Hacker Trung Quốc đã có thể qua mặt được phương thức bảo mật 2 lớp

Với cơ chế bảo mật 2 bước (bảo mật hai lớp), mỗi khi bạn đăng nhập vào một tài khoản trực tuyến (tài khoản email, ngân hàng, mạng xã hội...), quá trình không chỉ yêu cầu bạn điền mật khẩu tài khoản đó, mà còn yêu cầu xác nhận thêm lớp mật khẩu thứ 2. Mật khẩu thứ 2 này sẽ gửi về điện thoại của bạn dưới dạng tin nhắn hoặc được tạo ra ngẫu nhiên trên ứng dụng hoặc có thể là một thiết bị phần cứng (chẳng hạn yêu cầu phải gắn USB chứa mã khóa vào máy tính để xác nhận). Bạn phải khai báo đúng 2 mật khẩu (mật khẩu hộp thư và mật khẩu thứ 2) mới có thể đăng nhập vào tài khoản.

Đây được xem là một giải pháp bảo mật an toàn cho người dùng Internet. Tuy nhiên, các chuyên gia của hãng nghiên cứu bảo mật Fox-IT (Hà Lan) đã phát hiện những bằng chứng cho thấy các hacker đến từ Trung Quốc đã có thể tìm ra cách để vượt qua cơ chế bảo mật 2 lớp.

Từ năm 2011, Fox-IT đã từng theo dõi sát sao các hoạt động của một nhóm tin tặc có tên gọi APT20, mà theo Fox-IT thì đây là nhóm tin tặc được hậu thuẫn bởi chính phủ Trung Quốc. Tuy nhiên, đến năm 2016, Fox-IT đã bị mất dấu vết của nhóm hacker này và phải đến năm 2018, Fox-IT mới bắt đầu phát hiện thấy nhiều dấu hiệu hoạt động trở lại và tiếp tục theo dõi dấu vết của APT20.

Theo Fox-IT thì mục tiêu chính của APT20 trong những cuộc tấn công mạng gần đây là các tổ chức chính phủ và các nhà cung cấp dịch vụ quản lý, hoạt động trong các lĩnh vực như hàng không, y tế, tài chính, bảo hiểm, năng lượng...

Các chuyên gia bảo mật của Fox-IT cho biết tin tặc đã sử dụng các máy chủ làm điểm xâm nhập ban đầu vào các hệ thống mục tiêu, đặc biệt nhắm vào JBoss, một nền tảng ứng dụng doanh nghiệp thường được sử dụng trong hệ thống mạng của chính phủ và các công ty lớn.

APT20 sẽ khai thác những lỗ hổng bảo mật trên hệ thống để truy cập vào máy chủ. Một khi đã xâm nhập được vào bên trong, nhóm hacker này sẽ tìm kiếm các tài khoản quản trị viên của hệ thống để có thêm những quyền truy cập cao hơn. Quá trình tấn công và xâm nhập của APT20 thường khó bị phát hiện vì chúng sử dụng những công cụ chính thống đã được cài đặt sẵn trên máy chủ hoặc khai thác lỗ hổng bảo mật từ chính máy chủ, thay vì sử dụng các loại mã độc tự viết, vốn dễ bị các phần mềm bảo mật trên hệ thống phát hiện ra và ngăn chặn.

Đặc biệt, Fox-IT còn phát hiện các bằng chứng cho thấy APT20 đã có thể qua mặt và truy cập vào các tài khoản quản trị vốn được bảo vệ bằng chức năng bảo mật 2 lớp, được đánh giá là an toàn hàng đầu hiện nay.

Hiện Fox-IT vẫn chưa rõ các tin tặc APT20 đã thực hiện điều này như thế nào, bởi lẽ để sử dụng chức năng bảo mật 2 lớp, người dùng cần phải kết nối với thiết bị vật lý (smartphone hoặc máy tính hoặc USB) để phát sinh mã bảo mật thứ 2. Nếu thiết bị bị thiếu hoặc không có mã bảo mật thứ 2 sẽ phát sinh lỗi và không thể truy cập được vào tài khoản.

Các chuyên gia bảo mật của Fox-IT đã đặt ra giả thuyết nhóm tin tặc APT20 đã đánh cắp tín hiệu thông báo phát sinh mã bảo mật thứ 2 từ hệ thống bị tấn công, sau đó sử dụng tín hiệu này để tự tạo ra cho mình mã bảo mật giả mạo nhằm qua mặt chức năng bảo mật 2 lớp và đăng nhập vào tài khoản hệ thống.

Nếu những bằng chứng và nhận định do Fox-IT công bố là chính xác thì đây là một vấn đề bảo mật đáng lo ngại, khi phương thức bảo mật 2 lớp đã không còn là giải pháp bảo vệ an toàn cho các hệ thống.

T.Thủy
Tổng hợp