Tin tặc lợi dụng Telegram nhắm mục tiêu vào các công ty tiền điện tử

Microsoft gần đây phát hiện một cuộc tấn công trong đó hacker lợi dụng các nhóm trò chuyện Telegram để nhắm mục tiêu vào các công ty đầu tư tiền điện tử. Hãng định danh nhóm tin tặc đứng sau chiến dịch lần này là DEV-0139.

“DEV-0139 tham gia các nhóm Telegram giữa khách hàng VIP và các sàn giao dịch tiền điện tử, từ đó tìm kiếm mục tiêu trong số các thành viên”, nhóm nghiên cứu Security Threat Intelligence của Microsoft cho biết.

Vào ngày 19 tháng 10, hacker giả làm đại diện của một công ty quản lý tài sản điện tử và mời ít nhất một mục tiêu tham gia một nhóm Telegram, nơi cung cấp các thông tin về cấu trúc phí của các sàn giao dịch tiền điện tử

Sau khi lấy được lòng tin của nạn nhân, hacker gửi bảng tính Excel độc hại có tên “OKX Binance & Huobi VIP fee comparision.xls” cùng với dữ liệu so sánh (có thể chính xác để tăng độ tin cậy) cấu trúc phí VIP của các sàn giao dịch tiền điện tử.

Sau khi nạn nhân mở tài liệu và kích hoạt macro, một bảng tính thứ hai được nhúng trong tệp sẽ tải xuống và phân tích tệp PNG để trích xuất một tệp DLL độc hại, một backdoor được mã hóa XOR và một tệp thực thi Windows hợp pháp sau đó được sử dụng để tải tệp DLL.

DLL này sẽ giải mã và tải backdoor, từ đó giúp hacker giành được quyền truy cập từ xa vào hệ thống nạn nhân.

“Trang tính chính trong tệp Excel được bảo vệ bằng mật khẩu để khuyến khích mục tiêu kích hoạt macro”, Microsoft giải thích.

Trang tính sau đó sẽ không được bảo vệ nếu tệp Excel thứ hai được lưu trữ trong Base64 đã được cài đặt và kích hoạt. Điều này giúp đánh lừa người dùng bật macro và không gây nghi ngờ.”

Một payload thứ hai cũng được DEV-0139 phân phối trong chiến dịch này. Đó là gói MSI cho ứng dụng CryptoDashboardV2, cho thấy nhóm cũng đứng sau các cuộc tấn công khác sử dụng kỹ thuật tương tự để phát tán các payload tùy chỉnh.

Mặc dù Microsoft không quy cuộc tấn công cho một nhóm tin tặc cụ thể hãng Volexity cuối tuần trước gọi tên nhóm hacker Triều Tiên Lazarus trong một công bố về những phát hiện riêng về chiến dịch lần này.

Theo Volexity, các tin tặc Triều Tiên đã sử dụng bảng tính độc hại để thả AppleJeus, mã độc từng được Lazarus sử dụng để đánh cắp tiền điện tử và các tài sản kỹ thuật số khác.

Volexity cũng quan sát thấy Lazarus sử dụng bản sao trang web sàn giao dịch tiền điện tử tự động HaasOnline để phân phối phiên bản đã bị trojan hóa của ứng dụng BloxHolder. Phiên bản này có nhiệm vụ triển khai phần mềm độc hại AppleJeus đi kèm trong ứng dụng QTBitcoinTrader.

Microsoft cho biết hãng đã thông báo cho những khách hàng bị xâm phạm hoặc bị nhắm mục tiêu trong cuộc tấn công này, đồng thời chia sẻ thông tin cần thiết để bảo mật tài khoản.

Lazarus là một nhóm hacker Bắc Triều Tiên đã hoạt động hơn một thập kỷ, ít nhất là kể từ năm 2009.

Nhóm này được biết đến với các cuộc tấn công vào các mục tiêu cao cấp trên toàn thế giới, bao gồm ngân hàng, tổ chức truyền thông và cơ quan chính phủ.

Nhóm được cho là chịu trách nhiệm cho các cuộc tấn công mạng lớn, bao gồm vụ hack Sony Pictures năm 2014 và cuộc tấn công ransomware WannaCry năm 2017.