Nhóm mối đe dọa liên kết với Triều Tiên bị phát hiện nhắm vào lĩnh vực tiền điện tử và fintech bằng phần mềm độc hại tiên tiến

Phòng Mandiant của Google Cloud đã phát hiện một chiến dịch tấn công mạng ngày càng gia tăng xuất phát từ Triều Tiên, nhằm mục tiêu chiến lược vào các tổ chức tiền điện tử và fintech. Tác nhân đe dọa, được gọi là UNC1069, thể hiện sự leo thang đáng kể trong hoạt động đã được theo dõi liên tục từ năm 2018, hiện đang triển khai một kho vũ khí phần mềm độc hại mở rộng đáng kể.

Nhiều họ phần mềm độc hại được phát hiện trong cuộc điều tra của Mandiant

Cuộc điều tra mới nhất của Mandiant đã phát hiện ra một hoạt động xâm nhập cực kỳ tinh vi, dẫn đến việc triển khai bảy họ phần mềm độc hại khác nhau được thiết kế để thu thập và trộm dữ liệu nhạy cảm từ các tổ chức nạn nhân. Trong số này, hai dòng mới được phát hiện là CHROMEPUSH và DEEPBREATH, đặc biệt được thiết kế để vượt qua các lớp bảo vệ quan trọng của hệ điều hành trong khi trích xuất dữ liệu cá nhân và tổ chức. Thêm vào đó, SILENCELIFT là một thành phần khác của bộ công cụ mở rộng này. Những phát hiện này nhấn mạnh sự tinh vi về kỹ thuật và nguồn lực lớn của các hoạt động mạng của Triều Tiên chống lại các lĩnh vực fintech và tiền điện tử.

Deepfake do AI tạo ra được sử dụng trong các cuộc tấn công xã hội

Ngoài việc triển khai phần mềm độc hại truyền thống, chiến dịch liên kết với Triều Tiên còn tích hợp các chiến thuật xã hội tinh vi được hỗ trợ bởi trí tuệ nhân tạo. Các tác nhân đe dọa đã xâm nhập các tài khoản Telegram hợp pháp và tổ chức các cuộc họp Zoom giả mạo sử dụng video deepfake do AI tạo ra để thao túng mục tiêu. Nạn nhân bị lừa đảo để thực hiện các lệnh ẩn thông qua các cuộc tấn công ClickFix—một kỹ thuật kết hợp thao túng xã hội với khai thác kỹ thuật. Sự kết hợp giữa nội dung do AI tạo ra và các chiến thuật xã hội này tạo thành một mối đe dọa mới, làm tăng độ khó trong việc phát hiện và nâng cao nhận thức của nạn nhân.

Sự tiến hóa liên tục của mối đe dọa từ 2018 đến nay

Việc theo dõi liên tục của Mandiant về UNC1069 cho thấy tính chất bền bỉ của các hoạt động mạng của Triều Tiên nhằm vào các mục tiêu có giá trị cao trong ngành tiền điện tử và fintech. Những hoạt động bắt đầu từ năm 2018 đã phát triển thành một chiến dịch đe dọa đa dạng và có khả năng hơn, cho thấy sự đầu tư liên tục vào năng lực mạng nhằm vào các lĩnh vực có tầm quan trọng tài chính. Các tổ chức hoạt động trong lĩnh vực tiền điện tử và fintech cần nâng cao khả năng phòng thủ trước đối thủ có động cơ địa chính trị này.