Vapor Panda dùng ARTEX AI tấn công tự động hơn 200 tổ chức

Theo BleepingComputer, một nhóm tin tặc có liên hệ với Trung Quốc đã dùng ARTEX, một framework kiểm thử xâm nhập (penetration testing) dựa trên nhiều AI agent, để tấn công hơn 200 tổ chức tại 14 quốc gia. Điểm đáng chú ý không chỉ nằm ở quy mô. Theo CrowdStrike, đây là lần đầu nhóm này chuyển từ dùng AI agent cho từng vụ xâm nhập riêng lẻ sang để một người vận hành điều phối nhiều cuộc tấn công cùng lúc.

Với người làm bảo mật, sự việc cho thấy tấn công bằng AI agent đã ra khỏi phòng lab. Nó đang được dùng trong các chiến dịch gián điệp thật, nhắm vào viễn thông, chính phủ và tài chính.

Chiến dịch diễn ra thế nào

Theo bài gốc, chiến dịch bắt đầu từ ngày 17/10. Mục tiêu gồm các bộ ngành chính phủ, nhà mạng viễn thông và tổ chức thuộc nhiều lĩnh vực: dược phẩm, bán dẫn, quốc phòng, hạt nhân, tài chính. Kết quả tính đến khi bài gốc đăng:

• Ít nhất 9 tổ chức đã bị xâm nhập.
• Ít nhất 12 mục tiêu giá trị cao khác bị tấn công password spraying và dò quét thông tin đăng nhập (credential scanning).
• Các nạn nhân đã được xác nhận gồm nhà mạng viễn thông ở Mỹ và Bỉ, cơ quan chính phủ ở Hy Lạp, Trung Đông và Mỹ Latinh, cùng các công ty dược phẩm tại Mỹ.

CrowdStrike theo dõi nhóm này dưới tên Vapor Panda. Theo nhóm nghiên cứu, chiến dịch là bước leo thang trong cách các nhóm liên hệ với Trung Quốc dùng AI agent: một người điều khiển nhiều cuộc tấn công song song, thay vì từng vụ đơn lẻ. Danh sách đầy đủ 14 quốc gia bị nhắm tới chưa được bài gốc công bố.

Vai trò của AI agent trong cuộc tấn công

CrowdStrike mô tả cách chia việc như sau. Người vận hành ra lệnh bằng tiếng Trung và chỉ can thiệp ở những điểm cần ra quyết định quan trọng. Phần còn lại do các agent tự làm:

• Trinh sát (reconnaissance) hệ thống mục tiêu.
• Khai thác lỗ hổng để giành quyền truy cập ban đầu.
• Cài web shell để duy trì quyền truy cập.
• Thu thập thông tin đăng nhập (credentials).
• Tìm đường tấn công khác khi hướng ban đầu bị chặn.

Ngoài ARTEX, Vapor Panda còn dùng DeepSeek và một mô hình ngôn ngữ thương mại thứ hai (chưa xác định được) để điều phối các agent lập kế hoạch (planning agent) và agent thực thi (worker agent) trên nhiều vụ xâm nhập cùng lúc.

Có hai chi tiết đáng lưu ý:

1. Né EDR có chủ đích. Kẻ tấn công ra lệnh rõ ràng cho agent bỏ qua các máy Windows được bảo vệ bởi Falcon (giải pháp endpoint của CrowdStrike) và chỉ tập trung vào các host không được bảo vệ.
2. Tiêu tốn tài nguyên rất lớn. Các nhà nghiên cứu ước tính riêng một vụ xâm nhập đã ngốn hơn 1,4 tỷ input token.

Trong vụ tấn công cơ quan chính phủ Hy Lạp, các agent đã giả mạo token quản trị viên và đọc hộp thư. Chúng làm được việc này nhờ các khóa xác thực lấy từ một bản export thư mục của mail server từ năm 2022. Nói cách khác, một tài sản cũ bị quên lãng đã trở thành chìa khóa vào hệ thống hiện tại.

CrowdStrike cũng phát hiện nhóm này triển khai BLOODALCHEMY, một backdoor đã hoạt động từ năm 2023, nhắm vào các cơ quan chính phủ ở Mỹ Latinh và Trung Đông. Như vậy AI agent không thay thế hoàn toàn bộ công cụ truyền thống mà chạy song song với nó.

ARTEX AI là gì

ARTEX AI là bộ công cụ kiểm thử xâm nhập do các nhà phát triển Trung Quốc xây dựng. Ban đầu nó được phát hành dưới dạng mã nguồn mở. Sau khi công cụ bị dùng trong các cuộc tấn công thật, trong đó có chiến dịch nhắm vào các tổ chức tài chính Hàn Quốc, nhóm tác giả đã chuyển nó sang dạng độc quyền (proprietary).

Đây là vấn đề quen thuộc của công cụ "lưỡng dụng". Một framework được quảng bá cho red team hoàn toàn có thể trở thành vũ khí trong tay kẻ tấn công. Đóng mã nguồn sau khi sự việc xảy ra cũng không thu hồi được những bản đã phát tán.

Thêm một nạn nhân: DIVD

Bài gốc cũng cập nhật vụ tấn công vào DIVD (Dutch Institute for Vulnerability Disclosure), tổ chức phi lợi nhuận về công bố lỗ hổng của Hà Lan, xảy ra vào tháng 9/2026. Trên LinkedIn, DIVD xác nhận công cụ đã tấn công mạng của họ là ARTEX AI, hoạt động tự động. Theo DIVD:

• Từ lúc có truy cập ban đầu đến khi giành quyền root chỉ mất 12 phút.
• Agent xâu chuỗi một zero-day trong Zammad (phần mềm helpdesk/ticketing) với một zero-day thứ hai để leo thang đặc quyền cục bộ.
• Agent làm nhiều việc cùng lúc: đọc một hộp thư đã bị chiếm, quét mạng nội bộ, trích xuất login token, thử reset mật khẩu.
• DIVD ghi nhận hơn 450.000 request và 2.500 script liên quan đến vụ tấn công. Họ mô tả hoạt động này là "cực kỳ ồn ào và lộn xộn".

Chi tiết "ồn ào" này đáng suy nghĩ. Agent tấn công rất nhanh nhưng cũng để lại rất nhiều dấu vết. Hệ thống có giám sát tốt hoàn toàn có cơ hội phát hiện nó, miễn là có người xem log và có cảnh báo phù hợp.

Vì sao đội ngũ kỹ thuật Việt Nam nên quan tâm

Bài gốc không nhắc tới Việt Nam trong danh sách nạn nhân đã xác nhận. Tuy vậy, các ngành bị nhắm tới đều có mặt ở Việt Nam: viễn thông, cơ quan nhà nước, tài chính – ngân hàng, dược phẩm, bán dẫn. Ngành bán dẫn trong nước cũng đang được đầu tư mạnh. Vài điểm thực tế rút ra từ sự việc (đây là nhận định của người viết, không phải khuyến nghị từ nguồn):

• Tốc độ tấn công vượt nhịp vận hành thủ công. 12 phút từ truy cập ban đầu tới root có nghĩa là quy trình "sáng mai xem cảnh báo" là quá chậm. Cần cảnh báo thời gian thực và có người trực, hoặc có cơ chế tự động cách ly.
• Máy không có EDR là đích ngắm ưu tiên. Kẻ tấn công cố tình né host có Falcon. Máy chủ legacy, máy lab hay VM bị quên thường không cài agent bảo vệ, và đó chính là chỗ chúng nhắm tới.
• Tài sản cũ là rủi ro thật. Một bản export từ năm 2022 vẫn đủ để giả mạo token admin. Bản backup cũ, file export cấu hình, key không được xoay vòng đều là mục tiêu.
• Phần mềm self-hosted phổ biến cũng có thể có zero-day. Zammad, GitLab, Jira hay các hệ thống helpdesk nội bộ khác thường mở ra Internet và ít được chú ý.

Doanh nghiệp nên kiểm tra gì ngay

Đây là checklist gợi ý của người viết, không phải từ CrowdStrike hay DIVD:

1. Rà soát độ phủ EDR. Đối chiếu danh sách tài sản (CMDB, inventory cloud) với danh sách máy đã cài agent endpoint. Máy nào thiếu thì xử lý trước.
2. Chống password spraying. Bật MFA cho mọi tài khoản truy cập từ xa, đặc biệt là email và VPN. Theo dõi số lần đăng nhập thất bại trải đều trên nhiều tài khoản từ cùng một nguồn.
3. Xoay vòng khóa và token. Tìm các bản export, backup cấu hình mail server và directory cũ. Thu hồi những khóa xác thực còn hiệu lực trong đó.
4. Tìm web shell. Kiểm tra các file mới hoặc vừa bị sửa trong thư mục web.
5. Giám sát lưu lượng bất thường. Hàng trăm nghìn request trong thời gian ngắn là dấu hiệu dễ thấy nếu có ngưỡng cảnh báo.

Một vài lệnh tham khảo trên máy chủ Linux:

# Tìm file script trong web root bị thay đổi trong 30 ngày qua
find /var/www -type f \( -name "*.php" -o -name "*.jsp" -o -name "*.aspx" \) -mtime -30 -ls

# Đếm IP đăng nhập SSH thất bại nhiều nhất
grep "Failed password" /var/log/auth.log | awk '{print $(NF-3)}' | sort | uniq -c | sort -rn | head

# Kiểm tra tiến trình đang lắng nghe kết nối lạ
ss -tulpn

Nếu đang dùng Zammad, hãy theo dõi kênh thông báo bảo mật của dự án và cập nhật bản vá ngay khi có. Thông tin chi tiết về hai zero-day mà DIVD gặp phải, như mã CVE hay phiên bản bị ảnh hưởng, chưa được bài gốc nêu.

Lưu ý và hạn chế của thông tin

• Phần lớn chi tiết về Vapor Panda đến từ nghiên cứu của CrowdStrike, công ty bán chính giải pháp Falcon được nhắc tới trong bài. Chi tiết kẻ tấn công cố tình né máy có Falcon là phát hiện của chính hãng. Độc giả nên lưu ý bối cảnh này khi đánh giá.
• Con số 1,4 tỷ input token được mô tả là ước tính ("researchers believe"), chưa phải số liệu đã kiểm chứng độc lập.
• Việc quy kết cho nhóm liên hệ với Trung Quốc dựa trên phân tích của CrowdStrike, ví dụ việc lệnh được ra bằng tiếng Trung. Bài gốc không nêu thêm bằng chứng kỹ thuật chi tiết.
• Danh tính mô hình ngôn ngữ thương mại thứ hai, danh sách đầy đủ 14 quốc gia và chi tiết các lỗ hổng bị khai thác trong chiến dịch: nguồn chưa nêu.

Kết

ARTEX AI và chiến dịch của Vapor Panda cho thấy bài toán phòng thủ đang thay đổi. Kẻ tấn công không còn bị giới hạn bởi số người trong nhóm. Một người vận hành có thể điều khiển nhiều cuộc tấn công song song, với agent tự trinh sát, khai thác và đổi hướng. Mặt khác, kiểu tấn công này vẫn khai thác những điểm yếu rất cơ bản: máy thiếu EDR, mật khẩu yếu, khóa cũ không được thu hồi, phần mềm chưa vá. Làm tốt những việc cơ bản đó, cộng với giám sát log đủ nhanh để bắt được một agent "ồn ào", vẫn là cách phòng thủ hiệu quả nhất hiện nay.

Nguồn: BleepingComputer