Chương 227: Đòn Phản Công Bằng Kỹ Thuật Keylogger Nét Phím
Mười một giờ bốn mươi tám phút đêm.
Penthouse Thủ Thiêm vẫn sáng đèn.
Nhưng lần này, Lão Cửu không ngồi bên cửa kính nhìn xuống những dòng xe bên dưới.
Ông ngồi trước chiếc ThinkPad cũ trên chiếc bàn gỗ thấp.
Bình ngồi cách đó hơn hai mét, im lặng.
Zero đứng phía sau.
Trên màn hình là một cửa sổ duy nhất.
Không có hình ảnh camera.
Không có bản đồ.
Không có địa chỉ IP chạy loạn.
Chỉ có một chuỗi dữ liệu được đóng khung:
CANDIDATE A — DEVICE FORENSIC SESSION
Bên dưới:
EVIDENCE SOURCE: SEIZED IPAD
STATUS: PRESERVED
REMOTE CONTROL: DISABLED
FORENSIC MIRROR: ACTIVE
Zero khoanh tay.
— Nó vẫn còn một thứ mà mình chưa giải thích được.
Lão Cửu không ngẩng đầu.
— Cái gì?
— Nét phím.
Lão Cửu dừng ngón tay trên bàn.
— Nói tiếp.
Zero kéo ghế ngồi xuống.
— Từ Ch209 tới giờ, mình có hai loại dấu vết. Một là stylometry. Hai là keystroke dynamics. Stylometry cho ra Candidate A với mức tương đồng rất cao. Nhưng mình đã xác định đó chỉ là chỉ báo.
— Đúng.
— Còn keystroke thì yếu hơn. Nhưng hôm nay mình có thêm một thứ.
Zero mở một tập dữ liệu.
Không phải nội dung tin nhắn.
Không phải mật khẩu.
Không có thông tin riêng tư được mở ra trên màn hình.
Chỉ là những mốc thời gian và trạng thái thao tác.
TOUCH — PAUSE — TOUCH — CONFIRM
INTERVAL PROFILE
ACTION SEQUENCE
Lão Cửu nhìn một lúc.
— Mày muốn đối chiếu hành vi thao tác với mẫu trước đây?
— Không chỉ đối chiếu.
Zero nhìn ông.
— Dùng chính thói quen đó làm dấu nhận diện trong một môi trường kiểm soát.
Lão Cửu dựa lưng vào ghế.
— Không keylogger thật.
— Không.
— Không chiếm quyền thiết bị.
— Không.
— Không đụng vào dữ liệu đang được niêm phong.
— Chính xác.
Lão Cửu gật đầu.
— Vậy mới làm.
Bình từ góc phòng hỏi vọng lại:
— Vậy cái tên “Keylogger” nghe ghê vậy để làm gì?
Zero quay sang.
— Để gọi cho dễ nhớ.
Bình nhăn mặt.
— Nghe cứ như tụi mình sắp làm chuyện phạm pháp.
Lão Cửu cười khẽ.
— Làm đúng thì gọi là pháp chứng. Làm sai thì cùng một thứ đó biến thành chuyện khác.
Bình im.
Câu nói ấy làm căn phòng yên thêm vài giây.
Candidate A đang bị A05 tạm giữ.
Chiếc iPad cũng đã được thu giữ.
Không ai trong penthouse có quyền tùy tiện điều khiển thiết bị.
Nhưng Nghĩa đã cho phép nhóm kỹ thuật tiến hành một phiên phân tích pháp chứng độc lập trên bản sao dữ liệu.
Mục tiêu không phải đọc xem Candidate A đang nghĩ gì.
Mục tiêu là xác định một câu hỏi khác:
Người chạm vào thiết bị hôm nay có hành vi thao tác giống người từng tạo ra những dấu vết trước đây hay không?
Và quan trọng hơn:
Nếu thiết bị phát hiện một hành vi xóa dữ liệu, nó có thể tự chuyển sang trạng thái bảo toàn bằng chính chuỗi hành vi đó hay không?
Zero mở hồ sơ.
— Đây là bản sao pháp chứng. Thiết bị thật vẫn nằm trong khu vực niêm phong của A05.
— Tốt.
— Mình chỉ dựng lại hành vi trên bản sao.
— Làm.
Zero bắt đầu.
Không có dòng lệnh.
Không có màn hình đen.
Không có những chuỗi ký tự chạy như phim.
Chỉ là một mô hình hành vi.
Thiết bị được đặt trong trạng thái mô phỏng.
Một người dùng giả lập chạm vào màn hình.
Dừng.
Xác nhận.
Dừng.
Vuốt.
Chọn.
Quay lại.
Một chuỗi thao tác bình thường.
Sau đó Zero thay đổi mẫu.
Khoảng dừng giữa các thao tác được đưa về gần với những gì đã thu thập từ các phiên làm việc trước.
Một nhịp.
Hai nhịp.
Một khoảng dừng dài.
Rồi một thao tác xác nhận.
Lão Cửu nhìn chằm chằm.
— Có phản ứng không?
— Chưa.
Zero lặp lại.
Lần thứ hai.
Không có gì.
Lần thứ ba.
Màn hình xuất hiện một dòng:
BEHAVIORAL MATCH — PARTIAL
Bình bước tới.
— Bao nhiêu phần trăm?
Zero không trả lời ngay.
— Không quan trọng.
Bình ngạc nhiên.
— Sao lại không?
— Vì tụi mình đã bị cái con số 98% dạy cho một bài rồi.
Lão Cửu nhìn Zero.
— Đúng.
Zero đóng cửa sổ kết quả.
— Một con số cao không tự biến thành bằng chứng.
Lão Cửu nói:
— Nhưng nếu hành vi xuất hiện đúng lúc một hành động nguy hiểm được thực hiện thì sao?
Zero nhìn ông.
— Khi đó nó trở thành dấu hiệu để giữ lại hành động. Không phải bằng chứng để kết tội người.
Lão Cửu gật đầu.
— Tiếp tục.
Mười hai giờ mười ba phút.
Tại khu vực làm việc của A05, Candidate A được phép sử dụng một thiết bị điện tử trong phạm vi kiểm soát để xác nhận một số tài liệu phục vụ việc đối chất.
Đó không phải chiếc iPad thật.
A05 đã tách bản sao phục vụ quá trình kiểm tra.
Nghĩa đứng phía sau lớp kính.
Một cán bộ kỹ thuật ngồi bên cạnh.
Candidate A ngồi đối diện.
Ông ta vẫn bình thản như ở nhà hàng Bến Vân Đồn.
Áo sơ mi đã thay.
Không còn chiếc iPad trên tay như tối hôm trước.
Nhưng vẻ bình tĩnh thì vẫn còn nguyên.
Nghĩa đặt tập tài liệu xuống.
— Ông có thể xem.
Candidate A mở tài liệu.
Ông ta lướt qua vài trang.
Một lát sau, màn hình hiển thị một thông báo yêu cầu xác nhận quyền truy cập.
Candidate A dừng lại.
— Cái này là gì?
Kỹ thuật viên trả lời:
— Một bước xác nhận bảo toàn dữ liệu.
Candidate A cười.
— Các anh sợ tôi xóa gì đó?
Nghĩa không đáp.
Candidate A chạm vào màn hình.
Một lần.
Dừng.
Lần thứ hai.
Dừng lâu hơn.
Ngón tay di chuyển.
Một lựa chọn được đánh dấu.
Trong căn phòng bên ngoài, máy giám sát lập tức ghi nhận chuỗi thao tác.
Zero đang theo dõi từ penthouse thông qua kênh pháp chứng được Nghĩa cho phép.
Màn hình ThinkPad hiện:
ACTION SEQUENCE — CAPTURED
Zero ngồi thẳng người.
— Có rồi.
Lão Cửu bước tới.
— Hành vi gì?
— Không phải nội dung. Là nhịp.
Một chuỗi dấu thời gian xuất hiện.
TOUCH
PAUSE
SELECT
PAUSE
CONFIRM
Zero nhìn thêm vài giây.
— Giống mẫu cũ.
Lão Cửu hỏi:
— Mức nào?
Zero lắc đầu.
— Không đọc con số.
— Tại sao?
— Vì hôm nay chúng ta không cần biết nó giống bao nhiêu phần trăm.
Zero chỉ vào chuỗi thao tác.
— Mình cần biết sau chuỗi này hắn làm gì.
Đúng lúc đó, Candidate A chạm vào một mục khác.
Màn hình hiện:
DATA CONTROL
Một cửa sổ cảnh báo xuất hiện.
Candidate A nhìn nó.
Trong mắt ông ta lần đầu tiên có một thay đổi rất nhỏ.
Không phải sợ.
Mà là khó chịu.
Ông ta chạm tiếp.
CONFIRM
Ngay khoảnh khắc đầu ngón tay vừa chạm vào màn hình—
Màn hình chuyển sang màu đen.
Một dòng chữ hiện lên:
DESTRUCTIVE ACTION BLOCKED
Candidate A dừng lại.
Kỹ thuật viên đứng bật dậy.
— Xin ông giữ nguyên tay.
Candidate A quay sang.
— Cái gì?
Kỹ thuật viên không trả lời.
Ở penthouse, Bình cũng vừa đứng lên.
— Nó bị khóa rồi?
Zero nhìn màn hình.
— Không.
Lão Cửu hỏi:
— Vậy là gì?
Zero phóng to chuỗi trạng thái.
— Nó không bị khóa toàn bộ.
Một dòng khác xuất hiện:
EVIDENCE PRESERVATION STATE — ACTIVE
Tiếp theo:
SECURITY AUTHORITY — REVOKED
Bình há miệng.
— “Giật quyền” hả?
Lão Cửu nhìn Zero.
Zero gật.
— Nhưng không phải tụi mình giật.
— Vậy ai?
Zero chỉ vào màn hình.
— Chính cơ chế bảo toàn chứng cứ.
Lão Cửu im lặng.
Cái bẫy không phải là một cuộc tấn công.
Nó là một cái gương.
Người ta không cần đột nhập vào thiết bị.
Chỉ cần thiết bị đã được đặt trong trạng thái có thể nhận ra một chuỗi hành vi nguy hiểm và tự chuyển sang chế độ bảo toàn.
Candidate A nhìn màn hình.
Ông ta thử chạm lần nữa.
Không có phản ứng.
Quyền thao tác đã bị giới hạn.
Kỹ thuật viên lập tức ghi nhận thời điểm.
Nghĩa bước tới.
— Dừng lại.
Candidate A quay sang.
— Các anh đã làm gì?
Nghĩa nhìn ông ta.
— Chúng tôi không làm gì cả.
— Không thể nào.
— Ông vừa thực hiện một chuỗi thao tác có dấu hiệu kích hoạt hành động xóa dữ liệu.
Candidate A im lặng.
Nghĩa nói tiếp:
— Hệ thống bảo toàn chứng cứ đã chặn nó.
Candidate A nhìn màn hình.
— Các anh đã gài thứ này.
Nghĩa không phủ nhận ngay.
— Thiết bị pháp chứng được cấu hình để không cho phép hành động phá hủy dữ liệu.
— Tôi đang nói về thứ theo dõi thao tác.
Nghĩa nhìn kỹ thuật viên.
Kỹ thuật viên trả lời:
— Có ghi nhận hành vi thao tác. Không ghi nội dung riêng tư ngoài phạm vi được phê duyệt.
Candidate A cười nhạt.
— Các anh gọi nó là gì?
Nghĩa không trả lời.
Ở đầu bên kia, Zero nói:
— Gọi đúng tên đi.
Lão Cửu nhìn ông.
— Gì?
— Keystroke Dynamics.
Lão Cửu bật cười.
— Nhưng hắn đang dùng màn hình cảm ứng.
— Thì gọi là Behavioral Interaction Dynamics.
Bình chen vào:
— Nghe còn đáng sợ hơn.
Lão Cửu khoát tay.
— Tên gì không quan trọng.
Ông nhìn vào chuỗi dữ liệu.
— Quan trọng là nó vừa tự chứng minh một chuyện.
Zero gật.
— Có một người biết chính xác lúc nào phải kích hoạt hành động xóa.
Lão Cửu nhìn thẳng vào màn hình.
— Và hắn có thói quen thao tác đủ ổn định để nhận ra.
Mười hai giờ ba mươi bảy phút.
Nghĩa gọi điện tới.
— Tôi muốn nghe kết luận.
Zero trả lời:
— Chưa có kết luận về danh tính.
— Tôi biết.
— Chuỗi hành vi của Candidate A tương đồng với những mẫu trước đó ở một số đặc điểm. Nhưng chỉ vậy.
— Còn hành động xóa?
Zero nhìn Lão Cửu.
— Có.
— Có nghĩa gì?
Lão Cửu cầm điện thoại.
— Có nghĩa là tối nay hắn vừa thử thực hiện một hành động mà hệ thống pháp chứng đã dự liệu.
Nghĩa im lặng vài giây.
— Có phải các cậu vừa truy cập thiết bị của hắn từ xa không?
— Không.
— Có cài phần mềm vào thiết bị thật không?
— Không.
— Có lấy dữ liệu ngoài phạm vi không?
— Không.
Nghĩa thở ra.
— Tốt.
Lão Cửu nói:
— Nhưng có một chuyện xấu.
— Chuyện gì?
— Hắn không hề bất ngờ khi thấy quyền xóa bị chặn.
Đầu dây bên kia im lặng.
Zero quay sang nhìn Lão Cửu.
— Đúng.
Lão Cửu nói tiếp:
— Hắn bất ngờ vì chúng ta biết hắn sẽ làm gì. Không phải vì hành động đó tồn tại.
Nghĩa hiểu ra.
— Nghĩa là?
— Nghĩa là có thể hắn đã quen với một quy trình mà trong đó quyền xóa là thứ bình thường.
Zero bổ sung:
— Hoặc hắn từng nhìn thấy một cơ chế tương tự.
Nghĩa hỏi:
— Có liên quan Node 2 không?
Lão Cửu không trả lời ngay.
Một lát sau, ông nói:
— Chưa biết.
Zero mở hồ sơ.
— Nhưng có một điểm mới.
Trên màn hình xuất hiện:
AUTHORITY CHAIN — NODE 2
BEHAVIORAL TRIGGER OBSERVED
OPERATOR — CANDIDATE A
AUTHORITY SOURCE — UNKNOWN
UPSTREAM NODE — ACTIVE
Nghĩa nhìn những dòng đó.
— Vậy vẫn chưa bắt được người đứng sau.
— Chưa.
— Nhưng lần này chúng ta có gì?
Lão Cửu nhìn Zero.
Zero đáp:
— Một thứ trước đây chưa có.
— Là gì?
— Phản xạ.
Nghĩa không hiểu.
Zero giải thích:
— Những lần trước, chúng ta nhìn dữ liệu rồi đoán người.
— Còn lần này?
— Lần này người phản ứng với một cơ chế mà chúng ta đã dựng trong môi trường kiểm soát.
Lão Cửu tiếp lời:
— Chúng ta không hỏi “ai có khả năng làm”.
— Mà hỏi “ai phản ứng thế nào khi bị đặt trước một hành động giống với hành vi cũ”.
Nghĩa im lặng.
Đó là khác biệt rất lớn.
98% stylometry từng khiến họ tưởng như đã chạm tới người đứng sau.
Nhưng một câu nhắn sau đó đã cảnh báo:
“98% CŨNG CHỈ LÀ MỘT CÁI BẪY.”
Lần này họ không săn một con số.
Họ săn một phản ứng.
Một giờ mười phút sáng.
Penthouse trở lại yên tĩnh.
Bình đã xuống dưới mua cà phê.
Zero vẫn ngồi trước ThinkPad.
Lão Cửu đứng bên cửa kính.
Bên dưới, Sài Gòn vẫn chưa ngủ.
Zero nói:
— Chú.
— Ừ.
— Cháu nghĩ Candidate A không phải người duy nhất biết cơ chế này.
Lão Cửu quay lại.
— Vì sao?
— Vì lúc quyền xóa bị thu hồi, hắn không hỏi “tại sao hệ thống không cho tôi xóa”.
— Hắn hỏi “các anh đã làm gì”.
— Đúng.
Zero xoay màn hình về phía Lão Cửu.
Một đoạn ghi chú hiện lên.
BEHAVIORAL RESPONSE
EXPECTED: SYSTEM FAILURE / USER CONFUSION
OBSERVED: IMMEDIATE SUSPICION OF EXTERNAL INTERVENTION
Lão Cửu đọc xong.
Ông im lặng rất lâu.
— Hắn biết có người có thể tác động vào chuỗi quyền.
— Hoặc từng thấy chuyện đó.
— Và hắn biết phải nghi ngờ ngay.
Zero gật.
— Điều đó làm em nghĩ tới một chuyện.
— Nói.
— Người đứng sau có thể không dạy hắn cách xóa dữ liệu.
— Mà dạy hắn cách nhận biết khi nào có người đang ngăn mình xóa.
Lão Cửu nhìn ra ngoài cửa kính.
Một chiếc tàu chậm rãi đi trên sông.
Ánh đèn kéo thành một vệt ngắn trên mặt nước.
Ông nói:
— Vậy thì cái bẫy tối nay chưa bắt được người.
— Nhưng?
— Nó cho mình biết người phía sau không chỉ cung cấp quyền.
Zero nhìn ông.
— Mà còn huấn luyện người sử dụng quyền.
Lão Cửu gật.
— Chính xác.
Zero mở một hồ sơ mới.
Tên tệp:
AUTHORITY TRAINING PATTERN
Lão Cửu nhìn thấy dòng chữ đó.
— Đừng đặt tên như kết luận.
Zero lập tức sửa.
POSSIBLE AUTHORITY TRAINING PATTERN — UNDER VERIFICATION
Lão Cửu gật đầu.
— Được.
Bình vừa bước vào cửa, trên tay cầm ba ly cà phê.
— Hai ông ngồi đây làm gì mà mặt ai cũng như mất tiền vậy?
Không ai trả lời.
Bình đặt cà phê xuống.
— Bắt được thằng sếp cũ chưa?
Zero lắc đầu.
— Nó đang bị giữ.
— Ý tôi là bắt được thằng đứng sau chưa?
Lão Cửu nhìn Bình.
— Chưa.
Bình thở dài.
— Vậy đêm nay làm được gì?
Lão Cửu chỉ vào màn hình.
— Biết được một chuyện.
— Chuyện gì?
— Người nuôi cáo không chỉ đưa chìa khóa.
Bình im.
Lão Cửu nói chậm:
— Hắn còn dạy con cáo cách dùng chìa khóa.
Zero nhìn dòng trạng thái cuối cùng.
NODE 2 — OPERATOR RESPONSE: OBSERVED
AUTHORITY SOURCE — UNKNOWN
NODE 3 — ACTIVE
Rồi một dòng mới xuất hiện.
Không phải từ hệ thống.
Không phải từ A05.
Không phải do Zero tạo ra.
Một tin nhắn được chuyển tới kênh liên lạc của họ.
Chỉ có hai câu:
“CÁC NGƯỜI ĐÃ HỌC ĐƯỢC CÁCH NHÌN NÉT PHÍM.”
Một khoảng trống.
Sau đó:
“NHƯNG CÁC NGƯỜI VẪN CHƯA BIẾT AI ĐANG CẦM TAY NGƯỜI GÕ.”
Bình đặt mạnh ly cà phê xuống bàn.
Zero nhìn Lão Cửu.
Lão Cửu không động đậy.
Ông chỉ nhìn dòng chữ.
Rồi nói:
— Xóa khỏi màn hình.
Zero không hỏi.
— Vì sao?
— Không phải vì sợ.
Lão Cửu nhìn thẳng vào Zero.
— Vì từ giờ trở đi, mọi thứ nó gửi cho mình đều có thể là thứ nó muốn mình tin.
Zero hiểu.
Anh lưu bản ghi pháp chứng.
Đóng giao diện.
Không trả lời.
Không truy đuổi.
Không thử phản công.
Chỉ còn một dòng được giữ lại trong hồ sơ:
KEYSTROKE DYNAMICS — VALID AS LEAD
STYLOMETRY — VALID AS LEAD
CANDIDATE A — NOT PROVEN AS NODE 3
AUTHORITY CHAIN — CONTINUES
Lão Cửu đứng dậy.
— Mai gặp Nghĩa.
Zero hỏi:
— Nói gì?
— Không nói về 98%.
— Vậy nói gì?
Lão Cửu nhìn ra phía sông Sài Gòn.
— Nói về người đã dạy Candidate A phải dùng cái quyền đó.
Ngoài kia, thành phố vẫn sáng.
Còn phía sau những ô cửa kính, một tầng quyền lực khác vẫn chưa lộ mặt.
Lần này, họ không còn tìm người bằng một con số.
Họ bắt đầu tìm dấu vết của người đã huấn luyện người khác trở thành công cụ.
--=---
PLS FOLLOW – THEO DÕI KÊNH
Nếu bạn yêu thích câu chuyện này, hãy nhấn Follow (Theo dõi) để không bỏ lỡ những chương tiếp theo. Mỗi lượt theo dõi và sự ủng hộ của bạn là nguồn động lực quý giá, giúp tác giả tiếp tục sáng tác và đưa câu chuyện đến những chặng đường hấp dẫn hơn. Cảm ơn bạn đã đồng hành cùng tác giả!
---==--