Microsoft đã đưa ra cảnh báo về một chiến dịch cryptojacking đang hoạt động, sử dụng các tương tác với chatbot trí tuệ nhân tạo (AI) như một cơ chế để hiển thị các trang web tải xuống độc hại.
"Kỹ thuật phân phối mới nổi này mở rộng hình thức social engineering vượt ra ngoài các kết quả tìm kiếm thông thường và làm tăng khả năng hiển thị của các đề xuất phần mềm độc hại," các chuyên gia Microsoft Defender và Nhóm nghiên cứu bảo mật Microsoft Defender cho biết trong một báo cáo công bố hôm thứ Ba.
Theo gã khổng lồ công nghệ, hoạt động này giả mạo các tiện ích hệ thống hợp pháp như CrystalDiskInfo, HWMonitor, Display Driver Uninstaller, FurMark, K-Lite Codec Pack và PDFgear, nhằm mục tiêu vào những người dùng sở hữu GPU hiệu năng cao. Ý tưởng là tập trung xâm nhập vào các hệ thống có giá trị khai thác tiền ảo cao thay vì lây nhiễm hàng loạt một cách bừa bãi.
Mục tiêu của chiến dịch không chỉ dừng lại ở động cơ tài chính. Các tác nhân đe dọa còn thiết lập quyền truy cập từ xa bền bỉ vào các máy chủ bị xâm nhập thông qua việc triển khai ScreenConnect, từ đó có thể thực hiện các hoạt động tiếp theo như đánh cắp dữ liệu, di chuyển ngang hàng (lateral movement) hoặc triển khai ransomware.
Chuỗi tấn công này được tính toán kỹ lưỡng hơn các nỗ lực đào tiền ảo thông thường, lựa chọn chiến lược các điểm cuối giúp tối đa hóa lợi nhuận khai thác GPU trên mỗi thiết bị bị xâm nhập. Nhà sản xuất Windows cho biết họ đã phát hiện và chặn đứng các hoạt động liên quan đến chiến dịch này.
Từ SEO Poisoning đến đề xuất của AI Chatbot
Mọi thứ bắt đầu khi người dùng tìm kiếm các tiện ích hệ thống và phần mềm giám sát phần cứng đáng tin cậy trên các công cụ tìm kiếm, nơi hiển thị các trang web độc hại đã được thao túng thông qua các kỹ thuật như SEO poisoning. Các quan sát vào tháng 4 năm 2026 cho thấy người dùng đang được dẫn dắt đến các trang web này không phải qua kết quả tìm kiếm truyền thống, mà thông qua tương tác với các công cụ dựa trên mô hình ngôn ngữ lớn (LLM).
"Trong những trường hợp này, người dùng truy vấn chatbot AI để nhận đề xuất tải xuống phần mềm đã được cung cấp các liên kết dẫn đến các tên miền do kẻ tấn công kiểm soát bên trong các câu trả lời được tạo ra," Microsoft cho biết. "Mặc dù hành vi này dựa trên các mẫu quan sát được và dữ liệu liên quan, nó nhất quán với các kỹ thuật mới nổi trong việc đầu độc kết quả tìm kiếm AI (AI search result poisoning), đại diện cho một phần mở rộng của SEO poisoning truyền thống vượt ra ngoài các công cụ tìm kiếm thông thường."
Mỗi trang web này chứa một nút tải xuống nổi bật để tải về một tệp nén ZIP từ một tên miền phụ của gleeze[.]com, được lưu trữ trên cơ sở hạ tầng liên quan đến Dynu, một nhà cung cấp dynamic DNS thường xuyên bị các tác nhân đe dọa lợi dụng. Hơn 150 tên miền độc hại đã được xác định đang cung cấp các công cụ độc hại này.
Cài đặt ScreenConnect và thực thi mã độc đào tiền ảo
Tệp ZIP được tải xuống chứa một tệp thực thi hợp pháp cùng với một tệp DLL độc hại ("autorun.dll") được sideload khi người dùng khởi chạy tệp nhị phân. Tệp DLL này được thiết kế để cài đặt một DLL độc hại thứ hai có tên "vcredist_x64.dll" bằng cách sử dụng "msiexec.exe". Đây thực chất là một bộ cài đặt cho phần mềm ScreenConnect.
Sau khi ScreenConnect được cài đặt, ứng dụng khách sẽ liên tục cố gắng thiết lập liên lạc với máy chủ do kẻ tấn công kiểm soát tại địa chỉ "193.42.11[.]108". Phiên ScreenConnect sau đó đóng vai trò là ống dẫn cho một tệp thực thi có tên "SimpleRunPE.exe".
Tệp nhị phân này chịu trách nhiệm thiết lập sự hiện diện bền bỉ trên máy chủ bằng cách sử dụng các Registry Run keys và scheduled tasks, cấu hình các ngoại lệ cho Microsoft Defender, thực hiện kiểm tra chống phân tích và sử dụng kỹ thuật process hollowing để khởi chạy mã đào tiền ảo dưới một tệp nhị phân đáng tin cậy có chữ ký của Microsoft.
Trong một số trường hợp, thay vì dựa vào chức năng truyền tệp của ScreenConnect, một tập lệnh PowerShell được sử dụng để lấy tệp nhị phân từ một ổ đĩa từ xa, lưu trữ cục bộ dưới tên "vlc.exe" để tránh bị phát hiện, tạo một scheduled task để khởi chạy nó và sau đó tự xóa chính mình.
Tệp nhị phân bị rỗng (hollowed binary) sẽ liên lạc với máy chủ của kẻ tấn công, truyền thông tin chi tiết về máy chủ, tải tệp lưu trữ công cụ đào tiền ảo phù hợp và thực thi nó. Ba chương trình đào tiền ảo được phần mềm độc hại hỗ trợ là: gminer, lolMiner và SRBMiner-MULTI.
Ngoài ra, tệp nhị phân còn tạo lại các tạo vật duy trì sự hiện diện và cấu hình lại các ngoại lệ của Defender nếu chúng bị xóa. Nó cũng theo dõi các tiến trình đang chạy và ngay lập tức chấm dứt trình đào tiền ảo nếu phát hiện bất kỳ tiến trình nào sau đây:
- taskmgr.exe (Windows Task Manager)
- processhacker.exe, processhacker2.exe (Process Hacker)
- procexp.exe, procexp64.exe (Process Explorer)
- systeminformer.exe (System Informer)
"Sự kết hợp giữa phân phối hỗ trợ bởi AI, giả mạo phần mềm và truy cập bền bỉ cho thấy các tác nhân đe dọa đang thích nghi với các chiến lược social engineering và kiếm tiền theo hành vi của người dùng hiện đại," Microsoft nhận định.
Các cuộc tấn công tinh vi vào thiết bị biên và bên thứ ba
Tiết lộ này được đưa ra vài ngày sau khi Microsoft chi tiết cách một tác nhân đe dọa chưa xác định đã xâm nhập vào thiết bị tường lửa F5 BIG-IP và lợi dụng các mối quan hệ tin cậy để chuyển hướng sang một máy chủ Linux nội bộ, làm nổi bật việc tiếp tục khai thác các thiết bị biên (edge appliances) làm điểm truy cập ban đầu.
Máy chủ Linux cho phép kẻ tấn công thực hiện trinh sát toàn diện và di chuyển ngang hàng sang một máy chủ Atlassian Confluence dễ bị tổn thương, mặc dù các nỗ lực thực thi mã từ xa thông qua các lỗ hổng bảo mật chưa được vá trong phần mềm đã không thành công.
Để vượt qua các hạn chế này, kẻ tấn công đã thiết lập một máy chủ FTP trên máy chủ Linux ban đầu bằng module ftplib của Python để chuyển một công cụ quét tùy chỉnh sang máy chủ Confluence và sau đó thu thập thông tin xác thực cho các lần xác thực tiếp theo đối với cơ sở hạ tầng Windows. Tiếp theo là các cuộc tấn công Kerberos relay và khai thác CVE-2025-33073.
"Từ đó, tác nhân đe dọa đã xâm nhập vào một ứng dụng SaaS dễ bị tổn thương và lợi dụng thông tin xác thực của nó để thực hiện các cuộc tấn công xác thực kiểu relay chống lại Active Directory," Microsoft cho biết.
Trong một sự cố khác vào đầu tháng này, Microsoft cũng làm rõ một cuộc xâm nhập mà kẻ tấn công đã lạm dụng các mối quan hệ vận hành tin cậy và quá trình xác thực để thiết lập quyền truy cập lâu dài, thông qua một nhà cung cấp dịch vụ IT bên thứ ba bị xâm nhập và các công cụ quản lý IT hợp pháp.
Microsoft khuyến cáo: "Các bên bảo vệ nên áp dụng tư thế xác minh thận trọng. Hãy tin tưởng các nhà cung cấp và công cụ của bạn, nhưng hãy xác thực hành vi của chúng trong môi trường của mình. Các tổ chức hoạt động trong các lĩnh vực nhạy cảm nên giả định rằng các tác nhân đe dọa với trình độ kỹ thuật này sẽ tiếp tục tinh chỉnh việc lạm dụng bên thứ ba, đánh chặn thông tin xác thực và các cơ chế duy trì sự hiện diện lén lút."
