Tin tặc Triều Tiên dùng AI trong các cuộc tấn công lừa đảo nhắm vào quân đội Hàn Quốc

Chiêu thức quen thuộc của Kimsuky được biến tấu bằng AI

Theo phân tích chi tiết của một công ty an ninh mạng Hàn Quốc, nhóm Kimsuky của Triều Tiên đã dùng trí tuệ nhân tạo để tạo hình ảnh thuyết phục về thẻ nhận dạng nhân viên quân đội Hàn Quốc, phục vụ một chiến dịch lừa đảo qua email. Các email dụ dỗ người nhận xem xét mẫu thiết kế thẻ cho nhân viên dân sự, một yêu cầu có vẻ thường lệ trong bộ máy quốc phòng. Hình ảnh đính kèm trông như thẻ thật, nhưng các nhà điều tra cho biết chúng được tạo bằng mô hình AI tạo sinh và gửi kèm mã độc có thể chiếm quyền kiểm soát máy tính của nạn nhân.

Email giả mạo một cơ quan liên quan đến quốc phòng, có nhiệm vụ cấp thẻ nhận dạng. Những kẻ tấn công tìm cách tạo lòng tin bằng cách đính kèm ảnh PNG trông như bản thiết kế thẻ nhận dạng. Trong cùng chuỗi phát tán có các tệp kích hoạt cửa hậu khi mục tiêu tương tác với nội dung. Nhiều khả năng hình ảnh được tạo ra bằng cách yêu cầu một hệ thống AI thương mại làm bản mô phỏng để thử nghiệm, thay vì tạo giấy tờ thật; đây là thủ thuật có thể đánh lừa các cơ chế bảo vệ tự động.

Địa chỉ người gửi cũng bắt chước một tên miền quân sự đáng tin cậy. Các nhà điều tra ghi nhận những tên miền giả như .mli.kr, gần giống hậu tố quốc phòng chính thức của Hàn Quốc là .mil.kr, nhằm đánh lừa người nhận đang tìm kiếm những dấu hiệu quen thuộc. Những thay đổi nhỏ như vậy là thủ thuật lừa đảo xã hội phổ biến và rất khó nhận ra khi người dùng lướt nhanh qua hộp thư đến đầy email.

Chiến dịch được phát hiện lần đầu vào giữa tháng 7, nối tiếp hoạt động trước đó trong đó cùng nhóm này sử dụng chiêu dụ kiểu ClickFix và phát tán cùng một họ mã độc. Có vẻ chúng đã tận dụng lại kinh nghiệm thu được từ các đợt tấn công đó, lần này kết hợp thêm hình ảnh do AI tạo để câu chuyện đáng tin hơn. Mục tiêu bao gồm một tổ chức liên quan đến quân đội, cùng các nhà nghiên cứu, nhà báo và nhà hoạt động tập trung vào Triều Tiên.

Chiến dịch lừa đảo hoạt động như thế nào?

Chiêu dụ rất đơn giản. Người nhận được yêu cầu xem nhanh một số mẫu thiết kế thẻ nhận dạng. Tệp ZIP hoặc đường dẫn tải xuống cung cấp một hình ảnh và một hay nhiều tập lệnh. Khi được mở, chuỗi lệnh thực thi mã kết nối máy tính với hạ tầng của kẻ tấn công, tải thêm thành phần và thiết lập quyền điều khiển từ xa. Hình ảnh khiến yêu cầu xem xét thiết kế có vẻ vô hại.

Vượt qua các biện pháp bảo vệ AI bằng kỹ thuật chèn lệnh

Phần lớn công cụ AI phổ biến từ chối tạo giấy tờ tùy thân do chính phủ cấp, vì sao chép các tài liệu này là bất hợp pháp và tạo điều kiện cho hành vi gian lận. Trong trường hợp này, có vẻ những kẻ tấn công đã diễn đạt câu lệnh như yêu cầu tạo mẫu thiết kế cho bản mô phỏng nội bộ. Cách tiếp cận đó có thể khiến mô hình hiểu yêu cầu là vô hại. Đây là một dạng chèn lệnh hoặc bẻ khóa, trong đó người dùng hướng mô hình đi vòng qua các quy tắc bằng cách dùng ngôn từ thay đổi cách diễn giải mục đích.

Các nhà phân tích xem xét một trong những hình ảnh giả cho biết công cụ phát hiện deepfake đánh giá hình ảnh có 98% khả năng do AI tạo ra. Trong ít nhất một mẫu, siêu dữ liệu hình ảnh nhắc đến GPT 4o và ChatGPT, cho thấy quy trình tạo ảnh của OpenAI có thể đã được sử dụng trong quá trình thử nghiệm hoặc sản xuất. Hình ảnh càng giống bản nháp thẻ thông thường, nhân viên đang vội càng dễ cho rằng yêu cầu là hợp lệ.

Phát tán mã độc và chuỗi xâm nhập

Cách thức phát tán không đồng nhất. Trong một trường hợp được ghi nhận, tệp ZIP chứa lối tắt được ngụy trang thành tài liệu thông thường. Khi được mở, lối tắt chạy lệnh PowerShell kết nối tới máy chủ từ xa, tải cửa hậu và tải xuống ảnh PNG mồi nhử của thẻ nhận dạng. Trong trường hợp khác, một tệp batch tên LhUdPC3G.bat chạy cùng hình ảnh và khởi động hoạt động độc hại, bao gồm thiết lập cơ chế duy trì quyền truy cập, đánh cắp dữ liệu và điều khiển từ xa.

Đây là các email lừa đảo có chủ đích và những kẻ vận hành chú ý đến từng chi tiết. Một số tệp lưu trữ được cá nhân hóa bằng tên thật của người nhận nhưng che một phần, nhằm tăng độ tin cậy và khuyến khích mục tiêu mở tệp đính kèm. Hình ảnh thẻ giả, yêu cầu quen thuộc và tên miền người gửi gần giống tên miền thật kết hợp lại khiến người nhận bớt cảnh giác.

Kimsuky nhắm đến ai và vì sao?

Trong nhiều năm, các cơ quan chính phủ và nhà nghiên cứu tư nhân đã theo dõi Kimsuky như một đơn vị thu thập tình báo của Triều Tiên. Nhóm này được đánh giá là thu thập thông tin về chính sách, quân sự và công nghệ phù hợp với các ưu tiên của nhà nước. Nạn nhân của nhóm thường gồm cơ quan chính phủ, tổ chức liên quan đến quốc phòng, viện nghiên cứu chính sách, nhà nghiên cứu học thuật, nhà báo và tổ chức nhân quyền tập trung vào Triều Tiên.

Tháng 6, các nhà nghiên cứu ghi nhận những email theo chủ đề ClickFix khuyến khích người dùng nhấn nút để xử lý một sự cố được cho là đang xảy ra. Chiến dịch tháng 7 sử dụng lại cùng loại mã độc và nhiều kỹ thuật tương tự, sau đó bổ sung các mẫu thiết kế do AI tạo để tăng sức thuyết phục của mồi nhử. Đây không phải một đợt phát tán hàng loạt mà là chiến dịch có chủ đích, được chuẩn bị kỹ lưỡng nhằm xâm nhập các mạng lưới và hộp thư cụ thể.

Việc quy kết dựa trên sự kết hợp giữa bằng chứng kỹ thuật và bối cảnh, trong đó có mã độc dùng chung, việc tái sử dụng hạ tầng, đặc điểm ngôn ngữ và lựa chọn mục tiêu. Những dấu hiệu này phù hợp với hoạt động trước đây từng được liên hệ với Kimsuky. Phương thức này nhất quán với nhiệm vụ kéo dài nhiều năm nhằm xâm nhập các giới hoạch định chính sách, thu thập dữ liệu và duy trì chỗ đứng trong những tổ chức theo dõi sát tình hình Triều Tiên.

Giả mạo một đơn vị cấp thẻ nhận dạng là cách khai thác một quy trình nghiệp vụ quen thuộc. Giấy tờ tùy thân thường cần được nhiều người cùng xem xét, có thể phải trao đổi qua lại về phông chữ, ảnh và bố cục, đồng thời mang vẻ uy quyền ngầm. Vì vậy, yêu cầu kiểm tra một mẫu thiết kế nghe rất bình thường.

AI bị các nhóm Triều Tiên sử dụng sai mục đích ngày càng nhiều

Chiến dịch lừa đảo này phù hợp với một xu hướng rộng hơn. Tháng 8, một nhà phát triển AI lớn cho biết đã ngăn chặn các đối tượng Triều Tiên sử dụng mô hình của công ty để tạo danh tính giả, ứng tuyển các công việc từ xa tại những công ty công nghệ Mỹ và thậm chí hoàn thành công việc kỹ thuật sau khi được tuyển dụng. Báo cáo cũng mô tả việc các tài khoản liên quan đến hoạt động này bị cấm và công ty cập nhật hệ thống phát hiện hành vi sử dụng sai mục đích.

Các báo cáo an ninh tại Hàn Quốc và Mỹ cảnh báo rằng các đối tượng Triều Tiên dùng công cụ AI để viết email trôi chảy, soạn sơ yếu lý lịch và thư xin việc, viết mã, cũng như tạo hồ sơ cá nhân kèm ảnh chuyên nghiệp. Những khả năng này giúp một nhóm nhỏ hành động chỉn chu như một đội ngũ lớn hơn nhiều. Rào cản gia nhập đã giảm xuống. Người có kỹ năng kỹ thuật ở mức vừa phải giờ đây có thể nhờ AI hướng dẫn, soạn mô-đun mã độc nhanh hơn, dịch nội dung sang tiếng Hàn hoặc tiếng Anh tự nhiên và tạo hình ảnh đủ thuyết phục khi nhìn lướt qua.

Các nhà phân tích xung đột số trên bán đảo Triều Tiên ghi nhận số vụ tấn công nhằm vào các tổ chức Hàn Quốc tăng mạnh. Năm 2023, các nguồn công khai cho biết mỗi ngày có hàng triệu cuộc tấn công nhắm vào hệ thống chính phủ, nhiều vụ được truy nguyên đến hoạt động của Triều Tiên. Các báo cáo riêng của Liên Hợp Quốc và nghiên cứu trong ngành cũng liên hệ những đơn vị Triều Tiên với các vụ đánh cắp tiền mã hóa quy mô lớn nhằm tài trợ cho các chương trình chiến lược. Các vụ lừa đảo có chủ đích qua email, gian lận tuyển dụng có AI hỗ trợ và trộm cắp tài chính là những phần trong cùng một chiến lược thu thập tình báo và tạo nguồn thu bất chấp các lệnh trừng phạt.

Trong khi các đối tượng hoạt động từ Trung Quốc và những nhóm khác có liên hệ với nhà nước cũng đang thử nghiệm AI tạo sinh, trọng tâm ở đây là tốc độ ứng dụng công nghệ này của các đơn vị Triều Tiên cho cả hoạt động gián điệp lẫn tài chính phi pháp. Ranh giới giữa bộ công cụ lừa đảo và xưởng sản xuất nội dung có AI hỗ trợ ngày càng mờ nhạt. Những việc trước đây cần cả đội ngũ thiết kế, biên dịch và phát triển giờ có thể được thực hiện bằng các câu lệnh cùng một số công cụ mã nguồn mở.

Vì sao AI khiến thủ đoạn lừa đảo xã hội thuyết phục hơn?

AI tạo sinh có thể nhanh chóng tạo ra nội dung chỉn chu theo yêu cầu. Trong bối cảnh lừa đảo qua email, điều đó có nghĩa là hình ảnh, văn bản và mã được điều chỉnh cho phù hợp với đối tượng mục tiêu mà không tốn nhiều công sức. Bản mô phỏng thẻ thuyết phục hoặc giấy tiêu đề mang thương hiệu khiến người đọc bớt cảnh giác. Một mô hình có thể viết bằng tiếng Hàn hành chính trang trọng, dùng đúng từ viết tắt và giữ giọng điệu nhã nhặn sẽ tạo ra những thông điệp trông có vẻ xác thực.

Các mô hình ngôn ngữ cũng hoạt động như trợ lý viết không biết mệt. Chúng sửa ngữ pháp, bắt chước phong cách của một tổ chức và giữ giọng điệu nhất quán trong nhiều email. Kẻ tấn công có thể yêu cầu tạo các phiên bản của cùng một thông điệp cho những vai trò khác nhau. Mô hình có thể soạn một bản giống thông báo thường lệ gửi cho quản lý nhân sự và một bản khác giống bản ghi nhớ kỹ thuật gửi cho trưởng bộ phận công nghệ thông tin.

Về mặt kỹ thuật, các trợ lý lập trình giúp những người vận hành ít kinh nghiệm ghép nối tập lệnh và mã độc. Mô hình giải thích lỗi, đề xuất cách sửa và tạo ví dụ có thể chạy được. Khi bị sử dụng sai mục đích, các công cụ này giúp đẩy nhanh tiến độ và giảm thời gian cần thiết để học cách phát triển mã độc. Kết hợp với khả năng tạo văn bản và dịch thuật, một người có thể triển khai chiến dịch đa ngôn ngữ vốn trước đây cần cả một đội ngũ.

Tạo dựng danh tính là một trụ cột khác. Mô hình có thể giúp nghĩ ra quá trình làm việc, tạo sơ yếu lý lịch theo định dạng chuyên nghiệp và soạn thư xin việc phù hợp với tin tuyển dụng. Công cụ hình ảnh tạo ảnh đại diện đủ sức vượt qua lượt kiểm tra nhanh. Kết hợp lại, những khả năng này khiến việc chiếm đoạt email doanh nghiệp và xâm nhập lâu dài dễ thực hiện hơn, ít nhất cho đến khi các biện pháp bảo vệ của con người và kỹ thuật bắt kịp.

Biện pháp phòng thủ, phát hiện và phản ứng chính sách

Hàn Quốc đã cập nhật Chiến lược An ninh mạng Quốc gia, nhấn mạnh hợp tác quốc tế, ứng dụng công nghệ tiên tiến và tăng cường phòng thủ. Kế hoạch đề cao khả năng phát hiện bằng AI để giám sát theo thời gian thực, chia sẻ thông tin sâu rộng hơn với các đối tác và nâng cao khả năng chống chịu của cơ sở hạ tầng thiết yếu. Seoul cũng thúc đẩy phối hợp chặt chẽ hơn với Mỹ và Nhật Bản nhằm thống nhất chính sách và tổ chức các cuộc diễn tập chung tập trung vào ứng phó sự cố.

Các tổ chức có thể giảm thiểu những cuộc tấn công dựa trên tên miền gần giống và hình ảnh deepfake bằng cách kết hợp quy trình, đào tạo và công nghệ. Quy trình bắt đầu từ việc xác minh. Các yêu cầu liên quan đến thông tin xác thực hoặc giấy tờ tùy thân cần tuân theo quy trình đã được lập thành văn bản, bao gồm việc liên hệ với quan chức đã biết qua một kênh thứ hai. Nhân viên cần được hướng dẫn kiểm tra từng ký tự trong tên miền và rê chuột lên liên kết trước khi nhấp.

Biện pháp kiểm soát kỹ thuật giúp ngăn chặn mã độc thực thi. Cổng lọc email nên cách ly thư có tệp lưu trữ lồng nhau và chặn các loại tệp đính kèm rủi ro như tệp lối tắt, ảnh ISO và tập lệnh. Tắt hoặc hạn chế PowerShell khi có thể, đồng thời dùng danh sách cho phép ứng dụng để ngăn các tệp thực thi chưa được phê duyệt. Hệ thống phát hiện và ứng phó tại điểm cuối có thể nhận diện lệnh PowerShell độc hại và các kết nối ra ngoài bất thường. Giám sát mạng có thể cảnh báo về kết nối mới đến những tên miền chưa được nhận diện ngay sau khi người dùng tương tác với email.

Kiểm tra ứng viên tuyển dụng và nhà cung cấp ngày càng đóng vai trò quan trọng trong phòng thủ mạng. Quy trình tuyển dụng từ xa cần có bước xác minh danh tính chặt chẽ bằng video trực tiếp, xác minh qua bên thứ ba đáng tin cậy và kiểm tra tham chiếu độc lập. Các hệ thống xử lý dữ liệu nhạy cảm cần áp dụng nguyên tắc đặc quyền tối thiểu và xác minh liên tục. Kiểm toán định kỳ có thể phát hiện bất thường như vị trí đăng nhập lạ hoặc hoạt động ngoài khung giờ thông thường.

Rào chắn pháp lý và đạo đức đối với AI

Vụ việc cho thấy một mâu thuẫn trong quá trình ứng dụng AI. Doanh nghiệp được hưởng lợi khi nhân viên có thể dùng AI để soạn tài liệu, viết mã và xử lý hình ảnh. Nhưng việc công nghệ dễ tiếp cận cũng có thể bị đối thủ lợi dụng. Các nhà phát triển AI đã đưa vào những hệ thống an toàn từ chối nội dung có hại và giám sát hành vi sử dụng sai mục đích, song kẻ tấn công tìm cách vượt qua các biện pháp này bằng những câu lệnh đánh lừa. Cộng đồng phòng thủ ứng phó bằng cách chia sẻ dấu hiệu lạm dụng, gỡ bỏ các tài khoản vi phạm và cải tiến hành vi của mô hình để chống thao túng.

Lựa chọn chính sách và mua sắm có ý nghĩa quan trọng. Các cơ quan và nhà thầu nên yêu cầu nhà cung cấp hệ thống AI cung cấp nhật ký kiểm toán, kênh báo cáo hành vi lạm dụng và bản cập nhật tăng cường khả năng bảo vệ mô hình. Quy định rõ ràng của doanh nghiệp về việc sử dụng AI có thể ngăn việc vô tình tạo ra nội dung rủi ro. Các đội ngũ an ninh nên kiểm thử mô hình bằng những câu lệnh bẻ khóa phổ biến, đồng thời đưa ra phương án an toàn và quy trình được phê duyệt trước cho các nhu cầu nghiệp vụ như thiết kế tài liệu hoặc rà soát mã.

Những điều cần biết

• Kimsuky dùng hình ảnh thẻ nhận dạng quân đội Hàn Quốc do AI tạo làm mồi nhử trong một chiến dịch lừa đảo có chủ đích qua email vào tháng 7.
• Email yêu cầu người nhận xem xét mẫu thiết kế thẻ và được gửi từ tên miền bắt chước hậu tố chính thức .mil.kr bằng .mli.kr.
• Các nhà điều tra tìm thấy siêu dữ liệu nhắc đến GPT 4o và ChatGPT trong ít nhất một hình ảnh; công cụ phát hiện đánh giá một hình ảnh giả có 98% khả năng do AI tạo ra.
• Chuỗi phát tán gồm các tệp ZIP và tập lệnh thực thi lệnh PowerShell, cài đặt cửa hậu và tải xuống ảnh PNG mồi nhử.
• Mục tiêu gồm một tổ chức liên quan đến quân đội, các nhà nghiên cứu, nhà báo và nhà hoạt động nhân quyền tập trung vào Triều Tiên.
• Chiến dịch tái sử dụng mã độc từng xuất hiện trong hoạt động theo chủ đề ClickFix hồi tháng 6, được quy cho cùng nhóm.
• Theo báo cáo gần đây của một nhà cung cấp AI lớn, các đối tượng Triều Tiên cũng đã dùng công cụ AI để tạo danh tính giả và kiếm việc làm từ xa.
• Biện pháp phòng thủ gồm xác minh nghiêm ngặt các yêu cầu liên quan đến danh tính, kiểm soát email và thiết bị đầu cuối để chặn các loại tệp và tập lệnh rủi ro, cùng quy trình kiểm tra chặt chẽ khi tuyển dụng từ xa.