AlphaBay SecOps
Trang chủ › Tin Tức Bảo Mật

Phân tích mã độc Ransomware nhắm vào hệ thống Linux 2026

Ban biên tập AlphaBay SecOps · · Cập nhật
Phân tích mã độc Ransomware nhắm vào hệ thống Linux 2026

Ransomware nhắm vào hệ thống Linux năm 2026 không còn là hiện tượng hiếm: phần lớn các nhóm ransomware dạng dịch vụ (RaaS) lớn đã có biến thể dành cho Linux, đặc biệt cho máy chủ ảo hóa VMware ESXi, thiết bị lưu trữ mạng (NAS) và máy chủ web. Lý do rất thực tế: một máy chủ ESXi bị mã hóa có thể kéo theo hàng chục máy ảo, tức gần như toàn bộ hệ thống của doanh nghiệp. Bài viết phân tích "giải phẫu" của một cuộc tấn công ransomware Linux điển hình, từ xâm nhập tới mã hóa và tống tiền, để đội vận hành biết cần quan sát ở đâu.

Vì sao kẻ tấn công chuyển hướng sang Linux

  • Hạ tầng cốt lõi chạy Linux: máy chủ web, cơ sở dữ liệu, container, thiết bị mạng và lưu trữ.
  • Ảo hóa tập trung: ESXi dựa trên nhân riêng nhưng có môi trường dòng lệnh giống Unix và chạy được mã độc biên dịch cho Linux. Mã hóa tệp đĩa ảo trên một máy chủ là vô hiệu hóa nhiều hệ thống cùng lúc.
  • Giám sát yếu hơn: nhiều tổ chức đầu tư công cụ phát hiện cho máy Windows nhưng để máy chủ Linux và hypervisor ít được giám sát.
  • Quan niệm "Linux an toàn": dẫn tới cấu hình lỏng lẻo, tài khoản root dùng chung, SSH mở ra Internet.

Giải phẫu một cuộc tấn công

Giai đoạn 1: Xâm nhập ban đầu

  • Dò mật khẩu SSH yếu hoặc dùng khóa SSH bị đánh cắp.
  • Khai thác lỗ hổng ứng dụng web, hệ quản trị nội dung, bảng điều khiển hosting chưa vá.
  • Khai thác lỗ hổng trong giao diện quản trị của hypervisor, NAS hoặc thiết bị VPN, như xu hướng trong bài khai thác lỗ hổng VPN.
  • Thường gặp nhất: kẻ tấn công đã ở trong mạng Windows của doanh nghiệp từ trước, lấy thông tin đăng nhập quản trị rồi đăng nhập thẳng vào ESXi hoặc vCenter.

Giai đoạn 2: Trinh sát và chuẩn bị

Kẻ tấn công liệt kê máy ảo, kho dữ liệu, vị trí sao lưu; bật SSH trên ESXi nếu đang tắt; tạo tài khoản hoặc khóa SSH để duy trì truy cập. Nhiều công cụ dùng ở bước này là lệnh quản trị hợp pháp.

Giai đoạn 3: Đánh cắp dữ liệu

Trước khi mã hóa, dữ liệu giá trị được nén và gửi ra ngoài qua công cụ đồng bộ tệp hoặc dịch vụ lưu trữ đám mây. Đây là nền tảng của chiến thuật "tống tiền kép": nếu nạn nhân tự khôi phục được từ sao lưu, kẻ tấn công đe dọa công bố dữ liệu. Hậu quả của việc dữ liệu bị công bố được bàn trong bài sự cố rò rỉ dữ liệu lớn.

Giai đoạn 4: Phá sao lưu

Xóa snapshot máy ảo, mã hóa hoặc xóa kho sao lưu kết nối trực tiếp, vô hiệu hóa tác vụ sao lưu theo lịch. Đây là bước quyết định nạn nhân có buộc phải trả tiền hay không.

Giai đoạn 5: Mã hóa

Các đặc điểm kỹ thuật thường thấy ở biến thể Linux và ESXi:

  • Tắt máy ảo trước: dùng lệnh quản trị của hypervisor để dừng máy ảo, giải phóng khóa tệp, sau đó mã hóa tệp đĩa ảo, tệp cấu hình, tệp bộ nhớ.
  • Mã hóa từng phần: chỉ mã hóa một số khối trong tệp lớn để tăng tốc độ, vẫn đủ làm tệp không dùng được.
  • Đa luồng: tận dụng nhiều nhân CPU để mã hóa song song.
  • Mật mã lai: mỗi tệp dùng một khóa đối xứng (thường ChaCha20 hoặc AES), khóa đó được mã hóa bằng khóa công khai của kẻ tấn công. Không có khóa riêng tương ứng thì gần như không thể giải mã.
  • Tham số dòng lệnh: cho phép chỉ định thư mục, loại trừ tệp hệ thống, điều chỉnh tốc độ.
  • Ngôn ngữ hiện đại: một số họ mã độc viết bằng Rust hoặc Go để dễ biên dịch cho nhiều nền tảng và khó phân tích hơn.

Giai đoạn 6: Tống tiền

Ghi chú đòi tiền chuộc được đặt trong thư mục, có khi thay cả thông điệp đăng nhập của máy chủ. Kèm theo là đường dẫn tới trang thương lượng và trang công bố dữ liệu của nhóm.

Bảng tín hiệu phát hiện theo giai đoạn

Giai đoạnTín hiệu cần giám sát
Xâm nhậpNhiều lần đăng nhập SSH thất bại, đăng nhập thành công từ địa chỉ lạ, tiến trình lạ do dịch vụ web sinh ra
Chuẩn bịSSH trên ESXi được bật ngoài lịch bảo trì, tài khoản hoặc khóa SSH mới, thay đổi cấu hình tường lửa hypervisor
Đánh cắp dữ liệuLưu lượng ra ngoài tăng đột biến, công cụ đồng bộ đám mây xuất hiện trên máy chủ
Phá sao lưuSnapshot bị xóa hàng loạt, tác vụ sao lưu bị tắt hoặc thất bại liên tục
Mã hóaNhiều máy ảo tắt cùng lúc, CPU và I/O đĩa tăng vọt, tệp đổi phần mở rộng hàng loạt

Những điều phân tích này gợi ý cho bên phòng thủ

Chuỗi tấn công cho thấy phần lớn điểm có thể chặn nằm trước bước mã hóa: quản lý danh tính quản trị, cô lập giao diện quản lý hypervisor, giám sát máy chủ Linux và bảo vệ sao lưu. Danh sách biện pháp gia cố cụ thể và kế hoạch ứng cứu dành cho quản trị viên được trình bày trong bài phòng chống ransomware trên máy chủ Linux. Thiết bị IoT và router chạy Linux nhúng cũng là mục tiêu của mã độc, dù chủ yếu dưới dạng botnet, như mô tả trong bài botnet IoT và DDoS.

Về việc trả tiền chuộc

Trả tiền không đảm bảo nhận được công cụ giải mã hoạt động tốt, không đảm bảo dữ liệu bị đánh cắp được xóa, và có thể vi phạm quy định về trừng phạt tài chính ở một số quốc gia. Công cụ giải mã của kẻ tấn công cũng có thể chậm hoặc lỗi với tệp lớn. Đầu tư vào sao lưu bất biến, tách biệt và diễn tập khôi phục luôn rẻ hơn nhiều so với khoản tiền chuộc.

Câu hỏi thường gặp

Linux có bị ransomware tấn công nhiều như Windows không?

Về số lượng mẫu mã độc, Windows vẫn nhiều hơn. Nhưng về tác động, ransomware nhắm vào máy chủ Linux và ESXi thường gây thiệt hại lớn vì mỗi máy chủ chứa nhiều hệ thống quan trọng.

Có công cụ giải mã miễn phí cho ransomware Linux không?

Đôi khi có, khi nhà nghiên cứu tìm ra lỗi trong cách mã hóa hoặc cơ quan chức năng thu giữ khóa. Dự án No More Ransom tổng hợp các công cụ này, nhưng với phần lớn biến thể hiện đại thì chưa có.

Container có bị ransomware mã hóa không?

Container thường ngắn hạn và dữ liệu nằm ở volume gắn ngoài. Kẻ tấn công nhắm vào máy chủ chạy container, volume lưu trữ và cơ sở dữ liệu thay vì bản thân container.

Mã hóa từng phần có giúp khôi phục dữ liệu không?

Phần không bị mã hóa đôi khi khôi phục được một phần dữ liệu với công cụ chuyên dụng, nhưng thường không đủ để hệ thống hoạt động lại. Không nên coi đây là phương án khôi phục.

Bài liên quan