Thời điểm Petrwrap được phát hiện vào khoảng 14h00 chiều ngày hôm qua 27/6 (theo giờ Việt Nam). Các máy tính bị lây nhiễm Petrwrap sẽ tự động bị tắt nguồn, khi khởi động lại sẽ có 1 thông báo đòi tiền chuộc với trị giá là 300 USD/máy tính.
Một thông báo tống tiền từ mã độc Petrwrap
Theo nhận định Petrwrap có tốc độ lây lan tương đương với mã độc WannaCry xuất hiện vào tháng 5/2017. Trong khoảng 24 giờ phát tán, Petrwrap đã gây ra sự gián đoạn nghiêm trọng tại nhiều quốc gia lớn ở châu Âu như Ukraine, Tây Ban Nha, Isarel, Anh, Hà Lan và Mỹ. Quốc gia bị ảnh hưởng nặng nề nhất bởi Petrwrap là Ukraine.
Hiện tại, một loạt các ngành tại châu Âu gồm cả khối chính phủ, vận tải bao gồm nhà ga, sân bay, ngành năng lượng, hóa dầu, ngân hàng bao gồm cả hệ thống ATM... đều báo cáo đã bị lây nhiễm bởi mã độc này.
Petrwrap là gì, được phát tán và lây lan ra sao?
Petrwrap đã xuất hiện vào khoảng đầu năm 2016, tuy nhiên đây là biến thể mới của loại mã độc này.
Petrwrap được phát tán qua file đính kèm chứa mã độc vào các hòm thư điện tử. Khi người sử dụng mở một file tài liệu office được tạo sẵn để khai thác lỗi bảo mật CVE-2017-0199 (ảnh hưởng tới Microsoft Office 2007 SP3, Microsoft Office 2010 SP2, Microsoft Office 2013 SP1, Microsoft Office 2016). Lỗi bảo mật này đã được Microsoft vá vào 11/4/2017. Nếu người sử dụng mở tập tin đính kèm, mã độc sẽ được tải ngầm và thực thi trên máy của nạn nhân.
Cũng như WannaCry, Petrwrap có khả năng lây lan qua mạng nội bộ giữa các máy tính với nhau. Các máy tính có mở cổng 445 đều có nguy cơ bị lây nhiễm.
Petrwrap dùng 2 cách chính để lây nhiễm sang hệ thống nội bộ: Lỗi SMB chia sẻ tập tin của Windows EternalBlue (giống như đã bị WannaCry khai thác) và sử dụng công cụ của tin tặc để trích xuất mật khẩu của các máy tính bên cạnh từ bộ nhớ của máy đã bị nhiễm và cài đặt từ xa bằng công cụ psexec hợp pháp của Microsoft.
Theo nhận định từ CMC InfoSec, với Petrwrap, người dùng cá nhân hiện đang sử dụng Yahoo Mail hay Gmail tương đối an toàn. Bởi hệ thống lọc của Yahoo hay Gmail đủ khả năng cách ly các email có mã độc.
Dễ bị lây nhiễm nhất là các hòm thư điện tử do doanh nghiệp, tổ chức tự vận hành. Đặc biệt là các máy chủ chạy mail servers trên Windows. Các tổ chức, doanh nghiệp sở hữu địa chỉ email dạng ten@abc.gov.vn hoặc ten@abc.com.vn cần hết sức lưu ý.
Tại Việt Nam, mặc dù đã trải qua đợt càn quét của WannaCry, vẫn còn rất nhiều hệ thống, đặc biệt là các hệ thống máy chủ chưa được cập nhật bản vá mới nhất cho lỗ hổng EnternalBlue.
Thống kê của CMC InfoSec cho thấy, hiện vẫn còn hơn 9.700 máy chủ public internet có nguy cơ lây nhiễm rất cao với các mã độc khai thác qua EnternalBlue. Phần lớn các máy chủ này thuộc về các tập đoàn, công ty và tổ chức lớn.
Hành khách tại sân bay Boryspil, ở ngoại ô thủ đô Kiev của Ukraine bị ảnh hưởng lớn bởi mã độc Petrwrap (Ảnh: Reuters)
Mặc dù tại thời điểm hiện tại, chưa phát hiện trường hợp lây nhiễm cụ thể tại Việt Nam. Tuy nhiên với tình trang các máy chủ và máy cá nhân dùng ko được vá như hiện tại, việc lây lan tại Việt Nam trong thời gian ngắn là điều có thể xảy ra.
Cách phòng chống Petrwrap?
Trước cách thức lây lan của Petrwrap, theo CMC InfoSec, người dùng có thể thực hiện một số biện pháp để bảo vệ mình khỏi mã độc này. Cụ thể, người dùng không nên mở các tập tin đính kèm nếu không chắc chắn là an toàn; tải bản vá lỗi MS17-010 từ trang chủ Microsoft tương ứng với hệ điều hành Windows đang dùng; chặn các kết nối internet từ các máy khác vào cổng 445 trên máy tính của mình
Nếu bị lây nhiễm, người dùng không liên hệ tới địa chỉ email wowsmith123456@posteo.net để tìm cách trả tiền chuộc vì hòm thư này đã bị khóa. Cùng với đó hãy tìm đến các chuyên gia để khôi phục dữ liệu.
Mời quý độc giả theo dõi các chương trình đã phát sóng của Đài Truyền hình Việt Nam tại TV Online!