Điểm tin an ninh mạng: Rò rỉ mã nguồn worm, tấn công AI Agent và hàng loạt mối đe dọa mới

Tuần qua, cộng đồng an ninh mạng ghi nhận nhiều diễn biến phức tạp. Không chỉ dừng lại ở các loại malware thông thường, giới tội phạm mạng đang chuyển dịch sang các mô hình tấn công tinh vi hơn: từ bộ công cụ tấn công chuỗi cung ứng (supply chain attack) bị rò rỉ trên kho lưu trữ công khai, cho đến các loại RAT (Remote Access Trojan) giá 5.000 USD/tháng có khả năng sao chép profile trình duyệt. Đáng chú ý, các tác nhân đe dọa hiện nay đã bắt đầu tận dụng các thiết lập hệ điều hành có sẵn để làm suy yếu endpoint mà không cần dùng đến các exploit phức tạp.

Các mối đe dọa nổi bật

• Rò rỉ bộ công cụ Miasma: Mã nguồn của framework tấn công Miasma đã bị rò rỉ trên GitHub. Đây là một bộ công cụ tấn công chuỗi cung ứng toàn diện, cho phép kẻ tấn công thực thi mã từ xa, di chuyển ngang (lateral movement) qua SSH và đầu độc cấu hình các công cụ lập trình AI.
• Sự bùng nổ của Infostealer: Hơn 3,3 tỷ bản ghi thông tin định danh (credentials, session cookies, cloud tokens) đang lưu hành trên các chợ đen. Các dòng mã độc như Lumma, Vidar và StealC đang là những cái tên phổ biến nhất, với Việt Nam nằm trong nhóm 6 quốc gia chịu ảnh hưởng nặng nề nhất.
• Tấn công AI Agent: Các nghiên cứu mới cảnh báo rằng AI Agent có thể bị thao túng để làm rò rỉ thông tin xác thực thực tế, mở ra một mặt trận tấn công mới cho tội phạm mạng.
• MaaS RAT (SilabRAT): Một loại RAT mới mang tên SilabRAT đang được rao bán theo mô hình Malware-as-a-Service với giá 5.000 USD/tháng. Công cụ này tập trung vào việc đánh cắp thông tin tài chính và sử dụng kỹ thuật Browser Profile Cloning để vượt qua các biện pháp bảo mật.
• Kỹ thuật ‘Download Pumping’: Kẻ tấn công đang sử dụng chiêu trò bơm dữ liệu giả để tăng lượt tải xuống cho các gói npm độc hại, nhằm tạo sự tin tưởng giả tạo đối với các nhà phát triển.
• Lỗ hổng Ghost-Sender trên Exchange: Một cấu hình sai trong Microsoft Exchange cho phép kẻ tấn công giả mạo email từ bất kỳ người gửi nào, ngay cả khi các chính sách SPF, DKIM và DMARC đã được thiết lập.

Hoạt động của các nhóm APT

Báo cáo từ CrowdStrike chỉ ra rằng nhóm Famous Chollima (Triều Tiên) chiếm tới 47% các cuộc tấn công thủ công (hands-on-keyboard) vào ngành công nghệ trong giai đoạn từ tháng 4/2025 đến tháng 3/2026. Nhóm này thường xuyên thâm nhập vào các công ty công nghệ thông qua việc ứng tuyển nhân sự IT giả mạo.

Trong khi đó, các chiến dịch lừa đảo nhắm vào nhân sự quân đội và chính phủ Nga cũng đang gia tăng, sử dụng các ứng dụng giả mạo để phát tán spyware như SafeLoveStealer và SiribGrabber, đồng thời chiếm quyền điều khiển tài khoản Telegram của nạn nhân.

Khuyến nghị cho doanh nghiệp

Trước tình hình các công cụ tấn công ngày càng dễ tiếp cận và tinh vi, các tổ chức cần đặc biệt chú trọng vào việc kiểm soát chuỗi cung ứng phần mềm, giám sát chặt chẽ các hành vi bất thường trên endpoint và nâng cao nhận thức cho nhân viên về các hình thức lừa đảo qua nền tảng tuyển dụng và mạng xã hội.

Nguồn tham khảo: The Hacker News