Cứu dữ liệu file .L0CK3D
Kiểm tra các file bị ransomware C3RB3R mã hoá (.L0CK3D, .LOCK3D): mỗi file còn bao nhiêu dữ liệu nguyên vẹn, và lấy lại phần đó.
Kéo các file .L0CK3D vào đây
hoặc
Chọn được nhiều file cùng lúc. Chọn thêm lần nữa để bổ sung vào danh sách.
Có giải mã được file .L0CK3D không?
Hiện tại là không, nếu không có khoá. Lý do nằm ở cách C3RB3R mã hoá, đã được các nạn nhân dịch ngược và công bố chi tiết:
- Mỗi file có một khoá riêng. Dữ liệu được mã hoá bằng thuật toán ChaCha8 với khoá 32 byte sinh ngẫu nhiên cho từng file.
- Khoá của file được khoá thêm một lớp. Khoá file được mã hoá bằng AES-256 với một khoá phiên, rồi ghi vào phần đuôi của chính file đó.
- Khoá phiên được khoá bằng khoá của kẻ tấn công. Mỗi lần chạy, mã độc tạo một khoá phiên mới từ bộ sinh số ngẫu nhiên của hệ thống, rồi mã hoá nó bằng khoá công khai của kẻ tấn công. Chỉ người giữ khoá bí mật tương ứng mới mở ra được.
- Bản rõ của khoá phiên chỉ nằm trong bộ nhớ. Khi đang mã hoá, khoá phiên nằm trong bộ nhớ của tiến trình mã độc. Khi chạy xong, tiến trình tự xoá khoá. Một nạn nhân có máy chạy liên tục 149 ngày, không khởi động lại, đã quét toàn bộ bộ nhớ mà không còn tìm thấy khoá.
Vì vậy chỉ có hai cách giải mã: lấy khoá phiên từ bộ nhớ khi mã độc đang chạy (đã có hai nạn nhân làm được, thường phải phát hiện trong khoảng 1–2 giờ đầu), hoặc có được khoá bí mật của kẻ tấn công. Khoá phiên của máy này không mở được file của máy khác. Đến nay chưa ai tìm ra điểm yếu trong cách tạo hay cách gói khoá.
Vì sao vẫn cứu được dữ liệu?
Để chạy nhanh, C3RB3R không mã hoá trọn mọi file. Tuỳ kích thước, nó chỉ mã hoá một phần, và ghi lại cách đã làm vào 588 byte cuối mỗi file, kèm kích thước gốc. Công cụ đọc phần này để biết chính xác đoạn nào đã bị mã hoá, đoạn nào còn nguyên.
| Kích thước file gốc | Phần bị mã hoá | Phần còn nguyên |
|---|---|---|
| Từ 1 MB trở xuống | Toàn bộ | Không có |
| 1–5 MB | 1 MB đầu file | Phần còn lại, khoảng 20–80% |
| Trên 5 MB | 3 đoạn ở đầu, giữa và cuối file, thường mỗi đoạn 4% | Thường khoảng 88% |
Khả năng cứu theo loại file
| Loại file | Thường lấy lại được |
|---|---|
| Nhạc (MP3, FLAC…) | Phần lớn bài nhạc, chỉ mất vài đoạn ngắn |
| Video (MKV, TS, AVI…) | Phần lớn nội dung |
| Video MP4, MOV | Dữ liệu hình còn, nhưng phần đầu và cuối file (chứa thông tin cấu trúc) bị mất; cần phần mềm sửa video cùng một video mẫu quay từ cùng máy |
| Ảnh RAW (CR2, NEF, ARW, DNG…) | Thường lấy được ảnh JPEG xem trước cỡ lớn nhúng bên trong |
| Ảnh JPEG, HEIC | Ảnh chính khó cứu vì phần đầu bị mã hoá; đôi khi còn ảnh nhúng |
| File nén, Office (ZIP, DOCX, XLSX…) trên 1 MB | Các file con nằm trong phần còn nguyên, lấy lại bằng phần mềm sửa file nén |
| Ổ đĩa ảo (VMDK, QCOW2, IMG…) | Phần lớn dữ liệu, trích bằng phần mềm cứu dữ liệu ổ đĩa |
| Tài liệu, ảnh dưới 1 MB | Không lấy được |
Trước khi bắt đầu
- Ngắt NAS khỏi Internet: mã độc cài sẵn tác vụ tự tải lại. Xem các bước xử lý khi NAS bị mã hoá.
- Chép các file .L0CK3D cần cứu sang máy tính hoặc ổ khác, làm việc trên bản sao.
- Giữ lại file .L0CK3D gốc, phòng khi sau này có cách giải mã.
Câu hỏi thường gặp
Công cụ có giải mã được file .L0CK3D không?
Không. Phần đã bị mã hoá chỉ mở được bằng khoá, mà khoá chỉ tồn tại trong bộ nhớ của NAS khi mã độc đang chạy, hoặc nằm trong tay kẻ tấn công. Công cụ lấy lại phần dữ liệu mà mã độc không đụng tới.
Vì sao file nhỏ không cứu được?
Mã độc mã hoá trọn vẹn mọi file từ 1 MB trở xuống, gồm phần lớn tài liệu văn phòng và ảnh dung lượng nhỏ. Với những file này, cách duy nhất là lấy lại từ snapshot, bản sao lưu hoặc nguồn khác.
File đã cứu gồm những gì?
Là file có cùng kích thước file gốc: các đoạn chưa bị mã hoá được giữ nguyên, các đoạn bị mã hoá được thay bằng số 0. Nhạc, video, file nén và ổ đĩa ảo thường mở hoặc sửa được từ file này.
Nút "Gửi mẫu cho Nashub" dùng để làm gì?
Nếu bạn đồng ý, file được gửi để Nashub kiểm tra kết quả và cải thiện công cụ cho các trường hợp khác. File chỉ dùng cho mục đích này, không chia sẻ cho bên khác và được xoá sau 30 ngày. Không bấm thì không có file nào được gửi đi.
Có nên trả tiền chuộc để lấy khoá?
Không nên. Không có gì bảo đảm kẻ tấn công gửi công cụ giải mã, và tiền chuộc tiếp tay cho các đợt tấn công sau. Hãy giữ lại file .L0CK3D: nếu khoá bị lộ hoặc bị thu giữ, công cụ giải mã có thể xuất hiện sau này.
Dịch vụ nhận "giải mã .L0CK3D" có đáng tin không?
Nên hỏi rõ họ khôi phục bằng cách nào. Cách làm thật là lấy phần chưa bị mã hoá, tìm snapshot hoặc bản cũ còn sót trên ổ. Một dịch vụ khẳng định có công cụ giải mã riêng mà không có khoá thì thường là trả tiền chuộc thay khách, hoặc lừa đảo.
Diễn biến đợt tấn công và cách bảo vệ NAS: NAS Synology bị ransomware C3RB3R, làm gì ngay.