APT Trung Quốc triển khai backdoor TinyRCT trong chiến dịch nhắm chính phủ và hạ tầng quan trọng Đông Nam Á
"A Chinese-speaking APT cluster tracked as CL-STA-1062 was linked to Southeast Asia campaigns targeting government and critical infrastructure entities, using web shells, open-source tools, and a new custom .NET backdoor named TinyRCT. TinyRCT provides remote command execution, file exfiltration, screenshot capture, and self-deletion, and is delivered via a malicious archive using AppDomainManager injection; the article does not mention a CVE, but notes active exploitation and persistence-focused intrusion activity."
Tác động đáng kể do backdoor TinyRCT hỗ trợ thực thi lệnh từ xa và exfiltration dữ liệu, kèm cơ chế tự xóa làm giảm khả năng phát hiện. Việc dùng web shell và chuỗi triển khai qua AppDomainManager injection làm tăng tính bền vững và khả năng duy trì hiện diện.
Nguy cơ gián đoạn vận hành và rò rỉ dữ liệu tăng cao khi nhắm vào tổ chức chính phủ và hạ tầng quan trọng, bao gồm khả năng ảnh hưởng tới hệ thống lưu trữ/ứng dụng liên quan như MS SQL Server. Việc xâm phạm nhiều tổ chức trong giai đoạn 10–12/2025 có thể kéo theo chi phí điều tra, khắc phục và tuân thủ.
Một nhóm APT nói tiếng Trung được theo dõi là CL-STA-1062 được cho là đã triển khai backdoor tùy biến TinyRCT trong các chiến dịch nhắm tới cơ quan chính phủ và hạ tầng quan trọng tại Đông Nam Á. Hoạt động này đặc biệt nhắm vào các doanh nghiệp nhà nước thuộc lĩnh vực năng lượng và khu vực chính quyền.
Theo ghi nhận, CL-STA-1062 sử dụng “bộ công cụ lai” gồm nhiều công cụ phổ biến như SoftEther VPN, Mimikatz và VNT, đồng thời bổ sung TinyRCT—một backdoor .NET chưa từng được công bố. TinyRCT có khả năng thực thi lệnh từ xa, liệt kê và exfiltrate tệp, chụp màn hình, điều khiển từ xa và tự xóa khỏi máy bị xâm nhập.
Trong một chiến dịch phát hiện vào tháng 9/2025, kẻ tấn công xâm nhập một tổ chức chính phủ và cài web shell để trích xuất dữ liệu từ MS SQL Server, đồng thời tiến hành trinh sát mạng tại một tổ chức khác cùng quốc gia. Bên cạnh đó, nhóm được cho là đã xâm phạm ít nhất 10 tổ chức trong giai đoạn 10–12/2025.
Về kỹ thuật triển khai, TinyRCT được phân phối qua archive độc hại chrome_setup.zip, kết hợp AppDomainManager injection để nạp DLL giả và tải payload PerfWatson2.exe. Kênh C2 dùng HTTP tới 45.32.113[.]172, dữ liệu trao đổi được mã hóa AES-128-CBC, mô hình beacon mặc định 10 giây. Khuyến nghị: rà soát dấu hiệu web shell, giám sát kết nối bất thường tới hạ tầng C2, kiểm tra hành vi tải DLL/tiêm AppDomainManager, và tăng cường kiểm soát quyền truy cập để hạn chế di chuyển ngang.