Tin công nghệ

Mã độc NetamLoader ẩn trong thư mục cập nhật Windows 10: bài học về chuỗi cung ứng phần mềm cho doanh nghiệp

Posted on by superadmin

Đầu tháng 11/2026, các nhà nghiên cứu của Kaspersky công bố chi tiết một chuỗi lây nhiễm được đánh giá là rất tinh vi, nhắm vào một bản Windows 10 tùy biến dùng riêng cho một số cơ quan chính phủ tại châu Á. Thành phần chính là một bộ nạp mã .NET chưa từng được ghi nhận, được đặt tên là NetamLoader. Hiện chưa rõ nhóm nào đứng sau và mức độ dữ liệu bị đánh cắp, nhưng cách thức tấn công là lời cảnh báo đáng chú ý cho cả khối doanh nghiệp.

Kẻ tấn công giấu mã độc ở đâu?

Điểm đặc biệt của chiến dịch là vị trí cất giấu. Mã độc được đóng gói trong một tệp nén CAB của Windows và đặt ngay trong thư mục C:\Windows\SoftwareDistribution\Download – nơi hệ điều hành lưu các gói cập nhật tải về. Đây là thư mục mà quản trị viên và nhiều phần mềm bảo mật thường coi là “đáng tin”, nên mã độc dễ lọt qua vòng kiểm tra.

Theo phân tích, kẻ tấn công có thể đã xâm nhập một nhà cung cấp phần mềm bên thứ ba, sau đó lợi dụng kênh phân phối hợp lệ của nhà cung cấp này để đưa mã độc xuống máy người dùng. Đây là dạng tấn công chuỗi cung ứng: không cần đánh trực tiếp vào nạn nhân mà đi đường vòng qua đối tác mà nạn nhân tin tưởng.

Kỹ thuật chạy mã độc bên trong ứng dụng hợp lệ

NetamLoader dùng một tệp cấu hình .config để thực hiện kỹ thuật chèn AppDomainManager. Nói đơn giản, khi một ứng dụng .NET hợp lệ khởi động, nó sẽ đọc tệp cấu hình này và vô tình nạp thêm thư viện do kẻ tấn công cài vào. Kết quả tương tự kỹ thuật “DLL sideloading”: mã độc chạy bên trong tiến trình của một phần mềm đáng tin nên khó bị phát hiện.

Các giai đoạn tiếp theo gồm nhiều lớp dữ liệu được mã hóa, nén và mã hóa Base64, trong đó có thành phần vô hiệu hóa AMSI (giao diện quét chống mã độc của Windows) và phần cấu hình máy chủ điều khiển (C2). Mỗi lớp chỉ được giải ra khi cần, khiến việc phân tích và phát hiện bằng chữ ký truyền thống trở nên khó khăn hơn.

Vì sao doanh nghiệp Việt Nam cần quan tâm?

  • Windows 10 đã hết hỗ trợ: Microsoft ngừng hỗ trợ Windows 10 từ tháng 10/2025. Nhiều văn phòng tại Việt Nam vẫn dùng Windows 10 không có bản vá bảo mật mới, càng dễ trở thành mục tiêu.
  • Phụ thuộc nhiều phần mềm bên thứ ba: phần mềm kế toán, hóa đơn điện tử, chữ ký số, quản lý bán hàng… đều có cơ chế tự cập nhật. Nếu một nhà cung cấp bị xâm nhập, mọi khách hàng của họ đều có thể bị ảnh hưởng.
  • Thư mục hệ thống ít được giám sát: nhiều nơi chỉ quét ổ dữ liệu, bỏ qua thư mục cập nhật và cấu hình ứng dụng.

Khuyến nghị thực tế

1. Nâng cấp hệ điều hành và giữ bản vá đầy đủ

Lên kế hoạch chuyển các máy còn chạy Windows 10 sang Windows 11 bản quyền, bật Windows Update và kiểm tra định kỳ trạng thái cập nhật. Tham khảo các phiên bản Hệ điều hành Windows bản quyền tại DTIC.

2. Dùng giải pháp bảo mật có giám sát hành vi

Phần mềm diệt virus chỉ dựa vào chữ ký khó chống lại mã độc nhiều lớp. Doanh nghiệp nên chọn giải pháp có giám sát hành vi, phát hiện việc tắt AMSI, tiến trình lạ nạp thư viện và kết nối ra máy chủ lạ. Xem thêm các gói phần mềm diệt virus dành cho doanh nghiệp.

3. Kiểm soát phần mềm và nhà cung cấp

Lập danh sách phần mềm được phép cài, chỉ tải từ nguồn chính thức, theo dõi thông báo bảo mật của nhà cung cấp. Với máy quan trọng, có thể dùng chính sách chặn ứng dụng không được phê duyệt (AppLocker, WDAC).

4. Theo dõi các vị trí “đáng tin”

Thêm cảnh báo khi xuất hiện tệp .config, .dll hoặc .cab bất thường trong thư mục cập nhật và thư mục cài đặt ứng dụng; lưu nhật ký và giữ ít nhất vài tháng để phục vụ điều tra.

Kết luận

NetamLoader cho thấy kẻ tấn công ngày càng ưu tiên lợi dụng những gì doanh nghiệp tin tưởng: thư mục cập nhật, ứng dụng hợp lệ và nhà cung cấp quen thuộc. Cập nhật hệ điều hành, chọn giải pháp bảo mật phù hợp và kiểm soát phần mềm là ba việc nên làm ngay. Đội ngũ DTIC sẵn sàng tư vấn qua Hotline/Zalo 0913.745.698.

Nguồn tham khảo