Có sự gia tăng các cuộc tấn công ransomware trong nửa đầu năm 2020. Khi mọi người tiếp tục làm việc từ xa vì đại dịch CoViD-19, tội phạm mạng đang sử dụng các đổi mới công nghệ ngày càng tăng để lợi dụng và sử dụng các khả năng phá hoại hơn. Một trong những khả năng truy cập máy tính mới, tử thương này là Ambrosia Ransomware.
Ambrosia Ransomware là gì?
Chuyên gia an ninh mạng đã xác định Ambrosia malware là một thực thể ransomware. Nhà nghiên cứu an ninh mạng, Xiaopao, lần đầu phát hiện Ambrosia ransomware vào tháng 8 năm 2020. Họ xác định Ambrosia thuộc họ ransomware Scarab. Họ Scarab lần đầu xuất hiện năm 2017 và hiện đã phát hành lại một số phiên bản ransomware năm 2020, bao gồm Ambrosia.
Ambrosia Ransomware làm gì?
Ambrosia ransomware chủ yếu nhắm vào các tệp thiết yếu trong hệ thống PC của người dùng, mã hóa tệp, thay đổi tên tệp, và để lại ghi chú yêu cầu tiền chuộc. Ghi chú chuộc tiền đầu tiên thông báo cho nạn nhân về tệp đã bị mã hóa và yêu cầu họ trả tiền chuộc để có thể truy cập lại tệp.
Các tệp mà Ambrosia ransomware nhắm đến bao gồm:
- Hình ảnh/ảnh (.jpg)
- Bài hát (nhạc)
- Video
- Cơ sở dữ liệu
- Tài liệu quan trọng, như .doc, .pdf, .xls, .mpg hoặc zip
- Tệp nén (Archives)
Lưu ý: Nó nhắm đến các tệp thường dùng này để tối đa hóa thiệt hại cho người dùng.
Ambrosia ransomware mã hóa tệp và sửa đổi tên tệp bằng cách thêm phần mở rộng .ambrosia để đảm bảo nạn nhân không thể mở tệp. Trong khi ransomware khác chỉ thêm phần mở rộng vào tệp đã mã hóa, Ambrosia thay thế toàn bộ tên bằng chuỗi ngẫu nhiên rồi thêm phần mở rộng .ambrosia.
Ví dụ, sau khi sửa đổi, nó sẽ đổi tên tệp như "1.jpg" thành "2g000000000p0zw9VkBVWnK5dMRu2hk8.ambrosia". Điều này chặn người dùng nhận diện dữ liệu của họ.
Sau khi mã hóa, Ambrosia thả ghi chú chuộc tiền trên file HOW TO RECOVER ENCRYPTED FILES.txt. Ghi chú yêu cầu nạn nhân liên hệ kẻ tấn công qua email – admin@wsxdn.com hoặc admin@wsxdn.com. Ngoài ra, ghi chú yêu cầu nạn nhân trả tiền chuộc, bằng Bitcoin, để khôi phục tệp đã mã hóa.
Chúng tôi khuyên không liên hệ kẻ tấn công hoặc trả tiền chuộc. Bạn không chắc chắn công cụ giải mã có hoạt động hay không hoặc kẻ tấn công có gieo thêm mã độc vào PC của bạn không.
Ambrosia Ransomware是如何进入我的电脑的？
Tội phạm mạng đã tạo ra nhiều cách đưa thực thể mã độc họ tạo ra vào hệ thống PC. Họ cũng tìm thấy nhiều thủ thuật phân phối để làm cho nhiễm mã độc lan truyền đến nhiều nạn nhân nhất có thể. Nhà nghiên cứu đã xác định Ambrosia ransomware lan truyền theo nhiều cách khác nhau, chẳng hạn như:
- Tệp đính kèm email spam độc hại và siêu liên kết nhúng
- Cài đặt gói (bundled) với shareware và freeware
- Phần mềm pirated (miễn phí) và bộ cài đặt phần mềm
- Email spam với tệp đính kèm độc hại và siêu liên kết nhúng
- Kết nối Remote Desktop (RDP) không được bảo vệ
- Exploit kit (bộ khai thác) và lỗ hổng phần mềm
- Thông báo nhiễm virus giả hoặc cập nhật Flash Player giả
Cách gỡ bỏ Ambrosia Ransomware
Bạn cần gỡ bỏ Ambrosia ransomware ngay khi phát hiện nó trên PC hoặc hệ thống. Nếu để lại trên hệ thống, Ambrosia có thể:
- Cài đặt các biến thể mã độc khác
- Cài đặt các chương trình đánh cắp dữ liệu khác trên trình duyệt của bạn
- Mã hóa các tệp mới hoặc tệp đã khôi phục
Đây là hướng dẫn gỡ bỏ Ambrosia ransomware:
Giải pháp #1: Quét hệ thống bằng công cụ chống mã độc chuyên nghiệp
Ambrosia ransomware sử dụng thuật toán mã hóa dữ liệu mạnh mẽ vượt quá chức năng của phần mềm chống virus thông thường.
Sử dụng anti-malware chuyên nghiệp để thực hiện quét toàn bộ hệ thống trên PC. Hãy chắc chắn rằng anti-malware có khả năng chống ransomware để có thể gỡ bỏ Ambrosia ransomware.
Vì Ambrosia ransomware sử dụng thuật toán mã hóa dữ liệu mạnh, anti-malware không phải là giải pháp chắc chắn. Nếu bạn may mắn, anti-malware sẽ xác định và gỡ bỏ Ambrosia ransomware và các mã độc khác đang trú ẩn trên PC.
Giải pháp #2: Gỡ bỏ Ambrosia ransomware sử dụng Safe Mode with Networking
Để khởi động PC ở Safe Mode with networking (đảm bảo bạn có kết nối mạng mạnh):
- Nhấn nút Power ở màn hình đăng nhập Windows.
- Nhấn giữ phím Shift > và nhấp Restart.
- Chọn Troubleshoot > Advanced options > Startup Settings.
- Nhấn Restart.
- Trên cửa sổ Startup setting, chọn Enable Safe Mode with Networking (mục thứ năm trong danh sách).
Một khi đã ở Safe Mode, bạn có thể định vị và gỡ bỏ Ambrosia ransomware trên ứng dụng đã cài đặt.
Giải pháp #3: Xóa Ambrosia Ransomware sử dụng "System Restore"
Khuyến nghị sử dụng System restore cùng với Safe Mode with Networking
- Trên màn hình khởi động Windows, liên tục nhấn F8 cho đến khi thấy menu 'Advanced Option'.
- Từ danh sách chọn 'Safe Mode with Command Prompt' sau đó nhấn Enter.
- Trên cửa sổ Command Prompt, gõ cd restore > và nhấn Enter.
- Lại gõ rstrui.exe > và nhấn Enter.
- Trên cửa sổ mới, nhấp Next và chọn điểm khôi phục Windows trước khi Ambrosia xâm nhập, sau đó nhấp Next.
- Sau quá trình, nhấp Yes, để khôi phục.
Sau khi hoàn tất khôi phục PC về trạng thái hoạt động trước đó, tải xuống công cụ anti-malware chuyên nghiệp và thực hiện quét toàn bộ hệ thống để gỡ bỏ bất kỳ tệp Ambrosia Ransomware nào còn lại trong PC.
Giải pháp #4: Sử dụng công cụ bên thứ ba chất lượng để khôi phục (hồi phục) tệp
Sử dụng công cụ khôi phục dữ liệu bên thứ ba chất lượng để khôi phục và hồi phục dữ liệu đã mã hóa .ambrosia. Tùy thuộc vào công cụ bên thứ ba bạn chọn, bạn sẽ thực hiện quét toàn bộ hệ thống và chỉ thị công cụ khôi phục tất cả các tệp đã mã hóa.
Công cụ khôi phục dữ liệu sẽ khôi phục dữ liệu của bạn, dọn dẹp chúng và trả về hoạt động bình thường trước cuộc tấn công Ambrosia ransomware.
Kết thúc
Chúng tôi tin rằng hướng dẫn này đã có ích trong việc hiểu và gỡ bỏ Ambrosia ransomware. Mặc dù hầu hết tấn công ransomware đến không có cảnh báo, một số có thể tránh được bằng cách bảo vệ máy tính.
Để bảo vệ PC, hãy đảm bảo bạn cài đặt anti-malware mạnh mẽ trên PC. Cũng đừng mở tệp đính kèm hoặc liên kết email độc hại, tránh freeware và phần mềm pirated, và sử dụng mật khẩu mạnh để giữ PC an toàn.