Năm 1986, khoản lệch sổ 75 xu dẫn Clifford Stoll tới một hacker. Vụ án khép lại bằng phiên tòa gián điệp KGB.

17/10/2026 · VietTechies · Biên tập

Tháng 8 năm 1986, một chương trình kế toán của Phòng thí nghiệm Lawrence Berkeley (LBL) ở California không cân đối được sổ sách. Khoản lệch là 75 xu. Người đi tìm nguyên nhân là Clifford Stoll, một nhà thiên văn học chuyển sang phụ giúp vận hành máy tính của phòng thí nghiệm khi tiền tài trợ của ông sắp cạn. Dấu vết dẫn ông tới một hacker ở Tây Đức. Các cộng sự của hacker này đã bán một phần những thứ hắn thu thập được cho KGB, cơ quan tình báo Liên Xô.

Khoản 75 xu ấy phát sinh từ một tài khoản tên “Hunter” không có địa chỉ gửi hóa đơn hợp lệ. Ít lâu sau, Trung tâm An ninh Máy tính Quốc gia Mỹ báo rằng có người ở LBL đã tìm cách đột nhập một máy tính của trung tâm qua MILNET, mạng dữ liệu của quân đội Mỹ. Nhóm của Stoll xóa tài khoản lạ kia, nhưng vấn đề vẫn còn: có kẻ đang hoạt động với quyền quản trị hệ thống và tìm cách sửa dữ liệu kế toán.

LBL không đóng sập cửa. “Thay vì tìm cách chặn kẻ xâm nhập ở ngoài, chúng tôi chọn một cách làm mới lạ: cho hắn truy cập, trong lúc in ra các hoạt động của hắn và lần ngược về tận nơi hắn xuất phát”, Stoll viết năm 1988. Cuộc truy vết kéo dài gần một năm.

Cách LBL theo dõi kẻ xâm nhập mà không bị phát hiện

Nhóm của Stoll gắn máy in dòng và thiết bị ghi vào mọi cổng nhận kết nối từ bên ngoài, rồi in ra dữ liệu đi qua đó. Vài ngày sau, kẻ xâm nhập quay lại, và từng phím hắn gõ đều hiện lên giấy. Các bộ giám sát nằm bên ngoài máy tính: một đường truyền nối tiếp (serial line) có thể cấp tín hiệu cho nhiều thiết bị, nên máy in chép được dữ liệu mà không đụng tới hệ điều hành. Ngay cả kẻ xâm nhập có quyền quản trị hệ thống cũng không thấy được các bộ giám sát này.

Stoll lưu ý rằng bộ giám sát đặt trong hệ thống sẽ tốn tài nguyên, cần phần mềm có đặc quyền — thứ có thể mở ra lỗ hổng mới — và khiến kẻ xâm nhập nhận ra hắn đang bị theo dõi. Trong vòng vài giây sau mỗi lần hắn kết nối, hệ thống báo động tự động gọi qua modem nội bộ tới máy nhắn tin của quản trị viên hệ thống cùng các trung tâm điều khiển mạng, và kỹ thuật viên bắt đầu lần theo cuộc gọi.

Lỗ hổng nằm trong một trình soạn thảo văn bản

Các bản in cho thấy cách hắn chiếm quyền quản trị hệ thống. GNU Emacs, một trình soạn thảo văn bản phổ biến, đi kèm một hệ thống thư riêng. Tiện ích movemail trong hệ thống thư này dùng tính năng set-user-ID (setuid) của Unix. Vì thế, một phần của Emacs chạy với quyền quản trị hệ thống (root). Movemail cho phép người dùng đổi chủ sở hữu của một file và chuyển file vào thư mục của người khác, nhưng không ngăn ai chuyển file vào khu vực dành riêng cho hệ thống.

Kẻ xâm nhập viết một shell script mà khi chạy dưới quyền root sẽ cấp đặc quyền hệ thống cho hắn. Hắn dùng movemail lén đưa script này vào khu vực dành riêng cho hệ thống, ngụy trang thành một tiện ích mà hệ thống chạy theo lịch. Theo bài viết năm 1989 của The Wall Street Journal, tiện ích đó là atrun, cứ năm phút lại chạy một lần. Khi hệ thống chạy script ấy, hắn có được quyền quản trị hệ thống. Cuốn sách năm 1989 của Stoll về cuộc truy đuổi có tên The Cuckoo’s Egg (tạm dịch: Trứng chim cu cu): chim cu cu đẻ trứng vào tổ chim khác và để chủ tổ ấp nở hộ.

Đoán nhầm thủ phạm và những manh mối dẫn ra nước ngoài

Ban đầu, phòng thí nghiệm nghi thủ phạm là một sinh viên thích chơi khăm ở Đại học California gần đó. Nhưng bằng chứng cứ chỉ sang hướng khác. Độ trễ khứ hồi trên mạng gợi ý rằng kết nối đến từ nước ngoài. Kẻ xâm nhập dùng các lệnh Unix kiểu AT&T thay vì kiểu Berkeley, và có lúc hắn đặt mật khẩu tiếng Đức cho những tài khoản đánh cắp được. “Nhìn lại, tất cả đều là manh mối về nơi hắn xuất phát”, Stoll viết, “vậy mà manh mối nào cũng khiến chúng tôi bối rối, vì chúng tôi vẫn đinh ninh rằng ‘hẳn là một sinh viên nào đó ở khuôn viên Berkeley’.”

Tymnet, một mạng dữ liệu thương mại, ghi lại được địa chỉ bên gọi trong vòng vài giây sau mỗi lần tấn công. Các địa chỉ này dẫn tới những trường đại học ở Bremen và Karlsruhe, cùng một modem quay số công cộng ở một thành phố khác của Đức.

Bản thân LBL chủ yếu là bàn đạp để vào MILNET, mạng quân sự. Từ đó, hắn thử đăng nhập vào khoảng 450 máy tính bằng các tên tài khoản phổ biến như root, guest, system và field. Ở khoảng 5% số máy hắn thử, tên tài khoản và mật khẩu mặc định đã cho hắn vào được. Hắn lục tìm trong các file những từ như “nuclear” (hạt nhân), “sdi” và “norad”, viết tắt của Sáng kiến Phòng thủ Chiến lược và Bộ Tư lệnh Phòng không Không gian Bắc Mỹ. Tính chung, trong 10 tháng, nhóm của Stoll đã theo dõi hắn đột nhập vào hơn 30 máy tính.

Những bản ghi nhớ giả giúp hoàn tất cuộc truy vết

Kỹ thuật viên điện thoại có thể khoanh vùng nguồn cuộc gọi về một thành phố của Đức, nhưng muốn lần tới đúng một máy điện thoại, họ cần hắn kết nối lâu hơn mấy phút thường lệ. Theo một bài điểm sách năm 1989 về tác phẩm của Stoll, mẹo giữ chân hắn trên đường dây là ý tưởng của Martha Matthews, một sinh viên luật ở Berkeley, người về sau kết hôn với Stoll. Phòng thí nghiệm tạo các file chứa những bản ghi nhớ bịa đặt, mô tả cách máy tính sẽ hỗ trợ nghiên cứu cho SDI, chương trình phòng thủ tên lửa của Mỹ. Trong các file còn có một danh sách nhận thư và những lá thư mẫu đứng tên một thư ký không có thật của LBL.

Kẻ xâm nhập tìm thấy các file này và dành hơn một tiếng để đọc. Trong lúc đó, các kỹ thuật viên đã hoàn tất cuộc truy vết. Phòng thí nghiệm ăn mừng bằng sữa lắc làm từ dâu tây nhà trồng ở Berkeley, nhưng hóa ra họ ăn mừng quá sớm. Vài tháng sau, có thư của một người ở Mỹ gửi tới người thư ký không có thật kia, xin được ghi tên vào danh sách nhận thư giả về SDI. Stoll viết rằng vì lá thư yêu cầu “thông tin mật”, chỉ riêng lá thư ấy đã gợi đến chuyện gián điệp.

Tòa án Đức kết luận gì

Tháng 3 năm 1989, nhà chức trách Tây Đức bắt giữ các thành viên nhóm, trong đó có kẻ xâm nhập là Markus Hess ở Hanover. Công tố viên truy tố ba người: Hess, một chuyên gia máy tính khác, và một cựu nhân viên chia bài ở sòng bạc, được cho là đầu mối liên lạc của nhóm với KGB. Theo The Wall Street Journal, có lẽ Hess chưa bao giờ tiếp cận được các file tối mật, nhưng KGB ở Đông Berlin vẫn sẵn lòng trả tiền cho hai cộng sự của hắn để mua một phần tài liệu hắn thu được.

Đầu năm 1990, Tòa án Khu vực Cấp cao ở Celle tuyên cả ba bị cáo án tù treo: hai năm với cựu nhân viên chia bài, 20 tháng với Hess và 14 tháng với chuyên gia máy tính còn lại. Thẩm phán chủ tọa Leopold Spiller nói rằng những gì được chuyển cho điệp viên KGB ở Đông Berlin hẳn không có mấy giá trị.

Những điều bản kể ngắn gọn bỏ qua

Trong bản kể ngắn gọn của chính Stoll, một khoản lệch sổ 75 xu đã dẫn ông tới một hacker mà “một năm sau” hóa ra là “một gián điệp làm việc cho KGB của Liên Xô”. Diễn biến thực tế kéo dài hơn thế. Khoản 75 xu chỉ mở màn cho vụ việc. Phải mất gần một năm với những xấp giấy in, những lần dò cuộc gọi ở hai nước và các bản ghi nhớ giả, cuộc truy vết mới hoàn tất. Còn cáo buộc làm gián điệp cho KGB thì đến năm 1989 mới có.

Stoll cũng đặt dấu hỏi về quan niệm rằng đột nhập đòi hỏi tài năng xuất chúng. Bài báo của ông mô tả kẻ xâm nhập là người “kiên nhẫn và cặm cụi”, một người “hầu như không tỏ ra sáng tạo xuất sắc gì trong việc tìm ra các lỗ hổng bảo mật mới”. Hắn dùng lại các lỗ hổng đã được ghi trong tài liệu, mật khẩu mặc định, và mật khẩu mà người dùng để lại trong file và email đã lưu.

Lập trình viên có thể rút ra gì từ cuộc truy đuổi

Đối soát cũng là giám sát. Hồi chuông cảnh báo đầu tiên đến từ một chương trình kế toán không cân đối được sổ sách.
Bộ giám sát nằm ngoài hệ thống không bị lộ. Máy in gắn trên các đường truyền nối tiếp được rẽ nhánh thì ngay cả root cũng không thấy.
Chương trình phụ trợ có đặc quyền cũng là bề mặt tấn công. Một tiện ích thư dùng setuid đã biến một tài khoản người dùng thành root.
Mật khẩu mặc định là cửa để ngỏ. Chúng cho hắn vào được khoảng 5% số máy hắn thử.

Kẻ xâm nhập không cần mánh khóe mới, chỉ cần những lỗ hổng cũ. Phía phòng thủ cũng không cần công cụ mới: chỉ cần giấy, máy nhắn tin và một người không chịu bỏ qua 75 xu. Khi được cảnh báo, những nơi khác bị hắn tấn công thường chặn hắn ngay, còn LBL thì tiếp tục theo dõi. Như bài báo năm 1988 của Stoll viết: “Từ góc nhìn của kẻ xâm nhập, gần như ai cũng phát hiện ra hoạt động của hắn, trừ LBL. Trên thực tế, gần như không ai phát hiện ra hắn, trừ LBL.”

Bài liên quan

Đọc bằng ngôn ngữ khác: English