Hãy tưởng tượng bạn bật máy tính và được chào đón bằng thông báo này trên màn hình:
Đây có lẽ là ác mộng tồi tệ nhất mà bất kỳ người dùng máy tính nào có thể gặp phải. Khi bạn thấy thông báo này, hoặc thấy một file trên máy chứa thông báo này, thì máy tính của bạn rất có thể đã bị nhiễm virus mã hóa GandCrab.
GandCrab là ransomware mã hóa file, mã hóa tất cả file và tài liệu của máy bị nhiễm. Ransomware dùng khóa RSA-2048 hoặc thuật toán mã hóa luồng Salsa2.0 cho việc mã hóa file, và để lại thông báo chuộc tiền cho chủ thiết bị. Thông báo đề nghị giải mã file với một khoản phí. Số tiền không giống nhau cho mọi trường hợp; một số kẻ tấn công yêu cầu $500, người khác đòi lên tới $2,400 cho quá trình giải mã.
Kẻ tấn công thậm chí tăng thêm sự cấp bách bằng cách đe dọa gấp đôi giá sau một khoảng thời gian. Hướng dẫn được để lại trong file txt hoặc html với tên file là dãy ký tự hỗn loạn, ví dụ DEKSTFDERT-DECRYPT.txt HOẶC DEKSTFDERT-DECRYPT.html.
Mẹo chuyên nghiệp: Chạy công cụ tối ưu hóa PC chuyên dụng để loại bỏ cài đặt không đúng, file rác, ứng dụng có hại, và mối đeọa bảo mật có thể gây ra sự cố hệ thống hoặc hiệu suất chậm.
Quét miễn phí sự cố PC 3.145.873 lượt tải Tương thích: Windows 10/11, Windows 7, Windows 8
Những gì cần biết về Virus mã hóa GandCrab
Virus chuộc tiền GandCrab đã đi qua một chặng đường dài kể từ khi được phát hiện lần đầu vào tháng 1 năm 2018. Trong sáu tháng đầu sau khi virus lan truyền, nó đã nhiễm hơn 50.000 thiết bị và thu được 600.000 USD tiền chuộc từ nạn nhân.
GandCrab được coi là một trong những ransomware hoạt động sôi nổi và lan rộng nhất năm đó và đã phát hành năm phiên bản virus chuộc tiền cho đến nay. Phiên bản mới nhất là GandCrab v5.0.4, và dù không có sự khác biệt rõ rệt giữa phiên bản này và phiên bản trước, virus chuộc tiền luôn tiến hóa để tránh các công cụ giải mã do các công ty bảo mật trực tuyến tạo ra. Thực tế, thay đổi đáng chú ý nhất của GandCrab là chuyển từ thuật toán mã hóa RSA-2048 sang thuật toán luồng Salsa2.0 nhanh hơn.
Cách GandCrab v5.0.4 Ransomware Lan truyền
GandCrab dùng nhiều điểm vào để nhiễm máy. Nó thường lan qua email rác, exploit kit, và các chiến dịch mã độc khác. Hãy xem từng vector lan truyền.
Email rác từ xưa được biết là носитель của mọi loại virus và mã độc. Người dùng thường bị lừa mở email rác với tiêu đề hấp dẫn và file ZIP đính kèm. File ZIP chứa script tải cryptovirus về máy và thực thi nó.
Cách khác nhận GandCrab là qua exploit kit. GrandSoft và RIG là những exploit kit phổ biến nhất để phân phối GandCrab. Tuy nhiên, phiên bản 5.0 của ransomware ban đầu được báo cáo phân phối bởi exploit kit Fallout, hiện liên quan đến phân phối ransomware Kraken.
Các vector xâm nhập khác bao gồm kết nối Remote Desktop với bảo mật yếu, chương trình nhiễm Trojan, script PowerShell, và Botnet như Phorpiex.
GandCrab Làm Gì?
Mục tiêu của GandCrab, như mọi ransomware khác, là mã hóa tất cả file của hệ thống bị nhiễm và đòi tiền để giải mã. Thanh toán thường dùng tiền mã hóa như Dash hoặc Bitcoin vì khó rastreo.
GandCrab v5.0.4 nhiễm tất cả phiên bản Windows, bao gồm Windows 10/11, Windows 7, và Windows 8.1. Khi ransomware đã cài đặt, nó quét hệ thống tìm file dữ liệu để mã hóa. Tài liệu với đuôi .doc, .docx, .xls, .pdf là mục tiêu phổ biến nhất. Khi tìm thấy, virus chuộc tiền thay đổi đuôi file để chúng không thể mở được.
Sau khi mã hóa file, GandCrab để lại ghi chú chuộc tiền với hướng dẫn người sở hữu thiết bị phải làm gì, cụ thể là cách thanh toán. Thanh toán tiền chuộc được khuyến cáo không nên làm vì chỉ给攻击者信心并鼓励他们进一步传播病毒。
Nếu thiết bị bị nhiễm GandCrab v5.0.4, hãy làm theo các bước dưới để gỡ hoàn toàn khỏi hệ thống và hy vọng lấy lại một phần file.
Cách Gỡ GandCrab V5.0.4 Ransomware
Thật không may, hiện chưa có công cụ giải mã cho GandCrab V5.0.4. Bitdefender đã tạo chương trình giải mã cho phiên bản đầu tiên, nhưng nó trở nên vô dụng khi tác giả nâng cấp GandCrab lên phiên bản 2.0. Các công ty bảo mật khác cũng thử phát hành giải mã riêng, nhưng chưa cái nào hiệu quả.
Vì vậy, nếu máy tính không may chứa GandCrab V5.0.4, đây là những việc bạn nên làm:
Bước 1. Tạo bản sao tất cả File bị nhiễm.
Điều này cho phép bạn lưu giữ tất cả dữ liệu đã mã hóa và giữ an toàn cho đến khi chương trình giải mã miễn phí được phát triển trong tương lai. Tốt hơn nữa nếu bạn tạo ảnh (image) toàn bộ ổ cứng vì bạn cũng sẽ lưu được mọi thứ liên quan đến ransomware, bao gồm file mã hóa, ghi chú chuộc tiền, file dữ liệu khóa, và mục đăng ký.
Bước 2. Gỡ GandCrab V5.0.4 khỏi máy tính.
Điều bạn cần làm là thử gỡ ransomware khỏi hệ thống trước khi nó gây thêm thiệt hại. Để xóa ransomware khỏi Windows, làm theo các bước:
- Khởi động vào Chế độ an toàn (Safe Mode) bằng cách nhấp menu Start.
- Nhấp nút Power (Nguồn), giữ Shift, rồi nhấp Restart (Khởi động lại).
- Máy sẽ reboot và menu xanh xuất hiện. Chọn Troubleshoot (Khắc phục sự cố) từ cửa sổ này.
- Trong menu Troubleshoot, chọn Advanced Options > Startup Settings > Restart (Tùy chọn nâng cao > Cài đặt khởi động > Khởi động lại).
- Chọn bất kỳ trong ba tùy chọn Safe Mode.
- Trong Safe Mode, tìm file bị nhiễm bằng cách gõ fileextension: trong hộp tìm kiếm, theo sau là loại đuôi bạn tìm.
- Xóa tất cả file bị nhiễm và dọn Thùng rác sau đó. Bạn có thể dùng công cụ như Outbyte PC Repair đảm bảo tất cả file rác bị xóa và không còn file nhiễm trên hệ thống.
- Chạy antivirus hoặc anti-malware để loại bỏ hoàn toàn nhiễm trùng.
Bước 3: Cố gắng Khôi phục File Đã Mã hóa.
Vì chưa có giải mã chính thức cho GandCrab V5.0.4, bạn có thể thử vận may với phần mềm giải mã bên thứ ba và hy vọng một trong số chúng hoạt động. Bạn cũng có thể thử khôi phục file bằng phần mềm khôi phục file, dù không đảm bảo file thực sự được khôi phục. Một số người dùng thử phương pháp này báo cáo hầu hết file bị trả về hỏng.
Lựa chọn khác là khôi phục hệ thống về điểm khôi phục trước khi bị nhiễm. Đây có lẽ là lựa chọn tốt nhất cho bạn lúc này.
Làm theo các bước để quay lại trạng thái trước bằng điểm khôi phục:
- Nhấp Start và gõ Create a restore point trong hộp tìm kiếm.
- Nhấp System Properties từ kết quả.
- Nhấp System Restore > Next (Tiếp theo), sau đó chọn điểm khôi phục hoạt động gần nhất trước khi bị nhiễm.
- Nhấp Scan for affected programs (Quét chương trình bị ảnh hưởng) để gỡ ứng dụng và tiến trình cài sau khi điểm khôi phục được tạo.
- Nhấp Close > Next > Finish (Đóng > Tiếp theo > Hoàn tất).
Thiết bị sẽ quay ngược thời gian đến khi điểm khôi phục được tạo và mọi thứ hoạt động bình thường.
Tóm tắt
Nhìn thấy máy tính bị nhiễm ransomware GandCrab V5.0.4 có thể gây hoảng loạn lúc đầu — tất cả file bị mã hóa và chưa có cách giải mã. Một số người dùng cám dỗ trả tiền chuộc, nghĩ đó là cách dễ nhất giải quyết và lấy lại file. Nhưng bạn có thực sự tin cậy tội phạm làm phần của họ sau khi chuyển tiền? Có lẽ không. Họ không quan tâm bạn hay file của bạn; họ chỉ quan tâm tiền bạn sẵn sàng cho.
Vì vậy, nếu máy bị nhiễm GandCrab V5.0.4, đừng chạy đến kẻ tấn công với tiền. Hãy thử hướng dẫn từng bước trên để gỡ file nhiễm và khôi phục dữ liệu bằng cách khác. Dù sao, bạn cũng không phải đợi quá lâu để chương trình giải mã chính thức được phát hành chống lại các cuộc tấn công này.