Nefilim là ransomware mới xuất hiện cuối 02/2020 (BleepingComputer). Mã nguồn có chữ ký cho thấy là phiên bản nâng cấp của Nemty 2.5, nhưng khác biệt:
- Liên lạc qua email (không dùng Tor payment site).
- Bỏ qua mô hình RaaS (Ransomware-as-a-Service) – đặc trưng của Nemty.
- Chưa xác định cùng nhóm tác giả với Nemty.
Cơ chế hoạt động
- Lây lan qua Remote Desktop Services exposed (RDP công khai).
- Kết hợp AES-128 (mã hóa file) + RSA-2048 (mã hóa khóa AES). Khóa AES được mã hóa bằng public key RSA nhúng trong file thực thi, chỉ private key của hacker mới giải được.
- Thêm đuôi
.NEFILIMvà marker "NEFILIM" vào file mã hóa. Ví dụ:state.doc→state.doc.NEFILIM. - Tạo ghi chú
NEFILIM-DECRYPT.txtvới nhiều email liên hệ, đe dọa rò rỉ dữ liệu sau 7 ngày.
Có nên trả tiền?
Không có câu trả lời chắc chắn. Có thể trả tiền nhưng không nhận key (lịch sử cho thấy hacker thường không trao tool giải mã). Khuyến nghị: không liên hệ hacker.
Nạn nhân nên làm gì?
- Loại bỏ ransomware ngay lập tức (càng lâu càng nhiều dữ liệu bị xâm phạm).
- Khôi phục dữ liệu sau khi xóa sạch mối đe dọa.
Cách loại bỏ
Hai phương án:
- Tự động: Dùng tool loại bỏ ransomware của hãng bảo mật thứ 3.
- Thủ công: Phức tạp, cần kinh nghiệm, có thể cần chuyên gia.
Khởi động Safe Mode with Networking
Win XP/Vista/7: Restart, bấm F8 liên tục > Advanced Boot Options > Safe Mode with Networking.
Win 8/10/11: Start > Settings > Update & Security > Recovery > Restart now > Troubleshoot > Advanced options > Startup Settings > Restart > Bấm F5.
Kết luận
Nefilim gây phiền toái lớn, nhưng đã hiểu cơ chế và cách xử lý. Mọi vấn đề khác về ransomware, hãy comment bên dưới.