Duy Linh✔
Writer
Một loại mã độc Trojan truy cập từ xa (RAT) mới mang tên Abe Office đang được các nhà nghiên cứu phân tích sau khi phát hiện khả năng ngụy trang thành một công cụ hỗ trợ máy trạm. Đáng chú ý, mã độc này kết hợp tính năng điều khiển trình duyệt ẩn (hVNC) với một cơ chế chuyên biệt nhằm vượt qua lớp bảo vệ mã hóa ứng dụng của Google Chrome, từ đó tìm cách truy cập các thông tin nhạy cảm được lưu trữ trong trình duyệt.
Thay vì trực tiếp phá vỡ thuật toán mã hóa, Abe Office sử dụng một phương thức khác: chèn thành phần hỗ trợ vào bên trong tiến trình Chrome, sau đó yêu cầu dịch vụ đặc quyền của trình duyệt thực hiện giải mã. Cách tiếp cận này cho phép mã độc khai thác chính cơ chế hoạt động của trình duyệt để tiếp cận dữ liệu được bảo vệ.
Theo thông tin trong báo cáo phân tích, MalwareHunterTeam đã xác định được mẫu mã độc AbeAgent.exe. Quá trình điều tra được thực hiện với sự hỗ trợ của Claude thông qua Claude Code trên một máy ảo REMnux.
Các thử nghiệm trong môi trường sandbox ghi nhận dấu hiệu tương tác trực tiếp từ người điều hành mã độc. Tuy nhiên, trong suốt quá trình quan sát, các nhà nghiên cứu không phát hiện thành phần đánh cắp cookie được thực thi.
Tệp AbeAgent.exe được ký bằng chứng chỉ SSL.com đứng tên Kimberley Hankinson, với ngày ký 4/11/2026. Thành phần hỗ trợ trình duyệt của mã độc cũng sử dụng cùng chứng chỉ này. Mặc dù chữ ký số giúp xác định danh tính người ký và bảo đảm tính toàn vẹn của tệp, điều đó không đồng nghĩa với việc ứng dụng văn phòng mà mã độc giả danh là phần mềm hợp pháp.
Sau khi được thực thi, AbeAgent.exe tự sao chép vào thư mục
Hoạt động của mã độc dựa trên ba tiện ích bổ sung được mã hóa, mỗi thành phần đảm nhiệm một chức năng riêng:
Đáng chú ý, cùng một mật khẩu còn được sử dụng để mã hóa lưu lượng mạng. Điều này cho phép các nhà nghiên cứu giải mã những thông tin liên lạc đã thu thập được trong quá trình phân tích.
Chuỗi lây nhiễm: tệp AbeAgent.exe đã được ký tự cài đặt vào hồ sơ người dùng (Nguồn: Rogue Authority).
Cơ chế này sử dụng một dịch vụ đặc quyền để xác thực ứng dụng đang yêu cầu giải mã trước khi cho phép truy cập dữ liệu được bảo vệ. Nhờ vậy, những ứng dụng không liên quan sẽ khó có thể trực tiếp giải mã các thông tin bí mật được Chrome lưu trữ.
Tuy nhiên, Google cũng từng xác định việc chèn mã vào tiến trình trình duyệt là một trong những phương thức tấn công còn có thể được sử dụng để vượt qua cơ chế bảo vệ này, dù cách tiếp cận đó làm tăng nguy cơ bị phát hiện.
Theo các nhà nghiên cứu của Rogue Authority, Abe Office được triển khai theo hướng này. Mã độc khởi chạy một phiên trình duyệt ẩn, chèn tệp AbeBrowserShim.dll vào tiến trình Chrome rồi yêu cầu dịch vụ quản trị của trình duyệt giải mã khóa App-Bound.
Kết quả giải mã được ghi vào tệp:
Thành phần đánh cắp thông tin của mã độc có tên nội bộ là 'DC Styler'. Nó chứa các quy trình thu thập dữ liệu nhắm đến mật khẩu, cookie, tiện ích mở rộng và thông tin thẻ thanh toán được lưu trữ trên nhiều trình duyệt, bao gồm Chrome, Microsoft Edge, Brave, Opera và Firefox.
Tuy nhiên, cơ chế vượt qua bảo vệ dựa trên App-Bound Encryption chủ yếu nhắm đến những trình duyệt có hỗ trợ triển khai tương ứng, chứ không khai thác mô hình bảo vệ riêng biệt của Firefox.
Bên cạnh khả năng truy cập dữ liệu trình duyệt, Abe Office còn sử dụng thành phần hVNC để tạo môi trường tương tác ẩn với thiết bị bị xâm nhập. Thành phần này sao chép hồ sơ Chrome và Edge vào thư mục:
Những gì kẻ điều hành nhìn thấy trên màn hình máy tính ẩn: Trang lưu mật khẩu của Edge, được mở từ hồ sơ đã sao chép của nạn nhân (Nguồn: Rogue Authority).
Sau đó, các hồ sơ được mở trên một màn hình nền Windows ẩn, cho phép người điều hành tương tác với trình duyệt mà người dùng thông thường khó nhận ra.
Trong quá trình theo dõi môi trường thử nghiệm kéo dài, các nhà nghiên cứu ghi nhận người điều hành đã mở cả Chrome và Edge, sau đó truy cập trực tiếp vào trang quản lý mật khẩu của hai trình duyệt.
Tuy nhiên, những hồ sơ trình duyệt được sử dụng trong thử nghiệm không chứa mật khẩu đã lưu. Các nhà nghiên cứu cũng không ghi nhận hoạt động thực thi thành phần đánh cắp thông tin, sử dụng shell từ xa hoặc triển khai thêm tải trọng độc hại nào.
Điều này cho thấy dù mã độc có khả năng thiết lập môi trường để người điều hành tương tác với các phiên trình duyệt hiện có, những hành vi đánh cắp dữ liệu tiếp theo chưa được xác nhận trong quá trình quan sát.
Về hạ tầng điều khiển, máy chủ C2 chính được xác định tại địa chỉ
Dữ liệu từ VirusTotal cho thấy có 133 tệp được liên kết với hạ tầng này. Tuy nhiên, các mối liên kết đó không đồng nghĩa tất cả tệp đều có chức năng hoặc hành vi giống hệt nhau.
Đối với công tác phát hiện và ứng phó, các chuyên gia bảo mật được khuyến nghị kiểm tra những dấu hiệu sau:
Nếu xác nhận thiết bị đã bị xâm nhập, tổ chức cần cách ly thiết bị đầu cuối khỏi mạng, thu hồi các phiên trình duyệt đang hoạt động và đặt lại những thông tin đăng nhập quan trọng từ một thiết bị sạch.
Hiện tại, phương thức phát tán Abe Office vẫn chưa được xác định rõ. Mối liên hệ bị nghi ngờ giữa các trình tải khởi động có liên quan và những gói lưu trữ cũng chưa được xác nhận.
Những hoạt động được ghi nhận cho thấy mã độc có định hướng tập trung vào việc tiếp cận thông tin xác thực và dữ liệu trình duyệt. Tuy nhiên, nguồn gốc cũng như toàn bộ chuỗi lây nhiễm vẫn còn nhiều điểm chưa được làm rõ.
Một vấn đề đáng quan tâm là khả năng truy cập các phiên trình duyệt trực tiếp từ thiết bị nạn nhân. Vì vậy, ngay cả khi chưa phát hiện hành vi đánh cắp thông tin hoàn chỉnh, các phiên đăng nhập trên thiết bị đã nhiễm mã độc cũng không nên tiếp tục được xem là an toàn.
Lưu ý: Địa chỉ IP và tên miền trong báo cáo đã được cố ý vô hiệu hóa một phần (chẳng hạn sử dụng
Thay vì trực tiếp phá vỡ thuật toán mã hóa, Abe Office sử dụng một phương thức khác: chèn thành phần hỗ trợ vào bên trong tiến trình Chrome, sau đó yêu cầu dịch vụ đặc quyền của trình duyệt thực hiện giải mã. Cách tiếp cận này cho phép mã độc khai thác chính cơ chế hoạt động của trình duyệt để tiếp cận dữ liệu được bảo vệ.
Theo thông tin trong báo cáo phân tích, MalwareHunterTeam đã xác định được mẫu mã độc AbeAgent.exe. Quá trình điều tra được thực hiện với sự hỗ trợ của Claude thông qua Claude Code trên một máy ảo REMnux.
Các thử nghiệm trong môi trường sandbox ghi nhận dấu hiệu tương tác trực tiếp từ người điều hành mã độc. Tuy nhiên, trong suốt quá trình quan sát, các nhà nghiên cứu không phát hiện thành phần đánh cắp cookie được thực thi.
Tệp AbeAgent.exe được ký bằng chứng chỉ SSL.com đứng tên Kimberley Hankinson, với ngày ký 4/11/2026. Thành phần hỗ trợ trình duyệt của mã độc cũng sử dụng cùng chứng chỉ này. Mặc dù chữ ký số giúp xác định danh tính người ký và bảo đảm tính toàn vẹn của tệp, điều đó không đồng nghĩa với việc ứng dụng văn phòng mà mã độc giả danh là phần mềm hợp pháp.
Sau khi được thực thi, AbeAgent.exe tự sao chép vào thư mục
%USERPROFILE%\AbeOffice\, đồng thời xóa dấu đánh dấu nguồn tải xuống Mark of the Web (MoTW). Mã độc thiết lập khả năng duy trì hoạt động thông qua hai cơ chế: tạo giá trị Run mang tên 'Abe Office Sync' trong Windows Registry và thiết lập một tác vụ theo lịch trình. Cả hai đều có nhiệm vụ khởi chạy tệp thực thi với tham số --autostart.Hoạt động của mã độc dựa trên ba tiện ích bổ sung được mã hóa, mỗi thành phần đảm nhiệm một chức năng riêng:
- AbeCapability.dll: Phụ trách các chức năng của Trojan truy cập từ xa (RAT).
- AbeHvcn.dll: Cung cấp khả năng truy cập và chèn mã độc vào môi trường máy tính để bàn ẩn.
- AbeBrowserShim.dll: Thành phần hỗ trợ tương tác với trình duyệt và yêu cầu giải mã khóa bảo vệ dữ liệu.
AbeOffice-ChangeMe.Đáng chú ý, cùng một mật khẩu còn được sử dụng để mã hóa lưu lượng mạng. Điều này cho phép các nhà nghiên cứu giải mã những thông tin liên lạc đã thu thập được trong quá trình phân tích.
Abe Office khai thác cơ chế giải mã của Chrome và điều khiển trình duyệt trong môi trường ẩn
Google đã giới thiệu cơ chế App-Bound Encryption (mã hóa liên kết ứng dụng) đối với cookie trên Windows từ Chrome 127. Đây là lớp bảo vệ được thiết kế để hạn chế khả năng các ứng dụng bên ngoài truy cập trái phép vào dữ liệu nhạy cảm của trình duyệt.Chuỗi lây nhiễm: tệp AbeAgent.exe đã được ký tự cài đặt vào hồ sơ người dùng (Nguồn: Rogue Authority).
Cơ chế này sử dụng một dịch vụ đặc quyền để xác thực ứng dụng đang yêu cầu giải mã trước khi cho phép truy cập dữ liệu được bảo vệ. Nhờ vậy, những ứng dụng không liên quan sẽ khó có thể trực tiếp giải mã các thông tin bí mật được Chrome lưu trữ.
Tuy nhiên, Google cũng từng xác định việc chèn mã vào tiến trình trình duyệt là một trong những phương thức tấn công còn có thể được sử dụng để vượt qua cơ chế bảo vệ này, dù cách tiếp cận đó làm tăng nguy cơ bị phát hiện.
Theo các nhà nghiên cứu của Rogue Authority, Abe Office được triển khai theo hướng này. Mã độc khởi chạy một phiên trình duyệt ẩn, chèn tệp AbeBrowserShim.dll vào tiến trình Chrome rồi yêu cầu dịch vụ quản trị của trình duyệt giải mã khóa App-Bound.
Kết quả giải mã được ghi vào tệp:
C:\ProgramData\AbeOffice\abe_job\key.datThành phần đánh cắp thông tin của mã độc có tên nội bộ là 'DC Styler'. Nó chứa các quy trình thu thập dữ liệu nhắm đến mật khẩu, cookie, tiện ích mở rộng và thông tin thẻ thanh toán được lưu trữ trên nhiều trình duyệt, bao gồm Chrome, Microsoft Edge, Brave, Opera và Firefox.
Tuy nhiên, cơ chế vượt qua bảo vệ dựa trên App-Bound Encryption chủ yếu nhắm đến những trình duyệt có hỗ trợ triển khai tương ứng, chứ không khai thác mô hình bảo vệ riêng biệt của Firefox.
Bên cạnh khả năng truy cập dữ liệu trình duyệt, Abe Office còn sử dụng thành phần hVNC để tạo môi trường tương tác ẩn với thiết bị bị xâm nhập. Thành phần này sao chép hồ sơ Chrome và Edge vào thư mục:
C:\ProgramData\AbeOffice\SystemCache\Những gì kẻ điều hành nhìn thấy trên màn hình máy tính ẩn: Trang lưu mật khẩu của Edge, được mở từ hồ sơ đã sao chép của nạn nhân (Nguồn: Rogue Authority).
Sau đó, các hồ sơ được mở trên một màn hình nền Windows ẩn, cho phép người điều hành tương tác với trình duyệt mà người dùng thông thường khó nhận ra.
Trong quá trình theo dõi môi trường thử nghiệm kéo dài, các nhà nghiên cứu ghi nhận người điều hành đã mở cả Chrome và Edge, sau đó truy cập trực tiếp vào trang quản lý mật khẩu của hai trình duyệt.
Tuy nhiên, những hồ sơ trình duyệt được sử dụng trong thử nghiệm không chứa mật khẩu đã lưu. Các nhà nghiên cứu cũng không ghi nhận hoạt động thực thi thành phần đánh cắp thông tin, sử dụng shell từ xa hoặc triển khai thêm tải trọng độc hại nào.
Điều này cho thấy dù mã độc có khả năng thiết lập môi trường để người điều hành tương tác với các phiên trình duyệt hiện có, những hành vi đánh cắp dữ liệu tiếp theo chưa được xác nhận trong quá trình quan sát.
Về hạ tầng điều khiển, máy chủ C2 chính được xác định tại địa chỉ
2.26.230[.]54:9090. Một máy chủ khác, 87.199.195[.]141, được sử dụng để lưu trữ trang tải xuống tương ứng.Dữ liệu từ VirusTotal cho thấy có 133 tệp được liên kết với hạ tầng này. Tuy nhiên, các mối liên kết đó không đồng nghĩa tất cả tệp đều có chức năng hoặc hành vi giống hệt nhau.
Đối với công tác phát hiện và ứng phó, các chuyên gia bảo mật được khuyến nghị kiểm tra những dấu hiệu sau:
- Sự xuất hiện của các thư mục liên quan đến AbeOffice.
- Những thay đổi trong Windows Registry và tác vụ theo lịch trình nhằm duy trì hoạt động của mã độc.
- Các kết nối mạng đến hai máy chủ đã xác định.
- Dấu hiệu chèn mã vào tiến trình trình duyệt.
- Hoạt động khởi chạy ứng dụng ngoài vùng hiển thị bằng tham số
--window-position=-32000,-32000.
Nếu xác nhận thiết bị đã bị xâm nhập, tổ chức cần cách ly thiết bị đầu cuối khỏi mạng, thu hồi các phiên trình duyệt đang hoạt động và đặt lại những thông tin đăng nhập quan trọng từ một thiết bị sạch.
Hiện tại, phương thức phát tán Abe Office vẫn chưa được xác định rõ. Mối liên hệ bị nghi ngờ giữa các trình tải khởi động có liên quan và những gói lưu trữ cũng chưa được xác nhận.
Những hoạt động được ghi nhận cho thấy mã độc có định hướng tập trung vào việc tiếp cận thông tin xác thực và dữ liệu trình duyệt. Tuy nhiên, nguồn gốc cũng như toàn bộ chuỗi lây nhiễm vẫn còn nhiều điểm chưa được làm rõ.
Một vấn đề đáng quan tâm là khả năng truy cập các phiên trình duyệt trực tiếp từ thiết bị nạn nhân. Vì vậy, ngay cả khi chưa phát hiện hành vi đánh cắp thông tin hoàn chỉnh, các phiên đăng nhập trên thiết bị đã nhiễm mã độc cũng không nên tiếp tục được xem là an toàn.
Các dấu hiệu xâm phạm (IOC)
Các nhà nghiên cứu đã công bố những giá trị SHA-256 liên quan đến các thành phần của Abe Office để hỗ trợ hoạt động nhận diện và điều tra:| Loại | Giá trị | Thành phần |
|---|---|---|
| SHA-256 | eda3e8e4e87ccb0423886ae5cfd1d488481d4ce16ab5b5efdfbce6f9f1a35dd9 | AbeAgent.exe |
| SHA-256 | 977f5a0124c4484772517336019d8f9a03d27abf9207b64ff225b7b35c7ff277 | AbeCapability.dll (RAT chính) |
| SHA-256 | 3cec97aadc8e0da11e89a4aa454829292599b6b852afa620bb0aa811e9662d71 | AbeHvcn.dll (màn hình nền ẩn) |
| SHA-256 | 681293cbcf1436de6d8ae4c358a1e76677593155fe393055376aa535809b5ffd | AbeBrowserShim.dll (đã ký) |
Lưu ý: Địa chỉ IP và tên miền trong báo cáo đã được cố ý vô hiệu hóa một phần (chẳng hạn sử dụng
[.]) nhằm tránh việc tự động phân giải hoặc tạo liên kết ngoài ý muốn. Chỉ nên khôi phục các giá trị này trong những nền tảng tình báo mối đe dọa được kiểm soát như MISP, VirusTotal hoặc SIEM.
