Cảnh báo chủng mã độc đặc biệt nguy hiểm

Hà Nội cảnh báo 2 chủng mã độc RedHook và StormEncryptor có khả năng chiếm quyền điều khiển điện thoại Android, đánh cắp OTP, thực hiện giao dịch ngầm hoặc phát tán mã độc tống tiền trên diện rộng. Tại Đồng Nai, 42.676 mã độc đã được cô lập, xử lý trong 8 tháng đầu năm 2026.

Người dùng không bấm vào liên kết lạ qua Email, SMS, Zalo và các ứng dụng OTT; không tải APK từ nguồn không rõ ràng. Ảnh minh họa

Khi chức năng hợp pháp bị biến thành công cụ tấn công

Ngày 26/8, Công an thành phố Hà Nội phát đi cảnh báo một số chủng mã độc đặc biệt nguy hiểm đang được các nhóm tin tặc khai thác, nhắm vào thiết bị di động của người dùng và hệ thống thông tin của cơ quan, đơn vị, doanh nghiệp. Đáng chú ý là RedHook và StormEncryptor, với 2 phương thức tấn công khác nhau nhưng đều hướng tới mục tiêu chiếm quyền kiểm soát, đánh cắp dữ liệu và gây thiệt hại trực tiếp.

RedHook, được phát hiện từ đầu tháng 8/2026, là dòng mã độc gián điệp (Spyware/Trojan) thế hệ mới, nhắm vào thiết bị Android. Mã độc phát tán chủ yếu qua SMS giả mạo, các ứng dụng nhắn tin OTT như Zalo, Telegram hoặc website mạo danh Cổng dịch vụ công Quốc gia, Cổng dịch vụ công thành phố Hà Nội, eTax Mobile, VNeID và các ngân hàng thương mại.

Sau khi người dùng tải tệp APK độc hại, RedHook tìm cách lừa cấp quyền “Accessibility Services”. Khi có quyền này, mã độc có thể kiểm soát giao diện người dùng mà không cần root thiết bị, đồng thời tự động thực hiện thao tác cảm ứng để cấp thêm các quyền như đọc, gửi SMS, truy cập danh bạ, nhật ký cuộc gọi, bộ nhớ, ghi âm và vẽ đè màn hình.

Nguy hiểm hơn, RedHook có khả năng quay màn hình, ghi thao tác bàn phím (Keylogging), đọc tin nhắn chứa mã OTP, mật khẩu ngân hàng và thông tin cá nhân. Mã độc còn có thể tự kích hoạt ứng dụng ngân hàng, khởi tạo lệnh chuyển tiền, điền OTP và duyệt giao dịch mà nạn nhân không hay biết. Việc đăng ký sự kiện BOOT_COMPLETED giúp các tiến trình độc hại tự kích hoạt trở lại sau khi thiết bị khởi động.

Nếu RedHook biến điện thoại thành công cụ giám sát và chiếm đoạt tài khoản, StormEncryptor lại nhắm vào cả hệ thống mạng. Mã độc tống tiền này được phát hiện ngày 11/8/2026, do nhóm tin tặc Storm-1175 triển khai, nhằm vào máy chủ Windows Server và máy trạm Windows Clients trong mạng nội bộ.

Theo Công an thành phố Hà Nội, StormEncryptor khai thác lỗ hổng CVE-2026-18577 trên nền tảng giám sát và quản trị từ xa N-able N-central để chiếm quyền quản trị trung tâm. Từ máy chủ N-central bị khống chế, tin tặc lợi dụng chính chức năng triển khai phần mềm tự động để “push” mã độc xuống hàng loạt máy trạm và máy chủ.

CVE-2026-18577 liên quan đến việc bỏ qua xác thực và chiếm quyền tài khoản quản trị N-central. N-able đã phát hành các bản hotfix trong tháng 8, trong đó Hotfix 2 ngày 6/8 bổ sung biện pháp gia cố và thay thế Hotfix 1.

StormEncryptor tiếp tục ngừng các dịch vụ bảo mật, sao lưu, xóa bản lưu dự phòng Shadow Copies, mã hóa dữ liệu và để lại thông điệp tống tiền. Trước khi mã hóa, tin tặc còn trích xuất dữ liệu nhạy cảm để đe dọa công bố. Đây là mô hình “tống tiền kép”, khiến nạn nhân vừa mất quyền truy cập dữ liệu, vừa đối mặt nguy cơ dữ liệu bị phát tán.

Điểm đáng lưu ý về mặt công nghệ là cả 2 phương thức đều tận dụng những chức năng hợp pháp của thiết bị và hệ thống. RedHook lợi dụng quyền trợ năng để điều khiển điện thoại, trong khi StormEncryptor khai thác công cụ quản trị từ xa để phát tán mã độc. Điều này khiến việc phòng thủ không thể chỉ dựa vào phần mềm diệt mã độc, mà phải kiểm soát chặt quyền truy cập, phần mềm và các điểm quản trị tập trung.

Không để mã độc lan rộng từ một điểm yếu

Thực tế tại Đồng Nai cho thấy quy mô mối đe dọa đang rất lớn. Theo Công an thành phố Đồng Nai, trong 8 tháng đầu năm 2026, trên địa bàn xảy ra 4 vụ mã độc tấn công tống tiền (Ransomware) tại các doanh nghiệp. Lực lượng chuyên trách an ninh mạng đã phát hiện, ngăn chặn hơn 6,5 triệu lượt kết nối nghi vấn; cô lập, xử lý 42.676 mã độc, trong đó có 2.546 mã độc nghiêm trọng nhằm mã hóa dữ liệu, đánh cắp thông tin.

Cùng với đó, một số hệ thống vẫn tồn tại lỗ hổng bảo mật chưa được khắc phục kịp thời; việc kiểm tra, giám sát, đánh giá an toàn thông tin chưa thường xuyên. Công tác sao lưu dữ liệu, xây dựng phương án dự phòng và diễn tập ứng cứu sự cố tại một số đơn vị còn mang tính hình thức.

Đây là những khoảng trống đặc biệt đáng chú ý khi mã độc có khả năng tự động hóa quá trình lây nhiễm. Một thiết bị bị nhiễm có thể trở thành điểm xâm nhập vào mạng nội bộ; một máy chủ quản trị bị chiếm quyền có thể trở thành trung tâm phát tán mã độc tới hàng loạt thiết bị.

Để nâng cao năng lực ứng phó, Đồng Nai tổ chức lớp tập huấn chuyên sâu về an toàn thông tin mạng từ ngày 24 đến 28/8, với 9 chuyên đề về giám sát nguy cơ, phân tích và xử lý sự cố, phòng chống mã độc và ransomware, vận hành an toàn hệ thống, điều phối ứng cứu và diễn tập tình huống thực tế.

Với người dùng, Công an thành phố Hà Nội khuyến cáo người dùng tuyệt đối không bấm vào liên kết lạ qua Email, SMS, Zalo và các ứng dụng OTT; không tải APK từ nguồn không rõ ràng; chỉ cài đặt ứng dụng từ Google Play Store hoặc Apple App Store và kiểm tra kỹ quyền ứng dụng.

Nếu điện thoại xuất hiện ứng dụng lạ, tự thao tác, nóng bất thường, mất tiền không rõ nguyên nhân hoặc có thông báo Wireless Debugging, cần lập tức cách ly mạng, không tiếp tục nhập mật khẩu hay OTP và dùng thiết bị sạch để liên hệ ngân hàng khóa tài khoản.

Đối với máy tính, máy chủ, khi phát hiện sự cố cần ngắt kết nối mạng hoặc VLAN để hạn chế lây lan. Không khởi động lại máy chủ khi chưa sao lưu RAM; đồng thời lưu giữ log, tệp APK hoặc dữ liệu bị mã hóa để phục vụ phân tích. Sau xử lý, cần cài đặt lại môi trường sạch, vá lỗ hổng và khôi phục dữ liệu từ bản sao lưu offline theo quy tắc 3-2-1.

Trong bối cảnh mã độc ngày càng khai thác chính các chức năng hợp pháp của thiết bị và hệ thống, phòng thủ hiệu quả phải bắt đầu từ những lớp cơ bản: quản lý quyền truy cập, cập nhật và vá lỗ hổng, giám sát bất thường, sao lưu độc lập và duy trì năng lực ứng cứu sự cố. Đây cũng là cách hạn chế một điểm yếu đơn lẻ trở thành cửa ngõ cho một cuộc tấn công trên diện rộng.

https://daidoanket.vn/canh-bao-chung-ma-doc-dac-biet-nguy-hiem.html

Theo daidoanket.vn