Nhóm Azazel dùng MCP và trợ lý AI làm kênh điều khiển: cách phòng

Nhóm tống tiền Azazel đã dùng Model Context Protocol (MCP) để nối một trợ lý lập trình AI với reverse shell, biến công cụ hỗ trợ viết mã thành kênh điều khiển từ xa, đồng thời đánh cắp thông tin đăng nhập từ GitLab và các pipeline CI/CD. Chi tiết này nằm trong Bitdefender Threat Debrief tháng 11/2026. Với các đội phát triển phần mềm tại Việt Nam đang cài MCP server cho trợ lý AI, đây là lúc rà lại quyền hạn và cấu hình.

Azazel là ai

Theo Bitdefender, Azazel vốn là cộng tác viên của nhóm ransomware The Gentlemen, tách ra sau khi giữ lại lợi nhuận từ một chiến dịch thuê mã độc (RaaS). Nhóm đã tích lũy hơn 6 TB dữ liệu đánh cắp và công bố dưới tên Leakned. Điểm khiến giới phân tích chú ý không phải quy mô dữ liệu mà là cách nhóm dùng công cụ AI hợp pháp trong chuỗi tấn công.

MCP là gì và bị lạm dụng thế nào

MCP là giao thức mở cho phép ứng dụng AI kết nối với công cụ và nguồn dữ liệu bên ngoài: đọc tệp, chạy lệnh, gọi API, truy vấn cơ sở dữ liệu. Một trợ lý lập trình có MCP server phù hợp có thể tự mở kho mã, chạy kiểm thử, tạo merge request. Sức mạnh đó cũng là rủi ro: ai điều khiển được trợ lý AI thì gián tiếp điều khiển được mọi công cụ mà nó được cấp quyền.

Trong trường hợp Azazel, Bitdefender mô tả nhóm đã dùng MCP để liên kết trợ lý lập trình AI với một reverse shell phục vụ việc ra lệnh và điều khiển (C2). Lưu lượng đi qua công cụ AI hợp lệ khó bị phân biệt với hoạt động bình thường của lập trình viên, giúp kẻ tấn công ẩn mình. Song song, nhóm đánh cắp thông tin đăng nhập từ GitLab và các pipeline khác, nơi thường chứa khóa truy cập đám mây, token triển khai và mật khẩu cơ sở dữ liệu.

Các điểm yếu mà tài liệu MCP đã cảnh báo

Bản hướng dẫn thực hành bảo mật chính thức của MCP liệt kê nhiều kiểu tấn công liên quan trực tiếp:

• Máy chủ MCP cục bộ bị lợi dụng: MCP server chạy trên máy lập trình viên có quyền tương đương ứng dụng khách. Một lệnh khởi động độc hại cài vào cấu hình có thể đọc khóa SSH và gửi ra ngoài.
• Chuyển tiếp token (token passthrough): server nhận token không được cấp cho chính nó rồi chuyển thẳng xuống API phía sau, làm mất dấu vết kiểm toán và vượt qua các kiểm soát.
• Phạm vi quyền quá rộng: token cấp sẵn quyền kiểu toàn bộ tệp, toàn bộ cơ sở dữ liệu, quản trị; khi bị lộ, kẻ tấn công có ngay mọi quyền.
• SSRF: máy chủ MCP độc hại có thể khiến ứng dụng khách gửi yêu cầu vào mạng nội bộ hoặc điểm metadata đám mây để lấy thông tin đăng nhập.

Vì sao pipeline CI/CD là mục tiêu béo bở

Pipeline CI/CD là nơi mã nguồn được build và triển khai tự động. Để làm được việc đó, nó cần quyền đẩy image lên registry, quyền triển khai lên máy chủ sản xuất, quyền truy cập dịch vụ đám mây. Các thông tin này thường được lưu dưới dạng biến môi trường hoặc secret của dự án. Chiếm được một runner hoặc tài khoản có quyền sửa pipeline, kẻ tấn công có thể in secret ra nhật ký, chèn bước tải dữ liệu ra ngoài hay cài cửa hậu vào bản build.

Doanh nghiệp phần mềm làm gia công cho khách nước ngoài cần đặc biệt lưu ý: một pipeline bị chiếm có thể trở thành điểm khởi đầu của tấn công chuỗi cung ứng vào chính khách hàng.

Danh sách kiểm soát cho đội phát triển

Với trợ lý AI và MCP server

1. Lập danh sách MCP server được phép dùng trong công ty; cấm cài server từ nguồn không rõ.
2. Luôn xem đầy đủ lệnh khởi động trước khi thêm server mới, cảnh giác với lệnh chứa curl, wget, sudo hoặc truy cập thư mục chứa khóa.
3. Chạy MCP server trong môi trường cách ly (container, sandbox) với quyền tối thiểu về tệp và mạng.
4. Ưu tiên giao tiếp qua stdio cho server cục bộ; nếu dùng HTTP thì bắt buộc xác thực.
5. Cấp token theo phạm vi nhỏ nhất, tăng quyền khi cần thay vì cấp sẵn toàn bộ.

Với GitLab và CI/CD

1. Bật xác thực hai lớp bắt buộc cho mọi tài khoản, ưu tiên khóa bảo mật phần cứng với tài khoản quản trị.
2. Đặt secret ở chế độ được bảo vệ, chỉ dùng cho nhánh được bảo vệ; ẩn giá trị khỏi nhật ký.
3. Dùng token ngắn hạn hoặc xác thực theo danh tính workload thay cho khóa truy cập dài hạn.
4. Tách runner cho dự án nhạy cảm, không dùng chung runner với dự án thử nghiệm.
5. Định kỳ xoay vòng token và khóa, thu hồi token cá nhân của người đã nghỉ việc.

Giám sát

Theo dõi các hành vi bất thường: trợ lý AI mở kết nối mạng ra địa chỉ lạ, tiến trình con lạ sinh ra từ ứng dụng soạn mã, pipeline bị sửa ngoài quy trình review, secret bị truy cập từ job không liên quan. Thông tin đăng nhập GitLab hoặc token đám mây của công ty xuất hiện trên diễn đàn ngầm là tín hiệu phải xoay vòng ngay, và đây là phạm vi của dịch vụ giám sát rò rỉ dữ liệu.

Không chỉ Azazel

Cùng báo cáo, Bitdefender ghi nhận nhóm N0n dùng nền tảng mã nguồn mở OpenCode để quản lý mô hình AI, viết script và đã chi hơn 7.000 USD cho dịch vụ AI tạo sinh. Kẻ tấn công đang dùng đúng những công cụ mà lập trình viên dùng hằng ngày. Ranh giới giữa hoạt động hợp lệ và độc hại vì thế mờ đi, buộc đội phòng thủ phải dựa vào ngữ cảnh: ai chạy, từ máy nào, gọi công cụ gì, gửi dữ liệu đi đâu.

Bài học rộng hơn là coi trợ lý AI có quyền chạy lệnh như một tài khoản đặc quyền. Nó cần được quản lý vòng đời, giới hạn quyền và ghi nhật ký giống như tài khoản quản trị, chứ không phải một tiện ích cá nhân của lập trình viên. Khi phát hiện dấu hiệu bị lợi dụng, cần cô lập máy, thu hồi token và điều tra theo quy trình phản ứng sự cố khẩn cấp.