Bắc Triều Tiên leo thang mối đe dọa về tiền điện tử: Google Cloud cảnh báo chiến dịch phần mềm độc hại mới

Mandiant, hoạt động dưới bộ phận an ninh của Google Cloud, đã phát hiện một hoạt động mạng tinh vi liên quan đến Bắc Triều Tiên nhằm vào các lĩnh vực tiền điện tử và fintech với mức độ phức tạp chưa từng có. Nhóm mối đe dọa, được theo dõi là UNC1069, thể hiện sự mở rộng đáng kể các hoạt động lần đầu tiên được xác định vào năm 2018, nay được đặc trưng bởi việc triển khai phối hợp nhiều loại phần mềm độc hại tiên tiến và chiến thuật xã hội giả mạo dựa trên AI nhằm xâm nhập tài sản kỹ thuật số và đánh cắp dữ liệu nhạy cảm từ các mục tiêu giá trị cao.

Bảy họ phần mềm độc hại nhắm vào lĩnh vực tiền điện tử và fintech

Chiến dịch mới phát hiện này giới thiệu bảy họ phần mềm độc hại khác nhau được thiết kế để xâm nhập và trích xuất thông tin từ các nền tảng crypto và các công ty công nghệ tài chính. Trong số này, có ba biến thể mới nổi bật: SILENCELIFT, DEEPBREATH và CHROMEPUSH. Theo báo cáo điều tra chính thức của Mandiant, các công cụ này được thiết kế đặc biệt để thu thập thông tin toàn diện về hệ thống và nạn nhân, giúp kẻ tấn công duy trì quyền truy cập lâu dài và trích xuất thông tin đăng nhập, khóa và dữ liệu độc quyền.

DEEPBREATH và CHROMEPUSH thể hiện một bước tiến đặc biệt nguy hiểm, khi cả hai đều được thiết kế để vượt qua các biện pháp bảo vệ hệ điều hành quan trọng và bỏ qua các cơ chế bảo mật thường dùng để chống truy cập trái phép dữ liệu. Sự tinh vi về kỹ thuật này cho thấy một đối thủ có nguồn lực mạnh mẽ và kiến thức sâu rộng về kiến trúc bảo mật của ngành công nghiệp crypto.

Tấn công xã hội giả mạo dựa trên AI và ClickFix biến đổi phương thức tấn công

Hoạt động liên quan đến Bắc Triều Tiên này sử dụng phương pháp xã hội giả mạo nhiều lớp kết hợp trí tuệ nhân tạo với các chiến thuật lừa đảo truyền thống. Kẻ tấn công lợi dụng các tài khoản Telegram bị xâm phạm để thiết lập liên lạc ban đầu với mục tiêu, sau đó tổ chức các cuộc họp Zoom giả mạo với video deepfake do AI tạo ra để thao túng nạn nhân hợp tác.

Chiến thuật lừa đảo này kết thúc bằng các cuộc tấn công ClickFix — một kỹ thuật khiến nạn nhân bị lừa để thực hiện các lệnh ẩn trên hệ thống của họ, tin rằng họ đang thực hiện các kiểm tra bảo mật định kỳ hoặc bảo trì hệ thống. Phương thức tấn công này đặc biệt hiệu quả chống lại các tổ chức chú trọng bảo mật, vì nó khai thác niềm tin tự nhiên của người dùng vào các quy trình khắc phục sự cố hợp pháp.

Mandiant nhận diện sự tiến hóa nhanh chóng của nhóm mối đe dọa liên quan đến Bắc Triều Tiên UNC1069

Ý nghĩa của việc Google Cloud qua Mandiant phát hiện này vượt ra ngoài các chi tiết kỹ thuật. Kể từ khi bắt đầu theo dõi vào năm 2018, UNC1069 đã thể hiện sự tiến hóa liên tục và mở rộng nguồn lực, cho thấy sự hậu thuẫn của nhà nước liên tục. Sự gia tăng phát triển phần mềm độc hại và việc tích hợp các chiến thuật xã hội giả mạo dựa trên AI cho thấy một tác nhân đe dọa đang chuyển từ mục tiêu cơ hội sang các cuộc tấn công chính xác nhằm vào các tài sản hạ tầng chiến lược trong lĩnh vực tiền điện tử và tài chính.

Sự leo thang này đánh dấu một bước ngoặt trong cách các tác nhân nhà nước tiếp cận lĩnh vực crypto, từ các mục tiêu sơ khai đến các hoạt động tinh vi, đa giai đoạn có khả năng xâm phạm môi trường an toàn. Cộng đồng tiền điện tử và fintech đang đối mặt với mức độ hoạt động đe dọa phối hợp chưa từng có, đòi hỏi các biện pháp phòng thủ nâng cao và chia sẻ thông tin về mối đe dọa trong toàn ngành.