Mã độc mới nhắm vào hệ thống Windows của cơ quan chính phủ tại châu Á

Nhóm nghiên cứu Kaspersky GReAT vừa công bố phát hiện một chiến dịch tấn công sử dụng mã độc mới mang tên NetamLoader. Mẫu mã độc này được phát hiện trong nửa đầu năm 2026, ẩn náu trong một tệp lưu trữ CAB tại thư mục Windows, nơi thường lưu trữ các gói cập nhật hệ điều hành.

Các nhà nghiên cứu nghi ngờ rằng cuộc tấn công này có liên quan đến phương thức tấn công chuỗi cung ứng phần mềm, trong đó tin tặc lợi dụng hoặc can thiệp vào phần mềm, nhà cung cấp hoặc quy trình cập nhật để phát tán mã độc đến các hệ thống mục tiêu.

Đặc biệt, tin tặc đã sử dụng các thành phần hợp pháp của công cụ quản lý và cập nhật phần mềm Patch My PC làm bàn đạp để triển khai mã độc.

Cụ thể, tệp CAB chứa nhiều thành phần, bao gồm chương trình PatchMyPC-ScriptRunner.exe cùng các tệp cấu hình và thư viện liên quan.

Khi chương trình này được thực thi, tin tặc đã áp dụng kỹ thuật AppDomainManager Injection để khiến ứng dụng hợp pháp nạp và thực thi các thành phần mã độc được cài cắm thông qua tệp cấu hình.

Các thành phần độc hại sau đó giải mã và giải nén nhiều lớp dữ liệu được mã hóa, lần lượt tải các mô-đun khác nhau để hoàn thiện quá trình lây nhiễm.

Một trong những điểm đáng chú ý là mã độc này đã vô hiệu hóa hoặc can thiệp vào Antimalware Scan Interface (AMSI), một cơ chế của Windows hỗ trợ các giải pháp bảo mật kiểm tra mã độc trong quá trình thực thi.

Sau khi được triển khai, NetamLoader chuyển hoạt động sang tiến trình Windows hợp pháp có tên dllhost.exe, khiến hoạt động của mã độc dễ bị nhầm lẫn với các tiến trình hệ thống bình thường, gây khó khăn cho việc phát hiện và truy vết.

Ngoài việc né tránh các cơ chế bảo vệ, mã độc còn xóa một số tệp đã sử dụng trong quá trình lây nhiễm như nhật ký hoạt động của .NET và dữ liệu bộ nhớ đệm Prefetch của Windows, làm giảm dấu vết còn lại trên thiết bị và gây khó khăn cho công tác điều tra.

Sau khi hoàn tất quá trình triển khai, NetamLoader kết nối đến máy chủ điều khiển (C2) do tin tặc kiểm soát để nhận thêm chỉ thị hoặc tải mã thực thi mới.

Theo Kaspersky, mã độc này được cấu hình để trì hoãn từ 20 đến 40 phút trước khi thực hiện kết nối đầu tiên. Nếu không nhận được phản hồi hợp lệ từ máy chủ, nó có thể chờ từ 22 đến 28 giờ trước khi tiếp tục thử kết nối.

Cơ chế trì hoãn và liên lạc không thường xuyên này giúp mã độc hạn chế tạo ra lưu lượng mạng bất thường trong các khoảng thời gian giám sát ngắn.

Hiện tại, Kaspersky đã xác định được một hệ thống bị ảnh hưởng tại châu Á, sử dụng phiên bản Windows 10 tùy chỉnh dành riêng cho các cơ quan chính phủ.

Tuy nhiên, quốc gia và đơn vị bị nhắm mục tiêu không được tiết lộ. Chưa có đủ dữ liệu để xác định phạm vi lây nhiễm thực tế và chưa tìm thấy bằng chứng cho thấy dữ liệu nhạy cảm đã bị đánh cắp.

Mặc dù các thành phần của Patch My PC xuất hiện trong chuỗi lây nhiễm, Kaspersky chưa tìm thấy bằng chứng cho thấy nhà phát triển Patch My PC hoặc hệ thống phân phối phần mềm của họ bị xâm nhập.

Điều này cho thấy rằng phần mềm hợp pháp và các công cụ quản trị hệ thống vẫn có thể bị lợi dụng làm phương tiện triển khai mã độc.

Vụ việc một lần nữa nhấn mạnh rằng các tổ chức, đặc biệt là cơ quan chính phủ và đơn vị vận hành hệ thống quan trọng, cần mở rộng bảo vệ an ninh mạng từ từng máy tính sang toàn bộ hệ sinh thái phần mềm.

Các biện pháp cần chú trọng bao gồm kiểm tra nguồn gốc và tính toàn vẹn của gói cập nhật, chỉ cho phép công cụ quản trị phần mềm hoạt động từ những vị trí được phê duyệt, giám sát hành vi bất thường của các tiến trình hợp pháp và theo dõi kết nối đến máy chủ bên ngoài.