Ransomware Zeppelin là một loại ransomware mới xuất hiện vào cuối năm 2019. Người ta cho rằng nó là biến thể của ransomware Vega lockers nổi tiếng, trừ việc Zeppelin không nhắm vào máy tính tại Nga và Đông Âu mà tập trung tấn công hệ thống máy tính tại Mỹ và Châu Âu.
Có nhiều suy đoán rằng dù Zeppelin chia sẻ nhiều điểm tương đồng với Vega lockers, bao gồm mã độc, chúng khác nhau vì được viết bởi các nhóm khác nhau. Virus Zeppelin nhắm vào công ty IT và y tế ở khu vực khác. Nhưng giống như Vega lockers, Zeppelin được cho là một RaaS (Ransomware-as-a-service) có thể mua trên các diễn đàn hacker Nga trên dark web.
Cơ Chế Hoạt Động Của Zeppelin
Chưa rõ chính xác Zeppelin xâm nhập hệ thống như thế nào, nhưng các nhà nghiên cứu an ninh mạng tin rằng malware được phân phối qua máy chủ máy tính để bàn từ xa (remote desktop server). Nó thâm nhập mạng máy tính bằng cách khai thác lỗ hổng trong phần mềm đã cài đặt.
Khi đã xâm nhập thành công, Zeppelin kiểm tra thông tin nạn nhân để xem có phải mục tiêu đáng giá. Nếu có, nó bắt đầu cuộc tấn công bằng cách chấm dứt hoạt động của các server liên quan đến máy tính và cơ sở dữ liệu của nạn nhân. Nếu có bản sao lưu file, chúng cũng bị nhắm vào và trở nên không thể truy cập.
Zeppelin sau đó mã hóa tất cả file quan trọng của nạn nhân và yêu cầu trả tiền chuộc qua file readme.txt. Thông báo bắt đầu bằng: "Tất cả file, tài liệu, ảnh, cơ sở dữ liệu và file quan trọng khác của bạn đã bị mã hóa. Chỉ có một cách khôi phục file là mua khóa duy nhất..."
Thông báo cũng cung cấp địa chỉ email để liên hệ với tội phạm mạng. Nó cũng cảnh báo nạn nhân không cố gắng giải mã hoặc đổi tên file vì rủi ro mất file vĩnh viễn.
Các nhà nghiên cứu còn phát hiện Zeppelin payload builder, cho thấy thiết kế rất mới lạ, cho phép các đối tác Zeppelin xây dựng nhiều loại payload tùy mục tiêu. Payload có thể là .exe, .dll hoặc script .ps1. Mỗi loại khởi động một kiểu tấn công khác nhau.
Gỡ Bỏ Ransomware Zeppelin
Khi máy tính đã bị nhiễm ransomware, lựa chọn của bạn luôn bị hạn chế. Đầu tiên, không nên trả tiền chuộc vì không thể tin cậy tội phạm sẽ giải mã file sau đó. Không chỉ vậy, việc trả tiền chỉ khuyến khích họ tiếp tục hoạt động vì họ tin ai đó sẽ trả tiền.
Vậy nếu không trả tiền chuộc, bạn có thể làm gì trong quá trình gỡ virus Zeppelin?
Chế Độ An Toàn Có Mạng (Safe Mode with Networking)
Chế độ An toàn cho phép chạy máy tính ở phiên bản cơ bản chỉ bật ứng dụng và cài đặt cần thiết nhất. Khi ở Chế độ An toàn có Mạng, bạn có thể truy cập tài nguyên mạng như internet để tải giải pháp chống malware mạnh như Outbyte Antivirus. Antivirus sẽ giúp gỡ virus đã xâm nhập. Tuy nhiên, gỡ virus không có nghĩa là bạn sẽ khôi phục được file.
Cách vào Safe Mode with Networking trên Windows 7, Vista, XP:
- Khởi động lại máy tính và ngay lập tức bật nguồn. Nhấn F8 liên tục mỗi giây.
- Máy tính hiển thị thông tin phần cứng và chạy kiểm tra bộ nhớ trước khi trình đơn Tùy chọn Khởi động Nâng cao xuất hiện.
- Dùng phím mũi tên chọn Chế độ An toàn có Mạng.
Safe Mode with Networking trên Windows 10/11:
- Giữ nút nguồn 10 giây để tắt máy.
- Nhấn nút nguồn lại để bật.
- Khi Windows có dấu hiệu khởi động, nhấn nút nguồn lại để tắt. Lặp lại cho đến khi vào Môi trường Khôi phục Windows (winRE).
- Trên màn hình Chọn tùy chọn trong winRE, chọn Khắc phục sự cố > Tùy chọn nâng cao > Cài đặt khởi động > Khởi động lại.
- Sau khi thiết bị khởi động lại, dùng phím mũi tên chọn Chế độ An toàn có Mạng từ danh sách.
Bây giờ bạn đã vào Safe Mode with Networking trên Windows 10/11, có thể dùng tài nguyên mạng truy cập trang web học cách xử lý các mối đe dọa malware.
Khôi Phục Hệ Thống (System Restore)
System Restore là quy trình khôi phục Windows cho phép trả máy tính về trạng thái hoạt động trước đó bằng cách kích hoạt điểm khôi phục. System Restore chỉ hoạt động nếu máy tính đã có điểm khôi phục.
Để truy cập System Restore, làm theo các bước khởi động vào Safe Mode with Networking. Nhưng thay vì chọn Cài đặt khởi động, chọn Khôi phục Hệ thống. Trong quá trình System Restore, bạn sẽ được thông báo các ứng dụng và cài đặt sẽ không còn sau khi kích hoạt điểm khôi phục. Hãy đảm bảo virus bạn muốn gỡ nằm trong danh sách chương trình bị ảnh hưởng.
Còn làm gì nữa? Nếu mọi cố gắng gỡ file Zeppelin đều thất bại, bạn vẫn có "tùy chọn hạt nhân": đặt lại máy tính hoặc cài đặt lại Windows mới.
Zeppelin Malware Xâm Nhập Máy Tính Của Bạn Như Thế Nào?
Sau thảm họa nhiễm malware Zeppelin, mọi người thường tự hỏi malware xâm nhập như thế nào. Dưới đây là một vài manh mối:
Bảo Mật Lười Biếng (Sloppy Security)
Bạn có antivirus trên tất cả máy tính? Tổ chức có dùng xác thực hai yếu tố cho tất cả ứng dụng đối ngoại? Tất cả hệ thống và ứng dụng, bao gồm Windows OS, đã cập nhật? Bạn có bản sao lưu an toàn cho file quan trọng nhất? Đây là những câu hỏi bạn nên tự hỏi sau khi bị nhiễm. Chúng giúp xác định điểm yếu.
Thói Quen Lướt Web Kém (Poor Web Surfing Habits)
Nếu truy cập trang web đáng ngờ hoặc không an toàn, bạn rủi ro tải malware. Bạn thậm chí không cần click vào file, đôi khi malware tự động tải xuống.
Xử Lý Tệp Đính Kèm Email Kém (Poor Handling of Email Attachments)
Hầu hết malware lan qua chiến dịch phishing với email spam kèm link và tệp đính kèm độc hại. Trước khi phản hồi, hãy xác thực nguồn gốc.
Phần Mềm Phá Bản Quyền (Pirated Software)
Chúng ta đều muốn dùng miễn phí, nhưng mọi thứ đều có giá. Một số phần mềm miễn phí trên The Pirate Bay và các trang tương tự được chia sẻ bởi tội phạm mạng gói gọn virus trong gói cài đặt. Việc dùng các trang này cho phần mềm miễn phí có vẻ thông minh, nhưng hậu quả có thể khủng khiếp khi chúng tấn công.