GoSerpent nhắm gián điệp chính phủ và ngoại giao Đông Nam Á
"Researchers uncovered a previously undocumented Go-based malware family, GoSerpent, used since late 2025 in espionage campaigns against Southeast Asian government and diplomatic entities. The malware supports encrypted C2 communication, SOCKS5 proxying, file transfer, shell access, and deployment of follow-on tools such as ThumbcacheService, Mimikatz, QuarksDumpLocalHash, Stowaway, and TmcLoader/TmcPayload for credential theft and data exfiltration; no CVE is mentioned and the article describes detection and analysis rather than a patch."
Tác động đáng kể do khả năng thu thập dữ liệu và đánh cắp thông tin đăng nhập trên máy nạn nhân, kèm cơ chế SOCKS5 proxy giúp mở rộng phạm vi truy cập nội bộ. Điểm rủi ro chính nằm ở chuỗi triển khai công cụ từ thu thập tệp đến exfiltration.
Nguy cơ gián đoạn và tổn thất thông tin đối với cơ quan nhà nước/ngoại giao do mất dữ liệu nhạy cảm và suy giảm tính tin cậy của hệ thống. Tác động vận hành có thể tăng khi kẻ tấn công duy trì truy cập dài hạn và tận dụng chia sẻ mạng để lan truyền hoạt động.
Các nhà nghiên cứu đã phát hiện một họ mã độc mới viết bằng Go mang tên GoSerpent, được ghi nhận hoạt động trong các chiến dịch gián điệp nhắm tới cơ quan chính phủ và ngoại giao tại Đông Nam Á từ cuối 2025. Theo công bố của Kaspersky (phát hiện hoạt động từ tháng 2/2026), GoSerpent hướng tới duy trì truy cập dài hạn và thu thập thông tin.
Mã độc thiết lập kết nối tới máy chủ C2 bằng tham số lệnh Base64 và được mã hóa; khóa mã hóa liên quan đến SHA256 của mật khẩu giao tiếp. GoSerpent hỗ trợ nhiều chức năng như SOCKS5 proxy, chuyển tệp, mở shell từ xa và triển khai công cụ bổ sung để thu thập dữ liệu và đánh cắp thông tin đăng nhập.
Chuỗi thu thập được mô tả gồm ThumbcacheService để gom tệp, Mimikatz để trích xuất thông tin từ LSASS, và QuarksDumpLocalHash để lấy hash mật khẩu từ SAM. Từ tháng 5/2026, nhóm tấn công được cho là quay lại với biến thể có Stowaway và mô-đun TmcLoader/TmcPayload nhằm exfiltrate dữ liệu nhạy cảm qua các cơ chế chia sẻ mạng.
Khuyến nghị: rà soát dấu hiệu SOCKS5 proxy, hành vi truy cập chia sẻ mạng bất thường, và các hoạt động liên quan credential dumping; đồng thời tăng giám sát lưu lượng ra ngoài tới hạ tầng C2 và kiểm tra tính toàn vẹn các tác vụ/tiến trình liên quan thu thập dữ liệu.