ShadowRay 2.0 khai thác lỗ hổng Ray biến GPU thành botnet đa chức năng

[WhiteHat Team]

Thời điểm các doanh nghiệp đẩy hạ tầng AI lên cloud ngày càng nhiều, những hệ thống vốn được xem là “nội bộ” lại bắt đầu xuất hiện công khai trên Internet. Điều này khiến các framework như Ray - vốn rất phổ biến trong cộng đồng AI và học máy, trở thành mục tiêu béo bở cho tội phạm mạng. Cảnh báo mới từ Oligo Security cho thấy điều đó đang diễn ra rõ rệt: ShadowRay 2.0, một chiến dịch tấn công quy mô toàn cầu, đang âm thầm biến các cụm Ray chạy GPU NVIDIA thành botnet đào tiền điện tử và thực thi hàng loạt tác vụ trái phép trên hạ tầng cloud của nạn nhân.

Điều đáng chú ý là chiến dịch này không dựa vào kỹ thuật mới hay lỗ hổng phức tạp. Nhóm tấn công chỉ tận dụng lỗ hổng CVE-2023-48022, tồn tại suốt hai năm trong Ray, xuất phát từ thiết kế mặc định tin tưởng mã gửi lên và không áp dụng bất kỳ cơ chế xác thực nào tại API gửi job. Lỗ hổng này ban đầu không bị xem là rủi ro nghiêm trọng vì Ray được khuyến nghị chạy trong môi trường cô lập. Tuy nhiên, thực tế lại hoàn toàn khác khi hơn 230.500 máy chủ Ray đang được mở thẳng ra Internet, khiến điểm yếu này trở thành cánh cửa dễ dàng để xâm nhập và chiếm quyền cụm tính toán. Từ nền tảng đó, ShadowRay 2.0 hình thành và lan rộng với tốc độ đáng lo ngại.

Kẻ tấn công bắt đầu bằng cách gửi các job độc hại đến endpoint “/api/jobs/” trên những dashboard không có bất kỳ lớp bảo vệ nào. Các lệnh ban đầu thường mang tính trinh sát, nhưng sau đó nhanh chóng chuyển thành chuỗi payload Bash và Python nhiều giai đoạn. Khi đã chiếm quyền được một cụm Ray, chúng tận dụng chính chức năng điều phối nội tại của Ray để lan sang những node không công khai, mở kết nối điều khiển từ xa, cài backdoor và thiết lập tác vụ định kỳ cứ 15 phút lại tự động tải phiên bản mã độc mới từ GitLab. Điều này giúp duy trì sự hiện diện lâu dài ngay cả khi một phần của hạ tầng bị xoá hoặc bị reset.

Để phục vụ chuỗi lây lan, nhóm vận hành ShadowRay 2.0 xây dựng hệ thống phát tán mã độc khá bài bản. Chúng sử dụng GitHub và GitLab dưới nhiều tài khoản giả mạo như “ironern440-group” hay “thisisforwork440-ops”. Ngay cả khi bị gỡ, kẻ tấn công vẫn tiếp tục tạo tài khoản mới chỉ sau vài giờ. Nhiều dấu hiệu trong cấu trúc mã, cách chú thích và xử lý lỗi cho thấy khả năng cao kẻ tấn công đã sử dụng mô hình ngôn ngữ lớn để tự động hoá quá trình tạo payload.

Sau khi thiết lập foothold, malware tiếp tục tối ưu khả năng hoạt động bằng hàng loạt kỹ thuật tinh vi. Nó nhận diện khu vực địa lý của nạn nhân để phân phối phiên bản payload riêng, chủ động tìm và tiêu diệt các miner khác nhằm độc chiếm GPU và ngụy trang tiến trình độc hại dưới tên các worker kernel của Linux. Mức sử dụng CPU bị giới hạn quanh ngưỡng 60% nhằm tránh gây nghi ngờ. Dựa trên dấu vết thu thập được, chiến dịch có thể đã tồn tại lặng lẽ từ tháng 9 năm 2024.

Toàn bộ sự việc là lời cảnh báo mạnh mẽ về cách cộng đồng triển khai các nền tảng AI. Ray không nguy hiểm nếu được vận hành trong môi trường kiểm soát, nhưng khi dashboard được mở truy cập từ Internet, những tính năng vốn phục vụ tính toán phân tán có thể dễ dàng bị biến thành công cụ phát tán mã độc. Điều quan trọng nhất vẫn là kiểm soát truy cập, không mở dashboard ra Internet, áp dụng firewall, bổ sung lớp xác thực và tuân thủ nghiêm ngặt mô hình triển khai an toàn.

ShadowRay 2.0 không chỉ là một sự cố đơn lẻ mà còn phản ánh một xu hướng mới, hạ tầng AI đang trở thành mục tiêu khai thác chủ lực trong các chiến dịch tấn công hiện đại. Chỉ một cấu hình sai hoặc một lỗ hổng bị bỏ quên cũng đủ biến cả cụm GPU thành nguồn lực cho tội phạm mạng. Nếu cộng đồng không siết chặt cách vận hành, những chiến dịch tương tự chắc chắn sẽ còn xuất hiện nhiều hơn trong tương lai gần.

Theo The Hacker News​