Rapid7 Labs phát hiện Operation ASTERIX, một đường dây lừa đảo crypto dùng công cụ hỗ trợ lập trình bằng AI để tạo ứng dụng giả mạo Ledger, Trezor và Exodus.
Chiến dịch đã đối chiếu 43.066 số điện thoại với tài khoản trên các sàn giao dịch crypto và vẫn đang diễn ra khi bị phát hiện. Người dùng tự lưu ký tài sản là nhóm có nguy cơ bị nhắm tới.
- Operation ASTERIX sử dụng email giả mạo, cuộc gọi lừa đảo và ứng dụng ví crypto giả.
- Kho dữ liệu bị lộ có khoảng 885.000 số điện thoại, trong đó 43.066 số được xác định liên quan đến người dùng sàn crypto.
- Ứng dụng giả yêu cầu cụm từ khôi phục 12 đến 24 từ, sau đó chuyển dữ liệu đánh cắp qua Telegram.
Máy chủ bị cấu hình sai làm lộ toàn bộ công cụ lừa đảo
Operation ASTERIX bị phát hiện sau khi các nhà nghiên cứu Anna Širokova và Jan Recinsky của Rapid7 tìm thấy một thư mục web công khai trên hạ tầng chiến dịch.
Báo cáo ngày 17 tháng 8 cho biết thư mục này chứa dữ liệu số điện thoại, công cụ xác thực tài khoản, bảng điều khiển phishing, tập lệnh gọi điện bằng giọng nói, các ứng dụng ví giả và mã chuyển dữ liệu đánh cắp qua Telegram.
Phần lớn công cụ vẫn đang được sử dụng hoặc phát triển tại thời điểm bị lộ. Rapid7 cho biết nhóm nghiên cứu có thể liên hệ với các nhà cung cấp dịch vụ và cơ quan chức năng, trong đó có đội ngũ bảo mật của Apple, khi chiến dịch vẫn đang hoạt động.
Danh sách mục tiêu trải rộng trên nhiều thị trường
Operation ASTERIX lưu trữ khoảng 885.000 số điện thoại, với tệp lớn nhất gồm 316.002 số di động tại Đức.
| Dữ liệu | Số lượng hoặc phạm vi |
|---|---|
| Tổng số điện thoại trong thư mục | Khoảng 885.000 |
| Tệp số điện thoại di động tại Đức | 316.002 |
| Số được xác định liên quan đến tài khoản sàn crypto | 43.066 |
| Tỷ lệ xác định người dùng sàn trong danh sách số Đức | Khoảng 13,6% |
| Số điện thoại liên quan đến tài khoản Binance | 5.576 |
Các thư mục nhỏ hơn chứa số điện thoại tại Hong Kong, Bulgaria, Anh, Mỹ, khách hàng fintech Canada và những danh sách liên quan đến Ledger. Nhóm vận hành sử dụng công cụ kiểm tra tài khoản để xác định 43.066 số điện thoại Đức thuộc người dùng sàn crypto, tương đương gần một trên bảy số trong danh sách đó.
Khoảng 5.576 số được liên kết với tài khoản Binance và đưa vào danh sách chuẩn bị tấn công. Báo cáo cũng đề cập đến công cụ kiểm tra tài khoản Kraken và các email giả mạo Crypto.com.
Nhật ký hoạt động cho thấy quy mô dữ liệu lớn không đồng nghĩa với việc toàn bộ mục tiêu đều bị liên hệ. Chỉ có 20 lượt tra cứu khách hàng tiềm năng trong khoảng hai tuần và sáu email phishing được gửi đi, cho thấy nhóm vận hành có thể đã lựa chọn mục tiêu thủ công với tốc độ chậm.
Ứng dụng ví giả đánh cắp cụm từ khôi phục
Các ứng dụng giả mạo Trezor Suite, Ledger Live và Exodus yêu cầu người dùng nhập cụm từ khôi phục dài 12 đến 24 từ của ví phần cứng.
Cụm từ khôi phục đóng vai trò như khóa chính của ví. Người nắm giữ cụm từ này có thể kiểm soát và chuyển tài sản khỏi ví, còn dữ liệu bị đánh cắp trong chiến dịch được chuyển ra ngoài qua Telegram.
Operation ASTERIX kết hợp email hỗ trợ giả với các cuộc gọi vishing, tức lừa đảo qua giọng nói. Hệ thống Asterisk, một nền tảng điện thoại mã nguồn mở được tìm thấy trên máy chủ, được sử dụng để thực hiện các cuộc gọi này.
AI được dùng xuyên suốt quá trình phát triển mã độc
Rapid7 phát hiện công cụ hỗ trợ lập trình bằng AI được sử dụng trong nhiều giai đoạn phát triển ứng dụng giả, thay vì chỉ tạo một vài đoạn mã riêng lẻ.
Các prompt, lịch sử lệnh shell và tệp dự án được khôi phục cho thấy nhóm vận hành dùng AI để đóng gói ứng dụng Electron, làm rối mã, sửa lỗi bản build và chuẩn bị phần mềm cho quá trình phát tán.
Công cụ được xác định là GitHub Copilot. Khi một mô hình từ chối hỗ trợ một số tác vụ, nhóm vận hành chuyển sang nhà cung cấp khác và thử vượt qua cơ chế an toàn bằng một prompt jailbreak tùy chỉnh, theo Rapid7 trong báo cáo về Operation ASTERIX.
Phishing và tấn công thao túng vẫn là rủi ro lớn
Phishing và kỹ thuật xã hội chiếm 306 triệu USD trong tổng số 482 triệu USD thiệt hại của ngành crypto trong quý I, theo Hacken.
Trước đó, Trezor cảnh báo 13.689 khách hàng sau sự cố tại đối tác vận chuyển ShipMonk làm lộ tên, email, số điện thoại và địa chỉ. Người dùng Ledger và Trezor cũng từng nhận thư giấy kèm mã QR dẫn tới các trang phishing.
Tổng kết
Operation ASTERIX cho thấy các nhóm lừa đảo có thể kết hợp dữ liệu người dùng sàn, email, cuộc gọi và ứng dụng ví giả để nhắm vào cụm từ khôi phục. Người dùng cần đặc biệt thận trọng với yêu cầu nhập cụm từ này vào bất kỳ ứng dụng hoặc trang web nào.
