Phân tích Spirals Ransomware: Mã độc có thể mã hóa toàn bộ doanh nghiệp trong chưa đầy 24 giờ

Tổng Quan

Một chiến dịch tấn công bằng dòng mã độc tống tiền mới mang tên Spirals đã ghi nhận vụ việc đầu tiên mã hóa thành công toàn bộ hệ thống của một công ty dịch vụ IT tại Nam Á chỉ trong vòng chưa đầy 24 giờ từ khi xâm nhập. Được phát hiện bởi đội ngũ Threat Hunter của Symantec vào giữa tháng 7/2026, nhóm tin tặc Spirals áp dụng mô hình tống tiền kép (double-extortion) bằng cách đánh cắp dữ liệu nhạy cảm trước khi tiến hành mã hóa diện rộng và đặt thời hạn thanh toán là 6 ngày. Rủi ro lớn nhất đối với các doanh nghiệp là tốc độ dwell time cực ngắn của nhóm này, khiến các phương thức phòng thủ phản ứng (reactive defense) truyền thống trở nên vô hiệu.

Hồ Sơ Nhóm Tin Tặc Spirals

Nhóm tin tặc Spirals (được đặt tên theo dòng mã độc tống tiền chính của chúng) là một nhóm tác nhân đe dọa mới xuất hiện trên bản đồ an ninh mạng toàn cầu từ giữa năm 2026.

• Động cơ hoạt động: Tài chính. Nhóm sử dụng trang thương lượng trên mạng Tor để đe dọa công khai dữ liệu của nạn nhân nếu không nhận được tiền chuộc.

• Phương thức vận hành: Chuyên nghiệp và có tính kỷ luật cao. Thay vì sử dụng các mã độc tự phát triển cho toàn bộ vòng đời tấn công, nhóm tin tặc này ưu tiên sử dụng kết hợp giữa các công cụ quản trị hệ thống hợp pháp sẵn có (Living-off-the-Land) và các công cụ nguồn mở phổ biến để giảm thiểu dấu vết phát hiện. Các phiên tấn công được thực hiện trực tiếp (hands-on-keyboard) bởi hacker để vượt qua các chốt chặn bảo mật theo thời gian thực.

• Quy kết (Attribution): Hiện tại, các cơ quan an ninh mạng và các nhà nghiên cứu bảo mật chưa quy kết chính thức nhóm tin tặc Spirals cho bất kỳ quốc gia hay nhóm APT đã biết nào.

Timeline Sự Kiện

Diễn biến vụ tấn công điển hình của nhóm Spirals diễn ra trong chưa đầy 24 giờ, mô tả quá trình từ xâm nhập ban đầu cho đến khi hệ thống bị tê liệt hoàn toàn:

Mốc thời gian	Giai đoạn tấn công	Hành vi chi tiết của nhóm Spirals
T0 (00:00)	Initial Compromise	Khai thác máy chủ web IIS hướng Internet, tải lên ASP.NET web shell.
T0 + 2h	Credential Harvesting	Hacker tương tác trực tiếp qua web shell, bypass UAC, dump SAM hive và LSASS.
T0 + 4h	Persistence	Kích hoạt Remote Desktop Protocol (RDP), tạo các tài khoản quản trị cục bộ mới.
T0 + 8h	Tunneling & C2	Triển khai Chisel (ngụy trang dưới tên chrome.exe) và Cloudflare Tunnel để thiết lập kênh kết nối ngầm.
T0 + 12h	Lateral Movement	Di chuyển ngang trong mạng nội bộ thông qua công cụ PsExec và WMI.
T0 + 18h	Data Exfiltration	Thu thập dữ liệu nhạy cảm và tải lên máy chủ của kẻ tấn công qua các kênh tunnel đã thiết lập.
T0 + 22h	Service Disruption	Chủ động vô hiệu hóa các dịch vụ sao lưu dữ liệu (Veeam), ảo hóa (VMware) và trình diệt virus (Windows Defender).
T0 + 23h	Payload Execution	Phát tán payload ransomware Spirals (ngụy trang dưới dạng bitsadmin.exe) và tiến hành mã hóa hàng loạt.

Quy Trình Tấn Công

Quy trình tấn công của nhóm tin tặc Spirals tuân thủ chặt chẽ các bước nhằm đạt hiệu suất tối đa trong thời gian ngắn nhất:

Sự nguy hiểm trong quy trình này nằm ở việc nhóm tin tặc duy trì kết nối C2 thông qua các công cụ tạo đường hầm hợp pháp như Cloudflare Tunnel và Chisel. Việc ngụy trang file thực thi Chisel dưới tên chrome.exe dễ dàng đánh lừa các giải pháp giám sát tiến trình cơ bản nếu không phân tích kỹ tham số dòng lệnh và đích đến của kết nối mạng.'

Pharse 1: Xâm nhập ban đầu - Khai Thác IIS Web Server (T1190)

Kẻ tấn công nhắm vào một IIS web server tiếp xúc internet, upload một ASP.NET web shell để có foothold ban đầu. Web shell cho phép thực thi lệnh tùy ý thông qua IIS worker process (w3wp.exe), tạo nền tảng cho toàn bộ chuỗi tấn công tiếp theo.

Đây không phải zero-day. Đây là khai thác bề mặt tấn công sẵn có: một web server không được bảo vệ đủ tốt, tiếp xúc trực tiếp với internet.

Phase 2: Thiết Lập Đa Kênh C2 (T1059.001, T1572)

Trong 10 phút đầu tiên, ba tunneling tool được deploy song song:

• tunn.exe — tunnel tool, đặt tại web production directory và Windows Tasks folder

• revsocks.exe — reverse SOCKS5 proxy, kết nối ngược về IP attacker trên port 443

• chrome.exe (thực chất là Chisel) — tunneling tool đổi tên để giả lập Google Chrome

• Cloudflare Tunnel client (cloudflared-windows-amd64.exe) — thêm một kênh outbound mã hóa thứ tư

Sự kết hợp này tạo ra bốn kênh C2 độc lập và dự phòng, đảm bảo kết nối ngay cả khi một hoặc hai kênh bị chặn bởi firewall hay IDS. Kỹ thuật đặt file tại Windows\tasks\ là cách phổ biến để blend in với scheduled task binaries hợp lệ.

Phase 3: Thiết lập quyền duy trì trên hệ thống mục tiêu

• UAC bypass được thực hiện để leo lên local administrator

• RDP được bật để duy trì kênh remote access thứ yếu

• Local account mới được tạo để có persistence độc lập với web shell

• tokens.exe — token impersonation tool để acquire elevated privileges trên host

Pharse 4: Thu Thập Credential Trên Diện Rộng (T1003.002, T1003.001)

Hai phương pháp credential harvesting song song:

1. SAM hive dump — dump toàn bộ Security Account Manager hive vào một archive có password. Phương pháp này lấy local account hashes.

2. LSASS memory dump — thực hiện trên nhiều máy trong quá trình lateral movement, sử dụng kỹ thuật sống sót qua binary hợp lệ:

rundll32.exe C:\Windows\System32\comsvcs.dll MiniDump <LSASS_PID> lsass.dmp full

Kết hợp cả hai phương pháp cho phép thu thập cả local credentials lẫn domain credentials — đây là nền tảng cho việc lateral movement với domain admin account.

Pharse 5: Tự Động Hóa Xâm Nhập Toàn Domain (T1021.002, T1047)

Bắt đầu lúc 23:33 ngày 16/6, kẻ tấn công chuyển sang WMI-based lateral movement từ host đầu tiên, nhắm đến hơn 12 máy chỉ trong vài phút đầu. Tốc độ và pattern lệnh cho thấy đây là automated lateral movement — không phải manual targeting.

Các account bị lạm dụng bao gồm account được đánh giá là domain administrator. Việc có domain admin credential từ Phase 4 là điều kiện tiên quyết cho scale tấn công này.

Sang ngày 17/6, PsExec (chạy với quyền SYSTEM) được dùng để deploy payload đến toàn bộ target list đã chuẩn bị sẵn — bao gồm domain controller, file server, application server, VM, và workstation. Tốc độ: hơn 1 target mới mỗi vài giây, liên tục trong khoảng 30 phút.

Phare 6: Mã Hóa Và Double Extortion (T1486, T1489, T1490)

Xem chi tiết trong phần phân tích kỹ thuật Spirals ransomware bên dưới.

Phân Tích Kỹ Thuật Chi Tiết

Initial Access — IIS Web Shell

Web shell ASP.NET được upload lên IIS web server tiếp xúc internet. Từ đó, kẻ tấn công spawn cmd.exe và powershell.exe thông qua IIS worker process (w3wp.exe) — tạo ra một hands-on-keyboard interactive session ngay từ đầu.

Đây là dấu hiệu của một human operator, không phải automated worm. Toàn bộ chuỗi tấn công sau đó đều được điều phối bởi người thật phía sau bàn phím.

Tunneling & C2 Infrastructure

Kẻ tấn công sử dụng chiến thuật defense in depth cho C2: nếu một kênh bị firewall chặn, vẫn còn ba kênh khác hoạt động.

Tool	File Name	Path	Mục đích
Custom tunnel	tunn.exe	%PUBLIC%\, Windows\tasks\	Tunnel chính
Revsocks	revsocks.exe	%PUBLIC%\, Windows\tasks\	Reverse SOCKS5 proxy → attacker IP:443
Chisel	chrome.exe	Windows\tasks\	Tunneling, giả danh Chrome browser
Cloudflare Tunnel	cloudflared-windows-amd64.exe	Web prod directory	Encrypted outbound channel

Payload và tool được deliver từ cùng external IP và hai staging domain, sử dụng extension .jpg để ngụy trang file:

hxxp://185.141.216[.]194/cd.jpg

hxxp://185.141.216[.]194/cd.zip

hxxps://computer.kplus[.]com/cd.zip

hxxps://beta.padmin[.]com/mybenefits/Templates/cd.zip

Credential Harvesting

SAM dump:

reg save HKLM\SAM <output_archive_with_password>

LSASS dump qua living-off-the-land:

rundll32.exe comsvcs.dll, MiniDump <LSASS_PID> lsass.dmp full

Cả hai kỹ thuật đều sử dụng binary có sẵn trên Windows (reg.exe, rundll32.exe, comsvcs.dll) để tránh trigger alert trên nhiều AV/EDR solution.

Defense Evasion — Nghệ Thuật Ngụy Trang

Kẻ tấn công áp dụng nhiều lớp masquerading song song:

• bitsadmin.exe — tên ransomware payload, giả lập Windows utility BITS (Background Intelligent Transfer Service)

• chrome.exe — Chisel tunneling tool, giả lập Google Chrome

• Files .jpg — payload thực tế được serve với extension ảnh

• Chisel đặt tại Windows\tasks\ — path thường chứa scheduled task binary

• Một instance của Spirals payload được drop từ process giả lập svchost.exe tại:

  %APPDATA%\Local\Temp\vbr2116.exe
  

Vô Hiệu Hóa Dịch Vụ Trước Khi Mã Hóa (T1489)

PowerShell payload được gửi qua PsExec thực hiện hai việc theo thứ tự:

Bước 1 — Disable Windows Defender:

powershell

C:\progra~1\window~1\MpCmdRun.exe -RemoveDefinitions -All -DisableRealtimeMonitoring $true Set-MpPreference -DisableIOAVProtection $true Bước 2 — Dừng 23 loại dịch vụ backup/database/virtualization:

powershell

$p=@("excha","hyper","vmms","vmcompute","virtual","veeam", "backup","acronis","veritas","commvault","SQL Server", "oracle","mysql","postgre","intuit","sage","sap","domino") $p|%{$pt=$;Get-WmiObject Win32_Service| ?{($.Name -like $pt)-or($.DisplayName -like $pt)-or($.Description -like $pt)}| ?{$.State -eq 'Running'}|%{Stop-Service -Name $.Name -Force -EA 0}}

Danh sách dịch vụ bị nhắm bao gồm: Exchange, Hyper-V, VMware, Veeam, Acronis, Veritas, Commvault, SQL Server, Oracle, MySQL, PostgreSQL, Intuit, SAP, Lotus Domino. Đây là checklist kinh điển để đảm bảo database và backup process không giữ file handle, làm gián đoạn quá trình mã hóa.

Spirals Ransomware — Phân Tích Kỹ Thuật

Ngôn ngữ lập trình: Rust

Đây là xu hướng đang tăng nhanh trong ransomware ecosystem — Rust cho phép compile thành binary native không phụ thuộc vào runtime, khó decompile hơn so với C/C++, và cross-compile dễ dàng cho nhiều platform.

Sơ đồ mã hóa:

• Mỗi file được mã hóa bằng AES-128 với key riêng (per-file key)

• Per-file AES key được bảo vệ bằng ECDH P-256 public key của attacker — nghĩa là chỉ attacker có private key mới có thể decrypt

• File có kích thước > 5 MB được mã hóa intermittently (theo từng chunk rải rác với jitter) thay vì toàn bộ — kỹ thuật này tăng tốc độ mã hóa đáng kể trên môi trường có nhiều file lớn

Deployment:

PsExec command mẫu được dùng để deploy:

CSIDL_WINDOWS\psexec.exe -accepteula -d -s \ powershell -nop -w 1 -enc

Payload được đặt tại nhiều vị trí để maximize coverage:

CSIDL_WINDOWS\bitsadmin.exe CSIDL_PROFILE\desktop\bitsadmin.exe CSIDL_WINDOWS\sysvol_dfsr\domain\scripts\bitsadmin.exe \\esd\bitsadmin.exe

Việc đặt payload trong SYSVOL domain scripts directory và network share trên domain controller đặc biệt nguy hiểm: cả hai vị trí này được replicate hoặc accessible trên toàn domain, cho phép payload tự lan đến các máy không bị PsExec nhắm trực tiếp.

Ransom note: Ghi tại C:\RECOVERY_SECTION.log trên mọi máy bị ảnh hưởng.

Double extortion: Nạn nhân được chỉ dẫn đến Tor portal để thương lượng. Attacker đe dọa publish dữ liệu đánh cắp sau 6 ngày nếu không trả tiền chuộc.

Capabilities được confirm từ phân tích binary:

• Defense evasion

• File encryption

• Lateral movement

• Process termination

• Obfuscation

• Privilege escalation

Nhận Định Chuyên Gia

Sự kết hợp giữa tốc độ tấn công dưới 24 giờ và việc sử dụng mã độc viết bằng Rust của nhóm Spirals phản ánh hai xu hướng lớn của tội phạm mạng hiện nay:

1. Sự dịch chuyển công nghệ mã độc: Rust đang trở thành ngôn ngữ ưa thích của các nhóm tống tiền nhờ hiệu suất thực thi cao, khả năng bypass các chữ ký nhận dạng tĩnh (static signatures) cũ và tốc độ mã hóa vượt trội thông qua cơ chế đa luồng tự nhiên.

2. Cuộc đua thời gian của các trung tâm SOC: Thời gian dwell time (thời gian hacker nằm trong hệ thống trước khi kích hoạt mã hóa) của các vụ tấn công ransomware trong lịch sử thường kéo dài từ vài tuần đến vài tháng. Với Spirals, con số này co lại chỉ còn dưới một ngày. Điều này đặt các trung tâm SOC vào trạng thái báo động đỏ: nếu không có các kịch bản tự động hóa phản ứng (SOAR) nhằm cô lập máy chủ ngay lập tức khi phát hiện hành vi tunnel hay dump LSASS, việc ngăn chặn bằng con người là không khả thi.

Tại thị trường Việt Nam, rất nhiều doanh nghiệp đang vận hành hệ thống máy chủ web IIS thế hệ cũ hướng ra Internet nhưng thiếu các giải pháp bảo vệ như Web Application Firewall (WAF) và không được giám sát đầy đủ. Đây là lỗ hổng chí mạng dễ bị các nhóm tin tặc như Spirals khai thác làm bàn đạp thọc sâu vào mạng nội bộ doanh nghiệp.

Khuyến Nghị

Immediate (0–24 giờ)

• Audit ngay tất cả IIS server tiếp xúc internet: Kiểm tra các thư mục web root tìm file .aspx, .ashx, .asp mới được tạo hoặc sửa đổi gần đây. File web shell thường xuất hiện tại root hoặc trong thư mục /upload/, /temp/.

# Tìm file .aspx mới tạo trong 30 ngày gần đây trên IIS root
Get-ChildItem -Path "C:\inetpub" -Recurse -Include "*.aspx","*.ashx","*.asp" |
Where-Object { $_.LastWriteTime -gt (Get-Date).AddDays(-30) } |
Select-Object FullName, LastWriteTime, CreationTime

• Block và hunt ngay IOC network: Firewall block IP 185.141.216[.]194 và hai domain staging. Kiểm tra DNS query log và proxy log tìm kết nối đến các domain này.

• Scan hash trên endpoint: Push 7 file hash SHA-256 vào EDR/AV để scan toàn bộ fleet.

• Review IIS access log: Tìm pattern POST request bất thường đến file .aspx không phải từ user agent hợp lệ.

Short-term (1–7 ngày)

• Threat hunting — C2 patterns:

  • Hunt outbound connection trên port 443 từ IIS/web server — đây là bất thường vì web server thông thường chỉ nhận inbound

  • Tìm process w3wp.exe (IIS worker) spawn cmd.exe hoặc powershell.exe — đây là dấu hiệu web shell bị khai thác

  • Detect rundll32.exe gọi comsvcs.dll với argument MiniDump — đây là LSASS dump pattern

# SIGMA rule pseudo-code cho web shell detection
EventID: 4688 (Process Creation)
ParentImage: *\w3wp.exe
Image: *\cmd.exe OR *\powershell.exe
CommandLine: *
→ Alert: IIS spawning shell process

• Kiểm tra Cloudflare Tunnel: Nếu tổ chức không có chủ động dùng Cloudflare Tunnel, bất kỳ binary cloudflared*.exe nào đang chạy đều là red flag. Kiểm tra process list và network connection của chúng.

• Review scheduled tasks và local accounts: Tìm account và scheduled task không được quản lý tập trung, đặc biệt trên server có tiếp xúc internet.

• Đánh giá khả năng detect WMI lateral movement: Nhiều SIEM không enable WMI event logging theo mặc định. Bật Microsoft-Windows-WMI-Activity/Operational event log và tạo detection rule cho WMI remote execution bất thường.

Long-term

• Application layer protection cho IIS: Triển khai WAF (Web Application Firewall) trước IIS server. Nếu không có WAF riêng, tối thiểu phải enable IIS Request Filtering và review upload configuration.

• Network segmentation: Web-facing server KHÔNG nên có direct access đến domain controller hoặc production database. Điều này là điều kiện cần thiết — nhưng trong Spirals attack, attacker đã di chuyển từ IIS server ra toàn bộ domain không gặp rào cản nào.

• Privileged Access Management (PAM): Domain admin account không nên được sử dụng cho daily operation. Việc attacker có domain admin credential từ LSASS dump của một host là leverage họ cần để triển khai ransomware toàn domain.

• Offline backup với air-gap: Đảm bảo có ít nhất một bản backup không kết nối mạng và không nằm trong domain. Mọi backup solution kết nối vào domain (Veeam, Acronis, Veritas) đều nằm trong danh sách dịch vụ Spirals kill trước khi mã hóa.

• IR retainer và tabletop exercise: Chiến dịch < 24 giờ đòi hỏi quy trình IR phải được rehearse trước. Không có thời gian để đọc playbook lần đầu trong sự cố thực.

IOC & Artifacts

File Indicators (SHA-256)

#	SHA-256 Hash	Loại / Classification	Tên File Gốc	Vai Trò Trong Tấn Công
1	0f9574dc38e5c34a31153f0bcc603c6ec29cb3bf65c3d25380dbe86d42573141	Ransomware Payload	bitsadmin.exe, vbr2116.exe	Spirals ransomware — mã hóa AES-128 + ECDH P-256, viết bằng Rust
2	4cab935d0ec400059a3fcdc95b6623efdd51a61dff401fba8d5da244cc2de649	Reverse Proxy Tool	revsocks.exe	Reverse SOCKS5 proxy — tạo kênh C2 ngược về attacker IP port 443
3	7f0d49b11d0a3697685622ce510c570199bf2dc76515b3f9a6b6735de8c9134b	Tunneling Tool	tunn.exe	Network tunnel — kênh C2 chính, deploy trong 10 phút đầu tiên
4	84b9a9a1668145df04faa3d0e118e2f0acbebd3d9d260baf3a355b44c815c22d	Tunneling Tool (Chisel)	chrome.exe	Chisel tunnel đổi tên giả danh Google Chrome
5	862a3ca7e944ccf0ff3a6d556b34faade4b68343015c35a014a43725ac14a2a1	Privilege Escalation Tool	tokens.exe	Token impersonation — leo thang đặc quyền trên host đầu tiên
6	b5d598b00cc3a28cabc5812d9f762819334614bae452db4e7f23eefe7b081556	Tunneling Tool (Cloudflare)	cloudflared-windows-amd64.exe	Cloudflare Tunnel client — kênh outbound mã hóa thứ tư
7	83a7e51f3787ac5a8a9884edd0a58ddbef380969aa6529d282a461a1a614a892	Suspicious / Unclassified	(chưa xác định)	File đáng ngờ — chưa được phân loại cụ thể trong báo cáo gốc

Network Indicators

#	Indicator	Loại	Mô Tả	Mục Đích
1	185.141.216[.]194	IP Address (C2)	Attacker-controlled server	C2 chính + staging server phân phối payload/tool
2	hxxp://185.141.216[.]194/cd.jpg	URL (Staging)	Payload được serve dưới extension .jpg	Disguised payload delivery — defang trước khi deploy rule
3	hxxp://185.141.216[.]194/cd.zip	URL (Staging)	Archive chứa tool/payload	Tool delivery từ C2 IP
4	hxxps://computer.kplus[.]com/cd.zip	URL (Staging Domain)	External staging domain #1	Phân phối payload từ domain bên ngoài
5	hxxps://beta.padmin[.]com/mybenefits/Templates/cd.zip	URL (Staging Domain)	External staging domain #2	Phân phối payload từ domain bên ngoài

File Paths — Ransomware Payload

Path	Ghi Chú
%SystemRoot%\bitsadmin.exe	Vị trí triển khai chính — giả danh Windows BITS utility
%USERPROFILE%\Desktop\bitsadmin.exe	Đặt trên Desktop của người dùng
%SystemRoot%\sysvol_dfsr\domain\scripts\bitsadmin.exe	Nguy hiểm cao — SYSVOL replicate toàn domain
\\<DC>\esd\bitsadmin.exe	Network share trên Domain Controller — accessible toàn domain
%APPDATA%\Local\Temp\vbr2116.exe	Drop từ process giả lập svchost.exe

File Paths — Tunneling & C2 Tools

Path	Tool	Ghi Chú
%PUBLIC%\tunn.exe	Tunnel	Web production directory
%SystemRoot%\tasks\tunn.exe	Tunnel	Blend vào scheduled task binaries
%PUBLIC%\revsocks.exe	Revsocks	Web production directory
%SystemRoot%\tasks\revsocks.exe	Revsocks	Blend vào scheduled task binaries
%SystemRoot%\tasks\chrome.exe	Chisel	Giả danh Google Chrome binary
<webroot>\cloudflared-windows-amd64.exe	Cloudflare Tunnel	Web production directory
<webroot>\tokens.exe	Token Impersonation	Web project directory

MITRE ATT&CK Mapping

Tactic	Technique ID	Technique Name	Ghi chú
Initial Access	T1190	Exploit Public-Facing Application	IIS web server → ASP.NET web shell
Execution	T1059.001	PowerShell	Base64-encoded payload qua PsExec
Execution	T1047	Windows Management Instrumentation	Lateral movement phase
Persistence	T1136.001	Create Local Account	Local account mới để duy trì access
Persistence	T1021.001	Remote Desktop Protocol	RDP được enable
Privilege Escalation	T1548.002	Bypass User Account Control	UAC bypass giai đoạn đầu
Defense Evasion	T1036.005	Match Legitimate Name or Location	bitsadmin.exe, chrome.exe
Defense Evasion	T1027	Obfuscated Files or Information	.jpg extension cho payload
Defense Evasion	T1562.001	Disable or Modify Tools	MpCmdRun.exe disable Defender
Credential Access	T1003.002	Security Account Manager	SAM hive dump
Credential Access	T1003.001	LSASS Memory	rundll32 + comsvcs.dll dump
Discovery	T1082	System Information Discovery	Enumerate users, network shares, installed programs
Lateral Movement	T1021.002	SMB/Windows Admin Shares	PsExec deployment
Lateral Movement	T1047	WMI	Initial automated lateral movement
Command & Control	T1572	Protocol Tunneling	tunn.exe, Chisel, revsocks
Command & Control	T1090.001	Internal Proxy	revsocks SOCKS5
Command & Control	T1102	Web Service	Cloudflare Tunnel
Impact	T1486	Data Encrypted for Impact	AES-128 + ECDH P-256
Impact	T1489	Service Stop	Kill 23 backup/DB services
Impact	T1490	Inhibit System Recovery	[NEEDS VERIFICATION: có xóa shadow copy không — chưa xác nhận từ nguồn]

Tài Liệu Tham Khảo

New Spirals ransomware encrypts victim network in under 24 hours

Spirals: New Stealthy Ransomware Deployed Against Asian IT Company | SECURITY.COM

Spirals Ransomware: 24-Hour Network Attack

New Spirals Ransomware Uses IIS Web Shell and PsExec to Encrypt IT Firm in Under 24 Hours