Nhóm tấn công mạng liên kết với Pakistan, được biết đến với tên gọi Transparent Tribe, đã trở thành nhóm hacker mới nhất áp dụng các công cụ lập trình hỗ trợ trí tuệ nhân tạo (AI) để tấn công các mục tiêu bằng nhiều loại công cụ tấn công khác nhau.
Theo những phát hiện mới từ Bitdefender, hoạt động này được thiết kế để sản xuất "số lượng lớn các công cụ tấn công chất lượng trung bình" được phát triển bằng các ngôn ngữ lập trình ít phổ biến như Nim, Zig và Crystal, đồng thời dựa vào các dịch vụ đáng tin cậy như Slack, Discord, Supabase và Google Sheets để hoạt động bí mật.
"Thay vì một bước đột phá về sự tinh vi kỹ thuật, chúng ta đang chứng kiến sự chuyển đổi sang công nghiệp hóa mã độc hỗ trợ AI, cho phép kẻ tấn công làm ngập môi trường mục tiêu bằng các tệp nhị phân đa ngôn ngữ, dùng một lần," các nhà nghiên cứu bảo mật Radu Tudorica, Adrian Schipor, Victor Vrabie, Marius Baciu và Martin Zugec cho biết trong một phân tích kỹ thuật về chiến dịch.
Sự chuyển đổi sang mã độc được viết theo "vibe", hay còn gọi là vibeware, như một phương tiện để làm phức tạp việc phát hiện, đã được nhà cung cấp an ninh mạng Romania mô tả là Distributed Denial of Detection (DDoD). Trong cách tiếp cận này, ý tưởng không phải là né tránh các nỗ lực phát hiện thông qua sự tinh vi về kỹ thuật, mà là làm ngập môi trường mục tiêu bằng các tệp nhị phân dùng một lần, mỗi tệp sử dụng một ngôn ngữ và giao thức liên lạc khác nhau.
Các mô hình ngôn ngữ lớn (LLMs) đang hỗ trợ các tác nhân đe dọa trong khía cạnh này, giúp giảm rào cản đối với tội phạm mạng và thu hẹp khoảng cách chuyên môn bằng cách cho phép họ tạo ra mã nguồn hoạt động bằng các ngôn ngữ không quen thuộc, từ đầu hoặc bằng cách chuyển đổi logic nghiệp vụ cốt lõi từ các ngôn ngữ phổ biến hơn.
Loạt tấn công mới nhất được phát hiện nhắm vào chính phủ Ấn Độ và các đại sứ quán của nước này ở nhiều quốc gia nước ngoài, với APT36 sử dụng LinkedIn để xác định các mục tiêu có giá trị cao. Các cuộc tấn công cũng nhắm vào chính phủ Afghanistan và một số doanh nghiệp tư nhân, mặc dù ở mức độ thấp hơn.
Chuỗi lây nhiễm có thể bắt đầu bằng các email lừa đảo (phishing) chứa các phím tắt Windows (LNKs) được đóng gói trong các tệp nén ZIP hoặc ảnh ISO. Ngoài ra, các mồi nhử PDF với nút "Tải tài liệu" nổi bật được sử dụng để chuyển hướng người dùng đến một trang web do kẻ tấn công kiểm soát, trang này sẽ kích hoạt việc tải xuống cùng các tệp nén ZIP.
Bất kể phương pháp nào được sử dụng, tệp LNK được dùng để thực thi script PowerShell trong bộ nhớ, sau đó tải xuống và chạy backdoor chính cũng như tạo điều kiện cho các hành động sau khi xâm nhập. Điều này bao gồm việc triển khai các công cụ mô phỏng đối thủ đã biết như Cobalt Strike và Havoc, cho thấy một phương pháp kết hợp để đảm bảo khả năng phục hồi.
Một số công cụ khác được quan sát thấy trong các cuộc tấn công được liệt kê dưới đây:
- Warcode, một bộ tải shellcode tùy chỉnh được viết bằng Crystal, được sử dụng để tải Havoc agent theo kiểu phản xạ trực tiếp vào bộ nhớ.
- NimShellcodeLoader, một phiên bản thử nghiệm của Warcode được sử dụng để triển khai một beacon Cobalt Strike được nhúng vào nó.
- CreepDropper, một mã độc .NET được sử dụng để phân phối và cài đặt các payload bổ sung, bao gồm SHEETCREEP, một infostealer dựa trên Go sử dụng Microsoft Graph API cho C2, và MAILCREEP, một backdoor dựa trên C# sử dụng Google Sheets cho C2. Cả hai họ mã độc này đã được Zscaler ThreatLabz mô tả chi tiết vào tháng 1 năm 2026.
- SupaServ, một backdoor dựa trên Rust thiết lập kênh liên lạc chính qua nền tảng Supabase, với Firebase hoạt động như một dự phòng. Nó chứa các biểu tượng cảm xúc Unicode, cho thấy nó có khả năng được phát triển bằng AI.
- LuminousStealer, một infostealer dựa trên Rust, có thể được viết theo "vibe", sử dụng Firebase và Google Drive để đánh cắp các tệp phù hợp với các phần mở rộng nhất định (.txt, .docx, .pdf, .png, .jpg, .xlsx, .pptx, .zip, .rar, .doc và .xls).
- CrystalShell, một backdoor được viết bằng Crystal có khả năng nhắm mục tiêu vào các hệ thống Windows, Linux và macOS, và sử dụng ID kênh Discord được mã hóa cứng cho C2. Nó hỗ trợ khả năng chạy lệnh và thu thập thông tin máy chủ. Một biến thể của mã độc này đã được phát hiện sử dụng Slack cho C2.
- ZigShell, một phiên bản của CrystalShell được viết bằng Zig và sử dụng Slack làm cơ sở hạ tầng C2 chính. Nó cũng hỗ trợ chức năng bổ sung để tải lên và tải xuống tệp.
- CrystalFile, một trình thông dịch lệnh đơn giản được viết bằng Crystal liên tục giám sát "C:\Users\Public\AccountPictures\input.txt" và thực thi nội dung bằng "cmd.exe."
- LuminousCookies, một công cụ tiêm chuyên dụng dựa trên Rust để đánh cắp cookie, mật khẩu và thông tin thanh toán từ các trình duyệt dựa trên Chromium bằng cách vượt qua mã hóa ràng buộc ứng dụng.
- BackupSpy, một tiện ích dựa trên Rust được thiết kế để giám sát hệ thống tệp cục bộ và phương tiện bên ngoài để tìm dữ liệu có giá trị cao.
- ZigLoader, một bộ tải chuyên dụng được viết bằng Zig giải mã và thực thi shellcode tùy ý trong bộ nhớ.
- Gate Sentinel Beacon, một phiên bản tùy chỉnh của dự án framework C2 mã nguồn mở GateSentinel.
"Sự chuyển đổi của APT36 sang vibeware đại diện cho một sự thoái hóa kỹ thuật," Bitdefender cho biết. "Mặc dù phát triển hỗ trợ AI làm tăng số lượng mẫu, các công cụ thu được thường không ổn định và chứa đầy lỗi logic. Chiến lược của kẻ tấn công nhắm mục tiêu sai vào việc phát hiện dựa trên chữ ký, vốn đã bị thay thế từ lâu bởi các giải pháp bảo mật điểm cuối hiện đại."
Bitdefender đã cảnh báo rằng mối đe dọa do mã độc hỗ trợ AI gây ra là sự công nghiệp hóa các cuộc tấn công, cho phép các tác nhân đe dọa mở rộng hoạt động của họ nhanh chóng và ít tốn công sức hơn.
"Chúng tôi đang chứng kiến sự hội tụ của hai xu hướng đã phát triển trong một thời gian: việc áp dụng các ngôn ngữ lập trình độc đáo, ít được biết đến, và việc lạm dụng các dịch vụ đáng tin cậy để ẩn mình trong lưu lượng mạng hợp pháp," các nhà nghiên cứu cho biết. "Sự kết hợp này cho phép ngay cả mã nguồn chất lượng trung bình cũng đạt được thành công cao trong hoạt động bằng cách đơn giản là áp đảo hệ thống đo lường từ xa phòng thủ tiêu chuẩn."
