Một mẫu mã độc ransomware Beast mới được phân tích mang đến cho những kẻ vận hành nó một thứ khác thường: một bảng điều khiển đồ họa tương tác và khả năng ghi đè các cài đặt được nhúng trong mã độc. Nó cũng vô hiệu hóa các dịch vụ sao lưu, xóa các bản sao bóng (shadow copy) và mã hóa các ổ đĩa mạng. Nếu bạn muốn hiểu ransomware Beast hoạt động như thế nào trong thực tế, phiên bản ngắn gọn là nó loại bỏ các lưới an toàn của bạn trước rồi mới khóa các tệp tin.
Bài viết này đi qua những gì đã được báo cáo, ý nghĩa của chúng đối với cá nhân và doanh nghiệp nhỏ, và những biện pháp phòng thủ nào quan trọng nhất. VPN hữu ích cho quyền riêng tư, nhưng nó sẽ không tự mình ngăn chặn được kiểu tấn công này.
Cách ransomware Beast tấn công các bản sao lưu và ổ đĩa chia sẻ
Các báo cáo mô tả một mẫu mã độc nhắm vào các tùy chọn khôi phục trước khi mã hóa bất cứ thứ gì. Nó vô hiệu hóa các dịch vụ sao lưu và xóa các bản sao bóng, vốn là những ảnh chụp nhanh tích hợp sẵn trong Windows mà nhiều người dựa vào để khôi phục tệp tin. Sau đó nó mã hóa các ổ đĩa mạng, khiến các thư mục chia sẻ và máy chủ tệp tin bị ảnh hưởng cùng với máy cục bộ.
Các hồ sơ mối đe dọa công khai mô tả Beast là một sản phẩm ransomware-as-a-service (RaaS), với các tính năng như quét SMB, mã hóa tệp tin, và khởi động hoặc dừng các dịch vụ và tiến trình. SMB là giao thức được sử dụng cho chia sẻ tệp tin Windows, điều này giải thích tại sao các ổ đĩa mạng lại là mục tiêu tự nhiên đến vậy. Những hồ sơ này cũng cho biết Beast tiến hóa từ một chủng mã độc dựa trên Delphi trước đó có tên là Monster.
Thứ tự rất quan trọng. Nếu các bản chụp nhanh và dịch vụ sao lưu đã biến mất vào thời điểm tệp tin bị mã hóa, thì con đường khôi phục dễ dàng nhất đã bị đóng lại. Đó là lý do tại sao bản sao lưu mà bạn dựa vào cần phải nằm ở nơi mà mã độc không thể chạm tới.
Bảng điều khiển cho cộng tác viên và các cài đặt có thể cấu hình thay đổi điều gì
Trong mô hình RaaS, các nhà phát triển cung cấp mã độc và các cộng tác viên thực hiện các cuộc xâm nhập. Mẫu mã độc Beast được phân tích cung cấp cho các cộng tác viên đó một bảng điều khiển đồ họa tương tác và cho phép họ ghi đè các cài đặt được nhúng của nó. Các phân tích khác về Beast mô tả một giao diện tích hợp cho phép cộng tác viên khám phá tài nguyên, chọn mục tiêu, và bắt đầu, tạm dừng hoặc dừng mã hóa trong khi theo dõi tiến trình.
Điều đó thay đổi gì trong thực tế?
- Rào cản kỹ năng thấp hơn. Một giao diện nhấp-chuột giúp công cụ này dễ vận hành hơn đối với các cộng tác viên ít kỹ thuật hơn.
- Kiểm soát nhiều hơn đối với cuộc tấn công. Ghi đè các cài đặt được nhúng có nghĩa là một cộng tác viên có thể điều chỉnh một mẫu mã độc duy nhất cho một môi trường cụ thể thay vì dựa vào hành vi cố định.
- Hành vi khó dự đoán hơn. Vì các cài đặt có thể thay đổi từ cuộc xâm nhập này sang cuộc xâm nhập khác, những người phòng thủ không thể dựa vào một mẫu cố định để phát hiện nó.
Một chi tiết nữa từ các hồ sơ công khai: các cộng tác viên được cho là đã được tuyển dụng thông qua diễn đàn RAMP trước khi nó bị FBI thu giữ vào tháng 1 năm 2026. Những cuộc triệt phá như vậy có thể làm gián đoạn việc tuyển dụng, nhưng chúng không loại bỏ được các công cụ mà cộng tác viên đã có.
Các dấu hiệu cảnh báo xuất hiện trước khi quá trình mã hóa bắt đầu
Bài viết gốc tập trung vào bản thân mẫu mã độc, nên các dấu hiệu sau đây được suy ra từ những hành vi mà nó mô tả. Đây là những điều đáng để theo dõi, không phải là một danh sách kiểm tra đầy đủ.
- Các dịch vụ sao lưu hoặc chụp nhanh dừng bất ngờ. Nếu phần mềm sao lưu báo lỗi hoặc các dịch vụ bị vô hiệu hóa mà không ai thay đổi chúng, hãy coi đó là trường hợp khẩn cấp.
- Các bản sao bóng bị mất. Những bản chụp nhanh biến mất là một dấu hiệu mạnh mẽ cho thấy có thứ gì đó đang chuẩn bị mã hóa.
- Quét chia sẻ tệp tin bất thường. Vì Beast được mô tả là quét qua SMB, hoạt động mạng kỳ lạ giữa các máy có thể là một manh mối sớm.
- Các phiên hoặc công cụ từ xa không quen thuộc. Việc kiểm soát tương tác đối với ransomware ngụ ý rằng có một người đang vận hành nó, thường là sau khi đã giành được quyền truy cập từ xa.
Khoảng thời gian giữa các dấu hiệu này và quá trình mã hóa có thể ngắn. Phát hiện tự động giúp ích vì nó phản ứng nhanh hơn con người có thể. Phản ứng của Microsoft Defender trong cuộc xâm nhập QNET, mà nó đã chặn trong 128 giây, cho thấy việc ngăn chặn nhanh chóng có thể ngăn được bao nhiêu thiệt hại.
Các biện pháp phòng thủ thực tiễn cho cá nhân và doanh nghiệp nhỏ
Không có điều nào trong số này đòi hỏi ngân sách của doanh nghiệp lớn. Các ưu tiên là như nhau dù bạn điều hành một văn phòng tại nhà hay một công ty mười người.
- Duy trì một bản sao lưu ngoại tuyến hoặc bất biến. Một bản sao lưu được ngắt kết nối khỏi mạng của bạn, hoặc được lưu trữ sao cho không thể bị thay đổi, thì không thể bị vô hiệu hóa hoặc mã hóa cùng với mọi thứ khác. Vì Beast nhắm vào các dịch vụ sao lưu và bản sao bóng, chỉ riêng các bản chụp nhanh cục bộ là không đủ.
- Kiểm tra việc khôi phục của bạn. Một bản sao lưu mà bạn chưa từng khôi phục là một giả định. Hãy thử khôi phục một vài tệp tin thường xuyên.
- Bật xác thực đa yếu tố cho quyền truy cập từ xa. Máy tính để bàn từ xa, các công cụ quản lý từ xa và tài khoản quản trị là những điểm xâm nhập phổ biến. MFA khiến mật khẩu bị đánh cắp trở nên ít hữu ích hơn nhiều.
- Giới hạn những gì ổ đĩa chia sẻ có thể truy cập. Chỉ cấp cho người dùng quyền truy cập vào những thư mục họ cần, để một tài khoản bị xâm phạm không thể mã hóa mọi thứ.
- Chạy bảo vệ điểm cuối với phát hiện dựa trên hành vi. Các công cụ đánh dấu việc giả mạo dịch vụ và thay đổi tệp tin hàng loạt có thể ngắt một cuộc tấn công giữa chừng, như trường hợp QNET đã chứng minh.
- Vá và loại bỏ các dịch vụ từ xa không dùng đến. Ít cửa bị lộ hơn đồng nghĩa với ít cơ hội hơn cho một cộng tác viên xâm nhập.
Điều Này Có Ý Nghĩa Gì Với Bạn
VPN mã hóa lưu lượng truy cập của bạn và che giấu địa chỉ IP của bạn, điều này có giá trị cho quyền riêng tư. Nó không ngăn được một cộng tác viên đã nắm giữ thông tin đăng nhập hợp lệ, và nó không bảo vệ các bản sao lưu khỏi một mẫu mã độc đang chạy bên trong mạng của bạn. Thiết kế của Beast cho thấy tại sao: thiệt hại đến từ các điểm khôi phục bị xóa và các ổ đĩa chia sẻ bị mã hóa, không phải từ lưu lượng truy cập bị chặn.
Đối với hầu hết độc giả, các yếu tố quyết định rất đơn giản. Bạn có thể khôi phục dữ liệu của mình mà không phải trả tiền cho ai không? Quyền truy cập từ xa có được bảo vệ bằng thứ gì đó hơn là mật khẩu không? Bạn có nhận ra không nếu các bản sao lưu của bạn lặng lẽ dừng hoạt động?
Kiểm tra thiết lập của bạn ngay hôm nay
Ransomware Beast hoạt động như thế nào quy về một trình tự rõ ràng: vô hiệu hóa sao lưu, xóa bản sao bóng, mã hóa ổ đĩa, tất cả được điều khiển bởi một cộng tác viên với bảng điều khiển đồ họa. Bạn có thể phá vỡ trình tự đó tại nhiều điểm. Hãy kiểm tra rằng bạn có một bản sao lưu ngoại tuyến và nó khôi phục đúng cách, bật MFA trên mọi đường dẫn truy cập từ xa, và đảm bảo bạn có khả năng phát hiện có thể hành động trong vài giây thay vì vài giờ. Hãy dành một giờ trong tuần này để xem xét cả ba điều.
