Hướng dẫn khôi phục dữ liệu bị mã hóa bởi virus tống tiền

Nếu máy tính của bạn bị virus tấn công và mã hóa toàn bộ file trên máy, bị tống tiền… thì hiện tại các hãng phần mềm duyệt virus đã phát hành nhiều công cụ giúp bạn tự lấy lại dữ liệu của mình.

Chú ý là bạn nên copy/backup toàn bộ dữ liệu bị mã hóa ra nơi khác trước khi tiến hành khôi phục, để tránh bị mất dữ liệu. Sau đó bạn nên cài phần mềm duyệt virus vào quét sạch virus ra khỏi máy trước khi tiến hành khôi phục dữ liệu.

Công cụ chống phần mềm độc hại mã hóa dữ liệu bao gồm ba loại, mỗi loại sẽ mang tính năng hỗ trợ khác nhau cho người dùng.

– Đầu tiên, công cụ chống phần mềm độc hại ở dạng hỗ trợ người dùng quét và làm sạch hệ thống máy tính. Công cụ này sẽ giúp bạn đảm bảo hệ thống được an toàn sau khi phục hồi dữ liệu từ cuộc tấn công của tin tặc.

– Loại thứ hai sẽ giúp giải mã một số phần mềm độc hại mã hóa cụ thể xuất phát từ các chiến dịch lớn của tin tặc. Hình thức này rất hạn chế vì còn tùy thuộc vào kết quả nghiên cứu từ các chuyên gia bảo mật và dữ liệu thu thập được qua các cuộc tấn công. Ngày càng có nhiều tập đoàn bảo mật lên kế hoạch hợp tác để tạo ra công cụ giải mã phần mềm độc hại miễn phí, trong đó McAfee đã phát hành chương trình No More Ransom. Đây là bước đột phá trong việc tìm ra phương pháp giải mã các biến thể của virus tống tiền. Từ chương trình này, các chuyên gia có thể nhanh chóng tìm ra phương án giải mã phần mềm độc hại đang mã hóa thiết bị.

– Loại thứ ba là những chương trình có khả năng đánh chặn các phần mềm độc hại trước khi nó xâm nhập vào thiết bị. Chương trình này sẽ phân tích hoạt động đang diễn ra trên thiết bị để phát hiện các mối đe dọa và ngăn chặn chúng.

Ngoài ra, các doanh nghiệp và người dùng cá nhân thường hay sử dụng một biện pháp để loại bỏ phần mềm độc hại đó là Cài lại Windows. Tuy nhiên, đây là biện pháp cực kì tốn thời gian và không thuận tiện vì dữ liệu lưu trữ dễ bị xóa sạch.

Các chuyên gia cũng không thể kiểm tra được mức độ hiệu quả chính xác của những công cụ trên. Việc kiểm tra mức độ hiệu quả của các công cụ trên cũng cực kì khó khăn vì mỗi loại phần mềm độc hại mã hóa thiết bị của người dùng đều có đặc trưng riêng.

Lưu ý: Trước khi người dùng muốn trả tiền cho tin tặc, hãy suy nghĩ kỹ và để ý đến các thông tin liên quan trong bảng chọn, bao gồm địa chỉ email, URL hoặc địa chỉ kết nối mạng TOR, điều này sẽ giúp người dùng (hoặc các nhà nghiên cứu) giải mã phần mềm độc hại này.

DVMS sưu tầm và giới thiệu tới bạn một số cách khôi phục dữ liệu bị virus mã hóa:

1. Công cụ giải mã của hãng KASPERSKY:

Bạn có thể dùng phần mềm diệt virus của Kaspersky quét virus trước khi khôi phục, bạn tải bản dùng thử 30 ngày trực tiếp từ website của hãng (https://www.kaspersky.com) hoặc dùng bản dùng thử 90 ngày cho phiên bản Kaspersky Internet Security 2019 với một trong các key sau:

4CH4C-PPFDT-NFK4B 45R69

YWRXU-1C4N7-6ACG2-82GU8

FQZ3R-RHXP3-EQ62A SZDG9

Bạn cũng nên mua luôn bản quyền phần mềm này vì giá bán cũng tương đối thấp.

KASPERSKY phát hành công cụ giải mã, khôi phục dữ liệu bị mã hóa bởi virut tống tiền RANSOMWARE DECRYPTOR.

Công cụ khôi phục dữ liệu của Kaspersky

Cảnh sát Hà Lan và công ty bảo mật Kaspersky đã phối hợp đưa công cụ để thu thập Key giải mã dữ liệu. Khôi phục dữ liệu bị mã hóa bởi virut tống tiền bởi các virut là CoinVault và Bitcryptor và các biến thể khác được cập nhật thường xuyên. Công cụ này chứa chìa khóa giải mã được được cảnh sát mạng Hà Lan kết hợp Kaspersky Lab khai thác là thu thập được từ các máy chủ của tội phạm phát tán virut. Cơ sở dữ liệu key này sẽ được cập nhật thường xuyên. Các bạn có thể DOWNLOAD công cụ giải mã được cập nhật: friend.com.vn . Cách thức hoạt động của chương trình là một mặt sẽ quét các mã khôi phục dữ liệu trên máy mà virut để lại, hoặc mã đối chiếu của virut. Từ đó tìm kiếm các key trong CSDL để giải mã dữ liệu.

Do vẫn đang được cập nhật nên không phải tất cả mọi người đều có thể giải mã dữ liệu của mình, nhưng đây cũng là tín hiệu tốt mở ra hi vọng cho những ai đang bị virut mã hóa dữ liệu. Vì chưa có cách nào giải mã triệt để nên chúng tôi có mấy lời khuyên với những máy tính chưa bị nhiễm virut:

• Backup dữ liệu sang thêm một thiết bị nữa. Hoặc có thể chuyển những dữ liệu quan trọng lên Mạng như Google Drive. Micorsoft Sky. Dropbox….
• Điều quan trọng nhất là cài phần mềm diệt virut trong máy. Có thể dùng AVG, KASPERSKY,Norton, BKAV,…
• Không mở các email lạ, các đường link lạ trên website, trên facebook, zalo,… đặc biệt là các hình và link sex… Tuyệt đối không vội vàng cài lại Windows. Cũng như cố xóa các file virut để lại. Vì có thể có chứa key giải mã.

Các bước thực hiện với phần mềm giải mã:

– Tải phần mềm về từ địa chỉ: friend.com.vn/

– Giải nén và chạy file “CoinVaultDecryptor.exe” với quyền Administrartor.

– Cửa sổ bật lên.

– Bạn có thể bấm Start Scan để scan danh sách file bị mã hóa và key.

Hoặc lựa chọn forlder chứa các file cần giải mã .

Hi vọng các bạn có thể tự xử lý rắc rối của mình.

2. Trend Micro Ransomware File Decryptor

Công cụ này của Trend Micro được thiết kế để phát hiện và loại bỏ các phần mềm độc hại tấn công, mã hóa thiết bị của người dùng bằng phương pháp “khóa màn hình truy cập”. Nạn nhân sẽ phải trả tiền để có thể lấy lại quyền truy cập vào thiết bị của mình.

Trend Micro đưa ra hai tình huống mà công cụ này sẽ hoạt động hiệu quả: trường hợp “chế độ thông thường” bị khóa nhưng “chế độ an toàn” vẫn hoạt động và trường hợp cả hai chế độ đều bị tin tặc khống chế.

Trong kịch bản đầu tiên, người dùng được yêu cầu phải cài đặt phần mềm bằng cách sử dụng tổ hợp phím tắt sau khi khởi động máy tính bằng chế độ an toàn. Màn hình sẽ hiển thị hộp thoại để người dùng có thể quét và làm sạch thiết bị.

Trong kịch bản thứ hai, Trend Micro sử dụng công cụ để gỡ bỏ phần mềm độc hại từ USBsau khi cài đặt bằng một máy tính khác không bị nhiễm mã hóa.

Hiện tại Trend Micro đã phát hành 3 công cụ giải mã giúp người dùng lấy lại quyền truy cập dữ liệu.

Trend Micro đã xây dựng một danh sách các phần mềm độc hại mã hóa màn hình truy cập phổ biến hiện nay với tên gọi Ransomware File Decryptor.

Chúng bao gồm: CryptXXX V1, V2, V3, TeslaCrypt V1, V2, V3, V4 TeslaCrypt V2, SNSLocker, AutoLocky, BadBlock, 777, XORIST, XORBAT và CERBER.

Bạn có thể tham khảo Công cụ giải mã phần mềm độc hại của Trend Micro: https://success.trendmicro.com/solution/1114221-downloading-and-using-the-trend-micro-ransomware-file-decryptor

3. Bkav phát hành công cụ diệt mã độc tống tiền CTB Locker

Tập đoàn Công nghệ Bkav phát hành công cụ diệt mã độc tống tiền CTB Locker, một biến thể mới của dòng mã độc CrytoLocker, đang phát tán mạnh mẽ tại Việt Nam.

Những ngày gần đây, hàng loạt người dùng trong nước đã nhận được các email spam có đính kèm file .zip. Sau khi file được mở ra, máy tính của người dùng sẽ bị kiểm soát, các file dữ liệu (Word, Excel, PDF…) bị mã hóa, không thể mở ra được. Đồng thời, trên màn hình máy tính nạn nhân hiện thông báo đòi tiền chuộc để giải mã những file đã bị mã hóa.

Theo phân tích của Bkav, dữ liệu đã bị mã hóa sẽ không thể được khôi phục vì hacker sử dụng thuật mã hóa công khai và khóa bí mật dùng để giải mã chỉ được lưu giữ trên server của hacker.

Để hỗ trợ người dùng, Bkav đã cập nhật phương án xử lý loại mã độc tống tiền vào phiên bản mới nhất. Người sử dụng có thể tải phần mềm diệt virus mới nhất từ link friend.com.vn/download/BkavRS.exe. Công cụ này không cần cài đặt mà có thể khởi chạy luôn để quét và diệt mã độc CTB Locker. Riêng khách hàng sử dụng phiên bản Bkav Pro sẽ được tự động bảo vệ nhờ tính năng phát hiện thông minh Anti Ransomware.

Chuyên gia từ Bkav khuyến cáo: “Người dùng tuyệt đối không mở file đính kèm từ các email không rõ nguồn gốc. Trong trường hợp bắt buộc phải mở để xem nội dung, người sử dụng có thể mở file trong môi trường cách ly an toàn Safe Run”.

Tổng hợp các công cụ giải mã dữ liệu bị virus mã hóa tống tiền

Virus mã hóa tống tiền khiến tất cả các dữ liệu quan trọng của bạn đều không thể mở được, tất cả các file Word (.doc, .docx), Excel (.xls, .xlsx), các file ảnh (.jpg) đều bị lỗi và trên màn hình xuất hiện cảnh báo yêu cầu nộp tiền để lấy lại dữ liệu. Tuyệt đối không được nộp tiền cho Hacker, hãy sử dụng các công cụ giải mã dữ liệu dưới đây để cứu lại các dữ liệu.

Trước tiên, bạn hãy sao lưu toàn bộ các dữ liệu trên ổ cứng sau đó tìm hiểu một số cách giải mã dữ liệu bị mã hóa tại đây. Cuối cùng, nếu vẫn chưa cứu được dữ liệu, hãy tham khảo bộ công cụ giải mã dưới đây:

Đầu tiên, bạn cần phải biết được dữ liệu của mình đã bị mã hóa bởi loại virus nào, tên virus là gì rồi sau đó mới tải công cụ giải mã phù hợp bên dưới. Bạn thực hiện theo 1 trong 3 cách sau để biết tên virus:

• Cách 1: hãy cài đặt phần mềm diệt virus Norton tại đây hoặc Bitdefender tại đây sau đó quét toàn bộ các ổ cứng trên máy tính. Phần mềm diệt virus sẽ thông báo tên virus (trong mục báo cáo) và đồng thời cũng sẽ diệt sạch virus trên máy tính cho bạn
• Cách 2: Truy nhập vào công cụ nhận dạng virus mã hóa dữ liệu ID Ransomware tại đây. Tại mục “Sample Encrypted File“, bạn bấm nút “Choose File” sau đó trỏ đến file dữ liệu bất kỳ nào đã bị mã hóa (nên chọn file nào có dung lượng nhỏ thôi cho nhanh) rồi bấm nút “Upload“. Công cụ sẽ phân tích file dữ liệu bị mã hóa của bạn và hiển thị tên virus đã mã hóa. Bạn cũng có thể bấm nút “Choose File” ở mục “Ransom Note” rồi trỏ đến file thông báo tống tiền của virus (thường có đuôi .htm, .html, txt… và thường nằm cạnh file dữ liệu bị mã hóa) sau đó cũng bấm nút “Upload” để công cụ phân tích và hiển thị tên virus đã để lại file thông báo tống tiền này. Lưu ý: cũng có thể công cụ không nhận dạng được loại virus và thông báo: “Unknown Ransomware. Unable to determine Ransomware“. Lúc này bạn nên áp dụng cách 1 ở trên
• Cách 3: bạn cũng có thể sử dụng công cụ quét virus trực tuyến tại đây sau đó upload file bị nhiễm virus để quét trực tuyến. Công cụ diệt virus trực tuyết sẽ quét và cho biết file của bạn bị nhiễm loại virus tên là gì

Sau khi biết được tên và loại virus đã mã hóa dữ liệu, bạn hãy tải về công cụ giải mã dữ liệu phù hợp dưới đây:

Tải về công cụ Kaspersky Chimera Decryptor (RakhniDecryptor.exe) tại đây: công cụ này có khả năng giải mã dữ liệu bị mã hóa bởi virus tống tiền Chimera

Tải về công cụ Intel McAfee Tesla Decrypt (TeslaDecrypt.exe) tại đây: công cụ này có khả năng giải mã dữ liệu bị mã hóa bởi virus tống tiền TeslaCrypt v3 and v4 chuyên mã hóa các file .mp3, .micro, .xxx, and .ttt

Tải về công cụ Intel McAfee Shade Decryptor (ShadeDecrypt.exe) tại đây: công cụ này có khả năng giải mã dữ liệu bị mã hóa bởi nhiều loại virus tống tiền và file dữ liệu bị đổi thành phần mở rộng .xtbl, .ytbl, .breaking_bad, .heisenberg.

Tải về công cụ Kaspersky Shade Decryptor (ShadeDecryptor.exe) tại đây: tương tự công cụ McAfee Shade Decryptor ở trên, công cụ này có khả năng giải mã dữ liệu bị mã hóa bởi nhiều loại virus tống tiền và file dữ liệu bị đổi thành phần mở rộng .xtbl, .ytbl, .breaking_bad, .heisenberg.

Tải về công cụ Kaspersky Coin Vault Decryptor (CoinVaultDecryptor.exe) tại đây: công cụ này có khả năng giải mã dữ liệu bị mã hóa bởi hàng loạt virus tống tiền, đặc biệt là virus Coinvault và Bitcryptor. Xem hướng dẫn giải mã dữ liệu bị virus mã hóa bằng Kaspersky Coin Vault Decryptor tại đây

Tải về công cụ Kaspersky Rannoh Decryptor (RannohDecryptor.exe) tại đây: công cụ này có khả năng giải mã dữ liệu bị mã hóa bởi nhiều loại virus tống tiền như: Rannoh, AutoIt, Fury, Crybola, Cryakl, CryptXXX ver1 và CryptXXX ver2

Tải về công cụ Kaspersky Rakhni Decryptor (RakhniDecryptor.exe) tại đây: công cụ này có khả năng giải mã dữ liệu bị mã hóa bởi nhiều loại virus tống tiền như: Chimera, Rakhni, friend.com.vn, Aura, Autoit, Pletor, Rotor, Lamer, Lortok, Cryptokluchen, Democry, Bitman (TeslaCrypt) ver3 và ver4

Tải về công cụ Trendmicro Ransomware File Decryptor (RansomwareFileDecryptor.exe) tại đây: công cụ này có khả năng giải mã dữ liệu bị mã hóa bởi rất nhiều loại virus tống tiền. Xem hướng dẫn giải mã dữ liệu bị virus mã hóa bằng Trendmicro Ransomware File Decryptor tại đây

Tải về công cụ Trendmicro Teslacrypt Decryptor (TeslacryptDecryptor.exe) tại đây: công cụ này có khả năng giải mã dữ liệu bị mã hóa bởi virus tống tiền TeslaCrypt. Xem hướng dẫn giải mã dữ liệu bị virus mã hóa bằng Trendmicro Teslacrypt Decryptor tại đây

Tải về công cụ friend.com.vn tại đây: công cụ này có khả năng giải mã dữ liệu bị mã hóa bởi tất cả các loại virus tống tiền nếu bạn đã lấy được chìa khóa (key) bằng cách dùng phần mềm quét hoặc nộp tiền cho Hacker để lấy. Cách dùng: chạy công cụ DecryptCryptoLocker đã tải về ở bước 1 theo cú pháp sau để giải mã dữ liệu: friend.com.vn -key “khóa giải mã” tên_file_bị_mã_hóa sau đó bấm “Yes” để đồng ý và thực hiện giải mã. Ví dụ: friend.com.vn -key “rs90wwzEyZs5” C:tailieu.doc. Kết quả: bạn nhận lại được file dữ liệu có thể mở bình thường mã ko bị khóa mật khẩu hay mã hóa

Cuối cùng, nếu tất cả các công cụ trên đều thất bại không cứu được dữ liệu của bạn, hãy tham khảo cách giải mã bằng chính công cụ của Hacker tại đây

Lưu ý quan trọng:

• Trước khi sử dụng các công cụ trên để giải mã dữ liệu, hãy chắc chắn bạn đã diệt sạch virus trên máy để tránh virus phá hoại thêm hoặc lặp lại hành động mã hóa dữ liệu
• Để diệt sạch virus tống tiền, chúng tôi khuyến nghị khách hàng cài đặt phần mềm diệt virus Norton tại đây hoặc Bitdefender tại đây sau đó quét toàn bộ các ổ cứng trên máy tính để diệt sạch virus
• Sao lưu toàn bộ ổ cứng và các dữ liệu quan trọng trước khi thực hiện. Chúng tôi không chịu trách nhiệm cho bất cứ thiệt hại nào khi bạn làm theo các hướng dẫn của chúng tôi
• Nếu bạn không thể tự làm theo hoặc thất bại khi phục hồi dữ liệu của mình, bạn có thể tham khảo dịch vụ phục hồi dữ liệu chuyên nghiệp tại đây

Chúc các bạn thành công!

(DVMS tổng hợp từ nhiều nguồn)

Có thể bạn chưa biết:

Phân tích các kịch bản tấn công hệ thống DNS

Một số kỹ thuật tấn công web

Lượng thiết bị y tế bị tấn công trên toàn cầu giảm sau đợt tấn công …

1937cn tấn công Vietnam Airlines – Nhận định từ các chuyên gia …

iPhone và iPad có bị tấn công bởi các website độc hại?

Chiến tranh mạng, cuộc chiến của tương lai, cuộc chiến không khói …

Tất tần tật về tác chiến điện tử

Làm thế nào để chuỗi cung ứng không bị hack?

Hack tài khoản Facebook, Twitter… trong nháy mắt

Cảnh báo lỗ hổng bảo mật trên Safari, người dùng Apple cẩn trọng

Toàn văn Luật An ninh mạng năm 2018 của Việt Nam

Làm thế nào để chuỗi cung ứng không bị hack?

Series Bảo Mật Nhập Môn – Bảo mật cơ bản cho developer

Hacker và những âm mưu can thiệp chính trị thế giới

Facebook bị hack và những nguy hiểm khó lường hết

Hack khách hàng của Facebook Fanpage

Tớ đã hack trang SinhVienIT. net như thế nào?

Cách đơn giản để lấy lại nick facebook bị hack chỉ sau 24h | Mobile …

Vấn đề Docker và bảo mật mật khẩu

Vấn đề với điện thoại di động

DVMS chuyên: – Tư vấn, xây dựng, chuyển giao công nghệ Blockchain, mạng xã hội,… – Tư vấn ứng dụng cho smartphone và máy tính bảng, tư vấn ứng dụng vận tải thông minh, thực tế ảo, game mobile,… – Tư vấn các hệ thống theo mô hình kinh tế chia sẻ như Uber, Grab, ứng dụng giúp việc,… – Xây dựng các giải pháp quản lý vận tải, quản lý xe công vụ, quản lý xe doanh nghiệp, phần mềm và ứng dụng logistics, kho vận, vé xe điện tử,… – Tư vấn và xây dựng mạng xã hội, tư vấn giải pháp CNTT cho doanh nghiệp, startup,…

Vì sao chọn DVMS? – DVMS nắm vững nhiều công nghệ phần mềm, mạng và viễn thông. Như Payment gateway, SMS gateway, GIS, VOIP, iOS, Android, Blackberry, Windows Phone, cloud computing,… – DVMS có kinh nghiệm triển khai các hệ thống trên các nền tảng điện toán đám mây nổi tiếng như Google, Amazon, Microsoft,… – DVMS có kinh nghiệm thực tế tư vấn, xây dựng, triển khai, chuyển giao, gia công các giải pháp phần mềm cho khách hàng Việt Nam, USA, Singapore, Germany, France, các tập đoàn của nước ngoài tại Việt Nam,… Quý khách xem Hồ sơ năng lực của DVMS tại đây >> Quý khách gửi yêu cầu tư vấn và báo giá tại đây >>