UAT-10147: Nhóm tội phạm mạng dùng AI Agentic mở rộng quy mô tấn công máy chủ, triển khai backdoor SPECTRE với rootkit Linux và kỹ thuật qua mặt EDR bằng driver độc hại

Tổng Quan

Ngày 20/08/2026, Cisco Talos công bố báo cáo hai phần về UAT-10147 — một nhóm tội phạm mạng, có động cơ tài chính, đang nhắm vào máy chủ web Windows và Linux trên phạm vi toàn cầu. Nạn nhân trải rộng qua nhiều ngành: chính phủ, giáo dục, truyền thông, công nghệ và gaming.

Điểm khiến UAT-10147 đáng chú ý không phải là một kỹ thuật đơn lẻ, mà là cách nhóm này tích hợp AI agentic xuyên suốt toàn bộ chu trình tấn công. Talos đánh giá với độ tin cậy trung bình-cao rằng đây là đại diện của một lớp threat actor mới nổi — nhóm tấn công vì tài chính đang dùng hệ thống AI agentic để vận hành hóa (operationalize) offensive tradecraft ở quy mô lớn. Khác với việc dùng AI chỉ để hỗ trợ viết script đơn giản, nhóm này thể hiện: tinh chỉnh exploit lặp đi lặp lại, khắc phục sự cố thích ứng, tự động hóa post-exploitation, quy trình kiểm chứng exploit, và sinh tài liệu vận hành — cho thấy sự chuyển dịch từ "AI hỗ trợ viết code" sang "dàn dựng tấn công bán tự động".

Về mặt công cụ, UAT-10147 triển khai backdoor xuyên nền tảng mới mang tên SPECTRE — hỗ trợ tới 45 lệnh trên Windows, tích hợp kỹ thuật BYOVD (Bring Your Own Vulnerable Driver) để vô hiệu hóa EDR ở cấp kernel, và một rootkit Linux ẩn mình bằng ftrace. Đặc biệt, Talos ghi nhận bằng chứng cho thấy chính rootkit này có thể được phát triển với sự hỗ trợ của AI.

Lưu ý quan trọng với độc giả Việt Nam: UAT-10147 không chỉ tình cờ có nạn nhân tại Việt Nam. Nhóm này sở hữu một module SEO fraud được cấu hình cụ thể để nhắm vào người dùng Internet Việt Nam (chi tiết ở phần dưới). Việt Nam cũng nằm trong nhóm quốc gia có máy chủ bị xâm phạm được ghi nhận nhiều nhất.

Đôi Nét Về Threat Actor

Thuộc tính	Chi tiết
Định danh	UAT-10147 (Cisco Talos)
Động cơ	Tài chính — SEO fraud (đầu độc kết quả tìm kiếm) và đánh cắp dữ liệu
Liên hệ khả dĩ	"x神" (xshen) — nhắc tới trong báo cáo trước đó của Talos về hệ sinh thái BadIIS MaaS `[độ tin cậy trung bình]`
Mức độ trưởng thành vận hành	Cao — kết hợp malware tùy chỉnh, công cụ tấn công mã nguồn mở, BYOVD, rootkit kernel Linux, và kỹ thuật triển khai web shell tinh vi trong bộ nhớ
Đặc điểm nổi bật nhất	Tích hợp AI agentic vào mọi giai đoạn: khai thác, trinh sát, sinh payload, kiểm chứng, duy trì hiện diện
Nền tảng nhắm tới	Máy chủ web Windows (IIS) và Linux

Sợi dây liên hệ tới "x神" (xshen)

Nhiều thành phần trong chiến dịch mang dấu vết liên kết với tác giả "x神" — nhân vật từng được Talos nhắc tới trong nghiên cứu trước về hệ sinh thái BadIIS MaaS (Malware-as-a-Service). Bằng chứng gồm các đường dẫn PDB tham chiếu trực tiếp "x神" (ví dụ thư mục desktop tên "x神订制全站劫持按浏览器语言跳转" — tạm dịch: "x神 tùy chỉnh chiếm toàn site, chuyển hướng theo ngôn ngữ trình duyệt"), và một PDB string khác tham chiếu "x神的自安装服务" (dịch vụ tự cài đặt của x神). Ngoài ra, chuỗi "X" còn xuất hiện rải rác: cấu hình SEO engine có tên biến "X-seo", còn web shell dùng HTTP header "X-ID" để xác thực ngầm.

Nạn Nhân

Cần phân biệt rõ hai bộ dữ liệu khác nhau mà Talos ghi nhận:

1. Máy chủ đã bị xâm phạm thực tế (quan sát trực tiếp)

Nằm tại Brazil, Bolivia, Trung Quốc, Canada, và Việt Nam, thuộc các tổ chức trong lĩnh vực chính phủ, đại học, truyền thông, công nghệ và gaming.

2. Danh sách mục tiêu tổng thể (từ open directory C2)

Một tệp văn bản chứa khoảng 170.000 URL — kẻ tấn công nhận thấy quét toàn bộ danh sách cùng lúc kém hiệu quả, nên đã chia thành 17 tệp, mỗi tệp khoảng 10.000 URL. Đáng chú ý, nhóm này dùng chữ cái "w" làm ký hiệu đại diện cho chữ Hán "萬" (nghĩa là 10.000) — một chi tiết nhỏ nhưng củng cố thêm giả thuyết về ngôn ngữ/văn hóa của actor.

Theo địa chỉ IP phân giải từ 170.000 URL này, top 5 quốc gia đích là: Hoa Kỳ, Ấn Độ, Anh, Đức, và Hà Lan.

→ Sự chênh lệch giữa "nạn nhân đã xâm phạm" và "danh sách mục tiêu tổng" cho thấy quy mô hoạch định của UAT-10147 lớn hơn nhiều so với những gì đã khai thác thành công tính đến thời điểm phát hiện.

Sai lầm OPSEC dẫn tới phát hiện

Talos phát hiện hoạt động này sau khi quan sát một máy đã bị xâm phạm liên lạc với một máy chủ tải xuống tại 139.180.197[.]150. Kiểm tra địa chỉ IP này cho thấy một open directory (thư mục mở công khai) — để lộ phần lớn công cụ, script và framework mà nhóm sử dụng.

Phân Tích Kĩ Thuật

1. Chuỗi lây nhiễm trên Windows

Sau khi đạt được RCE (thực thi mã từ xa) trên một website hoặc máy chủ dễ tổn thương, actor chạy một script tự động để cài đặt và triển khai mã độc — phục vụ SEO fraud hoặc đánh cắp dữ liệu.

Script chính (thường đặt tên back.txt/back.bat) là một script triển khai mã độc đa giai đoạn:

Dùng certutil tải về công cụ leo quyền EfsPotato (đổi tên thành prcc1.rar để né lọc theo phần mở rộng), một script batch phụ (bai.bat), và Quasar RAT (ngụy trang tên svchosts.exe) — tất cả từ máy chủ từ xa adminapi.tippusoni[.]in.
Dùng EfsPotato để leo quyền hệ thống, sửa Windows Registry và dùng PowerShell thêm các thư mục vào danh sách loại trừ của Windows Defender — hiệu quả ẩn mã độc khỏi quét AV.
Xóa các tệp staging ban đầu để xóa dấu vết và cản trở phân tích pháp y.

Trong các chiến dịch tương tự, Talos cũng ghi nhận nhóm triển khai thêm Gh0stCringe và SPECTRE.

Script phụ (bai.bat/bai.txt) âm thầm thực thi backdoor và thiết lập persistence bằng cách tạo scheduled task ngụy trang tên "Google Chrome Start", chạy mã độc với quyền cao nhất mỗi khi người dùng đăng nhập.

Triển khai BadIIS diễn ra theo trình tự:

Dùng công cụ leo quyền thêm thư mục IIS chuẩn (System32\inetsrv, SysWOW64\inetsrv) vào exclusion của Defender qua PowerShell + sửa Registry.
Dùng certutil tải dll.zip (BadIIS đã biên dịch) và script thứ ba user.bat từ adminapi.tippusoni[.]in.
Trinh sát cục bộ bằng appcmd list site /config /xml để xác định cấu hình website — khả năng nhằm chọn mục tiêu chèn module BadIIS.
Chạy user.bat với quyền cao để tạo một tài khoản local admin giả, thêm vào cả nhóm Administrators lẫn Remote Desktop Users — đảm bảo quyền truy cập RDP đặc quyền cao, bền vững.

2. Chuỗi lây nhiễm trên Linux

Tấn công bắt đầu bằng một payload RCE gửi tới máy chủ dễ tổn thương để có chỗ đứng ban đầu. Sau khi khai thác thành công, một web shell được triển khai, cho phép thực thi lệnh tương tác bền vững. Từ đó, actor leo quyền lên root bằng một kho vũ khí LPE (Local Privilege Escalation) rộng gồm 6 CVE đã biết:

CVE	Mô tả
CVE-2022-0995	Lỗi trong cơ chế thông báo sự kiện `watch_queue` của Linux kernel, cho phép ghi dữ liệu tùy ý ngoài giới hạn
CVE-2021-3156 ("Baron Samedit")	Tràn bộ đệm heap trong tiện ích `sudo` — bất kỳ user cục bộ nào cũng có thể lấy quyền root không cần xác thực, kể cả không nằm trong sudoers
CVE-2015-5287	Xử lý symbolic link sai trong chức năng `sosreport` của ABRT
CVE-2015-3246	Lỗi trong component `roothelper` của libuser, cho phép hỏng tệp `/etc/passwd`
CVE-2010-3904	Lỗi trong hàm `rds_page_copy_user` của giao thức RDS (Reliable Datagram Sockets) trong kernel
CVE-2022-0847 ("Dirty Pipe")	Lỗi nghiêm trọng trong xử lý pipe buffer, cho phép ghi đè tệp chỉ-đọc

Sau khi có quyền root, actor triển khai nhiều backdoor: Noodle RAT, SPECTRE, và Meterpreter — thiết lập kết nối ra ngoài (outbound) tới hạ tầng C2 từ xa.

3. Khai thác lỗ hổng 1-day đã biết (qua Metasploit)

Actor dựa nhiều vào các lỗ hổng công khai để đạt RCE trên cả Windows lẫn Linux, dùng Metasploit Framework để xây exploit có mục tiêu và triển khai Meterpreter:

CVE-2022-27925 (Zimbra Collaboration Suite) — RCE không cần xác thực.
CVE-2021-23758 (AjaxPro) — RCE qua deserialization.
CVE-2021-29441 & CVE-2021-29442 (Alibaba Nacos) — thực thi mã tùy ý qua ScriptEngineFactory SPI, gọi Runtime.exec() để spawn shell hệ điều hành (thích ứng: /bin/bash trên Linux, cmd.exe trên Windows). Sau đó dùng curl để exfiltrate id/hostname (Linux) hoặc %USERNAME%/%COMPUTERNAME% (Windows) trực tiếp tới một máy chủ Nacos config do chính kẻ tấn công kiểm soát. Bằng cách định tuyến dữ liệu exfil qua một dịch vụ quản lý cấu hình đám mây hợp pháp, kẻ tấn công hòa lẫn traffic vào hoạt động quản trị bình thường — hạ tầng này đóng vai trò "hố hứng" exfiltration bất đồng bộ, cho phép actor tự kiểm tra kết quả khai thác trên diện rộng mà không cần duy trì reverse shell hay kết nối inbound trực tiếp, giảm nguy cơ bị phát hiện.
CVE-2019-18935 (Telerik UI for ASP.NET AJAX) — lỗ hổng deserialization JSON nổi tiếng. Actor chủ động dò tìm để xác nhận sự hiện diện của Telerik file upload handler và fingerprint phiên bản, sau đó triển khai PoC vũ khí hóa tùy chỉnh để đạt upload tệp tùy ý và RCE. DLL reverse shell thả xuống theo quy ước đặt tên ngẫu nhiên riêng biệt: [10 chữ số].[7 chữ số].dll.

4. Bộ Công Cụ Tấn Công AI-Driven

Đây là phần cốt lõi làm nên đặc trưng của UAT-10147.

DeepAudit — một framework AI quét lỗ hổng mã nguồn. Talos không quan sát trực tiếp việc actor khai thác lỗ hổng do công cụ này phát hiện trong môi trường nạn nhân, nhưng framework được cài trên chính máy chủ quản lý của actor. Talos đánh giá độ tin cậy cao rằng công cụ này nhằm xác định lỗ hổng trong mã nguồn website mục tiêu hoặc thư viện bên thứ ba; cũng có khả năng được dùng cho mục đích phòng thủ — tự kiểm tra hạ tầng và công cụ của chính actor để tránh bị đối thủ khác hoặc nhà nghiên cứu bảo mật xâm nhập.

PentestGPT — framework pentesting tự động mã nguồn mở, được cài trên máy chủ C2 để quét động các máy chủ web và thực thi PoC exploit tương ứng. Trong một trường hợp, actor đã khai thác thành công một website và thu thập thông tin về máy nạn nhân bằng lệnh Linux — hoàn toàn tự động.

Hướng dẫn khai thác ASP.NET ViewState deserialization RCE do AI tạo — đây là artifact đáng chú ý nhất, một tài liệu 9 phần cực kỳ chi tiết:

Điều kiện tiên quyết: ValidationKey, DecryptionKey, thuật toán tương ứng (SHA1/AES/3DES), giá trị __VIEWSTATEGENERATOR, URL đích — thu thập qua công cụ mã nguồn mở badsecrets (cơ sở dữ liệu cấu hình MachineKey của ASP.NET đã công khai hoặc bị rò rỉ).
Xác thực MachineKey: gửi payload ViewState cố tình sai định dạng để phân biệt hai lỗi HTTP 500 — MAC Validation Failure (sai key) và InvalidCastException (đúng key, deserialize thành công) — cho phép xác nhận key hợp lệ âm thầm, không cần thực thi lệnh thật sự.
Sinh payload: dùng ysoserial.exe, ưu tiên gadget chain TypeConfuseDelegate (dùng Process.Start(), vẫn hoạt động trên .NET 4.8). Đáng chú ý, tài liệu còn sửa một hiểu lầm phổ biến: trái với nhiều bài viết công khai, .NET 4.8 không vá gadget chain này.
Gửi payload: script Python tự động hóa gọi ysoserial.exe và POST payload vào tham số __VIEWSTATE, đồng bộ giá trị __VIEWSTATEGENERATOR. Điểm mù phòng thủ đáng chú ý: HTTP 500 kèm InvalidCastException chính là dấu hiệu thành công, không phải thất bại — công cụ giám sát cảnh báo theo mã lỗi 5xx dễ bị "ngập" cảnh báo nhiễu trong khi exploit thực sự thành công lặng lẽ trong luồng lỗi.
Xác nhận RCE qua OOB callback: kỹ thuật time-based blind (ví dụ ping -n 10) hoàn toàn không hiệu quả vì Process.Start() là bất đồng bộ, trả về ngay lập tức. Actor chuyển sang callback HTTP out-of-band bằng certutil, PowerShell + curl, và DNS nslookup.
Trinh sát post-exploitation: thực hiện hoàn toàn qua PowerShell encoded command (né AMSI và logging) — thu thập thông tin hệ thống, privilege token, danh sách thư mục web, cấu hình site IIS, thông tin card mạng, tiến trình đang chạy, tất cả exfiltrate qua HTTP POST tới một webhook từ xa.
Thiết lập shell tương tác: 3 phương án leo thang — ưu tiên triển khai trực tiếp SPECTRE qua certutil; phương án dự phòng là ghi web shell ASHX vào IIS webroot, hoặc PowerShell TCP reverse shell.
Đường dẫn leo quyền: từ danh tính IIS AppPool lên SYSTEM, dùng SeImpersonatePrivilege (quyền token thường cấp cho worker process IIS) làm vector, tương thích với họ công cụ "Potato"; hoặc dùng khả năng leo quyền tích hợp sẵn trong chính SPECTRE.
Nhật ký case vận hành thực tế: phát hiện quan trọng nhất — một bản ghi chi tiết một cuộc xâm nhập thật, gồm hostname mục tiêu, IP backend/frontend, đường dẫn trang bị khai thác, phiên bản .NET runtime, và giá trị MachineKey đã dùng. Đáng lưu ý: MachineKey có phạm vi ở cấp độ site IIS, nghĩa là key trích từ một virtual host không áp dụng được cho các site đồng lưu trú khác.

Bốn script Python do AI tạo cũng được thu hồi từ hạ tầng của actor:

check_paths.py — script chẩn đoán post-exploitation, thực hiện 5 test callback OOB tuần tự tới endpoint webhook.site: xác nhận khả năng ghi cơ bản, exfiltrate ACL của webroot (qua icacls), thử ghi tệp trực tiếp và ghi lại lỗi cụ thể nếu thất bại, truy vấn đường dẫn IIS vật lý qua appcmd list vdir, và dò nhiều thư mục con ứng viên.
deploy_implant.py — dùng cùng cơ chế deserialization ViewState để tải và khởi chạy implant SPECTRE; sau 6 giây, chạy PowerShell probe (Test-Path, Get-Item.Length) để xác minh triển khai, báo kết quả qua webhook. Có cơ chế fallback tự động dùng New-Object Net.WebClient nếu certutil thất bại.
deploy_shell.py — triển khai web shell ASHX bền vững (sss.ashx) qua 2 bước: viết một handler tạm (up.ashx, C# 8 dòng, mã hóa base64 + PowerShell [IO.File]::WriteAllBytes), sau đó dùng chính handler này làm relay HTTP để upload web shell cuối cùng (ưu tiên đường dẫn cục bộ trên máy tấn công, có fallback tải từ máy chủ staging phụ 139.180.197[.]150:54321). Phân tích tiết lộ username "dajiba" trên máy tấn công — chuyển tự pinyin của một cụm từ tiếng Hoa mang tính thông tục.
exfil.py — hòa trộn traffic exfiltration với traffic SaaS hợp pháp qua HTTPS tới webhook.site, gồm 3 giai đoạn: liệt kê webroot, kiểm kê cấu hình site IIS (appcmd.exe list site), và đánh giá quyền hạn (whoami /priv) để xác định khả năng leo quyền theo họ Potato.

Nhật ký phát hiện (findings log) ghi nhận một vụ RCE thành công qua ViewState deserialization trên một máy chủ IIS thực tế — hơn 12 lượt callback HTTP xác nhận 4 gadget chain ysoserial khác nhau hoạt động trên .NET 4.8.4797.0, cùng dữ liệu trinh sát: webroot chứa 13 thư mục site, và SeImpersonatePrivilege được bật (mở đường leo quyền theo họ Potato).

5. SPECTRE — Backdoor Xuyên Nền Tảng Mới

SPECTRE là backdoor viết bằng C, hỗ trợ cả Windows và Linux, được Talos đặt tên dựa trên một debug log thu hồi từ một mẫu. Lần đầu ghi nhận actor sử dụng implant này là tháng 04/2026.

Phiên bản Windows

Không phải framework Havoc nguyên bản — SPECTRE có các tính năng post-exploitation và né tránh phòng thủ tùy chỉnh, biên dịch trực tiếp vào binary, với chiến lược obfuscation hai lớp:

Phân giải API hoàn toàn tại runtime qua PEB hash walking (biến thể thuật toán DJB2).
Mã hóa chuỗi bằng bộ sinh số giả ngẫu nhiên (PRNG) xorshift32 riêng cho từng chuỗi — literal nhạy cảm được mã hóa lúc biên dịch với seed 32-bit riêng biệt, giải mã vào Thread Local Storage ngay trước khi dùng, không bao giờ lưu ở dạng plaintext trong section .text/.rdata.

SPECTRE còn có cơ chế chấm điểm chống phân tích (anti-analysis) có trọng số, đánh giá dựa trên: blocklist tên tiến trình, dung lượng RAM, số nhân CPU, dung lượng ổ đĩa, phát hiện tăng tốc sleep, và tên host/username sandbox phổ biến. Nếu tổng điểm ≥ 50, tiến trình tự thoát.

C2: giao tiếp qua HTTP POST tới các endpoint /api/v1/register và /api/v1/output; một domain C2 dự phòng được hardcode (khôi phục qua giải mã chuỗi). Đáng chú ý, một biến thể đọc cấu hình C2 từ NTFS Alternate Data Stream (ADS) tại C:\Windows\System32\drivers\etc\hosts:cache — cho phép actor cập nhật cấu hình C2 chỉ bằng cách sửa ADS, né được danh sách chặn tường lửa mà không cần biên dịch lại binary.

Bộ lệnh: Talos ghi nhận 45 lệnh — 24 lệnh dạng plaintext, 21 lệnh mã hóa bằng xorshift PRNG (giải mã mỗi lần dispatch). Các lệnh mã hóa tập trung vào 3 nhóm năng lực nhạy cảm nhất:

Nhóm chức năng	Lệnh tiêu biểu	Mô tả
Process Injection	`inject`, `s-nject`, `earlybird`, `hollow`	3 phương thức: process hollowing (mặc định `svchost.exe`); APC EarlyBird injection (giao shellcode trước khi luồng đích thực thi lệnh đầu tiên); tự động self-hollowing khi khởi động nhắm `RuntimeBroker.exe`, chạy trực tiếp từ `main()` để ẩn mình
Leo quyền & Đánh cắp Credential	`getsystem`, `steal_token`, `make_token`, `hashdump`, `vaultdump`, `chromedump`	Named pipe impersonation (`\\.\pipe\spectre_<tid>` + `ImpersonateNamedPipeClient`) lấy token SYSTEM; lưu 3 hive registry (SAM, SYSTEM, SECURITY) vào `%TEMP%` qua `RegSaveKeyA` để trích NT hash offline bằng `secretsdump.py`; Vaultdump liệt kê Windows Credential Manager qua `cmdkey.exe /list` (không cần truy cập LSASS); Chromedump copy Login Data + Local State của Chrome/Edge để giải mã DPAPI offline bằng SharpChrome
BYOVD EDR Killer	`byovd_load`, `byovd_unload`, `edr_kill`, `callbacks`, `byovd_verify`	Xem chi tiết bên dưới

Danh sách đầy đủ 24 lệnh plaintext gồm các thao tác cơ bản: shell/sh, pwd/cd, ls, cat, mkdir, rm, cp, mv, download, upload, ps, kill, env, sleep, sysinfo, screenshot, whoami, netinfo, timestomp, rev2self, getprivs, selfdel, reg, exit.

Cơ chế BYOVD (Bring Your Own Vulnerable Driver): SPECTRE tải về một trong hai driver dễ tổn thương đã biết rộng rãi từ C2 — RTCore64.sys của MSI (CVE-2019-16098) hoặc DBUtil_2_3.sys của Dell (CVE-2021-21551). Driver được giải mã, ghi vào %TEMP%, cài đặt như một kernel service tạm thời qua Service Control Manager, rồi mở IOCTL handle tới thiết bị. Tận dụng khả năng đọc/ghi kernel tùy ý mà các driver này để lộ, SPECTRE dùng NtQuerySystemInformation để định vị ntoskrnl.exe trong không gian địa chỉ kernel, sau đó tham chiếu bảng offset hardcode bao phủ 13 phiên bản Windows để tính chính xác địa chỉ kernel của PspCreateProcessNotifyRoutine, PspCreateThreadNotifyRoutine, và PspLoadImageNotifyRoutine. Bằng các thao tác ghi kernel có mục tiêu, SPECTRE gỡ an toàn từng EDR callback đã đăng ký khỏi danh sách liên kết đôi (doubly-linked list). Hệ quả: các sản phẩm bảo mật phụ thuộc kernel callback như CrowdStrike Falcon, SentinelOne, Microsoft Defender và nhiều EDR khác hoàn toàn "mù" với sự kiện tạo tiến trình mới, tạo luồng mới, và nạp image trong suốt phần còn lại của phiên — vô hiệu hóa hoàn toàn khả năng giám sát của EDR trên máy mục tiêu.

Phiên bản Linux

Là một ELF x86-64 liên kết tĩnh (statically-linked). Ngay khi thực thi, SPECTRE chạy một cơ chế chấm điểm chống sandbox 8 yếu tố trước khi thiết lập kết nối C2; nếu tổng điểm đạt ngưỡng 50, binary thoát âm thầm, không để lại chỉ dấu quan sát được. Sau khi vượt qua kiểm tra, SPECTRE beacon tới domain C2 hardcode với payload JSON — giống hệt phiên bản Windows.

Thay vì 45 lệnh như Windows, phiên bản Linux chỉ có 29 lệnh, không lệnh nào bị obfuscate hay mã hóa: các thao tác file system cơ bản (ls, cat, mkdir, rm, cp, mv, download, upload), trinh sát hệ thống/tiến trình (ps, sysinfo, whoami, id, netinfo), quản lý agent (sleep, kill, selfdel, exit), thực thi shell không giới hạn (shell//bin/sh), và đặc biệt là timestomp — kỹ thuật chống pháp y dùng hàm utimensat() để sửa thời gian modify/access/change của tệp theo giá trị do operator cung cấp.

Năng lực mạnh nhất: một bộ lệnh riêng (rootkit_load, rootkit_hide, rootkit_root, rootkit_hide_mod, rootkit_status, rootkit_persist, rootkit_unload) điều khiển rootkit kernel-level tích hợp mang tên "Specter", được triển khai như một loadable kernel module ngụy trang tên acpi_pad.ko (giả mạo module quản lý nguồn ACPI processor hợp pháp). Để duy trì hiện diện, rootkit dùng một systemd unit giả mang tên hardware-monitor.service, mô tả "Hardware Performance Monitor", và quan trọng nhất — cấu hình Before=sysinit.target, đảm bảo rootkit chạy trước bất kỳ công cụ bảo mật nào được khởi tạo, ở mỗi lần khởi động hệ thống.

Giao tiếp giữa user-level và kernel module diễn ra qua cơ chế IPC dựa trên signal: gọi syscall kill() nhắm vào một magic PID giá trị 0x7A69 (thập phân 31337 — con số "elite"/leet nổi tiếng trong văn hóa hacker) kèm số hiệu signal thời gian thực (real-time signal) mã hóa thao tác mong muốn:

Signal 62: ẩn tiến trình — xóa task_struct mục tiêu khỏi danh sách PID của kernel, khiến /proc/<pid> biến mất.
Signal 36: ẩn chính module khỏi lsmod — unlink THIS_MODULE khỏi danh sách liên kết module kernel.
Signal 37: leo quyền tiến trình implant lên UID 0 — ghi đè trực tiếp cấu trúc credential của tiến trình.
Signal 35: handshake xác nhận module đã load thành công.

6. Specter — Rootkit Kernel Linux

Backdoor SPECTRE nạp rootkit Linux Kernel mang tên Specter để ngăn phát hiện từ các sản phẩm bảo mật. Thay vì vá bảng syscall (kỹ thuật cũ, dễ bị phát hiện), rootkit dùng framework "ftrace" — cơ chế instrumentation gốc, hợp pháp của Linux kernel — với cờ FTRACE_OPS_FL_IPMODIFY để chuyển hướng thực thi tại điểm vào hàm của 6 syscall handler:

hooked_tcp6_seq_show
hooked_tcp4_seq_show
hooked_tkill
hooked_tgkill
hooked_kill
hooked_getdents64

Vì ftrace là giao diện debug kernel hợp pháp, cách tiếp cận này tạo ra rất ít "noise" trong các cơ chế kiểm tra tính toàn vẹn của kernel.

7. Bằng Chứng Phát Triển Có Hỗ Trợ AI Trong Chính Rootkit

Đây là phát hiện đáng chú ý bậc nhất của báo cáo. Talos đánh giá độ tin cậy trung bình rằng UAT-10147 đã kết hợp phát triển hỗ trợ bởi AI và chuyên môn của con người để tạo ra rootkit Specter, dựa trên 3 bằng chứng:

Cấu trúc tài liệu: danh sách tính năng ở đầu mã nguồn đọc như một "bản đặc tả sản phẩm" chứ không phải ghi chú của lập trình viên — giống hệt một phản hồi cho prompt kiểu "Viết một rootkit với các tính năng sau". Đây là AI đang "tường thuật" những gì nó sắp tạo ra.
Dấu phân cách trang trí đồng nhất cứng nhắc: độ rộng và định dạng giống hệt nhau xuyên suốt hơn 10 phần logic — tính đồng nhất "máy móc" là đặc trưng kinh điển của output do AI sinh ra. Văn phong còn mang tính sư phạm: một lập trình viên thật viết rootkit sẽ không cần tự giải thích các khái niệm cơ bản như taint flag hay cách chạy cat /proc/sys/kernel/tainted — nội dung rõ ràng được cấu trúc như một bài giảng cho người đọc, chứ không phải ghi chú nội bộ đích thực.
Sự hiện diện của 3 phương pháp riêng biệt cho cùng một mục đích, được đánh nhãn tường minh "Method 1", "Method 2", "Method 3" — một artifact phổ biến của AI generation. Khi được yêu cầu "đầy đủ, kỹ lưỡng", các mô hình AI có xu hướng liệt kê mọi cách tiếp cận đã biết; ngược lại, một lập trình viên con người nhắm vào một kernel cụ thể sẽ chỉ chọn và triển khai phương pháp hiệu quả nhất. Đây là ví dụ kinh điển của "phản xạ hoàn chỉnh" (completeness reflex) đặc trưng của AI.

Bằng chứng bổ sung nằm ở chính họ công cụ leo quyền "Potato" tự biên dịch (EfsPotato, RustPotato): các PDB string và đường dẫn cục bộ lộ ra cho thấy actor build công cụ trong một thư mục tên "AI" (C:\Users\iis\Desktop\AI\EfsPotatoCpp\..., C:\Users\Intel\Desktop\AI\EfsPotatoCPP\...) — chi tiết nhỏ nhưng củng cố mạnh mẽ giả thuyết rằng actor đang dùng AI hỗ trợ phát triển các công cụ tùy chỉnh của mình.

8. Công Cụ SEO Fraud — Nhắm Trực Tiếp Vào Người Dùng Việt Nam

UAT-10147 triển khai hai loại công cụ SEO fraud với cơ chế duy trì hiện diện hoàn toàn khác nhau:

a) BadIIS (Malware-as-a-Service) — biến thể cốt lõi được xác nhận chính là mẫu cụ thể đã được ghi nhận trong nghiên cứu trước đó của Talos về hệ sinh thái BadIIS MaaS (đặc trưng bởi chuỗi demo.pdb), hoạt động theo mô hình Malware-as-a-Service được nhiều nhóm tội phạm nói tiếng Trung khác nhau cùng sử dụng — không riêng UAT-10147.

b) ASHX SEO Engine — một web handler C# ASHX mới, chiếm quyền pipeline xử lý request của ứng dụng IIS thông qua reflection. Về chức năng, nó tương tự BadIIS tiêu chuẩn: phục vụ nội dung giả cho crawler tìm kiếm để đầu độc thứ hạng, đồng thời phát JavaScript độc hại tới người dùng mục tiêu. Class được đặt tên thẳng thắn SeoEngineHandler.

Điểm mấu chốt: cấu hình nội bộ của handler này cho thấy nó được thiết kế cụ thể để nhắm vào người dùng Internet Việt Nam:

Domain C2 cấu hình dùng hậu tố vn.xyz.
Mã độc nhắm cụ thể tới crawler của "Cốc Cốc" (cấu hình dưới tên coccoc) — trình duyệt và công cụ tìm kiếm nổi bật của Việt Nam.

Đây không phải một chi tiết ngẫu nhiên hay phụ — nó là bằng chứng trực tiếp rằng người dùng Internet Việt Nam nằm trong phạm vi nhắm mục tiêu có chủ đích của công cụ SEO fraud này, chứ không chỉ là nạn nhân tình cờ trong một chiến dịch quét toàn cầu.

9. Họ Công Cụ Leo Quyền "Potato"

Actor sử dụng nhiều công cụ họ "Potato" để đạt quyền cấp hệ thống. Một số như GodPotato và JuicyPotato được tải dưới dạng binary biên dịch sẵn từ Internet; số khác như EfsPotato và RustPotato được actor tự biên dịch từ mã nguồn. Như đã nêu ở mục 7, các PDB string và đường dẫn cục bộ lộ ra từ các payload tự biên dịch này tiết lộ chi tiết về môi trường phát triển của actor — bao gồm thư mục build mang tên "AI".

10. Các Backdoor Khác Phục Vụ Duy Trì Hiện Diện

Web shell: kiến trúc hai lớp tinh vi. Handler ngoài hoạt động như một loader tự bootstrapping, dùng biên dịch động trong bộ nhớ để thực thi payload. Khi nhận request HTTP đầu tiên, handler đảo ngược một chuỗi bị obfuscate, giải mã base64, và biên dịch động đoạn mã kết quả trong bộ nhớ bằng CodeDomProvider. Để tối ưu và đảm bảo an toàn luồng, nó cache assembly đã biên dịch vào một field tĩnh (_a) dùng double-checked locking — đảm bảo chỉ biên dịch một lần duy nhất trong vòng đời của IIS worker process. Handler nhúng bên trong dùng tham số số để phân luồng chế độ hoạt động, và áp dụng xác thực đa lớp nghiêm ngặt: kiểm tra header X-ID, nếu không có thì fallback sang tham số v; nếu không khớp chính xác giá trị "x9", handler lập tức dừng và trả về lỗi 404 giả — kỹ thuật này giúp quá trình xác thực ngầm của shell hòa lẫn hoàn toàn vào traffic HTTP thông thường.

Lệnh	Chức năng
0 (mặc định)	Lấy thông tin hệ thống (MachineName / Username / OSVersion / CurrentPath)
1	Thực thi lệnh hệ thống (tham số `b` = binary chạy, mặc định `cmd.exe`; `g` = tham số)
2	Đọc tệp
3	Ghi tệp
4	Tải tệp trực tiếp
5	Liệt kê thư mục

Meterpreter: triển khai reverse shell trên các máy Linux đã xâm phạm để duy trì truy cập bền vững — hoạt động như một shellcode dropper giai đoạn một, sau khi kết nối thành công sẽ tải payload giai đoạn hai để thiết lập persistence và quyền C2 đầy đủ.

Noodle RAT: biến thể ELF Type 0x03A2 (đã được Trend Micro ghi nhận trước đó) — dùng như backdoor giai đoạn cuối để đảm bảo truy cập bền vững trên Linux.

Quasar RAT: một đặc điểm đáng chú ý là Campaign ID được cấu hình chứa một cụm từ tiếng Hoa mang tính miệt thị nhắm vào người Việt Nam lớn tuổi. Chi tiết này (dù không mang giá trị kỹ thuật) cung cấp manh mối về thái độ hoặc mục tiêu địa lý cụ thể của actor — càng củng cố thêm bằng chứng nhắm mục tiêu Việt Nam đã nêu ở mục 8.

Gh0stCringe: được nhúng làm shellcode bên trong một loader tùy chỉnh viết bằng Go để né tránh phát hiện.

Tóm Tắt Rủi Ro

Chiều Rủi ro	Mức độ	Lý do
Khả năng qua mặt EDR	Nghiêm trọng	BYOVD vô hiệu hóa hoàn toàn kernel callback của CrowdStrike, SentinelOne, Defender và các EDR khác
Độ bền của xâm nhập (Persistence)	Rất cao	Rootkit kernel Linux chạy trước mọi security tooling từ lúc boot; sống sót qua reboot
Khả năng ẩn mình (Stealth)	Rất cao	Obfuscation kép (PEB hash walking + xorshift32), anti-sandbox scoring cả 2 nền tảng, ftrace hooking ít "noise"
Tính tự động hóa (AI-driven scale)	Rất cao	AI hỗ trợ mọi giai đoạn: khai thác, trinh sát, sinh payload, kiểm chứng, viết tài liệu vận hành
Phạm vi ảnh hưởng (Blast Radius)	Cao	170.000 URL trong danh sách mục tiêu; nạn nhân đã xác nhận trải khắp 5 quốc gia, nhiều ngành
Đánh cắp Credential	Cao	Dump SAM/SYSTEM/SECURITY hive, Credential Manager, dữ liệu đăng nhập Chrome/Edge
Mức độ nhắm mục tiêu Việt Nam	Đáng lo ngại	Module SEO fraud cấu hình riêng cho người dùng VN (Cốc Cốc, domain `vn.xyz`); VN nằm trong nhóm nạn nhân đã xác nhận

IOC & Artifacts

Network Indicators

Indicator	Loại	Vai trò
`139.180.197[.]150`	IP	Open directory / máy chủ tải xuống chính; cũng dùng cổng `54321` làm staging phụ
`adminapi.tippusoni[.]in`	Domain	Máy chủ lưu trữ EfsPotato, Quasar RAT, BadIIS, script triển khai
Domain hậu tố `vn.xyz`	Domain pattern	C2 của ASHX SEO Engine, nhắm người dùng Việt Nam

Host-based Indicators

Scheduled Task: Google Chrome Start (chạy backdoor mỗi lần logon, quyền cao nhất).
Batch script: back.txt/back.bat, bai.bat/bai.txt, user.txt/user.bat.
Công cụ đổi tên né phát hiện: EfsPotato đổi tên thành prcc1.rar; Quasar RAT ngụy trang svchosts.exe.
DLL reverse shell (từ CVE-2019-18935): quy ước đặt tên [10 chữ số].[7 chữ số].dll.
Kernel module giả mạo: acpi_pad.ko.
Systemd unit giả: hardware-monitor.service (mô tả "Hardware Performance Monitor", Before=sysinit.target).
Magic PID (IPC rootkit): 0x7A69 (31337).
Web shell: xác thực qua header X-ID hoặc tham số v = "x9".
Web shell ASHX: sss.ashx, handler tạm up.ashx.
Class SEO engine: SeoEngineHandler, crawler mục tiêu coccoc.
Windows Defender exclusion path bị lạm dụng: C:\Windows\System32\inetsrv, C:\Windows\SysWOW64\inetsrv.
NTFS ADS lưu cấu hình C2: C:\Windows\System32\drivers\etc\hosts:cache.

PDB Paths (bằng chứng attribution)

C:\Users\Administrator\Desktop\2025-11-21 (x神订制全站劫持按浏览器语言跳转)\dll\Release\demo.pdb
C:\Users\Administrator\Desktop\2025-11-21 (x神订制全站劫持按浏览器语言跳转)\dll\x64\Release\demo.pdb
C:\Users\Administrator\Desktop\x神的自安装服务\svchost\x64\Release\service.pdb
C:\Users\iis\Desktop\AI\EfsPotatoCpp\x64\Release\EfsPotato.pdb
C:\Users\Intel\Desktop\AI\EfsPotatoCPP\x64\Debug\EfsPotato.pdb

CVE Được Vũ Khí Hóa (Tổng hợp)

CVE	Sản phẩm/Thành phần	Loại
CVE-2022-27925	Zimbra Collaboration Suite	RCE không xác thực
CVE-2021-23758	AjaxPro	RCE qua deserialization
CVE-2021-29441 / CVE-2021-29442	Alibaba Nacos	RCE tùy ý
CVE-2019-18935	Telerik UI for ASP.NET AJAX	RCE qua deserialization JSON
CVE-2022-0995	Linux kernel (watch_queue)	LPE
CVE-2021-3156	sudo ("Baron Samedit")	LPE
CVE-2015-5287	ABRT sosreport	LPE
CVE-2015-3246	libuser roothelper	LPE
CVE-2010-3904	Linux kernel RDS	LPE
CVE-2022-0847	Linux kernel ("Dirty Pipe")	LPE
CVE-2019-16098	MSI RTCore64.sys	BYOVD
CVE-2021-21551	Dell DBUtil_2_3.sys	BYOVD

Danh sách IOC đầy đủ (hash, domain bổ sung): Cisco Talos công bố kho IOC chi tiết trên GitHub — xem phần Tham khảo bên dưới.

Coverage (Chữ ký phát hiện do Talos công bố)

ClamAV: Py.Loader.Tool-10060293-1/2, Win.Malware.Generic (nhiều biến thể), Win.Loader.Downloader-10060287-1, Win.Malware.BadPotato-10060230-0, Unix.Rootkit.Malware-10060258-0, Unix.Rootkit.Spectre-10060260-0, Unix.Backdoor.Msfvenom-10012672-0, Win.Malware.BadIIS-10059985-0, Asp.Rootkit.Badiis-10060290-1, cùng nhiều chữ ký khác (xem đầy đủ tại nguồn gốc).

Snort: SID 1:66688, 1:66689, 1:66690, 1:66696, 1:66697, 1:301548 (Snort2/Snort3).

MITRE ATT&CK Mapping

Tactic	Technique ID	Technique Name	Mô tả trong chiến dịch
Initial Access	T1190	Exploit Public-Facing Application	Toàn bộ chuỗi RCE ban đầu qua các CVE Zimbra, AjaxPro, Nacos, Telerik và exploit tùy chỉnh
Execution	T1059.001 / T1059.003 / T1059.004	Command and Scripting Interpreter (PowerShell / Windows Batch / Unix Shell)	Toàn bộ script `back.bat`, `bai.bat`, `user.bat`, lệnh `shell`/`sh` của SPECTRE
Persistence	T1053.005	Scheduled Task/Job	Task "Google Chrome Start"
Persistence	T1543.002/.003	Create or Modify System Process (Systemd Service / Windows Service)	`hardware-monitor.service` giả; service installer BadIIS
Persistence	T1505.003	Server Software Component: Web Shell	Web shell 2 lớp, ASHX web shell `sss.ashx`
Persistence	T1136	Create Account	Tạo tài khoản local admin giả, thêm nhóm RDP
Privilege Escalation	T1068	Exploitation for Privilege Escalation	6 CVE LPE trên Linux; EfsPotato/GodPotato/JuicyPotato/RustPotato trên Windows
Privilege Escalation	T1134	Access Token Manipulation	Named pipe impersonation, `steal_token`, `make_token` của SPECTRE
Privilege Escalation	T1055 / T1055.012	Process Injection / Process Hollowing	`inject`, `hollow`, `earlybird` (APC EarlyBird) trên SPECTRE Windows
Defense Evasion	T1562.001	Impair Defenses: Disable or Modify Tools	Thêm Windows Defender exclusion cho thư mục IIS và malware
Defense Evasion	T1014	Rootkit	Rootkit "Specter" trên Linux (ftrace hooking)
Defense Evasion	T1622 / T1497	Debugger/Sandbox Evasion	Anti-sandbox scoring có trọng số trên cả Windows và Linux
Defense Evasion	T1027	Obfuscated Files or Information	Mã hóa chuỗi xorshift32, phân giải API qua PEB hash walking
Defense Evasion	T1070.004 / T1070.006	Indicator Removal (File Deletion / Timestomp)	Xóa payload staging; lệnh `timestomp`
Defense Evasion	T1564.001	Hide Artifacts: Hidden Files and Directories	`rootkit_hide` (ẩn process khỏi `/proc`), `rootkit_hide_mod` (ẩn khỏi `lsmod`)
Defense Evasion	T1036	Masquerading	`acpi_pad.ko`, "Google Chrome Start", HTTP 404 giả của web shell
Credential Access	T1003.002	OS Credential Dumping: SAM	Dump SAM/SYSTEM/SECURITY hive qua `RegSaveKeyA`
Credential Access	T1555.003 / T1555.004	Credentials from Web Browsers / Windows Credential Manager	`chromedump`, `vaultdump`
Credential Access	T1552	Unsecured Credentials	Khai thác MachineKey rò rỉ/công khai qua `badsecrets`
Discovery	T1082 / T1057 / T1083 / T1016	System/Process/File/Network Discovery	Lệnh `sysinfo`, `ps`, `ls`, `netinfo`; recon qua `appcmd`, `whoami /priv`
Collection	T1113 / T1056.001	Screen Capture / Keylogging	`screenshot`, `keylog_start/stop/dump`
Command and Control	T1071.001	Application Layer Protocol: Web Protocols	HTTPS tới `/api/v1/register`, `/api/v1/output`
Command and Control	T1102	Web Service	Nacos config server và `webhook.site` làm "hố hứng" exfil
Exfiltration	T1041 / T1567	Exfiltration Over C2 Channel / Web Service	Dữ liệu recon exfil qua webhook, Nacos

Nhận Định

UAT-10147 là một trong những ví dụ rõ ràng và có hệ thống nhất cho tới nay về việc một threat actor tội phạm thuần túy (không phải APT nhà nước) khai thác AI agentic xuyên suốt toàn bộ chu trình tấn công — không chỉ để viết script hỗ trợ, mà để tinh chỉnh exploit lặp lại, khắc phục sự cố thích ứng, tự động hóa post-exploitation, kiểm chứng exploit, và sinh tài liệu vận hành hoàn chỉnh. Việc AI tạo ra một hướng dẫn khai thác 9 phần — bao gồm cả việc tự sửa một hiểu lầm kỹ thuật phổ biến trên Internet, ghi lại nhật ký case thực tế, và tài liệu hóa "điểm mù phòng thủ" (HTTP 500 = thành công) — cho thấy actor đang dùng AI như một "đồng đội junior siêng năng và tỉ mỉ", chứ không đơn thuần là công cụ gõ lệnh hỗ trợ.

Đáng lo ngại hơn, bằng chứng AI-assisted development xuất hiện ngay trong chính rootkit kernel Linux — cấu trúc tài liệu kiểu "product spec", giọng văn sư phạm giải thích khái niệm cơ bản, và "phản xạ hoàn chỉnh" liệt kê 3 phương pháp cho cùng một mục tiêu. Đây là tín hiệu cho thấy AI không còn giới hạn ở việc hỗ trợ viết script tấn công cấp cao, mà đang len vào phát triển malware ở tầng kernel — khu vực trước đây đòi hỏi chuyên môn sâu và hiếm khi phổ biến trong giới tội phạm mạng phổ thông.

Chuỗi tấn công của UAT-10147 không cần bất kỳ 0-day nào. Toàn bộ dựa trên lỗ hổng công khai đã biết (1-day), cấu hình sai, và lộ khóa bí mật (MachineKey). Điều này khẳng định lại một nguyên tắc phòng thủ cơ bản: quản lý bản vá (patch management) đúng hạn và bảo mật khóa bí mật (secret hygiene) vẫn là biện pháp hiệu quả nhất, bất kể đối thủ có được AI hỗ trợ tinh vi tới đâu. Đồng thời, việc một nhóm tội phạm phổ thông giờ đây tiếp cận được kỹ thuật BYOVD vô hiệu hóa EDR ở cấp kernel và rootkit Linux dùng ftrace — vốn từng gần như là "đặc quyền" của các nhóm APT nhà nước — cho thấy ranh giới năng lực giữa cybercrime và APT đang thu hẹp nhanh chóng, một phần không nhỏ nhờ AI hạ thấp rào cản kỹ năng cần thiết.

Đối với các tổ chức tại Việt Nam, đây là một cảnh báo cụ thể và trực tiếp — không chỉ là rủi ro chung chung. UAT-10147 không tình cờ có nạn nhân tại Việt Nam: nhóm này sở hữu một module SEO fraud được cấu hình riêng để nhắm vào Cốc Cốc và dùng domain C2 hậu tố vn.xyz — bằng chứng của một chiến dịch có chủ đích nhắm vào người dùng Internet Việt Nam, kết hợp với việc Việt Nam đã nằm trong nhóm 5 quốc gia có máy chủ bị xâm phạm được xác nhận. Các tổ chức Việt Nam đang vận hành máy chủ IIS hoặc Linux công khai trên Internet — đặc biệt trong lĩnh vực chính phủ, giáo dục, media, công nghệ, gaming — nên coi đây là mối đe dọa đang hoạt động và có định hướng mục tiêu, không phải một rủi ro lý thuyết.

Khuyến Nghị

Vá lỗi & Quản lý bề mặt tấn công (ưu tiên cao nhất)

Vá ngay các CVE đã liệt kê — đặc biệt Zimbra (CVE-2022-27925), Telerik UI (CVE-2019-18935), Nacos (CVE-2021-29441/29442) nếu tổ chức đang sử dụng các sản phẩm này.
Với máy chủ Linux: ưu tiên vá sudo (CVE-2021-3156) và kernel (Dirty Pipe CVE-2022-0847) — đây là hai lỗ hổng LPE nguy hiểm và phổ biến nhất trong danh sách.
Bảo vệ MachineKey của ASP.NET: không dùng giá trị MachineKey mặc định hoặc công khai; kiểm tra ứng dụng ASP.NET nội bộ với công cụ như badsecrets để tự phát hiện key đã rò rỉ trước khi kẻ tấn công làm điều đó.

Phát hiện trên Windows

Giám sát thay đổi Windows Defender exclusion list bất thường, đặc biệt các đường dẫn System32\inetsrv, SysWOW64\inetsrv, hoặc bất kỳ thư mục nào được thêm qua PowerShell/Registry ngay sau một sự kiện thực thi đáng ngờ.
Cảnh báo khi driver kernel không phổ biến được cài đặt (đặc biệt RTCore64.sys, DBUtil_2_3.sys) — đây là dấu hiệu BYOVD kinh điển; cân nhắc dùng Microsoft Vulnerable Driver Blocklist.
Rà soát scheduled task tên "Google Chrome Start" hoặc bất kỳ task nào ngụy trang phần mềm hợp pháp nhưng trỏ tới binary/đường dẫn bất thường.
Kiểm tra NTFS Alternate Data Stream trên các tệp hệ thống nhạy cảm như hosts — ADS bất thường có thể chứa cấu hình C2 ẩn.
Giám sát tạo tài khoản local admin mới được thêm đồng thời vào nhóm Remote Desktop Users.

Phát hiện trên Linux

Rà soát kernel module đang tải, đặc biệt các module tên giống hợp pháp (acpi_pad và biến thể) nhưng có hash hoặc nguồn gốc bất thường.
Kiểm tra systemd unit mới, đặc biệt các unit có Before=sysinit.target — đây là chỉ dấu mạnh của kỹ thuật persist-trước-security-tooling.
Giám sát syscall kill() nhắm PID không tồn tại hoặc giá trị bất thường (như 31337) — dấu hiệu IPC dựa trên signal của rootkit.
Kiểm tra việc sử dụng ftrace bất thường — dù là API hợp pháp, việc một tiến trình không rõ nguồn gốc đăng ký ftrace hook trên các syscall nhạy cảm là dấu hiệu đáng ngờ.

Chung

Coi mọi backdoor cài đặt bền vững là điểm khởi đầu cho leo quyền + BYOVD, không chỉ dừng ở việc gỡ malware cấp bề mặt.
Với các tổ chức Việt Nam có hiện diện web công khai: rà soát log truy cập tìm dấu hiệu bot/crawler bất thường liên quan tới coccoc hoặc redirect theo browser language — dấu hiệu đặc trưng của module SEO fraud nhắm Việt Nam.
Triển khai EDR có khả năng phát hiện BYOVD (giám sát cài đặt driver kernel mới, không chỉ dựa vào callback truyền thống — vì chính callback đó có thể bị vô hiệu hóa).
Threat hunting chủ động theo IOC đã công bố (xem phần Tham khảo) — đặc biệt các PDB path và chuỗi liên quan tới "x神".

Command Palette