![[IMG]](https://tinhte.org/img.php?url=https%3A%2F%2Fcuudulieumahoa.com%2Fassets%2Fblacknevas%2Fblacknevas-encryption.png)
Anh em làm IT chắc từng gặp cảnh nhìn vào thư mục dữ liệu thì file vẫn còn đó, dung lượng vẫn y nguyên, nhưng mở Excel, SQL hay máy ảo thì lỗi hàng loạt. Ransomware thường không nhất thiết phải mã hóa 100% byte mới đủ làm hệ thống tê liệt. BlackNevas là một ví dụ rất đáng nghiên cứu.
1. BlackNevas có gì đặc biệt?
Theo SentinelOne và AhnLab ASEC, BlackNevas (còn gọi Trial Recovery) có quan hệ với họ ransomware Trigona, được ghi nhận từ cuối năm 2024. Các mẫu từng được phân tích có khả năng nhắm tới Windows, Linux và một số môi trường lưu trữ/ảo hóa như NAS, VMware ESXi. File có thể bị đổi tên sang dạng đuôi .-encrypted, trong khi thư đòi tiền chuộc thường có tên how_to_decrypt.txt. [S1][S2]Đặc điểm này không có nghĩa cứ thấy note hoặc đuôi tương tự là xác nhận đúng BlackNevas. Với sự cố thật, kỹ thuật viên còn phải nhìn cấu trúc file, mẫu chương trình, log và timeline.
2. Chuyện 1%, 10% và 100% là thế nào?
Đây là phần mình thấy đáng bàn nhất. AhnLab công bố rằng mẫu họ nghiên cứu có những chế độ xử lý:- /fast: mã hóa khoảng 1% dung lượng file;
- không bật /fast hay /full: mã hóa khoảng 10% đầu file;
- /full: mã hóa toàn bộ file. [S1]
Mặt khác, nếu có những vùng dữ liệu vẫn nguyên vẹn, đội phục hồi chuyên sâu có thể đánh giá xem có trích xuất được dữ liệu hữu ích hay tái dựng được một phần cấu trúc hay không. Đây là bài toán data recovery, hoàn toàn khác với việc tìm ra khóa giải mã.
3. Kẻ tấn công gây sức ép như thế nào?
Một số bản ransom note mà AhnLab ghi nhận sử dụng mốc bảy ngày và đe dọa công bố hoặc bán dữ liệu. Nhưng đây là lời tuyên bố của kẻ tấn công. Không có lý do gì để tin một cách máy móc rằng hết bảy ngày khóa chắc chắn bị xóa, hoặc đã xuất hiện note thì dữ liệu chắc chắn bị đánh cắp. Muốn kiểm chứng exfiltration phải điều tra log, kết nối và dấu vết thực tế. [S1]4. Nếu là anh em quản trị hệ thống, nên làm gì ngay?
Một: cô lập máy/segment bị ảnh hưởng để ngăn lây lan. Hai: đừng đổi tên hay ghi đè lên file mã hóa; hãy lưu note và hiện vật. Ba: nếu có điều kiện, lấy image/snapshot và log trước khi thao tác sửa chữa. Bốn: xác minh backup sạch và restore trên mạng cách ly. Năm: chỉ thực hiện phục hồi thử nghiệm trên bản sao rồi kiểm định kết quả bằng ứng dụng nghiệp vụ. Đây cũng là hướng tiếp cận được CISA khuyến nghị trong xử lý ransomware. [S6]Riêng anh em dùng NAS/VMware/SQL, mình khuyên giữ lại thông tin metadata, trạng thái storage và hệ thống file. Đôi khi thao tác “repair”, reset RAID, khởi tạo lại datastore hoặc chạy công cụ sửa lỗi trên dữ liệu gốc có thể làm mất các cơ hội đánh giá sau này.
5. Có decryptor miễn phí không?
Đến ngày biên tập bài này, trong phạm vi kiểm tra nguồn công khai, chưa xác minh được công cụ giải mã BlackNevas chuyên biệt có hiệu quả phổ quát. Nên đối chiếu các công bố mới từ Emsisoft và các nguồn đáng tin cậy, đừng tải “decryptor BlackNevas” không rõ nguồn gốc. [S7]Góc nhìn từ TUNGTEK
Trong thực tế ứng cứu, tụi mình phân biệt rõ decrypt bằng khóa, restore backup và trích xuất dữ liệu mã hóa. Trước khi hứa hẹn tỷ lệ nào, cần xác định chính xác phiên bản mã độc, loại file, mức độ hỏng và mục tiêu dữ liệu của doanh nghiệp. Đó cũng là lý do TRecovery by TUNGTEK dùng bước RFC – Ransomware Fast Check để sàng lọc hướng xử lý.Anh em có quan sát nào về loại file nào dễ hỏng nhất khi vùng đầu bị mã hóa? MDF, VMDK, ZIP, PST hay loại khác? Rất muốn nghe góc nhìn kỹ thuật và kinh nghiệm xử lý thực tế của cộng đồng.
Tài liệu: AhnLab ASEC [S1] https://asec.ahnlab.com/en/90080/ · SentinelOne [S2] https://www.sentinelone.com/anthology/blacknevas/ · CISA [S6] https://www.cisa.gov/stopransomware/ransomware-guide · Emsisoft [S7] https://www.emsisoft.com/en/ransomware-decryption/
Bài phân tích chuyên sâu tại Ransomware.VN: https://link.tungtek.com/207
TRecovery by TUNGTEK · CuuDuLieuMaHoa.com · 0963 509 115
Ghi chú: bài viết phân tích nguồn công khai; không mô tả dữ liệu hoặc kết quả của một khách hàng cụ thể.
