Các nhà nghiên cứu tại SOCRadar đã có được một góc nhìn hiếm hoi về cách tội phạm vận hành. Một máy chủ mở liên quan đến các chi nhánh của chiến dịch ransomware INC và The Gentlemen chứa 8.257 tin nhắn AI với Claude và Kimi, 46 bản dựng mã hóa và 62 nạn nhân được nêu tên. Phát hiện này là một ví dụ cụ thể về việc các băng nhóm ransomware sử dụng trợ lý AI như một phần trong công việc hằng ngày, và nó mang lại những bài học hữu ích cho cá nhân và doanh nghiệp nhỏ.
Báo cáo nguồn khá ngắn gọn, vì vậy bài viết này chỉ dựa trên những gì đã được công bố và tránh suy đoán về các chi tiết chưa được công khai.
SOCRadar đã tìm thấy gì trên máy chủ mở
Theo bản tóm tắt các phát hiện của SOCRadar, máy chủ này bị để truy cập công khai và có liên hệ với các chi nhánh của hai nhóm ransomware, INC và The Gentlemen. Ba con số định hình phát hiện này:
- 8.257 tin nhắn AI được trao đổi với các trợ lý Claude và Kimi
- 46 bản dựng mã hóa, tức là các phiên bản đã biên dịch của phần mềm độc hại khóa tệp, sẵn sàng để triển khai
- 62 nạn nhân được nêu tên, là các tổ chức được xác định trên máy chủ
Một máy chủ bị lộ như thế này hoạt động như một xưởng với cửa mở. Thay vì chỉ thấy cuộc tấn công đã hoàn tất, các nhà nghiên cứu có thể thấy công cụ, hồ sơ và các cuộc trò chuyện làm việc phía sau chúng. Những sai sót vận hành của tội phạm, chẳng hạn như để cơ sở hạ tầng không được bảo vệ, là một trong số ít cách để lực lượng phòng thủ có được mức độ hiển thị như vậy.
INC và The Gentlemen đã sử dụng Claude và Kimi như thế nào
Chi tiết nổi bật là khối lượng các cuộc trò chuyện AI. Hơn tám nghìn tin nhắn cho thấy các trợ lý không phải là một thử nghiệm thỉnh thoảng mà là một phần thường xuyên trong quy trình làm việc của các chi nhánh này. Tài liệu nguồn xác nhận sự hiện diện của các cuộc trò chuyện cùng với các bản dựng mã hóa và hồ sơ nạn nhân. Tuy nhiên, trong thông tin hiện có ở đây, tài liệu không nêu rõ mọi nhiệm vụ mà các trợ lý được sử dụng, vì vậy chúng tôi sẽ không suy đoán về các lệnh hoặc đầu ra cụ thể.
Điều mà sự kết hợp này cho thấy là các công cụ trò chuyện AI nằm ngay cạnh bộ máy của một chiến dịch tấn công: các bản dựng phần mềm độc hại ở một bên, danh sách nạn nhân ở bên kia, và một chuỗi dài các cuộc trò chuyện AI ở giữa. Đối với lực lượng phòng thủ, bài học thực tế là AI có thể tăng tốc công việc thường ngày cho tội phạm, điều này có thể làm giảm công sức cần thiết để chuẩn bị và thực hiện các cuộc tấn công.
Việc có hai trợ lý khác nhau cũng đáng chú ý. Claude và Kimi đến từ các nhà phát triển khác nhau, cho thấy các chi nhánh không bị ràng buộc vào một công cụ duy nhất và có thể chuyển đổi giữa chúng.
62 nạn nhân được nêu tên cho thấy gì về mục tiêu
Sáu mươi hai nạn nhân được nêu tên cùng với 46 bản dựng mã hóa cho thấy một hoạt động có tổ chức, có thể lặp lại thay vì một vụ xâm nhập đơn lẻ. Việc có nhiều bản dựng sẵn sàng cho thấy kẻ tấn công chuẩn bị trước các phiên bản phần mềm độc hại được tùy chỉnh hoặc đa dạng, điều này có thể khiến việc phát hiện đơn thuần dựa trên chữ ký trở nên kém tin cậy hơn.
Tài liệu nguồn không phân tích các nạn nhân thuộc ngành nào hoặc khu vực nào, vì vậy sẽ là sai lầm nếu đưa ra kết luận chắc chắn về việc nhắm mục tiêu theo lĩnh vực. Một cách hiểu hợp lý hơn là hẹp hơn: các chi nhánh ransomware duy trì danh sách mục tiêu đang hoạt động và chuẩn bị công cụ trước. Mô thức đó nhất quán với xu hướng rộng hơn của các nhóm tấn công nhắm vào những tổ chức dễ bị gây áp lực hơn, một chủ đề được khám phá trong bài viết của chúng tôi về cách các băng nhóm ransomware Qilin và Akira đang leo thang các cuộc tấn công chuỗi cung ứng.
Điều này có ý nghĩa gì với bạn
Nếu bạn điều hành một doanh nghiệp nhỏ hoặc tự quản lý thiết bị của mình, tin tức này có thể cảm thấy xa vời, nhưng bài học lại rất thực tế. Sự hỗ trợ của AI không tạo ra nhiều cách mới để xâm nhập mà chủ yếu làm cho các phương thức hiện có nhanh hơn trong khâu chuẩn bị. Điều đó có nghĩa là những điều cơ bản càng quan trọng hơn, chứ không phải kém đi.
- Cá nhân: Kẻ tấn công vẫn phụ thuộc vào mật khẩu bị đánh cắp, phần mềm chưa được vá và người dùng bị lừa. Đăng nhập mạnh, duy nhất và thiết bị được cập nhật vẫn là những rào cản hiệu quả.
- Doanh nghiệp nhỏ: Nhỏ không phải là được bảo vệ. Các chi nhánh vẫn duy trì danh sách nạn nhân, và việc chuẩn bị rất rẻ khi công cụ đã được xây dựng sẵn.
- Mọi người: Đừng cho rằng bạn có thể nhận ra một cuộc tấn công qua cách diễn đạt cẩu thả hay kỹ thuật vụng về. AI có thể giúp trau chuốt cả hai.
Cách giảm rủi ro ransomware bằng sao lưu, vá lỗi và MFA
Ba thói quen làm phần lớn công việc chống lại ransomware, bất kể ai hoặc cái gì đang hỗ trợ kẻ tấn công:
- Duy trì sao lưu ngoại tuyến hoặc bất biến. Ransomware được thiết kế để khóa tệp của bạn, và một bản sao lưu mà kẻ tấn công không thể chạm tới sẽ biến khủng hoảng thành bất tiện. Hãy kiểm tra khôi phục thường xuyên, vì một bản sao lưu chưa được kiểm tra chỉ là phỏng đoán.
- Vá lỗi kịp thời. Cài đặt cập nhật cho hệ điều hành, trình duyệt, thiết bị VPN và công cụ truy cập từ xa ngay khi có thể. Ưu tiên mọi thứ tiếp xúc với internet.
- Bật xác thực đa yếu tố (MFA). Bật trên email, truy cập từ xa, tài khoản quản trị và dịch vụ đám mây. Khi đó, mật khẩu bị đánh cắp một mình sẽ trở nên ít hữu dụng hơn nhiều.
Thêm một vài bước hỗ trợ: giới hạn quyền quản trị viên, phân tách các hệ thống quan trọng khỏi hệ thống hằng ngày, và ghi lại người cần gọi nếu bạn bị tấn công.
Kết luận
Phát hiện của SOCRadar là lời nhắc rằng các băng nhóm ransomware sử dụng trợ lý AI đã hoạt động ở quy mô được đo bằng hàng nghìn tin nhắn, hàng chục bản dựng phần mềm độc hại và hàng chục nạn nhân. Bạn không thể kiểm soát điều tội phạm làm với những công cụ này, nhưng bạn có thể kiểm soát mức độ chuẩn bị của mình. Hãy thiết lập sao lưu ngoại tuyến, vá lỗi nhanh chóng và bật MFA trong tuần này. Để hiểu áp lực rộng hơn đối với các tổ chức, hãy đọc bài viết của chúng tôi về cách các băng nhóm ransomware như Qilin và Akira đang nhắm vào chuỗi cung ứng.
