Trong thời gian gần đây, chúng tôi đã tiếp nhận một ổ cứng bị nhiễm virus mã hóa dữ liệu hay còn gọi là virus tống tiền. Trường hợp lần này không còn như những loại mã hóa chúng tôi cảnh báo trước đó. Quá trình mã hóa đã tinh vi hơn rất nhiều, gây khó khăn trong quá trình cứu dữ liệu, đồng thời số tiền đòi chuộc cũng tăng lên nhiều lần.
                                                   

1. Virus mã hóa dữ liệu là gì?

Virus mã hóa dữ liệu hay còn biết đến là phần mềm độc hại ransomware nó là mã độc có thể lây nhiễm vào máy tính và khóa hết dữ liệu làm người dùng không thể sử dụng được. Biểu hiện tất cả các file dữ liệu xuất hiện thêm đuôi .CRAB, .CCC, .AAA…. . Để lấy lại dữ liệu, người dùng buộc phải gửi tiền mua key theo yêu cầu của tin tặc. Cũng vì số tiền phải trả để chuộc dữ liệu quá lớn nên nó được mọi người gọi là virus tống tiền.

2. Tình huống virus mã hóa dữ liệu chúng tôi gặp phải?

Khách hàng mang ổ cứng bị nhiễm virus mã hóa, do không có chuyên môn khách đã thực hiện nhiều thao tác thao tác hướng dẫn của mã độc. Khiến cho virus được mã hóa 2 lớp. Nếu quá trình kiểm tra có sai xót sẽ rất khó phát hiện. Thường những chuyên gia mới phân tích được những bất thường về các lớp mã hóa của virus. Nếu trong 1 năm về trước, dữ liệu có thể giải mã bằng 1 key để đọc dữ liệu, lần này để đọc dữ liệu, sẽ cần nhiều key hơn, đồng thời số tiền cũng tăng lên, có thể tới hàng trăm triệu.
Các virus tống tiền tấn công và phát triển theo cách ngày càng tinh vi khó phát hiện, đồng thời số tiền giải mã ngày càng tăng cao.

3. Các loại virus mã hóa, virus tống tiền.

• CryptoLocker – là cuộc tấn công vào năm 2013 đã bắt đầu tên tuổi của ransomware hiện đại và đã lây nhiễm tới 500.000 máy. Dấu hiệu là tất cả các file dữ liệu xuất hiện thêm đuôi: *.Crypt, *.Crypz
• TeslaCrypt – tập trung vào các trò chơi và cải tiến liên tục trong thời gian tiếp theo với nhiều biến thể khác nhau. Biến thể đầu tiên là *.ECC sau đó *.VVV, *.CCC, *.ZZZ, *.AAA, *.ABC, *.XYZ và phiên bản sau cùng là *.XXX, *. TTT, *.MP3, *.MICRO
• WannaCry – lây lan tự trị từ máy tính này sang máy tính khách bằng cách sử dụng EternalBlue, được phát triển bởi NSA và sau đó bị đánh cắp bởi tin tặc
• NotPetya – cũng sử dụng EternalBlue và tấn công không gian mạng do Nga điều khiển chống lại Ukraine
• Locky – bắt đầu lan truyền vào năm 2016 “tương tự như phương thức tấn công của nó với phần mềm ngân hàng khét tiếng Dridex”.

• Thời gian gian gần đây, khoảng cuối tháng 3/2018 chúng tôi nhận được nhiều yêu cầu cứu dữ liệu từ một loại virus mới đổi đuôi tất cả các file dữ liệu thành *.CRAB. Như các loại virus mã hóa dữ liệu trước đây, cách duy nhất để giải mã dữ liệu là phải trả 1 khoản phí để mua key. Thực tế chúng tôi kiểm tra mức giá để giải mã virus .CRAB dao động khoảng 300USD-500USD.
                                                                  
4. Cách phục hồi dữ liệu bị virus mã hóa.    

Để phục hồi dữ liệu bị virus mã hóa, người dùng sẽ không có cách nào khác ngoài việc mua key bên nước ngoài. Đây cũng là hình thức rủi ro nhất, vì bên mua sẽ không có được bất kỳ thông tin nào của bên bán, cũng không có bất kỳ chứng từ xác nhận nào. Có nhiều người không có kinh nghiệm thực hiện giao dịch, vừa mất tiền, mà key lại không hoạt động.
Để tránh “tiền mất tật mang” bạn nên thực hiện giao dịch theo từng công đoạn chia nhỏ. Ví dụ một ổ cứng bị virus mã hóa. Bạn cần phải phải lấy key test giải mã, nếu đúng có thể sử dụng được thì hãy chia nhỏ dữ liệu thành nhiều lần giải mã và thanh toán tiền, tránh mất trắng tiền.
                                                
Lưu ý: Hiện nay tất cả các phần mềm cứu dữ liệu virus mã hóa chỉ là bài câu view, hãy thận trọng khi áp dụng theo tránh trường hợp bị mã hóa chồng chéo sẽ tốn nhiều tiền hơn, quá trình thực hiện cứu dữ liệu càng khó khăn hơn. Thực tế chúng tôi đã nhận phục hồi dữ liệu từ ổ cứng bị virus mã hóa đến 3 – 4 lần vì người dùng tự ý giao dịch khi chưa có kinh nghiệm. Nếu không tự tin giao dịch tốt hơn hết bạn hãy nhờ đến các công ty cứu dữ liệu để được hỗ trợ tư vấn hoặc giải mã lấy lại dữ liệu.

– Nên nhanh chóng mua key để giải mã. Vì loại virus mã hóa dữ liệu này rất tinh vi, để tránh bị An Ninh quốc tế phát hiện chúng đưa ra hạn giao dịch và thường xuyên thay đổi hệ thống Server giao dịch, đánh sập hệ thống Server cũ. Lúc này dữ liệu của bạn sẽ bị mất vĩnh viễn nếu không giao dịch kịp thời hoặc số tiền có thể sẽ bị nhân 2, 3 lần nếu không giao dịch đúng hẹn.

– Sau khi giải mã cứu được dữ liệu hãy format và cài lại windows trước khi sử dụng chiếc ổ cứng bị nhiễm mã độc đó. Tránh trường hợp mã độc vẫn tồn tại ngầm trong ổ sẽ mã hóa ngược lại dữ liệu đã cứu được.

5. Tại sao máy tính lại nhiễm virus mã hóa dữ liệu?

Máy tính vị nhiễm virus mã hóa dữ liệu chủ yếu là do thao tác sử dụng của người dùng. Vì thiếu kinh nghiệm, thiếu kiến thức về các phòng chống, cũng như nguyên nhân nhiễm độc. Các trường hợp lây nhiễm phổ biến nhất:
• Người dùng click vào đường link lạ trong email, trong messenger facebook, instagram, hay skype… Rất nhiều người không đề đề phòng đến những tin nhắn lạ, đường link lạ và click vào.
• Người dùng thường xuyên truy cập vào những trang web khiêu dâm, nơi xuất hiện nhiều pop-up quảng cáo. Tải phim từ trên đó càng dễ bị nhiễm virus.
• Tải ứng dụng và tài liệu trên mạng ở những trang web không an toàn, hoặc có cảnh báo không được quét virus bạn vẫn cố tình tải xuống máy tính. Đầu năm 2018 đa số bị nhiễm virus mã hóa .CRAB khi tải phần mềm HTKT từ website không uy tín.
Rất nhiều người e dè việc cài đặt phần mềm diệt virus vì nặng máy, tốn phí mua key cho đến khi phải trả đến hàng trăm triệu để chuộc dữ liệu. Ngoài việc cài đặt phần mềm anti virus các bạn nên lưu dữ liệu 1 cách an toàn để tự bảo vệ dữ liệu của mình khỏi bị virus mã hóa dữ liệu bằng cách sao lưu dữ liệu thường xuyên.