Ransomware là mã độc tồi tệ: mã hóa dữ liệu quan trọng (kể cả backup), yêu cầu tiền chuộc Bitcoin, không đảm bảo giải mã, file có thể hỏng. Năm 2019, tấn công ransomware tăng 41% (Emsisoft), ảnh hưởng ~1000 tổ chức Mỹ. Dự báo 2021: tấn công mỗi 11 giây.
Đầu năm 2020, Ragnar Locker tấn công EDP (Điện lực Bồ Đào Nha), yêu cầu 1.580 BTC (~$11 triệu).
Ragnar Locker là gì?
- Mã hóa file + kill ứng dụng MSP: ConnectWise, Kaseya, dịch vụ Windows.
- Đổi tên file:
A.jpg→A.jpg.ragnar_0DE48AAB. - Tạo ghi chú tống tiền:
RGNR_0DE48AAB.txt. - Chỉ chạy trên Windows, nhắm người nói tiếng Anh.
- Phát hiện 12/2019, tấn công EDP là tấn công có kế hoạch kỹ lưỡng.
Ghi chú tống tiền (tóm tắt)
- Mạng bị xâm nhập, file/backup bị khóa, chỉ hacker giải mã được.
- Yêu cầu Bitcoin (ví BTC, số tiền tùy mục tiêu: $200k-$600k, EDP: $11M).
- Liên hệ qua TOX messenger (qTOX), email dự phòng.
- Đe dọa công khai dữ liệu nhạy cảm (EDP: 10TB) nếu không trả.
- Cảnh báo: không dùng tool giải mã thứ 3, không cài lại OS, key chỉ lưu trên server hacker.
Cơ chế tấn công
- Lây lan qua công cụ MSP (ConnectWise) – kỹ thuật giống Sodinokibi.
- Xâm nhập qua RDP yếu, dùng PowerShell/Pastebin tải payload thực thi ransomware.
- Nhắm kill tiến trình MSP: vss, sql, veeam, backup, connectwise, kaseya, sophos...
- Đánh cắp file lên server trước khi mã hóa (double extortion).
- Kiểm tra ngôn ngữ Windows: nếu là tiếng Nga/cũ USSR → tự hủy (không mã hóa).
- Mã hóa RSA-2048, bỏ qua file hệ thống, trình duyệt, thư mục hệ thống.
- Thêm marker "RAGNAR" cuối file mã hóa.
Cách loại bỏ
- Kiểm tra file/backup đã mã hóa chưa.
- Không trả tiền – không đảm bảo key, dữ liệu vẫn có thể rò rỉ, hacker tiếp tục tống tiền.
- Dùng anti-malware quét, xóa mã độc. Gỡ app/extension đáng ngờ.
- Tìm tool giải mã: Avast, Kaspersky, các hãng bảo mật khác.
Phòng tránh
- Chính sách mật khẩu mạnh + MFA/2FA.
- Khóa máy khi rời chỗ (Win+L).
- Kế hoạch backup & recovery: lưu critical data ngoại tuyến/đám mây, test định kỳ.
- Cập nhật hệ thống, vá lỗ hổng.
- Cảnh giác phishing: không click link lạ, quét attachment trước khi mở.
- Cài security software mạnh, cập nhật database threat.