年度钓鱼大戏，虚假DeFi钓出朝鲜Lazarus真黑客

Bài viết gốc từ công ty bảo mật ANY.RUN 

Biên dịch｜Odaily 星球日报 秦晓峰（@QinXiaofeng 888 ）

Lời tòa soạn: Những người đam mê tiền mã hóa thường xuyên bị tấn công phishing chắc hẳn đều đã từng nghe đến nhóm hacker Triều Tiên Lazarus Group. Các "chiến dịch" nổi tiếng của chúng bao gồm nhưng không giới hạn ở: vụ đánh cắp 1,5 tỷ USD từ Bybit, vụ tấn công cầu nối Ronin Network / Axie Infinity (620 triệu USD), vụ tấn công liên quan đến DMM Bitcoin / Ginco (308 triệu USD), vụ tấn công Harmony Horizon Bridge (100 triệu USD), vụ tấn công Atomic Wallet (100 triệu USD), v.v.

Và chìa khóa thành công của những vụ tấn công này không thể thiếu kỹ thuật social engineering — hacker thường ngụy trang thành ứng viên xin việc bình thường, thâm nhập vào các công ty tiền mã hóa trong nhiều năm, chờ thời cơ hành động.

Gần đây, tổ chức bảo mật ANY.RUN đã hợp tác với BCA LTD (công ty chuyên về tình báo mối đe dọa và săn lùng mối đe dọa) và NorthScan (chương trình tình báo mối đe dọa vạch trần sự thâm nhập của nhân viên CNTT Triều Tiên), ba bên phối hợp để tấn công hiệu quả vào các đặc vụ hacker Triều Tiên.

Các nhà nghiên cứu đã tạo ra một công ty khởi nghiệp DeFi giả mạo và tuyển dụng thành công đặc vụ "Famous Chollima" chuyên thâm nhập nhân sự của Lazarus Group, từ đó có được góc nhìn nội bộ về hoạt động của các nhân viên CNTT Triều Tiên. Môi trường sandbox của ANY.RUN đã phơi bày theo thời gian thực mô hình hành vi của các đặc vụ, lộ diện bộ công cụ ngày càng phát triển, quy trình truy cập từ xa, việc sử dụng các công cụ AI và cơ sở hạ tầng hỗ trợ của chúng.

Cuộc điều tra này vượt xa giai đoạn tuyển dụng đơn thuần, đi sâu cho thấy các đặc vụ này cộng tác như thế nào sau khi được nhận vào làm, cách chúng thu thập và khai thác tài nguyên của công ty. Kết quả nghiên cứu cho thấy chương trình nhân viên CNTT Triều Tiên không chỉ là rủi ro tuyển dụng; một khi đặc vụ đã thâm nhập vào tổ chức, chúng có thể hợp pháp có được quyền truy cập vào mã nguồn, hệ thống, sở hữu trí tuệ và các quy trình kinh doanh cốt lõi.

Dưới đây là báo cáo do ba bên cùng biên soạn, được Odaily 星球日报 biên dịch, chúc bạn đọc vui vẻ~

——————————

Giới thiệu

Vào tháng 12 năm ngoái, chúng tôi đã ghi lại đầy đủ chu kỳ thâm nhập của "Famous Chollima" lần đầu tiên. Từ việc tuyển dụng đồng bọn để giúp chúng vào làm tại các công ty phương Tây, đến việc làm giả giấy tờ, vận chuyển laptop đến nhà của người trung gian, thậm chí sử dụng các công cụ AI để hỗ trợ trực tiếp và dịch thuật trong các buổi phỏng vấn — tất cả đều nằm trong tầm kiểm soát của chúng tôi.

Trong cuộc điều tra đó, chúng tôi đã giả vờ là người trung gian sẵn sàng thay chúng tham gia phỏng vấn và cho mượn laptop, để đổi lấy một phần trăm tiền lương của chúng. Điểm mấu chốt là những chiếc laptop đó thực chất là môi trường sandbox của ANY.RUN, ghi lại mọi cú click chuột và mọi thao tác của chúng. Điều này đã cung cấp cho chúng tôi một lượng lớn các chỉ số, hàng giờ video ghi lại thao tác máy tính và hình ảnh tiếp xúc trực tiếp, tạo nên một cuộc điều tra chưa từng có và lên trang nhất của nhiều phương tiện truyền thông.

(Người tuyển dụng "Famous Chollima", Aaron với biệt danh "Liệt Diễm")

Điều này không hề dễ dàng, đòi hỏi nhiều tháng trời tâm huyết, vừa tìm hiểu lai lịch của chúng vừa đóng vai đồng phạm của chúng. Và hôm nay, chúng tôi quyết định tiến xa hơn nữa.

Lần này, chúng tôi không còn giả làm người trung gian nữa, mà đã lột xác trở thành người sáng lập của Ballena Azul LTD. Đây là một công ty giao thức DeFi hoàn toàn mới, hợp tác trực tiếp với những "cá voi" tiền mã hóa xuyên chuỗi, đang tìm kiếm các nhà phát triển để xây dựng nền tảng của mình. Họ là những nhà phát triển mà chúng tôi có thể giao phó số tiền khổng lồ — nhiều đến mức vượt xa số tiền trong túi của bạn và tất cả bạn bè cộng lại, nhiều đến mức bạn đếm dấu phẩy không xuể.

Trang web của Ballena Azul LTD

Chương mới này có đầy đủ mọi thứ: một CEO quá tự tin, không tiến hành kiểm tra lý lịch nhân viên; những nhà phát triển giả mạo sở hữu giấy tờ giả; các tài khoản trung gian dùng để rửa tiền; một phóng viên cải trang thành nhà đầu tư mạo hiểm; và một luật sư người Ý cuối cùng đã châm ngòi cho mọi chuyện.

Nào, màn kịch hay đã bắt đầu!

Chương 1: The Chollimas

Trước tiên, hãy giới thiệu ngắn gọn về đối thủ chính của chúng ta. Famous Chollima là một trong nhiều chi nhánh của tổ chức Lazarus Triều Tiên. Mục tiêu của chúng rất đơn giản và trực tiếp: được tuyển dụng vào làm tại các công ty phương Tây.

Chúng nhắm đến các vị trí làm việc từ xa trong những ngành có giá trị tình báo và tài chính cực kỳ cao. Tiền mã hóa, tài chính và chăm sóc sức khỏe từ lâu là mục tiêu ưa thích của chúng, và các hoạt động gần đây đã mở rộng sang dược phẩm, kỹ thuật dân dụng, xây dựng và các lĩnh vực khác. Để có được những vị trí này, chúng dựa vào danh tính giả, hồ sơ xin việc giả mạo, người phỏng vấn hộ, trợ lý từ xa và những nhà phát triển ma, tất cả phối hợp với nhau để khiến công ty tin rằng người họ tuyển dụng đúng là người mà họ tuyên bố.

(Các đặc vụ Triều Tiên bị đội ngũ Bitso Quetzal bắt giữ trong buổi phỏng vấn của công ty)

Khác với các cuộc tấn công truyền thống, mục tiêu của chúng không phải là xâm nhập vào một tổ chức trong vài giờ hay vài ngày, mà là trở thành một phần của tổ chức đó. Việc được tuyển dụng thành công mang lại quyền truy cập liên tục trong nhiều tháng, thậm chí nhiều năm, bao gồm hệ thống nội bộ, mã nguồn, sở hữu trí tuệ và quy trình ra quyết định của doanh nghiệp, đồng thời kiếm được mức lương hợp pháp và cuối cùng chuyển tiền về cho chế độ Triều Tiên.

Điều này khiến "Famous Chollima" trở thành một mối đe dọa hoàn toàn khác biệt. Các chiến dịch phần mềm độc hại có thể tạo ra hiệu quả đáng kinh ngạc chỉ sau một đêm, nhưng bản thân chúng cũng rất ồn ào và đi kèm với rủi ro lộ diện đáng kể. Ngược lại, việc nhân viên bị lộ diện có rủi ro thấp hơn. Chúng được tin tưởng càng lâu, cơ hội thu thập thông tin tình báo, gây ảnh hưởng đến quyết định và dần dần hòa nhập vào tổ chức càng lớn. Nếu đủ số đặc vụ có được vị trí trong cùng một công ty, chúng cuối cùng có thể ảnh hưởng đến các quyết định kỹ thuật, đánh giá mã nguồn, yêu cầu kéo (pull request), phê duyệt hoặc các quy trình dựa trên sự tin tưởng khác mà không cần khai thác bất kỳ lỗ hổng phần mềm nào.

Hiểu rõ chúng đang tích cực tìm kiếm những cơ hội như vậy, chúng tôi quyết định chủ động tạo ra một cơ hội cho chúng.

Chương 2: Công ty

Câu trả lời chính là Ballena Azul LTD.

Về bề ngoài, đây là công ty mà "Famous Chollima" mơ ước: một giao thức DeFi hợp tác với những "cá voi" tiền mã hóa trên nhiều blockchain, đang tìm kiếm các nhà phát triển giàu kinh nghiệm để giúp xây dựng nền tảng.

Bản thân giao thức khá đơn giản. Bằng cách kết hợp NFT và các cơ chế on-chain khác, ví của những "cá voi" có thể tự nguyện xác minh danh tính và công khai tuyên bố quyền sở hữu. Ý tưởng là giảm thiểu sự đầu cơ không cần thiết của thị trường khi có các luồng tiền lớn di chuyển, tránh gây ra những tin đồn như sàn giao dịch bị hack, ví bị đánh cắp, exit scam... làm hoảng loạn hệ sinh thái.

Ballena Azul LTD trên chợ NFT OpenSea

Mọi thứ phải trông thật đáng tin cậy. Trang web chuyên nghiệp, thương hiệu doanh nghiệp, tài liệu, hình ảnh trực tuyến, và quan trọng nhất là một sản phẩm có lý. Chúng tôi làm điều này, không phải vì kỳ vọng các nhà đầu tư sẽ tin, mà vì chúng tôi dự đoán rằng họ sẽ (mắc câu).

(Thông tin đăng ký Ballena Azul LTD đã có sẵn tại Cơ quan Đăng ký Công ty Vương quốc Anh giúp tăng cường tính hợp pháp của công ty. Thực thể này không liên quan đến hoạt động của chúng tôi)

Tôi hóa thân thành Leonardo Nelson, đồng sáng lập của Ballena Azul LTD. Đối tác kinh doanh của tôi, Benito, sẽ tham gia cuộc họp của chúng tôi từ Ý. Trong khi đó, Heiner lại đóng vai Andy Jones, nhà phát triển và trợ lý trong tập đầu tiên. Lần này anh ấy là giám đốc kỹ thuật của Ballena Azul và được chính Benito giới thiệu cho tôi.

Về cơ sở hạ tầng, chúng tôi đã chọn nhà cung cấp đáng tin cậy nhất: ANY.RUN. Bây giờ, mọi thứ đã sẵn sàng, chỉ còn thiếu các nhà phát triển.

May mắn thay, Andy biết đúng người phù hợp cho vị trí này: Angelo Cruz, một nhân viên tuyển dụng bên ngoài của "Famous Chollima" đang khao khát vươn lên.

Chương 3: Kẻ buôn người

Angelo Cruz quen Andy trên GitHub. Họ bắt đầu trò chuyện, và không lâu sau, Cruz thuyết phục Andy hợp tác, với việc Andy đóng vai trò là trợ lý đáng tin cậy của anh ta, giúp các nhà phát tri