Hướng dẫn cách ly và loại bỏ phần mềm độc hại Malware

Khi phát hiện malware, việc đầu tiên là cách ly máy nhiễm khỏi mạng, sau đó mới đánh giá, quét, làm sạch và khôi phục. Làm ngược thứ tự, chẳng hạn quét ngay trong khi máy vẫn nối mạng hoặc đổi mật khẩu trên chính máy đang nhiễm, có thể khiến mã độc lan sang thiết bị khác hoặc đánh cắp thêm thông tin. Bài viết này trình bày quy trình theo từng giai đoạn, áp dụng được cho máy cá nhân lẫn máy trong văn phòng nhỏ.

Giai đoạn 1: Cách ly ngay lập tức

Mục tiêu là ngăn mã độc liên lạc với kẻ điều khiển và lây sang máy khác.

• Rút cáp mạng, tắt Wi-Fi và Bluetooth.
• Ngắt các ổ USB, ổ cứng ngoài đang cắm để tránh bị lây hoặc mã hóa.
• Tạm dừng đồng bộ đám mây nếu nghi là mã độc tống tiền, để tệp bị mã hóa không ghi đè bản trên mây.
• Không tắt máy vội nếu là máy công ty cần điều tra; báo cho bộ phận IT trước.

Với máy cá nhân, nếu thấy dấu hiệu mã hóa tệp đang diễn ra (tệp đổi đuôi hàng loạt), tắt nguồn ngay có thể cứu được phần dữ liệu chưa bị mã hóa.

Giai đoạn 2: Đánh giá phạm vi

Trước khi bắt tay dọn dẹp, trả lời vài câu hỏi:

• Dấu hiệu nào khiến bạn nghi ngờ? Cảnh báo phần mềm bảo mật, quảng cáo lạ, tệp bị mã hóa, tài khoản bị đăng nhập lạ?
• Máy có quyền truy cập tài nguyên gì? Ổ mạng, máy chủ, hệ thống kế toán?
• Những tài khoản nào từng đăng nhập trên máy này?
• Có máy nào khác trong mạng có dấu hiệu tương tự?

Câu trả lời quyết định bạn chỉ cần làm sạch một máy hay phải kiểm tra cả hệ thống. Nếu nghi mã độc đã lan, xem thêm bài cơ chế lây lan virus qua mạng LAN để biết cần kiểm tra ở đâu.

Giai đoạn 3: Thu thập thông tin

Ghi lại thông tin trước khi thay đổi bất cứ thứ gì giúp bạn hiểu chuyện gì đã xảy ra và tránh lặp lại:

• Chụp màn hình cảnh báo, thông báo đòi tiền chuộc nếu có.
• Ghi tên tệp, đường dẫn mà phần mềm bảo mật báo.
• Nhớ lại hành động gần nhất: mở tệp đính kèm nào, cài phần mềm gì, cắm USB của ai.

Giai đoạn 4: Quét và loại bỏ

Cập nhật công cụ quét

Phần mềm bảo mật cần chữ ký mới nhất để nhận diện mẫu mã độc. Vì máy đang bị cách ly, bạn có thể tải gói cập nhật ngoại tuyến từ máy sạch rồi chép qua bằng USB mới format, hoặc tạm kết nối có kiểm soát chỉ để cập nhật.

Quét trong chế độ an toàn hoặc từ môi trường cứu hộ

Nhiều loại mã độc tự bảo vệ khi hệ điều hành chạy bình thường. Khởi động vào Safe Mode hoặc dùng đĩa cứu hộ (rescue disk) của các hãng bảo mật uy tín giúp quét khi mã độc chưa hoạt động. Đây là cách hiệu quả với rootkit và mã độc chống gỡ bỏ.

Dùng nhiều lớp kiểm tra

Sau khi phần mềm chính báo đã sạch, dùng thêm một công cụ quét thứ hai theo yêu cầu (on-demand) để đối chiếu. Không cài hai phần mềm diệt virus thời gian thực cùng lúc vì chúng xung đột.

Kiểm tra thủ công các điểm tồn tại

• Chương trình khởi động cùng hệ thống.
• Tác vụ định kỳ trong Task Scheduler.
• Tiện ích trình duyệt.
• Thư mục tạm, thư mục AppData chứa tệp thực thi lạ.

Khi nào nên cài lại hệ điều hành

Làm sạch tại chỗ phù hợp với adware hay mã độc đơn giản. Nhưng bạn nên cài lại sạch khi:

Giai đoạn 5: Khôi phục

1. Cài hệ điều hành và ứng dụng từ nguồn chính thức, cập nhật đầy đủ bản vá.
2. Khôi phục dữ liệu từ bản sao lưu được tạo trước thời điểm nhiễm, quét bản sao lưu trước khi chép vào.
3. Không khôi phục tệp thực thi, tệp cài đặt hoặc tài liệu có macro từ thời gian nghi nhiễm.
4. Đổi mật khẩu các tài khoản từng dùng trên máy, thực hiện từ thiết bị sạch.

Bản sao lưu đặt trên dịch vụ đám mây cần được cấu hình đúng để không bị mã độc ghi đè. Tham khảo cách thiết lập trong bài cấu hình sao lưu đám mây có lưu phiên bản.

Giai đoạn 6: Theo dõi và rút kinh nghiệm

Trong vài tuần sau sự cố, để ý thông báo đăng nhập lạ, giao dịch bất thường và cảnh báo bảo mật. Xem lại con đường mã độc vào được máy: email, USB, phần mềm lậu hay lỗ hổng chưa vá, rồi bổ sung biện pháp tương ứng. Nếu nguồn lây là thiết bị lưu trữ di động, bài phòng ngừa nhiễm mã độc qua USB có các bước cụ thể.

Cách ly trên điện thoại khác gì máy tính

Trên điện thoại, nguyên tắc vẫn giống: ngắt mạng trước, xử lý sau. Bật chế độ máy bay, sau đó vào phần quản lý ứng dụng để tìm ứng dụng lạ, ứng dụng có quyền quản trị thiết bị hoặc quyền trợ năng mà bạn không nhớ đã cấp. Thu hồi quyền quản trị trước rồi mới gỡ cài đặt được. Trên Android, khởi động vào chế độ an toàn giúp vô hiệu ứng dụng bên thứ ba tạm thời để gỡ dễ hơn. Nếu không gỡ được hoặc dấu hiệu quay lại, sao lưu ảnh, danh bạ rồi khôi phục cài đặt gốc là cách chắc chắn nhất.

Điểm khác là điện thoại thường giữ mã OTP và ứng dụng ngân hàng. Vì vậy sau khi làm sạch, hãy liên hệ ngân hàng để kiểm tra giao dịch và cân nhắc đăng ký lại phương thức xác thực trên thiết bị đã sạch.

Những sai lầm thường gặp khi xử lý malware

• Trả tiền chuộc với hy vọng lấy lại dữ liệu: không có gì bảo đảm, và khuyến khích tội phạm.
• Tải "công cụ diệt virus" từ quảng cáo hoặc pop-up: thường là mã độc khác.
• Chỉ xóa tệp được báo mà không kiểm tra cơ chế khởi động.
• Khôi phục ngay bản sao lưu gần nhất mà không chắc nó sạch.
• Giữ im lặng trong môi trường công ty vì sợ bị trách: chậm báo cáo khiến thiệt hại lan rộng hơn.