Clop gets a taste of its own medicine after ShinyHunters hijack leak site

Machine Speed is a lie: stop trying to fight AI with AI

Các bộ phận marketing thường afirmar rằng kẻ tấn công đang hoạt động ở "máy tốc độ" và chỉ có giải pháp bảo vệ dựa trên AI mới có thể ngăn chặn. Nguyên nhân kỹ thuật là họ cho rằng vì cuộc tấn công đã được tự động hóa, nên cần dùng AI phản ứng để kịp thời phát hiện và chặn. Hệ quả là các tổ chức đầu tư lớn vào công cụ AI đắt tiền, trong khi những biện pháp chủ động như vá lỗi, phân đoạn mạng và kiểm soát truy cập bị bỏ qua. Điều đáng học là những cuộc tấn công luôn luôn được tự động hóa từ trước, vì vậy việc tăng cường biện pháp chủ động và hygiene cơ bản thường hiệu quả hơn việc dựa vào AI phản ứng. Trước khi theo đuổi xu hướng AI, các đội bảo mật nên xem lại quy trình vá lỗi, quản lý cấu hình và giám sát liên tục để giảm bề vraie rủi ro thực tế.

Bài viết này giúp bạn hiểu rằng phòng thủ chủ động hiệu quả hơn việc sử dụng AI để phản ứng lại các cuộc tấn công đã được tự động hóa từ lâu.

JadePuffer ransomware used AI agent to automate entire attack

Một nhóm nghiên cứu của Sysdig phát hiện chiến dịch ransomware JadePuffer do AI agent (LLM) điều khiển hoàn toàn, khai thác lỗ hổng CVE-2025-3248 trong Langflow để xâm nhập, sau đó tự động thực hiện các bước tấn công như trinh sát, đánh cắp thông tin đăng nhập, di chuyển ngang, thiết lập persistence, leo thang đặc quyền và mã hóa dữ liệu 1.342 mục cấu hình Nacos bằng MySQL's AES_ENCRYPT(). Khóa mã hóa không được lưu hay truyền đi, còn địa chỉ Bitcoin trong lời đe dọa có vẻ là dữ liệu huấn luyện.

Lập trình viên nên đọc bài này để hiểu cách các nhóm tấn công hiện đại đang tích hợp trí tuệ nhân tạo vào các chiến lược tấn công phức tạp, từ khai thác lỗ hổng đến tự động hóa các bước tấn công toàn diện, và cách bảo vệ hệ thống trước những "nhóm tấn công đại lý" (agentic threat actors) mới nổi.

CISA: Microsoft SharePoint flaw now exploited in ransomware attacks

CISA xác nhận nhóm tấn công ransomware đang khai thác lỗ hổng thực thi mã từ xa nghiêm trọng trong Microsoft SharePoint, vốn đã bị lợi dụng từ đầu tháng 7.

Một lập trình viên cần đọc bài này để hiểu cách bảo mật hệ thống web—và cách bảo vệ ứng dụng SharePoint của mình khỏi các lỗ hổng được khai thác bởi nhóm hacker để triển khai ransomware, từ đó giúp xây dựng kiến thức phòng thủ kỹ thuật cho các dự án tương lai.

PAYLOAD ransomware attacks through Active Directory GPO

Kaspersky GERT experts dive into the technical incident analysis of PAYLOAD ransomware: an encryptionless, binary-less operation that abused Active Directory mechanisms for managing Group Policy Objects.

Ransomware Threats In Europe H1 2026: A Deep Dive

Các mối đe dọa ransomware tại châu Âu đã gia tăng đáng kể vào năm 2026, với những mô hình tấn công và các tác nhân chủ chốt được tiết lộ qua nghiên cứu của Cyble Research and Intelligence Labs.

Những thông tin mới nhất về các cuộc tấn công mã ransomware ở châu Âu năm 2026 sẽ giúp bạn dự đoán và phòng ngừa các mối đe dọa mới, từ đó nâng cao khả năng bảo mật cho dự án hoặc công ty của bạn.

Akira Ransomware Affiliate Rebooted Into Safe Mode to Dodge EDR and Broke Its Own Attack

Một đối tác của ransomware Akira xâm nhập mạng qua tài khoản SonicWall VPN không có MFA, di chuyển ngang đến bộ điều khiển miền, đánh cắp dữ liệu Active Directory và chia sẻ tệp, sau đó khởi động lại máy chủ bị xâm nhập vào chế độ Safe Mode có mạng để vô hiệu hóa EDR và Microsoft Defender trước khi chạy mã độc tống tiền. Mặc dù đã cấu hình sẵn AnyDesk để tồn tại sau khởi động lại, nhưng môi trường Safe Mode hạn chế bộ nhớ khiến payload akira.exe bị lỗi hết bộ nhớ trước khi mã hóa. Dữ liệu đánh cắp vẫn khiến nạn nhân có nguy cơ bị tống tiền ngay cả khi cuộc tấn công thất bại. Huntress khuyến nghị theo dõi khởi động Safe Mode, hoạt động msconfig/bcdedit và bắt buộc MFA cho tài khoản VPN.

Lập trình viên nên đọc bài này để hiểu cách các nhóm tấn công vượt qua hệ thống bảo vệ hiện đại bằng kỹ thuật kỹ thuật số, từ đó tìm hiểu cách bảo vệ hệ thống chống lại các cuộc tấn công phức tạp như này bằng các biện pháp phòng thủ hiện đại.

New Settra Ransomware Strain Deploys MeshAgent RMM for Persistence

Huntress researchers detailed two ransomware incidents (July and September) involving a new strain called Settra, which uses the legitimate MeshAgent RMM tool for persistence, renamed or under its default name, connecting to different C2 addresses. Both attacks named the ransomware executable after the victim's domain, encrypted files with distinct extensions, and attempted to clear Windows Event Logs, disable recovery options, and in one case used a BYOVD technique via a driver called gdrv.sys. A misspelled log name in the event-clearing script left one log intact, giving investigators extra forensic evidence. Huntress ties Settra to a broader pattern of new ransomware strains this year and published indicators of compromise including C2 IPs, workstation names, ransom note filenames, and file extensions.