Hơn 2.000 máy Windows bị hack qua GitHub: Trojan.Loader.3261 và cái bẫy nhắm vào chính dân an ninh mạng

Ngày 05/11/2026, hãng bảo mật Doctor Web công bố phân tích một chiến dịch tấn công chuỗi cung ứng qua GitHub đã xâm nhập hơn 2.000 máy tính Windows. Điều trớ trêu: nạn nhân chính là các chuyên gia an ninh mạng — những người được trả tiền để ngăn chặn đúng loại tấn công này. Mã độc được ngụy trang thành các dự án mã nguồn mở quen thuộc, và chỉ cần clone về rồi nhấn Build — thậm chí chỉ cần mở dự án bằng Visual Studio — là đủ để máy bị chiếm quyền.

Trả lời nhanh

• Trojan.Loader.3261 là tên Doctor Web đặt cho bộ nạp mã độc trong chiến dịch phát tán qua các repository GitHub giả mạo, công bố ngày 05/11/2026; hơn 2.000 máy Windows đã bị xâm nhập, mục tiêu chính là các chuyên gia an ninh mạng.
• Ba cơ chế kích hoạt: (1) lệnh PowerShell cài trong Pre-build Event của file dự án Visual Studio (.csproj), chạy ngay khi nhấn Build; (2) file .suo độc hại giấu trong thư mục ẩn .vs, kích hoạt ngay khi mở solution — chưa cần biên dịch; (3) mã độc trong file Python/Go bị đẩy khuất khỏi màn hình bằng hàng loạt ký tự khoảng trắng.
• Payload chính là Microsoft.exe (ứng dụng Electron, phiên bản phát hiện 1.4.5, tải về trong gói Quixo.7z): nó vô hiệu hóa Windows Defender, UAC, cảnh báo bảo mật, System Restore và VSS; đưa RegAsm.exe và dwm.exe vào danh sách loại trừ của Defender; tìm cách gỡ McAfee, ESET, Malwarebytes và sửa file hosts để chặn website của các hãng diệt virus.
• Bộ công cụ cài xuống máy gồm: hai bản sao AsyncRAT (mã độc truy cập từ xa) khác nhau ở cổng kết nối, một thành phần theo dõi clipboard để tráo địa chỉ ví tiền điện tử, và một infostealer thu thập mật khẩu trình duyệt, thông tin FTP trong FileZilla và Total Commander, phiên SSH trong MobaXterm.ini, cấu hình VPN và Discord token — tất cả gửi ra ngoài qua Telegram Bot.
• Nhiều repository độc hại vẫn còn trực tuyến tại thời điểm bài viết gốc kiểm tra: trong 9 repo được nêu làm ví dụ, chỉ 2 repo trả lỗi 404. Doctor Web đã công bố danh sách chỉ dấu tấn công (IOC) gồm tên miền, IP và hash trong kho malware-iocs của hãng.

Trojan.Loader.3261 là gì?

Trojan.Loader.3261 là tên mà hãng bảo mật Doctor Web đặt cho bộ nạp (loader) trong một chiến dịch tấn công chuỗi cung ứng phần mềm qua GitHub, được hãng công bố phân tích vào ngày 05/11/2026. Thay vì phát tán qua email lừa đảo hay website độc hại, kẻ tấn công đăng các dự án mã nguồn mở giả mạo lên GitHub — ngụy trang thành công cụ quét mạng, reverse proxy, script xử lý log và các tiện ích bảo mật khác. Các kho mã độc này đã xuất hiện suốt khoảng hai năm, và theo bài viết gốc, một số vẫn chưa bị gỡ xuống tại thời điểm kiểm tra.

Điểm nguy hiểm của chiến dịch là nó không khai thác sự thiếu hiểu biết của nạn nhân. Nó khai thác chính thói quen và sự tự tin của người làm bảo mật: cần một công cụ, lên GitHub tìm, thấy một repository có vẻ đáng tin, git clone về, tự build — và chính bước build tưởng như vô hại đó mở cửa cho mã độc.

Mã độc được kích hoạt bằng cách nào?

Doctor Web phát hiện mã độc được cài cắm trong ba loại tệp dự án khác nhau, mỗi loại có một cơ chế kích hoạt riêng:

Cơ chế	Cách hoạt động	Thời điểm kích hoạt
Pre-build Event trong file .csproj	Lợi dụng tính năng cho phép dự án thực thi lệnh trước khi biên dịch; dự án giả mạo chạy lệnh PowerShell thay vì các tác vụ lành tính như sao chép tệp hay đặt phiên bản	Ngay khi lập trình viên nhấn Build
File .suo trong thư mục .vs	File .suo lưu thiết lập của Visual Studio và nằm trong thư mục ẩn .vs mà hầu hết lập trình viên hiếm khi kiểm tra; một file .suo được tạo có chủ đích có thể kích hoạt mã thực thi (kỹ thuật do nhà nghiên cứu Zhiniang Peng của Sangfor chỉ ra từ tháng 10/2023)	Ngay khi mở solution bằng Visual Studio, chưa cần build
Khoảng trắng trong mã Python/Go	Đoạn mã độc bị đẩy thật xa về phía phải bằng hàng loạt ký tự khoảng trắng/tab; người đọc file chỉ thấy một dòng trống vô hại, phần mã thật nằm ngoài vùng hiển thị	Khi chạy/build công cụ như bình thường

Về trường hợp .suo, bài viết gốc lưu ý Microsoft không xem đây là lỗ hổng bảo mật theo cách phân loại thông thường: hãng cho rằng mở dự án từ nguồn không đáng tin cậy vốn đã là hành động tiềm ẩn rủi ro, và khuyến nghị người dùng bật các thiết lập kiểm soát độ tin cậy của Visual Studio. Dù phân loại thế nào, hệ quả thực tế không đổi: trong một số trường hợp, chỉ cần mở dự án là đủ dính mã độc.

Sau khi kích hoạt, mã độc làm gì trên máy nạn nhân?

Khi một trong ba cơ chế được kích hoạt, một script PowerShell kết nối đến máy chủ của kẻ tấn công, lấy đường dẫn tải payload đã mã hóa. Để hòa lẫn vào lưu lượng bình thường của doanh nghiệp, chiến dịch tận dụng cả những nền tảng quen thuộc như YouTube, Telegram, Google Docs, GitCode và Pastebin để lưu trữ hoặc phân phối thông tin. Payload tải về là gói nén Quixo.7z, bên trong có một thư mục ngụy trang giống thành phần hình ảnh của Windows và file Microsoft.exe — thành phần thực hiện phần lớn hành vi phá hoại, được xây dựng bằng Electron (nền tảng của nhiều ứng dụng desktop phổ biến), phiên bản phát hiện là 1.4.5.

Ngay sau khi chạy, Microsoft.exe lần lượt vô hiệu hóa Windows Defender, User Account Control (UAC), các cảnh báo bảo mật của Windows, System Restore và Volume Shadow Copy Service (VSS) — dịch vụ hỗ trợ sao lưu và khôi phục. Nó thêm RegAsm.exe và dwm.exe vào danh sách loại trừ của Defender để các payload giấu trong hai tiến trình này không bị quét, cố gắng gỡ bỏ ba phần mềm bảo mật McAfee, ESET và Malwarebytes, và chỉnh sửa file hosts để chặn máy tính truy cập website của các nhà cung cấp phần mềm diệt virus. Nói cách khác, nó không chỉ tắt hệ thống phòng thủ mà còn ngăn nạn nhân tải công cụ bảo vệ mới.

Lớp né tránh phát hiện cũng rất bài bản: giả mạo quan hệ tiến trình cha–con để trông như được explorer.exe khởi chạy; chỉnh Registry để vượt qua Smart App Control; đọc một bản sạch của ntdll.dll trực tiếp từ ổ đĩa để khôi phục các đoạn mã bị cơ chế giám sát (hooking) của phần mềm bảo mật thay đổi; dùng kỹ thuật Halo's Gate để gọi trực tiếp hàm hệ thống; và vô hiệu hóa cả ETW lẫn AMSI — hai cơ chế Windows dùng để theo dõi hành vi đáng ngờ. Payload cuối cùng được nhúng vào các tiến trình Windows có vẻ đáng tin cậy như RegAsm.exe và dwm.exe.

Những mã độc nào được cài xuống và dữ liệu gì bị đánh cắp?

Trojan.Loader.3261 không cài một loại mã độc duy nhất:

• Hai bản sao AsyncRAT: mã độc truy cập từ xa (RAT), gần như giống hệt nhau, chỉ khác cổng mạng. Theo nhận định của các nhà nghiên cứu, cách triển khai này có thể cho phép hai người vận hành cùng kiểm soát một máy qua hai cổng riêng — đây là suy đoán từ cấu trúc, không phải kết luận đã xác thực.
• Clipboard stealer: theo dõi bộ nhớ đệm sao chép; khi người dùng copy địa chỉ ví tiền điện tử, nó thay bằng địa chỉ ví của kẻ tấn công. Mỗi lần tráo địa chỉ, nó chụp ảnh màn hình và gửi về Telegram Bot kèm tiêu đề cửa sổ đang hoạt động, tên tài khoản người dùng và địa chỉ IP của máy.
• Infostealer: trước tiên kiểm tra máy có đang chạy trong sandbox hay máy ảo hay không; nếu không phải môi trường phân tích, nó mới thu thập dữ liệu. Danh sách mục tiêu được chọn rất đúng với đặc thù công việc của dân an ninh mạng: dữ liệu và mật khẩu đã lưu trong trình duyệt; thông tin đăng nhập FTP trong FileZilla và Total Commander; file MobaXterm.ini chứa các phiên SSH đã lưu; cấu hình VPN; dữ liệu ứng dụng nhắn tin; tài khoản trò chơi; và Discord Token. Toàn bộ được đóng gói và gửi ra ngoài qua Telegram Bot.

Đây mới là phần đáng sợ nhất: laptop của một chuyên gia an ninh mạng thường chứa thông tin truy cập vào hệ thống, máy chủ và mạng nội bộ của nhiều tổ chức. Chiếm được một chiếc máy như vậy đồng nghĩa kẻ tấn công có thể đang nắm chìa khóa dẫn tới nhiều hệ thống khác.

Chiến dịch bắt đầu từ game thủ, rồi mới chuyển sang dân bảo mật

Theo Doctor Web, chiến dịch không khởi đầu bằng mục tiêu là chuyên gia an ninh mạng. Ở giai đoạn đầu, các repository giả mạo chủ yếu được quảng cáo dưới dạng bot và công cụ gian lận cho các trò chơi tiền điện tử — trong đó có game Catizen trên Telegram — nhắm vào người dùng muốn kiếm token hoặc tìm lợi thế trong game. Một số repo thậm chí hướng dẫn từng bước cách cài Visual Studio và tải mã nguồn, để người ít kinh nghiệm cũng tự làm được. Sau đó, nhóm vận hành mới chuyển hướng sang mục tiêu giá trị cao hơn: ngụy trang mã độc thành công cụ quét mạng, kiểm thử bảo mật và script phân tích log. Một ví dụ được nêu là script "nhẹ" dùng để phân tích và làm sạch kết quả đầu ra của Fscan — công cụ quét mạng có gần 15.000 sao trên GitHub; một repo khác sao chép nguyên phần mô tả của một công cụ mã nguồn mở hợp pháp, khiến người dùng rất khó nhận ra nếu chỉ đọc qua.

Các nhà nghiên cứu còn phát hiện một thành phần chưa hoàn thiện, có chức năng cài loader dưới dạng Windows Service và tự tải lại nếu bị xóa — dấu hiệu cho thấy chiến dịch vẫn đang được phát triển. Trong 9 repository được đưa ra làm ví dụ, hai repo đã trả về lỗi 404; số còn lại vẫn hoạt động tại thời điểm kiểm tra được đề cập trong bài viết.

Chiến dịch này có liên quan đến Water Curse và GitVenom không?

Doctor Web không phải đơn vị đầu tiên chạm vào bộ công cụ dạng này. Tháng 6/2025, Trend Micro công bố nghiên cứu về chiến dịch Water Curse, trong đó ít nhất 76 tài khoản GitHub được dùng để phát tán công cụ kiểm thử xâm nhập giả mạo. Hai chiến dịch có nhiều điểm trùng khớp đáng chú ý: cùng dùng Pre-build Event trong file .csproj; cùng dùng ứng dụng Electron; cùng triển khai Scheduled Task để khởi chạy lại Microsoft.exe; cùng giấu mã trong RegAsm.exe; cùng dùng Telegram để chuyển dữ liệu ra ngoài; thậm chí tên một số module nội bộ cũng trùng — boot_f, kernel_f, thread_f. Trend Micro từng phát hiện các thành phần này vào năm 2025 nhưng chưa xác định đầy đủ chức năng; phân tích của Doctor Web đã đi sâu hơn.

Tuy nhiên, bài viết gốc nhấn mạnh: trùng khớp về mã nguồn và kỹ thuật chưa đủ để khẳng định hai chiến dịch do cùng một nhóm đứng sau — trong an ninh mạng, công cụ có thể được chia sẻ, mua bán hoặc sao chép giữa nhiều nhóm, và việc xác định danh tính kẻ tấn công vốn rất phức tạp. Xa hơn, tháng 2/2025, Kaspersky công bố chiến dịch GitVenom với hàng trăm dự án GitHub giả mạo, thủ thuật tương tự (mã Python giấu sau khoảng 2.000 ký tự tab), và một ví tiền điện tử của kẻ tấn công đã nhận khoảng 5 BTC — tương đương gần 485.000 USD tại thời điểm đó. Xa hơn nữa, tháng 1/2021, Google Threat Analysis Group từng mô tả một chiến dịch mà Google cho là liên quan đến một nhóm được chính phủ Triều Tiên hậu thuẫn: tiếp cận các nhà nghiên cứu bảo mật, đề nghị hợp tác rồi gửi dự án Visual Studio chứa DLL độc hại chạy qua sự kiện build. Bài viết gốc ghi rõ hiện không có bằng chứng cho thấy chiến dịch năm 2021 liên quan đến các repository mà Doctor Web đang phân tích.

Làm thế nào để tự bảo vệ khi dùng mã nguồn trên GitHub?

Bài học lớn nhất từ chiến dịch này là: mã nguồn công khai trên GitHub không đồng nghĩa với an toàn. Trước khi mở một dự án vừa clone về, hãy kiểm tra bốn điểm sau — đây là các khuyến nghị được bài viết gốc tổng hợp:

1. Kiểm tra file .csproj: mở bằng trình soạn thảo văn bản thường và tìm các đoạn Pre-build Event bất thường — ví dụ một thẻ <Target Name="PreBuild" ...> chứa lệnh <Exec Command="powershell -enc ..."/>. Một công cụ vừa tải về mà lại chạy PowerShell trước khi biên dịch là dấu hiệu phải đặc biệt cảnh giác; các dự án cũ cũng có thể dùng thẻ <PreBuildEvent> trực tiếp.
2. Xóa thư mục .vs trước khi mở solution: thư mục ẩn này có thể chứa file .suo đã bị cài cắm lệnh độc hại.
3. Kiểm tra toàn bộ mã nguồn Python và Go: đừng chỉ đọc phần hiển thị bình thường — hãy kiểm tra cả những đoạn bị đẩy ra xa bằng hàng loạt khoảng trắng hoặc tab (bật hiển thị ký tự ẩn, cuộn hết chiều ngang, hoặc tìm kiếm các dòng bất thường dài).
4. Build dự án trong máy ảo: đừng thử nghiệm repository không rõ nguồn gốc trên chiếc laptop đang lưu mật khẩu, khóa SSH, thông tin VPN hay tài khoản công việc; hãy dùng máy ảo riêng với snapshot sạch để khôi phục khi cần.

Ngoài ra, Doctor Web đã công bố danh sách IOC — tên miền, địa chỉ IP và mã hash của các tệp liên quan — trong repository malware-iocs của hãng, để đội ngũ phòng thủ đối chiếu với hệ thống của mình.

Câu hỏi thường gặp

Trojan.Loader.3261 là gì và ai phát hiện ra nó?

Trojan.Loader.3261 là tên hãng bảo mật Doctor Web đặt cho bộ nạp mã độc trong chiến dịch phát tán qua repository GitHub giả mạo, được hãng công bố phân tích ngày 05/11/2026. Chiến dịch đã xâm nhập hơn 2.000 máy Windows; mã độc được ngụy trang thành các công cụ mã nguồn mở như công cụ quét mạng và script phân tích log, nhắm chủ yếu vào các chuyên gia an ninh mạng.

Chỉ mở dự án Visual Studio thôi có bị nhiễm không?

Có thể. Theo phân tích, ngoài cơ chế Pre-build Event trong file .csproj (kích hoạt khi nhấn Build), kẻ tấn công còn giấu lệnh trong file .suo nằm ở thư mục ẩn .vs — một file .suo được tạo có chủ đích có thể kích hoạt mã thực thi ngay khi người dùng mở solution, chưa cần biên dịch gì. Vì vậy khuyến nghị thực tế là xóa thư mục .vs trước khi mở solution lạ, và build thử trong máy ảo.

Mã độc đánh cắp những dữ liệu gì?

Theo Doctor Web, gói payload gồm hai bản sao AsyncRAT để điều khiển từ xa, một thành phần tráo địa chỉ ví tiền điện tử trong clipboard (kèm chụp màn hình gửi về Telegram Bot), và một infostealer thu thập mật khẩu trình duyệt, thông tin FTP trong FileZilla và Total Commander, file MobaXterm.ini chứa phiên SSH đã lưu, cấu hình VPN, dữ liệu ứng dụng nhắn tin, tài khoản game và Discord token. Đáng lo nhất là các thông tin truy cập này có thể dẫn tới hệ thống của nhiều tổ chức khác.

Chiến dịch này có phải là Water Curse của Trend Micro không?

Chưa thể khẳng định. Water Curse (Trend Micro, tháng 6/2025, ít nhất 76 tài khoản GitHub phát tán công cụ pentest giả) trùng khớp với chiến dịch này ở nhiều kỹ thuật: Pre-build Event trong .csproj, ứng dụng Electron, Scheduled Task chạy lại Microsoft.exe, giấu mã trong RegAsm.exe, xuất dữ liệu qua Telegram và cả tên module nội bộ boot_f/kernel_f/thread_f. Nhưng trùng khớp kỹ thuật chưa đủ để kết luận cùng một nhóm tác giả, vì công cụ tấn công có thể bị chia sẻ, mua bán hoặc sao chép.

Các repository độc hại đã bị gỡ hết chưa?

Chưa — theo bài viết gốc, trong 9 repository được Doctor Web nêu làm ví dụ, chỉ 2 repo trả lỗi 404, số còn lại vẫn trực tuyến tại thời điểm kiểm tra. Đây là lý do người dùng không thể trông chờ hoàn toàn vào việc nền tảng gỡ bỏ: tự kiểm tra file .csproj, thư mục .vs và mã nguồn trước khi build, cùng thói quen build mã lạ trong máy ảo, vẫn là lớp phòng thủ quan trọng nhất. Doctor Web đã công bố IOC (tên miền, IP, hash) trong kho malware-iocs để cộng đồng đối chiếu.

Kết luận

Một repository có vẻ hữu ích, một lệnh git clone, một lần nhấn Build — chỉ vậy thôi, chiếc máy tính của người đi săn mã độc có thể trở thành công cụ phục vụ chính kẻ phát tán mã độc. Trojan.Loader.3261 đáng chú ý không phải vì kỹ thuật quá mới, mà vì nó đánh trúng điểm mù của những người giỏi nhất: quy trình làm việc quen thuộc với mã nguồn mở. Trong môi trường mà chuyên gia bảo mật thường xuyên lưu SSH key, thông tin VPN, token và quyền truy cập hệ thống, hậu quả của một lần build bất cẩn có thể vượt xa phạm vi một chiếc máy cá nhân. Kiểm tra trước khi build, và build mã lạ trong máy ảo — hai thói quen rẻ nhất cũng là hai thói quen cứu được nhiều nhất.

Nguồn: bài viết của trang Học lập trình cho người mới bắt đầu trên Facebook (09/11/2026), tổng hợp từ phân tích của Doctor Web về Trojan.Loader.3261 (công bố 05/11/2026) cùng các nghiên cứu liên quan của Trend Micro (Water Curse), Kaspersky (GitVenom) và Google Threat Analysis Group; biên tập và hệ thống hóa bởi Wotech Electronics. Ảnh minh họa: ảnh đính kèm bài viết gốc.