Tin tức - 25 giờ truy lùng tin tặc-Thư giãn sảng khoái, làm việc say mê!

Bkis đã khống chế được hai trong 8 máy chủ điều khiển mạng máy tính ma để lợi dụng 167.000 máy tính tham gia vào cuộc tấn công tin học này. Lần theo dấu vết, Bkis đã tìm ra địa chỉ IP của máy chủ gốc. Với việc xác định nguồn tấn công, ông Nguyễn Minh Đức, giám đốc công nghệ BKIS cho rằng khả năng tìm ra hacker là hoàn toàn có thể.

Truy tìm địa chỉ phát tán mã độc

Kể từ 4/7, nhiều website chính phủ của Mỹ và Hàn Quốc bị các hacker tấn công từ chối dịch vụ DDoS một cách dồn dập, khiến hệ thống thông tin liên quan tê liệt hoặc không thể hoạt động bình thường.

Vì là thành viên trong Tổ chức cứu hộ khẩn cấp sự cố máy tính Khu vực Châu Á - Thái Bình Dương (APERT), Bkis đã nhận được mẫu và đề nghị phân tích virus từ Tổ chức cứu hộ khẩn cấp sự cố máy tính của Hàn Quốc (KrCERT) vào ngày 12/7. Ngay khi nhận được đề nghị phân tích virus, Bkis đã huy động các chuyên gia giỏi nhất vào cuộc.

Một virus máy tính như một phần mềm. Vì vậy, khi phân tích virus, các chuyên gia Bkis phải tiến hành dịch ngược mã lệnh, để xem virus được viết ra làm việc gì. Các chuyên gia cũng sử dụng các công cụ phân tích và dò tìm trong mã ra lệnh cho virus xóa file, ghi đè lên file hệ thống, ăn cắp mật khẩu. Họ cũng lần tìm cả những thông tin cho biết virus này nhận lệnh từ đâu?

Ông Nguyễn Minh Đức (người đứng) và chuyên gia Bkis phân tích mẫu virus.

25 giờ đồng hồ liên tục, 10 chuyên gia an ninh mạng của Bkis đã tiến hành phân tích và phát hiện phần lớn module có trong virus sử dụng trong vụ tấn công vừa qua có thành phần giống mã độc MyDoom.HN, loại mã độc chỉ nhiễm các máy tính chạy hệ điều hành Windows, từng sử dụng lần đầu vào năm 2004 để tấn công từ chối dịch vụ.

Việc phân tích virus đã giúp Bkis lần ra dấu vết của 8 máy chủ điều khiển hệ thống botnet (mạng máy tính ma). Bằng biện pháp nghiệp vụ, Bkis đã khống chế hai trong số 8 máy chủ trên rồi lần theo dấu vết lưu tại đây xác định được giải IP (195.90.118.x) của máy chủ gốc (master sever), địa chỉ xuất phát các cuộc tấn công. Kết quả điều tra cho thấy, địa chỉ IP trên thuộc Vương quốc Anh.

Ngoài việc phát hiện ra địa chỉ IP của máy chủ gốc, Bkis còn thống kê, đã có 166.908 máy tính, từ 74 quốc gia, trong đó có Việt Nam, bị lợi dụng trong cuộc tấn công tin học vừa qua. Con số này khẳng định, quy mô của cuộc tấn công ngày càng được mở rộng và hoạt động tấn công là có tổ chức.

Ông Nguyễn Minh Đức, Giám đốc công nghệ của Bkis cho biết: “Cứ ba phút một lần, các máy tính bị nhiễm virus ngẫu nhiên chọn một trong 8 máy chủ để nhận lệnh điều khiển. Tại thời điểm tấn công cuối cùng, hacker đã ra lệnh từ máy chủ xóa sạch dữ liệu trên ổ cứng của các máy tính nạn nhân, gây thiệt hại lớn”. Ông Đức cho biết thêm, Việt Nam cùng nằm trong top 10 các quốc gia có máy tính bị lây nhiễm và bị xóa dữ liệu.

Có thể tìm ra kẻ chủ mưu vụ tấn công

Nhận được báo cáo của Bkis, Ủy ban Truyền thông Quốc gia Hàn Quốc (KCC), cơ quan quản lý viễn thông và truyền dân phát sóng Hàn Quốc đã ủng hộ báo cáo của Bkis và cho biết, cơ quan chức năng của nước này sẽ hợp tác với chính phủ Anh để điều tra nguồn gốc vụ tấn công. Dựa vào báo cáo của Bkis, Tổ chức KrCERT của Hàn Quốc và Cơ quan điều tra về tội phạm nguy hiểm Vương quốc Anh (SOCA) xác định chủ sở hữu địa chỉ IP này là Công ty Global Digital Broadcast (GDB), một nhà cung cấp dịch vụ truyền hình internet ở Anh.

Tuy nhiên, đại diện của GDB, Tim Wray cho biết, địa chỉ IP này đang được Công ty Digital Latin America (DLA), một đối tác của GDB, sử dụng và máy chủ thực sự điều khiển cuộc tấn công nằm ở trụ sở của DLA, tại Miami, Florida Mỹ. “Kết nối qua VPN khiến cho máy chủ gốc thể hiện là của DGB nhưng thực chất máy chủ nằm ở Trung tâm dữ liệu của DLA ở Miami”, Tim Wray nói.

Ngay khi được thông báo của nhà điều tra, DLA đã cho tiến hành kiểm tra máy chủ và phát hiện máy chứa rất nhiều virus. Trưởng ban tư vấn của DLA, Amaya Ariztoy tuyên bố máy chủ của họ có thể đã bị hack và công ty đang tiến hành điều tra nội bộ.

Về khả năng tìm ra tận gốc thủ phạm, hãng tin AFP dẫn lời ông Hong Min-Pyo, chủ tịch nhà cung cấp giải pháp bảo mật Hàn Quốc Shiftworks, cho biết, về kỹ thuật, không thể theo dấu kẻ đã khởi xướng các vụ tấn công. “Các vụ tấn công kiểu Ddos như thế này được thiết kế để che dấu tung tích người tấn công”, ông Hong Min-Pyo cho biết. Còn theo bài đăng trên blog công nghệ Financial Times, các nhà nghiên cứu đang hỗ trợ chính phủ Mỹ cho rằng khả năng bắt thủ phạm dưới 20%.

“Khi đã xác định nguồn tấn công, chúng tôi tin rằng việc tìm ra hacker là hoàn toàn có thể thực hiện được. Điều này phụ thuộc và chính phủ Mỹ và Hàn Quốc”, ông Nguyễn Minh Đức tin tưởng khả năng truy tìm thủ phạm và bày tỏ thiện chí tham gia quá trình điều tra nếu được đề nghị.

Vào tháng 10/2008, Bkis cùng phối hợp với Phòng điều tra tội phạm công nghệ cao C15 truy tìm thành công thủ phạm tấn công từ chối dịch vụ DdoS vào các website 5giay.vn và nhatnghe.com.

Theo Đất Việt