RemotePE là một trojan truy cập từ xa mới hoạt động hoàn toàn trong bộ nhớ và đang được Lazarus Group dùng để nhắm vào ngân hàng cùng các công ty crypto.
Cách vận hành fileless giúp mã độc này khó để lại dấu vết trên máy bị nhiễm, trong khi chuỗi lây nhiễm còn cho thấy nhóm tấn công dựa nhiều vào giả mạo và thao túng người dùng để mở đường xâm nhập.
- RemotePE chạy trong bộ nhớ, khiến việc phát hiện và điều tra bằng cách truyền thống khó hơn.
- Lazarus Group dùng mồi nhử qua Telegram, giả danh nhân viên công ty giao dịch và khai thác các công cụ đặt lịch họp.
- Cùng lúc, nhiều chiến dịch khác cũng nhắm vào hạ tầng số, trong đó có các nền tảng liên quan đến blockchain và fintech.
RemotePE hoạt động theo chuỗi tấn công nhiều lớp
RemotePE được triển khai qua một chuỗi ba giai đoạn nhằm giảm tối đa việc ghi dữ liệu xuống ổ đĩa. Bước đầu là DPAPILoader, một DLL còn được gọi bằng tên tệp Iassvc.dll từ tháng 11/2023.
Tiếp đó, chương trình dùng DPAPI của Windows để giải mã một payload lưu trên đĩa. Payload này được chuyển cho RemotePELoader, thành phần tạo kết nối HTTP đến máy chủ điều khiển aes-secure[.]net rồi tải và chạy giai đoạn cuối của RemotePE ngay trong bộ nhớ.
Để né các công cụ giám sát EDR, RemotePELoader dùng kỹ thuật Hell’s Gate và ETW patching. Cách làm này làm giảm khả năng bị phát hiện trong giai đoạn thực thi và khiến chuỗi tấn công khó truy vết hơn.
Lazarus Group mở đầu bằng lừa đảo qua Telegram và công cụ đặt lịch giả
Nhóm tấn công bắt đầu bằng social engineering, giả làm nhân viên của các công ty giao dịch trên Telegram. Họ sử dụng các bản sao giả của Calendly và Picktime, hai dịch vụ thường dùng để sắp xếp cuộc họp.
Sau khi nạn nhân chấp nhận cuộc hẹn, chuỗi lây nhiễm tiếp tục cho đến khi thành phần mã độc đầu tiên được cài vào máy. Kiểu tấn công này tận dụng yếu tố con người để tăng khả năng vượt qua lớp phòng thủ ban đầu.
Theo phân tích của Fox-IT, các kỹ thuật như memory-only execution, ETW patching và Hell’s Gate cho thấy RemotePE được thiết kế để bám trụ lâu hơn và phục vụ cho hoạt động do thám trước khi thực hiện bước tiếp theo.
Thiệt hại từ các vụ tấn công liên quan đến Bắc Triều Tiên tiếp tục tăng
Trong bốn tháng đầu năm 2026, Lazarus Group đã đánh cắp khoảng 577 triệu USD tiền crypto. Con số này chiếm 76% tổng giá trị crypto bị đánh cắp trên toàn cầu, dù chỉ liên quan đến hai vụ tấn công lớn.
Tỷ trọng crypto hack được cho là liên quan đến Bắc Triều Tiên đã tăng mạnh qua các năm, từ mức một chữ số trong các năm trước lên 64% vào năm 2025 và 76% trong năm 2026. Tổng giá trị bị đánh cắp từ năm 2017 đã lên tới 6 tỷ USD.
Những khoản tiền này bị cáo buộc được dùng để tài trợ cho chương trình vũ khí và hạt nhân của nước này trong bối cảnh bị trừng phạt.
Hệ sinh thái blockchain cũng nằm trong tầm ngắm của các chiến dịch khác
Một chiến dịch quy mô lớn khác đã nhắm vào hơn 700 website chạy Ghost CMS bằng cách khai thác lỗ hổng SQL injection nghiêm trọng. Kẻ tấn công có thể truy cập tên đăng nhập và mật khẩu của tài khoản quản trị, sau đó chèn mã độc qua chuyển hướng JavaScript trong các kênh phân phối ClickFix.
Các nền tảng bị ảnh hưởng trải rộng từ học thuật, AI, dịch vụ blockchain, SaaS, nghiên cứu an ninh mạng, báo chí cho tới fintech. Điều này cho thấy hạ tầng số phục vụ nhiều ngành khác nhau đều có thể trở thành mục tiêu nếu điểm yếu kỹ thuật chưa được xử lý.
Trong một số biến thể gần đây, mã độc không còn chạy DLL bằng rundll32.exe mà cài Inno Setup installer cho một phiên bản mã nguồn mở của ứng dụng Electron có tên Grape. Sau khi cài đặt, nó duy trì tính bền bỉ và liên lạc với tên miền web-telegram[.]ug mỗi 30 giây.
Tổng kết
RemotePE cho thấy xu hướng tấn công ngày càng thiên về fileless, né phát hiện và khai thác yếu tố con người, trong khi các chiến dịch khác vẫn tiếp tục nhắm vào hạ tầng liên quan đến crypto và fintech.
