Unit 42 vừa công bố phân tích về CL-UNK-1211, một cụm hoạt động gián điệp nhắm vào cơ quan chính phủ và hạ tầng liên kết nhà nước. Hoạt động được quan sát từ tháng 10/2025 đến tháng 4/2026, tập trung vào máy chủ Linux, cơ sở dữ liệu và hệ thống thư điện tử.
AI xuất hiện ở đâu trong chuỗi tấn công?
Các nhà nghiên cứu phát hiện nhiều tập lệnh PHP và shell chứa chú thích hội thoại, phần giải thích từng bước và cấu trúc giống đầu ra của mô hình ngôn ngữ lớn. Dấu vết này cho thấy mã có thể được tạo bằng LLM hoặc được thực thi bởi một tác nhân tự động, nhưng chưa đủ để khẳng định toàn bộ chiến dịch do AI tự vận hành.
AI giúp kẻ tấn công chuyển nhanh giữa PHP, JavaScript, Bash và Python, tạo payload, mã hóa lệnh bằng Base64 và định dạng kết quả để xử lý thuận tiện hơn. Điểm đáng chú ý không phải một kỹ thuật hoàn toàn mới, mà là tốc độ ghép nối nhiều kỹ thuật quen thuộc thành quy trình nhất quán.
Con đường xâm nhập và duy trì quyền truy cập
CL-UNK-1211 triển khai nhiều web shell tùy biến lẫn công cụ mã nguồn mở trên máy chủ Linux. Để duy trì hiện diện, kẻ tấn công sửa giá trị auto_prepend_file trong cấu hình PHP và đặt tệp độc hại dưới tên có vẻ hợp lệ, khiến mã được nạp trước các tập lệnh PHP khác.
Chiến dịch còn sử dụng reverse shell chạy chủ yếu trong bộ nhớ thông qua Netcat, chuyển hướng TCP của Bash và tiến trình con Python. Cách tận dụng tiện ích có sẵn giúp giảm lượng tệp phải ghi xuống đĩa và làm hoạt động khó tách khỏi quản trị hệ thống thông thường.
SysGoRAT tạo đường hầm điều khiển đa nền tảng
Unit 42 đặt tên SysGoRAT cho backdoor viết bằng Go được quan sát trên cả Linux và Windows. Mã độc kết nối máy chủ điều khiển qua WebSocket, hỗ trợ thực thi lệnh, liệt kê thư mục, tạo shell tương tác và chuyển tiếp lưu lượng TCP.
Các bản sao được đổi tên thành những tệp như sys-control-client, pip2.7 hoặc semanage để hòa lẫn với phần mềm hợp lệ. Khả năng proxy còn biến máy đã nhiễm thành điểm trung chuyển để tiếp cận sâu hơn vào mạng nội bộ.
Đánh cắp thông tin xác thực bằng công cụ quen thuộc
Kẻ tấn công thay đổi tệp .bashrc để dựng bí danh giả cho lệnh sudo. Khi quản trị viên nhập mật khẩu vào lời nhắc trông bình thường, thông tin bị ghi vào tệp của kẻ tấn công trước khi được chuyển tiếp tới lệnh sudo thật.
Một kỹ thuật khác là chèn trình ghi thông tin đăng nhập vào trang PHP, đồng thời tìm mật khẩu email, SMTP và cơ sở dữ liệu trong tệp cấu hình cùng lịch sử lệnh. Các dấu hiệu này nhấn mạnh rằng bí mật dạng văn bản rõ vẫn là mục tiêu có giá trị cao sau khi máy chủ bị chiếm quyền.
Hộp thư chính phủ trở thành mục tiêu chiến lược
Nhóm tấn công duyệt cấu trúc Maildir trên máy chủ thư, tìm email liên quan đến tài khoản mạng xã hội rồi chuẩn bị nén toàn bộ hộp thư để đưa ra ngoài. Mục tiêu không chỉ là nội dung trao đổi: email chính phủ còn có thể hỗ trợ đặt lại mật khẩu hoặc tiếp quản các tài khoản truyền thông chính thức.
Hoạt động đổ dữ liệu cơ sở dữ liệu, thu thập hộp thư và duy trì truy cập lâu dài phù hợp với mục tiêu tình báo. Tuy nhiên, Unit 42 hiện chỉ gán cụm hoạt động là “UNK”, nghĩa là chưa xác định chắc chắn liên hệ với một quốc gia hay nhóm tội phạm cụ thể.
Né tránh phòng thủ và làm sai lệch điều tra
Kẻ tấn công tìm cách vô hiệu hóa bảo vệ đầu cuối, xóa nhật ký và cài các dấu hiệu giả giống hoạt động kiểm thử xâm nhập. Việc đặt tên tệp nhật ký giống sản phẩm hợp lệ hoặc để lại chỉ dấu “red team” có thể khiến đội vận hành đánh giá sai nguồn gốc hành vi.
Do đó, một chú thích nói rằng đây là kiểm thử không nên được xem là bằng chứng hợp lệ. Đội ứng cứu cần đối chiếu ủy quyền, khung thời gian, tài khoản thực thi và nhật ký từ nhiều nguồn độc lập.
Tổ chức nên săn tìm những dấu hiệu nào?
- Thay đổi bất thường trong
.bashrc, cấu hình PHP và giá trịauto_prepend_file. - Tiến trình web hoặc PHP sinh Bash, Netcat, Python hay kết nối WebSocket ra Internet.
- Tệp thực thi Go mang tên giống tiện ích hệ thống, cùng các web shell xuất hiện ở nhiều thư mục.
- Hoạt động duyệt hàng loạt Maildir, nén hộp thư, đổ cơ sở dữ liệu hoặc tìm kiếm bí mật trong lịch sử lệnh.
- Nỗ lực xóa nhật ký, dừng agent bảo mật hoặc tạo dấu vết giả mạo công cụ red team.
Bài học về AI trong hoạt động tấn công
CL-UNK-1211 cho thấy AI có thể hạ thấp chi phí tạo và điều chỉnh mã, nhưng chuỗi xâm nhập vẫn dựa nhiều vào web shell, đánh cắp thông tin xác thực, công cụ hệ thống và kênh điều khiển quen thuộc. Phòng thủ hiệu quả vì vậy vẫn bắt đầu từ vá lỗi, quản lý bí mật, phân đoạn mạng, kiểm soát kết nối ra ngoài và giám sát hành vi tiến trình.
Tổ chức cũng nên coi chú thích và cấu trúc mã mang dấu hiệu LLM là dữ liệu điều tra, không phải căn cứ duy nhất để quy kết. Giá trị lớn nhất đến từ việc kết hợp chúng với telemetry đầu cuối, mạng, danh tính và thư điện tử để tái dựng toàn bộ chuỗi hành động.
VNCyberS tổng hợp từ Unit 42
Tiếng Việt
English