Điểm chính

  • Hàng trăm tác nhân AI đã được tin tặc sử dụng để nhắm mục tiêu vào các máy chủ PaperCut NG và MF kết nối Internet.
  • Chiến dịch khai thác hai lỗ hổng nghiêm trọng để thực thi mã từ xa và thiết lập đường hầm xâm nhập mạng nội bộ.
  • Các chuyên gia khuyến cáo việc vá lỗi là chưa đủ, quản trị viên cần rà soát toàn bộ hệ thống để loại bỏ backdoor.

Một chiến dịch tội phạm mạng quy mô lớn vừa được phát hiện, khai thác hàng trăm tác nhân trí tuệ nhân tạo (AI agents) nhằm tấn công các máy chủ quản lý in ấn PaperCut NG và MF kết nối trực tiếp với Internet.

Quy mô và phương thức tấn công

Theo báo cáo từ các chuyên gia an ninh mạng, chiến dịch này đã ảnh hưởng đến ít nhất 440 thực thể tại 395 tổ chức trên tổng số 48 quốc gia. Điểm kỹ thuật đáng chú ý nhất là sự kết hợp giữa các mô hình như OpenAI Codex và DeepSeek nhằm mục đích tự động phát triển, thử nghiệm và triển khai mã khai thác với số lượng lớn.

Các lỗ hổng bảo mật bị lợi dụng

Chiến dịch tập trung khai thác hai lỗ hổng nghiêm trọng trong phần mềm PaperCut NG và MF. Cụ thể, lỗ hổng CVE-2026-81578 cho phép các yêu cầu không cần xác thực can thiệp vào cấu hình hệ thống. Trong khi đó, CVE-2026-82078 là lỗi tải lớp không an toàn, tạo điều kiện cho tin cặc thực thi mã từ xa (RCE) ngay sau khi cấu hình bị thay đổi thành công.

Vai trò của AI trong quy trình tấn công

Các nhà nghiên cứu tại Hunt.io đã tìm thấy nhiều thư mục chứa tệp hướng dẫn dành cho AI, mã khai thác cùng nhật ký hoạt động. Quy trình này phản ánh bước tiến mới trong phương thức tấn công khi kẻ xấu tận dụng AI để kiểm tra mức độ dễ bị tổn thương, sau đó tự động điều chỉnh cấu hình hệ thống để mở đường thực thi mã độc thay vì chỉ dùng một đoạn mã đơn lẻ.

Mở rộng phạm vi xâm nhập mạng nội bộ

Ngay khi chiếm được quyền truy cập ban đầu vào máy chủ in ấn, nhóm tấn công tiếp tục triển khai các công cụ chuyên dụng để thu thập dữ liệu từ Windows Registry cùng thông tin xác thực dịch vụ. Hơn nữa, chúng còn thiết lập các đường hầm SOCKS ngược (reverse SOCKS tunnels) nhằm định tuyến lưu lượng truy cập, qua đó thâm nhập sâu hơn vào hạ tầng mạng nội bộ của nạn nhân.

Biện pháp phòng ngừa và xử lý

Để đối phó hiệu quả với mối đe dọa này, các tổ chức buộc phải nhanh chóng thực hiện các biện pháp tăng cường bảo mật hệ thống. Tuy nhiên, việc áp dụng các bản vá lỗi chỉ đóng vai trò bước đầu; quản trị viên bắt buộc phải kiểm tra kỹ lưỡng các dấu hiệu xâm nhập đã tồn tại từ trước.

Cảnh báo quan trọng cho thấy việc vá lỗ hổng hoàn toàn không thể tự động xóa bỏ các backdoor hay đường hầm SOCKS đã được thiết lập sẵn. Do đó, các đơn vị cần tiến hành rà soát toàn diện Active Directory cùng các tài khoản đặc quyền ngay sau khi hoàn tất việc cập nhật bản vá.