Chiến dịch tấn công APT mới sử dụng AI và mã hóa hậu lượng tử

Chiến dịch tấn công mới sử dụng hình thức lừa đảo có chủ đích

Hoạt động từ tháng 7/2025 đến nay, chiến dịch đã gây ảnh hưởng đến ít nhất 3 tổ chức, doanh nghiệp (DN) thuộc lĩnh vực xây dựng, phần mềm và sản xuất thiết bị viễn thông tại Hàn Quốc. Các đối tượng tấn công sử dụng hình thức lừa đảo có chủ đích qua email (spear-phishing), lợi dụng phần mềm CrossWeb EX hợp pháp và triển khai các phiên bản mã độc được cập nhật, trong đó có những công cụ chưa từng được ghi nhận trước đây.

Kaspersky GReAT còn phát hiện một làn sóng tấn công mới liên quan đến Operation SyncHole của Lazarus. Kể từ lần đầu phát hiện vào năm 2025, nhóm tội phạm đã tiếp tục nâng cấp công cụ và kỹ thuật, khiến chiến dịch trở nên dai dẳng và tinh vi hơn.

Trong quá trình điều tra, các chuyên gia của Kaspersky phát hiện trang web trên GitHub Pages kết nối với tài khoản GitHub được sử dụng làm máy chủ điều khiển và kiểm soát (C2). Tài khoản này được tạo vào tháng 9/2025, ban đầu lưu trữ một trang web giới thiệu sơ yếu lý lịch (CV) giả mạo của một nhà phát triển thiết bị mạng cấp cao. Đây là kịch bản mồi nhử quen thuộc của chiến dịch DreamJob (Operation DreamJob) của Lazarus. Trang web còn gắn hình ảnh do AI tạo ra, ngụy tạo một ứng viên đang tìm việc.

Các chuyên gia Kaspersky nhận định kẻ xấu đã sử dụng AI để thiết kế trang web giả mạo cho phù hợp với từng đối tượng mục tiêu. Chiến dịch “mở đường” bằng loạt email lừa đảo có chủ đích được thiết kế riêng cho từng đối tượng, chứa đường dẫn đến những trang web hồ sơ năng lực và CV giả mạo.

Kết quả nghiên cứu cho thấy khả năng cao việc truy cập trang web độc hại đã khởi động quá trình lây nhiễm thông qua phần mềm CrossWeb EX - một phần mềm xác thực web và tiện ích bảo mật được sử dụng rộng rãi tại Hàn Quốc. Lỗ hổng tiềm ẩn trong CrossWeb EX có thể đã trở thành điểm xâm nhập ban đầu, mở đường cho những kẻ tấn công xâm nhập hệ thống.

Đáng chú ý, trước đó, cơ quan chức năng từng đưa ra thông báo xác nhận sự tồn tại lỗ hổng trong phần mềm bảo mật tài chính này. Thông qua quá trình phân tích chuyên sâu, các chuyên gia đã nhận diện được nhiều mã độc và tái hiện toàn bộ chuỗi lây nhiễm. Kết quả cho thấy kẻ tấn công đã sử dụng một hệ thống phát tán mã độc cùng các kỹ thuật tinh vi nhằm che giấu hành vi phá hoại. Cụ thể là chúng đã kết hợp các phiên bản cập nhật của những mã độc đã sử dụng trước đây với hai công cụ chưa từng được ghi nhận là TouchHub và ClientHub. Bộ đôi này có khả năng cài đặt thêm mã độc, thực thi lệnh trên máy tính bị nhiễm và liên lạc với kẻ tấn công, phục vụ mục tiêu cuối cùng là hoạt động gián điệp mạng. Một trong hai công cụ mới còn có biến thể sử dụng dịch vụ Dropbox làm kênh liên lạc với bên điều khiển.

Chiến dịch còn tích hợp phiên bản cập nhật của LPEClient - công cụ quen thuộc của Lazarus chuyên dùng để thu thập thông tin về máy tính bị nhiễm độc và tải thêm mã độc. Phiên bản mới của LPEClient thu thập thông tin về phần mềm bảo mật đã cài đặt, các cơ chế bảo vệ của Windows và những đặc điểm khác của hệ thống. Sau đó, công cụ nén và mã hóa dữ liệu trước khi gửi đến kẻ xấu.

LPEClient phiên bản mới còn ứng dụng ML-KEM-1024 - cơ chế mật mã hậu lượng tử được thiết kế nhằm bảo vệ thông tin liên lạc trước nguy cơ bị tấn công bởi các máy tính lượng tử trong tương lai. Công cụ này dùng cơ chế trên để thiết lập kết nối mã hóa với máy chủ của kẻ tấn công, trước khi tải xuống và chạy trực tiếp mã độc bổ sung trong bộ nhớ.

Để tránh bị phát hiện, LPEClient tìm cách vượt qua hoạt động giám sát bảo mật bằng cách thay đổi cơ chế bảo vệ bộ nhớ và vô hiệu hóa điểm giám sát mà các công cụ bảo mật sử dụng để nhận diện, phát hiện hoạt động đáng ngờ của hệ thống.

Một số biện pháp ngăn chặn

Để bảo vệ hệ thống trước các cuộc tấn công của Lazarus và những chiến dịch như Operation FlashHole, các tổ chức, DN được khuyến nghị nên áp dụng những biện pháp sau:

Thứ nhất, cần đào tạo nhân viên nhận biết các hình thức tấn công lừa đảo nhắm mục tiêu. Kiểm tra những email và đường dẫn bất ngờ, ngay cả khi chúng dẫn đến các trang web chuyên nghiệp, trông có vẻ đáng tin cậy. Nhân viên cần báo cáo ngay cho đội ngũ bảo mật nếu phát hiện tin nhắn đáng ngờ.

Đội ngũ an toàn thông tin (ATTT) (InfoSec) cũng cần được trang bị khả năng quan sát toàn diện, nắm bắt thông tin chuyên sâu về các mối đe dọa mạng nhắm vào tổ chức, DN.

Đội ngũ ATTT cũng cần liên tục cập nhật phần mềm và cài đặt bản vá bảo mật; thường xuyên đánh giá lỗ hổng trong các ứng dụng quan trọng đối với hoạt động kinh doanh, đồng thời vô hiệu hóa những thành phần không cần thiết để giảm nguy cơ bị khai thác.

Cùng với đó, cần hạn chế quyền truy cập của người dùng và giám sát các kết nối đến dịch vụ đám mây có khả năng bị lợi dụng làm máy chủ điều khiển và kiểm soát.

Các tổ chức, DN cũng có thể sử dụng các dịch vụ bảo mật như đánh giá mức độ xâm nhập (compromise assessment), dịch vụ phát hiện, ứng phó được quản lý (managed detection and response - MDR) và/hoặc ứng phó sự cố (incident response).

Các dịch vụ này bao quát toàn bộ chu trình quản lý sự cố, từ xác định mối đe dọa đến bảo vệ liên tục và khắc phục sự cố. Nhờ đó, DN có thể tăng cường khả năng phòng vệ trước các cuộc tấn công an ninh mạng, điều tra sự cố và được trợ lực về chuyên môn, ngay cả khi DN không có đủ nhân sự chuyên trách về bảo mật an ninh./.

Hạnh Tâm