Cập nhật ngày 12/10/2026
Trong bối cảnh an ninh mạng toàn cầu không ngừng biến động, các nhóm tấn công mạng do nhà nước bảo trợ vẫn luôn là mối đe dọa thường trực và tinh vi. Tháng 10 năm 2026 chứng kiến một sự phát triển đáng chú ý từ nhóm tấn công mạng được chính phủ Nga bảo trợ, được biết đến với tên gọi Star Blizzard. Nhóm này đã mở rộng đáng kể các hoạt động lừa đảo (phishing) của mình, không chỉ dừng lại ở các chiến dịch spear-phishing có mục tiêu cao mà còn nhắm đến nhiều đối tượng hơn. Điểm nhấn trong chiến lược mới này là việc triển khai một kỹ thuật phát tán mã độc mới mang tên RedFlick.
Star Blizzard: Từ Mục Tiêu Cụ Thể Đến Chiến Dịch Quy Mô Lớn
Trước đây, Star Blizzard (còn được biết đến với các tên khác như Callisto Group, Seaborgium, hay ColdRiver) thường tập trung vào các chiến dịch spear-phishing rất cụ thể, nhắm vào các cá nhân và tổ chức có giá trị cao. Tuy nhiên, theo báo cáo tình báo mới nhất từ CYFIRMA vào ngày 9 tháng 10 năm 2026, nhóm này đã thay đổi chiến thuật, mở rộng phạm vi tấn công sang các chiến dịch rộng lớn hơn. Các mục tiêu mới bao gồm các cá nhân và tổ chức ở Ukraine, các tổ chức phi chính phủ (NGOs), các viện nghiên cứu (think tanks), các cơ quan chính phủ và các tổ chức tài chính trên toàn cầu. Sự thay đổi này cho thấy một nỗ lực nhằm mở rộng khả năng tác động và thu thập thông tin trên quy mô lớn hơn.
Sự Tiến Hóa Trong Kỹ Thuật Phát Tán Mã Độc: RedFlick
Để hỗ trợ cho các chiến dịch mở rộng này, Star Blizzard đã giới thiệu kỹ thuật phát tán mã độc mới mang tên RedFlick. Đây là một bước tiến đáng kể trong khả năng né tránh phát hiện và tối ưu hóa việc triển khai mã độc của nhóm. RedFlick không chỉ là một mã độc đơn lẻ mà là một phương pháp đa dạng để đưa các payload độc hại vào hệ thống mục tiêu. Sự tinh vi của RedFlick nằm ở việc sử dụng nhiều lớp ngụy trang và kỹ thuật che giấu để vượt qua các biện pháp bảo mật truyền thống.
Cơ Chế Hoạt Động Kỹ Thuật Của Mã Độc RedFlick
RedFlick sử dụng một chuỗi các phương pháp phức tạp để lây nhiễm hệ thống. Các kỹ thuật chính bao gồm:
- Tập tin VHDX độc hại: Thay vì các định dạng tập tin phổ biến như DOCX hay XLS, RedFlick lợi dụng các tập tin VHDX (Virtual Hard Disk v2). Đây là định dạng đĩa cứng ảo thường được sử dụng trong môi trường ảo hóa. Kẻ tấn công có thể nhúng mã độc vào các tập tin VHDX này, sau đó gửi chúng qua email phishing hoặc đặt trên các trang web bị xâm nhập. Khi người dùng gắn kết (mount) tập tin VHDX, mã độc sẽ được kích hoạt.
- Lưu trữ được bảo vệ bằng mật khẩu: Để tăng cường độ khó trong việc phân tích và né tránh các công cụ quét tự động, các tập tin độc hại thường được nén trong các kho lưu trữ (ví dụ: ZIP, RAR) được bảo vệ bằng mật khẩu. Mật khẩu thường được cung cấp trong nội dung email phishing hoặc qua các kênh liên lạc khác, lừa người dùng mở chúng.
- Các trang web bị xâm nhập: Star Blizzard sử dụng các trang web hợp pháp đã bị chiếm quyền kiểm soát để lưu trữ và phát tán các tập tin mã độc. Điều này giúp tăng độ tin cậy của liên kết độc hại trong mắt nạn nhân và vượt qua các bộ lọc URL.
- Nhiệm vụ theo lịch trình (Scheduled Tasks): Sau khi mã độc ban đầu được thực thi, nó thường tạo ra các Scheduled Tasks trên hệ thống nạn nhân. Các nhiệm vụ này đảm bảo rằng mã độc sẽ được chạy lại sau mỗi khoảng thời gian nhất định hoặc khi hệ thống khởi động lại, duy trì sự hiện diện lâu dài trên máy tính bị nhiễm.
- Payload ẩn trong tập tin PDF: Một kỹ thuật khác là nhúng payload độc hại vào bên trong các tập tin PDF tưởng chừng vô hại. Khi người dùng mở tập tin PDF, mã độc sẽ được kích hoạt thông qua các lỗ hổng trong trình đọc PDF hoặc bằng cách lừa người dùng thực thi các tập lệnh nhúng.
Mục tiêu cuối cùng của RedFlick là triển khai CosmicPulse, một loại backdoor (cửa hậu) tinh vi. CosmicPulse cho phép kẻ tấn công kiểm soát từ xa hệ thống bị nhiễm, thực hiện các hành động như thu thập dữ liệu, cài đặt thêm mã độc, hoặc di chuyển ngang (lateral movement) trong mạng nội bộ của nạn nhân. Điều này phản ánh khả năng thích ứng chiến lược của Star Blizzard để đạt được mục tiêu gián điệp mạng quy mô lớn.
Phòng Tránh và Nhận Diện Các Cuộc Tấn Công RedFlick
Trước mối đe dọa ngày càng tăng từ Star Blizzard và RedFlick, các tổ chức và cá nhân cần tăng cường các biện pháp phòng vệ an ninh mạng:
- Đào tạo nhận thức về Phishing: Giáo dục người dùng về các dấu hiệu của email phishing, đặc biệt là những email chứa các liên kết đáng ngờ, tập tin đính kèm không mong muốn (như VHDX hoặc các kho lưu trữ có mật khẩu).
- Cập nhật phần mềm và hệ điều hành: Đảm bảo tất cả phần mềm, đặc biệt là các trình đọc PDF và hệ điều hành, được cập nhật thường xuyên để vá các lỗ hổng bảo mật.
- Sử dụng giải pháp bảo mật nâng cao: Triển khai các giải pháp bảo mật điểm cuối (EDR), phát hiện và phản hồi mạng (NDR) có khả năng phân tích hành vi và phát hiện các mối đe dọa nâng cao.
- Giám sát mạng và hệ thống: Tăng cường giám sát lưu lượng mạng và các hoạt động hệ thống để phát hiện sớm các dấu hiệu bất thường, như việc tạo Scheduled Tasks lạ hoặc kết nối đến các máy chủ C2 (Command and Control) đã biết.
- Sao lưu dữ liệu: Thực hiện sao lưu dữ liệu thường xuyên và tách biệt để đảm bảo khả năng phục hồi sau sự cố.
Sự xuất hiện của RedFlick cho thấy các nhóm tấn công mạng do nhà nước bảo trợ đang liên tục phát triển kỹ thuật để đạt được mục tiêu gián điệp. Việc hiểu rõ cơ chế hoạt động của các mã độc như RedFlick là cực kỳ quan trọng để xây dựng một chiến lược phòng thủ hiệu quả, bảo vệ thông tin và hệ thống khỏi các mối đe dọa tinh vi trong không gian mạng.
