Đại dịch coronavirus buộc nhiều chủ cho phép nhân viên làm việc từ xa, chuyên gia bảo mật ước tính tăng 70% làm việc từ xa giữa ngày 4/2 và 7/4/2020. Kết quả, kẻ tấn công có cơ sở mục tiêu lớn và dễ dàng hơn. Những tháng gần đây, tấn công mã độc tăng vọt, bao gồm ransomware tăng 148% tháng 3. Kẻ tấn công tận dụng nỗi sợ coronavirus của công chúng, làm họ dễ bị tổn thương trước phương pháp phân phối dựa trên cảm xúc.
Một tấn công ransomware phổ biến gần đây là Tabe ransomware. Tabe ransomware là phần mềm độc hại thuộc họ ransomware nổi tiếng, gọi là Djvu/STOP ransomware. Ransomware cụ thể này được coi là phiên bản 234 của nhóm mã độc này, làm nó nguy hiểm gấp 234 lần phiên bản gốc.
Mối đe dọa như Tabe ransomware tấn công trực tiếp thiết bị nạn nhân, khóa tất cả file quan trọng, và yêu cầu thanh toán từ chủ sở hữu cho khóa giải mã. Để tránh rắc rối, hầu hết nạn nhân trả tiền lấy file. Thật không may, không phải tất cả lấy lại dữ liệu sau khi trả chuộc.
Vậy làm sao khi gặp Tabe ransomware? Hướng dẫn này cho cái nhìn gần về Tabe ransomware là gì, nó xâm nhập hệ thống như thế nào, và bạn có thể làm gì khôi phục file không trả chuộc.
Tabe Ransomware Là Gì?
Tabe ransomware không chỉ là ransomware. Bên cạnh khóa file, mã độc này còn hỏng máy để ngăn bạn gỡ hoàn toàn. File-locker xâm lấn này làm hơn mã hóa file và đòi tiền. Ransomware cụ thể này cũng hỏng file hệ thống và chức năng nhất định để ép người dùng gấp trả tiền chuộc.
Tabe ransomware thuộc họ Djvu/STOP ransomware, làm nó tàn độc hơn mối đe dọa khác vì hacker sau nhóm này nổi tiếng chiến dịch độc hại từ 2016. Chúng có thể sửa bất kỳ phần code và phát hành phiên bản ransomware mới sau phiên bản, đó là lý do nhà nghiên cứu mã độc không phá vỡ được chức năng chúng từ khi xuất hiện.
Virus Tabe ransomware hiện là phiên bản 234 của Djvu ransomware. Phiên bản trước có thể giải mã vì dùng khóa ngoại tuyến (offline keys) cho phép chuyên gia tạo công cụ giải mã. Phiên bản cũ mã hóa dữ liệu dùng khóa offline hard-coded khi máy nhiễm không kết nối internet hoặc server timeout/không phản hồi. Nhờ đó, một số nạn nhân giải mã dữ liệu khóa bằng công cụ giải mã do chuyên gia an ninh mạng Michael Gillespie phát triển.
Tuy nhiên, gần một năm nay, phiên bản phát hành bởi họ ransomware này dựa trên ID trực tuyến (online IDs) và không còn giải mã bằng công cụ cũ. Phiên bản phát hành từ tháng 8/2019 không dùng khóa offline nữa nên nhà nghiên cứu không còn lựa chọn khác ngoài thông báo biến thể mới xuất hiện gần như hàng tuần.
Tabe ransomware là phiên bản mới nhất, nhưng tất cả tính năng khác giống phiên bản trước. Vẫn dùng email admin@wsxdn.com trong ghi chú chuộc _readme.txt nơi nạn nhân liên lạc kẻ tấn công. Số tiền chuộc cũng giống, $490 hoặc $980, tùy thời gian trả. File văn bản chi tiết mọi thông tin về quá trình mã hóa và việc cần làm sau ghi chú chuộc.
Tabe Ransomware Phân Phối Như Thế Nào?
Ransomware và malware khác thường phân phối qua email spam, quảng cáo độc hại (malvertising), adware và chuyển hướng, Trojan, công cụ kích hoạt bất hợp pháp hoặc crack tải từ nguồn không hợp pháp, trình cập nhật giả (fake updaters), và kênh tải không uy tín.
Chiến dịch spam thường là hoạt động quy mô lớn gửi hàng nghìn email lừa đảo/gian lận. Email thường trình bày như email hợp pháp, quan trọng, hoặc khẩn cấp thiết kế lừa người dùng mở. Trong đại dịch, nhiều email spam gửi để lừa người. Một số email xin quyên góp cho từ thiện giúp người trong đại dịch hoặc tổ chức nghiên cứu thuốc chữa virus. Email khác thiết kế khiến người dùng nhấp link hoặc tải đính kèm chứa mã độc. Khi nhấp link hoặc tải nội dung email, hành động cũng kích hoạt tải và cài mã độc ẩn trên máy.
Phương pháp phân phối khác dùng bởi Tabe ransomware là gói ứng dụng (app bundling). Khi tải công cụ crack hoặc freeware từ nguồn đáng ngờ, bạn có thể cài malware cùng chương trình/phần mềm đó, đặc biệt nếu không đọc toàn bộ quá trình cài đặt.
Bạn cũng nên cảnh giác thông báo nhắc cập nhật bất kỳ phần mềm nào trên máy, như Java, antivirus, Adobe, hoặc chương trình khác. Trình cập nhật giả sẽ cài malware thay vì cập nhật thực. Phương pháp phân phối khác bao gồm tải P2P, trang lưu trữ file, malvertising, và chuyển hướng.
Tabe Ransomware Có Thể Làm Gì?
Khi Tabe ransomware xâm nhập máy tính, điều đầu tiên nó làm là duyệt file và mã hóa dữ liệu quan trọng, bao gồm tài liệu, hình ảnh, video, và archive. Khi mã hóa xong, bạn sẽ thấy tất cả file có .tabe thêm cuối tên file. Vì vậy nếu ảnh tên abc.jpg, sẽ đổi thành abc.jpg.tabe sau mã hóa.
Vì Tabe ransomware dùng thuật toán mã hóa mạnh, giải mã không có khóa gần như không thể. Bạn không thể mở file hoặc khôi phục bằng công cụ thường.
Sau khi duyệt file và khóa, ransomware thả ghi chú chuộc trên màn hình bàn để bạn dễ thấy khi mở máy. Ghi chú chuộc thường đọc:
CHÚ Ý!
Đừng lo, bạn có thể khôi phục tất cả file!
Tất cả file như ảnh, cơ sở dữ liệu, tài liệu và quan trọng khác bị mã hóa bằng mã hóa mạnh nhất và khóa duy nhất.
Phương pháp duy nhất khôi phục file là mua công cụ giải mã và khóa duy nhất cho bạn.
Phần mềm này sẽ giải mã tất cả file bị mã hóa.
Bảo chứng gì cho bạn?
Bạn có thể gửi một file bị mã hóa từ PC và chúng tôi giải mã miễn phí.
Nhưng chỉ giải mã miễn phí 1 file. File không được chứa thông tin quan trọng.
Bạn có thể xem video tổng quan công cụ giải mã:
https://we.tl/t-sBwlEg46JX
Giá khóa riêng và phần mềm giải mã là $980.
Giảm 50% nếu liên hệ trong 72 giờ đầu, giá cho bạn là $490.
Lưu ý bạn sẽ không bao giờ khôi phục dữ liệu nếu không thanh toán.
Kiểm tra thư "Spam" hoặc "Rác" email nếu không nhận được trả lời sau 6 giờ.
Để lấy phần mềm này bạn cần viết email cho chúng tôi:
admin@wsxdn.com
Email dự phòng liên hệ:
admin@wsxdn.com
ID cá nhân của bạn
Cảm giác đầu tiên tất nhiên là trả tiền chuộc, đặc biệt nếu dữ liệu mã hóa chứa file công việc. Tuy nhiên, chuyên gia bảo mật khuyên không trả chuộc vì hai lý do: bạn chỉ góp phần tăng trưởng hoạt động tội phạm và không bảo chứng hacker sẽ cho khóa giải mã. Vì kẻ tấn công đã lấy thứ muốn, có thể họ không còn quan tâm bạn có lấy lại file hay không miễn họ có tiền.
Hướng Dẫn Gỡ Bỏ Tabe Ransomware
Nếu máy tính bị nhiễm Tabe ransomware, đừng trả tiền chuộc. Thay vào đó, gỡ ransomware khỏi máy tính càng sớm càng tốt và thử khôi phục file.
Làm theo các bước gỡ Tabe ransomware khỏi thiết bị:
Bước 1: Thoát Tất Cả Tiến Trình Tabe Ransomware.
Bước đầu xóa Tabe ransomware khỏi máy tính là kill tất cả tiến trình liên quan. Bạn không thể làm tất cả thay đổi khi tiến trình còn chạy. Để đóng tiến trình, vào Task Manager, chuột phải tiến trình đáng ngờ, nhấp nút Kết thúc tiến trình (End Process). Làm cho tất cả tiến trình Tabe ransomware, sau đó bước tiếp.
Bước 2: Gỡ Cài Đặt Tabe Ransomware.
Nếu Tabe ransomware đi kèm chương trình hoặc PUP, gỡ nó khỏi máy tính bằng cách vào Cài đặt (Settings) > Ứng dụng & Tính năng (Apps & features). Nhấp chương trình đáng ngờ, nhấp nút Gỡ cài đặt (Uninstall). Để chắc chắn gỡ hết file nhiễm, chạy quét bằng phần mềm antivirus.
Bước 3: Khôi Phục File Dùng Công Cụ Giải Mã.
Lựa chọn đầu khi thử giải mã file là dùng giải mã trực tuyến (online decryptors). Nếu máy bị nhiễm phiên bản Djvu ransomware cũ, bạn có thể dùng công cụ giải mã Emsisoft.
Dưới đây là công cụ khác bạn có thể thử.
Bước 4: Sử Dụng Khôi Phục Hệ Thống (System Restore).
Phương pháp này yêu cầu dùng điểm khôi phục hệ thống (system restore point) đã đặt trước để hoàn tác thay đổi Tabe ransomware làm. Bạn không cần lo vì không mất file trong quá trình.
Để làm:
- Khởi động vào Chế độ An toàn với Command Prompt (Safe Mode with Command Prompt) bằng cách nhấp Start > Nguồn (Power), giữ phím Shift khi nhấp Restart.
- Trong màn hình Windows Khắc phục sự cố (Windows Troubleshoot), chọn Khắc phục sự cố (Troubleshoot) > Tùy chọn Nâng cao (Advanced Options) > Cài đặt Khởi động (Startup Settings) > Restart.
- Trong Cài đặt Khởi động (Startup Settings), nhấn F6 để vào Chế độ An toàn với Command Prompt (Safe Mode with Command Prompt).
- Khi Command Prompt xuất hiện, gõ cd restore, nhấn Enter.
- Tiếp, gõ rstrui.exe nhấn Enter.
- Hoặc bạn có thể gõ lệnh này, nhấn Enter: %systemroot%system32restorerstrui.exe.
- Khi cửa sổ Khôi phục Hệ thống (System Restore) mở, nhấp Tiếp theo (Next) rồi chọn điểm khôi phục muốn dùng.
- Nhấp Có (Yes) bắt đầu khôi phục.
Tóm tắt
Tabe ransomware có thể rắc rối hơn phiên bản Djvu trước vì chưa có công cụ giải mã. Điều bạn làm được là gỡ ransomware khỏi thiết bị và thử khôi phục file thủ công bằng System Restore hoặc thử may mắn với giải mã khác. Nhưng bất kể làm gì, đừng trả tiền chuộc.