Các nhà vận hành mã độc ngày càng tận dụng các công cụ được xây dựng để mở rộng trí tuệ nhân tạo (AI) như một con đường phân phối chính. Một chiến dịch mới được ghi nhận có tên là AgentBaiting đang sử dụng các AI Skills và máy chủ Model Context Protocol (MCP) giả mạo để phát tán mã độc SmartLoader.
Hoạt động này được thực hiện thông qua các dự án GitHub trông đáng tin cậy và các danh mục khả năng công khai, biến một tìm kiếm thông thường về tích hợp AI thành một rủi ro bảo mật nghiêm trọng. Nạn nhân có thể bị dẫn dụ đến các kho lưu trữ ZIP được trình bày dưới dạng trình cài đặt hữu ích.
Sau đó, người dùng được khuyến khích giải nén và chạy các tệp không có bất kỳ liên hệ nào với công cụ được quảng cáo. Điều này tạo ra một vectơ lây nhiễm tinh vi, khai thác sự tin cậy của người dùng vào các nền tảng phát triển và dịch vụ AI.
Chiến dịch AgentBaiting và Mô hình Tấn công Mạng AI
Các nhà nghiên cứu tại Island đã xác định chiến dịch AgentBaiting trong khi theo dõi hoạt động FakeGit rộng lớn hơn. FakeGit là một chiến dịch lừa đảo quy mô lớn nhằm xây dựng độ tin cậy thông qua các dự án sao chép, tài khoản mạo danh, tài liệu thuyết phục và số liệu tương tác khiêm tốn.
Theo báo cáo của Island, họ đã phát hiện khoảng 7.600 kho lưu trữ độc hại được tạo bởi khoảng 6.600 hồ sơ người dùng, trong đó có hơn 800 hồ sơ giả mạo các AI Skills hoặc máy chủ MCP. Quy mô của chiến dịch này cho thấy đây không chỉ là một trò lừa đảo nhà phát triển thông thường.
Làn sóng tấn công tập trung vào AI này đã phát triển mạnh mẽ từ tháng 3 và đạt đỉnh vào tháng 4 năm 2026. Các dự án độc hại đã xuất hiện hơn 600 lần trên các thư viện và danh mục AI công khai. Điều này cho thấy sự mở rộng đáng kể của mối đe dọa mạng trong không gian AI.
Quy mô và Phạm vi Lây nhiễm của Mã độc SmartLoader
Các nhà nghiên cứu cũng đo lường được hơn 14 triệu lượt tải xuống từ các tài sản phát hành trong khoảng 200 kho lưu trữ liên quan đến chiến dịch. Con số này phản ánh mức độ tiếp cận rộng rãi và nguy cơ tiềm tàng của mã độc SmartLoader.
Một ví dụ điển hình là việc sao chép tên và vị trí của bộ sưu tập Claude Skills phổ biến, sau đó cung cấp một kho lưu trữ ZIP chứa mã độc SmartLoader đã được xác nhận dưới dạng tệp tải xuống. Cách tiếp cận này lặp lại hoạt động phân phối mã độc qua GitHub giả mạo trước đây.
Hoạt động này khai thác các quy trình làm việc phát triển quen thuộc để giành được sự tin tưởng của người dùng. Các mồi nhử này nhắm mục tiêu vào cả các tác vụ cá nhân và doanh nghiệp, bao gồm email, nhắn tin, phân tích, hệ thống xây dựng, dịch vụ đám mây và công cụ dành cho nhà phát triển.
Tên của các tệp tải xuống được đặt để trông có vẻ liên quan đến công việc hàng ngày, thay vì đáng ngờ. Điều này giúp các kẻ tấn công dễ dàng lừa nạn nhân cài đặt mã độc SmartLoader mà không mảy may nghi ngờ.
Mục tiêu Doanh nghiệp và Dịch vụ Đám mây
Island phát hiện rằng 62 kho lưu trữ độc hại được định vị cho mục đích sử dụng nội bộ doanh nghiệp hoặc nhà phát triển. Gần 2/3 số mồi nhử MCP tuyên bố kết nối các dịch vụ đám mây, cơ sở dữ liệu hoặc API.
Một kho lưu trữ có tên
45d5r/databricks-mcp-serverminh họa cách quá trình lây nhiễm bắt đầu. Tài liệu của nó quảng cáo một tích hợp doanh nghiệp và cung cấp nút tải xuống.
Tuy nhiên, kho lưu trữ được liên kết chứa một trình khởi chạy lệnh, một thời gian chạy kiểu LuaJIT đã được đổi tên và một chương trình Lua bị làm rối mã nguồn được ngụy trang dưới dạng tệp văn bản.
Chạy trình khởi chạy sẽ kích hoạt tải trọng ẩn thay vì cài đặt một máy chủ MCP thực sự. Đây là một phương pháp lây nhiễm tinh vi, được thiết kế để vượt qua các biện pháp kiểm soát cơ bản.
Cơ chế Lây nhiễm và Tấn công Nâng cao
Các biến thể liên quan của mã độc SmartLoader có thể ẩn cửa sổ console của chúng. Chúng cũng có khả năng định vị máy chủ điều khiển thông qua một giá trị được lưu trữ trong một hợp đồng thông minh Polygon.
Mã độc này có thể tạo ra tính bền bỉ thông qua các tác vụ đã lên lịch và truy xuất các giai đoạn được mã hóa từ GitHub. Các giai đoạn này cuối cùng tiêm StealC vào một tiến trình khác, tiếp tục mối đe dọa đánh cắp thông tin đăng nhập.
Mối đe dọa này đã được đề cập trong các báo cáo về sự gián đoạn cơ sở hạ tầng StealC. Điều này cho thấy mã độc SmartLoader là một phần của một chuỗi tấn công phức tạp hơn nhằm đánh cắp dữ liệu nhạy cảm.
Chiến dịch AgentBaiting thay đổi bản chất của mối đe dọa vì một tác nhân AI có thể tự động phát hiện dự án độc hại mà nạn nhân không cần nhận liên kết trực tiếp. Điều này mở ra một kênh lây nhiễm mới và khó lường.
Trong quá trình thử nghiệm, các nhà nghiên cứu phát hiện rằng Claude Code, Gemini và ChatGPT có thể độc lập đưa ra các kho lưu trữ của chiến dịch khi được yêu cầu tìm một Skill hoặc máy chủ MCP. Điều này cho thấy các mô hình AI có thể vô tình tiếp tay cho kẻ tấn công.
Rủi ro Bảo mật Từ Các Công cụ AI
Kết quả thử nghiệm rất đa dạng nhưng vẫn bộc lộ một lỗ hổng nguy hiểm. Một tác nhân AI được thử nghiệm đã khuyến nghị một tùy chọn lành tính nhưng cũng lặp lại các hướng dẫn cài đặt độc hại như một lựa chọn thay thế.
Trong một thử nghiệm khác, Gemini đã trả về một kho lưu trữ MCP độc hại của Walmart làm kết quả đầu tiên. Trong khi đó, ChatGPT liệt kê cùng một kho lưu trữ trong số các tùy chọn công khai và làm nổi bật nó như một điểm khởi đầu.
Các thư viện công khai có thể tiếp tục mở rộng mức độ phơi nhiễm này. Island đã tìm thấy hơn 600 danh sách chiến dịch trên LobeHub, Glama, MCP.so và MCP Market, với một số sao chép tài liệu và hướng dẫn tải xuống do kẻ tấn công viết.
Điều này cung cấp cho các kho lưu trữ độc hại thêm một lớp tin cậy, đặc biệt khi các rủi ro bảo mật liên quan đến máy chủ MCP ngày càng tăng xung quanh các tích hợp AI có thể truy cập tài nguyên kinh doanh.
Thông tin chi tiết về chiến dịch có thể được tìm thấy trong báo cáo của Island tại Island.io.
Biện pháp Phòng ngừa và Phát hiện Xâm Nhập
Các tổ chức nên dựa vào một danh mục được quản lý và đánh giá kỹ lưỡng cho các Skills, máy chủ MCP và các plugin tác nhân, thay vì khám phá không hạn chế. Điều này giúp giảm thiểu nguy cơ tiếp xúc với mã độc SmartLoader.
Các khả năng mới cần được thử nghiệm trong một môi trường cô lập, không có phiên trình duyệt, thông tin xác thực đám mây, khóa SSH hoặc dữ liệu sản xuất. Bất kỳ khả năng AI nào được phân phối dưới dạng tệp ZIP Windows chứa trình khởi chạy và tải trọng ẩn đều phải bị từ chối ngay lập tức.
Các nhóm bảo mật cần xác minh các nhà xuất bản một cách cẩn thận như khi kiểm tra các dự án. Số lượng sao, hồ sơ sao chép và danh sách trong thư viện không chứng minh tính hợp pháp. Đây là một yếu tố quan trọng trong việc ngăn chặn tấn công mạng AI.
Cần giám sát chặt chẽ các lượt tải xuống, các bản sao Git, các lệnh shell và các thay đổi đối với cấu hình MCP hoặc Skill do các tác nhân AI khởi tạo. Việc duy trì một kho lưu trữ về kho, cam kết, phiên bản và hash gói của mỗi khả năng có thể đẩy nhanh quá trình điều tra.
Quy trình Ứng phó với Mã độc SmartLoader
Nếu nghi ngờ mã độc SmartLoader đã bị thực thi, các nhóm bảo mật nên lập tức cô lập điểm cuối bị ảnh hưởng. Đồng thời, cần thu hồi các phiên trình duyệt đang hoạt động, quyền OAuth, mã thông báo API, thông tin xác thực đám mây và thông tin xác thực nhà phát triển.
Việc chỉ đặt lại mật khẩu có thể không đủ, bởi vì StealC, thành phần được tiêm bởi mã độc SmartLoader, có khả năng đánh cắp các phiên hoạt động trực tiếp, dữ liệu trình duyệt, thông tin xác thực email và truy cập từ xa, ảnh chụp màn hình và chi tiết máy chủ.
Đây là những loại dữ liệu rất nhạy cảm và có thể dẫn đến xâm nhập mạng sâu rộng hơn. Do đó, một phản ứng toàn diện là cần thiết để khôi phục an toàn hệ thống và dữ liệu.
Chỉ số IOCs (Indicators of Compromise)
Hiện tại, các chỉ số thỏa hiệp (IoCs) cụ thể như địa chỉ IP, tên miền hoặc giá trị hash của tệp độc hại không được cung cấp trực tiếp trong văn bản này. Tuy nhiên, thông tin chi tiết thường có sẵn trong các báo cáo kỹ thuật đầy đủ.
Các đội ngũ an ninh mạng nên tham khảo báo cáo gốc của Island để có danh sách IoCs chi tiết, giúp tăng cường khả năng phát hiện xâm nhập. Việc tích hợp các IoCs này vào các nền tảng threat intelligence như MISP, VirusTotal hoặc SIEM là rất quan trọng.
Lưu ý: Các địa chỉ IP và tên miền trong các báo cáo bảo mật thường được ‘defang’ (ví dụ: thay thế dấu chấm bằng
[.]) để ngăn chặn việc giải quyết hoặc siêu liên kết tình cờ. Việc ‘refang’ (phục hồi) chỉ nên được thực hiện trong các nền tảng threat intelligence được kiểm soát.
