Tổng quan
Một chiến dịch tấn công tinh vi vừa được phát hiện, trong đó kẻ tấn công phát tán một bộ cài giả mạo Microsoft Teams (MSTeamsSetup.exe) nhằm lén đưa vào hệ thống một phiên bản RustDesk đã bị trojan hóa.
Điểm khiến chiến dịch này trở nên đặc biệt nguy hiểm nằm ở chỗ: file độc hại được ký bằng chữ ký số hợp lệ mang tên “Zlatin Stamatov”. Nhờ lớp “vỏ bọc” này, malware dễ dàng vượt qua các cơ chế phòng thủ quen thuộc như AV hay EDR — những hệ thống vốn tin tưởng phần mềm đã được ký số.
Ẩn sâu phía sau là một hạ tầng điều khiển (C2) có nhiều dấu hiệu trùng khớp với các hoạt động trước đây của nhóm “calipology”, vốn được biết đến với framework Striker C2. Thay vì phát triển mã độc từ đầu, kẻ tấn công chọn một con đường “khôn ngoan” hơn: lợi dụng một công cụ hợp pháp như RustDesk, nhưng âm thầm cấu hình lại để tự động kết nối về máy chủ của chúng ngay khi được cài đặt.
Timeline sự kiện
Chiến dịch cho thấy sự chuẩn bị dài hạn về mặt hạ tầng trước khi triển khai thực tế:
| Thời gian |
Sự kiện |
Chi tiết |
| 07/05/2025 |
Đăng ký Domain |
systemautoupdater[.]com được đăng ký qua GoDaddy. |
| 01/06/2025 |
Cấu hình DNS |
Cập nhật bản ghi DNS, thiết lập hạ tầng ẩn mình trong gần 1 năm. |
| 14/03/2026 |
Cấp phát Chứng chỉ |
Chữ ký số phát hành cho "Zlatin Stamatov" (Certum Code Signing). |
| 09/04/2026 |
Phát hiện |
Các mẫu mã độc đầu tiên xuất hiện trên MalwareBazaar và CAPE Sandbox. |
Ảnh hưởng chính
Mức độ nguy hiểm của chuỗi tấn công này không nằm ở việc dùng kỹ thuật quá phức tạp, mà ở chỗ nó “qua mặt” được hệ thống phòng thủ hiện tại của doanh nghiệp
Qua mặt EDR nhờ được “tin tưởng sẵn” (whitelist): Kẻ tấn công lợi dụng các phần mềm điều khiển máy tính từ xa như RustDesk, AnyDesk hoặc TeamViewer. Đây là những công cụ hợp pháp nên thường được công ty cho phép sẵn. Vì vậy, khi mã độc ẩn bên trong các phần mềm này, hệ thống bảo mật (EDR, Antivirus) sẽ bỏ qua, không kiểm tra kỹ → đội SOC gần như không nhìn thấy gì bất thường.
Ẩn mình lâu dài trên máy nạn nhân: Khác với virus thông thường dễ gây lỗi hoặc làm chậm máy, phiên bản RustDesk bị chỉnh sửa vẫn hoạt động bình thường. Người dùng thậm chí còn nghĩ là mình cài theo yêu cầu IT. Điều này khiến kẻ tấn công có thể âm thầm tồn tại trong hệ thống hàng tuần hoặc hàng tháng mà không bị nghi ngờ.
Mở đường cho đánh cắp dữ liệu và ransomware: Khi đã kiểm soát được máy, hacker có thể:
Xem màn hình, sao chép dữ liệu clipboard
Lấy mật khẩu từ trình quản lý mật khẩu
Dùng công cụ như Rclone để tải dữ liệu ra ngoài
Chi tiết quy trình lây nhiễm
Bước 1: Dẫn dụ (SEO Poisoning / Malvertising)
Trong chiến dịch này kẻ tấn công sử dụng các kỹ thuật SEO Poisoning hoặc chạy quảng cáo giả mạo (Malvertising) trên các công cụ tìm kiếm. Khi người dùng tìm kiếm từ khóa "Download Microsoft Teams"* hoặc *"MS Teams setup", họ sẽ được dẫn đến một trang web giả mạo có giao diện tương tự trang chủ của Microsoft nhưng thực chất được lưu trữ trên hạ tầng của kẻ tấn công (ví dụ: các subdomain của systemautoupdater[.]com).
Bước 2: Tải xuống và Vượt rào bảo mật (Signed Payload)
Sau khi đã đến trang Web của kẻ tấn công, tại đây người dùng sẽ thực hiện tải về file MSTeamsSetup.exe (dung lượng khoảng 14.3 MB) - tất nhiên file này đã bị nhúng các đoạn mã độc hại .
Lớp phòng thủ đầu tiên là Windows SmartScreen thường sẽ cảnh báo nếu file không có chữ ký số. Tuy nhiên, kẻ tấn công đã nhúng một chữ ký số hợp lệ:
Signer: Zlatin Stamatov
Issuer: Certum Code Signing 2021 CA
Thumbprint: 0c8bb17a1c27a39817f4e1bd74b6c616fba3faef909f94772e685e64fe34cef3
Việc có chữ ký số giúp file này "vượt mặt" nhiều giải pháp AV cơ bản và tạo ra một sự yên tâm giả tạo cho người dùng khi kiểm tra thuộc tính file (Properties -> Digital Signatures).
Bước 3: Thực thi và Chiếm quyền (Trojanized RustDesk)
Khi người dùng chạy file installer:
Silent Execution: Thay vì cài đặt Teams, file này thực chất là một wrapper bao bọc client RustDesk. Nó sẽ tự động giải nén và thực thi các thành phần của RustDesk trong thư mục tạm (%TEMP% hoặc %APPDATA%).
Hardcoded Configuration: Phiên bản RustDesk này đã được chỉnh sửa (weaponized) để bỏ qua các bước xác nhận kết nối thông thường. Các tham số như ID Serer, Relay Server, và Key được chỉ định sẵn để trỏ về hạ tầng của kẻ tấn công.
Establishment: Một kết nối mã hóa được thiết lập đến mon.systemautoupdater[.]com. Kẻ tấn công lúc này có thể thấy máy nạn nhân xuất hiện trong danh sách điều khiển của chúng.
Phân tích hạ tầng và OPSEC Failures
Hạ tầng của chiến dịch này cho thấy một sự mâu thuẫn giữa việc chuẩn bị kỹ lưỡng và sai lầm trong OPSEC (Operational Security).
Sự trùng khớp hạ tầng (Infrastructure Overlap)
Máy chủ C2 tại IP 23.27.141[.]44 (EvoXT, New York) đang phục vụ các dịch vụ cực kỳ đáng ngờ:
Port 443 (HTTPS): Sử dụng chứng chỉ TLS được cấp cho calipology[.]com. Đây là chìa khóa liên kết chiến dịch này với đối tượng "calipology" trên Telegram - một đối tượng đã được theo dõi trong các chiến dịch Striker C2 trước đây.
Port 3004 (Trading Bots): Một bảng điều khiển quản lý bot giao dịch tiền điện tử (viết bằng Svelte/Vue) được expose công khai. Điều này cho thấy mục tiêu tài chính cuối cùng của kẻ tấn công có thể là chiếm quyền truy cập ví hoặc thực hiện giao dịch trái phép trên máy nạn nhân.
Port 21 (FTP): vFTPd 3.0.5 được mở với cấu hình yêu cầu login, thường dùng để exfiltrate dữ liệu từ máy nạn nhân về server trung tâm.
Những sơ hở điển hình
Reuse of TLS Property: Việc để chứng chỉ của calipology[.]com trên cùng một server với mã độc là một sai lầm lớn, giúp các nhà nghiên cứu xâu chuỗi danh tính.
Redirection: Truy cập trực tiếp vào port 443 của IP C2 sẽ bị redirect về https://calipology[.]co[.]uk - trang web của một doanh nghiệp thật tại Anh (phục hồi má phanh). Đây có thể là một nỗ lực nhằm tạo vỏ bọc "doanh nghiệp hợp pháp" cho các hoạt đ
Nhận định chuyên gia
Chiến dịch "Calvary" là minh chứng cho xu hướng "Living-off-the-Land Tools" (LotLT). Thay vì tốn nguồn lực phát triển mã độc Rat tinh vi, kẻ tấn công chỉ cần tùy chỉnh các phần mềm Remote Desktop hợp pháp.
Tại Việt Nam, rủi ro từ các bộ cài phần mềm từ "nguồn ngoài" (Google search link thay vì trang chủ) vẫn luôn ở mức cao do thói quen của người dùng doanh nghiệp nhỏ và vừa. Việc mã độc có chữ ký số hợp lệ càng làm tăng nguy cơ lọt qua các vòng kiểm soát của đội ngũ IT vốn thường ưu tiên whitelist cho các ứng dụng đã được ký số. Ngoài ra, việc phát hiện bảng điều khiển "Trading Bot" cho thấy đối tượng người dùng cá nhân có tham gia giao dịch tiền điện tử là mục tiêu trọng tâm của nhóm này.
MITRE ATT&CK Mapping
| Tactic |
Technique |
ID |
| Resource Development |
Acquire Infrastructure: VPS |
T1583.003 |
| Resource Development |
Obtain Capabilities: Code Signing Certificates |
T1588.003 |
| Initial Access |
Drive-by Compromise |
T1189 |
| Execution |
User Execution: Malicious File |
T1204.002 |
| Defense Evasion |
Subvert Trust Controls: Code Signing |
T1553.002 |
| Defense Evasion |
Masquerading: Match Legitimate Name |
T1036.005 |
| Command and Control |
Application Layer Protocol: Web |
T1071.001 |
| Command and Control |
Remote Access Software |
T1219 |
IOC & Artifacts
Network Indicators
C2 Domain: mon.systemautoupdater[.]com
C2 IP: 23.27.141[.]44 (EvoXT)
Infrastructure Domains: systemautoupdater[.]com, calipology[.]com
Redirect Target: calipology[.]co[.]uk
File Indicators
Filename: MSTeamsSetup.exe
SHA256: d01148808fbeefa22cd4541cdaaee8bc1f74e3045302115dc5b08b99ff93dc9c
Cert Serial: 57193231454133499427671191024346513426
Cert Thumbprint: 0C8BB17A1C27A39817F4E1BD74B6C616FBA3FAEF909F94772E685E64FE34CEF3
Khuyến nghị (Mitigation)
Immediate (0-24h)
Chặn toàn bộ IP và Domain trong danh sách IOC tại lớp tường lửa/Proxy.
Rà soát log DNS hoặc log Proxy để tìm kiếm các kết nối đến subdomain của systemautoupdater[.]com.
Thực hiện Threat Hunting trên EDR tìm kiếm các process RustDesk thực thi từ đường dẫn không phổ biến hoặc có tham số kết nối ra ngoài đáng ngờ.
Short-term (1-7 ngày)
Triển khai chính sách chặn thực thi các ứng dụng không được IT phê duyệt (Application Whitelisting/AppLocker).
Cảnh báo người dùng về việc ưu tiên sử dụng Microsoft Store hoặc trang chủ microsoft.com để tải MS Teams.
Long-term
Thiết lập quy trình kiểm tra định kỳ các chứng chỉ số (Code Signing) lạ xuất hiện trong hệ thống.
Chuyển dịch sang mô hình Zero Trust, kiểm soát chặt chẽ các kết nối điều khiển từ xa (RMM) kể cả của các công cụ "hợp pháp".
Tham khảo
https://intel.breakglass.tech/post/systemautoupdater-23-27-141-44 https://bazaar.abuse.ch/sample/d01148808fbeefa22cd4541cdaaee8bc1f74e3045302115dc5b08b99ff93dc9c/ https://www.capesandbox.com/analysis/60828/
Analysis MSTeamsSetup.exe (MD5: FF8505309831284BFF66A1CFD5049DAC) Malicious activity - Interactive analysis ANY.RUN
