Mã độc tống tiền là gì?

Mã độc tống tiền có hai dạng chính: mã độc tống tiền mã hóa và mã độc tống tiền khóa thiết bị, từ đó tiếp tục chia nhỏ thành một số loại con.

Mã độc tống tiền mã hóa
Trong cuộc tấn công bằng mã độc tống tiền mã hóa, kẻ tấn công sẽ mã hóa dữ liệu hoặc tệp nhạy cảm của nạn nhân để họ không thể truy nhập trừ khi họ trả tiền chuộc được yêu cầu. Theo lý thuyết, sau khi nạn nhân trả tiền chuộc, kẻ tấn công sẽ chuyển một khóa giải mã cho phép họ truy nhập vào các tệp hoặc dữ liệu, tuy nhiên, không có sự đảm bảo nào. Nhiều tổ chức đã vĩnh viễn mất quyền truy nhập vào tệp của họ ngay cả sau khi thanh toán tiền chuộc.

Mã độc tống tiền khóa thiết bị
Trong mã độc tống tiền khóa thiết bị, những kẻ tấn công sẽ khóa nạn nhân khỏi thiết bị của họ và gửi cho họ một thông báo đòi tiền chuộc trên màn hình kèm theo hướng dẫn về cách trả tiền chuộc để lấy lại quyền truy nhập. Dạng mã độc tống tiền này thường sử dụng mã hóa, vì vậy sau khi nạn nhân lấy lại quyền truy nhập vào thiết bị của họ, mọi tệp và dữ liệu nhạy cảm vẫn được giữ nguyên. Mã độc tống tiền khóa thiết bị thường được sử dụng trên các thiết bị di động.

Hai dạng mã độc tống tiền chính này thuộc các loại con sau:

Phần mềm đe dọa
Phần mềm đe dọa sử dụng nỗi sợ hãi để khiến mọi người phải trả tiền chuộc. Trong những kiểu tấn công qua mạng này, những kẻ tấn công này đóng vai trò là một cơ quan hành pháp và gửi tin nhắn cho nạn nhân để cáo buộc họ phạm tội và yêu cầu đóng tiền phạt.

Doxware
Trong Doxware, những kẻ tấn công lấy cắp thông tin cá nhân và đe dọa tiết lộ thông tin đó công khai nếu không trả tiền chuộc.

Mã độc tống tiền kép
Trong mã độc tống tiền kép, những kẻ tấn công không chỉ mã hóa tệp mà còn đánh cắp dữ liệu nhạy cảm và đe dọa sẽ công khai nếu nạn nhân không trả tiền chuộc.

Phần mềm xóa dữ liệu
Phần mềm xóa dữ liệu đe dọa sẽ tiêu hủy dữ liệu của nạn nhân nếu họ không trả tiền chuộc.

Hầu hết các cuộc tấn công bằng mã độc tống tiền sẽ tuân theo quy trình gồm ba bước.

1. Có quyền truy nhập
Kẻ tấn công sử dụng nhiều phương pháp khác nhau để có quyền truy nhập vào dữ liệu nhạy cảm của công ty. Một trong những phương pháp phổ biến nhất là lừa đảo qua mạng, đó là khi kẻ phạm tội trên mạng sử dụng email, tin nhắn văn bản hoặc cuộc gọi điện thoại để lừa mọi người cung cấp thông tin xác thực hoặc tải xuống phần mềm gây hại. Những kẻ tấn công cũng nhắm mục tiêu đến nhân viên và những người dùng khác có website độc hại sử dụng bộ công cụ khai thác để tự động tải xuống và cài đặt phần mềm gây hại vào thiết bị của nạn nhân.

2. Mã hóa dữ liệu
Sau khi những kẻ tấn công bằng mã độc tống tiền có quyền truy nhập vào dữ liệu nhạy cảm, chúng sao chép và hủy tệp gốc cùng với mọi bản sao lưu mà chúng có thể truy nhập. Sau đó, chúng mã hóa bản sao của mình và tạo khóa giải mã.

3. Yêu cầu trả tiền chuộc
Sau khi khiến dữ liệu không thể truy nhập được, phần mềm tống tiền sẽ gửi tin nhắn qua hộp cảnh báo giải thích rằng dữ liệu đã bị mã hóa và yêu cầu tiền chuộc, thường là tiền điện tử, để đổi lấy khóa giải mã. Những kẻ tấn công đứng đằng sau cũng có thể đe dọa sẽ công khai dữ liệu nếu nạn nhân từ chối thanh toán.

Ngoài sự gián đoạn hoạt động ngay lập tức, hậu quả của cuộc tấn công bằng mã độc tống tiền có thể bao gồm tổn thất tài chính đáng kể, tổn thất uy tín và khó khăn hoạt động về lâu dài.

Ảnh hưởng tài chính
Chi phí trả tiền chuộc có thể rất lớn, thường đạt đến hàng triệu đô la và không có gì đảm bảo rằng những kẻ tấn công sẽ cung cấp khóa giải mã hoặc khóa đó sẽ hoạt động đúng cách.

Ngay cả khi các tổ chức từ chối thanh toán cho mã độc tống tiền, vẫn có thể có chi phí tài chính lớn. Sự gián đoạn do cuộc tấn công bằng mã độc tống tiền có thể dẫn đến thời gian ngừng hoạt động kéo dài, ảnh hưởng đến năng suất và có khả năng dẫn đến mất doanh thu. Việc phục hồi từ cuộc tấn công dẫn đến các chi phí bổ sung, bao gồm chi phí điều tra pháp lý, phí pháp lý và các khoản đầu tư vào việc cải thiện các biện pháp bảo mật.

Thiệt hại uy tín
Khách hàng và đối tác có thể mất lòng tin vào một doanh nghiệp bị xâm phạm dữ liệu, dẫn đến sự suy giảm lòng trung thành của khách hàng và khả năng mất các hợp đồng kinh doanh trong tương lai. Các cuộc tấn công gây chú ý thường thu hút sự chú ý của giới truyền thông, điều này có thể gây tổn hại đến uy tín và hình ảnh thương hiệu của công ty.

Khó khăn trong hoạt động
Ngay cả khi đã sao lưu, vẫn có nguy cơ mất hoặc hỏng dữ liệu, có thể ảnh hưởng đến khả năng duy trì hoạt động kinh doanh liên tục và hiệu quả hoạt động. Các doanh nghiệp cũng có thể phải chịu các hình phạt pháp lý và quy định vì không bảo vệ được dữ liệu nhạy cảm, đặc biệt là nếu họ tuân theo các quy định bảo vệ dữ liệu như Quy định Chung về Bảo vệ Dữ liệu tại Liên minh Châu Âu hoặc Đạo luật về Quyền riêng tư của Người tiêu dùng California.

Nhiều cuộc tấn công bằng mã độc tống tiền do con người điều khiển gây chú ý nhất được thực hiện bởi các nhóm mã độc tống tiền, hoạt động bằng cách sử dụng mô hình kinh doanh mã độc tống tiền dưới dạng dịch vụ.

 

• Kể từ khi xuất hiện vào năm 2019, LockBit đã nhắm mục tiêu đến nhiều lĩnh vực khác nhau, bao gồm dịch vụ tài chính, chăm sóc sức khỏe và sản xuất. Mã độc tống tiền này được biết đến với khả năng tự phát tán trong các mạng lưới, khiến mã độc này đặc biệt nguy hiểm. Các chi nhánh của LockBit đã chịu trách nhiệm cho nhiều cuộc tấn công gây chú ý, sử dụng các kỹ thuật tinh vi để mã hóa dữ liệu và yêu cầu mã độc tống tiền. 
• Các cuộc tấn công của BlackByte thường liên quan đến việc tống tiền kép, nơi kẻ phạm tội trên mạng mã hóa và trích rút dữ liệu, đe dọa công bố dữ liệu bị đánh cắp nếu chưa trả tiền chuộc. Mã độc tống tiền này đã được sử dụng để nhắm mục tiêu đến các lĩnh vực cơ sở hạ tầng quan trọng, bao gồm các dịch vụ chính phủ và tài chính.
• Nhóm đứng đằng sau mã độc tống tiền Hive, hoạt động từ tháng 6 năm 2021 đến tháng 1 năm 2023, đã triển khai hai cuộc tống tiền kép và thường nhắm mục tiêu đến các tổ chức công và cơ sở hạ tầng quan trọng, bao gồm các cơ sở chăm sóc sức khỏe. Trong một chiến thắng quan trọng trước tội phạm mạng, FBI đã xâm nhập mạng của Hive vào năm 2022, thu thập các khóa giải mã và ngăn chặn yêu cầu tống tiền hơn 130 triệu USD. 
• Mã độc tống tiền Akira là phần mềm gây hại tinh vi đã hoạt động kể từ đầu năm 2023 và nhắm tới cả hệ thống Windows và Linux. Những kẻ tấn công sử dụng Akira để giành quyền truy nhập ban đầu thông qua lỗ hổng bảo mật trong các dịch vụ VPN, đặc biệt là những dịch vụ không có xác thực đa yếu tố. Kể từ khi xuất hiện, Akira đã ảnh hưởng đến hơn 250 tổ chức và nhận được khoảng 42 triệu USD tiền thu được từ mã độc tống tiền.

 

Nếu trở thành nạn nhân của cuộc tấn công bằng mã độc tống tiền, bạn có các lựa chọn cầu viện và loại bỏ.

Cách ly dữ liệu bị nhiễm độc
Ngay khi có thể, hãy cách ly dữ liệu bị xâm phạm để ngăn chặn mã độc tống tiền lan sang các khu vực khác trong mạng của bạn.

Chạy chương trình chống phần mềm xấu
Sau khi bạn đã cô lập mọi hệ thống bị nhiễm vi-rút, hãy sử dụng chương trình chống phần mềm xấu để loại bỏ mã độc tống tiền.

Giải mã tệp hoặc khôi phục bản sao lưu
Nếu có thể, hãy sử dụng các công cụ giải mã do các cơ quan thực thi pháp luật hoặc nhà nghiên cứu bảo mật cung cấp để giải mã tệp mà không phải trả tiền chuộc. Nếu không thể giải mã, hãy khôi phục tệp từ bản sao lưu của bạn.

Báo cáo về cuộc tấn công
Liên hệ với các cơ quan hành pháp tại địa phương hoặc liên bang để báo cáo về cuộc tấn công. Ở Hoa Kỳ, đây là  văn phòng FBI tại địa phương,  IC3 hay Văn phòng Mật vụ. Mặc dù bước này có thể sẽ không giải quyết bất kỳ mối lo ngại nào ngay lập tức nhưng là điều quan trọng cần làm bởi các cơ quan này có nhiệm vụ tích cực theo dõi và giám sát các cuộc tấn công khác nhau. Việc cung cấp cho họ thông tin chi tiết về trải nghiệm của bạn có thể hữu ích trong nỗ lực tìm và truy tố kẻ phạm tội trên mạng hoặc nhóm phạm tội trên mạng.

Hãy thận trọng khi trả tiền chuộc
Mặc dù bạn có thể dễ dàng trả tiền chuộc nhưng không có gì đảm bảo rằng tội phạm mạng sẽ giữ lời và cấp cho bạn quyền truy nhập vào dữ liệu. Các chuyên gia bảo mật và cơ quan hành pháp khuyến cáo nạn nhân của các cuộc tấn công bằng mã độc tống tiền không trả tiền chuộc theo yêu cầu, vì làm như vậy có thể khiến các nạn nhân tiếp tục gặp phải các mối đe dọa trong tương lai và sẽ tích cực tiếp tay cho giới tội phạm.

Các nhà nghiên cứu bảo mật dự kiến rằng mã độc tống tiền sẽ tiếp tục gia tăng về tần suất và mức độ phức tạp trong những năm tới. Những cải tiến trong AI đang giúp kẻ phạm tội trên mạng dễ dàng tự động hóa và nâng cao khả năng mã độc tống tiền của chúng hơn. Và ngày càng có nhiều người có kỹ năng kỹ thuật hạn chế tham gia vào cuộc chơi vì họ có thể mua các công cụ mã độc tống tiền dựa trên AI trên web đen hoặc hợp tác với tổ chức mã độc tống tiền dưới dạng dịch vụ.

Các tổ chức tội phạm mạng lớn hơn, tinh vi hơn, bao gồm cả các tổ chức được nhà nước hậu thuẫn, cũng đang ngày càng nhắm mục tiêu vào các chuỗi cung ứng và cơ sở hạ tầng quan trọng, dẫn đến sự gián đoạn đáng kể trong hoạt động kinh doanh và chính quyền địa phương. Các thực thể này thường nhắm mục tiêu đến các chính phủ, hệ thống vận tải và tổ chức chăm sóc sức khỏe với mục tiêu là làm tê liệt dịch vụ.

Để chống lại các mối đe dọa ngày càng tăng này, các tổ chức đang áp dụng AI cho an ninh mạng để giúp họ phát hiện và ứng phó với các cuộc tấn công bằng mã độc tống tiền một cách nhanh chóng và hiệu quả. Các công nghệ này phân tích lượng lớn dữ liệu để xác định các mẫu hình và điểm bất thường có thể báo hiệu một cuộc tấn công bằng mã độc tống tiền. Nhiều giải pháp trong số này cũng có thể tự động phản hồi với các mối đe dọa đã phát hiện, giảm thời gian cần thiết để giảm thiểu một cuộc tấn công.

Mô hình bảo mật Zero-Trust cũng đang được ưa chuộng như một cách để tăng cường an ninh mạng và hạn chế sự lây lan của mã độc tống tiền và các hoạt động gây hại khác.