Phobos là ransomware mã hóa file bằng AES 256-bit, yêu cầu tiền chuộc Bitcoin. Phát hiện đầu tiên 2019, do cùng nhóm hacker với Dharma ransomware. Lây lan chủ yếu qua Remote Desktop Protocol (RDP) bị hack.
Cơ chế mã hóa
Định dạng file sau mã hóa: <tên gốc>.id[<victim ID>-<version ID>][<email hacker>].<phần mở rộng>. Phobos mã hóa nhiều loại file, kể cả file thực thi (.exe).
Quy trình tấn công
- Khai thác RDP yếu (brute-force, credential reuse).
- Trước khi mã hóa, kill các tiến trình cản cản (database, Office, email, backup...):
sqlservr.exe, winword.exe, outlook.exe, mysqld.exe, vss, veeam...(danh sách đầy đủ trong bài). - Mã hóa file, thêm đuôi
.phobos. - Tạo
readme.txtvới địa chỉ thanh toán dark web, tiền chuộc lên tới $3000.
Phobos và Dharma chia sẻ cùng ghi chú tống tiền (font, văn bản) – bằng chứng cùng một nhóm tác giả.
Cách loại bỏ
- Chạy anti-malware trên Safe Mode with Networking (tắt autostart, giải phóng tài nguyên cho quét).
- Phobos tạo persistence qua
%APPDATA%và Startup folder, thêm registry autostart – Safe Mode vô hiệu hóa chúng. - Dùng PC repair tool dọn dẹp, sửa registry.
- Không liên hệ hacker, không trả tiền – không đảm bảo giải mã, khuyến khích tội phạm.
Phòng tránh
- Doanh nghiệp dùng RDP: review/disable RDP không cần thiết, enforce mật khẩu mạnh + 2FA.
- Chiến lược an ninh mạng thống nhất cho toàn tổ chức.