Phòng chống mã độc tống tiền ransomware và cách xử lý

Ransomware (mã độc tống tiền) mã hoá tài liệu, ảnh, dữ liệu kế toán khiến bạn không mở được, rồi để lại thông báo đòi tiền chuộc bằng tiền ảo. Nạn nhân không chỉ là doanh nghiệp lớn — văn phòng nhỏ, máy tính gia đình cũng thường xuyên bị nhắm tới. Phòng ngừa rẻ hơn rất nhiều so với xử lý hậu quả.

Ransomware vào máy bằng cách nào?

• Tệp đính kèm email giả hoá đơn, giấy mời, công văn, thường là tệp .zip, .rar, .iso hoặc tệp đuôi kép như HoaDon.pdf.exe.
• Phần mềm crack, bẻ khoá, công cụ kích hoạt lậu tải trên mạng.
• Remote Desktop (RDP) mở thẳng ra Internet với mật khẩu yếu.
• Lỗ hổng trong Windows, phần mềm, thiết bị mạng chưa cập nhật.

Phòng ngừa: 6 việc nên làm

1. Sao lưu đúng cách

Đây là “thuốc giải” quan trọng nhất. Áp dụng quy tắc sao lưu 3-2-1, trong đó có ít nhất một bản ngắt kết nối (ổ cứng rời cất đi sau khi sao lưu) hoặc bản đám mây có lịch sử phiên bản. Ổ cứng cắm thường trực vào máy sẽ bị mã hoá cùng lúc.

2. Bật Controlled folder access

Trong Windows Security → Virus & threat protection → Manage ransomware protection, bật Controlled folder access. Chi tiết xem bài Windows Security có đủ dùng.

3. Cập nhật thường xuyên

Cài Windows Update, cập nhật trình duyệt, Office, phần mềm kế toán và firmware modem, NAS.

4. Hiện đuôi tệp

Trong File Explorer chọn View → Show → File name extensions để nhìn thấy tệp .exe giả dạng PDF, Word.

5. Cẩn thận với macro Office

Tài liệu Word, Excel tải từ Internet hiện thanh cảnh báo yêu cầu “Enable Content” — chỉ bấm khi chắc chắn nguồn gửi đáng tin.

6. Hạn chế quyền và truy cập từ xa

• Dùng tài khoản Standard cho công việc hằng ngày, tài khoản Administrator chỉ khi cài đặt.
• Không mở cổng RDP ra Internet; nếu cần làm việc từ xa hãy dùng VPN công ty và mật khẩu mạnh, 2FA.
• Thư mục chia sẻ chung chỉ cấp quyền sửa cho người thật sự cần.

Dấu hiệu đang bị tấn công

• Tệp đổi đuôi lạ hàng loạt (ví dụ .lockbit, .xyz123), không mở được.
• Xuất hiện tệp README.txt, HOW_TO_DECRYPT trong mọi thư mục, hình nền bị đổi thành thông báo đòi tiền.
• Ổ đĩa hoạt động liên tục, máy chậm bất thường.

Lỡ bị nhiễm: xử lý thế nào?

1. Ngắt mạng ngay: rút dây LAN, tắt Wi-Fi để mã độc không lây sang máy khác và ổ mạng chung. Rút ổ cứng rời, USB.
2. Không tắt nguồn vội nếu có bộ phận IT hoặc chuyên gia sẽ hỗ trợ điều tra; nếu tự xử lý, tắt máy để mã độc dừng mã hoá thêm.
3. Chụp ảnh thông báo đòi tiền, ghi lại đuôi tệp bị đổi.
4. Dùng máy khác, tải một tệp bị mã hoá và tệp ghi chú lên id-ransomware.malwarehunterteam.com để nhận diện loại ransomware.
5. Kiểm tra trên nomoreransom.org (dự án của Europol và các hãng bảo mật) xem đã có công cụ giải mã miễn phí chưa.
6. Báo cho cơ quan công an hoặc đơn vị an toàn thông tin nếu là dữ liệu của tổ chức.
7. Cài lại Windows sạch (xem bài cài Windows bằng USB), cập nhật đầy đủ rồi mới khôi phục dữ liệu từ bản sao lưu.
8. Đổi toàn bộ mật khẩu từ một thiết bị sạch, vì nhiều loại ransomware đánh cắp dữ liệu trước khi mã hoá.