Giải pháp hữu hiệu chống lại mã độc tống tiền không tốn một xu

April 13, 2016 Công Nghệ No comments

Người dùng có thể khôi phục dữ liệu từ máy tính bị nhiễm Petya mà không phải trả một xu nào cho bọn hacker!

Tháng 3/2016, một mã độc tống tiền (ransomware) có tên gọi Petya đã xuất hiện, với cách thức hoạt động cực nguy hiểm: ghi đè lên MBR (master boot record – nơi lưu trữ thông tin về phân vùng) của ổ cứng, khiến các máy tính bị lây nhiễm không thể khởi động hệ điều hành. Khi người dùng cố gắng khởi động lại, màn hình sẽ hiển thị thông báo đòi tiền chuộc, hướng dẫn cho họ cách thức thanh toán 0,99 bitcoin (tương đương 431 USD) để mua key mở khóa.

Tuy nhiên, mới đây các chuyên gia bảo mật đã tìm ra phương pháp cho phép người dùng khôi phục dữ liệu từ máy tính bị nhiễm Petya mà không phải trả một xu nào cho bọn hacker. Vấn đề mấu chốt ở đây là dữ liệu trên ổ cứng của người dùng thực ra không bị mã hóa, nhưng vì MFT (Master File Table – tập tin đặc biệt chứa thông tin về tất cả các tập tin khác trên Windows như: tên, kích thước và đường dẫn file) đã bị Petya thay đổi, nên hệ điều hành sẽ gặp lỗi khi khởi động.

Để giải quyết vấn đề này, nhà nghiên cứu Fabian Wosar đến từ Emsisoft đã phát triển một công cụ để phân tích những tập tin đã bị Petya mã hóa, từ đó cung cấp cho người dùng mã khóa (key) để máy tính của họ có thể hoạt động bình thường.

Đầu tiên, vì máy tính bị lây nhiễm không thể khởi động nữa, người dùng sẽ phải lấy ổ cứng và lắp vào một máy tính khác để chạy công cụ. Họ cũng có thể gắn ổ cứng qua dock gắn ngoài như chiếc HDD Box Orico của tôi dưới đây.

Download & chạy chương trình PetyaExtractor. Công cụ này sẽ tự động phát hiện ổ đĩa đã bị mã hóa, sau đó lấy ra mã Sector (Base64 encoded 512 bytes verification) và Nonce (Base64 encoded 8 bytes nonce).

Lần lượt copy & paste 2 đoạn mã này vào website, nhấn submit và chờ đợi quá trình giải mã.

Thông thường, thuật toán của Fabian Wosar chưa mất đến 1 phút để hoàn thành công việc này. Cuối cùng, bạn sẽ có trong tay key mở khóa để khởi động lại máy tính như bình thường.