Hướng dẫn Tấn công Ransomware: Cách hoạt động và Mẹo phòng chống

Tấn công Ransomware là gì?

Một tấn công ransomware xảy ra khi những kẻ hack triển khai malware khóa tệp hoặc chặn truy cập hệ thống. Họ yêu cầu thanh toán, thường bằng tiền điện tử, để khôi phục nó. Các biến thể hiện đại đi xa hơn với tấn công kép. Những kẻ tấn công ăn cắp dữ liệu và đe dọa rò rỉ nó nếu nạn nhân từ chối trả tiền. Một số nhóm hiện sử dụng tấn công ba lần, kết hợp các cuộc tấn công DDoS hoặc nhắm mục tiêu vào các bên thứ ba liên quan đến nạn nhân.

Dòng dưới cùng: Ransomware khóa các tệp của bạn và yêu cầu thanh toán. Các biến thể hiện đại ăn cắp dữ liệu của bạn trước tiên để sử dụng làm áp lực ngay cả sau khi giải mã. Yêu cầu tiền chuộc trung vị hiện nằm ở mức 1 triệu đô la. Chi phí phòng ngừa ít hơn nhiều: các sao lưu mạnh tuân theo quy tắc 3-2-1-1-0, MFA chống phishing, hệ thống được vá, và phân đoạn mạng loại bỏ hầu hết các đường tấn công trước khi chúng bắt đầu.

Điều gì sẽ xảy ra nếu các tệp, ảnh và bản ghi kinh doanh của bạn biến mất phía sau khóa kỹ thuật số? Chỉ có tội phạm giữ chìa khóa duy nhất yêu cầu thanh toán. Thực tế đó định nghĩa một tấn công ransomware. Hình thức tội phạm mạng này không chỉ chặn truy cập đến dữ liệu của bạn. Trong nhiều trường hợp, những kẻ hack hiện ăn cắp nó trước tiên và đe dọa rò rỉ nó nếu tiền chuộc không được trả.

Nguy cơ đã tăng lên đáng kể. Ransomware-as-a-Service giúp các tội phạm dễ dàng khởi động các cuộc tấn công. Ngay cả những kẻ hack kỹ năng thấp cũng có thể gây thiệt hại lớn. Các trường hợp gần đây đã làm gián đoạn các bệnh viện, nhà cung cấp thực phẩm và dịch vụ chính phủ. Không có ngành nào là an toàn.

Tác động vượt xa ngoài tiền chuộc. Nạn nhân đối mặt với thời gian chết dài, mất lòng tin của khách hàng và mất dữ liệu vĩnh viễn. Những gì từng có vẻ hiếm kỳ đã trở thành một rủi ro hàng ngày đối với cá nhân, các doanh nghiệp nhỏ và các tập đoàn lớn. Hướng dẫn này giải thích lý do tại sao những tấn công này tiếp tục gia tăng và cung cấp các bước thực tế để bảo vệ dữ liệu của bạn.

1. Thanh toán tiền chuộc trung bình: 1 triệu đô la (trung vị), đánh dấu sự gia tăng liên tục trong các yêu cầu của những kẻ tấn công so với những năm trước.
2. Tần suất ăn cắp dữ liệu: 74% tấn công ransomware hiện liên quan đến việc xác nhận exfiltration dữ liệu trước khi mã hóa, biến các vi phạm thành các trường hợp tấn công kép.
3. Thời gian phá vỡ: Từ vài giây đến phút. Những diễn viên đe dọa hiện đại di chuyển ngang trong các mạng gần như ngay lập tức sau khi truy cập ban đầu, giảm cửa sổ để phát hiện hoặc phản ứng.

Các cuộc tấn công mạng tấn công nhanh chóng và mạnh mẽ với các yêu cầu tiền chuộc triệu đô la, ăn cắp dữ liệu rộng rãi và vi phạm gần như tức thì. Mã hóa mạnh và phòng chống chủ động không còn là tùy chọn.

Các tấn công Ransomware bắt đầu như thế nào?

Ransomware lây lan bằng cách khai thác những điểm yếu trong việc sử dụng kỹ thuật số hàng ngày. Những kẻ tấn công không cần các thủ thuật nâng cao. Họ dựa vào lỗi của con người, hệ thống lỗi thời và truy cập không an toàn.

Tại sao những tấn công này tiếp tục leo thang

Ransomware không còn là một tội phạm mạng một lần. Nó hoạt động như một ngành công nghiệp đang phát triển. Những kẻ tấn công kết hợp tự động hóa, kỹ thuật xã hội và các dịch vụ thị trường đen để nhắm mục tiêu vào các mục tiêu có mọi kích thước. Một số yếu tố thúc đẩy sự tăng trưởng này:

• Tiếp xúc làm việc từ xa: Nhân viên kết nối thông qua các thiết bị cá nhân hoặc Wi-Fi không an toàn, làm lộ các mạng để ăn cắp thông tin đăng nhập. Các quét tự động hiện đạt 36.000 hệ thống mỗi giây.
• Bảo mật yếu và khoảng trống kỹ năng: Nhiều tổ chức thiếu các kiểm soát truy cập nghiêm ngặt hoặc vá lỗi kịp thời. Thiếu hụt tài năng an ninh mạng khiến các công ty chưa chuẩn bị.
• Ransomware-as-a-Service (RaaS): Bộ dụng cụ tấn công được bán trên các diễn đàn ngầm cho phép ngay cả những kẻ hack kỹ năng thấp cũng khởi động các chiến dịch gây hại. Mô hình này làm cho ransomware có thể mở rộng quy mô và có lợi nhuận.
• Thanh toán tiền điện tử: Thanh toán ẩn danh thông qua Bitcoin và Monero trao cho những tội phạm sự tự tin. Các giao dịch khó theo dõi, vì vậy các nhóm coi xem lại là rủi ro thấp, phần thưởng cao.
• Tấn công dựa trên dữ liệu: Những kẻ tấn công exfiltrate dữ liệu nhạy cảm trước khi mã hóa. Các khoản thanh toán trung bình vượt quá 1,1 triệu đô la, và 74% tấn công liên quan đến dữ liệu bị ăn cắp. Mỗi khoản thanh toán thành công khuyến khích các chiến dịch nhái.

Email phishing và các tài liệu độc hại

Hầu hết các tấn công ransomware bắt đầu với phishing. Các email giả mạo là hóa đơn, thông báo giao hàng hoặc các bản cập nhật HR lừa người dùng nhấp vào các liên kết hoặc tải xuống tệp đính kèm. Một lần nhấp có thể tải xuống malware hoặc ăn cắp thông tin đăng nhập. Khi bên trong, ransomware lây lan thông qua các ổ đĩa được chia sẻ và mã hóa các tệp trên toàn mạng.

Thông tin đăng nhập hợp lệ và khoảng trống MFA

Mật khẩu yếu hoặc được sử dụng lại tạo cho những kẻ tấn công một cách nhanh chóng. Họ sử dụng chuỗi thông tin đăng nhập hoặc cố gắng vũ phu để truy cập các VPN, tài khoản email và máy tính để bàn từ xa. Sau khi đăng nhập, những kẻ tấn công di chuyển ngang, vô hiệu hóa các công cụ bảo mật và khởi động ransomware. Các khoảng trống như MFA bị vô hiệu hóa hoặc đơn sign-on được triển khai kém làm cho các xâm nhập nhanh hơn.

RDP và VPN Appliances được phơi bày

Remote Desktop Protocol (RDP) và VPN vẫn là những điểm truy cập ban đầu chính. Những kẻ tấn công sử dụng cố gắng vũ phu đăng nhập và chuỗi thông tin đăng nhập để đạt được truy cập trái phép. Khi bên trong, họ thiết lập các công cụ tồn tại, làm cho phát hiện khó khăn hơn.

Hơn 60% các sự cố ransomware bắt đầu với việc lạm dụng RDP hoặc truy cập VPN. Nhiều nhóm tội phạm mua và bán những điểm truy cập “sẵn sàng sử dụng” này trên các thị trường web tối, tăng tốc độ tấn công.

CVEs đã biết và các thiết bị Edge không được vá

Các lỗ hổng phần mềm chưa được vá là cánh cửa thứ hai chính. Tường lửa, máy chủ email và cổng VPN với các CVE đã biết được quét xung quanh đồng hồ bởi các nhà khai thác ransomware. Các lỗ hổng Fortinet, Citrix và Microsoft Exchange thường được khai thác. Độ trễ vá trung bình của doanh nghiệp chạy 45–60 ngày, trong khi các nhóm ransomware thường khai thác trong vòng 48 giờ sau khi tiết lộ. Các nhà môi giới truy cập hiện đóng gói các khai thác với các thông tin đăng nhập bị ăn cắp để bán cho các liên kết, giảm rào cản kỹ thuật cho những kẻ tấn công.

Chuỗi cung ứng và truy cập của bên thứ ba

Ransomware không phải lúc nào cũng chạm trực tiếp. Đôi khi nó đến qua một đối tác. Các nhà cung cấp dịch vụ IT bị xâm phạm, các bản cập nhật phần mềm hoặc nhà cung cấp có lỗi bảo mật yếu đóng vai trò là bước đi. Các cuộc tấn công nổi bật đã cho thấy rằng các vi phạm chuỗi cung ứng có thể lây lan ransomware đến hàng trăm khách hàng cùng một lúc. Các nhóm đe dọa cũng tập trung vào các nhà cung cấp dịch vụ được quản lý (MSPs), vì một vi phạm có thể cung cấp hàng chục nạn nhân trong một chiến dịch duy nhất.

Nơi các tấn công Ransomware thường bắt đầu

Khoảng 75% các trường hợp bắt nguồn từ ai đó nhấp vào một liên kết giả mạo hoặc mở một tệp đính kèm độc hại. Những kẻ hack cũng sử dụng phần mềm chưa được vá, mật khẩu yếu hoặc truy cập từ xa không an toàn để có được lối vào. Khi bên trong, malware mã hóa các tệp và để lại một tờ giấy yêu cầu thanh toán.

Các báo cáo bảo mật cho thấy tăng 46% trong các cuộc tấn công công nghiệp trong những năm gần đây. Các tội phạm hiện sử dụng Ransomware-as-a-Service (RaaS), cho phép bất cứ ai cho thuê các công cụ tấn công trực tuyến. Điều này giảm rào cản, vì vậy ngay cả những kẻ hack kỹ năng thấp hơn cũng có thể khởi động các hoạt động quy mô lớn.

Nhìn lại các cuộc tấn công lớn

Ransomware đã phát triển nhanh chóng.

• 1989: Trường hợp đầu tiên, AIDS Trojan, khóa các tệp sau 90 lần khởi động lại và yêu cầu thanh toán qua thư.
• 2013: CryptoLocker lây lan rộng rãi, lây nhiễm hơn 250.000 hệ thống và giới thiệu các yêu cầu tiền chuộc Bitcoin quy mô lớn.
• 2017: WannaCry hit 200.000+ máy tính ở 150 quốc gia, làm tê liệt bệnh viện, ngân hàng và doanh nghiệp trên toàn thế giới.
• 2017: NotPetya giả vờ như ransomware nhưng là malware phá hủy, khiến các doanh nghiệp toàn cầu thiệt hại hàng tỷ đô la.
• 2019: Các nền tảng RaaS như REvil và GandCrab làm cho các cuộc tấn công dễ dàng hơn để khởi động, thúc đẩy sự tăng trưởng trong tống tiền mạng.
• 2021: Cuộc tấn công Colonial Pipeline làm gián đoạn nguồn cung xăng dầu của Mỹ, cho thấy cách ransomware có thể nhắm mục tiêu cơ sở hạ tầng quan trọng.
• 2022: Chính phủ Costa Rica tuyên bố tình trạng khẩn cấp quốc gia sau khi Conti ransomware làm tê liệt các bộ và hệ thống chăm sóc sức khỏe.
• 2023–hiện tại: AI-driven ransomware, chẳng hạn như LockBit 3.0, BlackCat và Adaptix, lây lan nhanh hơn, thích ứng với phòng chống và gây thiệt hại tài chính và hoạt động lớn hơn.

Ransomware khác với các mối đe dọa khác như thế nào?

Các malware khác có thể theo dõi người dùng, xóa tệp hoặc làm chậm hệ thống. Ransomware là khác nhau. Nó chặn truy cập và yêu cầu tiền, thường để nạn nhân chỉ có hai lựa chọn: trả tiền hoặc mất dữ liệu.

Sự kết hợp này của tống tiền và gián đoạn làm cho nó trở thành một trong những hình thức tội phạm mạng nguy hiểm nhất ngày hôm nay. Những kẻ hack khóa tệp hoặc tắt các hệ thống, yêu cầu thanh toán và sử dụng tấn công kép hoặc ba để tối đa hóa áp lực.

Các loại và chiến thuật của Ransomware hiện đại

Dưới đây là các gia đình hoạt động phổ biến nhất và các phương pháp của chúng.

Các gia đình Ransomware hoạt động hiện nay

• LockBit – Nhóm hoạt động nhất, cung cấp RaaS với các chi nhánh trên toàn thế giới.
• Clop – Nổi tiếng vì khai thác MOVEit Transfer và các chiến dịch ăn cắp dữ liệu quy mô lớn.
• ALPHV (BlackCat) – Được viết bằng Rust, linh hoạt để nhắm mục tiêu nhiều hệ điều hành.
• Royal/Black Basta – Các cuộc tấn công tấn công kép tích cực chống lại các doanh nghiệp.
• Play Ransomware – Sử dụng các công cụ tùy chỉnh để vượt qua phòng chống và lây lan nhanh chóng.
• Akira – Nhóm đang nổi đánh vào các doanh nghiệp có kích thước trung bình với chiến thuật rò rỉ dữ liệu.

Chuỗi tấn công: Từ mục nhập đến tờ giấy yêu cầu tiền chuộc

Truy cập ban đầu → Lợi tức đặc quyền → Di chuyển bên → Exfiltration → Mã hóa → Tống tiền

• Thời gian phá vỡ trung bình: Báo cáo Mối đe dọa Toàn cầu của CrowdStrike cho thấy thời gian phá vỡ eCrime trung bình giảm xuống 48 phút, với lần phá vỡ nhanh nhất được ghi nhận chỉ trong 51 giây. Những kẻ tấn công có thể di chuyển từ thỏa hiệp ban đầu đến lây lan nội bộ trong dưới một giờ.
• Tốc độ tác động: Khi được triển khai, mã hóa tệp có thể chỉ mất vài phút. Những người bảo vệ thường có cửa sổ phát hiện hẹp trước khi các hệ thống bị khóa.

Ánh xạ đến các ID ATT&CK MITRE

• Truy cập ban đầu → T1078 (Tài khoản hợp lệ)
• Lợi tức đặc quyền → T1068 (Khai thác cho Escalation đặc quyền)
• Di chuyển bên → T1021 (Dịch vụ từ xa)
• Exfiltration → T1041 (Exfiltration qua Kênh C2)
• Mã hóa → T1486 (Dữ liệu được mã hóa cho tác động)
• Tống tiền → T1657 (Exfiltration cho tác động)

Tốc độ mã hóa và cửa sổ phát hiện

Ransomware không cần nhiều thời gian để gây hại. Trong nhiều trường hợp, mã hóa bắt đầu trong vài giây từ khi malware thực thi. Một số chủng khóa hàng nghìn tài liệu trong vài phút. Những kẻ tấn công thường di chuyển ngang trước, lây lan đến các ổ đĩa được chia sẻ và máy chủ trước khi mã hóa đầy đủ. Việc ăn cắp dữ liệu có thể xảy ra trước hoặc trong giai đoạn này, cho phép tấn công kép.

Cửa sổ phát hiện là nhỏ. Nhiều tổ chức chỉ phát hiện hoạt động sau khi thiệt hại đã bắt đầu. Thời gian phục hồi phụ thuộc vào tần suất sao lưu, phân đoạn mạng và tốc độ phản ứng sự cố. Cách ly nhanh chóng và sao lưu sạch giới hạn thiệt hại. Một phản ứng chậm cho phép những kẻ tấn công tối đa hóa thiệt hại và yêu cầu tiền chuộc lớn hơn.

Ransomware ảnh hưởng đến doanh nghiệp của bạn như thế nào

Một cuộc tấn công ransomware làm nhiều hơn là khóa tệp. Nó làm gián đoạn quy trình công việc, làm rơi các nguồn tài nguyên và làm mòn lòng tin. Thiệt hại là cả kỹ thuật và chiến lược. Các công ty ưu tiên bảo vệ ransomware thấy rằng dễ dàng chứa các mối đe dọa và phục hồi nhanh hơn.

Tác động hoạt động ngay lập tức

• Các endpoint và máy chủ được mã hóa. Các tệp trở thành không thể đọc được trong vài phút.
• Các đường sản xuất và dịch vụ dừng lại. Đơn đặt hàng, lương và các cổng thông tin khách hàng tắc.
• Các sao lưu thường bị nhắm mục tiêu hoặc xóa, làm cho phục hồi chậm hoặc không thể.

Kết quả: Công việc ngừng trệ trong khi các đội vội vàng tìm các bản sao an toàn.

Hậu quả tài chính và pháp lý

• Yêu cầu tiền chuộc là một hóa đơn. Toàn bộ đơn bao gồm phản ứng sự cố, giờ pháp y, xây dựng lại hệ thống, mất doanh thu và tranh chấp bảo hiểm.
• Tiền phạt quy định và thông báo vi phạm bổ sung chi phí.
• Các vụ kiện và kiểm toán tuân thủ có thể theo sau, ngay cả sau khi các hệ thống được trở lại trực tuyến.
• Trả tiền chuộc có thể kích hoạt các lệnh trừng phạt hoặc hậu quả pháp lý nếu các quỹ đạt đến các nhóm bị cấm.

Lòng tin, hợp đồng và tổn thất thị trường

• Khách hàng rời đi sau khi tiếp xúc dữ liệu. Đối tác tạm dừng tích hợp.
• Nhà cung cấp đánh giá lại các hợp đồng. Nhà đầu tư gắn cờ rủi ro.
• Các công ty nhỏ có thể mất bids và địa vị thị trường mất nhiều năm để xây dựng.

Chi phí ẩn, dài hạn

• Mất tài sản trí tuệ và phân tích.
• Tỷ lệ bảo hiểm cao hơn và các điều khoản hợp đồng nghiêm ngặt hơn.
• Kiệt sức nhân viên và chuyển đi từ xử lý khủng hoảng lặp đi lặp lại.

Những chi phí này làm mòn giá trị một cách chậm chạp và im lặng.

Ransomware có thể lây lan qua VPN không?

Có. Mạng riêng ảo (VPN) có thể trở thành con đường giao hàng khi thông tin đăng nhập hoặc thiết bị bị xâm phạm. Sử dụng một dịch vụ VPN có danh tiếng với mã hóa mạnh và thực thi MFA giảm rủi ro này đáng kể.

• Đăng nhập VPN bị ăn cắp từ phishing
• Các thiết bị VPN dễ bị tổn thương hoặc lỗi thời
• Các thiết bị ở nhà bị nhiễm cầu nối malware vào văn phòng
• Các mạng phẳng nơi VPN cung cấp truy cập rộng, không kiểm tra

Sửa nhanh: Bật MFA và vá lỗi firmware VPN. Cứng hóa: Thực thi truy cập zero-trust và giảm quyền được cấp bởi các đường hầm VPN.

Dấu hiệu bạn đang phải đối mặt với cuộc tấn công Ransomware

Phát hiện cảnh báo sớm có thể tiết kiệm dữ liệu và tiền của bạn. Những kẻ hack thường lại để lại những dấu hiệu. Dưới đây là các dấu hiệu phổ biến:

• Khóa tệp đột ngột – Bạn không thể mở các tệp hoạt động tốt trước đó.
• Làm chậm hệ thống hoặc sự cố – Máy tính bị đông hoặc khởi động lại mà không có lý do.
• Ghi chú thanh toán lạ – Các tin nhắn bật lên yêu cầu tiền hoặc Bitcoin.
• Phần mở rộng tệp lạ – Các tệp thay đổi tên hoặc nhận các phần mở rộng mới mà bạn không nhận ra.
• Các thư mục được mã hóa – Các thư mục quan trọng xuất hiện scrambled hoặc không thể đọc được.
• Công cụ bảo mật bị vô hiệu hóa – Antivirus hoặc tường lửa ngừng hoạt động mà không có cảnh báo.
• Hoạt động mạng bất thường – Lưu lượng cao hoặc các kết nối không xác định hiển thị trên hệ thống của bạn.
• Pop-up bất thường – Các cảnh báo xuất hiện ngay cả khi không có chương trình nào chạy.

Hành động nhanh là quan trọng. Nếu bị bỏ qua, cuộc tấn công có thể lây lan nhanh chóng và gây thiệt hại lâu dài. Một sự cố duy nhất có thể làm gián đoạn kinh doanh, rò rỉ dữ liệu riêng tư và chi phí hàng nghìn trong khôi phục.

Hậu quả thực tế của Ransomware đối với các công ty

Ransomware kích hoạt một chuỗi phản ứng có thể tê liệt một doanh nghiệp trong nhiều tháng hoặc thậm chí năm. Hậu quả vượt xa các đội IT và chạm vào mọi phần của một tổ chức.

Hậu quả tài chính tiếp tục phát triển

Yêu cầu tiền chuộc thường chỉ là khởi đầu. Các công ty phải đối mặt với thời gian chết làm dừng doanh thu, chi phí phản ứng khẩn cấp, các cuộc điều tra pháp y và các hình phạt quy định tiềm năng. Trong chăm sóc sức khỏe và tài chính, một vi phạm duy nhất có thể dẫn đến mất hàng triệu đô la. Đối với các công ty nhỏ hơn, chi phí khôi phục một mình có thể đe dọa sự sống còn.

Ăn cắp dữ liệu, tuân thủ và tiếp xúc pháp lý

Với tấn công kép hiện là chuẩn, những kẻ tấn công ăn cắp các tệp nhạy cảm trước khi mã hóa các hệ thống. Dữ liệu bị ăn cắp có thể xuất hiện trên web tối, tạo ra các rủi ro trộm cắp danh tính dài hạn cho khách hàng và nhân viên. Các công ty phải đối mặt với các vụ kiện, vi phạm tuân thủ và các cuộc kiểm tra quy định trong các ngành có dữ liệu sâu như ngân hàng, giáo dục và chính phủ.

Tiêu rơi lòng tin và danh tiếng

Thiệt hại danh tiếng thường kéo dài hơn cuộc tấn công. Khách hàng đặt câu hỏi liệu thông tin của họ có an toàn không. Đối tác do dự để hợp tác. Nhà đầu tư xem công ty có rủi ro cao. Các doanh nghiệp có thể dành nhiều năm để xây dựng lại uy tín, ngay cả sau khi các hệ thống được khôi phục hoàn toàn.

Gián đoạn hoạt động và chiến lược

Ransomware tắt toàn bộ hoạt động. Sản xuất dừng lại, chuỗi cung ứng bị gián đoạn và cung cấp dịch vụ thất bại. Sau khi khôi phục, nhiều công ty dành nhiều tháng xử lý kiểm toán, vụ kiện và các đạo luật bảo mật. Đối với một số doanh nghiệp nhỏ, gián đoạn quá nghiêm trọng khiến họ không bao giờ mở lại.

Chi phí ẩn, dài hạn

Ngay cả những công ty sống sót thường phải đối mặt với tăng giá bảo hiểm, yêu cầu tuân thủ nghiêm ngặt hơn và giảm khả năng cạnh tranh. Những chi phí ẩn này từ từ làm mòn tính sinh lợi.

Làm gì nếu công ty của bạn bị tấn công

Giờ đầu tiên là quan trọng. Những gì bạn làm tiếp theo quyết định lượng thiệt hại lây lan như thế nào và bạn khôi phục nhanh như thế nào.

Danh sách kiểm tra giờ đầu tiên

Sử dụng cái này làm hướng dẫn cho hành động ngay lập tức.

Cách ly mối đe dọa

• Ngắt kết nối các endpoint bị nhiễm từ mạng.
• Vô hiệu hóa chia sẻ tệp SMB và chặn các chỉ số C2 đã biết.
• Khóa hoặc vô hiệu hóa các tài khoản hiển thị hoạt động đáng ngờ.

Kích hoạt đội phản ứng sự cố

• Đưa vào IT, Bảo mật, Pháp lý, Truyền thông và lãnh đạo điều hành.
• Thiết lập một kênh truyền thông an toàn (tránh email doanh nghiệp nếu bị xâm phạm).

Bảo tồn chứng cứ

• Lưu các ghi chú tiền chuộc, nhật ký đáng ngờ, bộ nhớ hệ thống và các mẫu malware.
• Ghi lại dòng thời gian của các sự kiện cho cuộc điều tra pháp y.

Phạm vi thiệt hại

• Xác định hệ thống nào được mã hóa.
• Xác nhận nếu dữ liệu bị exfiltrated.
• Kiểm tra tính khả dụng và tính toàn vẹn của sao lưu.

Liên hệ hỗ trợ chuyên gia

• Liên hệ đối tác IR hoặc nhà cung cấp an ninh mạng của bạn.
• Báo cáo cho thực thi pháp luật.
• Kiểm tra NoMoreRansom.org cho các công cụ giải mã miễn phí.

Giao tiếp minh bạch

• Gửi cập nhật bằng ngôn ngữ đơn giản cho nhân viên và các bên liên quan.
• Yên tâm khách hàng trong khi tránh suy đoán.

Quyết định con đường phục hồi

• Ưu tiên khôi phục từ các sao lưu sạch.
• Xem xét xây dựng lại bằng các hình ảnh vàng nếu cần.
• Chỉ xem xét giải mã nếu được xác minh là an toàn.

Không

• Đừng vội vàng trả tiền chuộc. Đó không phải là sự đảm bảo về phục hồi.
• Không xóa nhật ký hoặc chứng cứ. Bạn sẽ mất các mẹo quan trọng.
• Không kết nối lại USB hoặc các sao lưu ngoại tuyến quá sớm. Họ có thể được mã hóa.

Phục hồi thực sự hoạt động

Đưa các hệ thống trở lại trực tuyến không chỉ là về khôi phục các tệp. Đó là về xây dựng lại lòng tin và đảm bảo cuộc tấn công không lặp lại. Một kế hoạch phục hồi có cấu trúc giữ cho tổ chức của bạn ổn định trong khi chứng minh cho các bên liên quan rằng bảo mật quan trọng.

Sao lưu: Quy tắc 3-2-1-1-0

• 3 bản sao dữ liệu
• 2 loại phương tiện khác nhau
• 1 ngoài địa điểm
• 1 bất biến (ghi một lần)
• 0 lỗi trên các bài kiểm tra khôi phục

Khôi phục sạch

• Xác minh các hình ảnh vàng trước khi triển khai lại.
• Nhập lại tất cả thông tin đăng nhập, mã token API và chứng chỉ.
• Xoay các tài khoản được ưu tiên.

Thông báo

• Nếu dữ liệu được quy định được tiếp xúc, hãy chuẩn bị các thông báo vi phạm bắt buộc.
• Thông báo cho khách hàng bằng các câu lệnh ngắn, thực tế. Tránh suy đoán.

Khóa giải mã

• Luôn kiểm tra NoMoreRansom trước khi trả tiền.
• Tỷ lệ thành công khác nhau. Xác minh cẩn thận trước khi cố gắng.

Các công ty sử dụng cuộc tấn công làm điểm quay để cứng hóa phòng chống, cải thiện nhận thức nhân viên và hiện đại hóa sao lưu xuất hiện mạnh hơn và dễ bị tổn thương hơn nhiều với các sự cố lặp lại.

Cách ngăn chặn các tấn công Ransomware

Phòng ngừa ransomware không phải là về một công cụ. Đó là về các thói quen nhất quán, kiểm soát danh tính mạnh, phòng chống lớp và các chiến lược phục hồi được kiểm tra. Một công ty xây dựng bảo mật vào các hoạt động hàng ngày ít có khả năng kết thúc bằng cách trả tiền chuộc hoặc mất lòng tin.

Phòng ngừa bền vững

• Bảo mật danh tính: Sử dụng MFA chống phishing như FIDO2 hoặc các ứng dụng xác thực. Loại bỏ các thông tin đăng nhập cũ và thực thi truy cập quyền hạn thấp nhất trên tất cả các tài khoản.
• Lọc email & web: Sử dụng hộp cát cho các tệp đính kèm rủi ro, chặn các macro không an toàn và áp dụng lọc miền để dừng phishing hoặc các trang web malware.
• Bảo vệ endpoint: Triển khai EDR/XDR trên tất cả các thiết bị và máy chủ. Bật bảo vệ chống giả mạo và giám sát các cảnh báo liên tục.
• Kiểm soát mạng: Phân đoạn mạng, hạn chế SMB và áp dụng các quy tắc “từ chối mặc định”. Sử dụng lọc thoát để chặn giao tiếp với các máy chủ điều khiển và điều khiển.
• Quản lý vá lỗi & tài sản: Giữ các hệ thống cập nhật và duy trì một kho lưu trữ tài sản trực tiếp. Ưu tiên vá lỗi các lỗ hổng quan trọng hướng vào internet.
• Khả năng phục hồi sao lưu: Duy trì ít nhất một sao lưu bất biến, được kiểm tra để đảm bảo khôi phục nếu ransomware tấn công.
• Bảo mật truy cập từ xa: Vô hiệu hóa các phiên RDP mở, thay thế truy cập VPN rộng bằng các VPN cho mỗi ứng dụng và thực thi các tiêu chuẩn bảo mật bằng nhau cho các thiết bị từ xa.
• Sẵn sàng & phản ứng: Tiến hành các bài tập bàn cầu hàng quý và giữ các sách lưu trữ trực tiếp, dễ truy cập để phản ứng nhanh, điều phối trong các cuộc tấn công.

Phòng chống mạnh mẽ không được xây dựng qua đêm. Thực hành và kỷ luật liên tục làm cho ransomware ít có khả năng thành công. Các doanh nghiệp coi bảo mật như một quá trình liên tục khôi phục nhanh hơn và với ít tổn thương dài hạn hơn.

Phòng chống Ransomware theo ngành: Sách chơi được nhắm mục tiêu

Những kẻ tấn công biết rằng các ngành khác nhau có các điểm yếu khác nhau. Mọi ngành đều cần một sách chơi tập trung. Dưới đây là hướng dẫn thực tế phù hợp với các mục tiêu phổ biến nhất:

Chăm sóc sức khỏe

Bệnh viện và phòng khám chạy các hệ thống kế thừa không thể chịu được thời gian chết. Ưu tiên phân đoạn mạng giữa các thiết bị y tế và các hệ thống hành chính. Thực thi sao lưu tuân thủ HIPAA và chạy các bài tập bàn cầu hàng quý. Đào tạo nhân viên lâm sàng về nhận dạng phishing vì những kẻ tấn công thường nhắm mục tiêu vào các bộ phận thanh toán và lập lịch.

Dịch vụ tài chính

Các ngân hàng và công ty bảo hiểm phải tuân thủ các yêu cầu PCI DSS và SOX nghiêm ngặt. Triển khai phát hiện endpoint trên mọi terminal giao dịch và hệ thống hướng khách hàng. Duy trì các sao lưu bất biến với các mục tiêu thời gian phục hồi dưới 4 giờ. Yêu cầu MFA mã token phần cứng để truy cập được ưu tiên vào các hệ thống xử lý thanh toán.

Giáo dục

Các trường và đại học quản lý các mạng mở lớn với hàng nghìn endpoint. Phân đoạn Wi-Fi sinh viên từ các hệ thống hành chính. Vá các cổng thông tin hướng sinh viên tích cực vì chúng là các mục tiêu phổ biến để ăn cắp thông tin đăng nhập. Duy trì các sao lưu ngoại tuyến của hồ sơ sinh viên và dữ liệu nghiên cứu.

Chính phủ và dịch vụ thành phố

Các cơ quan tiểu bang và địa phương thường chạy các bộ phận IT được tài trợ không đủ. Tập trung vào việc đóng cửa sổ RDP, thực thi MFA cho tất cả truy cập từ xa và duy trì các bản sao ngoại tuyến của các cơ sở dữ liệu công dân. Điều phối với CISA để quét lỗ hổng miễn phí và hỗ trợ phản ứng sự cố.

Sản xuất và cơ sở hạ tầng quan trọng

Các mạng công nghệ hoạt động (OT) cần các sao lưu cách xa không khí. Không bao giờ kết nối các hệ thống SCADA trực tiếp với internet. Giám sát lưu lượng mạng giữa các phân đoạn IT và OT cho các bất thường. Kiểm tra các thủ tục phục hồi cho các bộ điều khiển dòng chảy sản xuất ít nhất hai lần mỗi năm.

Chính phủ, thực thi pháp luật và hợp tác quốc tế

Khi ransomware ngày càng tác động đến cơ sở hạ tầng quan trọng và các công ty lớn, các cơ quan chính phủ và thực thi pháp luật đóng một vai trò phát triển trong cuộc chiến chống lại nó.

Quy định an ninh mạng

• GDPR (Quy định bảo vệ dữ liệu chung): Quy tắc bảo vệ dữ liệu cốt lõi của châu Âu. Các công ty không bảo vệ dữ liệu cá nhân phải chịu tiền phạt tối đa 4% doanh thu toàn cầu.
• CCPA (Đạo luật quyền riêng tư của người tiêu dùng California): Bảo vệ tương tự cho cư dân California, với các hành động thực thi để xử lý sai dữ liệu.
• Khung công tác an ninh mạng NIST: Một hướng dẫn tự nguyện giúp các tổ chức xây dựng phòng chống có cấu trúc. Được áp dụng rộng rãi trên các ngành công nghiệp Mỹ.
• Quy định theo ngành: Chăm sóc sức khỏe (HIPAA) và tài chính (PCI DSS) có các tiêu chuẩn bảo mật bắt buộc riêng.
• Báo cáo bắt buộc: Nhiều quốc gia bây giờ yêu cầu các công ty báo cáo các sự cố ransomware cho các cơ quan trong khung thời gian xác định.

Những quy tắc này thúc đẩy các tổ chức hướng tới các nền tảng bảo mật cơ sở mạnh hơn và tiết lộ sự cố nhanh hơn.

Hợp tác quốc tế chống Ransomware

• Chia sẻ thông tin: Các quốc gia trao đổi thông tin đe dọa về các nhóm ransomware hoạt động. Điều này giúp những người bảo vệ chuẩn bị nhanh hơn.
• Hoạt động chung: Các cơ quan thực thi pháp luật từ nhiều quốc gia hợp tác để phá vỡ cơ sở hạ tầng ransomware và bắt giữ các nhà điều hành.
• Nỗ lực ngoại giao: Một số quốc gia sử dụng các kênh ngoại giao để gây áp lực cho các quốc gia chứa các nhóm tội phạm mạng.
• Sáng kiến toàn cầu: INTERPOL và EUROPOL điều phối các cuộc điều tra xuyên biên giới nhắm vào các mạng ransomware.
• Kỳ hạn công-tư: Các chính phủ làm việc với các công ty an ninh mạng để chia sẻ các chỉ số vi phạm và phát triển các công cụ giải mã miễn phí.

Phản ứng toàn cầu được phối hợp làm cho các nhóm ransomware khó hoạt động với sự bất chấp, mặc dù thực thi xuyên biên giới vẫn là một thách thức.

Triển vọng tương lai: Ransomware sẽ trở nên tệ hơn không?

Các chuyên gia an niên mạng dự đoán ransomware sẽ không chậm lại sớm. Những kẻ tấn công đang trở nên có tổ chức hơn, thường hoạt động như các doanh nghiệp có hỗ trợ khách hàng, các chi nhánh và các mô hình chia sẻ lợi nhuận.

Vai trò của AI và tự động hóa trong các cuộc tấn công dự kiến sẽ phát triển. Các công cụ học máy có thể cho phép tội phạm quét các lỗ hổng nhanh hơn, tùy chỉnh các tin nhắn phishing và thích ứng với các chủng ransomware trong thời gian thực.

Phòng chống chủ động vẫn là con đường duy nhất đáng tin cậy hướng tới. Các sao lưu mạnh hơn, các mô hình bảo mật zero-trust, giám sát liên tục và đào tạo nhận thức nhân viên vẫn cần thiết để giảm thiểu thiệt hại và ngăn chặn các mối đe dọa trong tương lai lan rộng.

Ransomware Attack FAQs

Chuỗi tấn công ransomware hoạt động từng bước như thế nào?

Chuỗi tuân theo năm giai đoạn: nhập cảnh (phishing, tải xuống giả hoặc phần mềm chưa được vá), thực thi (malware cài đặt im lặng), lây lan (di chuyển qua các ổ đĩa được chia sẻ và các hệ thống được kết nối), mã hóa (tệp khóa và không thể truy cập) và tống tiền (một tờ giấy yêu cầu thanh toán, thường có các mối đe dọa để rò rỉ dữ liệu bị ăn cắp). Một điểm nhập yếu duy nhất có thể nhanh chóng dẫn đến mã hóa đầy đủ.

Ransomware vào máy tính như thế nào?

Các con đường phổ biến nhất bao gồm các email phishing với các liên kết độc hại, tải xuống không an toàn từ các nguồn không đáng tin cậy, các trang web bị xâm phạm kích hoạt các tải xuống chạy bằng đĩa, mật khẩu cố gắng vũ phu yếu và các hệ điều hành hoặc ứng dụng chưa được vá. Hầu hết các nhiễm trùng bắt nguồn từ phishing hoặc phần mềm lỗi thời.

Ransomware có thể lây lan đến các thiết bị di động không?

Có. Ransomware di động lây lan thông qua các ứng dụng độc hại giả mạo là phần mềm hợp pháp, các lời nhắc cập nhật giả, các liên kết phishing trong tin nhắn văn bản, và các ứng dụng sideloaded từ các kho lưu trữ ứng dụng đáng tin cậy. Những kẻ tấn công thao túng người dùng để cấp các quyền quá mức trao cho malware toàn bộ quyền kiểm soát trên các tệp.

Các công ty có nên trả tiền chuộc không?

Thanh toán có nguy hiểm và không bao giờ được đảm bảo. Nhiều công ty trả tiền vẫn không nhận được các khóa giải mã hoạt động. Một số kẻ tấn công quay lại yêu cầu nhiều hơn. Trả tiền tài trợ các mạng tội phạm và có thể đặt tổ chức trên danh sách “mục tiêu mềm” để lặp lại tấn công. Các nỗ lực khôi phục phải ưu tiên các sao lưu ngoại tuyến hoặc bất biến và các công cụ giải mã được xác minh từ NoMoreRansom.org.

Điều gì sẽ xảy ra nếu những kẻ tấn công xóa hoặc mã hóa các sao lưu?

Đây là một chiến thuật phổ biến. Giải pháp là duy trì các sao lưu bất biến hoặc ngoại tuyến mà ransomware không thể thay đổi. Chiến lược 3-2-1-1-0 (3 bản sao, 2 phương tiện, 1 ngoài địa điểm, 1 bất biến, 0 lỗi trong các bài kiểm tra khôi phục) đảm bảo khôi phục đáng tin cậy ngay cả khi các hệ thống hoạt động bị xâm phạm.

Tấn công kép trong ransomware là gì?

Nó vượt quá mã hóa và ăn cắp dữ liệu. Những kẻ tấn công cũng nhắm mục tiêu vào khách hàng, đối tác hoặc công chúng bằng các mối đe dọa để rò rỉ dữ liệu nhạy cảm hoặc gây gián đoạn dịch vụ bên ngoài. Điều này mở rộng áp lực lên nạn nhân bằng cách kéo các bên thứ ba vào yêu cầu tiền chuộc.

Bảo hiểm mạng có bao gồm các cuộc tấn công ransomware không?

Bảo hiểm mạng có thể giúp, nhưng hầu hết các chính sách có yêu cầu nghiêm ngặt. Những công ty bảo hiểm thường mong đợi triển khai MFA, thực hành vá lỗi mạnh mẽ, giám sát EDR và các sao lưu được kiểm tra. Nếu không có các kiểm soát này, các yêu cầu có thể bị giảm hoặc từ chối. Luôn kiểm tra các điều khoản chính sách và đảm bảo tuân thủ trước khi một sự cố xảy ra.

Công ty nên chọn một đối tác phản ứng sự cố như thế nào?

Chọn một đối tác IR như một nhà cung cấp kinh doanh quan trọng. Kiểm tra thời gian phản ứng SLA được đảm bảo, khả năng tương thích với các hệ thống EDR/XDR và ghi nhật ký hiện có, tham chiếu khách hàng và các nghiên cứu trường hợp quá khứ, kinh nghiệm ransomware cụ thể (không chỉ IT chung) và sự quen thuộc với các quy định của ngành của bạn (HIPAA, PCI DSS). Có một công ty IR được phê duyệt trước có nghĩa là không vội vàng cho hợp đồng trong một cuộc tấn công.

Takeaways chính: Phòng ngừa tấn công Ransomware

Rủi ro của một cuộc tấn công ransomware là một mối đe dọa hàng ngày đối với các doanh nghiệp và cá nhân. Các cuộc tấn công trở nên thông minh hơn, nhanh hơn và gây hại nhiều hơn. Phòng ngừa vẫn là phòng chống hiệu quả nhất. Các sao lưu mạnh, các hệ thống được cập nhật, MFA chống phishing và một kế hoạch phản ứng rõ ràng giảm cả tác động và khả năng xảy ra của một sự cố. Coi an niên mạng như một ưu tiên liên tục đảm bảo bảo vệ và khả năng phục hồi mạnh hơn chống lại làn sóng tấn công kỹ thuật số ngày càng tăng.