Nhóm Lazarus Sử Dụng Zero-Day Windows Trong Trò Lừa Đảo Việc Làm Giả

Nhóm Lazarus của Triều Tiên lại tấn công, lần này kết hợp một trong những chiêu trò cũ nhất với một trong những công cụ mới nhất. Theo một báo cáo mới, nhóm tin tặc được nhà nước bảo trợ đã sử dụng các lời mời làm việc giả cùng với một lỗ hổng zero-day Windows chưa từng được biết đến để xâm nhập vào các tổ chức quốc phòng và hàng không vũ trụ. Chiến dịch này là một chương mới trong Operation Dream Job, một nỗ lực gián điệp lâu năm đã gây khó khăn cho ngành quốc phòng trong nhiều năm, nhưng đợt tấn công mới nhất cho thấy nhóm này sẵn sàng sử dụng những khai thác giá trị chưa được tiết lộ để đạt được điều mình muốn.

Cách thức lừa đảo việc làm giả hoạt động

Cuộc tấn công diễn ra theo một mô thức quen thuộc đối với bất kỳ ai từng theo dõi hoạt động của Lazarus trước đây. Kẻ tấn công giả danh nhà tuyển dụng liên hệ với một nhân viên tại công ty quốc phòng hoặc hàng không vũ trụ, đưa ra cơ hội việc làm tại một công ty mà mục tiêu có thể nhận ra. Cách tiếp cận này có vẻ hợp pháp vì nó mô phỏng đúng quy trình tuyển dụng thực tế: tin nhắn chuyên nghiệp, vai trò hợp lý và đủ chi tiết để tránh gây nghi ngờ ngay lập tức.

Đây không phải là một chiến thuật mới. Như đã đề cập trong bài phân tích trước đây của chúng tôi về Operation Dream Job nhắm vào các công ty quốc phòng và hàng không vũ trụ, những kẻ tấn công đã dành nhiều năm để tinh chỉnh các mồi nhử này nhằm khiến cơ hội giả mạo trở nên chân thực. Điều làm nên khác biệt của chiến dịch mới nhất này là tải trọng (payload) chờ đợi ở cuối cuộc trò chuyện. Khi mục tiêu tương tác, kẻ tấn công gửi một tệp hoặc liên kết khai thác lỗ hổng zero-day Windows, một lỗi mà Microsoft chưa biết đến và chưa được vá tại thời điểm tấn công. Điều đó nghĩa là phần mềm bảo mật tiêu chuẩn không có chữ ký để phát hiện nó, và hệ thống của mục tiêu có thể bị xâm nhập mà không có bất kỳ dấu hiệu cảnh báo rõ ràng nào.

Góc độ zero-day Windows

Các lỗ hổng zero-day có giá trị chính vì chúng chưa được biết đến. Kẻ tấn công sở hữu một lỗ hổng như vậy có thể vượt qua các lớp phòng thủ đã được vá vốn thông thường sẽ chặn một khai thác đã biết. Việc Lazarus sử dụng zero-day ở đây cho thấy mức độ nguồn lực và trình độ kỹ thuật tương xứng với sự hậu thuẫn của nhà nước, và nó lặp lại mô thức mà các nhà nghiên cứu bảo mật từng thấy trước đây. Ngay năm ngoái, Microsoft đã phải vá một lỗ hổng zero-day Windows riêng biệt vốn đã bị khai thác trong thực tế để cài phần mềm độc hại liên quan đến Lazarus, như đã nêu chi tiết trong bài viết của chúng tôi về bản vá của Microsoft cho lỗ hổng rootkit liên quan đến Lazarus. Dù lỗ hổng mới này đã được vá hay chưa, bài học cốt lõi vẫn giống nhau: chỉ dựa vào chu kỳ cập nhật hàng tháng của Microsoft sẽ để lại một khoảng trống phơi nhiễm mà những kẻ tấn công quyết tâm rất muốn khai thác.

Vì sao điều này quan trọng ngoài các nhà thầu quốc phòng

Người ta dễ cho rằng câu chuyện này chỉ ảnh hưởng đến những người làm việc trong lĩnh vực quốc phòng và hàng không vũ trụ, nhưng các tác động về quyền riêng tư còn vươn xa hơn. Lazarus nhắm vào các cá nhân, không chỉ các tổ chức. Nhân viên nhận được lời mời làm việc giả thường bị chọn vì quyền truy cập, mối quan hệ hoặc dữ liệu nhạy cảm trên thiết bị của họ, chứ không phải vì họ đã làm điều gì sai. Một khi bị xâm nhập, chiếc laptop đơn lẻ đó có thể trở thành bàn đạp vào một mạng lưới rộng lớn hơn, làm lộ thông tin liên lạc cá nhân, thông tin xác thực và có khả năng cả thông tin mật hoặc độc quyền.

Chiến dịch này cũng nhấn mạnh một xu hướng rộng hơn: kỹ thuật xã hội vẫn là một trong những cách hiệu quả nhất để vượt qua cả hạ tầng bảo mật được đầu tư tốt. Không tường lửa hay công cụ bảo vệ điểm cuối nào có thể bù đắp hoàn toàn cho một thông điệp thuyết phục khiến ai đó mở tệp ra. Lỗ hổng zero-day khiến đợt tấn công cụ thể này nguy hiểm hơn, nhưng điểm xâm nhập ban đầu, như mọi khi, vẫn là lòng tin của con người.

Điều này có ý nghĩa gì đối với bạn

Hầu hết độc giả sẽ không bao giờ nhận được tin nhắn lừa đảo của Lazarus, nhưng các chiến thuật ở đây ngày càng phổ biến trong cả những vụ lừa đảo kém tinh vi hơn. Những kẻ tuyển dụng giả mạo, lừa đảo việc làm và tệp đính kèm độc hại được ngụy trang dưới dạng thư mời làm việc hoặc bài kiểm tra lập trình đã trở nên thường xuyên trên các nền tảng như LinkedIn và email. Nếu bạn làm việc trong ngành nhạy cảm, quốc phòng, hàng không vũ trụ, công nghệ hoặc nghiên cứu, hãy đối xử với các lời tiếp cận việc làm không được yêu cầu bằng cùng một sự hoài nghi mà bạn dành cho một hóa đơn đáng ngờ hoặc một thông báo trúng thưởng quá tốt để trở thành sự thật.

Ngoài sự thận trọng của từng cá nhân, sự việc này là lời nhắc nhở rằng việc cập nhật hệ điều hành và phần mềm bảo mật rất quan trọng, ngay cả khi một lỗ hổng zero-day theo định nghĩa không thể được vá trước. Khi một lỗ hổng như thế này được công khai, các nhà cung cấp thường nhanh chóng phát hành bản vá, và việc trì hoãn cập nhật đó khiến bạn phơi nhiễm trước những kẻ tấn công có thể suy ngược từ chính bản vá để tìm ra lỗ hổng.

Những điểm cần hành động

Hãy xác minh độc lập các lời tiếp cận từ nhà tuyển dụng trước khi nhấp vào bất kỳ liên kết nào hoặc tải xuống tệp đính kèm, lý tưởng nhất là liên hệ trực tiếp với công ty qua các kênh chính thức của họ. Tránh mở các tệp không mong đợi, ngay cả những tệp có vẻ như là mô tả công việc hoặc bài kiểm tra đánh giá, nếu chưa quét chúng trước. Hãy cập nhật Windows và tất cả phần mềm ngay khi có bản vá, vì các lỗ hổng zero-day thường nhanh chóng bị khai thác rộng rãi hơn sau khi chi tiết bị rò rỉ. Và nếu bạn làm việc trong lĩnh vực có giá trị cao như quốc phòng hoặc hàng không vũ trụ, hãy báo cáo các lời mời làm việc đáng ngờ cho nhóm bảo mật của tổ chức thay vì tự xử lý. Các lời mời làm việc giả và lỗ hổng zero-day Windows của Lazarus cho thấy ngay cả những chuyên gia giàu kinh nghiệm cũng có thể bị nhắm đến bằng những mồi nhử rất thuyết phục, nhưng một liều hoài nghi lành mạnh và thói quen bảo mật tốt vẫn là biện pháp phòng thủ tốt nhất của bạn.