Triệt phá Ransomware KillSec: Cần Làm Gì Sau 1.000 Cuộc Tấn Công

Cảnh sát đã triệt phá mạng lưới ransomware KillSec, thu giữ các máy chủ và dữ liệu bị đánh cắp, đồng thời liên kết nhóm này với khoảng 1.000 cuộc tấn công bị nghi ngờ trên toàn thế giới. Nếu bạn đang thắc mắc về vụ triệt phá ransomware KillSec và cần làm gì tiếp theo, câu trả lời ngắn gọn là: tin tốt, nhưng không phải lý do để lơ là. Bài viết này đề cập những gì chiến dịch thay đổi, những gì nó không thay đổi, và những bước thực tế quan trọng nhất đối với người dùng Windows và các văn phòng nhỏ phụ thuộc vào một bộ định tuyến duy nhất.

Vụ Triệt Phá KillSec Thực Sự Đạt Được Gì

Theo các báo cáo, cơ quan thực thi pháp luật đã thu giữ các máy chủ của KillSec và dữ liệu bị đánh cắp lưu trữ trên đó, đồng thời liên kết nhóm này với khoảng 1.000 cuộc tấn công bị nghi ngờ. Các bài đưa tin khác mô tả nỗ lực này là "Chiến dịch KillSwitch" và cho biết các nhà điều tra đã kiểm soát trang web rò rỉ trên dark web của nhóm, trang được sử dụng để đe dọa nạn nhân bằng cách công bố các tệp bị đánh cắp. Một số hãng tin đưa ra con số thấp hơn, khoảng 500 cuộc tấn công thành công được xác nhận, đây là lời nhắc hữu ích rằng "bị nghi ngờ" và "được xác nhận" là hai con số khác nhau. Để biết thông tin mới nhất về chiến dịch và các nghi phạm, xem báo cáo của chúng tôi về vụ triệt phá ransomware KillSec.

Những gì việc này làm được: loại bỏ hạ tầng của nhóm, phá vỡ khả năng tống tiền nạn nhân thông qua trang rò rỉ, và cung cấp cho các nhà điều tra dữ liệu họ có thể sử dụng để xác định và thông báo cho các tổ chức bị ảnh hưởng.

Những gì việc này không làm được: nó không giải mã các tệp đã bị khóa, và không đảm bảo rằng dữ liệu bị đánh cắp đã bị tiêu hủy. Máy chủ bị thu giữ không giống như mọi bản sao của mọi tệp. Các công cụ và kỹ thuật ransomware cũng có xu hướng tồn tại lâu hơn bất kỳ nhóm nào, vì các chi nhánh có thể chuyển sang thương hiệu khác. Hãy coi việc triệt phá là một khoảng lặng trong hoạt động của một nhóm, không phải là dấu chấm hết cho mối đe dọa.

VPN Có Thể và Không Thể Làm Gì Chống Lại Ransomware

Quảng cáo VPN đôi khi ngụ ý bảo vệ toàn diện, nên đây là phiên bản thẳng thắn.

VPN mã hóa lưu lượng giữa thiết bị của bạn và máy chủ VPN. Điều đó hữu ích trên các mạng không đáng tin cậy như Wi-Fi công cộng và ẩn hoạt động duyệt web của bạn khỏi nhà cung cấp internet. Đây là một công cụ bảo mật quyền riêng tư.

Nó không ngăn chặn ransomware. VPN sẽ không chặn tệp đính kèm độc hại mà bạn mở, không loại bỏ phần mềm độc hại đã có trên PC của bạn, cũng không hoàn tác việc mã hóa các tệp của bạn. Báo cáo về KillSec cho biết nhóm này đánh cắp dữ liệu bằng cách khai thác lỗ hổng và các điểm truy cập được bảo vệ kém. Điều đó chỉ ra rằng phần mềm chưa được vá và truy cập từ xa yếu là những vấn đề thực sự, và VPN tiêu dùng không giải quyết được cả hai.

Điểm duy nhất mà VPN có thể quan trọng là truy cập từ xa cho doanh nghiệp: một VPN được cấu hình đúng, được vá và kiểm soát truy cập tốt hơn so với việc phơi bày các dịch vụ như remote desktop trực tiếp ra internet. Nhưng bản thân cổng VPN trở thành một điểm xâm nhập cần được cập nhật và bảo vệ bằng xác thực đa yếu tố.

Các Bước Cho Người Dùng Windows và Văn Phòng Nhỏ Dựa Trên Router

Những bước này giải quyết các điểm yếu mà các nhóm ransomware thường khai thác, mà không cần công cụ đặc biệt.

Đối với người dùng Windows:

• Cài đặt bản cập nhật kịp thời. Bật Windows Update tự động và cập nhật trình duyệt, trình đọc PDF và các ứng dụng khác.
• Duy trì sao lưu ngoại tuyến hoặc có phiên bản. Tuân theo ý tưởng 3-2-1: ba bản sao, hai loại lưu trữ, một bản được giữ ngoại tuyến hoặc ngắt kết nối. Kiểm tra khôi phục.
• Sử dụng tài khoản tiêu chuẩn cho công việc hàng ngày. Dành tài khoản quản trị cho việc cài đặt phần mềm.
• Bật các biện pháp bảo vệ tích hợp. Giữ Microsoft Defender chạy và xem xét bật tính năng kiểm soát truy cập thư mục.
• Bật xác thực đa yếu tố cho email, lưu trữ đám mây và mọi truy cập từ xa.

Đối với văn phòng nhỏ dựa trên một router:

• Cập nhật firmware router và thay thế các thiết bị không còn nhận được bản cập nhật.
• Thay đổi mật khẩu quản trị mặc định và tắt quản lý từ xa qua internet trừ khi bạn thực sự cần.
• Đóng các cổng mở không cần thiết. Không phơi bày remote desktop hoặc chia sẻ tệp trực tiếp.
• Phân đoạn mạng khi có thể, ví dụ một mạng khách riêng biệt, để một thiết bị bị nhiễm không thể dễ dàng truy cập mọi thứ.
• Xem xét ai có quyền truy cập từ xa và xóa tài khoản của nhân viên cũ hoặc nhà cung cấp.

Nếu Bạn Bị Tấn Công: Cách Ứng Phó và Kiểm Tra Phơi Nhiễm

Nếu bạn tin rằng mình là nạn nhân của KillSec, hoặc bất kỳ nạn nhân ransomware nào, hãy hành động theo thứ tự:

1. Cô lập các thiết bị bị ảnh hưởng. Ngắt kết nối chúng khỏi mạng và Wi-Fi, nhưng chưa xóa chúng, vì chúng có thể chứa bằng chứng.
2. Báo cáo. Liên hệ với cơ quan thực thi pháp luật địa phương hoặc kênh báo cáo tội phạm mạng quốc gia của bạn. Các nhà điều tra trong một vụ án như thế này có thể chia sẻ thông tin với nạn nhân, vì vậy một báo cáo có thể hữu ích.
3. Đừng cho rằng trang rò rỉ là toàn bộ câu chuyện. Với trang của nhóm bị thu giữ, mối đe dọa công bố công khai có thể giảm, nhưng bạn vẫn nên cho rằng dữ liệu bị lấy từ bạn có thể bị phơi bày ở nơi khác.
4. Thay đổi thông tin đăng nhập. Đặt lại mật khẩu cho email, đám mây, ngân hàng và tài khoản quản trị từ một thiết bị sạch, và bật xác thực đa yếu tố.
5. Cảnh giác với gian lận. Nếu dữ liệu cá nhân hoặc khách hàng bị liên quan, hãy theo dõi tài khoản và thận trọng với lừa đảo tiếp theo đề cập đến sự cố.
6. Khôi phục từ bản sao lưu sạch chỉ sau khi đường xâm nhập được tìm thấy và đóng lại, nếu không bạn có nguy cơ bị tấn công lại.

Điều Này Có Ý Nghĩa Gì Với Bạn

Đối với hầu hết độc giả, việc triệt phá thay đổi rất ít trong cuộc sống hàng ngày. Đây là một thắng lợi có ý nghĩa chống lại một nhóm, và có thể giúp một số nạn nhân biết rằng họ đã bị ảnh hưởng. Nhưng những điểm yếu mà nó khai thác, như hệ thống chưa được vá và các điểm truy cập được bảo vệ kém, tồn tại trong vô số ngôi nhà và văn phòng. VPN sẽ không khắc phục được những điều đó. Cập nhật, sao lưu, xác thực mạnh và một router được khóa chặt sẽ làm được.

Những Điểm Chính

• Hãy coi vụ triệt phá ransomware KillSec là tin tốt, không phải vạch đích. Việc cần làm bây giờ là tăng cường phòng thủ của chính bạn.
• Đừng dựa vào VPN như biện pháp bảo vệ chống ransomware; nó là công cụ bảo mật quyền riêng tư.
• Vá Windows, ứng dụng và firmware router trong tuần này.
• Xác minh rằng bạn có bản sao lưu ngoại tuyến gần đây và bạn có thể khôi phục từ đó.
• Xem xét truy cập từ xa và bật xác thực đa yếu tố.

Hãy dành mười phút hôm nay để kiểm tra cài đặt cập nhật Windows và các tùy chọn quản trị và truy cập từ xa của router. Để biết chi tiết mới nhất về chiến dịch và các nghi phạm, đọc bài đưa tin của chúng tôi về vụ bắt giữ KillSec.