Kaspersky (Securelist) ngày 05/11/2026 công bố hồ sơ vụ xâm nhập "SOC Files 5" của nhóm Storm-2603 (nhóm có liên hệ với Trung Quốc theo Microsoft) vào một máy chủ SharePoint on-premises. Đây là vụ việc từ tháng 12/2025, công bố dạng case study — không phải 0-day mới.

Diễn biến: ngày 20/12 thăm dò xem máy có dính lỗi không, im lặng 3 ngày, rồi ngày 24/12 — đêm Giáng sinh, lúc nhiều đội bảo mật trực mỏng — tung toàn bộ chuỗi RCE. Kaspersky chỉ phát hiện vụ này ngày 26/12 khi rà lại log.

Kỹ thuật: nhóm dùng chuỗi ToolShell (CVE-2025-53770 và CVE-2025-53771, vốn là cách vòng qua bản vá cho CVE-2025-49704 và CVE-2025-49706) để chèn webshell fileless thẳng vào tiến trình IIS w3wp.exe — không ghi file nào xuống đĩa nên quét file không thấy. Implant nói chuyện với máy chủ điều khiển qua giao thức nhị phân tự chế mã hóa XOR, leo lên SYSTEM bằng EfsPotato, và mở đường hầm TCP bằng công cụ suo5 để với tới máy khác trong mạng.

Để giữ quyền truy cập, chúng dựng nhiều đường dự phòng qua Velociraptor 0.73.4.0 (công cụ pháp y mã nguồn mở, bản này dính CVE-2025-6264): Zoho Assist, VS Code tunneling, Cloudflare Tunnel và một reverse proxy nhỏ — xóa một đường thì vẫn còn đường khác. Cuối cùng chúng toan chạy ransomware Warlock, nhưng mô-đun Proactive Defense của Kaspersky đã chặn tiến trình trước khi mã hóa được gì.

Bài học: vá SharePoint thôi chưa đủ. Microsoft và Kaspersky khuyên: cài bản vá khẩn mới nhất, xoay lại ASP.NET MachineKeys đã lộ, khởi động lại IIS, rồi săn các dấu hiệu tồn tại mà vá không gỡ được. Lưu ý: khởi động lại IIS sẽ xóa implant trong bộ nhớ, nhưng các cơ chế dự phòng khác vẫn còn — và phải giữ lại log bộ nhớ/IIS trước khi khởi động lại, vì khởi động lại sẽ xóa bằng chứng.

Kaspersky quy vụ này cho Storm-2603 với độ tin cậy trung bình, dựa trên cách dùng ToolShell, công cụ Warlock và thói quen dùng Velociraptor.

Nguồn: