THÔNG TIN CÁC MỐI ĐE DỌA BẢO MẬT THÁNG 12–2025
1 CÁC MỐI ĐE DỌA NÂNG CAO – ADVANCED THREATS
Trong tháng 12/2025, đội ngũ NCS ghi nhận các chiến dịch tấn công APT đáng chú ý sau:
| STT | Tên chiến dịch | Mô tả |
| 1 | Chiến dịch tấn công nhắm mục tiêu vào khu vực Đông Nam Á | – Khu vực: Đông Nam Á, trong đó Việt Nam, Thái Lan và Indonesia là các mục tiêu chính
– Mục đích: gian lận tài chính – Công cụ/cách thức tấn công: phát tán APK ngoài Google Play thông qua các trang lừa đảo, giả danh cơ quan nhà nước hoặc dịch vụ công |
| 2 | Chiến dịch tấn công sử dụng mã độc Shai Hulud 2.0 | -Nạn nhân: tại nhiều quốc gia, hầu hết ghi nhận tại Nga, Ấn Độ, Việt Nam, Brazil, Trung Quốc, Thổ Nhĩ Kỳ và Pháp
-Công cụ/cách thức tấn công: Mã độc khai thác token NPM và GitHub để tái xuất bản các gói hợp pháp kèm payload, tạo thành chuỗi lây nhiễm tự động. |
| 3 | Chiến dịch gián điệp nhắm vào khu vực Đông Nam Á và Nhật Bản | -Khu vực: Đông Nam Á và Nhật Bản
-Lĩnh vực: cơ quan chính phủ – Mục tiêu: thu thập thông tin nội bộ và giám sát hoạt động của các tổ chức nhà nước -Công cụ/cách thức tấn công: triển khai ban đầu thực hiện thông qua Group Policy. Trên hệ thống được chọn, triển khai backdoor NosyDoor. Ngoài ra, triển khai thêm các công cụ NosyHistorian, NosyStealer, NosyDownloader, NosyLogger, proxy Reverse SOCKS5 |
| 4 | Ink Dragon nhắm mục tiêu vào cơ quan chính phủ Đông Nam Á, Châu Phi và tiếp tục mở rộng phạm vi | -Lĩnh vực: chính phủ, viễn thông …
-Khu vực: Đông Nam Á và Nam Mỹ, gần đây tiếp tục mở rộng phạm vi sang Châu Âu và các khu vực khác -Công cụ/cách thức tấn công: Truy cập ban đầu chủ yếu khai thác ASP.NET ViewState deserialization, lạm dụng lỗ hổng ToolShell trên SharePoint on-premises, kết hợp bypass xác thực và deserialization không an toàn. Ngoài ra, nhóm tấn công triển khai ShadowPad, FinalDraft backdoor, ShadowPad IIS listener |
| 5 | Bloody Wolf nhắm mục tiêu sang các quốc gia khu vực Trung Á | -Khu vực: Trung Á
– Công cụ/cách thức tấn công: Truy cập ban đầu kẻ tấn công sử dụng email spear-phishing chứa tệp PDF giả mạo. Bên trong PDF chứa các đường dẫn tới các file Java Archive (JAR) độc hại. Khi nạn nhân mở file JAR, sau khi được hướng dẫn cài đặt Java Runtime, chương trình sẽ tải xuống các thành phần bổ sung và cuối cùng triển khai NetSupport RAT. |
Thông tin chi tiết các chiến dịch:
1.1 Chiến dịch tấn công nhắm mục tiêu vào khu vực Đông Nam Á
NCS Threat Intelligence theo dõi và ghi nhận bài đăng trên không gian mạng mô tả về hoạt động tấn công quy mô lớn diễn ra từ năm 2024 đến nay, do nhóm GoldFactory triển khai nhắm vào người dùng tại khu vực Đông Nam Á, trong đó Việt Nam, Thái Lan và Indonesia là các mục tiêu chính.
Chiến dịch tập trung vào gian lận tài chính qua ứng dụng ngân hàng bằng cách phát tán APK ngoài Google Play thông qua các trang lừa đảo, giả danh cơ quan nhà nước hoặc dịch vụ công. Chuỗi lây nhiễm bao gồm nhiều giai đoạn, sử dụng Trojan trung gian và các kỹ thuật hook nhằm can thiệp sâu vào ứng dụng ngân hàng để đánh cắp thông tin và thực hiện giao dịch trái phép.
Chuỗi tấn công
Giai đoạn đầu sử dụng các trang web giả mạo, tin nhắn hoặc cuộc gọi lừa đảo để dẫn dụ người dùng cài đặt ứng dụng Android ngoài Google Play. Các APK được ngụy trang thành ứng dụng công hoặc dịch vụ hành chính.
Giao diện của APK ứng dụng công giả mạo
Sau khi cài đặt, các Trojan trung gian như Gigabud, Remo hoặc MMRat sẽ được kích hoạt để thiết lập quyền hạn, thu thập dữ liệu thiết bị và duy trì kết nối với máy chủ điều khiển. Trojan trung gian tải và cài đặt phiên bản ứng dụng ngân hàng đã bị chỉnh sửa. Các mẫu mã độc này tích hợp kỹ thuật hook như Frida Gadget, DobbyHook hoặc PineHook để can thiệp API hệ thống, vượt qua cơ chế chống gian lận, giả mạo chữ ký ứng dụng và theo dõi hành vi người dùng. Mục tiêu chính là thu thập thông tin đăng nhập, OTP và chuẩn bị môi trường cho giao dịch gian lận.
Sau khi xác định được ngân hàng nạn nhân sử dụng, nhóm tấn công triển khai giai đoạn mở rộng bao gồm theo dõi thao tác giao diện, can thiệp bộ nhớ và tự động thao tác trong ứng dụng. Một số biến thể Trojan còn điều khiển Accessibility để thực hiện giao dịch thay cho người dùng mà không cần tương tác thủ công.
Biến thể mới Gigaflower cho thấy xu hướng chuyển sang mô hình điều khiển thiết bị từ xa. Mã độc bổ sung các chức năng như truyền phát màn hình thời gian thực qua WebRTC, đọc thông tin từ CCCD Việt Nam, trích xuất mã QR và phân tích giao diện ứng dụng ngân hàng bằng Accessibility. Mã độc hỗ trợ tích hợp nhiều lệnh điều khiển hơn, cho phép điều khiển toàn bộ quá trình từ phía máy chủ.
Indicator of Compromises (IoCs)
Chi tiết xem tại Danh sách IoCs liên quan đến các chiến dịch tấn công
1.2 Chiến dịch tấn công sử dụng mã độc Shai Hulud 2.0
NCS Threat Intelligence theo dõi và ghi nhận bài đăng trên không gian mạng mô tả về Shai Hulud 2.0 – một biến thể mới của dòng mã độc Shai Hulud. Shai Hulud 2.0 là mã độc hai giai đoạn, lây lan qua các gói NPM bị chỉnh sửa độc hại. Mã độc khai thác token NPM và GitHub để tái xuất bản các gói hợp pháp kèm payload, tạo thành chuỗi lây nhiễm tự động. Hơn 800 gói NPM đã bị nhiễm, với nạn nhân tại nhiều quốc gia, hầu hết ghi nhận tại Nga, Ấn Độ, Việt Nam, Brazil, Trung Quốc, Thổ Nhĩ Kỳ và Pháp.
Các quốc gia chịu ảnh hưởng lớn nhất từ chiến dịch
Chuỗi tấn công
Mã độc Shai Hulud 2.0 sử dụng hai hướng xâm nhập chính. Kẻ tấn công gửi email lừa đảo giả mạo cảnh báo bảo mật NPM để đánh cắp thông tin đăng nhập hoặc chèn mã độc vào các gói NPM có script tiền cài đặt tự động thực thi khi lập trình viên cài đặt gói.
Sau khi xâm nhập, mã độc thu thập token GitHub, NPM, AWS, Azure và Google Cloud từ biến môi trường, cấu hình CLI và tệp lưu trữ, cài và chạy TruffleHog để quét toàn bộ hệ thống nhằm thu thập thông tin. Tất cả dữ liệu được mã hóa và tải lên kho GitHub do kẻ tấn công tạo bằng chính token của nạn nhân. Mã độc tiếp tục kiểm tra .npmrc để lấy token NPM, xác minh tính hợp lệ, liệt kê các gói nạn nhân quản lý và chèn payload trước khi tăng phiên bản và xuất bản lại.
Để duy trì quyền truy cập, Shai-Hulud 2.0 đăng ký máy nạn nhân làm self-hosted GitHub Actions runner và sử dụng GitHub Discussions làm kênh điều khiển từ xa. Mã độc cài workflow độc hại tại .github/workflows/discussion.yaml, cho phép kẻ tấn công thực thi lệnh tùy ý trên hệ thống.
Shai Hulud 2.0 còn áp dụng kỹ thuật leo thang và né tránh bằng cách kiểm tra khả năng chạy sudo không mật khẩu, lợi dụng Docker để sửa sudoers, thay đổi DNS sang máy chủ do kẻ tấn công kiểm soát và xóa quy tắc tường lửa nhằm mở toàn bộ lưu lượng đi. Nếu không thể lấy được token GitHub hoặc NPM, mã độc kích hoạt cơ chế xóa dữ liệu trong thư mục người dùng trên Windows và Linux, gây nguy cơ mất dữ liệu vĩnh viễn, ngoại trừ một số hạn chế về mặt kỹ thuật trên macOS.
Indicator of Compromises (IoCs)
Chi tiết xem tại Danh sách IoCs liên quan đến các chiến dịch tấn công
1.3 Chiến dịch gián điệp nhắm vào khu vực Đông Nam Á và Nhật Bản
NCS Threat Intelligence theo dõi và ghi nhận bài đăng trên không gian mạng mô tả về hoạt động gián điệp mạng do một nhóm APT mới, được đặt tên là LongNosedGoblin, triển khai nhắm vào các cơ quan chính phủ tại khu vực Đông Nam Á và Nhật Bản.
Chiến dịch này được xác định diễn ra ít nhất từ tháng 9 năm 2023 và tiếp tục duy trì trong suốt giai đoạn 2024-2025. Mục tiêu chính của chiến dịch là thu thập thông tin nội bộ và giám sát hoạt động của các tổ chức nhà nước.
Chuỗi tấn công
Chuỗi thực thi của NosyDoor
Giai đoạn xâm nhập và triển khai ban đầu được thực hiện thông qua Group Policy, phát tán các tệp PE độc hại ngụy trang file cấu hình hoặc chính sách hệ thống như History.ini hoặc Registry.pol.
Trên các hệ thống được chọn, nhóm tấn công triển khai backdoor NosyDoor. Chuỗi thực thi của NosyDoor gồm ba giai đoạn, trong đó đáng chú ý là việc lợi dụng ứng dụng hợp pháp UevAppMonitor.exe để thực hiện AppDomainManager injection. Kỹ thuật này cho phép tải và thực thi mã độc trong ngữ cảnh tiến trình hợp lệ, đồng thời vô hiệu hóa AMSI để né tránh cơ chế quét mã độc.
Sau khi cài đặt thành công, NosyDoor thu thập thông tin hệ thống chi tiết và giao tiếp với máy chủ điều khiển thông qua OneDrive. Backdoor này hỗ trợ nhiều lệnh điều khiển như thực thi lệnh shell, tải và trích xuất tệp, duyệt hệ thống tệp và nạp thêm module mở rộng.
Song song với NosyDoor, LongNosedGoblin triển khai thêm các công cụ hỗ trợ thu thập dữ liệu chuyên sâu:
- NosyHistorian thu thập lịch sử duyệt web từ Google Chrome, Microsoft Edge và Mozilla Firefox của tất cả người dùng trên hệ thống để đánh giá giá trị mục tiêu và lựa chọn một tập nạn nhân cụ thể cho giai đoạn xâm nhập sâu hơn.
- NosyStealer được sử dụng để đánh cắp dữ liệu trình duyệt từ Edge và Chrome, với chuỗi thực thi nhiều tầng, sử dụng Donut shellcode và kỹ thuật tiêm mã vào tiến trình để chạy hoàn toàn trong bộ nhớ. Dữ liệu thu thập được nén, mã hóa và đưa lên Google Drive.
Chuỗi thực thi của NosyStealer
- NosyDownloader đóng vai trò tải và thực thi chuỗi lệnh PowerShell được mã hóa và nén nhiều lớp. Công cụ này được sử dụng để triển khai NosyLogger, ReverseSocks5 và các công cụ khác.
- NosyLogger là một keylogger ghi lại phím bấm, tiêu đề cửa sổ và nội dung clipboard, sau đó mã hóa và lưu cục bộ nhằm thu thập hoặc trích xuất sau.
Nhóm tấn công cũng sử dụng proxy Reverse SOCKS5 để thiết lập kênh truy cập từ xa vào mạng nội bộ, cùng với công cụ argument runner nhằm khởi chạy FFmpeg để ghi lại màn hình và âm thanh, mở rộng khả năng giám sát hoạt động người dùng.
MITRE ATT&CK
| Tactic | ID | Name |
| Resource Development | T1585.003 | Establish Accounts: Cloud Accounts |
| T1588.001 | Obtain Capabilities: Malware | |
| Execution | T1059.001 | Command and Scripting Interpreter: PowerShell |
| T1059.003 | Command and Scripting Interpreter: Windows Command Shell | |
| T1106 | Native API | |
| Persistence | T1053.005 | Scheduled Task/Job: Scheduled Task |
| T1574.014 | Hijack Execution Flow: AppDomainManager | |
| Defense Evasion | T1027.013 | Obfuscated Files or Information: Encrypted/Encoded File |
| T1027.015 | Obfuscated Files or Information: Compression | |
| T1622 | Debugger Evasion | |
| T1480 | Execution Guardrails | |
| T1564.003 | Hide Artifacts: Hidden Window | |
| T1562.001 | Impair Defenses: Disable or Modify Tools | |
| T1036.005 | Masquerading: Match Legitimate Name or Location | |
| T1218 | Signed Binary Proxy Execution | |
| T1055 | Process Injection | |
| T1620 | Reflective Code Loading | |
| Discovery | T1217 | Browser Information Discovery |
| T1083 | File and Directory Discovery | |
| T1082 | System Information Discovery | |
| Collection | T1056.001 | Input Capture: Keylogging |
| T1125 | Video Capture | |
| T1560 | Archive Collected Data | |
| T1074.001 | Data Staged: Local Data Staging | |
| Command and Control | T1071.001 | Application Layer Protocol: Web Protocols |
| T1105 | Ingress Tool Transfer | |
| T1102.002 | Web Service: Bidirectional Communication | |
| T1573.001 | Encrypted Channel: Symmetric Cryptography | |
| T1573.002 | Encrypted Channel: Asymmetric Cryptography | |
| Exfiltration | T1567.002 | Exfiltration Over Web Service: Exfiltration to Cloud Storage |
Indicator of Compromises (IoCs)
Chi tiết xem tại Danh sách IoCs liên quan đến các chiến dịch tấn công
1.4 Ink Dragon nhắm mục tiêu vào cơ quan chính phủ Đông Nam Á, Châu Phi và tiếp tục mở rộng phạm vi
NCS Threat Intelligence theo dõi và ghi nhận bài đăng trên không gian mạng mô tả nhóm gián điệp Ink Dragon hay còn có tên gọi khác là CL-STA-0049, Earth Alux, hoặc REF7707 nhắm mục tiêu vào cơ sở hạ tầng chính phủ, viễn thông … tập trung vào khu vực Đông Nam Á và Nam Mỹ, gần đây tiếp tục mở rộng phạm vi sang Châu Âu và các khu vực khác. Nhóm tấn công triển khai module ShadowPad IIS Listener nhằm biến máy chủ bị chiếm quyền thành relay node, có khả năng nhận, chuyển tiếp và proxy lệnh điều khiển. Điều này cho phép kẻ tấn công định tuyến lưu lượng C2 qua nhiều mạng nạn nhân khác nhau, che giấu hạ tầng điều khiển thực sự và tái sử dụng các tài sản đã bị chiếm quyền để phục vụ các chiến dịch tiếp theo.
Truy cập ban đầu, Ink Dragon chủ yếu khai thác ASP.NET ViewState deserialization thông qua các machine key bị công khai, cho phép giả mạo tham số __VIEWSTATE và dẫn đến thực thi mã từ xa. Ngoài ra, nhóm còn lạm dụng lỗ hổng ToolShell trên SharePoint on-premises, kết hợp bypass xác thực và deserialization không an toàn để triển khai web shell và giành thực thi mã từ xa.
Sau khi xâm nhập triển khai ShadowPad, thu thập thông tin xác thực của IIS worker và thiết lập RDP proxy để di chuyển ngang trong hệ thống, tận dụng RDP, các chức năng tích hợp sẵn của ShadowPad và các thông tin đăng nhập bị tái sử dụng. Khi chiếm được tài khoản domain admin, kẻ tấn công đạt được quyền kiểm soát toàn bộ domain. Khi đã kiểm soát domain, Ink Dragon triển khai FinalDraft backdoor trên các máy quan trọng và tiếp tục cài đặt thêm ShadowPad IIS listener trên các máy chủ công khai, cho phép các nạn nhân mới kết nối vào hạ tầng của kẻ tấn công khi chiến dịch tiếp tục mở rộng.
Indicator of Compromises (IoCs)
Chi tiết xem tại Danh sách IoCs liên quan đến các chiến dịch tấn công
1.5 Bloody Wolf nhắm mục tiêu sang các quốc gia khu vực Trung Á
NCS Threat Intelligence theo dõi và ghi nhận bài đăng trên không gian mạng mô tả nhóm tấn công Bloody Wolf nhắm mục tiêu sang các quốc gia khu vực Trung Á. Nhóm tấn công giả mạo các cơ quan chính phủ, đặc biệt là Bộ Tư pháp nhằm lừa nạn nhân. Nhóm này bắt đầu bằng việc sử dụng phần mềm độc hại thương mại STRRAT, nhưng sau đó đã chuyển sang triển khai một công cụ quản trị từ xa hợp pháp – NetSupport Manager (NetSupport RAT) trong các chiến dịch gần đây nhằm che giấu hoạt động và trốn tránh phát hiện.
Chiến dịch điển hình của Bloody Wolf bắt đầu bằng email spear-phishing chứa tệp PDF giả mạo từ Bộ Tư pháp của quốc gia mục tiêu. Những PDF này được soạn rất giống với tài liệu chính thức và thường được viết bằng ngôn ngữ địa phương (tuy nhiên tiếng Nga vẫn được dùng nhiều nhất) nhằm tăng tính tin cậy. Bên trong PDF là các đường dẫn tới các file Java Archive (JAR) độc hại do nhóm tạo bằng trình tạo JAR tùy chỉnh, không bị obfuscate và được thiết kế để né tránh phát hiện bởi phần mềm bảo mật.
Khi nạn nhân mở file JAR, sau khi được hướng dẫn cài đặt Java Runtime, chương trình sẽ tải xuống các thành phần bổ sung và cuối cùng triển khai NetSupport RAT từ một máy chủ do kẻ tấn công kiểm soát, đồng thời hiển thị các hộp thoại lỗi giả để đánh lừa người dùng rằng không có gì sai xảy ra.
Bloody Wolf không chỉ tải RAT mà còn thiết lập persistence bằng ba cơ chế cùng lúc:
- Tạo file .BAT trong thư mục %APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup với command sau:
@echo off
cd /d “C:\Users\Bruno\Documents\[Something]”
start “” “[net support executable].exe”
- Thêm giá trị vào registry với command sau:
cmd.exe /c reg add HKCU\Software\Microsoft\Windows\CurrentVersion\Run /v [something] /t REG_SZ /d “[path to net support executable]”
- Tạo Scheduled Task với command sau:
cmd.exe /c schtasks /TN “[Something]” /TR “[path to netsupport executable]” /SC ONLOGON /RL LIMITED /F /RU “%USERNAME%”
Một điểm kỹ thuật đáng chú ý trong giai đoạn Bloody Wolf mở rộng hoạt động sang Uzbekistan là việc cơ sở hạ tầng phân phối được triển khai cơ chế giới hạn theo địa lý (geo-fencing): các yêu cầu từ bên ngoài lãnh thổ sẽ bị chuyển hướng tới trang hợp pháp data[.]egov[.]uz, trong khi các yêu cầu trong nước tự động kích hoạt việc tải xuống một tệp lưu trữ Java độc hại từ các URL được nhúng trong tệp PDF. Sau khi thực thi, phần mềm độc hại hiển thị một thông báo lỗi giả mạo và bắt đầu tải xuống các thành phần NetSupport RAT bổ sung từ miền do kẻ tấn công kiểm soát.
MITRE ATT&CK
| Tactic | Technique | Procedure |
| Initial Access (TA0001) | Phishing (T1566) | In phishing emails Bloody Wolf uses pdf lures with embedded urls |
| Spearphishing Attachment (T1566.001) | ||
| Execution (TA0002) | Command and Scripting Interpreter (T1059) | CMD for HKCU and command executions |
| Windows Command Shell (T1059.003) | ||
| User execution (T1204) | User launches JAR loader | |
| Malicious File (T1204.002) | ||
| Persistence (TA0003) | Boot or Logon Autostart Execution (T1547) | Adds registry entries, each JAR has its own path. Example:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\QualityController Execution sample: cmd.exe /c reg add HKCU\Software\Microsoft\Windows\CurrentVersion\Run /v QualityController /t REG_SZ /d “%USERPROFILE%\Documents\QualityController\ozbekiston.exe” /f |
| Registry Run Keys / Startup Folder (T1547.001) | ||
| Scheduled Task/Job (T1053) | ||
| Discovery (TA0007) | File and Directory Discovery (T1083) | Discovers specific paths to download components |
| Command-and-control (TA0011) | Application Layer Protocol (T1071) | Uses HTTP Get requests to pull the components |
| Web Protocols (T1071.001) | ||
| Remote Access Tools (T1219) | NetSupport RAT utilization |
Indicator of Compromises (IoCs)
Chi tiết xem tại Danh sách IoCs liên quan đến các chiến dịch tấn công
Khuyến nghị:
- Thực hiện cập nhật các IoCs (mã hash, địa chỉ IP) vào các giải pháp bảo mật phía khách hàng nhằm nâng cao năng lực phòng thủ, giúp giám sát và phát hiện các dấu hiệu bất thường trên hệ thống
2 MALWARE
Tháng 12/2025, đội ngũ NCS ghi nhận các phân tích đáng chú ý về mẫu mã độc sau:
| STT | Tiêu đề | Mô tả |
| 1 | Phân tích ransomware 01flip | Nhóm tấn công triển khai ransomware 01flip được viết bằng ngôn ngữ Rust, hỗ trợ đa nền tảng Windows và Linux, sử dụng Sliver để trinh sát, di chuyển ngang và chuẩn bị môi trường. |
| 2 | Phân tích mã độc ValleyRAT | ValleyRAT là backdoor mô-đun phổ biến, còn được gọi là Winos hoặc Winos 4.0, được phát triển với kiến trúc plugin linh hoạt. Phân tích dựa trên builder cho thấy mã độc này sở hữu hệ sinh thái plugin hoàn chỉnh, bao gồm cả Driver Plugin nhúng rootkit kernel-mode có khả năng vượt qua các cơ chế bảo vệ hiện đại của Windows. |
2.1 Phân tích ransomware 01flip
Threat Intelligence NCS ghi nhận bài đăng trên không gian mạng mô tả về một họ mã độc tống tiền mới có tên 01flip. Đây là ransomware được viết hoàn toàn bằng ngôn ngữ Rust, hỗ trợ đa nền tảng (Windows và Linux) thông qua khả năng cross-compilation.
Chiến dịch mang động cơ tài chính và tại thời điểm công bố báo cáo, số lượng nạn nhân được xác nhận còn hạn chế, tuy nhiên đã ghi nhận các tổ chức thuộc hạ tầng quan trọng tại khu vực châu Á – Thái Bình Dương, bao gồm Đông Nam Á. Ngoài ra, các nhà nghiên cứu cũng phát hiện một bài đăng trên diễn đàn darkweb liên quan đến việc rao bán dữ liệu bị đánh cắp từ một tổ chức được cho là nạn nhân của chiến dịch này.
Các phát hiện cho thấy 01flip không hoạt động theo mô hình Ransomware-as-a-Service phổ biến, mà nhiều khả năng được triển khai thủ công sau khi kẻ tấn công đã chiếm quyền kiểm soát hệ thống nạn nhân.
Initial Access
Hoạt động xâm nhập ban đầu ghi nhận từ tháng 4/2025, trong đó kẻ tấn công dò quét và khai thác các lỗ hổng cũ như CVE-2019-11580. Mặc dù chưa xác định chính xác cách kẻ tấn công đạt được truy cập ban đầu, đến tháng 5/2025, kẻ tấn công đã triển khai Sliver (Linux), một framework mã nguồn mở phục vụ điều khiển hậu khai thác.
Sau khi xâm nhập ban đầu, nhóm tấn công thực hiện di chuyển ngang sang các máy Linux khác bằng Sliver TCP Pivot beacon. Sau đó nhiều mẫu 01flip ransomware được triển khai đồng loạt trên cả hệ thống Windows và Linux trong mạng nội bộ.
Phân tích kỹ thuật 01flip ransomware
01flip không được pack hay obfuscate phức tạp. Phân tích phụ thuộc (crates) giữa hai biến thể Windows và Linux cho thấy phần lớn mã nguồn dùng chung, chỉ khác biệt nhỏ ở các thư viện phụ thuộc nền tảng. 01flip thực hiện các hành vi chính:
- Duyệt toàn bộ ổ đĩa khả dụng
- Tạo ransom note RECOVER-YOUR-FILE.TXT tại các thư mục ghi được
- Mã hóa các tệp theo danh sách phần mở rộng mục tiêu
- Đổi tên tệp theo định dạng: <tên_file_gốc>.<ID_duy_nhất>.<0 hoặc 1>.01flip
- Mã hóa dữ liệu bằng AES-128-CBC và RSA-2048
- Tự xóa sau khi hoàn tất
Kỹ thuật né tránh phòng thủ
Mã độc ưu tiên sử dụng system call và API mức thấp trên cả Windows và Linux nhằm giảm dấu hiệu bất thường.
Phần lớn chuỗi trong mã được mã hóa và giải mã tại runtime, bao gồm:
- Nội dung ransom note
- Tên file ransom note
- Danh sách phần mở rộng
- Khóa RSA công khai
Mã hóa dữ liệu
Trước khi mã hóa tệp, 01flip tạo ghi chú đòi tiền chuộc trong tất cả các thư mục có thể ghi. Ghi chú này chứa thông tin liên hệ và dữ liệu mật mã cần thiết để nhận khóa giải mã.
Quá trình mã hóa sử dụng AES để mã hóa dữ liệu tệp. Khóa phiên AES được mã hóa tiếp bằng khóa công khai RSA được nhúng sẵn trong mã độc. 01flip loại trừ một số phần mở rộng tệp khỏi quá trình mã hóa. Các tệp bị mã hóa được đổi tên theo định dạng <tên_file_gốc>.<ID_duy_nhất>.<0 hoặc 1>.01flip.
Xóa dấu vết
Sau khi mã hóa, ransomware tự ghi đè nội dung file thực thi bằng dữ liệu ngẫu nhiên rồi thực hiện xóa:
- Trên Windows, mã độc ghi đè nội dung tệp bằng dữ liệu rỗng thông qua fsutil, sau đó xóa tệp.
- Trên Linux, mã độc ghi đè tệp bằng dữ liệu ngẫu nhiên từ /dev/urandom rồi xóa tệp.
Indicator of Compromises (IoCs)
Chi tiết xem tại Danh sách IoCs liên quan đến mã độc
2.2 Phân tích mã độc ValleyRAT (Winos / Winos 4.0)
Threat Intelligence NCS ghi nhận bài đăng trên không gian mạng mô tả về mã độc ValleyRAT, còn được biết đến với tên Winos hoặc Winos4.0. Đây là một backdoor được sử dụng rộng rãi, có kiến trúc plugin hoàn chỉnh và thường xuất hiện trong các chiến dịch gắn với các tác nhân nói tiếng Trung. Bài đăng mô tả dựa trên builder liên quan đến mã độc này.
Kiến trúc builder và hệ thống plugin
ValleyRAT builder là một tệp PE 32-bit, đóng vai trò vừa là công cụ build vừa là panel C2, trong đó các “main plugin” được nhúng trực tiếp vào tài nguyên của file.
Tổng cộng 19 plugin chính được xác định, mỗi plugin có cả biến thể 32-bit và 64-bit, bao phủ hầu hết các chức năng backdoor phổ biến như quản lý file, điều khiển từ xa, keylogging, proxy, thu âm, quay màn hình, DDoS, và quản lý hệ thống.
Module rootkit của ValleyRAT được nhúng bên trong plugin ban đầu có tên 驱动插件 (EN: Driver Plugin.dll). Plugin này được biên dịch với cả hai biến thể 32-bit và 64-bit, đóng vai trò là client ở user-mode và trình cài đặt cho rootkit.
Cài đặt Driver và cấu hình ban đầu
Khi thực thi lệnh cài đặt driver DropAndInstallRootkit(), client sẽ ghi driver xuống đĩa và cài đặt như một dịch vụ kernel có tên kernelquick, đồng thời tạo khóa registry HKLM\SYSTEM\CurrentControlSet\Services\kernelquick. Dịch vụ này được đăng ký với loại SERVICE_KERNEL_DRIVER và chế độ demand start.
Ngoài chế độ cài đặt được mô tả ở trên, client còn có thể kích hoạt “Stealth Mode”. Trong trường hợp này, hàm DropAndInstallRootkit() được bổ sung thêm các routine: GetProcID_dwm(), CreateProcessMalseclogon().
Chế độ này chủ yếu nhằm làm gián đoạn kết nối mạng trong quá trình cài đặt và sử dụng kỹ thuật giả mạo dựa trên MalSeclogon để giảm khả năng bị phát hiện.
Để làm gián đoạn kết nối mạng, client khởi chạy các lệnh như:
cmd /c start /min ipconfig /release và cmd /c start /min ipconfig /renew. Kỹ thuật MalSeclogon sau đó được sử dụng để thực thi các lệnh này dưới ngữ cảnh giả mạo với PPID spoofing:
- GetProcID_dwm() xác định PID của dwm.exe bằng cách sử dụng FILE_INFORMATION_CLASS::FileProcessIdsUsingFileInformation.
- Client tạm thời sửa đổi trường TEB → ClientId.UniqueProcess để giả mạo PPID thành dwm.exe.
- Các đối tượng token được đánh cắp từ tiến trình dwm.exe và được sử dụng để gọi lệnh thông qua:
- CreateProcessWithTokenW (chính)
- CreateProcessWithLogonW (dự phòng, vẫn duy trì PPID spoofing nhưng không có impersonation)
Sau khi các lệnh được thực thi, client khôi phục lại giá trị UniqueProcess ban đầu. Việc cài đặt driver thông qua DropAndInstallRootkit() diễn ra trong khoảng thời gian gián đoạn mạng.
Kết quả là một chuỗi cài đặt được thực thi dưới một tiến trình Windows tin cậy. Process tree dưới đây cho thấy hành vi khi Stealth Mode được sử dụng:
Client cũng hỗ trợ tiêm shellcode do người vận hành cung cấp, bằng cách lưu trữ shellcode này trong HKLM\SOFTWARE\IpDates.
Khi nhận lệnh, rootkit sẽ truy xuất shellcode user-mode này và thực hiện tiêm dựa trên APC:
- Vào dwm.exe trong quá trình kích hoạt ban đầu
- Vào bất kỳ process ID nào được cung cấp thông qua IOCTL
Các thay đổi so với Hidden rootkit
Driver 64-bit được nhúng dựa trên dự án mã nguồn mở công khai Hidden. ValleyRAT đã sửa đổi đáng kể codebase gốc, bao gồm các thay đổi tái cấu trúc, cải thiện khả năng tương thích với các phiên bản Windows mới, và bổ sung hoàn toàn các chức năng mới.
Chức năng được giữ nguyên từ rootkit Hidden gốc:
- Ẩn registry (khóa và giá trị)
- Ẩn tệp và thư mục
- Bảo vệ tiến trình (thiết lập quyền truy cập hạn chế đối với tiến trình)
- Danh sách loại trừ tiến trình (loại trừ các tiến trình cụ thể khỏi cơ chế bảo vệ)
Chức năng được bổ sung:
- UMInjection() – tiêm shellcode user-mode dựa trên APC
- ForceDeleteFile() – buộc xóa tệp tùy ý ở mức kernel
- SetDriverStartType_SystemStart() – tăng cường persistence bằng cách chuyển kiểu khởi động dịch vụ
UMInjection()
UMInjection() có cơ chế tiêm shellcode dựa trên APC từ kernel-mode sang user-mode. Hàm này được gọi trong quá trình khởi tạo driver, tạo một system thread để thực thi UMInjectionRoutine().
UMInjectionRoutine():
- Truy xuất shellcode đã lưu từ HKLM\SOFTWARE\IpDates
- Xác định dwm.exe (mục tiêu được hardcode)
- Truyền PID của tiến trình này cho UMInject()
UMInject() cũng có thể được kích hoạt trực tiếp thông qua IOCTL 0x222144 để nhắm mục tiêu bất kỳ tiến trình nào. Hàm này xác định một thread phù hợp, đưa một kernel-mode APC vào hàng đợi, và kích hoạt UMInjectExecShellcode() – hàm cấp phát bộ nhớ user-mode, ghi shellcode và đưa một user-mode APC vào hàng đợi để thực thi shellcode.
ForceDeleteFile()
ForceDeleteFile() sử dụng các lời gọi IRP kernel trực tiếp. Hàm này có khả năng:
- Mở tệp thông qua IRP_MJ_CREATE tùy chỉnh
- Đặt lại thuộc tính thông qua IRP_MJ_SET_INFORMATION (FileBasicInformation)
- Đánh dấu tệp để xóa thông qua FileDispositionInformation
- Tạm thời tách các đối tượng section để vượt qua khóa tệp, bao gồm cả các executable được ánh xạ bộ nhớ
ForceDeleteFile() được kích hoạt:
- Tự động trong quá trình khởi tạo driver
- Thông qua IOCTL 0x222140 từ client user-mode
SetDriverStartType_SystemStart()
Hàm này cập nhật dịch vụ kernelquick để sử dụng SERVICE_SYSTEM_START, nâng mức persistence từ tải theo yêu cầu lên tải khi hệ thống khởi động.
Indicator of Compromises (IoCs)
Chi tiết xem tại Danh sách IoCs liên quan đến mã độc
Khuyến nghị:
- Thực hiện cập nhật các IoCs (mã hash, địa chỉ IP) vào các giải pháp bảo mật phía khách hàng nhằm nâng cao năng lực phòng thủ, giúp giám sát và phát hiện các dấu hiệu bất thường trên hệ thống
3 LỖ HỔNG BẢO MẬT
3.1 Microsoft Patch Tuesday – December 2025
Trong tháng 12, Microsoft đã phát hành các bản vá cho 56 CVE mới trong các sản phẩm của Windows và Windows components, Office và Office Components, Microsoft Edge (Chromium-based), Exchange Server, Azure, Copilot, PowerShell, và Windows Defender. Trong đó có 03 lỗ hổng được đánh giá mức độ Critical, 53 lỗ hổng được đánh giá là Important.
Các lỗ hổng nổi bật ghi nhận trong tháng:
| STT | Mã CVE | Tên lỗ hổng | Thông tin chung | Mức độ cảnh báo |
| 1 | CVE-2025-62221 | Windows Cloud Files Mini Filter Driver Elevation of Privilege Vulnerability | Tồn tại lỗ hổng use-after-free trong Windows Cloud Files Mini Filter Driver, cho phép kẻ tấn công leo thang đặc quyền lên SYSTEM trên hệ thống | Important |
| 2 | CVE-2025-62554 | Microsoft Office Remote Code Execution Vulnerability | Tồn tại lỗ hổng Type confusion trên Microsoft Office cho phép kẻ tấn công ghi và thực thi mã tùy ý trên hệ thống bị ảnh hưởng. Khai thác lỗ hổng yêu cầu kẻ tấn công gửi liên kết độc hại qua email hoặc tin nhắn và có sự tương tác từ người dùng. Trong kịch bản nghiêm trọng nhất, kẻ tấn công cũng có thể gửi các email được tạo đặc biệt mà không cần nạn nhân tương tác với email này. Preview Pane cũng có thể bị khai thác bởi lỗ hổng này | Critical |
| 3 | CVE-2025-62557 | Microsoft Office Remote Code Execution Vulnerability | Tồn tại lỗ hổng Use after free trên Microsoft Office cho phép kẻ tấn công ghi và thực thi mã tùy ý trên hệ thống bị ảnh hưởng. Khai thác lỗ hổng yêu cầu kẻ tấn công gửi liên kết độc hại qua email hoặc tin nhắn và có sự tương tác từ người dùng. Trong kịch bản nghiêm trọng nhất, kẻ tấn công cũng có thể gửi các email được tạo đặc biệt mà không cần nạn nhân tương tác với email này. Preview Pane cũng có thể bị khai thác bởi lỗ hổng này | Critical |
| 4 | CVE-2025-62562 | Microsoft Outlook Remote Code Execution Vulnerability | Tồn tại lỗ hổng thực thi mã từ xa trong Outlook cho phép kẻ tấn công thực thi mã tùy ý trên hệ thống bị ảnh hưởng. Khai thác yêu cầu người dùng tương tác từ người dùng | Important |
| 5 | CVE-2025-64671 | GitHub Copilot for Jetbrains Remote Code Execution Vulnerability | Tồn tại lỗ hổng Command injection trong Copilot, cho phép kẻ tấn công thực thi mã tùy ý trên hệ thống bị ảnh hưởng. Kẻ tấn công khai thác lỗ hổng bằng cách chèn thêm lệnh vào các lệnh được auto-approve trên terminal thông qua Cross Prompt Inject trong tệp không tin cậy hoặc máy chủ MCP | Important |
| 6 | CVE-2025-64666 | Microsoft Exchange Server Elevation of Privilege Vulnerability | Tồn tại lỗ hổng kiểm tra dữ liệu đầu vào trong Exchange Server, cho phép kẻ tấn công có đặc quyền thấp leo thang lên đặc quyền quản trị trên hệ thống bị ảnh hưởng. Kẻ tấn công phải thực hiện các bước chuẩn bị trên hệ thống nạn nhân trước khi khai thác lỗ hổng này | Important |
Khuyến nghị:
- Thực hiện rà soát và lên kế hoạch cập nhật các bản vá theo hướng dẫn của hãng để đảm bảo an toàn an ninh thông tin hệ thống.
3.2 Ứng Dụng Web Và Các Sản Phẩm Khác
| STT | Mã CVE | Tên lỗ hổng | Thông tin chung | Sản phẩm | Mức độ cảnh báo |
| 1 | N/A | Next.js Unauthenticated DoS Vulnerability | Tồn tại lỗ hổng do xử lý sai trong hàm cloneBodyStream khiến máy chủ đọc toàn bộ luồng dữ liệu vào bộ nhớ mà không giới hạn kích thước. Kẻ tấn công có thể gửi một yêu cầu HTTP có kích thước lớn hoặc luồng vô hạn để làm cạn kiệt bộ nhớ và khiến máy chủ dừng hoạt động | Next.js | High |
| 2 | CVE-2025-55182 | React Server Components Remote Code Execution Vulnerability | Tồn tại lỗ hổng do quá trình giải mã payload của giao thức RSC “Flight” không kiểm tra tính hợp lệ của cấu trúc dữ liệu trước khi xử lý. Cơ chế deserialization không an toàn dẫn tới việc dữ liệu do kẻ tấn công kiểm soát được đưa trực tiếp vào luồng thực thi.
Lưu ý: CVE-2025-66478 (Next.js) đã được đánh dấu trùng và gộp vào CVE-2025-55182. | React & Next.js | Critical |
| 3 | CVE-2025-20386 | Incorrect permission assignment on Splunk Enterprise for Windows | Lỗ hổng tồn tại trong quá trình cài đặt mới hoặc nâng cấp lên các phiên bản Splunk Enterprise for Windows bị ảnh hưởng. Trong quá trình này, cơ chế gán quyền có thể bị thiết lập sai, dẫn tới việc người dùng không phải quản trị viên vẫn có quyền truy cập vào toàn bộ thư mục cài đặt (mặc định tại C:\Program Files\Splunk) và tất cả tệp bên trong | Splunk Enterprise | High |
| 4 | CVE-2025-10573 | Stored XSS in Ivanti Endpoint Manager | Tồn tại lỗ hổng Stored XSS trên Ivanti Endpoint Manager trước phiên bản 2024 SU4 SR1 cho phép kẻ tấn công từ xa, không cần xác thực, chèn mã JavaScript độc hại và thực thi trong ngữ cảnh phiên quản trị viên, dẫn tới nguy cơ chiếm quyền điều khiển phiên. Khai thác yêu cầu tương tác người dùng | Ivanti Endpoint Manager | Critical |
| 5 | CVE-2025-13659 | Arbitrary File Write in Ivanti Endpoint Manager | Tồn tại lỗ hổng trên Ivanti Endpoint Manager trước phiên bản 2024 SU4 SR1 cho phép kẻ tấn công từ xa, không cần xác thực, ghi tệp tùy ý lên máy chủ dẫn tới thực thi mã tùy ý. Khai thác yêu cầu tương tác người dùng | Ivanti Endpoint Manager | High |
| 6 | CVE-2025-13662 | Improper Signature Verification in Patch Management of Ivanti Endpoint Manager | Tồn tại lỗ hổng trong thành phần patch management của Ivanti Endpoint Manager trước phiên bản 2024 SU4 SR1 cho phép kẻ tấn công từ xa có thể thực thi mã tùy ý trên hệ thống bị ảnh hưởng. Khai thác yêu cầu tương tác người dùng | Ivanti Endpoint Manager | High |
| 7 | CVE-2025-59718 & CVE-2025-59719 | Improper Verification of Cryptographic Signature in Fortinet Products | Tồn tại lỗ hổng Improper Verification of Cryptographic Signature trong FortiOS, FortiWeb, FortiProxy và FortiSwitchManager cho phép kẻ tấn công không cần xác thực vượt qua cơ chế đăng nhập FortiCloud Single Sign-On (SSO) thông qua SAML message được tạo đặc biệt, nếu tính năng đó được bật trên thiết bị | Fortinet | Critical |
| 8 | CVE-2025-42880 | Code Injection vulnerability in SAP Solution Manager | Tồn tại lỗ hổng do quá trình xử lý dữ liệu đầu vào, SAP Solution Manager cho phép ẻ tấn công có thể chèn và thực thi mã độc khi gọi một function module có thể truy cập từ xa, từ đó có thể giành toàn quyền kiểm soát hệ thống. Khai thác lỗ hổng yêu cầu xác thực | SAP Solution Manager | Critical |
| 9 | CVE-2025-42928 | Deserialization Vulnerability in SAP jConnect – SDK for ASE | Tồn tại lỗ hổng do cơ chế xử lý dữ liệu tuần tự hóa không an toàn trong SAP jConnect. Kẻ tấn công có đặc quyền cao có thể lợi dụng dữ liệu đầu vào được tạo đặc biệt để kích hoạt quá trình deserialization không kiểm soát, dẫn tới thực thi mã tùy ý trên hệ thống | SAP jConnect – SDK for ASE | Critical |
| 10 | CVE-2025-13780 | pgAdmin4 Remote Code Execution via PLAIN-format restore mechanism | Tồn tại lỗ hổng thực thi mã từ xa (RCE) trong pgAdmin4 khi chạy ở server mode và thực hiện restore từ tệp dump PLAIN. Kẻ tấn công có thể chèn ký tự đặc biệt để vượt qua kiểm tra meta-command dựa trên regex. Khi restore được thực thi, các meta-command này được psql xử lý, dẫn tới thực thi mã tùy ý trên máy chủ. | pgAdmin4 | Critical |
| 11 | CVE-2025-20393 | Cisco Secure Email Gateway and Cisco Secure Email and Web Manager Remote Command Execution Vulnerability | Tồn tại lỗ hổng trong kiểm tra và xử lý dữ liệu đầu vào của Cisco AsyncOS. Khi tính năng Spam Quarantine được bật và có thể truy cập từ Internet, kẻ tấn công không cần xác thực có thể gửi các request đặc biệt để thực thi lệnh hệ thống với quyền cao nhất. | Cisco | Critical |
Khuyến nghị:
- Thực hiện rà soát và lên kế hoạch cập nhật các bản vá theo hướng dẫn của hãng để đảm bảo an toàn an ninh thông tin hệ thống
4 PHỤ LỤC
Danh sách các IoC liên quan đến các mã độc/ chiến dịch tấn công mới xuất hiện trong tháng 12/2025.
4.1 Danh sách IoCs liên quan đến các chiến dịch tấn công
4.1.1 Chiến dịch tấn công nhắm mục tiêu vào khu vực Đông Nam Á
Indicators of Compromises
SHA256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ykkadm[.]icu
ynsftkg[.]top
dgpyynxzb[.]com
b-ty[.]com
www.vvpolo[.]top
baknx[.]xyz
nxbcak[.]xyz
zoyee[.]cn
evnspccskh[.]com
47.236.246[.]131
47.237.9[.]119
13.214.19[.]168
18.140.4[.]4
4.1.2 Chiến dịch tấn công sử dụng mã độc Shai Hulud 2.0
Indicator of Compromise
SHA-256
Cbb9bc5a8496243e02f3cc080efbe3e4a1430ba0671f2e43a202bf45b05479cd
F099c5d9ec417d4445a0328ac0ada9cde79fc37410914103ae9c609cbc0ee068
46faab8ab153fae6e80e7cca38eab363075bb524edd79e42269217a083628f09
768496fbdbbd05657d1cf858591480232313488831ad9a377a698aa1a6547f88
De0e25a3e6c1e1e5998b306b7141b3dc4c0088da9d7bb47c1c00c91e6e4f85d6
SHA1
8de87cf4fbdd1b490991a1ceb9c1198013d268c2
3d7570d14d34b0ba137d502f042b27b0f37a59fa
8b98ab71cc71c8768de27af80a3e0d1bc6c8d809
f2618cf88f9fe8818c4a37384bdb34e3089d4e75
721ace3b28096c901d34920a75c0587564e10fea
4.1.3 Chiến dịch gián điệp nhắm vào khu vực Đông Nam Á và Nhật Bản
Indicator of Compromise
SHA-1
4E3F6E9D0F443F4C42974A0551EEE957B498DA3D
CD745BD2636F607CC4FB9389535BF3579321CA72
154A35DD4117DB760699C2092AFB307E94008506
B1D4A283A9CCC9E34993DD2093A904AFBD88B9B9
77D2A8CB316B7A470E76E163551A00BB16A696C5
F93E449C5520C4718E284375C54BE33711505985
1959E2198D6F81B2604DF7AC1F508AEB7A6FA07E
E0B44715BC4C327C04E63F881ECC087B7ACBD306
43C8AE8561E7E3BF9CD748136C091099E5CBEEEE
D11FC2D6159CB8BA392B145B3EE4ADFA15DB4C83
A0A80AC293645076EBAE393FF0A6A4229E2EDE1C
DDBBAE33E04A49D17DD24D85B637667B4407AE19
60158C509446893B3B57D40DC4B4B3795FCDF369
F5B7440EE25116A49EC5EE82507B353880217AC1
85939C56BFCACD0993E6FB9F7CFD6137601FB7D4
C66F9FEC0F8CBF577840944F61198A75B3E2A58C
4C2FCCE3BAB4144D90C741A6D77ADF209C786B54
161A25CB0B8FA998BF1BDEE31F06F24876453CDF
4D61A9FBBCC4F7A37BE21548B55BB5B9B837F83B
5AE440805719250AAEFEE9B39DACD23D2FB573CD
E93D32C739825519A10A4C52C5F1EE33936E4FDB
212126896D38C1EE57320FB6940FED7A6E30D9EA
CFFE15AA4D0F9E6577CCB509ACE9C588937943F2
6AC22CE60B706E3B9A7927633116911E1087C0D4
2C1959DD85424CEDC96B1BB86A95FCA440CB9E36
46107B1292B830D9BCEBBDA6EEDB32FBC05707B4
581464978C29B2BC79C65766E62011C94D2CBEAB
0D91A0E52212EC44E32C47F7760AF3B473B72798
48D715466857FB0C6CD0249DE6D960FC199438E1
563677CFACD328EA2478836E58A8BD0DF11206A3
AC2264C56121141DAF751A3852CD34F3ACB1D63C
70A615BC580522E1EEE4B61394DC7A247FE47022
E9C5E4AA335DFBD25786234A58CE4C9C551D1A41
EC9CEB599DF3BDFFAD536900D0E6D48E2E5FF12B
IP
118.107.234.26
103.159.132.30
101.99.88.113
118.107.234.29
101.99.88.188
38.54.17.131
4.1.4 Ink Dragon nhắm mục tiêu vào cơ quan chính phủ Đông Nam Á, Châu Phi và tiếp tục mở rộng phạm vi
Indicator of Compromise
2e84ea5cef8a9a8a60c7553b5878a349a037cffeab4c7f40da5d0873ede7ff72 – dongtai module
e2f6e722c26e19b76396c2502cacf2aaceaaa1486865578c665ebf0065641ffa – dongtai module
f9dd0b57a5c133ca0c4cab3cca1ac8debdc4a798b452167a1e5af78653af00c1 – Wingtb.sys
a86e72ca58de6d215a59ae233963eaea27fe47ef0c9f43938e27339df4a86732 – 032Loader
7efe5c1229178c1b48f6750c846575e7f48d17ea817997bd7acba0e5ecf1e577 – 032Loader
D88115113E274071B03A3B4C1DA99EAEA7B8D94ADF833DFD26943AF0A6D78B4D – 032Loader
f094ff83d4b7d06bc17b15db7d7dc0e622778b0eda71e8fc9fdf7db83c460426 – nfdp.dll
36f00887f6c0af63ef3c70a60a540c64040b13a4209b975e96ce239e65548d4a – fdp.dll
ecf0fbd72aac684b03930ad2ff9cdd386e9c13ddf449f27918f337dc8963590e – LalsDumper
2b57deb1f6f7d5448464b88bd96b47c5e2bd6e1c64c1b9214b57c4d35a591279 – LalsDumper
b4a53f117722fb4af0a64d30ec8aa4c4c82f456e3d2a5c5111c63ce261f3b547 – ShadowPad Loader
866fde351251092fb5532e743459ba80968cd5516cce813c8755467f5e8a47a1 – ShadowPad Loader
188ab2d68f17ecf08a7a4cfc6457c79b0a5117b3277352a7371a525416129114 – ShadowPad Loader
809ddcbb64d6f2ccc4a8909068da60e6ea8b3ebd9c09dd826def0e188c7a2da2 – config.ini
f438ca355e6888c4c9cd7287b22cfe5773992ef83f0b16e72fb9ae239d85586c – FinalDraft
c305b3b3f9426d024cdd262497a5d196264397bfed445705759d0a793a58fe6e – Encrypted FinalDraft
4.1.5 Bloody Wolf nhắm mục tiêu sang các quốc gia khu vực Trung Á
Indicators of Compromise
File Hashes
NetSupport RAT component trong chiến dịch Kyrgyzstan
| Filename | SHA-256 |
|---|---|
| advpack.dll | a8bd79d517ce20c88626ef5df4e216c46a4a7770223a7f6f11d926afaaee606f |
| remcmdstub.exe | 89027f1449be9ba1e56dd82d13a947cb3ca319adfe9782f4874fbdc26dc59d09 |
| ir50_qcx.dll | 0a6f173bb87d26221af673f0762264499bd606ce45049cd14035fa02290afe3e |
| AudioCapture.dll | a74612ae5234d1a8f1263545400668097f9eb6a01dfb8037bc61ca9cae82c5b8 |
| client32.exe | 090103ff90780c10ef2ffa01c44982f63ee687e5c900ef368a45dede207ff8ec |
| tcctl32.dll | 62153a6ce1b9b908581674dd53a68cacfa1f73d917b65ccf1cf61f399de7cb1a |
| kbdlk41a.dll | 0aade8a7b5072d6cbb0f600a0cba624689226dae5f3d7656f04757604c30d4f9 |
| kbd101c.DLL | 1ce2ef4aca27191388e54d66726f415af5c921d5d29ec98d6e2a7eebd4d60358 |
| KBDSF.DLL | f39bee852b0188081eda084b0b443c12e2e0b4f724eda21f03cf752814d78f27 |
| qwave.dll | 8c2bf904df889cb7a5879e2cc5ba08a11f57cb7dd3938f4b2be4cc8974a051f4 |
| NSM.LIC | be556bc2c58e56e6054ec017df771cf086cb6e4bfeafa5e6f2da5e6068ee1262 |
| client32.ini | 576bec03846828620fc388e9d2503d86667c622b791ae4debc5de56458390bbf |
| HTCTL32.DLL | edfe2b923bfb5d1088de1611401f5c35ece91581e71503a5631647ac51f7d796 |
| pcicapi.dll | 9074fd40ea6a0caa892e6361a6a4e834c2e51e6e98d1ffcda7a9a537594a6917 |
| nskbfltr.inf | d96856cd944a9f1587907cacef974c0248b7f4210f1689c1e6bcac5fed289368 |
| ir50_32.dll | e83861e331e90f2a41cd749e33614fb61595c1b9e29d9808b8dd68cc38968c47 |
| kbdibm02.DLL | 81a6e79f3ac731bb3c7efbdcaf18df7662964b8e7907018b1b4551f3562f1b66 |
| msvcr100.dll | 8793353461826fbd48f25ea8b835be204b758ce7510db2af631b28850355bd18 |
| kbd106n.dll | 88ea8049e3fa6045cf6fbc85f8e761cae8680d2ec0915436e0b4a015c314827d |
| PCICHEK.DLL | 313117e723dda6ea3911faacd23f4405003fb651c73de8deff10b9eb5b4a058a |
| pcicl32.dll | 07a191254362664b3993479a277199f7ea5ee723b6c25803914eedb50250acf4 |
NetSupport RAT component trong chiến dịch Uzbekistan
| Filename | SHA-256 |
| advpack.dll | a8bd79d517ce20c88626ef5df4e216c46a4a7770223a7f6f11d926afaaee606f |
| remcmdstub.exe | 89027f1449be9ba1e56dd82d13a947cb3ca319adfe9782f4874fbdc26dc59d09 |
| ir50_qcx.dll | 0a6f173bb87d26221af673f0762264499bd606ce45049cd14035fa02290afe3e |
| AudioCapture.dll | a74612ae5234d1a8f1263545400668097f9eb6a01dfb8037bc61ca9cae82c5b8 |
| ozbekiston.exe | abc075efebb3b9b13aabe9792b1e3ae52964864ce208dfa79275197f309104d5 |
| tcctl32.dll | 62153a6ce1b9b908581674dd53a68cacfa1f73d917b65ccf1cf61f399de7cb1a |
| kbdlk41a.dll | 0aade8a7b5072d6cbb0f600a0cba624689226dae5f3d7656f04757604c30d4f9 |
| kbd101c.DLL | 1ce2ef4aca27191388e54d66726f415af5c921d5d29ec98d6e2a7eebd4d60358 |
| KBDSF.DLL | f39bee852b0188081eda084b0b443c12e2e0b4f724eda21f03cf752814d78f27 |
| qwave.dll | 8c2bf904df889cb7a5879e2cc5ba08a11f57cb7dd3938f4b2be4cc8974a051f4 |
| NSM.LIC | 83a6feb6304effcd258129e5d46f484e4c34c1cce1ea0c32a94a89283ccd24f9 |
| client32.ini | dd3203a394f27d990274ca5fdb82bcf1a69f82a6b8f9d002d9569c01a04718c9 |
| HTCTL32.DLL | edfe2b923bfb5d1088de1611401f5c35ece91581e71503a5631647ac51f7d796 |
| pcicapi.dll | 9074fd40ea6a0caa892e6361a6a4e834c2e51e6e98d1ffcda7a9a537594a6917 |
| nskbfltr.inf | d96856cd944a9f1587907cacef974c0248b7f4210f1689c1e6bcac5fed289368 |
| ir50_32.dll | e83861e331e90f2a41cd749e33614fb61595c1b9e29d9808b8dd68cc38968c47 |
| kbdibm02.DLL | 81a6e79f3ac731bb3c7efbdcaf18df7662964b8e7907018b1b4551f3562f1b66 |
| msvcr100.dll | 8793353461826fbd48f25ea8b835be204b758ce7510db2af631b28850355bd18 |
| kbd106n.dll | 88ea8049e3fa6045cf6fbc85f8e761cae8680d2ec0915436e0b4a015c314827d |
| PCICHEK.DLL | 313117e723dda6ea3911faacd23f4405003fb651c73de8deff10b9eb5b4a058a |
| PCICL32.DLL | cb44ad743e0b35d89efdc0ced14573d3bcfb320e8c63581967b1c323e24d30f0 |
PDF lures and JARs
Hash SHA256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 Indicators
minjust-kg[.]com
esf-kg[.]com
audit-kg[.]com
ach-uz[.]com
uzaudit[.]com
soliq-uz[.]com
hisobot-uz[.]com
ttbbaits[.]com
nac-ac[.]com
hgame33[.]com
ravinads[.]com
4.2 Danh sách IoCs liên quan đến mã độc
4.2.1 Phân tích ransomware 01flip
Indicators of Compromise
Malicious Samples
Windows Version of 01flip Ransomware
SHA-256 hash: 6aad1c36ab9c7c44350ebe3a17178b4fd93c2aa296e2af212ab28d711c0889a3
File size: 741,888 bytes
File type: PE32+ executable (GUI) x86-64 (stripped to external PDB), for MS Windows
Linux Version of 01flip Ransomware
SHA-256 hash: e5834b7bdd70ec904470d541713e38fe933e96a4e49f80dbfb25148d9674f957
File size: 948,640 bytes
File type: ELF 64-bit LSB executable, x86-64, version 1 (SYSV), static-pie linked, stripped
Linux Sliver Beacon, TCP Pivot as C2
SHA-256 hash: ba41f0c7ea36cefe7bc9827b3cf27308362a4d07a8c97109704df5d209bce191
File size: 13,414,400 bytes
File type: ELF 64-bit LSB executable, x86-64, version 1 (SYSV), statically linked, stripped
4.2.2 Phân tích mã độc ValleyRAT (Winos / Winos 4.0)
Indicators of Compromise
| File Name (EN) | SHA‑256 Hash |
| Background Screen.dll | 7f5bad67cec7492b023ca08e8fa3ed5db9eb186fab0472b34993fe3cb96383be |
| Background Screen.dll | a57dd44b7bc6233496657867cf053199213289f58c1c3c8d4eb565ed3707deb1 |
| Check Registry.dll | 74d70f53748125eb4439cb790817fb1d0e9159f75c7dd5148444f507ba6dee1d |
| Check Registry.dll | 0a6376107abdf30ea14f4bdaf785b2db7d18e0818bd332511dcce3824b8a42b6 |
| Difference Screen.dll | ed4a064ef099e0ea40faf4b1e3618f20c52833b148ae578f80f09eabd2d6acd2 |
| Difference Screen.dll | 2c34d8fc0881d3cd4fb693fc5fe2edf405b8424174d3dbb800385fd70969f39d |
| Driver Plugin.dll | 79daa001c67dc83bdd6189417ccf4bf83ea5da4c6211bbac91c1d7d55f76fa5f |
| Driver Plugin.dll | 14b85b07bfdd134e709ff973871d75d33ecca964457373b76b34a70183c2b1d0 |
| Driver Plugin.dll_Driver Functions.sys_KernelQuick_Hidden.sys | 2aa029088c04eb10b056c18fcc39395936e6f01ee9ebdeed2558e4899116ee86 |
| Entertainment Screen.dll | 1bd71ea3b9409a6e86fac12039258f8ed8b59261ff2509673544e4a548987931 |
| Entertainment Screen.dll | 13d7380344bf1f9e17e8970c01127a2fe2528d3e640b36ef478ccd4024033411 |
| File Management.dll | 61598b986aeaeb24d7565a7bb3a113e61f88b4d4c6169d2bd7fd0b988d3e41c9 |
| File Management.dll | dee2b2da6b917d2dc7d3dcbbd3c505dd4f128c07059659f9e891000faef2512c |
| High-speed Screen.dll | 746f2d5d727511c1bd1ad936f35ac0851a520aadcf201f0d5e23dc6cd728dd4a |
| High-speed Screen.dll | 9dd0e7dccc7105a30b3a71f10126be4ee5a8e770e743fc4f0bbea0e45cafb39f |
| Keylogger.dll | 96c54665cda4f04e9ff60faebcd993d0cf98988258249d9e00fe563be7923899 |
| Keylogger.dll | aaf8258585d086cce588a3e870eb485270ee135087eee9ef8766db9f86677ecd |
| Login Module.dll | 90f24d6175e1b5fac4e2844e77554ff03dec2174f18c07c008699af540fe2788 |
| Login Module.dll | 6f79ee17dbb75d1ed7e0535a7b498c2249d538c0836d6ecee16fec491b200ce9 |
| Online Module.dll | 9f456f3125d7f6ce907e13ec637b9b8c6e4a43b1c9f352d233cfebbc2d0fff32 |
| Online Module.dll | 93e75eada1b8f155bdb41c1af0f7d7ea390b280c6f49c8834c11af2e8f6c3a1c |
| Playback Monitoring.dll | 054a22279de7a8c0fd75a72b39648dd2429bef07c268756087ed96792dde4a4c |
| Playback Monitoring.dll | 860acd2b9aec21cf03e1c5ec8f79b1ef4e7b78eb9ba7a6c0a915586957356aea |
| Proxy Mapping.dll | 5dcde82f7a2db50dddf9b42dab3e3affabedfe237d7c956a1de660a702fa74b6 |
| Proxy Mapping.dll | 4d0517229ef88f2410a2a1983eaf4036872911c8cf31c3ceb38c11210d02e91e |
| Quick.exe | 9e82fe6322585d613c8409fa445394e2e38f24ef85733b8dafcfa3ce8dc23517 |
| Remote Chat.dll | 9ec3c31ca3bcdd4597d3e928e36fb0202a5111da7e5d169c58bd97b4ae61ee38 |
| Remote Chat.dll | 35fbedfafa9a2267d8eab711ce0e9db66dca304a4b4379d7a965ce3893b51fc1 |
| Remote Terminal.dll | 85296ee0d867175da1b790f472824f6e702930676aa9b41c4f40f62f41e91652 |
| Remote Terminal.dll | e22fb0c295eefaeb4b25a0b9038a0c60cec9389b894fa22902a7122ddb8779a2 |
| shellcode.exe | 5e4085553f083d1fd31d673f0746670dfc1f9ebb9911f2fe754e59d9ca6176dc |
| shellcode.exe | dca90d7d9e5770acbd991af69bafa80fe596430c29c78d5036a8fb08ff900e12 |
| Stress Test.dll | d17bf1c3d50bf4acba18418b0cdcc524be268848b15542e4895a74dd0e4606fb |
| Stress Test.dll | 55c07dd40ffcf07d569b8b762513cdbfc51e7a4c77ce6613524794515b7d6682 |
| System Management.dll | 7c9554c18a6b8fe87a570dd5cd5a0f041a782fc2424ab02ac675e474e2e0a9ce |
| System Management.dll | e60298307befa4b22eeedef02019a39c93729567fcd4a7745350fd27a92538bd |
| Video View.dll | 05e578a967168b704d8bdcba95a8d69fdda25854263e037990add05ccb403115 |
| Video View.dll | e19ae27f03c252d4e7b44c462a4edaa1ae759888bcd25cb7863c3c08c35936f1 |
| Voice Monitoring.dll | a38b91c061157011a00d29c5e3169fbf2b29c0b0cacc0153dc0cf9918e92c9b7 |
| Voice Monitoring.dll | b5949ce7e802740e9548ba83ccdb20470fa405fdf9866b3fc3f85a393882 |
