MODBEACON RAT dùng gRPC streaming cho kênh C2 mã hóa
"Security researchers reported a new Rust-based remote access trojan called MODBEACON, attributed to the China-linked Silver Fox threat cluster. The malware uses gRPC streaming over an encrypted C2 channel, reuses transport components from Xray/V2Ray, and supports plugin loading, persistence via scheduled tasks, and command execution; no CVE is involved, and the main mitigation is detection and blocking of counterfeit installer campaigns and associated infrastructure."
MODBEACON có thể duy trì truy cập dài hạn và mở rộng khả năng sau xâm nhập thông qua plugin loading và scheduled tasks; việc dùng gRPC tunnel streaming cùng kênh C2 mã hóa làm tăng độ khó phát hiện. Tác động chính nằm ở khả năng điều khiển từ xa và tính bền vững trên host.
Chiến dịch nhắm vào nhiều nhóm tổ chức và tận dụng installer giả mạo qua SEO có thể gây gián đoạn vận hành và rủi ro rò rỉ dữ liệu. Tác động kinh doanh chủ yếu đến từ nguy cơ lây nhiễm diện rộng và khả năng mở rộng hậu xâm nhập (ví dụ lateral movement/proxy forwarding) nếu không được ngăn chặn sớm.
Các nhà nghiên cứu an ninh ghi nhận một remote access trojan (RAT) mới tên MODBEACON, được gán cho hệ sinh thái tấn công liên quan cụm Silver Fox. Theo công bố của QiAnXin, chiến dịch có thể trông giống hoạt động lan truyền mức độ thấp nhưng tần suất cao, tận dụng SEO poisoning và installer giả mạo để phân phối mã độc qua nhiều bộ phát tán.
Một chiến dịch được quan sát giữa tháng 6/2026 nhắm vào các tổ chức trong các lĩnh vực như công nghệ/giáo dục và doanh nghiệp nhà nước. Hạ tầng C2 mà MODBEACON yêu cầu được lưu trữ trên Amazon và Cloudflare CDN. Mã độc hoạt động theo mô hình bộ nhớ thường trú, có khả năng nạp thêm module, thực thi lệnh từ phía điều khiển và duy trì liên lạc mã hóa.
Điểm đáng chú ý là kiến trúc tách loader và beacon, cấu hình có thể tiêm, hỗ trợ plugin-based architecture và dùng gRPC tunnel streaming cho kênh truyền thông. Bên cạnh đó, thành phần vận chuyển được tái sử dụng từ Xray/V2Ray.
Khả năng chính gồm fingerprinting, nạp plugin, gửi heartbeat, báo cáo kết quả lệnh, và thiết lập persistence qua scheduled tasks. Khuyến nghị: ưu tiên phát hiện và chặn các chiến dịch cài đặt giả mạo/miền mạo danh, rà soát lưu lượng bất thường liên quan gRPC streaming và kiểm tra cơ chế persistence trên máy trạm.