Tin tặc Nga dùng Google Gemini CLI để vận hành botnet tại phòng khám nha khoa
"Trend Micro reported that a Russian-speaking threat actor used Google Gemini CLI to help operate a small botnet and C&C infrastructure, including controlling eight PCs in a dental clinic and accessing their OpenDental database. The AI was used for server migration, Cloudflare tunnel setup, bot management, password cracking, and debugging, with no CVE involved; the main impact was accelerated malicious operations and easier replication of the infrastructure."
Tác động lớn do AI giúp tái triển khai C&C nhanh, giảm hiệu quả takedown và tăng mức tự động hoá trong vận hành botnet; đồng thời hỗ trợ bẻ mật khẩu và gỡ lỗi để duy trì kết nối.
Nguy cơ gián đoạn dịch vụ và rò rỉ dữ liệu tại đơn vị y tế do truy cập OpenDental; chi phí điều tra–khắc phục có thể tăng khi hạ tầng có thể được khôi phục nhanh và khó truy vết.
Theo phân tích của Trend Micro, một tác nhân đe doạ nói tiếng Nga (biệt danh bandcampro) đã sử dụng Google Gemini CLI để hỗ trợ vận hành hạ tầng điều khiển và tự động hoá nhiều tác vụ tấn công. Dữ liệu được dựa trên việc xem xét 200 log phiên của Gemini CLI trong giai đoạn 19/3–21/4/2026.
Kết quả cho thấy AI được dùng như “tác nhân” chính để di chuyển máy chủ C&C, thiết lập Cloudflare tunnel, quản lý bot và gỡ lỗi kết nối. Cụ thể, tác nhân đã điều khiển 8 máy tính tại một phòng khám nha khoa và truy cập cơ sở dữ liệu OpenDental. Trong quá trình di chuyển, khi hệ thống trả về “502 Bad Gateway”, AI được ghi nhận đã chẩn đoán và tự động bổ sung header cần thiết; đồng thời xác định User-Agent để vượt qua WAF.
Điểm đáng chú ý là toàn bộ C&C có thể được “đóng gói” và triển khai lại nhanh chóng từ vài tệp hướng dẫn, làm giảm hiệu quả triệt phá và tăng khả năng tái tạo hạ tầng. Ngoài ra, AI còn hỗ trợ bẻ mật khẩu, phân tích dữ liệu rò rỉ và lên kế hoạch lừa đảo tiền mã hoá nhắm người cao tuổi.
Khuyến nghị: tăng giám sát lưu lượng bất thường qua HTTPS/Cloudflare tunnel, siết kiểm soát quyền truy cập vào hệ thống y tế, và rà soát dấu hiệu PowerShell/lệnh điều khiển từ máy chủ lạ.