Các nhà nghiên cứu của Dream vừa phát hiện một chiến dịch tấn công mạng nghi có sự hỗ trợ của AI, đã chiếm quyền kiểm soát hoàn toàn 25 máy chủ tường lửa Palo Alto Networks (PANW) chạy hệ điều hành PAN-OS. Nạn nhân nằm ở Mỹ, Nhật Bản, Đài Loan và Hàn Quốc, trong đó có hệ thống thuộc một tổ chức liên quan đến chính phủ Mỹ.

Cách thức tấn công

Kẻ tấn công kết hợp hai lỗ hổng: bộ khai thác PHP2Shell nhắm vào giao diện web quản trị của tường lửa, sau đó dùng lỗi nâng quyền trong nhân hệ điều hành mang tên Fragnesia để giành quyền root. Giao diện này cũng chính là cổng GlobalProtect mà nhiều công ty dùng cho nhân viên làm việc từ xa. Hãy hình dung tường lửa như cổng bảo vệ của một tòa nhà: khi kẻ gian chiếm được chính chiếc chìa khóa tổng của bảo vệ, cả tòa nhà đều nguy hiểm.

Vai trò của AI và hậu quả

Sau khi chiếm tường lửa, nhóm tấn công nhắm tới Active Directory, hệ thống quản lý tài khoản của tổ chức, và đã lấy cắp thông tin đăng nhập. Trên hạ tầng của chúng có cài Claude Code, cùng nền tảng bảo mật tấn công aiscan được cấu hình với các LLM DeepSeek và Kimi của Trung Quốc, và khóa API của nền tảng do thám FOFA. Hiện chưa có bằng chứng AI trực tiếp viết mã khai thác.

Unit 42 của Palo Alto Networks đã xác nhận kết quả và hãng đang phát hành các bản vá. Người dùng nên cập nhật sớm và không để giao diện quản trị lộ ra internet. Xem thêm tin công nghệ và AI trên VnRead.