FBI đánh vào hạ tầng Flax Typhoon: bước leo thang trong cuộc chiến gián điệp mạng
Chiến dịch triệt phá hạ tầng của nhóm hacker Trung Quốc Flax Typhoon là một hoạt động thực thi pháp luật do FBI phối hợp Bộ Tư pháp Mỹ tiến hành, nhằm vô hiệu hóa các công cụ quét lỗ hổng và lừa đảo trực tuyến được cho là phục vụ cho hoạt động gián điệp mạng toàn cầu, nhắm vào cơ sở hạ tầng trọng yếu và dữ liệu nhạy cảm của nhiều quốc gia. Sự kiện này không chỉ là một vụ án an ninh mạng, mà là một thông điệp chính trị: Mỹ coi các cuộc tấn công mạng có liên hệ nhà nước Trung Quốc là mối đe dọa an ninh quốc gia lâu dài. Theo thông báo ngày 8/10, FBI và Bộ Tư pháp Mỹ đã nhắm trực diện vào hai công cụ Microscan và FishHub, vốn được sử dụng để rà quét mục tiêu, tiến hành lừa đảo trực tuyến và xâm nhập sâu vào hệ thống máy tính, gồm cả mạng lưới cơ sở hạ tầng trọng yếu trong và ngoài nước Mỹ. Song song với đó, FBI tuyên bố đã thu giữ bảy tên miền web liên quan đến các công cụ tấn công do công ty Integrity Technology Group vận hành, được dùng để quét mạng của một công ty điện lực tại South Carolina và nhiều hệ thống hạ tầng quan trọng khác. Việc Mỹ chủ động đánh vào "xương sống" kỹ thuật của nhóm hacker cho thấy chiến lược mới: thay vì chỉ phòng thủ, họ đang tìm cách bẻ gãy năng lực tấn công ngay từ gốc.
Flax Typhoon và hạ tầng botnet: từ 2021 đến khi FBI can thiệp
Nhóm hacker Trung Quốc Flax Typhoon bị giới chức Mỹ cáo buộc có liên hệ trực tiếp với chính phủ Trung Quốc và công ty an ninh thông tin Integrity Technology Group, đồng thời đứng sau hàng loạt chiến dịch nhắm vào cơ sở hạ tầng trọng yếu, ngành điện và trường đại học tại Mỹ, Đài Loan cùng nhiều quốc gia khác. Từ năm 2021 cho đến khi bị phá vỡ, Flax Typhoon được cho là đã sử dụng một biến thể botnet dựa trên Mirai để nhiễm độc thiết bị kết nối Internet bằng mã độc, quét lỗ hổng mạng và triển khai thêm các cuộc tấn công, đồng thời che giấu địa chỉ IP và vị trí thật của các tác nhân thuộc chính phủ Trung Quốc. Tháng 9/2024, FBI thông báo mạng botnet quy mô lớn liên quan Flax Typhoon đã bị triệt phá, sau khi bị phát hiện đã cài mã độc lên hơn 200.000 thiết bị dân dụng, bao gồm camera, đầu ghi hình và bộ định tuyến tại gia đình, văn phòng. Một tuyên bố đáng chú ý là: "Integrity Tech và Flax Typhoon đã phải tự tháo dỡ botnet gồm 260.000 thiết bị sau khi bị FBI và các đối tác quốc tế truy kích". Các con số này phơi bày quy mô công nghiệp của hoạt động gián điệp mạng: uy lực tấn công không còn thuộc về vài cá nhân ngồi sau màn hình, mà nằm ở những mạng lưới thiết bị bị chiếm quyền điều khiển trải khắp thế giới.
Gián điệp mạng toàn cầu: 7 chính phủ cùng lên tiếng cảnh báo
Điểm đáng sợ nhất trong vụ Flax Typhoon không phải ở một vài mục tiêu cụ thể, mà ở tính chất toàn cầu của chiến dịch gián điệp mạng. Sau khi triệt phá hạ tầng, FBI cùng cơ quan chính phủ của Mỹ, Anh, Úc, Canada, Nhật Bản, New Zealand và Tây Ban Nha lần lượt phát đi cảnh báo: các tác nhân liên hệ chính phủ Trung Quốc, được Integrity Tech hỗ trợ, đang dùng botnet, mã độc và nhiều công cụ xâm nhập để tấn công tổ chức trên toàn thế giới, nhằm đánh cắp dữ liệu nhạy cảm, kể cả từ mạng lưới hạ tầng trọng yếu của Mỹ. Microscan bị cáo buộc đã được dùng để quét lỗ hổng trên mạng của một công ty điện lực Mỹ ở South Carolina, một tổ chức phi chính phủ đa quốc gia, các sân bay Nhật Bản và Ba Lan, cùng ít nhất hai doanh nghiệp hạ tầng trọng yếu Đài Loan trong lĩnh vực khí đốt và điện. Trong khi đó, FishHub được sử dụng để hỗ trợ lừa đảo trực tuyến, tải thêm mã độc, tìm kiếm, nén và gửi ra ngoài các tệp tài liệu được chọn, qua đó trao quyền truy cập từ xa vào mạng lưới của nạn nhân. Bức tranh tổng thể cho thấy một chiến dịch gián điệp mạng toàn cầu được vận hành có hệ thống, nhắm vào dữ liệu nghiên cứu, kỹ thuật và vận hành cơ sở hạ tầng – những thứ vốn là "vàng" trong chiến lược sức mạnh cứng và mềm của bất kỳ quốc gia nào.
An ninh mạng Mỹ: từ phòng thủ bị động đến tấn công chủ động
Vụ tấn công mạng bị FBI triệt phá lần này là một bước ngoặt trong cách Mỹ nhìn nhận và xử lý an ninh mạng. Jason Bilnoski, Phó trợ lý Giám đốc Bộ phận Không gian mạng của FBI, nhấn mạnh cơ quan này đang nhắm vào hạ tầng, nguồn tài chính và công cụ của đối tượng để "loại bỏ năng lực hoạt động" của chúng, chứ không chỉ vá từng lỗ hổng riêng lẻ. Nhìn rộng hơn, các cảnh báo gần đây của giới nghiên cứu và chính phủ phương Tây đều cho thấy hacker Trung Quốc vẫn tiếp tục biến router và thiết bị IoT bị xâm nhập thành botnet, xâm nhập mạng lưới quan trọng tại Mỹ, châu Âu và khu vực châu Á – Thái Bình Dương. Một nhóm có hoạt động chồng lấn với Flax Typhoon bị cho là tập trung giành quyền truy cập dài hạn vào các máy trạm kỹ sư OT, đánh cắp tệp vận hành, nhắm vào các ngành sản xuất, quốc phòng, ô tô, điện lực, dầu khí và cơ quan chính phủ. Trong bối cảnh đó, chiến lược an ninh mạng Mỹ đang dịch chuyển sang hướng tấn công chủ động: bóc gỡ hạ tầng botnet, thu giữ tên miền, buộc các công ty như Integrity Tech phải phá dỡ mạng lưới bí mật. Tuy nhiên, chính sách này cũng đặt ra câu hỏi: liệu chỉ tập trung vào đối thủ nhà nước có làm các lỗ hổng dân sự bị bỏ ngỏ, khi các thiết bị dân dụng vẫn đang là bàn đạp cho cả tin tặc nhà nước lẫn tội phạm mạng thuần túy?
Tương lai gián điệp mạng: chạy đua bất tận giữa công cụ tấn công và phòng vệ
Sau chiến dịch mới nhất, FBI khẳng định sẽ tiếp tục theo dõi khả năng Integrity Technology Group xây dựng lại hạ tầng phục vụ hoạt động của nhóm tin tặc, trong đó đặc vụ giám sát Brett Lally tại San Diego cho biết cơ quan này sẽ quan sát kỹ những diễn biến tiếp theo để đánh giá năng lực khôi phục hạ tầng của công ty. Cùng thời gian, Mỹ cũng thông báo đã làm gián đoạn một botnet khác và thu giữ tên miền liên quan các nền tảng bị cho là được tác nhân hậu thuẫn chính phủ Trung Quốc dùng để nhắm vào nhiều cơ quan, từ Thượng viện đến NASA và Bộ Năng lượng, dù sau đó Bộ Tư pháp làm rõ không phải tất cả trong số này đã bị xâm nhập. Một khuyến nghị chung của 10 quốc gia trước đó nêu rõ gần như mọi nhóm "Typhoon" của Trung Quốc đang dùng botnet "một cách chiến lược và ở quy mô lớn". Điều này cho thấy cuộc chơi chưa kết thúc: mỗi chiến dịch triệt phá chỉ làm chậm lại, chứ không xóa sổ hoàn toàn năng lực tấn công. Về mặt quan điểm, thế giới buộc phải chấp nhận một thực tế khó chịu: gián điệp mạng toàn cầu đã trở thành công cụ chính sách thường trực. Câu hỏi không còn là liệu Mỹ hay Trung Quốc có tham gia, mà là hệ sinh thái an ninh mạng – từ chính phủ đến doanh nghiệp – sẽ tự nâng cấp mình nhanh đến mức nào để không trở thành "tài nguyên" dễ khai thác trong cuộc chạy đua bất tận giữa công cụ tấn công và phòng vệ.
