CylindricalCanine đang được giới nghiên cứu an ninh mạng chú ý sau khi bị liên hệ với sự cố DigiCert tháng 04/2026, trong đó kẻ tấn công đã lợi dụng quyền truy cập vào môi trường hỗ trợ để đánh cắp chứng chỉ ký mã dành cho khách hàng. Theo The Hacker News và phân tích của Expel, cụm hoạt động này là một nhánh của GoldenEyeDog, còn được biết đến với các tên APT-Q-27, Dragon Breath hoặc Miuuti Group.
Bối cảnh hình thành
GoldenEyeDog được mô tả là một nhóm tội phạm mạng nói tiếng Trung Quốc, hoạt động ít nhất từ năm 2015 và nổi bật với các chiến dịch nhắm vào lĩnh vực cờ bạc, trò chơi trực tuyến và tài chính tại khu vực châu Á – Thái Bình Dương. Cách tiếp cận quen thuộc của nhóm là dựng website giả, gửi tập tin mồi nhử hoặc lợi dụng các kênh hỗ trợ để thuyết phục nạn nhân mở phần mềm độc hại.
Trong hồ sơ mới, Expel đặt tên nhánh liên quan là CylindricalCanine. Điểm đáng chú ý không chỉ là mã độc mà còn là mục tiêu: một nhà cung cấp chứng chỉ số. Khi chứng chỉ ký mã bị lạm dụng, mã độc có thể trông giống phần mềm hợp lệ hơn trong mắt người dùng, hệ điều hành và một số lớp phòng thủ.
Mốc thời gian chính
Theo thông tin được DigiCert công bố qua hệ sinh thái báo cáo lỗi của Mozilla, ngày 02/04/2026, một tác nhân đe dọa đã liên hệ đội hỗ trợ DigiCert qua kênh chat khách hàng và gửi một tập tin ZIP giả dạng ảnh chụp màn hình. Bên trong là tập tin thực thi .scr chứa payload độc hại.
Sau khi hai máy trạm của nhân viên hỗ trợ bị xâm nhập, kẻ tấn công tận dụng một chức năng trong cổng hỗ trợ cho phép nhân viên xem tài khoản từ góc nhìn khách hàng để xử lý yêu cầu. Từ đó, chúng truy cập được mã khởi tạo của các đơn hàng EV Code Signing đã được phê duyệt nhưng chưa hoàn tất bàn giao.
DigiCert sau đó thu hồi 60 chứng chỉ, trong đó 27 chứng chỉ được cho là liên hệ trực tiếp với tác nhân đe dọa. The Hacker News dẫn thông tin rằng những chứng chỉ bị khai thác đã được dùng để ký các mẫu Zhong Stealer, một dòng mã độc đánh cắp dữ liệu từng được ghi nhận trong các chiến dịch trước đó.
Chiến thuật và công cụ
CylindricalCanine được cho là sử dụng các tập tin giả dạng ảnh chụp màn hình trong email lừa đảo hoặc yêu cầu gửi vào hệ thống hỗ trợ. Khi nạn nhân bấm vào liên kết hoặc mở tập tin, payload bổ sung sẽ được tải từ máy chủ bên ngoài, tạo điểm bám cho hoạt động tiếp theo.
Expel cũng liên hệ hoạt động này với Golden Gh0st RAT, một biến thể trong họ Gh0st RAT vận hành qua plugin và cơ chế điều phối module nội bộ. Mô hình này giúp kẻ tấn công linh hoạt hơn: có thể thu thập thông tin máy, đánh cắp dữ liệu, duy trì truy cập hoặc chuyển sang payload khác tùy mục tiêu.
Vì sao chứng chỉ ký mã là mục tiêu giá trị
Chứng chỉ ký mã không phải là một tập tin trang trí cho phần mềm. Nó là tín hiệu tin cậy quan trọng trong chuỗi cung ứng số, giúp xác nhận nhà phát hành và giảm cảnh báo khi phần mềm được phân phối. Nếu kẻ tấn công có chứng chỉ hợp lệ, malware có thể vượt qua một phần tâm lý cảnh giác của người dùng và gây khó cho hệ thống phòng thủ chỉ dựa vào danh tiếng tệp.
Sự cố DigiCert cho thấy rủi ro không nhất thiết bắt đầu từ việc phá vỡ thuật toán mật mã. Điểm yếu nằm ở quy trình hỗ trợ, quyền truy cập nội bộ, thiết kế cổng quản trị và giả định rằng một mã khởi tạo được lưu trong hệ thống hỗ trợ không thể trở thành chìa khóa vận hành cho kẻ tấn công.
Hệ lụy đối với doanh nghiệp
Về kỹ thuật, các tổ chức cần coi tệp đã ký số là một tín hiệu cần kiểm tra thêm, không phải bằng chứng tuyệt đối về an toàn. Một tệp có chữ ký hợp lệ vẫn có thể là mã độc nếu chứng chỉ bị đánh cắp, bị cấp sai mục đích hoặc bị lạm dụng trong khoảng thời gian trước khi thu hồi.
Về vận hành, sự cố này đặt áp lực lớn lên các nhà cung cấp dịch vụ chứng chỉ, phần mềm và hỗ trợ khách hàng. Các portal nội bộ cần hạn chế dữ liệu nhạy cảm theo nguyên tắc tối thiểu, ghi log đầy đủ hành vi nhân viên hỗ trợ, tách quyền truy cập theo vai trò và kiểm tra lại các luồng cho phép “xem như khách hàng”.
Bài học rút ra
Hồ sơ CylindricalCanine cho thấy một chiến dịch thành công có thể bắt đầu từ thao tác rất đời thường: một tập tin giả ảnh chụp màn hình gửi vào kênh hỗ trợ. Khi kết hợp kỹ thuật xã hội, mã độc điều khiển từ xa và mục tiêu có giá trị cao như chứng chỉ ký mã, tác động có thể lan sang nhiều tổ chức ngoài nạn nhân ban đầu.
Doanh nghiệp nên rà soát chính sách xử lý tập tin trong bộ phận hỗ trợ, cô lập môi trường mở file khách hàng, kiểm tra hành vi bất thường liên quan đến chứng chỉ ký mã và không bỏ qua các cảnh báo từ tệp đã được ký. Niềm tin số chỉ bền vững khi cả công nghệ, quy trình và con người cùng được kiểm soát chặt chẽ.
VNCyberS tổng hợp từ The Hacker News, Expel, DigiCert và Mozilla Bugzilla
Tiếng Việt
English