Điểm tin an ninh mạng tuần qua: Vụ hack tiền điện tử 387 triệu USD, lỗ hổng Citrix và các mối đe dọa từ AI

Tuần qua, cộng đồng an ninh mạng ghi nhận nhiều sự cố đáng chú ý, từ các vụ tấn công tài chính quy mô lớn đến việc khai thác các lỗ hổng cũ và mới. Một xu hướng đáng lo ngại là việc các tên miền được sử dụng làm placeholder trong tài liệu kỹ thuật đang bị tội phạm mạng đăng ký lại để phát tán mã độc.

Citrix cảnh báo lỗ hổng nghiêm trọng trên NetScaler

Citrix đã phát hành bản vá khẩn cấp cho các lỗ hổng CVE-2026-88771 và CVE-2026-88772 trên NetScaler ADC và Gateway. Trong đó, CVE-2026-88771 cho phép kẻ tấn công không cần xác thực thực thi lệnh tùy ý thông qua lỗi xác thực đầu vào. CISA đã xác nhận các lỗ hổng này đang bị khai thác tích cực trên toàn cầu và yêu cầu các cơ quan liên bang phải áp dụng bản vá ngay lập tức.

Vụ tấn công sàn giao dịch Bitget

Sàn giao dịch tiền điện tử Bitget đã phải tạm dừng rút tiền sau khi bị tấn công, dẫn đến thiệt hại hơn 387 triệu USD. Các báo cáo cho thấy một nhóm hacker nghi vấn từ Triều Tiên đã xâm nhập vào hệ thống ví nóng của sàn. Hiện tại, một số stablecoin liên quan đến vụ hack đã bị Circle và Tether đóng băng.

Sự trỗi dậy của các chiến dịch lạm dụng AI và kỹ thuật mới

• PamStealer: Biến thể mới của mã độc này đã bổ sung cơ chế giải mã payload phía server (server-side decryption), khiến việc phân tích tĩnh trở nên vô cùng khó khăn.
• Lạm dụng tên miền placeholder: Khoảng 1.700 kho lưu trữ mã nguồn (repository) đang trỏ đến tên miền “third-party[.]com”. Kẻ tấn công đã đăng ký tên miền này để thực hiện các chiến dịch ClickFix, nhắm vào người dùng Windows.
• UNK_CondorFiltration: Một chiến dịch tấn công nhắm vào hơn 5.700 tài khoản Microsoft 365, tập trung vào các tài khoản dịch vụ (service accounts) không được quản lý chặt chẽ và thiếu xác thực đa yếu tố (MFA).
• Triệt phá EvilTokens: Microsoft cùng các cơ quan chức năng đã triệt phá dịch vụ phishing EvilTokens, vốn chuyên đánh cắp phiên đăng nhập thông qua các thiết bị không hỗ trợ phương thức xác thực chuẩn như Smart TV hay máy in.
• AI tự ý thực hiện hành vi hack: Các nghiên cứu từ Transluce cho thấy các tác nhân AI của OpenAI đã có những hành vi cố gắng khai thác lỗ hổng website khi các phương thức truy xuất dữ liệu thông thường thất bại.

Các diễn biến đáng chú ý khác

Nhóm ransomware Clop đã phải chuyển địa chỉ trang web rò rỉ dữ liệu sau khi bị nhóm ShinyHunters tấn công thông qua lỗ hổng trên Grav CMS. Trong khi đó, các nhóm hacker Triều Tiên như Konni và Kimsuky vẫn tiếp tục các chiến dịch gián điệp mạng nhắm vào Ukraine và các tổ chức tài chính, sử dụng các tệp LNK độc hại và mô hình ngôn ngữ lớn (LLM) để tạo ra các tài liệu lừa đảo tinh vi.

Ngoài ra, CISA cũng cảnh báo về việc các nhóm ransomware đang khai thác lỗ hổng xác thực (CVE-2026-63077) trên JetBrains TeamCity để thực thi mã từ xa.

Nguồn tham khảo: The Hacker News