Làm gì khi dính mã độc WannaCry?

Zing.vn trích dẫn quan điểm của chuyên gia bảo mật Nguyễn Hồng Phúc, hiện sinh sống và làm việc tại TP.HCM. Bài viết dưới đây được đăng trên trang cá nhân của chuyên gia này. Zing.vn biên tập nội dung. 

“Tổng hợp về WannaCry cho người không biết gì”

WannaCry là virus (gọi vậy cho dễ hiểu và thân quen) mà khi nhiễm sẽ mã hóa toàn bộ các file dữ liệu trên máy và tống tiền nên nó được gọi là Ransomware (mã độc tống tiền). Tên khoa học của nó là WannaCrypt (chỉ dân bảo mật dùng tên này cho dễ gọi. WannaCry là tên tác giả malware đặt trong code). Tác giả rất biết chơi chữ, dính virus này là chỉ muốn khóc.

WannaCry đang hoành hành toàn cầu. Việt Nam nằm trong top 20 nước bị ảnh hưởng nặng nhất. Ảnh: Intel.

Cách lây lan:

1. Tác giả virus này vẫn đang phát tán nó qua phương thức thông thường là nhúng vô các bản crack, các trang web có nhiều người truy cập (trang phim cấp ba, chia sẻ phầm mềm lậu…). Khi nạn nhân lỡ tay tải về hoặc truy cập các trang linh tinh thì dính. Về kỹ thuật thì nó vẫn đang phát tán malware qua các mạng lưới phát tán malware và các exploitkit.

2. WannaCry lây lan mạnh vì nó không chỉ phát tán theo cách truyền thống như trên mà nó còn lây lan qua mạng LAN do tận dụng các công cụ khai thác lỗi SMB mà NSA (Cơ quan An ninh Quốc gia Hoa Kỳ) phát triển bí mật, nhưng xui bị nhóm ShadowBroker đánh cắp và tung ra public từ cả tháng trước.

Lúc Shadow Broker tung ra các công cụ này thì các chuyên gia bảo mật đã kháo nhau là thế nào cũng sẽ có cảnh khai thác hàng loạt như con Wanna Cry đang làm.

Nói dễ hiểu, nếu một máy trong mạng LAN bị nhiễm WannaCry thì toàn bộ các máy trong mạng LAN cũng có thể “ăn hành” nếu như không được vá lỗi trước đó. Ví dụ: Cô bé đồng nghiệp xinh xách laptop Windows ra quán cà phê ngồi và tải gì đó để dính WannaCry, xong mang máy về công ty kêu IT sửa, IT lỡ dại cắm máy vô mạng mở lên. Bùm, cả công ty bị lây nhiễm.

Vì cách lây lan như trên mà việc thực hiện các bước an toàn như tắt SMBv1 và cập nhật cho Windows bản vá lỗi mới nhất KHÔNG HOÀN TOÀN AN TOÀN. Nó chỉ ngăn việc con virus này nhảy từ máy khác cùng mạng LAN qua máy bạn. Không ngăn việc bạn xui xẻo tải trúng nó từ Internet.

Virus này chỉ lây lan trên Windows và mạng máy tính Windows, hiện không có phiên bản biến thể nào hoạt động trên Mac và Linux.

Cách phòng chống:

1. Cập nhật bản vá lỗi mới nhất cho Windows. Nếu những ai tắt Windows Update, họ đang tự ngủ trên bãi mìn không biết khi nào nổ.

2. Disable (tắt) tính năng SMB bằng cách vô “Start”, tìm “Windows Features”, xong bỏ dấu check chỗ SM.

3. Cập nhật các phần mềm Antivirus. Hiện Windows Defender, McAfee, Symantec, ESET, Bitdefender… và các phần mềm nổi tiếng đều đã update WannaCry. Sau khi cập nhật thì nhớ bật tính năng bảo vệ Realtime Protection (hoặc tên giống vậy) để ngăn máy tính bị nhiễm.

4. Backup (sao lưu) dữ liệu quan trọng là cách tốt nhất để chống ransomware. Hãy nhớ backup thường xuyên. Nếu là người dùng cá nhân thì mua ổ cứng di động, copy dữ liệu quan trọng ra rồi cất đi. Không cắm ổ cứng này thường xuyên vô máy, lúc cần mới dùng để backup hoặc lấy dữ liệu ra.

5. Nên dùng các dịch vụ Cloud Drive như Google Drive, OneDrive, DropBox để thường xuyên sync (đồng bộ) dữ liệu lên Mây (Cloud). Giá của các dịch vụ này rẻ, Google Drive miễn phí 15 GB và bán 100 GB có 45.000 đồng/tháng, hoặc 250.000 đồng/tháng cho 1.000 GB (1 TB). Hoặc người dùng cũng có thể mua gói Google Enterprise giá có 15 USD/tháng không hạn chế dung lượng lưu trữ.

Tại sao nên dùng dịch vụ Cloud Drive?

Nếu lỡ dính ransomware vào máy, nó vẫn mã hóa file trên máy và các dịch vụ lưu trữ đám mây vẫn đồng bộ (sync) bản dữ liệu bị mã hóa lên máy chủ. Nhưng các dịch vụ này có hỗ trợ tính năng File Versions. Tức là 1 file bạn backup trên Cloud thì sẽ được lưu 30 bản khác nhau của 30 ngày gần nhất. Tức là bạn có thể tải về bất kỳ phiên bản cũ nào của cái file đã bị ransomware nó “ăn”. Lúc đó dữ liệu được phục hồi nguyên trạng.

Cách xử lý khi bị nhiễm Ransomware WannaCry

1. Ngắt ngay lập tức các máy tính bị nhiễm khỏi mạng LAN, tránh để nó lây lan qua các máy khác.

2. Trả tiền cho tác giả của WannaCry để nhận mã giải cứu hay không là quyết định của bạn. Hiện chưa có báo cáo nào về việc chúng có đưa mã giải mã cho nạn nhân sau khi nhận tiền hay không. Hiện chỉ mới 160 giao dịch trị giá khoảng 300.000 USD được gửi tới địa chỉ BitCoin mà tác giả cung cấp. Tại Việt Nam, giá “cứu” mỗi máy là 2 BitCoin đổi ra là 80 triệu đồng, không hề rẻ.

3. Hiện có thông tin bên trong WannaCry tồn tại lỗi trong cách thức nó mã hóa dữ liệu, nên các chuyên gia bảo mật đang thử tìm cách khai thác và viết công cụ giải mã. Nếu dữ liệu quá quan trọng thì bạn có thể cất ổ cứng bị nhiễm WannaCry đi chờ công cụ này. WannaCry quá ảnh hướng nên giới chuyên gia sẽ để tâm và công sức làm phần mềm giải mã.

4. Nếu bạn không có gì để mất thì hãy format toàn bộ ổ cứng và cài lại Windows. Nên nhớ là chỉ FORTMAT TOÀN BỘ Ổ CỨNG thì mới sạch máy, chứ chỉ format ổ C rồi cài lại thì không giải quyết được vấn đề.