Các vụ tấn công của Hacker VN
Gần đây dân IT rộ lên cái tin ku DantruongX dính chưởng. Bà con coi nhá:
Cục cảnh sát điều tra tội phạm kinh tế, Bộ Công an (C15), vừa bắt giữ Nguyễn Thành Công, một hacker nổi danh trong nước với nickname DantruongX, vì tội tấn công từ chối dịch vụ (DDoS) nhiều site thương mại điện tử. Đây là lần đầu tiên ở VN, loại tội phạm này bị bắt và nhiều khả năng chịu xử lý hình sự.
http://vnexpress.net/Vietnam/Vi-tinh...E94D4/sodo.jpg
Sơ đồ thiết lập mạng botnet và tấn công DDoS (Ảnh do BKIS cung cấp)
Ngay trong ngày bị bắt (28/4), hacker DantruongX (trú tại Đăk Lăk) đã nhận tội. Cơ quan cảnh sát khẳng định Nguyễn Thành Công còn dính líu tới một vụ việc khác liên quan đến đường dây làm giả thẻ ATM. Hiện nhân vật này được cho tại ngoại.
Ông Trần Văn Hòa, Trưởng phòng chống tội phạm công nghệ cao thuộc C15, cho biết: "Chúng tôi sẽ phải làm việc với Viện kiểm sát tối cao để có phương án xử lý thích đáng. Trường hợp của Nguyễn Thành Công đủ điều kiện để khởi tố hình sự. Đây cũng là bài học để những hacker có ý đồ xấu cần phải coi chừng".
Sau khi website thương mại điện tử của Công ty TNHH Việt Cơ bị tấn công DDoS hôm 12/3, khiến toàn bộ hoạt động của doanh nghiệp này bị tê liệt, C15 đã cùng Trung tâm An ninh mạng Đại học Bách khoa BKIS kết hợp điều tra. Kết quả phân tích file log (nhật ký trên máy chủ) từ website của Việt Cơ cho thấy đây không phải là hình thức 'đánh' sử dụng xflash vẫn thường xảy ra ở Việt Nam. Các thông tin ghi nhận được và việc lần theo dấu vết từ cơ chế tấn công đã giúp tìm ra thủ phạm là Nguyễn Thành Công, một thành viên trong nhóm hacker Bé Yêu, vốn rất có tiếng tăm trong giới "giang hồ mạng".
Nguyễn Thành Công cùng một số hacker khác đã xây dựng một hệ thống mạng máy tính ma (botnet), tức là đã chiếm được quyền điều khiển của rất nhiều máy tính nối mạng ở Việt Nam mà chủ nhân không hay biết. Những máy tính này sẽ được chúng điều khiển từ xa để tấn công vào bất kỳ website nào. "Trong hơn 1 tháng quan sát, chúng tôi nhận thấy chúng thay đổi các mục tiêu tấn công hằng ngày. Đó có thể là các website thương mại, đôi khi nạn nhân lại là trang web của một trường phổ thông", ông Nguyễn Tử Quảng cho biết.
Dù không mấy bất ngờ nhưng giới hacker cũng rất xôn xao trước thông tin DantruongX bị "tóm" bởi lẽ đây là DDoSer đầu tiên tại Việt Nam sa lưới pháp luật. Trao đổi cùng VnExpress, một hacker bộc bạch: "Có thể DantruongX xem việc DDoS Vietco chỉ nhằm thể hiện mình. Tuy nhiên không có gì ngạc nhiên khi người này bị bắt giữ bởi sự hiếu thắng luôn là điểm yếu của hacker".
Một hacker có quen biết Nguyễn Thành Công nhận định: "Chúng tôi chờ đợi và theo dõi những kẻ tổ chức DDoS đầu tiên sa lưới và việc bắt DantruongX là rất đúng. Người này từng là nhân viên của Vietco và động cơ 'đánh' Vietco không gì khác là thù hằn cá nhân với nơi làm việc cũ" .
Cũng theo người này, DantruongX là tác giả của một loại code DDoS mạnh nhất tại Việt Nam hiện nay, và với 10 PC có thể đánh sập một website trong 10 phút. Nhiều diễn đàn tin học như HVA, VHS... cũng là mục tiêu của hacker này.
Ý kiến của nhiều chuyên gia IT cho rằng trước đây, những thiệt hại do DDoS gây ra đối với các website cá nhân, forum, doanh nghiệp quy mô nhỏ không nhiều. Hơn nữa, chủ website bị DDoS cũng chẳng thiết tha khai báo sự việc nên mọi việc chìm vào quên lãng. Riêng những đợt tấn công gần đây liên quan tới các website thương mại điện tử gây thiệt hại nặng và ảnh hưởng đến sự tồn tại của doanh nghiệp nên các cơ quan chức năng đã thực sự vào cuộc.
"Việc tìm ra người đầu tiên sử dụng công cụ DDoS vào mục đích xấu này có ý nghĩa lớn trong việc răn đe, cảnh báo những DDoSer khác, làm sạch hơn môi trường thương mại điện tử và chống lại sự cạnh tranh không lành mạnh giữa các doanh nghiệp", ông Trần Hùng Cường, Giám đốc Trung tâm Cứu hộ máy tính 911, đơn vị từng bị tấn công DDoS, bày tỏ. "Nếu điều tra được thủ phạm là doanh nghiệp đứng đằng sau việc này, thiết nghĩ cũng cần có biện pháp xử lý thật thích đáng".
"Những kẻ tấn công DDoS hiện rất xem thường pháp luật, nên mỗi khi đề cập đến DDoS là các website liên tục chịu đòn. Phải coi hacker phá hoại là tội phạm và nghiêm khắc trừng trị", bà Lê Thị Uyển, người điều hành website muabanraovat.com, đồng tình. "Và nếu điều tra được tổ chức DDoS thuê, phải truy tận gốc người thuê mới mong giảm thiểu tình trạng này. Đừng để DDoS trở thành vấn nạn ngăn cản bước tiến của thương mại điện tử Việt Nam".
(VnExpress)
Cơ sở dữ liệu của HVA bị rao bán với giá 1.700 USD
Diễn đàn của Hiệp hội hacker lâu đời và có tiếng trong nước vừa bị lấy mất toàn bộ cơ sở dữ liệu và đem rao bán trên mạng. Sự kiện làm xôn xao cộng đồng online trong khi Ban quản trị HVA đang tìm mọi cách cứu vãn tình thế.
http://vnexpress.net/Vietnam/Vi-tinh...E954C/data.jpg
Một đoạn cơ sở dữ liệu của HVA được gửi lên mạng làm hàng mẫu rao bán.
(Ảnh chụp màn hình)
Sự việc bắt đầu từ rạng sáng ngày 1/5, thời điểm được cho là khá nhạy cảm khi mà hầu hết mọi người đều trong kỳ nghỉ lễ kéo dài, diễn đàn HVA đã bị một nhóm hacker lợi dụng lỗi IPB 2.x và dùng các công cụ tấn công của mạng milw00rm làm hỏng trọn bộ cơ sở dữ liệu (database).
"Vấn đề là ở chỗ HVA đặt chế độ script backup lưu 7 bản cho 7 ngày. Đến ngày thứ 8, nó xóa hết các bản cũ và bắt đầu lại từ đầu", một thành viên trong Ban quản trị HVA buồn bã nói. "Kẻ tấn công thuộc nhóm hacker Vniss đã lợi dụng điều này, đồng thời tính toán rất kỹ việc lựa chọn thời điểm tấn công. Và khi người của chúng tôi phát hiện, đăng nhập vào server thì đã quá muộn. Database đã bị tàn phá".
Theo những người cốt cán của HVA, sau thời gian bị tấn công từ chối dịch vụ (DDoS) nặng nề và liên tục vừa qua, máy chủ cũng như website (forum) của diễn đàn này đã phải cấu hình, điều chỉnh lại, cài đặt bổ sung một số tiện ích bảo mật. Nhưng do kinh phí có hạn nên quá trình nâng cấp hệ thống chưa hoàn tất. Đó là một trong những yếu tố khiến các hacker của Vniss thâm nhập thành công vào hệ thống. Hiện tại, truy cập vào hvaonline.net, người ta chỉ thấy thông báo diễn đàn ngừng hoạt động. Ban quản trị của hội hacker này cũng đã đăng trên website của các thành viên thân cận lời cáo lỗi với member: "Chúng tôi thành thật xin lỗi các thành viên và cộng đồng bảo mật vì đã khinh xuất trong công tác bảo mật hệ thống. Ban quản trị sẽ nhanh chóng tìm cách khắc phục sự cố để đưa máy chủ - forum vào hoạt động sớm".
http://vnexpress.net/Vietnam/Vi-tinh...9E954C/hva.jpg
Trang chủ của hvaonline.net lúc 13h50 ngày 3/5.
(Ảnh chụp màn hình)
Tuy nhiên, nửa ngày sau khi bị mất dữ liệu, Ban quản trị HVA đã nhận được e-mail xin lỗi của "kẻ phá hoại" mang nickname hackernohat. Lá thư có đoạn: "Xin lỗi vì đã tạo cơ hội cho hacker mũ đen hack HVA. Tôi thành thật xin lỗi vì sau khi thâm nhập vào máy chủ các anh, tôi đã đem hình ảnh tôi hack HVA giao cho một người bạn. Người này đã đem nó đăng trên VnISS+ forum nên chúng đã dựa vào nó để phát hiện lỗi của forum software của các anh. Lỗi IPB mà tôi đã dùng để hack HVA là Invision Power Board Func_msg.PHP SQL Injection Vulnerability (securityfocus.com/bid/17719)"
Người mang biệt danh hackernohat cũng đã đăng bài "khoe công trình" hack HVA lên Vniss nhưng sau đó bài này đã bị chuyển vào phần thư mục bị xóa của diễn đàn. Trong khi đó, khoảng 19h30 ngày 2/5, trên ddth.com xuất hiện mẩu quảng cáo "gây sốc" rao bán toàn bộ bài viết của forum HVA cùng 70.000 e-mail thành viên với mật khẩu đã được mã hóa và box kín của Ban quản trị... với giá 1.700 USD.
Tuy nhiên, hành động của người mang nick Bill house đăng mẩu rao vặt này đã không nhận được sự đồng tình của nhiều cư dân mạng. Đa số thành viên của ddth.com đã tỏ thái độ bất bình. Nick Samba8000 thẳng thừng tuyên bố: "Dù là Bill có thu nhặt được vài kỹ thuật xâm nhập bất hợp pháp nào đó thì cũng không nên sử dụng để chui vào một trang web của người Việt Nam. Đằng này lại còn đem rao bán những chỗ sai sót của HVA thì không phải hành động của người quân tử, không đáng mặt nam nhi".
Hacker có nick hero_zero thì phỏng đoán Vniss muốn thông qua việc này để lấy lại tiếng tăm và chứng minh sự trở lại "phong độ" sau một năm dài im hơi lặng tiếng. "Việc rao bán dữ liệu của HVA trên ddth.com khiến cư dân mạng rất quan tâm và đương nhiên Vniss không bỏ qua mục đích bôi nhọ uy tín diễn đàn này", hero_zero khẳng định.
Nếu như việc hacker chuyên dùng DDoS DantruongX "bị tóm" gần đây được đa phần cộng đồng mạng ủng hộ thì những hành động công khai khiêu khích, đấu đá lẫn nhau giữa các tổ chức ngầm của thế giới ảo lại bị chính các hacker lên tiếng phản bác. "Sự sát phạt nhau gây ra những mâu thuẫn khó hòa giải và hậu quả là tổn thất do mất uy tín, danh dự, công sức lẫn tiền của đầu tư cho diễn đàn. Còn những thành viên tham gia sẽ thiếu một nơi giao lưu học hỏi", hacker mang nick hero_zero nhận định. "Nếu cứ liên tục đấu đá nhau thì khó có diễn đàn nào trụ vững và phát triển".
Có ý kiến cho rằng, để các diễn đàn tin học thực sự là một sân chơi lành mạnh, bổ ích và chấm dứt những việc đấu đá, chứng tỏ mình thì cần thiết có sự bắt tay giữa các admin. "Hơn lúc nào hết chúng tôi hy vọng sẽ có một tổ chức kêu gọi admin các diễn đàn cùng ngồi lại với nhau và định hướng thành viên", hero_zero bày tỏ.
"Luật không thể ngăn chặn hay chấm dứt việc đấu đá giữa các forum, mà nhất thiết phải do cộng đồng hacker tự thỏa hiệp", thành viên của một nhóm hacker có nick là Wilsoninlove đồng tình. "Cần có một Hội hacker thống nhất tại Việt Nam, quy tụ các nhóm hacker hoạt động vì lợi ích của cộng đồng IT".
Vniss khẳng định không rao bán database của HVA
Những thành viên và quản trị của diễn đàn hacker Vniss đã liên hệ với tòa soạn để bày tỏ quan điểm thiện chí của mình đối với HVA. Trong khi đó, hackernohat - nhân vật đã "nhòm ngó" HVA gây nên sự rắc rối - cũng lên tiếng thanh minh.
Quản trị viên (Mod) mang nick Rekc0r, đại diện Vniss, thừa nhận, rạng sáng ngày 1/5 có 3 thành viên của Vniss tấn công vào HVA nhưng không hề tính toán ngày giờ để khai thác lỗi bảo mật. "Vniss tấn công kiểu deface đối với HVA không vì danh tiếng vụ lợi gì, chỉ đơn giản là 1 lời cảnh báo cho diễn đàn này. Những thiệt hại chúng tôi gây ra, admin HVA có thể khôi phục trong vòng 5 phút", Mod của Vniss giải thích lý do tấn công vào diễn đàn HVA.
Cũng theo người này, diễn đàn hacker lâu đời HVA đã mắc phải một lỗi bảo mật khá nguy hiểm do xử lý String của phiên bản diễn đàn Invision Power Board (IPB) ở file Search.php chứ không phải là do lỗi SQL Inject.
"Quan hệ giữa Vniss và HVA luôn luôn tốt đẹp. Chúng tôi có nắm giữ cơ sở dữ liệu của HVA, nhưng không phải là toàn bộ và chúng tôi không rao bán nó", Rekc0r bày tỏ. "Tôi xin khẳng định rằng người trong Ban quản trị của Vniss không bao giờ rao bán database của bất kỳ site nào sau khi hack xong. Hơn nữa, Vniss không phải là nhóm duy nhất khai thác lỗi bảo mật của HVA".
Còn hackernohat, người tự nhận là đã hack thành công HVA nhưng rồi để lộ thông tin gây nên nguồn cơn của sự việc rạng sáng ngày 1/5, thì khăng khăng mình chỉ thâm nhập chứ không phá hoại cơ sở dữ liệu của HVA. Và lý do của việc tấn công này là vì Ban quản trị HVA từng chặn (ban) nick của hackernohat trên diễn đàn. "Sau khi nhận được tin HVA bị Vniss deface tôi mới biết là tên 'đàn em' đã mang những tấm hình tôi hack HVA đăng trên Vniss", hackernohat kể lại. "Nhưng tôi cam đoan chỉ có thể xem dữ liệu vì đọc được pass và user database từ tệp gobal_conf.php của HVA. Còn việc phá hủy database là không thể vì tôi đã thử. Ngoài thư mục uploads thì không còn thư mục nào có thể upload hay ghi (write) file vì HVA đã chmod rất kỹ. Tôi phục họ vì khả năng chống đỡ rất tốt".
Hiện tại, mẩu rao bán cơ sở dữ liệu HVA không còn tồn tại trên trang web Diễn đàn tin học ddth.com. Cộng đồng tin học cũng cho rằng sự việc xảy ra như vậy là không đáng có bởi lẽ giữa các diễn đàn tin học hay hacker cần có sự học hỏi, hỗ trợ và chia sẻ kiến thức, kinh nghiệm với nhau. Như vậy mới có ích cho nền công nghệ thông tin của Việt Nam.
Trong khi đó, Ban quản trị HVA cho biết họ vẫn đang tìm mọi cách để phục hồi dữ liệu và một vài ngày tới hvaonline.net sẽ tiếp tục mở cửa đón thành viên.
