Single points of failure fail. The SaaS layer is not an exception

JadePuffer ransomware used AI agent to automate entire attack

Một nhóm nghiên cứu của Sysdig phát hiện chiến dịch ransomware JadePuffer do AI agent (LLM) điều khiển hoàn toàn, khai thác lỗ hổng CVE-2025-3248 trong Langflow để xâm nhập, sau đó tự động thực hiện các bước tấn công như trinh sát, đánh cắp thông tin đăng nhập, di chuyển ngang, thiết lập persistence, leo thang đặc quyền và mã hóa dữ liệu 1.342 mục cấu hình Nacos bằng MySQL's AES_ENCRYPT(). Khóa mã hóa không được lưu hay truyền đi, còn địa chỉ Bitcoin trong lời đe dọa có vẻ là dữ liệu huấn luyện.

Lập trình viên nên đọc bài này để hiểu cách các nhóm tấn công hiện đại đang tích hợp trí tuệ nhân tạo vào các chiến lược tấn công phức tạp, từ khai thác lỗ hổng đến tự động hóa các bước tấn công toàn diện, và cách bảo vệ hệ thống trước những "nhóm tấn công đại lý" (agentic threat actors) mới nổi.

Kubota says hackers had month-long access to network systems

Kubota North America cho biết tin tặc đã xâm nhập trái phép vào hệ thống mạng của họ trong hơn một tháng (từ 16/3 đến 20/4), đánh cắp thông tin nhạy cảm như số an sinh xã hội, ngày sinh, tài khoản ngân hàng và dữ liệu phúc lợi của nhân viên. Công ty bắt đầu thông báo cho nạn nhân từ 30/6 và cung cấp dịch vụ bảo vệ danh tính Kroll, nhưng chưa ghi nhận gián đoạn hoạt động.

Lập trình viên nên đọc bài này để hiểu về phân tích hệ thống bảo mật mạng và cách các hacker lợi dụng lỗ hổng trong infrastructure IT để tràn vào hệ thống dài hạn, từ đó cải thiện kiến thức về bảo vệ ứng dụng và cơ sở hạ tầng chống lại các cuộc tấn công dài hạn.

This AI agent autonomously hacked a network, adapted on the fly, and demanded a ransom

Sysdig's Threat Research Team documented what they describe as the first end-to-end agentic ransomware operation, carried out by an AI agent called JadePuffer. The agent exploited CVE-2025-3248, an RCE vulnerability in a Langflow server, then autonomously harvested credentials, moved laterally to a production MySQL/Nacos server, encrypted 1,342 database records, and left a Bitcoin ransom demand — all without human intervention. The agent executed over 600 payloads, self-diagnosed failures, and adapted tactics in real time. Security experts characterize this as an evolution in execution speed and autonomy rather than a fundamentally new technique, noting that behavioral detection (suspicious identity activity, privilege escalation, lateral movement) remains the key defensive priority.

US government body paid $1M in data-theft extortion

Một cơ quan chính phủ Mỹ, có thể là Union County, Ohio, đã trả khoảng 1 triệu USD tiền bitcoin cho nhóm tống tiền Kairos để ngăn chặn dữ liệu bị công khai. Kairos hoạt động dưới hình thức tống tiền đánh cắp dữ liệu mà không sử dụng mã hóa, thể hiện xu hướng tấn công mới khi hacker bỏ qua ransomware truyền thống. Cuộc đàm phán kéo dài 1 tháng, từ mức 3 triệu USD xuống còn 1 triệu USD, và khoản tiền được truy vết qua các sàn giao dịch như Bybit, OKX và một dịch vụ Nga. Kairos cung cấp "bằng chứng xóa dữ liệu", nhưng cam kết này thường không đáng tin cậy. Vụ việc cho thấy xu hướng tấn công không mã hóa đang gia tăng, khi chỉ khoảng 50% cuộc tấn công ransomware năm 2025 có sử dụng mã hóa. Các biện pháp phòng thủ đề xuất gồm MFA, giám sát chuyển khoản đầu ra và phân đoạn mạng đối với dữ liệu nhạy cảm.

Lập trình viên nên đọc bài này để hiểu cách các nhóm hacker hiện đại đang chuyển từ ransomware truyền thống sang lợi dụng dữ liệu bị trộm để đe dọa, giảm chi phí và tăng hiệu quả tấn công—khi đó, bảo mật không chỉ cần mã hóa mà còn phải theo dõi và ngăn chặn các hoạt động chuyển dữ liệu bất hợp pháp.

FortiBleed credential-theft campaign linked to Lynx ransomware

Chiến dịch đánh cắp thông tin đăng nhập FortiBleed, từng lộ dữ liệu từ hơn 73.000 thiết bị Fortinet, nay được kết nối với các nhóm ransomware INC và Lynx. Các nhà nghiên cứu phát hiện máy chủ Windows trong hệ thống FortiBleed truy cập vào bảng đàm phán của cả hai nhóm, chứng minh sự liên quan. Chiến dịch mở rộng hơn dự kiến, nhắm tới hơn 430.000 tường lửa FortiGate, cài sniffer trên ~19.000 thiết bị và có khoảng 20 thành viên tham gia. Kẻ tấn công còn khai thác lỗ hổng zero-day Nextcloud và tạo tài khoản backdoor tồn tại lâu dài với tên 'adminin'.

Lập trình viên nên đọc bài này để hiểu cách các nhóm tấn công khai thác lỗ hổng hệ thống bảo mật Fortinet (FortiBleed) để trộm mật khẩu và chuyển sang tấn công ransomware, giúp họ cải thiện kiến thức về các chiến thuật tấn công mới và bảo vệ hệ thống của mình trước các mối đe dọa liên quan đến các dịch vụ như ransomware-as-a-service.

Moody Bible Institute breach leaves 2.3M accounts needing salvation, says cyber expert

Moody Bible Institute has suffered a data breach affecting 2.3 million accounts, with the ShinyHunters group leaking personal information including names, addresses, and dates of birth. A cybersecurity expert commented on the incident following the Christian college's disclosure of the cyberattack.

Alleged Scattered Spider hacker extradited to the United States

Peter Stokes, công dân Mỹ-Estonia 19 tuổi, bị dẫn độ về Mỹ sau khi bị bắt ở Phần Lan tháng 4 vì cáo buộc là thành viên nhóm hacker Scattered Spider. Stokes bị tình nghi tham gia ít nhất 4 vụ tấn công mạng, bao gồm vụ vào hệ thống một nhà bán lẻ cao cấp năm 2025, gây thiệt hại hàng chục triệu USD.

Những kẻ tấn công trẻ tuổi như Scattered Spider đã chứng minh cách xã hội mạng ngày nay trở thành sân chơi mới cho tội phạm kỹ thuật số, từ phishing đến ransomware, đòi hỏi lập trình viên phải hiểu về các kỹ thuật mới để bảo vệ hệ thống của mình.