Cuộc tấn công mạng mới nhất nhắm vào lập trình viên và người dùng công cụ AI trên GitHub bằng cách mạo danh DeepSeek TUI, một công cụ terminal hợp lệ cho phép tương tác trực tiếp với mô hình ngôn ngữ lớn DeepSeek từ dòng lệnh. Mẫu hình này cho thấy mối đe dọa đang tận dụng các dự án mã nguồn mở đang được quan tâm để phát tán phần mềm độc hại.
GitHub repository giả mạo và cơ chế phát tán
Chiến dịch bắt đầu khi kẻ tấn công tạo các repository GitHub giả có giao diện và bố cục giống dự án thật. Người dùng truy cập nhầm vào các trang này sẽ bị dẫn đến tải xuống một tệp nén 7z được đặt trong trang Releases của repository giả, khiến nó trông giống như một bản phát hành phần mềm hợp lệ.
Cách làm này phù hợp với xu hướng tấn công mạng nhắm vào cộng đồng phát triển, nơi các gói công cụ AI dễ bị lợi dụng khi đang nhận nhiều chú ý. Thông tin nền về các repository GitHub giả mạo có thể tham khảo thêm tại Cybersecurity News.
DeepSeek TUI bị mạo danh trong chiến dịch lỗ hổng CVE kiểu giả mạo chuỗi cung ứng
Dù nội dung gốc không nêu một CVE cụ thể, chiến dịch này thuộc nhóm lỗ hổng CVE kiểu giả mạo chuỗi cung ứng và phân phối payload qua kho mã công khai. Nhóm nghiên cứu mô tả các mẫu độc hại gần như trùng khớp với một chiến dịch giả mạo trước đó, cho thấy cùng một hạ tầng và cách vận hành được duy trì liên tục.
Nhiều file cài đặt giả mạo được đặt tên theo các công cụ AI như Claude, Grok, WormGPT, KawaiiGPT và fraudGPT. Việc luân chuyển tên file giúp chiến dịch bám theo chủ đề đang được quan tâm mà không thay đổi nhiều ở tầng mã độc.
Dấu vết nhận diện trong mẫu độc hại
- PDB path:
ClawCode.pdb - Ngôn ngữ triển khai: Rust
- File chính:
DeepSeek-TUI_x64.exe - MD5:
b96c0d609c1b7e74f8cb1442bf0b5418 - Compilation timestamp: April 29, 2026
Chuỗi định danh này cho thấy các mẫu có liên hệ với cùng một gia đình mã độc và cùng hạ tầng triển khai. Đây là một chỉ báo quan trọng để phát hiện tấn công trên các hệ thống giám sát, EDR hoặc SIEM.
Hành vi chống phân tích và né sandbox
Sau khi chạy, mã độc thực hiện kiểm tra môi trường rất sớm để xác định có đang ở trong máy ảo, môi trường phân tích hay hệ thống có dấu hiệu đáng ngờ hay không. Nếu phát hiện bất thường, nó hiển thị thông báo:
Sorry, your system does not meet the minimum requirementsvà thoát âm thầm. Cách này làm giảm khả năng bị quan sát trong sandbox và giúp chiến dịch duy trì độ kín đáo trong giai đoạn đầu.
Đây là một kỹ thuật thường gặp trong các chiến dịch mối đe dọa mạng có chủ đích, nơi mã độc chỉ kích hoạt đầy đủ khi xác định đang ở trên máy thật của nạn nhân.
Cấu hình Windows Defender và firewall bị thay đổi
Khi xác nhận môi trường mục tiêu là máy thật, mã độc dùng một script PowerShell được XOR hóa để vô hiệu hóa một số lớp bảo vệ của Windows Defender. Các thay đổi gồm:
- Thêm 6 thư mục loại trừ.
- Tắt cloud-based reporting.
- Vô hiệu hóa behavior monitoring.
- Mở các cổng inbound 57001, 57002 và 56001.
Chuỗi giải mã được dùng trong mẫu là xnasff3wcedj. Việc chỉnh sửa cấu hình phòng vệ và firewall cho thấy mục tiêu rõ ràng là tạo điều kiện cho tải trọng giai đoạn sau hoạt động ổn định trên hệ thống bị xâm nhập.
Tải trọng giai đoạn hai và cơ chế duy trì hiện diện
Mã độc truy cập các liên kết từ Pastebin và snippet.host để tải về payload giai đoạn hai được lưu trữ trên Azure. Các thành phần tải xuống có vai trò tách biệt, giúp duy trì hệ thống bị tấn công theo nhiều lớp.
- OneSync.exe và WinHealhCare.exe: xử lý cài đặt và thiết lập scheduled task, sau đó báo cáo qua Telegram.
- onedrive_sync.exe: duy trì bền vững qua khóa Run trong Registry Windows.
- svc_service.exe: thành phần lõi cư trú, dùng NT syscalls để thread injection và nạp .NET assembly hoàn toàn trong bộ nhớ.
- autodate.exe: giả danh trình quản lý dịch vụ, đồng thời chèn payload vào memory.
Chuỗi cơ chế tồn tại này khiến việc loại bỏ trở nên khó khăn hơn, đặc biệt khi mã độc có thể bám qua scheduled tasks, registry Run keys, Winlogon hooks và startup shortcuts.
Hành vi thực thi trong bộ nhớ
Việc dùng thread injection và nạp assembly trong memory là dấu hiệu điển hình của kỹ thuật né phát hiện. Với cách này, artefact trên đĩa giảm xuống, còn quá trình thực thi chính diễn ra trong không gian nhớ của tiến trình hợp lệ.
Trong bối cảnh an ninh mạng, đây là hành vi nên được theo dõi thông qua EDR có khả năng giám sát PowerShell bất thường, syscall lạ và injection vào tiến trình.
Các C2 domain và hạ tầng liên lạc
Các miền điều khiển và chỉ huy được ghi nhận trong chiến dịch gồm:
- mikolirentryifosttry.info
- zkevopenanu.cfd
Những domain này được dùng để liên lạc cho giai đoạn sau sau khi payload đã được kích hoạt. Việc giám sát DNS, proxy log và outbound connection tới các miền lạ là cần thiết để phát hiện xâm nhập sớm.
IOC
Các IOC dưới đây được trích xuất trực tiếp từ nội dung kỹ thuật:
- File:
DeepSeek-TUI_x64.exe - MD5:
b96c0d609c1b7e74f8cb1442bf0b5418 - PDB:
ClawCode.pdb - Key giải mã:
xnasff3wcedj - C2 domains:
mikolirentryifosttry.info,zkevopenanu.cfd - PowerShell/XOR artifact: script dùng XOR để vô hiệu hóa Defender
- Ports mở inbound:
57001,57002,56001
Vì các domain và IP được mô tả là đã được defang, cần chỉ refang trong môi trường threat intelligence như MISP, VirusTotal hoặc SIEM nội bộ.
Chỉ báo theo dõi và phát hiện tấn công
Để phát hiện tấn công dạng này, các nhóm vận hành nên ưu tiên theo dõi các dấu hiệu sau:
- Tải file nén từ repository GitHub mới tạo, ít lịch sử commit hoặc contributor không đáng tin.
- Thực thi PowerShell bất thường sau khi chạy một file .exe từ thư mục tạm hoặc thư mục giải nén.
- Sửa đổi cấu hình Windows Defender, đặc biệt là exclusions và cloud reporting.
- Tạo scheduled task, Run key, startup shortcut hoặc Winlogon hook bất thường.
- Tiến trình hợp lệ nhưng có hành vi memory injection hoặc nạp .NET assembly in-memory.
Nếu cần đối chiếu thông tin gốc của cảnh báo, có thể tham khảo các nguồn định danh và phân tích IOC tại NVD hoặc các kênh threat intelligence nội bộ.
Biện pháp kiểm tra repository trước khi tải xuống
Trong các môi trường phát triển, việc xác minh repository GitHub trước khi sử dụng là bước quan trọng để giảm rủi ro bảo mật. Nội dung gốc khuyến nghị kiểm tra:
- Tuổi tài khoản và lịch sử hoạt động.
- Commit history có nhất quán hay không.
- Số lượng contributor thật sự.
- Tên file phát hành và nguồn tải về có khớp với dự án chính thức hay không.
Các hệ thống EDR cần ưu tiên rule giám sát PowerShell lạ, thay đổi Defender settings và hành vi injection để hỗ trợ an toàn thông tin trên máy trạm của lập trình viên và người dùng công cụ AI.
