Mã độc Aoki mở rộng phạm vi tấn công, nhắm vào thông tin xác thực AI

Các nhà nghiên cứu bảo mật vừa phát hiện một bước tiến nguy hiểm trong chiến thuật của mã độc Aoki, một loại mã độc đánh cắp dữ liệu đang ngày càng mở rộng danh mục mục tiêu sang các công cụ trí tuệ nhân tạo.

Phương thức tấn công mới của mã độc Aoki

Thay vì chỉ tập trung vào trình duyệt hay ví tiền điện tử như trước đây, các phiên bản mới của Aoki đã bắt đầu tìm kiếm và thu thập dữ liệu liên quan đến các công cụ trí tuệ nhân tạo và trợ lý lập trình phổ biến. Loại mã độc này không khai thác lỗ hổng trực tiếp trên các dịch vụ AI, mà tập trung trích xuất dữ liệu nhạy cảm lưu trữ cục bộ trên thiết bị người dùng.

Việc đánh cắp thành công các khóa API hoặc token phiên làm việc cho phép kẻ tấn công mạo danh người dùng, truy cập tài khoản trả phí hoặc khai thác tài nguyên tính toán, kỹ thuật này được gọi là LLMjacking.

Phạm vi thu thập dữ liệu và hạ tầng điều khiển

Ngoài các dịch vụ AI, Aoki còn thu thập cookie trình duyệt, mật khẩu, thông tin thẻ tín dụng và dữ liệu từ các ứng dụng nhắn tin như Telegram, Discord. Điều này biến thiết bị nhiễm độc thành bàn đạp xâm nhập vào các kho lưu trữ mã nguồn và đường ống CI/CD.

Mã độc truyền dữ liệu về máy chủ điều khiển thông qua endpoint /gate, sử dụng các tên miền linh hoạt thay vì địa chỉ IP tĩnh như trước. Tên gọi của mã độc bắt nguồn từ chuỗi "Aokigahara" phát hiện trong quá trình giải mã.

Biện pháp phòng thủ và giảm thiểu rủi ro

Các đội ngũ bảo mật cần tích hợp các chỉ indicator vào hệ thống SIEM hoặc Threat Intelligence để chủ động săn tìm mối đe dọa. Người dùng và tổ chức không nên lưu trữ bí mật lâu dài trong các tệp tin cục bộ, thay vào đó cần dùng giải pháp quản lý chuyên dụng và giới hạn quyền hạn token ở mức tối thiểu.