Cơ chế lây lan của virus máy tính qua mạng LAN nội bộ

Virus và các loại mã độc lây lan qua mạng LAN nội bộ chủ yếu bằng bốn con đường: thư mục chia sẻ có quyền ghi, lỗ hổng trong dịch vụ mạng chưa vá, thông tin đăng nhập bị đánh cắp từ máy đầu tiên, và các công cụ quản trị hợp lệ bị lạm dụng. Một khi đã vào được một máy, mã độc coi mạng nội bộ như vùng đất không có hàng rào, vì phần lớn mạng văn phòng tin tưởng mọi thiết bị bên trong.

Hiểu các cơ chế này giúp quản trị viên và người dùng biết vì sao một máy nhiễm có thể kéo theo cả văn phòng, và cần làm gì để cắt đứt chuỗi lây.

Vì sao mạng nội bộ dễ bị lây lan

Mạng LAN truyền thống được thiết kế với giả định "bên trong là an toàn". Tường lửa đặt ở biên, chặn kết nối từ Internet, nhưng các máy trong cùng mạng có thể nói chuyện tự do với nhau. Máy in, máy chủ tệp, camera, máy tính nhân viên đều nằm chung một phân đoạn, cùng nhìn thấy nhau.

Khi mã độc vào được một máy qua email hay USB, nó không còn phải vượt tường lửa biên nữa. Từ vị trí đó, nó có thể dò quét và kết nối tới mọi thiết bị khác. Thuật ngữ bảo mật gọi đây là di chuyển ngang (lateral movement).

Bốn con đường lây lan chính

1. Thư mục chia sẻ và ổ mạng

Thư mục dùng chung với quyền ghi cho "Everyone" là con đường cổ điển. Mã độc sao chép bản thân vào thư mục chia sẻ, đặt tên hấp dẫn hoặc giả dạng tài liệu, chờ người khác mở. Với mã độc tống tiền, ổ mạng còn là mục tiêu mã hóa: một máy nhiễm có thể mã hóa toàn bộ tài liệu chung của phòng ban.

2. Lỗ hổng trong dịch vụ mạng

Các dịch vụ chia sẻ tệp, truy cập từ xa hay quản lý thiết bị đều lắng nghe kết nối trên mạng. Nếu một dịch vụ có lỗ hổng chưa vá, mã độc có thể khai thác để tự chạy trên máy khác mà không cần ai bấm gì. Đây là đặc tính của sâu máy tính, khác với virus truyền thống cần người dùng kích hoạt; sự khác biệt này được giải thích trong bài khác biệt giữa virus và sâu máy tính.

Những đợt bùng phát mã độc tống tiền lớn trong lịch sử từng lan cực nhanh trong mạng doanh nghiệp nhờ khai thác lỗ hổng giao thức chia sẻ tệp trên các máy Windows chưa cập nhật bản vá.

3. Thông tin đăng nhập bị đánh cắp

Mã độc hiện đại thường thu thập mật khẩu, mã băm mật khẩu hoặc vé xác thực lưu trên máy đầu tiên. Nếu nhân viên dùng chung mật khẩu quản trị cục bộ trên mọi máy, hoặc một quản trị viên từng đăng nhập vào máy bị nhiễm, kẻ tấn công có ngay chìa khóa mở các máy khác. Kết nối bằng tài khoản hợp lệ khiến hoạt động khó bị phát hiện.

4. Công cụ quản trị hợp lệ bị lạm dụng

Công cụ thực thi lệnh từ xa, phần mềm quản lý tập trung hay chính sách nhóm được thiết kế để quản trị viên triển khai phần mềm cho hàng trăm máy. Trong tay kẻ tấn công, chúng trở thành kênh phát tán mã độc hiệu quả nhất, và phần mềm diệt virus thường không chặn vì đây là công cụ hợp pháp.

Thiết bị ít được để ý

Không chỉ máy tính, các thiết bị như máy in mạng, đầu ghi camera, NAS hay thiết bị thông minh cũng nằm trong mạng LAN. Chúng thường chạy phần mềm cũ, mật khẩu mặc định và hiếm khi được cập nhật. Mã độc có thể dùng chúng làm chỗ ẩn náu hoặc bàn đạp. Rủi ro từ nhóm thiết bị này được phân tích kỹ trong bài nguy cơ mất an toàn thông tin từ thiết bị IoT.

Dấu hiệu mã độc đang lan trong mạng

• Nhiều máy cùng lúc báo cảnh báo của phần mềm bảo mật.
• Lưu lượng mạng nội bộ tăng đột biến, đặc biệt là kết nối từ một máy tới rất nhiều địa chỉ khác.
• Tài khoản bị khóa hàng loạt do đăng nhập sai liên tục.
• Xuất hiện tệp lạ có cùng tên trong nhiều thư mục chia sẻ.
• Tác vụ hoặc dịch vụ mới được tạo trên nhiều máy trong thời gian ngắn.

Nhật ký máy chủ và thiết bị mạng là nguồn bằng chứng quan trọng. Cách đọc nhật ký để tìm dấu hiệu bất thường có trong bài phân tích log máy chủ phát hiện tấn công.

Cách ngăn chặn lây lan trong LAN

Nguyên tắc chung là coi mạng nội bộ không mặc nhiên đáng tin. Máy trạm của nhân viên kế toán hầu như không cần kết nối trực tiếp tới máy trạm của nhân viên kinh doanh; chặn những kết nối không cần thiết là đã làm chậm mã độc rất nhiều.

Khi phát hiện một máy nhiễm

1. Rút cáp mạng hoặc ngắt Wi-Fi của máy đó ngay, không tắt nguồn nếu cần giữ bằng chứng.
2. Thông báo cho bộ phận IT và kiểm tra các máy cùng phân đoạn.
3. Đổi mật khẩu các tài khoản từng đăng nhập trên máy nhiễm, ưu tiên tài khoản quản trị.
4. Kiểm tra thư mục chia sẻ để tìm tệp lạ hoặc tệp bị mã hóa.
5. Làm sạch hoặc cài lại máy trước khi cho kết nối trở lại.

Các bước cách ly chi tiết hơn được trình bày trong bài hướng dẫn cách ly và loại bỏ malware.

Mạng gia đình có bị ảnh hưởng không?

Có, dù ở quy mô nhỏ hơn. Một máy tính nhiễm mã độc trong nhà có thể dò quét các thiết bị khác cùng Wi-Fi, như máy tính của người thân, NAS chứa ảnh gia đình hay camera. Đổi mật khẩu mặc định của router và thiết bị thông minh, cập nhật firmware và tách thiết bị IoT sang mạng khách là những bước đơn giản nhưng hiệu quả.