Trong thế giới an ninh mạng đầy rẫy những cạm bẫy, tội phạm mạng không ngừng tìm kiếm những phương thức tinh vi để vượt qua các biện pháp bảo vệ. Một diễn biến đáng lo ngại gần đây là sự xuất hiện của các dịch vụ chống bot mới trên dark web, được thiết kế để giúp các trang web lừa đảo (phishing) tránh bị Google gắn cờ “Trang đỏ” – một cảnh báo đáng sợ đối với bất kỳ ai vô tình truy cập phải.

Lừa đảo trực tuyến, một chiêu trò cũ nhưng chưa bao giờ lỗi thời, ngày càng trở nên tinh vi hơn nhờ sự trỗi dậy của các nền tảng “phishing-as-a-service” (PhaaS). Những nền tảng này dân chủ hóa tội phạm mạng, cho phép ngay cả những kẻ nghiệp dư cũng có thể triển khai các chiến dịch lừa đảo quy mô lớn mà không cần nhiều kiến thức kỹ thuật. Tuy nhiên, một thách thức dai dẳng đối với những kẻ tội phạm này là làm thế nào để tránh bị phát hiện bởi các dịch vụ an ninh mạng như URLScan, vốn có khả năng quét và chặn các trang web độc hại.

Cảnh báo “Trang đỏ” của Google Safe Browsing từ lâu đã là một biện pháp ngăn chặn hiệu quả, giúp người dùng nhận biết các mối nguy tiềm ẩn và giảm đáng kể tỷ lệ thành công của các cuộc tấn công lừa đảo. Tuy nhiên, các dịch vụ chống bot mới này đang đe dọa làm suy yếu hàng phòng thủ này, có khả năng khiến nhiều người dùng hơn nữa trở thành nạn nhân của các nỗ lực lừa đảo tinh vi.

“Trang đỏ” của Google là gì?

“Trang đỏ” của Google Safe Browsing là một tính năng an ninh bảo vệ người dùng khỏi các trang web độc hại bằng cách cảnh báo họ về những mối nguy tiềm ẩn, chẳng hạn như các nỗ lực lừa đảo. Trang cảnh báo màu đỏ này khuyên người dùng nên tránh xa trang web, từ đó hạn chế nghiêm trọng khả năng thành công của các cuộc tấn công lừa đảo.

Đối với tội phạm mạng, hệ thống phát hiện của Google tạo ra một rào cản lớn. Các chiến dịch lừa đảo dựa vào tỷ lệ nhấp chuột cao, nhưng một khi Google hoặc các nền tảng an ninh khác gắn cờ một trang, hiệu quả của chiến dịch sẽ giảm mạnh. Do đó, để vượt lên trước một bước, tội phạm đã phát triển các dịch vụ “chống bot” hoặc “chống trang đỏ” để lách sự phát hiện.

Sự trỗi dậy của các dịch vụ chống Bot

Các dịch vụ chống bot, như Otus Anti-Bot, Remove Red và Limitless Anti-Bot, đã trở thành nền tảng của các hoạt động lừa đảo phức tạp. Các dịch vụ này nhằm mục đích ngăn chặn các trình thu thập thông tin bảo mật (security crawler) xác định các trang lừa đảo và đưa chúng vào danh sách đen.

Bằng cách lọc ra các bot an ninh mạng và ngụy trang các trang lừa đảo khỏi các trình quét, những công cụ này kéo dài tuổi thọ của các trang web độc hại, giúp tội phạm trốn tránh sự phát hiện lâu hơn.

Otus Anti-Bot

Otus Anti-Bot là một trong những giải pháp phổ biến nhất, tự nhận là triển khai phân tích hành vi, cơ chế phản hồi thử thách, phát hiện chữ ký bot và tích hợp với các nguồn cấp dữ liệu thông tin về mối đe dọa (threat intelligence feed). Điều khiến Otus trở nên khác biệt là khả năng triển khai cực kỳ nhanh chóng – người dùng có thể chạy nó trên các trang lừa đảo của họ trong vòng chưa đầy hai phút.

Sau khi được triển khai, Otus cho phép thay đổi cấu hình động, nghĩa là người dùng chỉ cần dán mã một lần và mọi cập nhật đối với cài đặt bảo vệ sẽ được áp dụng theo thời gian thực trên nhiều trang. Nền tảng này cũng cung cấp danh sách trắng dựa trên IP và quốc gia dễ dàng để tùy chỉnh thử nghiệm và nhắm mục tiêu.

Remove Red

Remove Red tập trung vào việc chủ động loại bỏ các cảnh báo trang đỏ hơn là chỉ phòng ngừa. Họ tuyên bố cung cấp một tính năng danh sách trắng tạm thời, giúp miền không xuất hiện lại trên trang đỏ của Google trong vài ngày sau khi loại bỏ ban đầu.

Ngoài ra, Remove Red cung cấp các dịch vụ giám sát, theo dõi các miền và thông báo cho người dùng qua Telegram hoặc Discord nếu các trang web lừa đảo của họ bị gắn cờ lại. Sự kết hợp giữa loại bỏ và giám sát này cho phép những kẻ lừa đảo giữ cho các trang web của họ trực tuyến lâu hơn mà không phải lo lắng liên tục về các khối trang đỏ.

Limitless Anti-Bot

Limitless Anti-Bot tuyên bố kéo dài tuổi thọ của các trang web lừa đảo bằng cách thêm một đoạn mã nhỏ vào trang. Dịch vụ này nhấn mạnh vào phòng ngừa hơn là loại bỏ phản ứng, sử dụng các công cụ tiên tiến, AI, thông tin ISP và nhận dạng user-agent để phân biệt giữa người dùng thực và bot.

Limitless cung cấp hai cấp độ bảo vệ: cấp độ tiêu chuẩn, tránh chặn các bot và thiết bị có rủi ro thấp và cấp độ nâng cao, chặn ngay cả lưu lượng truy cập hơi đáng ngờ.

Các dịch vụ chống Bot hoạt động như thế nào?

Các hoạt động bên trong của các dịch vụ chống bot dựa trên sự kết hợp của một số kỹ thuật. Tất cả chúng đều khá khác nhau theo cách này hay cách khác:

Phát hiện Bot và lọc IP

Hầu hết các dịch vụ chống bot đều dựa vào các cơ chế phát hiện bot để phân tích chuỗi user-agent và địa chỉ IP. Các danh sách công khai của trình thu thập thông tin an ninh mạng có sẵn rộng rãi (ví dụ: Shodan), giúp dễ dàng lọc lưu lượng bot bảo mật đã biết. Khi một địa chỉ IP hoặc user-agent bị gắn cờ là trình thu thập thông tin bảo mật, nó sẽ bị chặn, đảm bảo trang vẫn có thể truy cập được đối với người dùng thực nhưng bị ẩn khỏi các thực thể an ninh mạng.

Kỹ thuật che giấu

Các dịch vụ chống bot thường sử dụng chuyển đổi ngữ cảnh hoặc xáo trộn JavaScript (JS) để phân phát nội dung khác nhau dựa trên hồ sơ của khách truy cập. Điểm số của thiết bị (được xác định thông qua các kỹ thuật lấy dấu vân tay) quyết định nội dung nào được hiển thị. Ví dụ: nếu một trình thu thập thông tin bảo mật đã biết cố gắng truy cập trang, nó có thể được chuyển hướng đến nội dung vô hại, trong khi người dùng thực được cung cấp nội dung lừa đảo.

Nhắm mục tiêu dựa trên vị trí địa lý

Một số chiến dịch dành riêng cho khu vực, cho phép các hệ thống chống bot chặn hoàn toàn lưu lượng truy cập nước ngoài. Ví dụ: nếu một chiến dịch lừa đảo nhắm mục tiêu vào một ngân hàng Hàn Quốc, dịch vụ có thể chỉ cho phép lưu lượng truy cập của Hàn Quốc truy cập trang trong khi chặn các địa chỉ IP nước ngoài. Phương pháp này thậm chí có thể được khoan xuống cấp thành phố, đảm bảo trang vẫn nằm ngoài tầm ngắm của các dịch vụ an ninh mạng quốc tế.

CAPTCHA và thử thách

Bằng cách giới thiệu CAPTCHA hoặc các trang thử thách, các dịch vụ chống bot có thể lọc ra các trình quét tự động thường phân tích một trang web để tìm nội dung độc hại. Vì hầu hết các bot không thể giải CAPTCHA, kỹ thuật này sẽ chặn chúng một cách hiệu quả trong khi cho phép người dùng thực đi qua. Hơn nữa, một số hệ thống có thể giới thiệu độ trễ thời gian, gây nhầm lẫn thêm cho các bot bảo mật bằng cách khiến chúng “hết thời gian chờ” trước khi chúng có thể quét trang.

Các hệ thống chống Bot có thực sự hoạt động không?

Câu trả lời ngắn gọn là: có, chúng hoạt động, nhưng có những hạn chế. Ở phần ít tinh vi hơn của các chiến dịch lừa đảo, các dịch vụ này hoạt động tốt vì nhiều nhà cung cấp bảo mật công khai khai báo bot và trình thu thập thông tin của họ trong chuỗi user-agent.

Việc xác định và chặn các trình thu thập thông tin đã biết bằng các chuỗi user-agent của chúng tương đối dễ dàng. Điều này cho phép tội phạm mạng lọc ra lưu lượng bot, kéo dài tuổi thọ của các chiến dịch lừa đảo. Tuy nhiên, trong các hoạt động lừa đảo phức tạp hơn, phân tích thủ công của các nhà phân tích cuối cùng sẽ phát hiện ra trang, dẫn đến việc trang đó được đưa vào danh sách chặn.

Giải thích thuật ngữ:

• Dark web: Một phần của internet không được lập chỉ mục bởi các công cụ tìm kiếm thông thường, thường được sử dụng cho các hoạt động bất hợp pháp.
• Phishing: Một hình thức lừa đảo trực tuyến, trong đó kẻ tấn công cố gắng đánh cắp thông tin cá nhân của nạn nhân bằng cách giả mạo một tổ chức hoặc cá nhân đáng tin cậy.
• URLScan: Một dịch vụ quét và phân tích các trang web để phát hiện nội dung độc hại.
• Google Safe Browsing: Một dịch vụ của Google giúp bảo vệ người dùng khỏi các trang web nguy hiểm.
• Bot: Một chương trình tự động thực hiện các tác vụ trên internet.
• Security crawler: Một loại bot được sử dụng bởi các công ty an ninh mạng để quét các trang web và tìm kiếm các mối đe dọa.
• User-agent: Một chuỗi văn bản xác định trình duyệt và hệ điều hành của người dùng.
• IP address: Một địa chỉ số duy nhất được gán cho mỗi thiết bị kết nối với internet.
• CAPTCHA: Một loại thử thách được sử dụng để xác định xem người dùng có phải là người hay không.