Cảnh báo chung từ FBI, CISA và các cơ quan EU đã đưa nhóm ransomware SafePay vào tầm ngắm, với Mỹ, Anh và Đức được nêu tên là mục tiêu trong chiến dịch toàn cầu của nhóm này. Chi tiết then chốt đối với người dùng hàng ngày và doanh nghiệp nhỏ: những kẻ tấn công nhắm vào các bản sao lưu. Điều đó khiến bảo vệ sao lưu trước ransomware SafePay trở thành câu hỏi lớn hơn nhiều so với việc chỉ đơn thuần có thêm một bản sao các tệp của bạn.
Bài viết gốc khá ngắn gọn, nên bài đăng này tập trung vào những gì cảnh báo cho thấy và các bước thiết thực bạn có thể thực hiện. Khi chúng tôi mô tả hành vi điển hình của kẻ tấn công, nội dung đó phản ánh các báo cáo công khai chung về SafePay và thực tiễn ransomware phổ biến.
Ransomware SafePay làm gì và ai là mục tiêu
SafePay là một nhóm ransomware, nghĩa là chúng đột nhập vào mạng, khóa dữ liệu và đòi tiền chuộc để khôi phục quyền truy cập. Các báo cáo mối đe dọa công khai mô tả đây là một hoạt động tống tiền kép: kẻ tấn công sao chép dữ liệu ra khỏi hệ thống của nạn nhân trước khi mã hóa, sau đó đòi thanh toán bằng tiền mã hóa. Mối đe dọa bao gồm cả việc mất quyền truy cập lẫn việc các tệp nhạy cảm bị rò rỉ.
Cảnh báo chung mô tả một chiến dịch toàn cầu, với các cơ quan tham gia trải rộng ở Mỹ, Anh và Đức. Các nhóm ransomware hiếm khi giới hạn mục tiêu vào các tập đoàn lớn. Doanh nghiệp nhỏ, phòng khám, trường học và văn phòng địa phương thường có dữ liệu giá trị nhưng phòng thủ mỏng hơn, khiến chúng trở thành mục tiêu hấp dẫn. Các cá nhân có thiết bị lưu trữ mạng tại nhà hoặc trong văn phòng tại gia cũng có thể bị ảnh hưởng.
Báo cáo công khai về SafePay cho biết những kẻ vận hành thường xâm nhập bằng cách đánh cắp hoặc đoán mật khẩu và khai thác lỗ hổng trong các hệ thống bảo mật. Không có gì quá kỳ lạ ở đây, và đó là lý do vì sao những điều cơ bản lại quan trọng đến vậy.
Tại sao kẻ tấn công nhắm vào bản sao lưu trước
Bản sao lưu là lưới an toàn. Nếu nạn nhân có thể khôi phục từ một bản sao sạch, yêu cầu tiền chuộc mất đi phần lớn đòn bẩy. Vì vậy, những kẻ tấn công hiểu điều này sẽ cố gắng gỡ bỏ lưới an toàn trước khi ra tay. Việc xóa, mã hóa hoặc làm hỏng các bản sao lưu trước tiên có nghĩa là khi ghi chú đòi tiền chuộc xuất hiện, các lựa chọn khôi phục đã biến mất.
Đây là sự thay đổi đáng để tiếp thu. Nhiều người nghĩ về bản sao lưu như một thứ đơn giản tồn tại. Trên thực tế, một bản sao lưu có thể truy cập được từ mạng chính của bạn, sử dụng cùng thông tin đăng nhập, có thể bị tìm thấy và phá hủy bởi bất kỳ ai có được quyền truy cập đó. Một bản sao nằm trên ổ đĩa cắm thường trực vào máy tính của bạn, hoặc một thư mục đám mây tự động đồng bộ, có thể bị mã hóa cùng với mọi thứ khác.
Cách bảo vệ bản sao lưu: Bản sao ngoại tuyến, tính bất biến và mã hóa
Bảo vệ sao lưu tốt trước ransomware SafePay bắt đầu bằng việc giả định kẻ tấn công cuối cùng sẽ có quyền truy cập vào các hệ thống chính của bạn, sau đó đảm bảo các bản sao lưu của bạn tồn tại qua kịch bản đó. Ba ý tưởng hữu ích:
- Giữ một bản sao ngoại tuyến hoặc cách ly. Một ổ đĩa ngoài được ngắt kết nối sau mỗi lần sao lưu không thể bị mã hóa từ xa. Đối với doanh nghiệp, điều này có nghĩa là các bản sao không thể truy cập liên tục từ mạng sản xuất.
- Sử dụng bản sao lưu bất biến. Tính bất biến có nghĩa là một bản sao lưu không thể bị thay đổi hoặc xóa trong một khoảng thời gian nhất định, ngay cả bởi tài khoản quản trị viên. Nhiều công cụ sao lưu và dịch vụ lưu trữ đám mây cung cấp tính năng này như một cài đặt. Nếu kẻ tấn công đánh cắp thông tin đăng nhập quản trị, các bản sao bị khóa vẫn nguyên vẹn.
- Mã hóa bản sao lưu của bạn. Mã hóa sẽ không ngăn kẻ tấn công xóa dữ liệu, nhưng nó bảo vệ nội dung nếu một bản sao bị đánh cắp. Điều đó quan trọng trong trường hợp tống tiền kép, khi dữ liệu bị rò rỉ là một phần của áp lực.
Hai thói quen hỗ trợ cũng quan trọng không kém. Sử dụng thông tin đăng nhập riêng cho các hệ thống sao lưu, lý tưởng nhất là được bảo vệ bằng xác thực đa yếu tố, để một mật khẩu hàng ngày bị đánh cắp không thể mở khóa chúng. Và kiểm tra khôi phục thường xuyên. Một bản sao lưu bạn chưa bao giờ khôi phục là một giả định, không phải một kế hoạch.
Các biện pháp phòng thủ cơ bản ngăn chặn xâm nhập ban đầu
Bảo vệ bản sao lưu là tuyến phòng thủ cuối cùng. Kết quả tốt hơn là giữ kẻ tấn công ở bên ngoài. Vì báo cáo chỉ ra mật khẩu bị đánh cắp hoặc đoán được và các lỗ hổng bị khai thác, các biện pháp phòng thủ hữu ích nhất là những biện pháp kém hào nhoáng:
- Bật xác thực đa yếu tố trên email, truy cập từ xa, tài khoản đám mây và bảng điều khiển sao lưu.
- Sử dụng mật khẩu mạnh, duy nhất được lưu trong trình quản lý mật khẩu, để một thông tin đăng nhập bị rò rỉ không mở được nhiều cửa.
- Vá lỗ hổng kịp thời, đặc biệt là các hệ thống hướng ra internet như tường lửa, công cụ truy cập từ xa và phần mềm sao lưu. Các lỗ hổng đã biết chưa được vá là một con đường xâm nhập phổ biến.
- Hạn chế truy cập từ xa. Tắt các dịch vụ bạn không sử dụng và giới hạn những ai có thể truy cập phần còn lại.
VPN có thể giúp bảo mật kết nối từ xa đến mạng công ty, nhưng nó không thay thế cho việc vá lỗ hổng và MFA, và nó sẽ không tự bảo vệ bản sao lưu.
Điều này có ý nghĩa gì với bạn
Tính chất quốc tế của cảnh báo này đáng được lưu ý. Các chính phủ hợp tác xuyên biên giới về các mối đe dọa mạng không phải là điều mới; các liên minh như Five Eyes và Fourteen Eyes rộng hơn được biết đến với việc chia sẻ thông tin tình báo, mặc dù những thỏa thuận đó liên quan đến dữ liệu giám sát và là vấn đề riêng biệt với khuyến cáo ransomware này. Bài học cho độc giả đơn giản hơn: khi nhiều cơ quan cùng đưa ra cảnh báo chung, mối đe dọa là rộng lớn và không giới hạn ở một khu vực hay ngành nghề.
Đối với cá nhân, điều đó có nghĩa là kiểm tra xem bản sao lưu của bạn có thực sự tách biệt khỏi máy tính của bạn hay không. Đối với doanh nghiệp nhỏ, điều đó có nghĩa là hỏi ai có thể xóa bản sao lưu của bạn, và liệu tài khoản đó có được bảo vệ bằng MFA hay không.
Các bước hành động cụ thể
Bảo vệ sao lưu trước ransomware SafePay quy về một cuộc kiểm tra ngắn gọn bạn có thể hoàn thành trong tuần này:
- Kiểm tra thiết lập sao lưu của bạn. Bạn có ít nhất một bản sao ngoại tuyến hoặc bất biến không?
- Tách biệt thông tin đăng nhập. Đảm bảo quyền truy cập sao lưu sử dụng thông tin đăng nhập khác với tài khoản hàng ngày.
- Bật MFA ở mọi nơi được cung cấp, bắt đầu với email, truy cập từ xa và công cụ sao lưu.
- Cài đặt các bản cập nhật đang chờ, ưu tiên tường lửa, phần mềm truy cập từ xa và ứng dụng sao lưu.
- Kiểm tra khôi phục một vài tệp để xác nhận các bản sao lưu thực sự hoạt động.
Không bước nào trong số này phức tạp, và cùng nhau chúng loại bỏ đòn bẩy mà các nhóm ransomware phụ thuộc vào. Hãy bắt đầu cuộc kiểm tra ngay hôm nay.
