7 giờ sáng. Kế toán mở phần mềm Fast như mọi ngày — nhưng màn hình báo không tìm thấy cơ sở dữ liệu. Ra thư mục kiểm tra, mọi file đã bị nối thêm đuôi lạ .Peter, và trong từng folder là một lời nhắn đòi tiền.
Chỉ sau một đêm, toàn bộ sổ sách của cả công ty bị khóa sạch. Và điều tệ nhất: bản backup để ngay cạnh máy chủ cũng bị mã hóa cùng.
Đây là một ca chúng tôi trực tiếp xử lý. Dưới đây là chính xác những gì đã xảy ra — và vì sao bạn tuyệt đối không nên trả tiền chuộc.
Khách là một doanh nghiệp thương mại – phân phối, chạy toàn bộ nghiệp vụ trên Fast. Sổ cái, công nợ, hóa đơn đầu vào đầu ra — tất cả nằm trong một file dữ liệu duy nhất trên máy chủ.
Sự cố rơi đúng cận kỳ quyết toán. Không có dữ liệu thì không xuất được báo cáo, không đối chiếu công nợ, lương tháng cũng treo. Áp lực không nằm ở cái máy — nó nằm ở chỗ công việc của cả công ty phụ thuộc vào file đó.
Người ngoài nghề hay nghĩ “mất một file thì lấy file khác chép vào”. Với Fast thì không — toàn bộ dữ liệu kế toán nhiều năm dồn vào một cơ sở dữ liệu duy nhất. Mất nó là mất trí nhớ tài chính của cả doanh nghiệp.
Trong file đó có: hệ thống tài khoản, bút toán từng ngày, công nợ theo từng đối tác, tồn kho, bảng lương, số liệu quyết toán thuế. Khi bị khóa, kế toán không trả lời nổi câu hỏi đơn giản nhất: công ty đang nợ ai, ai đang nợ công ty.
.Peter là một biến thể của họ Phobos, thường đột nhập qua Remote Desktop mật khẩu yếu. Nó mã hóa nội dung tệp bằng AES-256 rồi khóa chìa bằng RSA — không có khóa riêng của kẻ tấn công thì không ai bẻ được bằng sức máy.
Nhưng đây là chỗ nhiều người hiểu nhầm: lấy lại dữ liệu và bẻ khóa là hai chuyện khác nhau. Với tệp cơ sở dữ liệu kế toán, khả năng phục hồi dữ liệu phụ thuộc vào kết quả phân tích từng ca — không phải vào việc giải mã.
File dữ liệu Fast đã bị đổi tên kiểu FAST.mdf.id-xxxx.[email].Peter. Rải khắp các thư mục là file đòi tiền info.hta / info.txt. Fast dĩ nhiên không mở nổi.
Nguyên tắc số một, cũng là chỗ nhiều nơi làm hỏng: không đụng vào dữ liệu gốc. Mọi thao tác đều làm trên bản sao.
Càng thao tác sai trong giờ đầu, phần cứu được càng ít. Hãy làm đúng 5 bước này — và chỉ bấy nhiêu:
Điều chúng tôi tiếc nhất ở mỗi ca Phobos không phải phần bị mã hóa — mà là bản backup lẽ ra đã cứu họ, nhưng để ngay cạnh máy chính nên bị khóa cùng.
Cứu được dữ liệu mới xong một nửa. Nửa còn lại là tìm ra đường vào để bịt lại — khôi phục xong mà để hở cửa thì vài tuần sau bị lại, thường nặng hơn.
Dòng thời gian dựng lại được (mốc giờ minh họa):
~02:14 — Hàng loạt lần đăng nhập RDP thất bại từ một IP lạ.
~02:36 — Một lần đăng nhập thành công bằng tài khoản quản trị.
~02:41 — Windows Defender bị tắt, bản sao dự phòng bị xóa.
~03:05 — Bắt đầu mã hóa, file dữ liệu bị nối đuôi .Peter.
~08:10 — Nhân viên đến làm, phát hiện Fast không mở được.
Cuộc tấn công diễn ra lúc 2–3 giờ sáng, khi không ai ngồi máy. Phòng thủ không thể trông vào việc “có người canh”.
Đừng mắc 3 sai lầm này:
Đừng trả tiền chuộc. Đừng tải “tool giải mã” trôi nổi. Đừng cài lại phần mềm hay format đè lên ổ đĩa — mỗi thao tác sai đều có thể xóa vĩnh viễn phần dữ liệu đáng ra còn cứu được.
Đặt hai lựa chọn cạnh nhau cho rõ:
| Tiêu chí | Trả tiền chuộc | Thuê cứu dữ liệu |
|---|---|---|
| Chắc chắn lấy lại? | Không — trả rồi mất trắng là có thật | Đánh giá được trước, có bằng chứng |
| Chi phí | Theo yêu sách kẻ tấn công, dễ bị vòi thêm | Báo giá rõ theo mức độ sự cố |
| Rủi ro kèm theo | Lộ mình là con mồi dễ | Không phát sinh rủi ro mới |
| Về lâu dài | Nuôi chính kẻ tấn công mình | Kèm truy vết, bịt lỗ hổng |
Chúng tôi chưa bao giờ khuyên khách trả tiền — đó là canh bạc mà phần thua nghiêng hẳn về phía nạn nhân.
Tùy mức độ mã hóa từng ca, nhưng phần khách quan tâm nhất thường nằm trong nhóm lấy lại được:
Mỗi ca đều kèm bằng chứng để khách đối chiếu: ảnh file bị mã hóa và thư tống tiền lúc tiếp nhận, ảnh dữ liệu kế toán mở lại được sau phục hồi, và biên bản bàn giao kèm số liệu khôi phục cụ thể.
Với ransomware, hiếm khi lấy lại trọn vẹn 100%. Phần rơi đúng vùng bị mã hóa ở vị trí quan trọng thì phải chấp nhận mất. Chúng tôi nói trước điều đó ngay từ khảo sát — một con số thật đáng tin hơn một lời hứa đẹp.
Lấy lại dữ liệu không có nghĩa là xong. Khôi phục mà để nguyên lỗ hổng thì chỉ là dời ngày bị lại:
“Trả tiền là chắc lấy lại được.” Không — nhiều nạn nhân trả xong vẫn không nhận được khóa.
“Có diệt virus là an toàn.” Phobos vào tay qua RDP rồi tắt luôn diệt virus.
“Công ty nhỏ ai thèm tấn công.” Ngược lại — doanh nghiệp nhỏ là mục tiêu ưa thích vì sơ hở hơn.
File .Peter có giải mã được không? Phần đã bị AES/RSA khóa thì không, nhưng nhiều ca vẫn phục hồi được phần lớn sổ sách kế toán.
Trả tiền chuộc có lấy lại được không? Không có gì chắc — nhiều người trả xong vẫn mất trắng, lại còn bị đánh dấu là con mồi dễ.
Bị .Peter rồi có bị lại không? Có, nếu không bịt lỗ hổng: đổi mật khẩu, đóng Remote Desktop ra Internet, bật xác thực hai lớp.
Dữ liệu kế toán của bạn đang gặp nguy?Đừng trả tiền chuộc — giữ nguyên hiện trạng và gọi chuyên gia ngay.
Để đảm bảo an toàn tuyệt đối cho dữ liệu, chúng tôi áp dụng quy trình chuẩn quốc tế:
Ngắt máy khỏi mạng, tạo bản sao nguyên vẹn ổ đĩa; mọi thao tác làm trên bản sao, bản gốc giữ làm bằng chứng và dự phòng.
Phân tích thư tống tiền và mẫu đuôi .Peter, đối chiếu dữ liệu ransomware đã biết để xác định dòng Phobos và khả năng xử lý.
Dùng bộ công cụ nội bộ đánh giá hiện trạng tệp cơ sở dữ liệu và khoanh vùng dữ liệu có thể phục hồi.
Trích lại sổ cái, công nợ và hóa đơn ở mức tệp theo quy trình riêng của trung tâm.
Kết hợp các nguồn dữ liệu sạch còn sót, kiểm tra kết quả và bàn giao kèm bằng chứng.
Đừng trả tiền chuộc — không có gì đảm bảo lấy lại được khóa, và trả tiền là tiếp tay cho tội phạm. Khi phát hiện, hãy ngắt mạng ngay, giữ nguyên hiện trạng và gọi chuyên gia.
Quan trọng hơn cả là phòng ngừa: áp dụng backup 3-2-1 với ít nhất một bản tách rời khỏi hệ thống, đóng Remote Desktop ra Internet và bật xác thực hai lớp. Một ổ backup rút ra khỏi mạng mỗi tối là tấm bảo hiểm rẻ nhất mà cứu bạn nhiều nhất.
Nếu bạn gặp tình trạng tương tự, hãy liên hệ ngay để được tư vấn miễn phí.
