Botnet là gì? Tấn công Botnet hoạt động như thế nào?

Botnet là mạng lưới các máy tính và thiết bị bị nhiễm mã độc, bị kẻ tấn công điều khiển từ xa để thực hiện các hành vi độc hại như tấn công DDoS, gửi thư rác hay đánh cắp dữ liệu. Chỉ cần một thiết bị thiếu an toàn, hệ thống của bạn có thể trở thành mục tiêu hoặc bị biến thành công cụ tấn công người khác mà không hề hay biết. Bài viết này giải thích botnet là gì, cách botnet hoạt động, những rủi ro đối với doanh nghiệp và các biện pháp phòng tránh hiệu quả.

Botnet là gì?

Botnet là một “đội quân thiết bị bị chiếm quyền điều khiển” trên Internet. Thay vì hoạt động độc lập, hàng loạt máy tính, máy chủ, điện thoại hoặc thiết bị IoT bị nhiễm mã độc được liên kết thành một mạng lưới và có thể bị kẻ tấn công điều phối từ xa để thực hiện các hành vi độc hại như tấn công DDoS, phát tán thư rác hoặc đánh cắp dữ liệu. Điều nguy hiểm là chủ sở hữu thiết bị có thể không biết thiết bị của mình đang âm thầm tham gia vào mạng lưới này.

DDoS là một trong những hình thức tấn công phổ biến nhất của botnet. Kiểu tấn công này có kỹ thuật phức tạp, tác động trên diện rộng và có thể làm tê liệt hệ thống mạng của bạn.

Cấu trúc của botnet

Một botnet không chỉ là đám thiết bị bị nhiễm mã độc mà còn có bộ máy điều khiển đứng sau. Hiểu các thành phần và cách chúng liên lạc với nhau sẽ giúp bạn hình dung vì sao botnet vừa mạnh vừa khó triệt phá.

Các thành phần chính của botnet

Từ “botnet” ghép từ “robot” và “network”. Một botnet điển hình gồm ba phần: botmaster (còn gọi là bot herder), là kẻ tạo ra và điều khiển mạng lưới; các bot hay thiết bị “zombie”, là máy tính, camera, router hoặc thiết bị IoT đã bị chiếm quyền; và máy chủ điều khiển C&C (command and control), là nơi botmaster gửi lệnh đến toàn bộ bot.

Mô hình tập trung, P2P và lai

Ở mô hình tập trung, mọi bot đều kết nối về một máy chủ C&C duy nhất. Cách này dễ xây dựng và ra lệnh nhanh, nhưng nếu máy chủ C&C bị phát hiện và đánh sập thì cả botnet mất khả năng điều khiển. Ở mô hình P2P, các bot truyền lệnh cho nhau mà không cần máy chủ trung tâm, nên không có điểm yếu duy nhất và rất khó triệt phá. Mô hình lai kết hợp cả hai: dùng máy chủ trung tâm cho hoạt động chính nhưng vẫn có P2P làm phương án dự phòng khi máy chủ bị chặn.

Cách thức hoạt động của tấn công Botnet

Botnet hoạt động thông qua việc kiểm soát lượng lớn các máy tính hoặc thiết bị khác nhau từ xa trong một mạng lưới. Nó hoạt động thông qua các giao đoạn như sau:

Giai đoạn 1: Phơi ra:

Ở giai đoạn này, tin tặc sẽ tìm thấy lỗ hổng trong hệ thống của bạn thông qua các hành vi của người dùng, để họ tiếp xúc với phần mềm độc hại. Nó sẽ ngăn chặn người dùng phát hiện hành vi bất thường về việc họ bị phơi nhiễm và nhiễm phần mềm độc hại. Chúng sẽ tập trung khai thác từ các vấn đề bảo mật trong hệ thống ứng dụng của bạn để phát tán mã độc qua emai, download.

Giai đoạn 2: Lây nhiễm và phát triển

Thiết bị của người dùng bị nhiễm mã độc sẽ bị chiếm quyền kiểm soát. Tin tặc biến chúng thành các thiết bị “zombie” thông qua các kỹ thuật như tải xuống từ website, plugin độc hại, quảng cáo hoặc tệp đính kèm email. Với botnet tập trung, thiết bị bị nhiễm sẽ được hướng đến máy chủ C&C. Với botnet P2P, quá trình lây nhiễm ngang hàng bắt đầu và các thiết bị zombie tìm cách kết nối với những thiết bị đã bị nhiễm khác.

Giai đoạn 3: Kích hoạt

Khi đã có đủ số lượng bot, kẻ điều khiển sẽ kích hoạt botnet. Các thiết bị zombie kết nối với kênh điều khiển để nhận lệnh, sau đó thực hiện đúng chỉ thị như tham gia tấn công DDoS, gửi thư rác, phát tán mã độc hoặc thu thập dữ liệu.

Botnet được dùng để làm gì?

Nhiều người chỉ biết botnet qua các vụ DDoS, nhưng đây là hạ tầng đa dụng mà kẻ tấn công có thể chuyển đổi mục đích bất cứ lúc nào. Bảng dưới đây tổng hợp các hình thức sử dụng phổ biến.

Một số botnet nổi tiếng

Các botnet dưới đây cho thấy botnet có thể gây thiệt hại thế nào ở quy mô thật, và vì sao chúng khó bị xoá sổ hoàn toàn.

• Mirai nhắm vào thiết bị IoT như camera, đầu ghi hình DVR và router, vốn còn dùng tài khoản và mật khẩu mặc định của nhà sản xuất. Mã độc thử hơn 60 cặp tài khoản phổ biến để chiếm quyền thiết bị. Cuối tháng 9 năm 2016, mã nguồn Mirai bị công bố, và ngày 21 tháng 10 năm 2016, một cuộc tấn công DDoS dùng botnet Mirai đã nhắm vào nhà cung cấp DNS Dyn, khiến nhiều dịch vụ lớn như Twitter, Netflix, Reddit và Spotify bị gián đoạn trong nhiều giờ. Dyn cho biết có hàng chục triệu địa chỉ IP gắn với botnet này tham gia cuộc tấn công.
• Emotet xuất hiện năm 2014 dưới dạng mã độc ngân hàng, sau đó phát triển thành nền tảng cho thuê để phát tán mã độc khác, điển hình là Trickbot và ransomware Ryuk, chủ yếu qua email lừa đảo. Cơ quan thực thi pháp luật nhiều quốc gia phối hợp với Europol đã đánh sập hạ tầng Emotet vào ngày 27 tháng 1 năm 2021. Europol từng mô tả đây là một trong những botnet nghiêm trọng nhất thập kỷ.
• GameOver Zeus là biến thể P2P của mã độc ngân hàng Zeus, chuyên đánh cắp thông tin đăng nhập ngân hàng để chuyển tiền trái phép, gây thiệt hại ước tính hơn 100 triệu USD. Ngày 2 tháng 6 năm 2014, Bộ Tư pháp Mỹ và FBI công bố chiến dịch quốc tế phá vỡ botnet này. Chỉ khoảng một tháng sau, các nhà nghiên cứu đã phát hiện một biến thể mới dựa trên mã nguồn cũ, cho thấy việc triệt phá botnet hiếm khi dứt điểm.

Tấn công Botnet gây ra các rủi ro như thế nào?

Botnet gây rủi ro cho doanh nghiệp theo hai hướng: hệ thống bị botnet tấn công từ bên ngoài, hoặc chính thiết bị trong hệ thống bị nhiễm và trở thành một phần của botnet.

Tấn công Botnet làm gián đoạn dịch vụ

Khi bị botnet DDoS tấn công, hệ thống phải tiếp nhận lượng lớn yêu cầu cùng lúc, dẫn đến quá tải và không thể xử lý yêu cầu hợp lệ. Người dùng không thể truy cập website, ứng dụng hay tài nguyên mạng như bình thường, trải nghiệm dịch vụ vì thế bị ảnh hưởng. Nếu thời gian gián đoạn kéo dài, doanh thu và uy tín của doanh nghiệp sẽ bị tổn hại nghiêm trọng.

Tiếp quản hệ thống

Nếu máy tính hoặc thiết bị của doanh nghiệp bị nhiễm mã độc, kẻ tấn công có thể điều khiển chúng từ xa và biến chúng thành một phần của botnet. Hệ thống khi đó không còn hoàn toàn nằm trong tay bạn, tài nguyên bị lợi dụng để tấn công đối tượng khác hoặc gửi thư rác. Địa chỉ IP của doanh nghiệp có thể bị gắn với hoạt động độc hại, ảnh hưởng đến uy tín và khả năng gửi email.

Gây tổn thất về tài chính

Những cuộc tấn công từ Botnet gây ảnh hưởng đáng kể, gây thất thoát doanh thu, tổn thất tài chính khi phải tốn chi phí để giải quyết và khôi phục trạng thái bình thường của hệ thống. Ngoài ra, điều này cũng gây ra hậu quả giảm uy tín doanh nghiệp trong mắt khách hàng.

Lỗ hổng bảo mật dữ liệu và thông tin

Mã độc cài trên thiết bị bị nhiễm có thể ghi lại thao tác bàn phím, đánh cắp mật khẩu và dữ liệu quan trọng như thông tin khách hàng, hồ sơ giao dịch hay dữ liệu dự án. Kẻ xấu có thể lợi dụng những thông tin này để truy cập trái phép, gây hại cho người dùng và làm khách hàng mất niềm tin vào doanh nghiệp. Việc để lộ dữ liệu khách hàng còn có thể kéo theo trách nhiệm pháp lý theo quy định về bảo vệ dữ liệu.

Dấu hiệu nhận biết thiết bị bị nhiễm botnet

Chủ thiết bị thường không nhận được cảnh báo rõ ràng nào, vì botnet được thiết kế để hoạt động âm thầm. Dấu hiệu dưới đây giúp bạn nghi ngờ đúng lúc, nhưng một dấu hiệu đơn lẻ chưa đủ kết luận, hãy chú ý khi có nhiều dấu hiệu xuất hiện cùng nhau.

Thiết bị chạy chậm bất thường kể cả khi không mở ứng dụng nào, quạt quay liên tục, máy nóng hoặc CPU luôn ở mức cao khi nhàn rỗi. Lưu lượng mạng tăng đột biến, đặc biệt là kết nối đi ra đến các địa chỉ lạ khi không ai sử dụng. Bạn bè hoặc đồng nghiệp báo nhận được email lạ từ tài khoản của bạn, hoặc có thư gửi đi mà bạn không viết. Phần mềm diệt virus bị tắt, không cập nhật được, hoặc xuất hiện tiến trình và chương trình khởi động lạ. Thiết bị thường xuyên treo, khởi động lại, hoặc gặp lỗi không rõ nguyên nhân.

Với quản trị viên hệ thống, tín hiệu đáng tin cậy nhất là giám sát lưu lượng ra ngoài: nhiều kết nối lặp lại đến máy chủ lạ, hoặc lượng lớn email gửi đi bất thường, thường nói lên nhiều điều hơn việc máy chậm.

Cách phòng tránh hoặc bảo vệ hệ thống khỏi tấn công Botnet

Để ngăn ngừa hiệu quả các cuộc tấn công Botnet, bạn có thể áp dụng các cách sau:

• Thiết lập tường lửa và hệ thống phát hiện/ngăn chặn xâm nhập (IDS/IPS): Giúp kiểm soát lưu lượng mạng đi qua một cách nhanh chóng và an toàn. IDS/IPS là hai công nghệ ngăn chặn xâm nhập phổ biến trong hệ thống mạng và bảo mật.
• Sử dụng các biện pháp bảo vệ ứng dụng web và API ( WAAP): Đem đến các giải pháp nâng cao để bảo vệ hệ thống của bạn khỏi các cuộc tấn công SQL, XSS và API. Nó cũng kiểm soát lưu lượng truy cập và phát hiện hành vi bất thường hiệu quả.
• Sử dụng máy chủ Mạng phân phối nội dung (CDN): giúp giảm gánh nặng cho máy chủ gốc, nâng cao khả năng chịu tải hệ thống, giảm thiếu các cuộc tấn công hệ thống. Đồng thời, giám sát và phân tích lưu lượng mạng, phát hiện và năng chặn các hoạt động đáng ngờ.
• Giám sát lưu lượng mạng để phát hiện các hoạt động đáng ngờ trong hệ thống.
• Luôn cập nhật hệ điều hành máy tính càng sớm càng tốt để tránh kẻ xấu phát hiện các lỗ hổng và xâm nhập bất hợp pháp.
• Không tải xuống tệp đính kèm hay nhấp vào liên kết từ địa chỉ email lạ.

Nói chung, bạn nên có các biện pháp thiết lập an toàn cho hệ thống để hạn chế các cuộc tấn công của kẻ xấu, để tránh gây thất thoát dữ liệu, doanh thu và uy tín của doanh nghiệp.

Cần làm gì khi hệ thống bị tấn công botnet?

Cách xử lý phụ thuộc vào việc bạn đang là mục tiêu của một cuộc tấn công DDoS hay thiết bị của bạn đã bị nhiễm và trở thành bot.

• Khi hệ thống bị tấn công DDoS: liên hệ ngay nhà cung cấp hạ tầng hoặc dịch vụ mạng để phối hợp xử lý, kích hoạt giải pháp chống DDoS hoặc CDN nếu có, giới hạn tốc độ truy cập và chặn các nguồn lưu lượng bất thường. Đồng thời ghi lại thời điểm và đặc điểm lưu lượng để phục vụ điều tra sau này.
• Khi thiết bị nghi bị nhiễm botnet: ngắt kết nối mạng của thiết bị nghi nhiễm ngay để chặn liên lạc với máy chủ điều khiển. Sau đó quét toàn bộ bằng phần mềm diệt virus đã cập nhật, gỡ các chương trình lạ, rồi đổi mật khẩu các tài khoản quan trọng từ một thiết bị sạch khác. Hãy kiểm tra cả router và các thiết bị khác trong cùng mạng, vì botnet thường lây lan sang thiết bị lân cận. Nếu mã độc quay lại sau khi làm sạch hoặc bạn không còn tin tưởng trạng thái thiết bị, cài lại hệ điều hành là lựa chọn hợp lý. Sau khi xử lý xong, hãy áp dụng các biện pháp ở phần phòng tránh phía trên để tránh bị nhiễm lại.

Kết luận

Trên đây là những chia sẻ của LANIT về Botnet là gì? Cách thức hoạt động của Botnet cũng như những nguy cơ mà tấn công này mang đến cho hệ thống mạng của doanh nghiệp. Nếu bạn còn thắc mắc hoặc cần hỗ trợ khi mua VPS, liên hệ ngay để được tư vấn chi tiết nhé!