Cơ quan an ninh: Nhóm hacker nghi ngờ của Triều Tiên phối hợp tấn công các doanh nghiệp tiền mã hóa để trộm cắp khóa và tài sản đám mây

Thông tin từ Mars Finance, tổ chức nghiên cứu an ninh Ctrl-Alt-Intel tiết lộ rằng một nhóm hacker nghi liên quan đến Triều Tiên đã tấn công các nền tảng staking, nhà cung cấp phần mềm sàn giao dịch và sàn giao dịch tiền mã hóa. Những kẻ tấn công đã lợi dụng lỗ hổng React2Shell (CVE-2025-55182) và các chứng chỉ truy cập AWS đã có để xâm nhập vào môi trường đám mây, quét các tài nguyên như S3, EC2, RDS, EKS, ECR, và trích xuất khóa và chứng chỉ từ Secrets Manager, các tệp Terraform, cấu hình Kubernetes và container Docker. Các nhà nghiên cứu cho biết, nhóm tấn công đã tải xuống 5 hình ảnh Docker và đánh cắp mã nguồn, trong đó có các thành phần phần mềm liên quan đến khách hàng của ChainUp. Cơ sở hạ tầng tấn công liên quan đến máy chủ tại Hàn Quốc với địa chỉ 64.176.226[.]36 và tên miền itemnania[.]com. Báo cáo cho biết hoạt động này phù hợp với đặc điểm tấn công liên quan đến Triều Tiên, nhưng độ tin cậy trong việc xác định nguồn gốc vẫn trung bình, và nguồn chứng chỉ AWS chưa rõ ràng.