Google Cloud Cảnh báo về mối đe dọa tiền điện tử liên quan đến Triều Tiên ngày càng gia tăng

Mandiant, bộ phận an ninh mạng của Google Cloud, đã phát hiện ra một hoạt động mạng tinh vi và ngày càng mở rộng bắt nguồn từ Triều Tiên, nhằm vào các công ty tiền mã hóa và fintech. Nhóm mối đe dọa, được gọi là UNC1069, thể hiện sự gia tăng đáng kể hoạt động độc hại ban đầu được phát hiện từ năm 2018, và hiện bao gồm một kho vũ khí tấn công tiên tiến nhằm xâm nhập hệ thống nhạy cảm và đánh cắp dữ liệu quan trọng từ các tổ chức tài chính.

Bảy họ malware được triển khai trong chiến dịch phối hợp

Cuộc điều tra của Mandiant cho thấy các nhà điều hành liên kết với Triều Tiên đã phát triển và triển khai bảy họ malware riêng biệt, nhằm thu thập, rò rỉ và sử dụng thông tin nhạy cảm từ các tổ chức mục tiêu. Trong số các mối đe dọa mới được phát hiện có SILENCELIFT, DEEPBREATH và CHROMEPUSH—các công cụ tinh vi được xây dựng để vượt qua các kiểm soát an ninh của hệ điều hành và trích xuất dữ liệu cá nhân từ các điểm cuối bị xâm nhập. Các biến thể malware này thể hiện sự tiến bộ kỹ thuật so với các công cụ trước đó, cho thấy nguồn lực phát triển liên tục và sự tinh vi ngày càng tăng trong hoạt động nhắm vào lĩnh vực tiền mã hóa.

Deepfake do AI tạo ra và chiến thuật xã hội kỹ thuật

Chiến dịch này đã tận dụng các kỹ thuật xã hội tinh vi kết hợp với công nghệ AI để thao túng nạn nhân. Các hacker đã xâm nhập các tài khoản Telegram hợp pháp và tổ chức các cuộc họp Zoom giả mạo, sử dụng video deepfake do AI tạo ra—tạo ra các hình ảnh giả mạo thuyết phục khiến nhân viên tin tưởng và thực hiện các lệnh ẩn. Phương thức tấn công này, thường gọi là các cuộc tấn công ClickFix, vượt qua các biện pháp an ninh truyền thống bằng cách khai thác lòng tin của con người và tạo cảm giác cấp bách cho mục tiêu. Việc tích hợp công nghệ deepfake đánh dấu một bước tiến trong khả năng tấn công mạng của Triều Tiên và cho thấy các tác nhân đe dọa do nhà nước tài trợ đã áp dụng các phương pháp tấn công tiên tiến nhất.

Ảnh hưởng đối với ngành công nghiệp tiền mã hóa

Sự leo thang này cho thấy Triều Tiên vẫn duy trì sự tập trung vào việc xâm nhập hạ tầng tiền mã hóa và fintech, có thể do nhu cầu tránh các lệnh trừng phạt quốc tế và tìm kiếm nguồn tài chính thay thế. Sự đa dạng của các họ malware và độ tinh vi của các kỹ thuật xã hội cho thấy đây là một hoạt động có nguồn lực mạnh mẽ, có mục tiêu chiến lược rõ ràng. Các tổ chức hoạt động trong lĩnh vực tiền mã hóa cần nâng cao khả năng phát hiện và đào tạo an ninh cho nhân viên để đối phó hiệu quả hơn.