FBI: Tin tặc Triều Tiên trộm hơn 400 triệu USD tiền mã hóa qua cuộc họp video giả

FBI hôm thứ Năm (12/11) cho biết tin tặc Triều Tiên đã trộm hơn 400 triệu USD tiền mã hóa trong 18 tháng qua bằng các cuộc họp video giả, trong đó chúng phát lại hình ảnh quay lén người quen của nạn nhân. Cơ quan này đã thu giữ hơn 900 video như vậy.

FBI gọi thủ đoạn này là “FaceStealer” trong cảnh báo khẩn (FLASH) gửi giới tiền mã hóa, web3 (các ứng dụng Internet dựa trên công nghệ chuỗi khối) và những người duy trì phần mềm mã nguồn mở. Cơ quan này quy trách nhiệm cho nhóm tin tặc được nhà nước Triều Tiên bảo trợ, vốn được biết đến với nhiều tên gọi như Sapphire Sleet, UNC1069, Dangerous Password, CryptoCore, APT38, BlueNoroff và Stardust Chollima. FaceStealer dựa vào các bản giả của Zoom, Microsoft Teams và Google Meet do tin tặc kiểm soát.

Ngoài trộm tiền mã hóa, nhóm này còn tìm cách xâm nhập chuỗi cung ứng phần mềm mã nguồn mở.

Mồi nhử là hình ảnh người quen

Mỗi vòng lừa đảo bắt đầu từ một người đã bị xâm nhập máy tính. Tin tặc quét thiết bị của người này để tìm ví tiền mã hóa và cụm từ khôi phục ví. Chúng chiếm tài khoản Telegram hay ứng dụng nhắn tin mã hóa khác của nạn nhân, khóa không cho người này đăng nhập, rồi đọc danh bạ và lịch sử trò chuyện. Người này còn bị quay lén lúc ngồi chờ một cuộc họp video bắt đầu.

Sau đó, tin tặc đóng giả chủ tài khoản, nhắn tin cho bạn bè của người này để hẹn họp qua Zoom hay Teams với lý do “hỏi thăm”, “bàn hợp tác” hoặc “trao đổi cơ hội đầu tư”. Nhờ đọc được các cuộc trò chuyện cũ, chúng soạn lời mời riêng cho các mục tiêu giá trị cao. Nhóm này cũng lập tài khoản mới hoặc chiếm tài khoản Telegram, LinkedIn, Slack và Discord để tiếp cận mục tiêu.

Khi người nhận đồng ý, tin tặc gửi lịch hẹn qua Calendly hay dịch vụ tương tự. Sát giờ họp, chúng mới gửi đường link trông giống link Zoom, Teams, nhưng thực chất dẫn tới các tên miền giả viết gần giống tên thật, như uu01webzoom.us hay teams.livemeet.us. Link này mở ra bản Zoom, Teams giả đặt trên máy chủ do tin tặc kiểm soát, với giao diện giống hệt bản thật.

Khi nạn nhân được cho vào phòng họp, tin tặc phát đoạn video quay lén từ webcam của người quen, thường kèm thêm video khác để trông như có nhiều người cùng tham gia.

Một lúc sau, kẻ đóng giả người quen nhắn rằng có lỗi âm thanh hay lỗi kỹ thuật khác, mọi người không nghe được nạn nhân nói. Chúng hướng dẫn nạn nhân bấm nút “cập nhật”, chạy một đoạn mã hay dán lệnh vào cửa sổ dòng lệnh. Nếu nạn nhân làm theo, máy tính sẽ tải về mã độc, gồm các công cụ lấy cookie trình duyệt (dữ liệu trang web lưu trên máy, gồm cả phiên đăng nhập), ghi lại thao tác bàn phím, chụp màn hình và mở cửa hậu (lối truy cập bí mật vào máy) cho tin tặc.

Hình ảnh nạn nhân qua webcam cũng bị quay lén ngay từ lúc họ bấm vào đường link giả. Đến đây, người được mời đã thành nạn nhân mới, còn danh bạ của họ trở thành danh sách mục tiêu tiếp theo.

Trong một số vụ, tin tặc chờ từ vài tháng đến hơn một năm sau lần xâm nhập đầu tiên, để số dư trong ví tăng lên rồi mới lấy tiền.

Tin tặc bắt đầu dùng deepfake, nhắm cả lập trình viên

Nhóm này nay đã dùng cả thứ mà FBI gọi là “siêu trí tuệ” (super intelligence) để thủ đoạn hiệu quả hơn nữa. Một trong những cách dùng đáng lo ngại là tạo video deepfake. Các video này chủ yếu giả mạo những người nổi tiếng, có ảnh hưởng trong ngành tiền mã hóa và web3, được dựng từ ảnh và video công khai của họ. Tin tặc có thể dùng deepfake thay cho video nạn nhân, hoặc phát cùng video thật để giả một cuộc họp nhiều người.

Dù vậy, FaceStealer hiện vẫn dựa gần như hoàn toàn vào video thật lấy cắp từ nạn nhân, cơ quan này lưu ý.

Đầu năm nay, nhóm này suýt cài được mã độc vào một thư viện JavaScript lớn có hàng chục triệu lượt tải mỗi tuần. Người duy trì thư viện bị dụ vào một cuộc họp Teams giả, trong đó có ít nhất một người anh quen mặt. Anh làm theo hướng dẫn “sửa lỗi” và vô tình cài mã độc vào máy.

Tin tặc sau đó dùng quyền của người này để tạo các gói phụ thuộc chứa mã độc, sẽ được tải về cùng thư viện thật. Vụ tấn công không thành nhờ được phát hiện và xử lý nhanh. Nếu không, số nạn nhân có thể rất lớn, FBI nhận định. Tin tặc còn nhắm vào người duy trì các gói mã trên kho NPM của JavaScript, và gần đây là các gói viết bằng ngôn ngữ Rust.

Sapphire Sleet không phải nhóm tin tặc Triều Tiên mà FBI và khu vực tư nhân gắn với vụ tấn công khiến sàn Binance mất 6,3 tỷ USD, Reuters đưa tin. Hôm 31/10, FBI cho biết nhóm đứng sau vụ Binance có tên “TraderTraitor”.

FBI khuyến cáo cách phòng tránh

Để tránh bị dụ vào phòng họp giả, FBI khuyên người dùng:

• Vào cuộc họp bằng ứng dụng Zoom, Teams chính thức và nhập mã mời, không bấm link để mở bản web, nhất là khi lời mời đến từ người ít liên lạc hoặc mới quen.
• Chỉ bật webcam khi đã thấy, nghe và trò chuyện được với người mời.
• Không chạy đoạn mã hay dán lệnh vào cửa sổ dòng lệnh khi được nhắc cập nhật trong cuộc họp; hãy tự cập nhật ứng dụng riêng.
• Xem lời hẹn qua Calendly hay dịch vụ đặt lịch khác có kèm link họp không: tin tặc thường không gửi link trong thư hẹn mà gửi sát giờ họp.
• Xác nhận lại cuộc hẹn với người mời qua một kênh khác, như tin nhắn điện thoại hay cuộc gọi.
• Bật xác thực đa yếu tố và cảnh báo đăng nhập cho Telegram, WhatsApp, Slack.
• Chỉ giữ ít tiền trong ví dạng tiện ích mở rộng của trình duyệt; không lưu cụm từ khôi phục hay khóa riêng tư ở bất kỳ đâu trên thiết bị.

Người nghi mình đã bị xâm nhập nên lập ví mới, với cụm từ khôi phục mới, trên một thiết bị chưa từng dùng để liên lạc với tin tặc, rồi chuyển tài sản sang ví này. Họ cũng nên đổi mọi mật khẩu và báo cho bạn bè. Ai đã liên lạc với tin tặc trên máy của công ty, hoặc có tài liệu công việc trên máy cá nhân, thì cần báo cho nơi làm việc. FBI đề nghị nạn nhân trình báo tại IC3.gov với từ khóa “FaceStealer”.

Xem thêm: