1. Tổng quan về chiến dịch tấn công

Nhóm tin tặc được biết đến với tên gọi Silent Lynx đã bị xác định có liên quan đến một loạt chiến dịch tấn công nhằm vào các tổ chức chính phủ tại khu vực Cộng đồng các quốc gia độc lập (CIS).

Theo các báo cáo từ Cisco Talos và Recorded Future Insikt Group, hoạt động này được ghi nhận từ tháng 6/2025 đến tháng 8/2026. Nhóm tấn công sử dụng nhiều phương thức phát tán mã độc, bao gồm tài liệu Microsoft Word có macro, chương trình tải xuống được xây dựng từ PowerShell, tập lệnh lưu trữ trên GitHub và các tệp nén RAR được tạo đặc biệt để khai thác lỗ hổng trong WinRAR.

Mục tiêu của các cuộc tấn công là triển khai những công cụ truy cập từ xa tùy chỉnh, cho phép kẻ tấn công tương tác với hệ thống đã bị xâm nhập.

Hoạt động này tập trung tại khu vực Trung Á và các quốc gia CIS, bao gồm Kazakhstan, Kyrgyzstan, Tajikistan, Turkmenistan, Uzbekistan, Armenia, Azerbaijan, Nga và Belarus.

2. Các phương thức phát tán mã độc

Các nhà nghiên cứu ghi nhận bốn chuỗi lây nhiễm chính trong chiến dịch.

Giai đoạn 1 – Tháng 6/2025: Khai thác tài liệu Microsoft Word

Kẻ tấn công sử dụng các tài liệu Word có chứa macro để tải xuống và thực thi một chương trình độc hại ở giai đoạn tiếp theo. Phương thức này lợi dụng sự tin tưởng của người dùng đối với các tài liệu có vẻ hợp pháp.

Giai đoạn 2 – Tháng 7/2025: Sử dụng chương trình tải xuống dựa trên PowerShell

Nhóm tấn công sử dụng PS2EXE, công cụ cho phép đóng gói tập lệnh PowerShell thành tệp thực thi Windows. Các chương trình này tải về những thành phần mã độc có chức năng tạo kết nối điều khiển từ xa. Một số biến thể còn tạo tác vụ theo lịch (Scheduled Task) nhằm duy trì khả năng thực thi sau khi hệ thống khởi động lại hoặc theo những thời điểm đã định.

Giai đoạn 3 – Tháng 10/2025: Khai thác tệp lối tắt độc hại

Một số tệp nén RAR chứa lối tắt Windows có phần mở rộng LNK được sử dụng để khởi chạy PowerShell. Tập lệnh này tải và thực thi mã từ GitHub nhằm thiết lập khả năng truy cập từ xa.

Trong các biến thể tiếp theo, mã độc PickleShell được đặt vào thư mục Startup của Windows để tự động chạy khi người dùng đăng nhập.

Giai đoạn 4 – Tháng 4/2026: Khai thác lỗ hổng WinRAR

Đây là bước phát triển đáng chú ý trong chiến dịch. Nhóm tấn công sử dụng tệp RAR được tạo đặc biệt để khai thác lỗ hổng CVE-2025-8088 trong WinRAR, từ đó đưa PickleShell vào thư mục Startup của Windows.

Theo đánh giá của các nhà nghiên cứu, đây là lần đầu tiên hoạt động được theo dõi dưới mã định danh UAT-6275 ghi nhận việc sử dụng một lỗ hổng bảo mật làm phương thức phát tán mã độc trong chiến dịch này.

3. Reverse Shell và khả năng kiểm soát hệ thống

Một trong những thành phần quan trọng của chiến dịch là các công cụ Reverse Shell tùy chỉnh, bao gồm FoalShell, Chvost, Laplas và PickleShell.

Reverse Shell là cơ chế trong đó hệ thống bị xâm nhập chủ động thiết lập kết nối đến hệ thống do kẻ tấn công kiểm soát. Thông qua kết nối này, kẻ tấn công có thể thực hiện các thao tác từ xa tùy thuộc vào quyền hạn và chức năng mà mã độc cung cấp.

Khác với hình dung thông thường về việc tin tặc trực tiếp kết nối từ bên ngoài vào máy nạn nhân, Reverse Shell có thể khiến máy nạn nhân chủ động kết nối ra ngoài. Điều này có thể gây khó khăn cho việc phát hiện nếu hệ thống giám sát chỉ tập trung vào các kết nối đến.

Việc đặt mã độc trong thư mục Startup hoặc tạo Scheduled Task còn giúp duy trì sự hiện diện trên máy tính qua các lần đăng nhập hay khởi động lại, tạo điều kiện cho hoạt động xâm nhập kéo dài.

4. Phishing và kỹ thuật thao túng người dùng

Bên cạnh việc khai thác lỗ hổng kỹ thuật, Silent Lynx còn sử dụng spear-phishing (lừa đảo có chủ đích).

Các email được thiết kế để phù hợp với bối cảnh công việc của nạn nhân, chẳng hạn như quan hệ ngoại giao, thương mại quốc tế, năng lượng và hàng không. Một số tài liệu giả mạo được trình bày dưới dạng công văn ngoại giao, biểu mẫu hàng không hoặc đề xuất kinh doanh.

Đáng chú ý, các email lừa đảo được gửi từ những tài khoản chính phủ đã bị xâm nhập. Điều này làm tăng độ tin cậy của thông điệp và khiến người nhận khó phân biệt tài liệu độc hại với tài liệu công việc thông thường.

Chiến dịch cho thấy tấn công mạng không chỉ dựa vào kỹ thuật khai thác phần mềm mà còn kết hợp kỹ thuật xã hội (Social Engineering), lợi dụng niềm tin và quy trình làm việc của tổ chức.

5. Những dấu hiệu đáng chú ý khác

Các nhà nghiên cứu còn phát hiện những thư mục lưu trữ công khai có liên quan đến nhóm tấn công, trong đó chứa công cụ tương thích với Linux và mã khai thác thử nghiệm công khai cho CVE-2025-25257, một lỗ hổng SQL Injection trong Fortinet FortiWeb.

Thông tin này cho thấy nhóm có thể đang mở rộng bộ công cụ và khả năng hoạt động. Tuy nhiên, việc phát hiện một mã khai thác trong cơ sở hạ tầng liên quan không đồng nghĩa với việc lỗ hổng đó chắc chắn đã được sử dụng thành công để xâm nhập các mục tiêu trong cùng chiến dịch.

6. Bài học về phòng thủ và ứng phó sự cố

Từ chiến dịch Silent Lynx, có thể rút ra một số khuyến nghị dành cho người dùng và quản trị viên hệ thống:

• Cập nhật phần mềm: Sử dụng phiên bản WinRAR đã khắc phục CVE-2025-8088, đồng thời rà soát các bản WinRAR cũ được tích hợp trong những phần mềm khác.

• Kiểm soát tệp đính kèm: Thận trọng với tệp RAR, tài liệu Office và tệp LNK đến từ nguồn không đáng tin cậy, kể cả khi nội dung có vẻ phù hợp với công việc.

• Giám sát PowerShell: Phát hiện những trường hợp PowerShell được khởi chạy bất thường từ tài liệu Office hoặc tệp lối tắt LNK.

• Kiểm tra cơ chế duy trì hiện diện: Theo dõi các thay đổi bất thường trong thư mục Startup và những Scheduled Task mới được tạo.

• Giám sát kết nối mạng: Phân tích các kết nối đi bất thường, đặc biệt là kết nối đến các máy chủ bên ngoài không thuộc danh sách cho phép.

• Kết hợp nhiều nguồn dữ liệu: Đối chiếu nhật ký hệ điều hành, tiến trình, sự kiện mạng và dấu vết tệp để phát hiện chuỗi hành vi đáng ngờ thay vì chỉ dựa vào một dấu hiệu riêng lẻ.

Việc cập nhật phần mềm là cần thiết nhưng chưa đủ. Một hệ thống phòng thủ hiệu quả cần kết hợp quản lý lỗ hổng, kiểm soát thực thi, giám sát hành vi và quy trình ứng phó sự cố.

Kết luận: Chiến dịch Silent Lynx minh họa cách một nhóm tấn công kết hợp khai thác lỗ hổng, lừa đảo có chủ đích, thực thi PowerShell và cơ chế duy trì hiện diện để xâm nhập hệ thống. Đối với sinh viên ngành An toàn thông tin, việc hiểu chuỗi tấn công và các dấu hiệu phát hiện là nền tảng quan trọng để xây dựng năng lực giám sát, phân tích mã độc và ứng phó sự cố.

Nguồn tham khảo: Ravie Lakshmanan, The Hacker News, Silent Lynx Exploits WinRAR Flaw to Deploy Reverse Shell in CIS Government Attacks, ngày 15/10/2026.