Đối tượng tấn công mạng sân bay định vô hiệu hóa hệ thống

Các màn hình chỉ dẫn thông tin tại các quầy làm thủ tục chuyến bay (check-in) của các hãng hàng không ở sân bay Nội Bài đều bị tắt - Ảnh: THÂN HOÀNG

Trong thông báo phát đi chiều tối 1-8, Hiệp hội An toàn thông tin Việt Nam (VNISA) đánh giá đây là cuộc tấn công mạng có chuẩn bị công phu (sử dụng mã độc không bị nhận diện bởi các phần mềm chống virus); xâm nhập cả chiều sâu (kiểm soát cả một số máy chủ quan trọng như cổng thông tin, cơ sở dữ liệu khách hàng) và chiều rộng (nhiều máy tính ở các bộ phận chức năng khác nhau, vùng miền khác nhau đều bị nhiễm); phát động tấn công đồng loạt và có liên quan tới các sự kiện kinh tế, chính trị.

VNISA nhận định: “Đến thời điểm này có thể khẳng định cuộc tấn công vào hệ thống Vietnam Airlines là dạng tấn công APT, có chủ đích rõ ràng, được chuẩn bị kỹ lưỡng, diễn tiến kéo dài trước khi bùng phát vào ngày 29-7”.

Đặc biệt, VNISA cho rằng có dấu hiệu cho thấy có thể hệ thống bị tin tặc xâm nhập từ giữa năm 2014, tuy nhiên mã độc sử dụng trong đợt tấn công hoàn toàn mới, được thiết kế riêng cho cuộc tấn công ngày 29-7 và vượt qua được các công cụ giám sát an ninh thông thường (như các phần mềm chống virus).

Tuy nhiên, theo VNISA, “những dấu vết để lại hiện trường chưa đủ cơ sở để kết luận chính xác đối tượng tấn công là ai. Tuy nhiên có thể khẳng định đối tượng am hiểu hệ thống CNTT của các cụm cảng hàng không cả ở mức cấu trúc thông tin lẫn cơ chế vận hành thiết bị và có ý định khống chế vô hiệu hóa hoàn toàn dữ liệu hệ thống”.

VNISA cho biết: Cùng với các cơ quan chức năng, các thành viên VNISA cùng với đội ngũ chuyên gia an ninh mạng của nhiều đơn vị, tổ chức ở Việt Nam vào cuộc đã bước đầu xác định được tác nhân chính (mã độc) phá hoại hệ thống, xác định cửa hậu backdoor đã bị khai thác từ khá lâu trước thời điểm phát động tấn công.

Đội ngũ chuyên gia cũng đưa ra các phương án xử lý mã độc, khôi phục hoạt động hệ thống và từng bước đánh giá đề xuất các giải pháp ngăn chặn sự cố tương tự có thể xảy ra trong tương lai, tìm hiểu rà soát tổng thể hệ thống.

VNISA lưu ý các đơn vị, tổ chức, doanh nghiệp... trong trường hợp phát hiện hệ thống CNTT có dấu hiệu bị tấn công thì cần thực hiện một số bước cơ bản như sau:

- Ghi nhận và cung cấp các hiện tượng, dấu hiệu ban đầu cho đơn vị chuyên trách xử lý sự cố an ninh thông tin. Ví dụ: chụp màn hình thể hiện hệ thống bị nhiễm mã độc, thu thập log và gửi cho đội ngũ chuyên gia.

- Nhanh chóng cách ly hệ thống có dấu hiệu bị tấn công, đồng thời giữ nguyên hiện trường hệ thống đang bị nhiễm, tạm thời sử dụng hệ thống máy chủ dự phòng cho các hệ thống chính.

- Tiến hành thay đổi mật khẩu toàn hệ thống, đặc biệt là các hệ thống quan trọng như domain, cơ sở dữ liệu, ứng dụng core… Backup dữ liệu mới nhất sang các bộ lưu trữ ngoài.

- Liên lạc ngay với đơn vị chuyên trách xử lý sự cố ANTT như VNCERT, Hiệp hội ATTT Việt Nam - VNISA, Cục An ninh mạng - Bộ Công an...