Phân tích chiến dịch tấn công Linux nhắm vào cơ quan nhà nước bằng script AI

Các nhà nghiên cứu bảo mật vừa phát hiện một chiến dịch tấn công mạng có độ phức tạp cao, nhắm thẳng vào các cơ quan chính phủ và hệ thống hạ tầng liên kết nhà nước. Chiến dịch này tận dụng các script được hỗ trợ bởi trí tuệ nhân tạo nhằm thu thập thông tin xác thực, chiếm quyền điều khiển máy chủ Linux và lùng sục dữ liệu nhạy cảm. Điểm mấu chốt là tin tặc không khai thác trực tiếp lỗ hổng phần mềm của lệnh sudo mà can thiệp trực tiếp vào các file khởi động shell.

Thủ đoạn đánh cắp mật khẩu sudo qua cấu hình shell

Trong chiến dịch này, tin tặc tiến hành thay thế file .bashrc của người dùng bằng một phiên bản đã bị chỉnh sửa, trong đó tích hợp sẵn một lệnh alias cho sudo. Mỗi khi người dùng thực hiện lệnh sudo trên hệ thống, hệ thống sẽ hiện ra một bảng nhập mật khẩu giả mạo. Thông tin này ngay lập tức bị ghi lại vào một file log riêng của kẻ xấu trước khi chuyển tiếp đến lệnh sudo thật để thực hiện yêu cầu của nạn nhân. Nhờ cơ chế này, người dùng hoàn toàn không nghi ngờ gì trong khi mật khẩu đã bị lộ.

Dấu vết AI và các công cụ độc hại khác

Nhóm tin tặc chịu trách nhiệm cho các hoạt động này được gắn mã định danh CL-UNK-1211. Qua phân tích, các script thu thập được xuất hiện nhiều đoạn chú thích và ghi chú suy luận theo từng bước, đây là dấu hiệu đặc trưng của mã nguồn sinh ra từ trí tuệ nhân tạo hoặc các tác nhân tự động. Dù chưa có khẳng định AI tự chủ động lập kế hoạch toàn bộ, nhưng rõ ràng công nghệ này đã đắc lực hỗ trợ tạo và tinh chỉnh mã độc.

Bên cạnh việc đánh cắp thông tin qua shell, nhóm tấn công còn cài cắm mã độc vào các trang đăng nhập PHP để thu thập tài khoản quản trị. Chúng cũng rà soát các file cấu hình và lịch sử lệnh nhằm tìm kiếm thông tin nhạy cảm như email, thông số SMTP hay cơ sở dữ liệu. Để duy trì quyền kiểm soát lâu dài, SysGoRAT - một loại Trojan viết bằng ngôn ngữ Go hỗ trợ cả Linux và Windows - đã được triển khai.

Biện pháp che giấu và khuyến nghị phòng thủ

Nhằm qua mặt các hệ thống giám sát, nhóm tấn công tìm cách vô hiệu hóa tiến trình bảo mật endpoint, xóa sạch log, lịch sử shell và cố tình ngụy tạo dấu thời gian của file. Chúng còn sử dụng các chuỗi đánh dấu giả như RedTeamOps2025 hoặc pentest123 nhằm ngụy trang thành một đợt kiểm thử xâm nhập hợp pháp.

Các chuyên gia nhấn mạnh rằng việc vá lỗi phần mềm là chưa đủ để khắc phục sự cố này do cấu hình shell cục bộ đã bị can thiệp. Quản trị viên buộc phải kiểm tra thủ công các file như .bashrc, .profile cùng các cấu hình PHP. Mọi biến động bất thường trong các file này đều phải được xem xét là dấu hiệu hệ thống đã bị xâm nhập. Để phòng thủ toàn diện, các tổ chức cần siết chặt giám sát lưu lượng mạng đi, đặc biệt chú ý kết nối qua cổng 443 đến các địa chỉ IP lạ, đồng thời áp dụng các giải pháp EDR/XDR để phát hiện kịp thời các hành vi bất thường từ shell.