Phần mềm tống tiền khét tiếng và gây thiệt hại nhất mọi thời đại
Ransomware (phần mềm tống tiền) và các băng nhóm tội phạm đứng sau chúng đã gây ra thiệt hại nghiêm trọng cho hàng triệu doanh nghiệp (DN) trên toàn cầu, với con số tổn thất lên đến hàng tỷ USD.
Tại Việt Nam, mối đe dọa từ ransomware cũng ngày càng gia tăng, khi các DN và tổ chức chính phủ trở thành mục tiêu của những cuộc tấn công mạng tinh vi.
Lịch sử của ransomware bắt đầu từ cuối những năm 1980 và đến năm 2024, theo các báo cáo gần đây, nó đã mang về 811 triệu USD tiền chuộc cho các nhóm tội phạm. Nạn nhân không chỉ phải đối mặt với các khoản tiền chuộc mà còn chịu chi phí phục hồi hệ thống, đôi khi còn lớn hơn cả số tiền họ đã trả.
Tại Việt Nam, các chuyên gia an ninh mạng (ANM) đã ghi nhận có sự gia tăng các cuộc tấn công ransomware nhắm vào DN vừa và nhỏ, cũng như các cơ quan nhà nước, gây ra gián đoạn hoạt động và tổn thất kinh tế đáng kể.
Với lợi nhuận khổng lồ, nên chúng ta sẽ không ngạc nhiên khi các băng nhóm ransomware và phần mềm độc hại ngày càng phát triển. Số lượng các tác nhân đe dọa - những kẻ phát triển và phân phối mã độc - có thể lên tới hàng trăm, chưa kể đến các "chi nhánh" sử dụng mô hình Ransomware-as-a-Service (RaaS - như là một dịch vụ).
Dưới đây là danh sách một số phần mềm tống tiền và nhóm ransomware nổi bật trong lịch sử (được chọn dựa trên mức độ ảnh hưởng và tính sáng tạo của chúng), bao gồm cả những cái tên vẫn đang còn hoạt động:
Cerber
Lịch sử: Xuất hiện lần đầu vào năm 2016, Cerber là một nền tảng RaaS giúp kẻ tấn công thu về 200.000 USD chỉ trong tháng 7 cùng năm.
Cách thức hoạt động: Cerber khai thác lỗ hổng Microsoft để lây lan, mã hóa tệp bằng thuật toán AES-256, nhắm vào nhiều loại tệp như tài liệu, hình ảnh, âm thanh, video và bản sao lưu. Nó cũng có khả năng mã hóa các chia sẻ mạng không được ánh xạ.
Nạn nhân mục tiêu: Là RaaS, Cerber đe dọa mọi đối tượng, từ cá nhân đến DN.
Ghi chú: Được bán trên một diễn đàn tiếng Nga kín, Cerber cho thấy sự chuyên nghiệp của thị trường tội phạm mạng.
Tình trạng hiện tại: Vẫn được cho là hoạt động đến ngày nay.
Tại Việt Nam: Cerber từng được phát hiện trong các cuộc tấn công nhắm vào DN Việt Nam, đặc biệt là các công ty chưa đầu tư mạnh vào ANM.
Conti
Lịch sử: Ra mắt vào tháng 5/2020, Conti được xem là "hậu duệ" của Ryuk. Đến tháng 1/2021, nó đã tấn công hơn 150 tổ chức, thu về hàng triệu USD.
Cách thức hoạt động: Conti sử dụng chiến thuật "đe dọa kép" - vừa mã hóa dữ liệu, vừa đe dọa rò rỉ thông tin nhạy cảm qua trang web Conti News. Nó nổi bật với tốc độ mã hóa nhanh nhờ công nghệ đa luồng.
Nạn nhân mục tiêu: Mọi tổ chức đều có nguy cơ, nhưng Conti từng nhắm vào các cơ quan chính phủ và y tế, như vụ tấn công dịch vụ y tế Ireland và 16 mạng lưới chăm sóc sức khỏe tại Mỹ.
Ghi chú: Được liên kết với nhóm Wizard Spider, Conti là sản phẩm của một băng nhóm tội phạm bí ẩn.
Tình trạng hiện tại: Tan rã vào tháng 5/2022, nhưng các chi nhánh vẫn có thể tiếp tục hoạt động.
Tại Việt Nam: Năm 2021, có một số DN Việt Nam đã báo cáo việc họ bị tấn công bởi biến thể của Conti, gây gián đoạn chuỗi cung ứng.
CryptoLocker
Lịch sử: Xuất hiện năm 2013, CryptoLocker đánh dấu kỷ nguyên ransomware hiện đại, lây nhiễm 500.000 máy tính Windows ở thời kỳ đỉnh cao.
Cách thức hoạt động: Là một Trojan, CryptoLocker lây lan qua email lừa đảo, mã hóa mọi thiết bị lưu trữ mà nó tiếp cận.
Nạn nhân mục tiêu: Không nhắm vào đối tượng cụ thể, tấn công ngẫu nhiên trên toàn cầu.
Nguồn: Được tạo bởi nhóm phát triển Gameover Zeus.
Tình trạng hiện tại: Bị triệt phá vào tháng 5/2014 qua Chiến dịch Tovar.
Tại Việt Nam: Dù đã bị vô hiệu hóa, CryptoLocker từng là lời cảnh báo cho các tổ chức Việt Nam về nguy cơ từ email lừa đảo.
CryptoWall
Lịch sử: Ra mắt năm 2014 sau khi CryptoLocker sụp đổ, CryptoWall đã lây nhiễm cho 625.000 máy tính trong 6 tháng đầu kể từ khi ra mắt.
Cách thức hoạt động: Phân phối qua thư rác hoặc bộ công cụ khai thác, CryptoWall ưu tiên sự đơn giản nhưng hiệu quả trong mã hóa.
Nạn nhân mục tiêu: Tấn công hàng chục nghìn tổ chức toàn cầu, nhưng tránh các quốc gia nói tiếng Nga.
Ghi chú: Có khả năng tự gỡ cài đặt nếu phát hiện máy tính ở Nga hoặc các nước láng giềng.
Tình trạng hiện tại: Không còn hoạt động từ năm 2018.
Tại Việt Nam: CryptoWall từng gây thiệt hại cho nhiều DN xuất khẩu Việt Nam trong giai đoạn 2014 - 2016.
CTB-Locker
Lịch sử: Báo cáo đầu tiên vào năm 2014, CTB-Locker nổi bật với tỷ lệ lây nhiễm cao và phiên bản nhắm vào máy chủ web vào năm 2016.
Cách thức hoạt động: Sử dụng mật mã đường cong elliptic, hỗ trợ đa ngôn ngữ để mở rộng phạm vi nạn nhân.
Nạn nhân mục tiêu: Tập trung vào Tây Âu, Bắc Mỹ, Úc, nhưng không loại trừ các khu vực khác.
Tình trạng hiện tại: Hoạt động mạnh mẽ trong 2014 - 2015, hiện không còn dấu hiệu hoạt động.
Tại Việt Nam: CTB-Locker từng được phát hiện trong các chiến dịch tấn công DN tài chính Việt Nam vào năm 2015.
Việt Nam đang đối mặt với làn sóng ransomware gia tăng. Theo Trung tâm Giám sát An toàn Không gian mạng Quốc gia (NCSC), số lượng cuộc tấn công ransomware tại Việt Nam tăng 20% trong năm 2024 so với năm trước. Các ngành như tài chính, sản xuất và y tế là mục tiêu chính.
Một vụ việc nổi bật là cuộc tấn công vào một ngân hàng lớn tại TP.HCM năm 2023, khiến dữ liệu khách hàng bị mã hóa và yêu cầu tiền chuộc lên đến hàng trăm triệu đồng. Chính phủ Việt Nam đã thúc đẩy các biện pháp bảo mật, như ban hành Luật An toàn thông tin mạng, nhưng thách thức vẫn còn lớn khi nhiều DN chưa nhận thức đầy đủ về mối đe dọa này.
Ransomware không chỉ là vấn đề công nghệ mà còn là cuộc chiến kinh tế và an ninh. Với sự phát triển không ngừng của các nhóm tội phạm mạng, cả thế giới và Việt Nam cần hành động quyết liệt để bảo vệ dữ liệu và hạ tầng số.
