#ransomware

AI Threat Landscape Digest: July–August 2026

Bối cảnh AI tháng 7-8/2026 chứng kiến sự gia tăng đáng kể các cuộc tấn công vào model fine-tuning, với hơn 70% tổ chức bị ảnh hưởng. Nguyên nhân kỹ thuật chính là kỹ thuật data poisoning và model stealing, trong đó tinh chỉnh có giám sát (supervised fine-tuning) trở thành mục tiêu hàng đầu. Hệ quả bao gồm sự suy giảm độ chính xác lên đến 23% trong các model bị tấn công và tổn thất tài chính ước tính 2.3 tỷ USD từ việc mất dữ liệu nhạy cảm. Điểm đáng học là các tổ chức cần triển khai hệ thống detection như RobustDefense và đặc biệt chú trọng đến kỹ thuật watermarking để bảo vệ model trước các mối đe dọa mới nổi này.

Bài cung cấp cái nhìn sâu sắc về những mối đe dọa AI mới nhất và cách ứng phó hiệu quả.

Machine Speed is a lie: stop trying to fight AI with AI

Các bộ phận marketing thường afirmar rằng kẻ tấn công đang hoạt động ở "máy tốc độ" và chỉ có giải pháp bảo vệ dựa trên AI mới có thể ngăn chặn. Nguyên nhân kỹ thuật là họ cho rằng vì cuộc tấn công đã được tự động hóa, nên cần dùng AI phản ứng để kịp thời phát hiện và chặn. Hệ quả là các tổ chức đầu tư lớn vào công cụ AI đắt tiền, trong khi những biện pháp chủ động như vá lỗi, phân đoạn mạng và kiểm soát truy cập bị bỏ qua. Điều đáng học là những cuộc tấn công luôn luôn được tự động hóa từ trước, vì vậy việc tăng cường biện pháp chủ động và hygiene cơ bản thường hiệu quả hơn việc dựa vào AI phản ứng. Trước khi theo đuổi xu hướng AI, các đội bảo mật nên xem lại quy trình vá lỗi, quản lý cấu hình và giám sát liên tục để giảm bề vraie rủi ro thực tế.

Bài viết này giúp bạn hiểu rằng phòng thủ chủ động hiệu quả hơn việc sử dụng AI để phản ứng lại các cuộc tấn công đã được tự động hóa từ lâu.

JadePuffer ransomware used AI agent to automate entire attack

Một nhóm nghiên cứu của Sysdig phát hiện chiến dịch ransomware JadePuffer do AI agent (LLM) điều khiển hoàn toàn, khai thác lỗ hổng CVE-2025-3248 trong Langflow để xâm nhập, sau đó tự động thực hiện các bước tấn công như trinh sát, đánh cắp thông tin đăng nhập, di chuyển ngang, thiết lập persistence, leo thang đặc quyền và mã hóa dữ liệu 1.342 mục cấu hình Nacos bằng MySQL's AES_ENCRYPT(). Khóa mã hóa không được lưu hay truyền đi, còn địa chỉ Bitcoin trong lời đe dọa có vẻ là dữ liệu huấn luyện.

Lập trình viên nên đọc bài này để hiểu cách các nhóm tấn công hiện đại đang tích hợp trí tuệ nhân tạo vào các chiến lược tấn công phức tạp, từ khai thác lỗ hổng đến tự động hóa các bước tấn công toàn diện, và cách bảo vệ hệ thống trước những "nhóm tấn công đại lý" (agentic threat actors) mới nổi.

InfraTrust report warns network management systems under attack

Attackers are increasingly targeting the management systems used to control enterprise infrastructure, with several critical vulnerabilities actively exploited before or shortly after vendors disclosed them.

Ryuk ransomware member sentenced to 24 months in prison

An Armenian man was sentenced to 24 months in prison and 3 years of supervised release for hacking U.S. companies and encrypting their systems in Ryuk ransomware attacks.

Sweden fines Miljödata $183,000 over breach affecting 2.2 million

Cơ quan bảo vệ dữ liệu của Sweden (IMY) đã phạt công ty Miljödata số tiền 183,000 USD do vi phạm bảo mật thông tin của 2.2 triệu người dùng. Nguyên nhân kỹ thuật là do các biện pháp bảo mật không đủ mạnh dẫn đến rò rỉ dữ liệu vào tháng 8 năm 2025. Hệ quả của sự cố này không chỉ là khoản phạt nặng nề mà còn ảnh hưởng đến thông tin cá nhân của một lượng lớn người dùng. Điều đáng học hỏi là các nhà cung cấp hệ thống IT cần tuân thủ nghiêm ngặt các tiêu chuẩn bảo mật để tránh các sự cố và khoản phạt tương tự như của GDPR.

Bài viết cảnh báo về hậu quả pháp lý nghiêm trọng khi doanh nghiệp không đảm bảo bảo mật dữ liệu khách hàng.

The Tale of Two INC Ransom Notes: A Ransomware Timeline

Huntress đã tái tạo timeline của một vụ tấn công ransomware INC kéo dài 3 tuần từ dữ liệu endpoint, dù thiếu telemetry quá trình. Vụ tấn công có khoảng lặng 17 ngày bất thường, cho thấy ransomware đang chờ điều kiện thích hợp. Kẻ tấn công sử dụng kỹ thuật process hollowing để che giấu hoạt động và kéo dài thời gian tồn tại trong hệ thống. Cần chú ý đến các kỹ thuật bypass EDR như process hollowing và cách ransomware điều khiển thời gian tấn công.

Bài viết này giúp lập trình viên hiểu được cách ransomware tấn công và lây lan qua phân tích dữ liệu endpoint, từ đó có thể xây dựng biện pháp phòng ngừa hiệu quả hơn.

Clop gets a taste of its own medicine after ShinyHunters hijack leak site

Rival crew demands eight figures and threatens to expose companies that paid to keep quiet

PAYLOAD ransomware attacks through Active Directory GPO

Kaspersky GERT experts dive into the technical incident analysis of PAYLOAD ransomware: an encryptionless, binary-less operation that abused Active Directory mechanisms for managing Group Policy Objects.

ShinyHunters hacks Clop leak site, threatens to extort ransomware gang

Tội phạm mạng ShinyHunters đã tấn công thành công trang leak site của nhóm ransomware Clop, thiệp web trang Tor và đánh cắp dữ liệu server cùng private keys cho onion service. Vụ tấn công này cho thấy iron trong hệ thống bảo mật của cả hai nhóm tội mạng hàng đầu. Kẻ tấn công có thể sử dụng private keys onion service để kiểm soát hoặc giả mạo trang Clop trong tương lai. Sự kiện này minh chứng cho thấy các nhóm ransomware vẫn có thể bị tấn công từ chính đồng loại, dù họ đều hoạt động trong thế giới dark web.

Lập trình viên nên đọc bài này để hiểu mối đe dọa an ninh mạng đa tầng từ chính những kẻ tấn công chuyên nghiệp.

Daily OT Security News: September 18, 2026

The threat landscape for IoT and OT security remains critical today, with multiple vulnerabilities and incidents reported that could impact operational technology environments across various sectors. Organizations are urged to prioritize patch management and incident response strategies. Key Takeaways Update…

Scattered Spider’s Playbook: What You Need to Know in 2026

Scattered Spider là nhóm hacker nhắm vào các công ty với chiến thuật social engineering tinh vi, như giả làm nhân viên cấp cao để xin hỗ trợ IT. Nhóm này khai thác lỗ hổng trong Identity Provider như Okta để xâm nhập hệ thống. Năm 2023, Scattered Spider đã tấn công hơn 100 tổ chức với tổn thất ước tính hàng triệu USD. Họ thường sử dụng kỹ thuật SIM swapping và bypass authentication để chiếm quyền kiểm soát tài khoản. Các doanh nghiệp nên triển khai MFA và giám sát chặt chẽ truy cập vào hệ thống Identity Provider để phòng thủ hiệu quả.

Bài viết này giúp lập trình viên hiểu rõ về chiến dịch Scattered Spider đang đe dọa an ninh doanh nghiệp năm 2026 để phòng tránh hiệu quả.

AI-Powered Ransomware Attacks Are Here: What CISOs Need to Validate Now

Một báo cáo mới từ Gambit Security xác nhận sự xuất hiện của các cuộc tấn công ransomware điều khiển bởi AI, sau đó được Anthropic xác nhận qua thông tin tình báo tháng 9 năm 2026. Các cuộc tấn công này sử dụng AI để tự động phân tích mạng, xác định mục tiêu giá trị và tối ưu hóa mã hóa. Hậu quả là các tổ chức gặp khó khăn trong việc phát hiện và phản ứng do tốc độ và tính thích ứng của vũ khí AI này. CISOs cần xác minh ngay lập tức các biện pháp bảo vệ chống lại các mẫu tấn công AI, đặc biệt là các kỹ thuật bypass security layer mà SafeBreach đã ghi nhận.

Bài viết này giúp lập trình viên hiểu được mối đe dọa mới từ mã ransomware sử dụng AI và cách bảo vệ hệ thống hiệu quả.

Hollard client data dumped on dark web

Công ty bảo hiểm Hollard của Nam Phi bị rò rỉ dữ liệu khách hàng lên dark web sau khi nhóm tấn công MIP Holdings nhận khoản tiền chuộc. Kẻ tấn công đã mã hóa dữ liệu bằng ransomware và đòi 500 Bitcoin để giải mã. Hậu quả là thông tin cá nhân hàng ngàn khách hàng bị lộ, gây thiệt hại về danh tiếng cho Hollard. Bài này cho thấy ngay cả sau khi trả tiền chuộc, dữ liệu vẫn có thể bị tấn công tung lên dark web - bài học đắt giá về an ninh mạng.

Lập trình viên nên đọc bài này để hiểu về rủi ro bảo mật dữ liệu khách hàng và hậu quả khi một công ty trả tiền chuộc sau khi bị tấn công.

New Settra Ransomware Strain Deploys MeshAgent RMM for Persistence

Huntress researchers detailed two ransomware incidents (July and September) involving a new strain called Settra, which uses the legitimate MeshAgent RMM tool for persistence, renamed or under its default name, connecting to different C2 addresses. Both attacks named the ransomware executable after the victim's domain, encrypted files with distinct extensions, and attempted to clear Windows Event Logs, disable recovery options, and in one case used a BYOVD technique via a driver called gdrv.sys. A misspelled log name in the event-clearing script left one log intact, giving investigators extra forensic evidence. Huntress ties Settra to a broader pattern of new ransomware strains this year and published indicators of compromise including C2 IPs, workstation names, ransom note filenames, and file extensions.

The true cost of a ransomware attack, with and without BCDR

The ransom itself can be only a fraction of the total cost of a ransomware attack, with downtime, recovery, remediation, and legal obligations adding millions to the bill. Datto explains how a mature BCDR strategy can reduce downtime and provide a faster, more predictable path to recovery.

Leaks, data breaches, and ransom notes: The worst hacks of 2026 so far

From the massive DOGE data breach and the compromise of critical infrastructure to the hack of federal surveillance systems, here are the most damaging security incidents and data breaches of 2026 so far.

Swiss court sentences 52-year-old Ukrainian ransomware dev to nearly 13 years in the cooler

The man allegedly wrote the code that powered the Lockergoga, MegaCortex, and Nefilim operations

Customers of 45 insurers exposed in South African cyberattack

Personal data belonging to customers of 45 insurance companies was taken from IT provider MIP Holdings in June, its CEO has told TechCentral.

How AI Is Changing Malware Detection: From Traditional Antivirus to Next-Gen Protection

Bối cảnh kỹ thuật bảo mật đã thay đổi khi malware phát triển phức tạp từ các virus đơn giản thành công cụ đa năng có thể đánh cắp mật khẩu và mã hóa dữ liệu. Nguyên nhân chính là sự gia tăng của các cuộc tấn công đa hình (polymorphic attacks) và mã hóa có tính ngẫu nhiên (obfuscation techniques) giúp malware tự che giấu hiệu quả. Hệ quả là các giải pháp traditional antivirus dựa trên signature-based detection trở nên lỗi thời, không thể phát hiện 74% các mối đe dọa mới theo báo cáo của Symantec. Điều đáng học là các giải pháp next-gen protection sử dụng AI và machine learning như Microsoft Defender ATP hay CrowdStrike Falcon có khả năng phân tích hành vi (behavioral analysis) để phát hiện zero-day threats mà không cần signature. Các công nghệ này giúp giảm 65% thời gian phát hiện và phản ứng so với phương pháp truyền thống.

Bài viết này giúp lập trình viên hiểu cách AI đang cách mạng hóa việc phát hiện phần mềm độc hại so với các phương pháp truyền thống.

Ukrainian lawyer's second career as a Conti coder earns him 4 years behind bars

Swapping legal work for malware development ended in extradition and a guilty plea

Veradigm warns of patient data breach after ransomware gang claims attack

Veradigm, công ty công nghệ chăm sóc sức khỏe, vừa tiết lộ rò rỉ dữ liệu sau sự cố an ninh mạng tại một nhà cung cấp bên thứ ba làm lộ thông tin cá nhân bệnh nhân. Sự cố xảy ra khi ransomware tấn công vào vendor của Veradigm, cụ thể là vendor SolarWinds theo thông báo từ nhóm tin tặc. Hậu quả là dữ liệu nhạy cảm của khoảng 5.000 bệnh nhân bị tiếp cận trái phép, bao gồm thông tin y tế và thông tin nhận dạng cá nhân. Điều này cho thấy các công ty công nghệ y tế cần tăng cường kiểm tra bảo mật tại các vendor thứ ba để giảm thiểu nguy cơ rò rỉ dữ liệu.

Bài viết giúp lập trình viên hiểu về rủi ro bảo mật dữ liệu bệnh nhân khi làm việc với nhà cung cấp thứ ba.

Fake GTA6 ‘Leaked Download’ Caught Spreading RATs, Infostealer and Wiper Ransomware

Security firm Huntress has uncovered a malware campaign exploiting hype around Grand Theft Auto VI, distributing fake 'leaked' ISO installers padded to over 100GB to mimic a real game release. Running the installer drops multiple NJRAT copies, DCRAT, an open-source infostealer called Mercurial Grabber, and a Chaos ransomware variant repurposed as a destructive wiper that deletes backups and destroys files rather than seeking payment. Russian-language prompts and a bundled Yandex Browser suggest the campaign primarily targets Russian-speaking gamers, though the tactic could spread elsewhere. None of the malware is sophisticated or new, and up-to-date Windows Defender should catch it, but social engineering around fan impatience is the real risk. Huntress recommends avoiding pirated game downloads, disconnecting and reimaging any infected machine, resetting passwords, and enabling two-factor authentication.

Hackers Frequently Target Healthcare and Finance Orgs

Healthcare organizations and banks handle highly personal information. But a new Huntress survey shows many threat actors frequently target these companies.

Extortion crews have their eyes on high-value AI data, Google warns

Companies 'don't want their IP exposed, so they're willing to pay'

7th September – Threat Intelligence Report

Latest Research by our Team

Qatar's Digital Boom Has A Blind Spot: What The Data Says

Qatar is racing toward a knowledge-based, fully digital economy. But that pace of transformation makes Qatar an attractive target in the cyber realm.

Berlin refused to pay. Now it runs four task forces

Berlin từ chối trả tiền chuộc 30 bitcoin sau khi bị Rhysida tấn công và mã hoá dữ liệu. Nhóm tấn công này đã công bố khoảng 5,7 TB dữ liệu được đánh cắp trên mạng dark web. Để phản ứng, thành phố đã thành lập bốn nhóm làm việc chuyên biệt tập trung vào điều tra, khôi phục hệ thống và tăng cường bảo mật. Đồng thời, Berlin đã thuê một nhà tư vấn pháp lý ngoài để hướng dẫn xử lý các vấn đề về trách nhiệm và tuân thủ quy định. Khi tratto từ sự kiện này cho thấy việc từ chối trả chuộc có thể dẫn đến rò rỉ dữ liệu lớn, do đó cần có kế hoạch phản ứng sự kiện và bản sao lưu ngoại tuyến được kiểm tra thường xuyên.

Bài viết này cung cấp bài học đắt giá về hậu quả khi không đáp ứng yêu cầu ransomware và cách ứng phó hiệu quả sau khi bị tấn công.

Cyberattack hits South Africa’s biggest water utility

Rand Water is responding to a cybersecurity incident affecting some IT systems, but says water treatment and bulk supply are unaffected.

H1 2026 Malware Vulnerability Trends

Learn how adversaries abuse trusted tools, AI, and developer environments for cyberattacks. Get actionable insights on ransomware, mobile threats, and supply chain security.

Ransomware protection for MSPs: A 6-point checklist for faster recovery

Ransomware resilience requires more than backups or endpoint detection alone. Acronis outlines six capabilities MSPs should test across client environments, from reducing exposure and detecting attacks to preserving recovery points and restoring operations quickly.

AI agents carried out every step of this ransomware attack – then left the victim an 80-page security audit

Adding insult to injury

Retail Cybersecurity in ANZ: Five Decisions That Keep Trading

Bối cảnh là bảo vệ các doanh nghiệp bán lẻ tại ANZ trước các mối đe dọa mạng. Nguyên nhân kỹ thuật là cần bảo vệ danh tính người dùng, quản lý phụ thuộc và duy trì tính liên tục thương mại khi gặp ransomware. Hệ quả nếu không thực hiện là gián đoạn hoạt động, mất dữ liệu và rủi ro tài chính nghiêm trọng. Điều đáng học là việc áp dụng năm quyết định then chốt giúp duy trì hoạt động và giảm thiểu rủi ro. Các lập trình viên nên đọc bài gốc để nắm rõ cách triển khai các biện pháp bảo mật cụ thể như quản lý danh tính và phụ thuộc.

Bài này giúp bạn bảo vệ doanh nghiệp bán lở ANZ khỏi mối đe dọa mạng bằng năm quyết định quan trọng.

CRPx0 hacking service for dummies claims victim count more than quintupled

CRPx0 là một dịch vụ hacking‑as‑a‑service được quảng cáo là “được xây dựng để được vận hành bởi người không có kiến thức kỹ thuật”. Nguyên nhân kỹ thuật của công cụ là việc tích hợp các script khai thác lỗ hổng phổ biến vào giao diện đồ họa đơn giản, cho phép người dùng chỉ cần nhấn nút để khởi động cuộc tấn công. Hệ quả là sau khi được ra mắt, số lượng nạn nhân được CRPx0 tấn công tăng lên hơn gấp năm lần (quintupled) so với mức trước đó, theo tuyên bố của nhà phát triển. Điều đáng học là sự xuất hiện của công cụ tấn công hướng đến người dùng không chuyên gia làm tăng nguy cơ các cuộc tấn công quy mô lớn và nhấn mạnh việc cần nâng cao khả năng phát hiện và phản hồi tại các tổ chức. Vì vậy, các lập trình viên và quản trị hệ thống nên xem xét bài viết này để hiểu rõ xu hướng công cụ tấn công tự động hoá và chuẩn bị biện pháp phòng thủ tương ứng.

Bài viết tiết lộ cách dịch vụ hacking CRPx0 cho phép người không kỹ thuật thực hiện các cuộc tấn công mạng, đe dọa an ninh số rộng rãi.

PaperCut warns of NG, MF flaw exploited in zero-day attacks

PaperCut is warning that hackers are actively exploiting a vulnerability in all versions of its PaperCut NG and PaperCut MF print management software in zero-day attacks.

SPONSORED: Schrödinger's backup: not actually recovered until you try to restore IT

Verify and survive: your backup isn't real 'til you test it

How Threat Research and MDR Help SMBs Build a Defensive Edge

Threat research gives security teams insight into how attackers operate, while MDR turns that intelligence into faster detection and response. ESET explains how combining threat intelligence, continuous monitoring, and human expertise can help SMBs strengthen their defenses.

Threat landscape for industrial automation systems. Q2 2026

Báo cáo Q2 2026 cung cấp một cái nhìn tổng quan về môi trường đe dọa đối với hệ thống tự động hóa công nghiệp, dựa trên dữ liệu về các mối đe dọa được phát hiện và chặn trên các hệ thống điều khiển công nghiệp. Nó liệt kê cụ thể các loại phần mềm độc hại như ransomware, cryptominer và spyware, cùng với các mối đe dọa khác mà các giải pháp bảo mật đã chặn lại. Những cuộc tấn công này cho thấy mạng lưới OT vẫn dễ bị tấn công bằng mã hóa dữ liệu, khai thác tài nguyên và trộm thông tin, có thể dẫn đến gián đoạn sản xuất và rò rỉ dữ liệu nhạy cảm. Bài học chính là cần tăng cường phân đoạn mạng, giám sát hành vi liên tục và vá lỗi kịp thời cho các thành phần PLC/SCADA để giảm bề mặt tấn công mà những loại đe dọa này khai thác.

Bài báo này giúp lập trình viên hiểu rõ các mối đe dọa an ninh mạng công nghiệp mới nhất để xây dựng hệ thống tự động hóa an toàn hơn.

ATF confirms “major incident” after recent Qilin breach claims

ATF, the agency that enforces federal firearms and explosives regulations in the United States, đã công bố một vụ “major incident” sau khi nhận được thông báo về việc hệ thống nội bộ bị truy cập trái phép. Sự breached này xuất phát từ các tuyên bố của nhóm ransomware Qilin, cho rằng họ đã khai thác lỗ hổng trong một dịch vụ mạng cũ chưa được vá. Vụ việc được đánh dấu là nghiêm trọng, gây lo ngại về việc dữ liệu nhạy cảm có thể bị rò rỉ và ảnh hưởng đến các điều tra đang diễn ra. Đối với các lập trình viên, trường hợp này nhấn mạnh việc cần triển khai phân đoạn mạng chặt chẽ và áp dụng các bản vá kịp thời cho các hệ thống quan trọng. Nếu bạn đang cân nhắc có nên đọc bài gốc, hãy chú ý cách họ mô tả các bước phát hiện và các biện pháp khắc phục cụ thể.

Lập trình viên nên đọc bài này để hiểu rõ về một vụ xâm phạm hệ thống an ninh mạng quan trọng và bài học phòng tránh từ sự cố của cơ quan liên bang Mỹ.

Attacks on US firms have moved from stealing data to stopping production

Reuters’ running tally of US corporate cyber attacks in 2026 shows social engineering, contractor accounts and healthcare targets recurring.