Các ý chính

  • Ransomware là một loại phần mềm độc hại mã hóa hoặc khóa các tệp trên thiết bị của nạn nhân và yêu cầu một khoản thanh toán, thường bằng tiền mã hóa, để khôi phục quyền truy cập.

  • Ransomware thường lây lan thông qua email lừa đảo (phishing), bộ khai thác lỗ hổng (exploit kits) và quảng cáo độc hại (malvertising).

  • Ransomware hiện đại thường sử dụng chiến thuật double-extortion: kẻ tấn công vừa mã hóa tệp vừa đe dọa công khai dữ liệu bị đánh cắp nếu không trả tiền chuộc.

  • Việc tự bảo vệ bao gồm duy trì sao lưu thường xuyên, giữ phần mềm luôn được cập nhật và cẩn trọng với liên kết cũng như tệp đính kèm email.

Binance Academy courses banner

Giới thiệu

Ransomware là một loại phần mềm độc hại được thiết kế nhằm chặn quyền truy cập vào hệ thống máy tính hoặc dữ liệu của hệ thống đó cho đến khi một khoản tiền được thanh toán. Nó đã trở thành một trong những hình thức tội phạm mạng gây gián đoạn nhất, ảnh hưởng đến cá nhân, bệnh viện, doanh nghiệp và các cơ quan chính phủ trên toàn thế giới.

Khác với một số loại phần mềm độc hại khác có thể nhằm mục tiêu ẩn mình, ransomware sẽ tự “lộ diện”. Khi mã hóa các tệp của bạn, nó sẽ hiển thị yêu cầu đòi tiền chuộc, thường bằng tiền mã hóa, để đổi lấy một khóa giải mã. Không có gì đảm bảo kẻ tấn công sẽ thực hiện việc cung cấp sau khi nhận thanh toán.

Ransomware được ghi nhận lần đầu vào năm 1989. Kể từ đó, các cuộc tấn công ngày càng tinh vi hơn, nhắm mục tiêu cụ thể hơn và gây thiệt hại tài chính nặng nề hơn. Việc hiểu ransomware hoạt động như thế nào là một trong những bước đầu tiên để bạn tự bảo vệ khỏi nó.

Ransomware hoạt động như thế nào?

Phần lớn ransomware hiện đại sử dụng mã hóa để khóa nạn nhân không truy cập được các tệp của họ. Khi ransomware chạy trên một thiết bị, nó sẽ tạo ra một khóa mã hóa, dùng khóa đó để xáo trộn (mã hóa) các tệp trong hệ thống, rồi sau đó hủy khóa gốc trên máy của nạn nhân. Kẻ tấn công nắm giữ bản sao duy nhất của khóa giải mã.

Ransomware giai đoạn đầu sử dụng mã hóa đơn giản mà các nhà nghiên cứu đôi khi có thể bẻ khóa. Ransomware ngày nay thường sử dụng mã hóa lai (hybrid encryption), kết hợp thuật toán bất đối xứng và đối xứng, khiến việc giải mã độc lập gần như không thể nếu không có khóa của kẻ tấn công.

Một số ransomware cũng nhắm vào toàn bộ ổ cứng thay vì các tệp riêng lẻ, khóa nạn nhân không truy cập được hoàn toàn hệ điều hành của họ. Những loại khác lại tạo thêm lớp áp lực thứ hai bằng cách trích xuất dữ liệu trước khi mã hóa và đe dọa sẽ công khai dữ liệu đó nếu không trả tiền chuộc. Chiến thuật này được gọi là double extortion.

Ransomware lây lan như thế nào?

Email lừa đảo (phishing)

Phishing là một trong những phương thức phân phối phổ biến nhất của ransomware. Kẻ tấn công gửi email giả mạo có vẻ đến từ các nguồn hợp pháp, như ngân hàng, đơn vị chuyển phát hoặc hệ thống nhân sự nội bộ. Các email này chứa tệp đính kèm hoặc liên kết độc hại, khi được mở sẽ kích hoạt việc tải xuống ransomware. Trong một mạng lưới, chỉ một thiết bị bị nhiễm cũng có thể đủ để xâm phạm cả một tổ chức.

Bộ khai thác lỗ hổng (exploit kits)

Exploit kits là các gói mã độc được thiết kế để xác định và khai thác các lỗ hổng trong phần mềm và hệ điều hành. Kẻ tấn công phân phối chúng thông qua các trang web bị xâm nhập. Khi một thiết bị dễ bị tổn thương truy cập vào một trong các trang web này, exploit kit có thể âm thầm cài đặt ransomware mà không cần bất kỳ hành động nào từ người dùng.

Quảng cáo độc hại (malvertising)

Malvertising liên quan đến việc nhúng mã độc vào các quảng cáo trực tuyến. Ngay cả các trang web hợp pháp cũng có thể vô tình hiển thị malvertising nếu mạng lưới quảng cáo của họ bị xâm nhập. Người dùng có thể bị nhiễm chỉ bằng cách tải một trang hiển thị một trong các quảng cáo này, mà không cần bấm vào bất cứ thứ gì.

Social engineering

Ngoài email, kẻ tấn công có thể sử dụng cuộc gọi điện thoại, tin nhắn hỗ trợ kỹ thuật giả mạo hoặc các bản cập nhật phần mềm gian lận để lừa người dùng tự cài đặt ransomware. Những chiến thuật này dựa nhiều vào sự thao túng và kỹ thuật social engineering hơn là khai thác lỗ hổng kỹ thuật.

Ransomware và Tiền mã hóa

Kẻ tấn công ransomware gần như luôn yêu cầu thanh toán bằng tiền mã hóa vì giao dịch khó bị đảo ngược và, tùy theo đồng, cũng khó truy vết hơn so với các chuyển khoản ngân hàng truyền thống. Bitcoin vẫn là loại tiền tệ thường bị đòi nhất, dù một số nhóm có thể chuyển sang các đồng tập trung vào quyền riêng tư hoặc stablecoin cho một phần hoạt động của họ.

Dù nạn nhân có trả tiền, vẫn không có gì đảm bảo họ sẽ nhận được một khóa giải mã hoạt động. Các cơ quan thực thi pháp luật thường khuyên không nên trả tiền chuộc vì việc thanh toán sẽ tiếp tục tài trợ cho các cuộc tấn công và không phải lúc nào cũng dẫn đến việc khôi phục dữ liệu.

Ví dụ ransomware đáng chú ý

WannaCry (2017)

WannaCry đã lây nhiễm hơn 300.000 máy tính trên 150 quốc gia trong vòng bốn ngày, khai thác một lỗ hổng Windows có tên EternalBlue. Nó nhắm vào các máy tính chạy các phiên bản Windows cũ hơn và đã bị chặn một phần nhờ việc phát hiện ra một “kill switch”. Cuộc tấn công gây thiệt hại ước tính khoảng 4 tỷ USD và ảnh hưởng đến các bệnh viện, công ty viễn thông và doanh nghiệp logistics trên toàn thế giới.

Bad Rabbit (2017)

Bad Rabbit lây lan chủ yếu trên khắp Nga và Ukraine, được ngụy trang như một bộ cài giả mạo Adobe Flash trên các trang web bị xâm nhập. Nó yêu cầu nạn nhân cài đặt thủ công và đòi khoảng 0,05 BTC tại thời điểm bị nhiễm.

GandCrab (2018)

GandCrab là một trong những chiến dịch ransomware đầu tiên hoạt động như Ransomware-as-a-Service (RaaS), cho phép các đối tác tội phạm triển khai nó để đổi lấy một phần trong số tiền chuộc. Nó đã lây nhiễm hơn 500.000 nạn nhân trước khi các nhà vận hành công bố kế hoạch nghỉ hưu vào năm 2019. Sau đó, một công cụ giải mã đã được phát hành miễn phí.

LockBit (2019-2024)

LockBit trở thành một trong những nhóm ransomware hoạt động “năng suất” nhất, chịu trách nhiệm cho hàng trăm cuộc tấn công vào hạ tầng quan trọng và các tổ chức lớn. Tháng 2 năm 2024, các cơ quan thực thi pháp luật quốc tế đã phối hợp thực hiện một chiến dịch lớn, tịch thu cơ sở hạ tầng của LockBit và bắt giữ một số đối tác, dù nhóm này sau đó vẫn cố gắng nối lại hoạt động.

Cách tự bảo vệ khỏi ransomware

  • Sao lưu tệp thường xuyên vào ổ cứng ngoài hoặc nơi lưu trữ ngoại tuyến. Đây là lựa chọn khôi phục đáng tin cậy nhất của bạn nếu bị tấn công. Hãy nắm rõ các nguyên tắc bảo mật chung và các mẹo để bảo vệ tài khoản cũng như thiết bị điện tử của bạn.

  • Hãy giữ hệ điều hành và tất cả phần mềm luôn được cập nhật. Ransomware thường xuyên khai thác các lỗ hổng đã biết trong phần mềm cũ.

  • Hãy cẩn thận với tệp đính kèm email và các liên kết. Hãy xác minh người gửi trước khi mở bất cứ thứ gì không mong đợi, và tránh bấm vào các liên kết trong những tin nhắn không được yêu cầu.

  • Tránh các trang web đáng ngờ và không tải phần mềm từ các nguồn không đáng tin cậy. Các phần mở rộng tệp như .exe, .vbs và .scr trong email đính kèm là rất rủi ro.

  • Hãy cảnh giác với các trò lừa đảo bằng tiền mã hóa phổ biến và kỹ thuật lừa gạt (social engineering) mà kẻ tấn công sử dụng để dụ người dùng cài đặt phần mềm độc hại.

  • Nếu bị nhiễm, hãy tham khảo chuyên gia an ninh mạng hoặc kiểm tra các tài nguyên như NoMoreRansom.org để tìm công cụ giải mã miễn phí trước khi cân nhắc việc trả tiền.

Câu hỏi thường gặp

Ransomware là gì?

Ransomware là một loại phần mềm độc hại mã hóa hoặc khóa các tệp trên thiết bị của nạn nhân. Sau đó, kẻ tấn công đòi tiền chuộc, thường bằng tiền mã hóa (cryptocurrency), để đổi lấy việc khôi phục quyền truy cập. Dù đã trả tiền, vẫn không có gì đảm bảo kẻ tấn công sẽ cung cấp khóa giải mã hoạt động.

Ransomware vào máy tính của bạn bằng cách nào?

Ransomware thường đến thông qua email phishing có tệp đính kèm hoặc liên kết độc hại, exploit kits nhắm vào lỗ hổng của phần mềm, quảng cáo độc hại trên các trang web bị xâm nhập và các bản cập nhật phần mềm giả mạo được thiết kế để lừa người dùng tự cài đặt phần mềm độc hại thủ công.

Bạn có nên trả tiền chuộc ransomware không?

Các cơ quan thực thi pháp luật thường khuyên không nên trả. Việc thanh toán sẽ tài trợ thêm cho hoạt động tội phạm và không đảm bảo việc khôi phục dữ liệu. Phương án thay thế đáng tin cậy nhất là duy trì sao lưu thường xuyên. Những nạn nhân cân nhắc việc trả tiền nên tham khảo ý kiến của cơ quan thực thi pháp luật trước, vì một số khu vực pháp lý có thể hạn chế việc thanh toán cho các nhóm bị trừng phạt.

Tại sao kẻ tấn công ransomware lại sử dụng tiền mã hóa?

Các giao dịch tiền mã hóa khó đảo ngược và, tùy từng đồng, cũng khó truy vết hơn so với các chuyển khoản ngân hàng truyền thống. Điều này giúp kẻ tấn công dễ nhận tiền thanh toán mà không bị nhận diện ngay lập tức. Bitcoin là loại tiền tệ thường bị đòi nhất, dù một số nhóm có thể dùng các đồng tập trung vào quyền riêng tư hoặc trộn tiền thông qua các bước bổ sung.

Double extortion trong ransomware là gì?

Double extortion là một chiến thuật trong đó kẻ tấn công vừa mã hóa tệp của nạn nhân, vừa trích xuất (exfiltrate) một bản sao dữ liệu nhạy cảm trước khi mã hóa. Nếu nạn nhân từ chối trả tiền, kẻ tấn công sẽ đe dọa công khai dữ liệu bị đánh cắp. Chiến thuật này tạo thêm một lớp áp lực thứ hai ngoài việc nạn nhân không thể truy cập tệp.

Những suy nghĩ kết lại

Ransomware đã phát triển từ các chương trình “khóa” đơn giản thành một ngành công nghiệp tội phạm tinh vi, trị giá hàng tỷ đô la mỗi năm. Mặc dù trong những năm gần đây đã có nhiều chiến dịch triệt phá từ phía cơ quan thực thi pháp luật và tỷ lệ nạn nhân không trả tiền tăng lên, ransomware vẫn là mối đe dọa đáng kể đối với cả cá nhân và tổ chức. Các biện pháp phòng vệ tốt nhất vẫn là sao lưu thường xuyên, vệ sinh an toàn phần mềm và nhận thức về những chiến thuật social engineering mà kẻ tấn công dùng để giành quyền truy cập ban đầu.

Đọc thêm

  • Phishing là gì?

  • Social engineering là gì?

  • Nguyên tắc bảo mật chung

  • 8 trò lừa đảo Bitcoin phổ biến và cách tránh

  • Những trò lừa đảo thường gặp trên thiết bị di động

Tuyên bố miễn trừ trách nhiệm: Nội dung này chỉ được cung cấp cho bạn theo cơ sở “nguyên trạng” (as is) nhằm mục đích cung cấp thông tin chung và học tập/giáo dục, không kèm bất kỳ cam kết hay bảo đảm nào dưới bất kỳ hình thức nào. Nội dung này không nên được hiểu là lời khuyên mang tính tài chính, pháp lý hoặc tư vấn chuyên nghiệp khác, và cũng không nhằm mục đích khuyến nghị việc mua bất kỳ sản phẩm hoặc dịch vụ cụ thể nào. Bạn nên tự tìm kiếm lời khuyên từ các cố vấn chuyên môn phù hợp. Nếu nội dung được đóng góp bởi bên thứ ba, vui lòng lưu ý rằng những quan điểm được nêu thuộc về bên đóng góp thứ ba đó và không nhất thiết phản ánh quan điểm của Binance Academy. Giá của tài sản kỹ thuật số có thể biến động. Giá trị khoản đầu tư của bạn có thể giảm hoặc tăng và bạn có thể không nhận lại đúng số tiền đã đầu tư. Bạn hoàn toàn chịu trách nhiệm cho các quyết định đầu tư của mình và Binance Academy không chịu trách nhiệm đối với bất kỳ khoản lỗ nào bạn có thể gặp phải. Để biết thêm thông tin, vui lòng xem Điều khoản sử dụng, Cảnh báo rủi ro và Điều khoản của Binance Academy.