Cuộc tấn công mạng bằng máy bay không người lái đã xâm phạm mạng công ty

Chắc hẳn không ai ở công ty đầu tư chú ý đến tiếng vù vù của cánh máy bay không người lái ở trên đầu — hoặc nghe thấy tiếng hai chiếc máy bay thu nhỏ hạ cánh trên sân thượng — nếu chúng gây ra bất kỳ tiếng động nào.

Nhưng khi đến địa điểm đó, những chiếc máy bay không người lái bắt đầu tấn công và thực hiện nhiệm vụ bí mật của chúng là đột nhập vào mạng công ty.

Đây là câu chuyện có thật về một cuộc tấn công bằng máy bay không người lái dẫn đến vi phạm dữ liệu của công ty.

Chi tiết tấn công mạng bằng máy bay không người lái

Nhà nghiên cứu bảo mật Greg Linares, hay còn gọi là @Laughing_Mantis, giải thích về cuộc tấn công mạng dựa trên máy bay không người lái trong chuỗi các tweet gần đây. Mặc dù không trực tiếp tham gia vào cuộc điều tra, Linares cho biết ông đã tương tác với những người liên quan, đây cũng là một phần công việc của ông trong lĩnh vực tài chính.

Linares cho biết mọi thứ lần đầu tiên leo thang khi mục tiêu là một công ty tài chính ở Bờ Đông Hoa Kỳ chuyên về đầu tư tư nhân, phát hiện ra một số hoạt động bất thường trên trang Atlassian Confluence nội bộ của công ty. Đội ngũ bảo mật lưu ý rằng hoạt động bắt nguồn từ mạng của chính họ. Confluence là một công cụ cộng tác nơi các nhóm nội bộ tại một công ty chia sẻ thông tin khi họ làm việc cùng nhau. Đôi khi những nội dung này có thể bao gồm các chi tiết và dự án quan trọng, có tính rủi ro cao — và đây chính xác là thông tin mà những kẻ tấn công đang hy vọng tìm thấy.

Đội ngũ bảo mật của công ty đã cách ly máy chủ Confluence và bắt đầu ứng phó sự cố. Khi điều tra, họ đã phát hiện ra điều gì đó bất thường liên quan đến địa chỉ MAC của người dùng bị nghi ngờ, đây là một mã định danh phần cứng duy nhất. Địa chỉ MAC tiết lộ rằng người dùng được đề cập đã đăng nhập từ một thiết bị cách đó vài dặm. Tuy nhiên, cùng lúc đó, địa chỉ MAC giống hệt đã được sử dụng rất gần văn phòng của công ty. Trên thực tế gần đến mức thiết bị đó thực sự nằm trong phạm vi phủ sóng Wi-Fi.

Sau đó, những người ứng phó sự cố đã tiến hành theo dõi Wi-Fi nhúng để xem tín hiệu sao chép đến từ đâu. Linares bắt đầu câu chuyện sau:

Ảnh chụp màn hình các tweet của @Laughing_Mantis (được sử dụng với sự cho phép)

Theo dõi Wi-Fi đã dẫn đội ngũ bảo mật đến mái nhà của tòa nhà, và họ đã tìm thấy hai máy bay không người lái DJI đã được sửa đổi. Một trong số chúng đang mang theo thiết bị Wi-Fi Pineapple đã được sửa đổi, thiết bị này đang giả mạo mạng Wi-Fi mà nhân viên thường kết nối.

Wi-Fi Pineapple là một thiết bị có sẵn trên thị trường mà các quản trị viên bảo mật và hacker mũ trắng sử dụng để tiến hành kiểm tra thâm nhập, nhằm tìm ra bất kỳ điểm yếu nào trong hệ thống. Tuy nhiên, nó cũng có thể được sử dụng như một điểm truy cập lừa đảo để thực hiện các cuộc tấn công trung gian (MitM). Trong kiểu tấn công này, kẻ tấn công bí mật chặn và chuyển tiếp tin nhắn giữa hai bên để họ tin rằng đang liên lạc trực tiếp (và duy nhất) với nhau.

Trong trường hợp này, một thiết bị của nhân viên được kết nối với mạng Wi-Fi giả do Wi-Fi Pineapple cung cấp và những kẻ tấn công sau đó có thể chặn dữ liệu — bao gồm thông tin đăng nhập và thông tin Wi-Fi của chúng.

Matrice, một mẫu máy bay không người lái, là máy bay không người lái thứ hai tham gia vào cuộc tấn công và “công cụ” của nó bao gồm “một Raspberry Pi, một số pin, một máy tính xách tay mini dòng GPD, một modem 4G và một thiết bị Wi-Fi khác”. Những thứ này có thể được sử dụng cho các mục đích hợp pháp như kiểm tra an ninh mạng — và các mục đích bất hợp pháp — như xâm nhập vào mạng Wi-Fi, như đã xảy ra trong trường hợp này để thực hiện đầu tư cho một mục tiêu.

Có nhiều cuộc tấn công mạng từ bầu trời không?

Các cuộc tấn công mạng do máy bay không người lái gây ra đang trở nên thường xuyên hơn? Nhà nghiên cứu mối đe dọa nổi tiếng nhất của BlackBerry Dmitry Bestuzhev tin rằng chúng đang xảy ra và nói rằng xu hướng này sẽ không làm chúng ta ngạc nhiên. “Các cuộc tấn công bằng máy bay không người lái là một tiêu chuẩn mới. Chúng đã từng là thiết bị cần thiết trong các cuộc xung đột thực tế và hiện là một phần của bề mặt tấn công mạng.”

Đội ngũ Nghiên cứu Mối đe dọa của BlackBerry đã biết về các trường hợp trước đây khi máy bay không người lái bay bên ngoài cửa sổ của các tòa nhà cao tầng có nhân viên của công ty mục tiêu, có khả năng cố gắng chụp ảnh hoặc ghi lại thông tin nhạy cảm được hiển thị trên màn hình máy tính, màn hình hoặc bảng trắng. Có lẽ chúng ta nên thêm điều này vào danh sách 8 cách kỳ lạ mà nhân viên có thể vô tình làm lộ dữ liệu.

Ngoài ra, kiểu tấn công này chỉ ra một xu hướng khác đang hình thành trong một khoảng thời gian, trong đó một mối đe dọa mới từ thực tế dẫn đến một cuộc tấn công trong thế giới mạng.

Drone Cyberattack tiết lộ liên kết vật lý và an ninh mạng

Giám đốc An ninh Thông tin của BlackBerry John McClurg bắt đầu nói về sự hội tụ của an ninh vật lý và an ninh mạng từ nhiều thập kỷ trước khi ông còn là đặc vụ giám sát và giám đốc chi nhánh của FBI. Một ví dụ mà anh ấy nhớ lại có liên quan đến một “phreaker” – là tiếng lóng chỉ kẻ xâm nhập vào mạng viễn thông.

“Trong khi cố gắng giành quyền truy cập vào Văn phòng trung tâm của công ty điện thoại, kẻ lừa đảo đã chọn một ổ khóa vật lý 30 năm tuổi, rỉ sét. Khi vào bên trong, anh ta nhanh chóng đánh cắp mật khẩu, hướng dẫn sử dụng hệ thống và thiết bị. Điều này cho phép anh ta tiến hành một cuộc tấn công mạng tinh vi hơn nhiều vào căn hộ của mình so với những gì anh ta có thể thực hiện trừ lỗ hổng vật lý mà anh ta đã khai thác ngay từ đầu.”

Bất chấp nhiều năm xảy ra các cuộc tấn công mạng liên quan đến các lỗ hổng bảo mật vật lý, hầu hết việc cố gắng bảo mật vật lý và an ninh mạng vẫn rất kín kẽ, tạo ra các điểm mù. McClurg kêu gọi các tổ chức xem xét cách hội tụ các khía cạnh bảo mật này để có thể giảm thiểu rủi ro.

“Cơ sở hạ tầng hỗ trợ của chương trình truy cập bảo mật vật lý hiện nằm trên mạng. Việc đặt các màn hình phản ánh trạng thái của hệ thống đó bên cạnh những màn hình đang được người vận hành an ninh mạng giám sát — trong vài giờ hoạt động của SOC — tạo cơ hội đào tạo chéo và tận dụng số lượng nhân viên nếu không thì có thể phải nhân đôi số lượng.

“Và mối tương quan nhanh hơn về mức độ liên quan có thể có giữa các báo cáo vật lý và những gì được nhìn thấy trong môi trường mạng có thể bị ảnh hưởng với tốc độ nhanh hơn.”

Cơ quan An ninh mạng và Cơ sở hạ tầng (CISA) minh họa trực quan mối liên hệ giữa bảo mật vật lý — đặc biệt là các thiết bị Internet of Things (IoT) — và an ninh mạng, trong sơ đồ bên dưới.

Biểu đồ — CISA.gov