Mật khẩu chửi thề "cực chất" của quản trị viên và lỗ hổng chết người phía sau

Có những quản trị viên nghĩ rằng đặt mật khẩu mang tính khiêu khích sẽ khiến hacker nản lòng. Câu chuyện dưới đây là minh chứng cho thấy ý tưởng đó vừa hài hước, vừa nguy hiểm đến mức nào.

Trong chuyên mục kể chuyện bảo mật mới nhất, chuyên gia kiểm thử xâm nhập Dahvid Schloss của Suzu Labs chia sẻ về một hợp đồng đánh giá an ninh tại một nhà máy. Doanh nghiệp này từng bị tấn công sáu tháng trước, đã tiến hành chỉnh sửa và muốn chắc chắn rằng mình đã "bất khả xâm phạm". Nhiệm vụ của Schloss: giành được quyền quản trị miền (domain admin).

Bức tường phòng thủ đầu tiên: những chiếc máy không nối mạng

Điều đầu tiên Schloss nhận thấy là hàng loạt máy chủ chạy Windows 7 vẫn đang kết nối với các máy phay CNC, dù khi đó Windows 10 đã là hệ điều hành được Microsoft hỗ trợ chính thức. Đây là tình trạng khá phổ biến ở các doanh nghiệp dùng phần mềm độc quyền, bởi họ sợ nâng cấp sẽ làm hỏng ứng dụng.

Ban đầu, việc xâm nhập gặp khó khăn vì phần lớn máy chủ đã được ngắt khỏi miền. Điều này khiến lỗ hổng EternalBlue – vốn nổi tiếng với khả năng khai thác Windows – trở nên vô dụng, bởi dù có chiếm được máy thì thông tin đăng nhập cục bộ cũng khác biệt so với phần lớn máy trạm còn lại.

Mật khẩu "để đời" bằng tiếng lóng leet

Bước ngoặt đến khi Schloss tìm thấy một máy chủ vừa nối mạng, vừa thuộc miền, vừa dính lỗ hổng EternalBlue. Anh đổ bộ nhớ LSASS và thu được một cặp thông tin đăng nhập từ WDigest, trong đó có một tài khoản trông như quản trị viên.

Thế nhưng khi đọc mật khẩu, Schloss tưởng rằng đây chỉ là trò đùa: "heyhackergof*yourself"** viết bằng leet speak (l337 5p34k). Chuỗi ký tự này thực chất là một mật khẩu mạnh, nhưng anh cho rằng nhóm quản trị đang "chơi khăm" và cố tình để lại để thử thách mình. Vì vậy, Schloss gác lại suốt một tuần.

"Bạn có thể thấy mọi người đều nhìn về phía quản lý cấp cao của bộ phận IT với ánh mắt kiểu 'chính anh làm chứ gì'. Ông ấy có vẻ mặt như thế. Tôi nghĩ 'trời ạ, cái gì thế này?'. Hóa ra 'heyhackergof***yourself' chính là mật khẩu thật của tài khoản quản trị viên đó."

Kết cục: toàn bộ hệ thống bị kiểm soát

Đến thứ Hai, Schloss thử tổ hợp tài khoản và mật khẩu này. Kết quả: anh nắm quyền kiểm soát toàn bộ mạng lưới. Từ đó, anh truy cập được nhiều mật khẩu khác, và không ít trong số đó cũng là những lời lăng mạ nhắm vào hacker.

Schloss hiểu rằng nhóm quản trị vẫn còn bức xúc vì sự cố sáu tháng trước, và nếu bị tấn công lần nữa, họ muốn "giơ ngón giữa" với kẻ đột nhập. Đáng tiếc, hệ thống của họ vẫn yếu ớt vì chiếc máy cũ nối vào miền, và chính nó đã trao quyền kiểm soát cho anh.

Bài học cho doanh nghiệp Việt Nam

Câu chuyện này đặc biệt đáng lưu tâm với các doanh nghiệp sản xuất tại Việt Nam, nơi các dây chuyền CNC và phần mềm chuyên dụng gắn chặt với những hệ điều hành đã hết hỗ trợ.

• Vá lỗi và nâng cấp hệ điều hành là ưu tiên số một, vì chính máy cũ mới là thứ mở cửa cho kẻ tấn công, không phải mật khẩu yếu.
• Tách biệt mạng OT/ICS khỏi mạng văn phòng để giảm thiểu rủi ro lan rộng khi bị xâm nhập.
• Mật khẩu chửi thề không phải chiến lược bảo mật: nó có thể mạnh về mặt kỹ thuật nhưng lại cực kỳ mất mặt nếu bị lộ, và không bù đắp được lỗ hổng hệ thống.

Suy cho cùng, việc chọc tức hacker chỉ có ý nghĩa khi hệ thống thực sự vững chắc. Còn nếu nền tảng bảo mật còn "lỏng lẻo", thì lời chửi thề sẽ chỉ là câu chuyện cười trong báo cáo kiểm thử mà thôi.