Phân tích các cuộc tấn công mạng và phương pháp rửa tiền của tổ chức hacker Triều Tiên Lazarus Group

Gần đây, một báo cáo mật của Liên Hợp Quốc đã tiết lộ về hoạt động tội phạm mới nhất của nhóm hacker Triều Tiên Lazarus Group. Tổ chức này đã rửa tiền 147,5 triệu đô la Mỹ thông qua một nền tảng tiền ảo vào tháng 3 năm nay, số tiền này có nguồn gốc từ vụ trộm một sàn giao dịch tiền điện tử vào năm ngoái.

Các thanh tra của Ủy ban trừng phạt Hội đồng Bảo an Liên Hợp Quốc đang điều tra 97 vụ tấn công mạng nghi ngờ của các hacker Triều Tiên nhằm vào các công ty tiền điện tử trong khoảng thời gian từ 2017 đến 2024, với số tiền liên quan lên tới 3,6 tỷ USD. Trong số đó có vụ tấn công vào một sàn giao dịch tiền điện tử vào cuối năm ngoái, dẫn đến việc 147,5 triệu USD bị đánh cắp, sau đó quá trình rửa tiền đã hoàn tất vào tháng 3 năm nay.

Năm 2022, Mỹ đã áp đặt các lệnh trừng phạt đối với nền tảng tiền ảo này. Năm sau, hai nhà đồng sáng lập của nền tảng này bị cáo buộc đã hỗ trợ rửa tiền hơn 1 tỷ đô la, một phần trong số đó liên quan đến tổ chức tội phạm mạng Lazarus Group có liên quan đến Triều Tiên.

Một cuộc khảo sát của một nhà phân tích tiền điện tử cho thấy, nhóm Lazarus đã chuyển đổi 200 triệu USD tiền điện tử thành tiền pháp định trong khoảng thời gian từ tháng 8 năm 2020 đến tháng 10 năm 2023.

Nhóm Lazarus từ lâu đã được coi là những kẻ đứng sau các cuộc tấn công mạng quy mô lớn và tội phạm tài chính trên toàn cầu. Mục tiêu của họ bao gồm nhiều lĩnh vực như hệ thống ngân hàng, sàn giao dịch tiền điện tử, cơ quan chính phủ và doanh nghiệp tư nhân. Dưới đây sẽ phân tích chi tiết một số vụ tấn công điển hình của tổ chức này, tiết lộ các phương thức phạm tội phức tạp của họ.

Tấn công kỹ thuật xã hội và lừa đảo qua mạng của Nhóm Lazarus

Theo báo chí châu Âu, Lazarus đã từng nhắm mục tiêu vào các công ty quân sự và hàng không vũ trụ ở châu Âu và Trung Đông. Họ đã đăng các quảng cáo tuyển dụng giả trên các nền tảng xã hội để lừa đảo người tìm việc tải xuống các tệp PDF chứa mã độc, từ đó thực hiện các cuộc tấn công lừa đảo.

Các cuộc tấn công kỹ thuật xã hội và lừa đảo trực tuyến kiểu này lợi dụng các phương pháp thao túng tâm lý để khiến nạn nhân mất cảnh giác, thực hiện các thao tác nguy hiểm như nhấp vào liên kết hoặc tải xuống tệp. Hacker thông qua phần mềm độc hại đã triển khai có thể khai thác các lỗ hổng trong hệ thống của nạn nhân và đánh cắp thông tin nhạy cảm.

Lazarus còn đã tiến hành một cuộc tấn công kéo dài nửa năm đối với một nhà cung cấp dịch vụ thanh toán tiền điện tử, dẫn đến việc công ty này thiệt hại 37 triệu đô la. Trong suốt quá trình tấn công, Hacker đã gửi cho các kỹ sư những cơ hội việc làm giả, đồng thời phát động các cuộc tấn công từ chối dịch vụ phân tán và cố gắng bẻ khóa mật khẩu.

Một loạt các cuộc tấn công vào sàn giao dịch tiền điện tử

Từ tháng 8 đến tháng 10 năm 2020, nhiều sàn giao dịch tiền điện tử đã bị tấn công. Vào ngày 24 tháng 8, ví của một sàn giao dịch ở Canada đã bị đánh cắp. Vào ngày 11 tháng 9, nhiều ví do một nhóm dự án kiểm soát đã xảy ra chuyển khoản trái phép, gây thiệt hại 400.000 đô la. Vào ngày 6 tháng 10, một sàn giao dịch khác đã bị đánh cắp tài sản tiền điện tử trị giá 750.000 đô la do lỗ hổng bảo mật.

Các khoản tiền bị đánh cắp này đã được tập hợp tại cùng một địa chỉ vào đầu năm 2021. Từ ngày 11 đến 15 tháng 1, kẻ tấn công đã gửi và rút gần 4500 ETH thông qua một dịch vụ trộn tiền. Đến năm 2023, các khoản tiền này đã được chuyển đổi và chuyển nhượng nhiều lần, cuối cùng được gửi đến một số địa chỉ gửi tiền cụ thể.

Tấn công định hướng vào những người nổi tiếng

Vào ngày 14 tháng 12 năm 2020, người sáng lập một nền tảng bảo hiểm tương trợ đã bị tấn công bởi hacker, gây thiệt hại 8,3 triệu USD tiền mã hóa. Kẻ tấn công sau đó đã chuyển và đổi tiền qua nhiều địa chỉ, một phần tiền còn được chuyển qua chuỗi sang mạng Bitcoin, rồi quay lại Ethereum, sau đó được làm mờ thông qua nền tảng trộn.

Từ ngày 16 đến 20 tháng 12 năm 2020, kẻ tấn công đã gửi hơn 2500 ETH đến một dịch vụ trộn coin nào đó. Vài giờ sau, một địa chỉ khác bắt đầu rút những khoản tiền này. Từ tháng 5 đến tháng 7 năm 2021, kẻ tấn công đã chuyển 11 triệu USDT vào một địa chỉ gửi tiền nào đó. Từ tháng 2 đến tháng 6 năm 2023, lại có hơn 11 triệu USDT được chuyển đến các địa chỉ gửi tiền khác.

Các trường hợp tấn công mới nhất

Vào tháng 8 năm 2023, hai sự kiện tấn công mới đã xảy ra. 1524 ETH bị đánh cắp đã được chuyển đến một dịch vụ trộn tiền. Vào ngày 12 tháng 10 cùng năm, những khoản tiền này đã được rút về một địa chỉ mới. Vào tháng 11, địa chỉ này bắt đầu chuyển tiền, cuối cùng thông qua trung gian và trao đổi, đã gửi tiền đến một số địa chỉ gửi tiền cụ thể.

Tóm tắt

Phương pháp gây án của Nhóm Lazarus thể hiện một mô hình nhất định: sau khi đánh cắp tài sản tiền điện tử, họ thường xuyên thực hiện các thao tác xuyên chuỗi và sử dụng dịch vụ trộn tiền để làm mờ nguồn gốc của quỹ. Sau đó, tài sản đã được làm mờ sẽ được rút về địa chỉ mục tiêu và gửi đến một số nhóm địa chỉ cố định để rút tiền. Tài sản bị đánh cắp cuối cùng thường được gửi vào một địa chỉ gửi tiền cụ thể, sau đó được trao đổi thành tiền pháp định thông qua dịch vụ giao dịch OTC.

Đối mặt với các cuộc tấn công liên tục và quy mô lớn từ Nhóm Lazarus, ngành Web3 đang phải đối mặt với những thách thức nghiêm trọng về an ninh. Các cơ quan liên quan đang tiếp tục theo dõi hoạt động của băng nhóm hacker này để hỗ trợ các dự án, cơ quan quản lý và thực thi pháp luật trong việc chống lại các tội phạm như vậy, cũng như thu hồi tài sản bị đánh cắp.