Đây là phát hiện mới từ các chuyên gia của nhóm Nghiên cứu và phân tích toàn cầu (GReAT) thuộc Kaspersky. Các mục tiêu bao gồm một nhà cung cấp dịch vụ công nghệ thông tin tại Việt Nam, một cơ quan chính phủ ở Philippines, một tổ chức tài chính tại El Salvador cùng nhiều người dùng cá nhân khác tại ba quốc gia này. Nhóm tấn công đã triển khai ít nhất ba chuỗi lây nhiễm khác nhau, trong đó hai chuỗi chưa từng được ghi nhận trước đây.
Trong quá trình theo dõi, các chuyên gia của Kaspersky đã nhận thấy nhóm tin tặc liên tục thay đổi và nâng cấp bộ công cụ tấn công. Từ tháng 7 đến tháng 10/2025, mã độc, hạ tầng máy chủ điều khiển (C&C) và cả phương thức phát tán được thay đổi gần như mỗi tháng, cho thấy mức độ đầu tư và khả năng thích nghi rất cao của kẻ tấn công. Vì vậy, chuỗi tấn công đã được công bố trước đây thực tế mới chỉ là một phần của một chiến dịch dài hơi và phức tạp hơn rất nhiều.
Đến ngày 2/2/2026, đội ngũ phát triển Notepad++ xác nhận rằng, hạ tầng cập nhật phần mềm đã bị xâm phạm do sự cố liên quan đến nhà cung cấp dịch vụ lưu trữ. Tuy nhiên, phần lớn các báo cáo đã công bố trước đó chỉ tập trung vào những mẫu mã độc xuất hiện trong tháng 10/2025. Điều này đồng nghĩa với việc nhiều tổ chức đã bỏ lỡ các chỉ số xâm nhập (IoC) hoàn toàn khác từng được sử dụng trong suốt giai đoạn từ tháng 7 đến tháng 9.
GReAT cho biết, mỗi chuỗi tấn công sử dụng địa chỉ IP, tên miền và cơ chế kích hoạt mã độc khác nhau. Do đó, các tổ chức chỉ rà soát hệ thống dựa trên bộ chỉ số xâm nhập (IoC) được ghi nhận trong tháng 10/2025 có thể đã bỏ sót các đợt lây nhiễm trước đó.
Ông Georgy Kucherin, chuyên gia bảo mật tại GReAT thuộc Kaspersky, nhận định: “Ngay cả khi đối chiếu hệ thống với các chỉ số xâm nhập (IoC) và không phát hiện điều gì bất thường, các đội ngũ bảo mật cũng không nên chủ quan rằng hệ thống tổ chức đã an toàn. Hạ tầng mà nhóm tấn công sử dụng trong giai đoạn từ tháng 7 đến tháng 9 khác biệt hoàn toàn, từ địa chỉ IP, tên miền cho tới mã hash của các tệp tin. Với việc luân phiên thay đổi công cụ như vậy, chúng tôi không thể loại trừ khả năng vẫn còn những chuỗi tấn công khác chưa được phát hiện”.
Kaspersky cho biết các giải pháp của hãng đã phát hiện và ngăn chặn toàn bộ các cuộc tấn công được xác định tại thời điểm diễn ra. Nhóm GReAT đã công bố đầy đủ danh sách IoC, gồm sáu mã hash của trình cập nhật độc hại, 14 URL máy chủ điều khiển (C&C) và tám mã hash tệp tin độc hại chưa từng được ghi nhận trước đó trên Securelist.
