Ransomware là gì? Dính ransomware phải làm gì?

Một trong những mối đe doạ phổ biến khiến nhiều quản trị viên hệ thống phải đau đầu chính là ransomware, dữ liệu của người dùng sẽ bị thao túng và tống tiền nếu thiết bị bị nhiễm loại phần mềm độc hại này. Cùng tìm hiểu thêm với Tothost về ransomware và những gì cần làm khi máy tính của bạn không may bị dính nhé!  

1. Ransomware là gì?

Ransomware là một loại phần mềm độc hại có khả năng mã hoá dữ liệu hoặc khoá quyền truy cập của người dùng. Nó sẽ yêu cầu mật khẩu để có thể giải mã. Nếu muốn lấy lại quyền truy cập hoặc dữ liệu bị mã hoá, người dùng sẽ phải trả cho hacker một khoản tiền chuộc. Hiểu đơn giản, đây là hình thức tống tiền dưới dạng mã độc/ phần mềm tống tiền.

2. Nguồn gốc của Ransomware

2.1. Hình thành

Lần đầu tiên ransomware được phát hiện tại Nga trong khoảng từ 2005 đến 2006 dưới hình dạng là biến thể của trojan với cái tên CRYZIP.A. Các chuyên gia phân tích dữ liệu phát hiện rằng khi trojan này xâm nhập máy tính, dữ liệu sẽ lập tức bị mã hoá và yêu cầu mật khẩu nếu muốn truy cập lại. Để có mật khẩu, người dùng sẽ phải thanh toán số tiền $300 như yêu cầu.

2.2. Phát triển

Ransomware ngày càng tinh vi khi ăn vào những tệp văn bản và bảng tính với định dạng như *.xl, *.doc, *.exe với vẻ ngoài trông như vô hại. Năm 2011, một loại ransomware xuất hiện là SMS Ransomware gửi thông báo yêu cầu người dùng liên lạc tới hacker qua số điện thoại đến khi họ thực hiện chuyển tiền theo yêu cầu.
Nguy hiểm hơn, phiên bản khác của ransomware tấn công vào MBR (Master Boot Record) của hệ điều hành máy chủ khiến nó không thể hoạt động được.

2.3. Lan rộng

Chỉ sau một thời gian ngắn kể từ khi được phát hiện, ransomware đã lan rộng khắp Châu Âu. Lần lượt các loại ransomware được phát tán và gây thiệt hại hàng triệu USD, vụ tấn công được ghi nhận ở châu Âu, Canada và Mỹ vào năm 2012 là đỉnh điểm của ransomware. Cho tới ngày nay thì ransomware vẫn có thể hiện diện ở đâu đó trong không gian mạng mặc dù bảo mật và an toàn đã phát triển.

3. Một số case ransomware nổi tiếng

3.1. WannaCry

Dẫn đầu trong danh sách đó là WannaCry, loại mã độc đã tạo ra một cơn sốt toàn cầu vào năm 2017. Nó tận dụng những lỗ hổng trong hệ điều hành của Microsoft, nhanh chóng khai thác và tạo ra sự hoang mang lớn. Và thực sự loại ransomware này đã đánh đổ những hệ thống máy tính khác nhau trên cùng một mạng, tạo ra một đợt tấn công ảnh hưởng đến hơn 260.000 máy tính trên 117 quốc gia, bao gồm cả Việt Nam. Thiệt hại lên đến hàng trăm triệu USD, để lại một vết thương lớn trong cộng đồng công nghệ toàn cầu.

Sau quá trình xử lý, chính phủ Anh, Mỹ và cả tập đoàn Microsoft đã đưa ra cáo buộc chống lại Triều Tiên, cho rằng nước này là thủ phạm chủ mưu đằng sau những cuộc tấn công đầy quy mô này. 

3.2. GandCrab

Tháng 1/2018, một mã độc được phát tán qua các quảng cáo đã điều hướng người dùng tới các trang chứa mã độc hoặc email. Loại này mang tên GandCrab. Để có thể xoá bỏ nó thì người dùng phải cài đặt trình duyệt Thor và thực hiện thanh toán bằng tiền ảo như bitcoin với trị giá từ $200 đến $1200 tuỳ theo số lượng tệp bị mã hoá.
Đến khoảng cuối năm 2018, có đến hơn 3900 máy tính nhiễm và bị tống tiền ở Việt Nam bởi loại ransomware này.

3.3. NotPetya

NotPetya nhắm vào lỗ hổng giống như WannaCry để nhanh chóng lan truyền yêu cầu thanh toán bằng Bitcoin để chuộc dữ liệu. Nó có thể tự lây lan từ máy tính náy sang máy tính khác, từ dữ liệu này sang dữ liệu khác. Một số đã phân loại nó là một loại wiper vì NotPetya không thể hoàn nguyên các thay đổi của mình, phá huỷ ổ cứng của nạn nhân và khiến hệ thống mục tiêu không thể khôi phục được.

3.4. Bad Rabbit

Sự xuất hiện của Bad Rabbit – được coi là một người họ hàng của NotPetya, sử dụng mã và khai thác tương tự để lây lan, gây ra đợt tấn công an ninh mạng lớn thứ 3 kể từ 2017. Bad Rabbit rõ ràng nhắm vào các công ty truyền thông Nga và Ukraine. Khác với NotPetya, Bad Rabbit cho phép giải mã nếu số tiền chuộc được thanh toán. Hầu hết các trường hợp cho thấy nó đã lây lan qua một bản cập nhật giả mạo của Adobe Flash player đã bị hack.

4. Phân loại Ransomware

4.1. Ransomware mã hóa (Encrypting)

Encrypting ransomware nổi bật với khả năng mã hóa dữ liệu của người dùng, bao gồm cả tệp tin và thư mục. Được biết đến dưới cái tên khác là Crypto Ransomware.
Khi nó xâm nhập vào máy tính của bạn, nó sẽ tự động kết nối với máy chủ của kẻ tấn công, tạo ra hai loại khóa – một là khóa công khai để mã hóa các tệp của bạn và một là khóa riêng được giữ bởi máy chủ của hacker, dùng để giải mã. Các tệp này sẽ bị thay đổi đuôi thành một định dạng cụ thể và thông báo lỗi khi bạn cố gắng mở chúng.
Sau khi dữ liệu đã được mã hóa, một thông báo sẽ được hiển thị trực tiếp trên máy tính của bạn, báo về việc bạn đã bị tấn công và phải trả tiền chuộc để khôi phục lại dữ liệu của mình. 
Trong một số trường hợp, kẻ tấn công có thể tăng áp lực bằng cách đặt hạn  cho việc thanh toán. Sau khi hạn chót đó hết, khóa giải mã tệp sẽ bị hủy hoặc mức tiền chuộc có thể tăng lên.

4.2. Ransomware không mã hóa (Non-encrypting)

Non-encrypting ransomware, hay còn gọi là Locker, là một dạng phần mềm tống tiền không mã hóa tệp của nạn nhân. Thay vào đó, nó khóa và ngăn chặn người dùng khỏi việc truy cập vào thiết bị. Nạn nhân sẽ gặp khó khăn khi thực hiện bất kỳ thao tác nào trên máy tính, ngoại trừ việc bật hoặc tắt màn hình. Màn hình hiển thị thông báo hướng dẫn chi tiết về cách thanh toán tiền chuộc để khôi phục quyền truy cập và sử dụng lại thiết bị của mình.

4.3. Ransomware công khai dữ liệu (Doxware – Leakware)

Một số loại ransomware đe dọa công khai dữ liệu của nạn nhân trên mạng nếu họ không thanh toán tiền chuộc. Nhiều người thường lưu trữ các tệp nhạy cảm hoặc ảnh cá nhân trên máy tính, vì vậy khi bị đe dọa như vậy, họ thường cảm thấy hoảng loạn và sẵn lòng trả tiền chuộc cho hacker. Loại ransomware này thường được biết đến với tên gọi leakware hoặc doxware.

5. Cách ransomware xâm nhập vào máy tính của bạn

Máy tính có thể nhiễm ransomware trong nhiều tình huống khác nhau. Điều này có thể xảy ra khi người dùng:

• Sử dụng phần mềm crack không rõ nguồn gốc.
• Click vào file đính kèm trong email, thường là các tệp word, PDF.
• Click vào các quảng cáo chứa mã độc tống tiền.
• Truy cập vào các trang web chứa nội dung đồi trụy, không lành mạnh.
• Truy cập vào các trang web giả mạo.

Còn nhiều cách khác mà hacker sáng tạo và cải tiến theo thời gian để lây nhiễm ransomware. Nó sẽ mã hoá các tệp dữ liệu thành các đuôi có kí tự như *.Doc, *.docm hay *.cerber – thực tế chúng là các file thực thi mã (.exe) ngay sau khi người dùng click vào chúng, file sẽ chạy ngầm trên máy tính. Sẽ không có thông báo nào xuất hiện do đó việc phát hiện nó trở nên khó khăn. 

6. Dính ransomware phải làm gì?

Hậu quả từ ransomware là ngay lập tức. Phần mềm độc hại hiển thị một thông báo đến người sử dụng với hướng dẫn thanh toán và thông tin về tình trạng của các tệp dữ liệu. Ransomware có thể lan truyền để quét các vị trí khác trên mạng để tìm kiếm các tệp tin quan trọng. Bạn có thể thực hiện một số bước sau: 

• Xác định hệ thống nào bị ảnh hưởng. Bạn phải cô lập các hệ thống để chúng không thể ảnh hưởng đến phần còn lại của môi trường. Bước này là một phần của việc kiểm soát để giảm thiểu thiệt hại cho môi trường.
• Ngắt kết nối các hệ thống và tắt nguồn nếu cần thiết. Ransomware lan truyền nhanh chóng trên mạng, vì vậy mọi hệ thống phải được ngắt kết nối bằng cách tắt truy cập mạng hoặc tắt nguồn điện.
• Ưu tiên khôi phục hệ thống.Đảm bảo rằng những hệ thống quan trọng nhất sẽ được trả về trạng thái bình thường đầu tiên. 
• Xoá bỏ mối đe dọa khỏi mạng. Kẻ tấn công có thể sử dụng backdoor nên cần truy cập vào các bản ghi nhật ký (log) để thực hiện phân tích nguyên nhân gốc, xác định lỗ hổng và tất cả các hệ thống bị ảnh hưởng.
• Nạn nhân của ransomware có thể là mục tiêu cho cuộc tấn công thứ hai. Những lỗ hổng không được phát hiện có thể bị tận dụng một lần nữa.

7. Có nên trả tiền chuộc cho hacker?

Câu trả lời tất nhiên là không. Vì không có gì chắc chắn rằng sau khi nhận được tiền hacker sẽ cung cấp cho bạn mật khẩu cũng như sự đảm bảo cho dữ liệu của bạn. Thậm chí chúng có thể tiếp tục lừa bạn để thu được nhiều tiền chuộc hơn.

Kết luận

Như vậy bạn đã có cái nhìn tổng quan về Ransomware cùng những thiệt hại mà nó gây ra. Mong rằng với những thông tin trên sẽ giúp ích cho bạn khi gặp phải những vấn đề rắc rối từ ransomware. Bạn có thể đọc thêm về ransomware: