Mối đe dọa tiền điện tử liên quan đến Triều Tiên: Google Mandiant tiết lộ chiến dịch phần mềm độc hại nâng cao

Mandiant, bộ phận an ninh mạng hoạt động dưới Google Cloud, đã phát hiện ra một hoạt động đe dọa ngày càng gia tăng liên quan đến Bắc Triều Tiên, nhắm vào các sàn giao dịch tiền điện tử và nền tảng fintech. Phát hiện này đánh dấu sự mở rộng đáng kể của các hoạt động độc hại mà các nhà nghiên cứu an ninh đã theo dõi từ năm 2018. Nhóm tác nhân đe dọa, được gọi là UNC1069, là một trong những chiến dịch tinh vi nhất đe dọa lĩnh vực tin tức crypto, sử dụng các công cụ tiên tiến và kỹ thuật lừa đảo dựa trên AI để xâm nhập các công ty tài sản kỹ thuật số.

Bảy họ malware được thiết kế để trộm dữ liệu

Cuộc điều tra cho thấy một cuộc xâm nhập phối hợp cao, dẫn đến việc triển khai bảy họ malware khác nhau, mỗi họ được thiết kế với khả năng thu thập dữ liệu đặc thù. Trong số đó, ba dòng malware mới được phát hiện đã thu hút sự chú ý đặc biệt của các nhà nghiên cứu an ninh:

• SILENCELIFT: Một phần mềm độc hại tinh vi nhằm thiết lập các kênh điều khiển và kiểm soát liên tục
• DEEPBREATH: Malware nâng cao được xây dựng để vượt qua các cơ chế bảo mật quan trọng của hệ điều hành và trích xuất thông tin nhạy cảm của hệ thống
• CHROMEPUSH: Công cụ đặc biệt được thiết kế để trộm cắp thông tin đăng nhập và dữ liệu cá nhân của nạn nhân trong khi tránh bị phát hiện

Theo báo cáo chi tiết của Mandiant, các biến thể malware này thể hiện sự mở rộng có chủ đích về khả năng của nhóm đe dọa, thể hiện kỹ thuật phân tích ngược tiên tiến và hiểu biết sâu sắc về cả hệ điều hành Windows lẫn macOS.

Deepfake do AI tạo ra và tấn công xã hội ClickFix

Điều làm chiến dịch này đặc biệt nguy hiểm là việc tích hợp trí tuệ nhân tạo vào các chiến thuật thao túng xã hội. Các tác nhân đe dọa đã xâm nhập các tài khoản Telegram hợp pháp và tổ chức các cuộc họp Zoom giả mạo tinh vi, sử dụng video deepfake do AI tạo ra của các cá nhân đáng tin cậy. Kỹ thuật này làm tăng đáng kể tỷ lệ thành công của các cuộc tấn công xã hội nhắm vào các công ty tiền điện tử.

Chiến dịch cũng tận dụng kỹ thuật gọi là tấn công ClickFix, trong đó nạn nhân bị thao túng để thực thi các lệnh hệ thống ẩn thông qua các tương tác tưởng chừng hợp pháp. Phương pháp này bỏ qua các biện pháp đào tạo nhận thức về an ninh truyền thống và khai thác tâm lý con người thay vì các lỗ hổng kỹ thuật.

Hậu quả cho ngành công nghiệp crypto

Việc nhắm vào các công ty tiền điện tử và fintech cho thấy các tác nhân liên kết với Bắc Triều Tiên vẫn tiếp tục ưu tiên trộm cắp tài sản kỹ thuật số như mục tiêu hàng đầu. Điều này đặt ra mối đe dọa trực tiếp tới người dùng sàn giao dịch, các nền tảng giao dịch và nhà cung cấp hạ tầng blockchain trên toàn thế giới.

Các đội ngũ an ninh quản lý nền tảng tiền điện tử cần ngay lập tức:

• Rà soát các chính sách bảo vệ điểm cuối chống lại các mối đe dọa kéo dài
• Triển khai xác thực đa yếu tố trên tất cả các hệ thống quan trọng
• Tổ chức đào tạo nâng cao nhận thức về an ninh tập trung vào các kỹ thuật xã hội dựa trên AI
• Giám sát các chỉ số liên quan đến sự xâm nhập của các họ malware UNC1069

Mối đe dọa ngày càng gia tăng này nhấn mạnh tầm quan trọng của việc duy trì tư thế an ninh mạng cảnh giác trong hệ sinh thái tin tức crypto và thực hiện các chiến lược phòng thủ đa lớp để bảo vệ tài sản kỹ thuật số và dữ liệu người dùng khỏi các tác nhân đe dọa nhà nước.