0,5s định mệnh, sai số tí hon cứu cả thế giới Internet khỏi sự sụp đổ

[WhiteHat Team]

Bạn có tin rằng toàn bộ hạ tầng tài chính, quân sự và chính phủ của thế giới có thể bị đánh sập chỉ bởi một sự chậm trễ kéo dài chưa đầy một cái chớp mắt? Vào những ngày cuối tháng 3/2024, Internet đã đứng trước bờ vực của một thảm họa toàn cầu, không phải từ một cuộc tấn công rầm rộ, mà từ một kế hoạch xâm nhập thầm lặng kéo dài suốt hai năm. Đây không chỉ là một vụ hack thông thường, đó là một vở kịch hoàn hảo về sự kiên nhẫn, lòng tin bị lợi dụng và một "cánh cửa hậu" được cài cắm tinh vi đến mức suýt chút nữa đã trở thành chiếc chìa khóa vạn năng mở toang mọi hệ thống bảo mật trên toàn cầu. Hãy cùng nhìn lại toàn cảnh vụ tấn công XZ Utils, nơi sự tỉ mỉ của một kỹ sư và sai số 0,5 giây định mệnh đã cứu rỗi cả thế giới số khỏi một thảm họa không thể đảo ngược.
​

​

Chương 1: Những viên gạch vô hình của Internet​

Để hiểu được tầm vóc của câu chuyện này chúng ta cần nhìn vào cách Internet vận hành. Thế giới số không được xây dựng bởi những khối thép đồng nhất mà là sự lắp ghép của hàng triệu mảnh mã nguồn mở miễn phí. Trong số đó có XZ Utils, một thư viện nhỏ bé chuyên nhiệm vụ nén dữ liệu.

Về cơ bản cách nén dữ liệu của XZ Utils là sử dụng các thuật toán toán học phức tạp để tìm ra những cấu trúc lặp lại trong dữ liệu rồi mã hóa lại chúng một cách thông minh hơn. Điều này giúp dữ liệu thu nhỏ kích thước tối đa mà vẫn giữ được sự nguyên vẹn tuyệt đối khi giải nén. Vì hiệu suất vượt trội nên XZ Utils có mặt trong hầu hết các máy chủ Linux trên toàn thế giới từ hạ tầng ngân hàng đến hệ thống điều khiển vệ tinh.

Suốt hai thập kỷ dự án quan trọng này chỉ được duy trì bởi một người duy nhất là Lasse Collin. Ông làm việc lặng lẽ và không thù lao để chăm chút cho từng dòng mã như một người thợ thủ công tận tụy. Nhưng chính sự đơn độc của Lasse đã vô tình biến dự án này thành một "tử huyệt" cho toàn bộ hạ tầng mạng toàn cầu.​

Chương 2: Kẻ thâm nhập và chiến thuật "mưa dầm thấm lâu"​

Năm 2021 một nhân vật mang bí danh Jia Tan bắt đầu xuất hiện trong cộng đồng mã nguồn mở với một phong thái vô cùng chuyên nghiệp. Hắn không giống những tin tặc thông thường luôn tìm cách phá cửa vào hệ thống bằng những cuộc tấn công chớp nhoáng mà thay vào đó Jia Tan chọn một lộ trình kiên nhẫn đến đáng sợ. Hắn bắt đầu xây dựng vỏ bọc bằng cách đóng góp hàng loạt đoạn mã sửa lỗi nhỏ nhưng cực kỳ chất lượng cho XZ Utils nhằm chứng minh năng lực và sự tận tụy của mình đối với dự án.

Tuy nhiên đây chỉ là bề nổi của một kế hoạch thao túng tâm lý đầy tàn nhẫn. Trong khi Jia Tan đang đóng vai người đồng nghiệp mẫu mực thì một nhóm tài khoản ảo khác do đồng bọn của hắn lập ra bắt đầu tung ra những đòn tấn công dồn dập vào Lasse Collin, người duy trì dự án bấy lâu nay. Những email chỉ trích nặng nề liên tục được gửi đến để cáo buộc Lasse làm việc chậm trễ và yêu cầu ông phải nhượng lại quyền kiểm soát cho những người có năng lực hơn.

Giữa lúc Lasse đang rơi vào tình trạng kiệt sức cả về thể xác lẫn tinh thần do bệnh tật và áp lực dư luận bủa vây thì Jia Tan xuất hiện như một "vị cứu tinh" đúng lúc. Hắn lặng lẽ gánh vác những công việc nặng nhọc nhất và thể hiện sự thấu cảm sâu sắc với Lasse để dần dần chiếm trọn lòng tin tuyệt đối. Sau hơn hai năm kiên trì giăng bẫy đến năm 2023 thì Lasse đã chính thức trao quyền quản trị cao nhất cho Jia Tan. Kẻ thâm nhập lúc này đã đạt được mục đích tối thượng là nắm giữ chiếc chìa khóa vạn năng để thay đổi cốt lõi của một trong những phần mềm quan trọng nhất hành tinh ngay từ bên trong mà không gây ra bất kỳ sự xáo trộn hay nghi ngờ nào.​

Chương 3: Con ngựa thành Troy thời đại số​

Khi đã nắm trọn quyền sinh sát trong tay Jia Tan bắt đầu thực hiện một chiến dịch cài cắm tinh vi bậc nhất lịch sử phần mềm mã nguồn mở. Hắn không chọn cách chèn những dòng mã độc lộ liễu vào phần cốt lõi vì biết rằng chúng sẽ sớm bị các hệ thống quét tự động phát hiện. Thay vào đó Jia Tan đã chia nhỏ mã độc thành nhiều mảnh vụn rồi khéo léo giấu chúng bên trong các tệp tin dùng để chạy thử máy. Đây là một nước đi cực kỳ cao tay bởi các tệp tin này thường chứa dữ liệu nhị phân nhìn giống như một đống ký tự hỗn độn vô nghĩa khiến ngay cả những chuyên gia bảo mật dày dạn nhất cũng thường bỏ qua khi kiểm tra.

Sự tinh quái của Jia Tan còn nằm ở chỗ đoạn mã này không bao giờ hoạt động ngay lập tức. Hắn thiết lập để nó chỉ tự lắp ghép và kích hoạt khi phần mềm XZ Utils được cài đặt lên các hệ điều hành Linux cụ thể. Mục tiêu cuối cùng của toàn bộ kế hoạch này chính là chiếm quyền điều khiển SSH, một giao thức bảo mật cốt lõi đóng vai trò như cánh cửa chính để quản trị viên đăng nhập vào máy chủ từ xa.

Đoạn mã độc này sẽ âm thầm theo dõi mọi yêu cầu đăng nhập và chỉ phản hồi khi nhận được một "tín hiệu lạ" từ kẻ tấn công. Khi tín hiệu đó xuất hiện cửa hậu sẽ được mở toang để cho phép kẻ lạ mặt chiếm quyền kiểm soát cao nhất mà không cần mật khẩu và cũng không để lại bất kỳ dấu vết nào trong nhật ký hệ thống. Internet lúc bấy giờ chẳng khác nào một tòa thành khổng lồ mà mọi ổ khóa đều đã bị tráo lõi từ bên trong để chờ đợi ngày kẻ nắm giữ chiếc chìa khóa vạn năng xuất hiện.​

Chương 4: Sự bất thường trị giá 0,5 giây​

Trong khi Jia Tan đang chuẩn bị ăn mừng chiến thắng thì ở bên kia chiến tuyến Andres Freund đang ngồi trước màn hình máy tính tại Đức. Andres không phải là một chuyên gia an ninh mạng săn lùng tội phạm mà anh là một kỹ sư phần mềm cấp cao tại Microsoft chuyên tối ưu hóa cơ sở dữ liệu. Anh nổi tiếng trong cộng đồng công nghệ là một người có tư duy logic thép cùng sự nhạy cảm kỳ lạ với những sai sót hệ thống dù là nhỏ nhất.
​

Andres Freund là kỹ sư phần mềm ở Microsoft
​

Vào một ngày cuối tháng 3/2024 trong lúc đang chạy thử nghiệm hiệu suất Andres nhận thấy một hiện tượng kỳ quặc là quá trình đăng nhập vào máy chủ chậm hơn bình thường khoảng 0,5 giây. Với đa số mọi người thì đây là một độ trễ không đáng kể nhưng với Andres đó là một sự "phản bội" của các dòng lệnh. Anh nhận thấy CPU tiêu tốn năng lượng một cách vô lý chỉ để thực hiện một lệnh đăng nhập đơn giản.

Thay vì tặc lưỡi bỏ qua Andres quyết định lật ngược từng dòng mã để tìm cho ra bằng được nguồn gốc của sự chậm trễ đó. Anh đóng vai một thám tử lần theo từng nhịp đập của dữ liệu và tự hỏi nếu chỉ là mở một cánh cửa thì tại sao chiếc ổ khóa lại trở nên nặng nề hơn bình thường? Sau nhiều đêm thức trắng anh phát hiện ra rằng mỗi khi hệ thống khởi động nó lại bí mật kích hoạt một chuỗi lệnh lạ nằm sâu trong thư viện XZ Utils.

Càng đào sâu Andres càng bàng hoàng khi thấy đoạn mã đó hoàn toàn không có chức năng nén dữ liệu mà đang âm thầm quan sát và chờ đợi một tín hiệu bí mật từ bên ngoài. Đây chính là một "cửa hậu" được thiết kế cực kỳ tinh vi với khả năng tự ngụy trang để vượt qua mọi hàng rào an ninh thông thường. Sự tỉ mỉ đến mức cực đoan của Andres đã vô tình bóc trần toàn bộ âm mưu mà Jia Tan đã dày công xây dựng suốt hai năm ngay trước khi cái bẫy này kịp sập xuống toàn thế giới.​

Chương 5: Báo động đỏ toàn cầu​

Ngày 29/03/2024, Andres phát đi báo cáo gây chấn động cộng đồng an ninh mạng. Toàn bộ thế giới công nghệ rơi vào trạng thái báo động đỏ. Các tổ chức lớn nhất từ Red Hat đến Debian lập tức thu hồi các bản cập nhật nhiễm độc. Thế giới an ninh mạng rơi vào trạng thái báo động đỏ vì họ nhận ra rằng chỉ chậm chân thêm vài tuần nữa thôi thì mọi máy chủ trên hành tinh sẽ nằm dưới sự kiểm soát của một bàn tay vô hình.

Sự kịch tính chưa dừng lại ở đó khi ngay lúc báo động được phát ra thì Jia Tan cùng toàn bộ mạng lưới tài khoản ảo cũng lập tức tan biến vào hư không. Mọi dấu vết về danh tính cũng như địa chỉ thực sự của kẻ thâm nhập đều được xóa sạch một cách chuyên nghiệp như chưa từng tồn tại trên đời. Đến tận bây giờ sự thật về Jia Tan vẫn là một hố đen đầy bí ẩn đối với các cơ quan tình báo mạng. Không ai dám khẳng định đây là một cá nhân đơn độc hay là một tổ chức gián điện tinh nhuệ được bảo trợ bởi một quốc gia có tiềm lực công nghệ khổng lồ. Tuy nhiên phong cách làm việc kỷ luật và khả năng kiên nhẫn suốt 700 ngày đã cho thấy đây là một chiến dịch có mục tiêu chính trị rõ ràng chứ không đơn thuần là một vụ tấn công đòi tiền chuộc.

Vụ việc XZ Utils đã để lại một vết sẹo lớn trong lòng cộng đồng mã nguồn mở. Nó phơi bày một sự thật trần trụi rằng những hạ tầng tỉ đô của thế giới lại đang dựa dẫm vào những dự án nhỏ bé được duy trì bởi những tình nguyện viên cô độc và kiệt sức. Câu chuyện này không chỉ là một chiến thắng của sự tỉ mỉ mà còn là một lời cảnh tỉnh về sự mong manh của thế giới số nơi một dự án khổng lồ có thể sụp đổ chỉ vì một chiếc ốc vít bị đánh tráo bên trong ổ khóa. Jia Tan có thể đã biến mất nhưng bóng ma của cuộc tấn công này vẫn đang nhắc nhở chúng ta rằng đâu đó ngoài kia những "kẻ thợ xây" thầm lặng khác có lẽ vẫn đang kiên nhẫn chờ đợi thời cơ để đánh tráo linh hồn của Internet một lần nữa.​

Theo Veritasium​