JadeProx dùng loader TriBack Loader trong chiến dịch tấn công chính phủ và y tế
"Group-IB reported a China-nexus intrusion cluster it tracks as JadeProx using a previously undocumented Windows loader called TriBack Loader against government, healthcare, and education targets across Asia and Latin America. The activity included DLL sideloading, phishing, webshell access, and exploitation attempts against four known CVEs: CVE-2018-11511, CVE-2021-24139, CVE-2021-31755, and CVE-2021-32305, all with CVSS 9.8; recommended defenses focus on detecting the sideloading chain and blocking associated infrastructure."
Chiến dịch kết hợp DLL sideloading với webshell và khai thác nhiều lỗ hổng có CVSS 9.8, làm tăng khả năng chiếm quyền và duy trì hiện diện. Điểm cần chú ý: chuỗi sideloading từ thư mục người dùng, thực thi shellcode qua API ít được giám sát, và khai thác các CVE 9.8.
Tác động chủ yếu đến tính liên tục dịch vụ và rủi ro gián đoạn vận hành tại các tổ chức công và y tế, do nhắm vào hệ thống như máy chủ hình ảnh y tế và hạ tầng giáo dục/chính phủ. Điểm cần quản trị: nguy cơ xâm nhập kéo dài qua persistence, gián đoạn hệ thống do khai thác, và tăng chi phí điều tra–khắc phục sau khi phát hiện chuỗi tấn công.
Nhóm theo dõi mối đe dọa gốc Trung Quốc được gọi là JadeProx được cho là đã triển khai TriBack Loader—một Windows loader chưa được ghi nhận trước đây—trong các cuộc xâm nhập nhắm tới chính phủ, y tế và giáo dục tại châu Á và châu Mỹ Latinh. Theo báo cáo, một máy chủ Alibaba Cloud ở Singapore được phát hiện vào giữa tháng 4/2026 và đã ngoại tuyến trước khi công bố vào 23/7/2026.
Chuỗi tấn công cho thấy nhiều giai đoạn: DLL sideloading, phát tán qua phishing, dùng webshell để chiếm quyền trên các hệ thống Java quản trị lộ ra, sau đó thực hiện các nỗ lực khai thác. Các biến thể của TriBack Loader được xây dựng theo bốn “build”, thường ghép một tệp thực thi có chữ ký hợp lệ với DLL độc hại và dữ liệu .dat/.log được mã hóa; DLL giải mã bằng thao tác đảo byte và XOR rồi thực thi shellcode qua các API mà EDR có thể giám sát kém hơn.
Nhóm nghiên cứu ghi nhận các nỗ lực khai thác bốn lỗ hổng với CVSS 9.8: CVE-2018-11511, CVE-2021-24139, CVE-2021-31755, CVE-2021-32305. Khuyến nghị tập trung vào việc phát hiện chuỗi sideloading (tệp signed chạy từ thư mục người dùng có quyền ghi như Startup/temp, kèm tệp .dat/.log), rà soát các tên DLL/đường dẫn webshell bất thường, và chặn/điều tra hạ tầng liên quan các tên miền được nêu trong báo cáo.