FBI Mỹ phối hợp với Cảnh sát Hoàng gia Canada thu giữ các tên miền của NightmareStresser, một trong những dịch vụ cho thuê tấn công từ chối dịch vụ phân tán (DDoS) hoạt động lâu năm trên Internet. Theo hồ sơ của nhà chức trách Mỹ, nền tảng này đã được sử dụng để thực hiện hoặc phát động hàng trăm nghìn cuộc tấn công nhằm vào nạn nhân trên toàn thế giới kể từ năm 2022.
Bộ Tư pháp Mỹ công bố chiến dịch ngày 15/9, cho biết việc thu giữ các tên miền được thực hiện theo lệnh của tòa án tại Alaska. Hai tên miền chính của NightmareStresser hiện hiển thị thông báo bị FBI thu giữ. Chiến dịch có sự phối hợp của FBI Anchorage và Cảnh sát Hoàng gia Canada, trong khuôn khổ Operation PowerOFF, chiến dịch quốc tế nhằm triệt phá các dịch vụ DDoS cho thuê.
Bộ Tư pháp Mỹ công bố chiến dịch ngày 15/9, cho biết việc thu giữ các tên miền được thực hiện theo lệnh của tòa án tại Alaska. Hai tên miền chính của NightmareStresser hiện hiển thị thông báo bị FBI thu giữ. Chiến dịch có sự phối hợp của FBI Anchorage và Cảnh sát Hoàng gia Canada, trong khuôn khổ Operation PowerOFF, chiến dịch quốc tế nhằm triệt phá các dịch vụ DDoS cho thuê.
Chỉ cần trả tiền là có thể thuê người khác tấn công
NightmareStresser thuộc nhóm dịch vụ thường được gọi là booter hoặc stresser. Về bản chất, đây là những nền tảng cho phép khách hàng trả tiền để yêu cầu hệ thống của nhà cung cấp tạo ra lưu lượng truy cập cực lớn hướng tới một mục tiêu.
Khi lượng truy cập giả mạo vượt quá khả năng xử lý của máy chủ hoặc đường truyền, dịch vụ trực tuyến của nạn nhân có thể chậm nghiêm trọng hoặc hoàn toàn không thể truy cập. Điểm nguy hiểm của mô hình này là người muốn thực hiện DDoS không cần tự xây dựng mạng botnet hay sở hữu hạ tầng tấn công. Họ chỉ cần đăng ký dịch vụ, nhập địa chỉ mục tiêu và lựa chọn gói tấn công.
NightmareStresser từng tự quảng bá như một dịch vụ “IP booter” hoạt động liên tục. Theo dữ liệu được công ty an ninh mạng Searchlight Cyber ghi nhận trước đây, nền tảng này từng có hơn 566.000 tài khoản đăng ký và 52 máy chủ chuyên dụng, với khả năng thực hiện các cuộc tấn công có quy mô lên tới 200 Gbps. Tuy nhiên, con số tài khoản đăng ký không đồng nghĩa với 566.000 người đều đã thực hiện tấn công. Đây là số liệu lịch sử được Searchlight Cyber ghi nhận về nền tảng.
Khi lượng truy cập giả mạo vượt quá khả năng xử lý của máy chủ hoặc đường truyền, dịch vụ trực tuyến của nạn nhân có thể chậm nghiêm trọng hoặc hoàn toàn không thể truy cập. Điểm nguy hiểm của mô hình này là người muốn thực hiện DDoS không cần tự xây dựng mạng botnet hay sở hữu hạ tầng tấn công. Họ chỉ cần đăng ký dịch vụ, nhập địa chỉ mục tiêu và lựa chọn gói tấn công.
NightmareStresser từng tự quảng bá như một dịch vụ “IP booter” hoạt động liên tục. Theo dữ liệu được công ty an ninh mạng Searchlight Cyber ghi nhận trước đây, nền tảng này từng có hơn 566.000 tài khoản đăng ký và 52 máy chủ chuyên dụng, với khả năng thực hiện các cuộc tấn công có quy mô lên tới 200 Gbps. Tuy nhiên, con số tài khoản đăng ký không đồng nghĩa với 566.000 người đều đã thực hiện tấn công. Đây là số liệu lịch sử được Searchlight Cyber ghi nhận về nền tảng.
Hàng trăm nghìn cuộc tấn công từ năm 2022
Theo bản khai trong hồ sơ xin lệnh thu giữ, NightmareStresser đã được sử dụng để thực hiện hàng trăm nghìn cuộc tấn công hoặc âm mưu tấn công DDoS nhằm vào các mục tiêu trên toàn cầu kể từ năm 2022. Nhà chức trách Mỹ cho biết nạn nhân bao gồm các cơ sở giáo dục, cơ quan chính phủ, nền tảng game và hàng triệu người dùng Internet.
DDoS không nhất thiết khiến dữ liệu trong máy chủ bị đánh cắp. Mục tiêu chính thường là làm cạn kiệt tài nguyên của hệ thống để người dùng hợp pháp không thể truy cập dịch vụ.
DDoS không nhất thiết khiến dữ liệu trong máy chủ bị đánh cắp. Mục tiêu chính thường là làm cạn kiệt tài nguyên của hệ thống để người dùng hợp pháp không thể truy cập dịch vụ.
Với doanh nghiệp, hậu quả có thể là website ngừng hoạt động, hệ thống bán hàng bị gián đoạn hoặc khách hàng không thể sử dụng dịch vụ. Với trường học, cơ quan nhà nước hay nền tảng game, một cuộc tấn công kéo dài cũng có thể ảnh hưởng trực tiếp đến hàng nghìn hoặc hàng triệu người dùng.
Đáng chú ý là các dịch vụ DDoS cho thuê đã biến một kỹ thuật vốn đòi hỏi kiến thức và hạ tầng đáng kể thành một loại dịch vụ tội phạm có sẵn trên Internet.
NightmareStresser từng bị thu giữ nhưng xuất hiện trở lại
Đây cũng không phải lần đầu NightmareStresser lọt vào tầm ngắm của cơ quan chức năng Mỹ.
Bộ Tư pháp Mỹ từng thu giữ một tên miền liên quan đến NightmareStresser vào năm 2022. Trong những năm tiếp theo, dịch vụ và các nền tảng DDoS tương tự tiếp tục xuất hiện dưới những tên miền và hạ tầng khác nhau.
Thực tế này cho thấy một khó khăn lớn trong việc triệt phá DDoS-as-a-Service: đóng một website không đồng nghĩa với việc toàn bộ mô hình kinh doanh tội phạm biến mất.
Các nhà cung cấp có thể chuyển sang tên miền mới, thay đổi máy chủ hoặc xây dựng lại nền tảng. Trong khi đó, khách hàng của họ có thể tiếp tục tìm kiếm một dịch vụ khác.
Đó là lý do Operation PowerOFF được triển khai như một chiến dịch dài hạn, với sự tham gia của nhiều cơ quan thực thi pháp luật quốc tế. Trong khoảng tám năm qua, các công tố viên và điều tra viên Mỹ tại Alaska và Los Angeles đã truy tố 12 người liên quan đến các dịch vụ DDoS cho thuê và thu giữ hơn 100 tên miền.
Bộ Tư pháp Mỹ từng thu giữ một tên miền liên quan đến NightmareStresser vào năm 2022. Trong những năm tiếp theo, dịch vụ và các nền tảng DDoS tương tự tiếp tục xuất hiện dưới những tên miền và hạ tầng khác nhau.
Thực tế này cho thấy một khó khăn lớn trong việc triệt phá DDoS-as-a-Service: đóng một website không đồng nghĩa với việc toàn bộ mô hình kinh doanh tội phạm biến mất.
Các nhà cung cấp có thể chuyển sang tên miền mới, thay đổi máy chủ hoặc xây dựng lại nền tảng. Trong khi đó, khách hàng của họ có thể tiếp tục tìm kiếm một dịch vụ khác.
Đó là lý do Operation PowerOFF được triển khai như một chiến dịch dài hạn, với sự tham gia của nhiều cơ quan thực thi pháp luật quốc tế. Trong khoảng tám năm qua, các công tố viên và điều tra viên Mỹ tại Alaska và Los Angeles đã truy tố 12 người liên quan đến các dịch vụ DDoS cho thuê và thu giữ hơn 100 tên miền.
Không chỉ là chuyện của các hệ thống lớn
DDoS thường được nhắc đến trong các vụ tấn công nhằm vào doanh nghiệp lớn hoặc cơ quan chính phủ, nhưng mô hình DDoS cho thuê khiến bất kỳ dịch vụ trực tuyến nào cũng có thể trở thành mục tiêu. Các nền tảng game, máy chủ cá nhân, website doanh nghiệp nhỏ hay dịch vụ trực tuyến đều có thể bị đánh phá nếu kẻ tấn công thuê được hạ tầng phù hợp.
Đối với người dùng thông thường, hậu quả dễ nhận thấy nhất là một dịch vụ họ đang sử dụng đột nhiên không thể truy cập. Tuy nhiên, DDoS cũng có thể được sử dụng như một công cụ gây áp lực, phá hoại hoạt động kinh doanh hoặc đánh lạc hướng trong một chiến dịch tấn công mạng lớn hơn. Các nhà chức trách Mỹ chưa công bố danh tính quản trị viên NightmareStresser hay thông tin về các vụ bắt giữ trong đợt thu giữ mới nhất. Hành động lần này tập trung vào việc vô hiệu hóa hạ tầng của dịch vụ.
Cuộc chiến chống DDoS hiện không chỉ là câu chuyện về bảo vệ máy chủ. Khi các dịch vụ tấn công được thương mại hóa và cung cấp cho bất kỳ ai sẵn sàng trả tiền, việc ngăn chặn nguồn cung cũng trở thành một phần quan trọng trong bảo vệ Internet.
Với doanh nghiệp vận hành dịch vụ trực tuyến, bên cạnh các biện pháp phòng chống DDoS, việc xây dựng phương án dự phòng, giám sát lưu lượng bất thường và chuẩn bị kịch bản ứng phó khi dịch vụ bị quá tải là cần thiết. Còn với người dùng, nếu một website hoặc dịch vụ đột nhiên không thể truy cập, đó có thể chỉ là sự cố kỹ thuật, nhưng cũng có thể là dấu hiệu của một cuộc tấn công DDoS đang diễn ra.
Đối với người dùng thông thường, hậu quả dễ nhận thấy nhất là một dịch vụ họ đang sử dụng đột nhiên không thể truy cập. Tuy nhiên, DDoS cũng có thể được sử dụng như một công cụ gây áp lực, phá hoại hoạt động kinh doanh hoặc đánh lạc hướng trong một chiến dịch tấn công mạng lớn hơn. Các nhà chức trách Mỹ chưa công bố danh tính quản trị viên NightmareStresser hay thông tin về các vụ bắt giữ trong đợt thu giữ mới nhất. Hành động lần này tập trung vào việc vô hiệu hóa hạ tầng của dịch vụ.
Cuộc chiến chống DDoS hiện không chỉ là câu chuyện về bảo vệ máy chủ. Khi các dịch vụ tấn công được thương mại hóa và cung cấp cho bất kỳ ai sẵn sàng trả tiền, việc ngăn chặn nguồn cung cũng trở thành một phần quan trọng trong bảo vệ Internet.
Với doanh nghiệp vận hành dịch vụ trực tuyến, bên cạnh các biện pháp phòng chống DDoS, việc xây dựng phương án dự phòng, giám sát lưu lượng bất thường và chuẩn bị kịch bản ứng phó khi dịch vụ bị quá tải là cần thiết. Còn với người dùng, nếu một website hoặc dịch vụ đột nhiên không thể truy cập, đó có thể chỉ là sự cố kỹ thuật, nhưng cũng có thể là dấu hiệu của một cuộc tấn công DDoS đang diễn ra.
Được phối hợp thực hiện bởi các chuyên gia của Bkav,
cộng đồng An ninh mạng Việt Nam WhiteHat
và cộng đồng Khoa học công nghệ VnReview
