Kịch bản do AI tạo ra và SysGoRAT nhắm mục tiêu vào máy chủ Linux của chính phủ

Các nhà nghiên cứu từ Palo Alto Networks Unit 42 đã xác định một chiến dịch gián điệp mạng nhắm vào hạ tầng Linux của chính phủ trong khoảng thời gian từ tháng 10 năm 2025 đến tháng 4 năm 2026. Chiến dịch này, được theo dõi với mã CL-UNK-1211, tận dụng các mô hình ngôn ngữ lớn (LLM) để tạo ra các kịch bản tấn công và triển khai một backdoor tùy chỉnh viết bằng Go có tên là SysGoRAT.

Chuyện gì đã xảy ra

Các nhóm đe dọa tập trung nỗ lực vào các môi trường Linux liên quan đến các thực thể thuộc nhà nước nhằm tiến hành hoạt động trinh sát mở rộng và duy trì quyền truy cập mạng bền vững. Các mục tiêu chính bao gồm trích xuất dữ liệu nhạy cảm từ cơ sở dữ liệu và đánh cắp hộp thư điện tử của chính phủ, đặc biệt tìm kiếm các thông tin đăng nhập có thể cấp quyền truy cập vào tài khoản mạng xã hội. Hoạt động này cho thấy sự chuyển dịch sang việc sử dụng trí tuệ tự động để đẩy nhanh các kỹ thuật hậu xâm nhập truyền thống.

Để duy trì quyền truy cập, các đối tượng tấn công đã sử dụng kết hợp đa dạng các công cụ mã nguồn mở, backdoor tùy chỉnh đa nền tảng và web shell. Một đặc điểm riêng biệt của chiến dịch này là nỗ lực ngụy trang các hoạt động độc hại dưới danh nghĩa các đánh giá bảo mật hợp pháp. Các đối tượng vận hành đã vô hiệu hóa các biện pháp bảo vệ endpoint, xóa sạch nhật ký hệ thống và cài đặt các dấu hiệu red-team giả mạo để gây nhầm lẫn cho đội phòng thủ và làm chậm trễ các nỗ lực ứng phó sự cố.

Các nhà nghiên cứu Roey Porat và Tom Fakterman lưu ý rằng các đối tượng tấn công đã cố gắng trích xuất dữ liệu nhạy cảm từ cơ sở dữ liệu và đánh cắp hộp thư điện tử của chính phủ. Chiến dịch phụ thuộc nhiều vào các kịch bản PHP và shell độc hại dường như được tạo ra bởi các tác nhân AI. Những kịch bản này chứa các ghi chú suy luận từng bước mang tính đối thoại thay vì tài liệu phát triển tiêu chuẩn, gợi ý rằng chúng được sao chép trực tiếp từ đầu ra của prompt AI hoặc được triển khai bởi các tác nhân tự động.

Cách thức hoạt động

Lõi của quá trình thực thi kỹ thuật liên quan đến SysGoRAT, một trojan truy cập từ xa tùy chỉnh được viết bằng Go. Nó hỗ trợ duy trì quyền truy cập trên cả hệ thống Windows và Linux và thiết lập kết nối điều khiển và lệnh (command-and-control) qua WebSocket tới một địa chỉ IP được mã hóa cứng. Sau khi kết nối, trojan có thể thực thi các lệnh tùy ý, khởi chạy shell tương tác, chụp màn hình, đánh cắp tệp và thiết lập kết nối proxy để truyền dữ liệu hai chiều.

Việc thu thập thông tin đăng nhập được thực hiện thông qua ba phương pháp cụ thể. Thứ nhất, các đối tượng tấn công đã thay thế tệp .bashrc bằng một phiên bản độc hại được thiết kế để đánh cắp mật khẩu. Thứ hai, họ chèn mã vào các trang đăng nhập PHP để bắt giữ thông tin đăng nhập quản trị. Thứ ba, họ quét các tệp cấu hình và lịch sử lệnh để tìm mật khẩu email, SMTP và cơ sở dữ liệu ở dạng văn bản thuần. Những phương pháp này cho phép họ di chuyển ngang hàng và mở rộng quyền truy cập sâu hơn trong các mạng bị xâm phạm.

Việc sử dụng AI cũng mở rộng sang việc tạo ra các kịch bản vận hành. Ví dụ, một kịch bản PHP có tên search_social.php đã được triển khai để tìm kiếm trong tiêu đề email các từ khóa liên quan đến tài khoản mạng xã hội. Một kịch bản khác, zip_mails.sh, có mục đích nén và đánh cắp email nhưng đã thất bại do lỗi cú pháp. Những lỗi này làm nổi bật những hạn chế hiện tại của mã do AI tạo ra, vốn có thể thiếu đi quy trình kiểm thử nghiêm ngặt thường thấy ở phần mềm độc hại do con người phát triển.

Chi tiết chính

• Chiến dịch, được theo dõi với mã CL-UNK-1211, nhắm vào hạ tầng Linux của chính phủ từ tháng 10 năm 2025 đến tháng 4 năm 2026.
• Các đối tượng tấn công đã sử dụng SysGoRAT, một trojan dựa trên Go, để duy trì quyền truy cập và giao tiếp qua WebSocket tới 104.194.158[.]65:443.
• Các kịch bản độc hại chứa các ghi chú suy luận mang tính đối thoại, cho thấy chúng được tạo ra bởi các mô hình ngôn ngữ lớn hoặc tác nhân AI.
• Việc đánh cắp thông tin đăng nhập bao gồm sửa đổi các tệp .bashrc, chèn mã PHP và quét tìm mật khẩu dạng văn bản thuần trong các tệp cấu hình.
• Các nhóm đe dọa đã cài đặt các dấu hiệu red-team giả mạo và xóa nhật ký để ngụy trang hoạt động của họ thành các bài kiểm tra bảo mật được ủy quyền.
• Các báo cáo ngành rộng hơn cho thấy việc lạm dụng các khung tác nhân (agentic frameworks) như ARTEX và PentAGI bởi các nhóm bao gồm Storm-0940 và Onyx Sleet.

Tại sao điều này quan trọng

Đối với các đội ngũ kỹ thuật quản lý hạ tầng Linux, chiến dịch này làm nổi bật một loại hình đe dọa mới nơi tốc độ và khối lượng vượt trội hơn so với sự bí mật. Việc sử dụng AI cho phép các đối tượng tấn công tạo ra và thích ứng các kịch bản một cách nhanh chóng, giảm thiểu gánh nặng thủ công. Mặc dù mã do AI tạo ra trong trường hợp này chứa các lỗi, khả năng phát động các cuộc tấn công với tốc độ máy móc nén ngắn dòng thời gian cho việc phát hiện và phản hồi, đòi hỏi các biện pháp phòng thủ tự động nhanh hơn.

Việc pha trộn các hoạt động tấn công với các dấu hiệu phòng thủ đặt ra một thách thức đáng kể cho các trung tâm điều hành bảo mật (SOC). Khi các đối tượng tấn công cài đặt các vật chứng red-team, nó tạo ra sự mơ hồ có thể làm đình trệ các nỗ lực điều tra. Các đội ngũ giờ đây phải xác minh không chỉ sự hiện diện của hoạt động đáng ngờ mà còn cả tính hợp pháp của bất kỳ dấu hiệu kiểm tra bảo mật nào, làm tăng thêm độ phức tạp cho quy trình làm việc ứng phó sự cố.

Hơn nữa, sự phụ thuộc vào các khung tác nhân mã nguồn mở như ARTEX cho thấy các công cụ tinh vi đang trở nên dễ tiếp cận hơn. Ngay cả khi các công cụ cụ thể bị gỡ bỏ, các biến thể như ARTEX PRO và ScopeWeaver sẽ xuất hiện nhanh chóng. Sự dân chủ hóa các khả năng tấn công tiên tiến này có nghĩa là các tổ chức phải giả định rằng các đối thủ có quyền truy cập vào các công cụ kiểm thử xâm nhập tự động mạnh mẽ, có thể quét và khai thác các lỗ hổng ở quy mô lớn.

Bạn có thể làm gì

• Giám sát các kết nối WebSocket bất thường tới các IP bên ngoài, đặc biệt là những kết nối cố gắng thiết lập kênh điều khiển và lệnh bền vững.
• Kiểm toán các tệp .bashrc và trang đăng nhập PHP để tìm các sửa đổi trái phép hoặc mã chèn có thể thu thập thông tin đăng nhập.
• Quét các tệp cấu hình và lịch sử lệnh để tìm mật khẩu dạng văn bản thuần và áp dụng việc sử dụng các giải pháp quản lý bí mật.
• Triển khai các quy trình xác minh nghiêm ngặt đối với bất kỳ dấu hiệu red-team hoặc hoạt động đánh giá bảo mật nào được tìm thấy trên các hệ thống sản xuất.
• Xem xét nhật ký máy chủ để tìm các dấu hiệu xóa nhật ký hoặc vô hiệu hóa bảo vệ endpoint, đây là những chỉ báo sớm về sự xâm phạm.
• Cập nhật các quy tắc phát hiện để nhận diện các mẫu kịch bản do AI tạo ra, chẳng hạn như các bình luận mang tính đối thoại hoặc cấu trúc mã không chuẩn.