Thời gian gần đây, Trung tâm Giám sát An ninh mạng - HSOC ghi nhận xu hướng gia tăng các chiến dịch tấn công có chủ đích nhắm vào ngành tài chính, ngân hàng thông qua việc khai thác lỗ hổng trên các ứng dụng Web, API và Web Services công khai. Với đặc thù sở hữu dữ liệu khách hàng nhạy cảm, hệ thống thanh toán và tài sản tài chính có giá trị cao, các tổ chức thuộc lĩnh vực Banking, Financial Services and Insurance (BFSI) tiếp tục là mục tiêu đáng chú ý của các nhóm tấn công mạng.

Các cuộc tấn công có thể bắt đầu từ việc khai thác lỗ hổng SQL Injection (SQLi), sau đó chiếm quyền truy cập cơ sở dữ liệu, triển khai Webshell và thực thi mã từ xa (RCE). Khi kiểm soát được máy chủ ứng dụng, đối tượng tấn công có thể tiếp tục thu thập thông tin khách hàng, dữ liệu tài khoản, giao dịch và can thiệp vào quy trình thanh toán, chuyển tiền.

Đáng chú ý, hiện nay các nhóm tấn công thường sử dụng nhiều kỹ thuật né tránh và làm rối lưu lượng nhằm vượt qua các cơ chế bảo vệ truyền thống. Trong nhiều trường hợp, attacker có thể vượt qua (bypass) Web Application Firewall (WAF) thông qua việc mã hóa payload, phân mảnh truy vấn, sử dụng kỹ thuật obfuscation hoặc khai thác các lỗ hổng logic của ứng dụng. Do đó, việc triển khai WAF chỉ nên được xem là một lớp phòng thủ bổ sung và không thể thay thế cho việc khắc phục triệt để các lỗ hổng bảo mật ứng dụng.

Các hệ thống tài chính có nguy cơ bị tấn công

Đây là những điểm yếu có thể tạo điều kiện để đối tượng tấn công khai thác ứng dụng, truy cập trái phép vào dữ liệu và mở rộng quyền kiểm soát hệ thống.

Phương thức tấn công: Từ SQL Injection đến Webshell và gian lận tài chính

Giai đoạn 1: Khai thác lỗ hổng SQL Injection

Thông qua SQL Injection, kẻ tấn công có thể tìm cách vượt qua cơ chế xác thực (Authentication Bypass), truy cập dữ liệu trái phép, thu thập cấu trúc cơ sở dữ liệu hoặc thực thi các câu lệnh SQL tùy ý.

Giai đoạn 2: Triển khai Webshell trên máy chủ ứng dụng

Sau khi khai thác thành công và có được quyền truy cập hoặc khả năng ghi tệp trên máy chủ ứng dụng, đối tượng tấn công có thể tải lên và triển khai Webshell.

Việc triển khai Webshell có thể tạo bàn đạp để đối tượng tấn công tiếp tục xâm nhập sâu hơn vào hệ thống CNTT của tổ chức.

Giai đoạn 3: Thực thi mã từ xa và mở rộng quyền kiểm soát

Ở giai đoạn này, đối tượng tấn công có thể mở rộng phạm vi kiểm soát, duy trì sự hiện diện trái phép và tiếp tục thực hiện các hành vi xâm nhập.

Giai đoạn 4: Trích xuất dữ liệu và thực hiện gian lận tài chính

Đây là giai đoạn có thể gây ra thiệt hại tài chính trực tiếp, đồng thời ảnh hưởng đến tính toàn vẹn dữ liệu và hoạt động cung cấp dịch vụ của tổ chức.

Tác động đối với tổ chức tài chính và khách hàng

Việc khai thác thành công các lỗ hổng ứng dụng Web, API và Web Services có thể gây ra những hậu quả nghiêm trọng đối với cả tổ chức tài chính và khách hàng.

Đối với khách hàng:
•  Lộ thông tin định danh cá nhân.
•  Lộ thông tin tài khoản.
•  Phát sinh các giao dịch trái phép.
•  Gia tăng nguy cơ bị lừa đảo và gian lận tài chính.

Khuyến nghị phòng ngừa và khắc phục lỗ hổng

Để giảm thiểu nguy cơ bị khai thác, HSOC khuyến nghị các tổ chức BFSI triển khai đồng thời các biện pháp khắc phục lỗ hổng, tăng cường bảo vệ ứng dụng và giám sát an ninh mạng.

Rà soát và khắc phục lỗ hổng bảo mật

Tăng cường bảo vệ ứng dụng Web và API

Các đơn vị cần ưu tiên thực hiện

Giám sát SOC và nhận diện dấu hiệu tấn công

Bên cạnh việc khắc phục lỗ hổng, khả năng phát hiện sớm các hành vi bất thường đóng vai trò quan trọng trong việc hạn chế phạm vi và mức độ ảnh hưởng của sự cố. HSOC khuyến nghị các đội ngũ SOC tập trung giám sát những chỉ báo sau:

Dấu hiệu khai thác SQL Injection

Theo dõi các chuỗi và mẫu truy vấn đáng ngờ trong lưu lượng HTTP, nhật ký ứng dụng và truy cập cơ sở dữ liệu, bao gồm:

• ' OR '1'='1

• UNION SELECT

• INFORMATION_SCHEMA

• xp_cmdshell

• SLEEP()

• WAITFOR DELAY

Dấu hiệu triển khai Webshell

•  Xuất hiện tệp ASPX, PHP hoặc JSP mới không rõ nguồn gốc trên máy chủ.
•  Phát hiện Webshell trong các thư mục tải tệp (uploads).
•  Xuất hiện các yêu cầu HTTP POST bất thường tới các tệp script.
•  Phát hiện tiến trình được khởi tạo từ Web Server có dấu hiệu bất thường.

Dấu hiệu gian lận tài chính
•  Tài khoản thực hiện giao dịch ngoài khung giờ hoạt động thông thường.
•  Phát sinh nhiều yêu cầu chuyển tiền bất thường trong thời gian ngắn.
•  Giao dịch được thực hiện tới các tài khoản chưa từng phát sinh giao dịch trước đó.
•  Có thay đổi bất thường trong danh sách người thụ hưởng hoặc quy tắc thanh toán.

Hoạt động Threat Hunting

Đội ngũ SOC cần chủ động tìm kiếm dấu hiệu xâm nhập trên các hệ thống trọng yếu, tập trung vào:
•  Tìm kiếm dấu hiệu tồn tại Webshell trên máy chủ.
•  Rà soát các phiên truy cập RDP/SSH bất thường.
•  Kiểm tra các tài khoản mới được tạo.
•  Rà soát kết nối outbound tới các máy chủ C2.
•  Xác minh các hoạt động truy vấn cơ sở dữ liệu bất thường.

Các hành động ưu tiên dành cho tổ chức BFSI

Để triển khai ứng phó theo mức độ khẩn cấp, HSOC đề xuất phân chia các hành động thành ba giai đoạn: