- Microsoft đã trình bày chi tiết. NeedyMantis, một họ phần mềm độc hại được sử dụng để truy cập lâu dài bằng cách tải DLL từ bên ngoài và điều khiển từ xa qua WebSocket.
- Cảnh sát Hà Lan đã bắt giữ một người đàn ông 24 tuổi có liên quan đến... Thợ săn sáng bóngCác báo cáo xác định người này là Pepijn van der Stap, trong khi nhóm này tuyên bố đã xâm nhập vào cổng thông tin việc làm của FBI.
- Những người săn tìm đồ hiếm đã lợi dụng điều này. Oracle PeopleSoft CVE-2026-35273 và được cho là đã lách luật WAF, ảnh hưởng đến giáo dục, công nghệ, chăm sóc sức khỏe, nông nghiệp, giao thông vận tải và chính phủ.
- Proofpoint cho biết TA419Một nhóm thân Trung Quốc đã giả mạo các chuyên gia chính sách về trí tuệ nhân tạo để đánh cắp thông tin đăng nhập từ các viện nghiên cứu và nhà thầu.
Những diễn biến gần đây trong thế giới tin tặc đang diễn ra theo hai hướng cùng lúc: các nhóm gián điệp liên kết với nhà nước tìm kiếm quyền truy cập lâu dài, và các nhóm tống tiền tội phạm hoạt động hung hăng hơn bình thường. Microsoft đã công bố phân tích kỹ thuật về một họ phần mềm độc hại có tên NeedyMantis , được sử dụng trong một số vụ xâm nhập hạn chế nhằm vào các công ty viễn thông, trường đại học, các tổ chức phi lợi nhuận y tế, các cơ quan liên chính phủ và các nhà thầu chính phủ. Công cụ này dường như được thiết kế để giữ chân kẻ xâm nhập bên trong mạng lưới sau lần đột nhập đầu tiên, chứ không phải để tự lan rộng.
Cùng lúc đó, nhà chức trách Hà Lan đã bắt giữ một người đàn ông 24 tuổi có liên quan đến ShinyHunters , một băng nhóm có liên hệ với các vụ đánh cắp dữ liệu lớn và đe dọa đòi tiền chuộc. Vụ bắt giữ không làm giảm bớt sự hung hăng công khai của nhóm này: chỉ trong vài ngày, chúng đã nhận trách nhiệm về vụ xâm nhập vào cổng thông tin việc làm của FBI và bị cáo buộc khai thác lỗ hổng bảo mật của PeopleSoft. Ngoài ra, các nhà nghiên cứu cho biết một nhóm tin tặc có liên kết với Trung Quốc tên là TA419 đã giả mạo các chuyên gia chính sách trí tuệ nhân tạo để đánh cắp thông tin đăng nhập từ các viện nghiên cứu, nhà thầu và trường đại học.
Microsoft liên kết NeedyMantis với các vụ xâm nhập kéo dài.
Phân tích của Microsoft cho thấy NeedyMantis đã được phát hiện ít nhất từ tháng 10 năm 2025 và xuất hiện trong một số ít các chiến dịch nhắm mục tiêu. Các nạn nhân bao gồm các tổ chức viễn thông, trường đại học, các tổ chức phi lợi nhuận y tế, các tổ chức liên chính phủ và các nhà thầu chính phủ. Phần mềm độc hại này được thiết kế để duy trì quyền kiểm soát, chứ không phải gây gián đoạn trên diện rộng.
Dấu vết dẫn đến NeedyMantis một phần xuất phát từ cuộc điều tra của Kaspersky về một cuộc tấn công chuỗi cung ứng vào DAEMON Tools. Các trình cài đặt chính thức có chữ ký của DAEMON Tools Lite chứa mã độc từ ngày 8 tháng 4 năm 2026, và nhà phát triển đã khôi phục phiên bản sạch vào ngày 5 tháng 5. Microsoft theo dõi hoạt động liên quan với mã hiệu Storm-3069, nhưng chưa thấy NeedyMantis xuất hiện thông qua chuỗi cung ứng đó.
Gói phần mềm độc hại thường bao gồm ba thành phần: một chương trình hợp pháp, một tệp DLL độc hại được đặt tên theo tệp mà chương trình tải và một tệp lưu trữ được mã hóa có cùng tên. Khi ứng dụng khởi chạy, nó sẽ tải tệp DLL độc hại, một kỹ thuật được gọi là tải DLL từ bên ngoài (DLL sideloading ).
Các chương trình hợp pháp bị lạm dụng theo cách này bao gồm Poedit, curl, Vim và TightVNC . Phần mềm độc hại này cũng ngụy trang thành các DLL liên kết với Microsoft Office, Broadcom, Intel và NVIDIA. Trong một mẫu, nó đã thay thế WinSparkle.dll, thành phần cập nhật của Poedit.
Cách mà phần mềm độc hại che giấu lưu lượng truy cập của nó
Trong ví dụ chi tiết, một người điều hành đã ở trong mạng sử dụng Impacket để sao chép gói dữ liệu từ một thư mục chia sẻ và thực thi nó trên máy mục tiêu. Quyền truy cập ban đầu có thể khác nhau tùy từng trường hợp.
Sau khi được tải, DLL sẽ trích xuất giai đoạn tiếp theo từ kho lưu trữ được mã hóa và chạy nó. Giai đoạn đó giải mã thành phần chính, thành phần này sẽ liên hệ với máy chủ điều khiển thông qua HTTPS và sau đó chuyển sang kết nối WebSocket.
Thông qua kênh đó, người vận hành có thể tải và gỡ bỏ các mô-đun bổ sung và gửi dữ liệu đến chúng. Microsoft chưa xác nhận chức năng của các mô-đun này. Một phiên bản cũ hơn từ tháng 10 năm 2025 bao gồm một mô-đun duy trì kết nối sử dụng các dịch vụ của Windows ; phương pháp duy trì kết nối của phiên bản mới hơn không được nêu chi tiết.
Việc quy kết nguồn gốc cho Trung Quốc vẫn còn thận trọng.
Storm-3069 là nhãn tạm thời mà Microsoft gán cho các cụm máy chủ mới hoặc đang phát triển cho đến khi họ chắc chắn hơn về nguồn gốc của chúng. Công ty đã phát hiện NeedyMantis bên ngoài chiến dịch DAEMON Tools và cho biết có thể có nhiều nhóm đang sử dụng nó. Họ vẫn chưa xác định được liệu tất cả hoạt động có đến từ một tác nhân duy nhất hay không.
Microsoft đánh giá hoạt động này dường như bắt nguồn từ Trung Quốc nhưng chưa liên kết Storm-3069 với bất kỳ tác nhân nhà nước nào của Trung Quốc. Các mục tiêu và nhóm nạn nhân được chọn lọc phù hợp với các mô hình mà công ty này liên kết với Trung Quốc. Kaspersky đã tìm thấy văn bản tiếng Trung trong phần mềm độc hại DAEMON Tools nhưng không xác định được nguồn gốc của nó.
Nhóm Tình báo Mối đe dọa của Google (Google Threat Intelligence Group) theo dõi tác nhân đứng sau chiến dịch DAEMON Tools là UNC6863 . Mandiant mô tả UNC6863 là một tác nhân bị nghi ngờ có liên hệ với Trung Quốc, đã sử dụng lỗ hổng bảo mật DAEMON Tools để triển khai phần mềm độc hại. Hiện vẫn chưa rõ liệu UNC6863 và Storm-3069 có phải là cùng một tác nhân hay không.
Các chỉ báo, phát hiện và làm sạch
Các dấu hiệu do Microsoft công bố bao gồm ba mã băm SHA-256 liên quan đến trình tải giai đoạn đầu và các tệp lưu trữ được mã hóa, cùng với tên miền C2 corp.tripswithenginecom trên cổng 443 và tác nhân người dùng được mã hóa cứng là firefox/21.0.
- e842dd7642c8e04b5ec20b6393848a9c904e4832930950c16664fe7800ba382e – trình tải giai đoạn đầu WinSparkle.dll, lần đầu tiên được nhìn thấy vào ngày 21 tháng 5 năm 2026.
- 9cb68f986043a576e19d32184c583b7d8f571c7219d8dc0065dced1c13f077ef – tệp lưu trữ được mã hóa có tên WinSparkle, lần đầu tiên được nhìn thấy vào ngày 23 tháng 5 năm 2026.
- c82520eb03c084226be4eafbff46f56dca0aa8804a2a7f23a085a96afe71ef77 – tệp lưu trữ được mã hóa có tên libcurl, phiên bản cũ hơn, lần đầu tiên được phát hiện vào ngày 3 tháng 10 năm 2025.
Các đường dẫn tệp được tìm thấy với các DLL độc hại liên quan đến Poedit, libcurl, Vim, TightVNC, Office, Broadcom, Intel và các thành phần liên quan đến NVIDIA trong các thư mục chương trình và dữ liệu chương trình thông thường.
Defender phát hiện phần mềm độc hại là TrojanDropper:Win64/NeedyMantis và Behavior:Win64/NeedyMantis. Các truy vấn tìm kiếm chỉ xem xét dữ liệu trong vòng bảy ngày, vì vậy chúng sẽ không tìm thấy các sự kiện cũ hơn từ tháng 10 năm 2025 hoặc tháng 5 năm 2026 trừ khi được điều chỉnh. Chỉ riêng việc tìm thấy kết quả trùng khớp với đường dẫn Poedit không phải là bằng chứng chắc chắn vì WinSparkle.dll cũng là một thành phần Poedit thông thường.
Microsoft khuyến nghị sử dụng tính năng bảo vệ dựa trên đám mây, chặn ngay khi phát hiện, EDR ở chế độ chặn, bảo vệ mạng, tự động ngăn chặn tấn công và một số quy tắc giảm thiểu bề mặt tấn công. Họ cũng đề xuất kiểm tra lưu lượng truy cập đi ra để tìm các kết nối đến miền C2, việc này có thể được thực hiện mà không cần Defender. Bất kỳ ai đã cài đặt DAEMON Tools Lite 12.5.1 bị ảnh hưởng nên gỡ cài đặt, chạy quét toàn bộ hệ thống và tải phiên bản 12.6 từ trang web chính thức.
Vụ bắt giữ ở Hà Lan gây áp lực lên ShinyHunters.
Giới chức Hà Lan đã xác nhận việc bắt giữ một người đàn ông 24 tuổi trong khuôn khổ cuộc điều tra về ShinyHunters, một nhóm bị cáo buộc đánh cắp dữ liệu và tống tiền tại hơn 140 tổ chức trên toàn thế giới. Cảnh sát cho biết người đàn ông này bị bắt vào ngày 15 tháng 9 và bị tạm giam ít nhất 90 ngày.
Nhiều nguồn tin xác định nghi phạm là Pepijn van der Stap , một tội phạm mạng đã bị kết án, từng sử dụng biệt danh Umbreon. Anh ta bị kết án vào năm 2023 với mức án 4 năm tù, trong đó 1 năm được hoãn thi hành, vì tội đánh cắp dữ liệu và tống tiền mà theo các công tố viên, đã thu về từ 1.5 triệu đến 2.7 triệu euro. Anh ta được thả khỏi tù vào tháng 12 năm 2025.
Trước khi bị bắt, van der Stap tự nhận mình đã cải tà quy chính và đang giữ một vị trí an ninh cấp cao tại Neo Security , theo các cuộc phỏng vấn và báo cáo truyền thông. Ông cũng từng làm tình nguyện viên tại Viện Phát hiện Lỗ hổng Bảo mật Hà Lan, nơi sau đó đã tiết lộ một sự cố an ninh mạng nội bộ liên quan đến việc sử dụng trí tuệ nhân tạo độc hại và cho biết sự cố này dường như không liên quan đến ShinyHunters. Neo Security không phản hồi yêu cầu bình luận.
Cảnh sát Hà Lan đang kêu gọi sự giúp đỡ của công chúng để xác định danh tính giọng nói trong cuộc gọi hồi tháng 2 năm 2026, trong đó kẻ gọi đã lừa đảo một nhân viên của Odido đăng nhập vào một trang web giả mạo, dẫn đến việc đánh cắp dữ liệu của hơn 6.2 triệu người dân Hà Lan . Trang ShinyHunters đã xác nhận người gọi là một thành viên của Odido, mặc dù người đàn ông bị bắt giữ chưa được chính thức liên kết với vụ án Odido.
Theo đài RTL, dựa trên thông tin thu được sau khi bắt giữ van der Stap, các nhà điều tra cũng nghi ngờ ông ta đã cố gắng dàn xếp ít nhất hai vụ giết người ở nước ngoài . Giới chức Hà Lan mô tả hướng điều tra này là hoàn toàn tách biệt với cuộc điều tra ShinyHunters.
Vụ xâm nhập cổng thông tin việc làm của FBI và khai thác lỗ hổng PeopleSoft
Vài ngày sau vụ bắt giữ, nhóm ShinyHunters đã nhận trách nhiệm về vụ xâm nhập vào trang web tuyển dụng của FBI, apply.fbijobs.gov . Các báo cáo cho biết dữ liệu bị đánh cắp bao gồm số An sinh xã hội và thông tin cá nhân của hơn 5,000 quan chức, cùng với chức danh công việc hoặc các nhóm như đặc vụ, chuyên viên tiếp nhận mối đe dọa, đơn vị tội phạm mạng lớn và nhân viên điều tra các mối đe dọa mạng do nước ngoài hậu thuẫn.
Hãng Reuters đã xem xét các tài liệu do nhóm này chia sẻ và phát hiện các hồ sơ y tế và tâm thần nhạy cảm liên quan đến nhân viên FBI. Vụ rò rỉ này đã làm dấy lên những lo ngại về phản gián do tính chất của dữ liệu. Cục điều tra liên bang (FBI) chưa đưa ra lời giải thích chi tiết nào trước công chúng về vụ việc.
Nhóm ShinyHunters cho biết họ đã truy cập được bằng cách khai thác lỗ hổng bảo mật CVE-2026-35273 , một lỗ hổng vừa được vá gần đây trong Oracle PeopleSoft, một nền tảng quản lý nhân sự và tuyển dụng được sử dụng rộng rãi. Oracle đã phát hành bản vá sau khi lỗ hổng này được cho là đã bị lợi dụng như một lỗ hổng zero-day bắt đầu từ tháng Sáu.
Mandiant đã phát hành các quy tắc tường lửa ứng dụng web cho các tổ chức không thể vá lỗi nhanh chóng, nhưng BleepingComputer đưa tin rằng nhóm ShinyHunters đã sử dụng thủ thuật mã hóa URL để vượt qua chúng. Báo cáo ngày 25 tháng 9 từ Mandiant và Google Threat Intelligence Group đã xác nhận việc khai thác hàng loạt lỗ hổng PeopleSoft trong các lĩnh vực giáo dục đại học, công nghệ, chăm sóc sức khỏe, nông nghiệp, vận tải và chính phủ.
Nhóm ShinyHunters nói với TechCrunch rằng vụ xâm nhập hệ thống của FBI không phải vì mục đích tài chính mà nhằm mục đích bác bỏ những cáo buộc chống lại nhóm này. Họ cho biết sẽ không công bố dữ liệu bị đánh cắp từ FBI. Trưởng bộ phận an ninh mạng của FBI, Brett Leatherman, đã cảm ơn các đối tác Hà Lan và kêu gọi các thành viên còn lại tự đầu thú.
Cuộc tranh giành vị trí lãnh đạo nội bộ trong ShinyHunters
Các nguồn tin thân cận với cuộc điều tra cho biết những hành động mạo hiểm gần đây của nhóm này nhằm vào FBI và nhóm tin tặc tống tiền người Nga Cl0p báo hiệu một sự thay đổi so với phong cách trước đây thận trọng hơn. Sự thay đổi này được cho là bắt nguồn từ việc bị một tội phạm mạng tuổi teen đến từ Amman, Jordan, có biệt danh là Rey , tiếp quản. Rey hoạt động trong một liên minh có tên ScatteredLapsussHunters.
Liên minh đó được mô tả là sự kết hợp giữa Scattered Spider, LAPSUS$ và ShinyHunters. Rey được cho là đã có tranh chấp với hacker người Hà Lan về quyền kiểm soát thương hiệu và dữ liệu của ShinyHunters . Hình ảnh Umbreon khổng lồ còn sót lại trên trang bị tấn công của FBI được xem là một nỗ lực nhằm đổ lỗi vụ tấn công cho người Hà Lan.
Rey đã chế giễu Cl0p và FBI trên Twitter/X bằng một meme; tài khoản của anh ta sau đó đã bị xóa sau khi một phóng viên tìm cách phỏng vấn. Bản báo cáo của Wired cho biết ShinyHunters và SLSH đã hợp tác ngắn hạn với TeamPCP để kiếm tiền từ thông tin đăng nhập bị đánh cắp, sau đó ShinyHunters đã tách ra và giữ lại lợi nhuận. Mandiant đã xâm nhập TeamPCP và cung cấp thông tin đăng nhập cho các nhà cung cấp dịch vụ đám mây, điều này đã làm vô hiệu hóa các khóa.
Nhà nghiên cứu Austin Larsen của Mandiant cho biết ShinyHunters đã thực hiện một loạt các vụ tống tiền và có thể thu về gần 100 triệu đô la từ các nạn nhân vào năm 2026. Van der Stap tuyên bố rằng những tội ác trước đây của ông ta xuất phát từ mong muốn thu thập cơ sở dữ liệu chứ không phải tiền bạc.
TA419, một tổ chức thân Trung Quốc, giả mạo các chuyên gia chính sách AI.
Theo Proofpoint, một nhóm có liên hệ với Trung Quốc tên là TA419 đã giả mạo các chuyên gia trí tuệ nhân tạo tại Mỹ, trong đó có Lynne Edwards Parker, cựu phó giám đốc chính của Văn phòng Chính sách Khoa học và Công nghệ Nhà Trắng. Chiến dịch này đã hoạt động từ tháng 4 năm 2025.
Ban đầu, những email này trông có vẻ vô hại và thường mời người nhận tham gia "Ủy ban Tư vấn Chính sách AI". Sau khi nạn nhân trả lời, kẻ tấn công sẽ gửi một trang đăng nhập giả mạo được thiết kế để đánh cắp thông tin đăng nhập. Các nạn nhân bao gồm các chuyên gia chính sách tại các viện nghiên cứu, nhà thầu quốc phòng, trường đại học và các công ty luật ở Mỹ và Nhật Bản.
Kỹ thuật này tạo ra một cửa sổ bật lên giả mạo trên trình duyệt bên trong một trang web hợp pháp, bắt chước lời nhắc đăng nhập thật để nạn nhân ít có khả năng nhận ra rằng họ đang cung cấp thông tin cá nhân. Proofpoint không nêu tên tất cả các mục tiêu, nhưng Reuters đã xác nhận Alex Engler, một cựu quan chức Nhà Trắng hiện đang lãnh đạo Trung tâm Penn về Truyền thông, Công nghệ và Dân chủ, đã nhận được một trong những tin nhắn này và phát hiện ra rằng nó đến từ một kẻ mạo danh.
Vào tháng Hai, cùng nhóm này đã giả mạo một nhân viên cấp cao của Anthropic để nhắm mục tiêu vào các chuyên gia chính sách về trí tuệ nhân tạo. Proofpoint dự đoán TA419 sẽ tiếp tục sử dụng danh tính của các chuyên gia ngoài đời thực để tấn công các viện nghiên cứu và các chuyên gia hoạch định chính sách. Ông Parker không trả lời yêu cầu bình luận của Al Jazeera.
Những điều mà người dân và lực lượng phòng thủ nên chú ý
Đối với các nhóm bảo mật, các chỉ báo của NeedyMantis và việc khai thác lỗ hổng PeopleSoft cho thấy cách kẻ tấn công kết hợp phần mềm đáng tin cậy, thông tin đăng nhập bị đánh cắp và các lỗ hổng đã biết. Kiểm tra lưu lượng truy cập đi ra , xem xét các lần tải DLL bất thường và vá các nền tảng nhân sự hoặc tuyển dụng bị lộ có thể thu hẹp khoảng thời gian này.
Đối với người dùng thông thường, chiến dịch TA419 là lời nhắc nhở rằng những email được trau chuốt và lời mời đăng nhập trông rất thật vẫn có thể là lừa đảo. Việc xác minh các lời mời bất ngờ thông qua kênh thứ hai và sử dụng xác thực đa yếu tố chống lừa đảo sẽ giúp ích.
Trong các trường hợp này, điểm chung là quyền truy cập: các nhóm tin tặc liên kết với nhà nước muốn ẩn mình bên trong mạng lưới, trong khi các băng đảng tội phạm muốn biến dữ liệu đánh cắp thành tiền chuộc và lợi dụng dư luận. Phân tích của NeedyMantis cho thấy cách thức tải DLL trái phép và WebSocket C2 có thể biến các công cụ hợp pháp thành chỗ đứng; vụ bắt giữ ShinyHunters và vụ xâm nhập của FBI cho thấy một thương hiệu tin tặc có thể leo thang nhanh chóng như thế nào sau những biến động nội bộ; và vụ lừa đảo qua mạng dựa trên trí tuệ nhân tạo của TA419 cho thấy kỹ thuật xã hội vẫn hiệu quả nhất khi nó mượn một cái tên đáng tin cậy. Không có câu chuyện nào là riêng lẻ , và các bài học phòng thủ đều chồng chéo nhau: vá lỗi nhanh chóng, theo dõi lưu lượng truy cập và tải tập tin bất thường, và nghi ngờ các yêu cầu đăng nhập không được yêu cầu.
