Tội phạm mạng liên tục tìm ra cách mới, khôn khéo hơn để xâm nhập thiết bị người khác nhằm đánh cắp dữ liệu, thông tin, thậm chí tiền bạc. Chúng dùng phần mềm độc hại nhắm vào tập đoàn lớn, doanh nghiệp, và cá nhân. Ví dụ điển hình là ransomware CovidWorldCry, loại mới xuất hiện (phát hiện cuối tháng 5/2020).
Ransomware CovidWorldCry là gì?
Đây là virus mới mang chủ đề COVID-19, còn gọi là BigLock hoặc CoronaLock. Nó khóa dữ liệu và một số file hệ thống lưu trên máy bị nhiễm, yêu cầu chuộc dưới dạng Bitcoin. Mã độc không chỉ mã hóa dữ liệu mà còn sửa đổi giai đoạn khởi động Windows (Windows boot stage), điều khá bất thường vì hầu hết ransomware chỉ mã hóa file liên quan đến người dùng.
Ransomware được phát hành hai phiên bản khác nhau, dùng thuật toán mã hóa ChaCha + AES khóa ảnh, hình ảnh, video, file, cơ sở dữ liệu, và file cá nhân khác trên máy chủ.
Ransomware CovidWorldCry có thể làm gì?
Khi đã xâm nhập máy tính, ransomware không bắt đầu mã hóa file ngay. Nó đầu tiên chuẩn bị máy chủ cho việc khóa file đúng cách bằng cách nhiễm tất cả file lưu trên đó. Sau khi nhiễm thành công, virus thực hiện:
- Xóa bản sao Shadow Volume
- Thao túng dung lượng lưu trữ cho bản sao Shadow Volume
- Khởi tạo thay đổi trong registry
- Kết thúc tiến trình và bắt đầu tiến trình mới
- Thả nhiều file độc hại lên hệ thống
Sau quá trình nhiễm, dữ liệu lưu trên thiết bị bị khóa, người dùng không còn truy cập. File được mã hóa được đổi tên bằng cách thêm phần mở rộng của mã độc ".corona-lock."
Virus khóa dữ liệu lan truyền như thế nào?
CovidWorldCry ransomware lan truyền qua bộ công cụ khai thác Rig Exploit kit làm vector tấn công chính. Nếu nhận thấy mã hóa kép, nghĩa là thiết bị bị nhiễm CovidWorldCry cùng với Djvu. Nhiễm thứ cấp này khó gỡ bỏ.
Vì CovidWorldCry ransomware chủ yếu phân phối qua exploit kit, người dùng có phần mềm dễ bị tấn công trên máy tính có nguy cơ nhiễm cao hơn.
Cách gỡ bỏ Ransomware CovidWorldCry
Điều đầu tiên cần làm là gỡ ransomware bằng phần mềm antivirus đáng tin cậy. Tìm hiểu thêm về antivirus tốt nhất cho ransomware này.
Tất cả dữ liệu bị khóa cần khóa đặc biệt để mở. Nếu không lấy được khóa giải mã dữ liệu đã mã hóa, bạn làm sao? Đừng lo – chúng tôi sẽ chỉ cách gỡ CovidWorldCry ransomware an toàn bằng phương pháp khác mà không cần khóa:
TÙY CHỌN MỘT: Sử dụng Chế độ An toàn (Safe Mode)
Thực hiện quy trình sau để gỡ CovidWorldCry ransomware dùng Safe Mode with Networking:
Bước 1: Khởi động lại máy tính ở Safe Mode with Networking
Windows XP/Vista/7
- Nhấp "Start" rồi "Shut Down," theo sau "Restart.."
- Khi máy tính khởi động lại, nhấn F8 vài lần.
- Menu "Windows Advanced Option" xuất hiện.
- Chọn "Safe Mode with Networking."
Windows 8/10
- Nhấp nút "Nguồn (Power)" ở màn hình đăng nhập.
- Giữ lâu phím "Shift".
- Nhấn "Restart."
- Chọn "Khắc phục sự cố (Troubleshoot)."
- Chọn "Tùy chọn Nâng cao (Advanced Options)."
- Đi đến "Tùy chọn Khởi động (Startup Options)," rồi "Restart."
- Khi máy tính khởi động lại vào màn hình "Cài đặt Khởi động (Startup Settings)."
- Nhấn F5 hoặc nhấp "Bật Chế độ An toàn có Mạng (Enable Safe Mode with Networking)."
Bước 2: Gỡ ransomware
- Đăng nhập tài khoản bị nhiễm.
- Khởi động trình duyệt.
- Tải xuống và cài đặt công cụ bảo mật mạnh.
- Quét và xóa file độc hại.
- Gỡ CovidWorldCry ransomware hoàn tất.
TÙY CHỌN HAI: Sử dụng Khôi phục Hệ thống (System Restore)
Làm theo hướng dẫn dưới để gỡ CovidWorldCry ransomware dùng System Restore:
Bước 1: Khởi động lại máy tính ở Safe Mode with Command Prompt
Windows XP/Vista/7
- Nhấp nút "Start", chọn "Shut Down."
- Nhấn "Restart."
- Chọn "Ok."
- Nhấn F8 nhiều lần.
- Cửa sổ "Advanced Boot Options" bật lên.
- Đi đến "Command Prompt."
Windows 8/10
- Nhấn nút "Nguồn (Power)" ở màn hình đăng nhập.
- Giữ lâu phím "Shift".
- Chọn "Restart."
- Đi đến "Khắc phục sự cố (Troubleshoot)."
- Chọn "Tùy chọn Nâng cao (Advanced Options)," rồi "Cài đặt Khởi động (Startup Settings)," rồi "Restart."
- Khi máy tính khởi động lại, cửa sổ "Cài đặt Khởi động (Startup Settings)" hiện ra.
- Chọn "Bật Chế độ An toàn với Command Prompt (Enable Safe Mode with Command Prompt)."
Bước 2: Khôi phục file và cài đặt hệ thống
- Trong cửa sổ Command Prompt, nhập "cd restore."
- Nhấn phím "Enter".
- Nhập "rstrui.exe"
- Nhấn phím "Enter" lại.
- Cửa sổ mới bật lên. Nhấp "Tiếp theo (Next)."
- Chọn điểm khôi phục (restore point). Tốt nhất chọn điểm trước tấn công CovidWorldCry ransomware.
- Chọn "Có (Yes)" để bắt đầu Khôi phục Hệ thống
Sau khi hoàn tất quy trình này, vẫn khuyến nghị quét máy tính bằng chương trình antivirus mạnh.
Kết luận
Bất kỳ loại nhiễm trùng nào trên điện thoại hoặc PC đều có thể tàn phá. Không chỉ mất dữ liệu, bạn còn rủi ro thông tin cá nhân bị phơi bày. Nghĩa là bạn luôn phải đảm bảo thiết bị được bảo vệ khỏi nhiễm trùng mọi lúc bằng chương trình antivirus uy tín. Chúng cũng rất hữu ích khi quét và gỡ CovidWorldCry ransomware cũng như đảo ngược thiệt hại. Bạn cũng nên duy trì bản sao lưu cập nhật thường xuyên đến máy chủ từ xa như đám mây. Hiện tại, không có công cụ giải mã.