# Osiris: Ransomware mới đang âm thầm vô hiệu hóa antivirus bằng driver độc hại

## **Tổng quan**

Trong thế giới ransomware hiện nay, nơi các nhóm tấn công liên tục sao chép, đổi tên và tái sử dụng công cụ cũ thì **Osiris** xuất hiện như một lời nhắc nhở lạnh lùng rằng cuộc chơi vẫn đang tiến hóa. Không ồn ào, không tuyên bố rầm rộ trên các diễn đàn ngầm, **Osiris** đã lựa chọn cách xâm nhập âm thầm vào hệ thống, vô hiệu hóa lớp phòng thủ cốt lõi bằng driver độc hại, đánh cắp dữ liệu trước khi mã hóa và để lại phía sau một hạ tầng tê liệt.

Đặc biệt vào tháng 11 năm 2025, khi các nhà phân tích đã ghi nhận chiến dịch **Osiris** nhắm vào một tập đoàn kinh doanh chuỗi thực phẩm lớn tại Đông Nam Á. Dù là ransomware mới nhưng các công cụ và kỹ thuật sử dụng cho thấy đây là nhóm threat actor có kinh nghiệm, với nhiều dấu hiệu liên kết đến Inc ransomware group và Medusa ransomware.

Bài phân tích bên dưới sẽ cho các bạn một cái nhìn tổng quan và chi tiết nhất về **Osiris Malware,** từ tác động của mã độc này đến mục tiêu cũng như luồng thực hiện mà những kẻ tấn công đang âm thầm thực hiện trên hệ thống của bạn.

![](https://cdn.hashnode.com/res/hashnode/image/upload/v1769531630855/8f1bfa50-1be7-420b-9833-dc6265833436.png align="center")

## **Mục tiêu và Tác động**

* Nhắm vào doanh nghiệp lớn ngành F&B tại Đông Nam Á.
    
* Mã hóa dữ liệu kết hợp đánh cắp thông tin (double extortion).
    
* Vô hiệu hóa phần mềm bảo mật thông qua kỹ thuật BYOVD.
    
* Exfiltration dữ liệu lên cloud storage trước khi mã hóa.
    

## **Kỹ thuật BYOVD**

![Exploit Party: Bring Your Own Vulnerable Driver Attacks](https://fourcore.io/images/byovd/BYOVD.png align="center")

Như đã nói thì chiến dịch lần này kẻ tấn công sẽ thực hiện kỹ thuật **BYOVD - Bring Your Own Vulnerable Driver** để phá hoại và xâm nhập hệ thống mục tiêu. Vậy đây là kỹ thuật gì?

**BYOVD (Bring Your Own Vulnerable Driver)** là một **kỹ thuật tấn công ở mức kernel**, trong đó kẻ tấn công **tự mang theo (bring your own)** một **driver hợp pháp nhưng tồn tại lỗ hổng bảo mật**, sau đó **nạp driver này vào hệ thống nạn nhân** để:

* Leo thang đặc quyền lên **Ring 0 (kernel mode).**
    
* Vô hiệu hóa antivirus / EDR.
    
* Bỏ qua các cơ chế bảo vệ của hệ điều hành.
    
* Thực thi hành vi mà user-mode malware không thể làm được.
    

Một chuỗi tấn công của **BYOVD** sẽ thông qua 5 giai đoạn cụ thể với mỗi một giai đoạn đều sẽ mang ảnh hưởng riêng của chúng.

* Bước 1: Xâm nhập ban đầu.
    
* Bước 2: Đưa driver dễ bị tấn công vào hệ thống.
    
* Bước 3: Load driver.
    
* Bước 4: Khai thác lỗ hổng trong driver.
    
* Bước 5: Thực hiện hành vi độc hại.
    

## **Luồng tần công**

![](https://cdn.hashnode.com/res/hashnode/image/upload/v1769566442142/4b130fc1-16f5-49b4-be1e-cb58aaa47dca.png align="center")

Với giai đoạn đầu tiên là quá trình xâm nhập ban đầu vào hệ thống, tại đây những kẻ tấn công sẽ cố gắng giành được **điểm đặt chân đầu tiên (initial foothold)** trong hệ thống nạn nhân. Với một số kỹ thuật truyền thông được ghi nhận như: **Phishing email, RDP exposed, khai thác dịch vụ public-facing chưa vá hay tải mã độc qua loader / dropper** thì kẻ tấn công sẽ có được quyền truy cập vào hệ thống mục tiêu.

Sau khi đã xâm nhập thành công chúng bắt đầu thiết lập môi trường để tải thêm công cụ và chuẩn bị tấn công mở rộng. Ở giai đoạn này sẽ tải các backdoor hoặc tool quản trị từ xa **(RAT, remote agent).**

![](https://cdn.hashnode.com/res/hashnode/image/upload/v1769567015941/00b0141c-19e5-4ddd-8044-c3a4b7710438.png align="center")

Bên cạnh đó chúng sẽ thiết lập các cơ chế duy trì trên hệ thống mục tiêu với việc sử dụng các tiến trình hợp pháp của Windows: `Scheduled Task`, `Service` hoặc `Registry Run Key`. Trong chiến dịch đã ghi nhận 2 domain C2 được những kẻ tấn công sử dụng để duy trì và nhận dữ liệu:

* **ausare.net**
    
* **wesir.net**
    

![](https://cdn.hashnode.com/res/hashnode/image/upload/v1769567174405/6f6e646e-bace-42e7-b531-06ce96d16c20.png align="center")

Đến với giai đoạn tiếp theo là triển khai BYOVD, đây được xem là một trong những mắt xích quan trọng nhất giúp cho chiến dịch thành công. Kẻ tấn công đã thiết lập **Poortry/Abyssworker driver giả mạo Malwarebytes anti-exploit driver.** Hiểu đơn giản là chúng load driver hợp pháp nhưng có lỗ hổng. Với hành vi như thế kẻ tấn công có thể dễ dàng:

* Kill process bảo mật.
    
* Disable callback.
    
* Bypass self-protection.
    

Đây được xem như là “trái tim“ của chiến dịch, khi lớp phòng thủ đã được hạ thì dĩ nhiên mọi điều diễn ra sau đó cũng sẽ vô cùng thuận lợi với kẻ tấn công.

Ngay sau bước này kẻ tấn công sẽ mở rộng phạm vi kiểm soát của chúng lên toàn bộ hệ thống và doamin. Tại đây kẻ tấn công sẽ thực hiện **Dump credential (LSASS, token)** để lấy **Domain admin và Service account.** Một khi đã có được những thông tin này thì chúng tiếp tục di chuyển ngang hàng trong mạng nội bộ: SMB, RDP hoặc Remote execution.

![](https://cdn.hashnode.com/res/hashnode/image/upload/v1769568188425/9d55b662-a3b6-48e5-8eff-8414d84b55f3.png align="center")

Tiếp theo mục tiêu của chúng sẽ là thu thập file quan trọng: Tài chính, hợp đồng hay dữ liệu khách hàng và thực hiện upload lên cloud cũng như server trung gian. Như bạn cũng biết đến với bước này thì backup không còn đủ để sửa chữa những gì đang xảy ra nữa.

Đương nhiên cuối cùng là mã hóa dữ liệu thông qua hybrid: **ECC + AES-128-CTR, mỗi file sử dụng AES key riêng.** File bị mã hóa được thêm extension `.Osiris`.

![](https://cdn.hashnode.com/res/hashnode/image/upload/v1769568517883/c017ae5a-c641-4738-b6ab-777d7ff64c6f.png align="center")

Để tăng sức ảnh hưởng lên mục tiêu kẻ tấn công tiếp tục đe dọa công bố dữ liệu, đếm ngược thời gian hoặc chứng minh dữ liệu có thật nhằm gia tăng sức ép lên con mồi và đòi tiền chuộc.

![](https://cdn.hashnode.com/res/hashnode/image/upload/v1769569918281/2a6ae5cc-b660-4962-8454-62598888e958.png align="center")

## **Kết luận**

Osiris không đơn thuần là một biến thể ransomware mới, mà là **minh chứng rõ ràng cho sự tiến hóa của các chiến dịch tấn công mạng hiện đại**. Việc kết hợp kỹ thuật **BYOVD để vô hiệu hóa giải pháp bảo mật**, đánh cắp dữ liệu trước khi mã hóa và phá hủy cơ chế phục hồi cho thấy ransomware ngày nay đã trở thành **một chuỗi tấn công có tổ chức, nhiều lớp và được chuẩn bị kỹ lưỡng**.

Điều đáng lo ngại không nằm ở bản thân Osiris, mà ở **xu hướng** mà nó đại diện: tin tặc đang khai thác chính những thành phần được hệ điều hành tin cậy nhất như driver và công cụ hợp pháp để qua mặt phòng thủ truyền thống. Trong bối cảnh đó, các mô hình bảo mật dựa vào antivirus đơn lẻ hay phản ứng sau sự cố đã không còn đủ hiệu quả.

Bài học rút ra là rõ ràng: **phòng thủ phải đi trước tấn công**. Việc kiểm soát driver, giám sát hành vi bất thường, quản lý quyền truy cập chặt chẽ và duy trì chiến lược sao lưu an toàn không còn là “khuyến nghị”, mà là **yêu cầu bắt buộc**. Osiris chỉ là một cái tên mới trong danh sách ransomware, nhưng những kỹ thuật mà nó sử dụng nhiều khả năng sẽ còn tiếp tục xuất hiện dưới các hình thức tinh vi hơn trong tương lai.

## **Khuyến nghị**

1. **Bảo vệ hệ thống**
    
    * **Luôn cập nhật Windows** và driver từ nguồn chính thống (Windows Update).
        
    * **Không cài driver, phần mềm crack, keygen** → đây là con đường rất phổ biến để ransomware xâm nhập.
        
    * Sử dụng **antivirus có khả năng chống BYOVD** (Defender với Memory Integrity bật, hoặc EDR uy tín).
        
2. **Sao lưu dữ liệu**
    
    * Backup theo nguyên tắc **3-2-1**:
        
        * 3 bản sao
            
        * 2 loại lưu trữ khác nhau
            
        * 1 bản **offline / không cắm thường xuyên**
            
    * Không để ổ backup luôn kết nối máy tính.
        
3. **Đề phòng với những tệp tin / email lạ**
    
    * Không mở file đính kèm lạ (đặc biệt `.exe`, `.zip`, `.iso`, `.lnk`).
        
    * Cẩn trọng email giả mạo IT, hóa đơn, thông báo bảo mật.
        
    * Tắt **macro trong Office** nếu không thực sự cần.
        
4. **Quản lý truy cập**
    
    * **Bật MFA cho RDP, VPN, email, admin**
        
    * Không để RDP public Internet.
        
    * Áp dụng **least privilege** (không dùng admin hằng ngày).
        

## **IOCs**

1. **File Hash**
    
    * fff586c95b510e6c8c0e032524026ef22297869a86d14075cd601ca8e20d4a16
        
    * c74509fcae41fc9f63667dce960d40907f81fae09957bb558d4c3e6a786dde7d
        
    * fc39cca5d71b1a9ed3c71cca6f1b86cfe03466624ad78cdb57580dba90847851
        
    * d78f7d9b0e4e1f9c6b061fb0993c2f84e22c3e6f32d9db75013bcfbba7b64bc3
        
    * 824e16f0664aaf427286283d0e56fdc0e6fa8698330fa13998df8999f2a6bb61
        
    * 231e6bee1ee77d70854c1e3600342d8a69c18442f601cd201e033fa13cb8d5a5
        
    * 44748c22baec61a0a3bd68b5739736fa15c479a3b28c1a0f9324823fc4e3fe34
        
    * Ce719c223484157c7f6e52c71aadaf496d0dad77e40b5fc739ca3c51e9d26277
        
    * 8c378f6200eec750ed66bde1e54c29b7bd172e503a5874ca2eead4705dd7b515
        
    * 79bd876918bac1af641be10cfa3bb96b42c30d18ffba842e0eff8301e7659724
        
    * C189595c36996bdb7dce6ec28cf6906a00cbb5c5fe182e038bf476d74bed349e
        
    * 5c2f663c8369af70f727cccf6e19248c50d7c157fe9e4db220fbe2b73f75c713
        
    * 44e007741f7650d1bd04cca3cd6dfd4f32328c401f95fb2d6d1fafce624cc99e
        
    * D524ca33a4f20f70cb55985289b047defc46660b6f07f1f286fa579aa70cf57a
        
    * 5bd82a1b2db1bdc8ff74cacb53823edd8529dd9311a4248a86537a5b792939f8
        
    * 534bd6b99ed0e40ccbefad1656f03cc56dd9cc3f6d990cd7cb87af4cceebe144
        
    * 39a0565f0c0adc4dc5b45c67134b3b488ddb9d67b417d32e9588235868316fac
        
2. **Malicious Domain**
    
    * ausare.net
        
    * wesir.net
        

## **Tham khảo**

1. [Osiris: New Ransomware, Experienced Attackers? | SECURITY.COM](https://www.security.com/threat-intelligence/new-ransomware-osiris)
    
2. [New Osiris Ransomware Emerges as New Strain Using POORTRY Driver in BYOVD Attack](https://thehackernews.com/2026/01/new-osiris-ransomware-emerges-as-new.html)