CẢNH BÁO MÃ ĐỘC

Microsoft cảnh báo: AI Chatbot bị lợi dụng để dẫn dụ người dùng vào các trang web chứa mã độc đào tiền ảo

Microsoft vừa phát hiện một chiến dịch cryptojacking (đào tiền ảo trái phép) tinh vi, sử dụng các tương tác với chatbot AI làm công cụ để hiển thị các trang web tải xuống độc hại. Kẻ tấn công nhắm mục tiêu vào các hệ thống sở hữu GPU hiệu năng cao thông qua việc giả mạo các phần mềm tiện ích hệ thống phổ biến.

Thủ đoạn tinh vi: Từ SEO Poisoning đến AI Poisoning

Theo báo cáo từ Microsoft Defender Experts, thay vì chỉ sử dụng kỹ thuật SEO Poisoning truyền thống để thao túng kết quả tìm kiếm, tội phạm mạng hiện đã mở rộng sang việc đầu độc kết quả từ các mô hình ngôn ngữ lớn (LLM). Khi người dùng yêu cầu AI chatbot đề xuất các liên kết tải phần mềm, chatbot có thể đưa ra các tên miền do kẻ tấn công kiểm soát dựa trên dữ liệu đã bị "đầu độc".

Ứng dụng bị giả mạo:

CrystalDiskInfo
HWMonitor
Display Driver Uninstaller
FurMark

Mục tiêu tấn công:

Hệ thống có GPU mạnh
Đánh cắp dữ liệu
Thiết lập truy cập từ xa (RAT)
Triển khai Ransomware

Chuỗi tấn công và kỹ thuật lẩn trốn

Tệp ZIP độc hại chứa một tệp thực thi hợp lệ đi kèm với một tệp DLL giả mạo (autorun.dll). Khi người dùng khởi chạy, mã độc sẽ cài đặt phần mềm ScreenConnect để kẻ tấn công chiếm quyền điều khiển từ xa. Sau đó, một trình đào tiền ảo (gminer, lolMiner hoặc SRBMiner-MULTI) sẽ được triển khai dưới dạng tiến trình ẩn danh thông qua kỹ thuật process hollowing.

Đặc biệt, mã độc này có khả năng tự động dừng hoạt động đào tiền nếu phát hiện người dùng mở các công cụ giám sát hệ thống như Task Manager hoặc Process Explorer để tránh bị phát hiện.

HÀNH ĐỘNG KHẨN CẤP DÀNH CHO DOANH NGHIỆP

Cẩn trọng với các liên kết tải xuống được đề xuất bởi chatbot AI, luôn kiểm tra lại nguồn chính thống của nhà phát triển.
Giám sát các hoạt động bất thường của GPU và các kết nối mạng không xác định từ công cụ ScreenConnect hoặc PowerShell.
Cấu hình các giải pháp Endpoint Protection (EDR) để chặn các hành vi sideloading DLL và thực thi mã trong bộ nhớ.
Thực hiện nguyên tắc đặc quyền tối thiểu (Least Privilege), đặc biệt với các tài khoản có quyền sudo trên Linux hoặc Administrator trên Windows.

Nguồn tham khảo: The Hacker News

LIÊN HỆ ĐỘI NGŨ ỨNG CỨU SỰ CỐ TMGS

Microsoft cảnh báo: AI Chatbot bị lợi dụng để phát tán mã độc đào tiền ảo Cryptojacking