Kiểm tra máy tính có bị nhiễm WannaCry

Nhập thông tin hệ thống để đánh giá nguy cơ nhiễm phần mềm độc hại WannaCry

Hướng dẫn toàn diện: Nhận biết máy tính bị nhiễm WannaCry

WannaCry (còn gọi là WannaCrypt) là một loại phần mềm độc hại mã hóa dữ liệu (ransomware) đã gây ra cuộc tấn công mạng toàn cầu năm 2017, ảnh hưởng đến hơn 200,000 máy tính tại 150 quốc gia. Mặc dù đã được kiểm soát phần nào, nhưng các biến thể của WannaCry vẫn tiếp tục đe dọa các hệ thống chưa được vá lỗi.

1. WannaCry hoạt động như thế nào?

WannaCry khai thác lỗ hổng EternalBlue trong giao thức Server Message Block (SMB) version 1 của Microsoft Windows. Khi xâm nhập thành công, phần mềm độc hại sẽ:

1. Mã hóa các file quan trọng với thuật toán AES-128
2. Thêm phần mở rộng .wncry, .wcry, .wncryt vào file bị mã hóa
3. Hiển thị thông báo đòi tiền chuộc bằng Bitcoin (thường từ 300-600 USD)
4. Lây lan sang các máy tính khác trong cùng mạng nội bộ

Nguồn thông tin chính thức:

Theo CISA (Cybersecurity & Infrastructure Security Agency), WannaCry sử dụng công cụ khai thác EternalBlue do NSA phát triển nhưng bị rò rỉ bởi nhóm hacker Shadow Brokers.

2. 10 dấu hiệu nhận biết máy tính bị nhiễm WannaCry

• Các file bị mã hóa đột ngột – File văn phòng (.docx, .xlsx), hình ảnh, video bị đổi thành phần mở rộng lạ như .wncry
• Thông báo đòi tiền chuộc – Xuất hiện cửa sổ pop-up với đồng hồ đếm ngược và hướng dẫn thanh toán Bitcoin
• Hiệu suất hệ thống giảm mạnh – CPU sử dụng 100%, máy tính chạy chậm bất thường do quá trình mã hóa file
• Mất kết nối mạng – WannaCry có thể làm gián đoạn kết nối mạng khi cố gắng lây lan
• Các dịch vụ Windows bị vô hiệu hóa – Như Windows Update, Windows Defender bị tắt bất thường
• Xuất hiện file README.txt hoặc tương tự – Chứa hướng dẫn thanh toán tiền chuộc
• Registry bị sửa đổi – Các khóa registry liên quan đến khởi động hệ thống bị thay đổi
• Quá trình lạ trong Task Manager – Các tiến trình như mssecsvc.exe hoặc tasksche.exe chạy ngầm
• Mất quyền truy cập vào các thư mục chia sẻ mạng – Do WannaCry khai thác lỗ hổng SMB
• Các bản vá bảo mật bị gỡ bỏ – WannaCry có thể xóa các bản cập nhật bảo mật quan trọng

3. So sánh WannaCry với các loại ransomware khác

Đặc điểm	WannaCry	NotPetya	Locky	CryptoLocker
Năm xuất hiện	2017	2017	2016	2013
Phương thức lây lan	EternalBlue (SMB)	EternalBlue + Mimikatz	Email lừa đảo	Email lừa đảo
Mức độ phá hủy	Mã hóa file	Phá hủy MBR	Mã hóa file	Mã hóa file
Tiền chuộc trung bình	$300-$600	Không khôi phục được	$500-$1000	$200-$500
Khả năng khôi phục	Có (nếu có bản sao lưu)	Không	Có (nếu có bản sao lưu)	Có (nếu có bản sao lưu)
Số lượng nạn nhân ước tính	200,000+	10,000+	1,000,000+	500,000+

4. Cách phòng chống WannaCry hiệu quả

Khuyến nghị từ Microsoft:

Microsoft đã phát hành bản vá khẩn cấp MS17-010 để vá lỗ hổng EternalBlue. Tất cả các hệ thống Windows chưa cập nhật đều có nguy cơ cao bị tấn công.

1. Cập nhật hệ thống ngay lập tức
   • Cài đặt bản vá MS17-010 cho tất cả hệ thống Windows
   • Bật tính năng cập nhật tự động cho Windows Update
   • Kiểm tra và cập nhật các hệ thống Windows Server cũ
2. Vô hiệu hóa SMBv1
   • Mở PowerShell với quyền admin và chạy lệnh: Disable-WindowsOptionalFeature -Online -FeatureName smb1protocol
   • Khởi động lại máy tính để áp dụng thay đổi
   • Sử dụng SMBv2 hoặc SMBv3 thay thế
3. Cấu hình tường lửa chặn cổng 445
   • Chặn tất cả lưu lượng đến cổng TCP 445 (SMB)
   • Chỉ cho phép kết nối SMB nội bộ khi thực sự cần thiết
   • Sử dụng VPN cho các kết nối từ xa đến mạng nội bộ
4. Sao lưu dữ liệu định kỳ
   • Áp dụng quy tắc sao lưu 3-2-1: 3 bản sao, 2 phương tiện khác nhau, 1 bản lưu trữ ngoại tuyến
   • Kiểm tra tính toàn vẹn của bản sao lưu định kỳ
   • Sử dụng giải pháp sao lưu tự động như Veeam, Acronis
5. Triển khai giải pháp bảo mật đa lớp
   • Sử dụng phần mềm diệt virus có khả năng chống ransomware (Bitdefender, Kaspersky)
   • Triển khai hệ thống phát hiện xâm nhập (IDS/IPS)
   • Áp dụng nguyên tắc quyền tối thiểu (Least Privilege) cho người dùng

5. Các công cụ phát hiện và loại bỏ WannaCry

Công cụ	Nhà phát triển	Chức năng	Link tải
WannaCry Decryptor	Kaspersky Lab	Giải mã file bị WannaCry mã hóa (trong một số trường hợp)	Tải về
Emsisoft Decryptor	Emsisoft	Công cụ giải mã cho nhiều biến thể ransomware	Tải về
Microsoft Safety Scanner	Microsoft	Quét và loại bỏ phần mềm độc hại bao gồm WannaCry	Tải về
WannaCry Patch Checker	GitHub Community	Kiểm tra hệ thống đã được vá lỗ hổng EternalBlue chưa	Tải về

6. Quy trình ứng phó khi bị nhiễm WannaCry

1. Ngắt kết nối mạng ngay lập tức

   Rút dây mạng hoặc tắt WiFi để ngăn chặn sự lây lan sang các máy tính khác trong mạng.

2. Không tắt máy tính

   Giữ nguyên trạng thái máy tính để các chuyên gia có thể phân tích.

3. Không thanh toán tiền chuộc

   Theo FBI, thanh toán tiền chuộc không đảm bảo bạn sẽ lấy lại được dữ liệu và còn khuyến khích tội phạm mạng tiếp tục hoạt động.

4. Thông báo cho bộ phận IT/CISO

   Báo cáo sự cố theo quy trình ứng phó sự cố (Incident Response) của tổ chức.

5. Khôi phục từ bản sao lưu sạch

   Sử dụng bản sao lưu gần nhất trước khi bị tấn công để khôi phục hệ thống.

6. Phân tích nguyên nhân gốc rễ

   Xác định cách thức xâm nhập (lỗ hổng nào bị khai thác, ai là người mở file độc hại).

7. Cập nhật và vá lỗ hổng

   Đảm bảo tất cả hệ thống được cập nhật bản vá mới nhất trước khi kết nối lại mạng.

8. Báo cáo cho cơ quan chức năng

   Ở Việt Nam, có thể báo cáo cho Bộ Thông tin và Truyền thông hoặc VNCERT.

7. Các biến thể mới của WannaCry và xu hướng tấn công

Mặc dù cuộc tấn công WannaCry năm 2017 đã được kiểm soát, nhưng các biến thể mới tiếp tục xuất hiện với những cải tiến nguy hiểm:

• WannaCry 2.0 – Sử dụng thuật toán mã hóa mạnh hơn và cơ chế anti-sandbox
• WannaCry-Fake – Các chương trình giả mạo WannaCry để lừa đảo
• WannaCry for Linux – Biến thể nhắm vào các hệ thống Linux server
• WannaCry as a Service (RaaS) – Các tội phạm mạng thuê dịch vụ tấn công WannaCry

Theo báo cáo từ Europol, các cuộc tấn công ransomware nói chung đã tăng 300% từ năm 2020 đến 2023, với tổng thiệt hại ước tính lên đến $20 tỷ USD mỗi năm.

8. Các câu hỏi thường gặp về WannaCry

Câu hỏi:

Q: Máy tính Mac hoặc Linux có bị ảnh hưởng bởi WannaCry không?

A: WannaCry ban đầu chỉ nhắm vào hệ thống Windows thông qua lỗ hổng EternalBlue. Tuy nhiên, đã có báo cáo về các biến thể nhắm vào Linux server thông qua các lỗ hổng khác. Máy Mac hiện chưa bị ảnh hưởng trực tiếp.

Câu hỏi:

Q: Làm thế nào để biết máy tính của tôi đã được vá lỗ hổng EternalBlue?

A: Bạn có thể sử dụng công cụ DoublePulsar Detection Script hoặc kiểm tra trong Windows Update xem bản vá MS17-010 đã được cài đặt chưa.

Câu hỏi:

Q: Tôi có thể tự giải mã file bị WannaCry mã hóa không?

A: Trong một số trường hợp hiếm hoi, các công cụ như Kaspersky’s WannaCry Decryptor có thể giải mã được file nếu quá trình mã hóa bị gián đoạn. Tuy nhiên, cơ hội thành công rất thấp (dưới 5%). Giải pháp tốt nhất vẫn là khôi phục từ bản sao lưu.

9. Kết luận và hành động cần thiết

WannaCry vẫn là một mối đe dọa nghiêm trọng đối với các hệ thống chưa được bảo vệ đúng cách. Để ngăn chặn nguy cơ bị tấn công:

1. Cập nhật tất cả hệ thống Windows với bản vá mới nhất
2. Vô hiệu hóa SMBv1 và chặn cổng 445 nếu không cần thiết
3. Triển khai giải pháp sao lưu tự động và kiểm tra định kỳ
4. Đào tạo nhân viên về nhận biết email lừa đảo và các mối nguy hiểm mạng
5. Sử dụng phần mềm diệt virus có khả năng chống ransomware
6. Thực hiện đánh giá bảo mật định kỳ cho toàn bộ hệ thống mạng

Bảo mật mạng là một quá trình liên tục, không phải là một dự án một lần. Bằng cách áp dụng các biện pháp phòng ngừa được đề cập trong bài viết này, bạn có thể giảm đáng kể nguy cơ trở thành nạn nhân của WannaCry và các loại phần mềm độc hại tương tự.

Nguồn tham khảo bổ sung:

Để tìm hiểu thêm về WannaCry và các biện pháp phòng chống, bạn có thể tham khảo:

• Hướng dẫn từ CISA (Mỹ)
• Khuyến nghị từ NCSC (Anh)
• Báo cáo từ ENISA (EU)