Hàng tháng, NCS sẽ tổng hợp các thông tin bảo mật về APT, Malware, CVEs

1        CÁC MỐI ĐE DỌA NÂNG CAO – ADVANCED THREATS

Trong tháng 07/2026, đội ngũ NCS ghi nhận các chiến dịch tấn công APT đáng chú ý sau:

STT	Tên chiến dịch	Mô tả
1	Chiến dịch phát tán mã độc OkoBot nhắm mục tiêu vào người dùng tiền điện tử	NCS Threat Intelligence theo dõi và ghi nhận bài đăng trên không gian mạng mô tả về một chiến dịch phát tán framework mã độc OkoBot, lợi dụng các kỹ thuật tấn công ClickFix và phần mềm giả mạo được phân phối qua GitHub để triển khai chuỗi lây nhiễm đa giai đoạn nhằm đánh cắp thông tin ví tiền điện tử và thông tin xác thực của nạn nhân. Chiến dịch chủ yếu nhắm mục tiêu vào người dùng cá nhân sử dụng các ứng dụng ví tiền điện tử (Trezor, Ledger, Exodus) và trình duyệt Chromium thông qua việc phân phối phần mềm độc hại giả mạo các công cụ hợp pháp như SQL Server Management Studio (SSMS) trên các nền tảng tìm kiếm và kho mã nguồn GitHub.
2	Chiến dịch phát tán mã độc Millenium RAT phiên bản mới	NCS Threat Intelligence theo dõi và ghi nhận bài đăng trên không gian mạng mô tả về một chiến dịch phát tán mã độc Millenium RAT, lợi dụng các ứng dụng giả mạo (công cụ hack, crack phần mềm, tool gian lận, tài liệu PDF giả mạo) và kênh Telegram Bot API làm hạ tầng điều khiển để đánh cắp dữ liệu trình duyệt, thông tin hệ thống, ảnh chụp màn hình, âm thanh và bàn phím người dùng. Chiến dịch chủ yếu nhắm mục tiêu vào người dùng hệ điều hành Windows trên phạm vi toàn cầu , thông qua các tệp thực thi/archive giả mạo được phân phối qua diễn đàn ngầm, nền tảng chia sẻ mã nguồn công khai và các trang web giả mạo.
3	Chiến dịch phát tán mã độc RedHook nhắm vào người dùng Android	NCS Threat Intelligence theo dõi và ghi nhận một chiến dịch phát tán mã độc RedHook, nhắm mục tiêu vào người dùng tại khu vực Đông Nam Á. Mã độc được phân phối thông qua các website giả mạo chính phủ và các tổ chức tài chính; tuy nhiên, các file APK độc hại được lưu trữ trên các nền tảng cloud và dev như AWS S3 và GitHub nhằm tăng độ uy tín.
4	Chiến dịch phát tán mã độc GoSerpent nhắm mục tiêu vào khu vực Đông Nam Á	NCS Threat Intelligence theo dõi và ghi nhận một bài đăng trên không gian mạng mô tả về một chiến dịch tấn công nhằm phát tán mã độc GoSerpent nhắm mục tiêu vào các cơ quan chính phủ và ngoại giao ở khu vực Đông Nam Á.

Thông tin chi tiết các chiến dịch:

1.1     Chiến dịch phát tán mã độc OkoBot nhắm mục tiêu vào người dùng tiền điện tử

NCS Threat Intelligence theo dõi và ghi nhận bài đăng trên không gian mạng mô tả về một chiến dịch phát tán framework mã độc OkoBot, lợi dụng các kỹ thuật tấn công ClickFix và phần mềm giả mạo được phân phối qua GitHub để triển khai chuỗi lây nhiễm đa giai đoạn nhằm đánh cắp thông tin ví tiền điện tử và thông tin xác thực của nạn nhân. Chiến dịch chủ yếu nhắm mục tiêu vào người dùng cá nhân sử dụng các ứng dụng ví tiền điện tử (Trezor, Ledger, Exodus) và trình duyệt Chromium thông qua việc phân phối phần mềm độc hại giả mạo các công cụ hợp pháp như SQL Server Management Studio (SSMS) trên các nền tảng tìm kiếm và kho mã nguồn GitHub.

Chuỗi tấn công

Chuỗi tấn công

Quá trình lây nhiễm ban đầu của OkoBot được thực hiện qua hai vector chính: tấn công ClickFix và phân phối phần mềm độc hại giả mạo qua GitHub. Điển hình là gói phần mềm giả mạo SQL Server Management Studio (SSMS) — thực chất là ứng dụng Audacity hợp lệ được nhúng malicious implant vào một trong các thư viện của nó. Repository này được tạo vào cuối tháng 3/2025, tồn tại đến tháng 6/2025, chỉ gồm một file README.md mô phỏng tài liệu chính thức của Microsoft nhằm tạo độ tin cậy, trong khi đường link tải về thực chất trỏ đến bản release độc hại trong cùng repository. Do được các công cụ tìm kiếm index và xuất hiện ở top kết quả cho từ khóa SSMS, phần mềm độc hại này nhanh chóng đánh lừa được người dùng. Cả hai vector đều dẫn đến việc thực thi script độc hại TookPS, script này cài đặt SSH trên hệ thống nạn nhân, thiết lập kết nối đến SSH server do attacker kiểm soát và forward SSH daemon port, sau đó một automated SSH bot sẽ kết nối vào port được forward để tiếp tục triển khai các giai đoạn tấn công tiếp theo.

Báo cáo giả mạo phân phối ứng dụng độc hại

Sau khi thiết lập kết nối, SSH bot tiến hành thu thập thông tin hệ thống bao gồm tên người dùng, phần mềm diệt virus, địa chỉ IP và phiên bản hệ điều hành, đồng thời thu thập file ví tiền điện tử, cookie trình duyệt, profile và các thông tin xác thực khác qua SSH tunnel. Để chuẩn bị cho việc triển khai các module độc hại tiếp theo, SSH bot vô hiệu hóa thông báo của Windows Defender thông qua chỉnh sửa registry, sau đó chiếm quyền truy cập phiên đồ họa của nạn nhân bằng các bước sau:

• Mở cổng firewall cho lưu lượng RDP inbound
• Tạo tài khoản người dùng trong nhóm “Remote Desktop Users”
• Thay thế file termsrv.dll hợp lệ bằng phiên bản đã bị chỉnh sửa để cho phép nhiều phiên RDP đồng thời
• Tạo scheduled task tên Apple Sync nhằm duy trì reverse SSH tunnel forward cổng RDP mỗi giờ

Sau khi hoàn tất, SSH bot bắt đầu tải xuống các module độc hại tiếp theo qua SFTP.

Khi khởi động, HDUtil kiểm tra HWID trong file %PROGRAMDATA%\hwid.dat — nếu file không tồn tại hoặc giá trị không hợp lệ (không phải MD5 hash), launcher sẽ tự thoát. Nếu hợp lệ, các lệnh như enumsessions (liệt kê sessions kèm loại, username, host, domain) và enumadapters (liệt kê graphics adapters) sẽ được thực thi.

Ví dụ đầu ra của lệnh liệt kê HDUtil

Lệnh quan trọng nhất của HDUtil là target, cho phép thực thi payload trên hệ thống với tùy chọn nouac để tự động bypass UAC thông qua Windows RPC kết hợp msconfig.exe – kỹ thuật đã được Google Project Zero công bố từ năm 2019. Toàn bộ các lệnh HDUtil bao gồm:

• target [nouac [user=<user>]] [noattach] <file> — Thực thi file, hỗ trợ chạy nền (noattach), bypass UAC (nouac), và chỉ định user thực thi (user); mặc định dùng local administrator
• pcopy <file> <dir_src> <dir_dst> — Sao chép file giữa các thư mục, không được SSH bot sử dụng
• enumadapters — Liệt kê graphics adapters, không được SSH bot sử dụng
• enumsessions — Liệt kê toàn bộ sessions trên hệ thống, không được SSH bot sử dụng

Module extl.exe là DLL injector được obfuscate nặng và bảo vệ bởi VMProtect, liên tục giám sát các tiến trình Chromium-based browser đang chạy để inject implant độc hại. Quá trình inject cấp phát vùng nhớ, ghi payload dạng raw bytes rồi resolve hai hàm LdrInitMain và LdrCallMain qua hash DJB2 tùy chỉnh. Module dùng internal engine phân tích byte pattern theo cú pháp YARA-style để resolve các hàm nội bộ của Chromium, kỹ thuật này cũng được áp dụng tương tự cho Microsoft Edge qua hook msedge.dll.

Danh sách các function bị hook bởi mã độc

Để cài và ẩn extension độc hại, module hook hàm

“ProfileManager::BrowserListObserver::OnBrowserAdded”

Mỗi khi browser mở cửa sổ mới, hook tự động quét %APPDATA%, load các file .crx và cài ngầm vào browser với toàn bộ quyền được cấp tự động, manifest được chỉnh sửa động để nhúng thêm hwid và browser. Các hàm hiển thị extension bị stub để trả về giá trị cố định, khiến extension không xuất hiện trong danh sách và không kích hoạt cảnh báo nào. Extension được triển khai là Rilide – infostealer nhắm vào Chromium-based browsers, phổ biến trong giới threat actor nói tiếng Nga từ tháng 4/2023, chuyên đánh cắp credentials, cookies và thông tin tài chính với trọng tâm là tiền điện tử.

Stub ẩn các extension độc hại

Module cuối cùng được deliver qua SFTP là Volume2 – một open-source utility được thực thi với elevated privileges, linked với thư viện độc hại protobuf.dll thông qua kỹ thuật DLL hijacking. Hàm export độc hại ProtobufGetVer2 decrypt và load implant bằng AES-GCM. Implant này hoạt động như một plugin dispatcher, giao tiếp C2 qua HTTP với format: 2-byte BotID + AES-CBC encrypted JSON, poll lệnh mỗi 20 giây. Dispatcher hỗ trợ 4 lệnh tích hợp sẵn và 5 plugin được phát hiện: CMD wrapper, PowerShell wrapper, Environment enumerator, Dropper và Process injector.

Giải mã implant bằng AES GCM và ánh xạ vào bộ nhớ

Qua Process injector, 4 implant độc hại được triển khai. ext_daemon có chức năng tương tự extl.exe nhưng ít obfuscated hơn. SeedHunter inject vào các tiến trình Trezor Suite, Ledger Wallet và Ledger Live, hook các hàm nội bộ Electron framework để hiển thị trang phishing giả mạo nhằm lấy seed phrase — khi nạn nhân nhập seed phrase hợp lệ, dữ liệu được gửi về C2 “moonsand[.]store” qua HTTPS đồng thời lưu local dưới dạng file json được mã hóa RC4 với key là HWID. MC Keylogger ghi lại thao tác bàn phím, clipboard, thông tin USB device, và chụp screenshot mỗi 5 phút theo định dạng sc_YYYY-MM-DD hh_mm_ss.jpg.

Ví dụ về log file của keylogger

OkoSpyware giám sát hơn 100 tiến trình mục tiêu bao gồm ví tiền điện tử (Exodus, Litecoin QT), password manager (KeePassXC, 1Password) và các ứng dụng phổ biến khác, dùng FFmpeg tích hợp để quay video MP4 cửa sổ ứng dụng đồng thời log keystrokes, lưu kết quả tại %TEMP% kèm file metadata JSON oko_<ts>.json. Module cũng theo dõi browser và kích hoạt ghi hình khi phát hiện trang extension ví như MetaMask hoặc Tonkeeper. Toàn bộ artifacts từ MC Keylogger và OkoSpyware được exfiltrate lên C2 qua endpoint ir-post.php thông qua PowerShell script nhận từ C2, sau đó bị xóa khỏi hệ thống và ConsoleHost_history.txt được clear để xóa dấu vết.

Ví dụ về metadata của OkoSpyware

Tính đến thời điểm công bố, mã độc đã được phát hiện tấn công hàng trăm nạn nhân tại hơn 25 quốc gia, trong đó Việt Nam nằm trong top 5 quốc gia bị ảnh hưởng nhiều nhất cùng với Brazil, Canada, Mexico và Thổ Nhĩ Kỳ. Mặc dù chưa thể quy kết chiến dịch cho bất kỳ actor nào cụ thể, một số chỉ dấu cho thấy khả năng liên quan đến Russian-speaking threat actor: server hosting TookPS áp dụng geoblocking với IP từ Nga và các nước CIS, extension Rilide được phân phối trên các diễn đàn tội phạm mạng tiếng Nga dạng invite-only, và source code các trang phishing của SeedHunter chứa comment bằng tiếng Nga.

Phân bố người dùng bị tấn công bởi OkoBot theo quốc gia

Indicator of Compromises (IoCs)

Chi tiết xem tại Danh sách IoCs liên quan đến các chiến dịch tấn công

1.2     Chiến dịch phát tán mã độc Millenium RAT phiên bản mới

NCS Threat Intelligence theo dõi và ghi nhận bài đăng trên không gian mạng mô tả về một chiến dịch phát tán mã độc Millenium RAT, lợi dụng các ứng dụng giả mạo (công cụ hack, crack phần mềm, tool gian lận, tài liệu PDF giả mạo) và kênh Telegram Bot API làm hạ tầng điều khiển để đánh cắp dữ liệu trình duyệt, thông tin hệ thống, ảnh chụp màn hình, âm thanh và bàn phím người dùng. Chiến dịch chủ yếu nhắm mục tiêu vào người dùng hệ điều hành Windows trên phạm vi toàn cầu, thông qua các tệp thực thi/archive giả mạo được phân phối qua diễn đàn ngầm, nền tảng chia sẻ mã nguồn công khai và các trang web giả mạo.

Bản đồ nạn nhân của Millenium RAT v4

Nhà phát triển của Millenium RAT hoạt động dưới biệt danh “shinyenigma” và quảng cáo trên các diễn đàn ngầm, các nền tảng phát triển hợp pháp như GitHub, cùng với trang web riêng hxxps://milleniumrat[.]online.

Trang web quảng bá của Millenium RAT

Trong quá trình nghiên cứu, các repository sau đã được ghi nhận là được ShinyEnigma sử dụng để quảng cáo Millenium RAT v4.*. Tuy nhiên, tại thời điểm hiện tại, các repository trên GitHub và Gitea đã bị xóa bỏ. Đáng chú ý, các commit message gốc trong repository Gitea được viết bằng tiếng Nga.

Các commit message được viết bằng tiếng Nga

Phiên bản Millenium RAT 4.* được xây dựng khác biệt so với các phiên bản trước viết bằng .NET. Phiên bản 4 được viết bằng C++ và biên dịch thành ứng dụng native, loại bỏ sự phụ thuộc vào framework .NET. Để giao tiếp, mã độc sử dụng thư viện libcurl nhằm gửi và nhận các yêu cầu tới Telegram API.

Ngay sau khi thực thi, RAT tải cấu hình của nó từ một resource PE nhúng có kiểu RCDATA. Resource này chứa dữ liệu cấu hình được mã hóa Base64 và sẽ được giải mã tại thời điểm chạy. Bên cạnh phần cấu hình thực tế, resource còn chứa thêm dữ liệu Base64 ngẫu nhiên, được phân tách với phần cấu hình bằng ký tự “|”. Dữ liệu bổ sung này làm tăng kích thước tổng thể của resource và nhiều khả năng nhằm mục đích thay đổi mã hash của file ngay cả khi phần cấu hình cốt lõi không thay đổi.

Ngoài việc mã hóa Base64, cấu hình còn được bảo vệ bằng một thuật toán tùy biến dựa trên XOR. Sau khi giải mã Base64, dữ liệu sẽ được giải mã (decrypt) bằng một mật khẩu được nhúng trực tiếp trong file PE.

Ví dụ cấu hình sau khi giải mã.

Cấu hình được lưu trữ dưới dạng một chuỗi văn bản thuần (plain text), với từng trường dữ liệu được phân tách bằng ký tự “|”.

Biểu diễn cấu hình dưới dạng JSON.

Sau khi thực thi, Millenium RAT thiết lập cơ chế duy trì (persistence) bằng cách tạo thư mục tại %APPDATA%, tự sao chép vào thư mục này và thêm entry autorun vào khóa registry HKCU\Software\Microsoft\Windows\CurrentVersion\Run. Đồng thời, mã độc sử dụng khóa registry HKCU\Software[name] để lưu trữ dữ liệu nội bộ và đóng vai trò như cờ đánh dấu trạng thái, giúp phân biệt giữa lần chạy đầu tiên và các lần chạy tiếp theo nhằm điều chỉnh hành vi thực thi tương ứng.

Về cơ chế điều khiển, RAT liên tục truy vấn (polling) Telegram Bot API thông qua phương thức getUpdates để nhận lệnh từ kẻ tấn công. Các lệnh được truyền dưới dạng văn bản có cấu trúc theo mẫu “/[botid]*command*parameter1*parameter2*…”, trong đó botid là mã định danh bốn chữ số sinh ngẫu nhiên khi mã độc khởi chạy lần đầu, còn ký tự “*” đóng vai trò phân tách trường dữ liệu. Mã độc xác minh giá trị botid trước khi tách chuỗi để trích xuất tên lệnh và tham số, qua đó thực thi các chức năng tương ứng theo yêu cầu từ máy chủ điều khiển.

Ví dụ về 1 số lệnh thực thi

Mặc dù Millenium RAT cung cấp một loạt các chức năng đa dạng, mã độc này không sử dụng các kỹ thuật exploit hay các phương pháp vượt quyền (privilege bypass) cao cấp mà toàn bộ chức năng được triển khai thông qua các lệnh gọi Windows API tiêu chuẩn. Ngay cả việc cố gắng giành quyền quản trị cũng dựa vào cơ chế UAC prompt hợp pháp, với giả định rằng người dùng sẽ chấp thuận yêu cầu nâng quyền (elevation request).

Toàn bộ chức năng được triển khai thông qua các lệnh gọi Windows API tiêu chuẩn.

Indicator of Compromises (IoCs)

Chi tiết xem tại Danh sách IoCs liên quan đến các chiến dịch tấn công

1.3     Chiến dịch phát tán mã độc RedHook nhắm vào người dùng Android

NCS Threat Intelligence theo dõi và ghi nhận một chiến dịch phát tán mã độc RedHook, nhắm mục tiêu vào người dùng tại khu vực Đông Nam Á. Mã độc được phân phối thông qua các website giả mạo chính phủ và các tổ chức tài chính; tuy nhiên, các file APK độc hại được lưu trữ trên các nền tảng cloud và dev như AWS S3 và GitHub nhằm tăng độ uy tín.

Kẻ tấn công thường bắt đầu hành vi bằng cách liên hệ qua các cuộc gọi điện thoại hoặc ứng dụng nhắn tin, giả mạo các tổ chức đáng tin cậy hoặc nhân viên hỗ trợ, thuyết phục nạn nhân tải xuống và cài đặt một file APK độc hại từ các website giả mạo với lý do đây là bước cần thiết để truy cập dịch vụ hoặc hoàn tất các thủ tục chính thức.

Các trang web lừa đảo được thiết kế để mô phỏng gần giống giao diện Google Play Store nhằm tăng độ tin cậy. Sau khi cài đặt, mã độc có thể giành quyền truy cập trái phép vào thiết bị, cho phép thực hiện các hành vi như đánh cắp dữ liệu, giám sát người dùng hoặc xâm nhập sâu hơn vào hệ thống.

Github lưu trữ mã độc và tin nhắn lừa đảo

Ứng dụng giả mạo được thiết kế với giao diện dựa trên phần mềm hợp pháp, yêu cầu người dùng nhập thông tin đăng nhập, dữ liệu cá nhân và mã bảo mật, đồng thời phần mềm độc hại cũng lừa người dùng bật quyền Accessibility thông qua một quy trình hướng dẫn từng bước.

Ứng dụng giả mạo thu thập thông tin và hướng dẫn người dùng bật Accessibility

Sau khi được cấp quyền Accessibility, mã độc sẽ thực hiện thu thập cấu trúc giao diện (UI tree/ node layout), chia sẻ trực tiếp màn hình của nạn nhân, ghi lại các thao tác bấm phím và đánh cắp thông tin khóa màn hình của thiết bị.

Ngoài ra mẫu RedHook mới lạm dụng đặc quyền thông qua Android Debug Bridge (ADB) – một công cụ cho phép máy tính tương tác và điều khiển thiết bị Android thông qua giao diện dòng lệnh. Thông qua đó, kẻ tấn công có thể cài đặt và gỡ ứng dụng một cách âm thầm, thay đổi các thiết lập bảo mật hoặc cấp các quyền nhạy cảm mà không cần tương tác của người dùng.

Sau khi kết nối ADB được thiết lập thành công, mã độc sẽ khởi chạy tiến trình server có đặc quyền “libmx[.]so” dưới uid shell 2000 – một user Linux đặc biệt có cấp độ tin cậy cao. Server này thực chất là Shizuku server, được ứng dụng kết nối thông qua Binder IPC, từ đó mượn danh tính uid này để thực hiện các câu lệnh gọi system API.

Để duy trì quyền truy cập vào thiết bị nạn nhân, mã độc sử dụng nhiều kỹ thuật như giả lập foreground activity, phát media âm thanh ẩn và giám sát liên tiến trình, giúp đảm bảo các service độc hại và kênh kết nối không bị gián đoạn khi thiết bị đang ở trạng thái nghỉ, cụ thể:

• One-Pixel Activity: Khi màn hình tắt, mã độc khởi chạy một activity với kích thước 1×1 pixel để duy trì hoạt động, đánh lừa cơ chế quản lý tiến trình của Android để phân loại ứng dụng là foreground process, từ đó có thể tránh bị hệ thống kill.
• Silent Audio: Mã độc phát âm thanh im lặng thông qua MediaSession, giúp ứng dụng được coi là có độ ưu tiên cao và không bị kill.
• WakeLock: Giữ WakeLock trong foreground service để ngăn CPU rơi vào trạng thái sleep.
• Bind chéo và Alarm: Triển khai cơ chế cross-process resurrection giữa hai service để duy trì tồn tại. Hai service bind với nhau qua bindService() để giữ service luôn hoạt động, tự tạo lại service nếu process bị dừng.
• BOOT_COMPLETED Receiver: Mã độc đăng ký broadcast receiver BOOT_COMPLETED, buộc tiến trình app khởi chạy lại sau khi thiết bị được reboot, sau đó khôi phục lại toàn bộ ADB và helper có quyền shell uid 2000.

Indicator of Compromises (IoCs)

Chi tiết xem tại Danh sách IoCs liên quan đến các chiến dịch tấn công

1.4     Chiến dịch phát tán mã độc GoSerpent nhắm mục tiêu vào khu vực Đông Nam Á

NCS Threat Intelligence theo dõi và ghi nhận một bài đăng trên không gian mạng mô tả về một chiến dịch tấn công nhằm phát tán mã độc GoSerpent nhắm mục tiêu vào các cơ quan chính phủ và ngoại giao ở khu vực Đông Nam Á.

Mã độc được sử dụng trong chiến dịch được viết bằng Go, có khả năng hoạt động như một proxy đóng vai trò là giai đoạn chính của cuộc tấn công, mã độc nhận một tham số được mã hóa và liên lạc với CnC, đồng thời cũng được sử dụng để triển khai các công cụ độc hại khác nhằm thu thập dữ liệu nhạy cảm và đánh cắp thông tin xác thực trên hệ thống.

Chuỗi tấn công

Ở giai đoạn đầu tiên của chiến dịch, kẻ tấn công thực hiện triển khai backdoor GoSerpent và các công cụ khai thác khác. Trong giai đoạn này, mục tiêu chính của kẻ tấn công là thu thập các tệp tin nhạy cảm và lưu trữ chúng để phục vụ cho việc đánh cắp dữ liệu ở giai đoạn sau. Hoạt động này được thực hiện bởi công cụ có tên là ThumbcacheService.

Thêm vào đó, kẻ tấn công thực hiện triển khai nhiều công cụ đánh cắp thông tin xác thực nhằm mục đích đánh cắp dữ liệu đã thu thập được thông qua các network share drives.

Mã độc chính được sử dụng trong chiến dịch là GoSerpent, một Remote Access Trojan được phát triển bằng ngôn ngữ Go, nhận các tham số dòng lệnh đã được mã hóa Base64, bên trong chứa địa chỉ máy chủ CnC và mật khẩu dùng trong quá trình kết nối. Những tham số này được giải mã bằng thuật toán AES-CBC với:

• Initialization vector cố định: 31323334353637383930616263646566.
• Khóa được tạo ra từ các chuỗi được định nghĩa sẵn trong mã nguồn.

Sau khi khởi tạo, mã độc kết nối tới máy chủ CnC bằng cách sử dụng thuật toán mã hóa ChaCha20 cho các hoạt động liên lạc. Giá trị băm SHA-256 của mật khẩu kết nối được sử dụng làm mã khóa cho ChaCha20.

GoSerpent hỗ trợ nhiều lệnh điều khiển khác nhau từ máy chủ CnC thông qua việc nhận các giá trị lệnh đặc biệt. Các lệnh này bao gồm:

Command	Symbol	Mô tả
2BA1	Sync	Gửi phản hồi tới máy chủ để thông báo rằng máy bị nhiễm vẫn đang hoạt động.
3BA2	Exit	Thoát tiến trình (kết thúc hoạt động của mã độc).
4BA3	Ls	Bắt đầu lắng nghe trên một cổng mạng được chỉ định.
5BA4	Connect	Thiết lập kết nối tới một máy chủ từ xa.
6BA5	Hello	Tạo một phiên shell trên máy bị nhiễm để thực thi lệnh từ xa.
7BA6	Ul	Tải lên (upload) một tệp hoặc thư mục tới máy chủ.
8BA7	Dl	Tải xuống (download) dữ liệu từ máy chủ.
9BA8	Ss5	Khởi tạo một proxy SOCKS5 trên máy bị nhiễm.
ABA9	Cl	Đóng cổng đang ở trạng thái lắng nghe.
CBAB	RF	Chuyển tiếp (forward) lưu lượng tới một nút (node) đã kết nối.

GoSerpent cũng có khả năng triển khai thêm nhiều công cụ độc hại khác bao gồm: ThumbcacheService, Mimikatz, QuarksDumpLocalHash. Ngoài ra mã độc cũng thực hiện triển khai các cơ chế persistence nhằm bảo đảm khả năng tồn tại lâu dài trên hệ thống bị xâm nhập. Bên cạnh đó, nó sử dụng các tên tệp được ngụy trang giống với các tiến trình hợp pháp của hệ điều hành để tránh bị phát hiện ví dụ như “lass.exe, updates.exe”.

Một biến thể khác đơn giản hơn của GoSerpent là McMx RAT, được biên dịch từ một GitHub Repository khác với GoSerpent. McMx RAT nhận các tham số đầu vào từ các tệp văn bản thuần, mã độc này cũng chứa nhiều hàm tương tự GoSerpent, bao gồm cả một số lỗi typos xuất hiện đồng nhất trên cả hai công cụ, cho thấy khả năng cùng liên quan đến một nhóm tấn công hoặc một nhánh mã nguồn.

Sau khi triển khai thành công GoSerpent, các nhóm tấn công thường không thực hiện hành động ngay mà chờ vài ngày để giảm khả năng bị phát hiện trước khi sử dụng mã độc để tải xuống và thực thi các công cụ khai thác bổ sung, các công cụ được triển khai chủ yếu phục vụ hai mục đích:

• Thu thập dữ liệu nhạy cảm.
• Đánh cắp thông tin xác thực.

Sau giai đoạn đầu triển khai mã độc, kẻ tấn công để cho ThumbcacheService hoạt động ngầm trong vài tuần để thu thập các tệp tin nhạy cảm mà chưa thực hiện đánh cắp dữ liệu ra ngoài. Trong khoảng thời gian này, các công cụ đánh cắp thông tin xác thực cũng tiếp tục thu thập tài khoản và mật khẩu từ các hệ thống bị xâm nhập.

Đến tháng 5 năm 2026, nhóm tấn công quay trở lại với một bộ công cụ mới. Thành phần chính trong giai đoạn này là Stowaway, một công cụ RAT và proxy khác được phát triển bằng Go, sau khi được triển khai, Stowaway được sử dụng để cài đặt bộ công cụ đánh cắp dữ liệu gồm hai giai đoạn:

• TmcLoader
• TmcPayload

Đây là mảnh ghép cuối cùng hoàn thiện chuỗi đánh cắp dữ liệu của chiến dịch.

Các nhóm tấn công tận dụng các nhà cung cấp dịch vụ lưu trữ hợp pháp như Alibaba Cloud và UCLOUD HK để xây dựng hạ tầng máy chủ CnC. Việc sử dụng các nền tảng lưu trữ hợp pháp khiến việc phát hiện và ngăn chặn trở nên khó khăn hơn do lưu lượng mạng tới các dịch vụ trên có thể bị xem là hợp pháp.

Indicator of Compromises (IoCs)

Chi tiết xem tại Danh sách IoCs liên quan đến các chiến dịch tấn công

2        MALWARE

Trong tháng 07/2026, hệ thống Threat Intelligence của NCS ghi nhận tổng cộng 487 IoCs liên quan đến mã độc. Thông tin số lượng IoC liên quan đến từng loại mã độc phổ biến xem tại biểu đồ dưới đây.

Đội ngũ NCS ghi nhận các phân tích đáng chú ý về mẫu mã độc sau:

STT	Tiêu đề	Mô tả
1	Chiến dịch phát tán mã độc InfoStealer giả mạo doanh nghiệp	NCS Threat Intelligence ghi nhận sự xuất hiện của một mẫu mã độc giả mạo thương hiệu doanh nghiệp, đang được phát tán rộng rãi nhắm mục tiêu vào người dùng trong nước. Mã độc thuộc dòng infostealer, có khả năng thu thập trái phép các thông tin nhạy cảm từ trình duyệt của nạn nhân, bao gồm mật khẩu đã lưu, cookie phiên đăng nhập, thông tin ví điện tử và nhiều dữ liệu cá nhân khác.
2	Chiến dịch phát tán mã độc InnoLoader	NCS Threat Intelligence theo dõi và ghi nhận các mẫu mã độc InnoLoader được phát tán trên không gian mạng.
3	Phân tích mã độc Multi-Stage JavaScript Dropper	NCS Threat Intelligence theo dõi và ghi nhận các mẫu mã độc Javascript giả mạo file PDF được phát tán trên không gian mạng

2.1     Chiến dịch phát tán mã độc InfoStealer giả mạo doanh nghiệp

NCS Threat Intelligence ghi nhận sự xuất hiện của một mẫu mã độc giả mạo thương hiệu doanh nghiệp, đang được phát tán rộng rãi nhắm mục tiêu vào người dùng trong nước. Mã độc thuộc dòng infostealer, có khả năng thu thập trái phép các thông tin nhạy cảm từ trình duyệt của nạn nhân, bao gồm mật khẩu đã lưu, cookie phiên đăng nhập, thông tin ví điện tử và nhiều dữ liệu cá nhân khác.

Phân tích mã độc

Trong quá trình phân tích tĩnh, mẫu mã độc ghi nhận chỉ số entropy ở mức 7.1, cho thấy dữ liệu bên trong tệp có độ ngẫu nhiên cao — đây là dấu hiệu đặc trưng của các kỹ thuật nén hoặc mã hóa được áp dụng nhằm che giấu mã độc hại. Điều này cho thấy kẻ tấn công có thể sử dụng packer hoặc trình mã hóa tùy chỉnh để cản trở quá trình phân tích và qua mặt các giải pháp phát hiện dựa trên chữ ký tĩnh.

Entropy cao của mã độc

Sau khi thực thi thành công trên máy nạn nhân, mã độc bắt đầu thực hiện hành vi đánh cắp thông tin bằng cách truy cập trái phép vào các tệp dữ liệu của trình duyệt web, bao gồm cơ sở dữ liệu thông tin xác thực (Login Data), cookie phiên đăng nhập, lịch sử duyệt web và các thông tin nhạy cảm khác được lưu trữ cục bộ trên hệ thống.

Mã độc đọc và thu thập thông tin login của nạn nhân

Mã độc đọc và thu thập cookies của nạn nhân

Để đánh lừa nạn nhân và che giấu hành vi độc hại, mã độc nhúng sẵn một tệp PDF mồi nhử bên trong chính nó. Ngay sau khi thực thi, mã độc tiến hành giải nén và mở tệp PDF này — nội dung giả mạo tài liệu của doanh nghiệp Việt Nam — nhằm tạo dựng niềm tin rằng tệp gốc là hợp lệ, trong khi các hành vi đánh cắp thông tin diễn ra song song ở phía nền.

File PDF nhằm đánh lừa người dùng

Sau khi hoàn tất giai đoạn thu thập, mã độc tổng hợp và nén toàn bộ dữ liệu đánh cắp được thành một tệp lưu trữ duy nhất, sau đó thực hiện exfiltration về máy chủ C2 do kẻ tấn công kiểm soát. Các thông tin bị thu thập bao gồm:

• Thông tin xác thực đăng nhập (Login Credentials)
• Cookies (của phiên làm việc)
• Thông tin thẻ tín dụng và thanh toán
• Tệp đã tải xuống (Downloads)
• Lịch sử duyệt web (Browsing History)

Những thông tin mà mã độc đánh cắp

Đáng chú ý, kẻ tấn công lựa chọn nền tảng Discord làm kênh exfiltration thay vì sử dụng máy chủ C2 truyền thống, khai thác tính năng Webhook của nền tảng này để nhận dữ liệu đánh cắp. Thủ thuật này cho phép lưu lượng độc hại hòa lẫn vào traffic hợp lệ của Discord — vốn hiếm khi bị chặn bởi tường lửa doanh nghiệp — từ đó làm tăng đáng kể khả năng qua mặt các giải pháp giám sát mạng.

Nền tảng Discord bị lợi dụng để làm kênh exfiltration

Indicator of Compromises (IoCs)

Chi tiết xem tại Danh sách IoCs liên quan đến mã độc

2.2     Chiến dịch phát tán mã độc InnoLoader

NCS Threat Intelligence theo dõi và ghi nhận các mẫu mã độc InnoLoader được phát tán trên không gian mạng. Thông tin về mẫu thu được như sau:

Tên mẫu	MD5
VTF Advanced Client.exe	2A9B79907743A9F9B817D6E9534D1CD4
dependecies.exe	c03917ea7a3d01ec1f80f5c879377292
Soda Clicker.exe	CBBA355860CC4FF0BAFC6D6D979AEB7A
Delta Executor.exe	f3e8c47008651dcf5a798b71f746d3e6

Inno Setup là công cụ tạo trình cài đặt mã nguồn mở phổ biến dành cho Windows. Nhờ tính linh hoạt, khả năng nhúng tệp tùy ý và hỗ trợ scripting qua ngôn ngữ Pascal Script, công cụ này thường bị các kẻ tấn công khai thác như một vector phân phối mã độc hiệu quả thường được ngụy trang dưới dạng trình cài đặt phần mềm hợp lệ.

Quá trình phân tích bytecode được trích xuất từ một Inno Setup installer cho thấy mã độc này được thiết kế để phân phối nhiều phần mềm độc hại khác xuống máy của nạn nhân.

Khác với các malware downloader truyền thống chỉ tải một payload duy nhất, các mẫu này triển khai kiến trúc multi-offer gồm nhiều “offer slot”, cho phép máy chủ điều khiển quyết định payload nào sẽ được phân phối tới nạn nhân. Toàn bộ quá trình được theo dõi thông qua cơ chế telemetry nhằm ghi nhận trạng thái thực thi của từng payload.

Phân tích chi tiết

Installer được xây dựng bằng Inno Setup nhưng lạm dụng khả năng thực thi Pascal Script nhằm biến quá trình cài đặt thành một downloader.

Trước khi phân phối payload, installer gửi request HTTPS tới máy chủ C2 để xác minh, kiểm tra hệ thống của nạn nhân

Request https gửi tới máy chủ C2

Nếu máy chủ trả về “no” installer sẽ thực hiện kiểm tra một số Registry key và có thể dừng lại toàn bộ quá trình cài đặt. Cơ chế này hoạt động như một server-side kill switch, cho phép kẻ tấn công bật hoặc tắt chiến dịch từ xa mà không cần cập nhật installer.

Đáng chú ý, chiến dịch sử dụng tham số cc=VN, cho thấy hạ tầng PPI được cấu hình để hướng tới người dùng tại Việt Nam.

Sau khi vượt qua được quá trình kiểm tra hệ thống của nạn nhân, mã độc lần lượt xử lí 4 offer slot. Mỗi offer sẽ tải payload xuống thư mục “%temp%” và được lưu thành “eld0.exe”; “eld1.exe”; “eld2.exe”; “eld3.exe”. Sau khi mã độc được drop thành công, các mã độc đã drop xuống sẽ được thực thi ngầm trong hệ thống của nạn nhân.

Thực hiện tải “eld3.exe” về máy nạn nhân

Các tham số silent được sử dụng gồm:

File	Silent Flag	Điều kiện phụ
eld0.exe	Không có	Kiểm tra registry “Microleaves\Online.io Application”
eld1.exe	/qn CAMPAIGN=”2772″	Kiểm tra registry App Paths\chrome.exe (cần Chrome)
eld2.exe	/VERYSILENT	Kiểm tra path /system/noneg4
eld3.exe	/S	Không có

Tất cả đều tải về {tmp}\eldX.exe rồi Exec im lặng (silent install). Các flag /qn, /VERYSILENT, /S lần lượt là silent flag của MSI, Inno Setup, và NSIS — cho thấy mỗi payload dùng installer framework khác nhau.

Sau mỗi payload, installer gọi lại C2 với states.log kèm trạng thái:

• r=offer_execution&ko=yes → đã chạy thành công
• r=offer_execution&ko=no → user từ chối hoặc bị skip
• r=offer_execution_fail → thực thi thất bại (kèm msg= error message qua GetExceptionMessage/SysErrorMessage)
• r=offer_exists → payload đã tồn tại trên máy, bỏ qua

Điều này cho phép kẻ tấn công có thể thống kê được tỷ lệ cài đặt thành công, lỗi thực thi, payload đã tồn tại hay hành vi từ chối của người dùng.

Mã độc “eld[x].exe” sau khi tải xuống thực hiện kiểm tra lại hệ thống của nạn nhân để xem nó có được thực thi trong môi trường ảo hoá hay sandbox không. Nếu môi trường của nạn nhân không phải môi trường sandbox, mã độc thực hiện các hành vi stealer điển hình khi đánh cắp thông tin đăng nhập trên Web Browsers, thực hiện đánh cắp dữ liệu cá nhân được lưu trữ trên máy nạn nhân (email data; password; ví điện tử;…)

Kết luận

Phân tích cho thấy mẫu được xây dựng dưới dạng Inno Setup PPI Bundler, đóng vai trò là trình cài đặt trung gian chịu trách nhiệm tải xuống và thực thi nhiều payload từ hạ tầng điều khiển từ xa. Mẫu triển khai cơ chế multi-offer, server-side kill switch, kiểm tra môi trường trước khi cài đặt và gửi telemetry về máy chủ nhằm theo dõi trạng thái thực thi của từng payload. Việc phát hiện nhiều biến thể sử dụng các domain khác nhau nhưng có kiến trúc, luồng thực thi và cơ chế phân phối tương đồng cho thấy đây nhiều khả năng là một PPI distribution infrastructure được vận hành có hệ thống nhằm phục vụ nhiều chiến dịch phát tán phần mềm không mong muốn hoặc mã độc.

Indicator of Compromises (IoCs)

Chi tiết xem tại Danh sách IoCs liên quan đến mã độc

2.3     Phân tích mã độc Multi-Stage JavaScript Dropper

NCS Threat Intelligence theo dõi và ghi nhận các mẫu mã độc Javascript giả mạo file PDF được phát tán trên không gian mạng. Thông tin về mẫu thu được như sau:

Tên file	MD5
1C26TYY_00001495_pdf.js	bc0317db13fb7c419bc7263739bf028e

Chuỗi tấn công:

Chuỗi tấn công

Giai đoạn 1: Obfuscated JavaScript Downloader

“1C26TYY_00001495_pdf.js” là một mẫu mã độc dạng JavaScript được thiết kế tinh vi nhằm mục đích tải và kích hoạt ngầm mã độc trên hệ điều hành Windows. Sau khi sử dụng các kỹ thuật làm rối mã nguồn để bypass Antivirus, mã độc sẽ tự động thiết lập kết nối mạng nhằm tải về một tệp tin script PowerShell (.ps1) thông qua URL sau “https://sticladevin[.]ro/amigo/stub.ps1”. Ngay sau đó, mã độc tạo một tệp tin trong hệ thống ở thư mục Temp và sử dụng WScript.Shell để Windows thực thi tệp tin PowerShell được tải về. Quá trình chạy được cấu hình với tham số vô hiệu hóa hoàn toàn chính sách bảo mật của hệ thống (-ep bypass) và chạy hoàn toàn ẩn danh dưới nền, cho phép kẻ tấn công cài đặt thêm mã độc phục vụ cho các giai đoạn sau.

Mã độc JavaScript bị làm rối

Giai đoạn 2: Obfuscated Powershell Script Dropper

Sau khi hoàn tất quá trình tải xuống thành công, tệp PowerShell độc hại không chứa mã nguồn ở dạng rõ (plaintext) mà được bảo vệ bởi cơ chế mã hóa đa tầng. Cụ thể, payload thực sự của mã độc trước tiên được mã hóa bằng thuật toán AES, sau đó toàn bộ dữ liệu được encode Base64, tạo thành nhiều lớp che giấu nhằm gây khó khăn cho quá trình phát hiện và phân tích tĩnh.

Thuật toán mã hoá và hàm giải mã của script powershell độc hại

Sau quá trình giải mã ngược các lớp bảo vệ – từ Base64 đến AES – NCS Threat Intelligence Team đã trích xuất thành công payload gốc của mã độc, cho phép phân tích chi tiết hành vi và chức năng thực sự của mẫu.

Scripts powershell đã được giải mã lần 1

Sau khi giải mã thành công lớp Base64 và AES, payload thu được vẫn chưa phải là mã nguồn cuối cùng. Mã độc tiếp tục áp dụng thêm một tầng bảo vệ nữa bằng cách kết hợp thuật toán XOR và Base64 để mã hóa payload ở lớp sâu hơn, cho thấy kẻ tấn công đã cố tình xây dựng cơ chế mã hóa lồng nhiều tầng nhằm tối đa hóa khả năng tránh bị phát hiện.

Lớp mã hóa cuối cùng này được sử dụng để che giấu các tệp thực thi (PE file) — thành phần cốt lõi phục vụ cho kỹ thuật Process Hollowing. Theo đó, mã độc tiến hành inject payload đã giải mã vào tiến trình hợp lệ của hệ thống là “aspnet_compiler.exe”, một công cụ biên dịch chính thống của .NET Framework, nhằm thực thi mã độc dưới vỏ bọc của một tiến trình đáng tin cậy, từ đó qua mặt các giải pháp giám sát và phát hiện trên hệ thống nạn nhân.

NCS Threat Intelligence Team đã tiến hành giải mã thành công toàn bộ các lớp bảo vệ này, trích xuất được payload gốc phục vụ cho quá trình phân tích chuyên sâu. Payload đầu tiên được phát hiện là một file thư viện liên kết động (DLL được code bằng Net Assembly).

File thực thi DLL được giải mã

Giai đoạn 3: Process Hollowing / RunPE thông qua “aspnet_compiler.exe”

Đoạn mã PowerShell đầu tiên thực hiện giải mã tệp DLL có tên MENNNN.dll, sau đó gọi trực tiếp hàm EXECUTE được export từ DLL này với hai tham số truyền vào là đường dẫn tiến trình mục tiêu (executed path) và dữ liệu payload đã giải mã (payloadData). Tuy nhiên, trong quá trình phân tích ngược (reverse engineering) tệp DLL, NCS Threat Intelligence Team phát hiện mẫu đã được bảo vệ bằng công cụ Crypto Obfuscator — một giải pháp obfuscation thương mại cho .NET — khiến toàn bộ tên hàm, biến và luồng thực thi bị xáo trộn, gây cản trở đáng kể cho quá trình phân tích tĩnh.

Mẫu sử dụng Crypto Obfuscator

Sau quá trình deobfuscate và phân tích chuyên sâu, NCS Threat Intelligence xác định chức năng cốt lõi của MENNNN.dll là thực hiện kỹ thuật Process Hollowing (hay còn gọi là RunPE). Cụ thể, DLL này khởi tạo tiến trình mục tiêu ở trạng thái tạm dừng (Suspended), sau đó đọc PE Header của payload để phân tích cấu trúc tệp thực thi. Tiếp theo, mã độc lấy Context của Thread chính và đọc ImageBase của tiến trình mục tiêu nhằm xác định vùng nhớ cần thao tác. Trên cơ sở đó, DLL tiến hành cấp phát vùng nhớ mới trong không gian địa chỉ của tiến trình, rồi lần lượt ghi đè PE Header và copy từng Section của payload vào vùng nhớ đã cấp phát. Cuối cùng, mã độc sửa giá trị ImageBase trong PEB và cập nhật EntryPoint trỏ đến điểm bắt đầu của payload, sau đó gọi SetThreadContext để áp dụng các thay đổi và ResumeThread để kích hoạt tiến trình, hoàn tất quá trình thay thế toàn bộ mã thực thi hợp lệ bằng payload độc hại mà không tạo ra tiến trình mới trên hệ thống.

MENNNN.dll sau khi được giải mã

Cây tiến trình của mã độc

Phân tích kĩ hơn payload được sử dụng để thay thế vào “aspnet_compiler.exe” phát hiện đây là file thực thi 32bit độc hại có chức năng stealer/spyware, theo dõi nạn nhân và gửi thông tin về cho kẻ tấn công.

Deobfuscate Payload có được file PE 32bit độc hại

Mẫu PE bị detected bởi 51/69 Vendors trên VirusTotal

File thực thi này trong quá trình điều tra phát hiện thực hiện kết nối đến “server109ssd[.]hostx[.]eu” – “hostx.eu” là một nhà cung cấp dịch vụ lưu trữ web (Web Hosting) của châu Âu. Kẻ tấn công thuê các máy chủ lưu trữ để đặt mã độc và làm máy chủ điều khiển (C2 Server).

Kết luận:

Chiến dịch phát tán mã độc lần này sử dụng chuỗi tấn công đa giai đoạn với mức độ phức tạp cao, bắt đầu từ tệp JavaScript giả mạo tài liệu PDF, qua nhiều lớp tải xuống và giải mã (Base64, AES, XOR), cuối cùng triển khai kỹ thuật Process Hollowing để inject payload độc hại vào tiến trình hợp lệ aspnet_compiler.exe. Payload cuối cùng được xác định là một mã độc dạng stealer/spyware có khả năng thu thập thông tin nhạy cảm của nạn nhân và gửi về máy chủ điều khiển (C2) đặt tại nhà cung cấp hosting châu Âu hostx[.]eu. Việc sử dụng nhiều tầng mã hóa kết hợp công cụ obfuscation thương mại (Crypto Obfuscator) cho thấy tác nhân đe dọa có chủ đích rõ ràng trong việc tránh bị phát hiện bởi các giải pháp bảo mật.

Indicator of Compromises (IoCs)

Chi tiết xem tại Danh sách IoCs liên quan đến mã độc

3        LỖ HỔNG BẢO MẬT

3.1     Microsoft Patch Tuesday – July 2026

Trong tháng 07, Microsoft đã phát hành 621 lỗ hổng CVE mới trong Windows và các thành phần Windows, Office và Office Components, Microsoft Edge (dựa trên Chromium), Azure, .NET và Visual Studio, GitHub Copilot, Defender, Exchange Server, Hyper-V, Ages of Empires II và Minecraft Server.

Trong đó có 63 lỗ hổng được đánh giá mức độ Critical, 6 lỗ hổng được đánh giá Moderate, 1 lỗ hổng được đánh giá là Low, 551 lỗ hổng được đánh giá là Important.

Các lỗ hổng nổi bật ghi nhận trong tháng:

STT	Mã CVE	Tên lỗ hổng	Thông tin chung	Mức độ cảnh báo
1	CVE-2026-56155	Active Directory Federation Services Elevation of Privilege Vulnerability	Tồn tại lỗ hổng do cơ chế kiểm soát truy cập trong Active Directory Federation Services (AD FS) không đủ chi tiết, cho phép kẻ tấn công đã được xác thực có thể nâng cao đặc quyền trên hệ thống bị ảnh hưởng.	Important
2	CVE-2026-56164	Microsoft SharePoint Server Elevation of Privilege Vulnerability	Tồn tại lỗ hổng do thiếu xác thực cho chức năng quan trọng trong Microsoft Office SharePoint cho phép kẻ tấn công trái phép nâng cao đặc quyền qua mạng.	Moderate
3	CVE-2026-57092	Microsoft Windows VMSwitch Elevation of Privilege Vulnerability	Tồn tại lỗ hổng “use-after-free” trong thành phần VMSwitch của hệ điều hành Windows, khi bộ nhớ đã được giải phóng vẫn tiếp tục được tham chiếu và sử dụng, cho phép kẻ tấn công đã được xác thực thực hiện ghi đè dữ liệu tùy ý hoặc kiểm soát luồng thực thi trong kernel.	Critical
4	CVE-2026-50522 & CVE-2026-58644	Microsoft SharePoint Remote Code Execution Vulnerability	Tồn tại lỗ hổng thuộc loại Deserialization of Untrusted Data trong Microsoft Office SharePoint Server cho phép kẻ tấn công không cần xác thực có thể gửi dữ liệu được tạo đặc biệt qua mạng đến máy chủ, dẫn đến khả năng thực thi mã từ xa trên hệ thống bị ảnh hưởng.	Critical
5	CVE-2026-56190	Remote Desktop Protocol Remote Code Execution Vulnerability	Tồn tại lỗ hổng do tài nguyên bộ nhớ được sử dụng trước khi được khởi tạo đúng cách trong quá trình xử lý kết nối RDP, cho phép kẻ tấn công từ xa không cần xác thực gửi các lưu lượng RDP được chế tạo đặc biệt đến máy mục tiêu, dẫn đến việc làm hỏng bộ nhớ và thực thi mã tùy ý trên hệ thống bị ảnh hưởng.	Important
6	CVE-2026-50518	Windows DHCP Server Remote Code Execution Vulnerability	Tồn tại lỗ hổng tràn bộ nhớ đệm (Heap-based Buffer Overflow) trong dịch vụ Windows DHCP Server, cho phép kẻ tấn công không cần xác thực thực thi mã từ xa với đặc quyền của tiến trình DHCP Server, dẫn đến khả năng chiếm quyền kiểm soát hoàn toàn hệ thống máy chủ bị ảnh hưởng.	Critical
7	CVE-2026-55008	Microsoft Exchange Server Spoofing Vulnerability	Tồn tại lỗ hổng Cross-Site Scripting (XSS) trong Microsoft Exchange Server do cơ chế trung hòa đầu vào không đúng cách trong quá trình tạo trang web. Kẻ tấn công không cần xác thực có thể khai thác lỗ hổng thông qua mạng, tuy nhiên cần sự tương tác của người dùng. Khai thác thành công cho phép kẻ tấn công thực hiện spoofing với phạm vi ảnh hưởng vượt ra ngoài hệ thống ban đầu, đồng thời có thể đánh cắp thông tin session, thông tin xác thực hoặc thực thi mã JavaScript độc hại trong trình duyệt nạn nhân.	Critical
8	CVE-2026-56188	Windows Server Network driver Remote Code Execution Vulnerability	Tồn tại lỗ hổng Race Condition trong trình điều khiển mạng (Network Driver) của Windows Server do hai hoặc nhiều luồng thực thi truy cập đồng thời vào tài nguyên dùng chung mà không có cơ chế đồng bộ hóa phù hợp. Kẻ tấn công từ xa không cần xác thực có thể khai thác lỗ hổng, dẫn đến thực thi mã tùy ý trên hệ thống bị ảnh hưởng.	Critical
9	CVE-2026-55040	Microsoft SharePoint Server Security Feature Bypass Vulnerability	Tồn tại lỗ hổng do phương thức xác thực yếu trong Microsoft Office SharePoint cho phép kẻ tấn công trái phép thực hiện security bypass qua mạng.	Critical
10	CVE-2026-55005	Microsoft Exchange Server Remote Code Execution Vulnerability	Tồn tại lỗ hổng Heap-based Buffer Overflow trong Microsoft Exchange Server cho phép kẻ tấn công đã được xác thực gửi các yêu cầu mạng tới máy chủ Exchange, dẫn đến ghi dữ liệu vượt ngoài vùng nhớ heap được cấp nhằm kiểm soát luồng thực thi của ứng dụng, khai thác thành công cho phép thực thi mã tùy ý trên hệ thống bị ảnh hưởng.	Important

Khuyến nghị:

• Thực hiện rà soát và lên kế hoạch cập nhật các bản vá theo hướng dẫn của hãng để đảm bảo an toàn an ninh thông tin hệ thống.

1.2     Ứng Dụng Web Và Các Sản Phẩm Khác

STT	Mã CVE	Tên lỗ hổng	Thông tin chung	Sản phẩm	Mức độ cảnh báo
1	CVE-2026-57219	RabbitMQ: Unauthenticated disclosure of OAuth client credentials via an HTTP API endpoint with certain less common OAuth 2 configurations	Tồn tại lỗ hổng information exposure trong RabbitMQ do điểm cuối GET /api/auth đã lỗi thời trên giao diện quản lý (Management Interface) có thể trả về OAuth 2 client secret khi hệ thống được cấu hình với tham số management.oauth_client_secret.	RabbitMQ	High
2	CVE-2026-57221	RabbitMQ: Passive queue/exchange declaration bypasses authorization checks, leaking queue metadata to unprivileged users	Tồn tại lỗ hổng Missing Authorization trong RabbitMQ do RabbitMQ không thực hiện kiểm tra ủy quyền đối với các thao tác AMQP 0-9-1 passive queue.declare và exchange.declare, cho phép người dùng đã được xác thực có quyền kết nối tới một virtual host thực hiện các thao tác này mà không cần quyền truy cập tương ứng.	RabbitMQ	Moderate
3	CVE-2026-14476	Sssd: sssd: gpo cache path traversal via unsanitized gpcfilesyspath allows kerberos authentication bypass	Tồn tại lỗ hổng Path Traversal trong hàm ad_gpo_extract_smb_components() thuộc AD GPO provider của SSSD. Hàm này không thực hiện kiểm tra và loại bỏ các chuỗi “..” (dot-dot sequences) trong thuộc tính LDAP gPCFileSysPath, dẫn đến khả năng ghi đè file ra ngoài thư mục cache GPO dự kiến.	Red Hat Enterprise Linux 7,8,9,10 & Red Hat OpenShift Container Platform 4	Moderate
4	CVE-2026-44747	Memory Corruption vulnerability in SAP NetWeaver Application Server ABAP	Tồn tại lỗ hổng Out-of-bounds write trong SAP NetWeaver Application Server ABAP, xuất phát từ các lỗi logic trong quá trình quản lý bộ nhớ (memory management), cho phép kẻ tấn công đã được xác thực ghi dữ liệu ra ngoài vùng bộ nhớ được cấp phát, dẫn đến tình trạng hỏng bộ nhớ.	SAP NetWeaver Application Server ABAP	Critical
5	CVE-2026-27690	HTTP Request Smuggling in SAP Approuter	Tồn tại lỗ hổng HTTP Request Smuggling trong SAP Approuter xuất phát từ sự không đồng nhất trong cách phân tích cú pháp (parsing) các HTTP request giữa SAP Approuter và backend server phía sau, dẫn đến hiện tượng mất đồng bộ request-response, cho phép kẻ tấn công không cần xác thực gửi một HTTP request được tạo đặc biệt đến máy chủ, gây lộ lọt phản hồi của người dùng khác, đánh cắp session token, thông tin nhạy cảm trong HTTP response.	SAP Approuter node.js package	Critical
6	CVE-2026-44761	Insecure Sample Credentials in SAP Commerce Cloud	SAP Commerce Cloud có thể lưu trữ một OAuth2 client mẫu với thông tin xác thực mặc định được ghi chép công khai trong tài liệu SAP Help Portal do cấu hình mẫu không được xóa hoặc thay đổi sau quá trình cài đặt và triển khai. Một kẻ tấn công, không cần xác thực có thể sử dụng thông tin xác thực mẫu được ghi chép công khai trong tài liệu SAP để lấy access token hợp lệ từ OAuth2 endpoint, sau đó sử dụng token này để gọi các API nội bộ của SAP Commerce Cloud nhằm đọc và chỉnh sửa dữ liệu trái phép.	SAP Commerce Cloud	Critical
7	CVE-2026-20251	Remote Code Execution through Deserialization of Untrusted Data in Splunk Secure Gateway	Tồn tại lỗ hổng do việc giải tuần tự hóa (deserialization) không an toàn dữ liệu từ App Key Value Store (KV Store) thông qua thư viện Python jsonpickle. Thư viện này có khả năng tái tạo các đối tượng Python tùy ý từ dữ liệu JSON được tạo đặc biệt nhưng không thực hiện kiểm tra và xác thực đầy đủ, cho phép kẻ tấn công tạo JSON độc hại để buộc hệ thống phải khôi phục các đối tượng python ngoài ý muốn, dẫn đến khả năng thực thi mã tùy ý trên máy chủ.	Splunk Enterprise & Splunk Cloud Platform & Splunk Secure Gateway	High
8	CVE-2026-60137	WordPress < 7.0.2 – Facilitated SQL Injection via author__not_in in WP_Query	Tồn tại lỗ hổng do WordPress không thực hiện sanitization (làm sạch dữ liệu đầu vào) đúng cách đối với tham số author__not_in của lớp WP_Query, dẫn đến SQL Injection. Kẻ tấn công từ xa có thể khai thác lỗ hổng bằng cách lợi dụng một plugin hoặc theme để truyền dữ liệu đầu vào không đáng tin cậy vào tham số author__not_in của WP_Query. Khai thác thành công cho phép kẻ tấn công truy xuất dữ liệu nhạy cảm từ cơ sở dữ liệu WordPress.	WordPress	Moderate
9	CVE-2026-63030	WordPress < 7.0.2 – REST API batch-route confusion and SQL injection issue leading to Remote Code Execution	Tồn tại lỗ hổng route confusion tại endpoint batch của REST API trong WordPress. Kẻ tấn công từ xa không cần xác thực có thể lợi dụng cơ chế xử lý batch request để điều hướng yêu cầu đến các route nội bộ ngoài ý muốn.	WordPress	Critical
10	CVE-2026-6896	Cross-site Scripting issue in vulnerability evidence table renderer impacts GitLab EE	Tồn tại lỗ hổng Cross-Site Scripting trong GitLab Enterprise Edition do cơ chế xử lý và làm sạch dữ liệu đầu vào do người dùng cung cấp không đầy đủ, cho phép người dùng đã được xác thực với quyền Developer chèn mã script tùy ý vào các trang được người dùng khác truy cập.	GitLab Enterprise Edition	High
11	CVE-2026-13320	HTML Injection in wiki markup rendering impacts GitLab CE/EE	Tồn tại lỗ hổng Cross-Site Scripting trong GitLab Community Edition và Enterprise Edition do cơ chế kiểm tra và làm sạch dữ liệu đầu vào do người dùng cung cấp không đầy đủ, cho phép người dùng đã được xác thực chèn mã JavaScript tùy ý vào các trang web được hiển thị cho người dùng khác.	GitLab Community Edition & Enterprise Edition	High
12	CVE-2026-11827	Insufficiently Protected Credentials issue in repository mirroring impacts GitLab EE	Tồn tại lỗ hổng Improper Privilege Management/Authorization trong GitLab Enterprise Edition do cơ chế kiểm soát phân quyền không đầy đủ, cho phép người dùng đã được xác thực với quyền Maintainer, trong một số điều kiện nhất định, truy cập thông tin xác thực (credentials) đã được lưu trữ của người dùng khác.	GitLab Enterprise Edition	Medium
13	CVE-2026-8472	Improper Access Control issue in work items impacts GitLab EE	Tồn tại lỗ hổng Missing Authorization trong GitLab Enterprise Edition do thiếu cơ chế kiểm tra phân quyền, cho phép người dùng đã được xác thực với quyền Minimal Access, trong một số điều kiện nhất định, đọc metadata của các work item thuộc các dự án riêng tư (private projects).	GitLab Enterprise Edition	Medium
14	CVE-2026-7492	Missing Authorization issue in commit discussion display impacts GitLab CE/EE	Tồn tại lỗ hổng Missing Authorization trong GitLab Community Edition và Enterprise Edition do cơ chế kiểm soát phân quyền không đầy đủ trên các trang tham chiếu liên dự án (cross-project reference pages), cho phép người dùng chưa được xác thực xác định sự tồn tại của các dự án riêng tư.	GitLab Community Edition & Enterprise Edition	Medium
15	CVE-2026-11546	IBM WebSphere Application Server Liberty is affected by a server-side request forgery vulnerability	Tồn tại lỗ hổng Server-Side Request Forgery trong IBM WebSphere Application Server Liberty khi tính năng adminCenter-1.0 được kích hoạt. Lỗ hổng cho phép kẻ tấn công gửi các yêu cầu được chế tạo đặc biệt, khiến máy chủ thực hiện các truy vấn đến các URL tùy ý do kẻ tấn công kiểm soát. Việc khai thác thành công có thể cho phép truy cập các tài nguyên nội bộ, thu thập dữ liệu nhạy cảm hoặc thực hiện các hành vi gây gián đoạn dịch vụ (DoS).	WebSphere Application Server – Liberty	High
16	CVE-2026-11714	IBM WebSphere Application Server Liberty is affected by an authorization bypass vulnerability	Tồn tại lỗ hổng Server-Side Request Forgery trong IBM WebSphere Application Server Liberty khi tính năng apiDiscovery-1.0 được kích hoạt. Lỗ hổng cho phép kẻ tấn công tạo các yêu cầu được chế tạo đặc biệt, khiến máy chủ thực hiện các kết nối ra ngoài thay mặt cho kẻ tấn công. Việc khai thác thành công có thể dẫn đến truy cập các tài nguyên nội bộ, tiết lộ thông tin cấu hình hoặc làm rò rỉ dữ liệu nhạy cảm.	WebSphere Application Server – Liberty	High
17	CVE-2026-11806	IBM WebSphere Application Server Liberty is affected by an arbitrary file read vulnerability	Tồn tại lỗ hổng Arbitrary File Read trong IBM WebSphere Application Server Liberty khi tính năng restConnector-2.0 được kích hoạt. Lỗ hổng cho phép kẻ tấn công khai thác để đọc các tệp bất kỳ trên hệ thống máy chủ bị ảnh hưởng, dẫn đến vi phạm tính bảo mật của dữ liệu. Việc khai thác thành công có thể làm lộ các thông tin nhạy cảm như tệp cấu hình, thông tin xác thực hoặc các dữ liệu bí mật khác, từ đó tạo điều kiện cho các cuộc tấn công tiếp theo nhằm xâm phạm hệ thống.	WebSphere Application Server – Liberty	High
18	CVE-2026-13759	IBM WebSphere eXtreme Scale is affected by Insecure Deserialization	Tồn tại lỗ hổng Insecure Deserialization trong IBM WebSphere Extreme Scale. Lỗ hổng phát sinh do ba lớp con của ObjectInputStream gồm WsObjectInputStream, ObjectStreamPool$ReusableInputStream và ObjectInputStreamResolver không triển khai bộ lọc lớp JEP-290 để kiểm soát việc giải tuần tự hóa đối tượng (deserialization).	WebSphere Extreme Scale	High
19	CVE-2026-13772	IBM WebSphere eXtreme Scale’s OQL is affected by remote code execution	Tồn tại lỗ hổng trong IBM WebSphere Extreme Scale liên quan đến cơ chế xử lý Object Query Language. Lỗ hổng cho phép kẻ tấn công từ xa đã được xác thực, có khả năng tác động đến chuỗi truy vấn OQL do ứng dụng tạo ra, kiểm soát việc phân giải tên lớp thông qua hàm Class.forName() và thực thi các hàm khởi tạo (constructor) tùy ý trên JVM của WebSphere Application Server.	WebSphere Extreme Scale	High
20	CVE-2026-11594	IBM WebSphere Application Server is affected by multiple cross-site scripting vulnerabilities	Tồn tại lỗ hổng Cross-Site Scripting trong Administrative Console của IBM WebSphere Application Server. Lỗ hổng cho phép kẻ tấn công chèn mã JavaScript độc hại vào các trang quản trị, khiến mã script được thực thi trong trình duyệt của người dùng đang truy cập bảng điều khiển.	WebSphere Application Server	High
21	CVE-2026-11541	IBM WebSphere Application Server and WebSphere Application Server Liberty are affected by HTTP request smuggling	Tồn tại lỗ hổng HTTP Request Smuggling trong IBM WebSphere Application Server và IBM WebSphere Application Server Liberty. Lỗ hổng phát sinh do cách máy chủ xử lý và phân tích cú pháp các yêu cầu HTTP không nhất quán, cho phép kẻ tấn công thao túng cách hệ thống diễn giải các request gửi đến.	WebSphere Application Server & WebSphere Application Server – Liberty	High
22	CVE-2026-55956	Apache Tomcat: Security constraints for default servlet ignored method	Tồn tại lỗ hổng Improper Authorization trong Apache Tomcat liên quan đến cơ chế kiểm soát quyền truy cập của default servlet. Lỗ hổng khiến các ràng buộc bảo mật được cấu hình cho default servlet có thể bị bỏ qua, không áp dụng đúng theo phương thức HTTP hoặc trường hợp không chỉ định phương thức được cấu hình trong constraint. Việc khai thác thành công có thể cho phép kẻ tấn công truy cập trái phép vào các tài nguyên vốn được bảo vệ bởi các constraint của servlet, vượt qua cơ chế xác thực hoặc kiểm tra vai trò người dùng, từ đó ảnh hưởng đến tính bảo mật và toàn vẹn của dữ liệu được cung cấp thông qua default servlet.	Apache Tomcat	Moderate
23	CVE-2026-55957	Apache Tomcat: Authentication bypass with JNDIRealm and GSSAPI authenticated bind	Tồn tại lỗ hổng Missing Critical Step in Authentication trong Apache Tomcat khi JNDIRealm được cấu hình sử dụng cơ chế xác thực bind thông qua GSSAPI. Lỗ hổng phát sinh do thiếu một bước quan trọng trong quá trình xác thực, cho phép kẻ tấn công thực hiện bind bằng GSSAPI mà không cần cung cấp mật khẩu hợp lệ. Việc khai thác thành công có thể cho phép kẻ tấn công truy cập ứng dụng với trạng thái đã được xác thực, dẫn đến nguy cơ lộ dữ liệu nhạy cảm và tạo điều kiện cho các cuộc tấn công tiếp theo.	Apache Tomcat	Important
24	CVE-2026-14902	Ivanti Xtraction Open Redirect Vulnerability	Tồn tại lỗ hổng Open Redirect trong Ivanti Xtraction trước phiên bản 2026.2.1, cho phép kẻ tấn công từ xa không cần xác thực chuyển hướng người dùng đến các URL tùy ý bên ngoài.	Ivanti Xtraction	Medium
25	CVE-2026-14903	Ivanti Xtraction Path Traversal Vulnerability	Tồn tại lỗ hổng Path Traversal trong Ivanti Xtraction trước phiên bản 2026.2.1 cho phép kẻ tấn công từ xa đã được xác thực khai thác cơ chế xử lý đường dẫn tệp không an toàn để truy cập và đọc các tệp tùy ý nằm ngoài thư mục root của ứng dụng.	Ivanti Xtraction	High
26	N/A	LegacyHive : Windows user profile service arbitrary hive load elevation of privileges vulnerability	Tồn tại lỗ hổng Local Privilege Escalation và thực thi mã ở cấp độ quản trị viên. Lỗ hổng này cho phép người dùng có đặc quyền thấp sửa đổi các registry hive của tài khoản quản trị viên, từ đó chiếm quyền kiểm soát cách tài khoản đó khởi chạy ứng dụng hoặc đối tượng COM.	Windows Desktop & Windows Server	N/A
27	CVE-2026-64600	xfs: resample the data fork mapping after cycling ILOCK	Tồn tại lỗ hổng Local Privilege Escalation trong nhân Linux, cụ thể là một race condition tại đường dẫn copy-on-write của filesystem XFS. Lỗ hổng cho phép người dùng cục bộ không có đặc quyền đặc biệt khai thác để ghi đè nội dung của bất kỳ file nào có quyền đọc trên volume XFS có bật tính năng reflink, kể cả trên các hệ thống đang bật SELinux ở chế độ Enforcing.	Linux	High
28	CVE-2026-60365	Oracle WebLogic Server Proxy Plug-in Unauthenticated Remote Compromise Vulnerability	Tồn tại lỗ hổng trong sản phẩm Oracle WebLogic Server Proxy Plug-in thuộc Oracle Fusion Middleware. Lỗ hổng này cho phép kẻ tấn công chưa được xác thực, có quyền truy cập mạng qua HTTP, xâm nhập Oracle WebLogic Server Proxy Plug-in dẫn đến việc tạo, xóa hoặc sửa đổi trái phép dữ liệu quan trọng hoặc toàn bộ dữ liệu mà Oracle WebLogic Server Proxy Plug-in có thể truy cập	Oracle HTTP Server & Oracle WebLogic Server Proxy Plug-in	Critical
29	CVE-2026-60206	Oracle WebLogic Server SAML Remote Compromise Vulnerability	Tồn tại lỗ hổng trong sản phẩm Oracle WebLogic Server thuộc Oracle Fusion Middleware (thành phần: core). Lỗ hổng này cho phép kẻ tấn công có đặc quyền thấp, với quyền truy cập mạng qua SAML, xâm nhập Oracle WebLogic Server. Khai thác thành công có thể dẫn đến việc chiếm quyền kiểm soát Oracle WebLogic Server	Oracle WebLogic Server	Critical
30	CVE-2026-60198 & CVE-2026-60202 & CVE-2026-60204	Critical Unauthenticated RCE in Oracle WebLogic Server via T3/IIOP	Tồn tại lỗ hổng trong sản phẩm Oracle WebLogic Server thuộc Oracle Fusion Middleware (thành phần: core). Lỗ hổng này cho phép kẻ tấn công chưa xác thực, có quyền truy cập mạng qua T3 hoặc IIOP, xâm nhập Oracle WebLogic Server, khai thác thành công cho phép kẻ tấn công chiếm quyền kiểm soát Oracle WebLogic Server	Oracle WebLogic Server	Critical
31	CVE-2026-60199 & CVE-2026-60291	Oracle WebLogic Server Unauthenticated Remote Compromise Vulnerability via HTTP	Tồn tại lỗ hổng trong sản phẩm Oracle WebLogic Server thuộc Oracle Fusion Middleware (thành phần: core). Lỗ hổng này cho phép kẻ tấn công chưa xác thực, có quyền truy cập mạng qua HTTP, xâm nhập Oracle WebLogic Server, khai thác thành công cho phép kẻ tấn công chiếm quyền kiểm soát Oracle WebLogic Server	Oracle WebLogic Server	Critical
32	CVE-2026-60292	Oracle WebLogic Server Unauthenticated Remote Compromise Vulnerability via HTTP	Tồn tại lỗ hổng trong sản phẩm Oracle WebLogic Server thuộc Oracle Fusion Middleware (thành phần: core). Lỗ hổng này cho phép kẻ tấn công chưa xác thực, có quyền truy cập mạng qua HTTP, xâm nhập Oracle WebLogic Server, khai thác thành công cho phép kẻ tấn công chiếm quyền kiểm soát Oracle WebLogic Server	Oracle WebLogic Server	Critical
33	CVE-2026-60200 & CVE-2026-60294	Oracle WebLogic Server Unauthenticated Remote Compromise Vulnerability via SOAP	Tồn tại lỗ hổng trong sản phẩm Oracle WebLogic Server thuộc Oracle Fusion Middleware (thành phần: core). Lỗ hổng này cho phép kẻ tấn công chưa xác thực, có quyền truy cập mạng qua SOAP, xâm nhập Oracle WebLogic Server, khai thác thành công cho phép kẻ tấn công chiếm quyền kiểm soát Oracle WebLogic Server.	Oracle WebLogic Server	Critical
34	CVE-2026-60205	Oracle WebLogic Server Unauthenticated Remote Compromise Vulnerability via TCP	Tồn tại lỗ hổng trong sản phẩm Oracle WebLogic Server thuộc Oracle Fusion Middleware (thành phần: core). Lỗ hổng này cho phép kẻ tấn công chưa xác thực, có quyền truy cập mạng qua TCP, xâm nhập Oracle WebLogic Server, khai thác thành công cho phép kẻ tấn công chiếm quyền kiểm soát Oracle WebLogic Server	Oracle WebLogic Server	Critical
35	CVE-2026-60364	Oracle WebLogic Server Proxy Plug-in Unauthenticated Data Integrity Vulnerability via HTTP	Tồn tại lỗ hổng trong sản phẩm Oracle WebLogic Server Proxy Plug-in thuộc Oracle Fusion Middleware. Lỗ hổng cho phép kẻ tấn công chưa được xác thực, có quyền truy cập mạng qua HTTP, xâm nhập Oracle WebLogic Server Proxy Plug-in. Khai thác thành công có thể dẫn đến việc tạo, xóa hoặc sửa đổi trái phép dữ liệu quan trọng hoặc toàn bộ dữ liệu mà Oracle WebLogic Server Proxy Plug-in có thể truy cập.	Oracle WebLogic Server & Oracle WebLogic Server Proxy Plug-in	Critical
36	CVE-2026-61211	Oracle Database Server RDBMS Remote Compromise Vulnerability via DBMS_CLOUD	Tồn tại lỗ hổng trong thành phần RDBMS của Oracle Database Server. Lỗ hổng cho phép kẻ tấn công có đặc quyền thấp, sở hữu quyền Execute DBMS_CLOUD, với quyền truy cập mạng qua Oracle Net, xâm nhập RDBMS. Khai thác thành công có thể dẫn đến việc chiếm quyền kiểm soát RDBMS	Oracle Database Server	Critical

Khuyến nghị:

• Thực hiện rà soát và lên kế hoạch cập nhật các bản vá theo hướng dẫn của hãng để đảm bảo an toàn an ninh thông tin hệ thống

2        PHỤ LỤC

Danh sách các IoC liên quan đến các mã độc/ chiến dịch tấn công mới xuất hiện trong tháng 07/2026.

2.1     Danh sách IoCs liên quan đến các chiến dịch tấn công

2.1.1      Chiến dịch phát tán mã độc OkoBot nhắm mục tiêu vào người dùng tiền điện tử

Indicators of Compromise

SHA-256	SHA-1
A9B7675393A24BD3ED08F7C9CBEC69614BB2C7F75915DC1581F4167A5AB7E0B9	073FFE3F33A2E60C40A44750EBFF8242504D0ECD
79734FB9EC912CB228A9AB535B3A91F3063AAC10712611EEC5262EEF70D756F6	1E9DBBBE5AB3CA61B3A54FEFB7CA032C4A6EF3D2
6A900DE9C0CDEC5395F028926BD13E09DE3907C7C5A3E75DDEC309E543AFE26C	F7E545FF244D800AA847075F3EF489C0F520AAE6
9E362D8A576B5522205CF52DAA61587508196DA8BF259A8A2148C981A33C8CDC	2B997FE7B0DC3D17414808E412CE094247187037
92DDDDD212F25C4772BADF19376F5720508CFC0543FF98B0AC69C2B3DF8D7CFF	EFDB825F91BBE5F425EC206233E0D41BA36FDEAE
1D184910384D943D9D0E7221A4C2C2225C20AF1989A4A587E5776BBDE604E1CA	191871DEB5029F36FE7145A099A29135C7B147E0
21EC884C8074EFF005A3801406F2C300BC87D858A2022DFBDF5F4357A597E30D	3221D1027C87189C5ED870352A92CA7219693F42
95CECFB0BA0A148E0E4A061A823D78C036F16B7BB09D909362F4D953BECE32EC	266C19229C9C201ACE6929D32C85424CEE8005BA
297785B8AE6A76CCF11443247CF81DD0922B3D0D5C11E6A4D21245C04AA6CA2D	1AB6EBB80CFB9EE66B9D4A48F21973F67EC7FECC
1F3627E007483AFC147E3EFD435569BE2B101AD6D7DE7215A5B9CFDA94707CE4	266BCEE73E70886A4DB10DF2F1DC04E936AC5502
4D181312D8E5CF5C999FCD264D5DF8BAC9E938C54EA108815A3D0A132F8B7CC5	811F7A28F9C1776D099340C377FC4CB68E1C06FC
85B2DACA4D5E7BB8A64B0CE0CB1A519BA11857BE90A795A14B180F40A8FB35C3	DF9DAB261101344E07F2417392AA2C1EB280A4BF
6B781DEC0E8D4613EAD5CA19900371D69E810E323896A3A65F81A244EE59C333	1D0CDBFC45FEBDC1BD2B924F1538AA906D113668
D3D29F1115B6647AB055C26C10878CE788F4A318BB3C1BE0370968F46EBDCF66	18DAC886CB52F8EDD732FF1B6C782D9C7C8B821D
E4328DF1CFA244198EB5A0ECC158FCDF8FAFFFFF1477136964910D52B37945BE	AE3DFBEBE440562C9544C124B1A505799358FCC2

Network Indicators

2baserec2[.]guru

recavb22[.]online

kbeautyreviews[.]com

coffeesaloon[.]online

104[.]243[.]43[.]16

104[.]243[.]32[.]213

62[.]210[.]188[.]209

livewallpapers[.]online

thatwascringe[.]com

moonsand[.]store

2.1.2      Chiến dịch phát tán mã độc Millenium RAT phiên bản mới

Indicators of Compromise

SHA-256

1d699a46339626db299548e32ed3a77eec267840c3de39b49caf38b88aeb150d

2267d05dbd5e30c6dfcdde25731280dd755e689faa684bd21cfbef5281fd3e86

12b41c07299d2535f7cdc194d97496acd944a9eb5d94b8d24b19291ed9d0830c

1d52ded1f3838a1eee849ae20b2fee6c84b183cc98abe7244365b9f34b925eea

4e035575be8fe350a9e36cf29dbbc8826af2f772672bd08c9e489a243cb90e31

1c01ab1b59245f24ebdc5d9c414fcf4e2ce31f71f181522efc5a3d27476c8e21

e4496565d9fd2f9425c10a98d3a8632c12af5fe4259484cb202d7f65532b7df2

ad0f892b7b99b68491ade4949ef6b575e64d9df5f84a53019b5c1e4eeb4c46a9

ad74f502cc37e815482df49f118b2f678daf1a3f522daf07a2abeb32c2ed3831

2d8e5a2763f9a899fda44390d5b8495836c11fb266a61868d52d1f397c5243ee

cc47209d2e4d5a9b2b1d71622b0ad7f73e9c4aa56edd9aaf1e29265650c30f16

85816d89dac648645a9026973772815e956c267232b3d2577a06a43418f19ed3

92710bdb44279dbe8ccff34ba698d1558fa6d271c99ed4960ccbfb6d518d9418

a8acc24bb3e6a1a3b66a31ceaefda07d4a0e17415468683458b499f2ba240450

d55ce447e249ef9045750865fa196c8ca8434c8c484f861b7bdecbceeab7c16e

a97f15d7bfad02a600eba426c3ef72be34e944a7c8364a975c53866735f7aa4e

fc41c336b79cbc6559a17d716b84101dbef1adc5357b643a75111af442719611

5a23ca644cb1f310be1abd5f6c6a3b3e15681ced99b0947a7f3465a79aae5089

3e17ce0b30b9fd6863b341ae58ee118dc13f2ee7f1c92ac4b81c04d54480d0e0

7d8b6a64f7b65b281e7b5568929c6f96c62bbae9628162aabe7d8140a86d3de8

307964ed02f34bff4e40c5402cc936be07fd9957ef400596a4b3e2cd98c50ec1

8bef879c6920cdce7c01b8dbb7da24dca23b8822a7aa00dfc72cb32f55879a24

19e0070e5009bd5b376b9be997361d0773dcb004200ee8fafe6c14b96cbd93e4

88f9e169a85dcf6a1c03bf3ca1b1a262ed32baeca46cb87f0324adfdc098d4a2

5562246e38f8935ba8b07350e6aaa44bc22abf37b77f49836fde5999f4b61cf1

de3842bbb6626912d5b9b01fb775e1843004edb5855d4e627fd74b88bc7fe33b

ccca11a6d5835999c40a0a5264084b3740633600c157754fad2ef59559e31736

8f8a71352d2f18162f2f74090dc6f0cae6b37029e3244e6522825ade75163055

57edeb575862ce8d3bff2eb4d32d9e3fa1ffb7cb8f818e2e7fc6d25a506faea6

2d5615acd1b0666995fd124fb72f2713c6609b5368350340288b52fecbdd016d

848036661c71b80ee41566918faa5eae3bf4f03ae807bb4af42cb483b6c141e2

aa2ccd18a7a09f66ca5c1bbd927f7fe411bd3874df77b0eaf40738dab7566606

a4b34b94a905fe330b0a3e4502aa45356e383a8f45ff1d008b785ea0ec14acaf

a911fe0259772906447d7e80a902ea954f3530edd9ea7d0427b6380707a8e681

7a370a9262d37de6a24706f92ff0cdded7202281a6ff3bf313721756226ebff9

66bf111030a2e22db575c0b7b7b677208745eef8b44265bb4259f41f126f1bf8

512adab2c69feaf026adfb12cbd7d2eb4fee746120491e44f476eebddcbb19f2

8419b1f0acca46d45f4c54c315c8cc4784946e07d547fe55187b928fa6c6b8f5

4991873515d6dea70d7769cf67ccd8ea69184e5e454a6e6d1e093b6a3c48eb47

Network Indicators

http://158[.]94[.]208[.]168/files/8514679081/DRTjyu7[.]exe

https://www[.]thesnapchatmodapk[.]com/update1[.]exe

https://modedapk[.]net/update1[.]exe

https://75877[.]mcdir[.]me/files/doc1.exe

http://kuttabilla[.]top/mr[.]exe

http://62[.]60[.]226[.]97:5553/voshod[.]exe

http://130[.]12[.]180[.]43/files/7924412375/upOSLDn[.]exe

https://blackhatusa[.]com/setup[.]exe

https://blackhatusa[.]com/clip[.]exe

http://blackhatusa[.]com/mr[.]exe

https://blackhatusa[.]com/update[.]exe

2.1.3      Chiến dịch phát tán mã độc RedHook nhắm vào người dùng Android

Indicators of Compromise

SHA-256	SHA-1
c2b4b0b7d1ca0b5921a3828331264ab9bca545ba5f6c4e95778bed2b32440ba5	29964db1a1cbcf3216055c6668d85a961633ff14
4f9d150db4f3b7e0f1edf4c51aced62e84d5d0ecf1968dae7e8235e9ebe2364b	35bbd20b75085e3dad1079a47c3ac600185c3db7
d30c148f55ecbfa18b7a05d81b47abc4d4e1b940f8213125167a3053bd9eb4b4	37c29c21dbcd6184e9264d8dabab41357267af69
44b30cd5b8f42dac9933f90fe9bb30633c0d2de3ac579f6b3ef85126fb11e966	86a8b2693ee8ba4b4461baaabd024a33ac253f4d
67d4581ef7fb94a06ddf8c3d440e9f9c8bc4aed5b352fde3121e36d16a0adb29	b347ffd931a79a92d1a3b0b4bc21e715cf7a03b2
878838c63bfe8ffb1847f4d60a08e287f7c87a9fdf9f9ba1d15558b5cb851371	c9b125625d753a807007ad3b7386010916be8cbd
a0e630b78a40eb48696d94ec4b3236efa808fa58fab6a0ae30c96f15aed9b1c4	d6f56afbf7cdc857a5f8c2aa688cdb778df6a236
5952271fa91a5aa9f0c3d33d8a1b580798f4970b77b12e925cbaf3b2dc3d58fc	ed040632e65cd82885a8b99444ea3d499f37f8ab
8ca41e11eae27edcd0fc1367348519eac943564ea31543eb12cf00c6a884201b	ef8133b0c32fb1c6b0e56735d2d48477fdbe58bd
46d712f1b3ea3777103c38af29ffd624174a94b59b280be064ee24acce2a8b42	fd126bbacbcccb156e074d98ed1181cb64aef908
858fd26c60fc3937b3ddc7c0cb62d85255d484e0812a03965734159f486ac9c8	N/A
49360905931a05406fc10f6ef70efbdfbf502f52bfc5b8704659d4cf273620f2	N/A
59139f827a8ff32667b3fd59cc4140e19f014f453470f4f90724b49f2f2ce7db	N/A
6feeb6ba2f08101d9093f2f04ce285c6da9201e8fae1f0ae75312efa140c960f	N/A
4b79585b8a32034eeb7db5b017b0c3ef6ffc5abf1ee9f5a36592aaa37c7bc252	N/A
61490c20102673b935cfee08694eaefe7ad5a48f7da4806b8e8a39f42126a019	N/A
14d6c580fadfe8b2fb392cfc934c4e14cae8c09cbda14090876022c565db201f	N/A
41255654d5b21973f05dd3ec11863b8c23772208c8fd435e2cf1eab1ed790b8b	N/A
9717011f89c7950b21145c90b4bef8d9c200a0a3502c70a63ebe66ed400f4ee6	N/A
4468bd5ce9bf2b567e5fc8851c6c0993b1c6d6ee8fb4c11f1e1ed79c2cf6effc	N/A
66c4d5a8317eeb0992359a031853938ceae0267118134cd746977a61b5538062	N/A
f34a475039de85c1b369deceb5bddf5cacb5d3b1524b0a6035a4c1fe86b42547	N/A
d7ea497911e8738106a087fd2ccd147229bdb1eea412930d128c32369486be02	N/A
50c1d8ea806a4ad33dfae5ecee99720c3440c5e05d04dcea14f59305d8779af1	N/A
72aafabc7ddf005a65a586cf706c4a6813e82080866defebd786a87726428cb1	N/A
072be9a6b29e9c364807acfe5ebc622d3d9d5d0a85d464a40f7b249961b66f50	N/A
2fb15b07b71a093dd549c6c14d9abbc8a41f1a2484679c137d65fc60036a57ed	N/A
9ab3670b4819ecc8159b02e097d031dbeaceb91d2ec14eb2a23118aa2c796ed1	N/A
56c2ed1454e8b37a9b36059b4ccdf00843a67bd29a55b5fe3bff6353b9185a91	N/A
afffe408fae99705be0ba71289d566bba91837275eccd534de693b8ad63ad874	N/A
f24c63444e4a2d990c6a06610d9b50d46d0a934778ba48cbbd8f8b8b590d8ac0	N/A
70dc44112f5f5f873f40ffd5c6d015c5e47a4ed5e54625bf727178ffa2af226f	N/A
f9502c83d45b2d4d8793887271aae498bd1d2aaf00c2a214995ef761445b3c3d	N/A
0a7d5322af886c0ef0393a5145a30838c290f93ca7b22cc0481ec792ec6a1aff	N/A
8e26374e6f0df39fa74cc9fbdbf82e387031cfa74d666deac34b4534ae831383	N/A
651fb68bee5221fc5539d1644a516760aa1da94a65270376312a70ed7bd76113	N/A
453333bffdd1850ea2e0647f7c805530b578919978a01b1e2be52d6eb2add946	N/A
70cb5d21bc7994aa60c285f3d48012e9fa4aabb0bf51334a0eb687de31976775	N/A
f4761735fb255a1096fb5afa780ee441aa967b15092b8e3111b72d4a1adbbb47	N/A
67af3a5228d5938dd858de727b958a65e4ead4a198d6c14b3c43048658e015da	N/A
8eaa820652015f7b5ac3e31691c816365ee9348a8a94143778f6325c195c9069	N/A
07207f89d1a4ff42219e184598c20dc9ad84abe4454ad52695828fe32a9bb517	N/A
04ee8fea5ff051e594348eba1d3313889f1a9bc4b817f2d03b57fa0b75867016	N/A
52865d7ad2769291cc8e8044b9ed16618df17225facfad16e5ab2b7ece82cc8d	N/A
0986ce3dea77e315d23ed0e52c53677c4a1688b35d3123a76d789495ba2737cb	N/A

Network Indicators

skt29[.]nei01[.]com

bxcczva234[.]com

sktv[.]3n7wj[.]com

sktv[.]352fjadsa[.]xyz

skt30[.]nxcvzewr34[.]top

skt[.]m89su[.]com

socketvideo[.]jftxm[.]xyz

skt[.]352fjadsa[.]xyz

skt25[.]q1oc0[.]com

sktv[.]m89su[.]com

352fjadsa[.]xyz

skt[.]bxcczva234[.]com

sktv[.]bxcczva234[.]com

sktv[.]slht5[.]com

sktv30[.]nxcvzewr34[.]top

skt[.]3n7wj[.]com

socket[.]jftxm[.]xyz

skt[.]slht5[.]com

sktv[.]yge4h[.]com

sktv29[.]nei01[.]com

sktv25[.]q1oc0[.]com

skt[.]yge4h[.]com

2.1.4      Chiến dịch phát tán mã độc GoSerpent nhắm mục tiêu vào khu vực Đông Nam Á

Indicators of Compromise

SHA-1	SHA-256
BEC8E71C49E271578F7C1F121232376C9FA15DEC	4B47500DCFC795CC7C11363DD32272CBD7E5F811C5358C26180BF58A190C2638
1AB7B27E2795DDCF61B7884995F1C6405BA7DCF5	8CB111090A1658AC1EA8D5E73471A6899BB5E7160A3630B6C2B4AB6C938E6F23
EFE0FEBA66C1968D08F6F965339D6932059E51B7	F33E48B7C4E26F81576E5AC99D989F17547EC0F8E721768DBC92B32FE3AE1314
F6A94568CE1132378AD70C72B7401DF631B73354	7481AF5B9B04292A8E9D122462C014B3FDB230627BF3F8861A65A7E86AD2418F
0377B200EA88AB0991BC59182931A5F05222ABD5	5C618E8031B32151FADCE4A75EB8FFF5780FDBAC6DCBDF1CA6BB3548160B5BDA
A6647B67CC6DF5FEB5D7DC9F526E3ECC24A39281	E969CB4381B1217A4D08E20A404CA957644897E8450465FBCB550C9830D2F916
783DA0856B55DDD779C756886EB0176E5A83D98D	1EE5F40D6E367E14DB69347191C8E4B6247B79BBFFC51E7193DB01D4938D42EB
8C831ABC1EE999CB91937977BF7AAF177D7A35B3	C2A7422B4DBE2F7CAAC294646C95786FF4A18206814B4B005F601DA7C7B85F9C
FA49F55D2E27238BE95B1EA496D9D9B49D649B80	4CB24B51AFB81CF11B12C43399D70FC964EB8A93434C852468D2F20BBD08C24D
8661864730AACBA1DED75BBED449D5453380FDBE	00ACD92EF000D090C02B18AE62695DBD7209C7BF59966FB672D9CF7C57B71C52
BB6C5F98016F755D9E5E37A1F689B454A26AB1C3	43F13ED044F7AE14A4F3B81F84300020E4E142A1910ADDAC88747C68C7D4266D

Network Indicators

152.32.160[.]239

8.220.194[.]108

8.220.214[.]132

8.220.209[.]155

8.220.193[.]189

101.36.104[.]87

144.48.6[.]46

103.138.13[.]30

47.80.22[.]58

152.32.222[.]113

43.106.30[.]226

2.2     Danh sách IoCs liên quan đến mã độc

2.2.1      Chiến dịch phát tán mã độc InfoStealer giả mạo doanh nghiệp

Indicators of Compromise

SHA-256	SHA-1
c8310de815f9f75353be03f366712261c622e51e0958afab582a551aaa9cae42	d482ebc098b3e6334fd2d536195159c1c95af605

Network Indicators

https://discord[.]com/api/webhooks/1524306262949630053/5AUinaTKwjpROLhVkaVtdbHT-8nQMKiQ0ClXx9jfxOSwD3aaS6IfIDGANBPpx4mf5oxa

2.2.2      Chiến dịch phát tán mã độc InnoLoader

Indicators of Compromise

SHA-256	SHA-1
0f97a4909b3b66eef174ee5ef8768d7184acb11e91b528ab80374cfdae463590	1715fbc37f4ab2bbc6ad2dcad47531b5f2323864
f437f8c119f00ca33ca05f618d1b0394d995f0d049beda7e6e7feb6990ebd88f	558a61ee686b5ba910d0ecdc6cd008ff6da06189
721304fa0eabd630751fd54d9a7eb7b8e21901e98fa2d216da0dc8246b08d2ed	302cbc2cd918a8be83d85a0366854bf4e937c539
095aab66cbfe56f98ee72b52b5867ae5cea1fd6b7e23f48d9cbc7341dd6f9fe2	250b106ebf4a4fc26a88f5bfdb8feedeb4a5f289
d172a7d40b90b60d152c59ceab774b9568ad90f82705fe4dc0ed92f9cb62d450	78b4c59252b4d47a2c77d258c9c0c64518cb1c82

Network Indicators

hourpigs[.]xyz

visitorwash[.]xyz

icicleexpansion[.]xyz

stream[.]flavorroute[.]cc

 

2.2.3      Phân tích mã độc Multi-Stage JavaScript Dropper

Indicators of Compromise

SHA-256	SHA-1
a752f4f3853ca61300bf2e15dc90899bec0e34d271d4a694ee4c559b7e25a071	4440ef557e8f4a24e636d5ddc527100406947396
27f3af2050e6be0dc25465db741f5eab27f4d7585b848526431a295ed384a517	de3669922e9be8a2ca551fc5ccf220a0a0133160
7db73311f28214927fa1a097052ab819a2b3358f1cbac29727c2191da38a54cd	13ca17dca8be294e741a1dfb9c7cc811b322a9bb
9ed1d8747997209a8a216686ce4a172abdfd2c9fecaae909f14f7d2919fb0b1b	fcdeb4be7ddcd02db4e2f558ec15a1f3c0543bd5

Network Indicators

https://sticladevin[.]ro/amigo/stub.ps1

server109ssd[.]hostx[.]eu