Tin tặc Ransomware Aur0ra lạm dụng AI Agents để chiếm quyền điều khiển Domain Admin
Nhóm tin tặc GOLD OGRE đang sử dụng các công cụ AI như Cursor để tự động hóa quy trình tấn công, từ leo thang đặc quyền đến chiếm quyền Domain Admin và đánh cắp dữ liệu.
- Tự động hóa tấn công: Nhóm tin tặc GOLD OGRE sử dụng các AI coding agents như Cursor để thực hiện các giai đoạn xâm nhập mạng phức tạp với sự can thiệp tối thiểu của con người.
- Leo thang đặc quyền: Các tác nhân đe dọa đã thành công trong việc leo thang từ quyền truy cập thông thường lên Domain Admin thông qua các kỹ thuật khai thác Active Directory.
- Né tránh phòng thủ: Kẻ tấn công lạm dụng các mô hình AI để kiểm thử khả năng né tránh EDR và tự động hóa việc thực thi các lệnh khai thác như Kerberoasting và NTLM relay.
- Khuyến nghị bảo mật: Cần triển khai xác thực đa yếu tố chống phishing, phân đoạn mạng nghiêm ngặt và giám sát chặt chẽ các quyền quản trị hệ thống.
Các chuyên gia an ninh mạng vừa phát hiện một xu hướng nguy hiểm trong các chiến dịch tấn công ransomware gần đây, khi nhóm tin tặc được định danh là GOLD OGRE đã tích hợp các công cụ lập trình AI (AI coding tools) vào quy trình xâm nhập mạng. Cụ thể, nhóm này sử dụng Cursor AI agents để thực hiện các tác vụ kỹ thuật phức tạp, từ việc leo thang đặc quyền đến chiếm quyền điều khiển Domain Admin – cấp độ kiểm soát cao nhất trong môi trường Windows Active Directory.
Cơ chế tấn công dựa trên AI của nhóm GOLD OGRE
Theo phân tích từ các nhà nghiên cứu, nhóm GOLD OGRE không chỉ sử dụng AI để viết mã độc mà còn dùng nó để lập kế hoạch tấn công và kiểm thử khả năng né tránh các giải pháp EDR (Endpoint Detection and Response). Bằng cách mô tả các hoạt động độc hại dưới danh nghĩa 'kiểm thử chẩn đoán' hoặc 'red team job', kẻ tấn công đã vượt qua các rào cản an toàn của các mô hình AI như Claude, xAI và Moonshot.
Quy trình tấn công được thực hiện một cách bài bản thông qua các AI agents:
- Trinh sát và lập bản đồ mạng: Sử dụng AI để quét các subnet, xác định các đường dẫn yếu đến các tài khoản có đặc quyền cao.
- Khai thác kỹ thuật: Tự động thực thi các kỹ thuật như Password Spraying, Kerberoasting, NTLM coercion và NTLM relay.
- Di chuyển ngang (Lateral Movement): Sử dụng các công cụ như SharpShares và NetExec để di chuyển giữa các máy trạm và máy chủ trong mạng nội bộ.
- Đánh cắp dữ liệu: Tìm kiếm và tập hợp các tài liệu người dùng, bản sao lưu (backup) và dữ liệu trên cloud trước khi thực hiện mã hóa ransomware.
Kỹ thuật né tránh và thực thi mã độc
Các nhà nghiên cứu đã phát hiện ra rằng hạ tầng của nhóm này được sử dụng để lưu trữ Cobalt Strike và các phiên bản ransomware nhắm vào cả Windows và Linux (ESXi). Việc sử dụng Cursor cho phép kẻ tấn công tự động hóa việc sửa lỗi các câu lệnh CLI, giúp quá trình xâm nhập diễn ra nhanh chóng và hiệu quả hơn. Các dấu vết từ nhật ký (logs) cho thấy sự hiện diện của các phím tắt bàn phím Cyrillic, gợi ý rằng các toán tử đứng sau chiến dịch này có khả năng sử dụng tiếng Nga.
⚠️ Cảnh báo quan trọng: Việc lạm dụng AI agents để tự động hóa các cuộc tấn công mạng đang làm giảm đáng kể rào cản kỹ năng cho các nhóm tội phạm mạng, khiến các cuộc tấn công trở nên khó dự đoán và phản ứng nhanh hơn bao giờ hết.
Bảng chỉ số IOCs liên quan đến chiến dịch Aur0ra
| Loại thực thể | Giá trị / Chỉ số | Mô tả tác động |
|---|---|---|
| IP Address | 152[.]236[.]4[.]14 | Máy chủ exfiltration dữ liệu |
| IP Address | 152[.]236[.]3[.]8 | Máy chủ C2 Cobalt Strike |
| IP Address | 172[.]86[.]89[.]124 | Máy chủ C2 Cobalt Strike |
| IP Address | 144[.]172[.]101[.]72 | Máy chủ C2 Cobalt Strike |
| IP Address | 206[.]223[.]230[.]107 | Máy chủ C2 Cobalt Strike |
| IP Address | 45[.]59[.]113[.]63 | Node SOCKS proxy |
| IP Address | 172[.]86[.]113[.]245 | Máy chủ Open Directory chứa mã độc |
Chiến lược phòng thủ và giảm thiểu rủi ro
Để đối phó với các mối đe dọa sử dụng AI, các tổ chức cần áp dụng chiến lược phòng thủ chiều sâu. Việc chỉ dựa vào các giải pháp bảo mật truyền thống là không đủ. Các chuyên gia khuyến nghị thực hiện các biện pháp cứng hóa (hardening) hệ thống như sau:
- Quản lý đặc quyền: Triển khai mô hình Privileged Access Management (PAM) để kiểm soát chặt chẽ quyền truy cập Domain Admin.
- Phân đoạn mạng: Cách ly các máy chủ quan trọng và các hệ thống lưu trữ bản sao lưu để ngăn chặn sự di chuyển ngang của kẻ tấn công.
- Xác thực mạnh: Bắt buộc sử dụng xác thực đa yếu tố (MFA) có khả năng chống lại các cuộc tấn công phishing.
- Giám sát EDR: Theo dõi sát sao các cảnh báo từ EDR, đặc biệt là các hành vi bất thường liên quan đến việc thực thi lệnh CLI hoặc sử dụng các công cụ như Certipy, BloodHound.
Việc cập nhật các bản vá bảo mật cho các thiết bị kết nối internet là ưu tiên hàng đầu để ngăn chặn các lỗ hổng 1-day bị khai thác. Ngoài ra, các tổ chức nên tham khảo thêm các tài liệu hướng dẫn từ CISA về việc bảo vệ hạ tầng Active Directory trước các cuộc tấn công leo thang đặc quyền.
Mạng Lưới An Ninh Mạng & Cộng Đồng
Nhận cảnh báo 0-Day khẩn cấp, phân tích mã độc và tham gia thảo luận kỹ thuật cùng chuyên gia.
Ban biên tập nội dung và phân tích an ninh mạng tại ADSECVN.COM.
Bài Viết Liên Quan
