Nhóm Konni của Triều Tiên Triển khai Phần mềm độc hại tạo bằng AI Nhắm vào các kỹ sư Blockchain

2026-01-25 12:24:27

Nguồn: CryptoNewsNet Tiêu đề gốc: Hacker Konni nhắm vào kỹ sư blockchain bằng phần mềm độc hại AI Liên kết gốc: Nhóm hacker Triều Tiên Konni hiện đang nhắm vào các kỹ sư blockchain bằng phần mềm độc hại do trí tuệ nhân tạo tạo ra. Theo các báo cáo, nhóm hacker đang triển khai phần mềm độc hại PowerShell do AI tạo ra để tấn công các nhà phát triển và kỹ sư trong ngành công nghiệp blockchain.

Nhóm hacker Triều Tiên được cho là đã hoạt động ít nhất từ năm 2014 và liên kết với các cụm hoạt động APT37 và Kimusky. Nhóm này đã nhắm vào các tổ chức ở Hàn Quốc, Ukraine, Nga và một số quốc gia châu Âu. Theo phân tích mối đe dọa, chiến dịch mới nhất nhắm vào khu vực Châu Á Thái Bình Dương.

Cơ chế tấn công

Cuộc tấn công bắt đầu bằng việc nạn nhân nhận được liên kết Discord chứa một tệp ZIP đính kèm một lure PDF và một tệp LNK chứa phần mềm độc hại. Tệp LNK chạy một trình tải PowerShell nhúng, trích xuất một tài liệu DOCX và một tệp CAB chứa phần mềm backdoor PowerShell, các tệp batch và một thực thi bỏ qua UAC.

Sau khi tệp LNK được mở, tài liệu DOCX sẽ mở ra và thực thi một tệp batch. Tài liệu lure cho biết hacker nhằm mục đích xâm nhập môi trường phát triển để truy cập các tài sản nhạy cảm, bao gồm hạ tầng, thông tin xác thực API, quyền truy cập ví và số dư tài sản kỹ thuật số.

Tệp batch đầu tiên tạo thư mục staging cho backdoor, trong khi tệp batch thứ hai tạo một tác vụ định kỳ hàng giờ giống như tác vụ khởi động của OneDrive. Tác vụ này đọc một script PowerShell mã hóa XOR từ đĩa, giải mã để thực thi trong bộ nhớ, rồi tự xóa để xóa dấu vết nhiễm.

Phát triển phần mềm độc hại hỗ trợ AI

Backdoor PowerShell che giấu nguồn gốc của nó bằng cách sử dụng mã hóa chuỗi dựa trên phép tính và tái tạo chuỗi trong thời gian chạy. Các nhà nghiên cứu đã nhận diện các dấu hiệu phát triển dựa trên AI thay vì phần mềm độc hại do phương pháp truyền thống tạo ra, bao gồm:

Tài liệu rõ ràng và có cấu trúc ở đầu script (khác thường đối với phần mềm độc hại)
Cấu trúc mã sạch sẽ và mô-đun
Có các chú thích chỗ trống như “# <-- your permanent project UUID”

Những yếu tố này thường xuất hiện trong mã và hướng dẫn do các mô hình ngôn ngữ lớn (LLM) tạo ra, cho thấy hacker Triều Tiên đã sử dụng các công cụ AI trong quá trình phát triển phần mềm độc hại.

Thực thi và lệnh điều khiển

Trước khi thực thi, phần mềm độc hại kiểm tra phần cứng, phần mềm và hoạt động của người dùng để đảm bảo không chạy trong môi trường phân tích. Khi đã hoạt động trên thiết bị nhiễm, phần mềm độc hại liên hệ với các máy chủ lệnh điều khiển (C2) định kỳ để gửi dữ liệu metadata của host và kiểm tra theo các khoảng thời gian ngẫu nhiên. Nếu C2 chứa mã PowerShell, nó sẽ thực thi bằng các công việc nền.

Các cuộc tấn công này có thể được quy cho nhóm đe dọa Triều Tiên Konni dựa trên sự tương đồng về định dạng launcher, tên lure và cấu trúc chuỗi thực thi so với các chiến dịch trước đó. Các nhà nghiên cứu an ninh đã công bố các chỉ số xâm nhập để giúp các nhà phòng thủ nhận diện và phòng chống mối đe dọa này.

Trang này có thể chứa nội dung của bên thứ ba, được cung cấp chỉ nhằm mục đích thông tin (không phải là tuyên bố/bảo đảm) và không được coi là sự chứng thực cho quan điểm của Gate hoặc là lời khuyên về tài chính hoặc chuyên môn. Xem Tuyên bố từ chối trách nhiệm để biết chi tiết.