Cuối năm 2019, một loạt các tin nhắn tưởng chừng như vô hại từ mạng xã hội nghề nghiệp LinkedInđã đã được gửi đến nhân viên thuộc các công ty quân đội và hàng không vũ trụ có trụ sở ở châu Âu và Trung Đông.

"Chúng tôi chào đón những người ưu tú như bạn và muốn mời bạn làm việc cho công ty chúng tôi", một tin nhắn dường như được gửi bởi một nhà tuyển dụng làm việc cho công ty đối thủ.

Một số nhân viên tò mò đã thử phản hồi lại tin nhắn nói trên. Họ lập tức nhận được một tin nhắn trả lời từ phía nhà tuyển dụng, vốn khuyến khích các kĩ sư mở file văn bản được gửi kèm theo để hiểu rõ hơn về cơ hội việc làm cực kỳ hấp dẫn này.

Theo Telegraph, bên trong tệp tin này chứa danh sách các vị trí cần tuyển, kèm theo mức lương cho mỗi vị trí. Tuy nhiên, khi đang lướt qua các vị trí có mức lương hấp dẫn, những người nhận được tin nhắn không hề hay biết rằng, máy tính của họ đã âm thầm bị kiểm soát từ xa bởi hacker. Theo đó, một mã độc được ‘giấu kín’ trong tệp tin đính kèm theo email đã giúp hacker truy cập được toàn bộ file và email trên máy tính của nạn nhân.

Trên thực tế, công việc hấp dẫn kia không hề tồn tại. Bản thân nhà tuyển dụng cũng không có thật.

Nhóm tin tặc nổi tiếng Lazarus của Triều Tiên được cho là đã đánh cắp thành công hàng trăm triệu USD từ các tổ chức tài chính nước ngoài.

Thay vào đó, theo hãng bảo mật ESEt và F-Secure. những tin nhắn trên thực chất được gửi bởi Lazarus – nhóm hacker được đồn đoán là do Triều Tiên hậu thuẫn, vốn nổi danh với một loạt chiến tích lẫy lừng. Vào năm 2014, nhóm hacker này bị phát hiện đột nhập vào máy chủ của hãng Sony Pictures. Vào năm 2017, Lazarus cũng bị cáo buộc là thủ phạm phát tán mã độc tống tiền WannaCry.

Ngay khi tin tặc chiếm được quyền kiểm soát máy tính của nạn nhân, tài khoản LinkedIn giả mạo cũng biến mất. Nhóm hacker đã ‘lục tung’ tài khoản email nạn nhân để tìm kiếm các hóa đơn chưa thanh toán. Sau khi đã tìm thấy, Lazarus liền gửi email tới các doanh nghiệp (đang còn nợ tiền) yêu cầu chuyển tiền tới một tài khoản ngân hàng mới do nhóm tin tặc kiểm soát.

Vụ tấn công nói trên chính là ví dụ rõ nét nhất cho thấy phương thức tấn công kinh điển thường được các hacker Triều Tiên sử dụng. Cách chiến dịch tấn công mạng được thực hiện bởi nhóm hacker này tuy đơn giản về cách thức, nhưng kết quả thu về lại hiệu quả đến bất ngờ.

"Chiến tích lẫy lừng"

Một báo cáo được công bố bởi Liên Hợp Quốc vào năm ngoái cho thấy, các hacker Triều Tiên đã đánh cắp được số tiền ước tính lên đến hơn 2 tỷ USD của các tổ chức tài chính ở nước ngoài. Số tiền này nhiều khả năng được sử dụng để phục vụ cho chương trình phát triển tên lửa của quốc gia này, theo Telegraph.

Vào năm 2016, các hacker Triều Tiên được cho là đã chiếm đoạt thành công được 81 triệu USD từ ngân hàng trung ương Bangladesh.

Tận dụng yếu điểm trong vấn đề bảo mật, các hacker của Triều Tiên được cho là đã xâm nhập vào mạng máy tính của ngân hàng này, quan sát cách thức chuyển tiền, và có được được mật mã của ngân hàng trung ương Bangladesh để truy cập SWIFT - mạng lưới chuyển tiền liên ngân hàng toàn cầu.

Khi đó, nhóm hacker này đã gửi một loạt lệnh chuyển tiền khỏi tài khoản của ngân hàng này này tại Ngân hàng Dự trữ Liên bang New York để gửi vào các tài khoản ở Sri Lanka và Philippines.

Sau khi chuyển được 81 triệu USD, nhóm hacker này thậm chí suýt chiếm đoạt thêm được gần 1 tỷ USD nếu không bị ngân hàng Deutsche Bank và FED kịp thời phát hiện và ngăn chặn.

Nhóm hacker khét tiếng Lazarus từng hack Sony Pictures vào năm 2014, phát tán mã độc tống tiền WannaCry năm 2017 và thực hiện nhiều cuộc tấn công nhằm vào các tổ chức chính phủ, hệ thống quốc phòng trên toàn thế giới.

Trong vài năm trở lại đây, các nhóm hacker do Triều Tiên hậu thuẫn cũng dần để mắt tới tiền điện tử. Một loạt các phi vụ đột nhập vào các sàn giao dịch tiền tiền điện tử đã giúp những tin tặc này đánh cắp được số tiền ảo có giá trị hàng trăm triệu USD.

Theo đó, vào cuối 2018, các hacker Triều Tiên đã ‘nhập vai’ trở thành các khách hàng tiềm năng có nhu cầu mua tiền ảo và gửi email đề nghị hợp tác tới một số sàn giao dịch.

Giống như 'thủ đoạn' được các hack Triều Tiên sử dụng trước đây, các email này đều chứa mã độc bên trong, cho phép hacker có thể chiếm quyền truy cập máy chủ của các sàn giao dịch. Khi đã xâm nhập thành công, hacker Triều Tiên đã đánh cắp được một lượng lớn Bitcoin có giá trị tương đương 234 triệu USD, theo cáo trạng của chính phủ Hoa Kỳ.

Với bản chất có thể che dấu danh tính người gửi/nhận, việc giao dịch bằng tiền điện tử về cơ bản thường gây khó khăn cho lực lượng thực thi pháp luật khi theo dấu tội phạm mạng. Tuy nhiên, việc các cơ quan thực thi pháp luật trên khắp thế giới đã tìm ra cách để theo dõi sự di chuyển của các giao dịch tiền điện tử đã gây ra không ít khó khăn cho các hacker Triều Tiên.

Để che dấu việc đánh cắp và chuyển tiền, các hacker Triều Tiên đã sử dụng một số ‘chiêu trò’ phức tạp, đơn cử như việc chuyển qua lại tiền điện tử tới 5000 lần trong nỗ lực nhằm đánh lạc hướng các nhà điều tra, theo Telegraph.

Tham khảo & lược dịch từ Telegraph