Trong bối cảnh các mối đe dọa an toàn thông tin không ngừng gia tăng, sự quay trở lại của các dòng mã độc điều khiển từ xa đang đặt ra nhiều thách thức mới đối với hệ thống phòng thủ của các tổ chức, doanh nghiệp. Đáng chú ý, theo ghi nhận từ phân tích của các chuyên gia đến từ công ty HPT trong một báo cáo gần đây, mã độc Remcos - một công cụ vốn không mới đang được tin tặc tái sử dụng với phương thức tấn công tinh vi, khó phát hiện và có khả năng gây hậu quả nghiêm trọng hơn so với trước đây.

Matanbuchus là một downloader độc hại phát triển bằng C++, đã được cung cấp dưới dạng dịch vụ phần mềm độc hại (MaaS) từ năm 2020. Trong suốt thời gian đó, trình tải này trải qua nhiều giai đoạn phát triển. Vào tháng 7/2025, phiên bản 3.0 của Matanbuchus đã được phát hiện trong thực tế, cung cấp cho các tác nhân đe dọa tùy chọn triển khai thêm các payload và thực hiện các thao tác bàn phím trực tiếp thông qua các lệnh shell. Mặc dù đơn giản, nhưng Matanbuchus gần đây được cho là có liên quan đến các hoạt động mã độc tống tiền. Phần mềm độc hại bao gồm hai thành phần cốt lõi: một mô-đun downloader và một mô-đun main. Dựa trên báo cáo của hãng bảo mật Zscaler, trong bài báo này này sẽ xem xét các tính năng chính của Matanbuchus, trong đó có các phương pháp obfuscation, cơ chế duy trì hoạt động và giao tiếp mạng.

Một mẫu mới của phần mềm độc hại ToneShell, thường được sử dụng trong các chiến dịch gián điệp mạng của tin tặc Trung Quốc, đã phát tán thông qua kernel-mode loader trong các cuộc tấn công nhằm vào các tổ chức chính phủ.

Nhiều nhóm tin tặc mã độc tống tiền đang sử dụng nền tảng packer-as-a-service có tên Shanya, để giúp chúng triển khai các phần mềm nhằm ngăn chặn, vô hiệu hóa các giải pháp phát hiện và phản hồi điểm cuối (EDR) trên hệ thống của nạn nhân.

Theo báo cáo của Kaspersky, hãng bảo mật này phát hiện các hoạt động độc hại mới của tin tặc Tomiris kể từ đầu năm 2025. Các cuộc tấn công này nhắm vào các bộ ngoại giao, tổ chức liên chính phủ và các cơ quan chính phủ, cho thấy sự tập trung vào cơ sở hạ tầng chính trị và ngoại giao có giá trị cao. Trong một số trường hợp, các nhà nghiên cứu theo dõi hành động của tác nhân đe dọa từ giai đoạn lây nhiễm ban đầu đến giai đoạn triển khai các framework sau khi khai thác. Những cuộc tấn công này cho thấy sự thay đổi đáng chú ý trong chiến thuật của Tomiris. Để làm sáng tỏ hơn, bài viết sẽ cùng tìm hiểu khám phá cách thức hoạt động của nhóm tin tặc APT này, dựa trên phân tích của Kaspersky.

Nhóm tin tặc APT24 có liên hệ với Trung Quốc đã sử dụng một loại phần mềm độc hại chưa từng được ghi nhận trước đây có tên là BadAudio, trong chiến dịch gián điệp kéo dài ba năm và gần đây chuyển sang các phương pháp tấn công tinh vi hơn.

Nhóm tình báo về mối đe dọa (GTIG) của Google đã có những khám phá và phát hiện về việc kẻ tấn công tận dụng trí tuệ nhân tạo (AI) để triển khai các họ phần mềm độc hại mới, tích hợp các mô hình ngôn ngữ lớn (LLM) trong quá trình thực thi.

Chiến dịch phần mềm độc hại GlassWorm, tác động đến các thị trường OpenVSX và VSCode vào tháng 10/2025, đã quay trở lại với ba tiện ích mở rộng VSCode mới với hơn 10.000 lượt tải xuống.

Mysterious Elephant là một nhóm tấn công APT hoạt động mạnh mẽ đã được hãng bảo mật Kaspersky phát hiện vào năm 2023. Nhóm tin tặc này liên tục phát triển và điều chỉnh các chiến thuật, kỹ thuật và quy trình (TTP) để tránh bị phát hiện. Với trọng tâm chính nhắm vào các cơ quan chính phủ và lĩnh vực đối ngoại ở khu vực châu Á - Thái Bình Dương, Mysterious Elephant đã sử dụng một loạt các công cụ và kỹ thuật tinh vi để xâm nhập và đánh cắp thông tin nhạy cảm. Đáng chú ý, các tin tặc lợi dụng thông tin liên lạc WhatsApp để đánh cắp dữ liệu tài liệu, hình ảnh và tệp lưu trữ. Trong chiến dịch mới nhất của nhóm này trong năm 2025, cho thấy sự thay đổi đáng kể trong chiến lược tấn công của chúng, với việc tập trung nhiều hơn vào các mô-đun BabShell và MemLoader. Dựa trên báo cáo của Kaspersky, bài viết này sẽ khám phá lịch sử các cuộc tấn công của Mysterious Elephant, TTP mới nhất của chúng, đồng thời cung cấp cái nhìn toàn diện về mối đe dọa này.

Mười gói phần mềm độc hại mô phỏng các dự án phần mềm hợp pháp trong npm registry, có khả năng tải xuống một thành phần đánh cắp thông tin nhằm thu thập dữ liệu nhạy cảm từ các hệ thống Windows, Linux và macOS.