Ransomware là gì? Mã độc mã hóa tống tiền và cách phòng chống

Ransomware là loại mã độc nguy hiểm nhất trong thế giới an ninh mạng hiện đại — nó không đánh cắp dữ liệu thầm lặng mà khóa toàn bộ hệ thống của bạn lại và yêu cầu tiền chuộc ngay trước mắt. Một cuộc tấn công ransomware có thể làm tê liệt bệnh viện, trường học hay tập đoàn đa quốc gia chỉ trong vài phút.

Ransomware là gì? Định nghĩa và tác động

Ransomware (mã độc tống tiền) là phần mềm độc hại mã hóa file hoặc toàn bộ hệ thống của nạn nhân, sau đó hiển thị thông báo yêu cầu thanh toán tiền chuộc — thường bằng Bitcoin hoặc Monero — để nhận key giải mã. Nếu không trả trong thời hạn, dữ liệu có thể bị xóa vĩnh viễn hoặc công bố công khai.

Điểm khác biệt cốt lõi so với mã độc thông thường: ransomware không hoạt động ngầm mà tấn công trực tiếp vào khả năng vận hành của tổ chức. Nạn nhân biết ngay mình bị tấn công và áp lực thời gian buộc họ phải ra quyết định nhanh — một chiến thuật tâm lý cố ý.

Quy mô thiệt hại toàn cầu là khổng lồ. Cybersecurity Ventures ước tính ransomware gây thiệt hại khoảng $20 tỷ USD năm 2021, tăng gấp 57 lần so với 2015. Năm 2021, Colonial Pipeline (Mỹ) trả $4.4 triệu; CNA Financial trả $40 triệu; một bệnh viện tại Đức phải chuyển bệnh nhân cấp cứu sang cơ sở khác vì hệ thống bị khóa hoàn toàn.

Lịch sử phát triển ransomware

Ransomware không phải hiện tượng mới — nó đã tồn tại hơn 35 năm và không ngừng tiến hóa.

AIDS Trojan (1989) là ransomware đầu tiên được ghi nhận. Joseph Popp, một nhà sinh vật học, phân phối 20,000 đĩa mềm tại Hội nghị AIDS của WHO. Phần mềm ẩn thư mục và mã hóa tên file sau 90 lần khởi động máy, sau đó yêu cầu gửi $189 qua bưu điện đến một hộp thư ở Panama. Primitive, nhưng mô hình cơ bản đã hình thành.

Trojan là gì?

CryptoLocker (2013) đánh dấu bước ngoặt của kỷ nguyên Bitcoin. Sử dụng RSA-2048 encryption thực sự và Bitcoin để nhận thanh toán ẩn danh, CryptoLocker thu hơn $27 triệu trước khi bị FBI triệt phá năm 2014. Đây là ransomware đầu tiên chứng minh mô hình có thể sinh lời lớn.

WannaCry (tháng 5/2017) là cú sốc toàn cầu. Khai thác lỗ hổng EternalBlue (MS17-010) — bị đánh cắp từ NSA — WannaCry lây lan tự động qua SMB mà không cần bất kỳ tương tác nào từ người dùng. Trong 4 ngày, hơn 200,000 máy tính tại 150 quốc gia bị nhiễm. NHS UK phải hủy hàng chục nghìn cuộc hẹn; Telefónica, FedEx, Deutsche Bahn tê liệt. Thiệt hại ước tính $4–8 tỷ USD.

NotPetya (tháng 6/2017) trông giống ransomware nhưng thực ra là wiper (phần mềm phá hủy dữ liệu) do nhà nước Nga điều hành. Nó ghi đè MBR (Master Boot Record) khiến máy không khởi động được. Không có khả năng giải mã thực sự. Maersk mất $300 triệu; Merck mất $870 triệu. Tổng thiệt hại vượt $10 tỷ USD — lớn nhất lịch sử một cuộc tấn công mạng.

LockBit (2019–2024) là nhóm RaaS thống trị thập kỷ 2020. Hoạt động theo mô hình Ransomware-as-a-Service chuyên nghiệp với affiliate program, leak site, và thậm chí chương trình bug bounty cho chính malware của mình. Đến 2023, LockBit chiếm khoảng 25% thị phần ransomware toàn cầu. FBI và Europol phá vỡ cơ sở hạ tầng LockBit vào tháng 2/2024, nhưng các affiliate tiếp tục hoạt động dưới tên mới.

Cơ chế kỹ thuật: AES + RSA Hybrid Encryption

Sức mạnh của ransomware hiện đại đến từ việc kết hợp hai thuật toán mã hóa bổ sung cho nhau:

Quy trình mã hóa ransomware điển hình:

1. Malware chạy trên máy nạn nhân
2. Tạo AES-256 session key ngẫu nhiên
3. Enumerate files (*.doc, *.xlsx, *.jpg, *.db, ...)
4. Mã hóa từng file bằng AES-256 (nhanh, symmetric)
5. Mã hóa AES session key bằng RSA-2048 public key
   (public key hardcoded trong malware binary)
6. Xóa AES session key khỏi bộ nhớ
7. Lưu RSA-encrypted key vào ransom note file
8. Hiển thị ransom note + payment instructions

Giải mã chỉ khả thi khi có RSA private key từ attacker's C2 server.

Tại sao dùng cả hai? AES-256 mã hóa nhanh (gigabyte trong vài giây) nhưng symmetric — cùng một key để mã hóa và giải mã, không thể giấu key an toàn. RSA-2048 giải quyết bài toán key distribution: public key (để mã hóa AES key) có thể được nhúng vào malware mà không tiết lộ private key. Private key chỉ tồn tại trên C2 server của attacker.

Kết quả: dù bạn có toàn bộ source code của malware, toàn bộ file đã mã hóa và toàn bộ sức mạnh tính toán trên thế giới, bạn vẫn không thể giải mã nếu không có RSA private key. Đây là lý do ransomware hiện đại thực sự vô hiệu hóa tất cả các biện pháp ứng phó ngoại trừ backup sạch.

Một số ransomware còn dùng thêm lớp: mã hóa file theo từng chunk, rename extension (.locked, .wncry), và overwrite file gốc nhiều lần để ngăn forensic recovery.

Vector lây nhiễm

Hiểu ransomware xâm nhập như thế nào là bước đầu tiên để phòng chống hiệu quả.

Phishing email vẫn là vector số một. Kẻ tấn công gửi email giả mạo hoá đơn, thông báo giao hàng, hoặc tài liệu nội bộ. File đính kèm thường là Word/Excel với macro độc hại (yêu cầu người dùng "Enable Content"), hoặc PDF với link dẫn đến dropper. Một cú click đủ để bắt đầu chuỗi lây nhiễm.

RDP brute force là vector phổ biến thứ hai. Hàng triệu máy tính Windows để lộ port 3389 (Remote Desktop Protocol) ra internet — nhiều máy dùng mật khẩu yếu hoặc default. Attacker dùng công cụ tự động thử hàng triệu mật khẩu mỗi ngày. Một khi vào được, họ có thể triển khai ransomware trực tiếp với quyền admin.

EternalBlue exploit (MS17-010) là lỗ hổng WannaCry khai thác. Microsoft vá lỗ hổng này vào tháng 3/2017, nhưng hàng trăm nghìn máy chưa được patch khi WannaCry bùng phát vào tháng 5. Hiện tại, EternalBlue vẫn được dùng vì nhiều hệ thống legacy vẫn chưa được vá.

Supply chain attack ngày càng phổ biến. Kaseya VSA (2021): REvil tấn công phần mềm quản lý IT Kaseya VSA, ảnh hưởng đến 1,500 doanh nghiệp qua các Managed Service Provider dùng Kaseya. SolarWinds (2020, không phải ransomware nhưng cùng vector) cho thấy mức độ nguy hiểm của supply chain.

Drive-by download và malvertising nhắm vào người dùng thông qua quảng cáo độc hại trên các website hợp pháp, tự động tải và chạy dropper mà không cần bất kỳ tương tác nào ngoài việc truy cập trang web với trình duyệt chưa được patch.

Double Extortion và RaaS model

Ransomware đã tiến hóa vượt xa mô hình đơn giản ban đầu.

Double extortion (tống tiền kép) xuất hiện từ 2019 với Maze ransomware. Thay vì chỉ mã hóa file, attacker exfiltrate (đánh cắp) dữ liệu trước khi mã hóa. Nếu nạn nhân từ chối trả tiền, họ đe dọa công bố dữ liệu nhạy cảm — hồ sơ khách hàng, bí mật thương mại, dữ liệu nhân sự — lên leak site trên dark web. Điều này tạo áp lực kép: phải trả để giải mã VÀ phải trả để dữ liệu không bị lộ. Một số nhóm thậm chí dùng triple extortion — thêm tấn công DDoS vào website nạn nhân để tăng áp lực.

RaaS (Ransomware-as-a-Service) là bước chuyển đổi mô hình kinh doanh quan trọng nhất. Nhóm operator (phát triển ransomware) không trực tiếp tấn công — họ xây dựng hạ tầng: malware, C2 servers, payment portal, customer service (hỗ trợ nạn nhân trả tiền). Các affiliate (đối tác) mua hoặc thuê kit, tự tìm nạn nhân và triển khai tấn công. Doanh thu chia theo tỷ lệ: affiliate giữ 70–80%, operator lấy 20–30%.

Mô hình này democratize ransomware — một attacker không cần kỹ năng lập trình hay cryptography, chỉ cần kỹ năng xâm nhập cơ bản và khả năng chạy tool. LockBit, BlackCat (ALPHV), Conti, Cl0p đều hoạt động theo mô hình RaaS với hàng chục đến hàng trăm affiliate.

Các nhóm này duy trì leak sites trên Tor — website công bố danh sách nạn nhân từ chối trả tiền, kèm sample dữ liệu bị đánh cắp để chứng minh họ thực sự có dữ liệu. Đây là công cụ áp lực công khai cực kỳ hiệu quả.

Phòng chống ransomware

Không có biện pháp đơn lẻ nào đảm bảo an toàn 100%. Phòng chống ransomware đòi hỏi chiến lược phân lớp (defense in depth).

Checklist phòng chống ransomware:

Backup:
□ 3-2-1 backup: 3 bản sao, 2 loại media, 1 bản offline/air-gapped
□ Test restore hàng tháng — backup vô dụng nếu không restore được
□ Backup offline không kết nối thường xuyên vào network

Patch & Hardening:
□ Patch OS và ứng dụng trong 72h sau khi có critical patch
□ Tắt RDP nếu không cần; dùng VPN + MFA nếu cần RDP
□ Disable macros trong Office cho người dùng thường
□ Least privilege — user không phải local admin

Detection & Containment:
□ EDR (Endpoint Detection and Response) — phát hiện behavior bất thường
□ Network segmentation — ransomware không lan toàn bộ hệ thống
□ Email gateway lọc attachment độc hại

Awareness:
□ Training nhận diện phishing định kỳ cho toàn bộ nhân viên
□ Phishing simulation exercises hàng quý

Phishing là gì? Nhận diện và phòng chống lừa đảo

Backup 3-2-1 là lớp phòng thủ quan trọng nhất và thường bị bỏ qua. Ba yếu tố: giữ 3 bản sao dữ liệu, trên 2 loại media khác nhau (ví dụ: ổ cứng nội bộ và cloud), với ít nhất 1 bản offline hoặc air-gapped — không kết nối vào network. Ransomware thường tìm và mã hóa cả backup online; bản offline không thể bị ảnh hưởng. Quan trọng không kém: test restore định kỳ. Backup không được test là backup giả.

Patch nhanh là phòng thủ tốt nhất chống exploit. WannaCry lây 200,000 máy bằng một lỗ hổng đã được vá 2 tháng trước. Critical patch phải được áp dụng trong 72 giờ — không phải "khi có thời gian".

Least privilege ngăn ransomware leo thang quyền. Nếu user bị nhiễm không phải local admin, ransomware khó mã hóa system files và khó lan sang máy khác. Hầu hết người dùng văn phòng không cần quyền admin để làm việc.

EDR (Endpoint Detection and Response) như CrowdStrike Falcon, Microsoft Defender for Endpoint, hoặc SentinelOne phát hiện hành vi mã hóa hàng loạt bất thường và có thể kill process ransomware trước khi hoàn thành.

Network segmentation giới hạn phạm vi lây lan. Ransomware trong một VLAN không thể tự động nhảy sang VLAN khác nếu firewall rules được cấu hình đúng.

Ứng phó khi bị tấn công — Incident Response

Bị ransomware tấn công không đồng nghĩa với thảm họa nếu bạn phản ứng nhanh và đúng cách.

Ưu tiên trong 1 giờ đầu:
1. Cô lập máy bị nhiễm — tắt network (kéo dây / disable WiFi / VLAN isolation)
2. Không tắt máy hoàn toàn — forensic evidence còn trong RAM
3. Snapshot/image ổ cứng trước khi làm gì khác
4. Xác định phạm vi — máy nào bị ảnh hưởng, data nào bị encrypt
5. Báo cáo: IT security team, legal, management, cyber insurance

Tiếp theo (giờ 2-24):
6. Liên hệ CSIRT / VNCERT-CC (Việt Nam: vncert.vn)
7. Kiểm tra nomoreransom.org — một số variant có free decryptor
8. Đánh giá backup — có bản offline sạch không?
9. Quyết định về tiền chuộc (legal + insurance + FBI guidance)
10. Eradicate → Restore từ clean backup → Post-incident review

Cô lập ngay lập tức là hành động số một. Mỗi giây chậm trễ, ransomware có thêm thời gian mã hóa thêm file và lan sang máy khác qua network share. Kéo dây mạng, tắt WiFi, hoặc đưa vào VLAN quarantine ngay.

Không tắt máy là quy tắc phản trực giác nhưng quan trọng. RAM có thể chứa encryption key chưa bị xóa, danh sách process đang chạy, và network connections — tất cả là forensic evidence quý giá. Tắt máy xóa sạch RAM.

nomoreransom.org là dự án hợp tác giữa Europol, FBI và các công ty bảo mật. Họ duy trì thư viện các free decryptor cho hàng trăm ransomware variant mà key đã bị lấy được từ các operation law enforcement. Luôn kiểm tra đây trước.

Quyết định tiền chuộc là vấn đề phức tạp. FBI và CISA khuyên không trả, nhưng thực tế phụ thuộc vào: dữ liệu có backup không? Dữ liệu nhạy cảm đến mức nào? Bảo hiểm cyber có cover không? Luật pháp địa phương có nghiêm cấm trả tiền cho các nhóm bị trừng phạt (sanctions) không? Nhiều doanh nghiệp cuối cùng phải trả vì không có backup — và khoảng 65% nhận được key giải mã hoạt động (nhưng 35% không).

Botnet là gì?