Hướng dẫn cô lập máy tính nhiễm độc tránh lây lan mạng nội bộ

Khi một máy tính trong văn phòng có dấu hiệu nhiễm mã độc, việc đầu tiên là cô lập nó khỏi mạng nội bộ để mã độc không lây sang máy khác hay máy chủ, đồng thời giữ nguyên trạng thái càng nhiều càng tốt để phục vụ điều tra. Cách làm đúng là ngắt kết nối mạng (rút cáp, tắt Wi-Fi hoặc cách ly bằng công cụ quản trị) chứ chưa tắt nguồn, ghi nhận thông tin, báo người phụ trách, rồi mới tiến hành rà soát và làm sạch. Bài viết hướng dẫn theo từng giai đoạn, phù hợp cả văn phòng nhỏ không có đội an ninh riêng.

Nhận diện lúc nào cần cô lập

Không phải cảnh báo nào cũng cần cô lập máy. Phần mềm diệt virus chặn một tệp tải về và đã xóa nó thường chỉ cần ghi nhận. Hãy cô lập ngay khi thấy:

• Tệp bị đổi đuôi hàng loạt, xuất hiện tệp ghi chú đòi tiền chuộc.
• Phần mềm diệt virus bị tắt và không bật lại được.
• Máy tự mở cửa sổ lệnh, con trỏ tự di chuyển, tài khoản lạ được tạo.
• Cảnh báo về mã độc đánh cắp thông tin, cửa hậu, công cụ điều khiển từ xa.
• Lưu lượng mạng tăng đột biến, máy liên tục kết nối tới nhiều máy khác trong mạng.
• Nhiều máy cùng báo một loại mã độc trong thời gian ngắn.

Giai đoạn 1: Ngắt kết nối trong vài phút đầu

1. Rút cáp mạng và tắt Wi-Fi. Với laptop, bật chế độ máy bay. Nếu máy có công cụ EDR, quản trị viên có thể dùng tính năng cách ly thiết bị (network isolation) để chặn mọi kết nối trừ kênh quản trị.
2. Không tắt nguồn ngay. Bộ nhớ RAM đang chứa thông tin về tiến trình, kết nối mạng, đôi khi cả khóa mã hóa của ransomware. Tắt máy sẽ làm mất những thông tin này. Ngoại lệ: nếu ransomware đang mã hóa tệp và bạn không có cách ngắt nào khác, tắt máy để giảm thiệt hại là lựa chọn chấp nhận được.
3. Ngắt ổ đĩa mạng và ổ sao lưu đang gắn vào máy, kể cả ổ USB.
4. Không đăng nhập tài khoản quản trị miền vào máy nghi nhiễm để "xem thử"; mật khẩu quản trị có thể bị mã độc thu thập.

Giai đoạn 2: Ghi nhận và thông báo

Trong lúc chờ người phụ trách, ghi lại bằng giấy hoặc điện thoại:

• Thời điểm phát hiện, người phát hiện, tên máy, người dùng.
• Thông báo cảnh báo (chụp màn hình bằng điện thoại).
• Những gì người dùng làm trước đó: mở email nào, cắm USB nào, tải gì.
• Những hành động đã thực hiện sau khi phát hiện.

Báo ngay cho người phụ trách IT và quản lý. Nếu nguồn lây là email, cảnh báo toàn văn phòng không mở email có tiêu đề tương tự. Các chiến dịch ransomware qua email tuyển dụng giả thường gửi cùng lúc tới nhiều người.

Giai đoạn 3: Khoanh vùng ảnh hưởng

Song song, vô hiệu hóa tạm thời hoặc đổi mật khẩu tài khoản của người dùng máy nhiễm, đặc biệt email và VPN, từ một máy sạch. Nếu có dấu hiệu mã độc đánh cắp mật khẩu, mở rộng việc đổi mật khẩu tới các tài khoản quản trị đã từng đăng nhập máy đó.

Giai đoạn 4: Thu thập và làm sạch

Với tổ chức có yêu cầu điều tra, đây là lúc thu thập bộ nhớ và ổ đĩa bằng công cụ chuyên dụng, do người có chuyên môn thực hiện. Với văn phòng nhỏ, quy trình thực tế hơn:

1. Quét toàn bộ và quét ngoại tuyến bằng phần mềm diệt virus đã cập nhật (cập nhật bằng gói tải từ máy sạch nếu máy nhiễm đang bị ngắt mạng).
2. Rà soát chương trình khởi động, tác vụ định lịch, dịch vụ, tài khoản người dùng lạ.
3. Với ransomware, mã độc điều khiển từ xa hoặc khi không chắc chắn đã sạch: cài lại hệ điều hành thay vì cố gỡ. Đây là cách duy nhất có độ tin cậy cao.
4. Khôi phục dữ liệu từ bản sao lưu đã xác nhận là sạch, không chép ngược dữ liệu từ máy nhiễm khi chưa quét.

Quy trình khôi phục sau sự cố quy mô lớn, gồm thứ tự ưu tiên hệ thống, kiểm tra tính toàn vẹn bản sao lưu và rút kinh nghiệm, được trình bày chi tiết trong bài các bước phục hồi dữ liệu sau sự cố tấn công mạng.

Giai đoạn 5: Đưa máy trở lại mạng

Chỉ kết nối lại khi: hệ điều hành đã sạch và cập nhật, phần mềm diệt virus hoạt động, mật khẩu liên quan đã đổi, nguyên nhân lây nhiễm đã được xác định và chặn. Theo dõi máy kỹ hơn trong vài tuần sau đó.

Chuẩn bị trước để cô lập nhanh hơn

• Phân đoạn mạng: tách máy chủ, máy kế toán, máy khách, thiết bị IoT ra các vùng mạng khác nhau, giới hạn kết nối giữa các vùng. Một máy nhiễm khó lan rộng khi mạng được chia nhỏ.
• Danh sách liên hệ khẩn cấp in ra giấy: IT, quản lý, nhà cung cấp dịch vụ.
• Sơ đồ mạng và danh sách máy cập nhật.
• Sao lưu ngoại tuyến theo nguyên tắc 3-2-1.
• Diễn tập ít nhất mỗi năm một lần: giả định một máy nhiễm, xem mất bao lâu để cô lập và ai làm gì.

Nguồn lây phổ biến ở văn phòng vẫn là USB và email. Hãy kết hợp với quy trình quét USB trước khi mở để giảm số lần phải cô lập máy.