C&C Server là gì? Cơ chế hoạt động và cách phòng chống

Một chiếc máy tính bị nhiễm mã độc không tự hành động một mình. Phía sau nó thường là một C&C Server đang âm thầm ra lệnh, biến hàng nghìn thiết bị thành một đội quân botnet phục vụ kẻ tấn công. Bài viết dưới đây, Viettel IDC giải đáp chi tiết C&C Server là gì, phân tích cơ chế hoạt động cốt lõi và các giải pháp phòng chống triệt để nhằm bảo vệ hệ thống dữ liệu. 

C&C Server là gì?

C&C Server, viết tắt của Command and Control Server hay còn được giới bảo mật gọi tắt là C2 Server, là máy chủ trung tâm mà kẻ tấn công sử dụng để gửi mệnh lệnh điều khiển và nhận dữ liệu trả về từ các thiết bị đã bị lây nhiễm mã độc.

Khi một lượng lớn thiết bị bị xâm nhập và đặt dưới sự kiểm soát của máy chủ này, chúng tạo thành một mạng lưới khổng lồ gọi là botnet. Mỗi thiết bị đơn lẻ bên trong mạng lưới đó được xác định là một bot hoặc zombie. Thay vì phải tự tay tấn công từng mục tiêu, tin tặc chỉ cần ngồi tại máy chủ C&C và phát lệnh, toàn bộ đội quân zombie sẽ đồng loạt thực thi nhiệm vụ theo kịch bản được lập trình sẵn.

Cơ chế hoạt động của C&C Server

Vị trí trong chuỗi tấn công mạng

Máy chủ điều khiển không xuất hiện ngay từ đầu. Nó đóng vai trò là giai đoạn hậu lây nhiễm trong chuỗi tiêu diệt mục tiêu mạng. Chỉ sau khi thiết bị của người dùng đã bị cài cắm mã độc ban đầu thành công thông qua các thủ đoạn lừa đảo hoặc khai thác lỗ hổng phần mềm, đoạn mã độc đó mới bắt đầu chủ động tìm đường kết nối ngược ra ngoài Internet để liên lạc với C&C Server nhằm báo cáo tình trạng và chờ lệnh.

Các chức năng cốt lõi của máy chủ điều khiển

C&C Server đảm nhiệm ba nhiệm vụ trọng yếu. Thứ nhất, phân phối lệnh tấn công, chỉ định mục tiêu và thời điểm phát động các chiến dịch cụ thể. Thứ hai, thu thập dữ liệu đánh cắp, đóng vai trò là kho chứa an toàn cho các thông tin nhạy cảm như thông tin tài chính, mật khẩu hay dữ liệu nội bộ mà mã độc thu thập được. Thứ ba, cập nhật và điều chỉnh mã độc từ xa, cho phép tin tặc nâng cấp tính năng của virus hoặc thay đổi chiến thuật lẩn trốn để qua mặt các hệ thống phòng thủ.

Các mô hình kiến trúc C&C phổ biến

Kiến trúc tập trung Centralized

Đây là mô hình truyền thống và đơn giản nhất. Một hoặc một cụm C&C Server duy nhất sẽ đứng ra điều khiển toàn bộ mạng lưới botnet. Ưu điểm đối với tin tặc là dễ dàng quản lý, nhưng nhược điểm chí mạng là hệ thống có một điểm lỗi duy nhất. Nếu các chuyên gia an ninh mạng phát hiện và đánh sập máy chủ trung tâm này, toàn bộ mạng lưới botnet sẽ lập tức tê liệt.

Kiến trúc ngang hàng Peer-to-peer

Để khắc phục điểm yếu của mô hình tập trung, kiến trúc ngang hàng ra đời. Trong mạng lưới này, không có máy chủ trung tâm cố định. Các thiết bị bot sẽ giao tiếp trực tiếp với nhau và truyền tay nhau các mệnh lệnh điều khiển. Việc triệt phá mạng lưới này cực kỳ khó khăn vì ngay cả khi một số lượng lớn thiết bị bị vô hiệu hóa, những thành phần còn lại vẫn có thể duy trì liên lạc và hoạt động độc lập.

Kiến trúc đa tầng Hierarchical Multi-server

Hệ thống được chia thành nhiều lớp máy chủ khác nhau để tăng cường khả năng dự phòng. Máy chủ cấp thấp nhất sẽ giao tiếp trực tiếp với bot, sau đó tổng hợp thông tin và báo cáo lên máy chủ cấp trung, cuối cùng mới truyền về máy chủ chỉ huy tối cao. Mô hình này bảo vệ danh tính của tin tặc rất hiệu quả.

Các kênh giao tiếp C&C Server thường sử dụng

Để tồn tại lâu dài bên trong hệ thống, máy chủ điều khiển phải tìm cách che giấu các luồng giao tiếp. Giao thức phổ biến nhất được lợi dụng là HTTP và HTTPS. Bằng cách mã hóa mệnh lệnh và trộn lẫn chúng vào dòng dữ liệu lướt web thông thường của người dùng, C&C Server dễ dàng đánh lừa các hệ thống kiểm duyệt.

Bên cạnh đó, hệ thống phân giải tên miền DNS cũng thường xuyên bị lạm dụng. Kẻ tấn công giấu lệnh điều khiển bên trong các truy vấn DNS vô hại. Tinh vi hơn, tin tặc còn lợi dụng các nền tảng hợp pháp như mạng xã hội hay các dịch vụ lưu trữ Cloud phổ biến để ẩn giấu lưu lượng bất thường, biến nền tảng trung gian thành trạm trung chuyển lệnh.

Dấu hiệu nhận biết thiết bị đang liên lạc với C&C Server

- Lưu lượng mạng đi ra outbound traffic bất thường: Thiết bị liên tục tạo các kết nối định kỳ đến một tên miền lạ trên Internet vào những khung giờ không có người sử dụng.

- Truy vấn DNS đáng ngờ: Hệ thống ghi nhận hàng loạt yêu cầu phân giải đến các tên miền có cấu trúc ký tự vô nghĩa, thường liên quan đến thuật toán tạo tên miền tự động domain generation algorithm.

- Thiết bị hoạt động ngoài tầm kiểm soát: Máy tính tự động bật lên, xử lý khối lượng tác vụ lớn hoặc kết nối mạng liên tục dù người dùng không có tác vụ chủ động nào.

Cách phòng chống và phát hiện C&C Server

Giám sát mạng chủ động kết hợp Threat Intelligence

Doanh nghiệp không thể chỉ phòng thủ thụ động mà cần chủ động phân tích toàn bộ luồng lưu lượng mạng. Bằng cách tích hợp dữ liệu tình báo mối đe dọa Threat Intelligence vào hệ thống phân tích an toàn thông tin SIEM, quản trị viên có thể tự động đối chiếu và phát hiện ngay các kết nối vươn tới danh sách địa chỉ IP hoặc tên miền có uy tín xấu, từ đó hệ thống sẽ tự động chặn đứng giao tiếp từ trong trứng nước.

Triển khai hệ thống IDS và IPS thế hệ mới

Hệ thống phát hiện và ngăn ngừa xâm nhập đóng vai trò như một màng lọc mạng lưới thông minh. Với khả năng phân tích sâu vào từng lớp của gói tin Deep Packet Inspection, công nghệ IPS và IDS có thể nhận diện chính xác các dấu hiệu giao tiếp mạng bất thường mang đặc trưng của botnet, ngay cả khi tin tặc cố tình thay đổi cấu trúc mã độc để lẩn trốn.

Áp dụng Phân đoạn mạng và kiến trúc bảo mật Zero Trust

Để ngăn chặn triệt để nguy cơ lây lan diện rộng, kỹ thuật chia nhỏ hệ thống mạng thành các phân khu biệt lập Network Segmentation là tiêu chuẩn bắt buộc. Khi kết hợp cùng mô hình bảo mật Zero Trust dựa trên nguyên tắc không tin cậy bất kỳ thiết bị hay người dùng nào dù ở bên trong hay bên ngoài mạng, hệ thống sẽ lập tức cô lập phân vùng bị lây nhiễm. Điều này cắt đứt đường đi của mã độc, tuyệt đối không cho phép C&C Server lợi dụng thiết bị nạn nhân làm bàn đạp để xâm nhập sâu hơn vào cơ sở dữ liệu lõi của doanh nghiệp.

Câu hỏi thường gặp về C&C Server

C&C Server khác gì với mã độc thông thường? Mã độc là phần mềm độc hại được cài cắm trực tiếp trên máy tính nạn nhân để phá hoại hoặc đánh cắp thông tin. Trong khi đó, C&C Server là thiết bị máy chủ từ xa nằm ngoài hệ thống nạn nhân, đóng vai trò như bộ não chỉ huy, phát lệnh cho đoạn mã độc đó hoạt động theo ý muốn của tin tặc.

Làm sao biết một thiết bị đã trở thành bot trong botnet? Dấu hiệu rõ ràng nhất là hiệu suất máy tính giảm sút nghiêm trọng, băng thông mạng bị vắt kiệt để gửi dữ liệu rác, và hệ thống bảo mật liên tục cảnh báo về các luồng kết nối gửi ra bên ngoài mà không do con người khởi tạo.

C&C Server có thể bị triệt phá hoàn toàn không? Hoàn toàn có thể. Các cơ quan thực thi pháp luật và các tổ chức an ninh mạng quốc tế thường xuyên phối hợp để xác định vị trí vật lý của máy chủ C&C, thu giữ phần cứng và chiếm quyền kiểm soát các tên miền độc hại nhằm cắt đứt liên lạc, qua đó giải phóng các thiết bị nạn nhân khỏi mạng lưới botnet.

Kết luận

Máy chủ C&C chính là trái tim bơm máu cho mọi hoạt động phá hoại của các mạng lưới botnet. Việc thấu hiểu cơ chế hoạt động và cách thức giao tiếp của loại kiến trúc này là nền tảng cốt lõi để xây dựng chiến lược phòng thủ vững chắc. Bằng cách kết hợp các hệ thống giám sát chủ động, kiến trúc phân đoạn mạng và cập nhật liên tục dữ liệu tình báo mối đe dọa, doanh nghiệp hoàn toàn có thể cô lập và cắt đứt mọi liên lạc mờ ám, bảo vệ tài nguyên số an toàn trước mọi âm mưu thao túng từ xa.