Ngày 26/8, Công an thành phố Hà Nội phát đi cảnh báo về một số chủng mã độc nguy hiểm đang được các nhóm tin tặc khai thác, nhắm vào thiết bị di động của người dùng cũng như hệ thống thông tin của cơ quan, đơn vị và doanh nghiệp.
Đáng chú ý là RedHook và StormEncryptor. Hai chủng mã độc sử dụng phương thức tấn công khác nhau nhưng đều hướng tới việc chiếm quyền kiểm soát thiết bị, đánh cắp dữ liệu và gây thiệt hại trực tiếp cho nạn nhân.
RedHook có thể đọc OTP, điều khiển điện thoại Android
RedHook, được phát hiện từ đầu tháng 8/2026, là dòng mã độc gián điệp nhắm vào thiết bị Android. Mã độc chủ yếu phát tán qua SMS giả mạo, các ứng dụng nhắn tin như Zalo, Telegram hoặc những website mạo danh Cổng Dịch vụ công Quốc gia, Cổng Dịch vụ công thành phố Hà Nội, eTax Mobile, VNeID và ngân hàng.
Sau khi người dùng tải tệp APK độc hại, RedHook tìm cách lừa người dùng cấp quyền Accessibility Services. Khi có quyền này, mã độc có thể kiểm soát giao diện thiết bị mà không cần root, đồng thời tự động thực hiện thao tác để xin thêm các quyền như đọc và gửi SMS, truy cập danh bạ, nhật ký cuộc gọi, bộ nhớ, ghi âm hoặc hiển thị đè lên màn hình.
Nguy hiểm hơn, RedHook có thể quay màn hình, ghi thao tác bàn phím, đọc tin nhắn chứa mã OTP, mật khẩu ngân hàng và thông tin cá nhân.
Mã độc còn có khả năng tự mở ứng dụng ngân hàng, khởi tạo lệnh chuyển tiền, điền OTP và xác nhận giao dịch mà người dùng không hay biết. Sau khi điện thoại khởi động lại, các tiến trình độc hại cũng có thể tự kích hoạt trở lại.
StormEncryptor phát tán mã độc từ hệ thống quản trị
Nếu RedHook tập trung vào điện thoại Android, StormEncryptor lại nhắm tới máy chủ và máy tính trong mạng nội bộ.
Theo Công an thành phố Hà Nội, mã độc tống tiền này được phát hiện ngày 11/8/2026, do nhóm tin tặc Storm-1175 triển khai, nhằm vào các máy chủ Windows Server và máy trạm Windows.
StormEncryptor khai thác lỗ hổng CVE-2026-18577 trên nền tảng giám sát và quản trị từ xa N-able N-central để chiếm quyền quản trị trung tâm.
Sau khi kiểm soát được máy chủ N-central, tin tặc lợi dụng chính chức năng triển khai phần mềm tự động của hệ thống để phát tán mã độc xuống hàng loạt máy trạm và máy chủ.
StormEncryptor sau đó có thể vô hiệu hóa các dịch vụ bảo mật, sao lưu, xóa bản sao dự phòng, mã hóa dữ liệu và để lại thông điệp tống tiền.
Trước khi mã hóa, tin tặc còn có thể trích xuất dữ liệu nhạy cảm để đe dọa công bố. Đây là hình thức “tống tiền kép”, khiến nạn nhân vừa mất quyền truy cập dữ liệu, vừa đối mặt nguy cơ thông tin bị phát tán.
Điểm đáng chú ý là cả hai phương thức tấn công đều lợi dụng những chức năng vốn hợp pháp của thiết bị và hệ thống. RedHook khai thác quyền trợ năng trên điện thoại, còn StormEncryptor lợi dụng công cụ quản trị từ xa để phát tán mã độc.
Hơn 42.000 mã độc được cô lập tại Đồng Nai
Thực tế tại Đồng Nai cho thấy nguy cơ từ mã độc đang ở mức đáng chú ý.
Theo Công an thành phố Đồng Nai, trong 8 tháng đầu năm 2026, trên địa bàn xảy ra 4 vụ tấn công bằng mã độc tống tiền tại các doanh nghiệp.
Lực lượng chuyên trách an ninh mạng đã phát hiện, ngăn chặn hơn 6,5 triệu lượt kết nối nghi vấn; cô lập, xử lý 42.676 mã độc, trong đó có 2.546 mã độc nghiêm trọng có khả năng mã hóa dữ liệu hoặc đánh cắp thông tin.
Một số hệ thống vẫn tồn tại lỗ hổng bảo mật chưa được khắc phục kịp thời, trong khi việc kiểm tra, giám sát và đánh giá an toàn thông tin chưa được thực hiện thường xuyên. Công tác sao lưu dữ liệu, xây dựng phương án dự phòng và diễn tập ứng cứu sự cố tại một số đơn vị cũng còn hạn chế.
Đây là nguy cơ lớn khi mã độc ngày càng có khả năng tự động hóa quá trình lây nhiễm. Chỉ một thiết bị bị xâm nhập cũng có thể trở thành điểm khởi đầu để tấn công cả mạng nội bộ.
Để nâng cao năng lực ứng phó, Đồng Nai tổ chức lớp tập huấn chuyên sâu về an toàn thông tin mạng từ ngày 24-28/8, với 9 chuyên đề về giám sát nguy cơ, phân tích và xử lý sự cố, phòng chống mã độc và ransomware, vận hành hệ thống an toàn, điều phối ứng cứu và diễn tập tình huống thực tế.
Người dùng cần làm gì để tránh bị tấn công?
Công an thành phố Hà Nội khuyến cáo người dùng không bấm vào liên kết lạ được gửi qua email, SMS, Zalo hoặc các ứng dụng nhắn tin; không tải tệp APK từ nguồn không rõ ràng và chỉ cài đặt ứng dụng từ các kho chính thức như Google Play Store hoặc Apple App Store.
Người dùng cũng cần kiểm tra kỹ các quyền mà ứng dụng yêu cầu, đặc biệt với những quyền nhạy cảm như trợ năng, đọc SMS, ghi âm hay hiển thị đè lên màn hình.
Nếu điện thoại xuất hiện ứng dụng lạ, tự thao tác, nóng bất thường, phát sinh giao dịch không rõ nguyên nhân hoặc có thông báo liên quan đến Wireless Debugging, người dùng cần ngắt kết nối mạng, không tiếp tục nhập mật khẩu hay OTP và sử dụng một thiết bị an toàn khác để liên hệ ngân hàng khóa tài khoản.
Đối với máy tính và máy chủ, khi phát hiện dấu hiệu bị tấn công, cần nhanh chóng ngắt kết nối mạng hoặc VLAN để hạn chế mã độc lây lan. Đồng thời, cần lưu giữ log và các dữ liệu liên quan để phục vụ việc phân tích, xử lý sự cố.
Sau khi xử lý, hệ thống cần được cài đặt lại trong môi trường sạch, vá đầy đủ lỗ hổng và khôi phục dữ liệu từ các bản sao lưu an toàn.
Trong bối cảnh mã độc ngày càng tinh vi và có thể lợi dụng chính những chức năng hợp pháp của thiết bị, việc cập nhật phần mềm, kiểm soát quyền truy cập, giám sát bất thường và duy trì bản sao lưu độc lập là những biện pháp quan trọng để hạn chế nguy cơ bị tấn công.
