Chiến dịch SPECTRALVIPER nhắm vào nhà đầu tư chứng khoán và doanh nghiệp hạ tầng Việt Nam
"ESET reported that the Vietnam-aligned OceanLotus threat group conducted two SPECTRALVIPER campaigns: a supply chain attack via FireAnt Metakit against Vietnamese stock investors from October 2025 to March 2026, and a long-running intrusion against a Vietnamese infrastructure and transport construction company from November 2024 to February 2026. The attacks used DLL side-loading and a downloader to deploy the SPECTRALVIPER backdoor for host reconnaissance, lateral movement, and C2 communication; no CVE was identified, and the main fix implied is integrity/signature validation for software updates and hardening exposed SQL servers."
Tác động bảo mật đáng kể do tấn công chuỗi cung ứng, xâm nhập kéo dài, khả năng di chuyển ngang và kiểm soát hệ thống nội bộ.
Tác động vận hành ở mức trung bình-cao, đặc biệt với nhà đầu tư tài chính và doanh nghiệp hạ tầng, gây gián đoạn hoạt động và tiềm ẩn rủi ro rò rỉ dữ liệu nội bộ.
Theo báo cáo từ ESET, nhóm tấn công có liên hệ với Việt Nam được biết đến với tên gọi OceanLotus đã thực hiện hai chiến dịch sử dụng mã độc SPECTRALVIPER. Chiến dịch thứ nhất là tấn công chuỗi cung ứng thông qua phần mềm FireAnt Metakit, nhắm vào một nhóm nhỏ nhà đầu tư chứng khoán tại Việt Nam từ tháng 10/2025 đến tháng 3/2026. Chiến dịch thứ hai là xâm nhập kéo dài vào một doanh nghiệp xây dựng hạ tầng và giao thông tại Việt Nam từ tháng 11/2024 đến tháng 2/2026.
Phương thức tấn công chủ yếu dựa vào DLL side-loading và sử dụng một downloader để triển khai SPECTRALVIPER backdoor. Mã độc này thực hiện trinh sát hệ thống, di chuyển ngang trong mạng nội bộ và giao tiếp với máy chủ điều khiển (C2). Đáng chú ý, không phát hiện CVE cụ thể nào liên quan, tuy nhiên lỗ hổng chủ yếu nằm ở việc thiếu xác thực tính toàn vẹn và chữ ký số cho các bản cập nhật phần mềm cũng như cấu hình bảo mật yếu trên máy chủ SQL công khai.
ESET khuyến nghị các tổ chức cần kiểm tra và tăng cường xác thực chữ ký số cho quá trình cập nhật phần mềm, đồng thời gia cố bảo mật cho các máy chủ SQL lộ diện trên Internet để giảm thiểu nguy cơ bị khai thác. Các tổ chức nên tăng cường giám sát hoạt động mạng và kiểm tra các dấu hiệu bất thường liên quan đến SPECTRALVIPER.