TITAN Ransomware Kích Hoạt AI Phân Tích Dữ Liệu Đánh Cắp Với Tốc Độ Cao
TITAN ransomware đang kết hợp mã hóa tệp với tuyên bố đầy tham vọng: sử dụng trí tuệ nhân tạo có khả năng xử lý 700GB dữ liệu doanh nghiệp bị đánh cắp mỗi giờ. Nhóm này cho biết hệ thống của họ giúp nhanh chóng tìm kiếm thông tin có thể gây áp lực lên nạn nhân, từ hồ sơ cá nhân đến bí mật thương mại.
Hoạt động này đã xuất hiện vào tháng 4 năm 2026 và bắt đầu hoạt động vào tháng 5, dưới hình thức chương trình ransomware-as-a-service. Các chi nhánh được cho là tìm cách xâm nhập thông qua các cổng VPN, thiết bị tường lửa bị lộ và các công cụ quản lý từ xa, sau đó đánh cắp dữ liệu trước khi triển khai trình mã hóa cho Windows.
Sự kết hợp này phản ánh cách các cuộc tấn công ransomware đang phát triển, chuyển từ các sự cố khóa tệp đơn giản thành các cuộc khủng hoảng phơi nhiễm dữ liệu rộng lớn hơn. Các nhà phân tích tại Cyberxtron đã xác định TITAN là một hoạt động double-extortion đang phát triển, với 24 nạn nhân được liệt kê tại 10 quốc gia.
Ý tài khoản chiếm tỷ lệ 10 nạn nhân được liệt kê, tiếp theo là Cộng hòa Séc với bốn và Hoa Kỳ với ba. Ngành sản xuất và dịch vụ chuyên nghiệp mỗi ngành chiếm 29% số nạn nhân được ghi nhận.
Cảnh Báo Về Khả Năng Của Nền Tảng AI
Cyberxtron đã đưa ra báo cáo cho biết các tuyên bố của TITAN cần được xem xét cẩn trọng. Hiện chưa có thử nghiệm độc lập nào xác nhận nền tảng AI, phương thức mã hóa của ransomware, hoặc chuỗi khai thác cụ thể được sử dụng để truy cập.
Tuy nhiên, sự kết hợp giữa một payload ransomware hoạt động, hành vi đánh cắp dữ liệu và một trang web rò rỉ thông tin có thể làm gián đoạn hoạt động và phơi bày thông tin khách hàng, nhân viên và thông tin thương mại. Điều này nhấn mạnh mối đe dọa tiềm tàng từ các hoạt động tinh vi hơn.
Chi Tiết Về Nền Tảng Phân Tích Dữ Liệu Của TITAN
TITAN quảng bá một nền tảng phân tích tại chỗ chạy trên máy chủ AMD EPYC với khả năng xử lý tăng tốc bằng GPU. Nhóm này tuyên bố nền tảng có thể phân loại các tài liệu hỗn hợp theo mức độ nhạy cảm, bao gồm thông tin tài chính, pháp lý và cá nhân, cũng như bí mật thương mại, sở hữu trí tuệ và thư từ, với tốc độ lên tới 700GB mỗi giờ.
Nhóm cũng cho biết công cụ có thể xác định doanh thu chưa khai báo và hóa đơn giả, lập bản đồ mối quan hệ giữa các công ty và cá nhân, và định vị các tệp có khả năng gây thiệt hại lớn nhất nếu bị phơi bày. Về lý thuyết, khả năng này có thể rút ngắn thời gian tội phạm cần để hiểu dữ liệu của nạn nhân và chọn chiến lược tống tiền, cũng như tạo ra các mối đe dọa tùy chỉnh liên quan đến báo cáo theo quy định hoặc tiết lộ trên truyền thông.
Các chiến thuật đánh cắp dữ liệu tương tự đã chứng tỏ tại sao việc đánh cắp dữ liệu lại làm tăng mức độ nghiêm trọng, ngay cả khi một tổ chức có thể khôi phục các hệ thống bị mã hóa từ bản sao lưu. TITAN cho biết công cụ của họ có thể đánh giá mức độ phơi nhiễm theo hơn 50 khuôn khổ về quyền riêng tư.
Nền tảng này cũng quảng cáo các gói thông báo được soạn sẵn cho các cơ quan thuế, cơ quan bảo vệ dữ liệu, đơn vị tình báo tài chính và các phương tiện truyền thông. Đây là những tuyên bố tiếp thị chưa được xác minh, nhưng các đội phòng thủ nên chuẩn bị cho các mối đe dọa tiết lộ nhanh chóng.
Mô Hình Hoạt Động Theo Mô Hình Affiliate
TITAN sử dụng một chương trình affiliate có cấu trúc, mang lại cho các đối tác 90% doanh thu từ tiền chuộc và giữ lại 10% phí nền tảng. Các ứng viên tiềm năng phải vượt qua các kiểm tra về lịch sử phạm tội, kỹ năng kỹ thuật và kinh nghiệm xâm nhập trước đó.
Khoản thanh toán được chấp nhận dưới dạng Bitcoin, Monero và Zcash được che giấu, được cho là được chuyển qua các dịch vụ trộn lẫn. Nhóm này đưa ra các loại trừ đối với bệnh viện, dịch vụ khẩn cấp, trường học và một số mục tiêu khác, đồng thời cho phép tấn công hầu hết các công ty, tổ chức tài chính, nhà sản xuất và một số cơ quan thuộc khu vực công.
Các quy tắc như vậy không mang lại sự bảo vệ thực sự vì chúng có thể thay đổi hoặc bị bỏ qua. Mô hình này giống với các hoạt động do affiliate điều khiển được mô tả trong dịch vụ double extortion của RansomHouse.
Dấu Hiệu Xâm Nhập Và Khuyến Nghị Bảo Mật
Đánh giá cho thấy các cuộc tấn công nhanh chóng, với thời gian lưu trú được báo cáo từ ba đến năm ngày, nhưng điều này chưa được xác minh. Hoạt động có khả năng liên quan đến TITAN bao gồm việc sử dụng PowerShell, WMIC và PsExec để di chuyển trong mạng, cùng với các nỗ lực can thiệp vào Volume Shadow Copies.
Các đội nên xem những dấu hiệu này như các manh mối, không phải là dấu vân tay đã được xác nhận. Các tổ chức nên vá các hệ thống VPN, tường lửa và quản lý từ xa tiếp xúc với internet, thực thi xác thực đa yếu tố chống lừa đảo và đặt lại thông tin đăng nhập đặc quyền sau các cảnh báo chu vi.
Họ cũng nên phân đoạn quản trị từ xa và các bản sao lưu, theo dõi việc can thiệp vào shadow copy và kiểm tra khả năng khôi phục ngoại tuyến, bất biến. Tầm quan trọng của việc bảo vệ các thiết bị tiếp xúc với internet được nhấn mạnh bởi chiến dịch lỗ hổng VPN của Gunra.
Các kế hoạch nên bao gồm các nhóm pháp lý, truyền thông và pháp quy, không chỉ phục hồi kỹ thuật. Nếu khả năng tự động hóa mà TITAN tuyên bố là một phần nào đó là sự thật, các nạn nhân có thể phải đối mặt với áp lực công bố dữ liệu và thông báo cho bên thứ ba sớm hơn.
Theo dõi các trang web rò rỉ thông tin và bảo quản bằng chứng giúp các tổ chức đưa ra quyết định dựa trên sự thật thay vì đe dọa. Các tổ chức nên thực hiện các biện pháp phòng ngừa để bảo vệ hệ thống của mình khỏi các cuộc tấn công mạng ngày càng tinh vi.
Indicators of Compromise (IoCs)
Lưu ý: Địa chỉ IP và tên miền cố tình bị làm mờ (ví dụ: [.] ) để ngăn chặn việc phân giải hoặc tạo siêu liên kết vô tình. Chỉ khôi phục định dạng gốc bên trong các nền tảng tình báo mối đe dọa được kiểm soát như MISP, VirusTotal hoặc SIEM của bạn.
-
