Theo thông tin từ Công an thành phố Hà Nội cho biết, thực hiện chức năng, nhiệm vụ quản lý nhà nước về an toàn thông tin mạng trên địa bàn thành phố, Công an Thành phố phát hiện gần đây xuất hiện một số chủng mã độc đặc biệt nguy hiểm đang bị các nhóm tin tặc khai thác, tấn công trực tiếp vào hệ thống thông tin của các cơ quan, đơn vị và thiết bị di động của cán bộ, công chức, viên chức, người lao động trên địa bàn, tiềm ẩn nguy cơ gây mất an ninh mạng, an ninh thông tin của các cơ quan, đơn vị.
Chủng mã độc gián điệp RedHook (Phát hiện đầu tháng 8/2026)
Đây là dòng mã độc gián điệp (Spyware/Trojan) thế hệ mới đặc biệt nguy hiểm, nhắm trực tiếp vào các thiết bị di động sử dụng hệ điều hành Android. Mã độc phát tán chủ yếu qua các tin nhắn SMS giả mạo, ứng dụng nhắn tin OTT (Zalo, Telegram…) hoặc các trang web mạo danh Cổng dịch vụ công Quốc gia, Cổng dịch vụ công TP Hà Nội, ứng dụng thuế eTax Mobile, ứng dụng định danh điện tử VNeID và các ngân hàng thương mại lớn. Thủ đoạn hoạt động kỹ thuật của RedHook, cụ thể:
Lạm dụng Dịch vụ hỗ trợ: Ngay khi người dùng tải và cài đặt tệp .APK độc hại, mã độc sử dụng các chiêu thức lừa đảo giao diện để yêu cầu cấp quyền "Accessibility Services". Khi được cấp quyền, RedHook giành quyền kiểm soát tối cao giao diện người dùng mà không cần root thiết bị.
Tự động cấp quyền hệ thống: Mã độc tự động thực hiện các thao tác cảm ứng ngầm để cấp toàn bộ các quyền nguy hiểm khác (đọc/gửi SMS, danh bạ, nhật ký cuộc gọi, bộ nhớ, ghi âm, vẽ đè màn hình).
Đánh cắp dữ liệu & Giám sát thời gian thực: Âm thầm quay màn hình, ghi lại thao tác bàn phím (Keylogging), đọc lén tin nhắn chứa mã xác thực OTP, mật khẩu tài khoản ngân hàng và thông tin cá nhân nhạy cảm.
Chuyển tiền tự động: Tự động kích hoạt ứng dụng ngân hàng chính chủ trên điện thoại nạn nhân, khởi tạo lệnh chuyển tiền, tự điền mã OTP và duyệt giao dịch ngầm mà nạn nhân không hề hay biết.
Cơ chế ẩn náu và tự khôi phục: Đăng ký sự kiện khởi động lại hệ thống (BOOT_COMPLETED), tự động kích hoạt lại mọi tiến trình độc hại ngay cả khi người dùng khởi động lại thiết bị điện thoại.
Mã độc tống tiền StormEncryptor (Phát hiện ngày 11/8/2026)
Do nhóm tin tặc chuyên nghiệp Storm-1175 triển khai, nhắm vào toàn bộ hệ thống máy chủ (Windows Server) và máy trạm (Windows Clients) trong mạng nội bộ của các cơ quan, đơn vị, doanh nghiệp. Thủ đoạn lây nhiễm và gây hại của StormEncryptor:
Tấn công chuỗi cung ứng qua công cụ RMM: Tin tặc lạm dụng lỗ hổng bảo mật đặc biệt nghiêm trọng CVE-2026-18577 trên nền tảng giám sát và quản trị hệ thống từ xa N-able N-central để chiếm quyền quản trị tối cao của trung tâm quản lý tập trung.
Lây nhiễm mã độc diện rộng tự động: Từ máy chủ N-central bị khống chế, tin tặc sử dụng chính tính năng triển khai phần mềm tự động của hệ thống để đẩy (push) mã độc tống tiền StormEncryptor xuống hàng loạt máy tính trạm và máy chủ trong mạng nội bộ chỉ trong thời gian ngắn.
Mã hóa và tống tiền kép: Ngừng các dịch vụ bảo mật/sao lưu, xóa bản lưu dự phòng (Shadow Copies), mã hóa toàn bộ tệp tin dữ liệu bằng thuật toán mã hóa mạnh và để lại thông điệp tống tiền. Đồng thời, tin tặc thực hiện hành vi trích xuất đánh cắp dữ liệu nhạy cảm trước khi mã hóa để đe dọa công bố.
Phát hiện điện thoại tự thao tác, mất tiền bất thường cần lập tức ngắt kết nối mạng
Công an TP Hà Nội khuyến cáo người dân cần đặc biệt cảnh giác với các đường link, tệp tin hoặc ứng dụng không rõ nguồn gốc. Người dùng không nên bấm vào các liên kết được gửi qua email, SMS, Zalo hay các nền tảng nhắn tin khác, đồng thời không tải và cài đặt các tệp .APK không rõ nguồn gốc.
Khi phát hiện điện thoại có những dấu hiệu bất thường như xuất hiện ứng dụng lạ, màn hình tự thao tác, máy nóng bất thường hoặc phát sinh giao dịch không rõ nguyên nhân, người dùng cần nhanh chóng ngắt kết nối Internet, không tiếp tục nhập mật khẩu hoặc mã OTP.
Người dùng nên sử dụng một thiết bị khác để đổi mật khẩu, mã PIN, liên hệ ngân hàng khóa tài khoản và thẻ nếu nghi ngờ thông tin đã bị lộ.
Đối với máy tính và hệ thống máy chủ nghi bị tấn công, Công an TP Hà Nội khuyến cáo cần nhanh chóng cô lập thiết bị khỏi mạng, thu thập thông tin phục vụ việc xử lý và khôi phục hệ thống từ các bản sao lưu an toàn. Người dùng cũng cần thường xuyên cập nhật, vá các lỗ hổng bảo mật và chỉ cài đặt ứng dụng từ các kho chính thức.
Nam An
