Sử dụng phương pháp độc quyền của mình, Kaspersky Threat Attribution Engine giúp đối chiếu mã độc được phát hiện với mẫu mã độc có trong một trong những cơ sở dữ liệu phần mềm độc hại lớn nhất trong ngành.
Dựa trên sự tương đồng về mã, phần mềm giúp nhận diện sự liên quan giữa mã độc với nhóm hoặc chiến dịch APT cụ thể. Thông tin này giúp các chuyên gia bảo mật ưu tiên đối phó các mối đe dọa rủi ro cao, thay vì tập trung vào những sự cố ít nghiêm trọng hơn.
| Giải pháp được phát triển từ một công cụ nội bộ được sử dụng bởi Nhóm Nghiên cứu và phân tích toàn cầu của Kaspersky (GReAT). Trước đó, Kaspersky Threat Attribution Engine đã được sử dụng trong quá trình điều tra các chiến dịch tấn công iOS implant LightSpy, TajMahal, ShadowHammer, ShadowPad và Dtrack campaigns.  Để xác định mối đe dọa có liên quan đến một nhóm hoặc chiến dịch APT đã biết hay không, và cụ thể là mối đe dọa nào, Kaspersky Threat Attribution Engine sẽ tự động phân tách tệp độc hại mới tìm thấy thành các mảnh nhị phân nhỏ. Sau đó, công cụ tiến hành so sánh với các mảnh trong bộ hơn 60.000 tệp liên quan đến tấn công APT của Kaspersky. Để chính xác hơn, giải pháp cũng kết hợp một cơ sở dữ liệu lớn các tệp có trong danh sách trắng. Việc này cải thiện đáng kể chất lượng của việc phân loại phần mềm độc hại và nhận dạng tấn công, từ đó phục vụ cho hoạt động phản ứng sự cố. Kaspersky Threat Attribution Engine được thiết kế để triển khai trên mạng của khách hàng, trên nền tảng trực tuyến, thay vì trong cơ sở dữ liệu đám mây của bên thứ ba. Cách tiếp cận này cho khách hàng quyền kiểm soát đối với việc chia sẻ dữ liệu. Ngoài các thông tin về mối đe dọa có sẵn trên mạng, khách hàng có thể tạo cơ sở dữ liệu của riêng mình bằng cách điền vào đó mẫu mã độc được tìm thấy bởi những nhà phân tích an ninh mạng nội bộ. Bằng cách này, Kaspersky Threat Attribution Engine sẽ được thông tin về phần mềm độc hại có trong cơ sở dữ liệu của khách hàng, trong khi vẫn giữ bí mật thông tin này. |
Ông Costin Raiu, Giám đốc Nhóm phân tích và nghiên cứu toàn cầu tại Kaspersky cho biết: “Có nhiều cách để nhận diện ai là người đứng sau một vụ tấn công mạng. Ví dụ, các nhà phân tích có thể dựa vào dấu hiệu trong phần mềm độc hại để xác định kẻ tấn công có phải là người bản địa hay không, hoặc địa chỉ IP có thể cho biết địa điểm tấn công. Tuy nhiên, nếu là tin tặc lành nghề, chúng có thể thao túng những điều này và khiến các nhà nghiên cứu dễ bị đánh lừa khi điều tra. Kinh nghiệm của chúng tôi cho thấy cách tốt nhất là tìm kiếm từ điểm chung của mã độc với những mẫu được xác định trong các sự cố hoặc chiến dịch trước đó. Không may là cách điều tra thủ công như vậy có thể mất vài ngày hoặc thậm chí vài tháng. Để tự động hóa và tiết kiệm thời gian cho công việc này, chúng tôi đã tạo ra Kaspersky Threat Attribution Engine, hiện đã có sẵn để phục vụ cho khách hàng của công ty”.
