Cảnh báo: Chatbot AI đang bị lợi dụng để phát tán mã độc đào tiền ảo

Microsoft vừa phát đi cảnh báo về một chiến dịch cryptojacking đang hoạt động, trong đó kẻ tấn công lợi dụng các tương tác với chatbot AI để điều hướng người dùng đến các trang web phát tán mã độc. Theo các chuyên gia từ Microsoft Defender, kỹ thuật phân phối mới này mở rộng phạm vi tấn công social engineering vượt ra ngoài kết quả tìm kiếm truyền thống, đồng thời tăng cường khả năng hiển thị của các khuyến nghị phần mềm độc hại.

Chiến dịch này giả mạo các tiện ích hệ thống hợp pháp như CrystalDiskInfo, HWMonitor, Display Driver Uninstaller, FurMark, K-Lite Codec Pack và PDFgear. Mục tiêu chính là nhắm vào người dùng sở hữu các GPU hiệu suất cao, nhằm tối đa hóa giá trị khai thác tiền ảo thay vì lây nhiễm tràn lan. Tuy nhiên, động cơ của chiến dịch không chỉ dừng lại ở lợi ích tài chính. Các tác nhân đe dọa còn thiết lập quyền truy cập từ xa liên tục (persistent remote access) vào các máy chủ bị xâm nhập thông qua việc triển khai ScreenConnect. Điều này có thể được sử dụng cho các hoạt động tiếp theo như đánh cắp dữ liệu, di chuyển ngang (lateral movement) hoặc triển khai ransomware.

Chuỗi tấn công được thiết kế tỉ mỉ hơn so với các nỗ lực đào tiền ảo thông thường, tập trung chiến lược vào các endpoint có khả năng tối đa hóa lợi nhuận đào GPU trên mỗi thiết bị bị xâm nhập. Microsoft cho biết họ đã phát hiện và chặn các hoạt động liên quan đến chiến dịch này.

Ban đầu, người dùng tìm kiếm các tiện ích hệ thống đáng tin cậy và phần mềm giám sát phần cứng trên các công cụ tìm kiếm, và bị dẫn đến các trang web độc hại đã được tối ưu hóa thông qua các kỹ thuật như SEO poisoning. Tuy nhiên, những phát hiện mới nhất vào tháng 4 năm 2026 cho thấy người dùng đang bị chuyển hướng đến các trang này không phải qua kết quả tìm kiếm truyền thống, mà thông qua tương tác với các công cụ dựa trên mô hình ngôn ngữ lớn (LLM).

Microsoft giải thích: “Trong những trường hợp này, người dùng truy vấn chatbot AI để tìm khuyến nghị tải xuống phần mềm đã được cung cấp các liên kết đến các domain do kẻ tấn công kiểm soát trong các phản hồi được tạo ra.” Hành vi này phù hợp với các kỹ thuật mới nổi trong AI search result poisoning, đại diện cho một sự mở rộng của SEO poisoning truyền thống.

Mỗi trang web độc hại đều có một nút tải xuống nổi bật, khi nhấp vào sẽ tải về một tệp ZIP từ một subdomain cụ thể của gleeze[.]com. Trang này được lưu trữ trên hạ tầng liên quan đến Dynu, một nhà cung cấp DNS động thường được các tác nhân đe dọa sử dụng. Hơn 150 domain độc hại đã được xác định đang phân phối các công cụ này.

Tệp ZIP tải xuống chứa một tệp thực thi hợp pháp cùng với một DLL độc hại (“autorun.dll”). DLL này được sideload khi người dùng khởi chạy tệp thực thi. “autorun.dll” được thiết kế để cài đặt một DLL độc hại thứ hai có tên “vcredist_x64.dll” bằng cách sử dụng “msiexec.exe”. Tệp này là một trình cài đặt đóng gói cho phần mềm ScreenConnect.

Sau khi ScreenConnect được cài đặt, client liên tục cố gắng thiết lập kết nối với một server do kẻ tấn công kiểm soát tại “193.42.11[.]108”. Phiên ScreenConnect sau đó đóng vai trò là kênh để tải xuống và thực thi một tệp có tên “SimpleRunPE.exe”.

Tệp thực thi này chịu trách nhiệm thiết lập persistence trên host bằng cách sử dụng Registry Run keys và scheduled tasks, cấu hình các ngoại lệ (exclusions) cho Microsoft Defender, chạy các kiểm tra chống phân tích (anti-analysis checks) và sử dụng process hollowing để khởi chạy mã đào tiền ảo dưới một binary được ký bởi Microsoft đáng tin cậy.

Trong một số trường hợp, thay vì dựa vào chức năng truyền tệp của ScreenConnect để thả binary, một PowerShell script được sử dụng để lấy binary từ một ổ đĩa từ xa, lưu trữ cục bộ dưới dạng “vlc.exe” để tránh bị phát hiện, tạo một scheduled task để khởi chạy nó, và sau đó tự xóa. Binary bị process hollowing sau đó giao tiếp với server của kẻ tấn công, truyền thông tin host chi tiết, tải xuống kho lưu trữ miner phù hợp trong thời gian chạy và thực thi nó. Ba chương trình miner được malware hỗ trợ là gminer, lolMiner và SRBMiner-MULTI.

Ngoài ra, binary này còn tạo lại các artifact persistence để đảm bảo sự hiện diện liên tục và cấu hình lại các ngoại lệ của Defender trong trường hợp chúng bị xóa. Nó cũng theo dõi các tiến trình đang chạy và ngay lập tức chấm dứt miner nếu phát hiện bất kỳ tiến trình nào sau đây:

* taskmgr.exe (Windows Task Manager)
* processhacker.exe, processhacker2.exe (Process Hacker)
* procexp.exe, procexp64.exe (Process Explorer)
* systeminformer.exe (System Informer)

Microsoft nhận định: “Sự kết hợp giữa phân phối có sự hỗ trợ của AI, giả mạo phần mềm và truy cập liên tục cho thấy cách các tác nhân đe dọa đang điều chỉnh các chiến lược social engineering và kiếm tiền theo hành vi người dùng hiện đại.”

Thông tin này được đưa ra vài ngày sau khi Microsoft chi tiết về việc một tác nhân đe dọa chưa xác định đã xâm nhập một thiết bị tường lửa F5 BIG-IP hướng Internet và lạm dụng các mối quan hệ đáng tin cậy để chuyển sang một host Linux nội bộ. Điều này nhấn mạnh việc tiếp tục khai thác các thiết bị biên hướng Internet làm điểm truy cập ban đầu. Host Linux này đã cho phép kẻ tấn công thực hiện trinh sát toàn diện và di chuyển ngang sang một server Atlassian Confluence dễ bị tổn thương, mặc dù các nỗ lực thực thi mã từ xa thông qua các lỗ hổng bảo mật chưa được vá trong phần mềm đã không thành công.

Để vượt qua các hạn chế này, tác nhân đe dọa được cho là đã thiết lập một FTP server trên host Linux ban đầu bằng cách sử dụng module ftplib của Python để chuyển một công cụ quét tùy chỉnh đến server Confluence, sau đó lấy thông tin đăng nhập để xác thực tiếp theo đối với hạ tầng Windows. Tiếp theo là các cuộc tấn công Kerberos relay và khai thác CVE-2025-33073.

Microsoft cũng cho biết: “Từ đó, tác nhân đe dọa đã xâm nhập một ứng dụng SaaS dễ bị tổn thương và lợi dụng thông tin đăng nhập của nó để thực hiện các cuộc tấn công xác thực kiểu relay chống lại Active Directory.”

Trong một sự cố khác, tác nhân đe dọa đã xác thực vào một server Linux qua SSH bằng một tài khoản đặc quyền. Kẻ tấn công duy trì mức độ truy cập này trong suốt hoạt động được quan sát mà không thiết lập các cơ chế persistence rõ ràng, nhấn mạnh rủi ro do các danh tính có quyền hạn quá mức với quyền sudo gây ra.

Đầu tháng này, Microsoft cũng đã làm sáng tỏ một vụ xâm nhập khác, trong đó kẻ tấn công đã lạm dụng các mối quan hệ vận hành đáng tin cậy và quy trình xác thực để thiết lập quyền truy cập bền vững, lợi dụng một nhà cung cấp dịch vụ CNTT bên thứ ba bị xâm nhập và các công cụ quản lý CNTT hợp pháp để dàn dựng một chiến dịch bí mật tập trung vào truy cập dài hạn và đánh cắp thông tin đăng nhập.

Redmond nhấn mạnh: “Các nhà cung cấp dịch vụ bên thứ ba và các công cụ quản lý tích hợp có thể trở thành những lỗ hổng thực thi khi khả năng hiển thị bị hạn chế hoặc xác thực được giả định. Các tác nhân đe dọa hiểu rõ điều này. Họ lợi dụng các thành phần hợp pháp, các đường dẫn cập nhật đáng tin cậy và các tích hợp được phê duyệt để neo mình vào các môi trường có vẻ tuân thủ trên bề mặt.”

“Các nhà phòng thủ nên áp dụng tư thế xác minh cẩn thận. Hãy tin tưởng các nhà cung cấp và công cụ của bạn, nhưng hãy xác thực hành vi của chúng trong môi trường của bạn. Các tổ chức hoạt động trong các lĩnh vực nhạy cảm nên giả định rằng các tác nhân đe dọa với trình độ này sẽ tiếp tục tinh chỉnh việc lạm dụng bên thứ ba, chặn thông tin đăng nhập và các cơ chế persistence lén lút để duy trì quyền truy cập chiến lược.”

Nguồn tham khảo: The Hacker News