Tin tặc Triều Tiên đánh cắp 10 triệu đô la bằng các trò lừa đảo và phần mềm độc hại sử dụng AI trên LinkedIn
Tin tặc có liên quan đến Triều Tiên có tên Sapphire Sleet ước tính đã đánh cắp hơn 10 triệu đô la tiền điện tử thông qua các chiến dịch tấn công kỹ thuật xã hội được dàn dựng trong khoảng thời gian sáu tháng.
Những phát hiện này đến từ Microsoft, công ty cho biết nhiều nhóm hoạt động đe dọa có liên quan đến quốc gia này đã được phát hiện tạo ra các hồ sơ giả trên LinkedIn, đóng vai cả người tuyển dụng và người tìm việc để tạo ra doanh thu bất hợp pháp cho quốc gia đang chịu lệnh trừng phạt.
Sapphire Sleet, được biết là hoạt động ít nhất từ năm 2020, trùng với các nhóm tin tặc được theo dõi là APT38 và BlueNoroff. Vào tháng 11 năm 2023, gã khổng lồ công nghệ tiết lộ rằng tác nhân đe dọa đã thiết lập cơ sở hạ tầng giả mạo các cổng thông tin đánh giá kỹ năng để thực hiện các chiến dịch kỹ thuật xã hội của mình.
Một trong những phương pháp chính mà nhóm này áp dụng trong hơn một năm là đóng giả làm nhà đầu tư mạo hiểm, lừa dối rằng họ quan tâm đến công ty của người dùng mục tiêu để thiết lập cuộc họp trực tuyến. Những mục tiêu mắc bẫy và cố gắng kết nối với cuộc họp sẽ được hiển thị thông báo lỗi yêu cầu họ liên hệ với người quản lý phòng hoặc nhóm hỗ trợ để được trợ giúp.
Nếu nạn nhân liên hệ với kẻ tấn công, họ sẽ được gửi tệp AppleScript (.scpt) hoặc tệp Visual Basic Script (.vbs) tùy thuộc vào hệ điều hành được sử dụng để giải quyết sự cố kết nối.
Về cơ bản, tập lệnh này được sử dụng để tải phần mềm độc hại xuống máy Mac hoặc Windows bị xâm nhập, cuối cùng cho phép kẻ tấn công lấy được thông tin đăng nhập và ví tiền điện tử để thực hiện hành vi trộm cắp sau đó.
Sapphire Sleet đã bị phát hiện đóng giả làm nhà tuyển dụng cho các công ty tài chính như Goldman Sachs trên LinkedIn để tiếp cận các mục tiêu tiềm năng và yêu cầu họ hoàn thành đánh giá kỹ năng được lưu trữ trên một trang web do họ kiểm soát.
"Kẻ đe dọa sẽ gửi cho người dùng mục tiêu một tài khoản đăng nhập và mật khẩu", Microsoft cho biết. "Khi đăng nhập vào trang web và tải xuống mã liên quan đến đánh giá kỹ năng, người dùng mục tiêu sẽ tải xuống phần mềm độc hại vào thiết bị của họ, cho phép kẻ tấn công truy cập vào hệ thống".
Redmond cũng mô tả việc Triều Tiên cử hàng nghìn nhân viên CNTT ra nước ngoài là mối đe dọa ba chiều, vừa kiếm tiền cho chế độ thông qua công việc "hợp pháp", vừa cho phép họ lạm dụng quyền truy cập để nắm giữ tài sản trí tuệ và tạo điều kiện cho hành vi trộm cắp dữ liệu để đổi lấy tiền chuộc .
"Vì một người ở Bắc Triều Tiên khó có thể đăng ký những thứ như tài khoản ngân hàng hoặc số điện thoại, nên các nhân viên CNTT phải sử dụng các nhà cung cấp dịch vụ để giúp họ có được quyền truy cập vào các nền tảng nơi họ có thể ứng tuyển vào các công việc từ xa", báo cáo cho biết. "Những nhà cung cấp dịch vụ này được các nhân viên CNTT sử dụng cho các nhiệm vụ như tạo tài khoản trên trang web việc làm tự do".
Điều này bao gồm việc tạo hồ sơ và danh mục đầu tư giả mạo trên các nền tảng dành cho nhà phát triển như GitHub và LinkedIn để giao tiếp với nhà tuyển dụng và ứng tuyển việc làm.
Trong một số trường hợp, chúng cũng được phát hiện sử dụng các công cụ trí tuệ nhân tạo (AI) như Faceswap để chỉnh sửa ảnh và tài liệu bị đánh cắp từ nạn nhân hoặc hiển thị chúng trên nền của các thiết lập trông chuyên nghiệp. Những bức ảnh này sau đó được sử dụng trên sơ yếu lý lịch hoặc hồ sơ, đôi khi cho một số nhân vật, được nộp để xin việc.
Microsoft cho biết: "Ngoài việc sử dụng AI để hỗ trợ tạo hình ảnh dùng trong đơn xin việc, nhân viên CNTT Triều Tiên còn đang thử nghiệm các công nghệ AI khác như phần mềm thay đổi giọng nói".
"Các nhân viên CNTT Triều Tiên dường như rất có tổ chức khi theo dõi các khoản thanh toán đã nhận. Nhìn chung, nhóm nhân viên CNTT Triều Tiên này dường như đã kiếm được ít nhất 370.000 đô la Mỹ thông qua những nỗ lực của họ."