Cảnh báo bảo mật: Sự trỗi dậy của các cuộc tấn công giả mạo Docusign và chiến thuật Ransomware hiện đại

Bài viết được dịch và tổng hợp từ tin tức gốc. Bạn có thể đọc bài viết gốc bằng tiếng Anh tại đây.

Điểm tin nhanh:

• Các cuộc tấn công giả mạo Docusign đang gia tăng mạnh mẽ, lợi dụng sự tin tưởng của người dùng vào các dịch vụ ký số.
• Kẻ tấn công ngày càng ưu tiên sử dụng các công cụ quản trị hợp pháp (Living-off-the-land) để né tránh các hệ thống phát hiện dựa trên chữ ký (signature-based).
• Việc triển khai phát hiện dựa trên hành vi (behavioral-based) là chìa khóa để ngăn chặn ransomware trước khi dữ liệu bị mã hóa hoặc exfiltration.

Trong kỷ nguyên mà các công cụ SaaS trở thành xương sống của doanh nghiệp, sự tin tưởng mù quáng vào các dịch vụ như Docusign đã vô tình mở ra một cánh cửa tử thần cho hệ thống an ninh mạng. Khi những kẻ tấn công không còn dựa vào các đoạn mã độc hại thô sơ mà thay vào đó là tận dụng chính các công cụ quản trị hệ thống, việc bảo vệ hạ tầng CNTT trở nên phức tạp hơn bao giờ hết. Nếu bạn vẫn đang dựa vào các giải pháp phát hiện dựa trên chữ ký truyền thống, bạn có thể đang đứng trước nguy cơ bị xâm nhập mà không hề hay biết.

Giải mã quy trình xâm nhập ransomware hiện đại

Các cuộc tấn công ransomware hiện nay không còn diễn ra trong chớp mắt. Thay vào đó, chúng là những chiến dịch kéo dài nhiều ngày, đi qua nhiều giai đoạn tinh vi. Một sự cố bảo mật được ghi nhận vào đầu năm 2026 cho thấy kẻ tấn công đã sử dụng thông tin đăng nhập VPN bị đánh cắp làm điểm khởi đầu, sau đó thực hiện trinh sát nội bộ và di chuyển ngang (lateral movement) bằng các công cụ quản trị hợp pháp.

Việc sử dụng Sliver, một framework giả lập đối thủ (adversary emulation) mã nguồn mở, đang trở thành xu hướng thay thế cho Cobalt Strike. Vì đây là công cụ hợp pháp được dùng trong kiểm thử thâm nhập (pentesting), các giải pháp bảo mật truyền thống thường bỏ qua nó. Điều này tương tự như cách các hệ thống AI Observability cần phải được giám sát chặt chẽ để tránh các lỗ hổng tiềm ẩn trong kiến trúc.

Các giai đoạn tấn công điển hình

Quy trình tấn công thường tuân theo một cấu trúc chặt chẽ, được tóm tắt trong bảng dưới đây:

Trong quá trình này, kẻ tấn công đã lạm dụng giao thức SMBv1 lỗi thời để mở rộng phạm vi ảnh hưởng. Đây là một sai lầm nghiêm trọng trong quản trị hệ thống, tương tự như việc không chú trọng đến xác thực kỹ năng trong quy trình tuyển dụng nhân sự bảo mật.

Chiến thuật Living-off-the-land (LOTL)

Kẻ tấn công sử dụng các công cụ như PSExec, WMI và RDP để thực hiện các lệnh từ xa. Việc này giúp chúng hòa trộn vào lưu lượng mạng bình thường. Để đối phó, các kỹ sư cần áp dụng tư duy tối ưu hóa quy trình để giám sát các hành vi bất thường thay vì chỉ chặn các file thực thi.

Lưu ý: Việc sử dụng các dịch vụ lưu trữ đám mây như Wasabi để exfiltration dữ liệu là một dấu hiệu cảnh báo đỏ. Hệ thống cần được cấu hình để chặn các kết nối outbound đến các endpoint lạ chưa từng được định danh.

Đánh giá & Lời khuyên Thực tiễn

Từ góc độ của một Senior Tech Lead, tôi đánh giá rằng việc phụ thuộc vào các công cụ bảo mật dựa trên chữ ký đã lỗi thời.

• Ưu điểm: Các công cụ phát hiện dựa trên hành vi (behavioral-based) có khả năng phát hiện các cuộc tấn công zero-day hoặc các cuộc tấn công sử dụng công cụ hợp pháp.
• Nhược điểm: Đòi hỏi chi phí vận hành cao và cần đội ngũ chuyên gia để phân tích các cảnh báo giả (false positives).
• Lời khuyên: Hãy vô hiệu hóa ngay lập tức các giao thức cũ như SMBv1, thực hiện nghiêm ngặt 2FA cho mọi tài khoản, và luôn kiểm tra kỹ email gửi đến trước khi click vào bất kỳ link nào. Đối với các hệ thống quan trọng, hãy cân nhắc xây dựng quy trình kiểm thử tự động để đảm bảo các bản vá bảo mật được triển khai kịp thời.

Câu hỏi thường gặp (FAQ)

Tại sao kẻ tấn công lại chọn Docusign để giả mạo?

Vì Docusign là một dịch vụ phổ biến trong doanh nghiệp, người dùng thường có tâm lý chủ quan khi nhận được email yêu cầu ký tài liệu, giúp kẻ tấn công dễ dàng lừa người dùng click vào link độc hại.

Làm thế nào để phát hiện hành vi di chuyển ngang trong mạng nội bộ?

Cần giám sát các kết nối SMB, RDP bất thường giữa các máy trạm và các truy vấn lạ tới Domain Controller (như DCSync).

Có nên chặn hoàn toàn các công cụ như Sliver hay Cobalt Strike?

Không thể chặn hoàn toàn vì đây là công cụ hợp pháp. Thay vào đó, hãy giám sát các hành vi thực thi của chúng và các kết nối C2 (Command & Control) bất thường.

Kết luận

Các cuộc tấn công giả mạo Docusign và ransomware hiện đại là hồi chuông cảnh tỉnh cho mọi doanh nghiệp. Việc bảo mật không chỉ dừng lại ở phần mềm mà còn là sự kết hợp giữa quy trình, công nghệ giám sát hành vi và nhận thức của con người. Hãy bắt đầu rà soát lại hạ tầng của bạn ngay hôm nay. Nếu bạn thấy bài viết này hữu ích, đừng quên theo dõi hi_dev để cập nhật các xu hướng công nghệ và bảo mật mới nhất.