Sao chép điện thoại và Deepfake AI: cách hacker Triều Tiên tấn công các chuyên gia tiền điện tử

Ngành công nghiệp tiền điện tử đang đối mặt với làn sóng đe dọa mạng mới. Các hacker Bắc Triều Tiên, liên quan đến nhóm Lazarus, đang sử dụng các phương pháp tấn công sáng tạo, bao gồm tích hợp sâu công nghệ sao chép điện thoại và video do AI tạo ra. Sự kết hợp này cho phép họ xâm nhập hệ thống của các chuyên gia tiền điện tử một cách hiệu quả chưa từng có và trộm cắp tài sản kỹ thuật số.

Theo thông tin từ các công ty nghiên cứu, bao gồm Odaily và Huntress, các hacker sử dụng các tài khoản Telegram bị xâm phạm để khởi tạo cuộc gọi video với các khuôn mặt giả mạo. Chúng giả danh là người quen, đồng nghiệp hoặc người đáng tin cậy để thuyết phục nạn nhân cài đặt phần mềm độc hại.

Cuộc gọi video với khuôn mặt giả mạo: chiến thuật mới của nhóm Lazarus

Martin Kucharz, đồng sáng lập hội nghị BTC Prague, đã chia sẻ chi tiết về một trong những nỗ lực như vậy. Các kẻ tấn công bắt đầu cuộc gọi video qua các tài khoản bị hack và sử dụng các deepfake do AI tạo ra để giả mạo danh tính. Với lý do sửa lỗi âm thanh trong Zoom, chúng thuyết phục người dùng tải xuống một “plugin” đặc biệt hoặc “cập nhật”.

Đây chính là điểm mở để sao chép điện thoại và cài đặt phần mềm độc hại nhiều lớp. Nạn nhân, nghĩ rằng đang giải quyết vấn đề kỹ thuật, thực chất đã cung cấp cho hacker quyền truy cập toàn diện vào thiết bị của mình.

Nhiễm trùng nhiều lớp: cách phần mềm độc hại chiếm quyền kiểm soát thiết bị

Các nghiên cứu của Huntress phát hiện ra rằng các script tải xuống có thể thực hiện các hoạt động phức tạp trên các thiết bị macOS. Thiết bị bị nhiễm trở thành mục tiêu của các backdoor — các lối vào ẩn, qua đó hacker có thể quay trở lại hệ thống bất cứ lúc nào.

Khả năng của phần mềm độc hại vượt xa việc gián điệp đơn thuần:

• Ghi lại tất cả các phím nhấn (bao gồm mật khẩu và mã truy cập)
• Chặn nội dung clipboard (nơi có thể chứa thông tin về ví tiền)
• Truy cập vào các tài sản mã hóa và ví tiền điện tử
• Sao chép dữ liệu thiết bị để sử dụng trong các hoạt động sau này

Sao chép thiết bị và trộm cắp tài sản crypto

Các chuyên gia từ SlowMist nhận định rằng các hoạt động này thể hiện các dấu hiệu rõ ràng của một chiến dịch có kế hoạch nhằm vào các mục tiêu cụ thể. Mỗi cuộc tấn công được lên kế hoạch cẩn thận và điều chỉnh phù hợp với từng chuyên gia tiền điện tử hoặc ví tiền.

Nhóm, còn được biết đến với tên gọi BlueNoroff, sử dụng dữ liệu sao chép thiết bị không chỉ để truy cập ngắn hạn mà còn để kiểm soát lâu dài. Chúng có thể theo dõi các giao dịch, theo dõi chuyển động của tài sản và chờ thời điểm thích hợp để trộm cắp.

Đặc biệt nguy hiểm, việc sao chép điện thoại cho phép các hacker vượt qua các phương pháp xác thực hai yếu tố tiêu chuẩn dựa trên mã SMS gửi đến thiết bị của nạn nhân.

Bảo vệ khỏi các cuộc tấn công nâng cao: các biện pháp an ninh thực tiễn

Với sự phổ biến của công nghệ sao chép giọng nói và khuôn mặt qua video và âm thanh, các phương pháp xác thực truyền thống không còn đáng tin cậy nữa. Ngành công nghiệp tiền điện tử cần nhanh chóng xem xét lại cách tiếp cận an ninh của mình.

Các chuyên gia đề xuất thực hiện các biện pháp sau:

• Xác thực đa yếu tố (MFA) — không chỉ dựa vào SMS, sử dụng các chìa khóa bảo mật phần cứng
• Xác minh danh tính qua các kênh độc lập — gọi điện đến số điện thoại đã biết nếu còn nghi ngờ về tính xác thực của cuộc gọi video
• Cập nhật bảo mật định kỳ — liên tục cập nhật phần mềm và ứng dụng để vá các lỗ hổng
• Giám sát thiết bị — theo dõi hoạt động bất thường, các quá trình đáng ngờ, thay đổi trong hệ thống
• Cách ly tài sản quan trọng — lưu trữ số tiền lớn trên ví lạnh, không kết nối internet

Các hacker Bắc Triều Tiên tiếp tục hoàn thiện chiến thuật của mình, sử dụng các công nghệ AI và sao chép tiên tiến để vượt qua các biện pháp bảo vệ truyền thống. Ngành công nghiệp tiền điện tử cần luôn cảnh giác và liên tục điều chỉnh các chiến lược an ninh của mình để chống lại các mối đe dọa ngày càng gia tăng. Chỉ có một phương pháp toàn diện về an ninh mạng, kết hợp việc sử dụng sao chép điện thoại để phát hiện hoạt động đáng ngờ và tăng cường xác thực đa yếu tố, mới có thể đảm bảo sự bảo vệ đáng tin cậy cho các chuyên gia tiền điện tử.