GootLoader là mã độc dựa trên JavaScript/JScript, được phát hiện sử dụng một kỹ thuật tinh vi nhằm né tránh hệ thống phát hiện tự động: tạo các tệp ZIP thay đổi bằng cách ghép nối từ 500 đến 1.000 tệp ZIP nhỏ, khiến nhiều công cụ giải nén và phân tích mã độc tiêu chuẩn không thể xử lý được. Khi người dùng tải xuống và mở tệp ZIP này bằng trình giải nén mặc định của Windows, phần payload JavaScript sẽ được kích hoạt và dẫn tới các hành vi bất lợi trên hệ thống. Chiến dịch này chủ yếu được lan truyền thông qua các trang web đã bị chiếm quyền kiểm soát, nơi các liên kết tải xuống được ngụy trang như kết quả tìm kiếm hoặc nội dung quảng bá hợp pháp, nhằm đánh lừa người dùng đang tìm kiếm các mẫu tài liệu phổ biến trên Internet. Bài báo phân tích cơ chế né tránh phát hiện của GootLoader, chuỗi xâm nhập, đề xuất một số biện pháp phòng thủ đối với các tổ chức an ninh mạng.

Một chiến dịch tấn công ClickFix mới đang nhắm mục tiêu vào ngành dịch vụ khách sạn ở châu Âu, sử dụng thông báo lỗi màn hình xanh BSOD của Windows để dụ dỗ người dùng tự biên dịch và thực thi phần mềm độc hại trên hệ thống của họ.

Một công cụ độc hại mới có tên ErrTraffic cho phép các tác nhân đe dọa tự động hóa các cuộc tấn công ClickFix bằng cách tạo ra các “lỗi giả mạo” trên các trang web bị xâm nhập để dụ người dùng tải xuống các phần mềm độc hại hoặc làm theo các hướng dẫn nguy hiểm.

Kỹ thuật cuộc tấn công ClickFix đã có những bước phát triển mới khi thêm các video hướng dẫn nạn nhân thực hiện quy trình tự lây nhiễm, bộ đếm thời gian để gây áp lực buộc mục tiêu thực hiện các hành động rủi ro và tự động phát hiện hệ điều hành để cung cấp các lệnh chính xác.

Microsoft xác nhận Windows PowerShell hiện đưa ra cảnh báo khi chạy các tập lệnh sử dụng cmdlet Invoke-WebRequest để tải xuống nội dung web, nhằm ngăn chặn việc thực thi mã có khả năng gây rủi ro.

Theo Công ty an ninh mạng Koi Security, hai tiện ích mở rộng độc hại trên VSCode Marketplace của Microsoft lây nhiễm máy tính của nhà phát triển bằng mã độc đánh cắp thông tin, có khả năng chụp ảnh màn hình, đánh cắp thông tin đăng nhập, ví tiền điện tử và chiếm quyền điều khiển phiên trình duyệt.

Theo báo cáo của Kaspersky, hãng bảo mật này phát hiện các hoạt động độc hại mới của tin tặc Tomiris kể từ đầu năm 2025. Các cuộc tấn công này nhắm vào các bộ ngoại giao, tổ chức liên chính phủ và các cơ quan chính phủ, cho thấy sự tập trung vào cơ sở hạ tầng chính trị và ngoại giao có giá trị cao. Trong một số trường hợp, các nhà nghiên cứu theo dõi hành động của tác nhân đe dọa từ giai đoạn lây nhiễm ban đầu đến giai đoạn triển khai các framework sau khi khai thác. Những cuộc tấn công này cho thấy sự thay đổi đáng chú ý trong chiến thuật của Tomiris. Để làm sáng tỏ hơn, bài viết sẽ cùng tìm hiểu khám phá cách thức hoạt động của nhóm tin tặc APT này, dựa trên phân tích của Kaspersky.

Báo cáo mới đây của Công ty An ninh mạng Huntress cho biết, các biến thể tấn công ClickFix mới có khả năng đánh lừa người dùng bằng ảnh động Windows Update giả mạo trên trang trình duyệt toàn màn hình, đồng thời ẩn mã độc hại bên trong hình ảnh.

Tsundere là một mạng botnet mới xuất hiện, được Kaspersky phát hiện vào khoảng giữa năm 2025. So sánh mối đe dọa này với các phân tích trước đó của hãng bảo mật này từ tháng 10/2024 cho thấy sự tương đồng về mã, cũng như việc sử dụng cùng một phương pháp truy xuất máy chủ điều khiển và ra lệnh (C2) cũng như ví điện tử. Trong trường hợp đó, tin tặc đã tạo các gói Node.js độc hại và sử dụng npm để phân phối payload. Các gói được đặt tên tương tự như các gói phổ biến và sử dụng kỹ thuật typosquatting. Những kẻ tấn công nhắm mục tiêu vào các thư viện như Puppeteer, Bignum.js và nhiều gói tiền điện tử khác nhau, dẫn đến việc phát hiện 287 gói phần mềm độc hại. Cuộc tấn công chuỗi cung ứng này ảnh hưởng đến người dùng Windows, Linux và macOS, nhưng nó không tồn tại lâu vì các gói đã bị xóa và tác nhân đe dọa đã từ bỏ phương pháp lây nhiễm này sau khi bị phát hiện. Dựa trên báo cáo của Kaspersky, bài viết này sẽ cùng khám phá về mạng botnet mới nổi này.

Các tin tặc đã khai thác lỗ hổng nghiêm trọng trong nền tảng chia sẻ tệp và truy cập từ xa Triofox của Gladinet để thực thi mã từ xa với quyền SYSTEM.