Tin tặc Triều Tiên đánh cắp 400 triệu USD bằng cuộc gọi Zoom giả mạo

Khuôn mặt xuất hiện ở đầu bên kia cuộc gọi video là của một người bạn, đồng nghiệp hoặc nhà đầu tư mà nạn nhân vốn đã quen biết. Nhưng đó chỉ là đoạn ghi hình. Theo FBI, tin tặc Triều Tiên dụ mọi người tham gia các cuộc họp Zoom và Teams giả mạo, phát lại video webcam bí mật ghi được từ những nạn nhân trước đó, rồi thuyết phục người mới cài phần mềm độc hại dưới vỏ bọc một thao tác sửa lỗi kỹ thuật nhanh chóng.

FBI gọi chiến dịch này là FaceStealer. Nó biến một tình huống quen thuộc nhất trong công việc từ xa thành chính cái bẫy tấn công. Lời mời được gửi từ tài khoản thật của người mà bạn tin tưởng, cuộc họp trông giống ứng dụng bạn dùng hằng ngày, còn người đang chờ bạn dường như đúng là người bạn nghĩ sẽ gặp. FBI cho biết thủ đoạn này có thể đánh lừa cả những người dùng giàu kinh nghiệm và đặc biệt cẩn trọng về an ninh mạng.

Quy mô của chiến dịch rất lớn. Trong cảnh báo gửi tới ngành tiền mã hóa và các nhà duy trì phần mềm mã nguồn mở, FBI cho biết nhóm này đã đánh cắp hơn 400 triệu USD tiền mã hóa trong 18 tháng qua. Các điều tra viên đã thu giữ hạ tầng đám mây đứng sau chiến dịch, cùng hơn 900 video webcam của những nạn nhân làm việc trong lĩnh vực tiền mã hóa và Web3 trên khắp thế giới. Tin tặc lưu giữ các video này như một thư viện để giả danh nạn nhân trong những vụ tấn công tiếp theo.

Mỗi vụ tấn công đều bắt đầu từ một người đã bị xâm nhập tài khoản. Kẻ tấn công chiếm quyền Telegram hoặc một ứng dụng nhắn tin khác của người đó, đọc lịch sử trò chuyện rồi nhắn cho các liên hệ bằng những lời mời được cá nhân hóa: hỏi thăm, bàn về cơ hội hợp tác hoặc trao đổi khoản đầu tư. Tiếp đó là lời mời qua Calendly, thường không kèm đường dẫn họp. Đường dẫn chỉ được gửi ngay trước cuộc gọi, trỏ đến một địa chỉ giả mạo dẫn tới bản sao Zoom hoặc Teams do tin tặc kiểm soát. Khi vào đó, nạn nhân nhìn thấy người liên hệ quen thuộc, thường cùng một vài người tham gia khác — tất cả đều là video ghi sẵn.

Sau đó là màn giăng bẫy. Người liên hệ giả mạo nhắn rằng họ không nghe thấy nạn nhân, rồi yêu cầu cập nhật ứng dụng, chạy một tập lệnh hoặc dán một dòng mã vào cửa sổ dòng lệnh. Thao tác «khắc phục» này cài công cụ đánh cắp cookie trình duyệt, phần mềm ghi lại thao tác bàn phím, công cụ chụp màn hình và cửa hậu. Tin tặc bắt đầu ghi hình webcam của nạn nhân ngay từ lúc người đó nhấp vào đường dẫn, biến nạn nhân mới thành gương mặt dùng để dụ người tiếp theo. «Nếu bạn không thể hình dung ra tình huống nào mình có thể mắc bẫy, nghĩa là bạn chưa suy nghĩ đủ sáng tạo», Patrick Grandy, người đứng đầu văn phòng FBI tại Los Angeles, nói.

Mối nguy không chỉ giới hạn ở ví tiền mã hóa. FBI cho biết thủ đoạn tương tự đã nhắm vào những người duy trì các dự án mã nguồn mở được sử dụng rộng rãi. Trong một vụ việc, người duy trì một thư viện JavaScript lớn — được tải xuống hàng chục triệu lần mỗi tuần — tham gia cuộc gọi Teams giả với một người mà anh nhận ra, làm theo hướng dẫn sửa lỗi và khiến máy tính bị nhiễm mã độc. Sau đó, tin tặc lợi dụng quyền truy cập của anh để đưa các gói phụ thuộc độc hại vào những bản tải xuống của thư viện, trước khi vụ xâm nhập bị phát hiện. FBI cho biết các nỗ lực khác nhắm vào những người duy trì dự án trên npm, kho lưu trữ gói JavaScript chính, và gần đây hơn là các nhà phát triển Rust. Chỉ cần lừa được một người duy trì dự án, tin tặc đã có thể phát tán mã độc tới hàng triệu người chưa từng tham gia bất kỳ cuộc gọi nào.

Trí tuệ nhân tạo cũng được sử dụng, dù vai trò nhỏ hơn nhiều so với những gì các dòng tít về deepfake có thể khiến người ta nghĩ. FBI cho biết nhóm này đã bắt đầu tạo video deepfake về những nhân vật nổi tiếng trong lĩnh vực tiền mã hóa, chỉ cần đủ giống hình ảnh webcam nhiễu hạt. Tuy vậy, chiến dịch vẫn chủ yếu dựa vào video thật đánh cắp từ nạn nhân thật, đồng nghĩa với việc các công cụ phát hiện deepfake sẽ không nhận diện được phần lớn những cuộc gọi này.

Chiến dịch triệt phá cũng chưa giải quyết được nhiều vấn đề. Máy chủ có thể được thay thế, còn những kẻ đứng sau vụ việc — được FBI xác định là nhóm tin tặc thuộc nhà nước Triều Tiên, có tên BlueNoroff, APT38 hoặc Sapphire Sleet — hoạt động từ Triều Tiên, ngoài tầm với của các tòa án Mỹ. FBI chưa cho biết có bao nhiêu người xuất hiện trong 900 video đã mất tiền. Trong một số vụ, tin tặc chờ nhiều tháng, đôi khi hơn một năm, mới rút sạch tiền trong ví; chúng kiên nhẫn chờ số dư tăng lên, nên một số nạn nhân có thể vẫn chưa biết máy tính của mình đã bị xâm nhập.

Khuyến cáo của FBI rất cụ thể. Hãy tham gia cuộc họp bằng ứng dụng Zoom hoặc Teams chính thức và mã mời, thay vì nhấp vào đường dẫn trên web — đặc biệt khi lời mời đến từ người mới quen hoặc ít liên hệ. Tắt camera cho đến khi bạn có thể nhìn thấy, nghe và trò chuyện với người đã mời mình. Tuyệt đối không chạy tập lệnh hoặc dán mã vào cửa sổ dòng lệnh để sửa lỗi cuộc gọi. Hãy cảnh giác nếu lời mời trên lịch không có đường dẫn họp và đường dẫn chỉ được gửi vài phút trước giờ bắt đầu; đồng thời xác nhận cuộc họp qua một kênh liên lạc khác. Bật xác thực đa yếu tố, cảnh báo đăng nhập và tin nhắn tự biến mất trên Telegram, WhatsApp và Slack.

FBI công bố cảnh báo về FaceStealer vào ngày 12 tháng 11, cùng ngày Bộ Tư pháp Mỹ thông báo về vụ thu giữ. Bộ này cũng cho biết đã được tòa án chấp thuận thu giữ hoặc phong tỏa hơn 1,2 tỷ USD tiền mã hóa mà tin tặc Triều Tiên đánh cắp từ sàn Binance vào cuối tháng 10, trong tổng số hơn 2,7 tỷ USD đã bị đóng băng cho đến nay; công việc thu hồi phần còn lại vẫn đang tiếp tục. FBI đã lập một trang riêng về FaceStealer, cung cấp hướng dẫn cho bất kỳ ai nghi ngờ mình là mục tiêu của chiến dịch.

Thẻ: an ninh mạng, deepfake, FBI, Triều Tiên, Zoom, FaceStealer