Nhận diện và phòng tránh mã độc mã hóa dữ liệu tống tiền

Mã độc tống tiền (ransomware) là phần mềm độc hại mã hóa dữ liệu của nạn nhân rồi đòi tiền chuộc để đổi lấy khóa giải mã. Nhiều nhóm tấn công hiện nay còn đánh cắp dữ liệu trước khi mã hóa và đe dọa công bố, gọi là tống tiền kép. Phòng tránh ransomware dựa trên việc đóng các con đường xâm nhập phổ biến, phát hiện sớm hành vi bất thường và có bản sao lưu không thể bị phá hủy. Bài viết giúp bạn nhận diện cách ransomware hoạt động và xây dựng phòng thủ phù hợp.

Ransomware vào hệ thống bằng cách nào

• Email lừa đảo: file đính kèm độc hại hoặc liên kết tải mã độc, thường giả dạng hóa đơn, thông báo giao hàng, văn bản từ cơ quan.
• Dịch vụ truy cập từ xa mở ra Internet: Remote Desktop với mật khẩu yếu, không có MFA, là cửa ngõ được khai thác nhiều.
• Lỗ hổng chưa vá: trên VPN, tường lửa, máy chủ web, phần mềm quản lý từ xa.
• Thông tin đăng nhập bị đánh cắp: mua bán trên thị trường ngầm hoặc thu thập qua mã độc đánh cắp thông tin.
• Phần mềm lậu, bẻ khóa: thường được cài kèm mã độc.
• Chuỗi cung ứng: nhà cung cấp dịch vụ hoặc phần mềm bị xâm phạm.

Vòng đời một cuộc tấn công

Hiểu các giai đoạn giúp nhận ra rằng bạn có nhiều cơ hội để ngăn chặn trước khi dữ liệu bị mã hóa:

1. Xâm nhập ban đầu qua một trong các con đường trên.
2. Thiết lập chỗ đứng: cài công cụ điều khiển từ xa, tạo tài khoản.
3. Leo thang đặc quyền: tìm cách chiếm tài khoản quản trị.
4. Di chuyển ngang: lan sang các máy chủ, máy trạm khác.
5. Tìm và phá hủy bản sao lưu.
6. Đánh cắp dữ liệu để tống tiền kép.
7. Kích hoạt mã hóa, thường vào ngoài giờ làm việc hoặc cuối tuần.

Giai đoạn 2 đến 6 có thể kéo dài nhiều ngày. Đây là cửa sổ để phát hiện.

Dấu hiệu cảnh báo sớm

Phòng tránh cho doanh nghiệp: các lớp ưu tiên

1. Đóng cửa ngõ truy cập từ xa

• Không mở Remote Desktop trực tiếp ra Internet.
• Truy cập từ xa qua VPN có MFA; xem bài cấu hình VPN cho nhân viên.
• Vá kịp thời thiết bị biên: VPN, tường lửa, máy chủ công khai.

2. Xác thực đa yếu tố mọi nơi quan trọng

Email, VPN, tài khoản quản trị, bảng điều khiển đám mây, phần mềm sao lưu.

3. Quản lý bản vá

Ưu tiên lỗ hổng đang bị khai thác thực tế và hệ thống tiếp xúc Internet.

4. Giảm đặc quyền

• Người dùng không làm việc với quyền quản trị máy.
• Tài khoản quản trị tách riêng, chỉ dùng khi cần.
• Hạn chế số người có quyền quản trị miền.

5. Bảo vệ thiết bị đầu cuối

Phần mềm phát hiện và phản hồi điểm cuối (EDR) giúp phát hiện hành vi đáng ngờ như mã hóa hàng loạt, xóa bản sao bóng. Bật tính năng chống can thiệp để kẻ tấn công khó tắt.

6. Phân đoạn mạng

Giới hạn khả năng lan rộng. Máy trạm không cần truy cập trực tiếp mọi máy chủ.

7. Sao lưu chống ransomware

• Ít nhất một bản ngoại tuyến hoặc bất biến.
• Tài khoản sao lưu tách biệt, có MFA.
• Kiểm tra khôi phục định kỳ.

Hướng dẫn chi tiết trong bài cấu hình sao lưu đám mây an toàn.

8. Đào tạo nhân viên

Nhận diện email lừa đảo, không bật macro trong tài liệu nhận qua email, báo cáo ngay khi lỡ mở file đáng ngờ.

Phòng tránh cho người dùng cá nhân

• Cập nhật hệ điều hành và ứng dụng.
• Không tải phần mềm lậu, crack.
• Cẩn thận với file đính kèm, đặc biệt file nén, file có đuôi lạ.
• Bật tính năng bảo vệ thư mục khỏi thay đổi trái phép nếu hệ điều hành hỗ trợ.
• Sao lưu ảnh, tài liệu quan trọng ra ổ ngoài và ngắt kết nối sau khi sao lưu, hoặc dùng dịch vụ đám mây có lịch sử phiên bản.

Nếu bị tấn công

1. Ngắt mạng các máy bị ảnh hưởng ngay.
2. Không xóa file hướng dẫn tiền chuộc, chụp lại làm bằng chứng.
3. Bảo vệ bản sao lưu còn lại.
4. Liên hệ đơn vị ứng cứu sự cố, cơ quan chức năng.
5. Kiểm tra trang của các tổ chức bảo mật uy tín xem có công cụ giải mã cho biến thể này không.
6. Làm sạch hệ thống trước khi khôi phục.

Quy trình đầy đủ được trình bày trong bài các bước phục hồi dữ liệu sau tấn công.

Diễn tập ứng phó ransomware

Kế hoạch trên giấy thường lộ ra nhiều lỗ hổng khi đưa vào thực tế. Một buổi diễn tập trên bàn giấy, nơi các bên liên quan cùng đi qua một kịch bản giả định, giúp trả lời những câu hỏi mà chỉ đến lúc bị tấn công mới nghĩ tới: ai có quyền quyết định ngắt toàn bộ mạng, liên lạc với nhau bằng kênh nào khi email không hoạt động, ai liên hệ với khách hàng, bản sao lưu nào được dùng để khôi phục trước, mất bao lâu để hệ thống bán hàng hoạt động lại.

Nên mời cả ban lãnh đạo, bộ phận IT, pháp chế, truyền thông và đại diện các bộ phận nghiệp vụ quan trọng. Sau buổi diễn tập, ghi lại những điểm chưa rõ và cập nhật kế hoạch. Lặp lại định kỳ, mỗi lần với một kịch bản khác, giúp tổ chức phản ứng bình tĩnh và nhanh hơn khi sự cố thật xảy ra.

Có nên trả tiền chuộc?

Nhiều cơ quan an ninh mạng khuyến cáo không trả. Trả tiền không đảm bảo nhận được công cụ giải mã hoạt động tốt, không đảm bảo dữ liệu bị đánh cắp sẽ không bị công bố, và tài trợ cho hoạt động tội phạm tiếp theo. Ngoài ra, việc trả tiền cho một số nhóm có thể vướng vào quy định pháp lý về trừng phạt. Cách tốt nhất là chuẩn bị đủ để không phải đối mặt với lựa chọn này.