Làn sóng thứ tư của chiến dịch GlassWorm đang nhắm mục tiêu vào các nhà phát triển macOS bằng các tiện ích mở rộng VSCode/OpenVSX độc hại, phát tán các phiên bản bị lây nhiễm mã độc của các ứng dụng ví tiền điện tử.

Một nhóm tin tặc đã khai thác lỗ hổng bảo mật nghiêm trọng React2Shell (CVE-2025-55182) để giành quyền truy cập ban đầu vào mạng lưới doanh nghiệp và triển khai phần mềm độc hại mã hóa tệp tin chỉ chưa đầy một phút sau đó.

Kỹ thuật cuộc tấn công ClickFix đã có những bước phát triển mới khi thêm các video hướng dẫn nạn nhân thực hiện quy trình tự lây nhiễm, bộ đếm thời gian để gây áp lực buộc mục tiêu thực hiện các hành động rủi ro và tự động phát hiện hệ điều hành để cung cấp các lệnh chính xác.

Các nhà nghiên cứu đến từ Công ty an ninh mạng Koi Security đang cảnh báo về chiến dịch GhostPoster mới, có khả năng ẩn mã JavaScript trong logo hình ảnh của các tiện ích mở rộng độc hại trên Firefox. Đáng lưu ý, các tiện ích này đã có hơn 50.000 lượt tải xuống, nhằm mục đích theo dõi hoạt động của trình duyệt và cài đặt backdoor.

Ngày 9/12, Công ty phần mềm Ivanti của Mỹ đã đưa ra cảnh báo khách hàng về một lỗ hổng bảo mật mới được phát hiện trong giải pháp Endpoint Manager (EPM) của hãng, có thể cho phép kẻ tấn công thực thi mã từ xa.

AWS cho biết đã phát hiện nhiều nhóm tin tặc Trung Quốc đang cố gắng thực thi lỗ hổng bảo mật React2Shell (CVE-2025-55182). Lỗ hổng nghiêm trọng này có thể bị khai thác bằng các yêu cầu HTTP được thiết kế đặc biệt để thực thi mã từ xa không xác thực trên các máy chủ bị ảnh hưởng. Nhà nghiên cứu Lachlan Davidson đã báo cáo lỗ hổng cho Meta - đơn vị bảo trì React vào ngày 29/11 và bản vá được phát hành sau đó vào ngày 3/12.

Theo Công ty an ninh mạng Koi Security, một tác nhân đe dọa có tên ShadyPanda đã phát hành hơn một trăm tiện ích mở rộng độc hại có thể theo dõi, lập hồ sơ người dùng Chrome và Microsoft Edge, đồng thời có thể thực thi một phần mềm độc hại trên hệ thống của nạn nhân.

Nhóm tin tặc APT24 có liên hệ với Trung Quốc đã sử dụng một loại phần mềm độc hại chưa từng được ghi nhận trước đây có tên là BadAudio, trong chiến dịch gián điệp kéo dài ba năm và gần đây chuyển sang các phương pháp tấn công tinh vi hơn.

Tsundere là một mạng botnet mới xuất hiện, được Kaspersky phát hiện vào khoảng giữa năm 2025. So sánh mối đe dọa này với các phân tích trước đó của hãng bảo mật này từ tháng 10/2024 cho thấy sự tương đồng về mã, cũng như việc sử dụng cùng một phương pháp truy xuất máy chủ điều khiển và ra lệnh (C2) cũng như ví điện tử. Trong trường hợp đó, tin tặc đã tạo các gói Node.js độc hại và sử dụng npm để phân phối payload. Các gói được đặt tên tương tự như các gói phổ biến và sử dụng kỹ thuật typosquatting. Những kẻ tấn công nhắm mục tiêu vào các thư viện như Puppeteer, Bignum.js và nhiều gói tiền điện tử khác nhau, dẫn đến việc phát hiện 287 gói phần mềm độc hại. Cuộc tấn công chuỗi cung ứng này ảnh hưởng đến người dùng Windows, Linux và macOS, nhưng nó không tồn tại lâu vì các gói đã bị xóa và tác nhân đe dọa đã từ bỏ phương pháp lây nhiễm này sau khi bị phát hiện. Dựa trên báo cáo của Kaspersky, bài viết này sẽ cùng khám phá về mạng botnet mới nổi này.

Chiến dịch phần mềm độc hại GlassWorm, tác động đến các thị trường OpenVSX và VSCode vào tháng 10/2025, đã quay trở lại với ba tiện ích mở rộng VSCode mới với hơn 10.000 lượt tải xuống.