WannaCry 2017: Vì sao mã độc tống tiền có thể lan khắp thế giới?

Một máy tính không mở được tài liệu có thể là sự cố nhỏ. Nhưng khi nhiều máy cùng mất quyền truy cập dữ liệu, công việc của cả một tổ chức có thể ngừng lại. WannaCry cho thấy khoảng cách giữa một lỗi phần mềm và một cuộc khủng hoảng ngoài đời đôi khi rất ngắn.

Bài viết này dành cho người mới: không cần biết lập trình hay quản trị mạng. Chúng ta sẽ lần lượt tìm hiểu chuyện gì xảy ra năm 2017, những thuật ngữ đứng sau sự kiện và cách biến bài học lịch sử thành thói quen bảo vệ dữ liệu hôm nay.

Mục lục

1. Ngày 12/5/2017: sự cố vượt khỏi màn hình
2. WannaCry là gì?
3. Hiểu nền tảng: mạng, SMB, lỗ hổng và bản vá
4. Dòng thời gian trước và sau đợt bùng phát
5. Từ một máy sang nhiều máy: ví dụ dễ hình dung
6. Dữ liệu bị mã hóa và sức ép tiền chuộc
7. Kill switch: điều gì đã chặn đợt lây lan?
8. Thiệt hại không chỉ nằm trong ổ cứng
9. Ai đứng sau WannaCry?
10. Vì sao có bản vá mà vẫn xảy ra thảm họa?
11. Bài học cho cá nhân và văn phòng nhỏ
12. Nếu nghi máy bị nhiễm, nên làm gì?
13. Năm điều cần nhớ, câu hỏi thường gặp và từ điển nhỏ
14. Nguồn tham khảo

1. Ngày 12/5/2017: sự cố vượt khỏi màn hình

Ngày 12/5/2017, WannaCry bùng phát trên phạm vi quốc tế. Tại Anh, hệ thống y tế công NHS là một trường hợp được điều tra khá chi tiết. Báo cáo của Cơ quan Kiểm toán Quốc gia Anh (NAO) ghi nhận việc gián đoạn dịch vụ, hủy lịch hẹn và chuyển người bệnh sang nơi khác. Đây không còn chỉ là chuyện sửa máy tính. Nguồn: NAO.

Hãy tạm hình dung một tình huống đời thường, không phải lời kể của một nạn nhân cụ thể: bạn đến nơi làm việc, máy vẫn bật nhưng bảng tính cần dùng không mở được. Đồng nghiệp cũng gặp vấn đề. Người phụ trách kỹ thuật phải tìm xem máy nào bị ảnh hưởng, trong khi mọi người vẫn cần tiếp tục công việc.

Câu hỏi lúc đó không chỉ là “làm sao mở lại tệp?”. Nó còn là: dữ liệu ở đâu, ai có bản sao, máy nào được phép kết nối trở lại, và có cách làm việc tạm thời nào không? Một tổ chức càng phụ thuộc vào hệ thống dùng chung thì các câu hỏi này càng liên quan đến nhiều người.

Đó là cách nên đọc câu chuyện WannaCry: một sự kiện kỹ thuật có hậu quả vận hành và con người. Muốn hiểu vì sao nó lan nhanh, trước hết cần tách các khái niệm thường bị gộp chung dưới tên “virus”.

2. WannaCry là gì? Ba khái niệm không nên nhầm

Malware, hay mã độc, là tên gọi chung cho phần mềm được tạo ra để gây hại. Ransomware, hay mã độc tống tiền, gây sức ép đòi tiền bằng cách làm người dùng mất quyền truy cập hệ thống hoặc dữ liệu. Với WannaCry, đặc điểm nổi bật là mã hóa tệp rồi đưa ra yêu cầu tiền chuộc. Microsoft cũng gọi nó là WannaCrypt. Nguồn: Microsoft, phân tích WannaCrypt.

Worm, thường dịch là sâu máy tính, mô tả khả năng tự nhân bản và lan qua mạng mà không cần người dùng lặp lại thao tác mở tệp ở từng máy. Đây là khái niệm về cách lan truyền, không phải tên của một gia đình mã độc riêng. Nguồn: NIST, thuật ngữ worm.

Vì vậy, một phần mềm có thể vừa là ransomware vừa có tính chất worm. Hai từ này trả lời hai câu hỏi khác nhau: “nó làm gì với nạn nhân?” và “nó đi từ máy này sang máy khác thế nào?”. Gọi mọi thứ là virus không giúp ta thấy được sự khác biệt ấy.

Có thể dùng hình ảnh một kẻ phá hoại để ghi nhớ: một hành vi là khóa tủ hồ sơ để đòi tiền; hành vi khác là tự tìm đường sang các phòng tiếp theo. Đây chỉ là phép ví von. Máy tính không có ý chí, và mã độc chỉ thực hiện những bước đã được lập trình trong các điều kiện nó gặp.

Điểm quan trọng cho người mới là không quy mọi sự cố cho một cú nhấp chuột bất cẩn. Khi có khả năng khai thác qua mạng, một máy có thể gặp nguy hiểm dù người ngồi trước nó không vừa mở tài liệu lạ. Để hiểu con đường đó, chúng ta cần biết đôi chút về cách các máy trao đổi dữ liệu.

3. Hiểu nền tảng: mạng, SMB, lỗ hổng và bản vá

Từ thư mục dùng chung đến SMB

Trong một văn phòng, nhiều máy có thể cùng truy cập thư mục tài liệu hoặc máy in. Thay vì chép tệp qua USB liên tục, các máy gửi yêu cầu qua mạng: mở tài liệu, đọc nội dung, lưu thay đổi. Giao thức là bộ quy tắc giúp hai phía hiểu các yêu cầu đó.

SMB — Server Message Block là một giao thức dùng cho việc chia sẻ tệp và tài nguyên qua mạng. Máy yêu cầu tài nguyên đóng vai trò máy khách; máy cung cấp tài nguyên đóng vai trò máy chủ. Một máy Windows thông thường cũng có thể đảm nhiệm vai trò máy chủ chia sẻ, không nhất thiết phải là thiết bị lớn trong phòng máy. Nguồn: Microsoft Learn, tổng quan SMB.

SMBv1 là phiên bản cũ của SMB. Không nên đánh đồng mọi phiên bản SMB với SMBv1, cũng không nên hiểu rằng cứ dùng thư mục chia sẻ là đã nhiễm WannaCry. Giao thức, phiên bản triển khai và tình trạng cập nhật là các yếu tố khác nhau. Microsoft có hướng dẫn riêng về nhận diện và vô hiệu hóa các phiên bản SMB, kèm lưu ý tương thích. Nguồn: Microsoft Learn, quản lý SMB.

“Cổng 445” có phải một cái lỗ trên máy?

Không. Cổng mạng là số giúp phần mềm phân biệt dịch vụ nhận kết nối. Có thể ví địa chỉ máy như địa chỉ một tòa nhà, còn cổng như quầy tiếp nhận bên trong. Phép ví von này giúp định hướng; nó không mô tả một cánh cửa vật lý.

Talos ghi nhận WannaCry tìm mục tiêu qua TCP 445, cả trong mạng nội bộ lẫn trên Internet. Cổng mở không đồng nghĩa đã bị nhiễm; còn phải xét dịch vụ, lỗ hổng và điều kiện khai thác. Nguồn: Cisco Talos.

Lỗ hổng, khai thác và bản vá

Lỗ hổng là điểm yếu có thể bị lợi dụng. Exploit là cách hoặc đoạn mã tận dụng điểm yếu đó. Bản vá là thay đổi phần mềm nhằm sửa vấn đề. Ví dụ minh họa: chốt cửa có lỗi là lỗ hổng; cách tác động khiến chốt bật ra là khai thác; thay chốt đúng kỹ thuật giống việc vá lỗi. Tham khảo định nghĩa: NIST về lỗ hổng và bản vá.

Để tránh lẫn các tên gọi trong phần tiếp theo, hãy nhớ bốn vai trò:

• SMB/SMBv1: giao thức và phiên bản liên quan đến dịch vụ bị nhắm tới.
• EternalBlue: công cụ/cách khai thác được dùng trong đường lây của WannaCry.
• MS17-010: mã bản tin bảo mật của Microsoft, bao gồm các bản sửa lỗi SMBv1.
• WannaCry: mã độc tận dụng đường khai thác để lan truyền và tống tiền.

Microsoft phát hành MS17-010 ngày 14/3/2017. Bản tin xử lý nhiều lỗ hổng; nó không phải tên một virus hay một mã CVE duy nhất. Những lỗi nghiêm trọng trong đó có thể cho phép thực thi mã từ xa qua thông điệp được tạo đặc biệt gửi đến SMBv1. Nguồn: bản tin MS17-010.

4. Dòng thời gian: bản vá có trước đợt bùng phát

Ba mốc đầu được đối chiếu với dòng thời gian do Microsoft công bố năm 2019. Phản ứng tháng 5 có trong bài tường thuật của Marcus Hutchins và hướng dẫn Microsoft ngày 13/5/2017. Đánh giá tháng 12 có trong thông cáo chính phủ Anh.

Hãy chú ý trật tự: bản vá → công khai công cụ khai thác → bùng phát. Đây không phải câu chuyện về một lỗi chỉ được biết đến sau khi thảm họa xảy ra. Tuy nhiên, có bản vá trên máy chủ của nhà cung cấp không có nghĩa là nó đã được cài thành công trên mọi thiết bị.

Trong đợt ứng phó, Microsoft còn cung cấp rộng rãi cập nhật bảo mật cho một số nền tảng cũ như Windows XP, Windows 8 và Windows Server 2003. Đó là bước đi ngoại lệ trong hoàn cảnh lúc ấy, không phải lời hứa rằng phần mềm hết hỗ trợ sẽ luôn được cứu bằng một bản vá khẩn cấp. Nguồn: Microsoft, hướng dẫn khách hàng.

5. Từ một máy sang nhiều máy: ví dụ một văn phòng

Tình huống dưới đây hoàn toàn giả định để giải thích cơ chế, không mô tả một nạn nhân có thật. Văn phòng có máy A, B và C. A đã bị nhiễm; B chạy hệ thống có lỗ hổng chưa được vá và dịch vụ SMB của B có thể được A tiếp cận. C đã được bảo vệ khỏi đường khai thác này.

Talos mô tả khả năng quét, khai thác SMB và đưa WannaCry sang máy khác. Bởi vậy, xử lý một màn hình thông báo chưa đủ để kết luận cả mạng an toàn. Nguồn: Cisco Talos.

Trong ví dụ, không thể chỉ đếm số máy có chung Wi-Fi rồi kết luận tất cả chắc chắn bị nhiễm. Ta phải hỏi: từ A có đến được dịch vụ trên B không? B có đúng lỗi đó không? Biện pháp bảo vệ nào đang hoạt động? Cùng một mạng không có nghĩa mọi máy đều có trạng thái giống nhau.

Máy đầu tiên nhiễm bằng cách nào?

Cần tách điểm xâm nhập ban đầu khỏi cách mã độc lan tiếp. Phân tích ban đầu của Microsoft nêu rõ chưa có bằng chứng xác định chính xác đường vào đầu tiên. Vì vậy, không nên kể như một sự thật đã được chứng minh rằng “toàn bộ WannaCry bắt đầu từ một email lừa đảo”. Nguồn: Microsoft, mục Attack vector.

Với người đọc phổ thông, điều cần giữ lại là sự khác nhau giữa hai bài toán: không cho sự cố đi vào, và hạn chế thiệt hại nếu nó đã lọt vào. Giữ an toàn ở cửa chính rất quan trọng, nhưng các phòng bên trong vẫn cần cách ngăn sự cố lan rộng.

6. Dữ liệu bị mã hóa: vì sao xóa mã độc chưa đủ?

Mã hóa không phải chỉ đổi tên tệp

Mã hóa biến dữ liệu từ dạng có thể đọc thành dạng được bảo vệ bằng thuật toán và khóa. Giải mã là quá trình đưa dữ liệu trở lại dạng sử dụng được khi có điều kiện phù hợp, đặc biệt là khóa cần thiết. Bản thân mã hóa là công nghệ hữu ích, không mặc nhiên xấu. Nguồn: NIST, encryption.

Hãy hình dung bạn tự khóa hộp tài liệu và giữ chìa: đó là bảo vệ thông tin. Nếu người khác khóa hộp, giữ chìa và đòi tiền, vấn đề nằm ở quyền kiểm soát. Đây là phép so sánh để hiểu vai trò của khóa, không có nghĩa tệp số hoạt động giống hoàn toàn một ổ khóa cơ khí.

Đổi nhãn bên ngoài hộp không mở được nó. Tương tự, đổi đuôi tệp về tên cũ không đảo ngược các biến đổi trong nội dung. Bạn cũng không nên mở hàng loạt tệp hoặc thử các “mẹo cứu dữ liệu” không rõ nguồn trong lúc chưa xác định được tình trạng máy.

Tiền chuộc là sức ép, không phải cam kết

Trong mẫu WannaCry được Microsoft phân tích, thông báo đòi tiền xuất hiện cùng dữ liệu bị mã hóa và các tệp mang đuôi như .WNCRY. Nguồn: Microsoft. Đồng hồ đếm ngược và lời đe dọa cần được nhìn như công cụ gây áp lực của kẻ tấn công, không phải hướng dẫn khắc phục đáng tin.

Trả tiền không bảo đảm nhận được khóa hay phục hồi thành công. Lỗi trong mã độc hoặc thiếu khóa phù hợp cũng có thể cản trở giải mã. No More Ransom khuyến cáo không trả tiền và giải thích rằng khả năng giải mã tùy trường hợp; không có công cụ chung mở được mọi ransomware. Nguồn: No More Ransom, hỏi đáp.

Ba việc khác nhau cần làm rõ

Công việc	Giải quyết điều gì?	Không đồng nghĩa với
Vá lỗi	Sửa đường xâm nhập đã biết	Tệp cũ tự được giải mã
Loại bỏ mã độc	Xử lý phần mềm gây hại	Máy và mọi bản sao đều đã sạch
Khôi phục dữ liệu	Lấy lại dữ liệu dùng được từ nguồn phù hợp	Có thể nối lại mạng ngay lập tức

Đây là bảng phân biệt mục tiêu, không phải thứ tự thao tác áp dụng cho mọi ca. Một đội ứng cứu có thể cần bảo toàn chứng cứ trước khi làm sạch hoặc cài lại. Nếu một tệp được lấy lại từ bản sao lưu, đó là phục hồi từ bản sao, khác với giải mã chính tệp bị khóa.

7. Kill switch: bước ngoặt có thật, nhưng không phải phép màu

Ngày 13/5/2017, nhà nghiên cứu Marcus Hutchins, còn được biết đến với tên MalwareTech, kể lại việc phát hiện rồi đăng ký một tên miền chưa có chủ trong quá trình phân tích mã độc. Công việc ban đầu gắn với theo dõi lưu lượng về một điểm do nhà nghiên cứu kiểm soát, thường gọi là sinkhole. Nguồn: tường thuật của Hutchins.

Với mẫu được phân tích, kết nối thành công tới tên miền khiến nhánh thực thi dừng lại; thất bại thì tiếp tục. Hiệu ứng thường được gọi là kill switch, hiểu nôm na là “điểm chặn”, không phải nút điều khiển mọi mã độc. Nguồn: Cisco Talos.

Hutchins đưa ra giả thuyết rằng kiểm tra tên miền có thể là cách mã độc nhận biết môi trường phân tích. Cần phân biệt: hành vi kết nối và dừng đã được quan sát; ý định của tác giả mã độc vẫn là cách lý giải, không phải điều được chứng minh chỉ từ việc đăng ký tên miền. Ông cũng nhấn mạnh hiệu quả chỉ áp dụng cho mẫu tương ứng và vẫn phải vá hệ thống. Nguồn: Hutchins.

Một phép ví von khác: dựng rào có thể chặn thêm xe đi vào đoạn đường nguy hiểm, nhưng không sửa được hàng hóa đã hỏng trước đó. Kill switch cũng không biến thành khóa giải mã cho dữ liệu đã bị xử lý. Điều kiện kết nối và biến thể mã độc có thể khác nhau, nên không thể lấy câu chuyện này làm phương án bảo vệ lâu dài.

Giá trị của sự kiện nằm ở việc quan sát, thử lại giả thuyết và phối hợp ứng phó. Bài học không phải “chỉ cần một thiên tài bấm đúng nút”, mà là phải kiểm tra điều gì thực sự xảy ra, điều gì chỉ là suy đoán và điều gì vẫn cần tiếp tục xử lý.

8. Thiệt hại không chỉ nằm trong ổ cứng

Theo điều tra NAO công bố ngày 27/10/2017 về NHS tại England, ít nhất 81 trong 236 trust bị ảnh hưởng; thêm 603 tổ chức chăm sóc ban đầu và đơn vị NHS khác bị nhiễm, trong đó có 595 cơ sở bác sĩ đa khoa. “Trust” là một đơn vị tổ chức của NHS, không tương đương một máy tính hay luôn tương đương một bệnh viện. Nguồn: NAO.

Đừng cộng các con số khác loại thành một tổng tùy tiện. Bị nhiễm là có mã độc; bị ảnh hưởng có thể rộng hơn, chẳng hạn phụ thuộc vào hệ thống ngừng hoạt động; chủ động ngắt dịch vụ lại là quyết định phòng ngừa. Thống kê ở thời điểm khác nhau cũng có thể khác phạm vi.

Để tự đánh giá một sự cố, có thể chia tác động thành ba lớp. Đây là khung diễn giải của bài viết, không phải bảng thống kê riêng của NHS:

• Dữ liệu: tài liệu nào không còn sử dụng được, có bản thay thế hay không?
• Hoạt động: công việc nào bị dừng vì thiếu dữ liệu hoặc thiếu hệ thống phối hợp?
• Con người: ai đang chờ kết quả, phải làm lại công việc hoặc cần phương án phục vụ thay thế?

Ví dụ, một cửa hàng giả định có thể khôi phục máy bán hàng trong một buổi nhưng vẫn mất thêm thời gian đối soát các đơn ghi tay. Một trường học giả định có thể mở lại phần mềm nhưng cần kiểm tra lịch học đã nhập lại. “Máy bật được” và “hoạt động trở lại bình thường” là hai mốc khác nhau.

Vì vậy, khi đọc một bài nói thiệt hại “khổng lồ”, hãy hỏi con số đó đo tiền chuộc, chi phí phục hồi, thời gian ngừng dịch vụ hay tất cả? Bài viết này không đưa ra một tổng thiệt hại toàn cầu thiếu phạm vi đo lường, cũng không suy diễn về thương vong từ việc dịch vụ bị gián đoạn.

9. Ai đứng sau WannaCry? Cách đọc một đánh giá quy trách nhiệm

Ngày 19/12/2017, chính phủ Anh công bố rằng NCSC đánh giá rất có khả năng các tác nhân Triều Tiên được biết đến với tên Lazarus Group đứng sau chiến dịch WannaCry. Đây là đánh giá được quy nguồn cho cơ quan công bố, không phải kết luận do Duyên Mộc An Security tự điều tra. Nguồn: thông cáo chính phủ Anh.

Một điểm dễ nhầm khác là nguồn gốc công cụ khai thác và người sử dụng công cụ trong một chiến dịch. Trong bài viết ngày 14/5/2017, Microsoft nói đến việc WannaCry sử dụng các exploit bị đánh cắp từ NSA. Điều đó không đồng nghĩa NSA là bên vận hành WannaCry. Nguồn: Microsoft, bài học từ cuộc tấn công.

Ta có thể dùng một ví dụ phi kỹ thuật: nguồn gốc của một dụng cụ không tự xác định người cầm nó trong mọi sự kiện về sau. Tương tự, một tên nhóm, một công cụ và một chiến dịch không nên bị ghép thành một thực thể chỉ vì chúng xuất hiện cùng bài báo.

Cách đọc thận trọng gồm ba câu hỏi: ai đưa ra nhận định, vào thời điểm nào, với mức độ chắc chắn nào? Giữ nguyên các điều kiện ấy giúp người mới hiểu lịch sử mà không biến nhận định có nguồn thành lời khẳng định tuyệt đối hoặc thuyết âm mưu.

10. Vì sao có bản vá mà vẫn xảy ra thảm họa?

“Sao không cập nhật đi?” là câu hỏi hợp lý, nhưng chưa đủ để hiểu bài toán. Cài bản vá là một thao tác; bảo đảm hàng loạt thiết bị đều được cập nhật và vẫn hoạt động là một quy trình. Những tình huống dưới đây là ví dụ vận hành phổ biến để phân tích, không phải khẳng định nguyên nhân tại mọi nạn nhân WannaCry.

Không biết mình có những máy nào

Một máy để dưới bàn, một máy chủ cũ chạy ứng dụng ít người nhớ tới hoặc thiết bị do nhà cung cấp quản lý có thể bị bỏ quên. Nếu danh sách thiết bị thiếu, báo cáo “đã cập nhật toàn bộ” cũng có thể chỉ đúng với phần đã được đếm. Câu hỏi cần hỏi là: toàn bộ trong phạm vi nào?

Cập nhật có phụ thuộc và có chi phí ngừng việc

Giả sử một văn phòng dùng phần mềm chỉ hoạt động với một cấu hình cũ. Người quản lý có thể lo bản cập nhật gây gián đoạn. Nỗi lo đó cần được xử lý bằng thử nghiệm, lịch bảo trì, phương án quay lại và kế hoạch thay thế; không nên trở thành lý do trì hoãn vô thời hạn.

Mạng quá thông thoáng làm tăng phạm vi ảnh hưởng

Nếu máy ở mọi bộ phận đều có thể tiếp cận các dịch vụ không cần thiết của nhau, một sự cố có thêm đường lan. Phân đoạn mạng có thể hiểu như chia các khu vực làm việc và chỉ mở các lối liên hệ cần dùng. Nó không chữa lỗ hổng, nhưng giúp giới hạn phạm vi một lỗi có thể gây hại.

Có trách nhiệm rõ ràng mới khép được vòng lặp

Ai theo dõi thông báo? Ai cài đặt? Ai kiểm tra kết quả? Ai xử lý các máy ngoại lệ? Nếu câu trả lời đều là “chắc bên kia làm”, công việc có thể rơi vào khoảng trống. Hướng dẫn NCSC nhấn mạnh quản lý tài sản, cập nhật, hạn chế lan ngang và chuẩn bị ứng phó theo nhiều lớp. Nguồn: NCSC, giảm thiểu malware và ransomware.

Nhìn theo cách này không phải xóa bỏ trách nhiệm bảo mật. Nó giúp chuyển từ trách móc chung chung sang những câu hỏi có thể kiểm tra: máy nào còn thiếu bản vá, vì sao, ai chịu trách nhiệm và biện pháp tạm thời nào đã được xác nhận?

11. Bài học cho cá nhân, gia đình và văn phòng nhỏ

Phần này là hướng dẫn phòng vệ tổng quát ở thời điểm biên soạn, không phải chép nguyên khuyến nghị sản phẩm từ năm 2017. Hệ điều hành từng được khuyên dùng khi đó không mặc nhiên còn được hỗ trợ hôm nay. Hãy kiểm tra vòng đời chính thức của đúng phiên bản đang sử dụng.

Với máy tính cá nhân và gia đình

Ưu tiên hệ điều hành còn được hỗ trợ; bật cập nhật tự động khi phù hợp; giữ phần mềm bảo vệ hoạt động; cẩn trọng với tệp, phần mềm và đường dẫn không rõ nguồn. Đây là những lớp giảm rủi ro, không phải bảo đảm tuyệt đối. Tham khảo: No More Ransom, phòng ngừa.

Một việc rất thực tế là viết ra ba nhóm dữ liệu bạn không muốn mất: chẳng hạn ảnh gia đình, giấy tờ cá nhân và tài liệu công việc. Sau đó xác định từng nhóm đang nằm ở đâu. “Tôi có sao lưu” sẽ rõ nghĩa hơn nhiều khi bạn chỉ được bản nào, thời điểm nào và cách lấy lại.

Sao lưu khác với có thêm một bản trên cùng máy

Nếu cả bản gốc và bản sao đều nằm trên chiếc máy đang gặp sự cố, chúng có thể cùng chịu rủi ro. NCSC khuyến nghị giữ bản sao tách biệt, có bản không bị môi trường đang chạy truy cập đồng thời, và thử việc khôi phục. Với đám mây, cần kiểm tra quyền truy cập, lịch sử phiên bản và khả năng phục hồi, không chỉ nhìn biểu tượng “đã đồng bộ”. Nguồn: NCSC, sao lưu ngoại tuyến.

Bài tập an toàn, không cần mã độc: chọn một tài liệu không nhạy cảm đã sao lưu; phục hồi nó sang một thư mục thử riêng; mở và kiểm tra nội dung. Không xóa bản gốc để thử. Ghi lại ngày kiểm tra và bước nào bạn chưa biết làm. Mục tiêu là biến một niềm tin thành một thao tác đã thực hiện được.

Lịch sử phiên bản cũng cần thời hạn giữ đủ phù hợp. Một bản sao đã bị ghi đè không có ích chỉ vì nó vẫn mang tên “backup”. Các nguyên tắc sao lưu chống ransomware của NCSC đề cập khả năng khôi phục phiên bản trước khi các bản về sau hỏng. Nguồn: NCSC, nguyên tắc sao lưu tại chỗ.

Với văn phòng nhỏ

Hãy bắt đầu bằng một bảng đơn giản: thiết bị, người phụ trách, phiên bản hệ điều hành, dữ liệu quan trọng, tình trạng cập nhật và nơi sao lưu. Đừng chỉ ghi ngày “đã gửi yêu cầu”; cần có kết quả kiểm tra. Nếu thuê hỗ trợ kỹ thuật, hai bên nên thống nhất ai xác nhận công việc hoàn tất.

Dịch vụ chia sẻ tệp không nên mở ra Internet một cách tùy tiện. Việc tắt SMBv1 hoặc thay đổi tường lửa cần người quản trị kiểm tra phụ thuộc và thử tính năng còn dùng. Một hướng dẫn lịch sử không thể thay cho đánh giá cấu hình cụ thể của văn phòng bạn. Tham khảo kỹ thuật: Microsoft Learn.

Cuối cùng, chuẩn bị một tờ liên hệ ngoài hệ thống máy tính: ai phụ trách kỹ thuật, ai được quyết định ngắt kết nối, dữ liệu nào phải ưu tiên phục hồi. Thử trả lời câu hỏi “nếu email không dùng được thì gọi ai?” trước khi sự cố xảy ra. Sự chuẩn bị nhỏ này giúp giảm việc đoán và tranh luận khi mọi người đang căng thẳng.

12. Nếu nghi máy bị nhiễm, nên làm gì?

Tệp không mở được chưa đủ để kết luận WannaCry; có thể là lỗi phần mềm, hỏng lưu trữ hoặc loại mã độc khác. Nhưng nếu nhiều tệp đổi bất thường và có thông báo tống tiền, hãy coi đó là sự cố cần xử lý nghiêm túc.

CISA ưu tiên cô lập; chỉ khi không thể ngắt kết nối mới tắt thiết bị, chấp nhận mất chứng cứ trong bộ nhớ đang hoạt động. Không nên hiểu thành “luôn tắt nguồn ngay”. Nguồn: CISA, checklist ứng phó.

Ngắt mạng không chắc dừng mã hóa ngay trên máy đã nhiễm. Nó chủ yếu nhằm giảm đường liên lạc và lan sang máy khác. Với hệ thống quan trọng hoặc dữ liệu không thể thay thế, cần trợ giúp chuyên môn để cân bằng hạn chế thiệt hại với giữ chứng cứ; đừng tiếp tục thử nghiệm ngẫu nhiên.

Không cài “tool giải mã chắc chắn 100%” từ quảng cáo hoặc người lạ. Chuyên gia có thể kiểm tra giải pháp phù hợp từ các nguồn như No More Ransom, nhưng khả năng cứu dữ liệu tùy loại mã độc và tình trạng cụ thể. Không tải tệp nhạy cảm lên dịch vụ nhận diện khi chưa hiểu cách dữ liệu được xử lý. Tham khảo: No More Ransom, hỏi đáp về giải mã.

Năm điều cần nhớ sau câu chuyện WannaCry

1. Hiểu đường lây trước khi chọn biện pháp. Cẩn thận với email là cần thiết, nhưng không thay thế vá lỗi dịch vụ mạng.
2. Có bản vá chưa bằng đã được bảo vệ. Cần kiểm tra cài đặt và các máy ngoại lệ.
3. Ngăn chặn, làm sạch, khôi phục là những mục tiêu khác nhau. Đừng lấy thành công ở một bước để khẳng định mọi việc đã xong.
4. Bản sao lưu chỉ có giá trị khi lấy lại được dữ liệu. Hãy thử phục hồi một cách an toàn.
5. An ninh mạng là câu chuyện của con người và tổ chức. Công nghệ cần người phụ trách, kế hoạch và sự phối hợp.

Với Duyên Mộc An Security, câu chuyện này gợi lại ba hướng thực hành: Duyên — thấu hiểu điều kiện khiến rủi ro xuất hiện; Mộc — củng cố nền tảng bằng quản lý và sao lưu; An — chủ động bảo vệ bằng chuẩn bị trước, không đợi đến khi màn hình hiện lời đòi tiền.

Câu hỏi thường gặp

Không bấm liên kết lạ thì có an toàn trước WannaCry không?

Chưa đủ. Đường lây qua SMB được giải thích ở phần 5 không cần người dùng mở tệp tại từng máy đích. Thói quen sử dụng và bảo vệ hệ thống bổ sung cho nhau, không thay thế nhau.

Có mật khẩu mạnh hoặc MFA là ngăn được mọi ransomware?

Không. Chúng phục vụ bảo vệ truy cập tài khoản; vá lỗi phục vụ xử lý điểm yếu phần mềm. Không nên lấy một biện pháp giải quyết bài toán này làm bằng chứng đã giải quyết bài toán khác.

Kill switch có mở lại tệp đã mã hóa không?

Không. Nó tác động đến hành vi thực thi của những mẫu có cơ chế tương ứng, không phải khóa giải mã. Xem phần 7 để hiểu giới hạn và sự khác nhau giữa quan sát với giả thuyết.

WannaCry có nghĩa mọi ransomware đều hoạt động giống nhau?

Không. Bài này tập trung vào sự kiện năm 2017. Những hướng dẫn ứng phó ransomware hiện nay có phạm vi rộng hơn; không nên gán mọi hành vi được mô tả trong đó cho WannaCry.

Tôi nên làm một việc gì sau khi đọc?

Chọn một dữ liệu quan trọng, xác định bản sao của nó và thử phục hồi một bản không nhạy cảm sang thư mục riêng. Sau đó kiểm tra tình trạng cập nhật thiết bị. Nếu là máy cơ quan, phối hợp với người quản trị thay vì tự đổi cấu hình.

Từ điển nhỏ để đọc lại

• Malware: phần mềm độc hại; ransomware là một nhóm trong đó.
• Ransomware: mã độc dùng việc cản trở truy cập hệ thống hoặc dữ liệu để tống tiền.
• Worm: chương trình có khả năng tự lan qua các hệ thống.
• SMB: giao thức chia sẻ tài nguyên qua mạng; SMBv1 là phiên bản cũ.
• Lỗ hổng / exploit / bản vá: điểm yếu / cách lợi dụng / thay đổi sửa vấn đề.
• Mã hóa / giải mã: biến đổi dữ liệu sang dạng không đọc trực tiếp / khôi phục dạng đọc được với điều kiện phù hợp.
• Kill switch: tên gọi thông dụng cho cơ chế chặn được mô tả ở phần 7, không phải giải pháp chung.
• Sao lưu / phục hồi: tạo bản dữ liệu dự phòng / đưa dữ liệu từ nguồn phù hợp trở lại sử dụng.
• Phân đoạn mạng: chia phạm vi kết nối và kiểm soát đường liên lạc giữa các khu vực.

Các thuật ngữ trên được rút gọn để ôn tập; định nghĩa và giới hạn được giải thích ở phần 2, 3, 6 và 7.

Nguồn tham khảo và cách đọc

Nguồn được đối chiếu khi biên soạn ngày 11/10/2026. Các tài liệu năm 2017 phục vụ dựng lại lịch sử; không xem danh sách phiên bản phần mềm trong đó là khuyến nghị sử dụng hiện tại. Các tình huống văn phòng, cửa hàng và trường học trong bài là ví dụ giả định, không phải lời kể nhân chứng.

• Microsoft — MS17-010, 14/3/2017: phạm vi bản tin và ngày phát hành.
• Microsoft — WannaCrypt ransomware worm, 12/5/2017: phân tích mẫu; lưu ý đây là phân tích ban đầu có cập nhật sau đó.
• Cisco Talos — phân tích WannaCry, 12/5/2017: đường lây và hành vi kiểm tra tên miền.
• Marcus Hutchins — tường thuật ngày 13/5/2017: trải nghiệm nghiên cứu; phân biệt phát hiện và giả thuyết.
• Microsoft — hướng dẫn khách hàng, 13/5/2017: phản ứng khẩn cấp và nền tảng cũ.
• Microsoft — bài học ngày 14/5/2017: bối cảnh công cụ khai thác và trách nhiệm phối hợp.
• Microsoft — nhìn lại dòng thời gian, 2019: đối chiếu ba mốc tháng 3, 4 và 5.
• NAO — điều tra WannaCry và NHS: số liệu có phạm vi, tránh đánh đồng “nhiễm” với “bị ảnh hưởng”.
• Chính phủ Anh — thông cáo 19/12/2017: đánh giá quy trách nhiệm có mức độ tin cậy.
• Microsoft Learn — tổng quan SMB và quản lý các phiên bản SMB: kiến thức giao thức và lưu ý quản trị.
• NIST — worm, encryption, vulnerability, patch: đối chiếu thuật ngữ nền tảng.
• NCSC — giảm thiểu malware và ransomware: phòng vệ nhiều lớp và chuẩn bị ứng phó.
• NCSC — sao lưu ngoại tuyến và nguyên tắc sao lưu chống ransomware: bảo vệ bản sao và khả năng phục hồi.
• CISA — StopRansomware Guide: ưu tiên ứng cứu và giới hạn khi tắt nguồn.
• No More Ransom — phòng ngừa và hỏi đáp: giới hạn giải mã và cảnh báo về tiền chuộc.

← Về Lịch sử An ninh mạng · Về mục lục