NotPetya – Khi ransomware không còn mục tiêu là tiền

[hoanglam2004]

NotPetya xuất hiện lần đầu vào năm 2017 và nhanh chóng trở thành một trong những cuộc tấn công mạng gây thiệt hại lớn nhất lịch sử. Dù bề ngoài được ngụy trang như ransomware, NotPetya thực chất là một wiper – mã độc được thiết kế để phá hủy dữ liệu vĩnh viễn, chứ không nhằm mục đích thu tiền chuộc.
Nguồn gốc và con đường lây nhiễm
Khác với nhiều ransomware lan truyền qua phishing email, NotPetya khởi đầu từ một chuỗi cung ứng phần mềm (supply chain attack). Kẻ tấn công đã chèn mã độc vào bản cập nhật của phần mềm kế toán M.E.Doc (phổ biến tại Ukraine).
Chỉ cần một máy trong hệ thống cập nhật phần mềm này, NotPetya sẽ:

• Thực thi trên máy nạn nhân
• Lây lan ngang (lateral movement) trong mạng nội bộ
• Không cần tương tác người dùng

Kỹ thuật tấn công đáng chú ý
Điểm khiến NotPetya trở thành “case study kinh điển” trong pentest và phòng thủ là cách nó kết hợp nhiều kỹ thuật tấn công:

• Khai thác SMB để lây lan trong mạng nội bộ
• Credential harvesting bằng cách trích xuất mật khẩu từ bộ nhớ (LSASS)
• Sử dụng PsExec và WMIC để thực thi lệnh trên các máy khác
• Ghi đè Master Boot Record (MBR) khiến hệ điều hành không thể khởi động

Đáng chú ý: NotPetya không lưu khóa giải mã ở bất kỳ đâu, kể cả với kẻ tấn công.
Vì sao NotPetya không phải ransomware “thật”?
Mặc dù hiển thị thông báo đòi tiền chuộc, nhưng:

• Email liên hệ của kẻ tấn công nhanh chóng bị vô hiệu hóa
• Không có cơ chế liên kết thanh toán với khóa giải mã
• Dữ liệu bị mã hóa bằng cách không thể khôi phục

Điều này cho thấy NotPetya được tạo ra với mục tiêu phá hoại quy mô lớn, không phải kiếm tiền. Nhiều chuyên gia coi đây là một cuộc tấn công mang động cơ chính trị hơn là tội phạm mạng thông thường.
Thiệt hại và tác động
NotPetya đã làm tê liệt hàng loạt tập đoàn lớn:

• Maersk (vận tải biển)
• Merck (dược phẩm)
• FedEx (logistics)

Thiệt hại ước tính lên đến hàng tỷ USD, dù mục tiêu ban đầu chỉ tập trung vào một khu vực địa lý nhất định.
Góc nhìn pentest và defensive security
Từ góc độ pentest, NotPetya cho thấy:

• Lateral movement nguy hiểm hơn exploit ban đầu
• Mạng nội bộ phẳng (flat network) là thảm họa
• Credential reuse là điểm yếu chí mạng

Với phòng thủ, bài học rút ra là:

• Phải kiểm soát cập nhật phần mềm bên thứ ba
• Phân đoạn mạng (network segmentation) là bắt buộc
• Không bao giờ tin rằng “nội bộ thì an toàn”

Kết luận
NotPetya là ví dụ điển hình cho việc malware không nhất thiết phải tinh vi, chỉ cần được triển khai đúng chỗ. Nó đánh dấu ranh giới mờ nhạt giữa ransomware, cybercrime và cyber warfare, đồng thời trở thành bài học xương máu cho cộng đồng cyber security toàn cầu.

---