Khi nói đến điều tra số, AmCache đóng một vai trò quan trọng trong việc xác định các hoạt động độc hại trong hệ thống Windows, cho phép xác định việc thực thi cả phần mềm lành tính và độc hại trên máy tính. AmCache được quản lý bởi hệ điều hành và ở thời điểm hiện tại, không có cách nào có thể sửa đổi hoặc xóa dữ liệu AmCache. Dựa trên báo cáo của Kaspersky, bài viết này trình bày một phân tích toàn diện về AmCache, khái quát rõ hơn về hoạt động bên trong của nó. Ngoài ra, bài viết giới thiệu một công cụ mới mang tên “AmCache-EvilHunter”, có thể được sử dụng bởi bất kỳ chuyên gia nào để dễ dàng phân tích tệp Amcache[.]hve và trích xuất IOC. Công cụ này cũng có thể truy vấn các nguồn cấp dữ liệu thông minh đã đề cập ở trên để kiểm tra phát hiện tệp độc hại.

Với nhiều cơ chế bảo vệ tích hợp sẵn, macOS được biết đến với khả năng cung cấp những tính năng bảo mật toàn diện cho người dùng. Tuy nhiên, không có điều gì có thể khẳng định hệ điều hành này an toàn và “đứng vững” trước các chiêu trò của tác nhân đe dọa. Bài viết này sẽ xem xét và phân tích cách thức hoạt động của một số cơ chế bảo mật trên macOS, cùng ví dụ về các phương thức tấn công phổ biến, cách phát hiện cũng như ngăn chặn chúng, dựa trên báo cáo của hãng bảo mật Kaspersky.

Vào tháng 6/2025, hãng bảo mật Kaspersky phát hiện một chiến dịch gửi email hàng loạt (mass mailing) mạo danh luật sư của một công ty lớn. Những email này tuyên bố sai sự thật rằng tên miền của người nhận đã xâm phạm quyền của người gửi. Các email chứa mã độc Efimer, có chức năng đánh cắp tiền điện tử. Mã độc này cũng bao gồm các chức năng bổ sung giúp kẻ tấn công phát tán mã độc ở phạm vi rộng hơn, bằng cách xâm nhập các trang web WordPress và lưu trữ các tệp độc hại trên đó, cùng nhiều kỹ thuật khác. Dựa trên báo cáo của Kaspersky, bài viết sẽ cùng phân tích về hoạt động của chiến dịch này.

Kể từ đầu tháng 3/2025, Kaspersky đã ghi nhận sự gia tăng phát hiện các tệp tương tự có tên như договор-2025-5[.]vbe, приложение[.]vbe và dogovor[.]vbe (tạm dịch: hợp đồng, tệp đính kèm) giữa các nhân viên tại nhiều tổ chức ở Nga. Cuộc tấn công có chủ đích bắt đầu bằng các email mồi nhử chứa liên kết độc hại với nội dung về ký kết hợp đồng. Mục tiêu chính của cuộc tấn công là lây nhiễm phần mềm gián điệp Batavia, bao gồm một script VBS và hai tệp thực thi. Để làm sáng tỏ điều này, bài viết tập trung phân tích cách thức hoạt động và lây nhiễm của phần mềm gián điệp tinh vi này, dựa trên báo cáo của Kaspersky.

Zanubis là một Trojan ngân hàng trên Android xuất hiện vào giữa năm 2022. Kể từ khi ra đời, nó đã nhắm mục tiêu vào các ngân hàng và tổ chức tài chính ở Peru, trước khi mở rộng mục tiêu sang thẻ ảo và ví tiền điện tử. Theo hãng bảo mật Kaspersky, phần mềm độc hại này đang trong quá trình phát triển liên tục với những cải tiến tinh vi hơn, với các phiên bản mới mở rộng chức năng trích xuất dữ liệu, điều khiển từ xa, chuyển đổi giữa các thuật toán mã hóa, cũng như các phương pháp che giấu và chiến thuật lừa đảo mới. Những bản cập nhật này thường được liên kết với các chiến dịch tấn công mạng định kỳ. Để hiểu cách Trojan đạt đến giai đoạn hiện tại, chúng ta cần nhìn lại nguồn gốc của nó và những dấu hiệu ban đầu của những gì sắp xảy ra. Dựa trên báo cáo của Kaspersky, bài viết này sẽ cùng phân tích và làm rõ kỹ hơn quá trình phát triển của phần mềm độc hại theo thời gian.

Lumma Stealer được biết đến là phần mềm độc hại đánh cắp thông tin tinh vi, các phương pháp phân phối của mã độc này rất đa dạng, sử dụng các kỹ thuật phổ biến thường thấy trong các chiến dịch phần mềm độc hại đánh cắp thông tin. Các vectơ lây nhiễm chính bao gồm email lừa đảo có tệp đính kèm hoặc liên kết độc hại, cũng như các ứng dụng hợp pháp bị Trojan hóa. Các chiến thuật lừa đảo này đánh lừa người dùng thực thi phần mềm độc hại, chạy âm thầm trong backgroud để thu thập dữ liệu có giá trị. Lumma cũng đã được phát hiện sử dụng bộ công cụ khai thác, kỹ nghệ xã hội và các trang web bị xâm phạm để mở rộng phạm vi tiếp cận và tránh bị các giải pháp bảo mật phát hiện. Bài viết tập trung khám phá chủ yếu vào vectơ phân phối CAPTCHA giả mạo (dựa trên báo cáo của hãng bảo mật Kaspersky), một hoạt động xâm phạm hệ thống mục tiêu của Lumma Stealer.

Tháng 01/2024, nhóm nghiên cứu Zero Day Initiative (ZDI) của hãng bảo mật Trend Micro phát hiện chiến dịch phân phối phần mềm độc hại DarkGate. Các tác nhân đe dọa đã khai thác lỗ hổng CVE-2024-21412 trong Windows Defender SmartScreen để vượt qua kiểm tra bảo mật (bypass) và tự động cài đặt phần mềm giả mạo.

Hoạt động từ cuối năm 2021, Ducktail là họ phần mềm độc hại nhằm mục đích đánh cắp tài khoản doanh nghiệp trên Facebook. Theo báo cáo của 2 hãng bảo mật WithSecure (Phần Lan) và GridinSoft (Ukraine) cho biết các cuộc tấn công Ducktail được thực hiện bởi một nhóm tin tặc đến từ Việt Nam. 

Vào tháng 8/2023, các nhà nghiên cứu tại nhóm thông tin tình báo về mối đe dọa của công ty an ninh mạng Group-IB (Singapore) đã phát hiện một Trojan Android chưa từng được biết đến trước đây nhắm mục tiêu vào các tổ chức tài chính ngân hàng ở Việt Nam. Các nhà nghiên cứu đặt tên Trojan mới này là GoldDigger để chỉ một hoạt động GoldActivity cụ thể trong tệp APK. Trong bài viết này sẽ đưa ra những phân tích chính về hoạt động của GoldDigger dựa theo báo cáo của Group-IB mới đây.

Nhà mật mã học nổi tiếng Bruce Schneier đã nói về điểm yếu Heartbleed như sau: “Nếu theo thang điểm từ 0 tới 10 tôi sẽ đánh giá tính nguy hiểm của điểm yếu này là 11”.