FBI triệt phá mạng lưới 'Laptop Farm' của nhóm tin tặc FAMOUS CHOLLIMA

• Chiến dịch triệt phá: FBI đã vô hiệu hóa thành công hạ tầng 'laptop farm' của nhóm FAMOUS CHOLLIMA vào cuối tháng 9/2026.
• Phương thức hoạt động: Tin tặc sử dụng danh tính giả để ứng tuyển vào các công ty Mỹ, sau đó điều khiển máy tính từ xa thông qua các thiết bị đặt tại Mỹ để vượt qua kiểm soát vị trí.
• Phạm vi ảnh hưởng: Hàng chục tổ chức trong các lĩnh vực trọng yếu như hàng không vũ trụ, năng lượng, tài chính, quốc phòng và công nghệ đã bị nhắm mục tiêu.
• Khuyến nghị: Các doanh nghiệp cần tăng cường kiểm soát quy trình tuyển dụng từ xa và giám sát chặt chẽ các công cụ truy cập từ xa (RAT) không rõ nguồn gốc.

Vào tháng 9/2026, Cục Điều tra Liên bang Mỹ (FBI) đã thực hiện một chiến dịch quy mô lớn nhằm triệt phá các 'trang trại máy tính' (laptop farms) được vận hành bởi nhóm tin tặc FAMOUS CHOLLIMA. Theo báo cáo từ các chuyên gia an ninh mạng tại CrowdStrike, đây là một phần trong nỗ lực rộng lớn hơn nhằm cắt đứt mạng lưới hỗ trợ nội địa của nhóm này, vốn đóng vai trò then chốt trong việc giúp các nhân viên giả danh xâm nhập vào hệ thống của các doanh nghiệp Mỹ.

Cơ chế vận hành của mạng lưới Laptop Farm

Chiến lược của FAMOUS CHOLLIMA dựa trên một lỗ hổng logic trong quy trình tuyển dụng từ xa. Khi một cá nhân được thuê dưới danh tính giả, việc nhận máy tính xách tay của công ty tại nước ngoài thường gây ra sự nghi ngờ. Để giải quyết vấn đề này, các đối tượng hỗ trợ tại địa phương (local facilitators) đã cung cấp địa chỉ cư trú và thiết bị cần thiết để làm cho các nhân viên ở nước ngoài trông giống như đang làm việc tại Mỹ.

Các kỹ thuật cụ thể mà nhóm này áp dụng bao gồm:

• Giả mạo báo cáo mất cắp: Tin tặc báo cáo giả với cảnh sát rằng máy tính đã bị mất để yêu cầu công ty gửi thiết bị thay thế đến địa chỉ của 'trang trại'.
• Điều hướng giao hàng: Thay đổi địa chỉ nhận hàng hoặc luân chuyển qua nhiều địa chỉ cư trú để che giấu điểm đến cuối cùng của thiết bị.
• Lạm dụng công ty tuyển dụng: Sử dụng các công ty môi giới IT làm trung gian để thiết bị của khách hàng được chuyển đến trang trại mà không bị phát hiện.

Khi máy tính đến nơi, người hỗ trợ tại địa phương sẽ cài đặt thêm các phần cứng và phần mềm điều khiển từ xa. Thiết bị vật lý vẫn nằm tại Mỹ, trong khi tin tặc điều khiển nó từ nước ngoài. Điều này giúp chúng vượt qua các bài kiểm tra vị trí địa lý (geolocation checks), quản lý thiết bị của nhà tuyển dụng và hoàn tất các thủ tục xác minh tài chính cần thiết để nhận lương.

Kỹ thuật né tránh và thách thức trong phát hiện

Kể từ tháng 5/2026, các nhà nghiên cứu đã quan sát thấy FAMOUS CHOLLIMA thực hiện các kỹ thuật spoofing (giả mạo) mã định danh thiết bị. Đáng chú ý, nhóm này đã sử dụng các thiết bị phần cứng như thẻ ghi hình (video capture card) để giả mạo thành webcam, nhằm đánh lừa các hệ thống kiểm tra bảo mật của doanh nghiệp.

⚠️ Cảnh báo quan trọng: Việc phát hiện các công cụ như Astrill VPN, AnyDesk, OBS Studio hoặc PiKVM trong môi trường doanh nghiệp không mặc định là dấu hiệu xâm nhập. Tuy nhiên, nếu chúng xuất hiện cùng với các bất thường về danh tính hoặc địa chỉ giao hàng, đội ngũ SOC cần lập tức tiến hành điều tra chuyên sâu.

Dưới đây là bảng tổng hợp các chỉ số IOCs và dấu hiệu nhận biết mà các tổ chức cần lưu ý:

Khuyến nghị phòng thủ và săn tìm mối đe dọa

Để đối phó với các chiến dịch tinh vi như của FAMOUS CHOLLIMA, các tổ chức cần áp dụng các biện pháp hardening quy trình tuyển dụng và giám sát thiết bị. Việc chỉ dựa vào các công cụ EDR là không đủ nếu quy trình xác thực danh tính ban đầu bị thỏa hiệp.

• Kiểm tra chéo dữ liệu: Thực hiện đối soát số điện thoại, email, tài khoản ngân hàng và nội dung sơ yếu lý lịch trên các hồ sơ ứng tuyển khác nhau để phát hiện sự trùng lặp.
• Giám sát hành vi đăng nhập: Thiết lập cảnh báo cho các phiên đăng nhập có vị trí địa lý không nhất quán với nơi cư trú đã khai báo của nhân viên.
• Xác minh danh tính video: Kiểm tra kỹ lưỡng sự khác biệt giữa tài liệu định danh và hình ảnh thực tế trong các buổi phỏng vấn trực tuyến.
• Đánh giá thiết bị: Thực hiện kiểm tra định kỳ các thiết bị ngoại vi được kết nối với máy tính công ty, đặc biệt là các thiết bị có khả năng can thiệp vào luồng video hoặc đầu vào hệ thống.

Mặc dù chiến dịch triệt phá của FBI đã làm gián đoạn đáng kể hạ tầng của FAMOUS CHOLLIMA, các chuyên gia cảnh báo rằng nhóm này có khả năng thích nghi cao và sẽ sớm tái thiết lập mạng lưới. Do đó, việc duy trì cảnh giác và cập nhật liên tục các quy trình kiểm soát truy cập là yêu cầu bắt buộc đối với mọi doanh nghiệp trong môi trường làm việc từ xa hiện nay. Tham khảo thêm thông tin chi tiết về các kỹ thuật tấn công tại MITRE ATT&CK để xây dựng chiến lược phòng thủ chủ động.