Ở Mỹ hiện nay, có không ít những nhóm các chuyên gia an ninh mạng hoạt động độc lập, với nòng cốt là những người có kinh nghiệm làm việc tại các tập đoàn an ninh mạng, làm nghiên cứu, hoặc có quan hệ mật thiết với các cơ quan chính phủ.
An ninh mạng hiện đang là một lĩnh vực "hái ra tiền", song những chuyên gia nói trên thừa nhận họ cảm thấy thôi thúc bởi lý tưởng muốn bảo vệ hệ thống mạng khỏi những kẻ sử dụng trình độ IT của mình vào mục đích xấu. Họ tự gọi mình là "Liên đoàn những gã Đầu to Mắt cận Quan tâm đến thời cuộc".
Phát hiện đáng chú ý của nhóm "đầu to mắt cận"
Hè năm nay, sau khi điều tra của tập đoàn an ninh mạng nổi tiếng CrowdStrike cho thấy một số hacker người Nga đã thâm nhập vào hệ thống máy chủ của Ủy ban Quốc gia đảng Dân chủ (DNC), những chuyên gia "đầu to mắt cận" nói trên đã "ban bố tình trạng khẩn cấp" trong nội bộ nhóm.
Họ cho rằng, nếu hacker Nga đã thâm nhập được vào DNC, thì cũng hoàn toàn có thể tấn công vào hệ thống của phe Cộng hòa, trong đó có một loạt các máy chủ đứng tên chiến dịch tranh cử của ứng viên Donald Trump.
Cuối tháng 7 vừa qua, một thành viên trong nhóm "đầu to mắt cận" với bí danh "Lá trà" đã tìm ra một vài đoạn log có vẻ giống như malware xuất phát từ Nga, với chữ "Trump" trong địa chỉ tên miền đích.
Truy ngược lại địa chỉ tên miền gốc, "Lá trà" phát hiện ra một ngân hàng ở Moscow với những lần ping bất thường tới máy chủ của Trump đặt tại New York. Nghi ngờ có điều gì đó bất thường, "Lá trà" đã ghi lại log các hoạt động DNS từ máy chủ này của Trump, sau đó nhờ 6 người khác trong nhóm "đầu to mắt cận" cùng tìm hiểu thêm.
Sau một thời gian nghiên cứu, "Lá trà" và các đồng nghiệp phát hiện ra rằng đây hoàn toàn không phải là một đợt tấn công mạng từ Nga, mà là những liên lạc thông thường giữa người với người. Đặc biệt, liên lạc luôn diễn ra trong giờ hành chính theo múi giờ hai thành phố Moscow và New York.
Từ các dữ liệu trên, nhóm "đầu to mắt cận" kết luận đây là một liên lạc thường xuyên giữa một server đăng kí dưới tên Trump và hai máy chủ do một ngân hàng Alfa có trụ sở ở Moscow đăng ký.
Christopher Davis, một chuyên gia trong lĩnh vực an ninh mạng, khẳng định có rất nhiều điểm bất thường trong server của Trump được dùng để liên lạc với Ngân hàng Alfa. Máy chủ này được đăng kí tên Trump vào năm 2009, và được dùng để gửi e-mail số lượng lớn trong các chiến dịch quảng bá kinh doanh.
Tuy nhiên hiện nay, máy chủ này có lưu lượng traffic rất thấp so với sức hoạt động của nó.
Christopher Davis, giám đốc điều hành tập đoàn an ninh mạng HYAS InfoSec, từng được FBI trao bằng khen vào năm 2013 cho công lao "tìm diệt" gốc gác của một đợt tấn công botnet gây ảnh hưởng tới 15 triệu máy tính của nhiều tập đoàn và ngân hàng. Ảnh: National Post
"Tôi nhận nhiều mail hàng ngày hơn cả cái máy chủ này [của Trump]... Tôi cũng chưa từng thấy một máy chủ nào được cài đặt một cách quái dị như vậy" - ông Davis phát biểu với Slate.
Đây chưa phải điều "quái dị" duy nhất. Khi nhóm "đầu to mắt cận" tìm cách liên lạc với máy chủ này, họ nhận được thông báo lỗi. Sau nhiều lần thử đi thử lại không thành, họ kết luận máy chủ này đã được cài đặt để chỉ nhận liên lạc từ một số địa chỉ IP nhất định.
Theo các log ghi lại hoạt động từ máy chủ của Trump, 87% liên lạc xuất phát từ hai máy chủ của ngân hàng Alfa.
"Rõ ràng hai máy chủ này đang liên lạc theo một cách đã được sắp đặt để ngăn chặn sự can thiệp của bên ngoài" - một chuyên gia trong nhóm phát biểu.
Các chuyên gia không thể xác định rõ nội dung các liên lạc giữa máy chủ của Trump với máy chủ của ngân hàng Alfa, song họ khẳng định đây không phải những liên lạc tự động của các bot, mà là liên lạc giữa người với người.
New York Times vào cuộc
Hồi tháng 9, nhóm "đầu to mắt cận" tìm cách thu hút sự chú ý của công chúng đối với các phát hiện của mình. Sau khi đọc được về các phát hiện này, hai phóng viên Eric Lichtblau và Steven Myers của New York Times quyết định tìm hiểu thêm.
Lichtblau hẹn gặp đại diện của ngân hàng Alfa vào ngày 21/9, và phía ngân hàng phủ nhận có bất cứ liên hệ gì với Trump.
Mikhail Fridman, người sáng lập ngân hàng Alfa, là người giàu thứ hai nước Nga ở thời điểm hiện tại. Fridman được cho là có quan hệ thân thiết với Tổng thống Nga Vladimir Putin, đồng thời cũng được cả phương Tây "ưu ái". Ảnh: RT
Hai phóng viên của New York Times chưa liên lạc với bộ sậu của Trump, nhưng điểm đáng nói là không lâu sau khi Lichtblau gặp đại diện phía Alfa, máy chủ của Trump có dấu hiệu ngưng hoạt động. Khi các thành viên nhóm "đầu to mắt cận" tìm địa chỉ gốc, máy chủ DNS cho thông báo thất bại, điều này cho thấy máy chủ đã không còn hoạt động.
"Có vẻ như khi bị đánh động ở Moscow, phía New York đã phản ứng" - một thành viên của nhóm "đầu to mắt cận" nhận định.
Bốn ngày sau, tập đoàn Trump thiết lập một tên miền mới cho máy chủ (trump1.contact-client.com), cho phép liên lạc tới máy chủ cũ nhưng thông qua một con đường khác.
Các chuyên gia "đầu to mắt cận" phân tích, khi một tên miền mới cho máy chủ được thiết lập, thì liên lạc đầu tiên với nó không thể là ngẫu nhiên được, vì phía gửi liên lạc phải biết được tên miền đó.
Và liên lạc đầu tiên với máy chủ của Trump thông qua tên miền mới này không từ đâu khác, chính là ngân hàng Alfa.
Nhưng cũng chỉ vài ngày sau, khi phóng viên New York Times bắt đầu đặt câu hỏi với phía Trump, liên lạc giữa máy chủ Trump và máy chủ ngân hàng Alfa tuyệt nhiên không còn xuất hiện.
Có hay không mối liên hệ giữa Trump và Nga?
Những gì các chuyên gia "đầu to mắt cận" phát hiện ra tuy hé lộ nhiều điều, song chưa đủ để đi tới một kết luận nào cụ thể.
Nhưng khi lắp ráp vụ việc này với sự gần gũi có phần bất thường của một ứng viên Tổng thống Mỹ với Moscow, như những lời khen qua lại giữa Trump và Putin, lập trường phủ nhận vai trò của NATO, hay liên lạc giữa cố vấn Carter Page của Trump với các quan chức điện Kremlin, thì những hoài nghi là hoàn toàn có cơ sở.
Do đó, dù hiện có chưa rõ hoàn toàn liên lạc giữa hai máy chủ nói trên là gì, thì đứng trên phương diện cử tri Mỹ, vụ việc này xứng đáng được tìm hiểu thêm một cách kĩ càng.
Về phần mình, Trump vẫn một mực khẳng định ông "không có bất kì liên quan gì tới Nga".