DOJ dùng telemetry định danh thiết bị Windows để liên kết nghi phạm Scattered Spider
"A DOJ complaint against alleged Scattered Spider member Peter Stokes says investigators used Microsoft Windows Global Device Identifier (GDID) telemetry, along with ngrok and VPN records, to correlate online activity with a specific Windows device and link it to the suspect. The case highlights how persistent device identifiers and service telemetry can aid attribution in cybercrime investigations; no software vulnerability or patch is described."
Vụ việc cho thấy khả năng attribution trong điều tra phụ thuộc mạnh vào định danh thiết bị bền vững (GDID) và telemetry dịch vụ; đồng thời có thể liên kết IP/ngữ cảnh truy cập với một endpoint cụ thể. Điểm then chốt: GDID, ngrok/VPN telemetry, và đối chiếu theo mốc thời gian.
Rủi ro vận hành nằm ở việc các chuỗi tấn công có thể bị truy vết ngược về thiết bị/nhân sự, làm tăng chi phí điều tra và ảnh hưởng tuân thủ. Điểm then chốt: tăng yêu cầu giám sát, giảm bề mặt lạm dụng công cụ đường hầm/VPN, và nâng chất lượng log để phục vụ điều tra.
Theo hồ sơ khiếu nại của Bộ Tư pháp Mỹ (DOJ) đối với Peter Stokes vì bị cáo buộc liên quan nhóm tấn công Scattered Spider, cơ quan điều tra đã sử dụng dữ liệu telemetry từ hệ sinh thái Windows Global Device Identifier (GDID) để quy hoạt động trực tuyến về một thiết bị Windows cụ thể.
Bối cảnh vụ việc là Scattered Spider bị cáo buộc nhắm vào nhiều doanh nghiệp tại Mỹ bằng cách chiếm quyền tài khoản nhân viên, từ đó truy cập hơn 100 mạng nội bộ doanh nghiệp và thực hiện exfiltrate hoặc encrypt dữ liệu để đòi tiền chuộc; cáo buộc nêu nhóm đã nhận hơn 100 triệu USD tiền chuộc.
Trong tài liệu, FBI mô tả GDID là định danh bền vững theo thiết bị được thiết kế để nhận diện một cài đặt Windows trên thiết bị vật lý hoặc máy ảo trong các dịch vụ/sự kiện nhất định. Cơ quan điều tra còn đối chiếu bản ghi từ ngrok và một dịch vụ VPN (tên được nêu là Tzulo) với thời điểm tài khoản ngrok được tạo trên máy Windows thông qua GDID tương ứng. Sau đó, GDID được liên kết tới địa chỉ IP tại Estonia nơi nghi phạm cư trú.
Không có thông tin về lỗ hổng hay bản vá trong vụ việc này. Khuyến nghị cho tổ chức: rà soát telemetry/định danh thiết bị trong hệ thống, siết kiểm soát truy cập từ các công cụ đường hầm như ngrok/VPN, và tăng giám sát tương quan log theo thời gian giữa endpoint và dịch vụ bên ngoài.