Một chiến dịch **tấn công mạng** mới đang nhắm mục tiêu vào các chuyên gia trong lĩnh vực tiền mã hóa và Web3 thông qua các cuộc phỏng vấn tuyển dụng giả mạo. Cuộc tấn công này triển khai **mã độc GolangGhost**, một trojan truy cập từ xa (RAT) có khả năng đánh cắp thông tin xác thực trình duyệt, thu thập dữ liệu ví điện tử và cho phép kẻ tấn công kiểm soát các hệ thống macOS bị lây nhiễm.
Phân tích Chiến dịch Tấn công Lừa đảo Kỹ thuật Xã hội
Chiến dịch này tận dụng sự tinh vi của kỹ thuật xã hội, giả mạo các quy trình tuyển dụng thông thường để lừa nạn nhân cài đặt mã độc. Kẻ tấn công tạo ra một kịch bản đáng tin cậy, khiến các chuyên gia mục tiêu dễ dàng rơi vào bẫy.
Mồi nhử Tuyển dụng Giả mạo
Kẻ tấn công giả danh các nhà tuyển dụng, đưa ra những vai trò công việc hấp dẫn trong lĩnh vực tiền mã hóa và Web3. Các mục tiêu sau đó được hướng dẫn đến các trang đánh giá kỹ năng trực tuyến giả mạo, được thiết kế để thu thập thông tin cá nhân và dấu vân tay trình duyệt/thiết bị của nạn nhân.
Các trang phỏng vấn giả mạo, được gọi là ClickFake, được thiết kế để tạo áp lực cho nạn nhân, buộc họ phải hành động nhanh chóng. Chúng có thể thu thập thông tin cá nhân, lấy dấu vân tay trình duyệt và thiết bị của khách truy cập, chặn người dùng di động, hiển thị các câu hỏi đánh giá có thời gian và hiển thị cảnh báo khi ứng viên chuyển tab trình duyệt.
Kỹ thuật Kích hoạt Mã độc ClickFake
Ở giai đoạn cuối của quá trình phỏng vấn, thường là khi yêu cầu ghi hình video, trang web sẽ hiển thị một lỗi camera giả. Nạn nhân sau đó được thuyết phục sao chép và dán một lệnh khắc phục sự cố được cho là vào Terminal của máy Mac.
Điểm đáng chú ý là trang này thay thế lệnh vô hại mà nạn nhân sao chép bằng một lệnh độc hại, đồng thời vẫn hiển thị văn bản dự kiến trong Terminal để giảm thiểu sự nghi ngờ. Phương pháp này biến hành động tự nguyện của nạn nhân thành điểm truy cập ban đầu cho kẻ tấn công.
Các chiến dịch mã độc ClickFix gần đây cũng cho thấy cách tiếp cận này biến hành động của nạn nhân thành quyền truy cập ban đầu. Điều này nhấn mạnh tầm quan trọng của việc cảnh giác cao độ với bất kỳ hướng dẫn khắc phục sự cố yêu cầu thực thi lệnh CLI nào.
Mã độc GolangGhost và PylangGhost: Khả năng và Tác động
Chiến dịch tấn công này triển khai hai biến thể mã độc khác nhau tùy thuộc vào hệ điều hành của nạn nhân, cho thấy sự chuẩn bị kỹ lưỡng của kẻ tấn công để tối đa hóa phạm vi lây nhiễm.
Triển khai Mã độc trên Nền tảng Đa dạng
Chiến dịch này triển khai **PylangGhost** cho người dùng Windows và **mã độc GolangGhost** cho người dùng macOS thông qua cùng một quy trình tuyển dụng lừa đảo. Điều này cho thấy khả năng của kẻ tấn công trong việc tùy chỉnh payload dựa trên môi trường mục tiêu.
Trên macOS, lệnh được nạn nhân sao chép sẽ khởi chạy một script Bash. Script này tạo một thư mục làm việc ẩn, tải xuống một file nén driver Intel giả mạo và truy xuất trình biên dịch Go cần thiết để chạy GolangGhost. Quy trình này được thiết kế để ngụy trang hoạt động độc hại dưới dạng các tác vụ hệ thống hợp pháp.
Cơ chế Duy trì Quyền Truy cập
Script độc hại cũng thiết lập khả năng duy trì quyền truy cập (persistence) thông qua một Launch Agent. Điều này cho phép **mã độc GolangGhost** tự khởi động lại sau mỗi lần hệ thống khởi động lại, đảm bảo quyền kiểm soát liên tục cho kẻ tấn công.
Ngoài ra, chiến dịch còn khởi chạy một ứng dụng macOS giả mạo yêu cầu thông tin đăng nhập quản trị (administrator credentials) dưới chiêu bài cập nhật hệ thống. Các thông tin đăng nhập này sau đó được gửi đến cơ sở hạ tầng do kẻ tấn công kiểm soát, tạo thêm một con đường khác để chiếm quyền kiểm soát tài khoản và thiết bị.
Đánh cắp Dữ liệu Nhạy cảm từ Trình duyệt
GolangGhost có khả năng sử dụng tiện ích dòng lệnh macOS Keychain để truy xuất mật khẩu chính (master password) được lưu trữ của Chrome. Keychain là một dịch vụ bảo mật lưu trữ mật khẩu, khóa riêng và chứng chỉ kỹ thuật số, do đó việc truy cập vào nó mang lại cho kẻ tấn công một lợi thế đáng kể.
Sau khi có được mật khẩu chính, **mã độc GolangGhost** áp dụng bí mật đó để giải mã cơ sở dữ liệu cục bộ của Chrome. Quá trình này phơi bày các thông tin xác thực trình duyệt đã lưu và cookie, có thể cấp quyền truy cập vào nhiều dịch vụ trực tuyến khác nhau mà nạn nhân sử dụng.
Điều này phản ánh nguy cơ đã thấy trong các mã độc đánh cắp thông tin xác thực trên macOS, vốn cũng đã nhắm mục tiêu vào dữ liệu trình duyệt và thông tin ví điện tử. GolangGhost cũng tìm kiếm dữ liệu tiện ích mở rộng trình duyệt liên quan đến các ví tiền mã hóa và trình quản lý mật khẩu.
Các mục tiêu của nó bao gồm MetaMask và một số tiện ích mở rộng ví khác, cho phép kẻ tấn công thu thập cài đặt tiện ích mở rộng và dữ liệu liên quan từ hồ sơ Chrome. Việc này có thể dẫn đến **rò rỉ dữ liệu nhạy cảm** và mất tài sản kỹ thuật số.
Chiếm quyền Tiện ích mở rộng MetaMask
Một khả năng đáng lo ngại hơn của **mã độc GolangGhost** là khả năng thay đổi tệp Secure Preferences của Chrome sau khi buộc trình duyệt phải đóng. Mã độc tiêm các quyền rộng rãi, bao gồm quyền truy cập vào các tab đang hoạt động, quyền ghi vào clipboard, yêu cầu web và bộ nhớ mở rộng, sau đó gán chúng cho tiện ích mở rộng MetaMask.
Sự thay đổi này có thể cho phép kẻ tấn công lạm dụng vị trí tin cậy của tiện ích mở rộng ví trong trình duyệt để thực hiện các giao dịch trái phép hoặc truy cập vào tài sản kỹ thuật số của nạn nhân. Đây là một mối đe dọa đặc biệt nghiêm trọng đối với những người làm việc với tiền mã hóa và Web3.
Các Mối đe dọa Mạng và Rủi ro Đối với Tổ chức
Cuộc **tấn công mạng** này không chỉ giới hạn ở một thiết bị bị xâm nhập. Nó mở rộng ra phạm vi rộng hơn, ảnh hưởng đến các tổ chức và cá nhân nắm giữ tài sản hoặc thông tin có giá trị cao.
Mục tiêu và Phạm vi Tác động
Rủi ro từ chiến dịch này vượt ra ngoài một thiết bị bị xâm nhập đơn lẻ. Những người làm việc trong các vai trò liên quan đến tiền mã hóa, đầu tư, pháp lý, tư vấn và kinh doanh thường có quyền truy cập trực tiếp vào ví, tài khoản công ty hoặc thông tin nhạy cảm. Kẻ tấn công có thể sử dụng những quyền truy cập này để đánh cắp tài sản kỹ thuật số hoặc thâm nhập sâu hơn vào tổ chức, gây ra các hậu quả nghiêm trọng về **an toàn thông tin**.
Sự liên kết với Các Chiến dịch Tương tự
Các chiến dịch mã độc giả mạo nhà tuyển dụng tương tự đã nhiều lần nhắm mục tiêu vào lĩnh vực tiền mã hóa. Ví dụ, nhóm tấn công thường được biết đến với việc sử dụng các chiến thuật tương tự như chiến dịch GraphAlgo, nơi chúng cũng giả mạo các cơ hội việc làm để phân phối mã độc.
Một báo cáo từ SOCRadar liên kết chiến dịch này với một nhóm tấn công nổi tiếng, còn được theo dõi là Wagemole, chuyên nhắm mục tiêu vào các tổ chức tài chính và tiền mã hóa. Để biết thêm chi tiết về mối đe dọa này, bạn có thể tham khảo bài viết từ SOCRadar: DPRK ClickFake: PylangGhost & GolangGhost RATs.
Chiến lược Phòng ngừa và Bảo vệ Hệ thống
Để đối phó với các chiến dịch **tấn công mạng** tinh vi như vậy, các tổ chức và cá nhân cần áp dụng các biện pháp phòng ngừa mạnh mẽ, tập trung vào cả nhận thức người dùng và các kiểm soát kỹ thuật.
Nâng cao Nhận thức Người dùng
Các tổ chức nên đào tạo nhân viên, đặc biệt là những nhân viên không chuyên về kỹ thuật, để nhận biết các dấu hiệu cảnh báo. Điều này bao gồm việc cảnh giác với các yêu cầu phỏng vấn không mong muốn và các bước khắc phục sự cố “sao chép-dán” vào Terminal hoặc các cửa sổ lệnh tương tự.
Việc giáo dục về các kỹ thuật lừa đảo (phishing) và kỹ thuật xã hội (social engineering) là yếu tố then chốt để xây dựng một tuyến phòng thủ vững chắc. Người dùng cần hiểu rằng việc thực thi các lệnh từ nguồn không xác định có thể dẫn đến **hệ thống bị xâm nhập**.
Các Biện pháp An ninh Kỹ thuật
Các đội ngũ an ninh nên thực hiện các chính sách và kiểm soát kỹ thuật nghiêm ngặt. Điều này bao gồm việc ngăn chặn hành vi tìm việc cá nhân trên các thiết bị của công ty, vì nó có thể mở ra một vector tấn công tiềm ẩn.
Kiểm tra định kỳ các Launch Agents không mong muốn và các thay đổi trong cài đặt trình duyệt là cần thiết để phát hiện các dấu hiệu của sự lây nhiễm mã độc. Sử dụng các giải pháp phát hiện mạnh mẽ có khả năng kiểm tra các mô-đun đã biên dịch đáng ngờ và các thư viện động cũng là một biện pháp phòng vệ hiệu quả.
Mối đe dọa này cũng nhấn mạnh lý do tại sao các đội ngũ nên tránh sử dụng các gói phần mềm tuyển dụng không đáng tin cậy trong các cuộc trò chuyện tuyển dụng. Các nền tảng này có thể bị lợi dụng để phát tán mã độc, làm tăng **rủi ro bảo mật** cho cả ứng viên và tổ chức.
Chỉ số Thỏa hiệp (IOCs)
Để hỗ trợ các đội ngũ an ninh trong việc phát hiện và ứng phó với chiến dịch này, việc theo dõi các Chỉ số Thỏa hiệp (IOCs) là rất quan trọng. Mặc dù các IOC cụ thể như địa chỉ IP và tên miền bị “defanged” (làm mờ để tránh kích hoạt vô ý) trong thông tin ban đầu, chúng ta có thể liệt kê các loại IOC thường được liên kết với các cuộc tấn công như **mã độc GolangGhost**.
- Tên miền/URL: Các tên miền được sử dụng cho các trang phỏng vấn giả mạo, tải xuống mã độc hoặc máy chủ C2 (Command and Control). Ví dụ: các tên miền có liên quan đến các dịch vụ lưu trữ đám mây hoặc các dịch vụ tên miền động bị lạm dụng.
- Hash tệp: Mã hash (MD5, SHA1, SHA256) của các tệp mã độc (GolangGhost, PylangGhost), các script Bash, các ứng dụng giả mạo (ví dụ: trình cài đặt driver Intel giả).
- Địa chỉ IP: Các địa chỉ IP của máy chủ C2 hoặc các máy chủ lưu trữ mã độc mà các tác nhân đe dọa sử dụng để kiểm soát hệ thống bị lây nhiễm.
- Quy tắc YARA: Các quy tắc được viết để phát hiện các mẫu nhị phân hoặc chuỗi đặc trưng của GolangGhost hoặc PylangGhost trong các hệ thống.
- Tên tệp/Thư mục: Các tên tệp độc hại hoặc thư mục ẩn được tạo bởi mã độc trên hệ thống của nạn nhân.
- Launch Agents: Các tệp cấu hình Launch Agent trên macOS được tạo để thiết lập tính bền bỉ của mã độc.
- Thay đổi cấu hình trình duyệt: Các dấu hiệu về việc tệp Secure Preferences của Chrome bị sửa đổi hoặc các quyền mở rộng bất thường được gán cho các tiện ích mở rộng ví tiền mã hóa.
Các tổ chức nên tích hợp các IOC này vào các nền tảng threat intelligence như MISP, VirusTotal hoặc SIEM của mình để chủ động phát hiện và ngăn chặn các cuộc tấn công. Việc phân tích nhật ký hệ thống và mạng để tìm kiếm các hoạt động bất thường liên quan đến các chỉ số này là một phần thiết yếu của chiến lược **an ninh mạng** toàn diện.
