Phát hiện mã độc mới tinh vi tấn công hệ điều hành Windows

Một chiến dịch tấn công mạng có chủ đích, nhắm thẳng vào phiên bản Windows 10 được tùy biến riêng cho các cơ quan chính phủ tại một quốc gia châu Á vừa bị phát hiện. Theo hãng bảo mật Kaspersky ngày 5-11, cuộc tấn công sử dụng một bộ khung mã độc hoàn toàn mới chưa từng được ghi nhận trước đây, mang tên NetamLoader. 

Đáng chú ý, thay vì tấn công trực diện bằng các tập tin lạ dễ bị phần mềm quét vi rút chặn lại, kẻ xấu đã áp dụng chiến thuật "mượn tay" các thành phần hợp pháp trong hệ thống để kích hoạt mã độc.

"Mượn" phần mềm hợp pháp để ẩn mình

Vụ việc bắt đầu từ nửa đầu năm 2026 khi các chuyên gia bảo mật phát hiện một tập tin cấu hình bất thường nằm lẫn trong thư mục cập nhật (update) của Windows. Đi kèm tệp này là các chương trình hoàn toàn "sạch", bao gồm cả thành phần phần mềm có chữ ký số xác thực của Microsoft và công cụ quản lý bản vá bên thứ ba.

Bằng cách can thiệp tinh vi vào các tệp hỗ trợ phụ trợ, tin tặc đã biến chính những chương trình đáng tin cậy này thành "công cụ" tải xuống và thực thi lệnh độc hại. 

Phân tích ban đầu cho thấy nhiều khả năng đây là một cuộc tấn công chuỗi cung ứng - tức nhắm vào quy trình phân phối hoặc đóng gói các bản cập nhật phần mềm thay vì thâm nhập máy tính theo cách truyền thống.

Đặc biệt, mã độc này được "đo ni đóng giày" riêng cho hệ điều hành đặc thù của cơ quan công quyền: nó có khả năng tự động xóa các bản ghi lịch sử cập nhật để triệt tiêu mọi dấu vết điều tra.

Ẩn thân nhiều lớp và chiến thuật "chờ đợi kiên nhẫn"

Các chuyên gia an ninh mạng đánh giá NetamLoader là một công cụ gián điệp mạng cực kỳ nguy hiểm bởi kỹ thuật ngụy trang tinh vi. Sau khi vượt qua các lớp bảo vệ bằng nhiều tầng mã hóa và nén dữ liệu, mã độc sẽ tự nhúng vào các tiến trình hợp pháp đang chạy của Windows.

Không chỉ vô hiệu hóa tính năng quét mã độc của hệ điều hành, NetamLoader còn chủ động xóa các tệp dữ liệu có thể giúp chuyên gia phục dựng lại hiện trường cuộc tấn công.

Để qua mặt các hệ thống giám sát lưu lượng mạng thông thường, mã độc sử dụng cơ chế giãn cách thời gian rất khó chịu: sau khi kích hoạt, nó sẽ chờ từ 20 - 40 phút mới gửi tín hiệu kết nối đầu tiên về máy chủ điều khiển từ xa.

Nếu không nhận được phản hồi, nó sẽ "ngủ đông" tiếp từ 22 - 28 tiếng rồi mới thử lại. Chu kỳ liên lạc kéo dài hàng chục tiếng đồng hồ này khiến các công cụ giám sát mạng ngắn hạn hầu như không thể phát hiện bất kỳ dấu hiệu bất thường nào.

Thách thức cho bài toán tự chủ công nghệ

Nhận định về vụ việc, ông Sergey Lozhkin - Giám đốc Trung tâm Nghiên cứu Kaspersky GReAT khu vực APAC và META - cho rằng việc tự chủ công nghệ và xây dựng các hệ điều hành, nền tảng số riêng đang là xu hướng tất yếu của các chính phủ.

Tuy nhiên, tự vận hành nền tảng riêng cũng đi kèm thách thức an ninh khổng lồ. "Việc bảo vệ toàn bộ hệ sinh thái xung quanh - từ các kênh phát hành bản cập nhật cho đến những công cụ bảo trì của bên thứ ba - đòi hỏi rất nhiều thời gian và nguồn lực hoàn thiện.

Sự cố này là lời nhắc nhở rằng các đội ngũ bảo mật cần giám sát chặt chẽ mối liên hệ và hành vi tương tác giữa các phần mềm, thay vì chỉ đơn thuần kiểm tra tính hợp pháp của từng chương trình đơn lẻ", ông Lozhkin nhấn mạnh.