Một chủng ransomware có tên CRPx0 đang thu hút sự chú ý của các chuyên gia khôi phục dữ liệu, góp thêm vào danh sách ngày càng dài các dòng mã độc sử dụng một chiến thuật đặc biệt hung hãn: tống tiền kép. Thay vì chỉ đơn giản khóa nạn nhân khỏi chính tập tin của họ, kẻ tấn công đứng sau CRPx0 và các biến thể tương tự sao chép dữ liệu nhạy cảm trước khi mã hóa, rồi đe dọa công khai rò rỉ dữ liệu đó nếu tiền chuộc không được trả. Đây là một chiến lược ngày càng phổ biến trong bối cảnh ransomware, và hiểu cách nó hoạt động là bước đầu tiên để bảo vệ bản thân hoặc tổ chức của bạn.

Điều gì khiến tống tiền kép trở nên hiệu quả đến vậy

Các cuộc tấn công ransomware truyền thống tuân theo một công thức đơn giản: mã hóa tập tin của nạn nhân, sau đó yêu cầu trả tiền để lấy khóa giải mã. Nếu nạn nhân có bản sao lưu đáng tin cậy, họ thường có thể khôi phục hệ thống mà không phải trả một xu. Tống tiền kép bịt kín lỗ hổng đó.

Bằng cách trích xuất bản sao của tập tin trước khi quá trình mã hóa bắt đầu, kẻ tấn công tạo ra đòn bẩy mà các bản sao lưu không thể vô hiệu hóa. Ngay cả khi một công ty khôi phục hệ thống từ bản sao lưu sạch, bọn tội phạm vẫn nắm giữ dữ liệu bị đánh cắp, và chúng có thể đe dọa công bố, bán hoặc trao cho đối thủ cạnh tranh và cơ quan quản lý. Sự chuyển dịch này đã khiến ransomware trở nên sinh lợi hơn và khó phòng thủ triệt để chỉ bằng các bản sao lưu.

Cơ chế đằng sau những cuộc tấn công này thường dựa vào việc khai thác điểm yếu trong cách các tổ chức quản lý niềm tin số và mã hóa. Những khái niệm như Hạ tầng khóa công khai (PKI) là nền tảng cho phần lớn mã hóa hợp pháp được sử dụng để bảo mật mạng, và các nhóm điều hành ransomware thường xuyên lạm dụng các nguyên tắc mật mã tương tự theo chiều ngược lại, sử dụng thuật toán mã hóa mạnh để khóa nạn nhân khỏi dữ liệu của chính họ. Hiểu ransomware như một hạng mục đe dọa, chứ không phải một phần mềm độc hại đơn lẻ, giúp giải thích tại sao các biến thể mới như CRPx0 liên tục xuất hiện: mô hình kinh doanh nền tảng vẫn tiếp tục hiệu quả.

Các cuộc tấn công ransomware đang gia tăng, không hề chậm lại

Theo dữ liệu theo dõi của ngành, các cuộc tấn công ransomware đã tăng trưởng khoảng 5% trong năm qua. Mức tăng trưởng đó phản ánh một xu hướng rộng lớn hơn: khi ngày càng nhiều doanh nghiệp số hóa hoạt động và lưu trữ thông tin nhạy cảm trực tuyến, nhóm mục tiêu tiềm năng tiếp tục mở rộng. Các yêu cầu tiền chuộc cũng trở nên có tính toán hơn, với việc kẻ tấn công thường nghiên cứu tình hình tài chính của nạn nhân trước khi định giá, mặc dù con số cụ thể rất khác nhau tùy theo mục tiêu và ngành nghề.

Mức tăng ổn định này nhấn mạnh tại sao lời khuyên chung chung như “chỉ cần giữ bản sao lưu” không còn đủ nếu đứng riêng lẻ. Kẻ tấn công đã thích nghi phương pháp của chúng một cách cụ thể để đối phó với biện pháp phòng thủ đó, điều đó có nghĩa là cá nhân và tổ chức cần một cách tiếp cận nhiều lớp bao gồm mã hóa, kiểm soát truy cập và cảnh giác trước các nỗ lực lừa đảo và kỹ thuật xã hội – những thủ đoạn mà kẻ tấn công thường sử dụng để giành quyền truy cập ban đầu vào mạng.

Vai trò của mã hóa mạnh trong phòng ngừa

Trớ trêu thay, chính sức mạnh mật mã mà ransomware dùng để chống lại nạn nhân cũng là một trong những công cụ phòng ngừa tốt nhất. Mã hóa các tập tin nhạy cảm khi lưu trữ và trên đường truyền, sử dụng chứng chỉ SSL đã được xác minh cho lưu lượng truy cập web và áp dụng các tiêu chuẩn hướng tới tương lai như mật mã hậu lượng tử để bảo vệ dữ liệu dài hạn đều làm giảm giá trị của dữ liệu bị đánh cắp đối với kẻ tấn công. Nếu các tập tin bị trích xuất đã được mã hóa bằng các khóa mạnh, được quản lý đúng cách, mối đe dọa rò rỉ công khai sẽ mất đi nhiều sức nặng.

Kỹ thuật xã hội vẫn là một điểm xâm nhập phổ biến cho những cuộc tấn công này, không khác gì các chiến thuật được thấy trong những vụ đánh cắp thông tin xác thực khác, chẳng hạn như các cuộc tấn công lừa đảo nhắm vào khóa sao lưu Signal lừa người dùng giao nộp thông tin khôi phục. Những kẻ điều hành ransomware thường sử dụng áp lực tâm lý tương tự, giả dạng làm liên hệ đáng tin cậy hoặc khai thác tính cấp bách để có được chỗ đứng ban đầu trước khi triển khai tải trọng mã hóa của chúng.

Điều này có ý nghĩa gì với bạn

Dù bạn là người dùng cá nhân hay quản lý CNTT cho một doanh nghiệp nhỏ, trường hợp CRPx0 là một lời nhắc nhở rằng phòng thủ ransomware phải vượt ra ngoài các bản sao lưu. Nếu tập tin của bạn từng bị trích xuất trong một cuộc tấn công, câu hỏi không chỉ là “tôi có thể khôi phục dữ liệu của mình không” mà là “điều gì sẽ xảy ra nếu dữ liệu này trở thành công khai.” Sự chuyển đổi góc nhìn đó nên ảnh hưởng đến cách bạn xử lý các tài liệu nhạy cảm, hồ sơ tài chính và thông tin liên lạc cá nhân trong tương lai.

Thực tế, điều này có nghĩa là giảm thiểu lượng dữ liệu nhạy cảm được lưu trữ ở những vị trí dễ truy cập, mã hóa bất cứ thứ gì thực sự nhạy cảm trước khi nó đối mặt với rủi ro và hoài nghi trước những tin nhắn không mong muốn yêu cầu bạn nhấp vào liên kết hoặc nhập thông tin xác thực, vì lừa đảo vẫn là cách phổ biến nhất để ransomware xâm nhập.

Các biện pháp hành động cụ thể

  • Duy trì các bản sao lưu ngoại tuyến, được mã hóa mà ransomware không thể tiếp cận hoặc mã hóa cùng với hệ thống trực tuyến của bạn.
  • Mã hóa các tập tin nhạy cảm trước khi lưu trữ, để bản sao bị đánh cắp có ít giá trị tống tiền.
  • Tự đào tạo và huấn luyện nhóm của bạn để nhận diện các nỗ lực lừa đảo, điểm xâm nhập phổ biến nhất của ransomware.
  • Cập nhật phần mềm và hệ thống thường xuyên để vá các lỗ hổng mà kẻ tấn công khai thác.
  • Tránh trả tiền chuộc khi có thể; không có gì đảm bảo dữ liệu bị đánh cắp sẽ bị xóa ngay cả sau khi thanh toán.

Những loại ransomware như CRPx0 phát triển mạnh trên sự thiếu chuẩn bị. Thực hiện các bước này ngay bây giờ, trước khi một cuộc tấn công xảy ra, hiệu quả hơn nhiều so với việc vội vàng tìm công cụ giải mã sau đó.