Vaccine mới chống lại sự bùng phát của mã độc tống tiền Petya (NotPetya)

Thứ Sáu, 30/06/2017

Ngoc Huynh

Amit Serper – Chuyên gia an ninh mạng của Cybereason đã tìm ra cách để ngăn chặn mã độc tống tiền Petya (NotPetya/SortaPetya/Petna) từ các máy tính đang lây nhiễm.

Mã độc Petya khi lây nhiễm vào máy tính sẽ khóa các phân vùng MFT và MBR của ổ cứng, khiến cho máy tính không thể khởi động được và các dữ liệu cũng không thể truy xuất. Các nạn nhân bị ransomware tấn công bắt buộc phải trả một khoản tiền chuộc cho hacker, ngoài ra không có cách nào có thể khôi phục hệ thống.

Ban đầu, các chuyên gia bảo mật cho rằng ransomware mới này thực ra là một phiên bản cải tiến của một loại mã độc cũ trước đây, cũng có tên là Petya. Tuy nhiên sau đó, họ phát hiện ra rằng đây là một chủng mã độc mới và chỉ mượn một số đoạn code của Petya. Do đó, các chuyên gia bảo mật còn đặt tên cho con ransomware mới này là NotPetya, SortaPetya hay Petna.

Các nhà nghiên cứu tìm hiểu cơ chế tấn công của Petya

Sau khi Petya gây ra những vụ tấn công quy mô lớn trên toàn cầu, các chuyên gia bảo mật bắt đầu phân tích để tìm kiếm một lỗ hổng trong cơ chế mã hóa của nó hoặc một tên miền lây lan mã độc. Cơ chế Kill Switch này đã từng giúp họ ngăn chặn mã độc WannaCry lây lan.

Trong quá trình phân tích mã độc Petya, chuyên gia bảo mật Amit Serper là người đầu tiên phát hiện ra NotPetya sẽ tìm kiếm một tập tin và sẽ thoát khỏi vòng lặp mã hóa nếu như tập tin đó tồn tại trong ổ đĩa của máy tính. Phát hiện này sau này cũng được xác nhận bởi các nhà nghiên cứu bảo mật khác như PT Security, TrustedSec, và Emsisoft.

Điều này có nghĩa là các nạn nhân có thể tự tạo một tập tin như vậy trên máy tính của mình, đặt nó ở chế độ read-only và chặn không cho quá trình mã hóa của NotPetya được thực thi.

Tuy nhiên phương pháp này không phải Kill Switch, nó giống một loại vaccine ngăn chặn không cho ransomware mã hóa dữ liệu. Nhưng máy tính của người dùng vẫn sẽ bị lây nhiễm mã độc.

Phương pháp này cũng không thể ngăn chặn ransomware lây nhiễm trên diện rộng, người dùng phải tự tạo tập tin một cách thủ công để bảo vệ mình.

Kích hoạt vaccine ngăn chặn mã độc NotPetya/Petna/Petya

Để tạo vaccine bảo vệ máy tính của bạn khỏi mã độc Petya, bạn cần phải tạo một tập tin có tên Perfc trong thư mục C:Windows và đặt ở chế độ read-only. Tập tin này đã được Lawrence Abrams tạo ra sẵn. Bạn có thể tải về theo đường link sau: https://download.bleepingcomputer.com/bats/nopetyavac.bat

Nếu muốn tự thực hiện một cách thủ công để đảm bảo an toàn, các bạn có thể thực hiện theo từng bước sau đây.

Bên cạnh đó, còn có hai tập tin khác là perfc.dat và perfc.dll.

Đối với những ai muốn cài đặt vaccine này vào máy tính của bạn bằng tay, bạn có thể thực hiện theo các bước sau. Xin lưu ý rằng các bước này đang được tạo ra để việc cài đặt trở nên dễ dàng nhất có thể đối với những người có ít kinh nghiệm máy tính. Đối với những người có kinh nghiệm hơn, thì bạn có thể làm điều đó tốt hơn và nhanh hơn.

Đầu tiên hãy cấu hình Windows để hiển thị các thành phần mở rộng của tập tin. Vào tùy chọn Folder Options và bỏ chọn mục ‘Hide extensions for known file types’.