Vietnamese Stealer là gì?

Vietnamese Stealer là một dòng mã độc đánh cắp thông tin (Info Stealer) được phát hiện trong các chiến dịch tấn công nhắm vào người dùng và tổ chức tại Việt Nam. Mã độc này được phát triển bằng Python, sử dụng Telegram làm kênh điều khiển và nhận dữ liệu (Command & Control – C&C).

Thay vì phá hoại hệ thống, Vietnamese Stealer tập trung thu thập thông tin đăng nhập trình duyệt, cookie phiên làm việc, dữ liệu ví tiền điện tử và một số tệp cấu hình nhạy cảm. Những dữ liệu này có thể bị khai thác trực tiếp để chiếm đoạt tài khoản và tài sản số.

Theo ghi nhận từ các hãng bảo mật quốc tế như Kaspersky, số vụ tấn công bằng mã độc đánh cắp thông tin tại Việt Nam trong nửa đầu năm 2025 tăng 78,8%, với gần 192.000 trường hợp bị chặn. Xu hướng này cho thấy Info Stealer đang trở thành một trong những mối đe dọa nổi bật trên không gian mạng trong nước.

Bối cảnh gia tăng của mã độc Info Stealer tại Việt Nam

Trong giai đoạn 2024-2025, thị trường ngầm (underground market) ghi nhận sự gia tăng mạnh của các bộ công cụ stealer viết bằng Python và Golang, được rao bán theo mô hình MaaS (Malware-as-a-Service).

Đặc điểm chung của các chiến dịch tại Việt Nam gồm:
– Tấn công qua email giả mạo hóa đơn, chứng từ thuế
– Lợi dụng tâm lý chủ quan khi mở tệp đính kèm
– Sử dụng nền tảng hợp pháp như Telegram để che giấu hoạt động C&C
– Nội địa hóa nội dung bằng tiếng Việt hoặc tiếng Hàn nhằm tăng tỷ lệ mở tệp

Việc sử dụng Telegram làm kênh điều khiển giúp kẻ tấn công:
– Tránh phải duy trì hạ tầng máy chủ riêng
– Ẩn danh nhờ cơ chế bot và API công khai
– Thay đổi endpoint linh hoạt mà không cần cập nhật lại mã độc

Quy trình tấn công của mã độc Vietnamese Stealer
Chiến dịch tấn công của Vietnamese Stealer diễn ra qua 3 giai đoạn tinh vi:

Giai đoạn 1:Khai thác lỗ hổng DLL Side loading trên ứng dụng lành tính nhằm triển khai mã độc py.ico.

Mã độc khai thác kỹ thuật DLL Side-loading thông qua tệp hợp pháp ADNotificationManager.exe. Nhóm hacker sử dụng DLL độc hại urlmon.dll làm bàn đạp để vận chuyển các lệnh tấn công, áp dụng kỹ thuật xã hội bằng cách gửi các Email lừa đảo chứa tệp nén giả dạng hóa đơn VAT tiếng Hàn (ví dụ: 부가가치세 영수증.jpg). Khi nạn nhân mở tệp, một tệp PDF mồi sẽ hiển thị để tạo cảm giác hợp lệ (Decoy Execution), trong khi mã độc âm thầm tải payload chính từ các máy chủ bên ngoài bằng lệnh curl.