Các tin tặc đang khai thác một lỗ hổng nghiêm trọng mới được phát hiện gần đây (CVE-2026-48558) trong SimpleHelp để triển khai Djinn Stealer, một phần mềm đánh cắp thông tin đa nền tảng chưa từng được biết đến, nhắm mục tiêu vào các hệ điều hành Windows, macOS và Linux.lloox

Phiên bản mới của CloudZ RAT đang triển khai một plugin độc hại mới có tên Pheno, nhằm chiếm quyền kiểm soát kết nối Microsoft Phone Link để đánh cắp các mã nhạy cảm từ thiết bị di động.

Trong bối cảnh xung đột tại Trung Đông liên tục leo thang và thu hút sự chú ý toàn cầu, không gian mạng cũng trở thành “mặt trận” mới bị các tác nhân đe dọa khai thác. Lợi dụng tâm lý quan tâm đến các diễn biến nóng, tội phạm mạng đã nhanh chóng triển khai hàng loạt chiến dịch độc hại, từ phát tán phần mềm gián điệp, xây dựng trang web tin giả cho đến các chiêu trò lừa đảo tài chính. Báo cáo mới đây của Zscaler cho thấy hàng nghìn tên miền liên quan đến chủ đề xung đột đã được đăng ký chỉ trong thời gian ngắn, nhiều trong số đó có thể trở thành công cụ cho các cuộc tấn công mạng trong thời gian tới. Trong bài viết này chúng ta sẽ xem xét nhiều trường hợp liên quan như vậy.

Vừa qua, Qrator Labs đã chia sẻ thông tin chi tiết về Aeternum C2, một botnet loader mới được phát hiện gần đây, dựa vào Polygon Blockchain để liên lạc với máy chủ điều khiển và ra lệnh (C2), nhờ đó tăng cường khả năng chống lại các chiến dịch trấn áp của các lực lượng thực thi pháp luật.

Nhóm tin tặc SloppyLemming được cho là thủ phạm của một loạt các cuộc tấn công mới nhắm vào các cơ quan chính phủ và nhà điều hành cơ sở hạ tầng trọng yếu tại Pakistan và Bangladesh.

Vào tháng 10/2025, hãng bảo mật Kaspersky phát hiện một loạt bài đăng trên diễn đàn web đen quảng cáo một phần mềm đánh cắp dữ liệu chưa từng được biết đến trước đây, với tên gọi là “Arkanix Stealer”, hoạt động theo mô hình MaaS (phần mềm độc hại dưới dạng dịch vụ), cung cấp cho tác nhân đe dọa quyền truy cập vào bảng điều khiển với các payload và số liệu thống kê có thể cấu hình. Bộ phần mềm này bao gồm một công cụ khai thác trên trình duyệt có tên ChromElevator, được biên dịch bằng ngôn ngữ C++ của Arkanix Stealer. Phiên bản này có nhiều tính năng, từ thu thập thông tin hệ thống đến đánh cắp dữ liệu ví tiền điện tử. Bên cạnh đó, hãng bảo mật cũng đã phát hiện ra phiên bản Python của Arkanix Stealer có khả năng sửa đổi cấu hình một cách linh hoạt. Phiên bản này thường được đóng gói và cung cấp cho kẻ tấn công nhiều phương pháp để phân phối mã độc. Dựa trên báo cáo của Kaspersky, bài viết này sẽ cùng khám phá về đặc điểm và hoạt động của Arkanix Stealer.

Một mẫu mới của phần mềm độc hại ToneShell, thường được sử dụng trong các chiến dịch gián điệp mạng của tin tặc Trung Quốc, đã phát tán thông qua kernel-mode loader trong các cuộc tấn công nhằm vào các tổ chức chính phủ.

Một chiến dịch tấn công mạng gần đây phát tán tệp LNK độc hại qua WhatsApp với URL tiếng Bồ Đào Nha, nhắm mục tiêu cụ thể vào các nạn nhân tại Brazil. Để tránh bị phát hiện, máy chủ điều khiển và ra lệnh (C2) của kẻ tấn công sẽ xác minh từng lượt tải xuống để đảm bảo nó đến từ chính phần mềm độc hại. Toàn bộ chuỗi lây nhiễm này với mục đích cuối cùng là phát tán Trojan ngân hàng mới có tên Maverick, chứa nhiều code trùng lặp với mã độc Coyote. Dựa trên báo cáo của Kaspersky, bài viết sẽ trình bày chi tiết toàn bộ chuỗi tấn công, thuật toán mã hóa và các mục tiêu của chiến dịch, cũng như thảo luận về những điểm tương đồng với các mối đe dọa đã biết.

Vào tháng 9/2024, Kaspersky đã phát hiện hoạt động tấn công mạng nhắm vào các công ty tài chính (giao dịch và môi giới) thông qua việc phân phối các tệp .scr (trình bảo vệ màn hình) độc hại được ngụy trang thành tài liệu qua Skype Messenger. Kẻ tấn công đã phân phối một Trojan truy cập từ xa (RAT) mới có tên là GodRAT, dựa trên codebase của Gh0st RAT. Để tránh bị phát hiện, kẻ tấn công sử dụng kỹ thuật steganography (ẩn mã) để nhúng shellcode vào tệp hình ảnh. Shellcode này tải xuống GodRAT từ máy chủ điều khiển và ra lệnh do tin tặc kiểm soát (C2).

DanaBot là một loại mã độc mạnh mẽ được viết bằng Delphi với khả năng theo dõi thao tác bàn phím, chụp ảnh màn hình, quay video màn hình nền của nạn nhân, đánh cắp các tệp tin, đưa nội dung tùy ý vào trình duyệt web và triển khai phần mềm độc hại giai đoạn thứ hai. Mã độc này vận hành dựa trên nền tảng Malware-as-a-Service (MaaS), cho phép kẻ tấn công thực hiện nhiều cuộc tấn công mạng khác nhau. DanaBot triển khai một giao thức nhị phân tùy chỉnh được mã hóa bằng RSA 1.024 bit và AES 256 bit ở chế độ CBC. Các máy chủ điều khiển và ra lệnh (C2) được mã hóa cứng, nhưng Tor có thể được sử dụng làm kênh truyền thông dự phòng. Bài viết này sẽ cùng khám phá cơ chế hoạt động của dòng mã độc nguy hiểm này, dựa trên báo cáo của công ty bảo mật đám mây Zscaler (Mỹ).