Tin tặc liên kết Trung Quốc tấn công laptop giám đốc qua USB trong khách sạn: Lỗ hổng đã có sẵn nhưng không ai dùng

Một nhóm tin tặc liên kết với nhà nước Trung Quốc đã xâm nhập laptop của các giám đốc điều hành tại một hội nghị ngành nông nghiệp trên đảo Hải Nam vào mùa xuân này — không phải qua email lừa đảo hay xâm nhập mạng, mà bằng cách đột nhập vào phòng khách sạn và khởi động máy tính từ USB trong khi các giám đốc đang đi ăn tối. Đây là một chiến thuật được gọi là "evil maid attack" (tấn công người giúp việc độc ác), đặt ra câu hỏi lớn về lỗ hổng bảo mật vật lý mà nhiều doanh nghiệp vẫn chủ quan.

CrowdStrike, công ty theo dõi nhóm này với tên mã OVERCAST PANDA, đã tiết lộ chiến dịch trong Báo cáo Săn lùng Mối đe dọa năm 2026 và mô tả chi tiết dòng thời gian hoạt động trong cuộc phỏng vấn với VentureBeat tại Fal.Con 2026: một kẻ xâm nhập vào phòng đầu tiên lúc khoảng 8 giờ tối và phòng thứ hai trước 9 giờ 57 phút tối, ghi trực tiếp phần mềm gián điệp có tên FlowCloud vào ổ cứng của mỗi laptop trước khi khởi động lại máy và rời đi. Không có xâm nhập mạng, không có email lừa đảo, không có thông tin đăng nhập nào bị đánh cắp qua một trang web giả mạo.

Bối cảnh và chiến thuật tấn công tinh vi

Báo cáo ghi nhận các vụ xâm nhập xảy ra từ tháng 3 đến tháng 5 năm 2026, và dấu thời gian được xác nhận bởi Adam Meyers, phó chủ tịch cấp cao phụ trách hoạt động chống đối thủ tại CrowdStrike. Đội ngũ OverWatch của công ty đã phát hiện và ngăn chặn các vụ tấn công, đồng thời đánh giá rằng OVERCAST PANDA gần như chắc chắn sẽ tiếp tục các chiến dịch tương tự.

FlowCloud không phải là mới — Proofpoint đã ghi nhận nó từ năm 2020 khi được phân phối qua email lừa đảo nhắm vào các công ty tiện ích của Mỹ, và Trung tâm vận hành an ninh của NTT Security đã theo dõi các vụ lây nhiễm qua USB tại các chi nhánh nước ngoài của tổ chức Nhật Bản từ đầu năm 2022.

Các nhà nghiên cứu bảo mật gọi việc can thiệp vật lý vào laptop không có người trông coi là "evil maid attack", kể từ khi Joanna Rutkowska trình diễn kỹ thuật này với một USB khởi động vào năm 2009. Theo Meyers, các hoạt động xâm nhập vật lý là hiếm trong số 290 đối thủ được đặt tên mà CrowdStrike theo dõi, và phiên bản của MUSTANG PANDA phụ thuộc vào việc nạn nhân tự cắm USB bị bỏ lại.

Điểm mới lạ mà Meyers xác định là sự kết hợp giữa việc xâm nhập phòng khách sạn bởi một cơ quan tình báo nhà nước với việc triển khai phần mềm độc hại, khởi động máy từ USB thay vì phụ thuộc vào người dùng tự thực thi một tệp tin.

Khoảng trống bảo mật và vì sao các công cụ hiện tại thất bại

Khi các giám đốc bật máy vào sáng hôm sau, trình kích hoạt khởi động và FlowCloud được nạp vào. Keylogging, chụp màn hình, thu thập tệp tin và đánh cắp thông tin đăng nhập bắt đầu hoạt động.

"Chúng tôi có khả năng quan sát khi máy khởi động," Meyers nói với VentureBeat.

Một khóa registry hoặc trình kích hoạt tương tự sẽ bắt đầu FlowCloud sau khi hệ điều hành tải lên, và đó là khi cảm biến Falcon phát hiện ra. Khoảng trống nằm ở cửa sổ giữa lúc ghi USB và lần khởi động tiếp theo — hàng giờ laptop bị xâm nhập và không bị phát hiện trước khi giám đốc đăng nhập lại.

EDR cần hệ điều hành được tải và agent đang chạy. MFA chờ một lần thử đăng nhập, đào tạo chống lừa đảo chờ một email, AI agent security chờ một agent để bảo vệ. OVERCAST PANDA đã vượt qua tất cả tại điểm xâm nhập — quá trình xâm nhập ban đầu diễn ra bên dưới hệ điều hành đang chạy, dưới agent EDR, dưới stack xác thực.

"Vào phòng khách sạn là việc rất phổ biến. Nói chuyện với bất kỳ nhân viên an ninh vật lý công ty nào. Họ thường biết về việc vào phòng khách sạn, nhưng điều độc đáo là sự kết hợp giữa việc vào phòng với triển khai phần mềm độc hại," Meyers nhận định.

Meyers cho rằng Bộ An ninh Nhà nước Trung Quốc đứng sau OVERCAST PANDA. Những người vào phòng là sĩ quan hoặc điệp viên của Bộ An ninh hoặc Bộ Công an, hoặc nhân viên dọn phòng khách sạn bị mua chuộc hoặc ép buộc. Một vụ xâm nhập riêng biệt vào giữa năm 2026 đã nhắm vào một chuyên gia truyền thông tại Mỹ với cùng kỹ thuật. Việc nhắm vào hội nghị nông nghiệp phù hợp với các ưu tiên thu thập thông tin liên quan đến kế hoạch 5 năm của Trung Quốc.

Bài học cho doanh nghiệp Việt Nam

Mặc dù tình báo nhà nước Trung Quốc thường nhắm vào các mục tiêu chiến lược, nhưng các doanh nghiệp Việt Nam có hoạt động quốc tế hoặc tham gia hội nghị ở nước ngoài cũng cần cảnh giác. Đặc biệt là các công ty hoạt động trong lĩnh vực nông nghiệp công nghệ cao, viễn thông, năng lượng hoặc những ngành có liên hệ với chuỗi cung ứng toàn cầu — nơi có thể thu thập thông tin tình báo kinh tế có giá trị.

Lãnh đạo doanh nghiệp Việt thường có thói quen mang theo laptop công việc chứa dữ liệu nhạy cảm khi đi công tác, và hiếm khi kiểm tra cấu hình firmware trước chuyến đi. Đây là điểm yếu tương tự mà OVERCAST PANDA đã khai thác.

Các biện pháp kiểm soát đã có từ lâu nhưng bị lãng quên

"Đây là vấn đề có thể giải quyết được. Chỉ là giải pháp bất tiện, nên nhiều người không làm," Meyers chia sẻ.

CrowdStrike đã cung cấp khả năng phát hiện tấn công firmware và kiểm tra cài đặt BIOS qua cảm biến Falcon từ tháng 5 năm 2019, bao gồm tích hợp Dell SafeBIOS. Khả năng kiểm tra cài đặt BIOS liên quan đến bảo mật trên laptop mà giám đốc mang theo đã nằm trong nền tảng suốt bảy năm. Điều chỉnh nó cho các thiết bị du lịch là một quyết định, không phải là khoảng trống sản phẩm.

Các kiểm soát có thể làm giảm thiểu chiến dịch OVERCAST PANDA đều cũ và rẻ, mỗi cái thực hiện một vai trò khác nhau:

• Vô hiệu hóa khởi động từ ngoài trong UEFI loại bỏ vector tấn công.
• Mật khẩu quản trị BIOS đảm bảo nó luôn bị vô hiệu hóa.
• Xác thực trước khi khởi động cho phép môi trường khởi động lạ tải nhưng vẫn giữ ổ đĩa được mã hóa không thể đọc cho đến khi con người cung cấp PIN hoặc khóa.
• Giám sát firmware phát hiện hành vi can thiệp sau khi sự việc xảy ra.

"Đừng mang theo bất cứ thứ gì mà bạn không thoải mái khi giao cho cơ quan tình báo nước ngoài," Meyers khuyến nghị.

Ông tiết lộ đã sử dụng laptop và tài khoản email tạm thời khi đi công tác nước ngoài tại CrowdStrike, xóa sạch thiết bị khi trở về. Sự phơi nhiễm bắt đầu từ hải quan — quan chức có thể tịch thu thiết bị và buộc đăng nhập.

Vì sao các tổ chức vẫn ưu tiên mối đe dọa mạng hơn

Số vụ xâm nhập được CrowdStrike OverWatch theo dõi tăng khoảng 4% so với kỳ báo cáo trước, sau mức tăng 27% của năm trước — một sự chững lại mà CrowdStrike cho là do sự chuyển dịch sang các chiến dịch phức tạp, tốn nhiều tài nguyên hơn. Chiến dịch phòng khách sạn OVERCAST PANDA là một ví dụ.

Tuy nhiên, Meyers lo lắng về mối đe dọa mạng nhiều hơn. Khi được hỏi so sánh giữa chiến dịch phòng khách sạn của OVERCAST PANDA với vụ REVENANT SPIDER — một nhóm tội phạm mạng dùng AI để tấn công 17 nạn nhân bằng web shell tùy chỉnh trong 48 phút — ông chọn REVENANT SPIDER.

"Bạn không thể xâm nhập phòng khách sạn ở quy mô lớn. Bạn không thể xâm nhập các thiết bị vật lý ở quy mô lớn. Và ngay cả khi làm được, đó chỉ là một thiết bị. REVENANT SPIDER di chuyển với tốc độ đó và sử dụng AI trên toàn diện, đó là một mối đe dọa hoàn toàn khác, và tôi nghĩ nó đáng lo ngại hơn cho doanh nghiệp trung bình."

Tấn công tốc độ mạng được hỗ trợ bởi AI có thể mở rộng quy mô. Kỹ thuật xâm nhập vật lý thì không. Ngân sách bảo mật theo sau mối đe dọa tấn công nhiều máy nhất, và mối đe dọa khó phát hiện nhất trên một máy lại nhận được phần ít ỏi còn lại.

Nhưng các giám đốc tham dự hội nghị nông nghiệp ở Trung Quốc mùa xuân này là mục tiêu cụ thể của cơ quan tình báo nhà nước — một cơ quan đã chọn phương pháp chậm, khó mở rộng chính vì nó hiệu quả ở nơi tấn công qua mạng thất bại.

Hội nghị của bạn chính là mô hình mối đe dọa

Khi chúng ta bước vào mùa hội nghị công nghệ và kinh doanh, các giám đốc điều hành tại các hội nghị chính là mục tiêu của chiến dịch. Bảo mật runtime chỉ bắt đầu khi máy khởi động — vậy mà các nhà cung cấp bán giải pháp bảo vệ runtime đó cho những người tham dự mà laptop của họ có cùng khoảng trống như các nạn nhân.

Sự phân mảnh tổ chức là vấn đề thực sự. Công cụ AI agent security được giao cho một đội, cấu hình BIOS trên laptop du lịch thuộc về đội khác. Quyết định về việc giám đốc có mang máy tính truy cập hệ thống sản xuất đến các hội nghị quốc tế hay không thuộc về một nhóm khác nữa. Và khoản ngân sách cho bảo vệ mối đe dọa đám mây không liên quan gì đến chính sách thiết bị du lịch.

"Tôi đã nói chuyện với các công ty kiểu: chúng tôi sắp có cuộc họp hội đồng quản trị ở Thượng Hải, và tôi trả lời: tại sao bạn lại làm điều đó?" Meyers kể lại.

Những bước hành động cụ thể trước chuyến đi tiếp theo

Đối với các lãnh đạo an ninh thông tin tại Việt Nam, nếu tổ chức của bạn có giám đốc thường xuyên đi công tác quốc tế, đã đến lúc hành động:

1. Kiểm tra toàn bộ laptop của giám đốc về trạng thái khởi động USB. Nếu thiết bị có thể khởi động từ USB ngay bây giờ, nó có cùng khoảng trống mà OVERCAST PANDA đã khai thác. Các bước dưới đây áp dụng cho laptop Windows — nền tảng mà FlowCloud nhắm đến.

2. Buộc mã hóa toàn bộ ổ đĩa với xác thực trước khi khởi động. BitLocker chỉ với cấu hình TPM là điểm yếu đã được ghi nhận khi đối mặt với truy cập vật lý. Các nhà nghiên cứu SCRT đã lấy được volume master key từ bus LPC với mô-đun FPGA giá 49 USD vào năm 2021, và Dolos Group đã làm tương tự qua SPI cùng năm đó. OVERCAST PANDA ghi phần mềm gián điệp và trình kích hoạt vào phân vùng Windows, nghĩa là họ có quyền ghi — cho thấy các máy này hoặc không được mã hóa hoặc được bảo vệ bằng cấu hình mà họ đã vượt qua. Xác thực trước khi khởi động bằng PIN hoặc USB key buộc phải có bước con người trước khi bộ nhớ có thể đọc được.

3. Kiểm tra Secure Boot được bật và danh sách thu hồi hiện tại. Secure Boot xác thực chữ ký trên các thành phần khởi động và chặn hầu hết bootloader không được phép, nhưng để phương tiện ngoài khởi động được và các shim có chữ ký vẫn có thể mang mã vượt qua. ESET công bố phát hiện về 11 shim UEFI ký của Microsoft để đáng ngờ vào tháng 7/2026 cho phép mã không tin cậy chạy ở khởi động trên bất kỳ máy nào tin cậy chứng chỉ bên thứ ba của Microsoft. Microsoft đã thu hồi chúng trong bản cập nhật DBX ngày 9/6/2026, vì vậy laptop bỏ qua bản cập nhật đó vẫn tin tưởng chúng. Khóa thứ tự khởi động ở cấp UEFI, vô hiệu hóa menu khởi động một lần và đặt mật khẩu quản trị BIOS bao phủ cả tiện ích thiết lập và bất kỳ phím ghi đè khởi động nào.

4. Cấp thiết bị chỉ dùng cho du lịch cho các hội nghị quốc tế — không có quyền truy cập vào hệ thống sản xuất, không lưu thông tin xác thực cho các công cụ nội bộ và không có cấu hình VPN cố định.

"Nếu chúng có thể lấy được, chúng có thể sở hữu nó," Meyers nhấn mạnh, trích câu nói nổi tiếng từ DEF CON.

Falcon bắt được FlowCloud chỉ sau khi khởi động — thời điểm phơi nhiễm là những giờ giữa lúc ghi USB và lần đăng nhập tiếp theo, trong khi laptop nằm im và bị xâm nhập.

"Mua vài chiếc laptop và vài chiếc điện thoại cũng rẻ thôi," Meyers nói.

Các kiểm soát để đóng cửa sổ rủi ro đó chỉ là vài cài đặt firmware và một chiếc laptop dự phòng. Câu hỏi đặt ra là liệu có ai đã triển khai chúng hay chưa — trước khi quá muộn.