Chín giai đoạn, một mục tiêu: ở lại mà không bị thấy
Mã độc nhiều giai đoạn là bộ công cụ độc hại được tổ chức thành nhiều lớp hoạt động, giúp kẻ tấn công duy trì hiện diện, che giấu dấu vết và làm khó việc phát hiện trong hệ thống bị nhắm tới. Trường hợp được chuyên gia Việt Nam phân tích gồm chín giai đoạn và nhắm vào các tổ chức trong nước. Đây không chỉ là một mẫu mã độc phức tạp hơn thông thường; nó là lời nhắc rằng một cảnh báo đơn lẻ có thể không phơi bày toàn bộ cuộc xâm nhập. Nhóm chuyên gia an ninh mạng VNPT đã phân tích và dịch ngược bộ công cụ này, làm rõ cấu trúc cùng cách vận hành của nó. Kết quả nghiên cứu do Lương Minh Anh, Trưởng nhóm Nghiên cứu và Phân tích mã độc tại Trung tâm Miễn dịch không gian mạng VNPT (VCI), trình bày tại Virus Bulletin 2026 ở Seville, Tây Ban Nha.
Điểm đáng lưu ý không nằm ở con số chín như một chi tiết gây choáng, mà ở mục đích của cấu trúc nhiều lớp: kéo dài hoạt động và giảm cơ hội bị phát hiện. Khi từng giai đoạn che khuất giai đoạn tiếp theo, phòng thủ dựa quá nhiều vào dấu hiệu quen thuộc sẽ dễ bỏ sót bức tranh tổng thể. Vì vậy, giải mã mã độc cần trả lời không chỉ “đây là tệp gì” mà còn “nó duy trì hiện diện ra sao” và “các thành phần liên hệ với nhau thế nào”.
Ẩn dấu vết khiến phòng thủ theo từng điểm dễ hụt
Theo nhóm nghiên cứu, bộ công cụ sử dụng nhiều cơ chế để duy trì hoạt động, che giấu dấu vết và hạn chế khả năng bị phát hiện. Cấu trúc tối đa chín lớp còn được thiết kế để vận hành kín đáo, liên tục xóa dấu vết và vượt qua các biện pháp bảo vệ truyền thống. Điều đó khiến phân tích mã độc không thể dừng ở việc nhận diện một thành phần đáng ngờ: cần dựng lại chuỗi hoạt động để hiểu điều gì đã chạy trước, điều gì còn tồn tại và dấu hiệu nào có thể kết nối chúng.
Đây cũng là điểm yếu của cách ứng phó chỉ trông chờ vào chữ ký hoặc cảnh báo riêng lẻ. Nếu mã độc có thể thay đổi cách hiện diện và xóa dấu vết, tổ chức cần săn tìm mối đe dọa dựa trên các quy tắc phát hiện cùng hiểu biết về hành vi, thay vì đợi một chỉ báo quen thuộc xuất hiện. Nghiên cứu không công bố chi tiết kỹ thuật về từng lớp trong các tư liệu được cung cấp; vì thế, không nên suy diễn cơ chế cụ thể. Nhưng thông điệp phòng thủ đã rõ: phải theo dõi cả quá trình, không chỉ khoảnh khắc một dấu hiệu lộ ra.
Giá trị của giải mã là biến hiểu biết thành năng lực phát hiện
Nhóm VCI không dừng ở việc mô tả bộ công cụ. Từ kết quả phân tích và dịch ngược, họ phát triển công cụ hỗ trợ nghiên cứu mã độc cùng các quy tắc nhận diện dấu hiệu tấn công. Đây là bước có ý nghĩa thực tế hơn một bản phân tích chỉ dành cho hội nghị: hiểu biết về cách mã độc hoạt động có thể được chuyển thành cơ sở cho săn tìm mối đe dọa, phát hiện và ứng phó với các cuộc tấn công có chủ đích (APT).
Các tổ chức trong nước là đối tượng cần lưu tâm trực tiếp, nhưng lợi ích không dừng ở đội ngũ ứng phó sự cố. Người phụ trách giám sát, quản trị hệ thống và bảo vệ tài sản số đều cần quy trình đủ khả năng kết nối những dấu hiệu rời rạc. Một bộ quy tắc phát hiện có thể hỗ trợ việc đó, song không thay thế việc duy trì giám sát và cập nhật năng lực phòng thủ. Giá trị của giải mã mã độc chỉ được kiểm chứng khi kết quả nghiên cứu giúp rút ngắn thời gian nhận biết và xử lý xâm nhập.
Từ nghiên cứu gián điệp mạng đến kết luận cho tổ chức
Nghiên cứu này tiếp nối hoạt động chia sẻ chuyên môn của VCI trên diễn đàn quốc tế. Tại AVAR 2025 ở Malaysia, nhóm từng trình bày nghiên cứu về một hoạt động gián điệp mạng tại Việt Nam. Việc đưa phân tích về bộ mã độc nhắm vào tổ chức trong nước ra trao đổi chuyên môn quốc tế có ích, nhưng số lần xuất hiện tại hội nghị không phải thước đo cuối cùng. Điều quan trọng là kiến thức có trở thành công cụ, quy tắc giám sát và khả năng ứng phó áp dụng được hay không.
Kết luận đáng rút ra là: với mã độc nhiều giai đoạn, phòng thủ phải nhìn toàn bộ chuỗi vận hành và chuẩn bị cho việc kẻ tấn công tìm cách duy trì hiện diện, xóa dấu vết, né tránh phát hiện. Công trình của nhóm chuyên gia cho thấy phân tích kỹ thuật có thể tạo nền tảng cho phát hiện sớm và ứng phó mục tiêu hơn. Với các tổ chức, đây không phải lý do để hoảng sợ, mà là lời nhắc cần biến nghiên cứu thành năng lực giám sát thường trực.
