Cách phát hiện phần mềm tống tiền: Nhận biết các dấu hiệu nhiễm virus
Với sự ngày càng tinh vi của ransomware, các tổ chức đang phải đối mặt với nguy cơ mất mát và rò rỉ dữ liệu liên tục. Theo Statista, số lượng tổ chức bị tấn công bởi ransomware đã tăng lên hàng năm kể từ năm 2018 và đạt đỉnh điểm vào năm 2021 với tỷ lệ 68,5% các doanh nghiệp. Ngoài ra, số lượng các dòng ransomware được phát hiện vào năm 2020 cao hơn 34% so với năm 2019 (so với 127 hộ gia đình vào năm 2020).
Trong bài viết này, chúng tôi định nghĩa ransomware và làm rõ các kênh lây nhiễm chính cũng như các kỹ thuật phát hiện ransomware. Đồng thời, chúng tôi cũng đề cập đến các giải pháp để nhận diện ransomware, ngăn chặn lây nhiễm thêm và tăng cường khả năng chống chịu của dữ liệu trước các cuộc tấn công ransomware.
Ransomware là gì?
Ransomware là phần mềm độc hại được sử dụng để xâm nhập vào môi trường CNTT cá nhân/doanh nghiệp và mã hóa hoặc khóa dữ liệu. Mục đích của các cuộc tấn công ransomware là tống tiền nạn nhân để đổi lấy việc khôi phục quyền truy cập vào dữ liệu đã bị mã hóa/khóa.
Cách hệ thống bị nhiễm ransomware: 5 đường lây nhiễm
Để ngăn chặn hệ thống CNTT của tổ chức bị nhiễm ransomware, bạn cần nắm rõ các cách thức lây lan phổ biến nhất của phần mềm độc hại. Nhờ đó, bạn có thể xác định các thành phần hệ thống dễ bị tấn công và dễ bị tổn thương trước ransomware, cũng như cách phát hiện kịp thời hoạt động của ransomware trong hạ tầng của mình.
Có vô số cách mà tổ chức của bạn có thể trở thành nạn nhân của ransomware. Tuy nhiên, dưới đây là các đường lây nhiễm phần mềm độc hại phổ biến nhất:
- Thư điện tử đáng ngờ kích thích người nhận nhấp vào liên kết hoặc tải xuống tệp đính kèm chứa phần mềm độc hại.
- Trang web độc hại được thiết kế để lừa người dùng truy cập trang web của chúng và cuối cùng bị nhiễm ransomware khi nhấp vào các liên kết độc hại.
- Mạng xã hội thường được coi là các nền tảng đáng tin cậy và hợp pháp, do đó khiến người dùng ngay lập tức tin tưởng chúng. Nói chung, phần mềm độc hại lây lan qua các ứng dụng, quảng cáo, tiện ích mở rộng và liên kết độc hại trên các nền tảng mạng xã hội. Những ứng dụng, quảng cáo, liên kết và tệp đính kèm trình duyệt này sau đó thuyết phục người dùng tải xuống nội dung độc hại, chẳng hạn như ransomware hoặc các tác nhân khai thác tiền điện tử.
- Quảng cáo độc hại là một hình thức quảng cáo trực tuyến chứa mã độc. Bạn nhấp vào liên kết trên một trang web có vẻ hợp pháp, và máy tính của bạn có thể tự động bị nhiễm phần mềm độc hại.
- Ransomware di động được thực thi thông qua các ứng dụng di động được cấy mã độc. Bằng cách tải xuống các ứng dụng đó, bạn có thể để phần mềm độc hại lây nhiễm vào điện thoại di động của mình chỉ trong vài giây, và sau đó lây lan nhiễm trùng sang máy tính của bạn lần tiếp theo khi kết nối hai thiết bị.
Các kỹ thuật phát hiện ransomware
Để phát hiện ransomware đang cố gắng xâm nhập hoặc đã gây rối loạn môi trường CNTT của bạn, bạn có thể sử dụng bộ công cụ và kỹ thuật giúp phát hiện các tệp độc hại và hoạt động đáng ngờ. Các chuyên gia CNTT phân biệt các loại kỹ thuật phát hiện sau:
- Dựa trên chữ ký
- Dựa trên hành vi
- Dựa trên lừa đảo
Dưới đây, chúng tôi sẽ xem xét chi tiết từng kỹ thuật phát hiện ransomware.
Phát hiện dựa trên chữ ký
Các phương pháp dựa trên chữ ký so sánh giá trị băm mẫu của một chủng ransomware với các chữ ký đã được phát hiện trước đó. Đây là kỹ thuật bước đầu phổ biến cho các giải pháp chống vi-rút và nền tảng bảo mật. Các phương pháp này kiểm tra các đoạn dữ liệu được đóng gói trong tệp thực thi trước khi khởi chạy tệp đó. Kỹ thuật này bao gồm việc phát hiện sớm các đoạn mã giống ransomware và chặn việc thực thi mã bị nhiễm.
Phương pháp này được sử dụng để xây dựng hệ thống phòng thủ cơ bản cho tổ chức. Tuy nhiên, mặc dù phát hiện hiệu quả các chủng ransomware đã biết, các phương pháp dựa trên chữ ký có thể thất bại với phần mềm độc hại mới. Ngoài ra, các hacker đầu tư nhiều nỗ lực để cập nhật phần mềm độc hại và các công cụ vô hiệu hóa bảo mật của họ, khiến việc phát hiện chữ ký trở nên khó khăn hơn.
Hiện nay có nhiều nhà cung cấp phần mềm phát hiện phần mềm độc hại đang cạnh tranh trên thị trường. Mỗi nhà cung cấp đều cung cấp bộ công cụ phát hiện ransomware có tính năng riêng, có thể hiệu quả đến một mức độ nhất định. Tuy nhiên, theo báo cáo của Sophos, hơn 50% các cuộc tấn công ransomware vào năm 2021 đã thành công, điều này có nghĩa là không có hệ thống phát hiện phần mềm độc hại nào có thể phát hiện ransomware với độ chính xác 100%.
Phát hiện dựa trên hành vi
Phát hiện dựa trên hành vi các phương pháp phát hiện ransomware so sánh các hành vi đã biết trong quá khứ với các hành vi mới. Các chuyên gia và công cụ tự động theo dõi hoạt động của người dùng và ứng dụng trong môi trường để phát hiện những thay đổi bất thường trong hệ thống tệp, lưu lượng truy cập bất thường, các quy trình và cuộc gọi API không xác định, cùng các dấu hiệu khác.
Kiểm tra và ghi nhớ các dấu hiệu hành vi phổ biến của các nỗ lực tấn công ransomware hoặc nhiễm hệ thống thành công:
- Thư rác và email lừa đảo : Lừa đảo là phổ biến nhất phương pháp mà tin tặc sử dụng để phát tán ransomware.
- Giảm hiệu suất : Trong trường hợp các nút cơ sở hạ tầng CNTT của bạn hoạt động chậm hơn dự kiến, hãy đảm bảo phản ứng với khả năng xâm nhập của ransomware.
- Hoạt động đăng nhập đáng ngờ liên tục : Khi các nỗ lực đăng nhập thất bại xảy ra thường xuyên trên nhiều tài khoản từ các vị trí và thiết bị bất thường, rất có thể ai đó đang cố gắng truy cập trái phép vào hệ thống CNTT của tổ chức bạn.
- Phát hiện trình quét mạng trái phép : Khi bạn không biết ai đã khởi xướng quy trình quét mạng và với mục đích gì, bạn nên điều tra vì đó có thể là hoạt động độc hại.
- Các cuộc tấn công thử nghiệm tiềm ẩn : Các hacker có thể thực hiện một số cuộc tấn công quy mô nhỏ vào một số nút mạng để kiểm tra khả năng chống chịu và thời gian phản ứng của hệ thống bảo mật tổ chức bạn trước khi tiến hành một cuộc tấn công quy mô lớn.
- Việc vô hiệu hóa hoặc gỡ bỏ phần mềm bảo mật : Không nên bỏ qua bất kỳ sự cố nào của hệ thống bảo mật, bởi vì ngay cả một sự cố ngắn hạn cũng đồng nghĩa với việc tạo ra lỗ hổng cho virus tống tiền xâm nhập.
- Mã hóa dữ liệu trên một số nút : Việc mã hóa dữ liệu thành công trên bất kỳ nút nào trong hệ thống của bạn cho thấy lỗ hổng trong hệ thống bảo vệ CNTT mà hacker có thể tận dụng trong một cuộc tấn công nghiêm trọng hơn.
- Phát hiện các công cụ hack đã biết : Nếu bạn phát hiện các ứng dụng như Microsoft Process Explorer, MimiKatz, IOBit Uninstaller và PC Hunter trong môi trường tổ chức của mình, bạn nên thực hiện kiểm tra bảo mật toàn diện trên mọi nút.
- Hoạt động bất thường xung quanh Active Directory : Có một trường hợp đã biết về việc hacker sử dụng Giao thức Máy tính Từ xa (RDP) để tiếp cận các máy chủ AD được bảo vệ của các cơ sở dầu khí và tiêm mã độc tống tiền Ryuk trực tiếp vào kịch bản đăng nhập AD.
- Các nỗ lực làm hỏng bản sao lưu : Các nền tảng lưu trữ sao lưu nằm trong số các mục tiêu ưu tiên của các cuộc tấn công mạng. Bất kỳ hoạt động đáng ngờ nào xung quanh lưu trữ sao lưu, dù trên đĩa vật lý hay trên đám mây, đều có thể là dấu hiệu của một cuộc tấn công mã độc tống tiền tiềm ẩn hoặc đang diễn ra.
Phát hiện dựa trên kỹ thuật đánh lừa
Giống như hacker thường xuyên cố gắng đánh lừa các hệ thống phát hiện mối đe dọa kỹ thuật số của tổ chức, các chuyên gia an ninh CNTT đã phát triển các phương pháp để dụ dỗ các tác nhân xấu. Một trong những mồi nhử phổ biến nhất được gọi là honeypot: một máy chủ hoặc khu vực trong môi trường CNTT của tổ chức chứa dữ liệu trông có vẻ có giá trị đối với hacker. Tuy nhiên, môi trường này hoàn toàn tách biệt với hệ thống chính và có thể được sử dụng đểtheo dõi và phân tích các cuộc tấn côngchiến thuật.
Các mối đe dọa ngày càng phức tạp khiến các công ty phải sử dụng mọi tùy chọn bảo mật có sẵn để ngăn chặn vi phạm và mất dữ liệu, do đó việc kết hợp các phương pháp phát hiện ransomware là một thực tiễn phổ biến. Hơn nữa, một chiến lược tốt để phát hiện và chủ động chống lại các cuộc tấn công ransomware là hiểu rõ chiến thuật của kẻ tấn công và ngăn chặn sự xâm nhập. Dưới đây là một số khuyến nghị để xác định và ngăn chặn các cuộc tấn công.
Cách xác định và ngăn chặn một cuộc tấn công
Chúng tôi khuyến nghị bạn áp dụng các thực tiễn sau để ngăn chặn các cuộc tấn công ransomware. Chúng tôi cũng đã bổ sung các mẹo về việc giảm thiểu rủi ro mất dữ liệu trong trường hợp ransomware xâm nhập vào môi trường của tổ chức.
- Khuyến khích nhân viên:
- Tìm hiểu các dấu hiệu phổ biến nhất của ransomware và các phần mềm độc hại khác
- Sử dụng mật khẩu mạnh và cập nhật chúng thường xuyên
- Kiểm tra kỹ các liên kết và tệp đính kèm trước khi nhấp vào
- Hiểu cách thức hoạt động của lừa đảo qua email (phishing) và kiểm tra địa chỉ email của các tin nhắn nhận được
- Cập nhật hệ thống thường xuyên
Bạn nên đảm bảo hệ điều hành và các ứng dụng quan trọng luôn được vá lỗi và cập nhật mới nhất. Hãy cài đặt các bản cập nhật ngay khi chúng được phát hành. Các bản cập nhật hệ thống và bản vá bảo mật thường nhằm khắc phục các vấn đề của các phiên bản trước và che chắn các lỗ hổng đã biết của hệ thống.
- Xác minh phần mềm của bên thứ ba
Trước khi cài đặt phần mềm của bên thứ ba, hãy xác minh trước rằng nhà cung cấp phần mềm là chính hãng và đáng tin cậy. Để làm điều này, hãy cài đặt phần mềm danh sách trắng (ví dụ: Bit9, Velox, McAfee, Lumension), có thể xác định liệu một ứng dụng mới có đủ an toàn để cài đặt và chạy trên hệ thống của bạn hay không.
- Quét hệ thống thường xuyên
Cài đặt và sử dụng phần mềm chống phần mềm độc hại để nhận thông báo về các mối đe dọa tiềm ẩn, xác định lỗ hổng bảo mật và phát hiện hoạt động của ransomware trong hệ thống của bạn. Các công cụ chống ransomware hiện đại cho phép bạn quét toàn bộ hệ thống để phát hiện virus và các mối đe dọa phần mềm độc hại đang hoạt động. Hơn nữa, các lần quét này có thể được thực hiện theo yêu cầu hoặc theo lịch trình bạn thiết lập, từ đó giảm thiểu sự can thiệp quản lý từ phía bạn.
- Tạo honeypot
Honeypot là một trong những biện pháp bảo mật hiệu quả nhất để đánh lừa tội phạm mạng và chuyển hướng sự chú ý của chúng khỏi các tệp quan trọng. Bằng cách thiết lập honeypot, bạn tạo ra một kho tệp giả mạo hoặc máy chủ trông giống như mục tiêu hợp pháp đối với người ngoài và đặc biệt hấp dẫn đối với kẻ tấn công ransomware. Nhờ đó, bạn không chỉ bảo vệ được tệp tin và phát hiện nhanh chóng cuộc tấn công ransomware, mà còn hiểu rõ cách thức hoạt động của tội phạm mạng. Sau đó, sử dụng dữ liệu và kinh nghiệm đó để cải thiện khả năng bảo vệ hệ thống của bạn trước các cuộc tấn công mạng trong tương lai.
- Hạn chế quyền truy cập vào các hệ thống và ứng dụng quan trọng
Áp dụng nguyên tắc đặc quyền tối thiểu khi cấp quyền truy cập hệ thống cho nhân viên. Nguyên tắc này quy định chỉ cấp quyền truy cập cho nhân viên vào những tệp tin và tài nguyên hệ thống thực sự cần thiết để họ hoàn thành công việc một cách hiệu quả. Mọi hành động hoặc quyền truy cập không cần thiết cho việc thực hiện nhiệm vụ của nhân viên đều phải bị quản trị viên cấm để tránh các trường hợp lây nhiễm virus do sơ suất.
- Bảo vệ dữ liệu và kiểm tra bản sao lưu
Tạo và cập nhật thường xuyên các bản sao lưu dữ liệu. Áp dụng quy tắc 3-2-1 để tăng cường bảo vệ và đảm bảo khôi phục thành công dữ liệu bị mã hóa do ransomware. Quy tắc yêu cầu bạn phải có 3 bản sao của dữ liệu và lưu trữ chúng trên 2 phương tiện khác nhau, trong đó 1 bản được lưu trữ tại địa điểm khác. Sau khi dữ liệu được sao lưu, hãy chạy các bài kiểm tra để xác minh rằng các bản sao lưu hoạt động bình thường và có thể khôi phục được. Nhờ đó, bạn có thể ngăn chặn các sự cố có thể xảy ra trong quá trình khôi phục hệ thống.
Cách NAKIVO Giúp Bảo Vệ Dữ Liệu Của Bạn Trước Ransomware
Ngày nay, một cuộc tấn công ransomware khiến dữ liệu của tổ chức không thể truy cập không còn là một khả năng xa vời mà là vấn đề thời gian. Và cách hiệu quả nhất để ngăn chặn các sự cố mất dữ liệu và tránh thời gian ngừng hoạt động sản xuất sau các gián đoạn do các cuộc tấn công ransomware thành công gây ra là có sẵn các bản sao lưu hợp lệ để khôi phục.
Một số 93% công ty không triển khai kế hoạch sao lưu và khôi phục thảm họa sẽ phải đóng cửa trong vòng một năm sau thảm họa mất dữ liệu toàn cầu. Ngược lại, 96% công ty có chiến lược sao lưu và khôi phục đáng tin cậy đã thành công trong việc phục hồi sau các cuộc tấn công ransomware.
NAKIVO Backup & Replication là giải pháp bảo vệ dữ liệu giúp bạn triển khai chiến lược bảo vệ chống ransomware đáng tin cậy và tăng cường khả năng chống chịu của tổ chức trước các cuộc tấn công:
- Tạo các bản sao lưu đáng tin cậy và nhất quán với ứng dụng cho dữ liệu của bạn.
- Lưu trữ bản sao lưu tại chỗ, gửi ra ngoài hoặc lên đám mây để tuân thủ quy tắc 3-2-1 và tránh điểm lỗi duy nhất.
- Kích hoạt tính bất biến cho các bản sao lưu được lưu trữ trong kho lưu trữ dựa trên Linux cục bộ và/hoặc trên đám mây để đảm bảo rằng dữ liệu sao lưu của bạn vẫn không thay đổi và có sẵn ngay cả khi ransomware tấn công cơ sở hạ tầng sao lưu.
- Kích hoạt mã hóa dữ liệu sao lưu của bạn trong quá trình truyền tải và khi lưu trữ. Giải pháp này sử dụng tiêu chuẩn mã hóa AES-256 để ngăn chặn bên thứ ba truy cập vào dữ liệu sao lưu của bạn.
- Sử dụng kiểm soát truy cập dựa trên vai trò (RBAC) để thiết lập quyền truy cập cho nhân viên và nâng cao tính an toàn cho các bản sao lưu.
- Khi xảy ra cuộc tấn công ransomware và dữ liệu gốc bị mã hóa, hãy sử dụng các bản sao lưu để khôi phục. Bạn có thể khôi phục toàn bộ máy ảo (VM) và máy vật lý dưới dạng máy ảo ngay lập tức. Sử dụng Phục hồi dữ liệu dạng hạt tức thì để khôi phục các tệp riêng lẻ và đối tượng ứng dụng về vị trí gốc hoặc vị trí tùy chỉnh, giúp giảm thiểu thời gian ngừng hoạt động.
- Sử dụng sao chép, chuyển đổi dự phòng tự động và điều phối khôi phục thảm họa để đảm bảo hệ thống và ứng dụng luôn sẵn sàng nhanh chóng.
Giải pháp NAKIVO cho phép bạn kiểm soát và tự động hóa các quy trình sao lưu và khôi phục từ một giao diện duy nhất. Thực hiện sao lưu thường xuyên, thậm chí mỗi phút một lần, để giảm thiểu mất mát dữ liệu. Với các bản sao lưu bất biến phù hợp sẵn có, bạn có thể tránh phải trả tiền chuộc cho hacker ngay cả khi ransomware vượt qua hệ thống bảo mật của bạn và mã hóa thành công dữ liệu gốc.
