Phân tích mã độc Ransomware mới nhất nhắm vào các máy chủ Linux

Để bảo vệ máy chủ Linux trước các dòng ransomware mới nhất, quản trị viên cần tập trung vào bốn việc: khóa chặt đường vào (SSH, giao diện quản trị, lỗ hổng ứng dụng), giảm quyền và cô lập hạ tầng ảo hóa, giám sát các hành vi chuẩn bị tấn công, và có bản sao lưu bất biến được thử khôi phục định kỳ. Ransomware hiện đại thường không phá được hệ thống được gia cố đúng cách và có sao lưu tách biệt. Bài viết là danh sách việc cần làm theo thứ tự ưu tiên, kèm kế hoạch ứng cứu khi sự cố đã xảy ra.

Nếu bạn muốn hiểu trước cách ransomware Linux vận hành qua từng giai đoạn, hãy đọc bài phân tích ransomware nhắm vào hệ thống Linux.

Ưu tiên 1: Khóa đường vào

SSH

• Chỉ cho phép xác thực bằng khóa, tắt đăng nhập bằng mật khẩu (PasswordAuthentication no).
• Tắt đăng nhập trực tiếp bằng root (PermitRootLogin no), dùng tài khoản cá nhân và sudo.
• Không mở SSH ra Internet; truy cập qua VPN hoặc máy trung gian (bastion) có xác thực đa yếu tố.
• Dùng công cụ chặn dò mật khẩu như fail2ban cho các dịch vụ buộc phải mở.
• Rà soát định kỳ tệp authorized_keys, gỡ khóa của nhân sự đã nghỉ hoặc không rõ nguồn gốc.

Vá lỗi

Bật cập nhật bảo mật tự động cho gói hệ thống nếu phù hợp, và có quy trình vá khẩn cấp cho ứng dụng web, bảng điều khiển hosting, thiết bị lưu trữ, hypervisor. Theo dõi danh mục lỗ hổng đang bị khai thác để ưu tiên.

Thu hẹp dịch vụ lộ ra ngoài

Quét định kỳ từ bên ngoài để biết cổng nào đang mở. Giao diện quản trị cơ sở dữ liệu, bảng điều khiển, API nội bộ không nên truy cập được từ Internet.

Ưu tiên 2: Giảm quyền và cô lập ảo hóa

• Tách mạng quản lý: giao diện quản lý ESXi, vCenter, Proxmox, iDRAC, iLO nằm trong mạng riêng, chỉ truy cập từ máy quản trị chuyên dụng.
• Tách danh tính quản trị: tránh để tài khoản quản trị hypervisor phụ thuộc hoàn toàn vào hệ thống danh tính văn phòng; nếu miền Windows bị chiếm, kẻ tấn công không tự động có quyền vào hạ tầng ảo hóa.
• Chế độ khóa của hypervisor: bật lockdown mode, tắt SSH trên ESXi khi không bảo trì, và bật tùy chọn chỉ cho phép chạy tệp nhị phân được cài đặt chính thức để chặn mã độc tự mang vào.
• Quyền tối thiểu: tài khoản dịch vụ, ứng dụng chỉ có quyền cần thiết; không chạy ứng dụng web bằng root.
• Cơ chế kiểm soát truy cập bắt buộc: giữ SELinux hoặc AppArmor ở chế độ thực thi thay vì tắt cho tiện.

Ưu tiên 3: Giám sát hành vi chuẩn bị tấn công

Kiểm tra tính toàn vẹn tệp hệ thống quan trọng và theo dõi tác vụ cron mới cũng giúp phát hiện sự hiện diện của kẻ tấn công.

Ưu tiên 4: Sao lưu chống ransomware

Nguyên tắc 3-2-1 được mở rộng thành 3-2-1-1-0: ba bản sao dữ liệu, trên hai loại phương tiện, một bản ở nơi khác, một bản ngoại tuyến hoặc bất biến, và không có lỗi khi kiểm tra khôi phục.

• Bất biến: dùng kho lưu trữ có khóa đối tượng (object lock) hoặc thiết bị sao lưu hỗ trợ không cho xóa trong thời gian lưu giữ.
• Tách danh tính: tài khoản quản trị sao lưu không dùng chung với miền chính.
• Mã hóa bản sao lưu để dữ liệu không bị đánh cắp từ chính sao lưu. Các nguyên tắc mã hóa được bàn trong bài mã hóa dữ liệu đám mây khi nghỉ và khi truyền.
• Diễn tập khôi phục: đo thời gian thực tế để khôi phục hệ thống quan trọng; nhiều tổ chức chỉ phát hiện sao lưu hỏng khi cần dùng.

Kế hoạch ứng cứu khi phát hiện ransomware

1. Cô lập: ngắt kết nối mạng các máy bị ảnh hưởng, nhưng cân nhắc không tắt nguồn ngay vì bộ nhớ có thể chứa bằng chứng hoặc khóa.
2. Bảo vệ sao lưu: ngắt kết nối hệ thống sao lưu khỏi mạng sản xuất, kiểm tra sao lưu còn nguyên vẹn.
3. Thu hồi thông tin xác thực: đổi mật khẩu, thu hồi khóa SSH và token của tài khoản quản trị, ưu tiên tài khoản hạ tầng.
4. Xác định phạm vi: máy nào bị mã hóa, dữ liệu nào có thể đã bị đánh cắp, kẻ tấn công vào từ đâu.
5. Thông báo: ban lãnh đạo, bộ phận pháp lý, cơ quan chức năng theo quy định, khách hàng nếu dữ liệu cá nhân bị ảnh hưởng.
6. Khôi phục từ nguồn sạch: dựng lại máy chủ từ bản cài sạch, khôi phục dữ liệu từ sao lưu đã xác minh, vá lỗ hổng ban đầu trước khi đưa vào hoạt động.
7. Rút kinh nghiệm: cập nhật kế hoạch, bổ sung giám sát cho đường tấn công vừa bị lợi dụng.

Quy trình phục hồi chi tiết sau sự cố được trình bày thêm trong bài các bước phục hồi dữ liệu sau sự cố tấn công mạng.

Đừng quên chuỗi cung ứng

Máy chủ Linux cài phần mềm từ kho gói, container image và thư viện mã nguồn mở. Kẻ tấn công có thể cài cắm mã độc ngay từ nguồn, như phân tích trong bài tấn công qua thư viện mã nguồn mở. Chỉ dùng kho chính thức, xác minh chữ ký gói và quét image trước khi triển khai.