Daxin quay lại tại Đài Loan kèm backdoor Stupig thực thi lệnh trước khi đăng nhập
"Security researchers reported that the Daxin kernel-mode rootkit resurfaced on a compromised manufacturing host in Taiwan in 2026, alongside a previously unreported backdoor named Stupig. Stupig abuses a trojanized keyboard-layout DLL loaded by winlogon.exe to execute commands as SYSTEM from the Windows logon screen before sign-in, while Daxin uses stealthy hijacked TCP communications for encrypted command-and-control; no CVE was disclosed and remediation details were not provided."
Tác động lớn do rootkit kernel-mode và backdoor cho phép thực thi lệnh quyền SYSTEM trước khi đăng nhập; đồng thời C2 dựa trên chiếm kết nối TCP hợp lệ làm giảm khả năng phát hiện bằng giám sát mạng thông thường.
Rủi ro cao cho môi trường sản xuất do khả năng duy trì hiện diện lâu dài và nhắm mục tiêu vào hệ thống quan trọng; có thể gây gián đoạn vận hành và tăng chi phí điều tra khi phát hiện nhiễm kéo dài và cần rà soát nhiều lớp (host/SSO/mạng).
Các nhà nghiên cứu cho biết Daxin (rootkit kernel-mode, tệp srt64.sys) đã được phát hiện hoạt động trở lại trên một máy chủ bị xâm nhập tại một doanh nghiệp sản xuất ở Đài Loan trong năm 2026, sau hơn bốn năm không thấy dấu vết. Daxin trước đó được ghi nhận từ năm 2022 và có bằng chứng cho thấy hoạt động nhắm mục tiêu từ ít nhất năm 2013.
Trên cùng hệ thống, nhóm cũng ghi nhận một backdoor mới chưa từng công bố trước đây là Stupig (tệp a.dll/kbdus1.dll). Tên tệp được ngụy trang theo kbdus.dll (DLL hợp lệ liên quan bố cục bàn phím tiếng Anh của Windows). Stupig lợi dụng winlogon.exe để nạp DLL độc hại từ màn hình đăng nhập trước khi người dùng đăng nhập, cho phép kẻ tấn công thực thi lệnh với quyền SYSTEM mà không tạo sự kiện kiểm tra đăng nhập.
Về C2, Daxin không thiết lập kết nối outbound trực tiếp; thay vào đó nó giám sát lưu lượng TCP đến, chiếm quyền các kết nối hợp lệ và mã hóa kênh điều khiển, đồng thời hỗ trợ truyền nhiều chặng qua chuỗi máy bị nhiễm. Khuyến nghị: rà soát dấu hiệu srt64.sys, kbdus1.dll/a.dll, kiểm tra cơ chế nạp DLL vào winlogon.exe, và đánh giá lại các cổng SSO cũ (liên quan Digiwin) cùng cấu hình giám sát mạng/host theo mẫu lưu lượng bất thường.