Chiến dịch tấn công nhắm vào chuyên gia bảo mật bằng hội nghị crypto giả mạo

Một hacker giả danh nhân viên của trang tin tiền điện tử hàng đầu đã nhắm vào nhiều chuyên gia an ninh mạng trong thời gian diễn ra các hội nghị hacking Black Hat và Def Con hồi đầu tháng. Bằng cách sử dụng Google Docs làm mồi nhử, kẻ tấn công đã tìm cách lừa nạn nhân cài mã độc trên cả hai hệ điều hành macOS và Windows.

Kịch bản lừa đảo tinh vi

Theo báo cáo từ hãng bảo mật Huntress công bố hôm thứ Tư, chiến dịch này nhắm vào một nhà nghiên cứu của chính họ, người đã giả vờ hợp tác để tìm hiểu ý đồ của hacker. Kẻ tấn công tiếp cận nạn nhân qua mạng xã hội X (trước đây là Twitter), cả qua trả lời công khai lẫn tin nhắn riêng.

Với tiếng Anh không lưu loát, hacker hỏi nhà nghiên cứu có kế hoạch tham dự hội nghị sắp tới không, sau đó đề cập đến một sự kiện được cho là do trang tin crypto nổi tiếng tổ chức. Điểm đáng chú ý là kẻ tấn công đã chia sẻ một Google Doc hợp lệ trông giống tài liệu lên kế hoạch cho hội nghị giả mạo này.

Cách thức hoạt động của mã độc

Tài liệu Google Docs được thiết kế với một thanh bên (sidebar) khiến nạn nhân tin rằng nội dung đang được mã hóa. Quá trình tấn công diễn ra qua nhiều bước:

• Nạn nhân bị yêu cầu nhập một "khóa giải mã" giả do hacker cung cấp
• Sau đó bị dẫn dắt đến việc cài đặt mã độc đánh cắp thông tin (infostealer) dành cho máy Mac
• Trên Windows, kẻ tấn công dùng một công cụ điều khiển từ xa bị biến tướng thành mã độc
• Cuối cùng là một bản cài đặt giả mạo cho ví tiền điện tử Ledger

Để tạo thanh bên trông thật, hacker đã sử dụng Google App Script – nền tảng cho phép tùy chỉnh giao diện Google Docs bằng menu và thanh công cụ phụ.

Ảnh chụp Google Doc mà hacker gửi cho nhà nghiên cứu của Huntress

"Điều khiến chiến dịch này trở nên đáng tin hơn là việc sử dụng Google Doc hợp lệ và tính năng thật của Google." – Huntress

Bài học cho cộng đồng bảo mật Việt Nam

Chiến dịch này cho thấy ngay cả những người làm bảo mật cũng có thể trở thành mục tiêu nếu không cảnh giác. Với người dùng Việt Nam, đặc biệt là cộng đồng làm việc trong lĩnh vực công nghệ thông tin, cần lưu ý:

• Kiểm tra kỹ nguồn gốc tài liệu chia sẻ, đặc biệt khi liên quan đến tiền điện tử hoặc sự kiện công nghệ
• Cảnh giác với yêu cầu cài đặt phần mềm hoặc nhập thông tin từ các file nhận được qua mạng xã hội
• Xác minh thông tin hội nghị trực tiếp qua website chính thức trước khi tin tưởng

Huntress cho biết hacker còn cố gắng thuyết phục nạn nhân cài mã độc qua nhiều hình thức khác nhau, bao gồm cả việc giả làm công cụ hỗ trợ ví Ledger. Google chưa đưa ra phản hồi khi được TechCrunch liên hệ về chiến dịch này.