Không chỉ ARTEX: Thực trạng AI tham gia vào ba hạ tầng tấn công nhắm vào Nhật Bản

Chuyện gì đã xảy ra?

Gần đây, một số công ty và tổ chức Nhật Bản báo cáo rằng dữ liệu của họ bị rò rỉ từ các hệ thống web công khai. Một số người cho rằng nguyên nhân là các cuộc tấn công có dùng AI. Nhóm nghiên cứu đã xem xét ba bộ công cụ tấn công được tìm thấy trên các máy chủ mà kẻ tấn công để mở trên internet. Mỗi bộ là một gói đầy đủ, gồm công cụ quét, danh sách mục tiêu, kết quả và nhật ký lệnh. Theo nhóm nghiên cứu, cả ba đều có dùng AI, nhưng mức độ khác nhau.

Các con số chính

• Trường hợp A: AI tự chạy phần lớn các bước tấn công. Ít nhất 19 tổ chức bị nhắm tới, trong đó 16 tổ chức trở lên ở Nhật Bản.
• Trường hợp B: Con người dẫn dắt, còn AI giúp lên kế hoạch và viết công cụ. Quét hơn 6.000 địa chỉ IP ở Nhật Bản và tập trung mạnh vào một số ít công ty.
• Trường hợp C: AI chỉ giúp viết một số công cụ. Công cụ tìm các thiết bị VPN yếu và máy chủ WebLogic, với hơn 1.300 máy chủ WebLogic tiềm năng và ít nhất 35 điểm truy cập VPN.
• Đây là con số tối thiểu. Con số thực tế có thể cao hơn.

Bối cảnh

Trước đây, các công ty bảo mật khác đã báo cáo về công cụ tấn công chạy bằng AI, trong đó có ARTEX, một hệ thống AI kiểm tra mạng máy tính để tìm điểm yếu. Những báo cáo đó nói về các cuộc tấn công nhắm vào một số quốc gia và ngành nghề nhất định. Còn ba bộ công cụ trong nghiên cứu này thì khác. Chúng không chọn một ngành cụ thể mà tấn công bất kỳ hệ thống bên ngoài nào trông dễ bị xâm nhập. Phần lớn điểm vào là hệ thống web cũ và cài đặt sai, để lộ ra công khai.

Vì sao điều này quan trọng?

AI giúp kẻ tấn công làm việc nhanh hơn và quy mô lớn hơn. Nhưng AI không thay đổi những điểm yếu cơ bản mà kẻ tấn công vẫn nhắm tới. Vì vậy, các tổ chức nên làm trước những việc đơn giản: cập nhật hoặc thay thế hệ thống cũ, đóng các dịch vụ không cần thiết để lộ ra ngoài, và sửa cài đặt sai. Theo nhóm nghiên cứu, đây vẫn là cách phòng thủ hiệu quả nhất.

Cần theo dõi điều gì?

• Nhóm nghiên cứu sẽ công bố báo cáo chi tiết hơn cho từng trường hợp sau này.
• Các tổ chức bị ảnh hưởng sẽ được thông báo qua một quy trình thông báo đang được chuẩn bị.
• Chi tiết tấn công chỉ được chia sẻ với cơ quan thực thi pháp luật, nên địa chỉ IP và tên miền sẽ không được công bố.