Nhóm ransomware ứng dụng AI nhắm mục tiêu vào thiết bị edge của doanh nghiệp vừa và nhỏ và máy chủ cPanel

Các nhà nghiên cứu an ninh mạng đã phát hiện một chiến dịch ransomware tinh vi, tận dụng trí tuệ nhân tạo (AI) để tự động hóa việc xâm nhập vào mạng lưới của các doanh nghiệp vừa và nhỏ. Các chi nhánh thuộc nhóm ransomware INC và The Gentlemen đã sử dụng một khung làm việc tùy chỉnh có tên là Phantom để khai thác các thiết bị edge phổ biến, bao gồm cổng bảo mật Fortinet và bảng điều khiển lưu trữ cPanel, trong suốt cuối năm 2026.

Diễn biến sự việc

Chiến dịch này được chỉ đạo bởi một mối đe dọa nói tiếng Nga, đóng vai trò vừa là người vận hành xâm nhập, vừa là nhà cung cấp cơ sở hạ tầng cho các đối tác ransomware khác. Yếu tố then chốt dẫn đến thành công của họ là khung làm việc Phantom, một "Khung chuỗi giết chóc Red Team tự động" thực hiện các cuộc tấn công bằng cách sử dụng các mô hình AI thương mại được lưu trữ trên OpenRouter thông qua OpenCode. Trong khi AI xử lý việc thực thi kỹ thuật các lệnh và hoạt động trinh sát, một người vận hành vẫn luôn giám sát, cung cấp các câu lệnh cụ thể và xem xét từng bước để đảm bảo cuộc tấn công diễn ra theo đúng kế hoạch. Nếu một mô hình AI từ chối câu lệnh độc hại, người vận hành chỉ cần viết lại yêu cầu dưới dạng đánh giá red team được ủy quyền, qua đó vượt qua các bộ lọc an toàn mà không cần chuyển đổi mô hình.

Các nhà nghiên cứu của SOCRadar đã phát hiện ra hệ sinh thái này sau khi phân tích một thư mục bị lộ tại địa chỉ IP 45.227.254[.]43. Nhật ký ghi nhận 8.257 tin nhắn trải dài trên 133 phiên, chi tiết cách thức các kẻ tấn công quản lý dữ liệu telemetry của nạn nhân, thông tin đăng nhập bị đánh cắp và tiến độ chiến dịch thông qua các cơ sở tri thức do AI quản lý. Chiến dịch nhắm mục tiêu vào 62 tổ chức, chủ yếu tại Hoa Kỳ, tập trung vào các lĩnh vực công nghiệp, sản xuất, năng lượng, y tế và dược phẩm. Bốn trong số các nạn nhân này cuối cùng đã bị liệt kê trên các trang web rò rỉ dữ liệu liên quan đến các nhóm ransomware INC và The Gentlemen.

Chi tiết chính

• Kẻ tấn công đã tích cực khai thác CVE-2024-57727 trong SimpleHelp, CVE-2026-35616 trong Fortinet FortiClient và CVE-2026-41940 trong cPanel/WHM để giành quyền truy cập ban đầu.
• Phantom hỗ trợ 18 mô-đun kỹ năng, bao gồm trinh sát, dịch ngược nhị phân và lấy dấu vân tay EDR, kết nối thông qua 32 máy chủ Model Context Protocol được gọi là WormGPT-MCP.
• Việc tái sử dụng thông tin đăng nhập là một yếu tố gia tăng sức mạnh chính; một trường hợp cụ thể cho thấy một mật khẩu duy nhất giúp truy cập đồng thời vào VPN, máy chủ, công cụ RMM và nền tảng sao lưu.
• Nhóm này sử dụng đường hầm RevSocks reverse-SOCKS5 để di chuyển ngang và trích xuất dữ liệu, ưu tiên các tệp tài chính, nhân sự, pháp lý và hồ sơ của ban lãnh đạo.
• Chiến thuật tống tiền tập trung vào dữ liệu, sử dụng AI để phân tích các bản ghi tài chính bị đánh cắp và xác định số tiền chuộc mà nạn nhân có thể trả mà không cần sự can thiệp của ngân hàng hoặc công ty bảo hiểm.
• Các khai thác khác được phát triển hoặc tham chiếu bao gồm các lỗ hổng trong SonicWall SMA 1000, WordPress wp2shell, LiteLLM và Drupal.

Bối cảnh

Để hiểu rõ mức độ nghiêm trọng của chiến dịch này, cần nhận thức được vai trò của các thiết bị edge trong cơ sở hạ tầng CNTT hiện đại. Các thiết bị edge như tường lửa, cổng VPN và bảng điều khiển lưu trữ nằm ở ranh giới giữa mạng nội bộ của công ty và internet công cộng. Chúng thường xuyên trở thành mục tiêu vì chúng luôn trực tuyến và thường quản lý các điểm truy cập quan trọng. Khi các thiết bị này chứa các lỗ hổng chưa được vá, chẳng hạn như các lỗ hổng bỏ qua xác thực được tìm thấy trong các sản phẩm của Fortinet và cPanel, kẻ tấn công có thể lọt vào bên trong mà không cần lừa đảo nhân viên qua email phishing.

Việc sử dụng AI trong bối cảnh này đánh dấu sự chuyển dịch từ hack thủ công sang xâm nhập tự động và có khả năng mở rộng quy mô. Các cuộc tấn công ransomware truyền thống đòi hỏi nỗ lực lớn từ con người để lập bản đồ mạng và tìm kiếm điểm yếu. Bằng cách sử dụng một tác nhân AI như Phantom, kẻ tấn công có thể nhanh chóng xử lý thông tin, thích ứng với các môi trường mạng khác nhau và thực hiện các chuỗi lệnh phức tạp với sự can thiệp tối thiểu từ con người. Cấu trúc "được phê duyệt bởi con người" đảm bảo rằng mặc dù AI thực hiện phần lớn công việc nặng nhọc, nhưng các quyết định chiến lược vẫn nằm dưới sự kiểm soát của con người, khiến chiến dịch vừa nhanh chóng vừa chính xác.

Tại sao điều này quan trọng

Đối với các đội ngũ vận hành phần mềm riêng và quản lý cơ sở hạ tầng riêng, sự cố này nhấn mạnh rủi ro nghiêm trọng từ các dịch vụ edge chưa được vá lỗi. Các công ty vừa và nhỏ thường dựa vào các giải pháp như cPanel cho lưu trữ web hoặc Fortinet cho truy cập từ xa an toàn. Những công cụ này tiện lợi nhưng sẽ trở thành điểm thất bại đơn lẻ nếu không được bảo trì tỉ mỉ. Thực tế rằng kẻ tấn công nhắm mục tiêu cụ thể vào các nền tảng phổ biến này có nghĩa là bất kỳ sự chậm trễ nào trong việc áp dụng các bản cập nhật bảo mật đều có thể khiến toàn bộ mạng của bạn bị phơi bày trước các nỗ lực xâm nhập tự động.

Hơn nữa, sự phụ thuộc vào việc tái sử dụng thông tin đăng nhập chứng minh rằng bảo vệ biên mạng đơn thuần là không đủ. Sau khi xâm phạm các thiết bị edge, kẻ tấn công đã sử dụng mật khẩu bị đánh cắp để di chuyển ngang qua mạng, truy cập vào các hệ thống sao lưu và nền tảng quản lý bảo mật. Điều này gợi ý rằng ngay cả khi bạn vá các dịch vụ hướng ra ngoài, vệ sinh mật khẩu nội bộ yếu kém vẫn có thể cho phép kẻ tấn công duy trì sự hiện diện và trích xuất dữ liệu nhạy cảm. Việc sử dụng các đường hầm reverse-SOCKS cũng chỉ ra rằng giám sát mạng truyền thống có thể bỏ sót lưu lượng này nếu không đặc biệt tìm kiếm các kết nối proxy bất thường.

Bạn có thể làm gì

• Vá lỗi ngay lập tức các cài đặt Fortinet FortiClient, cPanel/WHM và SimpleHelp để giải quyết các lỗ hổng đang bị khai thác tích cực: CVE-2026-35616, CVE-2026-41940 và CVE-2024-57727.
• Áp dụng mật khẩu mạnh và duy nhất cho tất cả các tài khoản quản trị, đặc biệt là những tài khoản có quyền truy cập vào VPN, công cụ RMM và hệ thống sao lưu, để ngăn chặn các cuộc tấn công tái sử dụng thông tin đăng nhập.
• Giám sát các mẫu lưu lượng outbound bất thường, chẳng hạn như kết nối reverse-SOCKS, có thể chỉ ra hoạt động di chuyển ngang hoặc trích xuất dữ liệu trong mạng của bạn.
• Hạn chế quyền truy cập quản trị vào các thiết bị edge bằng cách giới hạn số lần đăng nhập vào các địa chỉ IP cụ thể và yêu cầu xác thực đa yếu tố (MFA) ở mọi nơi có thể.
• Xem xét và củng cố cấu hình sao lưu để đảm bảo chúng không thể truy cập được bằng cùng thông tin đăng nhập với các hệ thống sản xuất chính.
• Triển khai giám sát heartbeat tự động cho các công việc bảo trì và sao lưu quan trọng để phát hiện nếu các công cụ bảo mật hoặc quy trình bảo vệ dữ liệu đã bị vô hiệu hóa âm thầm.