THÔNG TIN CÁC MỐI ĐE DỌA BẢO MẬT THÁNG 08 – 2026

Management Blog

07/09/2026

1 ngày

Hàng tháng, NCS sẽ tổng hợp các thông tin bảo mật về APT, Malware, CVEs

1 CÁC MỐI ĐE DỌA NÂNG CAO – ADVANCED THREATS

Trong tháng 08/2026, đội ngũ NCS ghi nhận các chiến dịch tấn công APT đáng chú ý sau:

STT	Tên chiến dịch	Mô tả
1	UAT-10147 tích hợp AI vào hoạt động tấn công mạng	NCS Threat Intelligence theo dõi và ghi nhận bài đăng trên không gian mạng mô tả về một chiến dịch tấn công của nhóm UAT-10147, lợi dụng các lỗ hổng RCE đã công khai cùng công cụ AI (PentestGPT, DeepAudit, ysoserial) để chiếm quyền điều khiển máy chủ web và triển khai mã độc BadIIS phục vụ gian lận SEO, đánh cắp dữ liệu. Chiến dịch chủ yếu nhắm mục tiêu vào các máy chủ web Windows/Linux thuộc lĩnh vực chính phủ, giáo dục, truyền thông, công nghệ và gaming tại nhiều quốc gia thông qua khai thác lỗ hổng one-day kết hợp tự động hoá tấn công bằng AI.
2	Chiến dịch tấn công của nhóm UAT-10147 triển khai backdoor SPECTRE	NCS Threat Intelligence theo dõi và ghi nhận bài đăng trên không gian mạng mô tả về một chiến dịch phát tán mã độc SPECTRE, lợi dụng các lỗ hổng trên máy chủ IIS và Linux để triển khai backdoor cross-platform kết hợp rootkit kernel-mode (Specter) và kỹ thuật BYOVD nhằm vô hiệu hóa các giải pháp EDR, từ đó đánh cắp thông tin xác thực và duy trì quyền truy cập lâu dài trên hệ thống nạn nhân. Chiến dịch được thực hiện bởi nhóm tấn công nói tiếng Trung UAT-10147, chủ yếu nhắm mục tiêu vào nhiều khu vực thông qua các hoạt động gian lận SEO (BadIIS, ASHX SEO engine) kết hợp với triển khai đa dạng backdoor như SPECTRE, QuasarRAT, Noodle RAT và web shell.
3	Chiến dịch triển khai mã độc EtherRAT của nhóm The Gentlemen	NCS Threat Intelligence theo dõi và ghi nhận bài đăng trên không gian mạng mô tả về một chiến dịch triển khai mã độc EtherRAT, được thực hiện bởi affiliate của nhóm ransomware The Gentlemen. Chiến dịch lợi dụng Ethereum smart contract làm cơ chế phân giải C2 động, cho phép kẻ tấn công liên tục thay đổi domain C2. Mục tiêu là các mạng Windows doanh nghiệp nhằm thiết lập truy cập duy trì, thu thập thông tin và chuẩn bị cho giai đoạn triển khai ransomware diện rộng.
4	Chiến dịch tấn công chuỗi cung ứng npm nhằm phát tán mã độc Shai-Hulud	NCS Threat Intelligence theo dõi và ghi nhận một bài đăng trên không gian mạng mô tả về một chiến dịch quy mô lớn xâm nhập vào tài khoản Github của người duy trì một thư viện lưu trữ dạng key-value, có khoảng 127 triệu lượt tải xuống hàng tuần trên npm và lợi dụng quyền truy cập này để phát tán mã độc nhằm đánh cắp thông tin xác thực vào toàn bộ họ của gói phần mềm. Tài khoản maintainer này đồng thời sở hữu keyv, cacheable, flat-cache cùng nhiều tiện ích phổ biến khác.
5	Chiến dịch khai thác lỗ hổng trên VMware nhằm triển khai mã độc tống tiền Babuk-Derived	NCS Threat Intelligence theo dõi và ghi nhận bài đăng trên không gian mạng mô tả về một chiến dịch tấn công khai thác lỗ hổng CVE-2026-59310 (CVSS 9.8), một lỗ hổng nghiêm trọng dạng Directory traversal trong máy chủ VMware vCenter, cho phép kẻ tấn công thực thi mã tùy ý. Lỗ hổng trên được phát hành trong Advisory ID VMSA-2026-0006 và đã được cảnh báo vào ngày 29/07/2026. Hành vi tấn công được cho là có liên quan đến tác nhân tại Trung Quốc

Thông tin chi tiết các chiến dịch:

1.1 UAT-10147 tích hợp AI vào hoạt động tấn công mạng

NCS Threat Intelligence theo dõi và ghi nhận bài đăng trên không gian mạng mô tả về một chiến dịch tấn công của nhóm UAT-10147, lợi dụng các lỗ hổng RCE đã công khai cùng công cụ AI (PentestGPT, DeepAudit, ysoserial) để chiếm quyền điều khiển máy chủ web và triển khai mã độc BadIIS phục vụ gian lận SEO, đánh cắp dữ liệu. Chiến dịch chủ yếu nhắm mục tiêu vào các máy chủ web Windows/Linux thuộc lĩnh vực chính phủ, giáo dục, truyền thông, công nghệ và gaming tại nhiều quốc gia thông qua khai thác lỗ hổng one-day kết hợp tự động hoá tấn công bằng AI.

Chuỗi tấn công

Bản đồ các nước bị nhắm tới

Nhóm hacker được ghi nhận sử dụng nhiều phương thức khác nhau để giành quyền truy cập ban đầu vào mạng của nạn nhân. Sau khi thực thi mã từ xa (RCE) thành công trên một website hoặc chiếm được quyền truy cập vào máy chủ bằng cách khác, đối tượng thường chạy một script tự động để cài đặt và triển khai mã độc phục vụ gian lận SEO hoặc đánh cắp dữ liệu. Trong một số trường hợp, thay vào đó, kẻ tấn công cài đặt web shell, cho phép chúng thiết lập thủ công mã độc BadIIS và duy trì sự tồn tại thông qua việc triển khai thêm backdoor.

Chuỗi tấn công trên Windows

Cuộc tấn công sử dụng nhiều batch script trên Windows, trong đó script chính (“back.txt”/”back.bat”) được chạy sau khi kẻ tấn công đạt RCE, dùng certutil để tải công cụ leo quyền EfsPotato (đổi tên “prcc1.rar”), script phụ “bai.bat” và payload QuasarRAT (ngụy trang “svchosts.exe”); sau khi dùng EfsPotato leo quyền hệ thống, script chỉnh Registry và dùng PowerShell thêm thư mục vào danh sách loại trừ của Windows Defender để ẩn mã độc, rồi tự xóa các file tạm để xóa dấu vết. Nhóm tấn công này được ghi nhận triển khai thêm các implant khác như Gh0stCringe và SPECTRE trong các chiến dịch tương tự.

File “back.txt” script

Script batch phụ sau đó âm thầm thực thi backdoor và thiết lập cơ chế duy trì tồn tại bằng cách tạo scheduled task giả danh có tên “Google Chrome Start”, chạy mã độc với quyền cao nhất mỗi khi người dùng đăng nhập.

File script “bai.txt”

Để triển khai mã độc BadIIS trên máy nạn nhân, UAT-10147 thực hiện các bước sau:

Kẻ tấn công sử dụng công cụ leo quyền để thêm các thư mục IIS chuẩn vào danh sách loại trừ của Windows Defender thông qua PowerShell và chỉnh sửa Registry.
Chúng dùng certutil để tải mã độc BadIIS đã biên dịch (“dll.zip”) và script thực thi thứ ba (“user.bat”) từ máy chủ từ xa.
Sau đó, kẻ tấn công tiến hành trinh sát cục bộ bằng cách chạy công cụ quản trị IIS appcmd để liệt kê cấu hình website trên máy chủ, khả năng nhằm xác định mục tiêu chèn (injection) cho module BadIIS.
Cuối cùng, kẻ tấn công chạy “user.bat” với quyền nâng cao để tạo một tài khoản người dùng cục bộ trái phép, thêm tài khoản này vào cả nhóm Administrators và Remote Desktop Users nhằm đảm bảo quyền truy cập RDP với đặc quyền cao và lâu dài vào máy đã bị xâm nhập

File “user.txt”

Sau khi phân tích chuỗi lây nhiễm trên nền tảng Windows, phần tiếp theo sẽ đi vào chuỗi lây nhiễm mà UAT-10147 sử dụng trên nền tảng Linux.

Chuỗi tấn công trên Linux

Cuộc tấn công trên nền tảng Linux bắt đầu bằng việc kẻ tấn công gửi payload RCE đến máy chủ có lỗ hổng để giành chỗ đứng ban đầu. Sau khi khai thác thành công, một web shell được triển khai trên máy chủ Linux bị xâm nhập, cho phép kẻ tấn công thực thi lệnh tương tác và duy trì truy cập lâu dài. Từ đó, kẻ tấn công tiến hành leo quyền bằng một loạt CVE đã biết: CVE-2022-0995; CVE-2021-3156; CVE-2015-5287; CVE-2015-3246; CVE-2010-3904; CVE-2022-0847.

UAT-10147 sử dụng một bộ công cụ tấn công dựa trên AI. Nhóm này dùng DeepAudit để quét lỗ hổng mã nguồn. Nhóm cũng cài PentestGPT trên máy chủ C2 để tự động quét máy chủ web và chạy PoC khai thác.

Đáng chú ý nhất, UAT-10147 dùng AI để xây dựng quy trình tấn công end-to-end với ysoserial: AI không chỉ sinh payload khai thác lỗ hổng deserialization Java mà còn tự viết README hướng dẫn sử dụng, kèm 3 script Python hỗ trợ kiểm tra quyền ghi, triển khai implant, và cài web shell qua cùng lỗ hổng ViewState deserialization, đồng thời dùng AI để tự kiểm thử xác nhận exploit hoạt động đúng.

Hướng dẫn khai thác RCE qua ViewState deserialization do AI soạn, gồm 9 phần chính:

Chuẩn bị: cần ValidationKey, DecryptionKey và thuật toán tương ứng (SHA1/AES/3DES), giá trị __VIEWSTATEGENERATOR và URL đích, các key này thường lấy từ công cụ mã nguồn mở badsecrets (chứa database MachineKey bị rò rỉ/công khai)

Bước chuẩn bị

Kiểm tra MachineKey: gửi payload ViewState lỗi có chủ đích để phân biệt 2 loại lỗi HTTP 500 (key sai) và “InvalidCastException” (key đúng, deserialize thành công), giúp xác thực key mà không cần thực thi lệnh thật
Sinh payload: dùng ysoserial.exe với gadget chain TypeConfuseDelegate, vẫn hoạt động trên .NET 4.8.

Payload generation

Gửi payload: script Python tự động hoá việc gọi ysoserial.exe và gửi HTTP POST vào tham số __VIEWSTATE, đồng bộ giá trị __VIEWSTATEGENERATOR.
Xác nhận RCE: kiểm thử bằng xác nhận qua callback OOB (certutil, PowerShell+curl, DNS nslookup).
Thu thập thông tin hậu khai thác: thu thập thông tin hệ thống, quyền token, thư mục web, cấu hình IIS… toàn bộ qua PowerShell encoded command (né AMSI/logging), exfiltrate qua webhook HTTP POST.

Thu thập thông tin

Thiết lập shell: ưu tiên triển khai implant SPECTRE qua certutil; phương án dự phòng gồm web shell ASHX hoặc reverse shell PowerShell TCP.
Leo quyền: từ IIS AppPool lên SYSTEM qua SeImpersonatePrivilege bằng công cụ họ Potato; SPECTRE có sẵn tính năng tự động thực hiện bước này.
Ghi log tấn công thực tế: tài liệu thu được ghi chi tiết một vụ xâm nhập thật (hostname, IP, đường dẫn khai thác, phiên bản .NET, giá trị MachineKey)

Ghi log tấn công thực tế

Indicator of Compromises (IoCs)

Chi tiết xem tại Danh sách IoCs liên quan đến các chiến dịch tấn công

1.2 Chiến dịch tấn công của nhóm UAT-10147 triển khai backdoor SPECTRE

NCS Threat Intelligence theo dõi và ghi nhận bài đăng trên không gian mạng mô tả về một chiến dịch phát tán mã độc SPECTRE, lợi dụng các lỗ hổng trên máy chủ IIS và Linux để triển khai backdoor cross-platform kết hợp rootkit kernel-mode (Specter) và kỹ thuật BYOVD nhằm vô hiệu hóa các giải pháp EDR, từ đó đánh cắp thông tin xác thực và duy trì quyền truy cập lâu dài trên hệ thống nạn nhân. Chiến dịch được thực hiện bởi nhóm tấn công nói tiếng Trung UAT-10147, chủ yếu nhắm mục tiêu thông qua các hoạt động gian lận SEO (BadIIS, ASHX SEO engine) kết hợp với triển khai đa dạng backdoor như SPECTRE, QuasarRAT, Noodle RAT và web shell.

Phân tích chi tiết

Backdoor SPECTRE được viết bởi ngôn ngữ lập trình C và phát triển dưới dạng đa nền tảng, với hai phiên bản dành riêng cho Windows và Linux cùng chia sẻ chung kiến trúc lõi nhưng khác biệt về tập lệnh cũng như năng lực khai thác chuyên biệt trên từng hệ điều hành, cụ thể như sau:

Phiên bản Windows

Phiên bản Windows của SPECTRE

Phiên bản Windows của SPECTRE được điều chỉnh tùy biến từ nền Havoc, ưu tiên chống phân tích bằng hai lớp: resolve API động qua PEB hash walking và mã hóa chuỗi bằng xorshift32 PRNG riêng cho từng chuỗi, khiến phát hiện tĩnh gần như vô hiệu. Ngoài ra còn có cơ chế chấm điểm anti-sandbox (dựa trên process blocklist, RAM, CPU, ổ đĩa, sleep-acceleration, tên máy/username…), tự thoát nếu điểm ≥ 50.

Cơ chế chấm điểm của SPECTRE cho anti-sandbox

Domain C2 dự phòng được hardcode trong binary và có thể khôi phục qua giải mã chuỗi; toàn bộ giao tiếp C2 thực hiện qua HTTP POST tới hai endpoint /api/v1/register và /api/v1/output. Một biến thể còn được ghi nhận đọc cấu hình C2 từ NTFS Alternate Data Stream tại “C:\Windows\System32\drivers\etc\hosts:cache”, cho phép kẻ tấn công dễ dàng cập nhật C2 chỉ bằng cách sửa ADS, né các blocklist firewall mà không cần biên dịch lại binary.

C2 domain được hardcode

Trong SPECTRE phiên bản Windows, phát hiện 45 lệnh bao gồm 24 lệnh plaintext, 21 lệnh mã hoá bằng xorshift PRNG chỉ giải mã khi dispatch. Nhóm lệnh plaintext chủ yếu phục vụ thao tác cơ bản (shell, file system, process, sysinfo, screenshot, sleep…). Nhóm lệnh mã hóa là các tính năng đặc trưng của backdoor, chia thành 3 nhóm:

Process Injection: “inject”, “s-nject”, “earlybird”, “hollow”.
Privilege escalation & đánh cắp thông tin xác thực: “getsystem”, “steal_token”, “hashdump”, “chromedump”, “vaultdump, keylog_*”
BYOVD EDR killer: “byovd_load”, “edr_kill”, “callbacks”, “proc_hide”, “byovd_verify”.

SPECTRE hỗ trợ 3 kỹ thuật injection, quản lý thống nhất qua một handler: process hollowing tiêu chuẩn (mặc định nhắm svchost.exe), APC EarlyBird injection và self-hollowing tự động khi khởi động nhắm vào RuntimeBroker.exe (thực thi ngay từ hàm main để ẩn implant và né EDR).

Về privilege escalation và đánh cắp thông tin xác thực, SPECTRE dùng named pipe impersonation, sau đó dump 3 registry hive SAM/SYSTEM/SECURITY vào %TEMP% để trích xuất NT hash offline bằng secretsdump.py. Ngoài ra còn có vaultdump và chromedump.

SPECTRE tải một trong hai driver dễ bị khai thác (RTCore64.sys – CVE-2019-16098 hoặc DBUtil_2_3.sys – CVE-2021-21551) từ C2, cài làm kernel service tạm thời, rồi tận dụng primitive đọc/ghi kernel để định vị và unlink các callback EDR đã đăng ký khỏi kernel, khiến các sản phẩm EDR như CrowdStrike, SentinelOne, Microsoft Defender không thể phát hiện hoàn toàn các sự kiện tạo process/thread/load image trong suốt phiên hoạt động.

Driver chứa lỗ hổng

Phiên bản Linux

Phiên bản Linux của SPECTRE có cấu trúc tương tự bản Windows, là binary ELF x86-64 static-linked. Ngay khi thực thi, SPECTRE gọi engine chấm điểm anti-sandbox dựa trên 8 yếu tố trước khi thiết lập kết nối C2; nếu điểm tích lũy đạt ngưỡng ≥ 50, binary sẽ thoát âm thầm mà không để lại dấu vết quan sát được.

Anti Sandbox trên phiên bản Linux

Tương tự như trên Windows, version này cũng hardcode C2 trong source code

C2 hardcode trên phiên bản Linux

Đối với các lệnh điều khiển, khác với 45 lệnh ở bản Windows, phiên bản Linux của SPECTRE chỉ có 29 lệnh, và không có lệnh nào bị obfuscate hay mã hóa.

Tập lệnh backdoor bao trùm thao tác file system, do thám hệ thống, quản lý agent và thực thi shell, nổi bật với lệnh timestomp chống điều tra số. Năng lực quan trọng nhất của SPECTRE là rootkit kernel-level tích hợp “Specter” – triển khai dưới dạng kernel module ngụy trang thành “acpi_pad.ko”, persist qua systemd unit giả “hardware-monitor.service” được cấu hình chạy trước sysinit.target để đảm bảo thực thi trước mọi công cụ bảo mật ở mỗi lần boot.

Kernel module giả mạo “acpi_pad.ko”.

Backdoor SPECTRE load rootkit kernel Linux “Specter” (ngụy trang “acpi_pad.ko”) để né phát hiện, sử dụng framework ftrace hợp pháp thay vì patch syscall table để hook 6 hàm xử lý syscall (tcp6/tcp4_seq_show, tkill, tgkill, kill, getdents64), cách này ít gây chú ý với kiểm tra tính toàn vẹn kernel. Rootkit này được phát triển với sự kết hợp giữa AI-assisted development và chuyên môn con người, dựa trên 3 dấu hiệu: cấu trúc comment mở đầu giống bản đặc tả sản phẩm hơn ghi chú dev thực; định dạng separator đồng nhất máy móc kèm comment giải thích mang tính học thuật (giải thích cả khái niệm cơ bản); và việc liệt kê song song 3 phương pháp (“Method 1/2/3”) cho cùng mục tiêu – đặc trưng “phản xạ liệt kê đầy đủ” của AI thay vì chọn một giải pháp tối ưu duy nhất như dev thường làm.

Các dải phân cách đồng nhất và phần giải thích của Specter.

UAT-10147 còn triển khai hai công cụ SEO cùng cơ chế duy trì persistence khác nhau: BadIIS (MaaS, phân phối dạng ZIP kèm bản 32/64-bit và script cài đặt, đặc trưng bởi “demo.pdb”) và ASHX SEO engine (SeoEngineHandler) nhằm chiếm quyền request pipeline của IIS qua reflection, đầu độc kết quả tìm kiếm và phát tán JavaScript độc hại, domain C2 đuôi “vn[.]xyz”, target crawler Cốc Cốc. Để leo thang đặc quyền, nhóm dùng họ công cụ “Potato”. Ngoài ra, UAT-10147 còn sử dụng nhiều backdoor như web shell, Meterpreter, Noodle RAT, QuasarRAT và Gh0stCringe.

Indicator of Compromises (IoCs)

Chi tiết xem tại Danh sách IoCs liên quan đến các chiến dịch tấn công

1.3 Chiến dịch triển khai mã độc EtherRAT của nhóm The Gentlemen

NCS Threat Intelligence theo dõi và ghi nhận bài đăng trên không gian mạng mô tả về một chiến dịch triển khai mã độc EtherRAT, được thực hiện bởi affiliate của nhóm ransomware The Gentlemen. Chiến dịch lợi dụng Ethereum smart contract làm cơ chế phân giải C2 động, cho phép kẻ tấn công liên tục thay đổi domain C2. Mục tiêu là các mạng Windows doanh nghiệp nhằm thiết lập truy cập duy trì, thu thập thông tin và chuẩn bị cho giai đoạn triển khai ransomware diện rộng.

Chuỗi tấn công

Điểm khởi đầu là một open directory của nhóm hacker bị lộ tại IP 193.233.202[.]17, chứa toàn bộ công cụ bao gồm 82 file với tổng dung lượng 145 MB: 37 Windows executable, 22 PowerShell script, 9 batch file, 6 scheduled-task XML và MSI installer của EtherRAT. Ngoài EtherRAT, operator còn triển khai song song Sliver C2 framework, các Go reverse shell tùy chỉnh, Chisel tunneling và bộ công cụ leo thang đặc quyền kiểu Potato.

Hunt.io platform phát hiện open-directory ở địa chỉ 193.233.202[.]17

Discovery, Credential Theft & Privilege Escalation

The Gentlemen sử dụng nhiều script riêng biệt cho các giai đoạn thu thập thông tin và leo thang đặc quyền. Để thực hiện dò quét và đánh cắp tài khoản, kẻ tấn công sử dụng script “acl_enum.ps1” nhằm giả mạo token đăng nhập, truy vấn Active Directory để liệt kê người dùng, thiết bị, nhóm và trích xuất mật khẩu LAPS thế hệ cũ. Đồng thời triển khai “ld.ps1” để trích xuất bộ nhớ LSASS bằng MiniDumpWriteDump, “task_39.ps1” để trích xuất và tẩu tán 3 hive Registry, cùng tệp thực thi Mimikatz (mimi64.exe). Nhằm leo thang quyền hạn tại chỗ, nhóm đe dọa kết hợp linh hoạt các kịch bản như “gp_reflect.ps1” (nạp GodPotato vào bộ nhớ), “fix_uac.bat” (tắt UAC và chỉnh sửa chính sách LocalAccountTokenFilterPolicy), “ms16032.ps1” (mã khai thác CVE-2016-0099) cùng hàng loạt công cụ Potato-style chuyên dụng bao gồm JuicyPotato (jp.exe), PrintSpoofer (ps64.exe, svcload.exe), GodPotato (gp.exe) và tệp khai thác EFSRPC (svcefs.exe).

Thêm vào đó, task_39.ps1 tạo local account support2 (pass: Supp0rt2@2026!) và thêm vào Administrators, Remote Desktop Users, đồng thời cố gắng thêm vào Domain Admins. Script fix_uac.bat vô hiệu hóa UAC và đặt LocalAccountTokenFilterPolicy = 1 để bỏ qua remote token filtering.

Triển khai EtherRAT

The Gentlemen triển khai EtherRAT trên toàn mạng nội bộ thông qua remote Scheduled Task. Script “deploy2.cmd” sử dụng vòng lặp batch để duyệt qua danh sách IP nội bộ được hardcode, tạo task tên WinSvcUpdate2 trên từng host mục tiêu. Script deploy.cmd là biến thể dự phòng, sử dụng thêm SMB admin share để copy payload và wmic process call create làm phương thức thay thế khi certutil.exe không khả dụng.

Triển khai Remote Scheduled Tasks

Trên mỗi host bị ảnh hưởng, chuỗi thực thi bắt đầu bằng một tác vụ chạy dưới quyền SYSTEM, kích hoạt công cụ hệ thống certutil.exe để tải tệp “cons_c1.0.1.msi” từ staging server về thư mục “C:\Windows\Temp\cu.msi”. Ngay sau đó, tiến trình “msiexec.exe” được chạy ở chế độ ẩn để cài đặt gói MSI này, thực hiện drop 3 tệp tin độc hại vào đường dẫn “%LOCALAPPDATA%\MicrosoftSltt\”. Các tệp này gồm có một file cmd đóng vai trò làm Node.js bootstrapper, một file bin chịu trách nhiệm giải mã code JS và thiết lập cơ chế duy trì quyền truy cập qua Registry Run key, cùng tệp xml chứa mã nguồn backdoor đã được mã hóa bằng thuật toán XOR.

Nếu Node.js chưa có trên host, bootstrapper tự tải node v18.17.0 từ nodejs.org về và giải nén vào thư mục cài đặt. File .bin sau đó decrypt backdoor bằng XOR key và tạo Run key WindowsHost để persistent.

Lệnh của bootstrapper tự tải Node.js

EtherRAT được triển khai thông qua remote Scheduled Tasks

EtherRAT thay thế cơ chế C2 hardcode truyền thống bằng cách truy vấn một Ethereum smart contract để lấy domain C2 hiện hành. Kẻ tấn công chỉ cần cập nhật giá trị trên blockchain để thay đổi C2 mà không cần sửa implant đã triển khai.

Các tham số blockchain được hardcode trong payload:

Ethereum contract: 0xb3f2897f2bc797e5b9033faef8c81e92b01cb831
Lookup key: 0x40b57c3622c1CbfD699207F71F2dE5A8Fe256893
Call function: 0x7d434425

Để đảm bảo tính dự phòng, EtherRAT hardcode 7 Ethereum RPC endpoint công khai: mainnet.gateway.tenderly.co, rpc.flashbots.net/fast, rpc.mevblocker.io, eth-mainnet.public.blastapi.io, ethereum-rpc.publicnode.com, eth.drpc.org, eth.merkle.io.

Lịch sử của EtherRAT C2 domains

Sau khi giải mã C2 URL từ blockchain, EtherRAT gán cho mỗi host một bot ID duy nhất (crypto.randomUUID()) và bắt đầu polling. Traffic C2 được ngụy trang như request tải file tĩnh thông thường:

Cấu trúc của request

Về cơ chế thực thi lệnh, EtherRAT không có command set cố định. Bất kỳ C2 response nào dài hơn 10 ký tự đều được xử lý như JavaScript source code và truyền vào một async function được tạo động trong Node.js runtime. Tasking code được cấp quyền truy cập các đối tượng: require; process; Buffer; console; __dirname; __filename; log. Điều này cho phép kẻ tấn công thực hiện arbitrary code execution trong context của user bị nhiễm: truy cập filesystem, spawn process, kết nối mạng, tải payload bổ sung – tất cả mà không cần thay thế implant chính.

C2 Đa Tầng

Ngoài EtherRAT, operator triển khai song song nhiều kênh C2 dự phòng độc lập: Sliver beacon VOCATIONAL_GORILLA được load thẳng vào memory qua PowerShell (VirtualAlloc → CreateThread) kết nối HTTPS về 193.233.202[.]17 với interval 60 giây; nhiều Go reverse shell binary với tên giả mạo (svchost_upd.exe, ws_stable.exe…) kết nối đồng thời tới 2–3 controller (193.233.202[.]17, 146.103.127[.]44, 77.110.126[.]46) để đảm bảo redundancy; cuối cùng là Chisel (đổi tên csvc.exe) tạo reverse SOCKS tunnel về port 22673 và 9001, bổ sung thêm Ligolo-ng làm tunneling dự phòng – tổng cộng bốn lớp C2 độc lập nhằm đảm bảo operator không mất access dù một kênh bị phát hiện và chặn.

Indicator of Compromises (IoCs)

Chi tiết xem tại Danh sách IoCs liên quan đến các chiến dịch tấn công

1.4 Chiến dịch tấn công chuỗi cung ứng npm nhằm phát tán mã độc Shai-Hulud

NCS Threat Intelligence theo dõi và ghi nhận một bài đăng trên không gian mạng mô tả về một chiến dịch quy mô lớn xâm nhập vào tài khoản Github của người duy trì một thư viện lưu trữ dạng key-value, có khoảng 127 triệu lượt tải xuống hàng tuần trên npm và lợi dụng quyền truy cập này để phát tán mã độc nhằm đánh cắp thông tin xác thực vào toàn bộ họ của gói phần mềm. Tài khoản maintainer này đồng thời sở hữu keyv, cacheable, flat-cache cùng nhiều tiện ích phổ biến khác.

Hành vi xâm nhập được thực hiện bằng cách đẩy trực tiếp các tệp độc hại lên nhánh main và ngay lập tức phát hành một phiên bản mới, khiến các phiên bản đã bị nhiễm độc được công bố trên npm với nguồn gốc hợp lệ, được ký xác thực bởi GitHub Actions.

Các gói bị xâm nhập bao gồm:

keyv 6.0.0 (604M/tháng)
flat-cache 6.1.24 (580M/tháng)
file-entry-cache 11.1.6 (571M/tháng)
cacheable-request 13.0.20 (137M/tháng)
cacheable 2.5.1 (30M/tháng)
@cacheable/memory 2.2.1 (28M/tháng)
cache-manager 7.2.10 (16M/tháng)
@cacheable/node-cache 3.1.2 (6M/tháng)
@cacheable/utils 2.5.1 (34M/tháng)
@cacheable/net 2.1.1 (3.7K/tháng)
ecto 5.0.1 (4.5K/tháng)

Các gói khác, không thuộc quyền của tài khoản maintainer trên cũng bị xâm nhập bao gồm:

@deliveroo/reevent 1.0.1
@or-sdk/invitations 1.4.9
@picsart/ai-sdk 3.32.2
@qlik/embed-runtime 1.6.4
js 2.11.6

Mỗi gói trong cùng họ đều bị chèn thêm hai tệp mới, “setup.mjs” và “Math_Symbol.js”, cùng với một mục “preinstall”: “node setup.mjs” được thêm vào trong tệp package.json. Bất kỳ ai thực hiện lệnh npm install đối với phiên bản bị ảnh hưởng sẽ vô tình kích hoạt setup.mjs chạy tự động trước khi quá trình cài đặt hoàn tất.

“setup.mjs” là một trình dropper được làm rối mã với chức năng duy nhất là tải xuống môi trường thực thi Bun JavaScript từ “github[.]com/oven-sh/bun/releases/download/bun-v1.3.13/” và sử dụng môi trường này để thực thi payload thực sự là “Math_Symbol.js”.

execFileSync(<bun binary>, [‘<script_dir>/Math_Symbol.js’], {

stdio: ‘inherit’,

cwd: <script_dir>

})

Math_Symbol.js là một tệp JavaScript có dung lượng 728KB, được làm rối mã ở mức độ cao, chứa các thành phần đánh cắp thông tin xác thực. Mã độc thu thập secret từ môi trường của nạn nhân, mã hóa dữ liệu thu được rồi gửi ra ngoài tới một kho GitHub công khai có phần mô tả “Shai-Hulud: Here We Go Again”. Payload này đồng thời tích hợp chức năng lây lan theo kiểu sâu máy tính, cho phép mã độc xâm nhập vào các gói phần mềm của các tài khoản maintainer khác đã cài đặt một trong các gói bị xâm nhập.

Tệp Math_Symbol.js triển khai một tập hợp các bộ trích xuất thông tin xác thực, mỗi bộ nhắm đến một kho lưu trữ bí mật khác nhau trên máy của nạn nhân bao gồm:

Npm tokens: Mã độc tiến hành đọc và quét hệ thống tệp để tìm các tệp cấu hình khác. Nó trích xuất các giá trị và mọi mục nhập liên quan, đặc biệt là các token xác thực trong ~/.npmrc hoặc .npmrc. Mỗi token được kiểm tra trực tiếp thông qua registry.npmjs[.]org/-/whoami nhằm xác thực tính hợp lệ trước khi dữ liệu được gửi ra ngoài.

Github tokens

Ba định dạng token bị nhắm đến bao gồm: classic PATs() (ghp_…, gho_…) và token OAuth (ghs_…), token GitHub App server-to-server, token JWT OIDC. Các nguồn thu thập bao gồm tệp cấu hình ~/.config/gh/hosts.yml, các biến môi trường, cũng như kết quả quét hệ thống tệp.
Trên các máy chủ chạy GitHub Actions, payload còn thực thi một lệnh shell để đọc trực tiếp bộ nhớ tiến trình của runner nhằm trích xuất toàn bộ secrets. Mã độc truy cập các biến ACTIONS_ID_TOKEN_REQUEST_TOKEN và ACTIONS_ID_TOKEN_REQUEST_URL để đánh cắp token OIDC vốn được sử dụng cho việc phát hành gói npm.

AWS credentials: Mã độc truy cập ~/.aws/credentials và ~/.aws/config, trích xuất các biến môi trường AWS_ACCESS_KEY_ID, AWS_SECRET_ACCESS_KEY, AWS_SESSION_TOKEN. Thực hiện khai thác EC2 IMDS (169[.]254[.]169[.]254, ưu tiên IMDSv2), endpoint ECS (169[.]254[.]170[.]2), và gọi AWS Secrets Manager trên nhiều vùng để liệt kê (ListSecrets) và trích xuất toàn bộ bí mật.

Kubernetes secrets: Mã độc đọc service account token, chứng chỉ CA và namespace từ ./var/run/secrets/kubernetes.io/serviceaccount/. Sau đó sử dụng token này để truy vấn trực tiếp Kubernetes API và lấy toàn bộ bí mật trong namespace. Ngoài ra, payload còn nhắm đến tệp KUBECONFIG (~/.kube/config) để mở rộng phạm vi truy cập.

HashiCorp Vault tokens: Mã độc kiểm tra sáu nguồn: biến môi trường VAULT_TOKEN, tệp ~/.vault-token, đường dẫn runner /home/runner/.vault-token, các đường dẫn container phổ biến, đăng nhập Kubernetes bằng JWT bị đánh cắp, và endpoint AWS IAM auth của Vault với thông tin AWS thu thập được. Sau khi có token, mã độc liệt kê toàn bộ kho KV qua v1/sys/mounts và đọc mọi secret từ KV v1 và v2.

Stripe and Slack tokens: Mã độc quét để tìm Stripe API keys (cả test và live, với các tiền tố sk_…) và Slack tokens (xox[baprs]-…) trong toàn bộ tệp được hệ thống quét.

Generic filesystem scan: Trình quét nhận diện nền tảng (macOS/Linux) chạy khoảng 200 mẫu glob, nhắm đến các tệp .env, khóa riêng tư, SSH keys/config, Terraform, Docker, KeePass, VPN, và cấu hình IDE. Các tệp >5 MB bị bỏ qua, tối đa 64 luồng đọc song song. Regex tổng quát được áp dụng để phát hiện khóa PEM, SSH, khóa Azure, chuỗi kết nối cơ sở dữ liệu và các secret field phổ biến.

Sau khi thu thập thông tin xác thực, payload mã hóa toàn bộ dữ liệu trước khi gửi đi. Chỉ kẻ tấn công, với khóa RSA riêng mới có thể giải mã. Do đó dữ liệu bị đánh cắp nằm công khai trên Github nhưng không ai đọc được. Nơi lưu trữ dữ liệu là một Github repository với mô tả “Shai-Hulud: Here We Go Again”. Tại thời điểm ghi nhận, có khoảng 1300 repository với mỗi repo là một nơi chứa dữ liệu mã hóa của nạn nhân.

GitHub repository chứa dữ liệu đã bị mã hóa của nạn nhân

Nếu việc tải lên GitHub thất bại, payload sẽ chuyển sang tên miền npm-cache[.]com:443/router được đăng ký ngày 22/05/2026, tên miền này được lấy động từ một smart contract Ethereum (0xE1f2395ee43e45A1556EC6438a88c31B83493103) cho phép kẻ tấn công xoay vòng hạ tầng bất cứ lúc nào mà không cần chỉnh sửa payload.

Indicator of Compromises (IoCs)

Chi tiết xem tại Danh sách IoCs liên quan đến các chiến dịch tấn công

1.5 Chiến dịch khai thác lỗ hổng trên VMware nhằm triển khai mã độc tống tiền Babuk-Derived

NCS Threat Intelligence theo dõi và ghi nhận bài đăng trên không gian mạng mô tả về một chiến dịch tấn công khai thác lỗ hổng CVE-2026-59310 (CVSS 9.8), một lỗ hổng nghiêm trọng dạng Directory traversal trong máy chủ VMware vCenter, cho phép kẻ tấn công thực thi mã tùy ý. Lỗ hổng trên được phát hành trong Advisory ID VMSA-2026-0006 và đã được cảnh báo vào ngày 29/07/2026. Hành vi tấn công được cho là có liên quan đến tác nhân tại Trung Quốc.

Dựa theo phân tích, một thiết bị vCenter Server Appliance bị xâm nhập đã bị khai thác đồng thời bởi CVE-2026-59310 và CVE-2026-59309. Trong đó, lỗ hổng CVE-2026-59309 (authentication bypass) được ghi nhận đang bị rà quét chủ động. Sau khi thực hiện hành vi scan lỗ hổng, tác nhân độc hại thực hiện tạo một tài khoản quản trị viên trên vCenter. Tuy nhiên không có sự kiện đăng nhập nào được ghi nhận đối với tài khoản quản trị viên hợp pháp vốn được dùng để tạo tài khoản mới trên. Hành vi tạo tài khoản bắt nguồn từ IP 146.59.252[.]178, đồng thời có hoạt động vSphere discovery qua REST API với chuỗi User-Agent “GoodMoodle-VCFleet/1.0” nhằm giả mạo thành hoạt động liên quan đến VMware.

Các quốc gia bị ảnh hưởng bởi chiến dịch

Tóm tắt hành vi khai thác CVE-2026-59310

Trong quá trình khai thác lỗ hổng CVE-2026-59310, hoạt động đầu tiên được ghi nhận là cron daemon tạo log cho một cron file bất thường có tên “zz-poc59310-syslog.log”. Sau đó, kẻ tấn công sử dụng lệnh curl hoặc wget để tải về một backdoor từ địa chỉ 5.34.177[.]38:9861, thực thi và xóa log file. Cách đặt tên file này cho thấy đây là một PoC được tạo ra sau khi chi tiết lỗ hổng được công khai, đồng thời hậu tố “-syslog.log” mô phỏng convention của vCSA syslog nhưng lại xuất hiện trong thư mục /etc/cron.d. Điều này cho thấy kẻ tấn công đã lợi dụng syslog server để đặt file vào vị trí thực thi đặc quyền. Một số file bị lỗi không chạy được, nhưng ít nhất một file đã thực thi thành công và cài đặt implant “linuxFile”.

LinuxFile được thiết kế để cung cấp khả năng thực thi lệnh từ xa, kết nối với máy chủ CnC thông qua WebSocket, nhận lệnh, thực thi bằng /bin/sh và gửi kết quả về cho kẻ tấn công. Địa chỉ CnC được giấu bằng XOR và giải mã khi chạy, trong khi giao tiếp được bảo vệ bằng cơ chế mã hóa riêng ở tầng ứng dụng, dù sử dụng ws:// không mã hóa. Implant này còn có khả năng tự động kết nối lại khi thất bại và duy trì persistence thông qua systemd và crond. Ngoài ra, kẻ tấn công còn sử dụng cron để tải và chạy script “esxi.sh” từ 185.144.28[.]120:3232, đóng vai trò làm downloader và persistence installer cho binary reverse_ssh. Các cron job khác được dùng để tạo thư mục staging, tải và thực thi các file từ 192.255.141[.]13:8080 và 5.34.176[.]100:5244, trong đó máy chủ sau để lộ bộ công cụ reverse SSH qua Alist directory listing.

Trong giai đoạn tiếp theo, kẻ tấn công triển khai nhiều hành động nhằm duy trì quyền kiểm soát và leo thang đặc quyền. Kẻ tấn công tạo cronjobs giả mạo dịch vụ VMware như vmware-vpxd-stats-* để thêm SSH key vào authorized_keys, vmware-perf-collect-* để thả webshell JSP “vmware-perf-update.jsp” và vmware-perf-sync-* để thả webshell kèm script base64 tạo tài khoản “adminuser” rồi thêm vào nhóm vSphere SSO Administrators. Ngoài ra, nhóm tấn công tạo thêm tài khoản “vcadmin” bằng script Python Base64 và một tài khoản quản trị khác thông qua LDAP add đối với vmdir bằng tài khoản quản trị đã bị compromise. Một file sudoers mới cũng được tạo tại /etc/sudoers.d/vmware-perf cấp quyền sudo không giới hạn cho account “perfcharts”. Để lấy thông tin đăng nhập, kẻ tấn công chạy script “.vmware-perf-upd.sh” nhằm truy vấn registry hoặc từ module vmafd để lấy mật khẩu và distinguished name của vCenter machine account, từ đó thực hiện các thay đổi đặc quyền trong directory. Song song, nhóm tấn công tiến hành discovery qua vSphere qua API, triển khai reverse SSH client, tạo tài khoản cục bộ trên ESXi hosts và chuẩn bị cho việc mã hóa dữ liệu bằng ransomware.

Cuộc tấn công cuối cùng dẫn đến việc triển khai ransomware trên các ESXi hosts, mã hóa file với đuôi “.babyk”, thường gắn liền với ransomware nguồn gốc từ Babuk. Tuy nhiên, chưa thể xác định đây có phải mục tiêu chính của chiến dịch hay chỉ là payload được chọn để gây nhiễu attribution.

Ngoài ra, trong quá trình phân tích, phát hiện repository Github có tên “pikpak0066/tmpclean” có liên kết với cùng tác nhân đe dọa. Nhìn qua thì đây là một software được viết bằng Go nhằm tự động xóa các file cũ trong thư mục tạm của Linux, tuy nhiên, các file trên thực chất là các bản build của reverse_ssh gắn với hạ tầng của nhóm tấn công. Trong repository có một service systemd cho Linux, được thiết kế để quét thư mục “/tmp” và xóa mọi entry (file, symlink, socket,…) có thời gian chỉnh sửa ít nhất 24 giờ và lặp lại mỗi giờ, cho thấy đây có thể là công cụ để xóa dấu vết trên hệ thống.

Ngoài ra, phiên bản “tmpclean v3.0.0” còn bao gồm các binary reverse_ssh đã được cập nhật, cho thấy hành vi phân phối thêm payload đã được biên dịch thông qua kênh GitHub.

Indicator of Compromises (IoCs)

Chi tiết xem tại Danh sách IoCs liên quan đến các chiến dịch tấn công

2 MALWARE

Đội ngũ NCS ghi nhận các phân tích đáng chú ý về mẫu mã độc sau:

STT	Tiêu đề	Mô tả
1	Chiến dịch phishing phát tán mã độc Remcos	NCS Threat Intelligence theo dõi và ghi nhận chiến dịch phát tán mã độc lợi dụng uy tín của cơ quan nhà nước nhằm gia tăng tỷ lệ lây nhiễm thành công. Bằng cách sử dụng thương hiệu chính phủ, yếu tố khẩn cấp và động lực tài chính, chiến dịch được thiết kế nhằm thuyết phục nạn nhân mở tệp đính kèm độc hại hoặc tương tác với nội dung nhúng trong email.
2	Chiến dịch phát tán mã độc của nhóm APT Kimsuky	NCS Threat Intelligence theo dõi và ghi nhận một chiến dịch phát tán mã độc Infostealer/RAT do nhóm APT Kimsuky thực hiện, lợi dụng các file LNK được đóng gói trong các file zip với tiêu đề giả mạo để lừa nạn nhân thực thi mã độc Powershell. Chiến dịch chủ yếu nhắm vào người dùng cá nhân và doanh nghiệp tại Hàn Quốc thông qua spear-phishing, với mục đích đánh cắp thông tin và thiết lập backdoor điều khiển từ xa trên máy nạn nhân.

2.1 Chiến dịch phishing phát tán mã độc Remcos

NCS Threat Intelligence theo dõi và ghi nhận chiến dịch phát tán mã độc lợi dụng uy tín của cơ quan nhà nước nhằm gia tăng tỷ lệ lây nhiễm thành công. Bằng cách sử dụng thương hiệu chính phủ, yếu tố khẩn cấp và động lực tài chính, chiến dịch được thiết kế nhằm thuyết phục nạn nhân mở tệp đính kèm độc hại hoặc tương tác với nội dung nhúng trong email.

Chuỗi tấn công

Chuỗi tấn công

Chuỗi lây nhiễm gồm 4 tầng chính, đi từ email spear-phishing đến việc triển khai Remcos RAT trong bộ nhớ:

Bước 1: Nạn nhân nhận email lừa đảo kèm tệp nén RAR (GST-Refund_July-26_AL27052600952P.rar).
Bước 2: Giải nén và chạy tệp thực thi .NET GST-Refund_July-26_AL27052600952P.exe (payload stage 1).
Bước 3: Payload stage 1 giải mã payload ẩn trong ảnh bitmap tài nguyên (AF), nạp trực tiếp vào bộ nhớ assembly Windows Health Optimizer Plus.dll (trình tải tầng 2).
Bước 4: Windows Health Optimizer Plus.dll giải mã tiếp bitmap thứ hai (sStW) bằng XOR, nạp trong bộ nhớ PerfGuard.dll (trình tải tầng 3).
Bước 5: PerfGuard.dll xác định kiến trúc hệ thống (32-bit/64-bit), giải mã và thực thi payload cuối cùng – Remcos RAT – hoàn toàn trong bộ nhớ tiến trình.
Bước 6: Remcos RAT thiết lập kết nối C2 tới máy chủ điều khiển 185.242.4.122 và các tên miền DNS động (dynamic DNS).

Phân tích chi tiết

Sau khi nạn nhân tải tệp nén về và giải nén, tệp lưu trữ chứa một tệp thực thi (GST-Refund_July-26_AL27052600952P.exe, ~799KB) giả dạng tài liệu/ứng dụng liên quan GST. Phân tích tĩnh xác định đây là một binary dựa trên Microsoft .NET Framework, chứa mã Intermediate Language được thực thi bởi Common Language Runtime thay vì mã máy biên dịch trực tiếp như PE thông thường.

Bên trong resource của binary có một ảnh bitmap tên “Af” và “sStW” thuộc namespace CapitalCities.Properties.Resources. Thay vì lưu payload tầng kế tiếp dưới dạng resource DLL thông thường, tác giả mã độc ẩn payload bằng cách mã hóa các byte payload vào giá trị RGB của từng pixel ảnh bitmap.

Bitmap bị mã hóa chứa stage 2 loader

Khi ứng dụng khởi chạy, hàm ServiceChromatic() được gọi với ảnh bitmap nhúng làm đầu vào. Mặc dù hàm chứa nhiều đoạn mã gây rối (junk code) để obfuscation, chức năng thực sự khá đơn giản: hàm duyệt ảnh theo thứ tự cột, đọc giá trị Red, Green, Blue của từng pixel, tái tạo lại luồng byte gốc và trích xuất 64.000 byte đầu tiên dưới dạng byte.

Mảng byte thu được được truyền trực tiếp vào Assembly.Load(), khiến assembly .NET ẩn được nạp hoàn toàn từ bộ nhớ mà không ghi ra đĩa. Payload trích xuất được là assembly tầng kế tiếp – Windows Health Optimizer Plus.dll – sau đó được thực thi thông qua kỹ thuật reflection.

PE file Health Optimizer Plus.dll

Sau khi được nạp trong bộ nhớ, mã độc gọi phương thức v3.aq() với ba tham số: v3.aq(“73537457”, “6C6E6A”, “CapitalCities”). Hai tham số đầu là các chuỗi mã hóa dạng hexadecimal. Khi chuyển đổi sang ASCII, “73537457” tương ứng với “sStW” và “6C6E6A” tương ứng với “inj”. Các chuỗi giải mã này sau đó được dùng làm định danh lệnh/thao tác cho assembly tầng kế tiếp, cho biết mã độc cần xử lý payload bitmap nhúng (sStW) và thực hiện thao tác liên quan tới injection (inj).

Tham số được truyền vào

Kỹ thuật trích xuất payload từ bitmap được lặp lại: mã độc đọc trực tiếp giá trị ARGB của từng pixel để tái tạo luồng byte nhị phân ẩn giấu, biến ảnh bitmap thành vật mang dữ liệu (data carrier) trong khi vẫn giữ hình thức một tệp ảnh hợp lệ. Payload trích xuất được xử lý qua một quy trình giải mã XOR tùy biến, trong đó chuỗi tham số được chuyển thành byte UTF-16 Big Endian để làm khóa XOR, kết hợp thêm một giá trị dẫn xuất từ chính buffer đã mã hóa.

Sau khi giải mã, payload được tái tạo trực tiếp trong bộ nhớ, lộ ra tầng kế tiếp – perfguard.dll (PerfGuard.dll). DLL này được nạp từ dạng đã mã hóa mà không ghi ra đĩa, tạo thành một chuỗi thực thi không lưu file (fileless) nhằm giảm khả năng bị phát hiện.

PerfGuard.dll đóng vai trò một bộ điều phối thực thi động, gọi một phương thức cụ thể của assembly đã nạp mà không tham chiếu trực tiếp tên phương thức. Biến num được khởi tạo giá trị 29, nhưng nếu tiến trình chạy trên môi trường 64-bit (IntPtr.Size == 8), giá trị được đổi thành 15 – cho thấy assembly có các phương thức riêng cho luồng thực thi 32-bit và 64-bit.

Mã độc lấy toàn bộ kiểu dữ liệu trong assembly bằng GetTypes(), chọn kiểu ở chỉ số 20 (PerfGuard.Networking.EfficientServer), sau đó lấy danh sách phương thức bằng GetMethods() và gọi phương thức tương ứng theo chỉ số bằng Invoke(null, null) thông qua reflection. Do cả hai tham số Invoke() đều null, phương thức mục tiêu là một static method không tham số, giúp mã độc giấu tên phương thức thực và luồng thực thi khỏi công cụ phân tích tĩnh, vì việc điều hướng thực thi dựa hoàn toàn vào chỉ số mảng thay vì định danh rõ ràng.

Cấu trúc của based call

Payload stage 3 tiếp tục kiểm tra tiến trình có đang chạy với quyền quản trị hay không. Nếu chưa có quyền elevated, mã độc lợi dụng cmstp.exe – một tiện ích hợp pháp của Windows – để spawn lại tiến trình chính với quyền nâng cao, qua đó lạm dụng binary đáng tin cậy nhằm vượt qua các hạn chế thực thi và tiếp tục hoạt động trong quyền quản trị (kỹ thuật UAC bypass qua LOLBin).

Để thiết lập duy trì trên hệ thống, mã độc tạo một bản sao chính nó tại đường dẫn C:\Users\admin\AppData\Roaming\RVKLmPcYcNO.exe. Sau đó, mã độc sinh ra một script PowerShell (.ps1) trong thư mục tạm, có nhiệm vụ khởi chạy tệp thực thi đã sao chép ở chế độ ẩn, nhằm giảm khả năng bị người dùng phát hiện.

File persistence trong AppData/Roaming

Để đảm bảo tự động thực thi sau mỗi lần đăng nhập, mã độc tạo một khóa Run trong registry tại HKCU\Software\Microsoft\Windows\CurrentVersion\Run, trỏ tới script PowerShell nêu trên. Nhờ đó, script PowerShell được thực thi mỗi khi người dùng đăng nhập, từ đó khởi chạy lại tệp thực thi độc hại và duy trì sự hiện diện của mã độc qua các lần khởi động lại hệ thống.

Payload stage 3 giải mã và tái tạo payload cuối cùng trực tiếp trong bộ nhớ của chính tiến trình, không cần khởi chạy một tiến trình riêng biệt. Kỹ thuật thực thi in-memory này giúp giảm dấu vết trên hệ thống tệp và tăng khả năng né tránh phát hiện. Phân tích payload cuối xác nhận mã độc triển khai Remcos RAT.

Dropper Remcos RAT

Ba thành phần trình tải (GST-Refund…exe, Windows Health Optimizer Plus.dll, PerfGuard.dll) hoạt động phối hợp nhằm che giấu payload cuối và gây khó khăn cho việc phát hiện, thông qua việc giải mã, tái tạo và thực thi Remcos hoàn toàn trong bộ nhớ.

Indicator of Compromises (IoCs)

Chi tiết xem tại Danh sách IoCs liên quan đến mã độc

2.2 Chiến dịch phát tán mã độc của nhóm APT Kimsuky

NCS Threat Intelligence theo dõi và ghi nhận một chiến dịch phát tán mã độc Infostealer/RAT do nhóm APT Kimsuky thực hiện, lợi dụng các file LNK được đóng gói trong các file zip với tiêu đề giả mạo thông báo thuế và thanh toán như “tax_notice.zip”, “payment_order_notice.zip”, “payment_due_notice.zip” để lừa nạn nhân thực thi mã độc Powershell. Chiến dịch chủ yếu nhắm vào người dùng cá nhân và doanh nghiệp tại Hàn Quốc thông qua spear-phishing, với mục đích đánh cắp thông tin đăng nhập trình duyệt, dữ liệu ví tiền điện tử, … và thiết lập backdoor điều khiển từ xa trên máy nạn nhân. Ngoài ra, công ty bảo mật Enki Whitehat (Hàn Quốc) cũng ghi nhận nhiều chiến dịch spear phishing của Kimsuky nhắm vào Hàn Quốc và Nhật Bản trong nửa đầu của năm 2026.

Phân tích mã độc

NCS Threat Intelligence theo dõi và ghi nhận một tài khoản GitHub mới được tạo, có liên quan đến nhóm tấn công Kimsuky, trên đó chứa các file ZIP độc hại được sử dụng làm mồi nhử trong các chiến dịch spear-phishing nhắm mục tiêu vào người dùng Hàn Quốc.

Tài khoản github được cho là của nhóm Kimsuky

Cấu trúc bên trong file ZIP gồm hai file: một file PDF chứa thông tin bị khoá bởi mật khẩu và một file “password.txt” được ngụy trang dưới dạng file văn bản thông thường nhưng thực chất là file LNK nhúng câu lệnh PowerShell độc hại. Kẻ tấn công cố tình đặt tên file là “password.txt” để đánh lừa nạn nhân mở file này nhằm lấy mật khẩu giải mã tài liệu PDF, qua đó kích hoạt chuỗi tấn công.

File lnk giả mạo file text chứa password để lừa nạn nhân

Phân tích file lnk (Stage 1)

Lệnh bên trong file LNK

File LNK được xác định là một shortcut độc hại được sử dụng làm thành phần khởi đầu trong chuỗi thực thi. Phân tích nội dung LNK cho thấy file chứa đường dẫn đến powershell.exe và một đoạn mã bị mã hoá bằng Base64 dưới dạng UTF-16LE nhằm che giấu lệnh thực thi. Sau khi giải mã, lệnh thực hiện gọi mshta thông qua chuỗi obfuscation “ms\hta” và truy cập tới URL https://link24[.]kr/4Fv8pBF. Việc kết hợp PowerShell, Base64 encoding, obfuscation bằng ký tự backtick và mshta.exe cho thấy kẻ tấn công đã cố ý che giấu chuỗi thực thi và tận dụng các thành phần hợp pháp có sẵn trên Windows để thực hiện tải hoặc thực thi payload từ máy chủ từ xa. Ngoài ra, LNK sử dụng %SystemRoot%\System32\imageres.dll làm nguồn icon, có khả năng nhằm làm file shortcut trông giống một thành phần hoặc file hợp lệ của hệ thống. Tổng thể, file LNK đóng vai trò là execution/initial delivery component, chuyển tiếp quá trình thực thi từ shortcut sang PowerShell và sau đó tới mshta, từ đó tiếp tục tải hoặc thực thi thành phần độc hại tiếp theo.

Phân tích file pwko.zip (Stage 2)

File pwko.txt thực chất là một HTA (HTML Application) đóng vai trò dropper cho một chiến dịch infostealer kết hợp RAT. Mã độc sử dụng chuỗi tấn công như sau:

HTA → VBScript → PowerShell

với mục tiêu chính là đánh cắp thông tin trình duyệt, ví tiền mã hóa, session Telegram/Discord, chứng thư số Hàn Quốc, đồng thời duy trì backdoor trên máy nạn nhân.

Mã độc trong file HTA

File HTA chứa hai thành phần chính: một khối base64 nằm trong thẻ <textarea> và một đoạn VBScript bị obfuscate nặng. Toàn bộ string trong VBScript đều được build từ các phép tính chr(CLng(“&Hxxxx”) +/- offset) nhằm tránh né signature-base detection của các antivirus, không có bất cứ string nào xuất hiện dưới dạng plaintext.

Chuỗi VBScript bị làm rối

Sau khi decode, VBScript tạo object Scripting.FileSystemObject để ghi file và WScript.Shell để thực thi command. Luồng chính gồm: dùng curl tải hai payload từ Google Drive, trong đó payload thứ hai được giải mã AES-256 (key: ftrgmjekglgawkxjynqrwxjvjsydxgjc, IV: rhmrpyihmziwkvln) thành sys.dll rồi load qua rundll32 sys.dll,odata. Song song đó, khối base64 trong textarea được decode thành một file ZIP chứa ba file: 1.log, 1.ps1 và 2.log. ZIP này được giải nén vào %LOCALAPPDATA%\pipe\ rồi chạy 1.ps1.

Các file sau khi được giải nén

File 1.ps1 chỉ có 185 bytes, đóng vai trò loader đơn giản. Nó nhận tham số -FileName, đọc nội dung file đó, decode ra plaintext PowerShell, rồi thực thi bằng Invoke-Expression. Các keyword như Get-Content và iex bị obfuscate nhẹ bằng backtick (g`Et`-CoN`T`ENt, i`e`x) để bypass AMSI ở mức cơ bản.

Phân tích file 1.log – Main Stealer & RAT (Stage 3a)

Đây là payload chính với khoảng 30,000 ký tự PowerShell, được encode base64 trong file 1.log. Sau khi decode và thực thi, nó thực hiện một loạt chức năng phức tạp. Đầu tiên, để phòng tránh việc mẫu mã độc bị chạy trên môi trường ảo hoá, mẫu thực hiện kiểm tra môi trường. Mã độc kiểm tra môi trường bằng cách query Win32_ComputerSystem, Win32_BIOS và Win32_DiskDrive qua WMI. Nếu phát hiện các chuỗi đặc trưng như VMware, VirtualBox, QEMU, KVM, Xen hay “Virtual Disk” trong output Get-PhysicalDisk, mã độc sẽ thực hiện xoá toàn bộ các file đã drop (1.log, 1.ps1, 2.log) rồi thoát.

Đoạn mã kiểm tra môi trường hoạt động

Tiếp đến, mã độc thực hiện lưu trữ C2 động, URL của C2 server không được hardcode mà được lưu trong một file có dạng mã hóa AES trên Google Drive (ID 1t8PqQEDLZYfZlDdbFzepUlwSlHUJN-Tz). Tại runtime, mã độc tải file này về, giải mã bằng cùng AES key/IV, thu được C2 URL thực. Điều này cho phép kẻ tấn công thay đổi C2 bất cứ lúc nào chỉ bằng cách update file trên Google Drive mà không cần thay đổi payload.

File chứa C2 và giải mã C2

Sau khi hoàn thành tất cả các bước chuẩn bị, mã độc thực hiện chức năng chính của nó đó là đánh cắp dữ liệu trình duyệt và ví tiền điện tử. Đầu tiên về đánh cắp dữ liệu trình duyệt, hàm GetBrowserData nhắm vào bốn trình duyệt: Chrome, Edge, Naver Whale và Firefox. Với các trình duyệt Chromium-based, mã độc copy file Login Data, Bookmarks, và đặc biệt trích xuất encrypted_key từ Local State rồi giải mã bằng DPAPI (ProtectedData.Unprotect) để lấy master key – key này dùng để decrypt mật khẩu đã lưu. Với Firefox, mã độc lấy key4.db, key3.db, logins.json và cookies.sqlite. Việc nhắm mục tiêu vào Naver Whale, một trình duyệt có mức độ phổ biến đặc biệt cao tại Hàn Quốc, cho thấy hoạt động của Kimsuky nhiều khả năng tập trung trực tiếp vào người dùng và hệ thống trong khu vực Hàn Quốc, qua đó củng cố nhận định về định hướng mục tiêu theo khu vực địa lý của nhóm.

Hàm GetBrowserData để lấy cắp thông tin từ trình duyệt

Ngoài ra mã độc cũng thực hiện đánh cắp dữ liệu của ví tiền điện tử. Hàm GetExWFile là phần lớn nhất, nhắm vào khoảng 40 browser extension ví tiền mã hóa. Danh sách bao gồm MetaMask, Trust Wallet, TronLink, Exodus, Binance, OKX, Phantom, Ronin, Unisat, Rabby, Keplr, TON, Sui, Bybit, Cosmos, SubWallet, Backpack, Pontem, XVERSE, Braavos, và nhiều ví khác. Mã độc tìm các extension ID tương ứng trong thư mục Local Extension Settings và IndexedDB, copy các file .ldb và .log chứa private key hoặc seed phrase.

Hàm đánh cắp dữ liệu tiền điện tử

Ngoài trình duyệt và ví crypto, mã độc còn copy toàn bộ thư mục tdata của Telegram Desktop để hijack session, trích xuất Discord token từ leveldb, và nén thư mục chứng thư số NPKI/GPKI của Hàn Quốc. Hàm CreateFileList quét toàn bộ drive tìm file theo 18 extension (bao gồm .hwp, .pdf, .xlsx, .doc…) và theo keyword liên quan crypto (“wallet”, “keystore”, “privatekey”, “metamask”, “phrase”…). Toàn bộ dữ liệu thu thập được nén thành init.dat, XOR encrypt với key 0xFE, rồi upload lên C2 qua HTTP POST multipart chia chunk 4MB. Để duy trì persistence, mã độc tạo registry Run key WindowsSecurityCheck tại HKCU:\…\CurrentVersion\Run trỏ đến 1.ps1, đảm bảo tự chạy lại mỗi khi user đăng nhập.

Sau khi hoàn tất thu thập và exfiltrate dữ liệu ban đầu, mã độc không dừng lại mà chuyển sang chế độ hoạt động liên tục thông qua hàm Work – một vòng lặp vô hạn poll C2 mỗi 5 phút, biến máy nạn nhân thành một backdoor hoàn chỉnh với khả năng nhận lệnh từ xa.

Hàm Work được sử dụng như một RAT/Backdoor

Hàm Work chạy vòng lặp vô hạn, mỗi 5 phút poll C2 để thực hiện 4 loại task: upload keylog (k.log), đọc file tùy ý trên máy nạn nhân theo chỉ định C2, ghi file từ C2 xuống máy nạn nhân và thực thi PowerShell command tùy ý. Ngoài ra còn có chức năng GetAppKey – tải thêm một DLL mã hóa AES từ Google Drive, giải mã, chạy qua rundll32 để steal cookie trình duyệt, rồi upload kết quả lên C2.

Phân tích file 2.log – Keylogger (Stage 3b)

File 2.log chứa module keylogger chạy song song với main payload. Mã độc sử dụng Win32 API GetAsyncKeyState, GetKeyboardState, MapVirtualKey và ToUnicode để capture phím bấm theo thời gian thực. Keylogger ghi lại cả tiêu đề cửa sổ đang active để biết nạn nhân đang dùng ứng dụng nào, đồng thời monitor clipboard để capture nội dung copy/paste. Dữ liệu được buffer và ghi vào k.log mỗi 30 giây, sau đó main RAT loop upload lên C2 mỗi 5 phút.

Chức năng Keylogger của file 2.log

Tổng kết

Mẫu được NCS Threat Intelligence phát hiện là một trong những mẫu nằm trong một chiến dịch tấn công nhiều stage hoàn chỉnh, đi từ LNK đến HTA dropper với VBScript obfuscate nặng, qua PowerShell loader, đến payload chính kết hợp infostealer và RAT. Mã độc thể hiện mức độ phát triển có hệ thống: sử dụng Google Drive làm hạ tầng phân phối payload lẫn lưu trữ C2 config động, mã hóa AES-256 cho các thành phần nhạy cảm, XOR encrypt dữ liệu trước khi exfiltrate, và triển khai anti-VM để né sandbox. Phạm vi thu thập rất rộng – từ credential trình duyệt, hơn 40 loại ví crypto, session Telegram/Discord, cho đến chứng thư số NPKI/GPKI và file enumeration toàn bộ drive cho thấy mục tiêu vừa tài chính vừa tình báo. Khả năng RAT với 4 kênh lệnh (đọc file, ghi file, thực thi command, steal cookie) biến máy nạn nhân thành backdoor lâu dài, được duy trì qua registry Run key.

Các đặc điểm như target chứng thư số Hàn Quốc, trình duyệt Naver Whale, file .hwp/.hwpx, kết hợp với chuỗi tấn công HTA → VBScript → PowerShell và việc lạm dụng Google Drive – tất cả đều trùng khớp với TTPs đã được ghi nhận của nhóm Kimsuky/APT43 (Bắc Triều Tiên). Đây không phải một công cụ thử nghiệm mà là một bộ công cụ tấn công đã được triển khai thực tế, nhắm vào người dùng Hàn Quốc với mục đích đánh cắp tài sản số và thu thập thông tin tình báo.

Indicator of Compromises (IoCs)

Chi tiết xem tại Danh sách IoCs liên quan đến mã độc

3 LỖ HỔNG BẢO MẬT

3.1 Microsoft Patch Tuesday – August 2026

Trong tháng 08, Microsoft đã phát hành 398 lỗ hổng CVE mới trong Windows và các thành phần Windows, Office và Office Components, AMD Zen, Azure và Azure Components, GitHub Copilot, Windows Defender, Exchange Server, SharePoint, OneDrive cho macOS, Teams, Power BI, .NET và Visual Studio, DHCP Server and Client, DNS Server và Windows TPM.

Trong đó có 62 lỗ hổng được đánh giá mức độ Critical, 1 lỗ hổng được đánh giá Moderate, 335 lỗ hổng được đánh giá là Important.

Các lỗ hổng nổi bật ghi nhận trong tháng:

STT	Mã CVE	Tên lỗ hổng	Thông tin chung	Mức độ cảnh báo
1	CVE-2026-68820	Windows Ancillary Function Driver for WinSock Elevation of Privilege Vulnerability	Tồn tại lỗ hổng Use-After-Free (UAF) trong Windows Ancillary Function Driver cho WinSock (afd.sys). Kẻ tấn công có quyền truy cập cục bộ với đặc quyền thấp trên hệ thống có thể khai thác lỗ hổng để leo thang lên quyền SYSTEM trên hệ thống bị ảnh hưởng.	Important
2	CVE-2026-62878	Windows DNS Server Remote Code Execution Vulnerability	Tồn tại lỗ hổng tràn bộ nhớ đệm dựa trên ngăn xếp (Stack-based buffer overflow) trong dịch vụ Windows DNS Server. Kẻ tấn công từ xa không cần xác thực có thể gửi các yêu cầu DNS được tạo đặc biệt qua mạng để khai thác lỗ hổng. Khai thác thành công cho phép thực thi mã tùy ý với quyền SYSTEM trên hệ thống bị ảnh hưởng.	Critical
3	CVE-2026-62893	Windows Deployment Services TFTP Server Remote Code Execution Vulnerability	Tồn tại lỗ hổng “use-after-free” trong dịch vụ Windows Deployment Services (WDS). Kẻ tấn công, không cần xác thực có thể khai thác lỗ hổng từ xa thông qua mạng, khai thác thành công cho phép thực thi mã từ xa với đặc quyền cao trên hệ thống bị ảnh hưởng.	Critical
4	CVE-2026-62815	Microsoft QUIC Remote Code Execution Vulnerability	Tồn tại lỗ hổng Use-After-Free (UAF) trong thành phần Microsoft QUIC. Kẻ tấn công từ xa chưa được xác thực có thể khai thác lỗ hổng mà không cần sự tương tác từ người dùng, khai thác thành công cho phép thực thi mã tùy ý với đặc quyền cao trên hệ thống bị ảnh hưởng.	Critical
5	CVE-2026-59124	Microsoft High Performance Computing (HPC) Pack Remote Code Execution Vulnerability	Tồn tại lỗ hổng Deserialization dữ liệu không an toàn trong Microsoft High Performance Computing (HPC) Pack, kẻ tấn công không cần xác thực có thể gửi dữ liệu độc hại qua mạng để kích hoạt quá trình giải tuần tự hóa, khai thác thành công cho phép thực thi mã từ xa với đặc quyền cao trên hệ thống bị ảnh hưởng.	Important
6	CVE-2026-62911	Microsoft Exchange Server Elevation of Privilege Vulnerability	Tồn tại lỗ hổng Authentication Bypass bằng kỹ thuật Capture-Replay trong Microsoft Exchange Server cho phép kẻ tấn công đã được xác thực với tài khoản đặc quyền thấp có thể nâng cao đặc quyền trên hệ thống bị ảnh hưởng.	Critical
7	CVE-2026-62827	Microsoft SharePoint Server Elevation of Privilege Vulnerability	Tồn tại lỗ hổng Improper Authentication trong Microsoft Sharepoint cho phép kẻ tấn công từ xa đã được xác thực với đặc quyền thấp có thể khai thác lỗ hổng mà không cần sự tương tác của người dùng, khai thác thành công cho phép leo thang đặc quyền trên hệ thống bị ảnh hưởng.	Critical
8	CVE-2026-65665	Microsoft SharePoint Server Remote Code Execution Vulnerability	Tồn tại lỗ hổng Deserialization dữ liệu không đáng tin cậy trong Microsoft Office SharePoint. Kẻ tấn công đã được xác thực có thể khai thác lỗ hổng qua mạng mà không cần sự tương tác từ người dùng, khai thác thành công cho phép thực thi mã từ xa trên hệ thống bị ảnh hưởng.	Critical

Khuyến nghị:

Thực hiện rà soát và lên kế hoạch cập nhật các bản vá theo hướng dẫn của hãng để đảm bảo an toàn an ninh thông tin hệ thống.

3.2 Ứng Dụng Web Và Các Sản Phẩm Khác

STT	Mã CVE	Tên lỗ hổng	Thông tin chung	Sản phẩm	Mức độ cảnh báo
1	CVE-2026-8933	snap-confine Local Privilege Escalation via Capabilities Misconfiguration or Flaw in Execution Environment Setup	Tồn tại lỗ hổng Local Privilege Escalation trong snap-confine, thành phần cốt lõi của Canonical snapd được sử dụng để xây dựng môi trường thực thi an toàn cho các ứng dụng Snap do lỗi trong quá trình khởi tạo ranh giới đặc quyền hoặc cơ chế sandbox khi tiến trình được thực thi với các ambient capabilities bị giới hạn.	Linux	High
2	CVE-2026-14529	IBM WebSphere Application Server and WebSphere Application Server Liberty are affected by a server-side request forgery	Tồn tại lỗ hổng Server-Side Request Forgery (SSRF) trong IBM WebSphere Application Server và IBM WebSphere Application Server Liberty khi tính năng SIP Container (sipServlet-1.1) được kích hoạt. Lỗ hổng cho phép kẻ tấn công truy cập các tài nguyên trong mạng nội bộ, đọc dữ liệu nhạy cảm từ các hệ thống nội bộ và thực hiện các thao tác thay mặt máy chủ.	IBM WebSphere Application Server & WebSphere Application Server – Liberty	Critical
3	CVE-2026-59309	vCenter authentication-bypass vulnerability	Tồn tại lỗ hổng Authentication bypass trong VMware Directory Service, cho phép kẻ tấn công từ xa có quyền truy cập mạng vào vCenter có thể khai thác lỗ hổng để vượt qua quá trình xác thực và giành quyền truy cập trái phép vào hệ thống.	VMware Cloud Foundation & VMware vSphere Foundation & VMware vCenter & VMware Telco Cloud Platform & VMware Telco Cloud Infrastructure	Critical
4	CVE-2026-59310	vCenter directory-traversal vulnerability	Tồn tại lỗ hổng Directory Traversal trong Syslog server cho phép kẻ tấn công từ xa có quyền truy cập mạng vào vCenter có thể khai thác lỗ hổng để thực thi mã tùy ý trên hệ thống bị ảnh hưởng.	VMware Cloud Foundation & VMware vSphere Foundation & VMware vCenter & VMware Telco Cloud Platform & VMware Telco Cloud Infrastructure	Critical
5	CVE-2026-47876	VMXNET3 out-of-bounds write vulnerability	Tồn tại lỗ hổng out-of-bounds trong VMXNET3 virtual network adapter của VMware ESX. Một kẻ tấn công có đặc quyền quản trị cục bộ trên máy ảo có VMXNET3 virtual network adapter có thể khai thác lỗ hổng để thực thi mã tùy ý trên máy chủ bị ảnh hưởng.	VMware Cloud Foundation & VMware vSphere Foundation & VMware ESX & VMware Telco Cloud Platform	Critical
6	CVE-2026-20303	Cisco Catalyst SD-WAN Security Hardening Release – Input Validation Vulnerabilities	Tồn tại lỗ hổng Improper Input Validation trong Cisco Catalyst SD-WAN Controller và Cisco Catalyst SD-WAN Manager do cơ chế xác thực và kiểm tra dữ liệu đầu vào không đầy đủ, cho phép kẻ tấn công sử dụng các dữ liệu được chế tạo đặc biệt để tác động đến hoạt động của Cisco Catalyst SD-WAN Controller hoặc Manager.	Cisco Catalyst SD-WAN	Critical
7	CVE-2026-20304	Cisco Catalyst SD-WAN Security Hardening Release – Access Control Vulnerabilities	Tồn tại lỗ hổng Improper Access Control trong Cisco Catalyst SD-WAN Controller và Manager do kiểm soát truy cập không đúng cách có thể cho phép kẻ tấn công truy cập trái phép vào các tài nguyên được bảo vệ, có thể đọc hoặc thay đổi dữ liệu cấu hình hoặc làm gián đoạn các dịch vụ mạng.	Cisco Catalyst SD-WAN	Critical
8	CVE-2026-20310	Cisco SD-WAN Software Security Hardening Release – Improper Link Resolution Before File Access	Tồn tại lỗ hổng Improper Link Resolution Before File Access trong Cisco Catalyst SD-WAN Controller và Manager do hệ thống không xác minh chính xác rằng một tập tin hoặc thư mục không phải là một liên kết tượng trưng trỏ đến một vị trí khác, cho phép kẻ tấn công đọc các tập tin tùy ý có tên được cung cấp thông qua quá trình phân giải liên kết.	Cisco Catalyst SD-WAN	Critical
9	CVE-2026-20312	Cisco Catalyst SD-WAN Security Hardening Release – Information Disclosure Vulnerabilities	Tồn tại lỗ hổng Information Disclosure Vulnerabilities xuất phát từ việc bộ điều khiển và quản lý Cisco Catalyst SD-WAN lưu trữ các thông tin đăng nhập nhạy cảm dưới dạng văn bản thuần, cho phép kẻ tấn công có thể đọc cấu hình hoặc dữ liệu hệ thống tệp để lấy được các thông tin đăng nhập đó.	Cisco Catalyst SD-WAN	High
10	CVE-2026-20272	Improper neutralization of special elements (covers command, OS, argument injection)	Lỗ hổng bắt nguồn từ việc vô hiệu hóa không đúng cách các phần tử đặc biệt. Lỗi này cho phép kẻ tấn công chèn dữ liệu được tạo sẵn vào quy trình xử lý của phần mềm. Khai thác thành công, cho phép kẻ tấn công có thể thực thi các lệnh tùy ý hoặc sửa đổi hành vi hệ thống.	Cisco IOS XE Software	Critical
11	CVE-2026-20267	Improper access control (covers authorization, authentication, privileges, and bypasses)	Lỗ hổng xuất phát từ việc kiểm soát truy cập không đúng cách trong phần mềm Cisco IOS XE. Một nhóm các điểm yếu được phát hiện cho phép kẻ tấn công vượt qua các kiểm tra ủy quyền tiêu chuẩn, có khả năng cho phép thực thi các thao tác có đặc quyền hoặc thay đổi cấu hình trái phép.	Cisco IOS XE Software	Critical
12	CVE-2026-20200	Improper access control (covers authorization, authentication, privileges, and bypasses)	Lỗ hổng trong giao diện quản lý web của Cisco IMC cho phép kẻ tấn công từ xa đã xác thực với đặc quyền thấp thực thi lệnh tùy ý và leo thang đặc quyền lên root, do xác thực không đúng cách dữ liệu đầu vào từ người dùng.	Cisco Unified Computing System (Standalone)	High
13	CVE-2026-15217	Cross-site Scripting issue in Analytics Dashboards table field configuration impacts GitLab CE/EE	Tồn tại lỗ hổng Cross-site Scripting trong GitLab Community Edition và Enterprise Edition do việc trung hòa không đầy đủ các giá trị do người dùng kiểm soát khi được hiển thị trong nội dung ô của bảng thuộc thành phần Analytics Dashboard, cho phép kẻ tấn công chèn mã JavaScript tùy ý vào các trang được hiển thị.	GitLab Community Edition & Enterprise Edition	High
14	CVE-2026-15216	Cross-site Scripting issue in Analytics Dashboards pagination controls impacts GitLab CE/EE	Tồn tại lỗ hổng Cross-site Scripting trong GitLab Community Edition và Enterprise Edition do việc trung hòa không đầy đủ dữ liệu do người dùng kiểm soát khi được hiển thị trong các thành phần pagination controls của Analytics Dashboard, cho phép kẻ tấn công chèn mã JavaScript độc hại vào nội dung được hiển thị trên trang.	GitLab Community Edition & Enterprise Edition	High
15	CVE-2026-15423	Improper Authorization issue in CI/CD pipeline API impacts GitLab CE/EE	Tồn tại lỗ hổng Incorrect Authorization trong GitLab Community Edition và Enterprise Edition do cơ chế xác thực tham chiếu pipeline không thực hiện đầy đủ các kiểm tra quyền cần thiết, cho phép người dùng đã được xác thực với vai trò Developer thực thi các pipeline CI/CD trên protected branch mà không có quyền push tương ứng.	GitLab Community Edition & Enterprise Edition	High
16	CVE-2026-19228	Authorization Bypass issue in Duo Workflow Service impacts GitLab EE	Tồn tại lỗ hổng Authorization Bypass trong GitLab Enterprise Edition do không thực hiện đầy đủ kiểm tra quyền đối với thông tin định danh namespace được cung cấp trong các yêu cầu sử dụng tính năng AI, cho phép người dùng đã được xác thực chỉ định namespace khác để ghi nhận mức sử dụng AI.	GitLab Enterprise Edition	High
17	CVE-2026-16627	Cross-site Scripting issue in CI manual job confirmation modal impacts GitLab CE/EE	Tồn tại lỗ hổng Cross-site Scripting trong GitLab Enterprise Edition do việc trung hòa không đầy đủ nội dung HTML không đáng tin cậy được hiển thị trong cửa sổ CI job modal, cho phép người dùng đã được xác thực với vai trò Developer chèn và thực thi mã độc trong ngữ cảnh phiên làm việc.	GitLab Community Edition & Enterprise Edition	High
18	CVE-2026-16494	Missing Authorization issue in ProjectsController impacts GitLab EE	Tồn tại lỗ hổng Missing Authorization trong GitLab Enterprise Edition do không thực hiện đầy đủ các cơ chế kiểm tra quyền trên endpoint cập nhật dự án, cho phép người dùng đã được xác thực thay đổi các thiết lập dự án vốn chỉ dành cho những vai trò có đặc quyền cao hơn.	GitLab Enterprise Edition	High
19	CVE-2026-18125	Out-of-Bounds Read in Ivanti Endpoint Manager Agent Enables Remote Crash	Tồn tại lỗ hổng đọc ngoài giới hạn bộ nhớ (Out-of-Bounds Read) trong thành phần Agent của Ivanti Endpoint Manager trước phiên bản 2024 SU7, cho phép kẻ tấn công từ xa chưa được xác thực khai thác lỗ hổng thông qua việc gửi dữ liệu được chế tạo đặc biệt. Điều này có thể khiến dịch vụ Agent bị treo hoặc dừng hoạt động, dẫn đến mất tính sẵn sàng của endpoint được bảo vệ. Lỗ hổng không cho phép thực thi mã tùy ý trực tiếp mà chủ yếu ảnh hưởng đến tính sẵn sàng của hệ thống.	Ivanti Endpoint Manager	High
20	CVE-2026-18127	Remote Write Control to S3 Bucket via External Filename in Ivanti Endpoint Manager	Tồn tại lỗ hổng Improper Restriction on Use of Identifier trong thành phần Core của Ivanti Endpoint Manager, cho phép kẻ tấn công từ xa đã được xác thực kiểm soát tên tệp được sử dụng để lưu trữ session recording. Lỗ hổng cho phép kẻ tấn công chỉ định tên tệp tùy ý, từ đó ghi trực tiếp dữ liệu vào S3 bucket được cấu hình để lưu trữ các bản ghi phiên. Điều này có thể cho phép kẻ tấn công ghi đè, xóa hoặc sửa đổi dữ liệu trong bucket, dẫn đến ảnh hưởng nghiêm trọng đến tính toàn vẹn, bảo mật và sẵn sàng của dữ liệu được lưu trữ.	Ivanti Endpoint Manager	High
21	CVE-2026-18129	Cleartext Transmission of Credentials in Ivanti Endpoint Manager Prior to 2024 SU7	Tồn tại lỗ hổng Cleartext Transmission of Sensitive Information trong thành phần Core của Ivanti Endpoint Manager, do thông tin xác thực cho các kết nối SQL bên ngoài không được bảo vệ đầy đủ trong quá trình truyền tải. Lỗ hổng cho phép kẻ tấn công từ xa chưa được xác thực, có khả năng thực hiện tấn công Man-in-the-Middle (MITM), chặn và thu thập thông tin xác thực của các kết nối SQL bên ngoài. Điều này có thể dẫn đến lộ lọt thông tin xác thực và tạo điều kiện cho kẻ tấn công truy cập trái phép vào các cơ sở dữ liệu được kết nối, ảnh hưởng đến tính bảo mật của hệ thống.	Ivanti Endpoint Manager	High
22	CVE-2026-18574	Authentication Bypass in Check Point Security Management Server	Tồn tại lỗ hổng Authentication Bypass trong Check Point Security Management Server và Multi-Domain Security Management Server. Lỗ hổng cho phép kẻ tấn công từ xa chưa được xác thực có quyền truy cập mạng đến Management Services thực thi các lệnh tùy ý trên Security Management Server mà không cần trải qua quá trình xác thực hợp lệ.	Security Management Server & Multi-Domain Security Management Server	Critical
23	CVE-2026-64531	net: openvswitch: reject oversized nested action attrs	Lỗ hổng OVSwrap là lỗ hổng leo thang đặc quyền cục bộ (Local Privilege Escalation) trong module Open vSwitch (OVS) của Linux Kernel, cho phép người dùng không có đặc quyền leo thang lên quyền root của hệ thống, gây ra rủi ro bảo mật nghiêm trọng cho tất cả các hệ thống Linux đang chạy các nhánh kernel bị ảnh hưởng.	Linux	High
24	CVE-2026-58231	Improper Authorization in SAP Commerce Cloud (Data Hub Adapter)	Tồn tại lỗ hổng Code Injection trong SAP Commerce Cloud do cơ chế xác thực và kiểm tra dữ liệu đầu vào không đầy đủ, cho phép kẻ tấn công chưa được xác thực lợi dụng client xác thực mặc định để gửi dữ liệu được chế tạo đặc biệt đến các chức năng bị ảnh hưởng.	SAP Commerce Cloud (Data Hub Adapter)	Critical
25	CVE-2026-44772	Code Injection vulnerability in SAP Manufacturing Integration and Intelligence	Tồn tại lỗ hổng Code Injection trong SAP Manufacturing Integration and Intelligence do lỗ hổng Server-Side Request Forgery trong quá trình thực hiện các phép biến đổi XSL, cho phép kẻ tấn công đã được xác thực với đặc quyền thấp thực thi các lệnh tùy ý trên hệ thống.	SAP Manufacturing Integration and Intelligence	Critical
26	CVE-2026-34265	Memory Corruption vulnerability in Application Server ABAP for SAP NetWeaver and ABAP Platform	Tồn tại lỗ hổng Out-of-bounds Write trong SAP NetWeaver Application Server ABAP do các lỗi logic trong quá trình phân tích và xử lý giao thức DIAG, cho phép kẻ tấn công chưa được xác thực tác động đến vùng nhớ của hệ thống từ đó dẫn đến hỏng bộ nhớ.	SAP NetWeaver and ABAP Platform	Critical
27	CVE-2026-44758	Code Injection vulnerability in Manufacturing Integration and Intelligence	Tồn tại lỗ hổng Code Injection trong SAP Manufacturing Integration and Intelligence do một số chức năng bị ảnh hưởng không thực hiện đầy đủ việc kiểm tra dữ liệu đầu vào, cho phép kẻ tấn công có đặc quyền cao gửi dữ liệu được chế tạo đặc biệt đến các chức năng này, dẫn đến thực thi các lệnh tùy ý trên hệ điều hành của máy chủ.	SAP Manufacturing Integration and Intelligence	Critical
28	CVE-2026-58243	Privilege Escalation vulnerability in SAP ABAP Developer Tools	SAP ABAP Development Tools không thực hiện đầy đủ các cơ chế kiểm tra quyền đối với một số chức năng nhất định, cho phép kẻ tấn công có đặc quyền thấp thực hiện các thao tác cơ sở dữ liệu trái phép trên SAP NetWeaver AS ABAP. Dẫn đến kẻ tấn công có thể đọc dữ liệu nhạy cảm, sửa đổi dữ liệu ứng dụng hoặc làm gián đoạn khả năng truy cập của người dùng hợp lệ.	SAP ABAP Developer Tools	High
29	CVE-2026-64638	Pre-auth reflected XSS on login screen with potential to lead to PHP code execution	Lỗ hổng bắt nguồn từ một Reflected Cross-Site Scripting (XSS) trước xác thực (pre-authentication) trên trang đăng nhập WordPress. Kẻ tấn công có thể kết hợp lỗ hổng này với kỹ thuật DOM Clobbering để thực thi mã JavaScript trong ngữ cảnh của ứng dụng. Từ đó, lợi dụng REST API và cơ chế JSONP callback để buộc trình duyệt của quản trị viên thực hiện các hành động ngoài ý muốn, bao gồm thiết lập lại mật khẩu và tạo Application Password mới.	WordPress	Critical
30	CVE-2026-71062	Oracle Database Server RDBMS Takeover Vulnerability	Tồn tại lỗ hổng ảnh hưởng đến thành phần RDBMS của Oracle Database Server, cho phép kẻ tấn công có tài khoản đặc quyền thấp và có khả năng kết nối mạng đến cơ sở dữ liệu thông qua Oracle Net có thể chiếm quyền kiểm soát hoàn toàn hệ thống RDBMS.	Oracle Database Server	High
31	CVE-2026-61241	Oracle Internet Directory (OID LDAP Server) Unauthenticated LDAP Takeover Vulnerability	Tồn tại lỗ hổng trong thành phần OID LDAP Server của Oracle Fusion Middleware. Kẻ tấn công chưa được xác thực có khả năng tiếp cận mạng qua giao thức LDAP có thể khai thác lỗ hổng để xâm nhập và chiếm quyền điều khiển hoàn toàn Oracle Internet Directory.	Oracle Internet Directory	Critical
32	CVE-2026-60995	Oracle Identity Manager Connector Core Remote Takeover Vulnerability	Tồn tại lỗ hổng trong thành phần Core của Oracle Identity Manager Connector thuộc Oracle Fusion Middleware. Kẻ tấn công có đặc quyền thấp sở hữu quyền truy cập mạng qua giao thức TLS có thể khai thác lỗ hổng để xâm nhập và chiếm quyền kiểm soát hoàn toàn Oracle Identity Manager Connector. Khai thác thành công có thể tác động nghiêm trọng đến các sản phẩm và hệ thống liên kết khác.	Oracle Identity Manager Connector	Critical
33	CVE-2026-60702	Oracle WebLogic Server Core Remote Takeover Vulnerability	Tồn tại lỗ hổng trong thành phần Core của Oracle WebLogic Server. Kẻ tấn công có đặc quyền thấp có quyền truy cập mạng qua giao thức T3 hoặc IIOP có thể khai thác lỗ hổng mà không cần sự tương tác của người dùng. Khai thác thành công có thể dẫn đến việc chiếm quyền kiểm soát hoàn toàn máy chủ Oracle WebLogic Server và gây ảnh hưởng nghiêm trọng tới các hệ thống liên kết khác.	Oracle WebLogic Server	Critical
34	CVE-2026-60698	Oracle WebLogic Server Core Unauthenticated Remote Takeover Vulnerability	Tồn tại lỗ hổng trong thành phần Core của sản phẩm Oracle WebLogic Server cho phép kẻ tấn công chưa xác thực có quyền truy cập mạng qua giao thức IIOP có thể khai thác lỗ hổng mà không cần sự tương tác của người dùng. Tấn công thành công có thể dẫn đến việc chiếm quyền kiểm soát hoàn toàn máy chủ Oracle WebLogic Server.	Oracle WebLogic Server	Critical
35	CVE-2026-60672 & CVE-2026-60696	Unauthenticated Attacker Can Achieve Full Oracle WebLogic Server Takeover via T3 and IIOP	Tồn tại lỗ hổng trong thành phần Core của Oracle WebLogic Server cho phép kẻ tấn công chưa được xác thực, có quyền truy cập mạng thông qua giao thức T3 hoặc IIOP khai thác và chiếm quyền kiểm soát hoàn toàn máy chủ Oracle WebLogic Server.	Oracle WebLogic Server	Critical
36	CVE-2026-19478	Code Injection issue via GraphQL directive impacts GitLab CE/EE	Tồn tại lỗ hổng Code Injection trong GitLab CE/EE do cơ chế xử lý GraphQL directives không an toàn, cho phép kẻ tấn công chưa được xác thực từ xa tạo các chỉ thị GraphQL được chế tạo đặc biệt để thực hiện các thao tác trái phép. Điều này cho phép kẻ tấn công sửa đổi hoặc xóa các project công khai và dữ liệu người dùng thông qua GraphQL.	GitLab Community Edition & Enterprise Edition	Critical
37	CVE-2026-19650	Cross-Site Request Forgery issue in GraphQL multiplex query handler impacts GitLab CE/EE	Tồn tại lỗ hổng Cross-Site Request Forgery trong GitLab CE/EE do cơ chế kiểm tra yêu cầu không đầy đủ khi xử lý các truy vấn GraphQL multiplex, cho phép kẻ tấn công chưa được xác thực gửi các yêu cầu GET chứa GraphQL mutation. Điều này cho phép kẻ tấn công thực hiện trái phép các thao tác tạo, sửa đổi hoặc xóa dữ liệu repository, issue và các tài nguyên quan trọng khác mà không cần cung cấp thông tin xác thực.	GitLab Community Edition & Enterprise Edition	High
38	CVE-2026-16885	Stack Buffer Overflow Leading to Remote Code Execution in IBM AIX and IBM PowerVM VIOS	Tồn tại lỗ hổng Stack-based Buffer Overflow trong hệ điều hành IBM AIX và giải pháp ảo hóa PowerVM VIOS. Kẻ tấn công từ xa không cần xác thực có thể khai thác lỗ hổng để thực thi mã tùy ý với đặc quyền cao trên hệ thống bị ảnh hưởng.	IBM AIX & PowerVM VIOS	Critical
39	CVE-2026-17118	Use-After-Free Vulnerability Leading to Remote Code Execution in IBM AIX and IBM PowerVM VIOS	Tồn tại lỗ hổng Use-after-free trên IBM AIX và giải pháp ảo hóa PowerVM VIOS. Kẻ tấn công từ xa không cần xác thực có thể khai thác lỗ hổng để thực thi mã tùy ý dẫn đến khả năng chiếm quyền điều khiển hoàn toàn hệ thống bị ảnh hưởng.	IBM AIX & PowerVM VIOS	Critical
40	CVE-2026-17152	Buffer Overflow Vulnerability Leading to Remote Code Execution in IBM AIX	Tồn tại lỗ hổng Buffer Overflow trên hệ điều hành IBM AIX cho phép kẻ tấn công từ xa không cần xác thực thực thi mã tùy ý trên hệ thống bị ảnh hưởng thông qua việc ghi dữ liệu ra ngoài phạm vi bộ nhớ được cấp phát.	IBM AIX	Critical
41	CVE-2026-15065	Exposure of Intermediate Certificate Authority Private Keys in IBM AIX NIM and PowerVM VIOS Enabling Security Restriction Bypass	Tồn tại lỗ hổng trên hệ điều hành IBM AIX và PowerVM VIOS, lỗ hổng xảy ra do khóa bí mật (private key) của Intermediate Certificate Authority (CA) bị vô tình đưa vào các tệp cập nhật công khai. Điều này khiến kẻ tấn công từ xa có thể truy cập các khóa bí mật đáng lẽ phải được bảo vệ và lợi dụng để bypass qua các cơ chế bảo mật dựa trên chứng chỉ số.	IBM AIX & PowerVM VIOS	Critical
42	CVE-2026-15068	OS Command Injection Vulnerability in IBM AIX NIM and PowerVM VIOS Allowing Arbitrary Command Execution	Tồn tại lỗ hổng OS Command Injection trong IBM AIX NIM và IBM PowerVM VIOS. Kẻ tấn công từ xa đã được xác thực có thể khai thác lỗ hổng để chèn và thực thi các lệnh hệ điều hành tùy ý trên hệ thống bị ảnh hưởng, dẫn đến nguy cơ chiếm quyền điều khiển hoàn toàn hệ thống.	IBM AIX & PowerVM VIOS	Critical
43	CVE-2026-76387	SPL Injection through the REST API in Splunk Enterprise Security	Tồn tại lỗ hổng SPL Injection trong Splunk Enterprise Security do cơ chế xử lý bộ lọc tìm kiếm của Analyst Queue không thực hiện kiểm tra hợp lệ đối với tên trường trước khi đưa chúng vào các truy vấn SPL. Lỗ hổng cho phép người dùng có vai trò Splunk Enterprise Security chứa capability mc_investigation_read chèn mã SPL thông qua các bộ lọc tìm kiếm của Analyst Queue.	Splunk Enterprise Security	High
44	CVE-2026-76388	Privilege Escalation through Search Macro Permissions in Splunk Enterprise Security	Tồn tại lỗ hổng Improper Authorization trong Splunk Enterprise Security do metadata của ứng dụng UEBA cấp quyền ghi cho vai trò ess_analyst đối với các search macro vốn chỉ được phép thay đổi bởi quản trị viên. Điều này cho phép người dùng có vai trò ess_analyst sửa đổi các UEBA search macro được sử dụng bởi các scheduled search chạy với quyền quản trị.	Splunk Enterprise Security	High
45	CVE-2026-76356	Authentication Bypass through IP Address Spoofing in the Automation Broker in Splunk SOAR	Tồn tại lỗ hổng Authentication Bypass tại thành phần Automation Broker của Splunk SOAR, do cơ chế này tin tưởng vào giá trị header IP nguồn do client tự cung cấp như một bằng chứng cho thấy request xuất phát từ local system.	Splunk SOAR	High
46	CVE-2026-76357	Remote Code Execution (RCE) through Path Traversal in the REST API in Splunk SOAR	Tồn tại lỗ hổng Remote Code Execution trong Splunk SOAR do REST API không yêu cầu người dùng phải được gán vai trò và không giới hạn đường dẫn tệp do người dùng cung cấp trong thư mục tạm được chỉ định. Điều này cho phép người dùng đã được xác thực nhưng không có vai trò gửi đường dẫn tệp được chế tạo đặc biệt đến REST API.	Splunk SOAR	High
47	CVE-2026-76362	Improper Certificate Validation through CyberArk Vault Privileged Access Manager in Splunk SOAR	Tồn tại lỗ hổng Improper Certificate Validation tại thành phần tích hợp CyberArk Vault Privileged Access Manager trong Splunk SOAR do CyberArk REST client mặc định không xác minh server certificate khi thiết lập kết nối.	Splunk SOAR	High
48	CVE-2026-76310	Improper Access Control through Embedded Report REST API Requests in Splunk Enterprise	Tồn tại lỗ hổng Improper Access Control tại tính năng Embedded Reports của Splunk Enterprise, thông qua REST API requests, do cơ chế xác thực embed token không giới hạn đúng phạm vi quyền truy cập khi xử lý các yêu cầu REST API liên quan đến report đã nhúng.	Splunk Enterprise	Critical
49	CVE-2026-76311	Improper Access Control in Embedded Report Dispatch Archives in Splunk Enterprise	Tồn tại lỗ hổng Improper Access Control tại cơ chế lưu trữ dispatch của tính năng Embedded Reports trong Splunk Enterprise, do hệ thống không kiểm soát/hạn chế đúng quyền truy cập vào các dispatch archive được tạo ra khi một report được embedded chạy, cho phép truy cập vào dữ liệu kết quả report mà lẽ ra phải bị giới hạn theo quyền người dùng.	Splunk Enterprise	Critical
50	CVE-2026-76312	Improper Access Control through Embedded Reports in Splunk Enterprise	Tồn tại lỗ hổng Improper Access Control tại đường dẫn tải xuống dispatch archive của tính năng Embedded Reports trong Splunk Enterprise, do cơ chế này không thực thi authorization boundary dành riêng cho embedded report, và vô tình đưa vào các dữ liệu session nhạy cảm bên trong dữ liệu search-job đã được lưu trữ.	Splunk Enterprise	Critical
51	CVE-2026-19490	Critical Authentication Bypass Vulnerability in Citrix NetScaler ADC and NetScaler Gateway	Tồn tại lỗ hổng Authentication Bypass ảnh hưởng đến Citrix NetScaler ADC và NetScaler Gateway cho phép kẻ tấn công từ xa không cần xác thực có thể khai thác lỗ hổng mà không cần tương tác của người dùng hoặc đặc quyền cao.	Citrix NetScaler ADC & Citrix NetScaler Gateway	Critical
52	CVE-2026-20231	Cisco Secure Workload Software Security Hardening Release August 2026 – Improper Neutralization of Special Elements Vulnerabilities	Tồn tại lỗ hổng Improper Neutralization of Special Elements trong Cisco Secure Workload do dữ liệu đầu vào chứa các ký tự đặc biệt không được xử lý và trung hòa đầy đủ, dẫn đến việc dữ liệu có thể bị hệ thống diễn giải theo cách không mong muốn.	Cisco Secure Workload	Critical
53	CVE-2026-20315	Cisco Secure Workload Software Security Hardening Release August 2026 – Improper Access Control Vulnerabilities	Tồn tại lỗ hổng Improper Access Control trong Cisco Secure Workload, cho phép kẻ tấn công vượt qua các cơ chế kiểm tra quyền hiện có để truy cập tài nguyên hoặc thực hiện các thao tác vượt quá quyền hạn được cấp.	Cisco Secure Workload	Critical
54	CVE-2026-20317	Cisco Secure Workload Software Security Hardening Release August 2026 – Improper Authentication Vulnerabilities	Tồn tại lỗ hổng Improper Authentication trong Cisco Secure Workload, do cơ chế xác thực không thực hiện đầy đủ việc kiểm tra danh tính người dùng, cho phép kẻ tấn công có khả năng vượt qua các cơ chế xác thực hợp lệ để truy cập trái phép vào các chức năng hoặc dữ liệu của hệ thống.	Cisco Secure Workload	Critical
55	CVE-2026-20318	Cisco Secure Workload Software Security Hardening Release August 2026 – Improper Input Validation Vulnerabilities	Tồn tại lỗ hổng Improper Input Validation trong Cisco Secure Workload do ứng dụng không thực hiện đầy đủ việc kiểm tra và xác thực dữ liệu đầu vào, cho phép kẻ tấn công đưa dữ liệu được chế tạo đặc biệt vào hệ thống.	Cisco Secure Workload	Critical
56	CVE-2026-20319	Cisco Secure Workload Software Security Hardening Release August 2026 – Buffer Management Vulnerabilities	Tồn tại lỗ hổng Buffer Management trong Cisco Secure Workload, do ứng dụng xử lý dữ liệu trong bộ đệm không đúng cách, có thể dẫn đến hỏng bộ nhớ trong quá trình xử lý dữ liệu.	Cisco Secure Workload	High

Khuyến nghị:

Thực hiện rà soát và lên kế hoạch cập nhật các bản vá theo hướng dẫn của hãng để đảm bảo an toàn an ninh thông tin hệ thống

4 PHỤ LỤC

Danh sách các IoC liên quan đến các mã độc/ chiến dịch tấn công mới xuất hiện trong tháng 08/2026.

4.1 Danh sách IoCs liên quan đến các chiến dịch tấn công

4.1.1 UAT-10147 tích hợp AI vào hoạt động tấn công mạng

Indicators of Compromise

SHA-256	SHA-1
175e83adc721cd7d634ebd2c63fb8d2404c009067bc7719ef02c5d1f9d81e9a1	182432ab5a69d5a1eb6f03e0744d01b8db5df20a
1f0496ad392b5b9edf9e59a56af4d8e17638ddbb12e086f104d9a0f316ad59a1	5ed199bc61c5bd643cea07ee8fb84abff05be205
37cabc04da36e710dd4aee8609ab7553c039a54dd085460854e9ddb49b0e7032	abbd01f36d8f41d2a44061cb05041a686f84cc54
50232092004b9ad335e1e72e3a6dcfde93c4470007ddfcc637e6e5f899f68be0	55a23c31ca07ef43a1487c76082ed55c29a64a43
73b272612cec9e03a7e2f7516ece600fb1b45b719fa9d93b382ed25ec314e5c0	71235adabb41cee64376fc1c5e031d0dbd43327f
9fa27b231502d6d33441ab54227da50cbd325847ce2272f9c0e79b4ea873e432	d03ac7bf45c4936484f06ff5fbfef52738734ad5
cfce59111338701b2990be9aadc80166ac0618cb57483d6a065f1e2526a34494	7ef15f5321062ceec342e7018125402ea723dfb3
fbe9c6052d7261bd252322e155d86bd370340f1fbb2b0a1e9c7b444f6275614a	N/A
00892f276299a13721642e8a9bcbcb949a658547c6c8271866a1997b79f1e5c5	N/A
23a83c6bbdd7d6c09a5187338065d15f2a90a252772813cba83b9818aa56cef7	N/A
8280502c2c6902e61fc4c02a9a81b4720688449a5bca3d89dbd1e2edd507c69a	N/A
d190b349d791267a9583ba9f4a1ab0e4199d1a3abfd4dae514ed5def0754ba94	N/A

Network Indicators

https[:]//adminapi[.]tippusoni[.]in/4/pr[.]exe

https[:]//adminapi[.]tippusoni[.]in/4/prcc2[.]txt

https[:]//adminapi[.]tippusoni[.]in/4/prcc2[.]rar

https[:]//adminapi[.]tippusoni[.]in/4/dll[.]zip

https[:]//adminapi[.]tippusoni[.]in/4/user[.]txt

https[:]//adminapi[.]tippusoni[.]in/4/back[.]txt

https[:]//adminapi[.]tippusoni[.]in/4/bai[.]txt

https[:]//adminapi[.]tippusoni[.]in/4/svchosts[.]exe

https[:]//adminapi[.]tippusoni[.]in/5/pr[.]exe

https[:]//adminapi[.]tippusoni[.]in/5/bai[.]txt

https[:]//adminapi[.]tippusoni[.]in/5/svchosts[.]exe

https[:]//kl21177[.]com/1/prcc1[.]rar

https[:]//kl21177[.]com/1/dll[.]zip

https[:]//kl21177[.]com/1/user[.]bat

http[:]//139[.]180[.]197[.]150:54321/4/pr[.]exe

http[:]//139[.]180[.]197[.]150:54321/4/bai[.]txt

http[:]//139[.]180[.]197[.]150:54321/4/svchosts[.]exe

139[.]180[.]197[.]150

18[.]140[.]163[.]186

4.1.2 Chiến dịch tấn công của nhóm UAT-10147 triển khai backdoor SPECTRE

Indicators of Compromise

SHA-256	SHA-1
008f28989917a9712657de5675fc024b65cb27536734e9b54ea6c3af00ea70f2	4667ddd8fb2ac7d85cb1576a64f3130dba7f20d7
11ccfdfb0dfe782ba0eeabaa8e65619a792f9258476a072b774ef19a5240b944	e5a406f6b1aaf080b15a196111a52bdabd693fad
1c2edfb1b280fdc570591c88da5b1adbd249be6b8cc306a42525a515adaf73e8	15f90689d943593286765c8ec706609d5b4b61eb
21274d668e28b01172fa326f42e396b825708ddc2336ae388d6729627c525775	a287f1cd3a38c294fb8e23393596dbb8a5c8d392
43124b72616ef38b0c8a07b167e971b0e4479626fb5ef2303b2ed993e21f6c4c	5f665626ca4ae15b9a972669c0ea6fce10a69ba4
50d88f3d8f91f18195f1e9948cf6b47d69d7e19226957b1e7e3b2e4bd7c4fef4	357ec225b9d442a1f6f34173a6961c43d6c6323c
59a386b75b84f137c4e17c37e3430fc93c0184102b3fbdfe649cef2e0335d85b	1ee0504eed2f2da2e13b4d26868c83ca0bcdb313
684e7ed556dcc9e2fe24fcfd73e6b9c29d7126584f87c5331c2607d39e29329f	c598fb8243781097c29784041d124dcfe18d86ab
76df454fe87620dd59efb483a56a8b573c7d16207635cf2616a67e25dab57779	e8882b33a3b656172770ebbcd5c3ac174aa0a460
77cce6576f93961651133b543948ea3853cc2f06b8c3fd523f6858d6d18ad775	554855487fabd1d6c3d4f55f8f33d01a322f6829
830c6ca21a7da0eed436f8371c8a86baa62ab857a5478a222dd3189645d4d084	ab55db484e3f3df797efa121d8d5e1be9c1f2a05
91d00ca46d1013c031aa8ff2e54b7b3496bac78f6147842766bffd4d32a2e042	30a1ca6af8da41d927efd3d0745f573cd4c79dd9
7565a5bc56fcd94c7f52cf7428747cd4f52d0d3b485900d3d9b06b470ccba23b	d373845cbcb6ff5435bff297f647d26f8efd971c
b74beab9dac9ee7853b5e846eec6f778db01867b49f64d6be259ea9e19006121	4a364e4fdcc2d8e74c628a7f37e383327b177aff
bfbd1aa2c0ace1575e86dc5cedc0754e4ae4aae97e70ac9f0523a2e8e8b22ed9	b7f5031b425ae8a77f5bddc8800e9493f12bb34e
c88dab534081650d5a385f9bc5c61eced41b4e9fe63ace6173aa536c4aaffa67	9088821e1f25fb58ef2559f64c8e0fb8b680b2a3
cf0a6353f1fccf63fca02ed41eafd3da8d55f77b8b4c45666a37fa3cdc33da55	fabe78955c45684063f49734ae7d4df764d99fc5
41f1514ad52c870bc4b51291cb939067e8ace23ec308419253ee0a2497bf2e21	90d1eef3c922997f5a4de219ef9ebe4cb03b75e7
dd4c16c65513c3eb66691f87d5bb5595d38554395ec89be2b9e325e013ef53d5	8785e274630a8e03f038e4636b121dd611551ab6
dee976f262498184d746cc8305cc9e6905ad762c661df8d7daec120f14060b41	9efc40eac456d96b9662d724091a8cc72475802a
2e9f10f5cc9fb5c9f935ee78a21de70168e398b7a47db54373a5dcb19c485398	N/A
e315f955a9b44a9c875d2e47f2a91e9e77043bd553ad616ada38eaf669d44b2e	23cdbbad4ed12bdf4b9badcc30d9f55a04409585
58725b8e592435026928c39622f41b7ad4f4dc62e353eb459c3b4858eafd9e82	f959da290857215f1ab5b73f11b11a880bff771c
544a7d9d4de3904ad35e6cc87f34cb556fda722c3d3cae1a6334645f1a950cc7	ce3c88c5dcfc1b0cf87277b679f23acb69fe1b9d
9a8e9d587b570d4074f1c8317b163aa8d0c566efd88f294d9d85bc7776352a28	c0408da553d905857ac4f559b0438b99316f1bda
722bd55e1496cb614f4f365a4203da6166c637f2c6b9ec0da3844637bc6e9e9d	N/A
0345406e85aa7759c0af0372c23de0c5f3e9b6d53e970405e5c168f55c51a7e0	8993df22b270d82d5a39b69e92cabb22b7fb0f28
23a7adda56e2e5519e01f57f16f99e4be611aac4fa908f2ee2d99e3d96e14865	0eaf2a9715611fb8a42e510b726b0553ed4d3a7b
9619259c1ea9b1c6b8279fdb761018b14a41acc94f67f1469bf68bf393b4ba74	f92daa4cdb75389e25d00d8629eb63909f7746db
f07d869ddd17d4359e26da43574d0d07987b500a390196b72b3c1747a4cbb3bf	4f5393b8069658303bc8c46baa0638a62ba4e1f3
d0da3be9de8e7068a65247b8195d73e88f454820e13c1de62675e1f845d6fabf	3ce56c7e82b916544c33b328720f5c5a0b8cf7e9
0f56c703e9b7ddeb90646927bac05a5c6d95308c8e13b88e5d4f4b572423e036	668c40bb6c792b3502b4eefd0916febc8dbd5182
35c960bda30ceeb22216fad7776b43ecf44aaccf2ff7f600f91a1afb49a8a43c	682d5cb62d005a00a1587d85990f9a3cec4bcca3
7172ebfb4e96e3b0bff59e87f670c5512144d445b276746c8c78593272720ebf	5c60c814a947b5ac86972f3f4a0415a4d04f66b1
b02664c71d1a40760ff6eb253d1a9022d93262698d528d95e8983bf848b8827b	e7237d153ad56ebe55406479860ce52e77645aff
dbe956ae1135e81ae06220393ee80caacc62006295a1fb26e87f048a7a78b81b	N/A
4bbba075f56ee15760b1397100a82f2c7425b866cf1a35684fda5b712783f97b	N/A
1c70b2a55b6f3a3382f40fe15293b609d047103b0c6c7da0049f7c0e365ea880	N/A
fc54b68f0a375600c8ab23d894b56837db287b32209c0a455fb439a780593c80	N/A
b0c1c3b806a60807854173f2199ba49baf5c2729051b14e4725cb90cfc755519	N/A
089b19f7760a53272f580432460dc959cbb8ffb87bde43152795ff5d893debdd	3d5dde168faca5b301b6e7cc9c0f83ab1292c0aa
1fc83b41d201bfbc4db94e332e0c770be9d74591d9817c1b938ccdf17c7a48a9	54df6895b4c46ed3f982a3215d6e3da8d5f038b4
fea09e46f6adf23aa17c56faa14d19168b5417ed90d7b2b36f2c8dd5f6014ea7	3e8a26b7e092e16ce078911031bc43dc07f171e6

Network Indicators

https[:]//js[.]jyzyps[.]com/js/vnnb[.]js

https[:]//js[.]jyzyps[.]com/js/nb[.]js

http[:]//vn[.]mma888[.]cc/

http[:]//thceshi[.]healthsave[.]net

http[:]//www[.]xxxx[.]vip

http[:]//spider[.]xxxx[.]com

vip8888vn[.]xyz

b[.]niupilao[.]vip

vip[.]niupilao[.]vip

udvyiwvfs[.]cyou

27.124.2[.]46

27.124.2[.]48

27.124.2[.]52

139.180.197[.]150

4.1.3 Chiến dịch triển khai mã độc EtherRAT của nhóm The Gentlemen

Indicators of Compromise

SHA-256

ee6807a8abfabced22ee026e178a28da64d13cc3408e224394ff6e5782fb9e1d

f659681525debda69fe0865b2b27a42f684b1fda66aa7398e80b84cc765c73c7

7567994310a9576b1f98dc672ecfa038f1d65084315f59e3883f9b6f24000073

73955566338adffb423c3b7608792963080da780e8b7b2c2cd6b6b0cef6f217f

86881b8e9d197ac2f734792de48d5dfaebe7cafb6e35d49c5dd7fe6eb697230e

f609621698eaad8c4683750fe8bd0e242349be3eea408da593151ff877ed8ab6

fb94688ed37dfcb985a8a4d720230e5150956e1788d579b0a54b53a153fd2f2e

c7a80576fbd25057435652788591d13998da272edf627fc29d296684cefc50e5

bd61c2880920bbfb86c12df439dd1ca0258a10e532433698fd029aef2a5b33f2

f4c87a1df04274b7497cbf9a4619b946c915cf5210b6e2eaa2fee1629f4ff196

756c2096f54c5497110c9d854625c3ed592873e566d532077cd7adb4d10d4add

Network Indicators

itemrange[.]com

wiselystarting[.]com

simultaneouslypower[.]com

resumeacceptable[.]com

publisherresolution[.]com

193.233.202[.]17

146.103.127[.]44

77.110.126[.]46

77.110.122[.]137

77.110.122[.]58

38.110.228[.]43

38.110.228[.]125

38.110.228[.]33

185.117.72[.]215

185.45.193[.]151

50.114.167[.]112

4.1.4 Chiến dịch tấn công chuỗi cung ứng npm nhằm phát tán mã độc Shai-Hulud

Indicators of Compromise

SHA-256	SHA-1
54dc7ea54a1317cca0e890a2770630cf7fa6c97813e0cb9d2caa93012b350668	e65b155ce74f3f81fb7d2b5b60f8e62b36e6d69c
fd3ca4007b225fdf8de7af4345a19179d5efa8c4bb9205f88cda806e5684b1eb	f525d52ceb966516686b482d3dc0137028cc6a63
9fc2570b7cef51c1b8df116d144d11ff4096357be7d2c4c6367cfc2509cf1bcc	35a672cf34b996b91f3e1c28cbf3a05a37e036e4

Network Indicators

https://npm-cache[.]com:443/router

eth-mainnet.nodereal[.]io

4.1.5 Chiến dịch khai thác lỗ hổng trên VMware nhằm triển khai mã độc tống tiền Babuk-Derived

Indicators of Compromise

SHA-256	SHA-1
6687083075c0dfcd86d4e0f5541550e29987de5e729efd5687ab0db1cd116b2c	c51f9dcbd6e741f2fc7d40868e110521774703e0
c12aca098523f4f154ff68665d7a3df535319020658bdb2d7bc45aecc1b2c5ff	66b6cb459a670683ed350f5f7e9645868e6aa905
0c9cd278ef88900ddef671bceac1b4fba28a2ba569c3a1702d295ce4b413ef87	515f8d550c77da93ba5d227637a9c8abe6ffe9ec
11de7c836c3a34d18822a4b31d4ccc4a9560ac2eb7b558b6aebb6885e81f9691	19cd6105d5dc7032f0781efe3bdf543a8f9a4799
c7813ccf87bacb15b0bebe0ca6401b7ac547e186796cb874e32d2452c6cf6a9d	9530e6c791ae8c3725e93ccd5181048be5fd7e3c

Network Indicators

146.59.252[.]178

5.34.177[.]38:9861

185.144.28[.]120:3232

192.255.141[.]13:8080

5.34.176[.]100:5244

intel[.]se9ly9upbhay[.]shop:8080/ws

4.2 Danh sách IoCs liên quan đến mã độc

4.2.1 Chiến dịch phishing phát tán mã độc Remcos

Indicators of Compromise

SHA-256

e29a665cd6f2567f651880b2f5a054d474d639de8ed9005c52268bd0b49487ba

279e14ad7bad135f7b63e17c355c969116c2db600967061bbab107f66d62dbb6

b857821ade3427a9fd9d83f42150344bc905bda8328fa66ba49d499af64f23ee

MD5

CC34D9760394104AD47877A0D57E9C63

2a34bdd25b404737ee5d3b52bf0b3b70

Networks Indicators

185[.]242[.]4[.]122

4.2.2 Phân tích chiến dịch phát tán mã độc của nhóm APT Kimsuky

Indicators of Compromise

SHA-256	SHA-1
ef2ecace73eb74f73be2ef2d3a7b13ad716f7a1651e9b2399071a6362e425694	f2321f2820e755c26d8cbae4d208e82e550868e9
6e85664b343bef5c5355850798a40655370781c251073a0adf34ac3c707b0ebe	644b3a6aa40655e617f643a0cef3003b57d25000
ce2dc95049d3499b81c35fe2cd1a95278138d2b3d9bbe5d096aaa875bcfc35b0	36d2a160579606c465c34f78ff5c97325a5182a4
675d09b3f3cf772b81965238e3ee64524ba51aa3dfa599ea30a3a6df579156cd	601de50f57713ebb1d45176090f946ceacde8935
35c22c4bd50cecfdabf20b2c16ef276dda37553803968e48ff67058b7a27267f	2fec0c0a445d01eefaefc89f838d15b589aa1315
73bcfe9209ed2bc8ce817319091c53f68dfd892b67bc77b4012cc35b09174719	3cb74dad2951af0944691c022a06469b441a6f8a

Network Indicators

https://link24[.]kr/4Fv8pBF

https://lutkdd[.]corpsecs[.]com/

THÔNG TIN CÁC MỐI ĐE DỌA BẢO MẬT THÁNG 08 – 2026

CÔNG TY CỔ PHẦN CÔNG NGHỆ
AN NINH MẠNG QUỐC GIA VIỆT NAM

VIETNAM NATIONAL CYBER SECURITY TECHNOLOGY CORPORATION

Thông tin liên hệ

DỊCH VỤ

SOCIAL MEDIA

GIẢI PHÁP

CHÍNH SÁCH

TIN TỨC - BLOG

Thông tin liên hệ

Điện thoại:
024 85 888 000

Email:
info@ncsgroup.vn

THÔNG TIN CÁC MỐI ĐE DỌA BẢO MẬT THÁNG 08 – 2026

1 CÁC MỐI ĐE DỌA NÂNG CAO – ADVANCED THREATS

1.1 UAT-10147 tích hợp AI vào hoạt động tấn công mạng

1.2 Chiến dịch tấn công của nhóm UAT-10147 triển khai backdoor SPECTRE

1.3 Chiến dịch triển khai mã độc EtherRAT của nhóm The Gentlemen

1.4 Chiến dịch tấn công chuỗi cung ứng npm nhằm phát tán mã độc Shai-Hulud

1.5 Chiến dịch khai thác lỗ hổng trên VMware nhằm triển khai mã độc tống tiền Babuk-Derived

2 MALWARE

2.1 Chiến dịch phishing phát tán mã độc Remcos

2.2 Chiến dịch phát tán mã độc của nhóm APT Kimsuky

3 LỖ HỔNG BẢO MẬT

3.1 Microsoft Patch Tuesday – August 2026

3.2 Ứng Dụng Web Và Các Sản Phẩm Khác

4 PHỤ LỤC

4.1 Danh sách IoCs liên quan đến các chiến dịch tấn công

4.1.1 UAT-10147 tích hợp AI vào hoạt động tấn công mạng

4.1.2 Chiến dịch tấn công của nhóm UAT-10147 triển khai backdoor SPECTRE

4.1.3 Chiến dịch triển khai mã độc EtherRAT của nhóm The Gentlemen

4.1.4 Chiến dịch tấn công chuỗi cung ứng npm nhằm phát tán mã độc Shai-Hulud

4.1.5 Chiến dịch khai thác lỗ hổng trên VMware nhằm triển khai mã độc tống tiền Babuk-Derived

4.2 Danh sách IoCs liên quan đến mã độc

4.2.1 Chiến dịch phishing phát tán mã độc Remcos

4.2.2 Phân tích chiến dịch phát tán mã độc của nhóm APT Kimsuky

CÔNG TY CỔ PHẦN CÔNG NGHỆ AN NINH MẠNG QUỐC GIA VIỆT NAM

VIETNAM NATIONAL CYBER SECURITY TECHNOLOGY CORPORATION

DỊCH VỤ

SOCIAL MEDIA

GIẢI PHÁP

CHÍNH SÁCH

TIN TỨC - BLOG

Thông tin liên hệ

Điện thoại:024 85 888 000

Email:info@ncsgroup.vn

CÔNG TY CỔ PHẦN CÔNG NGHỆ
AN NINH MẠNG QUỐC GIA VIỆT NAM

Điện thoại:
024 85 888 000

Email:
info@ncsgroup.vn