ลาซารัสใช้กลยุทธ์ ClickFix หลอกสมัครงานในบริษัทคริปโต CeFi เป้าหมายใหม่: ทีมการตลาด

กลุ่มแฮกเกอร์ลาซารัส(Lazarus)ซึ่งเชื่อมโยงกับเกาหลีเหนือ กลับมาอีกครั้งด้วยกลยุทธ์โจมตีรูปแบบใหม่ โดยมุ่งเป้าผู้สมัครงานในบริษัทคริปโตแบบการเงินรวมศูนย์(CeFi) ตามข้อมูลจากบริษัทความมั่นคงปลอดภัยไซเบอร์ เซโคอิอา(Sekoia) รายงานว่า ลาซารัสกำลังใช้วิธีใหม่ชื่อว่า ‘ClickFix’ ซึ่งเป็นการพัฒนาต่อยอดจากแคมเปญ ‘สัมภาษณ์ติดไวรัส’ ที่เน้นเป้าหมายเป็นบุคลากรด้านเทคนิคในอดีต

แผนการโจมตีครั้งนี้มีความ ‘ซับซ้อน’ มากขึ้น โดยเปลี่ยนกลุ่มเหยื่อจากนักพัฒนาและวิศวกร มาเป็นบุคลากรด้านการตลาดและพัฒนาธุรกิจ ลาซารัสได้สร้างเว็บไซต์รับสมัครงานปลอมโดยแอบอ้างชื่อบริษัทคริปโตชั้นนำ เช่น คอยน์เบส, คราเคน, คูคอยน์ และเทเธอร์ หน้าเว็บถูกออกแบบให้ดูน่าเชื่อถือ คล้ายกับเว็บสมัครงานจริงๆ พร้อมขอให้ส่งวิดีโอแนะนำตัว เพื่อเสริมความน่าเชื่อถือ

อย่างไรก็ตาม เมื่อเหยื่อพยายามอัดวิดีโอ แฮกเกอร์จะปลอมหน้าต่างแจ้งเตือนว่ากล้องมีปัญหา และหลอกให้เหยื่อคัดลอกคำสั่งไปวางใน PowerShell ซึ่งในความเป็นจริงเป็น ‘กับดัก’ สำหรับดาวน์โหลดมัลแวร์ เซโคอิอายังระบุว่ามีการปลอมแปลงอีเมลสัมภาษณ์งานจำนวนกว่า 184 ฉบับ โดยลวงว่าเป็นอีเมลจากบริษัทกว่า 14 แห่ง

วิธีการใหม่นี้ ถือเป็นการอัปเกรดจากกลยุทธ์เดิม เพราะแม้เป้าหมายจะไม่ใช่คนที่มีสิทธิ์เข้าถึงระบบโดยตรง เช่นนักพัฒนา แต่การโน้มน้าวให้เหยื่อมีส่วนร่วมด้วยความสมัครใจ ทำให้เหล่าแฮกเกอร์สามารถเข้าถึงข้อมูลภายในองค์กร อย่างไฟล์พนักงานหรือข้อมูลด้านการตลาดที่ ‘อ่อนไหวไม่แพ้กัน’

ก่อนหน้านี้ สำนักงานสอบสวนกลางสหรัฐฯ (FBI) เคยสืบสวนพบว่า กลุ่มลาซารัสอยู่เบื้องหลังการแฮกเว็บไซต์ซื้อขายคริปโตไบบิท(Bybit) ซึ่งมีมูลค่าความเสียหายกว่า 1.5 พันล้านดอลลาร์ หรือประมาณ 2.19 ล้านล้านวอน โดยใช้มัลแวร์ชื่อ TraderTraitor ที่ถูกปลอมให้ดูเหมือนซอฟต์แวร์ซื้อขายจริง ซึ่งรันบน JavaScript และ Node.js และเน้นขโมยกุญแจส่วนตัวจากผู้ใช้งาน

ทั้งนี้ เซโคอิอายังพบว่าแคมเปญ ‘สัมภาษณ์ติดไวรัส’ ยังคงดำเนินอยู่พร้อมกัน โดยลาซารัสได้ทดลองใช้เทคนิคหลากหลายเพื่อวัดผลและเพิ่มประสิทธิภาพการโจมตี มีจุดร่วมคือการทำให้เหยื่อติดกับดักมัลแวร์อย่างสมัครใจ ซึ่งถือเป็น ‘กลยุทธ์การสร้างความเชื่อมั่น’ ที่แฝงความอันตราย

ในช่วงที่การโจมตีในอุตสาหกรรมคริปโตเพิ่มขึ้นต่อเนื่อง ผู้เชี่ยวชาญด้านความปลอดภัยเตือนว่า ไม่เพียงแค่ ‘องค์กร’ เท่านั้นที่ควรระวัง แต่ผู้สมัครงานทั่วไปก็ต้องตรวจสอบข้อเสนอการสัมภาษณ์งานให้รอบคอบ โดยเฉพาะเมื่อพบพฤติกรรมที่ผิดปกติหรือมีการร้องขอให้ติดตั้งซอฟต์แวร์บางอย่าง