Chào anh em,
Có một điều dễ quên khi hệ thống còn chạy tốt: doanh nghiệp đặt rất nhiều ký ức của mình vào dữ liệu. Những đơn hàng chưa giao, công nợ chưa đối chiếu, bản thiết kế còn dang dở. Chúng nằm yên trong các thư mục quen thuộc đến mức ít người nghĩ tới ngày không mở được nữa.
Khi ngày đó đến, câu hỏi “bao lâu thì có lại dữ liệu?” hoàn toàn dễ hiểu. Mỗi giờ chờ đều kéo theo công việc bị dừng. Người phụ trách IT cũng chịu áp lực phải làm gì đó ngay, để ít nhất mọi người thấy tình hình đang tiến triển.
Mình viết lá thư này từ việc đọc lại nghiên cứu Babuk/BabyK và suy nghĩ về cách làm nghề. Đây không phải tường thuật một ca khách hàng hay lời xác nhận đã khôi phục một hệ thống cụ thể.
Hình minh họa biên tập, không phải chứng cứ của một sự cố.
Sự im lặng của một thư mục không mở được
Một chiếc NAS có thể vẫn chạy, vẫn báo ổ bình thường, nhưng hàng loạt file mang đuôi .babyk không còn đọc được. Đối với người cần làm việc, cảm giác ấy gần như mất sạch. Đối với người xử lý, nó mới là điểm bắt đầu của những câu hỏi.
File đã bị mã hóa toàn bộ hay một phần? Có dữ liệu bị xóa không? Những thao tác sau sự cố đã thay đổi thêm điều gì? Snapshot còn không, và bản backup gần nhất thực sự mở được tới đâu?
Điều mình ngại nhất là một lời khẳng định chắc nịch được đưa ra trước khi có đủ bằng chứng. Nó khiến người sở hữu dữ liệu đặt hy vọng hoặc tuyệt vọng vào một chẩn đoán còn thiếu.
Babuk có nhiều nhánh và nhiều bản sửa đổi. Tên gọi giúp tìm tài liệu, nhưng không thay thế việc kiểm tra mẫu. Muốn chọn một cách khôi phục, phải hiểu dữ liệu đang ở tình trạng nào.
Đừng để áp lực chọn hộ thao tác
Mình hiểu sự hấp dẫn của một công cụ giải mã. Nó có giao diện, nút bấm và thanh tiến trình. So với việc ghi thứ tự ổ, chụp cấu hình, tạo ảnh đĩa rồi kiểm tra bản sao, nó cho cảm giác gần đích hơn.
Nhưng có những bước làm việc trông chậm vì chúng đang giữ lại khả năng làm lại. Một lần thử sai trên bản sao có thể bỏ đi. Một lần ghi sai lên bản nguồn duy nhất thì không có sự thoải mái ấy.
Với NAS nhiều ổ, ngay cả thứ tự ổ và thông tin RAID cũng đáng giữ cẩn thận. Chúng là phần bản đồ để đọc dữ liệu, không phải thủ tục cho đủ hồ sơ. Tự rebuild hoặc sửa filesystem khi chưa hiểu hiện trạng có thể làm thay đổi chính thứ đang cần khảo sát.
Mình thích một biên bản ngắn ghi rõ đã làm gì, vào lúc nào, trên bản nào. Sau vài lượt thử, trí nhớ không còn đáng tin bằng những dòng ghi chép đó. Người tiếp nhận sau cũng cần biết đâu là dữ liệu thu được từ nguồn, đâu là kết quả đã qua xử lý.
Một cách đặt câu hỏi trước khi chọn công cụ.
Có chìa khóa vẫn còn việc phải làm
Mã hóa có thể để lại thông tin ở dạng biến đổi có khả năng đảo ngược khi đủ điều kiện. Xóa có thể làm mất tham chiếu, còn các khối cũ tồn tại hay không tùy hệ thống và hoạt động sau đó. Nếu thông tin đã bị thay bằng dữ liệu khác không còn giữ nội dung cũ, chìa khóa giải mã không dựng lại được phần đã mất.
Hình dung đó giúp mình thận trọng với câu “trả tiền là lấy lại”. Nó bỏ qua chất lượng công cụ, trạng thái file và những hư hại không nằm trong bài toán mật mã.
Emsisoft đã nghiên cứu lỗi decryptor Babuk ở nhánh ESXi có thể làm hỏng file. Không thể lấy phát hiện đó để kết luận một NAS cụ thể cũng có lỗi tương tự. Nhưng nó đủ khiến mình coi việc thử trên bản sao là một phần công việc, kể cả khi công cụ do kẻ tấn công cung cấp.
Ở chiều ngược lại, một số trường hợp Babuk từng có cơ hội giải mã miễn phí nhờ khóa được thu hồi, chẳng hạn Tortilla. Cơ hội ấy phụ thuộc biến thể và khóa; nó không mở được tất cả file chỉ vì cùng đuôi.
Lấy lại file và trở lại làm việc
Giả sử đã trích xuất được một cơ sở dữ liệu. Đó là tin đáng mừng, nhưng người dùng cần số liệu của họ còn nhất quán, phần mềm còn chạy và công việc tiếp tục được. Mở được file chưa trả lời hết các câu hỏi ấy.
Mình muốn báo cáo khôi phục nói rõ phần đã kiểm tra và phần chưa kiểm tra. Không phải để đẩy trách nhiệm đi, mà để người nhận biết họ có thể dựa vào điều gì. Một câu “đã xong” quá sớm đôi khi khiến cả nhóm bỏ qua bước nghiệm thu cần thiết.
Và dù phục hồi tốt, chuyện dữ liệu có bị sao chép ra ngoài hay đường xâm nhập còn tồn tại vẫn cần xử lý riêng. Hệ thống chạy lại không tự giải quyết mọi hậu quả của sự cố.
Một việc nhỏ cho tuần tới
Nếu đang quản trị backup, thử chọn một bộ dữ liệu và phục hồi sang môi trường khác. Mở ứng dụng, đối chiếu nội dung, đo thời gian và ghi lại những quyền truy cập cần thiết. Khi hệ thống chính ngừng hoạt động, những thứ tưởng nhỏ như tài khoản hoặc khóa của bản backup có thể trở thành chỗ vướng lớn.
Mình mong người làm IT có thể nói “cần thêm thời gian kiểm tra” mà không bị hiểu là đang chậm trễ. Đổi lại, chúng ta cần giải thích rõ thời gian ấy đang dùng để giữ gì và xác minh gì.
Cuối tuần, điều mình nghĩ tới nhiều hơn một decryptor mới là khả năng giữ bình tĩnh trước nút bấm. Dữ liệu của người khác nằm trong tay mình thì mỗi bước thử cần để lại một đường lui. Có đường lui, ngày mai còn cơ hội làm tiếp.
Chúc anh em một tuần làm việc yên ổn, và một bản backup có thể phục hồi được thật.
Tùng TEK — TUNGTEK | IT & Data Recovery
Tham khảo: Babuk/BabyK trên NAS và những giới hạn của decryptor — Ransomware.VN.