Cảnh báo: Chatbot AI đang bị lợi dụng để phát tán mã độc đào tiền ảo

Microsoft vừa đưa ra cảnh báo về một chiến dịch cryptojacking đang diễn ra, trong đó các tương tác với chatbot trí tuệ nhân tạo (AI) được sử dụng làm cơ chế để hiển thị các trang web tải xuống phần mềm độc hại. Theo nhóm chuyên gia Microsoft Defender Experts và Microsoft Defender Security Research Team, kỹ thuật phân phối mới nổi này mở rộng phạm vi lừa đảo xã hội vượt ra ngoài các kết quả tìm kiếm thông thường và làm tăng khả năng hiển thị của các khuyến nghị phần mềm độc hại.

Chiến dịch này mạo danh các tiện ích hệ thống hợp pháp như CrystalDiskInfo, HWMonitor, Display Driver Uninstaller, FurMark, K-Lite Codec Pack và PDFgear. Mục tiêu chính là nhắm vào người dùng sở hữu các GPU hiệu suất cao, nhằm tối đa hóa giá trị khai thác tiền ảo thay vì lây nhiễm tràn lan. Tuy nhiên, động cơ của chiến dịch không chỉ dừng lại ở lợi ích tài chính. Các tác nhân đe dọa còn thiết lập quyền truy cập từ xa liên tục vào các máy chủ bị xâm nhập thông qua việc triển khai ScreenConnect, có thể được sử dụng cho các hoạt động tiếp theo như đánh cắp dữ liệu, di chuyển ngang (lateral movement) hoặc tấn công ransomware.

Chuỗi tấn công này được thực hiện một cách có chủ đích hơn so với các nỗ lực đào tiền ảo thông thường, tập trung chiến lược vào các endpoint giúp tối đa hóa lợi nhuận khai thác GPU trên mỗi thiết bị bị xâm nhập. Microsoft cho biết họ đã phát hiện và chặn các hoạt động liên quan đến chiến dịch này.

Ban đầu, người dùng tìm kiếm các tiện ích hệ thống và phần mềm giám sát phần cứng đáng tin cậy trên các công cụ tìm kiếm, và bị dẫn đến các trang web độc hại đã được tối ưu hóa thông qua các kỹ thuật như SEO poisoning. Tuy nhiên, các phiên bản mới hơn được quan sát vào tháng 4 năm 2026 cho thấy người dùng đang được chuyển hướng đến các trang web này không phải qua kết quả tìm kiếm, mà thông qua tương tác với các công cụ dựa trên mô hình ngôn ngữ lớn (LLM).

Microsoft giải thích: “Trong những trường hợp này, người dùng khi hỏi các chatbot AI về các khuyến nghị tải xuống phần mềm đã được cung cấp các liên kết đến các domain do kẻ tấn công kiểm soát trong các phản hồi được tạo ra. Mặc dù hành vi này dựa trên các mẫu quan sát và nguồn dữ liệu tương quan, nhưng nó phù hợp với các kỹ thuật mới nổi trong AI search result poisoning, đại diện cho một sự mở rộng của SEO poisoning truyền thống vượt ra ngoài các công cụ tìm kiếm thông thường.”

Mỗi trang web độc hại này đều chứa một nút tải xuống nổi bật, khi nhấp vào sẽ tải về một tệp ZIP từ một subdomain cụ thể của chiến dịch gleeze[.]com, được lưu trữ bởi hạ tầng liên quan đến Dynu – một nhà cung cấp DNS động thường được các tác nhân đe dọa sử dụng. Hơn 150 domain độc hại đã được xác định đang phân phối các công cụ độc hại này.

Tệp ZIP được tải xuống chứa một tệp thực thi hợp pháp cùng với một DLL độc hại (“autorun.dll”) được sideload khi người dùng khởi chạy tệp nhị phân. DLL này được thiết kế để cài đặt một DLL độc hại thứ hai có tên “vcredist_x64.dll” bằng cách sử dụng “msiexec.exe”. Tệp này là một trình cài đặt đóng gói cho phần mềm ScreenConnect.

Sau khi ScreenConnect được cài đặt, client liên tục cố gắng thiết lập kết nối với một server do kẻ tấn công kiểm soát tại “193.42.11[.]108”. Phiên ScreenConnect sau đó đóng vai trò là kênh dẫn cho một tệp thực thi có tên “SimpleRunPE.exe”.

Tệp nhị phân này chịu trách nhiệm thiết lập persistence trên máy chủ bằng cách sử dụng các khóa Registry Run và các tác vụ theo lịch trình, cấu hình các ngoại lệ của Microsoft Defender, chạy các kiểm tra chống phân tích và sử dụng process hollowing để khởi chạy mã đào tiền ảo dưới một tệp nhị phân được Microsoft ký đáng tin cậy.

Trong một số trường hợp, thay vì dựa vào chức năng truyền tệp của ScreenConnect để thả tệp nhị phân, một script PowerShell được sử dụng để lấy tệp nhị phân từ một ổ đĩa từ xa, lưu trữ cục bộ dưới dạng “vlc.exe” để tránh bị phát hiện, tạo một tác vụ theo lịch trình để khởi chạy nó, và sau đó tự xóa. Tệp nhị phân bị hollowed này, sau đó giao tiếp với server của kẻ tấn công, truyền thông tin máy chủ chi tiết, tải xuống kho lưu trữ miner thích hợp trong thời gian chạy và thực thi nó. Ba chương trình miner được malware hỗ trợ là gminer, lolMiner và SRBMiner-MULTI.

Ngoài ra, tệp nhị phân này còn tạo lại các artifact persistence để đảm bảo sự hiện diện liên tục và cấu hình lại các ngoại lệ của Defender trong trường hợp chúng bị xóa. Nó cũng theo dõi các tiến trình đang chạy và ngay lập tức chấm dứt miner nếu phát hiện bất kỳ tiến trình nào sau đây:

* taskmgr.exe (Windows Task Manager)
* processhacker.exe, processhacker2.exe (Process Hacker)
* procexp.exe, procexp64.exe (Process Explorer)
* systeminformer.exe (System Informer)

Microsoft nhận định: “Sự kết hợp giữa phân phối có sự hỗ trợ của AI, mạo danh phần mềm và quyền truy cập liên tục cho thấy cách các tác nhân đe dọa đang điều chỉnh các chiến lược lừa đảo xã hội và kiếm tiền theo hành vi người dùng hiện đại.”

Thông tin này được đưa ra vài ngày sau khi Microsoft chi tiết về cách một tác nhân đe dọa không xác định đã xâm nhập vào một thiết bị tường lửa F5 BIG-IP có kết nối internet và lạm dụng các mối quan hệ đáng tin cậy để chuyển sang một máy chủ Linux nội bộ, làm nổi bật việc tiếp tục khai thác các thiết bị biên có kết nối internet làm điểm truy cập ban đầu. Máy chủ Linux này đã cho phép kẻ tấn công thực hiện trinh sát toàn diện và di chuyển ngang sang một máy chủ Atlassian Confluence dễ bị tổn thương, mặc dù các nỗ lực thực thi mã từ xa thông qua các lỗ hổng bảo mật chưa được vá trong phần mềm đã không thành công.

Để vượt qua những hạn chế này, tác nhân đe dọa được cho là đã thiết lập một máy chủ FTP trên máy chủ Linux ban đầu bằng cách sử dụng module ftplib của Python để chuyển một công cụ quét tùy chỉnh đến máy chủ Confluence và sau đó lấy thông tin đăng nhập để xác thực tiếp theo đối với hạ tầng Windows. Điều này được theo sau bởi các cuộc tấn công Kerberos relay và khai thác CVE-2025-33073.

Microsoft cũng đã làm rõ một vụ xâm nhập khác, trong đó kẻ tấn công đã lạm dụng các mối quan hệ hoạt động đáng tin cậy và các quy trình xác thực để thiết lập quyền truy cập bền vững, lợi dụng một nhà cung cấp dịch vụ CNTT bên thứ ba bị xâm nhập và các công cụ quản lý CNTT hợp pháp để dàn dựng một chiến dịch bí mật tập trung vào quyền truy cập dài hạn và đánh cắp thông tin đăng nhập.

“Các nhà cung cấp dịch vụ bên thứ ba và các công cụ quản lý tích hợp có thể trở thành những lỗ hổng thực thi khi khả năng hiển thị bị hạn chế hoặc xác thực được giả định. Các tác nhân đe dọa hiểu điều này,” Microsoft cho biết. “Họ lợi dụng các thành phần hợp pháp, các đường dẫn cập nhật đáng tin cậy và các tích hợp được phê duyệt để neo mình vào các môi trường có vẻ tuân thủ trên bề mặt.”

“Các nhà phòng thủ nên áp dụng một tư thế xác minh có chủ đích. Hãy tin tưởng các nhà cung cấp và công cụ của bạn, nhưng hãy xác thực hành vi của chúng trong môi trường của bạn. Các tổ chức hoạt động trong các lĩnh vực nhạy cảm nên giả định rằng các tác nhân đe dọa với trình độ này sẽ tiếp tục tinh chỉnh việc lạm dụng bên thứ ba, chặn thông tin đăng nhập và các cơ chế persistence lén lút để duy trì quyền truy cập chiến lược.”

Nguồn tham khảo: The Hacker News