#ransomware

JadePuffer ransomware used AI agent to automate entire attack

Một nhóm nghiên cứu của Sysdig phát hiện chiến dịch ransomware JadePuffer do AI agent (LLM) điều khiển hoàn toàn, khai thác lỗ hổng CVE-2025-3248 trong Langflow để xâm nhập, sau đó tự động thực hiện các bước tấn công như trinh sát, đánh cắp thông tin đăng nhập, di chuyển ngang, thiết lập persistence, leo thang đặc quyền và mã hóa dữ liệu 1.342 mục cấu hình Nacos bằng MySQL's AES_ENCRYPT(). Khóa mã hóa không được lưu hay truyền đi, còn địa chỉ Bitcoin trong lời đe dọa có vẻ là dữ liệu huấn luyện.

Lập trình viên nên đọc bài này để hiểu cách các nhóm tấn công hiện đại đang tích hợp trí tuệ nhân tạo vào các chiến lược tấn công phức tạp, từ khai thác lỗ hổng đến tự động hóa các bước tấn công toàn diện, và cách bảo vệ hệ thống trước những "nhóm tấn công đại lý" (agentic threat actors) mới nổi.

The 3-2-1 backup rule has a glaring caveat that ransomware exploits perfectly

Vấn đề nghiêm trọng với quy tắc sao lưu 3-2-1 là bản sao lưu luôn được kết nối (always-connected backup) trở thành mục tiêu hoàn hảo cho phần mềm đòi tiền chuộc (ransomware). Nguyên nhân kỹ thuật nằm ở việc các thiết bị sao lưu lưu trữ online liên tục, tạo điểm tiếp cận dễ dàng cho hacker khi tấn công hệ thống chính. Hệ quả là toàn bộ hệ thống sao lưu bị mã hóa, khiến tổ chức mất dữ liệu vĩnh viễn dù đã tuân thủ quy tắc bảo mật cơ bản. Bài viết nhấn mạnh bài học quan trọng là cần ngắt kết nối thiết bị sao lưu khỏi mạng sau khi sao lưu, và triển khai giải pháp Immutable Storage để bảo vệ dữ liệu khỏi tấn công ransomware.

Bài viết này giúp lập trình viên hiểu được lỗ hổng nghiêm trọng trong quy tắc sao lưu 3-2-1 mà phần mềm tống tiền đang khai thác.

This Week In Security: New Spectre Attacks, Crushing Quantity Of Linux Vulns, Google Gets Too Much AI, And Hacking Lawnmowers

Một nghiên cứu học thuật mới phát hiện ra các tấn công Spectre-v2 đang được hồi sinh qua các JIT compiler như SpiderMonkey, eBPF và GraalVM, khai thác mã tự sửa đổi và các instruction đã lưu trong cache. Trong một bản cập nhật gần đây, Linux kernel đã vá hơn 1,200 lỗ hổng bảo mật, tiếp tục xu hướng "AI Vulnpocalypse". Google tạm ngừng chương trình thưởng lỗ hổng mã nguồn mở do nhận lượng lớn báo cáo lỗi AI chất lượng thấp, sẽ xem xét lại vào năm 2027. Nhiều sự kiện khác bao gồm Asos bị ransomware qua tài khoản Snowflake bị xâm phạm, lỗi trên robot cắt cỏ Mammotion cho phép truy cập dữ liệu 337,000 khách hàng và camera trực tiếp, cùng với việc lấy chứng chỉ TLS giả cho domain Google ccTLD qua nhà đăng ký bị hack.

Lập trình viên nên đọc bài này để cập nhật những lỗ hảo hiểm mới nhất, bao gồm các khai thác Spectre tái xuất hiện và hơn 1200 lỗi bảo mật trong Linux kernel.

Desktop and IoT threat statistics for Q3 2026

Key trends and statistics on malware targeting Windows and macOS computers and Internet of Things (IoT) devices in Q3 2026.

Vanderbilt University hit in BYOD ransomware attack, data theft claimed

Vanderbilt University warns it is responding to a cyberattack claimed by the BYOD ransomware gang, which claims to have encrypted the university's databases and stolen sensitive student, employee, and research data.

October 2026 CVE Landscape

In October 2026, Insikt Group® identified 82 high-impact vulnerabilities that should be prioritized for remediation, 52 of which had a Very Critical Recorded Future Risk Score. This represents a 13% decrease from last month.

Refrigeration Cyberattacks Expose a Major OT Security Gap

The Alarm Worked. The Attack Still Got In. Are You Breach Ready for This? On November 2, attackers pushed the controls of French blood bank cold rooms toward dangerous heat. The alarms fired and staff responded. No blood products were…

How misconfigurations in virtual environments can lead to compromise

A detailed breakdown of misconfigurations in virtual environment cybersecurity as shown by examples of ransomware cases on ESXi and Proxmox environments.

Huntress turns real-world attack intelligence into fleet-wide ‘herd immunity’ with new platform capabilities

Huntress is rolling out new capabilities across its Agentic Security Platform that turn intelligence from live attacks into fleet-wide protections. Managed ITDR gains Adversary Infrastructure blocking, which pushes a Conditional Access policy to every eligible, opted-in Microsoft 365 tenant the same day Huntress confirms hosting, relay or proxy infrastructure in an identity attack. A new Lookback feature scans up to 180 days of login history for newly onboarded tenants and helped an MSP catch a compromised $2 million wire transfer. Managed EDR adds Ransomware Canaries, generally available 30 November, to block spread from unprotected systems, which Huntress says cause nearly 30% of this year's ransomware cases. Managed SIEM's Brute Force Sentry, generally available 18 November, flags brute-force activity across RDP and SSH.

New York's Queens Public Library battles ransomware crims: Wi-Fi, checkouts, and website go dark

No gang has claimed the attack on incredible neighborhood resource yet

How to detect fileless attacks exploiting ToolShell: analyzing the Storm-2603 incident

Kaspersky researchers analyze a complex fileless cyberattack by Storm-2603 involving ToolShell exploitation and subsequent runtime subversion, and discuss how to detect such intrusions.

Under pressure: it’s time to get realistic about ransomware and resilience

Most ransomware victims are attacked more than once, Semperis's 2026 report finds. Why realistic crisis exercises and identity recovery matter.

Security briefing: October 2026

October 2026 security briefing: ransomware hits Japan’s IDCF Cloud, hackers cook French fridges, PHP2Shell, Node2Shell, and Microsoft’s record 1,411 patches.

Five cyber worries keep South African business owners up at night

South African risk managers rank cyber incidents above global peers. NEWORDER's Bennie Barnard on why AI testing isn't enough.

Britain on notice: AI-powered ransomware attacks to arrive by 2028

Cyber agency warns critical infrastructure is a likely target as chief urges bosses to stop doing 'tech on the cheap'

Unit 42 Threat Intelligence Highlights - Nov. 2, 2026

Unit 42 details recent threat intelligence, highlighting cyberespionage, financial extortion, and the rapid adoption of AI across offensive workflows.

Synology warns of C3RB3R ransomware attacks targeting NAS devices

Taiwanese network-attached storage (NAS) appliance maker Synology warned customers to update their devices immediately due to a surge in C3RB3r ransomware attacks.

Securing Science: Europe’s Research Infrastructure Cyber Leaders to Watch

A national research and education network. A research cloud built on open-source infrastructure. A university of 30,000 students recovering from ransomware. Behind scientific discovery sits a large and often open digital estate, and the five cyber leaders below are responsible…

Crim spent $7K+ on AI services in extortion attacks, then left evidence for all to see

n0n-existent security

Everyday channels are available in an incident, but you may not want them

Most response plans assume a safe place to coordinate. Deciding when that’s gone is a judgment call few teams rehearse, and what was said beforehand stays on the record.

Unwrapping Retail Peak Season Cyber Threats

Unit 42 explores key peak shopping season retail cyber threats, from ransomware to AI attacks, and shares how to defend operations and customer trust. Unit 42 explores key peak shopping season retail cyber threats, from ransomware to AI attacks, and shares how to defend operations and customer trust.

Serial ransomware crook gets 70 months behind bars for Nefilim, Hive roles

Artem Stryzhak joined both gangs, which targeted businesses and a hospital during the pandemic

Hackers hired a man to walk into a US law firm, CrowdStrike says

‘Law firms are the new ATM for cybercriminals,’ says CrowdStrike, as attacks on law firms grow and one gang sends a fake IT worker in person.

Data Recovery CEO Indicted for Allegedly Scamming Ransomware Victims

A federal grand jury indicted MonsterCloud CEO Zohar Pinhasi last month for allegedly defrauding clients of his ransomware data recovery business, which was the subject of a 2019 ProPublica investigation.

Day 2 of canceled classes at University of New Mexico after Health Sciences Center cyberattack

University hospitals once again accepting patients after initial ambulance diversion, but recovery to continue in phases

The Huntress Tragic Quadrant: Ranking Threats Hitting Businesses Hardest

Attackers are increasingly abusing legitimate IT tools, Microsoft 365 sessions, and everyday workflows to compromise businesses without triggering traditional defenses. Huntress Labs ranks the threats hitting organizations hardest, highlighting which attack techniques deserve immediate attention and which remain emerging risks.

The days of assuming another company’s breach is someone else’s problem are over

Thời kỳ xem xét rò rỉ dữ liệu của công ty khác là vấn đề của người khác đã qua. Các công nghệ AI và indexing-as-a-service đang cho phép tội phạm mạng mở rộng bán kính ảnh hưởng của các vụ rò rỉ bằng cách sử dụng hiệu quả dữ liệu đánh cắp. Kẻ tấn công có thể tận dụng thông tin bị đánh cắp để nhắm mục tiêu vào bất kỳ công ty nào nạn nhân giao dịch với. Hệ quả là một rò rỉ dữ liệu nhỏ có thể gây thiệt hại cho hàng loạt tổ chức trong cùng chuỗi cung ứng. Điều đáng học là doanh nghiệp cần chủ động bảo vệ dữ liệu của đối tác và có kế hoạch ứng phó khi dữ liệu nội bộ bị lộ.

Tập tấn công AI và dịch vụ chỉ mục đang biến dữ liệu bị đánh cắp thành vũ khí tấn công liên doanh, đe dọa mọi công ty mà nạn nhân làm việc.

Rand Mutual Assurance probes alleged theft of 1.68 million claim records

Rand Mutual Assurance is investigating after a hacker claimed to have stolen 1.68 million claim records and demanded a $95,000 ransom.

Why Caribbean Threats Cascade Into Global Cyber-Risk

The region is demonstrating what happens when exploits accelerate, but assurance does not.

Cyber Insurance's New Reality: Underwriting Isn't Enough

Bối cảnh thị trường bảo mật mạng đang thay đổi nhanh chóng khi các nhà cung cấp bảo hiểm ngày siết chặt yêu cầu và giám sát rủi ro. Nguyên nhân kỹ thuật là do các cuộc tấn công mạng ngày càng tinh vi, sử dụng AI và zero-day exploits khiến các hệ thống truyền thống không đủ đáp ứng. Hệ quả là các công ty bảo hiểm như AIG, Zurich và Marsh đã tăng phí bảo hiểm lên 30-40% và yêu cầu khách hàng phải đạt tiêu chuẩn cybersecurity như ISO 27001 hoặc NIST CSF. Điều đáng học là doanh nghiệp không chỉ dựa vào bảo hiểm mà cần đầu tư vào các giải pháp proactive security monitoring và incident response để đủ điều kiện được bảo vệ với chi phí hợp lý.

Bài viết giải thích cách bảo hiểm mạng đang thay đổi để đáp ứng các mối đe dọa mới, giúp lập trình viên hiểu rõ trách nhiệm an ninh mạng trong bối cảnh bảo hiểm hiện đại.

Behind Japan’s Warnings of a Cyber Crisis

Nhật Bản đang đối mặt với dự báo khủng hoảng mạng vào năm 2026 khi các vụ vi phạm bảo mật tăng 40% trong năm tài chính 2022. Nguyên nhân chính đến từ khoảng 70% hệ thống legacy vẫn sử dụng công nghệ lỗi thời và thiếu cập nhật bản vá bảo mật. Tác động bao gồm nguy cơ tấn công ransomware tăng 200% và khả năng gián đoạn hạ tầng trọng yếu. Các công ty Nhật đang tập trung vào việc triển khai AI detection tools để giám sát hành vi bất thường và tăng cường bảo mật cho các hệ thống cũ. Bài viết cung cấp chiến lược giảm thiểu cụ thể mà bất kỳ tổ chức nào cũng có thể áp dụng để nâng cao khả năng chống chịu trong bối cảnh an ninh mạng ngày càng phức tạp.

Bài viết này giúp lập trình viên hiểu được các xu hướng tấn công mạng và chiến lược phòng thủ trong bối cảnh AI đang định hình tương lai an ninh mạng.

TCS+ | Boards are underestimating the cost of a cyberattack, says Arctic Wolf

Các hội đồng quản trị ở Nam Phi đang đánh giá thấp chi phí thực sự của một cuộc tấn công cyber, theo nhận định từ Jason Oehley và Andre Den Hond của Arctic Wolf. Nguyên nhân kỹ thuật là các công ty thường chỉ tính toán chi phí trực tiếp mà bỏ qua thiệt hại gián tiếp như downtime hệ thống, mất dữ liệu và tổn hại uy tín. Hệ quả có thể lên tới 2.1 triêu USD mỗi lần vi phạm dữ liệu theo báo cáo của IBM, cao gấp nhiều lần so với ước tính ban đầu. Điều đáng học hỏi là doanh nghiệp cần đầu tư vào các giải pháp bảo mật như SOC-as-a-Service của Arctic Wolf để giám sát 24/7 và phát hiện mối đe dọa sớm thay vì chỉ tập trung vào khâu phòng thủ chủ động.

Bài viết này giúp lập trình viên hiểu rõ chi phí thực sự của tấn công mạng để chủ động xây dựng hệ thống phòng thủ hiệu quả hơn.

Q3 2026 Threat Update: Attackers Are Exploiting Vulnerabilities Within 3 Days

In a brand new report, Rapid7's Q3 2026 research brings together vulnerability intelligence, ransomware activity, APT tracking, and underground forum intelligence to show where attacker activity is concentrated.

'Password1' and a forgotten test account land Welsh outfits in hot water

Hai công ty Wales là Ogi Networks và Data Cymru bị ICO khiển trách sau khi ransomware tấn công làm lộ dữ liệu của 3,300 người, chủ yếu là trẻ em. Nguyên nhân kỹ thuật là do sử dụng mật khẩu yếu "Password1" và để quên tài khoản test trên hệ thống. Hậu quả là dữ liệu cá nhân của trẻ em bị rò rỉ, gây rủi ro bảo mật nghiêm trọng. Điều đáng học là doanh nghiệp cần implement chính sách password mạnh hơn và loại bỏ ngay các tài khoản test không cần thiết để tránh lỗ hổng bảo hiểm.

Bài viết cảnh báo về hậu quả nghiêm trọng khi để lộ thông tin do sử dụng mật khẩu yếu và quản lý tài khoản kiểm tra thiếu trách nhiệm.

Palo Alto's firewall OS has been under attack from multiple ransomware groups since June

Các nhóm ransomware đã tấn công hệ điều hành firewall của Palo Alto từ tháng 6. Kẻ tấn công khai thác lỗ hổng zero-day trong PAN-OS, cho phép thực thi mã từ xa mà không cần xác thực. Unit 42 ghi nhận hơn 200 tổ chức bị ảnh hưởng, chủ yếu trong lĩnh vực tài chính và y tế. Hệ quả là dữ liệu nhạy cảm bị mã hóa và doanh nghiệp chịu tổn thất tài chính lớn. Bài viết cung cấp phân tích chi tiết về kỹ thuật exploit (CVE-2024-23336) và khuyến nghị patch critical.

Bài viết cung cấp thông tin quan trọng về các lỗ h bảo mật hiện tại trong hệ điều hành Palo Alto Firewall.

Your Windows laptop has crucial security settings that you're probably ignoring

Don't ignore basic security features that could protect your data

Feds Suspect Ransom Negotiator Ran ShinyHunters Extortion Site – Krebs on Security

Federal investigators pursuing the ShinyHunters extortion group have found that executives at two ransomware negotiation firms maintained unusually close ties with the hackers, with one U.S. executive allegedly helping operate the ShinyHunters extortion website 'shinywire.com'. Canadian cybersecurity executive Edward Dubrovsky was arrested and charged with extortion-related offenses, and chat logs from arrested hacker Pepijn van der Stap reportedly show Dubrovsky knew about the FBI data breach before it became public but never warned the bureau. The reporting also details a lawsuit between Dubrovsky and former business partner Daniel Tobok (nicknamed 'Ghostbyte'), ShinyHunters' harassment of firms like Coveware and Unit 221B for advising against ransom payments, and recent DOJ prosecutions of other ransomware negotiators (MonsterCloud's Zohar Pinhasi, Angelo Martino) accused of secretly colluding with or defrauding clients.

Cybercrims go beyond stealing data to attack physical building systems

Các tội phạm mạng không còn chỉ dừng lại ở việc đánh cắp dữ liệu mà đang nhắm vào hệ thống kiểm soát tòa nhà vật lý. Nguyên nhân kỹ thuật nằm ở việc nhiều tòa nhà sử dụng các giao thức truyền thông lạc hậu như BACnet và Modbus mà thiếu lớp bảo mật phù hợp. Hệ quả của các cuộc tấn công này có thể khiến toàn bộ hệ thống điện, nước, điều hòa không khí bị vô hiệu hóa, gây nguy hiểm nghiêm trọng đến an toàn con người. Bài viết đưa ra ví dụ cụ thể về việc khai thác lỗ hổng trong hệ thống building automation system (BAS) tại một tòa nhà cao tầng, cho thấy hacker có thể kiểm soát hoàn toàn các thiết bị vật lý chỉ qua mạng LAN. Điều đáng học hỏi là các lập trình viên cần đặc biệt chú trọng việc triển khai lớp bảo mật cho các hệ thống IoT và BAS ngay từ giai đoạn thiết kế, chứ không chỉ phụ thuộc vào firewall bên ngoài.

Bài này giúp lập trình viên hiểu mối đe dọa an ninh mạng ngày càng nhắm vào cả hệ thống cơ vật, không chỉ còn là dữ liệu trừu tượng.

Ransomware Recovery Isn’t a Backup Problem. It’s an Identity Problem.

Bối cảnh khôi phục sau ransomware không chỉ là vấn đề backup. Fenix24 phát hiện downtime kéo dài khi Active Directory bị xâm phạm và thiếu kế hoạch quản lý identity. Nguyên nhân kỹ thuật là kẻ tấn công lợi dụng lỗ hổng trong Active Directory để chiếm quyền kiểm soát hệ thống. Hệ quả là downtime trung bình lên đến 23 ngày, gấp đôi so với các cuộc tấn công khác. Bài viết nhấn mạnh việc triển khai Zero Trust Identity như một giải pháp phòng ngừa hiệu quả cho lập trình viên đang xây dựng hệ thống.

Bài viết này giúp lập trình viên hiểu rằng phục hồi ransomware không chỉ phụ thuộc vào sao lưu mà còn liên quan mật thiết đến bảo vệ danh tính và quản lý Active Directory.

Forescout uncovers ROMULUS malware delivery platform behind ClickFix attacks

Forescout’s Vedere Labs has identified a previously undocumented malware delivery platform being used in ClickFix campaigns