Khi email “hóa đơn quá hạn” biến thành cổng mở cho VenomRAT: Bước nào trong chuỗi tấn công đáng lo nhất?