Tấn công lừa đảo sử dụng Hệ thống tệp liên mạng (IPFS) và cách thức phòng chống

Hiện nay, khi mức độ phổ biến của Hệ thống tệp liên mạng (Interplanetary File System- IPFS) ngày càng phát triển, cũng kéo theo những rủi ro và mối đe dọa bởi tội phạm mạng nhanh chóng phát triển các kỹ thuật tấn công và lợi dụng công nghệ IPFS để mở rộng hoạt động phạm tội. Các cuộc tấn công này thậm chí còn trở nên nguy hiểm hơn khi nhiều dịch vụ lưu trữ tệp, lưu trữ web và đám mây hiện đang sử dụng IPFS.

Xu hướng gần đây cho thấy sự gia tăng đáng lo ngại các cuộc tấn công lừa đảo tận dụng IPFS, trong đó kẻ tấn công lạm dụng tính chất phi tập trung của công nghệ này để lưu trữ và phân phối nội dung độc hại. Bài viết này trình bày tổng quan và thực trạng tấn công lừa đảo IPFS, từ đó đưa ra phương pháp phù hợp để phòng tránh trước các cuộc tấn công lừa đảo IPFS.

Tổng quan về tấn công lừa đảo lợi dụng IPFS

IPFS là một hệ thống tệp tin phân tán ngang hàng kết nối các thiết bị máy tính với nhau. Cụ thể hơn, nó sẽ phân phối dữ liệu được lưu trữ theo hình thức P2P (mạng ngang hàng), mà không yêu cầu bên thứ ba hoặc máy chủ quản lý tập trung. Trong đó, các hoạt động của IPFS chủ yếu dựa vào khả năng tính toán băng thông của tất cả các máy tham gia, chứ không tập trung vào một phần nhỏ các máy chủ trung tâm như giao thức HTTP. Mỗi máy tính trong mạng lưới đảm nhận nhiệm vụ tải xuống (download) và tải dữ liệu lên (upload) mà không cần sự can thiệp của máy chủ tập trung.

Cấu trúc của IPFS tương tự như BitTorrent, cũng là một mạng phân tán- nơi việc trao đổi tệp diễn ra trực tiếp giữa các máy tính của người dùng, mỗi máy tính trong mạng lưới đóng vai trò cả nguồn tải và điểm đích của dữ liệu. Với IPFS, một tệp được xác định bằng địa chỉ tài nguyên của nó. Mọi dữ liệu sẽ được mã hóa và lưu dưới dạng mã băm, khi trình duyệt muốn truy cập một tài nguyên trên IPFS, nó chỉ cần cung cấp mã băm của tài nguyên đó và mạng sẽ tìm máy tính lưu trữ dữ liệu phù hợp.

Trong nửa cuối năm 2022, tội phạm mạng bắt đầu tiến hành các cuộc tấn công lừa đảo lợi dụng IPFS. Các nhà nghiên cứu của Kaspersky đã phát hiện từ 2.000 đến 15.000 email lừa đảo sử dụng IPFS mỗi ngày. Kể từ năm 2023, Kaspersky cho biết hành vi lừa đảo lợi dụng IPFS bắt đầu phát triển về quy mô, khi ghi nhận một số đợt tăng vọt vào tháng 1 và tháng 2, với hơn 24.000 email mỗi ngày, với mức cao nhất đạt tới 34.000 đến 37.000 email mỗi ngày.

Theo thống kê của hãng bảo mật Avast, trong quý I/2023, số lượng trang web lừa đảo sử dụng IPFS được phát hiện bằng tổng số trang web được tìm thấy trong cả năm 2022. Sự tăng trưởng nhanh chóng này tiếp tục kéo dài đến tháng 4/2023, chứng kiến mức tăng kỷ lục 173% về số lượng trang web lừa đảo sử dụng IPFS được phát hiện so với đến hết năm 2022. Hoạt động lừa đảo IPFS gia tăng chứng tỏ rằng tội phạm mạng không ngừng tìm kiếm các phương pháp mới để khai thác người dùng và luôn đi trước các biện pháp phòng thủ.

Phương thức tấn công lừa đảo IPFS

Với tính chất phi tập trung của IPFS, tội phạm mạng đang ngày càng sử dụng các trang web dữ liệu P2P để cài đặt phần mềm độc hại và đánh cắp thông tin cá nhân của người dùng. Chúng tận dụng mạng IPFS để làm cơ sở hạ tầng lưu trữ bộ công cụ lừa đảo, vì có thể dễ dàng ngụy trang các hoạt động của mình. Hơn thế nữa, bất kỳ dữ liệu độc hại nào được tải lên một trong các mạng (hoặc nút) được kết nối đều có thể được phân phối đến các mạng khác. Ngoài ra, những tệp này chỉ có thể bị xóa bởi chủ sở hữu của chúng, do đó nội dung lừa đảo trên IPFS có thể dễ dàng phát tán và khó phát hiện hơn.

Những kẻ tấn công có thể sử dụng một trong các phương pháp tấn công lừa đảo sau:

- URL độc hại: Tin nhắn văn bản lừa đảo, email, tin nhắn trực tiếp, cửa sổ bật lên hoặc các phương tiện khác nhằm đánh lừa người dùng nhấp vào liên kết dẫn đến cổng IPFS độc hại.

- Giả mạo DNS: Tạo máy chủ DNS giả để chuyển hướng đến cổng IPFS độc hại để lưu trữ một trang web giả mạo.

- Giả mạo chứng chỉ SSL: Điều này nhằm mục đích có thể thuyết phục người dùng rằng họ đang truy cập một trang web hợp pháp.

Các cuộc tấn công lừa đảo IPFS tương tự như các cuộc tấn công được thực hiện thông qua mạng tập trung, nơi kẻ tấn công sử dụng kỹ nghệ xã hội, nền tảng email và ứng dụng nhắn tin cũng như các trang web lừa đảo để mạo danh các thương hiệu hợp pháp, nhằm đánh cắp thông tin xác thực của người dùng và giành quyền truy cập vào mạng của họ.

Bằng cách sử dụng một địa chỉ IPFS duy nhất, bất kỳ ai cũng có thể truy cập được nội dung trên mạng IPFS, những người sau đó có thể xuất bản lại nội dung đó trên nút của riêng họ, giúp kẻ tấn công dễ dàng tạo các trang web lừa đảo vĩnh viễn và không thể theo dõi, vẫn hoạt động ngay cả sau khi nguồn ban đầu bị gỡ xuống.

Những kẻ tấn công tận dụng các trang web, ứng dụng hoặc dữ liệu có uy tín để đánh lừa những người cả tin. Đầu tiên, chúng tạo một trang web hoặc ứng dụng giả mạo giống với phiên bản hợp pháp. Sau đó, lưu trữ nền tảng giả mạo này trên mạng IPFS. Mặc dù IPFS chủ yếu có sẵn thông qua mạng P2P, nhưng một số cổng IPFS công cộng như “ipfs.io” hoặc “dweb.link” cho phép người dùng web truyền thống truy cập IPFS. Những kẻ lừa đảo sử dụng các cổng này làm proxy, vì vậy người dùng có thể truy cập các tệp trên mạng IPFS ngay cả khi họ không chạy ứng dụng IPFS client.

Sau khi tạo các trang web giả mạo và lưu trữ chúng trên các cổng, những kẻ tấn công sẽ dụ người dùng truy cập vào các nền tảng giả mạo, có thể được gửi qua email, tin nhắn văn bản, hoặc qua ứng dụng trò chuyện. Chẳng hạn, kẻ tấn công có thể gửi một tệp PDF được cho là có liên quan đến DocuSign- dịch vụ ký văn bản. Khi nhấp vào nút “Review Document”, thực tế thì người dùng đang ở trên một trang web giả mạo được lưu trữ trên IPFS. Nếu họ chèn địa chỉ email hoặc mật khẩu của mình, kẻ tấn công sẽ thu thập được những thông tin và có khả năng sử dụng chúng cho các cuộc tấn công tiếp theo. Các trang lừa đảo có thể bị gỡ xuống bằng cách yêu cầu nhà cung cấp nội dung web hoặc chủ sở hữu xóa chúng, có thể sẽ mất khá nhiều thời gian tùy thuộc vào máy chủ, nhưng phương pháp này không có nhiều hiệu quả với tội phạm mạng.

Các hoạt động gỡ bỏ nội dung IPFS khác nhau ở cách nội dung cần được xóa khỏi tất cả các nút. Các nhà cung cấp IPFS gateway cố gắng chống lừa đảo IPFS bằng cách thường xuyên xóa các liên kết đến các tệp gian lận. Tuy nhiên, việc phát hiện và xóa các liên kết không phải lúc nào cũng diễn ra nhanh chóng như việc chặn một trang web hoặc tài liệu độc hại. Điều này khiến cho các nhà nghiên cứu bảo mật và cơ quan chức năng gặp khó khăn hơn trong việc gỡ bỏ các trang lừa đảo.

Phòng chống tấn công lừa đảo IPFS

Để phòng tránh trước các cuộc tấn công lừa đảo sử dụng IPFS, dưới đây là một số phương pháp mà người dùng và các tổ chức, DN có thể xem xét triển khai:

- Đảm bảo trình duyệt và phần mềm chống virus được cập nhật và bật các tính năng tích hợp chống lừa đảo. Những công cụ này có thể giúp phát hiện và chặn các liên kết lừa đảo, bao gồm cả những liên kết được lưu trữ trên IPFS.

- Sử dụng các phần mềm phòng chống thư rác, các giải pháp bảo mật chuyên dụng nhằm phát hiện các dấu hiệu của tấn công lừa đảo.

- Tăng cường bảo vệ tài khoản với xác thực đa yếu tố để tránh nguy cơ bị truy cập trái phép.

- Cố gắng chèn các URL theo cách thủ công hoặc sử dụng các liên kết được đánh dấu trang. Nếu không, hãy kiểm tra kỹ các liên kết, để đảm bảo chúng khớp với trang web hợp pháp.

- Chặn các URL có đường dẫn đầy đủ. Bằng cách này có thể duy trì quyền truy cập vào mạng, nhưng vẫn có thêm biện pháp bảo mật khi người dùng sẽ bị chặn truy cập bất kỳ tệp và liên kết lừa đảo hoặc độc hại nào.

- Đảm bảo chỉ sử dụng các cổng IPFS đáng tin cậy. Tránh truy cập các cổng không xác định.

- Thận trọng trước các liên kết lạ, đáng ngờ, đặc biệt được gửi qua tin nhắn văn bản, mạng xã hội, email... Luôn xác minh nguồn gốc của người gửi, nếu không thì nên bỏ qua các thông tin này, vì chúng có thể chứa các liên kết độc hại. Tìm kiếm các dấu hiệu lừa đảo, chẳng hạn như địa chỉ lỗi chính tả, URL lạ hoặc trang web bắt buộc yêu cầu cung cấp thông tin nhạy cảm.

- Kiểm tra chứng chỉ SSL của mọi cổng IPFS. Ngoài ra, có thể cài đặt tiện ích mở rộng IPFS Companion để tương tác an toàn với mạng thông qua trình duyệt của mình.

- Khi sử dụng cổng IPFS, người dùng có thể sử dụng VPN (mạng riêng ảo) để ẩn địa chỉ riêng của mình. Lưu ý rằng, VPN sẽ không hiệu quả nếu chạy một nút IPFS.

- Sử dụng DNS Sinkhole hoặc bộ lọc web để chặn các trang web lừa đảo dựa trên IPFS.

- Chủ động tìm hiểu và cập nhật về các xu hướng, phương pháp tấn công lừa đảo IPFS mới thông qua các kênh diễn đàn bảo mật, tạp chí, bài báo khoa học, kỷ yếu hội nghị… để nắm bắt được những xu hướng mới của tội phạm mạng, vì chúng có thể sẽ phát triển hơn nữa các kỹ thuật tấn công tinh vi hơn, nhằm qua mặt các giải pháp bảo mật và đánh lừa người dùng để đạt được mục tiêu của cuối cùng.

CNTT