Siêu phần mềm gián điệp LightSpy mở rộng ra 13 quốc gia: Một đơn gà rán KFC đã 'phanh phui' nhà thầu Trung Quốc đứng sau

Ngày 5–6/8/2026, tại hội nghị Black Hat 2026, các nhà nghiên cứu tình báo đe dọa của Arctic Wolf là Dmitry Bestuzhev và Dmitry Melikov đã trình bày những phát hiện mới về LightSpy, một nền tảng gián điệp có liên hệ với Trung Quốc đã trải qua sự chuyển đổi ngoạn mục .

Từ Trung Quốc đại lục ra toàn cầu

LightSpy được phát hiện lần đầu vào năm 2018 và trước đây chỉ tập trung nhắm vào các mục tiêu trong lãnh thổ Trung Quốc. Nghiên cứu của Arctic Wolf cho thấy nó đã mở rộng ra các nạn nhân tại ít nhất 13 quốc gia, bao gồm cả Hoa Kỳ và nhiều quốc gia châu Âu, với một số nạn nhân có liên quan đến các quốc gia thành viên NATO .

Tiến hóa thành nền tảng gián điệp thương mại

LightSpy đã rũ bỏ danh tính ban đầu là một công cụ gián điệp do nhà nước bảo trợ và biến thành một nền tảng giám sát thương mại hoàn chỉnh. Các nhà nghiên cứu phát hiện nó nay có thương hiệu riêng, các gói giá khác nhau, hạ tầng thanh toán và thậm chí có cả môi trường dùng thử (demo) dành cho khách hàng tiềm năng . Nền tảng này được chào bán cho các khách hàng chính phủ, doanh nghiệp và quân đội .

Kiến trúc mô-đun, đa nền tảng

Phần mềm gián điệp này sử dụng một khung mô-đun cho phép nó xâm nhập vào nhiều loại thiết bị:

• Điện thoại thông minh (iOS và Android)
• Thiết bị của Apple (macOS)
• Máy chủ Linux
• PC Windows
• Router mạng — một hướng tấn công mới chưa từng được ghi nhận trước đây, bao gồm cả các router có liên quan đến các nước thành viên NATO

Bằng cách xâm nhập vào router, các nhà điều hành có thể quan sát toàn bộ mạng lưới thay vì chỉ các thiết bị riêng lẻ .

Khả năng đánh cắp dữ liệu và phá hủy mạnh mẽ

Các mô-đun của LightSpy có thể đánh cắp:

• Vị trí thiết bị
• Tin nhắn trò chuyện
• Bản ghi màn hình
• Mật khẩu
• Bản ghi âm và luồng camera

Nền tảng này cũng bao gồm chức năng xóa sạch thiết bị từ xa, cho phép các nhà điều hành 'vô hiệu hóa vĩnh viễn' các thiết bị bị xâm nhập từ xa .

Cơ sở hạ tầng toàn cầu: 117 máy chủ

Arctic Wolf đã xác định được ít nhất 117 máy chủ hỗ trợ hoạt động của LightSpy trên toàn thế giới .

Truy vết qua một đơn hàng KFC

Sai lầm về an ninh hoạt động nghiêm trọng nhất xảy ra khi một kỹ thuật viên vận hành LightSpy đã truy cập vào bảng điều khiển quản trị của chính phần mềm gián điệp để đặt một đơn hàng giao tận nơi của Kentucky Fried Chicken (KFC) bằng tên thật và địa chỉ văn phòng của họ . Sai lầm này đã cho phép các nhà nghiên cứu truy vết hoạt động đến một nhà thầu Trung Quốc cụ thể .

Arctic Wolf lưu ý rằng đơn hàng KFC được đặt thông qua chính hạ tầng thanh toán của phần mềm gián điệp, để lại một dấu vết kỹ thuật số kết nối trực tiếp người vận hành với hoạt động độc hại .

Hàm ý

Việc thương mại hóa LightSpy — bao gồm giá theo bậc và mô hình kinh doanh kiểu SaaS — cho thấy các công cụ giám sát liên quan đến nhà nước đang ngày càng được cung cấp dưới dạng sản phẩm đóng gói sẵn cho các chính phủ và quân đội trên toàn thế giới. Khả năng xâm nhập vào router càng làm leo thang rủi ro đối với an ninh quốc gia, vì các router bị xâm nhập có thể để lộ toàn bộ mạng lưới của chính phủ và quân đội .