Mối đe dọa liên quan đến các nhóm hack được quốc gia hậu thuẫn đã được nghiên cứu và ghi chép kỹ lưỡng trong thời gian gần đây, nhưng có một nhóm đối thủ khác cũng nguy hiểm không kém, hoạt động tương đối bí mật trong nhiều năm.
Đây là những nhóm hack-for-hire chuyên đột nhập vào hệ thống và đánh cắp email cũng như các dữ liệu khác dưới dạng dịch vụ. Khách hàng của họ có thể là điều tra viên tư nhân, công ty luật, đối thủ kinh doanh và những người khác không có khả năng tự mình thực hiện các cuộc tấn công này. Những kẻ đánh thuê mạng như vậy thường quảng cáo công khai các dịch vụ của họ và nhắm mục tiêu vào bất kỳ thực thể nào mà khách hàng của họ quan tâm, không giống như các tác nhân đe dọa liên tục nâng cao (APT) được nhà nước hậu thuẫn, có xu hướng lén lút và có các nhiệm vụ cụ thể cũng như tập trung mục tiêu chặt chẽ.
Các nhà nghiên cứu từ Nhóm phân tích mối đe dọa của Google (TAG) tuần này đã công bố một báo cáo về mối đe dọa, sử dụng hệ sinh thái hack-for-hire ở Ấn Độ, Nga và Các Tiểu vương quốc Ả Rập Thống nhất là những ví dụ về tính chất phổ biến của hoạt động tội phạm. Các nhà nghiên cứu của TAG đã xác định các dịch vụ do lính đánh thuê mạng cung cấp khác với dịch vụ được cung cấp bởi các nhà cung cấp dịch vụ giám sát bán công cụ và khả năng cho những người khác — chẳng hạn như các cơ quan tình báo và cơ quan thực thi pháp luật — sử dụng.
Phạm vi mục tiêu rộng
Shane Huntley, giám đốc Google TAG, cho biết trong một blog hôm thứ Năm: “Mức độ rộng của các mục tiêu trong các chiến dịch hack-for-hire trái ngược với nhiều hoạt động được chính phủ hậu thuẫn, thường có sự phân định rõ ràng hơn về nhiệm vụ và mục tiêu”.
Để lấy ví dụ, ông chỉ ra một hoạt động gần đây mà Google đã quan sát thấy trong đó một nhóm hack cho thuê của Ấn Độ nhắm mục tiêu vào một công ty CNTT ở Síp, một công ty mua sắm ở Israel, một công ty công nghệ tài chính ở Balkan và một tổ chức học thuật ở Nigeria. Trong các chiến dịch khác, Google đã quan sát thấy các nhóm này nhắm mục tiêu vào những người ủng hộ nhân quyền, nhà báo và nhà hoạt động chính trị.
Huntley viết: “Họ cũng tiến hành hoạt động gián điệp của công ty, khéo léo che giấu vai trò của khách hàng”.
Báo cáo của Google về hoạt động hack-for-hire trùng hợp với một báo cáo điều tra dài của Reuters về tình hình của các bên liên quan đến vụ kiện tụng tại phòng xử án trong những năm gần đây thuê lính đánh thuê mạng Ấn Độ để đánh cắp thông tin từ phía bên kia nhằm mang lại lợi thế cho họ trong trận chiến.
Reuters cho biết họ có thể xác định được ít nhất 35 trường hợp kể từ năm 2013, khi ai đó liên quan đến một vụ kiện đã thuê tin tặc Ấn Độ để lấy thông tin từ tổ chức mà họ đang kiện tụng. Một trong số đó liên quan đến cuộc chiến pháp lý trị giá 1.5 tỷ USD giữa chính phủ Nigeria và những người thừa kế của một doanh nhân Ý về quyền kiểm soát một công ty dầu mỏ.
Trong mỗi trường hợp này, tin tặc đã gửi email lừa đảo đến các nạn nhân được nhắm mục tiêu bằng phần mềm độc hại để đánh cắp thông tin đăng nhập tài khoản email và dữ liệu khác của họ.
Vô số nạn nhân bị hack cho thuê
Reuters cho biết họ đã xác định được khoảng 75 công ty của Mỹ và châu Âu, ba chục nhóm vận động và nhiều giám đốc điều hành kinh doanh ở các nước phương Tây là mục tiêu của các cuộc tấn công này. Tổng cộng, trong khoảng thời gian 80,000 năm là trọng tâm của cuộc điều tra, tin tặc Ấn Độ đã gửi khoảng 13,000 email lừa đảo tới XNUMX mục tiêu trên nhiều quốc gia.
Trong số những người có hộp thư email mà những kẻ tấn công cố truy cập có ít nhất 1,000 luật sư tại 108 công ty luật, chẳng hạn như Baker McKenzie và Cooley và Cleary Gottlieb ở Mỹ, Clyde & Co. và LALIVE ở Châu Âu.
Reuters mô tả báo cáo này dựa trên thông tin từ các cuộc phỏng vấn nạn nhân, các quan chức chính phủ Hoa Kỳ, luật sư và tài liệu tòa án từ bảy quốc gia. Cũng giúp ích cho cuộc điều tra là cơ sở dữ liệu gồm hàng chục nghìn email do tin tặc Ấn Độ gửi mà Reuters cho biết họ nhận được từ hai nhà cung cấp email.
“Cơ sở dữ liệu thực sự là danh sách tấn công của tin tặc và nó tiết lộ cái nhìn chi tiết về ai mà lính đánh thuê mạng đã gửi email lừa đảo từ năm 2013 đến năm 2020,” câu chuyện của Reuters nêu rõ.
Trong số các thực thể Ấn Độ mà Reuters nêu tên trong báo cáo của mình có Appin, BellTroX và Cyberoot – tất cả đều dùng chung cơ sở hạ tầng và nhân viên tại một số thời điểm.
Theo dõi các chiến dịch trên mạng
Google cho biết họ cũng đã theo dõi các nhà khai thác hack-for-hire của Ấn Độ, nhiều trong số đó có liên kết với Appin và BellTroX, kể từ năm 2012. Phần lớn hoạt động này tập trung vào các tổ chức trong lĩnh vực chính phủ, viễn thông và chăm sóc sức khỏe ở UAE, Ả Rập Saudi và Bahrain, theo TAG.
Báo cáo của Google cũng mô tả các nhà khai thác hack cho thuê mà các nhà nghiên cứu TAG đã theo dõi ở Nga và UAE. Một trong số họ là một diễn viên người Nga được biết đến trước đây và những người khác gọi là Void Balaur, người đã theo dõi hàng ngàn cá nhân và đánh cắp thông tin cá nhân về chúng để bán cho nhiều khách hàng khác nhau.
Đây không phải là lần đầu tiên các nhà nghiên cứu bảo mật đưa ra cảnh báo về tin tặc cho thuê. Ví dụ, Trend Micro đã báo cáo về Mối đe dọa Balaur trống rỗng vào tháng 2021 năm XNUMX. Một năm trước, các nhà nghiên cứu bảo mật của BlackBerry đã báo cáo về một nhóm hack-for-hire mà họ quan sát thấy có tên là CostaRicto, nhắm mục tiêu vào nạn nhân ở nhiều quốc gia, nhiều người trong số họ ở Nam Á.
Huntley của TAG viết: “Bối cảnh hack-for-hire rất linh hoạt, cả về cách những kẻ tấn công tự tổ chức và phạm vi mục tiêu rộng lớn mà chúng theo đuổi trong một chiến dịch duy nhất theo yêu cầu của nhiều khách hàng khác nhau”.
