# Phân tích Spirals Ransomware: Mã độc có thể mã hóa toàn bộ doanh nghiệp trong chưa đầy 24 giờ

## Tổng Quan

Một chiến dịch tấn công bằng dòng mã độc tống tiền mới mang tên Spirals đã ghi nhận vụ việc đầu tiên mã hóa thành công toàn bộ hệ thống của một công ty dịch vụ IT tại Nam Á chỉ trong vòng chưa đầy 24 giờ từ khi xâm nhập. Được phát hiện bởi đội ngũ Threat Hunter của Symantec vào giữa tháng 7/2026, nhóm tin tặc Spirals áp dụng mô hình tống tiền kép (double-extortion) bằng cách đánh cắp dữ liệu nhạy cảm trước khi tiến hành mã hóa diện rộng và đặt thời hạn thanh toán là 6 ngày. Rủi ro lớn nhất đối với các doanh nghiệp là tốc độ dwell time cực ngắn của nhóm này, khiến các phương thức phòng thủ phản ứng (reactive defense) truyền thống trở nên vô hiệu.

## **Hồ Sơ Nhóm Tin Tặc Spirals**

Nhóm tin tặc Spirals (được đặt tên theo dòng mã độc tống tiền chính của chúng) là một nhóm tác nhân đe dọa mới xuất hiện trên bản đồ an ninh mạng toàn cầu từ giữa năm 2026.

*   **Động cơ hoạt động:** Tài chính. Nhóm sử dụng trang thương lượng trên mạng Tor để đe dọa công khai dữ liệu của nạn nhân nếu không nhận được tiền chuộc.
    
*   **Phương thức vận hành:** Chuyên nghiệp và có tính kỷ luật cao. Thay vì sử dụng các mã độc tự phát triển cho toàn bộ vòng đời tấn công, nhóm tin tặc này ưu tiên sử dụng kết hợp giữa các công cụ quản trị hệ thống hợp pháp sẵn có (Living-off-the-Land) và các công cụ nguồn mở phổ biến để giảm thiểu dấu vết phát hiện. Các phiên tấn công được thực hiện trực tiếp (hands-on-keyboard) bởi hacker để vượt qua các chốt chặn bảo mật theo thời gian thực.
    
*   **Quy kết (Attribution):** Hiện tại, các cơ quan an ninh mạng và các nhà nghiên cứu bảo mật chưa quy kết chính thức nhóm tin tặc Spirals cho bất kỳ quốc gia hay nhóm APT đã biết nào.
    

![](https://cdn.hashnode.com/uploads/covers/6777abffdb647396c7d71de4/47a6d307-c39e-4f87-b029-2a415690276c.png align="center")

## **Timeline Sự Kiện**

Diễn biến vụ tấn công điển hình của nhóm Spirals diễn ra trong chưa đầy 24 giờ, mô tả quá trình từ xâm nhập ban đầu cho đến khi hệ thống bị tê liệt hoàn toàn:

| **Mốc thời gian** | **Giai đoạn tấn công** | **Hành vi chi tiết của nhóm Spirals** |
| --- | --- | --- |
| **T0 (00:00)** | Initial Compromise | Khai thác máy chủ web IIS hướng Internet, tải lên [ASP.NET](http://ASP.NET) web shell. |
| **T0 + 2h** | Credential Harvesting | Hacker tương tác trực tiếp qua web shell, bypass UAC, dump SAM hive và LSASS. |
| **T0 + 4h** | Persistence | Kích hoạt Remote Desktop Protocol (RDP), tạo các tài khoản quản trị cục bộ mới. |
| **T0 + 8h** | Tunneling & C2 | Triển khai Chisel (ngụy trang dưới tên `chrome.exe`) và Cloudflare Tunnel để thiết lập kênh kết nối ngầm. |
| **T0 + 12h** | Lateral Movement | Di chuyển ngang trong mạng nội bộ thông qua công cụ PsExec và WMI. |
| **T0 + 18h** | Data Exfiltration | Thu thập dữ liệu nhạy cảm và tải lên máy chủ của kẻ tấn công qua các kênh tunnel đã thiết lập. |
| **T0 + 22h** | Service Disruption | Chủ động vô hiệu hóa các dịch vụ sao lưu dữ liệu (Veeam), ảo hóa (VMware) và trình diệt virus (Windows Defender). |
| **T0 + 23h** | Payload Execution | Phát tán payload ransomware Spirals (ngụy trang dưới dạng `bitsadmin.exe`) và tiến hành mã hóa hàng loạt. |

## **Quy Trình Tấn Công**

Quy trình tấn công của nhóm tin tặc Spirals tuân thủ chặt chẽ các bước nhằm đạt hiệu suất tối đa trong thời gian ngắn nhất:

![](https://cdn.hashnode.com/uploads/covers/6777abffdb647396c7d71de4/175cfb42-6416-4f0c-b8d4-c97905f2be90.png align="center")

Sự nguy hiểm trong quy trình này nằm ở việc nhóm tin tặc duy trì kết nối C2 thông qua các công cụ tạo đường hầm hợp pháp như Cloudflare Tunnel và Chisel. Việc ngụy trang file thực thi Chisel dưới tên `chrome.exe` dễ dàng đánh lừa các giải pháp giám sát tiến trình cơ bản nếu không phân tích kỹ tham số dòng lệnh và đích đến của kết nối mạng.'

### Pharse 1: Xâm nhập ban đầu - **Khai Thác IIS Web Server (T1190)**

Kẻ tấn công nhắm vào một **IIS web server tiếp xúc internet**, upload một [**ASP.NET**](http://ASP.NET) **web shell** để có foothold ban đầu. Web shell cho phép thực thi lệnh tùy ý thông qua IIS worker process (`w3wp.exe`), tạo nền tảng cho toàn bộ chuỗi tấn công tiếp theo.

Đây không phải zero-day. Đây là khai thác bề mặt tấn công sẵn có: một web server không được bảo vệ đủ tốt, tiếp xúc trực tiếp với internet.

### **Phase 2: Thiết Lập Đa Kênh C2 (T1059.001, T1572)**

Trong 10 phút đầu tiên, ba tunneling tool được deploy song song:

*   `tunn.exe` — tunnel tool, đặt tại web production directory và Windows Tasks folder
    
*   `revsocks.exe` — reverse SOCKS5 proxy, kết nối ngược về IP attacker trên port 443
    
*   `chrome.exe` (thực chất là Chisel) — tunneling tool đổi tên để giả lập Google Chrome
    
*   **Cloudflare Tunnel client** (`cloudflared-windows-amd64.exe`) — thêm một kênh outbound mã hóa thứ tư
    

![](https://cdn.hashnode.com/uploads/covers/6777abffdb647396c7d71de4/4032f934-77f0-4226-8056-1d0cc0e11b30.png align="center")

Sự kết hợp này tạo ra **bốn kênh C2 độc lập và dự phòng**, đảm bảo kết nối ngay cả khi một hoặc hai kênh bị chặn bởi firewall hay IDS. Kỹ thuật đặt file tại `Windows\tasks\` là cách phổ biến để blend in với scheduled task binaries hợp lệ.

### **Phase 3: Thiết lập quyền duy trì trên hệ thống mục tiêu**

*   **UAC bypass** được thực hiện để leo lên local administrator
    
*   **RDP được bật** để duy trì kênh remote access thứ yếu
    
*   **Local account mới được tạo** để có persistence độc lập với web shell
    
*   `tokens.exe` — token impersonation tool để acquire elevated privileges trên host
    

### Pharse 4: **Thu Thập Credential Trên Diện Rộng (T1003.002, T1003.001)**

Hai phương pháp credential harvesting song song:

1.  **SAM hive dump** — dump toàn bộ Security Account Manager hive vào một archive có password. Phương pháp này lấy local account hashes.
    
2.  **LSASS memory dump** — thực hiện trên nhiều máy trong quá trình lateral movement, sử dụng kỹ thuật sống sót qua binary hợp lệ:
    

```plaintext
rundll32.exe C:\Windows\System32\comsvcs.dll MiniDump <LSASS_PID> lsass.dmp full
```

Kết hợp cả hai phương pháp cho phép thu thập cả local credentials lẫn domain credentials — đây là nền tảng cho việc lateral movement với domain admin account.

### Pharse 5: **Tự Động Hóa Xâm Nhập Toàn Domain (T1021.002, T1047)**

Bắt đầu lúc **23:33 ngày 16/6**, kẻ tấn công chuyển sang **WMI-based lateral movement** từ host đầu tiên, nhắm đến hơn 12 máy chỉ trong vài phút đầu. Tốc độ và pattern lệnh cho thấy đây là **automated lateral movement** — không phải manual targeting.

Các account bị lạm dụng bao gồm account được đánh giá là domain administrator. Việc có domain admin credential từ Phase 4 là điều kiện tiên quyết cho scale tấn công này.

Sang ngày 17/6, PsExec (chạy với quyền SYSTEM) được dùng để deploy payload đến toàn bộ target list đã chuẩn bị sẵn — bao gồm domain controller, file server, application server, VM, và workstation. Tốc độ: **hơn 1 target mới mỗi vài giây, liên tục trong khoảng 30 phút**.

### Phare 6: **Mã Hóa Và Double Extortion (T1486, T1489, T1490)**

Xem chi tiết trong phần phân tích kỹ thuật Spirals ransomware bên dưới.

## **Phân Tích Kỹ Thuật Chi Tiết**

### **Initial Access — IIS Web Shell**

Web shell [ASP.NET](http://ASP.NET) được upload lên IIS web server tiếp xúc internet. Từ đó, kẻ tấn công spawn `cmd.exe` và `powershell.exe` thông qua IIS worker process (`w3wp.exe`) — tạo ra một **hands-on-keyboard interactive session** ngay từ đầu.

Đây là dấu hiệu của một **human operator**, không phải automated worm. Toàn bộ chuỗi tấn công sau đó đều được điều phối bởi người thật phía sau bàn phím.

### **Tunneling & C2 Infrastructure**

Kẻ tấn công sử dụng chiến thuật **defense in depth cho C2**: nếu một kênh bị firewall chặn, vẫn còn ba kênh khác hoạt động.

| **Tool** | **File Name** | **Path** | **Mục đích** |
| --- | --- | --- | --- |
| Custom tunnel | `tunn.exe` | `%PUBLIC%\`, `Windows\tasks\` | Tunnel chính |
| Revsocks | `revsocks.exe` | `%PUBLIC%\`, `Windows\tasks\` | Reverse SOCKS5 proxy → attacker IP:443 |
| Chisel | `chrome.exe` | `Windows\tasks\` | Tunneling, giả danh Chrome browser |
| Cloudflare Tunnel | `cloudflared-windows-amd64.exe` | Web prod directory | Encrypted outbound channel |

Payload và tool được deliver từ cùng external IP và hai staging domain, **sử dụng extension** `.jpg` để ngụy trang file:

`hxxp://185.141.216[.]194/cd.jpg`

`hxxp://185.141.216[.]194/`[`cd.zip`](http://cd.zip)

`hxxps://computer.kplus[.]com/`[`cd.zip`](http://cd.zip)

`hxxps://beta.padmin[.]com/mybenefits/Templates/`[`cd.zip`](http://cd.zip)

### **Credential Harvesting**

**SAM dump:**

```plaintext
reg save HKLM\SAM <output_archive_with_password>
```

**LSASS dump qua living-off-the-land:**

```plaintext
rundll32.exe comsvcs.dll, MiniDump <LSASS_PID> lsass.dmp full
```

Cả hai kỹ thuật đều sử dụng binary có sẵn trên Windows (`reg.exe`, `rundll32.exe`, `comsvcs.dll`) để tránh trigger alert trên nhiều AV/EDR solution.

### **Defense Evasion — Nghệ Thuật Ngụy Trang**

Kẻ tấn công áp dụng nhiều lớp masquerading song song:

*   `bitsadmin.exe` — tên ransomware payload, giả lập Windows utility BITS (Background Intelligent Transfer Service)
    
*   `chrome.exe` — Chisel tunneling tool, giả lập Google Chrome
    
*   **Files** `.jpg` — payload thực tế được serve với extension ảnh
    
*   **Chisel đặt tại** `Windows\tasks\` — path thường chứa scheduled task binary
    
*   Một instance của Spirals payload được drop từ process giả lập `svchost.exe` tại:
    
    ```plaintext
    %APPDATA%\Local\Temp\vbr2116.exe
    ```
    

### **Vô Hiệu Hóa Dịch Vụ Trước Khi Mã Hóa (T1489)**

PowerShell payload được gửi qua PsExec thực hiện hai việc theo thứ tự:

**Bước 1 — Disable Windows Defender:**

powershell

`C:\progra~1\window~1\MpCmdRun.exe -RemoveDefinitions -All -DisableRealtimeMonitoring $true Set-MpPreference -DisableIOAVProtection $true Bước 2 — Dừng 23 loại dịch vụ backup/database/virtualization:`

powershell

`$p=@("excha","hyper","vmms","vmcompute","virtual","veeam", "backup","acronis","veritas","commvault","SQL Server", "oracle","mysql","postgre","intuit","sage","sap","domino") $p|%{$pt=$;Get-WmiObject Win32_Service| ?{($.Name -like $pt)-or($.DisplayName -like $pt)-or($.Description -like $pt)}| ?{$.State -eq 'Running'}|%{Stop-Service -Name $.Name -Force -EA 0}}`

Danh sách dịch vụ bị nhắm bao gồm: Exchange, Hyper-V, VMware, Veeam, Acronis, Veritas, Commvault, SQL Server, Oracle, MySQL, PostgreSQL, Intuit, SAP, Lotus Domino. Đây là checklist kinh điển để đảm bảo database và backup process không giữ file handle, làm gián đoạn quá trình mã hóa.

### **Spirals Ransomware — Phân Tích Kỹ Thuật**

**Ngôn ngữ lập trình:** Rust

Đây là xu hướng đang tăng nhanh trong ransomware ecosystem — Rust cho phép compile thành binary native không phụ thuộc vào runtime, khó decompile hơn so với C/C++, và cross-compile dễ dàng cho nhiều platform.

**Sơ đồ mã hóa:**

*   Mỗi file được mã hóa bằng **AES-128** với key riêng (per-file key)
    
*   Per-file AES key được bảo vệ bằng **ECDH P-256 public key** của attacker — nghĩa là chỉ attacker có private key mới có thể decrypt
    
*   File có kích thước **\> 5 MB** được mã hóa **intermittently** (theo từng chunk rải rác với jitter) thay vì toàn bộ — kỹ thuật này tăng tốc độ mã hóa đáng kể trên môi trường có nhiều file lớn
    

**Deployment:**

***PsExec command mẫu được dùng để deploy:***

`CSIDL_WINDOWS\psexec.exe -accepteula -d -s \ powershell -nop -w 1 -enc`

***Payload được đặt tại nhiều vị trí để maximize coverage:***

`CSIDL_WINDOWS\bitsadmin.exe CSIDL_PROFILE\desktop\bitsadmin.exe CSIDL_WINDOWS\sysvol_dfsr\domain\scripts\bitsadmin.exe \\esd\bitsadmin.exe`

Việc đặt payload trong **SYSVOL domain scripts directory** và **network share trên domain controller** đặc biệt nguy hiểm: cả hai vị trí này được replicate hoặc accessible trên toàn domain, cho phép payload tự lan đến các máy không bị PsExec nhắm trực tiếp.

**Ransom note:** Ghi tại `C:\RECOVERY_SECTION.log` trên mọi máy bị ảnh hưởng.

**Double extortion:** Nạn nhân được chỉ dẫn đến **Tor portal** để thương lượng. Attacker đe dọa publish dữ liệu đánh cắp sau **6 ngày** nếu không trả tiền chuộc.

**Capabilities được confirm từ phân tích binary:**

*   Defense evasion
    
*   File encryption
    
*   Lateral movement
    
*   Process termination
    
*   Obfuscation
    
*   Privilege escalation
    

## **Nhận Định Chuyên Gia**

Sự kết hợp giữa tốc độ tấn công dưới 24 giờ và việc sử dụng mã độc viết bằng Rust của nhóm Spirals phản ánh hai xu hướng lớn của tội phạm mạng hiện nay:

1.  **Sự dịch chuyển công nghệ mã độc:** Rust đang trở thành ngôn ngữ ưa thích của các nhóm tống tiền nhờ hiệu suất thực thi cao, khả năng bypass các chữ ký nhận dạng tĩnh (static signatures) cũ và tốc độ mã hóa vượt trội thông qua cơ chế đa luồng tự nhiên.
    
2.  **Cuộc đua thời gian của các trung tâm SOC:** Thời gian dwell time (thời gian hacker nằm trong hệ thống trước khi kích hoạt mã hóa) của các vụ tấn công ransomware trong lịch sử thường kéo dài từ vài tuần đến vài tháng. Với Spirals, con số này co lại chỉ còn dưới một ngày. Điều này đặt các trung tâm SOC vào trạng thái báo động đỏ: nếu không có các kịch bản tự động hóa phản ứng (SOAR) nhằm cô lập máy chủ ngay lập tức khi phát hiện hành vi tunnel hay dump LSASS, việc ngăn chặn bằng con người là không khả thi.
    

Tại thị trường Việt Nam, rất nhiều doanh nghiệp đang vận hành hệ thống máy chủ web IIS thế hệ cũ hướng ra Internet nhưng thiếu các giải pháp bảo vệ như Web Application Firewall (WAF) và không được giám sát đầy đủ. Đây là lỗ hổng chí mạng dễ bị các nhóm tin tặc như Spirals khai thác làm bàn đạp thọc sâu vào mạng nội bộ doanh nghiệp.

## **Khuyến Nghị**

### **Immediate (0–24 giờ)**

*   **Audit ngay tất cả IIS server tiếp xúc internet:** Kiểm tra các thư mục web root tìm file `.aspx`, `.ashx`, `.asp` mới được tạo hoặc sửa đổi gần đây. File web shell thường xuất hiện tại root hoặc trong thư mục `/upload/`, `/temp/`.
    

```shell
# Tìm file .aspx mới tạo trong 30 ngày gần đây trên IIS root
Get-ChildItem -Path "C:\inetpub" -Recurse -Include "*.aspx","*.ashx","*.asp" |
Where-Object { $_.LastWriteTime -gt (Get-Date).AddDays(-30) } |
Select-Object FullName, LastWriteTime, CreationTime
```

*   **Block và hunt ngay IOC network:** Firewall block IP `185.141.216[.]194` và hai domain staging. Kiểm tra DNS query log và proxy log tìm kết nối đến các domain này.
    
*   **Scan hash trên endpoint:** Push 7 file hash SHA-256 vào EDR/AV để scan toàn bộ fleet.
    
*   **Review IIS access log:** Tìm pattern POST request bất thường đến file `.aspx` không phải từ user agent hợp lệ.
    

### **Short-term (1–7 ngày)**

*   **Threat hunting — C2 patterns:**
    
    *   Hunt outbound connection trên **port 443 từ IIS/web server** — đây là bất thường vì web server thông thường chỉ nhận inbound
        
    *   Tìm process `w3wp.exe` (IIS worker) spawn `cmd.exe` hoặc `powershell.exe` — đây là dấu hiệu web shell bị khai thác
        
    *   Detect `rundll32.exe` gọi `comsvcs.dll` với argument `MiniDump` — đây là LSASS dump pattern
        

```plaintext
# SIGMA rule pseudo-code cho web shell detection
EventID: 4688 (Process Creation)
ParentImage: *\w3wp.exe
Image: *\cmd.exe OR *\powershell.exe
CommandLine: *
→ Alert: IIS spawning shell process
```

*   **Kiểm tra Cloudflare Tunnel:** Nếu tổ chức không có chủ động dùng Cloudflare Tunnel, bất kỳ binary `cloudflared*.exe` nào đang chạy đều là red flag. Kiểm tra process list và network connection của chúng.
    
*   **Review scheduled tasks và local accounts:** Tìm account và scheduled task không được quản lý tập trung, đặc biệt trên server có tiếp xúc internet.
    
*   **Đánh giá khả năng detect WMI lateral movement:** Nhiều SIEM không enable WMI event logging theo mặc định. Bật `Microsoft-Windows-WMI-Activity/Operational` event log và tạo detection rule cho WMI remote execution bất thường.
    

### **Long-term**

*   **Application layer protection cho IIS:** Triển khai WAF (Web Application Firewall) trước IIS server. Nếu không có WAF riêng, tối thiểu phải enable IIS Request Filtering và review upload configuration.
    
*   **Network segmentation:** Web-facing server KHÔNG nên có direct access đến domain controller hoặc production database. Điều này là điều kiện cần thiết — nhưng trong Spirals attack, attacker đã di chuyển từ IIS server ra toàn bộ domain không gặp rào cản nào.
    
*   **Privileged Access Management (PAM):** Domain admin account không nên được sử dụng cho daily operation. Việc attacker có domain admin credential từ LSASS dump của một host là leverage họ cần để triển khai ransomware toàn domain.
    
*   **Offline backup với air-gap:** Đảm bảo có ít nhất một bản backup không kết nối mạng và không nằm trong domain. Mọi backup solution kết nối vào domain (Veeam, Acronis, Veritas) đều nằm trong danh sách dịch vụ Spirals kill trước khi mã hóa.
    
*   **IR retainer và tabletop exercise:** Chiến dịch < 24 giờ đòi hỏi quy trình IR phải được rehearse trước. Không có thời gian để đọc playbook lần đầu trong sự cố thực.
    

## **IOC & Artifacts**

### **File Indicators (SHA-256)**

| **#** | **SHA-256 Hash** | **Loại / Classification** | **Tên File Gốc** | **Vai Trò Trong Tấn Công** |
| --- | --- | --- | --- | --- |
| 1 | `0f9574dc38e5c34a31153f0bcc603c6ec29cb3bf65c3d25380dbe86d42573141` | Ransomware Payload | `bitsadmin.exe`, `vbr2116.exe` | Spirals ransomware — mã hóa AES-128 + ECDH P-256, viết bằng Rust |
| 2 | `4cab935d0ec400059a3fcdc95b6623efdd51a61dff401fba8d5da244cc2de649` | Reverse Proxy Tool | `revsocks.exe` | Reverse SOCKS5 proxy — tạo kênh C2 ngược về attacker IP port 443 |
| 3 | `7f0d49b11d0a3697685622ce510c570199bf2dc76515b3f9a6b6735de8c9134b` | Tunneling Tool | `tunn.exe` | Network tunnel — kênh C2 chính, deploy trong 10 phút đầu tiên |
| 4 | `84b9a9a1668145df04faa3d0e118e2f0acbebd3d9d260baf3a355b44c815c22d` | Tunneling Tool (Chisel) | `chrome.exe` | Chisel tunnel đổi tên giả danh Google Chrome |
| 5 | `862a3ca7e944ccf0ff3a6d556b34faade4b68343015c35a014a43725ac14a2a1` | Privilege Escalation Tool | `tokens.exe` | Token impersonation — leo thang đặc quyền trên host đầu tiên |
| 6 | `b5d598b00cc3a28cabc5812d9f762819334614bae452db4e7f23eefe7b081556` | Tunneling Tool (Cloudflare) | `cloudflared-windows-amd64.exe` | Cloudflare Tunnel client — kênh outbound mã hóa thứ tư |
| 7 | `83a7e51f3787ac5a8a9884edd0a58ddbef380969aa6529d282a461a1a614a892` | Suspicious / Unclassified | *(chưa xác định)* | File đáng ngờ — chưa được phân loại cụ thể trong báo cáo gốc |

###   
**Network Indicators**

| **#** | **Indicator** | **Loại** | **Mô Tả** | **Mục Đích** |
| --- | --- | --- | --- | --- |
| 1 | `185.141.216[.]194` | IP Address (C2) | Attacker-controlled server | C2 chính + staging server phân phối payload/tool |
| 2 | `hxxp://185.141.216[.]194/cd.jpg` | URL (Staging) | Payload được serve dưới extension `.jpg` | Disguised payload delivery — defang trước khi deploy rule |
| 3 | `hxxp://185.141.216[.]194/`[`cd.zip`](http://cd.zip) | URL (Staging) | Archive chứa tool/payload | Tool delivery từ C2 IP |
| 4 | `hxxps://computer.kplus[.]com/`[`cd.zip`](http://cd.zip) | URL (Staging Domain) | External staging domain #1 | Phân phối payload từ domain bên ngoài |
| 5 | `hxxps://beta.padmin[.]com/mybenefits/Templates/`[`cd.zip`](http://cd.zip) | URL (Staging Domain) | External staging domain #2 | Phân phối payload từ domain bên ngoài |

### **File Paths — Ransomware Payload**

| **Path** | **Ghi Chú** |
| --- | --- |
| `%SystemRoot%\bitsadmin.exe` | Vị trí triển khai chính — giả danh Windows BITS utility |
| `%USERPROFILE%\Desktop\bitsadmin.exe` | Đặt trên Desktop của người dùng |
| `%SystemRoot%\sysvol_dfsr\domain\scripts\bitsadmin.exe` | **Nguy hiểm cao** — SYSVOL replicate toàn domain |
| `\\<DC>\esd\bitsadmin.exe` | Network share trên Domain Controller — accessible toàn domain |
| `%APPDATA%\Local\Temp\vbr2116.exe` | Drop từ process giả lập `svchost.exe` |

### **File Paths — Tunneling & C2 Tools**

| **Path** | **Tool** | **Ghi Chú** |
| --- | --- | --- |
| `%PUBLIC%\tunn.exe` | Tunnel | Web production directory |
| `%SystemRoot%\tasks\tunn.exe` | Tunnel | Blend vào scheduled task binaries |
| `%PUBLIC%\revsocks.exe` | Revsocks | Web production directory |
| `%SystemRoot%\tasks\revsocks.exe` | Revsocks | Blend vào scheduled task binaries |
| `%SystemRoot%\tasks\chrome.exe` | Chisel | Giả danh Google Chrome binary |
| `<webroot>\cloudflared-windows-amd64.exe` | Cloudflare Tunnel | Web production directory |
| `<webroot>\tokens.exe` | Token Impersonation | Web project directory |

## **MITRE ATT&CK Mapping**

| **Tactic** | **Technique ID** | **Technique Name** | **Ghi chú** |
| --- | --- | --- | --- |
| Initial Access | T1190 | Exploit Public-Facing Application | IIS web server → [ASP.NET](http://ASP.NET) web shell |
| Execution | T1059.001 | PowerShell | Base64-encoded payload qua PsExec |
| Execution | T1047 | Windows Management Instrumentation | Lateral movement phase |
| Persistence | T1136.001 | Create Local Account | Local account mới để duy trì access |
| Persistence | T1021.001 | Remote Desktop Protocol | RDP được enable |
| Privilege Escalation | T1548.002 | Bypass User Account Control | UAC bypass giai đoạn đầu |
| Defense Evasion | T1036.005 | Match Legitimate Name or Location | bitsadmin.exe, chrome.exe |
| Defense Evasion | T1027 | Obfuscated Files or Information | .jpg extension cho payload |
| Defense Evasion | T1562.001 | Disable or Modify Tools | MpCmdRun.exe disable Defender |
| Credential Access | T1003.002 | Security Account Manager | SAM hive dump |
| Credential Access | T1003.001 | LSASS Memory | rundll32 + comsvcs.dll dump |
| Discovery | T1082 | System Information Discovery | Enumerate users, network shares, installed programs |
| Lateral Movement | T1021.002 | SMB/Windows Admin Shares | PsExec deployment |
| Lateral Movement | T1047 | WMI | Initial automated lateral movement |
| Command & Control | T1572 | Protocol Tunneling | tunn.exe, Chisel, revsocks |
| Command & Control | T1090.001 | Internal Proxy | revsocks SOCKS5 |
| Command & Control | T1102 | Web Service | Cloudflare Tunnel |
| Impact | T1486 | Data Encrypted for Impact | AES-128 + ECDH P-256 |
| Impact | T1489 | Service Stop | Kill 23 backup/DB services |
| Impact | T1490 | Inhibit System Recovery | \[NEEDS VERIFICATION: có xóa shadow copy không — chưa xác nhận từ nguồn\] |

## Tài Liệu Tham Khảo

[New Spirals ransomware encrypts victim network in under 24 hours](https://www.bleepingcomputer.com/news/security/new-spirals-ransomware-encrypts-victim-network-in-under-24-hours/)

[Spirals: New Stealthy Ransomware Deployed Against Asian IT Company |](https://www.security.com/threat-intelligence/ransomware-spirals-extortion) [SECURITY.COM](http://SECURITY.COM)

[Spirals Ransomware: 24-Hour Network Attack](https://blog.gridinsoft.com/spirals-ransomware-24-hour-attack/)

[New Spirals Ransomware Uses IIS Web Shell and PsExec to Encrypt IT Firm in Under 24 Hours](https://cybersecuritynews.com/new-spirals-ransomware/)