Nhóm Konni của Triều Tiên lợi dụng Google Find Hub và KakaoTalk để xóa dữ liệu điện thoại và phát tán mã độc tại Hàn Quốc

Cách các đặc vụ Triều Tiên biến những ứng dụng đáng tin cậy thành công cụ tấn công người Hàn Quốc

Theo các nhà điều tra pháp chứng tại Hàn Quốc, các nhóm tin tặc được nhà nước Triều Tiên hậu thuẫn đã tiến hành một chiến dịch phối hợp, biến những công cụ thường ngày thành phương tiện tấn công. Nhóm này có liên hệ với cụm Konni gồm các tác nhân thân Bình Nhưỡng, đã đánh cắp thông tin đăng nhập tài khoản Google, chiếm quyền điều khiển từ xa điện thoại và máy tính bảng Android thông qua dịch vụ Find Hub của Google, rồi chiếm đoạt tài khoản KakaoTalk để phát tán mã độc qua mạng lưới liên hệ thực tế. Các nhà nghiên cứu mô tả đây là trường hợp đầu tiên được xác nhận trong đó một chiến dịch có liên hệ với Triều Tiên xâm nhập tài khoản Google để điều khiển từ xa thiết bị thông minh bằng các chức năng quản lý tích hợp sẵn.

Các nhà phân tích an ninh tại Trung tâm An ninh Genians cho biết những kẻ tấn công ban đầu giả danh cán bộ thuế để cài mã độc. Sau một thời gian âm thầm theo dõi, chúng đăng nhập vào các tài khoản Google bị đánh cắp. Thông qua Find Hub, công cụ an toàn dành cho người dùng giúp chủ sở hữu định vị và bảo vệ thiết bị thất lạc, chúng theo dõi vị trí điện thoại và ra lệnh khôi phục cài đặt gốc từ xa. Việc xóa dữ liệu làm mất dữ liệu cá nhân và tạm thời vô hiệu hóa thông báo, tạo điều kiện cho giai đoạn tiếp theo thành công.

Khi nạn nhân không thể nhận cuộc gọi và thông báo, chiến dịch chuyển sang ứng dụng KakaoTalk trên máy tính vẫn đang đăng nhập. Sử dụng tên và lịch sử trò chuyện đáng tin cậy của nạn nhân, những kẻ tấn công gửi các tệp độc hại giả dạng chương trình giảm căng thẳng tới danh sách liên hệ. Chiến thuật này giúp mã độc lây lan nhờ sự tin tưởng trong các mối quan hệ xã hội, đồng thời khiến việc phát hiện bị trì hoãn vì nhiều nạn nhân không thể truy cập tài khoản hoặc đang bận khôi phục điện thoại.

Google cho biết hoạt động này lợi dụng quyền truy cập tài khoản hợp lệ và các tính năng chính thống, chứ không khai thác lỗ hổng trong Android hay Find Hub. Công ty khuyến nghị người dùng bật xác minh hai bước hoặc dùng khóa mật mã; những người có nguy cơ cao nên đăng ký Chương trình Bảo vệ nâng cao.

Diễn biến các cuộc tấn công

Chiến dịch diễn ra theo nhiều giai đoạn, kết hợp email dụ nhấp, đánh cắp tài khoản, điều khiển thiết bị qua dịch vụ đám mây và lạm dụng ứng dụng nhắn tin. Đây là ví dụ về kiểu tấn công “sống nhờ tài nguyên sẵn có”, trong đó các dịch vụ tích hợp và ứng dụng đáng tin cậy trở thành công cụ của kẻ tấn công. Hai vụ việc được các nhà điều tra mô tả, trong đó có các trường hợp ngày 5 và 15 tháng 9, cho thấy cách thức này có thể nhanh chóng phát tán mã độc trong các mối quan hệ cá nhân và công việc ngay khi một tài khoản bị xâm nhập.

Bước 1: Lừa đảo có chủ đích và xâm nhập ban đầu

Cuộc xâm nhập bắt đầu bằng các tin nhắn nhắm mục tiêu, giả mạo Tổng cục Thuế Hàn Quốc. Nạn nhân bị dụ mở tệp đính kèm hoặc trình cài đặt trông có vẻ hợp pháp, trong đó có các tệp được đóng gói dưới dạng trình cài đặt MSI có chữ ký số. Những tệp này âm thầm chạy các tập lệnh để duy trì quyền truy cập và tải xuống công cụ truy cập từ xa. Các nhà phân tích ghi nhận nhiều dòng mã độc cho phép kiểm soát hoàn toàn hệ thống Windows, gồm Lilith RAT, Remcos RAT, Quasar RAT và RftRAT, cùng các trình tải dựa trên AutoIt. Mã độc thu thập thông tin hệ thống, lấy cắp thông tin đăng nhập được lưu trong trình duyệt và theo dõi hoạt động, chuẩn bị môi trường cho việc đánh cắp tài khoản.

Mục tiêu gồm những người làm việc với người đào thoát khỏi Triều Tiên và các nhà hoạt động nhân quyền. Một số nội dung dụ nhấp được giới thiệu là chương trình hữu ích giúp giảm căng thẳng. Bằng cách điều chỉnh thông điệp theo vai trò và mối quan tâm của người nhận, những kẻ tấn công tăng khả năng tệp được mở, qua đó tạo chỗ đứng trên máy tính cá nhân của họ.

Bước 2: Chiếm đoạt tài khoản và lạm dụng Find Hub

Sau khi cài mã độc, các tác nhân đánh cắp thông tin đăng nhập của những dịch vụ như Google và Naver. Dùng thông tin đăng nhập Google bị đánh cắp, chúng truy cập Find Hub. Dịch vụ này cho phép chủ thiết bị xem vị trí gần nhất đã biết của điện thoại và ra lệnh như phát âm thanh hoặc khôi phục thiết bị về cài đặt gốc. Những kẻ xâm nhập dùng truy vấn vị trí để kiểm tra xem mục tiêu có đang sử dụng điện thoại hay không, rồi kích hoạt lệnh đặt lại từ xa. Các nhà điều tra cũng tìm thấy dấu hiệu cho thấy trong một số trường hợp, kẻ tấn công đã xóa email cảnh báo bảo mật và dọn sạch thư mục thùng rác để che giấu dấu vết. Chúng ra nhiều lệnh đặt lại nhằm cản trở việc khôi phục và giảm lượng bằng chứng còn lưu trên điện thoại.

Sau khi thiết bị được đặt lại, chủ sở hữu không thể xem thông báo mới, kể cả những tin nhắn khẩn cấp từ người liên hệ hỏi về các tệp lạ. Việc xóa dữ liệu cũng loại bỏ dấu hiệu có thể làm lộ vụ xâm nhập, giúp kẻ tấn công có thời gian thực hiện bước tiếp theo từ một thiết bị khác vẫn đăng nhập vào tài khoản của nạn nhân.

Bước 3: Dùng KakaoTalk làm loa phát tán mã độc

KakaoTalk được sử dụng gần như phổ biến ở Hàn Quốc và nhiều người vẫn duy trì phiên đăng nhập trên máy tính. Sau khi điện thoại bị đặt lại, những kẻ tấn công chuyển sang ứng dụng KakaoTalk trên máy tính của nạn nhân để phát tán tệp độc hại nhanh chóng. Tin nhắn được gửi dưới tên thật và ảnh hồ sơ của nạn nhân, thường kèm một lời nhắn ngắn và tệp đính kèm. Những người nhận tin tưởng người gửi sẽ mở tệp, khiến máy tính bị nhiễm mã độc và số thiết bị bị xâm nhập tăng lên. Một vụ việc ghi nhận tin nhắn được gửi tới hơn 30 người liên hệ chỉ trong vài phút. Một vụ khác, xảy ra mười ngày sau, ghi nhận việc phát tán đồng loạt trên diện rộng từ một tài khoản khác bị xâm nhập.

Ai đứng sau chiến dịch

Hoạt động này được quy cho cụm Konni, một mạng lưới gián điệp mạng có liên hệ với Triều Tiên và có phần chồng lấn với các nhóm thường được theo dõi dưới tên Kimsuky và APT37. Các hãng an ninh khác nhau dùng những tên khác nhau cho cùng nhóm tác nhân hoặc các nhóm thân cận, gồm Earth Imp, Opal Sleet, Osmium, TA406 và Vedalia. Các nhóm này dùng chung hạ tầng và bộ công cụ trong những chiến dịch nhắm vào các cơ quan chính phủ, giáo dục, truyền thông, xã hội dân sự và cộng đồng tiền mã hóa tại Hàn Quốc.

Các nhóm tấn công Triều Tiên từng nhắm mục tiêu vào thiết bị di động. Chẳng hạn, các nhà nghiên cứu đã ghi nhận phần mềm gián điệp Android giả dạng tiện ích hoặc ứng dụng bảo mật, có khả năng ghi âm, chụp màn hình và đánh cắp tệp. Điểm khác biệt của chiến dịch lần này là cách chúng lạm dụng tính năng quản lý thiết bị dựa trên tài khoản để xóa điện thoại, rồi lập tức chuyển sang phiên nhắn tin trên máy tính để tiếp tục phát tán. Sự kết hợp này cho thấy mức độ phối hợp tinh vi trên nhiều nền tảng, thay vì chỉ có một dòng mã độc hoạt động đơn lẻ.

Vì sao việc lạm dụng Find Hub đánh dấu bước ngoặt

Trong nhiều năm, các nhóm có liên hệ với Triều Tiên kết hợp mã độc tùy chỉnh với thông tin đăng nhập bị đánh cắp và công cụ hợp pháp. Việc lạm dụng Find Hub làm tăng mức độ nguy hiểm vì biến một tính năng an toàn dành cho người dùng thành công cụ xóa dữ liệu từ xa và gây nhiễu. Lệnh đặt lại vô hiệu hóa điện thoại, xóa dấu vết dữ liệu do hoạt động gián điệp để lại và chặn các cảnh báo qua kênh khác đúng vào thời điểm chúng quan trọng nhất. Điều đó tạo cơ hội để dùng phiên đăng nhập trên máy tính phát tán mã độc nhanh chóng.

Cách tiếp cận này cũng khiến việc ứng phó sự cố phức tạp hơn. Một số dữ liệu đo từ xa và bằng chứng vốn nằm trên điện thoại sẽ biến mất sau khi đặt lại. Hoạt động liên quan được chia giữa thiết bị, tài khoản đám mây và ứng dụng trên máy tính. Để dựng lại đầy đủ trình tự, lực lượng phòng thủ phải thu thập dữ liệu từ cả ba nguồn. Các nhà phân tích Genians mô tả phương thức này là bước ngoặt trong các chiến dịch tiên tiến có liên hệ với Triều Tiên.

Trong báo cáo về vụ việc, Trung tâm An ninh Genians viết:

Sự kết hợp giữa vô hiệu hóa thiết bị và phát tán thông qua tài khoản này chưa từng xuất hiện trong các kịch bản APT do nhà nước bảo trợ đã được biết đến trước đây.

Hậu quả đối với nạn nhân và tổn thất về con người

Những kẻ xâm nhập không chọn mục tiêu ngẫu nhiên. Các nhà điều tra cho biết điện thoại của một chuyên viên tư vấn tâm lý hỗ trợ học sinh đào thoát khỏi Triều Tiên đã bị đặt lại vào ngày 5 tháng 9. Chỉ trong thời gian ngắn sau đó, tài khoản KakaoTalk của chuyên viên này được dùng để gửi cho khách hàng một tệp có nhãn là chương trình giảm căng thẳng. Khi một số người nhận mở tệp, máy của họ bị nhiễm mã độc. Việc lựa chọn ứng dụng nhắn tin lẫn nội dung tin nhắn đều khai thác niềm tin và sự phù hợp với mối quan tâm của người nhận.

Mười ngày sau, một nhà hoạt động nhân quyền tập trung vào vấn đề Triều Tiên gặp tình huống tương tự. Thiết bị Android của người này bị đặt lại từ xa qua Find Hub, sau đó tài khoản KakaoTalk của nhà hoạt động gửi tệp độc hại tới 36 người quen. Trong cả hai vụ việc, điện thoại của nạn nhân không thể nhận cuộc gọi hoặc cảnh báo trong những giờ đầu quan trọng, khiến cảnh báo từ các liên hệ nghi ngờ có chuyện bất thường bị chậm trễ.

Với một số nạn nhân, việc xóa dữ liệu làm mất ảnh, tài liệu, danh bạ và sản phẩm công việc. Các nhà điều tra cũng phát hiện những mô-đun mã độc có khả năng kiểm soát webcam và micrô trên máy tính bị nhiễm, làm dấy lên lo ngại rằng camera có thể đã được dùng để kiểm tra sự hiện diện của nạn nhân trước khi lệnh đặt lại được đưa ra. Những người làm việc với người đào thoát và các nhóm xã hội dân sự tại Hàn Quốc vốn đã đối mặt với những rủi ro đặc thù. Chiến dịch này cho thấy đời sống số thường ngày có thể bị biến thành công cụ chống lại họ, gây tổn thất cả về cá nhân lẫn công việc.

Phản ứng của chuyên gia và giới chức

Cảnh sát Hàn Quốc đã mở điều tra hai vụ việc xảy ra trong tháng 9. Các nhà phân tích cho biết mã lệnh và kỹ thuật phù hợp với những kiểu hoạt động trước đây được cho là có liên hệ với các nhóm thân Triều Tiên. Các nhà điều tra kêu gọi những người có thể là mục tiêu, trong đó có chuyên viên tư vấn và nhà hoạt động, kiểm tra kỹ cả môi trường máy tính lẫn thiết bị di động để phát hiện dấu hiệu tài khoản bị xâm nhập.

Các nhóm an ninh nhấn mạnh rằng kẻ tấn công không cần khai thác lỗi lập trình trong Android hay Find Hub. Chúng chỉ cần thông tin đăng nhập hợp lệ và quyền truy cập vào các ứng dụng đáng tin cậy. Các nhà nghiên cứu khuyến nghị nhà cung cấp dịch vụ bổ sung bước xác minh theo thời gian thực cho những thao tác nhạy cảm như đặt lại thiết bị từ xa; các ứng dụng nhắn tin nên đưa ra cảnh báo mạnh hơn hoặc trì hoãn khi ứng dụng trên máy tính tìm cách gửi tệp thực thi cho nhiều người liên hệ trong thời gian ngắn.

Cách bảo vệ tài khoản Google và KakaoTalk

Chiến dịch dựa vào thông tin đăng nhập bị đánh cắp, phiên đăng nhập lâu dài trên máy tính và các tính năng người dùng thường tin cậy. Những bước sau giúp giảm rủi ro và gây khó khăn cho việc lạm dụng tài khoản:

• Bật xác minh hai bước cho tài khoản Google. Ưu tiên dùng khóa mật mã hoặc khóa bảo mật. Những người có nguy cơ cao hơn, chẳng hạn nhà hoạt động và nhà báo, nên đăng ký Chương trình Bảo vệ nâng cao của Google.
• Mở phần cài đặt Tài khoản Google và chạy Kiểm tra bảo mật. Xóa các thiết bị và phiên đăng nhập lạ. Thu hồi quyền truy cập của ứng dụng bên thứ ba mà bạn không nhận ra. Kiểm tra số điện thoại và email khôi phục.
• Kiểm tra Find Hub hoặc cài đặt Tìm thiết bị của tôi để xem danh sách thiết bị liên kết với tài khoản. Đảm bảo bạn nhận ra từng thiết bị. Mỗi thiết bị cần được khóa bằng mã PIN mạnh và việc đặt lại từ xa phải yêu cầu xác thực.
• Kiểm tra bảo mật email. Tìm bộ lọc, quy tắc chuyển tiếp hoặc quyền truy cập được ủy quyền đáng ngờ trong Gmail. Kẻ tấn công đôi khi thêm quy tắc để ẩn cảnh báo.
• Tránh lưu mật khẩu trong trình duyệt trên máy tính dùng chung hoặc không được quản lý. Hãy dùng trình quản lý mật khẩu uy tín có khóa bằng mật khẩu chính hoặc khóa bảo mật.
• Cập nhật Android, Windows, macOS và KakaoTalk. Kiểm tra cài đặt KakaoTalk để xem những máy tính nào đang đăng nhập vào tài khoản và đăng xuất khỏi những máy bạn không nhận ra.
• Cảnh giác với tệp hoặc trình cài đặt ứng dụng không mong đợi, kể cả khi được gửi từ người liên hệ đáng tin cậy. Hãy gọi cho người gửi qua một kênh khác để xác nhận trước khi mở tệp.
• Giữ bản sao lưu ngoại tuyến cho ảnh và tài liệu quan trọng. Lệnh đặt lại sẽ không ảnh hưởng đến bản sao lưu bên ngoài được ngắt kết nối khi không sử dụng.
• Bật cảnh báo đăng nhập và đọc kỹ các cảnh báo. Nếu nhận được cảnh báo đáng ngờ, đừng nhấp vào liên kết trong đó. Thay vào đó, hãy mở trực tiếp phần cài đặt tài khoản trong một phiên trình duyệt mới và kiểm tra hoạt động.

Các bước cần làm ngay nếu bạn nghĩ mình là mục tiêu

• Dùng một thiết bị sạch do bạn kiểm soát để đổi mật khẩu Google và KakaoTalk. Sau đó bật xác minh hai bước hoặc dùng khóa mật mã.
• Mở Tài khoản Google, xem lại các sự kiện bảo mật gần đây và đăng xuất khỏi mọi phiên khác. Thu hồi mọi mã truy cập ứng dụng lạ.
• Trong Gmail, xóa bộ lọc hoặc quy tắc chuyển tiếp lạ. Trong KakaoTalk, buộc đăng xuất khỏi tất cả máy tính rồi chỉ xác thực lại những máy bạn sử dụng.
• Nếu điện thoại đã bị đặt lại, hãy xem đó như một thiết bị mới. Trước khi khôi phục dữ liệu, hãy đổi mật khẩu tài khoản và xác minh thông tin khôi phục. Chỉ khôi phục từ các bản sao lưu đáng tin cậy.
• Cảnh báo các liên hệ rằng tin nhắn gửi từ bạn có thể chứa nội dung độc hại. Đề nghị họ không mở tệp đã nhận và quét bảo mật thiết bị.
• Bảo toàn bằng chứng nếu có thể. Đừng xóa dữ liệu máy tính. Chụp ảnh màn hình nhật ký hoạt động đáng ngờ, sau đó liên hệ đơn vị phòng chống tội phạm mạng tại địa phương hoặc nhóm an ninh đáng tin cậy.

Các tổ chức nên làm gì ngay

Các tổ chức có nhân viên tại Hàn Quốc hoặc có liên quan đến công việc về Triều Tiên nên coi mình là mục tiêu hấp dẫn. Một chương trình tập trung kết hợp bảo mật danh tính với giám sát thiết bị đầu cuối sẽ giảm rủi ro và đẩy nhanh quá trình ứng phó.

• Bắt buộc dùng xác thực đa yếu tố cho mọi tài khoản Google Workspace và tài khoản của nhà cung cấp danh tính. Áp dụng phương thức chống lừa đảo như khóa mật mã hoặc khóa bảo mật phần cứng.
• Tăng cường bảo mật trình duyệt và tắt tính năng tự động lưu mật khẩu trong môi trường không được quản lý. Cung cấp trình quản lý mật khẩu cấp doanh nghiệp cho nhân viên.
• Triển khai giải pháp phát hiện và ứng phó trên thiết bị đầu cuối với các quy tắc dựa trên hành vi để phát hiện trình khởi chạy AutoIt, việc lạm dụng tập lệnh MSI và các dòng RAT đã biết, gồm Lilith RAT, Remcos RAT, Quasar RAT và RftRAT.
• Chặn hoặc cách ly tệp đính kèm thực thi và trình cài đặt MSI từ người gửi bên ngoài tại cổng email và ứng dụng nhắn tin nếu có thể.
• Theo dõi nhật ký kiểm tra trên đám mây để phát hiện hành động đáng ngờ, gồm hoạt động đặt lại từ xa và các lần kiểm tra vị trí lặp lại qua dịch vụ quản lý thiết bị gắn với tài khoản người dùng.
• Thường xuyên tổ chức diễn tập lừa đảo có nội dung phù hợp với các chiêu dụ địa phương như thông báo từ cơ quan thuế. Đào tạo đúng thời điểm cho nhân viên xử lý công việc nhạy cảm liên quan đến người đào thoát và nhà hoạt động.
• Xây dựng quy trình ứng phó nhanh với tình trạng chiếm đoạt tài khoản, bao gồm tài khoản Google, ứng dụng KakaoTalk trên máy tính và việc đặt lại thiết bị di động. Thực hành quy trình qua các buổi diễn tập tình huống.
• Tạo kênh để các liên hệ báo cáo tin nhắn và tệp đáng ngờ có vẻ được gửi từ nhân viên. Ưu tiên xử lý những báo cáo này.

Tóm tắt

• Các nhà điều tra liên hệ một chiến dịch mới nhắm vào người Hàn Quốc với cụm Konni thân Triều Tiên.
• Kẻ tấn công đánh cắp thông tin đăng nhập Google, dùng Find Hub để theo dõi và khôi phục cài đặt gốc thiết bị Android, sau đó lạm dụng phiên KakaoTalk trên máy tính để phát tán mã độc tới các liên hệ.
• Các vụ việc nhắm vào một chuyên viên tư vấn cho học sinh đào thoát khỏi Triều Tiên và một nhà hoạt động nhân quyền; tin nhắn chứa mã độc được gửi tới hơn 30 người liên hệ trong một vụ và 36 người trong vụ còn lại.
• Chiến dịch sử dụng lừa đảo có chủ đích giả mạo Tổng cục Thuế, trình cài đặt MSI có chữ ký số, tập lệnh AutoIt và các công cụ truy cập từ xa, gồm Lilith RAT, Remcos RAT, Quasar RAT và RftRAT.
• Các nhà nghiên cứu gọi đây là trường hợp đầu tiên được xác nhận về một tác nhân có liên hệ với Triều Tiên dùng tài khoản Google bị xâm nhập để ra lệnh từ xa cho thiết bị qua Find Hub.
• Google cho biết hoạt động này lạm dụng các tính năng tài khoản hợp pháp và thông tin đăng nhập bị đánh cắp, không phải khai thác lỗ hổng Android hay Find Hub; công ty khuyến nghị dùng xác minh hai bước hoặc khóa mật mã.
• Cảnh sát Hàn Quốc đang điều tra; các nhóm an ninh khuyến nghị tăng cường bảo vệ danh tính, củng cố bảo mật thiết bị và kiểm tra kỹ các tệp nhận qua ứng dụng nhắn tin.
• Người dùng có nguy cơ cao nên đăng ký Chương trình Bảo vệ nâng cao, rà soát các thiết bị đang đăng nhập vào Google và KakaoTalk, đồng thời duy trì bản sao lưu ngoại tuyến để hạn chế thiệt hại do lệnh đặt lại.