Nếu máy tính của bạn bị nhiễm Thanatos Ransomware và bạn đang tìm công cụ giải mã ransomware miễn phí để mở khóa hoặc giải mã tệp—bạn đã tìm đúng chỗ.
Các nhà nghiên cứu bảo mật của Cisco Talos đã phát hiện một điểm yếu trong mã của ransomware Thanatos, giúp nạn nhân có thể mở khóa miễn phí các tệp bị Thanatos mã hóa mà không phải trả tiền chuộc bằng tiền mã hóa.
Giống mọi ransomware khác, Thanatos mã hóa tệp và đòi nạn nhân trả tiền chuộc bằng nhiều loại tiền mã hóa, trong đó có Bitcoin Cash, để giải mã tệp.
“Kẻ tấn công đã sử dụng nhiều phiên bản Thanatos, cho thấy đây là mối đe dọa đang tiến hóa và tiếp tục được các tác nhân đe dọa tích cực phát triển, với nhiều phiên bản đã phát tán ngoài thực tế,” các nhà nghiên cứu cho biết.
“Không giống các ransomware phổ biến khác, Thanatos không đòi trả tiền chuộc bằng một loại tiền mã hóa duy nhất như bitcoin. Thay vào đó, nó được ghi nhận hỗ trợ thanh toán tiền chuộc bằng Bitcoin Cash (BCH), Zcash (ZEC), Ethereum (ETH) và các loại khác.”
Khi đã lây nhiễm, phần mở rộng của mọi tệp bị mã hóa trên máy sẽ bị đổi thành .THANATOS, và mỗi khi người dùng đăng nhập, một thông báo đòi tiền chuộc sẽ hiện lên, yêu cầu gửi tiền đến một địa chỉ ví tiền mã hóa cố định để giải mã tệp.
Tuy nhiên, vì Thanatos dùng các khóa mã hóa khác nhau cho từng tệp trên máy bị nhiễm mà không lưu chúng ở đâu cả, tác giả mã độc không thể trả lại dữ liệu cho người dùng, kể cả khi nạn nhân đã trả tiền chuộc.
Công cụ giải mã ransomware Thanatos miễn phí
Các nhà nghiên cứu của Cisco đã phân tích mã độc và tìm ra một lỗ hổng trong thiết kế phương pháp mã hóa tệp của Thanatos, từ đó phát triển công cụ giải mã miễn phí giúp nạn nhân giải mã tệp.
Có tên ThanatosDecryptor, công cụ giải mã ransomware mã nguồn mở, miễn phí này có thể tải từ GitHub (vừa được Microsoft mua lại với giá 7,5 tỷ USD), và hoạt động với ransomware Thanatos phiên bản 1 và 1.1
Vì khóa mã hóa của Thanatos được sinh dựa trên số mili giây kể từ lần khởi động hệ thống gần nhất, các nhà nghiên cứu có thể dịch ngược logic và tái tạo cùng khóa mã hóa 32-bit bằng tấn công brute force và Windows Event Logs.
“Vì Thanatos không sửa ngày tạo của các tệp bị mã hóa, không gian tìm khóa có thể thu hẹp hơn nữa, xuống xấp xỉ số mili giây trong 24 giờ trước thời điểm lây nhiễm,” các nhà nghiên cứu giải thích.
“Với trung bình 100.000 lần thử brute force mỗi giây (mức cơ sở trên máy ảo dùng để thử nghiệm), sẽ mất khoảng 14 phút để khôi phục thành công khóa mã hóa trong điều kiện này.”
Để biết thêm chi tiết về ransomware Thanatos, bạn có thể đọc bài viết chi tiết do Cisco Talos công bố.
Cách tự bảo vệ trước các cuộc tấn công ransomware
Phần lớn ransomware lây lan qua email lừa đảo (phishing), quảng cáo độc hại trên website, và các ứng dụng, chương trình của bên thứ ba. Dù là Locky, CoinVault, Thanatos, TeslaCrypt hay bất kỳ ransomware nào khác, các biện pháp bảo vệ đều giống nhau.
Để phòng tránh tấn công ransomware, hãy luôn cảnh giác với các tài liệu không mong đợi gửi qua email, và đừng bao giờ nhấp vào liên kết trong các tài liệu đó trừ khi đã xác minh nguồn gửi.
Kiểm tra xem macro đã bị tắt trong các ứng dụng MS Office chưa. Nếu chưa, hãy chặn macro chạy trong các tệp MS Office tải từ Internet.
Để luôn kiểm soát chặt chẽ các tài liệu quan trọng, hãy duy trì thói quen sao lưu tốt, chép tệp sang thiết bị lưu trữ ngoài không kết nối thường xuyên với máy tính.
Ngoài ra, hãy chạy một bộ phần mềm diệt virus dựa trên hành vi có khả năng phát hiện và chặn mã độc trước khi nó lây nhiễm thiết bị, và luôn nhớ cập nhật phần mềm thường xuyên.
Nguồn: thehackernews
