Ngày 7/11/2026, Kaspersky công bố phát hiện mã độc NetamLoader, một chiến dịch tấn công nhắm vào phiên bản Windows 10 chuyên dụng của một cơ quan chính phủ ở châu Á. Điểm đáng chú ý không nằm ở độ "ồn ào" mà ở cách kẻ tấn công che mình: chúng mượn chính các thành phần của công cụ quản lý bản vá Patch My PC để chạy mã độc. Với bất kỳ đội IT nào đang dùng công cụ tự động hoá cập nhật, đây là câu chuyện đáng đọc kỹ.
NetamLoader được phát hiện như thế nào
Theo báo cáo của nhóm nghiên cứu Kaspersky GReAT mà GenK (lại theo VTC News) dẫn lại, mẫu mã độc này xuất hiện từ nửa đầu năm 2026. Nó nằm trong một tệp lưu trữ CAB đặt ở thư mục Windows, đúng nơi hệ điều hành thường chứa các gói cập nhật, nên thoạt nhìn khó gây nghi ngờ.
Bên trong tệp CAB là chương trình PatchMyPC-ScriptRunner.exe cùng các tệp cấu hình và thư viện đi kèm. Đây đều là thành phần của một công cụ hợp pháp, nhưng kẻ tấn công đã cài cắm thêm những phần độc hại bên cạnh chúng.
Cách mượn phần mềm hợp pháp để chạy mã độc
Khi PatchMyPC-ScriptRunner.exe được khởi chạy, kẻ tấn công dùng kỹ thuật AppDomainManager Injection. Nói đơn giản, ứng dụng .NET hợp pháp bị "dẫn" qua tệp cấu hình để nạp và thực thi các thành phần độc hại, trong khi bản thân chương trình vẫn mang chữ ký và tên tuổi quen thuộc.
Từ đó, chuỗi lây nhiễm diễn ra theo từng lớp: các thành phần giải mã, giải nén nhiều lớp dữ liệu đã mã hoá, rồi lần lượt nạp các mô-đun để hoàn tất việc cài đặt. Cách chia nhỏ này khiến việc phân tích và phát hiện bằng chữ ký tĩnh trở nên khó hơn.
Né tránh phát hiện: AMSI, dllhost.exe và xoá dấu vết
NetamLoader không chỉ ẩn mình lúc khởi chạy mà còn làm nhiều việc để tránh bị phát hiện về sau:
- Vô hiệu hoặc can thiệp vào AMSI (Antimalware Scan Interface), cơ chế giúp các giải pháp bảo mật kiểm tra mã trong lúc thực thi.
- Chuyển sang tiến trình dllhost.exe, một tiến trình hợp lệ của Windows, để hoạt động của nó lẫn vào các tiến trình hệ thống bình thường.
- Xoá bớt dấu vết, gồm nhật ký hoạt động của .NET và dữ liệu bộ nhớ đệm Prefetch của Windows, gây khó cho điều tra sau sự cố.
Sau khi triển khai xong, mã độc kết nối tới máy chủ điều khiển (C2) để nhận lệnh hoặc tải thêm mã thực thi. Theo Kaspersky, nó được cấu hình chờ 20 đến 40 phút mới kết nối lần đầu. Nếu không có phản hồi hợp lệ, nó có thể im lặng 22 đến 28 giờ trước khi thử lại. Kiểu liên lạc thưa thớt này giúp lưu lượng bất thường khó lọt vào những khung giám sát ngắn.
Chưa rõ quy mô, và Patch My PC chưa bị cho là bị xâm nhập
Cần đọc tin này với đúng mức độ chắc chắn. Kaspersky mới xác định được một hệ thống bị ảnh hưởng ở châu Á, chạy bản Windows 10 tuỳ chỉnh dành cho cơ quan chính phủ. Quốc gia và đơn vị bị nhắm tới không được công bố.
Chưa đủ dữ liệu để đánh giá phạm vi lây nhiễm thực tế, và cũng chưa có bằng chứng cho thấy dữ liệu nhạy cảm đã bị lấy cắp. Các nhà nghiên cứu nghi ngờ vụ việc liên quan đến tấn công chuỗi cung ứng phần mềm, tuy nhiên chưa tìm thấy dấu hiệu nhà phát triển Patch My PC hay hệ thống phân phối của họ bị xâm nhập. Nói cách khác, công cụ này bị lợi dụng chứ chưa có kết luận rằng nó bị "đầu độc" từ gốc.
Vì sao doanh nghiệp phần mềm nên quan tâm
Bài học chính là ranh giới giữa "phần mềm đáng tin" và "phần mềm bị lạm dụng" rất mỏng. Công cụ quản trị, tập lệnh cập nhật và trình cài đặt thường được cấp quyền cao và hay nằm trong danh sách ngoại lệ của hệ thống bảo vệ. Kẻ tấn công biết điều đó và nhắm đúng vào khoảng trống này.
Với các đội vận hành, điều này thay đổi cách đặt câu hỏi: không chỉ "tiến trình này có phải phần mềm hợp pháp không", mà còn "nó đang chạy từ đâu, do ai gọi và có nên kết nối ra ngoài không". Tình huống tương tự đã xuất hiện ở nhiều vụ gần đây, ví dụ vụ DreamHost bị lộ phiên đăng nhập và email khách, nơi một lỗ hổng bị khai thác âm thầm suốt nhiều tháng.
Những việc nên làm ngay
Kaspersky và bài viết gốc nhấn mạnh việc mở rộng bảo vệ từ từng máy tính sang toàn bộ hệ sinh thái phần mềm. Từ đó, đội IT có thể rà soát theo các hướng sau:
- Kiểm tra nguồn gốc và tính toàn vẹn của gói cập nhật trước khi triển khai, không mặc định tin mọi tệp nằm trong thư mục hệ thống.
- Chỉ cho phép công cụ quản trị phần mềm chạy từ các vị trí được phê duyệt, ví dụ bằng allowlist theo đường dẫn.
- Giám sát hành vi bất thường của tiến trình hợp pháp, chẳng hạn dllhost.exe tạo kết nối ra ngoài hoặc công cụ .NET nạp thư viện lạ.
- Theo dõi kết nối tới máy chủ bên ngoài, kể cả những kết nối rất thưa và có độ trễ dài.
- Rà soát cấu hình và tệp .config đi kèm các ứng dụng .NET, vì đây là điểm bị lợi dụng trong kỹ thuật AppDomainManager Injection.
Ngoài ra, nên kết hợp với các thói quen cơ bản như đào tạo nhân sự nhận biết email lừa đảo; bạn có thể xem cách nhận biết email và tin nhắn lừa đảo (phishing). Với đội phát triển, việc cập nhật kịp thời thư viện cũng quan trọng không kém, như trong trường hợp Next.js vá hai lỗ hổng RCE nghiêm trọng.
Kết luận
NetamLoader cho thấy kẻ tấn công ngày càng ưa dùng chính công cụ quản trị của bạn để làm bàn đạp, thay vì mang theo những công cụ lạ dễ bị chặn. Dù hiện mới ghi nhận một trường hợp và chưa rõ mức độ thiệt hại, các biện pháp như kiểm soát vị trí chạy, giám sát hành vi tiến trình và theo dõi kết nối ra ngoài đều đáng triển khai ngay.
Nếu doanh nghiệp bạn cần rà soát quy trình cập nhật phần mềm hay xây dựng hệ thống an toàn ngay từ khâu thiết kế, hãy liên hệ đội ngũ Besoft để được tư vấn.
Nguồn tham khảo
- GenK / VTC News, "Mã độc mới nhắm vào hệ thống Windows của cơ quan chính phủ tại châu Á", 7/11/2026: https://genk.vn/ma-doc-moi-nham-vao-he-thong-windows-cua-co-quan-chinh-phu-tai-chau-a-16526110717140312.chn
- Nghiên cứu gốc: Kaspersky GReAT (được dẫn lại trong bài trên).
