Quản trị viên đã không đổi mật khẩu trong suốt thời gian đó, thay vì phải đổi mật khẩu ba tháng một lần như khuyến cáo trong chính sách bảo mật của công ty. Điều này giúp kẻ tấn công có quyền truy cập liên tục vào hệ thống mục tiêu, khiến hàng ngàn tệp tin bảo mật bị rò rỉ.
Để tìm hiểu thêm về cuộc tấn công và giảm thiệt hại mà tin tặc gây ra, khách hàng và nhóm bảo mật của Kaspersky đã quyết định giám sát các hoạt động của tội phạm mạng thay vì chặn đứng chúng ngay lập tức. Phân tích đã xác định rằng hệ thống của tổ chức đã bị xâm phạm trong khoảng thời gian hai năm – từ 2017 đến 2019.
Tin tặc đã xâm nhập hệ thống bằng tài khoản quản trị viên và tải trực tiếp các tệp độc hại lên hệ thống mạng. Các tập tin bao gồm một thư viện mã độc cũng như các trình tải xuống và một cửa hậu. Các mã độc này bị ẩn trong hệ thống thông qua biến thể của các phím tắt trên màn hình nền, menu và thanh tác vụ. Sau đó, thông qua việc nhấp vào phím tắt, một tệp độc hại sẽ khởi chạy trước tệp thực thi ban đầu của ứng dụng, cho phép tin tặc che giấu hoạt động đáng ngờ khỏi hệ thống bảo mật của tổ chức.
|
Để bảo vệ tổ chức khỏi các cuộc tấn công tương tự, Kaspersky khuyến nghị: • Sử dụng ma trận MITER ATT & CK và định dạng STIX để phát hiện các cuộc tấn công ở giai đoạn đầu. • Thực hiện các giải pháp EDR như Kaspersky Endpoint Detection and Response để phát hiện tấn công điểm cuối, cũng như điều tra và khắc phục kịp thời các sự cố. • Ngoài việc áp dụng bảo vệ điểm cuối cần thiết, hãy triển khai giải pháp bảo mật giúp phát hiện các mối đe dọa nâng cao ở giai đoạn đầu, như Kaspersky Anti Targeted Attack Platform.
• Sử dụng chuyên gia hoặc sản phẩm bên ngoài như Kaspersky Threat Hunting service nếu nhóm bảo mật nội bộ bị hạn chế về tài nguyên để chủ động ngăn chặn các mối đe dọa trước khi xảy ra thiệt hại. • Đào tạo nâng cao nhận thức bảo mật cho nhân viên, thông qua Kaspersky Automated Security Awareness Platform. Nền tảng cũng giải thích tại sao mật khẩu nên được thay đổi thường xuyên.
|
