Phân tích chiến dịch tấn công Linux sử dụng script AI để đánh cắp mật khẩu sudo

• Cơ chế tấn công: Tin tặc sử dụng script AI để chèn alias độc hại vào file .bashrc, đánh lừa người dùng nhập mật khẩu sudo vào file log giả mạo.
• Phạm vi ảnh hưởng: Nhắm vào các tổ chức chính phủ và hạ tầng trọng yếu từ tháng 10/2025 đến tháng 4/2026.
• Công cụ mã độc: Sử dụng SysGoRAT (Go-based Trojan), web shells và các kỹ thuật né tránh phòng thủ tinh vi.
• Khuyến nghị: Kiểm tra định kỳ các thay đổi bất thường trong file cấu hình shell, PHP và giám sát lưu lượng mạng outbound.

Một chiến dịch tấn công mạng tinh vi nhắm vào các tổ chức chính phủ và hạ tầng liên kết nhà nước vừa được các nhà nghiên cứu bảo mật công bố. Chiến dịch này sử dụng các script hỗ trợ bởi trí tuệ nhân tạo (AI) để đánh cắp thông tin xác thực, duy trì quyền truy cập vào máy chủ Linux và tìm kiếm dữ liệu nhạy cảm. Điểm đáng chú ý là thay vì khai thác trực tiếp lỗ hổng trong lệnh sudo, kẻ tấn công đã thay đổi các file khởi động shell của người dùng để chặn lệnh này.

Kẻ tấn công đã thay thế file .bashrc của người dùng bằng một bản sao đã sửa đổi, chứa một alias cho lệnh sudo. Khi người dùng thực thi lệnh, alias này sẽ hiển thị một lời nhắc mật khẩu giả mạo, ghi lại mật khẩu vào một file log do kẻ tấn công kiểm soát, sau đó chuyển tiếp mật khẩu đó đến lệnh sudo thực sự. Điều này khiến người dùng tin rằng yêu cầu của họ đã được thực hiện bình thường trong khi thông tin xác thực đã bị đánh cắp.

Phân tích kỹ thuật về chiến dịch CL-UNK-1211

Nhóm nghiên cứu đã theo dõi các hoạt động này dưới định danh CL-UNK-1211. Các script thu thập được chứa nhiều comment hội thoại và ghi chú suy luận từng bước, vốn là đặc điểm nhận dạng của mã nguồn được tạo ra bởi AI hoặc các tác nhân AI tự động. Mặc dù không có bằng chứng cho thấy AI tự lập kế hoạch toàn bộ chiến dịch, nhưng rõ ràng nó đã hỗ trợ đắc lực trong việc tạo và tùy chỉnh bộ công cụ tấn công.

Ngoài việc đánh cắp thông tin qua shell, kẻ tấn công còn chèn mã độc vào các trang đăng nhập PHP để thu thập tên người dùng và mật khẩu quản trị viên. Chúng cũng tìm kiếm trong các file cấu hình và lịch sử lệnh để lấy thông tin email, SMTP và cơ sở dữ liệu. Để duy trì sự hiện diện, chúng triển khai SysGoRAT, một Trojan truy cập từ xa dựa trên ngôn ngữ Go, có khả năng chạy trên cả Linux và Windows.

Để che giấu sự hiện diện, các đối tượng tấn công đã cố gắng dừng các tiến trình bảo mật endpoint, xóa log và lịch sử shell, đồng thời thay đổi dấu thời gian của file. Chúng cũng sử dụng các marker giả mạo như RedTeamOps2025 và pentest123 nhằm đánh lừa các đội ngũ bảo mật rằng đây là một cuộc kiểm thử xâm nhập được ủy quyền.

Bảng tổng hợp các chỉ số IOCs và thực thể liên quan

⚠️ Cảnh báo quan trọng: Việc vá lỗi phần mềm đơn thuần là không đủ để loại bỏ sự can thiệp này vì kẻ tấn công đã thay đổi cấu hình shell cục bộ. Các quản trị viên cần thực hiện rà soát thủ công các file .bashrc, .profile và các cấu hình PHP trên máy chủ. Mọi thay đổi không xác định trong các file này cần được coi là dấu hiệu xâm nhập. Để biết thêm chi tiết về các lỗ hổng liên quan, hãy tham khảo cơ sở dữ liệu của NVD hoặc các báo cáo từ CISA.

Để phòng thủ hiệu quả, các tổ chức cần tăng cường giám sát lưu lượng mạng outbound, đặc biệt là các kết nối đến các IP lạ qua cổng 443. Việc triển khai các giải pháp EDR/XDR có khả năng phát hiện hành vi bất thường của tiến trình shell và các thay đổi file hệ thống là vô cùng cần thiết. Hãy đảm bảo rằng các quy tắc phát hiện được cập nhật dựa trên các chỉ số IOCs đã được cung cấp trong báo cáo này.