Mới đây, ông Nguyễn Minh Đức (Giám đốc Bộ phận An ninh mạng Bkav) cho biết, đơn vị này đã tìm ra nguồn gốc của 3 máy chủ điều khiển (C&C Server) dùng để tấn công từ chối dịch vụ các báo điện tử trong thời gian gần đây. Được biết, trong số ba máy chủ bị phát hiện này, chỉ có duy nhất một máy chủ hoạt động có địa chỉ IP ở Đức.
Thủ phạm tiến hành cài mã độc vào các máy tính của người dùng ở khắp nơi trên thế giới sau đó sử dụng các máy tính này để thực hiện tấn công DdoS các trang báo mạng ở Việt Nam. Chính việc truy cập cùng lúc của quá nhiều máy tính đã gây ra sự quá tải cho server và dẫn đến tình trạng từ chối dịch vụ. Mã độc biến các máy tính nạn nhân thành "máy tính ma" được giấu trong thư mục Common Files của hệ điều hành Windows. Nó khởi tạo một dịch vụ giả mạo Bluetooth Service để chạy lên lúc máy tính khởi động.
Theo Bkav, sau khi bị lây nhiễm, mã độc dùng để tấn công DDoS sẽ khởi tạo một dịch vụ giả mạo Bluetooth Service để chạy lên lúc máy tính khởi động
Bkav đã tiến hành phân tích mã độc và phát hiện ra, tại thời điểm này, mã độc nhận lệnh tấn công chính xác vào các tên miền sau của báo Vietnamnet (tại các địa chỉ: vietnamnet.vn, m.vietnamnet.vn, batdongsan.vietnamnet.vn, m.batdongsan.vietnamnet.vn), báo Dân trí (tại các địa chỉ: dantri.vn, s.dantri.com.vn, m.dantri.com.vn, dantri.com, dantri.com.vn), báo Tuổi trẻ (tuoitre.vn, sevice.tuoitre.vn, wa2.tuoitre.vn, m.tuoitre.vn, wa3.tuoitre.vn, wa4.tuoitre.vn) và khiến cho các server này bị tê liệt hoàn toàn, khiến cho người dùng không thế truy cập được. "Hiện Bkav đã cập nhật mẫu virus vào phần mềm diệt virus Bkav từ ngày 10/7 và thông báo cho các đơn vị liên quan để xử lý các máy chủ này", ông Đức nói.
Bên cạnh đó, theo anh Nguyễn Hồng Phúc (thành viên diễn đàn bảo mật HVA Online) sáng ngày 16/7, máy chủ điều khiển mạng máy tính tấn công một số báo điện tử ở Việt Nam như Dân trí, Tuổi trẻ, VietnamNet đã tạm thời bị vô hiệu hóa. "Đây là nỗ lực của diễn đàn HVA Online và cộng đồng mạng trong việc trợ giúp các trang báo điện tử Việt Nam trước cuộc tấn công lớn của tin tặc bằng hình thức DDoS trong suốt hai tuần qua", anh Phúc cho biết.
Diễn đàn các hacker Việt Nam, HVA Online, đã có nhiều biện pháp để giúp đỡ các lực lượng chức năng và các báo điện tử Việt Nam chống lại các đợt tấn công DDoS từ phía các máy chủ lạ. Ảnh trên là công cụ kiểm tra xem máy của người dùng có bị nhiễm mã độc hay không được HVA Online cung cấp tại địa chỉ http://www.antibotnet.tk/
Nhờ sự tích cực tham gia hỗ trợ của cộng đồng mạng mà HVA Online đã truy tìm ra mẫu virus, thực hiện phân tích mẫu thu thập được để truy tìm các máy chủ điều khiển tấn công các báo mạng trong thời gian qua. "Từ đó, HVA Online đã tìm được một số máy chủ phát lệnh tấn công được đặt tại Công ty Lease Web GmbH của Đức", anh Phúc nhấn mạnh.
Diễn đàn HVA Online đã thông báo cho các nhà cung cấp dịch vụ về việc hosting của họ đang lưu trữ các máy chủ kiểm soát mạng máy tính ma ở Việt Nam. Đến sáng 16/7, các máy chủ đó đã tạm thời bị vô hiệu hóa.
Được biết, khoảng hơn một tuần trở lại đây, liên tục xuất hiện những tin đồn về việc các trang báo mạng nổi tiếng và được nhiều người đọc nhất ở Việt Nam hiện nay như Dantri.com.vn, Vietnamnet.vn, Tuoitre.vn bị tin tặc nước ngoài tấn công. Sở dĩ có tin đồn này là do dạo gần đây, việc truy cập những trang web trên gặp rất nhiều khó khăn và nhiều lúc có thể nói là hoàn toàn không thể truy cập được.
Để ngăn chặn tạm thời các đợt tấn công DDoS từ phía các người dùng ảo là các máy tính chứa mã độc bị điều khiển bởi hacker, đã có nhiều thời điểm báo điện tử Dân trí đã phải sử dụng phương án xác thực như trên để chắc chắn rằng yêu cầu truy nhập được khởi tạo từ chính người dùng thật.
Vụ việc lần này cũng là một bài học cảnh tỉnh sâu sắc dành cho các cơ quan, tổ chức và doanh nghiệp Việt Nam, trong việc chủ động phòng và chống các thảm họa từ các cuộc tấn công an ninh mạng.
Thu Hằng
