FrostyGoop

Phần mềm độc hại đã trở thành công cụ trung tâm trong các cuộc xung đột hiện đại, thường đóng vai trò là phương pháp gây ra sự gián đoạn đáng kể mà không cần sự can thiệp trực tiếp về mặt vật lý. Trong những năm gần đây, các cuộc tấn công mạng nhắm vào cơ sở hạ tầng quan trọng đã nhấn mạnh tầm quan trọng của các biện pháp an ninh mạng mạnh mẽ để bảo vệ chống lại các mối đe dọa đó.

Giới thiệu về FrostyGoop

Vào tháng 1, phần mềm độc hại nhắm vào giao thức truyền thông công nghiệp Modbus được sử dụng rộng rãi đã gây ra sự gián đoạn lớn ở Ukraine, khiến hơn 600 tòa nhà chung cư bị mất nhiệt trong hai ngày. Phần mềm độc hại này, được các nhà nghiên cứu đặt tên là FrostyGoop, khai thác giao thức Modbus để cho phép kẻ tấn công xâm nhập các hệ thống được kiểm soát công nghiệp (ICS).

Khám phá và ghi công

Trung tâm Tình huống An ninh Mạng (CSSC), một phần của Cơ quan An ninh Ukraine, đã cung cấp thông tin quan trọng giúp các chuyên gia an ninh thông tin xác định rằng FrostyGoop là nguyên nhân gây ra sự cố ngừng hoạt động. Mặc dù đã xác định được phần mềm độc hại nhưng vẫn chưa xác định được người tạo ra nó và không có tác nhân đe dọa cụ thể nào được cho là có liên quan đến sự phát triển của nó. Những người sáng tạo không xác định đang được theo dõi dưới mã định danh TAT2024-24, đánh dấu FrostyGoop là phần mềm độc hại tập trung vào ICS duy nhất thứ chín được sử dụng trong các cuộc tấn công hoặc gây gián đoạn.

Chi tiết kỹ thuật và tác động

FrostyGoop được cho là phần mềm độc hại đầu tiên nhắm mục tiêu ICS sử dụng giao thức Modbus để gây ra sự gián đoạn vật lý trong công nghệ vận hành (OT). Mặc dù không đặc biệt phức tạp, nhưng khả năng nhắm mục tiêu vào cơ sở hạ tầng quan trọng của phần mềm độc hại làm nổi bật sự tập trung ngày càng tăng của những kẻ tấn công vào các hệ thống và giao thức tối cần thiết cho hoạt động của các tiện ích như điện và nước.

Vector tấn công và thực thi

Những kẻ tấn công ban đầu đã xâm phạm mạng của nhà cung cấp năng lượng thành phố bằng cách khai thác lỗ hổng trong bộ định tuyến Microtik khoảng mười tháng trước cuộc tấn công. Trong những tháng tiếp theo, họ đã tiến hành nhiều hoạt động chuẩn bị khác nhau, bao gồm cả việc lấy thông tin xác thực của người dùng. Vài giờ trước khi xảy ra vụ việc, các kết nối từ các địa chỉ IP có trụ sở tại Moscow đã được phát hiện, cho thấy sự hiện diện của kẻ tấn công trong mạng.

Bối cảnh rộng hơn của các cuộc tấn công mạng

Cuộc tấn công FrostyGoop trùng hợp với một cuộc tấn công mạng quy mô lớn ở Ukraine, ảnh hưởng đến một số thực thể quan trọng, bao gồm công ty dầu khí lớn nhất đất nước và dịch vụ bưu chính quốc gia. Nỗ lực phối hợp này gợi ý một chiến lược tâm lý nhằm gây mất ổn định và mất tinh thần của người dân, tận dụng các phương tiện mạng thay cho các hoạt động động lực truyền thống.

So sánh và ý nghĩa

Mặc dù FrostyGoop tương đối đơn giản so với các công cụ phức tạp khác như Pipedream, nhưng hiệu quả của nó trong việc gây ra sự gián đoạn chứng tỏ rằng ngay cả các cuộc tấn công chi phí thấp cũng có thể có tác động đáng kể đến các hệ thống công nghiệp. Không giống như Pipedream, giống với Cobalt Strike về độ phức tạp, sự đơn giản của FrostyGoop không làm giảm đi sự nguy hiểm của nó.

Tiền lệ lịch sử

Đơn vị hack duy nhất được biết đến có tác động như vậy đến cơ sở hạ tầng quan trọng của Ukraine là Sandworm, một nhóm liên kết với Tổng cục Tình báo Chính của Nga. Sandworm đã nhiều lần nhắm mục tiêu vào lưới điện của Ukraine, gần đây nhất là vào tháng 10 năm 2022. Bối cảnh này nhấn mạnh bối cảnh mối đe dọa dai dẳng và ngày càng gia tăng mà Ukraine phải đối mặt.

Các biện pháp an ninh để bảo vệ

Để bảo vệ khỏi bị lây nhiễm phần mềm độc hại như FrostyGoop, người dùng và tổ chức nên triển khai các biện pháp an ninh mạng toàn diện:

• Cập nhật hệ thống thường xuyên : Đảm bảo tất cả phần mềm, bao gồm cả hệ thống ICS, được cập nhật với các bản vá bảo mật mới nhất.
• Phân đoạn mạng : Cô lập các mạng ICS quan trọng khỏi các mạng CNTT chung để hạn chế sự lây lan của phần mềm độc hại.
• Quản lý lỗ hổng : Tiến hành đánh giá bảo mật thường xuyên và giải quyết kịp thời mọi lỗ hổng được xác định.
• Xác thực mạnh : Sử dụng xác thực đa yếu tố (MFA) để bảo mật quyền truy cập vào các hệ thống nhạy cảm.
• Hệ thống phát hiện xâm nhập (IDS) : Triển khai IDS để giám sát lưu lượng mạng để phát hiện các dấu hiệu hoạt động đáng ngờ.
• Đào tạo người dùng : Giáo dục nhân viên về tầm quan trọng của an ninh mạng và các rủi ro liên quan đến lừa đảo và các cuộc tấn công kỹ thuật xã hội khác.

Phần kết luận

Sự xuất hiện của phần mềm độc hại như FrostyGoop nêu bật nhu cầu cấp thiết về cảnh giác và thực hành an ninh mạng mạnh mẽ để bảo vệ các hệ thống kiểm soát công nghiệp. Bằng cách hiểu rõ các mối đe dọa và thực hiện các biện pháp bảo mật hiệu quả, người dùng có thể bảo vệ cơ sở hạ tầng của mình tốt hơn khỏi các cuộc tấn công mạng có khả năng gây gián đoạn trên diện rộng.