Ransomware là gì và những thông tin xoay quanh mối đe dọa nghiêm trọng với mọi doanh nghiệp này sẽ được Mi2 giải đáp trong bài viết dưới đây.

Ransomware xuất hiện từ những năm 1989. Đến nay, mặc dù số lượng các vụ tấn công Ransomware đã giảm xuống nhưng mức độ nguy hiểm và thiệt hại của nó vẫn là mối đe dọa nghiêm trọng với mọi tổ chức, doanh nghiệp. Vậy bạn đã thực hiểu Ransomware là gì, cách thức nó hoạt động ra sao, ai sẽ trở thành mục tiêu của tấn công Ransomware và có những giải pháp nào để ngăn chặn vấn đề này? Tất cả sẽ câu trả lời trong bài viết dưới đây!

Ransomware là gì?

Ransomware là một dạng phần mềm độc hại thực hiện việc mã hóa các tệp tin của nạn nhân. Sau khi bị mã hóa, người dùng hoặc tổ chức sẽ không thể truy cập tệp, cơ sở dữ liệu hoặc ứng dụng. Kẻ tấn công sau đó sẽ yêu cầu nạn nhân trả một khoản tiền chuộc để khôi phục quyền truy cập dữ liệu. Số tiền chuộc được Hacker đưa ra có thể dao động từ vài trăm đến hàng nghìn đô la – thường yêu cầu trả tiền chuộc bằng Bitcoin.

Ransomware-as-a-service (RaaS) là gì?

Ransomware-as-a-service là một mô hình kinh tế của tội phạm mạng, cho phép các nhà phát triển phần mềm độc hại có thể kiếm tiền từ các sản phẩm mình tạo ra mà không cần phát tán mối đe dọa.

Những tên tội phạm phi kỹ thuật sẽ mua các mã Ransomware này và triển khai trong các cuộc tấn công. Các nhà phát triển khi đó được trả phần trăm số tiền tội phạm thu được. Bằng cách này phía nhà phát triển không gặp phải nhiều rủi ro, khách hàng của họ ((tội phạm mạng) sẽ thực hiện hầu hết công việc.

Ransomware hoạt động như thế nào?

Có một số Vector Ransomware có thể sử dụng để truy cập máy tính. Thông thường Ransomware được phát tán bằng cách sử dụng các chiến dịch Spam Email. Các tệp đính kèm được gửi đến nạn nhân trong Email, giả mạo như một tệp mà người dùng có thể tin tưởng. Sau khi tải xuống và mở, chúng có thể chiếm quyền điều khiển máy tính của nạn nhân, đặc biệt trong trường hợp chúng có tích hợp sẵn công cụ Social Engineering lừa người dùng cho phép truy cập quản trị.

Một số dạng Ransomware khác, nguy hiểm hơn như NotPetya, khai thác các lỗ hổng bảo mật để lây nhiễm vào máy tính mà không cần lừa người dùng.

Sau khi chiếm được máy tính của nạn nhân, phần mềm độc hại có thể thực hiện một hành động. Cho đến nay, hành động phổ biến nhất là mã hóa một số hoặc tất cả các tệp của người dùng. Các tệp sau khi được mã hóa thì người dùng hoặc tổ chức không thể truy cập được. Người dùng lúc này sẽ nhận được một thông báo giải thích rằng các tệp của họ hiện không thể truy cập và sẽ chỉ được giải mã nếu gửi một khoản thanh toán bằng Bitcoin. Nếu không có bản sao lưu dữ liệu hoặc bản sao lưu đó đã được mã hóa, nạn nhân phải đối mặt với việc trả tiền chuộc để khôi phục các tệp.

Trong một số dạng phần mềm độc hại, kẻ tấn công có thể tự xưng là cơ quan thực thi pháp luật để dừng hoạt động máy tính của nạn nhân do có nội dung khiêu dâm hoặc phần mềm vi phạm bản quyền trên đó và yêu cầu thanh toán tiền phạt. Cách thức này làm cho nạn nhân ít có khả năng báo cáo vụ tấn công với cơ quan chức năng.

Ngoài ra còn có một biến thể có tên là Leakware hoặc Doxware. Với cách này kẻ tấn công đe dọa sẽ công khai dữ liệu nhạy cảm trên ổ cứng của nạn nhân nếu không trả tiền chuộc. Tuy nhiên, việc tìm kiếm và trích xuất thông tin như vậy là cách làm phức tạp. Bởi vậy, đến nay, Ransomware mã hóa (Encryption Ransomware) vẫn là loại phổ biến nhất.

Có thể bạn quan tâm:

Tìm hiểu chi tiết về Zero Trust Security

Endpoint là gì? Tìm hiểu chi tiết về McAfee Mvision Endpoint

Những ai là mục tiêu của tấn công Ransomware?

Có một số cách khác nhau mà những kẻ tấn công căn cứ để lựa chọn tổ chức trở thành mục tiêu tấn công Ransomware. Đôi khi đó là vấn đề cơ hội. Chẳng hạn, tội phạm mạng có thể nhắm mục tiêu vào các trường đại học bởi chúng hướng đến các nhóm bảo mật nhỏ hơn và cơ sở người dùng khác nhau (tạp nham) thực hiện nhiều chia sẻ tệp, khiến việc xâm nhập hệ thống phòng thủ dễ dàng hơn.

Mặt khác, một số tổ chức có khả năng trả tiền chuộc nhanh chóng cũng là mục tiêu của những kẻ tấn công. Ví dụ, các cơ quan chính phủ hoặc cơ sở y tế thường cần quyền truy cập vào dữ liệu của mình ngay lập tức. Các công ty luật và các tổ chức khác có dữ liệu nhạy cảm có thể sẵn sàng trả tiền để giữ im lặng về một thỏa hiệp.

Bên cạnh các đối tượng chính được liệt kê trên, người dùng cá nhân hay các doanh nghiệp khác vẫn có thể trở thành mục tiêu của những kẻ tấn công. Bởi hiện nay có một số Ransomware lây lan tự động trên Internet.

Tại sao Ransomware ngày càng lan rộng?

Các cuộc tấn công Ransomware và biến thể của chúng ngày càng phát triển nhanh chóng bởi một một số lý do sau đây:

• Dễ dàng có sẵn các bộ phần mềm độc hại (Malware Kits). Kẻ tấn công có thể sử dụng chúng để tạo các mẫu phần mềm độc hại mới theo yêu cầu.
• Sử dụng Generic Interpreters đã biết để tạo Ransomware đa nền tảng (ví dụ: Ransom32 sử dụng Node.js với JavaScript Payload).
• Sử dụng các kỹ thuật mới, chẳng hạn như mã hóa ổ đĩa hoàn chỉnh thay vì các tệp đã chọn.

Những kẻ tấn công ngày nay thậm chí không cần phải hiểu biết về công nghệ. Các “chợ” Ransomware trực tuyến xuất hiện ngày càng nhiều, cung cấp các chủng loại phần mềm độc hại cho bất kỳ tội phạm công nghệ nào.

Lý do rất khó để tìm được kẻ tấn công Ransomware

Những kẻ tấn công thường yêu cầu thanh toán tiền chuộc bằng Bitcoin. Việc sử dụng tiền điện tử ẩn danh để thanh toán (Bitcoin) gây khó khăn cho việc lần theo dấu vết và truy tìm tội phạm.

Bên cạnh đó, càng ngày, các nhóm tội phạm mạng càng nghĩ ra các kế hoạch Ransomware để thu về lợi nhuận nhanh chóng. Sự sẵn có của mã nguồn mở và nền tảng kéo, thả để phát triển Ransomware đã đẩy nhanh việc tạo ra các biến thể Ransomware mới và giúp những người chưa có kinh nghiệm viết Script tạo Ransomware của riêng họ.

Thông thường, phần mềm độc hại tiên tiến như Ransomware có thiết kế đa hình. Điều này cho phép tội phạm mạng dễ dàng vượt qua bảo mật dựa trên chữ ký truyền thống nhờ vào Hash (hàm băm) dữ liệu.

Tổ chức bị tấn công có nên trả tiền chuộc hay không?

Nếu hệ thống của bạn bị nhiễm phần mềm độc hại, mất dữ liệu quan trọng và không thể khôi phục từ bản sao lưu, lúc này có nên trả tiền chuộc cho những kẻ tấn công hay không?

Về mặt lý thuyết, hầu hết các cơ quan thực thi pháp luật khuyến nghị không trả tiền chuộc cho những kẻ tấn công Ransomware. Bởi hành động này sẽ khuyến khích tin tặc tạo ra nhiều Ransomware hơn.

Tuy vậy, nhiều tổ chức khi đứng trước câu hỏi này thường gạt qua suy nghĩ mình có góp phần tạo cơ hội cho các cuộc tấn công tiếp theo hay không. Thay vào đó, họ thực hiện phân tích chi phí – lợi ích, cân nhắc giá tiền chuộc so với giá trị của dữ liệu được mã hóa. Theo nghiên cứu của Trend Micro, trong khi 66% công ty nói rằng họ sẽ không bao giờ trả tiền chuộc thì trên thực tế, 65% đã trả tiền chuộc khi họ trở thành nạn nhân.

Những kẻ tấn công Ransomware thường đưa ra mức giá tương đối thấp – thường từ 700 đến 1.300 đô la. Một số tiền đủ để các công ty có thể trả trong thời gian ngắn.

Đặc biệt, có một số phần mềm độc hại tinh vi sẽ phát hiện quốc gia nơi máy tính bị nhiễm mã độc đang chạy và điều chỉnh số tiền chuộc để phù hợp với nền kinh tế của quốc gia đó. Theo đó, tội phạm mạng có thể đòi số tiền chuộc lớn hơn từ các công ty ở nước giàu và ít hơn từ các công ty ở nước nghèo.

Trong trường hợp tổ chức đồng ý trả tiền chuộc như thỏa thuận có một số điều bạn cần xem xét kỹ. Đầu tiên hãy kiểm tra lại những gì trông giống như Ransomware có thể đã không thực sự mã hóa dữ liệu của bạn. Đảm bảo rằng bạn không giao dịch vì thứ chỉ là phần mềm hù dọa. Và thứ hai, việc trả tiền cho những kẻ tấn công không đảm bảo rằng bạn sẽ lấy lại được các tệp của mình. Đôi khi bọn tội phạm chỉ lấy tiền và chạy. Thậm chí chúng có thể không tích hợp chức năng giải mã vào phần mềm độc hại.

Một số cách ngăn chặn Ransomware hiệu quả

Có một số cách mà tổ chức có thể áp dụng để đảm bảo an toàn thông tin, cải thiện khả năng phòng thủ trước tất cả các loại tấn công và đặc biệt là ngăn chặn Ransomware lây nhiễm.

• Thường xuyên cập nhật hệ điều hành cũng như các bản vá để hạn chế các lỗ hổng mà tội phạm mạng có thể khai thác.
• Không cài đặt phần mềm hoặc cấp quyền quản trị trừ khi bạn biết chính xác phần mềm đó là gì và nó sẽ làm gì.
• Cài đặt phần mềm chống Virus như McAfee Antivirus – giúp phát hiện các chương trình độc hại như Ransomware và phần mềm Whitelisting – giúp ngăn chặn các ứng dụng trái phép ngay từ đầu.
• Thực hiện sao lưu các tệp tự động và thường xuyên. Cách này sẽ không ngăn chặn một cuộc tấn công phần mềm độc hại, nhưng nó có thể giảm ít nhiều thiệt hại do các vụ tấn công gây ra.

Một số giải pháp xử lý Ransomware của McAfee

Bên cạnh các cách trên, để ngăn chặn Ransomware một cách tốt nhất, người dùng nên sử dụng các giải pháp được thiết kế riêng. Hãng bảo mật hàng đầu thế giới – McAfee đã tận dụng một số công nghệ ngăn chặn Ransomware hàng đầu và đưa ra các sản phẩm dưới đây.

MVISION Endpoint Security

McAfee Endpoint Security kết hợp các khả năng truyền thống với máy học và ngăn chặn để giúp làm nổi bật các hành vi đáng ngờ và phát hiện các mối đe dọa – bao gồm cả tấn công Zero-day và tấn công không dùng tệp. Giải pháp tận dụng McAfee Global Threat Intelligence chứa hàng triệu cảm biến theo dõi các dấu hiệu vi phạm Ransomware.

McAfee Web Protection

McAfee Web Protection sử dụng trí tuệ máy học để quét nội dung đang hoạt động của một trang Web, mô phỏng hành vi và dự đoán mục đích của nó. Nhờ vậy giúp chủ động bảo vệ khỏi các cuộc tấn công Zero-day và tấn công có chủ đích trước khi chúng tiếp cận hệ thống điểm cuối.

McAfee Threat Intelligence Exchange

McAfee Threat Intelligence Exchange sử dụng cấu hình chính sách để xác định và gắn thẻ các quy trình nghi ngờ.

McAfee Application Control

McAfee Application Control cung cấp khả năng bảo vệ hai lớp của công nghệ Whitelisting và bảo vệ bộ nhớ có thể ngăn chặn việc thực thi các tệp nhị phân đến từ nguồn không đáng tin cậy và chặn khai thác Zero-day.

Như đã nói, mặc dù số vụ tấn công Ransomware đang giảm đi nhưng không vì thế mà nó không còn là vấn đề nguy hiểm với các tổ chức, doanh nghiệp. Để nâng cao khả nâng ngăn chặn, tránh trở thành nạn nhân của các vụ tấn công với số tiền chuộc khổng lồ, hãy nhanh chóng triển khai các giải pháp phù hợp. Hy vọng với những chia sẻ trên của Mi2 đã giúp bạn hiểu rõ về Ransomware là gì cũng như các vấn đề xoay quanh. Nếu bạn cần thêm thông tin về các giải pháp xử lý Ransomware, đội ngũ Mi2 luôn sẵn sàng tư vấn!