Máy tính zombie là thiết bị (máy tính, điện thoại, camera, bộ phát wifi, đầu thu truyền hình...) đã bị cài phần mềm độc hại và bị kẻ xấu điều khiển từ xa mà chủ nhân không hay biết. Nhiều thiết bị zombie như vậy gom lại thành mạng botnet, tiếng Việt hay gọi là "mạng máy tính ma". Chúng bị dùng để gửi thư rác, dò mật khẩu, làm nghẽn các trang web lớn. Cách tự bảo vệ cốt lõi: đổi mật khẩu mặc định, cập nhật phần mềm và phần sụn (firmware), tắt những tính năng điều khiển từ xa không dùng tới.
Bài này giải thích botnet hoạt động thế nào ở mức khái niệm và cách giữ thiết bị trong nhà không bị biến thành "xác sống". Không có hướng dẫn tấn công nào ở đây.
Vì sao gọi là "zombie"
Một thiết bị bị nhiễm thường vẫn chạy gần như bình thường. Bạn vẫn lướt web, camera vẫn quay, bộ phát wifi vẫn phát. Nhưng ở phía sau, nó đang nhận lệnh từ một máy chủ điều khiển của kẻ khác, làm những việc chủ nhân không biết. Nó "sống" với chủ nhưng "làm việc" cho người khác, đúng như hình ảnh xác sống: vẫn đi lại mà ý chí đã không còn là của mình.
Từ "bot" là viết tắt của robot, chỉ phần mềm tự động. "Botnet" là mạng (network) gồm nhiều bot. Một botnet lớn có thể gồm hàng trăm nghìn, thậm chí hàng triệu thiết bị rải khắp thế giới.
Botnet hoạt động thế nào (mức khái niệm)
Ở mức đơn giản nhất, một botnet gồm ba phần:
- Thiết bị bị nhiễm: bị cài phần mềm độc hại qua nhiều con đường, như mở tệp đính kèm lạ, cài ứng dụng không rõ nguồn, hoặc thiết bị nối mạng còn để mật khẩu mặc định của nhà sản xuất.
- Máy chủ điều khiển: nơi kẻ vận hành gửi lệnh tới các bot.
- Lệnh: tất cả bot cùng làm một việc vào cùng một lúc.
Sức mạnh của botnet nằm ở số đông. Một máy tính gửi thư rác thì dễ bị chặn. Một triệu thiết bị ở một triệu địa chỉ khác nhau cùng làm thì rất khó chặn.
Botnet bị dùng để làm gì
| Mục đích | Giải thích ngắn | Ai chịu thiệt |
|---|---|---|
| Tấn công từ chối dịch vụ (DDoS) | Hàng loạt thiết bị cùng gửi yêu cầu tới một trang web, làm trang nghẽn, không ai truy cập được | Doanh nghiệp, dịch vụ công, người dùng |
| Gửi thư rác, thư lừa đảo | Thư gửi từ hàng triệu địa chỉ khác nhau nên khó lọc | Người nhận thư |
| Dò mật khẩu hàng loạt | Thử mật khẩu bị lộ ở các dịch vụ khác nhau | Người dùng mật khẩu giống nhau ở nhiều nơi |
| Đào tiền ảo trái phép | Dùng sức tính toán của thiết bị nạn nhân | Chủ thiết bị: máy chậm, tốn điện |
| Làm "trạm trung chuyển" | Che giấu dấu vết của kẻ xấu bằng cách đi qua thiết bị nạn nhân | Chủ thiết bị có thể bị nghi oan |
Chủ thiết bị zombie thiệt hai lần: thiết bị chậm, tốn dữ liệu, có thể bị lộ thông tin riêng; và địa chỉ mạng nhà mình có thể bị đưa vào danh sách đen, bị chặn khi truy cập dịch vụ.
Mirai năm 2016: khi camera và bộ phát wifi thành đạo quân
Ví dụ hay được nhắc nhất là botnet Mirai. Năm 2016, phần mềm độc hại này lây vào hàng loạt thiết bị nối mạng như camera giám sát, đầu ghi hình, bộ phát wifi. Cách nó vào được rất đơn giản: rất nhiều thiết bị vẫn để nguyên tên đăng nhập và mật khẩu mặc định do nhà sản xuất cài sẵn.
Ngày 21 tháng Mười năm 2016, botnet này tham gia một đợt tấn công lớn vào Dyn, nhà cung cấp dịch vụ tên miền (DNS) ở Mỹ. Trong nhiều giờ, người dùng ở nhiều vùng tại Mỹ và châu Âu không truy cập được hàng loạt trang web và dịch vụ nổi tiếng. Mã nguồn của Mirai sau đó bị đăng công khai, dẫn tới nhiều biến thể mới.
Bài học từ Mirai: kẻ tấn công không cần kỹ thuật cao siêu nếu hàng triệu người dùng không đổi mật khẩu mặc định. Mỗi chiếc camera trong nhà là một "cánh cửa" ra Internet.
Botnet ở Việt Nam
Trung tâm Giám sát an toàn không gian mạng quốc gia (NCSC) công bố số liệu định kỳ về địa chỉ IP của Việt Nam nằm trong các mạng botnet. Số liệu biến động theo từng tháng, có lúc lên tới hàng trăm nghìn địa chỉ. Muốn biết con số mới nhất, nên xem trực tiếp báo cáo trên trang khonggianmang.vn.
Trang khonggianmang.vn có mục "Công cụ" với công cụ kiểm tra mạng máy tính ma, giúp người dùng biết mạng đang dùng có dấu hiệu nằm trong botnet hay không, cùng các công cụ khác như kiểm tra trang web lừa đảo, kiểm tra tài khoản bị lộ. Các công cụ có thể thay đổi theo thời gian, nên vào trang để xem danh sách hiện có.
Dấu hiệu thiết bị có thể đã thành zombie
Không có dấu hiệu nào chắc chắn, nhưng nên để ý khi:
- Máy tính, điện thoại chậm bất thường, quạt chạy nhiều dù không làm gì nặng.
- Lưu lượng dữ liệu tăng vọt không rõ lý do.
- Bạn bè nhận được thư, tin nhắn lạ "từ bạn" mà bạn không gửi.
- Một số trang web liên tục bắt bạn chứng minh "không phải robot" hoặc chặn truy cập.
- Camera, bộ phát wifi tự khởi động lại, đổi cài đặt, đèn hoạt động khi không ai dùng.
- Nhà mạng hoặc cơ quan chức năng thông báo địa chỉ mạng của bạn có dấu hiệu nhiễm.
Tự bảo vệ: danh sách việc làm ngay
Với bộ phát wifi, camera, thiết bị thông minh
- Đổi mật khẩu mặc định: cả mật khẩu wifi lẫn mật khẩu trang quản trị của thiết bị. Mật khẩu dài, khác nhau cho mỗi thiết bị.
- Cập nhật phần sụn: vào ứng dụng hoặc trang quản trị của thiết bị, bật cập nhật tự động nếu có.
- Tắt tính năng không dùng: quản trị từ xa qua Internet, UPnP, các cổng dịch vụ không cần thiết. Không chắc thì hỏi nhà mạng hoặc người lắp đặt.
- Tách mạng: nếu bộ phát wifi hỗ trợ, cho camera, ti vi, thiết bị thông minh dùng mạng khách riêng, tách khỏi máy tính, điện thoại chứa dữ liệu quan trọng.
- Thay thiết bị quá cũ: thiết bị đã hết được nhà sản xuất cập nhật thì lỗ hổng sẽ không bao giờ được vá.
- Mua của hãng rõ nguồn gốc: thiết bị trôi nổi giá rẻ thường không có cập nhật bảo mật.
Với máy tính và điện thoại
- Cập nhật hệ điều hành và ứng dụng thường xuyên.
- Chỉ cài ứng dụng từ kho chính thức; không cài phần mềm "bẻ khoá".
- Không mở tệp đính kèm, đường dẫn lạ trong thư, tin nhắn, kể cả từ người quen nếu thấy bất thường.
- Dùng phần mềm diệt virus có uy tín, bật tường lửa có sẵn của hệ điều hành.
- Bật xác thực hai lớp cho thư điện tử, mạng xã hội, ngân hàng; không dùng một mật khẩu cho nhiều nơi.
Nếu nghi thiết bị đã bị nhiễm
- Ngắt thiết bị khỏi mạng.
- Với bộ phát wifi, camera: khôi phục cài đặt gốc, cập nhật phần sụn mới nhất, đặt mật khẩu mới trước khi nối mạng lại.
- Với máy tính: quét bằng phần mềm diệt virus uy tín; nếu không chắc, nhờ kỹ thuật viên hoặc trung tâm bảo hành.
- Đổi mật khẩu các tài khoản quan trọng từ một thiết bị sạch.
- Liên hệ nhà mạng nếu được thông báo địa chỉ mạng có dấu hiệu nhiễm.
Góc nhìn hôm nay: một chiếc camera cũng là chuyện của cả cộng đồng
Điều khó chịu nhất ở botnet là nạn nhân thường không thấy mình là nạn nhân. Chiếc camera vẫn quay, wifi vẫn chạy. Nhưng mỗi thiết bị không được bảo vệ là một "người lính" trong đạo quân xác sống có thể làm sập dịch vụ của hàng triệu người khác. Bảo mật thiết bị trong nhà vì vậy không chỉ là chuyện riêng.
Muốn tìm hiểu thêm: trang khonggianmang.vn của NCSC có tin cảnh báo và công cụ kiểm tra; Cơ quan An ninh mạng và Cơ sở hạ tầng Hoa Kỳ (CISA) có nhiều tài liệu tiếng Anh dễ hiểu về bảo vệ thiết bị gia đình. Việc cố ý tham gia, thuê hoặc vận hành botnet là hành vi vi phạm pháp luật ở Việt Nam và hầu hết các nước.
Câu hỏi thường gặp
Máy tính zombie là gì?
Máy tính zombie là thiết bị bị cài phần mềm độc hại và bị kẻ xấu điều khiển từ xa mà chủ không biết. Thiết bị vẫn chạy bình thường nhưng ngầm làm theo lệnh, như gửi thư rác hoặc tham gia làm nghẽn trang web.
Botnet là gì?
Botnet, hay mạng máy tính ma, là mạng gồm nhiều thiết bị zombie cùng nhận lệnh từ một máy chủ điều khiển. Sức mạnh của nó nằm ở số đông: hàng nghìn tới hàng triệu thiết bị cùng làm một việc một lúc.
Làm sao biết máy tính có bị nhiễm botnet không?
Dấu hiệu gồm máy chậm bất thường, dữ liệu tăng vọt, bạn bè nhận tin nhắn lạ từ mình, trang web hay chặn truy cập. Có thể dùng công cụ kiểm tra mạng máy tính ma trong mục Công cụ trên khonggianmang.vn và quét bằng phần mềm diệt virus uy tín.
Camera an ninh có thể bị biến thành zombie không?
Có, và đây là loại thiết bị hay bị nhiễm nhất, như trong vụ botnet Mirai năm 2016. Nguyên nhân chủ yếu là để nguyên mật khẩu mặc định và không cập nhật phần sụn; đổi mật khẩu, cập nhật và tắt quản trị từ xa không cần thiết giúp giảm rủi ro rất nhiều.
Mirai là gì?
Mirai là phần mềm độc hại lây vào camera, đầu ghi hình, bộ phát wifi còn để mật khẩu mặc định, tạo thành botnet lớn. Ngày 21 tháng Mười năm 2016, nó tham gia tấn công nhà cung cấp DNS Dyn, khiến nhiều trang web lớn ở Mỹ và châu Âu không truy cập được trong nhiều giờ.
