Tổng quan tình hình ATTT tháng 11

Trong tháng 11/2025, bức tranh an toàn thông tin tiếp tục diễn biến phức tạp với sự gia tăng đáng kể cả về số lượng và mức độ tinh vi của các chiến dịch tấn công nhắm vào Việt Nam và khu vực Đông Nam Á. Nhiều chiến dịch APT được ghi nhận hoạt động mạnh, trải dài từ phát tán mã độc đánh cắp thông tin, gián điệp mạng cho tới các hình thức tấn công phá hoại như ransomware và xâm nhập hệ thống để thiết lập kênh điều khiển (C2). Các nhóm tấn công khai thác đồng thời nhiều kỹ thuật hiện đại – từ lạm dụng phần mềm hợp pháp, driver dễ bị tấn công, kỹ thuật DLL sideloading, đến khai thác các lỗ hổng zero-day và cơ chế tải mã độc đa tầng – cho thấy xu hướng nâng cấp công cụ và chiến thuật nhằm tăng khả năng vượt qua hệ thống phòng thủ truyền thống.

Song song với các chiến dịch APT, tháng này cũng ghi nhận nhiều lỗ hổng bảo mật nghiêm trọng trong các sản phẩm phổ biến của Microsoft, Exchange Server, GDI+, Office và các nền tảng khác. Việc xuất hiện lỗ hổng zero-day bị khai thác thực tế và các lỗ hổng RCE nghiêm trọng cho thấy nguy cơ tấn công quy mô lớn luôn hiện hữu nếu các tổ chức không kịp thời cập nhật bản vá. Bên cạnh đó, các sản phẩm bên thứ ba như Control Web Panel và thư viện JavaScript expr-eval cũng phát sinh lỗ hổng mức cao, mở rộng thêm bề mặt tấn công mà tin tặc có thể lợi dụng.

Hoạt động mã độc trong tháng cũng đáng chú ý với sự xuất hiện của Trojan ngân hàng BankBot-YNRK nhắm vào người dùng ứng dụng tài chính tại Việt Nam, cùng với ransomware ShinySp1d3r – một biến thể hoàn toàn mới của ShinyHunters với khả năng mã hóa, xóa log, phá backup và lan truyền mạnh mẽ trong mạng nội bộ. Điều này phản ánh xu hướng tội phạm mạng mở rộng phạm vi mục tiêu, song song tấn công cả người dùng cá nhân và hạ tầng doanh nghiệp, đặc biệt trong các lĩnh vực tài chính và dịch vụ.

Ngoài ra, tình trạng rò rỉ dữ liệu tiếp tục đáng báo động. Việc mật khẩu yếu vẫn được sử dụng phổ biến, cùng với sự lan rộng của stealer malware trên thiết bị người dùng, khiến nguy cơ chiếm đoạt tài khoản và tấn công leo thang (credential stuffing, social engineering) tiếp tục gia tăng. Thêm vào đó, các trường hợp tin tặc khai thác lỗ hổng hệ thống để sao chép toàn bộ cơ sở dữ liệu cho thấy nhiều tổ chức vẫn gặp khó khăn trong việc triển khai phòng vệ đa lớp và kiểm soát cấu hình hệ thống.

Tổng thể, tình hình an toàn thông tin tháng 11/2025 cho thấy mức độ đe dọa đang tăng nhanh cả về chiều rộng và chiều sâu, với các chiến dịch tấn công ngày càng tinh vi, có tổ chức và kết hợp nhiều kỹ thuật nhằm tối ưu hóa hiệu quả xâm nhập. Các tổ chức, doanh nghiệp cần ưu tiên củng cố năng lực phòng vệ, tăng cường giám sát an ninh, triển khai cập nhật bản vá kịp thời và nâng cao nhận thức người dùng để giảm thiểu rủi ro trong bối cảnh tội phạm mạng đang hoạt động mạnh mẽ hơn bao giờ hết. 

Thông tin chi tiết và phân tích

1. Các chiến dịch tấn công APT

Trong tháng 11/2025, VNPT CTIP ghi nhận nhiều chiến dịch tấn công nhắm vào Việt Nam và khu vực Đông Nam Á ghi nhận sự đa dạng từ phát tán mã độc, gián điệp mạng đến ransomware và triển khai C2. Điều này cho thấy bối cảnh đe dọa trong khu vực đang ngày càng phức tạp và khó dự đoán hơn.

Dưới đây là danh sách chiến dịch tấn công APT đáng chú ý theo VNPT Cyber Immunity ghi nhận: 

VNPT CTIP nhận định:

• Mức độ đa dạng và tinh vi gia tăng: Các chiến dịch thể hiện sự kết hợp giữa kỹ thuật tấn công truyền thống (phishing) và kỹ thuật nâng cao (kernel driver exploitation, shellcode injection, path traversal).

• Việt Nam và khu vực Đông Nam Á tiếp tục là mục tiêu nổi bật: Nhiều nhóm APT và cybercrime cartel tăng cường hoạt động trong khu vực, tập trung vào chính phủ, truyền thông và doanh nghiệp.

• Xu hướng lạm dụng công cụ hợp pháp: Từ Sliver C2 đến WinRAR, và driver dễ bị tấn công, kẻ tấn công tận dụng phần mềm hợp pháp để giảm khả năng bị phát hiện.

Khuyến nghị: Các tổ chức nên tăng cường bảo vệ email, giám sát tải xuống từ các dịch vụ chia sẻ tệp và nâng cao nhận thức người dùng để giảm nguy cơ từ phishing. Đồng thời, cần thường xuyên cập nhật phần mềm, áp dụng cơ chế chặn driver dễ bị tấn công và giám sát hành vi bất thường liên quan DLL sideloading hoặc persistence.

2. Lỗ hổng bảo mật

Trong tháng 11/2025, VNPT CTIP ghi nhận bản vá cập nhật Patch Tuesday từ Microsoft và một số thông tin CVE mới cập nhật mức cao:

2.1. Patch Tuesday Windows tháng 11/2025

Microsoft đã phát hành danh sách bản vá bảo mật Patch Tuesday tháng 11/2025, khắc phục tổng cộng 63 lỗ hổng bảo mật (CVE). Trong đó, có 5 lỗ hổng được đánh giá là Nghiêm Trọng (Critical) và 58 lỗ hổng Quan trọng (Important).

Danh sách một số CVE từ bản vá bảo mật Patch Tuesday được VNPT Cyber Immunity đánh giá có ảnh hưởng trong tháng 11:

Khuyến nghị: Thực hiện rà soát và lên kế hoạch cập nhật các bản vá theo hướng dẫn của hãng để đảm bảo an toàn an ninh thông tin hệ thống.

2.2. Các sản phẩm khác

Danh sách một số CVE mức độ nghiêm trọng cao được VNPT Cyber Immunity đánh giá có ảnh hưởng trong tháng 11:

Khuyến nghị:

• Thường xuyên cập nhật và vá lỗi hệ thống

• Tăng cường giám sát bất thường trên hệ thống

• Áp dụng nguyên tắc tối thiểu quyền hạn (Least Privilege) và phân tách quyền

• Thực hiện kiểm thử bảo mật định kỳ

• Đào tạo nhận thức an ninh mạng 

3. Mã độc

Dưới đây là danh sách mã độc đáng chú ý theo VNPT Cyber Immunity ghi nhận:

VNPT CTIP nhận định:

• BankBot-YNRK khai thác Accessibility Services, kỹ thuật overlay và kết nối C2 để đánh cắp thông tin tài chính và kiểm soát thiết bị, làm gia tăng rủi ro nghiêm trọng cho người dùng ngân hàng số.

• ShinySp1d3r thể hiện sự đầu tư của ShinyHunters vào malware hoàn toàn mới với khả năng phá hoại cao và nhiều kỹ thuật né tránh, gây ảnh hưởng trực tiếp tới hoạt động của doanh nghiệp.

• Hai mẫu mã độc phản ánh xu hướng tội phạm mạng sử dụng kỹ thuật tinh vi và tự động hóa để nâng cao hiệu quả tấn công trên nhiều phân khúc mục tiêu.

Khuyến nghị:

• Người dùng cần cẩn trọng khi cài đặt ứng dụng tài chính, chỉ sử dụng nguồn chính thống và thường xuyên kiểm tra quyền ứng dụng, đặc biệt là quyền Accessibility.

• Doanh nghiệp cần triển khai biện pháp phòng chống ransomware, bao gồm kiểm soát quyền truy cập, sao lưu an toàn, giám sát hành vi bất thường và củng cố hệ thống phát hiện – ứng phó sự cố.

• Cập nhật bảo mật định kỳ và đào tạo nhận thức giúp giảm thiểu rủi ro bị khai thác bởi các biến thể mã độc mới và các chiến dịch tấn công tinh vi.

4. Rò rỉ dữ liệu

Trong tháng 11/2025, VNPT CTIP ghi nhận 9868 tài khoản lộ lọt từ các hệ thống được giám sát đang được công khai, rao bán trên không gian mạng.

VNPT CTIP nhận định:

• Xu hướng này cho thấy rủi ro rò rỉ thông tin vẫn đang tiếp tục gia tăng, có khả năng liên quan đến sự xuất hiện của các chiến dịch tấn công mới hoặc gia tăng hoạt động thu thập dữ liệu của tội phạm mạng.

• Tỷ lệ sử dụng mật khẩu yếu và dễ đoán vẫn ở mức cao, trong đó nhóm mật khẩu phổ biến nhất chiếm tới 34–33%, cho thấy thói quen bảo mật của người dùng chưa được cải thiện đáng kể.

• Việc dùng những mật khẩu quá đơn giản như “123456”, “1234”, “234567” hay các chuỗi ký tự dễ dự đoán tạo điều kiện cho các kỹ thuật brute-force và credential stuffing đạt hiệu quả cao hơn, làm gia tăng nguy cơ bị chiếm quyền truy cập tài khoản.

Nguyên nhân dẫn đến lộ lọt thông tin:

• Thiết bị đầu cuối của người dùng bị nhiễm stealer malware, cho phép kẻ tấn công thu thập thông tin đăng nhập, cookies, token và dữ liệu tự động điền từ trình duyệt.

• Ngoài yếu tố người dùng, tin tặc có thể khai thác lỗ hổng hệ thống hoặc ứng dụng, dẫn đến việc truy xuất và sao chép toàn bộ cơ sở dữ liệu, gây ra rò rỉ dữ liệu quy mô lớn.

Khuyến nghị:

• Thực hiện đổi mật khẩu liên quan đến các account bị lộ lọt.

• Thực hiện công tác audit hệ thống hoặc thuê dịch vụ Audit.

• Đào tạo nhận thức người dùng.

5. Phụ lục

5.1. Danh sách IoC liên quan APT

Chi tiết

Hash IOCs: 

c0799d1629186a175b27cb51b4b87936

6cc190c213d6472ebfa85d5ef777d3f1

db5b447827d29f5947f1263b01cfecf4

5b64786ed92545eeac013be9456e1ff03d95073910742e45ff6b88a86e91091b

e409736eb77a6799d88c8208eb5e58ea0dbc2c016479153f9e2c4c3c372e3ff6

50855f0e3c7b28cceac8ae54d9a8866ed5cb21b5335078a040920d5f9e386ddb

a3805b24b66646c0cf7ca9abad502fe15b33b53e56a04489cfb4a238616a7bf

5d00df5d21f360b8d81622c5cafd42948eedf1119b4ce8026113ee394ad8848

843fca1f30c74edd96e7320576db5a39ebf8d0a708bde8ccfb712e45a7938c

2044a0831ce49f0fc247efb8ada3e60d61382429167fb3a220f720737a0dde438

c691f9de944900566b5930f219a55afcfc6e1af4ff40a4f47d6d98a5be24b23c

4db090498a57b85411417160747ffd8d4875f98b3ca2b83736a68900b7304d2b

f58af71e542c67fbacf7acc53a43243a5301d115eb41e26e4d5932d8555510d0

e4c44d0f462fce02b2c31555b12c022cdd6eae6492fd3a122e32e105fc5a54f8

f5df98b344242c5eaad1fce421c640fadd71f7f21379d2bf7309001dfeb25972

44994c720ad936809b54388d75945abd18b5707e20c9ee8f87b8f958ca8f5b16

0dfe23ab86cb5c1bfaf019521f3163aa5315a9ca3bb67d7d34eb51472c412b22

56dfe55b016c08f09dd5a2ab58504b377a3cd66ffba236a5a0539f6e2e39aa71

ad158a9ef5e849f7a2d10828a9aed89ebded7a2b5b3abb765f5797051cdf4a20

451a42db9c514514ab71218033967554507b59a60ee1fc3d88cbeb39eec99f20

dca4102fba483bf0060427e0d583a1f61d079bf0754db4d61ff2969cc1bc3474

df5ab9015833023a03f92a797e20196672c1d6525501a9f9a94a45b0904c7403

80e3a04fa68be799b3c91737e1918f8394b250603a231a251524244e4d7f77d9

d67a475f72ca65fd1ac5fd3be2f1cce2db78ba074f54dc4c4738d374d0eb19c7

1ccf8baf11427fae273ffed587b41c857fa2d8f3d3c6c0ddaa1fe4835f665eba

b10129c175c007148dd4f5aff4d7fb61eb3e4b0ed4897fea6b33e90555f2b845

c844d02c91d5e6dc293de80085ad2f69b5c44bc46ec9fdaa4e3efbda062c871c

b9bba02d18bacc4bc8d9e4f70657d381568075590cc9d0e7590327d854224b32

8e8f463c37ea7133194731bfe4490e6713dd0133f30fe08a6d069d10fa7db2c6

941b0bb479946c833a0436ecb84b94c8468c86c40016f46029e8bf04a22a754e

8955ce3fd17372299c9d5c91f552e2b9735f9bbe1796397f6307c0d3661787e7

fa843759710ce183785d43c9494d5fbcc103a7af67b6d9c9453ad99b23205707

94d7cbedeb5cfee01fd4ea1ca48fdc2b20e62a38728a6cc8f7f53f798a6870b8

47ad4f958f220a5bd803a0e42168ccd0a392cba1b4d593d2a8d8dcd088ce3a6c

0178945bb5a169770bb20f96b41265e47b2aa3e798553dcfd0b0b3ba175edbb6

c26673b2999b0e9969271f6468c38b119a0e1316565dd115e61650ceee102f76

e7d5fbc8dcb885288e0f49bd9536e5a00aa32d05a8647a5946110722d4278530

cf6232672ca5557b40f359b5eca245d80392469a5a0e68e26f933df0442465d7

c3e1bb9213ae6fa4f6852a7e4f451d523863c106b109eaf0ec011f1fb92d3e5c

e715f1176dc727cecfdc3990681d08c5aac007c64d3af131cf9a211edb28ed47

Network IOCs:

groupewadesecurity[.]com

gog[.]nigeriaafricatime[.]com

cosmicpharma-bd[.]com

gjt[.]clashofmaps[.]vip

sol[.]clashofmaps[.]vip

ger[.]clashofmaps[.]vip

roy[.]clashofmaps[.]vip

hor[.]clashofmaps[.]vip

frx[.]clashofmaps[.]vip

xxx[.]vrolijkecreaties[.]nl

ter[.]vrolijkecreaties[.]nl

lat[.]vrolijkecreaties[.]nl

dja[.]vrolijkecreaties[.]nl

hxxps://public.megadatacloud[.]com

hxxps://104.234.37[.]45

hxxps://yone[.]ignorelist[.]com

5.2. Danh sách IoC liên quan mã độc

Chi tiết

Hash IOCs:

cb25b1664a856f0c3e71a318f3e35eef8b331e047acaf8c53320439c3c23ef7c

19456fbe07ae3d5dc4a493bac27921b02fc75eaa02009a27ab1c6f52d0627423

a4126a8863d4ff43f4178119336fa25c0c092d56c46c633dc73e7fc00b4d0a07

670a269d935f1586d4f0e5bed685d15a38e6fa790f763e6ed5c9fdd72dce3cf2

62dc6ed7c83769648b5c59ad9cc2a4e26daec96a952eb44c93fd45f2011a3444

3bf53cddf7eb98d9cb94f9aa9f36c211a464e2c1b278f091d6026003050281de

Network IOCs:

Ping[.]ynrkone[.]top

Plp[.]foundzd[.]vip

Plp[.]e1in2[.]top

Plp[.]en1inei2[.]top