Trong đại dịch, tấn công ransomware tăng 148% so với cơ sở tháng 2/2020. Chuyên gia bảo mật nhận thấy tăng tấn công liên quan COVID-19, nhưng các biến thể ransomware khác cũng tăng vọt. Nguyên nhân có thể do tăng mục tiêu tiềm năng, 70% nhân lực làm việc từ nhà, nơi an ninh mạng lỏng lẻo hơn văn phòng.
Một trong những tấn công ransomware gây thiệt hại trong lockdown là Cobra Locker. Tệp bị khóa bằng thuật toán AES và RSA, đuôi .cobra. Mối đe dọa thường lan qua tải từ web độc hại, click email spam, hoặc tiêm trực tiếp bởi mã độc khác. Kẻ tấn công thường yêu cầu tiền chuộc để mở khóa, nếu không người dùng không thể truy cập.
Cobra Locker Ransomware là gì?
Cobra Locker (còn gọi Cobra_Locker) được phát hiện bởi user Twitter @dnwls0719 vào tháng 6/2020. Đây là chủng ransomware mới khai thác người bị ảnh hưởng bởi đại dịch. Cryptovirus này mã hóa dữ liệu người dùng và yêu cầu chuộc để giải mã. Cobra Locker nhắm vào video, hình ảnh, tài liệu, kho lưu trữ, cơ sở dữ liệu và các loại dữ liệu khác. Tất cả bị khóa, mã hóa, không thể truy cập cho đến khi trả chuộc.
Rõ ràng khi máy tính bị nhiễm Cobra Locker vì bạn sẽ nhận thông báo bật lên nền đỏ:
Cobra_Locker
Oops! Your have been encrypted!
If you want decrypt your files you must have decryption code
All your important files were encrypted on this PC.
All files with .Cobra extension are encrypted.
Encryption was produced using unique private key generated for this computer.
To decrypt your files, you need to obtain private key.
To retrieve the private key you need to contact us by email
admin@wsxdn.com send us an email and wait for further
instructions.
E-mail address to contact us:
admin@wsxdn.com
If you want decrypt your files you must have decryption code
Phát hiện Cobra Locker:
- DrWeb: Trojan.Encoder.31957 và Trojan.Encoder.32077
- ALYac: Trojan.Ransom.Filecoder
- Avira (no cloud): TR / Ransom.avuwe
- BitDefender: Gen: Heur.Ransom.RTH.1, Trojan .GenericKD.43441079
- ESET-NOD32: Variant of the MSIL / Filecoder.YQ or Variant of the MSIL / Filecoder.AAX
- Malwarebytes: Ransom.FileCryptor or Ransom.CobraLocker
- Rising: Ransom.Encoder 8.FFD4
- Symantec: ML.Attribute.HighConfidence
- Tencent: Msil.Trojan.Encoder.Wtod
- TrendMicro: TROJ_GEN.R002H09FE20
Một tháng sau, ransomware mới xuất hiện dùng đuôi .IT mã hóa tệp. Phát hiện đầu tháng 7, dùng cùng email admin@wsxdn.com. Kẻ tấn công dùng hình Pennywise từ phim IT làm nền, tăng tính đe dọa. Thông báo thường:
You have fallen victim to IT ransomware!
All your important files have been encrypted! And your screen is locked!
let me introduce you to the rules
- to unlock screen you must enter special key
- to decrypt files you must contact with us: admin@wsxdn.com
Phát hiện IT:
- DrWeb: Trojan.Encoder.32077
- BitDefender: Trojan.GenericKD.43441079
- ESET -NOD32: Variant of MSIL / Filecoder.AAX
- Malwarebytes: Ransom.CobraLocker
- Symantec: ML.Attribute.HighConfidence
Xem 2 email, kẻ tấn công không nói cách thanh toán hay số tiền, cần email trực tiếp để biết thêm. Tuy nhiên, đừng hy vọng. Dù trả chuộc, không đảm bảo kẻ tấn công sẽ giải mã. Có thể bị bỏ qua sau khi thanh toán.
Cobra Locker Ransomware có thể làm gì?
Cobra Locker và IT ransomware đến từ cùng nhóm kẻ tấn công, có thể giả định chúng hoạt động tương tự.
Cobra Locker mã hóa tệp bằng AES + RSA, thêm đuôi .Cobra. IT ransomware thêm đuôi .IT. Cả hai quét hệ thống và tự động mã hóa tài liệu MS Office, OpenOffice, PDF, văn bản, cơ sở dữ liệu, hình ảnh, nhạc, video, kho lưu trữ, v.v. Theo ghi chú chuộc, bạn không truy cập được trừ khi trả phí.
Ransomware gây đau đầu, nhất là nếu nạn nhân không có bản sao lưu tệp đã mã hóa. Làm sao khi máy tính bị nhiễm Cobra Locker?
Hướng dẫn loại bỏ Cobra Locker Ransomware
Điều đầu tiên khi bị nhiễm Cobra Locker hoặc IT ransomware là loại bỏ mối đe dọa trước để ngăn mã hóa thêm tệp. Sau đó thử khôi phục.
Cách loại bỏ Cobra Locker và IT ransomware:
Bước 1: Khởi động vào Safe Mode With Networking.
- Nhấp Windows > Power, chọn Restart giữ phím Shift.
- Chọn Troubleshoot > Advanced Option.
- Nhấp Startup Settings > Restart để khởi động lại.
- Khi Windows khởi động, nhấn F5 hoặc số 5 để vào Safe Mode With Networking.
Bước 2: Loại bỏ Ransomware.
Bước tiếp theo cần phần mềm bảo mật có thể phát hiện và xóa ransomware. Nếu chưa có Anti-Malware phù hợp, hãy tải trước. Sau khi cài antivirus, quét máy tính và xóa tất cả file bị nhiễm. Các file liên quan:
- Ransomware.exe hoặc IT.exe
- CobraLocker.dll
- _readme.txt
- readme.txt
Bước 3: Khôi phục tệp.
Bước cuối thử khôi phục tệp. Chưa có giải mã chuyên dụng cho ransomware này, thử các tùy chọn:
Sử dụng giải mã chung.
Có nhiều phần mềm giải mã do chuyên gia bảo mật thiết kế như Michael Gillespie, Kaspersky, Emsisoft. Thử xem cái nào hiệu quả.
Sử dụng điểm khôi phục hệ thống.
Tùy chọn khác là khôi phục hệ thống về điểm trước khi nhiễm. Điều này khó nếu không biết thời điểm nhiễm. Để an toàn, chọn điểm khôi phục trước khi ransomware được phát hiện (tháng 6/2020).
Sử dụng phần mềm khôi phục bên thứ ba.
Nếu giải mã không hiệu quả và không có điểm khôi phục, lựa chọn cuối là dùng chương trình khôi phục như Recuva, EaseUS Data Recovery, Stellar. Kiểm tra các công cụ khôi phục khác.
Tóm tắt
Ransomware khó xử lý, đặc biệt nếu không có bản sao lưu tệp. Quan trọng nhất là xóa ransomware khỏi thiết bị trước khi thử phương pháp khôi phục. Hãy sao chép tất cả tệp đã mã hóa trước khi thử mở khóa để tránh mất dữ liệu. Nếu tất cả thất bại, có thể chờ giải mã chuyên dụng Cobra Locker được phát hành.