Mã độc bí ẩn nhắm vào hệ điều hành Windows của cơ quan chính phủ

Ngày đăng: 05/11/2026 11:31 Tác giả: YYHM Chuyên mục: Công Nghệ

Nhóm Nghiên cứu và Phân tích Toàn cầu (GReAT) của Kaspersky vừa công bố phát hiện một cuộc tấn công mạng bằng mã độc nhắm vào phiên bản Windows 10 được thiết kế riêng cho các cơ quan chính phủ tại một quốc gia châu Á. Thông tin được công bố tại Hội nghị Thượng đỉnh Phân tích bảo mật (Security Analyst Summit 2026), diễn ra ở Bali, Indonesia.

Theo Kaspersky, cuộc điều tra bắt đầu từ nửa đầu năm 2026 và đến nay mới xác định được một nạn nhân. Các chuyên gia chưa thể kết luận vụ việc có liên quan đến bất kỳ nhóm hacker nào từng được biết đến.

Điểm đặc biệt của cuộc tấn công nằm ở việc tin tặc sử dụng những thành phần phần mềm hợp pháp để triển khai NetamLoader, một bộ khung mã độc chưa từng được ghi nhận trước đây.

Mã độc lợi dụng phần mềm hợp pháp để xâm nhập

Quá trình điều tra bắt đầu khi Kaspersky phát hiện một tệp cấu hình đáng ngờ nằm trong tệp nén được lưu trữ tại thư mục cập nhật Windows. Phần lớn chương trình đi kèm đều hợp pháp, bao gồm các thành phần của công cụ quản lý bản vá Patch My PC và phần mềm được Microsoft cấp chữ ký số hợp lệ.

Thay vì trực tiếp sửa đổi các chương trình này, hacker can thiệp vào những tệp hỗ trợ, khiến phần mềm hợp pháp thực thi các lệnh độc hại. Đây được đánh giá là dấu hiệu của một cuộc tấn công chuỗi cung ứng phần mềm, lợi dụng quy trình cập nhật ứng dụng để tiếp cận mục tiêu.

Tuy nhiên, Kaspersky nhấn mạnh chưa xác định được cách tệp nén xâm nhập vào máy nạn nhân. Công cụ Patch My PC và hệ thống phân phối của nhà cung cấp cũng không bị xâm nhập hoặc chiếm quyền kiểm soát.

Sau khi được kích hoạt, NetamLoader giải mã dữ liệu qua nhiều lớp xử lý, rồi đưa mã độc vào tiến trình Windows hợp pháp nhằm che giấu hoạt động.

NetamLoader có khả năng xóa dấu vết và qua mặt giám sát

NetamLoader có thể vô hiệu hóa chức năng quét mã độc, đồng thời xóa nhật ký cập nhật Windows và những dữ liệu phục vụ quá trình điều tra. Điều này khiến việc truy tìm nguồn gốc cuộc tấn công trở nên khó khăn.

Mã độc còn được thiết kế để hạn chế khả năng bị phát hiện qua lưu lượng mạng. Theo cấu hình được phân tích, NetamLoader chờ từ 20 đến 40 phút trước khi kết nối lần đầu với máy chủ điều khiển. Nếu không nhận được phản hồi hợp lệ, thời gian chờ tiếp theo kéo dài từ 22 đến 28 giờ.

Khoảng cách lớn giữa các lần kết nối khiến những hệ thống giám sát trong thời gian ngắn khó ghi nhận dấu hiệu bất thường.

Theo ông Sergey Lozhkin, Giám đốc Trung tâm Nghiên cứu Kaspersky GReAT khu vực châu Á – Thái Bình Dương, Trung Đông và châu Phi, việc tự phát triển hệ điều hành giúp các chính phủ tăng quyền kiểm soát công nghệ, nhưng cũng đặt ra yêu cầu bảo vệ toàn bộ hệ sinh thái phần mềm liên quan.

Trước nguy cơ tương tự, Kaspersky khuyến nghị các tổ chức tăng cường kiểm soát nguồn gốc gói cập nhật, giám sát hoạt động bất thường của tiến trình hệ thống và lưu trữ nhật ký tập trung, tách biệt khỏi thiết bị đầu cuối để tránh bị mã độc xóa bỏ bằng chứng.