An ninh mạng: phần mềm đánh cắp tiền điện tử cho macOS, theo dõi qua Wi-Fi tại khách sạn và các vụ rò rỉ lớn trong tuần

An ninh mạng trong tuần này lại trở thành tâm điểm chú ý: một trình tạo cụm từ yếu đã dẫn đến việc đánh cắp hàng triệu đô la tiền điện tử, một phần mềm độc hại mới cho macOS đã học cách âm thầm lấy đi một phần tài sản từ ví, và các cuộc tấn công vào mạng Wi-Fi của khách sạn đã được sử dụng để săn lùng các tài khoản doanh nghiệp và khách VIP.

Nhiều lĩnh vực an ninh mạng đã được chú ý:

• An ninh máy tính của ví tiền điện tử.
• An ninh thông tin của các dịch vụ nhà nước.
• Bảo vệ dữ liệu cá nhân của nhân viên cảnh sát.
• Lừa đảo qua email.
• Các cuộc tấn công vào mạng máy tính của khách sạn.

Về các loại mối đe dọa, trước hết là:

• Phần mềm độc hại --- các trình đánh cắp, trojan và các chương trình khác, đánh cắp dữ liệu hoặc điều khiển thiết bị mà không có sự đồng ý của người dùng.
• Lừa đảo và kỹ thuật xã hội --- cố gắng khiến người dùng nhấp vào liên kết độc hại, nhập mật khẩu hoặc thực hiện lệnh.
• Lỗ hổng và thuật toán yếu --- sử dụng lỗi trong mã, cấu hình hoặc mã hóa.
• Tấn công vào mạng --- chặn lưu lượng, giả mạo DNS và xâm nhập thiết bị truy cập.
• Rò rỉ và tống tiền --- đánh cắp cơ sở dữ liệu, tống tiền bằng cách công bố thông tin và yêu cầu tiền chuộc.

Dưới đây là những sự kiện chính trong tuần.

• Một trình tạo số ngẫu nhiên cũ đã gây ra vụ đánh cắp tiền điện tử trị giá 5,7 triệu đô la.
• Phần mềm đánh cắp thông tin cho macOS đã đánh cắp mật khẩu, dữ liệu Apple Keychain và một phần tài sản từ ví tiền điện tử.
• Người sáng tạo Ransom Cartel đã bị bắt sau khi trốn thoát và cố gắng vượt biên giới Belarus.
• Nhóm ExfilSquad đã tuyên bố đã xâm nhập vào cơ sở dữ liệu PNLD và rò rỉ dữ liệu của hơn 100.000 nhân viên cảnh sát Vương quốc Anh.
• Microsoft đã liên kết chiến dịch CaptiveCrunch chống lại khách sạn với Midnight Blizzard.

An ninh mạng là gì và nó cần thiết ở đâu

An ninh mạng là bảo vệ thiết bị, mạng, ứng dụng, dịch vụ đám mây, tài khoản và dữ liệu khỏi các cuộc tấn công, rò rỉ và truy cập trái phép. Nó quan trọng vì giúp bảo vệ tiền, dữ liệu cá nhân, tính liên tục của doanh nghiệp và lòng tin của người dùng.

An ninh thông tin rộng hơn: nó bảo vệ thông tin ở mọi hình thức --- kỹ thuật số, giấy tờ và tổ chức. An ninh mạng tập trung vào môi trường kỹ thuật số: mạng, hệ thống, dịch vụ, ứng dụng và người dùng.

• An ninh mạng mạng bảo vệ lưu lượng, bộ định tuyến, Wi-Fi, VPN và các thành phần khác của mạng máy tính.
• An ninh mạng ứng dụng chịu trách nhiệm về an toàn của ứng dụng, trang web, API và mã.
• An ninh mạng đám mây giúp kiểm soát quyền truy cập, cấu hình và dữ liệu trong các dịch vụ đám mây.
• An ninh mạng hạ tầng bảo vệ máy chủ, trạm làm việc, trung tâm dữ liệu và các hệ thống quan trọng.
• An ninh mạng cá nhân liên quan đến mật khẩu, thiết bị, sao lưu, lừa đảo và bảo vệ dữ liệu cá nhân.

Chuyên gia an ninh mạng làm gì

Chuyên gia an ninh mạng tìm kiếm các lỗ hổng, thiết lập bảo vệ, theo dõi hoạt động đáng ngờ, điều tra sự cố và giúp các đội làm việc sao cho một sai lầm không trở thành một vụ rò rỉ lớn hoặc gián đoạn kinh doanh.

• Kiểm tra mạng, ứng dụng và cấu hình đám mây để tìm điểm yếu.
• Thiết lập MFA, kiểm soát truy cập, sao lưu, EDR, SIEM và các công cụ bảo vệ khác.
• Phân tích các cuộc tấn công lừa đảo, phần mềm độc hại, rò rỉ và các nỗ lực truy cập trái phép.
• Đào tạo nhân viên về cách làm việc an toàn với email, tệp, mật khẩu và dịch vụ doanh nghiệp.
• Chuẩn bị kế hoạch phản ứng để khi có sự cố, đội có thể hành động nhanh chóng và không hỗn loạn.

Để làm công việc này, cần có kiến thức về mạng, hệ điều hành, mật mã, an ninh web, dịch vụ đám mây và các tiêu chuẩn an toàn. Sự chú ý, khả năng giải thích rủi ro bằng ngôn ngữ đơn giản, làm việc bình tĩnh dưới áp lực và thói quen học hỏi liên tục cũng rất hữu ích.

Mức lương trong lĩnh vực an ninh mạng thường bị ảnh hưởng bởi kinh nghiệm, chuyên môn, khu vực, ngành nghề, quy mô hạ tầng và khả năng làm việc với các sự cố 24/7.

Có thể bắt đầu sự nghiệp từ các khóa học cơ bản, trường đại học chuyên ngành hoặc tự học: xây dựng phòng thí nghiệm tại nhà, tìm hiểu về Linux, mạng và các nguyên tắc lập trình, thực hành trên các nền tảng CTF hợp pháp, tạo hồ sơ và tìm kiếm thực tập, vị trí junior hoặc vai trò trong hỗ trợ kỹ thuật với chuyển sang an ninh.

Bảo vệ cơ bản và công nghệ hiện đại

An ninh mạng cơ bản bắt đầu từ những thói quen đơn giản: cập nhật phần mềm, bật MFA, sử dụng trình quản lý mật khẩu, sao lưu dữ liệu, hạn chế quyền truy cập, kiểm tra email và liên kết, cũng như thường xuyên đào tạo nhân viên.

Cập nhật phần mềm thường xuyên đóng cửa các lỗ hổng đã biết, nhưng các cài đặt ban đầu cũng quan trọng: nếu khóa hoặc cụm từ đã được tạo bằng thuật toán yếu, một bản cập nhật không thể loại bỏ rủi ro.

• SIEM giúp thu thập các sự kiện an ninh từ các hệ thống khác nhau và phát hiện các cuộc tấn công nhanh hơn.
• EDR theo dõi hành vi của các máy trạm và máy chủ để phát hiện hoạt động độc hại.
• MFA giảm thiểu rủi ro bị chiếm đoạt tài khoản ngay cả khi mật khẩu bị rò rỉ.
• Trí tuệ nhân tạo và học máy giúp phát hiện các bất thường, phân tích khối lượng lớn sự kiện và tăng tốc điều tra.
• Blockchain được sử dụng ở những nơi mà tính minh bạch của các giao dịch, khả năng kiểm tra hồ sơ và kiểm soát tính toàn vẹn của dữ liệu là quan trọng.

Sự tạo ra cụm từ yếu dẫn đến việc đánh cắp 5,7 triệu đô la

Các cuộc tấn công hàng loạt vào những người sở hữu tiền điện tử bắt đầu từ một trình tạo số ngẫu nhiên được sử dụng để tạo ra các cụm từ. Chiến dịch Ill Bloom đã được các chuyên gia của Coinspect mô tả.

Lỗ hổng chính trong an ninh máy tính liên quan đến một chức năng (). Mã của nó đã được viết cách đây 12 năm, và để tạo ra các cụm từ 128 và 256 bit, nó cung cấp độ ngẫu nhiên quá thấp. Thay vì không gian thử nghiệm đáng tin cậy 2^128 và 2^256, độ phức tạp thực tế giảm xuống còn 2^39 và 2^47. Đối với các hacker, điều này là đủ để thử nghiệm các khóa trên thiết bị thông thường.

Các kẻ xấu liên tục tạo ra các biến thể có thể của các cụm từ, chuyển đổi chúng thành các địa chỉ định dạng BIP39 và đối chiếu kết quả với các blockchain công khai. Về cơ bản, lỗi phần mềm trong phần mềm cũ đã biến việc bảo vệ ví thành một nhiệm vụ có thể thực hiện không chỉ bởi các cụm máy chuyên dụng mà còn bởi các hệ thống tương đối dễ tiếp cận.

• Vào ngày 27 tháng 5, những kẻ tấn công đã rút tiền từ 431 tài khoản với tổng trị giá khoảng 3,14 triệu đô la.
• Từ ngày 30 tháng 5 đến ngày 13 tháng 7, họ đã đánh cắp thêm khoảng 2,55 triệu đô la từ 522 ví.

Thiệt hại đã được xác nhận khoảng 5,7 triệu đô la. Các mạng lưới Bitcoin, Ethereum và các mạng tương thích EVM, Tron, Rootstock và Polygon đã bị ảnh hưởng.

Mã dễ bị tổn thương đã được tìm thấy ít nhất trong năm ví tiền điện tử. Tình trạng sửa lỗi như sau:

• NanChat: lỗ hổng đã được khắc phục trong phiên bản 1.3.0.
• Bitcoin Libre: bản sửa lỗi đã xuất hiện trong phiên bản 4.
• Bexo Wallet: các nhà phát triển đã thông báo về các thay đổi trong phiên bản 20.1.0, nhưng tại thời điểm xuất bản, các bản an toàn vẫn chưa có sẵn trên App Store và Google Play.
• RRWallet và Milo: các dự án đã bị đóng cửa.

Coinspect đã cảnh báo riêng: việc chỉ cập nhật ứng dụng không cứu được ví đã được tạo ra. Nếu cụm từ được tạo ra bằng thuật toán yếu, nó sẽ vẫn bị xâm phạm mãi mãi. Ngay cả việc chuyển một cụm từ như vậy vào ví phần cứng cũng không khôi phục được độ tin cậy của nó.

Lưu trữ lạnh giảm thiểu rủi ro, nhưng không loại bỏ các yêu cầu cơ bản về việc tạo khóa, mã hóa và kiểm tra phần mềm nào tạo ra cụm từ.

Crypto Styler cho macOS chỉ lấy một phần giao dịch

Các nhà nghiên cứu của Huntress đã phát hiện ra một infostealer mới cho macOS, được viết bằng Go. Nó được phát tán qua các cuộc tấn công ClickFix, đánh cắp mật khẩu hệ thống, dữ liệu Apple Keychain, cookie và thông tin từ các kho lưu trữ trình duyệt. Về hành vi, đây không chỉ là một virus máy tính, mà là một công cụ lai để đánh cắp thông tin đăng nhập và tiền điện tử.

Chuỗi lây nhiễm bắt đầu từ một email. Người dùng nhấp vào liên kết đến một trang lừa đảo, nơi họ được yêu cầu sao chép một lệnh và thực hiện nó trong terminal dưới dạng hướng dẫn kỹ thuật.

• Đầu tiên, trình tải xuống thu thập dữ liệu cơ bản về hệ thống và tải xuống tệp Mach-O cho kiến trúc máy tính của nạn nhân.
• Sau đó, phần mềm độc hại tạo một thư mục trustd, giả mạo quy trình hợp pháp của macOS để kiểm tra chứng chỉ, sao chép mã của nó vào đó với tên gọi và xóa thuộc tính, để hệ điều hành không hiển thị cảnh báo.
• Sau đó, thông qua osascript, một cửa sổ lỗi hệ thống giả mạo xuất hiện. Điều này buộc nạn nhân phải nhập mật khẩu quản trị viên.

Khi đã chiếm lĩnh hệ thống, styler nghiên cứu cơ sở dữ liệu mật khẩu của trình duyệt, cookie và nội dung Apple Keychain. Đối với quản trị viên hệ thống, sơ đồ này đặc biệt nguy hiểm: nếu máy tính bị nhiễm có quyền truy cập vào các dịch vụ làm việc, một tài khoản có thể mở đường cho cơ sở hạ tầng rộng lớn hơn.

Điểm nổi bật chính của phần mềm độc hại là mô-đun làm việc với tiền điện tử. Nó chặn và thay đổi các giao dịch Bitcoin, Litecoin, Dogecoin, Monero, Ethereum và Ripple ngay trước khi ký.

Huntress đã lưu ý một chi tiết bất thường: cryptodrainer không làm trống ví hoàn toàn. Trong mã có các chức năng tính toán tổng số tiền chuyển và chuyển hướng chỉ một phần trăm nhất định đến địa chỉ của kẻ tấn công. Như vậy, các hacker có thể lâu dài ký sinh trên ví mà không gây ra nghi ngờ ngay lập tức từ nạn nhân.

Theo dữ liệu của Huntress, cơ sở hạ tầng này liên quan đến nhóm Aeza của Nga. Trước đó, chính công ty và các cá nhân liên quan đã bị Mỹ và Anh áp đặt lệnh trừng phạt vì cung cấp dịch vụ Bulletproof hosting cho các nhà điều hành phần mềm tống tiền.

Người sáng lập Ransom Cartel bị kết án tại Mỹ

Bộ Tư pháp Mỹ đã tuyên án đối với công dân 40 tuổi Belarus Maxim Silnikov. Anh ta được công nhận là người sáng lập và điều hành cơ sở hạ tầng của chương trình tống tiền Ransom Cartel.

Trong môi trường tội phạm mạng nói tiếng Nga, Maxim Silnikov được biết đến với các biệt danh J.P. Morgan, xxx và lansky. Cơ quan điều tra cho rằng anh ta đã tham gia vào tội phạm mạng ít nhất từ năm 2005, và bắt đầu phát triển Ransom Cartel vào tháng 5 năm 2021 theo mô hình CaaS.

• Cơ sở kỹ thuật của Ransom Cartel rất giống với REvil. Tuy nhiên, trong mã hóa mới này thiếu một phần các cơ chế làm mờ tiên tiến. Các nhà phân tích cho rằng Maxim Silnikov có thể là một cựu thành viên của lõi REvil, nhưng không có quyền truy cập đầy đủ vào mã nguồn.
• Vai trò của người tổ chức bao gồm tuyển dụng các đối tác, làm việc với các nhà môi giới truy cập ban đầu và quản lý trang web ngầm. Thông qua đó, các thành viên phối hợp các cuộc tấn công, giao tiếp với nạn nhân và chia sẻ tiền chuộc, sau đó rửa tiền thông qua các máy trộn tiền điện tử.

Từ năm 2021 đến 2023, Ransom Cartel đã tấn công không dưới 18 công ty ở nhiều quốc gia khác nhau. Thiệt hại xác nhận từ việc ngừng hoạt động đã vượt quá 6,7 triệu USD, trong khi số tiền yêu cầu chuộc ít nhất là 5,2 triệu USD.

Trong số các trường hợp đáng chú ý là cuộc tấn công vào tháng 8 năm 2022 đối với một công ty khởi nghiệp y tế trong lĩnh vực phẫu thuật robot. Công ty không thể hoạt động đầy đủ trong hai tháng. Vào mùa xuân năm 2023, băng nhóm đã xâm nhập vào cơ sở hạ tầng của một số công ty luật; hai trong số đó đã trả 125.000 USD và 300.000 USD để khôi phục dữ liệu.

Vào tháng 7 năm 2023, Maxim Silnikov đã bị bắt ở Tây Ban Nha trong một chiến dịch quốc tế. Anh ta đã trốn thoát, nhưng sau đó các nhà chức trách đã bắt giữ anh ta khi cố gắng vượt biên giới Belarus. Anh ta đã đồng ý dẫn độ.

Tòa án đã tuyên án anh ta có tội vì âm mưu chống lại Hoa Kỳ, gian lận sử dụng phương tiện điện tử và đánh cắp dữ liệu cá nhân trong các tình huống tăng nặng. Anh ta có thể đối mặt với 16 năm tù giam.

Dữ liệu của nhân viên cảnh sát Vương quốc Anh đã bị rơi vào tay kẻ tống tiền

Tại Vương quốc Anh, cơ sở dữ liệu pháp lý cảnh sát quốc gia PNLD đã bị hack. Kết quả là thông tin liên lạc của hơn 100.000 cảnh sát và nhân viên trong hệ thống tư pháp hình sự đã bị xâm phạm. Nhóm tội phạm ExfilSquad đã nhận trách nhiệm về vụ việc này.

PNLD là một nguồn tài nguyên trực tuyến quan trọng, đã được 43 sở cảnh sát ở Anh và xứ Wales, cũng như Cảnh sát giao thông Anh sử dụng trong hơn 30 năm. Đối với các cơ quan, đây không chỉ là một danh bạ, mà còn là một công cụ làm việc liên quan đến thực tiễn thi hành pháp luật hàng ngày.

ExfilSquad tuyên bố đã thu thập được 1,9 GB dữ liệu, khoảng 135.000 bản ghi. Trong cơ sở dữ liệu bị rò rỉ, theo lời của những kẻ xấu, có:

• Tên đầy đủ, cơ quan và địa chỉ email của 114.000 người đăng ký PNLD, bao gồm các sĩ quan và đối tác của chính phủ.
• Thông tin liên lạc của 21.000 công dân đã sử dụng dịch vụ công Ask the Police.

Tin tặc đã công bố các đoạn dữ liệu và yêu cầu tiền chuộc, hứa hẹn sẽ không công khai các dữ liệu còn lại. Đại diện của PNLD cho biết vụ việc đang được điều tra. Theo họ, dịch vụ không lưu trữ thông tin bí mật về nạn nhân của tội phạm, nhân chứng hoặc người vi phạm, và không có dấu hiệu nào cho thấy mật khẩu đã bị xâm phạm.

Ngay cả khi không có mật khẩu, việc rò rỉ này cũng ảnh hưởng đến tính bảo mật: dữ liệu cá nhân của nhân viên thực thi pháp luật có thể được sử dụng cho các cuộc tấn công lừa đảo, gây áp lực, doxxing và chuẩn bị cho các cuộc tấn công chính xác hơn.

Tin tặc Nga bị liên kết với việc theo dõi khách VIP qua Wi-Fi khách sạn

Microsoft đã liên kết chiến dịch CaptiveCrunch với Midnight Blizzard, còn được biết đến với tên APT29, Cozy Bear và Storm-2945. Các cuộc tấn công nhằm vào khách sạn và người tham gia hội nghị. Mục tiêu là các tài khoản doanh nghiệp Microsoft 365 và theo dõi khách VIP. Chiến dịch này đã hoạt động ít nhất từ tháng 5 năm 2026.

Kế hoạch được xây dựng xung quanh Wi-Fi khách sạn. Kẻ tấn công đã xâm nhập vào thiết bị của trang đăng nhập, thay đổi cài đặt DNS và chuyển hướng lưu lượng truy cập của người dùng.

• Khi kết nối với internet, nạn nhân có thể bị chuyển đến một trang đăng nhập giả mạo của Microsoft 365 với xác thực Entra ID.
• Một lựa chọn khác là trang web lừa đảo với chiến thuật ClickFix, nơi yêu cầu thực hiện lệnh trong console dưới vỏ bọc cập nhật trình duyệt hoặc hệ thống.
• Cũng có những nỗ lực để lây nhiễm các thiết bị Android bằng các tệp APK độc hại.

Cuộc tấn công như vậy đặc biệt nguy hiểm trong các mạng công cộng: mạng nội bộ của khách sạn thường được coi là dịch vụ thông thường cho khách, nhưng thực tế có thể trở thành điểm vào cho các tài khoản doanh nghiệp. Tường lửa trên máy tính xách tay không phải lúc nào cũng cứu được nếu người dùng tự nhập mật khẩu trên trang giả mạo hoặc thực hiện lệnh được đề xuất.

Chiến dịch đã sử dụng hai phần mềm độc hại mới. Trong mã của chúng, các nhà nghiên cứu đã thấy dấu hiệu sử dụng công cụ AI.

• CornFlake - Trojan trên Go với các chức năng gián điệp: ghi lại các phím bấm, ghi âm từ micro và webcam, đánh cắp token Microsoft 365, cookie và mật khẩu. Nó đã ngụy trang thành Dịch vụ Đồng bộ Đám mây và làm phân tâm nạn nhân bằng các cửa sổ giả mạo cập nhật Windows hoặc kiểm tra virus.
• ChocoShell - một trình tạo PowerShell, chỉ hoạt động trong bộ nhớ. Nó nhắm đến mật khẩu, token Azure AD và dữ liệu Wi-Fi đã lưu.

Việc quản lý các thiết bị bị nhiễm và thu thập thông tin được thực hiện thông qua bảng điều khiển web không bảo mật FruitStone. Trong những trường hợp như vậy, máy chủ như phần mềm không chỉ trở thành trung tâm điều khiển cuộc tấn công mà còn là điểm yếu của toàn bộ hoạt động.

Các mục tiêu truyền thống của các chiến dịch như vậy:

• Các nhà ngoại giao.
• Các quan chức nhà nước.
• Các giám đốc điều hành cấp cao.
• Kỹ sư của các công ty quốc phòng.
• Kỹ sư của các công ty năng lượng.
• Kỹ sư của các công ty CNTT lớn.
• Các nhà khoa học.
• Nhân viên của các trung tâm phân tích.

Trong bối cảnh chiến tranh mạng và sự gia tăng các hoạt động gián điệp, các công cụ thuộc loại phần mềm gián điệp ngày càng được ngụy trang dưới dạng các bản cập nhật thông thường và các quy trình dịch vụ.

Microsoft đã khuyến nghị coi Wi-Fi công cộng tại các khách sạn và trung tâm hội nghị là có thể bị xâm phạm. Để làm việc an toàn hơn, nên sử dụng internet di động hoặc VPN đáng tin cậy, và bất kỳ đề nghị nào để cài đặt bản cập nhật hoặc tiện ích khi kết nối với mạng khách nên được coi là một rủi ro.

Các sự kiện nổi bật khác trong tuần

• Vào năm 2026, thiệt hại từ các cuộc tấn công wrench đã vượt quá 30 triệu đô la.
• Mô hình AI của Meta đã xâm nhập vào một công ty bên thứ ba trong quá trình thử nghiệm.
• Một nhà nghiên cứu đã phát hiện dấu vết của các hacker từ Triều Tiên trong 1640 tổ chức.
• Nhóm Bitcoin Red đã phát hiện hàng ngàn vấn đề trong 390 dự án bitcoin.
• Tại EU, các trường hợp lừa đảo với giấy phép MiCA giả đã gia tăng.
• Ledger đã cảnh báo về các rủi ro AI trong bối cảnh bị xâm nhập Coldcard.
• Đại lý AI Anthropic đã tạo ra các tài khoản giả để lừa đảo nhà phát triển.
• Dragonfly đã ước tính việc ngăn chặn xâm nhập Coldcard trị giá 2 đô la.
• Các nhà sản xuất ví tiền điện tử đã cảnh báo người dùng về lừa đảo phishing.
• Dịch vụ Bitcoin Boltz đã ngừng các giao dịch hoán đổi sau một loạt các cuộc tấn công.
• Kraken đã chỉ ra một lỗ hổng trong việc kiểm tra ví tiền điện tử.

Những gì nên đọc vào cuối tuần

Vào ngày 30 tháng 7 năm 2026, một kẻ không rõ danh tính đã rút tiền từ gần 1200 địa chỉ mà không cần truy cập vào bất kỳ thiết bị Coldcard nào. Các tính năng bảo vệ tiên tiến và hình ảnh sản phẩm của phong trào cryptopunk không giúp ích gì cho những người dường như đã tuân thủ tất cả các quy tắc.

Câu chuyện về Coldcard đã trở thành một lời nhắc nhở đau đớn: sự an toàn của ví phần cứng không chỉ phụ thuộc vào thiết bị. Quy trình tạo khóa, sự tin tưởng vào nhà cung cấp, việc kiểm tra các bản cập nhật, hành vi của người dùng và cách mà toàn bộ chuỗi bảo vệ hoạt động trong thực tế đều rất quan trọng.