Cách bảo vệ bản thân khỏi cuộc tấn công KillDisk trên Ubuntu

Trong một thời gian, người ta tin rằng ransomware hiếm khi ảnh hưởng đến các máy chạy Linux và thậm chí FreeBSD vì vấn đề đó. Thật không may, phần mềm tống tiền KillDisk hiện đã tấn công một số máy chạy hệ điều hành Linux và có vẻ như ngay cả các bản phân phối băm tài khoản gốc như Ubuntu và các vòng quay chính thức khác của nó cũng có thể dễ bị tấn công. Một số nhà khoa học máy tính đã bày tỏ quan điểm rằng nhiều mối đe dọa bảo mật ảnh hưởng đến Ubuntu bằng cách nào đó đã xâm phạm một số khía cạnh của giao diện máy tính Unity, nhưng mối đe dọa này có thể gây hại cho ngay cả những người sử dụng KDE, Xfce4, Openbox hoặc thậm chí là Ubuntu Server dựa trên bảng điều khiển hoàn toàn ảo.

Đương nhiên, các quy tắc thông thường tốt áp dụng để chống lại loại mối đe dọa này. Không truy cập các liên kết đáng ngờ trong trình duyệt và đảm bảo thực hiện quét phần mềm độc hại trên các tệp được tải xuống từ Internet cũng như các tệp từ tệp đính kèm email. Điều này đặc biệt đúng với bất kỳ mã thực thi nào mà bạn đã tải xuống, mặc dù các chương trình đến từ các kho lưu trữ chính thức sẽ nhận được chữ ký kỹ thuật số để giảm mối đe dọa này. Bạn phải luôn đảm bảo sử dụng trình soạn thảo văn bản để đọc nội dung của bất kỳ tập lệnh nào trước khi chạy nó. Trên hết, có một số bước cụ thể mà bạn có thể thực hiện để bảo vệ hệ thống của mình khỏi dạng KillDIsk tấn công Ubuntu.

Phương pháp 1: Băm ra tài khoản gốc

Các nhà phát triển của Ubuntu đã đưa ra quyết định tỉnh táo để băm tài khoản gốc và mặc dù điều này chưa được chứng minh là hoàn toàn có khả năng ngăn chặn kiểu tấn công này, nhưng đó là một trong những lý do chính khiến nó chậm gây hại cho hệ thống. Có thể khôi phục quyền truy cập vào tài khoản gốc, điều này thường xảy ra đối với những người đang sử dụng máy của họ làm máy chủ, nhưng điều này gây ra những hậu quả nghiêm trọng về bảo mật.

Một số người dùng có thể đã cấp mật khẩu sudo và sau đó cấp cho tài khoản gốc một mật khẩu mà họ thực sự có thể sử dụng để đăng nhập từ cả bảng điều khiển đồ họa và bảng điều khiển ảo. Để tắt chức năng này ngay lập tức, hãy sử dụng sudo passwd -l root để loại bỏ đăng nhập root và đưa Ubuntu hoặc spin bạn sử dụng trở lại vị trí ban đầu. Khi được yêu cầu nhập mật khẩu, bạn sẽ thực sự cần nhập mật khẩu người dùng của mình chứ không phải mật khẩu đặc biệt mà bạn đã cấp cho tài khoản gốc, giả sử rằng bạn đang làm việc từ thông tin đăng nhập của người dùng.

Đương nhiên, phương pháp tốt nhất là không bao giờ sử dụng sudo passwd để bắt đầu. Một cách an toàn hơn để xử lý vấn đề là sử dụng sudo bash để có được tài khoản root. Bạn sẽ được yêu cầu nhập mật khẩu, mật khẩu này sẽ là người dùng của bạn chứ không phải mật khẩu gốc, giả sử bạn chỉ có một tài khoản người dùng trên máy Ubuntu của mình. Hãy nhớ rằng bạn cũng có thể nhận được lời nhắc root cho các trình bao khác bằng cách sử dụng sudo theo sau là tên của trình bao đã nói. Ví dụ: sudo tclsh tạo một trình bao gốc dựa trên một trình thông dịch Tcl đơn giản.

Đảm bảo gõ exit để thoát khỏi trình bao khi bạn đã hoàn thành các tác vụ quản trị của mình, vì trình bao người dùng gốc có thể xóa bất kỳ tệp nào trên hệ thống bất kể quyền sở hữu. Nếu bạn đang sử dụng một shell như tclsh và lời nhắc của bạn chỉ đơn giản là dấu%, thì hãy thử whoami dưới dạng một lệnh tại dấu nhắc. Nó sẽ cho bạn biết chính xác người mà bạn đang đăng nhập.

Bạn cũng có thể sử dụng sudo rbash để truy cập vào một trình bao bị hạn chế không có nhiều tính năng và do đó ít có cơ hội gây ra thiệt hại hơn. Hãy nhớ rằng những điều này hoạt động tốt như nhau từ một thiết bị đầu cuối đồ họa mà bạn mở trong môi trường máy tính để bàn, môi trường đầu cuối đồ họa toàn màn hình hoặc một trong sáu bàn điều khiển ảo mà Linux cung cấp cho bạn. Hệ thống không thể phân biệt giữa các tùy chọn khác nhau này, có nghĩa là bạn sẽ có thể thực hiện những thay đổi này từ Ubuntu tiêu chuẩn, bất kỳ vòng quay nào như Lubuntu hoặc Kubuntu hoặc cài đặt Ubuntu Server mà không có bất kỳ gói màn hình đồ họa nào.

Phương pháp 2: Kiểm tra xem Tài khoản gốc có Mật khẩu Không sử dụng được không

Chạy sudo passwd -S root để kiểm tra xem tài khoản root có mật khẩu không sử dụng được hay không bất cứ lúc nào. Nếu có, thì nó sẽ đọc root L trong kết quả trả về, cũng như một số thông tin về ngày và giờ mật khẩu root bị đóng. Điều này thường tương ứng với thời điểm bạn cài đặt Ubuntu và có thể được bỏ qua một cách an toàn. Thay vào đó, nếu nó đọc root P, thì tài khoản root có mật khẩu hợp lệ và bạn cần khóa nó bằng các bước trong Phương pháp 1.

Nếu đầu ra của chương trình này đọc NP, thì bạn thậm chí cần phải chạy sudo passwd -l root để khắc phục sự cố, vì điều này cho thấy rằng không có mật khẩu gốc và bất kỳ ai kể cả tập lệnh đều có thể nhận được root shell từ một bảng điều khiển ảo.

Phương pháp 3: Xác định Hệ thống Thỏa hiệp từ GRUB

Đây là phần đáng sợ và là lý do mà bạn luôn cần sao lưu các tệp quan trọng nhất của mình. Khi bạn tải menu GNU GRUB, thường bằng cách đẩy Esc khi khởi động hệ thống của mình, bạn sẽ thấy một số tùy chọn khởi động khác nhau. Tuy nhiên, nếu bạn thấy một thông báo ghi rõ vị trí của chúng thì có thể bạn đang xem một máy bị xâm nhập.

Máy kiểm tra bị xâm nhập với chương trình KillDisk đọc một cái gì đó như:

* Chúng tôi rất xin lỗi, nhưng mã hóa

dữ liệu của bạn đã được hoàn tất thành công,

vì vậy bạn có thể mất dữ liệu của mình hoặc

Thông báo sẽ tiếp tục hướng dẫn bạn gửi tiền đến một địa chỉ cụ thể. Bạn nên định dạng lại máy này và cài đặt lại Linux trên đó. Không trả lời bất kỳ mối đe dọa nào của KillDisk. Điều này không chỉ giúp ích cho các cá nhân đang chạy các loại lược đồ này mà còn cả chương trình phiên bản Linux thực sự không lưu trữ đúng cách khóa mã hóa do có lỗi. Điều này có nghĩa là không có cách nào khác, ngay cả khi bạn phải nhượng bộ. Chỉ cần đảm bảo có các bản sao lưu sạch và bạn sẽ không phải lo lắng về việc trở thành một vị trí như thế này.