Qua các cuộc gọi video bằng deepfake: cách các hacker Triều Tiên tấn công các chuyên gia tiền điện tử

Các hacker do Bắc Triều Tiên chỉ huy đang mở rộng kho vũ khí các phương thức tấn công các chuyên gia trong ngành công nghiệp tiền điện tử. Phương pháp mới — sử dụng cuộc gọi video với deepfake do AI tạo ra — cho phép kẻ xấu giả danh người quen hoặc các liên hệ có uy tín, sau đó thúc đẩy nạn nhân cài đặt phần mềm độc hại. Cách này cho thấy mức độ thành thạo trong việc ứng dụng công nghệ tổng hợp nhằm mục đích tấn công mạng.

Cuộc gọi video như một công cụ xã hội kỹ thuật

Theo dữ liệu từ công ty nghiên cứu Huntress, kịch bản tấn công diễn ra như sau: kẻ xấu chiếm quyền kiểm soát tài khoản Telegram của những người thật, quen thuộc với mục tiêu. Sau đó, họ bắt đầu cuộc gọi video, trong đó khuôn mặt của kẻ tấn công được thay thế bằng deepfake do AI tạo ra. Điều này vượt qua các kiểm tra xác thực hình ảnh cơ bản, thường giúp phát hiện lừa đảo.

Martin Kucharz, đồng tổ chức hội nghị BTC Prague, chia sẻ về một phương pháp cụ thể: cuộc gọi video giả mạo kèm theo đề nghị cài đặt một plugin giả để sửa lỗi âm thanh của Zoom. Sau khi cài đặt phần mềm độc hại, kẻ tấn công có toàn quyền truy cập vào thiết bị bị nhiễm, có thể lấy cắp tài sản crypto, tin nhắn và các dữ liệu quan trọng khác.

Phân tích kỹ thuật phần mềm độc hại: nhiễm trùng nhiều tầng

Phần mềm độc hại được triển khai thể hiện độ phức tạp và đa chức năng. Trên hệ macOS, mã độc có khả năng:

• Triển khai backdoor để điều khiển từ xa thiết bị
• Ghi lại các phím bấm của người dùng
• Sao chép nội dung clipboard
• Truy cập vào các ví tiền mã hóa được bảo vệ bằng mã hóa và các khóa riêng tư

Chức năng này cho phép hacker không chỉ làm lộ thiết bị cụ thể mà còn dùng nó như một bàn đạp cho các hoạt động tiếp theo.

Nhóm Lazarus và sự hỗ trợ của nhà nước

Các nhà nghiên cứu từ SlowMist và Huntress xác định với độ tin cậy cao rằng thủ phạm các cuộc tấn công là nhóm Lazarus của Bắc Triều Tiên, còn gọi là BlueNoroff. Nhóm này nhận tài chính và sự hỗ trợ chính trị từ nhà nước, giúp họ liên tục hoàn thiện các phương pháp xâm nhập.

Điểm đặc trưng là việc tái sử dụng các thành phần mã nguồn và kỹ thuật tấn công trong nhiều hoạt động khác nhau. Điều này cho thấy sự quản lý tập trung và chiến lược dài hạn nhằm nhắm vào các chuyên gia crypto và nhà giao dịch.

Cách tự bảo vệ khỏi các cuộc tấn công deepfake qua cuộc gọi video

Việc phổ biến công nghệ tổng hợp khuôn mặt và giọng nói khiến các phương pháp xác thực qua video và âm thanh trở nên không đáng tin cậy. Các ngành cần nhanh chóng xem xét lại các phương pháp xác minh danh tính. Các khuyến nghị bao gồm:

• Kích hoạt xác thực đa yếu tố (MFA) trên tất cả các dịch vụ quan trọng
• Sử dụng khóa bảo mật phần cứng thay vì các phương pháp xác thực phần mềm
• Cẩn trọng với các cuộc gọi video bất ngờ — ngay cả khi người gọi trông quen thuộc
• Thường xuyên cập nhật hệ điều hành và phần mềm
• Đào tạo đội ngũ nhận diện các hình thức xã hội kỹ thuật

Ngành công nghiệp crypto cần nhận thức rõ mức độ nguy hiểm và chủ động thực hiện các biện pháp tăng cường bảo vệ của mình.