Năm 2019 chứng kiến nhiều mối đe dọa ransomware làm tê liệt cả máy tính cá nhân lẫn toàn bộ tổ chức. Một trong những ransomware gây chú ý là PureLocker. Đây là malware có khả năng tấn công cả máy chủ sản xuất (production servers) chạy Windows và Linux.
PureLocker được đặt tên vì mã của nó được viết bằng ngôn ngữ lập trình PureBasic. Điều này mang来几个优势 so với các họ ransomware khác. Thứ nhất, PureBasic không quá phổ biến, nghĩa là nhiều giải pháp chống malware không đủ khả năng đối phó với mối đe dọa từ các file nhị phân PureBasic. Nói cách khác, nhiều antivirus bị giới hạn khi phát hiện chữ ký từ PureBasic.
Mặc dù mới lạ ở nhiều mặt, PureLocker vẫn sử dụng một số mã từ các họ ransomware đã biết như "more_eggs". More_eggs được bán theo mô hình MaaS trên dark web, nghĩa là các cuộc tấn công của PureLocker liên quan đến các nhóm tội phạm ngầm như Cobalt Group và FIN6 gang.
Malware PureLocker Làm Gì?
Chúng ta đã biết PureLocker khác biệt, nhưng nó hoạt động chính xác như thế nào? Ransomware này biết né việc hook API ở chế độ người dùng của các hàm NTDLL bằng cách tải một bản sao của "ntdll.dll" và giải quyết địa chỉ API từ đó. Chiêu bài né tránh này khiến antivirus khó chống lại malware vì hook API chính là cách antivirus xem các hàm được gọi bởi malware hoặc phần mềm khác.
Malware cũng ra lệnh cài đặt các thành phần PureLocker vào một tiện ích dòng lệnh Windows gọi là regrsrv32.exe mà không hiển thị hộp thoại nào. Khi được thực thi bởi regrsrv32.exe, malware xác minh năm và xác nhận phần mở rộng file là .DLL hoặc .OCX. Nó cũng kiểm tra xem người dùng có quyền quản trị không. Nếu bất kỳ xác minh nào thất bại, malware sẽ thoát lặng lẽ khỏi máy tính đã nhiễm như thể không có gì xảy ra, nhưng nếu mọi thứ ổn, file của nạn nhân sẽ được mã hóa bằng tổ hợp AES+RSA tiêu chuẩn. Phần mở rộng .CRI được thêm vào mỗi file bị mã hóa. File Shadow hoặc bản sao lưu Windows bị xóa trong quá trình nhiễm để bạn không thể khôi phục file.
Điều bất thường cuối cùng về PureLocker là thay vì hiển thị readme.txt yêu cầu tiền chuộc, nó cấp một địa chỉ email ẩn danh và được mã hóa liên kết kẻ tấn công với nạn nhân. Nếu đạt được thỏa thuận, đề nghị giải mã file sẽ được đưa ra.
Cách Gỡ Bỏ Ransomware PureLocker Khỏi Máy Tính
PureLocker là malware độc đáo, có thể ẩn mình trên máy tính lâu dài mà không bị phát hiện. Do đó, các tùy chọn gỡ bỏ bị hạn chế. Nhưng bất kể bạn có多么绝望,绝不应该考虑向幕后罪犯支付赎金。首先，这只会让你成为下一次的目标，因为你的支付意愿是维持网络犯罪分子动力的唯一因素。此外，考虑一下恶意软件创作者可能不会兑现收到赎金后解密文件的承诺，因为想想看，如果他们不守信用，会发生什么？悲哀的是，什么也不会发生。
Vậy nếu không trả tiền chuộc, bạn có thể làm gì để giải phóng máy tính khỏi PureLocker? Chúng tôi đề xuất chạy máy tính ở Chế độ An toàn có Mạng. Điều này cho phép truy cập tài nguyên mạng để tải giải pháp chống malware mạnh như Outbyte Antivirus.
Antivirus sẽ gỡ bỏ PureLocker và tất cả thành phần độc hại của nó.
Để vào Safe Mode with Networking trên Windows 7/Vista/XP:
- Vào Bắt đầu > Tắt máy > Khởi động lại > OK.
- Khi máy tính khởi động lại, nhấn F8 nhiều lần cho đến khi menu Tùy chọn Khởi động Nâng cao xuất hiện.
- Chọn Chế độ An toàn có Mạng bằng cách nhấn phím F5.
Safe Mode with Networking trên Windows 8 và 10:
- Giữ nút nguồn 10 giây để tắt máy.
- Nhấn nút nguồn lại để bật thiết bị.
- Lặp lại các bước trên cho đến khi thiết bị vào Môi trường Khôi phục Windows (winRE).
- Trên màn hình Chọn tùy chọn xuất hiện, chọn Khắc phục sự cố > Tùy chọn nâng cao > Cài đặt khởi动 > Khởi động lại.
- Sau khi máy tính khởi động lại, bạn sẽ thấy danh sách tùy chọn. Dùng phím mũi tên chọn Chế độ An toàn có Mạng.
Nếu tùy chọn Safe Mode with Networking không gỡ được PureLocker, bạn có thể lặp lại các bước trên nhưng lần này thay vì chọn Cài đặt khởi động, hãy chọn Khôi phục Hệ thống.
System Restore là quy trình khôi phục Windows cho phép hoàn nguyên thay đổi cài đặt và ứng dụng. Bạn có thể dùng nó để gỡ ứng dụng và phần mềm gây vấn đề.
Nếu PureLocker tấn công Mac của bạn, bạn có thể dùng Time Machine để khôi phục một số file, cài đặt và ứng dụng. Nhưng giống như System Restore, bản sao lưu Time Machine phải có sẵn trước khi bị nhiễm.
Nếu tất cả đều thất bại (cũng áp dụng cho Mac), hãy cân nhắc cài đặt phiên bản OS mới.
Bảo vệ máy tính khỏi nhiễm mới là nhiệm vụ quan trọng nhất. Dưới đây là một vài mẹo ngăn chặn malware như PureLocker xâm nhập tổ chức của bạn.
Cập Nhật Tất Cả Hệ Thống
Thật đáng tiếc một số tổ chức vẫn chạy Windows cũ như XP không còn nhận được bảo vệ chính thức từ Microsoft. Windows XP từng là sản phẩm tuyệt vời, nhưng thế giới đã tiến xa, và việc bám víu vào nó chỉ làm tăng cơ hội một trong nhiều lỗ hổng của nó bị dùng נגד你.
Cài Đặt Chống Malware
Bạn có giải pháp chống malware cao cấp trên máy tính? Nếu chưa, bạn nên có một cái, và khi làm vậy, cũng cân nhắc cài công cụ sửa PC như Outbyte PC Repair. Công cụ này sẽ liên tục quét sức khỏe PC, dọn dẹp không gian lưu trữ, sửa chữa registry hỏng hoặc corrupt, và tối ưu hiệu suất RAM.
Tạo Bản Sao Lưu File
Bạn nên có ổ đĩa vật lý lưu trữ một số file quan trọng nhất để phòng trường hợp malware như PureLocker tấn công hệ thống. Khi không có nguy cơ mất file, cuộc tấn công ransomware sẽ chỉ như mọi ngày khác trong văn phòng.
Hy vọng bài viết này giúp ích cho bạn trong việc đối phó với malware PureLocker. Nếu bạn có câu hỏi, góp ý hoặc bổ sung, hãy thoải mái làm ở phần bình luận bên dưới.