Cho biết các công ty nào đã bị nhắm mục tiêu trong các cuộc tấn công này?
Operation Aurora là một chuỗi các cuộc tấn công mạng do các mối đe dọa liên tục tiên tiến như Nhóm Elderwood có trụ sở tại Bắc Kinh, Trung Quốc, có liên hệ với Quân Giải phóng Nhân dân thực hiện. Được Google công bố lần đầu vào ngày 12 tháng 1 năm 2010, trong một bài viết trên blog, các cuộc tấn công bắt đầu vào giữa năm 2009 và tiếp tục cho đến tháng 12 năm 2009.

Cuộc tấn công nhắm vào hàng chục tổ chức khác nhau, trong đó có Adobe Systems, Akamai Technologies, Juniper Networks và Rackspace đã công khai xác nhận rằng họ đã bị nhắm mục tiêu. Theo các báo cáo truyền thông, Yahoo, Symantec, Northrop Grumman, Morgan Stanley và Dow Chemical cũng nằm trong số các mục tiêu.

Kết quả của cuộc tấn công, Google cho biết trong blog của mình rằng họ có kế hoạch vận hành một phiên bản hoàn toàn không bị kiểm duyệt của công cụ tìm kiếm của họ tại Trung Quốc "trong khuôn khổ pháp luật, nếu có thể," và thừa nhận rằng nếu điều này không thể thực hiện được, họ có thể rời khỏi Trung Quốc và đóng cửa các văn phòng tại Trung Quốc. Các nguồn chính thức của Trung Quốc cho rằng đây là một phần của chiến lược được phát triển bởi chính phủ Hoa Kỳ.

Cuộc tấn công được đặt tên là "Operation Aurora" bởi Dmitri Alperovitch, Phó Chủ tịch Nghiên cứu Đe dọa tại công ty bảo mật McAfee. Nghiên cứu của McAfee Labs phát hiện ra rằng "Aurora" là một phần của đường dẫn file trên máy của kẻ tấn công mà được đưa vào hai trong số các file độc hại mà McAfee cho rằng liên quan đến cuộc tấn công. "Chúng tôi tin rằng tên này là tên nội bộ mà kẻ tấn công đặt cho hoạt động này," Giám đốc Công nghệ của McAfee, George Kurtz, cho biết trong một bài viết trên blog.

Theo McAfee, mục tiêu chính của cuộc tấn công là để giành quyền truy cập và có thể sửa đổi các kho mã nguồn tại các công ty công nghệ cao, an ninh và nhà thầu quốc phòng này. "[Các SCM] đã mở rộng," Alperovitch nói. "Không ai từng nghĩ đến việc bảo mật chúng, nhưng đây là những viên ngọc quý của hầu hết các công ty này theo nhiều cách—quý giá hơn bất kỳ dữ liệu tài chính hoặc thông tin cá nhân nào mà họ có và dành rất nhiều thời gian và công sức để bảo vệ."

Lịch sử

Những bông hoa được đặt bên ngoài trụ sở của Google tại Trung Quốc sau thông báo rằng họ có thể rời khỏi đất nước
Vào ngày 12 tháng 1 năm 2010, Google đã công bố trên blog của mình rằng họ đã trở thành nạn nhân của một cuộc tấn công mạng. Công ty cho biết cuộc tấn công xảy ra vào giữa tháng 12 và có nguồn gốc từ Trung Quốc. Google cho biết hơn 20 công ty khác đã bị tấn công; các nguồn tin khác đã chỉ ra rằng hơn 34 tổ chức đã bị nhắm mục tiêu. Kết quả của cuộc tấn công, Google cho biết họ đang xem xét lại hoạt động kinh doanh của mình tại Trung Quốc. Vào cùng ngày, Ngoại trưởng Hoa Kỳ Hillary Clinton đã phát biểu ngắn gọn lên án các cuộc tấn công và yêu cầu phản ứng từ Trung Quốc.

Vào ngày 13 tháng 1 năm 2010, hãng thông tấn All Headline News đã thông báo rằng Quốc hội Hoa Kỳ có kế hoạch điều tra cáo buộc của Google rằng chính phủ Trung Quốc đã sử dụng dịch vụ của công ty này để theo dõi các nhà hoạt động nhân quyền.

Tại Bắc Kinh, du khách đã để lại hoa bên ngoài văn phòng của Google. Tuy nhiên, chúng sau đó đã bị gỡ bỏ, với một nhân viên an ninh Trung Quốc tuyên bố rằng đây là một "cống phẩm hoa bất hợp pháp". Chính phủ Trung Quốc vẫn chưa đưa ra phản ứng chính thức, mặc dù một quan chức ẩn danh cho biết rằng Trung Quốc đang tìm kiếm thêm thông tin về ý định của Google.

Kẻ tấn công liên quan
Thông tin thêm: Cuộc chiến mạng do Trung Quốc tiến hành
Chứng cứ kỹ thuật bao gồm địa chỉ IP, tên miền, chữ ký phần mềm độc hại và các yếu tố khác cho thấy Nhóm Elderwood đứng sau cuộc tấn công Operation Aurora. Nhóm "Elderwood" được Symantec đặt tên (sau một biến số mã nguồn được kẻ tấn công sử dụng) và được gọi là "Nhóm Bắc Kinh" bởi Dell Secureworks. Nhóm này đã thu được một số mã nguồn của Google, cũng như quyền truy cập vào thông tin về các nhà hoạt động Trung Quốc. Elderwood cũng đã nhắm mục tiêu đến nhiều công ty khác trong lĩnh vực vận chuyển, hàng không, vũ khí, năng lượng, sản xuất, kỹ thuật, điện tử, tài chính và phần mềm.

Tên định danh "APT" cho các tác nhân đe dọa từ Trung Quốc chịu trách nhiệm tấn công Google là APT17.

Elderwood chuyên tấn công và xâm nhập vào các nhà cung cấp ngành công nghiệp quốc phòng cấp hai sản xuất các linh kiện điện tử hoặc cơ khí cho các công ty quốc phòng hàng đầu. Các công ty này sau đó trở thành một "bước đệm" trong mạng lưới tấn công để tiếp cận các nhà thầu quốc phòng hàng đầu. Một quy trình tấn công mà Elderwood sử dụng là lây nhiễm các trang web hợp pháp mà nhân viên của công ty mục tiêu thường truy cập – được gọi là "tấn công nước uống", giống như các con sư tử rình rập một vũng nước để săn mồi. Elderwood lây nhiễm các trang web ít bảo mật này bằng phần mềm độc hại tải xuống máy tính của người dùng khi họ nhấp vào trang web. Sau đó, nhóm này tìm kiếm bên trong mạng mà máy tính bị nhiễm kết nối, tìm kiếm và sau đó tải xuống email của các giám đốc điều hành và các tài liệu quan trọng về kế hoạch, quyết định, mua lại và thiết kế sản phẩm của công ty.

Phân tích tấn công
Trong bài viết trên blog của mình, Google cho biết một số tài sản trí tuệ của họ đã bị đánh cắp. Họ cho rằng các kẻ tấn công quan tâm đến việc truy cập tài khoản Gmail của các nhà bất đồng chính kiến Trung Quốc. Theo Financial Times, hai tài khoản của Ai Weiwei đã bị tấn công, nội dung của chúng đã bị đọc và sao chép; tài khoản ngân hàng của ông đã bị các cơ quan an ninh nhà nước điều tra, những người tuyên bố rằng ông đang bị điều tra về "các tội danh nghi ngờ không xác định". Tuy nhiên, các kẻ tấn công chỉ có thể xem chi tiết từ hai tài khoản và các thông tin này bị giới hạn ở một số điều như tiêu đề và ngày tạo tài khoản.

Các chuyên gia bảo mật ngay lập tức ghi nhận sự tinh vi của cuộc tấn công. Hai ngày sau khi cuộc tấn công trở thành công khai, McAfee báo cáo rằng các kẻ tấn công đã khai thác những lỗ hổng zero-day có thể (không được sửa và trước đây không được các nhà phát triển hệ thống mục tiêu biết đến) trong Internet Explorer và đặt tên cuộc tấn công là "Operation Aurora". Một tuần sau báo cáo của McAfee, Microsoft đã phát hành bản sửa lỗi cho vấn đề này và thừa nhận rằng họ đã biết về lỗ hổng bảo mật này từ tháng Chín. Một số lỗ hổng khác cũng được tìm thấy trong Perforce, phần mềm sửa đổi mã nguồn mà Google sử dụng để quản lý mã nguồn của mình.

iDefense Labs của VeriSign cho biết các cuộc tấn công được thực hiện bởi "các tác nhân của nhà nước Trung Quốc hoặc các proxy của họ".

Theo một bức điện tín ngoại giao từ Đại sứ quán Hoa Kỳ tại Bắc Kinh, một nguồn tin Trung Quốc thông báo rằng Bộ Chính trị Trung Quốc đã chỉ đạo việc xâm nhập vào hệ thống máy tính của Google. Bức điện cho thấy cuộc tấn công là một phần của một chiến dịch phối hợp được thực hiện bởi "các nhân viên chính phủ, các chuyên gia an ninh công cộng và các tội phạm internet được chính phủ Trung Quốc tuyển dụng." Báo cáo cho thấy đây là một phần của một chiến dịch liên tục trong đó các kẻ tấn công đã "xâm nhập vào máy tính của chính phủ Hoa Kỳ và các nước đồng minh phương Tây, của Đạt Lai Lạt Ma và các doanh nghiệp Mỹ từ năm 2002." Theo thông tin từ bài viết của The Guardian về vụ rò rỉ, các cuộc tấn công đã được "thực hiện bởi một thành viên cấp cao của Bộ Chính trị, người đã gõ tên của mình vào phiên bản toàn cầu của công cụ tìm kiếm và tìm thấy các bài viết chỉ trích bản thân."

Khi hệ thống của một nạn nhân bị xâm nhập, một kết nối lén lút ngụy trang như một kết nối SSL đã tạo kết nối đến các máy chủ điều khiển và điều hành chạy tại Illinois, Texas và Đài Loan, bao gồm các máy tính đang hoạt động dưới các tài khoản khách hàng bị đánh cắp của Rackspace. Máy tính của nạn nhân sau đó đã bắt đầu khám phá intranet công ty được bảo vệ mà nó là một phần của, tìm kiếm các hệ thống dễ bị tổn thương khác cũng như các nguồn tài sản trí tuệ, cụ thể là nội dung của các kho mã nguồn.

Các cuộc tấn công được cho là đã kết thúc vào ngày 4 tháng 1 khi các máy chủ điều khiển và điều hành bị ngừng hoạt động, mặc dù chưa biết liệu các kẻ tấn công có cố tình ngừng hoạt động hay không. Tuy nhiên, các cuộc tấn công vẫn diễn ra tính đến tháng 2 năm 2010.

Phản ứng và hậu quả
Chính phủ Đức, Úc và Pháp đã phát đi cảnh báo công khai đến người dùng Internet Explorer sau cuộc tấn công, khuyên họ nên sử dụng các trình duyệt thay thế ít nhất cho đến khi có bản sửa lỗi cho lỗ hổng bảo mật. Chính phủ Đức, Úc và Pháp coi tất cả các phiên bản của Internet Explorer là dễ bị tổn thương hoặc có thể dễ bị tổn thương.

Trong một thông báo vào ngày 14 tháng 1 năm 2010, Microsoft cho biết các kẻ tấn công nhắm vào Google và các công ty khác của Hoa Kỳ đã sử dụng phần mềm khai thác lỗ hổng trong Internet Explorer. Lỗ hổng này ảnh hưởng đến các phiên bản Internet Explorer 6, 7 và 8 trên Windows 7, Vista, Windows XP, Server 2003, Server 2008 R2, cũng như IE 6 Service Pack 1 trên Windows 2000 Service Pack 4.

Mã khai thác Internet Explorer được sử dụng trong cuộc tấn công đã được phát hành vào miền công cộng và đã được đưa vào công cụ kiểm tra xâm nhập Metasploit Framework. Một bản sao của mã khai thác đã được tải lên Wepawet, một dịch vụ phát hiện và phân tích phần mềm độc hại dựa trên web được điều hành bởi nhóm bảo mật máy tính tại Đại học California, Santa Barbara. "Việc phát hành công khai mã khai thác tăng cường khả năng xảy ra các cuộc tấn công quy mô lớn sử dụng lỗ hổng Internet Explorer," George Kurtz, CTO của McAfee, cho biết về cuộc tấn công. "Mã máy tính hiện công khai có thể giúp các tội phạm mạng tạo ra các cuộc tấn công lợi dụng lỗ hổng để xâm nhập vào các hệ thống Windows."

Công ty bảo mật Websense cho biết họ đã xác định "việc sử dụng công khai hạn chế" lỗ hổng IE chưa được vá trong các cuộc tấn công thương mại chống lại người dùng khi họ vô tình truy cập vào các trang web độc hại. Theo Websense, mã tấn công mà họ phát hiện là giống với mã khai thác đã được công khai tuần trước.[cần làm rõ] "Người dùng Internet Explorer hiện đang đối mặt với một mối nguy hiểm thực sự và hiện hữu do việc công khai lỗ hổng và phát hành mã tấn công, tăng cường khả năng xảy ra các cuộc tấn công quy mô lớn," George Kurtz, giám đốc công nghệ của McAfee, đã nói trong một cập nhật blog. Xác nhận suy đoán này, các phòng thí nghiệm bảo mật Websense đã xác định các trang web khác cũng sử dụng mã khai thác vào ngày 19 tháng 1. Theo các báo cáo từ Ahnlab, URL thứ hai đã được phát tán qua mạng Tin nhắn Nhanh Misslee Messenger, một ứng dụng IM phổ biến ở Hàn Quốc.

Các nhà nghiên cứu đã tạo ra mã tấn công khai thác lỗ hổng trong Internet Explorer 7 (IE7) và IE8—ngay cả khi biện pháp phòng thủ mà Microsoft khuyến nghị (Ngăn ngừa thực thi dữ liệu (DEP)) đang được bật.[cần thảo luận] Theo Dino Dai Zovi, một nhà nghiên cứu lỗ hổng an ninh, "ngay cả phiên bản mới nhất IE8 cũng không an toàn khỏi sự tấn công nếu nó đang chạy trên Windows XP Service Pack 2 (SP2) hoặc trước đó, hoặc trên Windows Vista RTM (phiên bản sản xuất), phiên bản Microsoft đã phát hành vào tháng 1 năm 2007."

Microsoft đã thừa nhận rằng lỗ hổng bảo mật được sử dụng đã được họ biết đến từ tháng Chín. Công việc cập nhật được ưu tiên và vào thứ Năm, ngày 21 tháng 1 năm 2010, Microsoft đã phát hành một bản vá bảo mật nhằm chống lại lỗ hổng này, các mã khai thác dựa trên nó và một số lỗ hổng khác được thông báo riêng. Họ không cho biết liệu bất kỳ lỗ hổng nào trong số đó đã được sử dụng hoặc công khai bởi các kẻ khai thác hoặc liệu chúng có liên quan đặc biệt đến hoạt động Aurora hay không, nhưng toàn bộ bản cập nhật tích lũy được xem là quan trọng cho hầu hết các phiên bản Windows, bao gồm Windows 7.

Các nhà nghiên cứu bảo mật đã tiếp tục điều tra các cuộc tấn công. HBGary, một công ty bảo mật, đã phát hành một báo cáo trong đó họ tuyên bố đã tìm thấy một số dấu hiệu quan trọng có thể giúp xác định nhà phát triển mã. Công ty cũng cho biết rằng mã này dựa trên ngôn ngữ Trung Quốc nhưng không thể liên kết cụ thể với bất kỳ thực thể chính phủ nào.

Vào ngày 19 tháng 2 năm 2010, một chuyên gia bảo mật đang điều tra cuộc tấn công mạng vào Google đã tuyên bố rằng những người đứng sau cuộc tấn công cũng chịu trách nhiệm cho các cuộc tấn công mạng vào một số công ty trong danh sách Fortune 100 trong suốt một năm rưỡi qua. Họ cũng đã truy vết cuộc tấn công trở lại điểm khởi nguồn, dường như là hai trường học Trung Quốc, Đại học Giao thông Thượng Hải và Trường nghề Lanxiang. Như được nêu bật bởi The New York Times, cả hai trường này đều có liên hệ với công cụ tìm kiếm Trung Quốc Baidu, một đối thủ của Google tại Trung Quốc. Cả Trường nghề Lanxiang và Đại học Giao thông đều đã phủ nhận cáo buộc này.

Vào tháng 3 năm 2010, Symantec, công ty đang giúp điều tra cuộc tấn công cho Google, đã xác định rằng Shaoxing là nguồn gốc của 21,3% tất cả (12 tỷ) email độc hại được gửi đi trên toàn thế giới.

Sự nhìn nhận của Google
Vào ngày 3 tháng 10 năm 2022, Google trên YouTube đã phát hành một loạt sáu tập phim đề cập đến những sự kiện đã xảy ra trong Operation Aurora, với bình luận từ những người trong cuộc đã đối phó với cuộc tấn công, mặc dù trọng tâm chính của loạt phim là để trấn an công chúng sử dụng Google rằng các biện pháp đang được thực hiện để chống lại các nỗ lực xâm nhập.
Google, Adobe Systems, Akamai Technologies, Juniper Networks, Rackspace, Yahoo, Symantec, Northrop Grumman, Morgan Stanley và Dow Chemical có vẻ đã bị nhắm mục tiêu trong những cuộc tấn công này. Một số công ty đã công khai xác nhận điều này trong khi những công ty khác được các báo cáo truyền thông cho rằng đã bị nhắm mục tiêu.