Trong bối cảnh mối đe dọa an ninh mạng không ngừng tiến hóa, CERT-UA (Đội Ứng cứu Khẩn cấp Máy tính của Ukraine) đã công bố sự xuất hiện của LAMEHUG – một loại mã độc đột phá khi tích hợp khả năng mô hình ngôn ngữ lớn (LLM) trực tiếp vào chuỗi tấn công của nó. Sự kiện này đánh dấu một bước ngoặt quan trọng, cho thấy cách các tác nhân độc hại đang thử nghiệm các phương pháp mới để vượt qua các biện pháp phòng thủ truyền thống.
Phân Tích Kỹ Thuật LAMEHUG: Một Mối Đe Dọa Tiên Tiến
Chiến dịch LAMEHUG đặc biệt nhắm vào các quan chức chính phủ Ukraine thông qua các email lừa đảo (phishing), mạo danh thông tin liên lạc từ đại diện bộ ngành. Những email này phân phối các tệp lưu trữ ZIP chứa các tệp thực thi Python được biên dịch bằng PyInstaller. Ví dụ điển hình là tệp “Додаток.pdf.zip”, được thiết kế để tự động thực thi khi người dùng giải nén. Phương pháp này cho phép kẻ tấn công thiết lập điểm truy cập ban đầu vào hệ thống mục tiêu một cách hiệu quả.
Động Cơ và Mục Tiêu
CERT-UA đã quy kết hoạt động này cho APT28, còn được biết đến với tên gọi Fancy Bear. Đây là một tác nhân đe dọa liên kết với GRU Unit 26165 của Nga, với mức độ tin cậy được đánh giá là vừa phải. Phân tích cho thấy APT28 đã sử dụng khoảng 270 token Hugging Face để xác thực API, điều này cho thấy đây là một dự án bằng chứng khái niệm (PoC) nhằm khám phá khả năng vũ khí hóa LLM trong các hoạt động gián điệp mạng do nhà nước tài trợ.
Mặc dù là một mối đe dọa tiên tiến về mặt ý tưởng, mã nguồn của LAMEHUG lại khá đơn giản, thiếu các kỹ thuật che giấu hoặc né tránh tinh vi. Việc triển khai nó tại Ukraine – một khu vực thường được coi là bãi thử nghiệm cho các công cụ mạng của Nga – cho thấy đây có thể là một thử nghiệm hơn là một chiến dịch hoàn chỉnh và đã sẵn sàng hoạt động. Tuy nhiên, sự xuất hiện của nhiều biến thể, bao gồm “Додаток.pif”, “save_document.py”, “AI_generator_uncensored_Canvas_PRO_v0.9.exe”, “AI_image_generator_v0.95.exe”, và “image.py”, với các phương pháp trích xuất dữ liệu ngày càng phát triển, nhấn mạnh quá trình tinh chỉnh và hoàn thiện liên tục của mối đe dọa này.
Cơ Chế Hoạt Động Của LAMEHUG
Điểm cốt lõi, LAMEHUG tận dụng mô hình LLM Qwen2.5-Coder-32B-Instruct thông qua API của Hugging Face để tạo ra các lệnh theo thời gian thực từ các lời nhắc (prompts) được mã hóa Base64. Khả năng này cho phép LAMEHUG thực hiện trinh sát động và thu thập dữ liệu một cách linh hoạt, thích ứng với môi trường hệ thống mục tiêu.
Ví dụ, biến thể “Додаток.pif” sử dụng các lời nhắc để tạo một thư mục tại C:\ProgramData\info. Sau đó, nó biên soạn các chi tiết hệ thống toàn diện, bao gồm thông số kỹ thuật phần cứng thông qua WMIC, danh sách tiến trình với tasklist, cấu hình mạng thông qua ipconfig, và liệt kê các đối tượng Active Directory sử dụng dsquery. Tất cả thông tin này được tổng hợp vào một tệp văn bản để phục vụ cho việc trích xuất. Một lời nhắc khác chỉ đạo sao chép đệ quy các tài liệu Office, PDF và tệp văn bản từ các thư mục người dùng như Documents, Downloads và Desktop.
Các biến thể khác, được ngụy trang dưới dạng trình tạo ảnh AI, sử dụng các lời nhắc khiêu khích, chẳng hạn như tạo hình ảnh của “curvy naked woman sitting, long beautiful legs, front view, full body view, visible face”, nhằm lôi kéo người dùng mở và thực thi mã độc. Trong khi đó, mã độc sẽ âm thầm giao tiếp với các API của Flux AI và thực hiện thu thập dữ liệu trong nền. Điều này cho thấy sự đa dạng trong cách tiếp cận social engineering của mối đe dọa này.
Quy trình hoạt động của mã độc bao gồm việc gửi các lời nhắc được xác định trước tới LLM, nhận các chuỗi lệnh được tùy chỉnh, và thực thi chúng ngay lập tức thông qua cmd.exe. Điều này giúp mã độc thu thập thông tin tình báo toàn diện về hệ thống (systeminfo), các số liệu về CPU/bộ nhớ, chi tiết ổ đĩa, địa chỉ MAC/IP, nhóm người dùng và cấu trúc Active Directory. Khả năng động này giúp mã độc tránh bị phát hiện bởi các giải pháp bảo mật dựa trên chữ ký truyền thống.
Kỹ Thuật Đánh Cắp Dữ Liệu và Thoát Ly
Phương pháp trích xuất dữ liệu của LAMEHUG thay đổi tùy theo biến thể. Ví dụ, biến thể “image.py” sử dụng SFTP để tải dữ liệu lên máy chủ 144.126.202.227:22 với thông tin xác thực upstage/upstage. Trong khi đó, biến thể “Додаток.pif” sử dụng phương thức HTTP POST để gửi dữ liệu đến stayathomeclasses[.]com/slpw/up.php. Sự đa dạng trong các kênh thoát ly cho thấy nỗ lực của tác nhân để đảm bảo thành công trong việc thu thập thông tin.
Chỉ Số Thỏa Hiệp (IOCs)
Các chỉ số thỏa hiệp (IOCs) sau đây liên quan đến mối đe dọa LAMEHUG:
- Tác nhân đe dọa: APT28 (Fancy Bear, GRU Unit 26165)
- Tên tệp độc hại:
- Додаток.pdf.zip
- Додаток.pif
- save_document.py
- AI_generator_uncensored_Canvas_PRO_v0.9.exe
- AI_image_generator_v0.95.exe
- image.py
- Địa chỉ IP/Tên miền C2 và Thoát ly:
144.126.202.227:22 (SFTP, user: upstage, pass: upstage)stayathomeclasses[.]com/slpw/up.php (HTTP POST)
- Mô hình LLM được sử dụng: Qwen2.5-Coder-32B-Instruct
- API sử dụng: Hugging Face API, Flux AI APIs
Thách Thức Đối Với An Ninh Mạng Truyền Thống
Theo báo cáo từ Cato Networks, phương pháp tấn công được điều khiển bởi LLM này đặt ra những thách thức nghiêm trọng đối với các biện pháp phòng thủ truyền thống. Các giải pháp phát hiện dựa trên chữ ký trở nên kém hiệu quả trước các lệnh được tạo ra động. Lưu lượng mạng bắt chước các cuộc gọi API AI hợp pháp, khiến việc phân biệt lưu lượng độc hại trở nên khó khăn. Phân tích hành vi đòi hỏi các heuristic mới để nhận diện những bất thường do LLM cung cấp, cho thấy đây là một mối đe dọa phức tạp đòi hỏi sự điều chỉnh trong chiến lược phòng thủ.
Chiến Lược Phòng Thủ và Giảm Thiểu Rủi Ro Bảo Mật
Để đối phó với những mối đe dọa mới nổi như LAMEHUG, các khuyến nghị về bảo mật nhấn mạnh sự cần thiết của các biện pháp kiểm soát Shadow AI. Điều này bao gồm việc thực thi quyền truy cập LLM đã được phê duyệt, triển khai các giải pháp ngăn chặn mất dữ liệu (DLP) theo thời gian thực, và tăng cường khả năng hiển thị thông qua các công cụ như Cato CASB (Cloud Access Security Broker).
Về mặt bảo vệ mạng, các tổ chức nên triển khai phát hiện mã độc dựa trên Machine Learning (ML), bảo mật DNS, và kiểm soát ứng dụng tập trung vào các nền tảng AI. Những biện pháp này giúp nhận diện các hành vi bất thường và ngăn chặn các kết nối độc hại tới các tài nguyên bên ngoài.
Các giải pháp phát hiện và phản hồi mở rộng (XDR) cho phép săn tìm mối đe dọa bằng AI/ML, tương quan sự cố tự động, và khắc phục chỉ với một cú nhấp chuột. Trong khi đó, kiến trúc truy cập mạng không tin cậy (ZTNA) với khả năng phân đoạn vi mô (microsegmentation) giúp hạn chế sự di chuyển ngang (lateral movement) của kẻ tấn công trong trường hợp hệ thống bị xâm nhập.
Kết Luận Về Xu Hướng Tấn Công Mạng Dựa Trên AI
Sự xuất hiện của LAMEHUG báo hiệu một sự thay đổi mô hình hướng tới các mối đe dọa mạng được tăng cường bởi AI. Dự án PoC của APT28 nhiều khả năng là tiền đề cho các phiên bản tinh vi hơn trong tương lai. Các tổ chức áp dụng nền tảng SASE (Secure Access Service Edge) được trang bị tốt hơn để đối phó với những tiến hóa này thông qua phân tích hành vi tích hợp và các biện pháp phòng thủ nhận biết AI.
