Trong bối cảnh các chiến dịch tấn công mạng ngày càng tinh vi, việc nhận diện và đối phó với các chiêu trò lừa đảo là vô cùng quan trọng đối với các chuyên gia an ninh mạng, quản trị viên hệ thống và đội ngũ SOC. Một trong những chiến dịch đáng chú ý gần đây đã nhắm mục tiêu vào người dùng hệ thống thu phí đường bộ TxTag của Texas, sử dụng một miền lừa đảo .gov để tạo dựng vỏ bọc hợp pháp, khiến nạn nhân tin rằng họ đang nợ các khoản phí đường bộ chưa thanh toán.
Tổng quan chiến dịch lừa đảo TxTag
Chiến dịch này đặc biệt đáng ngại vì nó không chỉ mạo danh một dịch vụ công cộng mà còn lợi dụng sự tin tưởng của người dân vào các miền .gov. Mục tiêu chính của kẻ tấn công là đánh lừa người dùng, thường là các cá nhân hoặc nhân viên, khiến họ tin rằng mình có các khoản phí đường bộ chưa thanh toán. Điều này được thực hiện thông qua việc áp dụng các chiến thuật gây sợ hãi và thúc giục, đe dọa các hình phạt hoặc vấn đề liên quan đến đăng ký xe nếu không hành động ngay lập tức.
Sự tinh vi của chiến dịch nằm ở khả năng kết hợp giữa lừa đảo nhận dạng (impersonation) và kỹ thuật xã hội. Bằng cách giả mạo thương hiệu TxTag và sử dụng một miền có vẻ chính phủ (dù chỉ là trong địa chỉ email gửi đi ban đầu hoặc nội dung giả mạo), những kẻ tấn công đã tạo ra một kịch bản đủ thuyết phục để vượt qua lớp cảnh giác ban đầu của nhiều người dùng.
Các Kỹ thuật, Thủ đoạn và Quy trình (TTPs)
Chiến dịch này triển khai một chuỗi các bước được thiết kế để dẫn dắt nạn nhân từ email lừa đảo đến việc tự nguyện cung cấp thông tin cá nhân. Việc hiểu rõ các TTPs này là chìa khóa để xây dựng các biện pháp phòng thủ hiệu quả.
Lừa đảo qua email (Phishing via email)
- Email được thiết kế để trông như thể chúng đến từ một nguồn chính phủ đáng tin cậy, thường là một địa chỉ .gov giả mạo hoặc được ngụy tạo (spoofed).
- Nội dung email tập trung vào các khoản phí đường bộ chưa thanh toán, sử dụng ngôn ngữ khẩn cấp và đe dọa. Các cụm từ như “phạt nặng”, “đăng ký xe bị đình chỉ” được sử dụng để tạo áp lực tâm lý.
- Mục tiêu là khiến nạn nhân hoảng sợ và hành động nhanh chóng mà không suy nghĩ kỹ.
Sử dụng các miền lừa đảo (Deceptive Domains)
- Các liên kết nhúng trong email ban đầu không trỏ đến miền chính thức của TxTag. Thay vào đó, chúng dẫn đến các miền giả mạo, chẳng hạn như
txtag-help[.]xyz. - Miền
.xyzlà một TLD (Top-Level Domain) tương đối mới và thường được tội phạm mạng sử dụng do chi phí thấp và khả năng đăng ký dễ dàng. - Trang lừa đảo được thiết kế để bắt chước giao diện của trang web TxTag chính thức. Nó có thể sử dụng hình ảnh của thẻ thu phí, biểu tượng và các thông điệp chào mừng có vẻ hợp pháp, kết hợp với các cảnh báo về phí trễ để củng cố cảm giác cấp bách.
- Sự tương đồng về hình ảnh và thông điệp nhằm đánh lừa người dùng rằng họ đang tương tác với một dịch vụ hợp pháp.
Biểu mẫu thu thập dữ liệu (Data Collection Forms)
- Sau khi nhấp vào liên kết và được chuyển hướng đến trang lừa đảo, nạn nhân sẽ được yêu cầu điền vào các biểu mẫu để “giải quyết” khoản nợ.
- Các biểu mẫu này được thiết kế để thu thập thông tin cá nhân nhạy cảm, bao gồm:
- Tên đầy đủ (Name)
- Địa chỉ email (Email address)
- Số điện thoại (Phone number)
- Địa chỉ gửi thư (Mailing address)
- Một điểm đáng lưu ý là các trang này không yêu cầu thông tin đăng nhập tài khoản TxTag của người dùng, không giống như các hệ thống hợp pháp thường yêu cầu xác thực người dùng trước khi thực hiện giao dịch liên quan đến tài chính. Đây là một dấu hiệu cảnh báo đỏ (red flag) quan trọng mà người dùng nên nhận biết.
Các Nền tảng / Chi tiết Cơ sở hạ tầng Bị Khai thác
Việc nắm rõ các thành phần cơ sở hạ tầng được kẻ tấn công sử dụng là cực kỳ quan trọng cho việc phát hiện và chặn đứng các cuộc tấn công tương tự trong tương lai. Trong chiến dịch này, các miền lừa đảo đóng vai trò trung tâm.
Các miền liên quan
txtag-help.xyz
Miền txtag-help.xyz là miền lừa đảo chính được sử dụng để lưu trữ trang web phishing. Mặc dù không có miền .gov cụ thể nào được xác định là do kẻ tấn công sở hữu và sử dụng trực tiếp để lưu trữ trang lừa đảo, việc sử dụng các địa chỉ email có vẻ là .gov để gửi thư là một chiến thuật phổ biến để tăng độ tin cậy.
Các Chỉ số thỏa hiệp (IOCs)
Các Indicators of Compromise (IOCs) là bằng chứng quan trọng cho thấy một cuộc tấn công đã xảy ra hoặc đang diễn ra. Đối với chiến dịch này, IOCs chính tập trung vào các miền được sử dụng.
Domains:
txtag-help.xyz
Cấu trúc URL lừa đảo điển hình:
Mặc dù không có URL cụ thể nào được cung cấp ngoài miền gốc, các liên kết thường được nhúng trực tiếp vào email, trỏ đến miền lừa đảo.
Đặc điểm email:
- Email tham chiếu đến các khoản phí đường bộ chưa thanh toán.
- Sử dụng ngôn ngữ khẩn cấp và đe dọa về hình phạt hoặc vấn đề đăng ký xe.
- Có thể giả mạo địa chỉ gửi từ một miền .gov để tăng độ tin cậy.
Tóm tắt luồng tấn công
Chiến dịch này tuân theo một luồng tấn công tương đối tiêu chuẩn cho các cuộc tấn công lừa đảo, nhưng với việc tinh chỉnh để nhắm mục tiêu cụ thể và tăng cường độ tin cậy:
- Nạn nhân nhận được email: Email dường như đến từ một nguồn chính phủ (có thể là một địa chỉ .gov giả mạo) và thông báo về các khoản phí đường bộ TxTag chưa thanh toán.
- Email chứa liên kết lừa đảo: Liên kết này trỏ đến miền
txtag-help.xyz, không phải trang web chính thức của TxTag. - Nạn nhân nhấp vào liên kết: Người dùng bị chuyển hướng đến một trang web lừa đảo được thiết kế để bắt chước giao diện của TxTag, hiển thị hình ảnh thẻ thu phí và các cảnh báo về phí trễ.
- Nạn nhân điền thông tin: Người dùng được dẫn dắt qua các trang biểu mẫu thu thập thông tin liên hệ cá nhân mà không yêu cầu thông tin đăng nhập, điều này khác với quy trình xác thực thông thường của các dịch vụ hợp pháp.
- Thu thập dữ liệu: Dữ liệu cá nhân nhạy cảm được thu thập, có thể được sử dụng cho các mục đích lừa đảo tiếp theo, đánh cắp danh tính hoặc các cuộc tấn công kỹ thuật xã hội có mục tiêu cao hơn (spear phishing).
Bối cảnh bổ sung và Phân tích MITRE ATT&CK
Mặc dù bài viết ban đầu không cung cấp các thông tin chi tiết như CVEs (Common Vulnerabilities and Exposures), các họ mã độc (malware families), ID kỹ thuật MITRE ATT&CK cụ thể (ngoài gợi ý), ví dụ dòng lệnh, hàm băm tệp tin, tệp cấu hình hoặc URL cụ thể khác, nhưng chiến dịch này rõ ràng dựa vào các kỹ thuật xã hội đã biết.
Chiến dịch này sử dụng các kỹ thuật xã hội nhất quán với MITRE ATT&CK technique T1566 (Phishing). T1566 mô tả việc những kẻ tấn công gửi email lừa đảo cho nạn nhân với mục đích thu thập thông tin xác thực, tải xuống phần mềm độc hại hoặc thực hiện các hành động khác trên hệ thống nạn nhân. Trong trường hợp này, mục đích chính là thu thập dữ liệu nhạy cảm.
Việc ánh xạ chiến dịch này vào MITRE ATT&CK giúp các tổ chức:
- Hiểu rõ hơn về các kỹ thuật được kẻ tấn công sử dụng.
- Xác định các lỗ hổng trong hệ thống phòng thủ của mình liên quan đến việc chống lại T1566.
- Xây dựng các quy tắc phát hiện và phản ứng cụ thể trong SIEM (Security Information and Event Management) hoặc các nền tảng phòng thủ khác.
- Nâng cao nhận thức cho người dùng về các mối đe dọa lừa đảo.
Không có đề cập trực tiếp nào về các framework khai thác như Hacklink hay các chiến thuật đầu độc SEO (SEO poisoning) ngoài các phương pháp nhử mồi lừa đảo tiêu chuẩn qua liên kết email.
Ý nghĩa đối với các Nhà phòng thủ (SOC/SIEM/TIP)
Thông tin này có giá trị cao cho việc tích hợp vào các nền tảng tình báo mối đe dọa (Threat Intelligence Platforms – TIP) để phát triển các quy tắc phát hiện. Cụ thể, các tổ chức nên tập trung vào:
- Giám sát miền: Thiết lập cảnh báo cho bất kỳ email nào chứa miền đáng ngờ như
txtag-help.xyz, đặc biệt nếu chúng có vẻ liên quan đến các dịch vụ công hoặc thu phí. - Phân tích tiêu đề email: Kiểm tra cẩn thận tiêu đề email để phát hiện các dấu hiệu giả mạo nguồn gốc (spoofing), đặc biệt là từ các miền .gov. Triển khai và thực thi các giao thức xác thực email như SPF (Sender Policy Framework), DKIM (DomainKeys Identified Mail) và DMARC (Domain-based Message Authentication, Reporting & Conformance).
- Đào tạo nhận thức người dùng: Thường xuyên đào tạo người dùng về các chiến thuật lừa đảo mới nhất, đặc biệt nhấn mạnh các dấu hiệu cảnh báo như yêu cầu thông tin cá nhân mà không cần đăng nhập, ngôn ngữ khẩn cấp quá mức, hoặc các miền không khớp với trang web chính thức.
- Quy tắc lọc email: Cấu hình các bộ lọc email để chặn hoặc gắn cờ các thư đến từ các miền đáng ngờ hoặc có chứa các từ khóa liên quan đến “phí chưa thanh toán” kết hợp với các dấu hiệu lừa đảo.
- Giám sát lưu lượng mạng: Giám sát lưu lượng truy cập web để phát hiện kết nối đến các miền bị gắn cờ là lừa đảo.
Bằng cách chủ động sử dụng thông tin tình báo mối đe dọa này, các đội ngũ bảo mật có thể tăng cường khả năng phòng thủ và giảm thiểu rủi ro từ các chiến dịch lừa đảo tinh vi.
