{"id":3417,"date":"2022-03-22T11:46:37","date_gmt":"2022-03-22T04:46:37","guid":{"rendered":"http:\/\/htttdn.com\/?post_type=ht_kb&p=3417"},"modified":"2022-03-22T13:29:26","modified_gmt":"2022-03-22T06:29:26","slug":"lam-the-nao-de-loai-bo-tan-goc-virus-osiris-ransomware-locky","status":"publish","type":"ht_kb","link":"https:\/\/htttdn.com\/index.php\/tin-tuc\/lam-the-nao-de-loai-bo-tan-goc-virus-osiris-ransomware-locky\/","title":{"rendered":"L\u00e0m th\u1ebf n\u00e0o \u0111\u1ec3 lo\u1ea1i b\u1ecf t\u1eadn g\u1ed1c virus *.OSIRIS – Ransomware Locky ?"},"content":{"rendered":"

\n\tNgu\u1ed3n: quantrimang.com<\/em>\n<\/p>\n

\n\tN\u1ebfu m\u1edf b\u1ea5t k\u1ef3 m\u1ed9t tài li\u1ec7u cá nhân nào \u0111ó và b\u1ea1n th\u1ea5y tài li\u1ec7u \u0111ó có ph\u1ea7n \u0111uôi m\u1edf r\u1ed9ng là [8_random_characters]-[4_random_characters]-[4_random_characters]-[8_random_characters]-[12_random_characters].osiris<\/strong>. R\u1ea5t có th\u1ec3 máy tính c\u1ee7a b\u1ea1n \u0111ã b\u1ecb ransomware Locky t\u1ea5n công.\n<\/p>\n

\n\tLocky là ransomware mã hóa t\u1eadp tin, nó s\u1ebd mã hóa các tài li\u1ec7u cá nhân mà nó phát hi\u1ec7n trên máy tính c\u1ee7a các "n\u1ea1n nhân" b\u1ecb nó t\u1ea5n công, s\u1eed d\u1ee5ng key RSA-2048 (thu\u1eadt toán mã hóa AES CBC 256-bit), sau \u0111ó s\u1ebd hi\u1ec3n th\u1ecb thông báo nói r\u1eb1ng \u0111\u1ec3 gi\u1ea3i mã d\u1eef li\u1ec7u b\u1ea1n c\u1ea7n thanh toán kho\u1ea3ng 2,5 Bitcoins, ho\u1eb7c x\u1ea5p x\u1ec9 kho\u1ea3ng 1880$.\n<\/p>\n

\n\t\"\"\n<\/p>\n

\n\tCác h\u01b0\u1edbng d\u1eabn \u0111\u01b0\u1ee3c “gói tr\u1ecdn” trên máy tính các n\u1ea1n nhân trong 3 file: OSIRIS.html, OSIRIS_ [4_digit_number] .html<\/strong>, và OSIRIS.bmp. <\/strong>\n<\/p>\n

\n\t\"\"\n<\/p>\n

\n\t \n<\/p>\n

\n\t\"\"\n<\/p>\n

\n\t1. Ransomware Locky OSIRIS t\u1ea5n công máy tính c\u1ee7a b\u1ea1n nh\u01b0 th\u1ebf nào?
\n<\/h2>\n

\n\tRansomware Locky \u0111\u01b0\u1ee3c “phân ph\u1ed1i” thông qua các th\u01b0 rác có ch\u1ee9a các file \u0111ính kèm ho\u1eb7c link \u0111\u1ebfn các trang web \u0111\u1ed9c h\u1ea1i. Cyber-criminals là email spam có thông tin tiêu \u0111\u1ec1 gi\u1ea3 m\u1ea1o, l\u1eeba ng\u01b0\u1eddi dùng \u0111\u1ec3 h\u1ecd tin r\u1eb1ng nó là email t\u1eeb công ty DHL ho\u1eb7c FedEx.\n<\/p>\n

\n\tHo\u1eb7c khi cài \u0111\u1eb7t m\u1ed9t ph\u1ea7n m\u1ec1m nào \u0111ó, ng\u01b0\u1eddi dùng vô hình cài \u0111\u1eb7t thêm các ph\u1ea7n m\u1ec1m gi\u1ea3 m\u1ea1o mà h\u1ecd không h\u1ec1 hay bi\u1ebft.\n<\/p>\n

\n\t\"\"\n<\/p>\n

\n\t2. OSIRIS – ransomware Locky là gì?
\n<\/h2>\n

\n\tLocky ransomware nh\u1eafm m\u1ee5c \u0111ích t\u1edbi t\u1ea5t c\u1ea3 các phiên b\u1ea3n Windows, trong \u0111ó bao g\u1ed3m Windows 10, Windows Vista, Windows 8 và Windows 7. Lo\u1ea1i Ransomware này s\u1eed d\u1ee5ng cách mã hóa các t\u1eadp tin c\u1ee7a ng\u01b0\u1eddi dùng khá \u0111\u1eb7c bi\u1ec7t, nó s\u1eed d\u1ee5ng ph\u01b0\u01a1ng pháp mã hóa AES-265 và RSA \u0111\u1ec3 \u0111\u1ea3m b\u1ea3o r\u1eb1ng n\u1ea1n nhân s\u1ebd không có s\u1ef1 l\u1ef1a ch\u1ecdn nào.\n<\/p>\n

\n\tKhi ransomware Locky \u0111\u01b0\u1ee3c cài \u0111\u1eb7t trên máy tính c\u1ee7a b\u1ea1n, nó s\u1ebd t\u1ea1o ra các tên th\u1ef1c thi ng\u1eabu nhiên trong th\u01b0 m\u1ee5c %AppData" ho\u1eb7c th\u01b0 m\u1ee5c %LocalAppData<\/strong>". Th\u1ef1c thi này kh\u1edfi ch\u1ea1y và b\u1eaft \u0111\u1ea7u quét t\u1ea5t c\u1ea3 các \u1ed5 trên máy tính c\u1ee7a b\u1ea1n \u0111\u1ec3 mã hóa các t\u1eadp tin d\u1eef li\u1ec7u.\n<\/p>\n

\n\tRansomeware Lock<\/strong> s\u1ebd tìm ki\u1ebfm các t\u1eadp tin có ph\u1ea7n \u0111uôi m\u1edf r\u1ed9ng c\u1ee5 th\u1ec3 \u0111\u1ec3 mã hóa. Các t\u1eadp tin nó mã hóa bao g\u1ed3m các tài li\u1ec7u và các t\u1eadp tin quan tr\u1ecdng nh\u01b0 .doc, .docx, .xls, .pdf và m\u1ed9t s\u1ed1 t\u1eadp tin khác. Khi các t\u1eadp tin \u0111\u01b0\u1ee3c phát hi\u1ec7n, nó s\u1ebd thêm ph\u1ea7n \u0111uôi m\u1edf r\u1ed9ng m\u1edbi vào tên t\u1eadp tin (ezz, .exx, .7z.encrypted).\n<\/p>\n

\n\tD\u01b0\u1edbi \u0111ây là danh sách các t\u1eadp tin m\u1edf r\u1ed9ng mà ransomware nh\u1eafm \u0111\u1ebfn:\n<\/p>\n

\n

\n\t\t.sql, .mp4, .7z, .rar, .m4a, .wma, .avi, .wmv, .csv, .d3dbsp, .zip, .sie, .sum, .ibank, .t13, .t12, .qdf, .gdb, .tax, .pkpass, .bc6, .bc7, .bkp, .qic, .bkf, .sidn, .sidd, .mddata, .itl, .itdb, .icxs, .hvpl, .hplg, .hkdb, .mdbackup, .syncdb, .gho, .cas, .svg, .map, .wmo, .itm, .sb, .fos, .mov, .vdf, .ztmp, .sis, .sid, .ncf, .menu, .layout, .dmp, .blob, .esm, .vcf, .vtf, .dazip, .fpk, .mlx, .kf, .iwd, .vpk, .tor, .psk, .rim, .w3x, .fsh, .ntl, .arch00, .lvl, .snx, .cfr, .ff, .vpp_pc, .lrf, .m2, .mcmeta, .vfs0, .mpqge, .kdb, .db0, .dba, .rofl, .hkx, .bar, .upk, .das, .iwi, .litemod, .asset, .forge, .ltx, .bsa, .apk, .re4, .sav, .lbf, .slm, .bik, .epk, .rgss3a, .pak, .big, wallet, .wotreplay, .xxx, .desc, .py, .m3u, .flv, .js, .css, .rb, .png, .jpeg, .txt, .p7c, .p7b, .p12, .pfx, .pem, .crt, .cer, .der, .x3f, .srw, .pef, .ptx, .r3d, .rw2, .rwl, .raw, .raf, .orf, .nrw, .mrwref, .mef, .erf, .kdc, .dcr, .cr2, .crw, .bay, .sr2, .srf, .arw, .3fr, .dng, .jpe, .jpg, .cdr, .indd, .ai, .eps, .pdf, .pdd, .psd, .dbf, .mdf, .wb2, .rtf, .wpd, .dxg, .xf, .dwg, .pst, .accdb, .mdb, .pptm, .pptx, .ppt, .xlk, .xlsb, .xlsm, .xlsx, .xls, .wps, .docm, .docx, .doc, .odb, .odc, .odm, .odp, .ods, .odt\n\t<\/p>\n<\/blockquote>\n

\n\tSau khi các t\u1eadp tin \u0111\u01b0\u1ee3c mã hóa b\u1eb1ng \u0111uôi m\u1edf r\u1ed9ng .osiris, ransomeware Locky có th\u1ec3 t\u1ea1o m\u1ed9t t\u1eadp tin OSIRIS.html, OSIRIS_[4_digit_number].html<\/strong>, ho\u1eb7c OSIRIS.bmp<\/strong> files cho m\u1ed7i th\u01b0 m\u1ee5c có t\u1eadp tin \u0111ã \u0111\u01b0\u1ee3c mã hóa và trên máy tính Windows.\n<\/p>\n

\n\tCác t\u1eadp tin này n\u1eb1m trong m\u1ed7i th\u01b0 m\u1ee5c có ch\u1ee9a các t\u1eadp tin \u0111ã \u0111\u01b0\u1ee3c mã hóa c\u0169ng nh\u01b0 trong th\u01b0 m\u1ee5c Startup, th\u01b0 m\u1ee5c có ch\u1ee9a các ch\u01b0\u01a1ng trình t\u1ef1 \u0111\u1ed9ng hi\u1ec3n th\u1ecb khi ng\u01b0\u1eddi dùng \u0111\u0103ng nh\u1eadp. Các t\u1eadp tin này s\u1ebd ch\u1ee9a các thông tin làm th\u1ebf nào \u0111\u1ec3 truy c\u1eadp các trang web thanh toán và nh\u1eadn l\u1ea1i các t\u1eadp tin c\u1ee7a b\u1ea1n.\n<\/p>\n

\n\tTrong h\u1ea7u h\u1ebft các tr\u01b0\u1eddng h\u1ee3p, ransomeware Locky s\u1ebd chi\u1ebfm quy\u1ec1n \u0111i\u1ec1u khi\u1ec3n ph\u1ea7n \u0111uôi m\u1edf r\u1ed9ng .EXE, khi b\u1ea1n kh\u1edfi \u0111\u1ed9ng m\u1ed9t th\u1ef1c thi nó s\u1ebd c\u1ed1 g\u1eafng xóa Shadow Volume Copies trên máy tính.\n<\/p>\n

\n\tSau khi hoàn t\u1ea5t vi\u1ec7c mã hóa các t\u1eadp tin d\u1eef li\u1ec7u, nó s\u1ebd xóa t\u1ea5t c\u1ea3 Shadow Volume Copies trên máy tính c\u1ee7a b\u1ea1n. Nó không cho phép ng\u01b0\u1eddi dùng s\u1eed d\u1ee5ng Shadow Volume Copies \u0111\u1ec3 khôi ph\u1ee5c (restore) các t\u1eadp tin \u0111ã b\u1ecb mã hóa.\n<\/p>\n

\n\t3. Máy tính c\u1ee7a b\u1ea1n có b\u1ecb ransomware Locky – OSIRIS t\u1ea5n công?
\n<\/h2>\n

\n\tKhi ransomeware Lock t\u1ea5n công máy tính c\u1ee7a b\u1ea1n, nó s\u1ebd quét t\u1ea5t c\u1ea3 các \u1ed5 trên h\u1ec7 th\u1ed1ng \u0111\u1ec3 tìm các t\u1eadp tin mà nó nh\u1eafm \u0111ích \u0111\u1ebfn, mã hóa các t\u1eadp tin \u0111ó và thêm ph\u1ea7n \u0111uôi m\u1edf r\u1ed9ng .osiris vào các t\u1eadp tin.\n<\/p>\n

\n\tSau khi các t\u1eadp tin \u0111ã \u0111\u01b0\u1ee3c mã hóa, b\u1ea1n không th\u1ec3 m\u1edf các t\u1eadp tin này b\u1eb1ng các ch\u01b0\u01a1ng trình nh\u01b0 bình th\u01b0\u1eddng mà b\u1ea1n v\u1eabn m\u1edf n\u1eefa. Ngoài ra khi ransomware Locky k\u1ebft thúc quá trình mã hóa các t\u1eadp tin c\u1ee7a n\u1ea1n nhân, nó c\u0169ng s\u1ebd làm thay \u0111\u1ed5i hình n\u1ec1n trên máy tính c\u1ee7a n\u1ea1n nhân.\n<\/p>\n

\n\tNgoài ra nó c\u0169ng s\u1ebd hi\u1ec3n th\u1ecb m\u1ed9t ghi chú kho\u1ea3n ti\u1ec1n chu\u1ed9c d\u01b0\u1edbi d\u1ea1ng HTML trên trình duy\u1ec7t m\u1eb7c \u0111\u1ecbnh c\u1ee7a b\u1ea1n. Nh\u1eefng ghi chú này bao g\u1ed3m cách h\u01b0\u1edbng d\u1eabn làm th\u1ebf nào \u0111\u1ec3 k\u1ebft n\u1ed1i v\u1edbi các d\u1ecbch v\u1ee5 Decrypt Service, n\u01a1i b\u1ea1n có th\u1ec3 tìm hi\u1ec3u thêm v\u1ec1 nh\u1eefng gì \u0111ã x\u1ea3y ra v\u1edbi các t\u1eadp tin c\u1ee7a mình và làm th\u1ebf nào \u0111\u1ec3 thanh toán.\n<\/p>\n

\n\tRansomware Locky s\u1ebd hi\u1ec3n th\u1ecb thông báo:\n<\/p>\n

\n

\n\t\tIMPORTANT INFORMATION !!!!\n\t<\/p>\n

\n\t\tAll of your files are encrypted with RSA-2048 and AES-128 ciphers.\n\t<\/p>\n

\n\t\tMore information about the RSA and AES can be found here:\n\t<\/p>\n

\n\t\thxxps:\/\/en.wikipedia.org\/wiki\/RSA_(cryptosystem)\n\t<\/p>\n

\n\t\thxxps:\/\/en.wikipedia.org\/wiki\/Advanced_Encryption_Standard\n\t<\/p>\n

\n\t\tDecrypting of your files is only possible with the private key and decrypt program, which is on our secret server.\n\t<\/p>\n

\n\t\tTo receive your private key follow one of the links:\n\t<\/p>\n

\n\t\t[edited]\n\t<\/p>\n

\n\t\tIf all of this addresses are not available, follow these steps:\n\t<\/p>\n

\n\t\t1. Download and install Tor Browser: hxxps:\/\/www.torproject.org\/download\/download-easy.html\n\t<\/p>\n

\n\t\t2. After a successful installation, run the browser and wait for initialization.\n\t<\/p>\n

\n\t\t3. Type in the address bar: [edited]\n\t<\/p>\n

\n\t\t4. Follow the instructions on the site.\n\t<\/p>\n

\n\t\t!!! Your personal identification ID: [edited]\n\t<\/p>\n<\/blockquote>\n

\n\t4. Li\u1ec7u có th\u1ec3 gi\u1ea3i mã các t\u1eadp tin \u0111ã \u0111\u01b0\u1ee3c mã hóa b\u1edfi ransomware Locky hay không?
\n<\/h2>\n

\n\tTính cho \u0111\u1ebfn th\u1eddi \u0111i\u1ec3m này thì không th\u1ec3 khôi ph\u1ee5c các t\u1eadp tin \u0111\u01b0\u1ee3c mã hóa b\u1edfi ph\u1ea7n \u0111uôi m\u1edf r\u1ed9ng .osiris.\n<\/p>\n

\n\t\u0110i\u1ec3m \u0111áng chú ý nh\u1ea5t c\u1ee7a ransomware Locky là cách mà nó mã hóa các t\u1eadp tin c\u1ee7a ng\u01b0\u1eddi dùng. C\u1ee5 th\u1ec3 là, nó s\u1eed d\u1ee5ng ph\u01b0\u01a1ng pháp mã hóa AES-265 và RSA – \u0111\u1ec3 \u0111\u1ea3m b\u1ea3o r\u1eb1ng ng\u01b0\u1eddi dùng b\u1ecb “t\u1ea5n công” không có s\u1ef1 l\u1ef1a ch\u1ecdn nào khác ngoài vi\u1ec7c mua key private.\n<\/p>\n

\n\tKey RSA public có th\u1ec3 \u0111\u01b0\u1ee3c gi\u1ea3i mã v\u1edbi key private t\u01b0\u01a1ng \u1ee9ng c\u1ee7a nó. Lí do b\u1edfi vì key AES b\u1ecb \u1ea9n khi s\u1eed d\u1ee5ng mã hóa RSA và key RSA private không có s\u1eb5n, vi\u1ec7c gi\u1ea3i mã các t\u1eadp tin là không kh\u1ea3 thi.\n<\/p>\n

\n\tVà b\u1edfi vì ph\u1ea3i có key private \u0111\u1ec3 m\u1edf khóa các t\u1eadp tin mã hóa, mà các key này có s\u1eb5n thông qua t\u1ed9i ph\u1ea1m m\u1ea1ng (cyber criminal), do \u0111ó các “n\u1ea1n nhân” có th\u1ec3 b\u1ecb “d\u1ee5” \u0111\u1ec3 mua và tr\u1ea3 m\u1ed9t kho\u1ea3n phí c\u1eaft c\u1ed5.\n<\/p>\n

\n\tTùy ch\u1ecdn 1: S\u1eed d\u1ee5ng ShadowExplorer \u0111\u1ec3 khôi ph\u1ee5c các t\u1eadp tin b\u1ecb mã hóa b\u1edfi ransomware Locky<\/strong>\n<\/p>\n

\n\t1. T\u1ea3i ShadowExplorer v\u1ec1 máy và cài \u0111\u1eb7t.\n<\/p>\n

\n\t2. Sau khi t\u1ea3i và cài \u0111\u1eb7t xong ShadowExplorer, b\u1ea1n có th\u1ec3 restore các t\u1eadp tin b\u1eb1ng ShadowExplorer \n<\/p>\n

\n\tTùy ch\u1ecdn 2. S\u1eed d\u1ee5ng ph\u1ea7n m\u1ec1m khôi ph\u1ee5c t\u1eadp tin \u0111\u1ec3 khôi ph\u1ee5c các t\u1eadp tin b\u1ecb mã hóa b\u1edfi ph\u1ea7n m\u1edf r\u1ed9ng .osiris<\/strong>\n<\/p>\n

\n\tKhi ph\u1ea7n m\u1edf r\u1ed9ng .osiris mã hóa m\u1ed9t t\u1eadp tin b\u1ea5t k\u1ef3 nào \u0111ó, b\u01b0\u1edbc \u0111\u1ea7u tiên nó s\u1ebd sao chép t\u1eadp tin \u0111ó, mã hóa t\u1eadp tin mà nó sao chép và xóa t\u1eadp tin g\u1ed1c \u0111i. Do \u0111ó \u0111\u1ec3 kh\u1eafc ph\u1ee5c các tin \u0111ã b\u1ecb mã hóa b\u1edfi ph\u1ea7n m\u1edf r\u1ed9ng .osiris , b\u1ea1n có th\u1ec3 s\u1eed d\u1ee5ng ph\u1ea7n m\u1ec1m khôi ph\u1ee5c t\u1eadp tin nh\u01b0:\n<\/p>\n