Jaff ransomware do botnet Necurs phân phối là một ransomware được tải lên máy tính dễ bị tấn công. Thường được phân phối qua file PDF đáng ngờ chứa file thực thi .docm nhúng với macro độc hại. Một khi đã trong máy nạn nhân, ransomware sẽ quét tìm các loại file xác định trước, và mã hóa chúng bằng mã hóa bất đối xứng (asymmetric encryption) — nghĩa là cần khóa đặc biệt để giải mã từng file riêng lẻ.
Jaff ransomware được phát hành năm 2017, gần như cùng lúc WannaCry đang gây hoang mang toàn cầu. Và giống như WannaCry, Jaff malware đã nhiễm hàng nghìn máy tính trên toàn thế giới.
Jaff Ransomware Có Thể Làm Gì?
Quy trình nhiễm Jaff bắt đầu khi nạn nhân chạy macro trên tài liệu Microsoft Word DOCM bị nhiễm. Một khi vào máy, Jaff malware sẽ tìm file khớp với 424 đuôi mở rộng file cụ thể và mã hóa chúng. Sau đó nó thêm đuôi .jaff vào mọi file bị mã hóa — ví dụ: myimage.jpg → myimage.jpg.jaff.
Sau khi mã hóa xong, malware để lại ghi chú chuộc tiền chỉ số tiền chuộc (2 Bitcoin) và địa chỉ gửi tiền. Các nhà nghiên cứu an ninh mạng nhận thấy tác giả Jaff đã sao chép mã yêu cầu thanh toán từ ransomware nổi tiếng khác tên Locky.
Cách Gỡ Bỏ Jaff Ransomware
Gỡ Jaff ransomware không phải "dạo công viên" vì nó dùng kỹ thuật ẩn thân khiến anti-malware khó phát hiện cho đến khi quá muộn.
Ví dụ: sau khi tải file mã độc, Jaff bắt đầu giải mã chính mã độc của nó và dùng routine chuyển hướng mã (code redirection) để kéo dài thời gian anti-malware phân tích mã độc. Nó đạt được điều này bằng cách chèn nhiều "rác code" không tham gia thực thi. Ngay cả khi anti-malware phân tích xong mã độc, vẫn đối mặt khó khăn xác định tên API mà Jaff dùng, vì Jaff dùng kỹ thuật hashing để ẩn API.
May mắn là Microsoft đã chia sẻ các kỹ thuật ẩn thân này với đối tác bảo mật, nghĩa là tất cả bạn cần để gỡ Jaff là giải pháp chống mã độc mạnh như Outbyte Anti-Malware.
Để cô lập mã độc, bạn cần chạy Windows ở Safe Mode with Networking. Safe Mode là trạng thái Windows cơ bản chạy tối thiểu app/cài đặt, rất tốt cho troubleshooting.
Cách boot Windows PC vào Safe Mode with Networking:
- Nhấn phím Windows + I để mở Settings.
- Trên app Settings, vào Update & Recovery.
- Dưới Advanced Startup, chọn Restart now.
- Trên màn hình Choose an Option sau khi máy khởi động lại, chọn Troubleshoot > Advanced options > Startup Settings > Restart.
- Sau khi máy khởi động lại lần nữa, nhấn phím F5 chọn Safe Mode with Networking.
Safe Mode with Networking cho phép truy cập tài nguyên mạng (internet) để tải công cụ tiện ích hoặc tìm hiểu thêm về quy trình gỡ Jaff.
Sau khi anti-malware xử lý xong virus, bạn cần dọn dẹp máy với công cụ sửa chữa PC. Công cụ này sẽ xóa file rác, sửa registry hỏng, và cải thiện hiệu suất tổng thể. Nếu dùng Mac, tương đương là Outbyte macAries.
Tùy Chọn Khôi Phục
Sau khi gỡ mã độc và dọn dẹp máy, đã đến lúc tận dụng các tùy chọn khôi phục Windows.
Các tùy chọn: Startup Repair, Command Prompt, System Image Recovery, System Restore, Go back to previous version, Refresh this PC, Reset this PC. Bài viết sẽ hướng dẫn 2 trong số này.
System Restore
System Restore là tùy chọn khôi phục Windows cho phép undo mọi thay đổi file hệ thống quá một điểm khôi phục nhất định. Nghĩa là bạn có thể dùng nó để gỡ app hoặc chương trình gây sự cố, kể cả mã độc và phụ thuộc của chúng.
Các bước truy cập System Restore:
- Gõ "create a restore point" vào ô tìm kiếm Windows.
- Nhấn kết quả đầu tiên → app System Properties.
- Tab System Protection, nhấn System Restore.
- Chọn điểm khôi phục từ danh sách. Nếu không có, cân nhắc tùy chọn khôi phục khác.
- Làm theo hướng dẫn trên màn hình.
Reset This PC
Tùy chọn Reset This PC cho phép giữ bản sao file, nhưng trong trường hợp này không cần vì file đã bị Jaff mã hóa.
Các bước reset PC:
- Giữ phím Windows + I để mở Settings.
- Nhấn Update & Recovery > Recovery.
- Dưới tùy chọn Remove everything and reinstall Windows nhấn Get Started.
- Làm theo hướng dẫn trên màn hình.
Nếu làm theo các bước trên, bắt đầu từ tải antivirus premium, bạn sẽ hoàn thành quy trình gỡ Jaff ransomware thành công.
Một số người thắc mắc có đáng trả tiền chuộc không. Dù bạn có quyền trả, chúng tôi không khuyến khích — nó chỉ khuyến khích tội phạm tạo ransomware mạnh hơn. Không nói đến không đảm bảo bạn lấy lại file sau khi trả tiền (có trường hợp tội phạm im lặng sau khi nhận tiền).
Thay vào đó, chúng tôi khuyên bạn: giữ bản sao lưu file, tốt nhất trên cloud — vậy ngay cả khi bị tấn công ransomware dữ dội, bạn không phải mất gì vì file vẫn trong tầm tay.
Cũng đừng mở file đính kèm từ nguồn lạ. Tốt nhất xác thực email lạ that偶尔出现在你的收件箱中。