèn hiệu phần mềm độc hại. Ví dụ, vụ hack SolarWinds khổng lồ đã sử dụng một số đèn hiệu để tải các phần của phần mềm độc hại phức tạp lên các thiết bị khác nhau. Cuối cùng, tin tặc đã tấn công hàng nghìn khách hàng.
Các cuộc tấn công khác sử dụng đèn hiệu để lây nhiễm nhiều thiết bị để thực hiện hack DDoS. Tội phạm mạng lây nhiễm hàng trăm hoặc thậm chí hàng nghìn thiết bị, sau đó gửi tín hiệu thông qua hoạt động báo hiệu để khiến tất cả chúng hoạt động cùng một lúc. Một trong những cuộc tấn công này đã khiến Tạp chí InfoSecurity không thể truy cập được trong một thời gian ngắn vào năm 2021.
Một trong những kỹ thuật tấn công bằng đèn hiệu phổ biến nhất sử dụng Cobalt Strike, một công cụ kiểm tra khả năng thâm nhập. Các cuộc tấn công nhằm che giấu hoạt động báo hiệu đã tăng 161% từ năm 2019 đến năm 2020.
Cách các chuyên gia bảo mật ngăn chặn các cuộc tấn công báo hiệu
Các cuộc tấn công bằng đèn hiệu có thể gây ra những hậu quả nghiêm trọng, nhưng chúng không phải là không thể ngăn chặn. Một trong những cách tốt nhất mà các đội bảo mật bảo vệ chống lại chúng là tìm kiếm chính hoạt động đó. Trong khi tự phát sóng đến máy chủ C2, phần mềm độc hại cũng có thể vô tình tiết lộ vị trí của nó cho các nhóm bảo mật.
Một số phần mềm độc hại có thể ẩn khỏi phần mềm chống vi-rút theo yêu cầu của Chứng nhận Mô hình Bảo mật Không gian mạng (CMMC) và các quy định khác, nhưng hoạt động báo hiệu khó che giấu hơn. Những tín hiệu này ngắn và đều đặn, làm cho chúng nổi bật so với truyền thông mạng liên tục, bình thường. Các công cụ bảo mật tự động có thể tìm kiếm các mẫu để phát hiện ra những tín hiệu này và tìm ra phần mềm độc hại.
Cách bảo vệ tốt nhất chống lại sự báo hiệu của phần mềm độc hại là ngăn chặn nó lây nhiễm vào thiết bị ngay từ đầu. Tường lửa mạnh mẽ hơn, phát hiện mối đe dọa và hành vi người dùng an toàn hơn có thể ngăn phần mềm độc hại xâm nhập vào máy tính. Nó không thể báo hiệu cho một tác nhân đe dọa nếu nó không có trên một thiết bị.
Nhiều cuộc tấn công hủy diệt bắt đầu với hoạt động báo hiệu
Beaconing là một dấu hiệu đầu tiên phổ biến của một cuộc tấn công lớn hơn, như sự cố ransomware SolarWinds. Nó đã trở nên dễ dàng hơn để che giấu, làm cho nó trở thành một lựa chọn phổ biến hơn cho tội phạm mạng. Dù có vấn đề như xu hướng này, các chuyên gia bảo mật vẫn có thể bảo vệ chống lại nó.
Có kiến thức phong phú về đèn hiệu là gì và cách tội phạm mạng sử dụng nó có thể giữ cho các công ty an toàn. Hiểu được các mối đe dọa ảnh hưởng đến hệ thống như thế nào giúp bạn dễ dàng phát hiện và bảo vệ chúng hơn.
Đọc tiếp
Giới thiệu về tác giả
