SysScan Giả Mạo Microsoft: Máy Quét Bảo Mật "Phát Hiện" Lỗi Ảo, Dụ Nạn Nhân Gỡ Antivirus Rồi Dẫn Vào Bẫy Lừa Đảo Hoàn Tiền

Tổng Quan

Ngày 24/08/2026, Malwarebytes công bố phát hiện về một làn sóng website tự xưng "SysScan", mang thương hiệu Microsoft, tuyên bố kiểm tra xem phần mềm diệt virus (Antivirus - AV) của bạn có đang hoạt động hay không. Tất cả các site này đều đi đến cùng một kết luận: máy tính của bạn có vấn đề nghiêm trọng, và nguyên nhân chính là phần mềm AV bạn đã cài đặt.

Các site tuyên bố rằng Windows không còn hỗ trợ Antivirus bên thứ ba và yêu cầu gỡ bỏ ngay lập tức. Đây là thông tin sai sự thật — và là bước đầu tiên trong một kịch bản lừa đảo hoàn tiền (refund scam) được thiết kế để đưa nạn nhân lên điện thoại, gỡ bỏ phần mềm bảo mật, và cuối cùng giao nộp thông tin cá nhân, ngân hàng, và quyền truy cập từ xa vào máy tính.

Malwarebytes phát hiện 11 site dạng này trên cùng một host. Dù tên gọi khác nhau, tất cả hoạt động theo cùng một cơ chế: chạy một bài "scan bảo mật" trông thuyết phục nhưng hoàn toàn giả, báo rằng AV đang gây ra vấn đề, thu thập thông tin cá nhân, và chuẩn bị nạn nhân cho một cuộc gọi "hoàn tiền" không có thật.

Điểm mấu chốt cần nhớ: Một trang web không thể chạy scan bảo mật thật. Nó chỉ đọc được dữ liệu trình duyệt cơ bản như hệ điều hành, kích thước màn hình, và vị trí gần đúng — không thể kiểm tra malware, lỗi bộ nhớ, hay các bản vá bảo mật còn thiếu. Microsoft vẫn tiếp tục hỗ trợ Antivirus bên thứ ba, và các quy trình hoàn tiền hợp pháp không bao giờ yêu cầu gỡ công cụ bảo mật hay cài phần mềm truy cập từ xa.

Về Chiến Dịch Lừa Đảo

Đây không phải một chiến dịch APT có attribution rõ ràng theo kiểu nhà nước hay nhóm tội phạm mạng danh tính cụ thể — mà là một vận hành lừa đảo (scam operation) thuộc dạng "tech support scam" / "refund scam" đã được nâng cấp đáng kể bằng công cụ AI, cả về nội dung giả lẫn hạ tầng vận hành.

Thuộc tính	Chi tiết
Tên chiến dịch	SysScan (thương hiệu tự xưng, mượn danh Microsoft)
Loại hình đe dọa	Lừa đảo hoàn tiền (refund scam) kết hợp giả mạo thương hiệu và tech support scam
Quy mô hạ tầng	11 website được phát hiện trên cùng một host
Kênh thu thập dữ liệu	Gửi trực tiếp qua Telegram Bot API — không có backend ứng dụng
Mục tiêu	Người dùng cá nhân và người dùng máy tính doanh nghiệp (danh sách AV bao gồm cả phần mềm bảo mật enterprise)
Dấu hiệu công nghệ	Có bằng chứng rõ rệt cho thấy cả mã nguồn lẫn video trên trang được tạo bởi AI

Điểm đáng chú ý về hạ tầng: toàn bộ 11 site không hề có backend ứng dụng riêng — mọi dữ liệu thu thập được gộp lại và gửi thẳng tới Telegram Bot API. Cách làm này khiến các site cực kỳ rẻ để vận hành và dễ dàng bỏ đi ngay khi bị phát hiện hoặc gắn cờ, sau đó dựng site mới gần như tức thì — một mô hình vận hành "dùng một lần, bỏ nhanh" điển hình của scam quy mô lớn.

Phân Tích Kĩ Thuật

1. "Scan" đọc dữ liệu thật nhưng đưa ra kết luận hoàn toàn bịa đặt

Một phần khiến trò lừa đảo này thuyết phục là trang web có đo một số thứ thật. Nó đọc thông tin mà trình duyệt hợp pháp để lộ ra — user agent, kích thước màn hình, dung lượng bộ nhớ thiết bị, số nhân xử lý, trạng thái quyền (permission), thông tin mạng, các tính năng web khả dụng, và một số chỉ số hiệu năng trang. Điều này khiến kết quả trông có vẻ đặc thù riêng cho máy của bạn.

Nhưng các kết luận bảo mật hoàn toàn không liên quan tới những phép đo đó. 50 phát hiện là văn bản cố định được viết sẵn ngay trong mã nguồn trang, gom thành các khối mà chính nhà phát triển tự gắn nhãn là "fake checks" (kiểm tra giả) trong code.

Trong số đó có các tuyên bố: browser sandbox đã bị xâm phạm, cơ chế cách ly bảng trang kernel (kernel page-table isolation) không hoạt động, bộ nhớ dễ tổn thương trước tấn công Rowhammer, không tìm thấy Trusted Platform Module (TPM), WebRTC đang làm rò rỉ địa chỉ IP cục bộ, và bộ xử lý đang bị giảm xung nhiệt (thermal throttling). Một trang web không có khả năng xác định bất kỳ điều nào trong số này.

Một phát hiện thậm chí báo cáo bạn đang chậm bao nhiêu ngày so với bản vá bảo mật — dùng một số ngẫu nhiên được sinh ra mỗi lần chạy kiểm tra. Chạy lại scan, bạn sẽ nhận được một con số khác hoàn toàn.

Ngay cả những kiểm tra dùng thông tin thật cũng bị vặn nghĩa thành cảnh báo tiêu cực: kết nối được mã hóa → trở thành "rủi ro hạ cấp bảo mật" (downgrade risk); cookie được bật → cảnh báo; cookie bị tắt → lỗi (thất bại); các tính năng bình thường của trình duyệt hiện đại → bị gắn cờ là cách để nhận diện danh tính bạn (fingerprinting). Ngay cả trình duyệt thử nghiệm đã cập nhật đầy đủ của Malwarebytes cũng bị báo là "có thể đã lỗi thời."

Chi tiết đáng nói nhất: điểm số kết quả bị giới hạn cứng ngay trong mã nguồn, chỉ nằm trong khoảng 13–30 trên thang 100. Trang không thể báo điểm trên 30, bất kể máy tính được kiểm tra thực sự ra sao.

Đạt (pass) là một kết quả không bao giờ có thể xảy ra.

2. Vì sao kịch bản luôn yêu cầu gỡ bỏ Antivirus

Việc bảo nạn nhân gỡ bỏ AV là hành động hệ trọng nhất mà các trang này thực hiện, phục vụ hai mục đích song song:

Loại bỏ phần mềm có thể cản trở bước tiếp theo — bao gồm cả phần mềm bảo mật lẫn bất kỳ công cụ nào sẽ được cài trong phiên làm việc (như phần mềm truy cập từ xa).
Cho kẻ lừa đảo biết chính xác sản phẩm bảo mật mà nạn nhân đang dùng.

Site ghi lại loại AV nào bị gỡ, chọn từ một danh sách 28 sản phẩm có tên cụ thể, cộng thêm tùy chọn "Khác." Đáng chú ý, phần mềm bảo mật cấp doanh nghiệp cũng xuất hiện trong danh sách này — gợi ý rằng kịch bản lừa đảo đã được chuẩn bị sẵn cho cả những nạn nhân đang dùng máy tính công ty.

Tuyên bố "Windows không còn hỗ trợ AV bên thứ ba" được làm cho đáng tin hơn bằng cách bóp méo một sự thật có thật: Windows có sẵn công cụ AV riêng — Microsoft Defender Antivirus. Khi một sản phẩm AV bên thứ ba tương thích được cài đặt, Defender có thể chuyển sang trạng thái thụ động vì sản phẩm kia đang đảm nhiệm việc bảo vệ. Điều đó hoàn toàn không đồng nghĩa với việc Windows không còn hỗ trợ AV bên thứ ba.

3. Biểu mẫu dường như được thiết kế cho kẻ lừa đảo, không phải cho nạn nhân

Sau khi "scan" xong, site hiển thị một biểu mẫu thông tin khách hàng, thu thập: họ tên, địa chỉ, số điện thoại, email, số tiền hoàn và lý do, tên ngân hàng, username tiền mã hóa, sản phẩm AV đã dùng, và ID cùng mật khẩu cho một phiên truy cập từ xa. Người dùng có thể chọn từ 30 công cụ truy cập từ xa khác nhau.

Biểu mẫu còn yêu cầu thêm: Agent ID, Agent Name, và Company. Các trường này gợi ý rất mạnh rằng biểu mẫu được thiết kế để chính operator lừa đảo điền vào trong lúc gọi điện — có thể trong khi họ đang xem trực tiếp màn hình nạn nhân. Bản thân mã nguồn không chứng minh được ai là người thực sự gõ thông tin, nhưng không có lý do chính đáng nào để các trường "agent" xuất hiện trên một biểu mẫu vốn dành riêng cho khách hàng.

Một trường thậm chí hỏi liệu có liên quan tới nội dung khiêu dâm hay không. Sự xấu hổ và cảm giác tội lỗi là công cụ rất mạnh với kẻ lừa đảo, bởi nạn nhân có thể trở nên ít sẵn sàng chia sẻ những gì đã xảy ra với bạn đời, gia đình, hay ngân hàng.

Khi biểu mẫu được gửi đi, trình duyệt gộp toàn bộ thông tin khách hàng, agent, truy cập từ xa, AV, và ngân hàng vào một tin nhắn duy nhất, gửi trực tiếp tới API của Telegram Bot. Không có backend ứng dụng nào tham gia — khiến các site này rẻ để vận hành và dễ dàng bị bỏ khi thu hút sự chú ý không mong muốn.

Điều này còn phơi bày thêm một lời nói dối khác: site tuyên bố ở nhiều nơi rằng "không có dữ liệu nào được gửi đi, không có gì được thu thập." Nhưng ngay cả trước khi biểu mẫu được gửi, site đã liên hệ với các dịch vụ IP và định vị địa lý bên ngoài. Sau khi gửi, toàn bộ thông tin nhập vào được chuyển tới một group chat trên Telegram.

4. Sau đó là cuộc gọi "hoàn tiền" được cho là sắp diễn ra

Sau khi gửi biểu mẫu, nạn nhân được chuyển tới một trang thông báo rằng một "quản lý hoàn tiền" sẽ gọi điện trong vòng 3–5 phút. Trang phát một video lặp lại hình ảnh một người đàn ông trong văn phòng, và ngăn không cho nạn nhân tạm dừng video, chuyển sang toàn màn hình, hay mở menu chuột phải.

Nội dung video, về bản chất, trấn an nạn nhân rằng yêu cầu đã được tiếp nhận và đang được xem xét, một "quản lý hoàn tiền" sẽ sớm liên hệ để xác minh thông tin, và nhắc nạn nhân giữ điện thoại bên cạnh, sẵn sàng nghe máy. Mục đích rõ ràng là giữ chân nạn nhân ở lại trang trong lúc cuộc gọi được sắp xếp, đồng thời trấn an rằng một quy trình chính thức đang diễn ra.

Mã nguồn không thể cho biết liệu người gọi điện sau đó có phải là một kẻ lừa đảo khác hay không, nhưng cấu trúc này tạo ra một điểm bàn giao (handover point) rất rõ ràng giữa "phần web" và "phần thoại" của kịch bản.

Đến thời điểm bất kỳ ai bắt đầu hỏi về chi tiết ngân hàng, nạn nhân đã: nhìn thấy một bài scan bảo mật mang thương hiệu Microsoft, được thông báo máy tính có vấn đề nghiêm trọng, gỡ bỏ Antivirus của mình, và nhập thông tin vào một thứ trông giống như một quy trình hoàn tiền chính thức.

5. Trang web mang dấu hiệu mã nguồn do AI tạo ra

Video trên trang chờ là video tổng hợp (synthetic), và đoạn clip bị zoom, crop bên trong khung hình — dấu hiệu điển hình của nội dung AI-generated bị chèn vào một layout có sẵn.

Mã nguồn cũng cho thấy dấu hiệu tương tự. Code được comment rất nhiều theo phong cách giải thích, tự-tường-thuật — đặc trưng thường thấy ở các công cụ coding AI — bao gồm cả ghi chú giải thích tại sao scan được cố tình làm chậm nhịp độ, và tại sao các câu thoại dùng tông giọng "bảng điều khiển bảo mật" (security-console) cộc lốc.

Đáng chú ý hơn, một số comment mô tả trực tiếp chính hành vi lừa đảo: 8 khối phát hiện bịa đặt được gắn nhãn thẳng là "fake" (giả) ngay trong code, trong khi khoảng 20 kiểm tra đọc giá trị thật được mô tả là "exaggerated" (bị phóng đại). Một comment gần đầu tệp thậm chí ghi rằng "không có dữ liệu nào rời khỏi thiết bị" — chỉ vài trăm dòng trước chính hàm gửi biểu mẫu tới Telegram.

Bản thân mã nguồn không thể chứng minh nó được tạo ra bằng cách nào. Nhưng các yếu tố đặc thù cho hành vi lừa đảo — bao gồm danh sách ngân hàng Mỹ, các trường định danh "agent," và trường "nội dung khiêu dâm" — có vẻ như đã được "lắp ráp" vào một template scanner tổng quát hơn, gợi ý một quy trình phát triển kết hợp: khung sườn kỹ thuật do AI sinh ra, còn các yếu tố lừa đảo cụ thể được con người bổ sung thêm.

Cách Nhận Biết Một "Scan Bảo Mật" Giả

Malwarebytes liệt kê một số dấu hiệu cảnh báo giúp nhận diện các trò lừa đảo dạng này:

Website tuyên bố tìm ra các vấn đề "sâu" trong máy tính bạn. Một trang web có thể thấy một số thông tin trình duyệt cung cấp, nhưng không thể kiểm tra cài đặt firmware, trạng thái AV, lỗ hổng bộ nhớ, hay mức độ vá bản cập nhật Windows chính xác.
Mọi kết quả đều xấu. Một bài chẩn đoán không thể cho ra kết quả "đạt" thì thực chất không hề đang chẩn đoán gì cả.
Bạn được bảo gỡ bỏ Antivirus. Microsoft vẫn tiếp tục hỗ trợ phần mềm bảo mật bên thứ ba trên Windows.
Bạn được yêu cầu cài phần mềm truy cập từ xa. Các quy trình hoàn tiền hợp pháp không bao giờ yêu cầu ai đó chiếm quyền điều khiển máy tính của bạn.
Bạn bị hỏi thông tin ngân hàng hoặc tiền mã hóa. Một công ty hợp pháp không cần truy cập từ xa hay tiền mã hóa để xử lý hoàn tiền.
Trang dựa vào một logo quen thuộc. Logo Microsoft hay Apple trên một website không có nghĩa công ty đó vận hành trang — các site này có thể đổi thương hiệu tùy theo hệ điều hành mà chúng phát hiện được.

Nếu Bạn Đã Trở Thành Nạn Nhân

Ngắt kết nối Internet và gỡ bỏ công cụ truy cập từ xa nếu đã cài đặt hoặc cho phép ai đó điều khiển máy tính của bạn.
Cài lại phần mềm Antivirus đã bị yêu cầu gỡ, cập nhật, và chạy một lần quét toàn bộ hệ thống.
Nếu đã cung cấp thông tin ngân hàng hoặc cho phép truy cập vào tài khoản ngân hàng trực tuyến: liên hệ ngân hàng ngay lập tức bằng số điện thoại bạn tự tra cứu (không dùng số do kẻ lừa đảo cung cấp).
Đổi mật khẩu email và ngân hàng từ một thiết bị khác, đáng tin cậy.
Nếu đã mất tiền, báo cáo với Ủy ban Thương mại Liên bang Hoa Kỳ (FTC) tại reportfraud.ftc.gov và Trung tâm Khiếu nại Tội phạm Internet của FBI (IC3) tại ic3.gov. (Người dùng tại Việt Nam có thể trình báo qua kênh an ninh mạng địa phương hoặc Cục An toàn thông tin.)
Đừng để sự xấu hổ ngăn bạn kể lại với ngân hàng hoặc một người bạn tin tưởng. Tạo ra cảm giác xấu hổ chính là một phần của trò lừa đảo, vì nó khiến nạn nhân ít có khả năng tìm kiếm sự giúp đỡ hơn. Hành động nhanh chóng mang lại cơ hội tốt nhất để hạn chế thiệt hại.

Tóm Tắt Rủi Ro

Chiều Rủi ro	Mức độ	Lý do
Khả năng đánh lừa (Deceptiveness)	Rất cao	Kết hợp dữ liệu trình duyệt thật + thương hiệu Microsoft + video AI trấn an theo thời gian thực
Thiệt hại tài chính tiềm tàng	Nghiêm trọng	Thu thập trực tiếp thông tin ngân hàng, tiền mã hóa, và quyền truy cập từ xa toàn quyền vào máy tính
Khả năng ẩn mình của hạ tầng	Cao	Không backend, dùng Telegram Bot API làm kênh nhận dữ liệu — rẻ, nhanh, dễ bỏ khi bị phát hiện
Độ khó phát hiện bằng công cụ kỹ thuật	Cao	Không có payload malware truyền thống để AV/EDR quét; toàn bộ là social engineering trên web
Phạm vi nạn nhân tiềm năng	Rộng	Cả người dùng cá nhân lẫn máy tính doanh nghiệp (danh sách AV có cả sản phẩm enterprise)
Tác động tâm lý	Đáng lo ngại	Trường "nội dung khiêu dâm" trong form được thiết kế để tạo xấu hổ, cô lập nạn nhân khỏi nguồn hỗ trợ

IOC & Artifacts

Hosting

Indicator	Loại
`157.230.180.90`	IP lưu trữ chung cho toàn bộ 11 site

Domains

detectsysscanner[.]at
detectsysscanner[.]com
detectsysscanner[.]de
detectsysscanner[.]in[.]net
detectsysscanner[.]xn--q9jyb4c
detsysscanner[.]com
detsysscanner[.]de
detsysscanner[.]xn--q9jyb4c
techsysscanner[.]com
techsysscanner[.]lol
tlcscanner[.]com

Dấu hiệu hành vi (Behavioral Indicators)

Điểm số "bảo mật" trả về luôn nằm trong khoảng 13–30/100, không bao giờ vượt quá 30.
Kết quả "số ngày chậm bản vá" thay đổi ngẫu nhiên mỗi lần chạy lại scan trên cùng một máy — dấu hiệu xác nhận không có kiểm tra thực sự nào diễn ra.
Trang chặn tương tác chuột phải, toàn màn hình, và tạm dừng trên video "đang chờ cuộc gọi."
Danh sách lựa chọn AV gồm chính xác 28 sản phẩm cộng tùy chọn "Other."
Danh sách lựa chọn công cụ truy cập từ xa gồm 30 công cụ khác nhau.
Toàn bộ dữ liệu form gửi qua giao thức Telegram Bot API, không qua backend ứng dụng riêng.

Ánh Xạ TTP

Lưu ý: Đây là một chiến dịch lừa đảo (social engineering) nhắm trực tiếp người dùng cuối, không phải một chuỗi xâm nhập mạng doanh nghiệp điển hình. Do đó, khung MITRE ATT&CK Enterprise chỉ áp dụng được một phần — bảng dưới đây chỉ liệt kê các kỹ thuật thực sự khớp với hành vi quan sát được, thay vì gán ép đầy đủ mọi tactic.

Tactic	Technique ID	Technique Name	Mô tả trong chiến dịch
Resource Development	T1583.001	Acquire Infrastructure: Domains	11 domain được đăng ký, lưu trữ chung trên một IP
Resource Development	T1608	Stage Capabilities	Xây dựng trang "scan" giả, video AI-generated, và biểu mẫu thu thập dữ liệu
Defense Evasion (của chiến dịch)	T1656	Impersonation	Giả mạo thương hiệu và uy tín của Microsoft
Initial Access	—	(Không được nêu rõ trong báo cáo gốc)	Malwarebytes không xác định cụ thể vector đưa nạn nhân tới các site này (có thể qua quảng cáo độc hại, kết quả tìm kiếm bị đầu độc, hoặc liên kết trực tiếp)
Execution	T1204.002	User Execution: Malicious File	Nạn nhân tự cài đặt phần mềm truy cập từ xa theo hướng dẫn trên trang
Defense Evasion	T1562.001	Impair Defenses: Disable or Modify Tools	Dụ nạn nhân tự tay gỡ bỏ Antivirus của chính mình (qua social engineering, không phải thủ đoạn kỹ thuật)
Command and Control	T1102.002	Web Service: Bidirectional Communication	Toàn bộ dữ liệu thu thập gửi trực tiếp qua Telegram Bot API
Collection	—	(Không có ID chuẩn)	Thu thập dữ liệu qua biểu mẫu lừa đảo, không qua kỹ thuật xâm nhập
Remote Access	T1219	Remote Access Software	30 công cụ truy cập từ xa được cung cấp để lựa chọn
Impact	T1657	Financial Theft	Mục tiêu cuối cùng: chiếm đoạt tiền qua kịch bản "hoàn tiền" giả và thông tin ngân hàng/tiền mã hóa thu thập được

Nhận Định

Chiến dịch SysScan là minh chứng rõ ràng cho việc AI đang hạ thấp rào cản không chỉ cho phát triển malware kỹ thuật (như đã thấy ở các chiến dịch APT/tội phạm mạng phức tạp), mà còn cho việc vận hành các kịch bản lừa đảo xã hội tinh vi hơn nhiều so với tech support scam truyền thống vốn thường thô sơ, dễ nhận biết.

Điểm mấu chốt về mặt kỹ thuật: đây không phải là một "scan giả" theo kiểu sơ sài — nó đọc dữ liệu trình duyệt thật (thông số máy, cấu hình, hiệu năng) để tạo cảm giác đáng tin, nhưng toàn bộ kết luận bảo mật là kịch bản viết sẵn, hoàn toàn không liên quan tới dữ liệu đọc được. Đây là một dạng "lừa dối có chủ đích" hoàn toàn khác với hiện tượng AI "ảo giác" (hallucination) ngoài ý muốn — ở đây, con người chủ động lập trình để hệ thống luôn đưa ra kết luận tiêu cực, bất kể tình trạng thực tế của máy. Việc điểm số bị giới hạn cứng trong khoảng 13–30/100 ngay trong mã nguồn là bằng chứng kỹ thuật không thể chối cãi: không hề có kịch bản nào mà một hệ thống thực sự sạch có thể "đạt" — đây không phải chẩn đoán, đây là màn kịch được viết sẵn kết quả từ trước.

Việc dùng Telegram Bot API làm kênh thu thập dữ liệu (không cần backend riêng) phản ánh một xu hướng chung, xuyên suốt nhiều loại threat actor khác nhau hiện nay: tận dụng hạ tầng dịch vụ hợp pháp, sẵn có để làm "hố hứng" dữ liệu — vừa giảm chi phí vận hành, vừa tăng khả năng sống sót khi bị phát hiện, vì việc gỡ bỏ một domain dễ hơn nhiều so với việc yêu cầu Telegram đóng một bot cụ thể.

Sự xuất hiện của trường "nội dung khiêu dâm" trong biểu mẫu là một chi tiết đáng chú ý về mặt tâm lý học lừa đảo: kẻ vận hành hiểu rõ rằng sự xấu hổ là công cụ cực kỳ hiệu quả để cô lập nạn nhân khỏi mạng lưới hỗ trợ (gia đình, ngân hàng, bạn bè). Kỹ thuật này không mới trong lừa đảo nói chung, nhưng việc "chuẩn hóa" nó thành một trường bắt buộc trên form cho thấy mức độ hệ thống hóa của toàn bộ vận hành — đây không phải là một trò lừa ứng biến, mà là một quy trình đã được kiểm thử và tối ưu.

Danh sách 28 sản phẩm AV cộng cả phần mềm bảo mật doanh nghiệp cho thấy chiến dịch không chỉ nhắm người dùng cá nhân tại nhà, mà đã chuẩn bị sẵn kịch bản cho nạn nhân dùng máy tính công ty — đây là điểm mà các tổ chức, đặc biệt bộ phận IT/helpdesk nội bộ, cần đưa vào chương trình đào tạo nhận thức nhân viên, vì một nhân viên bị lừa gỡ AV trên máy công ty có thể mở đường cho hậu quả vượt xa một vụ lừa đảo cá nhân đơn thuần.

Đối với độc giả và tổ chức tại Việt Nam: dù các IOC hiện tại (domain, IP) chưa cho thấy dấu hiệu nhắm trực tiếp vào người dùng Việt Nam, mô hình vận hành (trang scan giả mang thương hiệu quen thuộc + kịch bản hoàn tiền + kênh C2 qua dịch vụ chat hợp pháp + nội dung do AI tạo) là một khuôn mẫu (template) rất dễ tái sử dụng và bản địa hóa. Hoàn toàn có khả năng một biến thể tương tự sẽ xuất hiện trong tương lai gần dưới thương hiệu khác — giả mạo nhà mạng, ngân hàng, ví điện tử, hoặc chính các hãng bảo mật phổ biến tại Việt Nam. Đây là dạng đe dọa cần được đưa vào chương trình nâng cao nhận thức người dùng cuối, không chỉ dừng ở đội ngũ kỹ thuật — vì công cụ phòng thủ hiệu quả nhất trước loại lừa đảo này không phải là phần mềm, mà là sự hoài nghi có thông tin của chính người dùng khi đứng trước một "kết quả scan" quá đáng sợ để có thể là sự thật.

Khuyến Nghị

Cho người dùng cá nhân

Không bao giờ tin vào kết quả "scan bảo mật" từ một website ngẫu nhiên, dù mang logo quen thuộc đến đâu — trình duyệt không có khả năng kiểm tra malware, firmware, hay trạng thái AV thực sự.
Không gỡ bỏ Antivirus theo yêu cầu của bất kỳ website hay cuộc gọi nào — xác minh trực tiếp qua kênh chính thức của nhà cung cấp AV hoặc Microsoft nếu nghi ngờ có vấn đề thật.
Không cài phần mềm truy cập từ xa theo hướng dẫn từ một trang web hoặc người gọi điện tự xưng là "quản lý hoàn tiền" hay "hỗ trợ kỹ thuật."
Không nhập thông tin ngân hàng hoặc tiền mã hóa vào bất kỳ biểu mẫu nào xuất hiện sau một "cảnh báo bảo mật" bất ngờ.

Cho tổ chức / doanh nghiệp

Đưa mô hình lừa đảo "fake security scan + refund scam" vào chương trình đào tạo nhận thức an ninh mạng cho nhân viên — đặc biệt nhấn mạnh rằng đây là loại lừa đảo có thể xảy ra ngay trên máy tính công ty.
Chặn các domain và IP đã công bố (xem phần IOC) tại proxy/firewall doanh nghiệp.
Thiết lập chính sách rõ ràng: không nhân viên nào được phép gỡ phần mềm bảo mật hoặc cài công cụ truy cập từ xa mà không qua xác minh với bộ phận IT nội bộ, bất kể lời nhắc từ trang web hay cuộc gọi nào.
Cân nhắc rà soát log DNS/proxy tìm kết nối tới các domain "sysscan"-like hoặc các dịch vụ định vị địa lý/IP bên ngoài bất thường ngay sau khi truy cập một trang không rõ nguồn gốc.

Cho đội ngũ bảo mật

Threat hunting theo IOC đã công bố — domain, IP hosting, và các mẫu hành vi (điểm số giới hạn 13–30, số liệu ngẫu nhiên trong "days behind on patches").
Giám sát traffic bất thường tới Telegram Bot API từ các endpoint không có nhu cầu nghiệp vụ hợp pháp với Telegram.
Theo dõi các biến thể domain mới theo mẫu đặt tên tương tự (*sysscan*, *scanner* kết hợp thương hiệu công nghệ lớn) — do mô hình rẻ-và-dễ-bỏ khiến kẻ lừa đảo đăng ký domain mới liên tục.