Spark RAT nhắm mục tiêu tại Campuchia, lợi dụng driver OPSWAT để vô hiệu hóa công cụ bảo mật
"A malware campaign targeting organizations in Cambodia was observed delivering the open-source Spark RAT through phishing lures, DLL sideloading, and multi-stage payloads. The attack abuses a vulnerable OPSWAT AppRemover driver (ardrv.sys) via BYOVD to disable security tools and escalate privileges; the article cites CVE-2026-36425 as the driver flaw, with mitigation focused on blocking the malicious driver and detecting the persistence and injection chain."
Rủi ro cao do vô hiệu hóa phòng thủ endpoint, nâng quyền và duy trì hiện diện trên máy nạn nhân; cần ưu tiên chặn ardrv.sys và giám sát chuỗi BYOVD.
Có thể gây mất kiểm soát máy trạm, gián đoạn vận hành và tăng nguy cơ rò rỉ dữ liệu; các tổ chức tại khu vực bị nhắm mục tiêu nên rà soát email phishing và persistence.
Một chiến dịch mã độc mới đang nhắm vào cá nhân và tổ chức tại Campuchia, phát tán Spark RAT mã nguồn mở qua phishing, DLL sideloading và chuỗi tải nhiều giai đoạn. Theo phân tích, kẻ tấn công còn dùng kỹ thuật BYOVD để nạp driver ardrv.sys hợp lệ nhưng có lỗ hổng, từ đó nâng quyền và vô hiệu hóa công cụ bảo mật trên máy nạn nhân.
Mồi nhử được ghi nhận gồm thông báo của cơ quan nhà nước, tài liệu y tế công cộng, hồ sơ nha khoa, bất động sản và ưu đãi quảng cáo. Bộ cài Inno Setup khởi tạo chuỗi tải qua một tệp thực thi đã ký số, sau đó giải mã các payload ẩn trong PNG để triển khai thành phần trung gian và cuối cùng chạy Spark RAT.
Mã độc cũng kiểm tra môi trường sandbox, tìm tiến trình liên quan đến Huorong Internet Security, Qihoo 360, Microsoft Defender và Tencent PC Manager, đồng thời thiết lập persistence bằng Windows service hoặc scheduled task. Bản vá/giảm thiểu nên tập trung vào chặn driver độc hại, giám sát DLL sideloading, phát hiện chuỗi injection vào vssvc.exe và ctfmon.exe, cùng các dấu hiệu tắt hoặc can thiệp vào công cụ bảo vệ endpoint.