Đừng xác định họ ransomware chỉ từ phần mở rộng file
Extension và ransom note là đầu mối. Quy kết cần mẫu, hành vi và timeline có thể đối chiếu, cùng một mức tin cậy được giải thích rõ.
Cập nhật: · Giờ Việt Nam (UTC+7)
Các thông tin tham chiếu đã được đối chiếu với tài liệu nghiên cứu được dẫn. Bài giải thích phương pháp, không quy kết một sự cố cụ thể.
Một đầu mối có thể dẫn đến nhiều giả thuyết
Tên file sau sự cố là dữ liệu cần giữ lại, nhưng không phải chữ ký bất biến của mã độc. Unit 42 ghi nhận nhiều extension khác nhau trong nghiên cứu Mallox. Điều đó cho thấy ngay cả trong cùng một hồ sơ kỹ thuật, cách đặt tên có thể thay đổi.
Ngược lại, một chuỗi ký tự giống nhau có thể được sao chép. Bản ransom note cũng có thể được chỉnh sửa hoặc dùng lại. Nhận diện dựa vào một dấu hiệu duy nhất dễ biến giả thuyết ban đầu thành một kết luận quá sớm.
Bằng chứng cần đặt cạnh nhau
- Mẫu thực thi: hash, cách thu thập, cấu trúc và kết quả phân tích trong môi trường kiểm soát.
- Tệp trước và sau ảnh hưởng: kích thước, cấu trúc, vùng thay đổi và metadata.
- Hành vi: tiến trình, đăng nhập, truy cập mạng, lệnh và thay đổi cấu hình.
- Timeline: đối chiếu nhiều nguồn thời gian và ghi rõ múi giờ.
- Nguồn bên ngoài: báo cáo kỹ thuật có mẫu, thời điểm và phương pháp rõ ràng.
Bốn mức tin cậy phải đi cùng lý do
Đã xác nhận (Confirmed) dùng khi bằng chứng kỹ thuật đủ mạnh và có thể đối chiếu. Có khả năng (Probable) là giả thuyết được nhiều dấu hiệu hỗ trợ nhưng còn thiếu bằng chứng quyết định. Chưa xác nhận (Unconfirmed) dùng cho đầu mối chưa được kiểm chứng. Chưa xác định (Unknown) là khi chưa thể đưa ra giả thuyết đủ tin cậy.
Mức tin cậy phải gắn với một kết luận cụ thể. Một hồ sơ family đã có nguồn xác nhận không có nghĩa mọi tệp mang extension liên quan đều thuộc family đó.
Nhận định kỹ thuật
Ưu tiên khoanh vùng hệ thống bị ảnh hưởng và bảo toàn chứng cứ trước khi tranh luận về tên gọi. Ngay cả khi chưa xác định family, đội phản ứng vẫn có thể kiểm tra tài khoản, đánh giá bản sao lưu và chuẩn bị môi trường phục hồi sạch.
Nguồn tham khảo
Ngày đối chiếu nguồn: 04/10/2026. Nội dung nguồn có thể được cập nhật sau thời điểm này.
Lịch sử cập nhật
· Xuất bản bản đầu, ghi nguồn và giới hạn xác minh.
Chính sách sửa bài
