Khi công ty an ninh mạng biến thành cánh tay gián điệp của nhà nước
Việc Mỹ phá vỡ công cụ hacking của Trung Quốc là một chiến dịch an ninh mạng nhằm vào botnet, tên miền và phần mềm do các đơn vị tư nhân Trung Quốc phát triển nhưng phục vụ mục tiêu gián điệp công nghệ của nhà nước, nhắm vào hạ tầng trọng yếu và tổ chức trên toàn thế giới bằng cách quét lỗ hổng, cài malware và đánh cắp dữ liệu nhạy cảm. Những gì vừa bị lật tẩy không chỉ là vài nhóm tấn công mạng Trung Quốc, mà là một mô hình cấu trúc: doanh nghiệp an ninh mạng ký hợp đồng với nhà nước, xây dựng công cụ, rồi để đội gián điệp dùng ở quy mô toàn cầu. Integrity Technology Group bị cáo buộc phát triển botnet Mirai biến thể, bộ quét Microscan và công cụ hậu xâm nhập FishHub, tất cả được gắn trực tiếp với nhóm Flax Typhoon và các chiến dịch nhắm vào hạ tầng năng lượng, trường đại học, sân bay và tổ chức quốc tế.
Flax Typhoon: botnet 260.000 thiết bị và cuộc chiến giành quyền kiểm soát hạ tầng
Cốt lõi của câu chuyện là cách Flax Typhoon dùng botnet để ẩn mình và mở rộng phạm vi tấn công. Từ năm 2021 cho đến khi bị phá vỡ, nhóm này bị cáo buộc đã dùng biến thể botnet dựa trên Mirai để nhiễm malware lên các thiết bị kết nối Internet, quét mạng tìm lỗ hổng và triển khai thêm các cuộc tấn công, đồng thời che giấu địa chỉ IP và vị trí thật của tin tặc thuộc chính phủ Trung Quốc. FBI xác nhận Integrity Tech và Flax Typhoon phải tự tháo dỡ botnet gồm khoảng 260.000 thiết bị sau khi bị cơ quan thực thi pháp luật quốc tế truy kích. Đây không chỉ là thành công kỹ thuật; nó gửi đi thông điệp rằng an ninh mạng Mỹ sẵn sàng coi hạ tầng IoT bị chiếm dụng là chiến trường. Khi 260.000 thiết bị biến thành công cụ gián điệp công nghệ, mọi bộ định tuyến, camera hay cảm biến kết nối Internet đều trở thành rủi ro chiến lược, không còn là chuyện cấu hình sai lặt vặt.
Từ dữ liệu học thuật đến điều khiển vận hành: gián điệp công nghệ đã đa tầng
Điểm đáng lo nhất không phải chỉ là kỹ thuật tấn công, mà là loại dữ liệu bị nhắm đến. Một chiến dịch khác do Mabna Institute của Iran thực hiện đã đánh cắp hơn 31 terabyte dữ liệu học thuật và tài sản sở hữu trí tuệ, cùng với việc xâm nhập 8.000 tài khoản email của giảng viên tại hàng trăm trường đại học và tổ chức ở Mỹ và toàn cầu. "Các bị cáo bị cáo buộc đã đánh cắp hơn 31 terabyte dữ liệu học thuật từ hơn 300 trường đại học và tổ chức". Dữ liệu này được chuyển cho chính phủ Iran để phục vụ lực lượng Vệ binh Cách mạng và các tổ chức nghiên cứu. Trong trường hợp Trung Quốc, các nhóm liên quan Flax Typhoon lại tập trung vào môi trường vận hành (OT): chiếm quyền truy cập lâu dài vào máy trạm kỹ sư và trích xuất hồ sơ vận hành, nhắm tới các ngành sản xuất, quốc phòng, ô tô, điện lực, dầu khí và cơ quan chính phủ khắp Mỹ, châu Âu và khu vực châu Á – Thái Bình Dương. Đây chính là gián điệp công nghệ đa tầng: từ tri thức học thuật đến bản thiết kế vận hành hạ tầng sống còn.
Bảy chính phủ cùng lên tiếng và thông điệp về an ninh mạng Mỹ
Ở điểm này, an ninh mạng Mỹ không còn là chuyện nội bộ; nó trở thành trục của phản ứng liên minh. Sau khi FBI thu giữ bảy tên miền gắn với công cụ hacking do Integrity Tech vận hành, cơ quan này cùng các đồng minh ở Anh, Úc, Canada, Nhật Bản, New Zealand và Tây Ban Nha đã phát hành cảnh báo chung rằng các nhóm gắn với chính phủ Trung Quốc đang dùng botnet, malware và công cụ xâm nhập để tấn công tổ chức toàn cầu, bao gồm cả mạng lưới hạ tầng trọng yếu tại Mỹ, nhằm đánh cắp dữ liệu nhạy cảm. Tháng Tư, một khuyến cáo chung của mười nước nhấn mạnh gần như mọi nhóm "Typhoon" của Trung Quốc đều sử dụng botnet một cách có tính toán và ở quy mô lớn. Điều này cho thấy FBI hacking campaign không chỉ nhắm vào từng nhóm, mà cố gắng thiết lập chuẩn phản ứng chung. Khi các tên miền phân phối FishHub bị thu giữ và một botnet khác nhắm tới NASA, Thượng viện, Bộ Năng lượng và nhiều cơ quan khác bị phá vỡ, thông điệp rất rõ: Mỹ sẽ can thiệp để ngăn các cuộc tấn công tiếp tục, kể cả khi phải mở rộng cuộc chơi lên cấp độ pháp lý và ngoại giao.
Bài học cho chính phủ và doanh nghiệp: bảo vệ dữ liệu nhạy cảm không thể khoán trắng
Chiến dịch mới của Mỹ phơi bày một lỗ hổng tâm lý: nhiều tổ chức vẫn xem tấn công mạng Trung Quốc là rủi ro xa vời. Thực tế, FishHub được dùng để nhiễm malware vào khoảng 20 trường đại học Đài Loan, tạo danh sách tệp, tìm kiếm và nén tài liệu, rồi exfiltrate dữ liệu lên máy chủ của kẻ tấn công. Cùng lúc, các công cụ quét như Microscan được dùng để rà soát lỗ hổng trên mạng của công ty điện lực Mỹ, NGO đa quốc gia, sân bay Nhật và Ba Lan, cũng như doanh nghiệp hạ tầng khí và điện tại Đài Loan. Nếu ngay cả trường đại học, NGO và đơn vị hạ tầng đã lọt vào danh sách, không có tổ chức nào có thể nói mình ở "vùng an toàn". Bảo vệ dữ liệu nhạy cảm vì vậy không thể khoán trắng cho đội IT hay nhà cung cấp bảo mật bên ngoài. Ban lãnh đạo phải coi gián điệp công nghệ là rủi ro chiến lược, yêu cầu bản đồ tài sản dữ liệu, quy trình phát hiện và ứng phó xâm nhập, cùng việc kiểm soát chặt chẽ việc dùng thiết bị IoT trong mạng nội bộ.
