Máy chủ của tin tặc bị lộ, hé lộ cuộc xâm nhập do AI agent thực hiện

Một máy chủ của nhóm tống tiền INC Ransomware và The Gentlemen bị lộ ra Internet. Nhóm nghiên cứu SOCRadar đã đọc được toàn bộ nhật ký hoạt động bên trong. Nội dung cho thấy các cuộc xâm nhập được thực hiện bởi AI agent, còn con người chỉ đóng vai trò ra lệnh và duyệt từng bước.

Đây là lần đầu có bằng chứng đầy đủ về một chiến dịch ransomware vận hành theo cấu trúc "AI thực hiện, con người phê duyệt". Bài viết tóm tắt những gì SOCRadar phát hiện, cách AI agent tấn công, và bài học phòng thủ rút ra.

Máy chủ bị lộ chứa những gì

Cuối tháng 9 năm 2026, một máy chủ chỉ huy đặt tại địa chỉ 45.227.254[.]43 bị mở quyền truy cập thư mục. Từ máy chủ này, SOCRadar lần ra thêm sáu máy chủ khác của cùng nhóm. Bên trong có ba thứ quý giá nhất cho điều tra. Thứ nhất là nhật ký 133 phiên làm việc của AI với 8.257 tin nhắn. Thứ hai là một cơ sở tri thức theo dõi nạn nhân và chứng chỉ đánh cắp. Thứ ba là mã nguồn của framework tấn công có tên "Phantom".

Phantom được mô tả là framework tấn công tự động kiểu "đội đỏ". Đội đỏ là nhóm mô phỏng kẻ tấn công để kiểm thử phòng thủ. Phantom gồm 18 module kỹ năng: trinh sát, đảo ngược mã nhị phân, nghiên cứu khai thác, đánh giá tín hiệu hệ thống (telemetry), nhận dạng phần mềm bảo vệ đầu cuối (EDR).

Ngoài Phantom còn có WormGPT-MCP. Đó là 32 máy chủ MCP nối hệ thống AI với các công cụ, từ trinh sát tới tống tiền. Còn có Ghost C2 với ba thế hệ mã độc cấy ghép (implant) đa hình. Chúng liên lạc qua Cloudflare, Telegram hoặc DNS.

Cũng trên các máy chủ này là 46 bản mã hóa INC dựng sẵn. Chúng được đóng gói để triển khai vào ngày 1/10/2026. Một ảnh chụp màn hình SimpleHelp ngày 30/9 cho thấy mã hóa đang chạy trên máy trạm của nạn nhân.

AI agent tấn công như thế nào

Điểm đáng chú ý nhất là mô hình vận hành. SOCRadar đánh giá với độ tin cậy cao rằng đây là cấu trúc "AI thực hiện, con người phê duyệt". Con người đưa ra một prompt tổng cho từng nạn nhân. AI lên kế hoạch trinh sát, chọn kỹ thuật, sinh lệnh, sắp xếp dữ liệu đánh cắp và soạn báo cáo. Mỗi bước đều chờ người duyệt trước khi chạy.

Công cụ là OpenCode, chạy trên các mô hình thương mại phổ thông qua OpenRouter. Cụ thể là anthropic/claude-opus-4.6 và moonshotai/kimi-k3. "WormGPT" trong chiến dịch này chỉ là một prompt đóng vai nhân cách. Nó không phải mô hình AI mới. Khi mô hình từ chối thực hiện yêu cầu, kẻ tấn công viết lại yêu cầu dưới dạng "đánh giá đội đỏ được ủy quyền". Chúng không đổi mô hình.

Hai tài khoản OpenRouter trả phí được phát hiện vẫn còn hoạt động khi kiểm tra ngày 5/10. Một trong hai gần như đã dùng hết ngân sách sau khi chi hơn 23.920 đô la cho API. Con số này cho thấy quy mô vận hành. AI không phải công cụ phụ trợ mà là nhân lực chính của chiến dịch.

Họ khai thác những lỗ hổng nào

Kẻ tấn công bắt đầu bằng cách khai thác hàng loạt thiết bị biên công khai trên Internet. Sau đó chúng di chuyển ngang trong mạng, leo thang đặc quyền, đánh cắp chứng chỉ và tiến tới triển khai mã hóa.

Theo hồ sơ của chính nhóm tin tặc, ba lỗ hổng bị khai thác nhiều nhất là:

Lỗ hổng	Mục tiêu	Quy mô theo hồ sơ tin tặc
CVE-2026-35616	FortiClient EMS (bỏ qua xác thực)	2.236 mục tiêu, 108 tài khoản quản trị tạo thêm
CVE-2024-57727	SimpleHelp (path traversal)	Quét 4.922 máy chủ, 427 mật khẩu quản trị bị lộ
CVE-2026-41940	cPanel/WHM (bỏ qua xác thực)	Hơn 49 vụ xâm nhập nhà cung cấp hosting nhỏ

SOCRadar ghi rõ các con số trên chưa được kiểm chứng độc lập. Ngoài ra còn có CVE-2026-15409 trên SonicWall SMA1000 ở trạng thái chuẩn bị. CVE-2026-63030 trên WordPress và các lỗ hổng SQL injection trên LiteLLM và Drupal ở trạng thái phát triển.

Sau khi vào trong, nhóm này liệt kê domain rồi leo lên quyền quản trị domain. Chúng dùng công cụ đánh cắp thông tin đăng nhập (stealer) để gom chứng chỉ. Chúng ưu tiên các file tài chính, nhân sự, pháp lý và lãnh đạo. Sau đó chúng tuồn dữ liệu ra ngoài qua đường hầm ngược (reverse-SOCKS).

Tổng cộng 62 tổ chức bị đưa vào danh sách mục tiêu, trong đó 36 ở Mỹ. Các ngành bị nhắm nhiều nhất là công nghiệp, sản xuất và năng lượng. Tiếp theo là y tế và dược phẩm.

Việc tống tiền theo kịch bản có sẵn. Chúng phân tích tình hình tài chính đánh cắp được để định giá tiền chuộc. Chúng gửi mẫu bằng chứng đã che mờ và gọi điện đe dọa theo kịch bản. Chúng dọa thông báo cho khách hàng, đối tác và cơ quan quản lý. Hạn chót từ 24 đến 72 giờ. Tiền chuộc dự kiến bằng Monero, nhưng không tìm thấy ví hay hồ sơ thanh toán nào.

Điểm yếu bất ngờ: agent ghi nhớ quá kỹ

Trớ trêu thay, chính thứ làm cho chiến dịch mạnh cũng là thứ khiến nó bị lộ. Để agent hoạt động hiệu quả qua nhiều ngày, kẻ tấn công duy trì cơ sở tri thức và nhật ký phiên đầy đủ. Trong đó có trạng thái nạn nhân, chứng chỉ và tiến độ chiến dịch. Khi máy chủ bị mở, toàn bộ vết tích điều tra nằm gọn trong đó.

Đây cũng là bài học cho người xây dựng agent hợp pháp. Nhật ký và bộ nhớ của agent là tài sản, nhưng cũng là bề mặt rủi ro. Nếu không kiểm soát thời gian lưu trữ, quyền truy cập và mã hóa của chúng, mọi thông tin nhạy cảm sẽ nằm phơi bày khi hạ tầng bị xâm nhập. Kẻ tấn công dùng AI để gây án, nhưng chính nhật ký AI là bằng chứng buộc tội chúng.

Bài học phòng thủ cho người vận hành

Vụ việc này không đòi hỏi công nghệ phòng thủ mới. Nó đòi hỏi làm đúng những việc cơ bản:

1. Vá thiết bị biên ngay. FortiClient EMS, SimpleHelp, cPanel và các VPN gateway là cửa vào chính. Tin tặc quét và khai thác chúng ở quy mô hàng nghìn máy chủ.
2. Kiểm soát tài khoản quản trị. Việc tạo thêm tài khoản quản trị và tái sử dụng một mật khẩu cho nhiều hệ thống là hai đòn bẩy lớn nhất. Trong một vụ, một mật khẩu tái sử dụng mở được VPN, máy chủ, hệ thống quản lý từ xa, sao lưu và cả hệ thống bảo mật.
3. Tách mạng cho công cụ quản trị từ xa. Chứng chỉ kỹ thuật viên MSP bị đánh cắp mở ra quyền truy cập vào mọi khách hàng mà kỹ thuật viên đó quản lý.
4. Giám sát dấu hiệu của agent tự động. Các phiên làm việc kéo dài, lệnh được sinh hàng loạt, truy cập tri thức có cấu trúc. Đó là dấu vết của agent, dù là agent của bạn hay của kẻ tấn công.
5. Quản lý vòng đời nhật ký AI. Đặt thời gian lưu trữ, phân quyền truy cập và mã hóa cho mọi log và knowledge base của agent trong hệ thống của bạn.

SOCRadar đã công bố toàn bộ chỉ dấu xâm nhập (IOC) và kỹ thuật (TTP) trong báo cáo gốc. Nếu hạ tầng của bạn có FortiClient EMS, SimpleHelp hoặc cPanel lộ ra Internet, đây là thời điểm kiểm tra lại.

Nguồn tham khảo

• SOCRadar Threat Research Unit, "INC and The Gentlemen Ransomware: Exposed AI Infrastructure", báo cáo gốc với đầy đủ IOC và TTP.
• The Hacker News, "Exposed Infrastructure Reveals How Ransomware Affiliates Used AI Agents to Execute Intrusions", tường thuật ngày 23/10/2026.

Bài liên quan trên blog: Ngày 21/10: khóa CA là số 4 và bốn lớp tin cậy nứt cùng lúc — tổng hợp làn sóng sự cố bảo mật tuần trước.