CyberStrikeAI trong môi trường thực tế: Một trình điều phối LLM đã đạt quyền Domain Admin tại các mục tiêu giáo dục ở Mỹ Latinh và Châu Phi

Vào ngày 2 tháng 11 năm 2026, Kaspersky đã công bố một báo cáo Securelist và một thông cáo báo chí mô tả các vụ xâm nhập tại các tổ chức thuộc lĩnh vực giáo dục ở nhiều quốc gia trên khắp Mỹ Latinh và Châu Phi, trong đó công việc hậu khai thác được chỉ đạo bởi một mô hình ngôn ngữ lớn. Công cụ này là CyberStrikeAI, một khung kiểm thử xâm nhập mã nguồn mở dựa trên Go, có máy chủ chỉ huy và kiểm soát lưu trữ một LLM chọn công cụ và viết lệnh trong khi một implant thông thường thực thi chúng trên máy nạn nhân. Trong trường hợp duy nhất Kaspersky dựng lại chi tiết, một người vận hành đã xâm nhập qua một Microsoft SQL Server bị xâm phạm, tạm dừng trong hai tuần, rồi để tác nhân vận hành: các tài khoản quản trị viên miền bị chiếm đoạt trong vòng ba đến bốn ngày, và giai đoạn cuối — di chuyển ngang, trích xuất hàng loạt thông tin xác thực và xuất cơ sở dữ liệu — hoàn tất trong chưa đầy một giờ. Kaspersky không nêu tên tổ chức nào cũng như quốc gia nào, không đưa ra số lượng nạn nhân, và cho biết đã quan sát hoạt động này trong khoảng tháng 9 đến tháng 10 năm 2026. Toàn bộ hồ sơ về chiến dịch này, cùng với cấp độ nghiêm trọng, đánh giá độ tin cậy và danh sách nguồn đầy đủ, được lưu trong Orca AI Incident Archive, cùng với các mục khác về các vụ xâm nhập có sự hỗ trợ của AI.

Kaspersky thực sự đã công bố điều gì

Tài liệu chính là "CyberStrikeAI trong môi trường thực tế: việc sử dụng AI trong các cuộc tấn công thực tế nhằm vào các tổ chức", được xuất bản trên Securelist vào ngày 2 tháng 11 năm 2026 và được ghi công cho Kirill Antonov, Vladislav Vlasov và Dmitry Chizhmak thuộc nhóm nghiên cứu mối đe dọa của Kaspersky. Tài liệu này đi kèm với thông cáo báo chí của chính Kaspersky, phát hành cùng ngày, tóm tắt các phát hiện giống nhau. Mức xếp hạng độ tin cậy A của kho lưu trữ mô tả mức độ nhất quán giữa hai tài liệu đó và mức độ cụ thể của chi tiết kỹ thuật; đây không phải là tuyên bố rằng một tổ chức thứ hai đã xác minh độc lập vụ xâm nhập.

Phần đưa tin thứ cấp của báo cáo này không cung cấp tổ chức thứ hai đó. Cybersecuritynews.com, Cyberpress, SecurityOnline và TechTrends Kenya có trụ sở tại Nairobi đều đã đăng tải các bài tường thuật trong khoảng ngày 2 và 3 tháng 11 năm 2026, và mỗi bài đều bắt nguồn từ thông cáo của Kaspersky chứ không phải từ cuộc điều tra riêng của họ; bài viết của hãng truyền thông Kenya được xây dựng xoay quanh cùng một câu trích dẫn từ thông cáo báo chí của Nikita Nazarov, Trưởng bộ phận Khám phá Mối đe dọa tại Kaspersky. Tính đến ngày 9 tháng 11 năm 2026, chưa có trường đại học nào bị ảnh hưởng, bộ giáo dục hay đội ứng cứu sự cố máy tính quốc gia nào xác nhận công khai các vụ xâm nhập, và Kaspersky chưa công bố danh tính các nạn nhân. Sự vắng mặt đó tự nó là một phần của hồ sơ: điều được ghi chép chi tiết là thủ pháp tác chiến, không phải thiệt hại đối với bất kỳ tổ chức nào được nêu tên.

Tuyên bố phạm vi của Kaspersky được cố ý thu hẹp. Theo lời họ, các nạn nhân được xác nhận là "các tổ chức trong lĩnh vực giáo dục tại một số quốc gia trên khắp châu Phi và Mỹ Latinh." Tuyên bố không nói có bao nhiêu, những quốc gia nào, hay chiến dịch được phát hiện bằng cách nào ngay từ đầu — chỉ nói rằng nhóm đã phát hiện ra nó "như một phần của hoạt động giám sát mối đe dọa chủ động."

Có một điểm khác biệt quan trọng ở đây, vì rất dễ bị xóa nhòa. Các tổ chức độc lập hiện đã báo cáo CyberStrikeAI trong các vụ xâm nhập thực tế — nhưng không phải những vụ xâm nhập này. Team Cymru đã liên kết cơ sở hạ tầng vận hành công cụ này với chiến dịch tháng 1–tháng 2 năm 2026 nhắm vào hơn 600 thiết bị FortiGate, sau khi quan sát 21 địa chỉ IP duy nhất phục vụ công cụ này trong khoảng từ ngày 20 tháng 1 đến ngày 26 tháng 2 năm 2026. Đơn vị TrendAI của Trend Micro, trong nghiên cứu công bố ngày 23 tháng 10 năm 2026, đã mô tả một đối tượng vận hành 44 tác nhân CyberStrikeAI phối hợp với nhau, khiến ít nhất 19 tổ chức có thể nhận diện được, trong đó ít nhất 16 tổ chức ở Nhật Bản, phải chịu hoạt động xác thực trong một khoảng thời gian ngắn vào tháng 10 năm đó. Ghi chú nghiên cứu ngày 28 tháng 10 năm 2026 của Cloud Security Alliance tập hợp cả hai và kết luận rằng chưa có nguồn nào được công bố liên kết các chiến dịch CyberStrikeAI riêng rẽ với một chủ thể duy nhất. Những công trình đó củng cố tiền đề — rằng khuôn khổ này đang được dùng để tấn công các mạng thực — và không nói gì về các nạn nhân trong lĩnh vực giáo dục ở Mỹ Latinh và châu Phi trong báo cáo của Kaspersky.

Công cụ, và vị trí AI thực sự nằm ở đâu

CyberStrikeAI, như Kaspersky mô tả, là “một nền tảng mã nguồn mở, dạng mô-đun được viết bằng Go để tự động hóa kiểm thử xâm nhập.” Lựa chọn thiết kế đặc trưng của nó là toàn bộ lớp thông minh nằm trên máy chủ điều khiển của kẻ tấn công, chứ không nằm trên máy của nạn nhân. Các tiện ích trinh sát và khai thác, quản lý webshell, giao nhiệm vụ cho các tác nhân và đọc kết quả đều được cung cấp cho mô hình dưới dạng các công cụ MCP bên trong một tiến trình máy chủ duy nhất, và chính mô hình quyết định công cụ nào sẽ được gọi tiếp theo.

Phần cấy ghép là nửa còn lại, và nó được cố tình thiết kế một cách ngu ngốc. Kaspersky viết rằng nó là “một tác nhân C2 cổ điển không có chức năng AI — không có khóa API, không gọi API dịch vụ AI và không có logic tự trị.” Nó liên tục truy vấn listener qua HTTP/S, TCP hoặc WebSocket, chạy các lệnh shell và tác động đến hệ thống tệp. Nó không phải là một mô hình đang chạy trong mạng của nạn nhân, và nó không bao giờ liên hệ với nhà cung cấp AI. Sự phân công lao động chính là câu mà Kaspersky dùng để giải thích toàn bộ kế hoạch: “Các quyết định được phân bổ trên hai cấp độ: người vận hành xác định nhiệm vụ một cách tổng quát, trong khi mô hình quyết định cách thực hiện nhiệm vụ đó.”

Quyền kiểm soát của con người được giữ lại thay vì bị loại bỏ. Kaspersky lưu ý về cơ chế con người trong vòng lặp, theo đó “người vận hành giữ toàn quyền kiểm soát quá trình”, và rằng các lệnh do mô hình tạo ra “có thể cần được phê duyệt hoặc chỉnh sửa thủ công trước khi được thực thi”. AI viết các bước; con người vẫn có thể từ chối chúng.

Một vụ xâm nhập đã được tái dựng, theo trình tự thời gian do Kaspersky xác định.

Báo cáo theo chân một sự cố đơn lẻ trong chiến dịch, và giai đoạn đầu của nó trông giống như công việc thao tác trực tiếp bằng bàn phím thông thường. Các lệnh trên hệ thống của nạn nhân đến từ tiến trình sqlservr.exe, cho thấy "một SQL Server bị xâm nhập (phiên bản 16.0.1000)" là con đường xâm nhập khả dĩ. Sau đó, kẻ vận hành đã thu thập thông tin cơ bản về máy chủ, triển khai công cụ và tự tay lập bản đồ mạng. Việc đó mất "gần một ngày", sau đó những kẻ tấn công im lặng trong khoảng hai tuần.

Giai đoạn thứ hai là lúc nhịp độ thay đổi. Khi tác nhân CyberStrikeAI đã được triển khai, việc duy trì hiện diện và trinh sát cục bộ được thực hiện "trong vòng 2 phút" — một tác vụ theo lịch có tên SystemUpdate trỏ tới implant, với khóa Run trong registry dưới HKCU\Software\Microsoft\Windows\CurrentVersion\Run là phương án thay thế của framework trên Windows, và một mục crontab @reboot hoặc một dòng nohup trong ~/.bashrc là các phương án thay thế trên Linux. Trinh sát miền chạy "trong 5 giờ tiếp theo", sử dụng các script PowerShell do mô hình tạo ra và các truy vấn LDAP nhắm vào Active Directory, bao gồm các tra cứu cần thiết để chuẩn bị Kerberoasting và AS-REP Roasting cùng các kiểm tra đối với LAPS, Azure và các thư mục .azcopy. Sau "một khoảng tạm dừng ngắn vài ngày", giai đoạn cuối — di chuyển ngang qua SMB và WMI, đổ hàng loạt thông tin đăng nhập, và xuất cơ sở dữ liệu — mất "không quá một giờ."

Câu tóm tắt của Kaspersky là câu đáng giữ lại: toàn bộ cuộc tấn công, "từ việc triển khai tác nhân đến việc chiếm quyền quản trị viên miền – đã hoàn tất trong vòng 3–4 ngày."

Công việc liên quan đến thông tin xác thực là một danh mục các kỹ thuật Windows phổ biến chứ không có gì mới: các hive registry được sao chép ra bằng reg.exe, lsass.exe được dump thông qua hàm MiniDump của comsvcs.dll sử dụng ID tiến trình thay vì tên của nó để đánh lừa việc so khớp dòng lệnh, và — một khi tài khoản quản trị viên miền tích hợp bị xâm phạm — các cuộc tấn công DCSync và Golden Ticket được chạy thông qua một tệp nhị phân Mimikatz đã được đổi tên, wdiag2.exe. Di chuyển ngang sử dụng WMIExec của Impacket, các thư mục quản trị chia sẻ và WMI, với một script reverse-shell, p1.ps1, được đẩy đến các máy chủ từ xa và gọi lại về 185.186.245[.]144:5501. Các payload được chia thành các mảnh như d3.b64 và được lắp ráp lại bằng certutil, và một beacon đã ngụy trang thành svchosts.exe.

Giai đoạn thu thập diễn ra sau cùng. Tác nhân đã tạo các truy vấn SQL được điều chỉnh cho nhiệm vụ nhưng kiểm tra quyền của tài khoản cơ sở dữ liệu trước khi chạy chúng, quét đệ quy các chia sẻ mạng trước khi lấy tệp, và gửi về mọi thứ qua cùng kênh C2 mã hóa với dữ liệu được mã hóa Base64 bên trong JSON. Khả năng chụp màn hình trên cả Windows và Linux đều có, nhưng theo ghi nhận của Kaspersky, chỉ được thực hiện khi bộ điều phối ra lệnh. Báo cáo nêu rằng việc thu thập dữ liệu “là giai đoạn cuối cùng của cuộc tấn công: chuỗi tấn công kết thúc tại đó, và chúng tôi không quan sát thấy hoạt động nào nữa.”

Những gì đã bị lấy đi, và những gì hồ sơ không nói tới

Kaspersky ghi nhận rằng tác nhân đã xuất các bản ghi cơ sở dữ liệu từ máy chủ SQL của tổ chức giáo dục và thu thập tệp từ các tài nguyên mạng, đồng thời mô tả chi tiết cơ chế này. Báo cáo không nêu rõ có bao nhiêu bản ghi hoặc tệp đã bị đưa ra ngoài, liệu quá trình xuất có hoàn tất hay không, hay dữ liệu trong các bảng là của ai. Các bản tóm tắt thứ cấp đi xa hơn báo cáo ở điểm này: bài viết của SecurityOnline nói rằng tác nhân "đã tạo các truy vấn SQL có chủ đích để đánh cắp hồ sơ sinh viên và nhân viên từ các bảng cơ sở dữ liệu", trong khi văn bản của chính Kaspersky mô tả các truy vấn nhắm vào một máy chủ SQL giáo dục mà không nêu rõ các bảng chứa gì. Độc giả nên coi mô tả "hồ sơ sinh viên và nhân viên" là cách diễn đạt thứ cấp, không phải phát hiện của Kaspersky.

Cũng không có trong hồ sơ: liệu có nạn nhân nào tự phát hiện ra vụ xâm nhập hay không, từng tổ chức đã làm gì sau đó, liệu cơ quan quản lý hoặc cơ quan bảo vệ dữ liệu ở các quốc gia bị ảnh hưởng có được thông báo hay không, và liệu chiến dịch này còn đang diễn ra hay không. Kaspersky chỉ cho biết rằng việc thu thập dữ liệu là bước cuối cùng được quan sát thấy trong các sự cố mà họ đã xem xét. Thông cáo báo chí không có hướng dẫn khắc phục nào cho các tổ chức bị ảnh hưởng — các khuyến nghị của nó nhắm tới giới phòng thủ nói chung.

Quy kết: bằng chứng ủng hộ điều gì và không ủng hộ điều gì

Kaspersky nói rõ rằng họ không thể xác định danh tính một tác nhân. "Dữ liệu hiện có không cho phép chúng tôi liên kết hoạt động này với bất kỳ nhóm tấn công nào đã biết, cũng như không thể khẳng định chắc chắn rằng cùng một đối tượng điều hành đứng sau cả hai chiến dịch." Bằng chứng mà họ dựa vào là siêu dữ liệu bản dựng Go bên trong các implant, chứa hàm băm của hệ thống kiểm soát phiên bản, thời điểm commit và cờ bản sao làm việc bẩn — "một dấu vết nhận dạng duy nhất cho một bản dựng cụ thể." Trên cơ sở đó, các mẫu được chia thành hai nhóm, và trong mỗi nhóm, các payload Windows và Linux có chung siêu dữ liệu giống hệt nhau, nghĩa là chúng đến từ cùng một bản sao làm việc.

Các nhóm này không liên kết với nhau. Chúng "không dùng chung một hạ tầng C2" và các phiên bản khác nhau của CyberStrikeAI đang chạy trên hai bộ máy chủ điều khiển. Kaspersky đưa ra hai lý do khiến việc quy kết trở nên khó khăn trong trường hợp này: framework được công khai nên những kẻ vận hành khác nhau có thể đã tự xây dựng payload một cách độc lập trong các điều kiện tương tự, và bản thân các lệnh là do mô hình tạo ra, điều này làm tăng tính đa dạng của chúng đồng thời loại bỏ những thói quen cá nhân mà việc quy kết dựa trên hành vi phụ thuộc vào.

Những gì còn lại chỉ mang tính gợi ý chứ chưa phải kết luận. Một số script có chú thích bằng tiếng Trung Quốc, những kẻ tấn công đã dùng dịch vụ Trung Quốc dnslog[.]cn để xác nhận khả năng truy cập internet từ các máy chủ nạn nhân, và phần lớn các lần khởi động lại máy chủ điều khiển — có thể khôi phục được vì chứng chỉ TLS tự ký được tạo lại trong bộ nhớ mỗi lần khởi động, nên trường not_before của nó ghi lại thời điểm khởi động lại — đều rơi vào giờ làm việc UTC+8. Bản thân CyberStrikeAI được phát triển trong cộng đồng an ninh mạng Trung Quốc. Thông cáo báo chí của Kaspersky vạch rõ ranh giới: những dấu vết này “không xác lập danh tính hay vị trí của những kẻ tấn công”, và công ty “không thể quy hoạt động này cho một nhóm mối đe dọa đã biết hoặc xác nhận rằng cùng một kẻ vận hành đã kiểm soát toàn bộ hạ tầng được xác định.” Một kẻ vận hành nói tiếng Trung Quốc là suy luận, không phải phát hiện.

Tại sao Kaspersky nói đây không phải là tình huống khẩn cấp về phát hiện

Kết luận của báo cáo phản bác quan điểm rằng việc có một LLM trong kill chain đòi hỏi một lớp phòng thủ mới. Bởi vì mô hình nằm trên máy chủ của kẻ tấn công, nó "không để lại dấu vết nào về sự hiện diện của mình trong hạ tầng (chẳng hạn như các yêu cầu API cụ thể tới LLM cục bộ hoặc các mẫu tiêu thụ tài nguyên bất thường của các máy chủ)." Thay vào đó, những gì bên phòng thủ nhìn thấy là một cuộc xâm nhập mang dáng dấp con người: vẫn những tiện ích đó, những chuỗi hành động đó, những mục nhật ký sự kiện đó. Phán quyết của Kaspersky là việc "đưa AI vào chuỗi tấn công vẫn chưa tạo ra những thách thức căn bản mới đối với việc phát hiện", rằng "các quy tắc phân tích hành vi và tương quan cổ điển, được tinh chỉnh tốt là đủ", và rằng điểm mới "không nằm ở bản thân các phương thức, mà ở tốc độ và sự dễ dàng mà chúng được thực thi."

Các phát hiện đã công bố tuân theo logic đó thay vì tạo ra những phát hiện mới. Kaspersky Anti Targeted Attack đưa ra phán quyết mạng Backdoor.CyberStrikeAI.HTTP.C&C đối với lưu lượng của implant; một quy tắc phát hiện bất thường mạng có tên "Scanning domain records via LDAP queries" bắt được hoạt động trinh sát tên miền; Kaspersky SIEM cung cấp hơn 100 quy tắc bao quát các kỹ thuật trong báo cáo, gồm DCSync, Golden Ticket, Kerberoasting và Impacket WMIExec; và các implant được phân loại là HEUR:HackTool.Win64.CyberStrike.gen và HEUR:HackTool.Linux.CyberStrike.gen. Hướng dẫn của Kaspersky dành cho khách hàng là theo thông lệ — phát hiện và ứng phó trên điểm cuối, phát hiện mạng, tình báo mối đe dọa, và giám sát ngoài giờ làm việc hoặc thông qua dịch vụ được quản lý.

Tuyên bố của Nazarov trong thông cáo báo chí là cùng một lập luận được tóm gọn trong một câu: những kẻ tấn công "đã sử dụng một tác nhân AI dựa trên CyberStrikeAI để thực hiện chuỗi tấn công hoàn chỉnh và điều chỉnh các bước tiếp theo của chúng bên trong các mạng bị xâm nhập", nhưng "khung này vẫn dựa vào các kỹ thuật và quy trình quen thuộc, bao gồm khám phá, đánh cắp thông tin xác thực, di chuyển ngang và thu thập và rút dữ liệu."

Điều gì đã được xác lập, và điều gì chưa.

Nói thẳng ra: cơ chế này được tài liệu hóa đến mức có thể giúp một defender truy lùng nó ngay từ ngày mai — chuỗi tổ tiên tiến trình từ sqlservr.exe, một tác vụ theo lịch tên SystemUpdate, truy cập LSASS thông qua comsvcs.dll, DCSync từ một máy không phải domain controller, header HTTP X-Implant-Token, và các địa chỉ C2 mà Kaspersky liệt kê. Còn chiến dịch bao quanh cơ chế đó thì không. Kaspersky không công bố danh sách nạn nhân, không phân tách theo quốc gia, không ước tính khối lượng dữ liệu và không nêu tác nhân. Mọi thứ độc giả có thể muốn biết về ai bị ảnh hưởng và mức độ nghiêm trọng dừng lại ở ngành và khu vực.

Hai chi tiết đáng lưu ý cho bất kỳ ai tìm đến báo cáo với kỳ vọng có thêm thông tin. Thứ nhất, Kaspersky mô tả cuộc tấn công là “một trong những mô tả công khai đầu tiên về một vụ xâm nhập liên quan đến LLM trong môi trường thực tế” chứ không phải là đầu tiên — một cách diễn đạt dè dặt giữ tuyên bố trong phạm vi những gì nhóm có thể tìm thấy trong các báo cáo công khai. Thứ hai, báo cáo lưu ý rằng phiên bản của implant không theo kịp phiên bản của máy chủ, rằng cấu hình và khóa của listener vẫn tồn tại qua các lần cập nhật của kẻ vận hành, và rằng ngày build của một mẫu chỉ cho biết ngày triển khai sớm nhất có thể, chứ không phải thời lượng của một vụ xâm nhập. Con số 3–4 ngày là phép đo của một sự cố đã được tái dựng, chứ không phải giới hạn về việc bất kỳ vụ xâm nhập nào trong số này đã kéo dài bao lâu trước khi có người phát hiện.