Giải phẫu AVrecon: Mạng lưới botnet ẩn mình trong hàng trăm ngàn router gia đình

[Sevastopol]

Chào anh em, khi nhắc đến mã độc, chúng ta thường nghĩ ngay đến việc máy tính hay điện thoại bị theo dõi, đánh cắp dữ liệu. Nhưng sẽ ra sao nếu "kẻ phản bội" lại chính là chiếc router (bộ định tuyến) phát Wi-Fi âm thầm hoạt động ở góc nhà hay văn phòng của bạn?

Mới đây, Cục Điều tra Liên bang Mỹ (FBI) cùng các liên minh an ninh mạng toàn cầu đã báo cáo triệt phá một chiến dịch phần mềm độc hại có tên là AVrecon. Không phô trương, không đòi tiền chuộc, AVrecon lặng lẽ biến hàng trăm ngàn thiết bị định tuyến thành những "trạm trung chuyển" (residential proxies) để tiếp tay cho tội phạm mạng toàn cầu dưới vỏ bọc dịch vụ mang tên SocksEscort. Cùng giải phẫu con mã độc này để xem cách nó vượt qua các chốt chặn an ninh như thế nào nhé!
​

​

Quy mô của chiến dịch "bóng ma"​

SocksEscort không phải là một cái tên mới, hệ thống này đã bắt đầu thu thập và rao bán quyền truy cập vào khoảng 369.000 thiết bị bị lây nhiễm kể từ năm 2020. Phạm vi hoạt động của chúng vô cùng rộng, nhắm mục tiêu đến các bộ định tuyến và thiết bị IoT trải dài trên khoảng 163 quốc gia.

Để chặt đứt đường dây này, một chiến dịch hợp tác quy mô lớn đã được triển khai, bao gồm sự tham gia của FBI, EUROPOL, Văn phòng Chống Tội phạm Không gian mạng Pháp (OFAC), Cảnh sát Quốc gia Hà Lan, Cảnh sát Hình sự Áo (BK) cùng nhiều cơ quan tình báo và tài chính khác của Hoa Kỳ.​

Giải phẫu kỹ thuật mã độc AVrecon​

Vậy AVrecon đã làm cách nào để lây nhiễm và "nằm vùng" một cách hoàn hảo đến vậy? Dưới góc nhìn kỹ thuật, đây là một họ mã độc được thiết kế vô cùng bài bản.​

• Mục tiêu nhắm tới: AVrecon chủ yếu nhắm vào các kiến trúc vi xử lý MIPS và ARM, được viết bằng ngôn ngữ C. Nạn nhân của chúng là khoảng 1.200 mẫu thiết bị đến từ các thương hiệu phổ biến như Cisco, D-Link, Hikvision, MicroTik, Netgear, TP-Link, và Zyxel.​
• Khai thác lỗ hổng: Thay vì dùng các kỹ thuật phức tạp, hacker khai thác trực tiếp các lỗ hổng đã biết nhưng chưa được vá trên các bộ định tuyến văn phòng nhỏ/gia đình (SOHO), điển hình như lỗi RCE và Command injection. Ngoài ra, chúng còn lạm dụng các giao diện SOAP (Simple Object Access Protocol) bị phơi nhiễm Internet.​
• Cơ chế hoạt động linh hoạt: AVrecon sở hữu một bộ khung điều khiển (C2) mang tính mô-đun. Nó không chỉ biến thiết bị thành proxy, mà còn có khả năng cập nhật cấu hình, thiết lập một vỏ điều khiển từ xa về máy chủ của hacker và hoạt động như một trình tải để thả thêm các mã độc khác vào hệ thống.​

Sự lỳ lợm của AVrecon nằm ở cách nó "bám rễ" vào thiết bị. Trong một số trường hợp, mã độc sẽ can thiệp thẳng vào tính năng cập nhật của thiết bị để nạp một bản firmware tùy chỉnh, được cấu hình cứng để khởi chạy AVrecon ngay khi thiết bị bật lên. Đáng sợ hơn, chúng âm thầm vô hiệu hóa tính năng cập nhật và chạy lại phần mềm của thiết bị, biến router thành một "zombie" vĩnh viễn. Nếu không có cơ chế bám rễ, mã độc sẽ biến mất khi khởi động lại thiết bị. Tuy nhiên, máy chủ C2 của chúng được lập trình sẵn để ngay lập tức nhận diện thiết bị mất kết nối và tự động lây nhiễm lại bằng chính lỗ hổng ban đầu.

Cơ chế liên lạc tàng hình: Giao tiếp giữa thiết bị nhiễm và máy chủ C2 được thực hiện chủ yếu qua cổng 8080 và 8000. AVrecon sử dụng một vòng lặp giao tiếp cứ mỗi 60 giây lại trao đổi cặp từ khóa "PING" và "PONG" cho đến khi máy chủ C2 ra lệnh. Khi có lệnh, nó ngắt vòng lặp PING/PONG để mở một đường hầm (tunnel) tới máy chủ tiếp sóng của SocksEscort.​

Từ router gia đình đến đồng phạm​

Bằng việc chiếm quyền điều khiển hàng trăm ngàn router, SocksEscort bán quyền truy cập mạng lưới proxy dân cư này cho các nhóm tội phạm mạng khác. Khi lưu lượng truy cập độc hại được định tuyến qua mạng Wi-Fi nhà bạn, nó trông giống hệt như một truy cập hợp lệ từ người dùng thông thường. Điều này giúp các băng đảng dễ dàng qua mặt các bộ lọc website và danh sách chặn. Từ đó, chúng thực hiện trót lọt các chiến dịch lừa đảo quảng cáo, rà quét mật khẩu, gian lận ngân hàng, lừa đảo tình cảm và nhiều hoạt động phi pháp khác.

Mặc dù chưa ghi nhận trường hợp AVrecon dùng router làm bàn đạp để tấn công sâu vào mạng nội bộ nhưng nguy cơ bị đánh cắp dữ liệu nhạy cảm hay phát tán mã độc tống tiền là hoàn toàn có thể xảy ra.​

Chuyên gia WhiteHat: Thiết bị còn chạy tốt khác thiết bị an toàn​

AVrecon cho thấy mức độ tàn phá của những "thiết bị bị lãng quên". Mã độc này sống ký sinh dựa trên việc khai thác các lỗ hổng đã biết trên các thiết bị định tuyến SOHO (văn phòng nhỏ/gia đình) và thiết bị IoT. Điều này có nghĩa là chúng hoàn toàn vô tác dụng trước các hệ thống được bảo trì thường xuyên, nhưng lại là "tử thần" đối với những thiết bị chạy firmware lỗi thời hoặc đã bị nhà sản xuất "chuyển kiếp" tức hết vòng đời hỗ trợ.

Dù chiến dịch càn quét phối hợp giữa FBI và các cơ quan tình báo quốc tế đã giáng đòn chí mạng vào hạ tầng SocksEscort, đánh sập mạng lưới từ đỉnh điểm từ 369.000 thiết bị lây nhiễm xuống chỉ còn khoảng 8.000 thiết bị hoạt động (2026). Tuy nhiên, gốc rễ của sự cố vẫn chưa được nhổ bỏ hoàn toàn. Chỉ cần các thiết bị cũ chưa được vá lỗi còn kết nối Internet, bất kỳ nhóm tin tặc nào khác cũng có thể tái sử dụng kịch bản cũ để tái nhiễm và chiếm quyền kiểm soát.

Để không biến hạ tầng của mình thành "trạm trung chuyển" hay "botnet" trong tay tội phạm, anh em quản trị viên và người dùng cần thiết lập ngay các chốt chặn an ninh sau:​

• Thanh lọc thiết bị "hết đát": Đừng chần chừ hay tiếc rẻ những thiết bị không còn được nhà sản xuất tung ra bản vá bảo mật. Giải pháp duy nhất và triệt để nhất là loại bỏ và thay thế bằng các thiết bị thế hệ mới.​
• Quản trị bản vá: Với các thiết bị còn hỗ trợ, việc cập nhật liên tục firmware, hệ điều hành là ưu tiên số một để bịt kín các lỗ hổng dai dẳng. Lưu ý thao tác khởi động lại hay khôi phục cài đặt gốc chỉ lọc mã độc tạm thời ra khỏi bộ nhớ. Nếu firmware không được nâng cấp, thiết bị sẽ bị tái nhiễm tự động.​
• Thu hẹp bề mặt tấn công:​
  • Không sử dụng mật khẩu mặc định, tiến hành thay mới toàn bộ theo tiêu chuẩn mật khẩu mạnh.​
  • Không phơi nhiễm giao diện quản trị ra Internet. Tắt ngay tính năng Quản trị từ xa nếu không thực sự cần thiết, hoặc kiểm soát gắt gao bằng danh sách kiểm soát truy cập và firewall.​
  • Bật tối đa các "lá chắn" tích hợp sẵn trên router: Ghi logs, kích hoạt tính năng tự động cập nhật.​
• Giám sát và cách ly: Điểm yếu chí mạng của phần lớn router và thiết bị IoT là chúng không thể cài đặt các giải pháp bảo mật đầu cuối (AV/EDR). Do đó, anh em cần áp dụng chiến lược phân vùng mạng. Hãy đưa các thiết bị này vào những phân vùng riêng biệt, giám sát chặt chẽ để ngăn chặn nguy cơ tin tặc dùng chúng làm bàn đạp "di chuyển ngang" nhằm thọc sâu vào đánh cắp dữ liệu trong mạng nội bộ doanh nghiệp.​