Việt Nam, Philippines và El Salvador là những quốc gia bị ảnh hưởng trong sự cố xâm nhập chuỗi cung ứng Notepad++, theo phát hiện mới từ các chuyên gia của Nhóm Nghiên cứu và phân tích toàn cầu (GReAT) thuộc Kaspersky.
Các mục tiêu bao gồm một nhà cung cấp dịch vụ công nghệ thông tin tại Việt Nam, một cơ quan chính phủ ở Philippines, một tổ chức tài chính tại El Salvador cùng nhiều người dùng cá nhân khác tại ba quốc gia.
Nhóm tấn công đã triển khai ít nhất ba chuỗi lây nhiễm khác nhau, trong đó hai chuỗi chưa từng được ghi nhận trước đây.
Trong quá trình theo dõi, các chuyên gia của Kaspersky đã nhận thấy nhóm tin tặc liên tục thay đổi và nâng cấp bộ công cụ tấn công.
Từ tháng 7 đến tháng 10-2025, mã độc và hạ tầng máy chủ điều khiển (C&C) và cả phương thức phát tán được thay đổi gần như mỗi tháng, cho thấy mức độ đầu tư và khả năng thích nghi rất cao của kẻ tấn công.
Vì vậy, chuỗi tấn công đã được công bố trước đây thực tế mới chỉ là một phần của một chiến dịch dài hơi và phức tạp hơn rất nhiều.
Đến ngày 2-2-2026, đội ngũ phát triển Notepad++ xác nhận rằng hạ tầng cập nhật phần mềm đã bị xâm phạm do sự cố liên quan đến nhà cung cấp dịch vụ lưu trữ.
Tuy nhiên, phần lớn các báo cáo đã công bố trước đó chỉ tập trung vào những mẫu mã độc xuất hiện trong tháng 10-2025. Điều này đồng nghĩa với việc nhiều tổ chức đã bỏ lỡ các chỉ số xâm nhập (IoC) hoàn toàn khác từng được sử dụng trong suốt giai đoạn từ tháng 7 đến tháng 9-2025.
Mỗi chuỗi tấn công sử dụng các địa chỉ IP độc hại, tên miền và cách thức kích hoạt mã độc khác nhau. Do đó, những tổ chức chỉ rà soát hệ thống dựa trên bộ chỉ số xâm nhập được ghi nhận trong tháng 10-2025 có khả năng đã bỏ sót hoàn toàn các đợt lây nhiễm trước đó.
Các giải pháp của Kaspersky đã phát hiện và ngăn chặn toàn bộ những cuộc tấn công được xác định tại thời điểm chúng diễn ra.
Ông Georgy Kucherin, chuyên gia bảo mật GReAT nhận định: “Ngay cả khi đối chiếu hệ thống với các chỉ số xâm nhập (IoC) và không phát hiện điều gì bất thường, các đội ngũ bảo mật cũng không nên chủ quan rằng hệ thống tổ chức đã an toàn.
Hạ tầng mà nhóm tấn công sử dụng trong giai đoạn từ tháng 7 đến tháng 9 khác biệt hoàn toàn, từ địa chỉ IP, tên miền cho tới mã hash của các tệp tin.
Với việc luân phiên thay đổi công cụ như vậy, chúng tôi không thể loại trừ khả năng vẫn còn những chuỗi tấn công khác chưa được phát hiện”.
GReAT đã công bố đầy đủ danh sách các chỉ số xâm nhập, bao gồm sáu mã hash của trình cập nhật độc hại, 14 URL máy chủ điều khiển (C&C) và tám mã hash của tệp tin độc hại chưa từng được ghi nhận trước đó. Toàn bộ danh sách chỉ số xâm nhập (IoC) cùng phần phân tích kỹ thuật chi tiết đã được đăng tải trên Securelist.
