Tin tặc chi hơn 7.000 USD cho dịch vụ AI để tống tiền, nhưng lại để lộ toàn bộ bằng chứng

Không có lỗ hổng nào bị khai thác, không có kỹ thuật tinh vi nào được sử dụng — nhưng nhóm tội phạm mạng này vẫn xâm nhập được vào hàng chục tổ chức. Điều trớ trêu là chính kẻ tấn công lại để lộ toàn bộ "bí kíp" của mình trên một máy chủ công khai.

n0n: Kẻ mới nổi với tham vọng lớn

Theo báo cáo từ hãng tình báo mối đe dọa SOCRadar, một nhóm ransomware mới mang tên n0n đã tìm cách xâm nhập vào 23 tổ chức tại 14 quốc gia. Nhóm này chỉ mới xuất hiện từ tháng trước nhưng đã tự nhận gây ra 108 nạn nhân.

Đáng chú ý, các nhà điều tra không tìm thấy bất kỳ bằng chứng nào về việc khai thác lỗ hổng phần mềm trong các vụ tấn công được ghi nhận.

"Trong mọi vụ xâm nhập được ghi nhận trong cuộc điều tra này, quyền truy cập đều dựa vào thông tin đăng nhập yếu hoặc bị đánh cắp", ông Ensar Seker, Giám đốc an ninh thông tin của SOCRadar, cho biết.

Thủ đoạn cũ, quy mô mới

Nhóm tội phạm này sử dụng những phương thức tưởng chừng đã cũ nhưng được tự động hóa ở quy mô lớn:

• Quét RDP (Remote Desktop Protocol) trên diện rộng
• Credential stuffing tự động nhắm vào cổng FortiGate SSL-VPN
• Sử dụng proxy SOCKS5 dân cư với 15 luồng để thử thông tin đăng nhập
• Khai thác thông tin xác thực cloud bị lộ và các phiên đăng nhập portal bị tái sử dụng

Trong một vụ liên quan đến trang thương mại điện tử Fanatics, n0n đã dùng một AWS access key bị lộ có quyền liệt kê, đọc và xóa đối tượng trong S3 bucket. Kẻ tấn công đã lấy dữ liệu từ 40 S3 bucket (có bucket lên tới 110 GB), sau đó xóa dữ liệu — bao gồm cả lưu trữ giao dịch ngân hàng — và thanh lọc khóa trên 12 bucket nhạy cảm.

AI: Trợ thủ đắc lực của tội phạm mạng

Điểm đáng chú ý nhất trong chiến dịch này là cách nhóm tội phạm sử dụng công cụ AI lập trình. Kẻ vận hành đã chi hơn 7.216 USD cho các dịch vụ AI tính đến ngày 22/10.

Cụ thể, chúng dùng OpenCode, một AI coding agent mã nguồn mở, được cấu hình với 154 mục model trải rộng trên 7 nhà cung cấp, bao gồm Gemini, Mistral, Llama, Claude, GPT-5.x, Grok, Kimi, GLM, DeepSeek, MiniMax, Qwen và nhiều model khác. Một số model thậm chí đã bị gỡ bỏ lớp huấn luyện an toàn hoặc được quảng cáo là "không kiểm duyệt".

"Kẻ vận hành đã dùng AI để viết và gỡ lỗi hàng trăm kịch bản. Điều đó cho thấy AI có thể giúp kẻ tấn công biến quyền truy cập cơ bản thành một chiến dịch rộng khắp và được may đo riêng", ông Seker nhận định.

Không chỉ dừng ở đánh cắp và mã hóa, nhóm này còn xóa dữ liệu và bản sao lưu, thậm chí thay đổi chính sách tường lửa để chặn lưu lượng — tạo ra vấn đề khôi phục mà chỉ một khóa giải mã không thể giải quyết.

Sai lầm sơ đẳng của kẻ tấn công

Điều trớ trêu là trong khi chi hàng nghìn USD cho AI, kẻ vận hành lại để lộ workspace của mình — một máy chủ HTTP Python công khai đặt tại Thụy Điển (địa chỉ 185.157.161[.]148, cổng 8877). Các nhà điều tra của SOCRadar đã phát hiện máy chủ này vào tháng 9 và ghi lại ảnh chụp nhanh vào ngày 25 và 26/9.

Tổng cộng có 1.719 tệp tin bị lộ, bao gồm kịch bản tấn công, mã nguồn ransomware, hạ tầng tống tiền và môi trường AI coding agent.

"Có một khoảng cách đáng kinh ngạc giữa tham vọng vận hành và kỷ luật bảo mật. Kẻ vận hành đã đầu tư hàng nghìn USD vào dịch vụ AI trong khi để lộ workspace của chính mình. Locker còn chứa khóa mã hóa bị hardcode, kèm bằng chứng cho thấy việc tái sử dụng khóa giữa các nạn nhân", ông Seker nói thêm.

Chiến dịch nhắm vào ngành hàng hải

Ngày 12/10, nhóm này đã đăng 38 tổ chức hàng hải, cảng biển và logistics tại 18 quốc gia lên trang rò rỉ trong một đợt duy nhất. Các nhà nghiên cứu liên kết ít nhất 21 trong số đó với khách hàng của nhà cung cấp phần mềm hàng hải Hàn Quốc CyberLogitec.

Hạn chót được đặt là ngày 19/10, với mức tiền chuộc từ 400.000 đến 28 triệu USD thanh toán bằng Bitcoin. Sau hạn chót, không có nạn nhân nào được đánh dấu "đã giải quyết" và không địa chỉ thanh toán nào ghi nhận giao dịch — toàn bộ dữ liệu bị đánh cắp đều bị công bố.

SOCRadar đánh giá nhóm này 10/10 về mức độ hung hãn nhưng 0/10 về khả năng sát thương. Nhóm được cho là có trụ sở tại Nga, dù máy chủ bị phát hiện không đưa ra kết luận chắc chắn về mặt địa lý.

Bài học cho doanh nghiệp Việt Nam

Vụ việc này là lời cảnh báo rõ ràng cho các tổ chức tại Việt Nam, đặc biệt khi nhiều doanh nghiệp vẫn đang sử dụng thông tin đăng nhập yếu hoặc tái sử dụng mật khẩu:

• Bật xác thực đa yếu tố (MFA) cho mọi tài khoản quan trọng, đặc biệt là cổng VPN và RDP
• Không để lộ khóa truy cập cloud trong mã nguồn hoặc kho lưu trữ công khai
• Rà soát và xoay vòng thông tin xác thực định kỳ, đặc biệt sau các sự cố rò rỉ
• Sao lưu offline và kiểm tra khả năng khôi phục — vì đôi khi khóa giải mã không cứu được dữ liệu đã bị xóa
• Cảnh giác với các tài khoản quản trị ẩn ngụy trang thành dịch vụ hệ thống

Câu chuyện về n0n cho thấy một sự thật khó chịu: kẻ tấn công không cần lỗ hổng zero-day để gây thiệt hại nghiêm trọng. Chúng chỉ cần một mật khẩu yếu, một khóa bị lộ, và đôi khi — như chính nhóm này đã chứng minh — thậm chí không cần cả một quy trình bảo mật tử tế cho chính mình.