Hacker BlueNoroff của Triều Tiên đã dùng cuộc gọi Zoom giả và deepfake AI để xâm nhập một công ty crypto và xâm phạm hơn 100 lãnh đạo Web3 trên toàn thế giới.
Điểm chính
- BlueNoroff giả làm luật sư fintech, gửi lời mời lịch đã bị chỉnh sửa và dẫn nạn nhân vào cuộc gọi Zoom giả mạo.
- Thủ thuật ClickFix với clipboard chạy PowerShell không file, chiếm đoạt thông tin đăng nhập và dữ liệu ví crypto trong chưa đến năm phút.
- Đoạn webcam bị đánh cắp được dùng tạo deepfake AI, mạo danh nạn nhân cũ để nhử lứa mục tiêu tiếp theo.
BlueNoroff chiếm quyền cuộc gọi Zoom để rút ví
Các nhà nghiên cứu tại Arctic Wolf truy vết vụ xâm nhập kéo dài nhiều tháng về BlueNoroff, một nhánh tài chính của Lazarus Group Triều Tiên. Chiến dịch tấn công một công ty Web3 Bắc Mỹ vào ngày 23/01/2026 và kẻ vận hành âm thầm duy trì quyền truy cập suốt 66 ngày. Giả danh một lãnh đạo pháp lý tại công ty fintech, kẻ tấn công đã gửi lời mời Calendly cho một cuộc gọi trao đổi định kỳ được lên lịch tận năm tháng sau.
Sau khi nạn nhân xác nhận, lịch hẹn đã thay liên kết Google Meet bằng một địa chỉ Zoom typo-squatted trông gần như giống hệt liên kết thật. Dữ liệu theo dõi cho thấy nạn nhân nhấp vào liên kết độc ba lần trong bốn phút, tin rằng phần mềm chỉ đang lỗi.
Đọc thêm: Bitcoin giảm dưới 59.000 USD khi lo ngại lãi suất Fed quay lại thị trường crypto
Mồi nhử ClickFix cài PowerShell không file
Bên trong cuộc họp giả, một cửa sổ bật lên thông báo SDK của Zoom cần cập nhật và đưa ra “sửa lỗi nhanh”, một chiêu được gọi là ClickFix. Khi nạn nhân sao chép lệnh được cung cấp, trang này âm thầm ghi đè clipboard và chèn payload PowerShell ẩn. Chỉ một lần dán đã trao cho kẻ tấn công chỗ đứng mà không có bất kỳ file nào chạm tới ổ đĩa.
Implant sau đó kết nối về máy chủ từ xa, hút thông tin đăng nhập trình duyệt và dữ liệu ví crypto, đồng thời chiếm các phiên Telegram đang hoạt động để sau này dùng tiếp cận nạn nhân mới từ các tài khoản có vẻ đáng tin. Từ cú nhấp đầu tiên đến khi hệ thống bị xâm phạm hoàn toàn, toàn bộ chuỗi chỉ mất chưa đến năm phút, một tốc độ tấn công bất thường.
Deepfake tái sử dụng nạn nhân để bẫy mục tiêu mới
Các cuộc gọi giả trở nên thuyết phục vì mỗi ô người tham gia hiển thị cảnh quay webcam bị đánh cắp, ảnh chân dung tạo bởi AI, hoặc video deepfake tổng hợp, được lấy từ thư viện hơn 100 nạn nhân trước đó thuộc 20 quốc gia. Điều tra viên liên hệ các gương mặt tổng hợp này với mô hình GPT-4o của OpenAI và lần theo dấu chỉnh sửa tới một kẻ vận hành để lại tên người dùng macOS "king" trong metadata. Mỗi gương mặt bị đánh cắp lại trở thành mồi cho lần lừa kế tiếp, khiến mỗi vụ vi phạm làm cho đợt tấn công tiếp theo càng khó phát hiện hơn.
Mỹ chiếm 41% số nạn nhân đã xác định, tiếp theo là Singapore và Vương quốc Anh. Khoảng 80% làm việc trong lĩnh vực crypto, tài chính blockchain hoặc các vai trò đầu tư liên quan, và gần một nửa là nhà sáng lập hoặc CEO.
BlueNoroff không phải người mới trong nghề này. Nhóm này đã xuất hiện từ vụ cướp Ngân hàng Bangladesh năm 2016, khi chúng chuyển 81 triệu USD, sau đó xoay sang crypto qua chiến dịch SnatchCrypto kéo dài nhiều năm. Chiến dịch hiện tại cho thấy bộ chiêu thức cũ nay được “chạy” bằng AI, nâng mức độ khó cho mọi đội ngũ crypto đang cố gắng phòng thủ.
Đọc tiếp: AAVE vượt trội Bitcoin khi câu chuyện DeFi lending quay trở lại