Một chiến dịch tấn công mạng có chủ đích, nhắm thẳng vào phiên bản Windows 10 được tùy biến riêng cho các cơ quan chính phủ tại một quốc gia châu Á vừa bị phát hiện. Theo hãng bảo mật Kaspersky ngày 5-11, cuộc tấn công sử dụng một bộ khung mã độc hoàn toàn mới chưa từng được ghi nhận trước đây, mang tên NetamLoader.

Đáng chú ý, thay vì tấn công trực diện bằng các tập tin lạ dễ bị phần mềm quét vi rút chặn lại, kẻ xấu đã áp dụng chiến thuật "mượn tay" các thành phần hợp pháp trong hệ thống để kích hoạt mã độc.

"Mượn" phần mềm hợp pháp để ẩn mình

Vụ việc bắt đầu từ nửa đầu năm 2026 khi các chuyên gia bảo mật phát hiện một tập tin cấu hình bất thường nằm lẫn trong thư mục cập nhật (update) của Windows. Đi kèm tệp này là các chương trình hoàn toàn "sạch", bao gồm cả thành phần phần mềm có chữ ký số xác thực của Microsoft và công cụ quản lý bản vá bên thứ ba.

Bằng cách can thiệp tinh vi vào các tệp hỗ trợ phụ trợ, tin tặc đã biến chính những chương trình đáng tin cậy này thành "công cụ" tải xuống và thực thi lệnh độc hại.

Phân tích ban đầu cho thấy nhiều khả năng đây là một cuộc tấn công chuỗi cung ứng - tức nhắm vào quy trình phân phối hoặc đóng gói các bản cập nhật phần mềm thay vì thâm nhập máy tính theo cách truyền thống.

Đặc biệt, mã độc này được "đo ni đóng giày" riêng cho hệ điều hành đặc thù của cơ quan công quyền: nó có khả năng tự động xóa các bản ghi lịch sử cập nhật để triệt tiêu mọi dấu vết điều tra.

Ẩn thân nhiều lớp và chiến thuật "chờ đợi kiên nhẫn"

Các chuyên gia an ninh mạng đánh giá NetamLoader là một công cụ gián điệp mạng cực kỳ nguy hiểm bởi kỹ thuật ngụy trang tinh vi. Sau khi vượt qua các lớp bảo vệ bằng nhiều tầng mã hóa và nén dữ liệu, mã độc sẽ tự nhúng vào các tiến trình hợp pháp đang chạy của Windows.

Không chỉ vô hiệu hóa tính năng quét mã độc của hệ điều hành, NetamLoader còn chủ động xóa các tệp dữ liệu có thể giúp chuyên gia phục dựng lại hiện trường cuộc tấn công.

Để qua mặt các hệ thống giám sát lưu lượng mạng thông thường, mã độc sử dụng cơ chế giãn cách thời gian rất khó chịu: sau khi kích hoạt, nó sẽ chờ từ 20 - 40 phút mới gửi tín hiệu kết nối đầu tiên về máy chủ điều khiển từ xa.

Nếu không nhận được phản hồi, nó sẽ "ngủ đông" tiếp từ 22 - 28 tiếng rồi mới thử lại. Chu kỳ liên lạc kéo dài hàng chục tiếng đồng hồ này khiến các công cụ giám sát mạng ngắn hạn hầu như không thể phát hiện bất kỳ dấu hiệu bất thường nào.

Tối đa:

1500 ký tự Hiện chưa có bình luận nào, hãy là người đầu tiên bình luận