Cảnh báo: Tin tặc sử dụng tác nhân AI để thực hiện tấn công hậu khai thác sau lỗ hổng Marimo

Một nhóm tin tặc chưa xác định đã bị phát hiện sử dụng các tác nhân (agent) dựa trên mô hình ngôn ngữ lớn (LLM) để thực hiện các hành vi tấn công hậu khai thác (post-exploitation). Hoạt động này diễn ra ngay sau khi kẻ tấn công giành được quyền truy cập ban đầu thông qua lỗ hổng bảo mật trên các nền tảng Marimo công khai.

Chi tiết về chiến dịch tấn công

Theo báo cáo từ Sysdig, kẻ tấn công đã khai thác lỗ hổng CVE-2026-39987 để chiếm quyền kiểm soát các notebook Marimo có thể truy cập từ internet. Sau khi xâm nhập, chúng thực hiện chuỗi hành động tinh vi:

Trích xuất thông tin xác thực đám mây từ máy chủ bị chiếm quyền.
Sử dụng các thông tin này để truy vấn AWS Secrets Manager nhằm lấy khóa cá nhân SSH.
Sử dụng khóa SSH để thực hiện các phiên kết nối vào máy chủ bastion, từ đó đánh cắp toàn bộ cơ sở dữ liệu PostgreSQL nội bộ chỉ trong chưa đầy hai phút.

CVE-2026-39987 là lỗ hổng thực thi mã từ xa (RCE) nghiêm trọng, ảnh hưởng đến tất cả các phiên bản Marimo từ 0.20.4 trở về trước. Lỗ hổng này cho phép kẻ tấn công không cần xác thực vẫn có thể thực thi các lệnh hệ thống tùy ý. Vấn đề đã được khắc phục trong phiên bản 0.23.0.

Dấu hiệu nhận biết sự can thiệp của AI

Sysdig đã xác định bốn chỉ dấu cho thấy một tác nhân AI đang trực tiếp điều khiển cuộc tấn công thay vì các kịch bản (script) truyền thống:

Khả năng ứng biến: Kẻ tấn công có thể trích xuất dữ liệu từ cơ sở dữ liệu mà không cần biết trước cấu trúc (schema) của nó.
Dấu vết ngôn ngữ: Một bình luận lập kế hoạch bằng tiếng Trung với nội dung “看还能做什么” (tạm dịch: “Xem chúng ta có thể làm gì tiếp theo”) đã vô tình xuất hiện trong luồng lệnh.
Tối ưu hóa máy móc: Các lệnh được định dạng tối ưu cho máy tính, sử dụng dấu phân cách “—” và lược bỏ các luồng lỗi (stderr) để giảm thiểu nhiễu.
Tự động hóa chuỗi lệnh: Tác nhân AI tự động lấy đầu ra của lệnh trước (ví dụ: đọc file ~/.pgpass) để làm đầu vào cho hành động tiếp theo một cách logic.

Lời khuyên bảo mật

Sự xuất hiện của các tác nhân AI trong tấn công mạng cho thấy khả năng thích ứng cực kỳ cao của kẻ tấn công. Thay vì bị giới hạn bởi các kịch bản cứng nhắc, AI có thể tự đọc các phản hồi từ hệ thống và đưa ra quyết định tiếp theo ngay lập tức. Để phòng ngừa, người dùng cần:

Cập nhật Marimo lên phiên bản mới nhất ngay lập tức.
Rà soát các instance Marimo đang mở công khai trên internet.
Thực hiện xoay vòng (rotate) toàn bộ thông tin xác thực, API keys và SSH keys đã bị lộ hoặc có nguy cơ bị xâm nhập.

Nguồn tham khảo: The Hacker News