Hacker Triều Tiên xâm nhập Axios, đe dọa hàng nghìn công ty Mỹ

Các hacker được cho là của Triều Tiên đã xâm nhập tài khoản nhà phát triển phần mềm, phát tải bản cập nhật độc hại cho gói mã nguồn mở Axios, ảnh hưởng đến hàng nghìn công ty Mỹ trong một vụ tấn công chuỗi cung ứng nghiêm trọng.

Diễn biến vụ tấn công

Vào sáng thứ Ba, hacker có liên quan đến Triều Tiên đã chiếm quyền tài khoản của một nhà phát triển quản lý phần mềm Axios. Trong vòng 3 giờ, chúng phát tải các bản cập nhật độc hại đến mọi tổ chức tải phần mềm trong khoảng thời gian đó. Nhà phát triển đã nỗ lực giành lại quyền kiểm soát tài khoản, trong khi các công ty an ninh mạng trên toàn nước Mỹ khẩn trương đánh giá thiệt hại.

Mục tiêu và phạm vi ảnh hưởng

Axios là công cụ phổ biến giúp đơn giản hóa việc xây dựng và quản lý website, được hàng nghìn công ty Mỹ thuộc nhiều lĩnh vực sử dụng, từ y tế đến tài chính. Một số công ty tiền điện tử và doanh nghiệp công nghệ trong ngành crypto cũng dùng phần mềm này. Chuyên gia cho rằng mục đích chính là đánh cắp tiền điện tử, nhằm tài trợ cho chương trình hạt nhân của Triều Tiên – một chiến lược lâu năm của Bình Nhưỡng để bù đắp nguồn thu bị cấm vận.

Phản ứng từ giới chuyên môn

Mandiant, công ty an ninh mạng thuộc Google, xác nhận nhóm hacker Triều Tiên đứng sau vụ tấn công. Charles Carmakal, CTO của Mandiant, cảnh báo: "Chúng tôi dự đoán hacker sẽ tận dụng thông tin đăng nhập và quyền truy cập hệ thống để nhắm mục tiêu và đánh cắp tiền điện tử từ doanh nghiệp. Có thể mất nhiều tháng để đánh giá tác động lan truyền của chiến dịch này."

John Hammond, nhà nghiên cứu an ninh tại Huntress, cho biết công ty đã phát hiện khoảng 135 thiết bị bị xâm phạm thuộc 12 công ty. Tuy nhiên, đây chỉ là một phần nhỏ trong số nạn nhân dự kiến tăng lên khi các tổ chức khác phát hiện bị tấn công.

Bối cảnh lịch sử và xu hướng

Đây là vụ tấn công chuỗi cung ứng mới nhất được quy kết cho Triều Tiên. Năm 2020, hacker Triều Tiên cũng đã xâm nhập vào một nhà cung cấp phần mềm phổ biến phục vụ ngành y tế và khách sạn. Theo báo cáo của Liên Hợp Quốc và các công ty tư nhân, hacker Triều Tiên đã đánh cắp hàng tỷ USD từ ngân hàng và công ty tiền điện tử trong vài năm qua. Một quan chức Nhà Trắng năm 2023 ước tính khoảng một nửa chương trình tên lửa của Triều Tiên được tài trợ từ các vụ heist số.

Năm ngoái, hacker Triều Tiên thực hiện vụ đánh cắp tiền điện tử lớn nhất từng được ghi nhận, chiếm 1,5 tỷ USD trong một cuộc tấn công. Ben Read, Giám đốc tình báo mối đe dọa chiến lược tại Wiz (cũng thuộc Google), nhận định: "Triều Tiên không quan tâm đến danh tiếng hay việc bị phát hiện, nên dù các cuộc tấn công này ồn ào và nổi tiếng, đó là cái giá họ sẵn sàng trả."

Hammond mô tả vụ hack là "được tính toán kỹ", phù hợp với xu hướng các tổ chức áp dụng AI agents để phát triển phần mềm mà không có cơ chế kiểm duyệt. Ông cảnh báo: "Điểm yếu lớn nhất của chuỗi cung ứng phần mềm hiện nay là 'cửa mở', khi quá nhiều người không kiểm tra kỹ các thành phần được tích hợp."