Minh họa quy trình kiểm soát và trích xuất dữ liệu
PHẠM VI TIẾP NHẬN
NAS & RAIDMáy chủHyper-V / VMwareDữ liệu doanh nghiệp
👿 01 — DỊCH VỤ
Mỗi hệ thống. Một hướng tiếp cận phù hợp.
Khả năng trích xuất phụ thuộc mức độ mã hóa, tình trạng thiết bị và dữ liệu còn lại. Phương án được xác định sau RFC.
01
NAS & RAID
Đánh giá cấu trúc lưu trữ, tình trạng ổ đĩa và vùng dữ liệu còn khả dụng trên hệ thống nhiều ổ.
SynologyQNAPRAID
02
Máy chủ & máy ảo
Phân tích mức độ ảnh hưởng đến máy chủ, tệp đĩa ảo và khả năng trích xuất dữ liệu theo hiện trạng.
Hyper-VVMware / ESXi
03
Dữ liệu doanh nghiệp
Ưu tiên tài liệu, cơ sở dữ liệu và bản sao lưu thiết yếu. Kiểm tra khả năng sử dụng trước khi bàn giao.
Tệp công việcCơ sở dữ liệu
MIỄN PHÍ
👿 02 — RFC · RANSOMWARE FAST CHECK
Báo cáo kỹ thuật trước mọi quyết định.
RFC là dịch vụ đánh giá nhanh do TUNGTEK thực hiện miễn phí cho nạn nhân ransomware. Mục tiêu không phải đưa ra một lời hứa vội vàng, mà tạo lập cơ sở kỹ thuật đủ rõ để doanh nghiệp lựa chọn bước tiếp theo an toàn và có trách nhiệm.
ĐIỂM CỐT LÕI
Trong một sự cố ransomware, câu hỏi quan trọng không chỉ là “có Key hay không”, mà là “dữ liệu còn đủ nguyên vẹn để Key tạo ra kết quả dùng được hay không”.
TUNGTEK tiếp nhận ổ Synology HAT3300-4T để phân tích RAID, filesystem và khả năng trích xuất dữ liệu mã hóa. Ca đang được phân tích; chưa xác định ransomware family hoặc công bố kết quả phục hồi.
PIZ-2026 / Pizhon-tracked | Phân tích chuyên sâu từ TEKLab. 8 ticket, các mức tiền chuộc 2k–12k USD, entropy, IOC/TTP và hướng Ransomware Recovery dựa trên bằng chứng.
Hồ sơ ẩn danh của một đại lý ô tô lớn và kinh nghiệm TUNGTEK từng xử lý 4 ca .encrypt tại TEKLab. Tìm hiểu cách đánh giá NAS, bảo toàn hiện trạng và kiểm tra dữ liệu.
Technical companion từ sự cố IDCF Cloud: phân biệt snapshot, backup và replication; chuỗi phục hồi SQL Server, kiến trúc 3-2-1-1-0 và checklist doanh nghiệp.
Ngắt kết nối mạng hoặc phối hợp với IT để cô lập thiết bị, hạn chế lây lan. Dùng điện thoại hoặc thiết bị sạch để liên hệ hỗ trợ.
Lưu lại dấu vết, ghi nhận hiện trạng
Giữ thông báo đòi tiền chuộc, tên và đuôi tệp bị đổi, nhật ký nếu có. Ghi lại thời điểm phát hiện và các thao tác đã thực hiện.
Trước khi có đánh giá kỹ thuật: hạn chế thao tác ghi lên dữ liệu gốc; chưa format, reset hoặc rebuild RAID. Trao đổi với người xử lý sự cố trước khi thay đổi hiện trạng.
👿 06 — HỎI ĐÁP
Hiểu rõ trước khi trích xuất dữ liệu.
Nội dung được biên tập từ Hỏi Đáp của CuuDuLieuMaHoa.com, bổ sung tiêu chí RFC, cách gửi mẫu và nguyên tắc nghiệm thu.
Phân tích · Trích xuất · Kiểm tra dữ liệu
01Tỷ lệ thành công của TUNGTEK là bao nhiêu?
Theo thống kê nội bộ từ các phương pháp TUNGTEK đang áp dụng, tỷ lệ phục hồi tổng thể đạt hơn 90%. Đây không phải cam kết cho từng Ticket; kết quả thực tế thay đổi theo biến thể ransomware, phạm vi mã hóa, tình trạng bản sao lưu, mức độ ghi đè và dữ liệu còn lại trên thiết bị.
TUNGTEK có thể khai thác điểm yếu kỹ thuật khi phù hợp, trích xuất từ bản sao lưu bị ảnh hưởng hoặc sửa chữa những phân đoạn tệp chưa bị mã hóa.
02Thời gian phục hồi thường mất bao lâu?
RFC ban đầu thường hoàn tất trong 12–24 giờ. Phần lớn trường hợp cần khoảng 2–5 ngày để xử lý, tùy dung lượng và độ phức tạp. Dữ liệu quan trọng như cơ sở dữ liệu có thể được ưu tiên kiểm tra trước.
Dịch vụ khẩn cấp 24–48 giờ và làm việc tại trụ sở khách hàng có thể được bố trí theo yêu cầu và điều kiện thực tế.
03Tôi có cần gửi ổ đĩa đã bị mã hóa không?
Nhiều trường hợp có thể đánh giá từ xa bằng tệp mẫu và thông tin sự cố. Với hệ thống phức tạp, bản sao lưu bị mã hóa hoặc yêu cầu trích xuất từ ảnh đĩa, TUNGTEK có thể cần tiếp nhận thiết bị vật lý.
Khi tiếp nhận, thiết bị lưu trữ thường được sao chép byte-to-byte để bảo toàn phần cứng và tính nhất quán của dữ liệu gốc.
04Nếu không thể phục hồi thì sao?
TEKLab sẽ thực hiện Ransomware Fast Check (RFC) để xác định điểm yếu có thể khai thác và các hướng phục hồi thay thế. Nếu không có phương án phù hợp, khách hàng nhận báo cáo đánh giá; RFC được thực hiện miễn phí.
Không có dữ liệu dùng được, khách hàng không mất phí xử lý.
05TUNGTEK có thể xử lý những biến thể ransomware nào?
TEKLab đang lưu trữ và nghiên cứu hơn 1.000 mẫu, gồm LockBit, BlackCat/ALPHV, Akira, Royal, Play, Cl0p, Hive, NightSpire, BlackBasta, Conti, REvil, DragonForce, Mallox, BlackShrantac, XOR, Makop, WEX và nhiều biến thể khác.
Khả năng phục hồi được đánh giá riêng trên chính mẫu tệp và hiện trạng của từng Ticket; tên biến thể không phải là cam kết kết quả.
06Dữ liệu có an toàn trong quá trình phục hồi không?
Mỗi Ticket được xử lý trong môi trường biệt lập. TUNGTEK áp dụng quy trình giám sát chuỗi bằng chứng, bảo vệ dữ liệu trong quá trình truyền và lưu trữ, đồng thời có thể cung cấp tài liệu phục vụ yêu cầu pháp lý hoặc kiểm soát nội bộ.
07Quy trình làm việc diễn ra như thế nào?
Thu thập thông tin, đánh giá sự cố và thực hiện Ransomware Fast Check (RFC).
Báo cáo kết quả RFC, đề xuất phương án, chi phí và ký hợp đồng khi khách hàng đồng ý.
Thực hiện trích xuất, kiểm tra kết quả, nghiệm thu, thanh toán và bàn giao dữ liệu.
08Tôi có phải đặt cọc hoặc thanh toán trước không?
Với Ticket tiêu chuẩn, TUNGTEK không yêu cầu đặt cọc hoặc thanh toán trước. Chi phí, phạm vi dữ liệu và tiêu chí nghiệm thu được thống nhất trước khi triển khai.
Khách hàng chỉ thanh toán khi có dữ liệu dùng được theo tiêu chí đã thống nhất. Mọi chi phí riêng khác, nếu có, phải được thông báo và xác nhận trước.
09Cần gửi gì để Ransomware Fast Check nhanh hơn?
Hãy chuẩn bị ảnh thông báo đòi tiền chuộc, tên đuôi tệp bị đổi, 2–5 tệp mẫu đã mã hóa, tệp gốc tương ứng nếu còn, số lượng máy chủ/NAS và thời điểm phát hiện. Không gửi dữ liệu nhạy cảm trước khi hai bên thống nhất kênh tiếp nhận.
👿 07 — RANSOMWARE RECOVERY · QUỐC TẾ
Cảnh báo quốc tế. Bối cảnh cho Việt Nam.
Tóm tắt nguồn công khai quốc tế, giúp doanh nghiệp nhận diện rủi ro và chuẩn bị ứng phó.
Cập nhật nội dung:
Cảnh báo SharePoint & Windows ServerNguồn công bố
Warlock: từ SharePoint đến phát tán qua SYSVOL
Ngày 01/10/2026, Symantec và Carbon Black cho biết Longlegs (Storm-2603) đã tấn công ít nhất bốn tổ chức trong hai tháng, gồm đơn vị cấp nước, viễn thông, chính quyền khu vực và đại học. Nhóm tiếp tục dùng SharePoint tại chỗ làm đường vào, đặt web shell, lấy khóa ASP.NET, mở tunnel VS Code và dùng driver dễ tổn thương để làm suy yếu bảo vệ. Trong một vụ, công cụ tắt AV/EDR được đẩy tới ít nhất 40 máy trong khoảng hai giờ; Warlock sau đó xuất hiện trên ít nhất 33 máy qua SYSVOL. Đây là quan sát của nhóm nghiên cứu; nạn nhân không được nêu tên.
Việc nên làm: Vá SharePoint phơi Internet, bật AMSI, xoay khóa ASP.NET theo Microsoft. Rà web shell trong LAYOUTS, tunnel VS Code và tệp lạ ở SYSVOL; cô lập máy nghi nhiễm và bảo toàn bằng chứng.
FortiMail: lỗi ghi tệp không cần đăng nhập đang bị khai thác
Ngày 01/10/2026, Fortinet công bố CVE-2026-104286 (CVSS 9,8), cho phép người chưa đăng nhập ghi tệp tùy ý qua HTTP/HTTPS. Hãng xác nhận đã có khai thác thực tế nhưng không nêu ngày bắt đầu hoặc liên hệ ransomware. Các bản bị ảnh hưởng: 8.0.0–8.0.1, 7.6.0–7.6.6, 7.4.0–7.4.8 và 7.2.0–7.2.9. Advisory vẫn ghi bản sửa 8.0.2/7.6.7/7.4.9 là sắp phát hành; cần áp dụng biện pháp giảm thiểu ngay.
Việc nên làm: Tắt IBE theo hướng dẫn hãng hoặc giới hạn webmail vào mạng riêng tin cậy. Đối chiếu IOC, lưu log và rà tài khoản lưu trữ từ xa bất thường; theo dõi bản vá đúng nhánh.
Microsoft: khoảng trễ vá lỗi mở rộng cửa sổ tấn công
Báo cáo Digital Defense Report 2026 công bố ngày 01/10 cho biết trung vị từ phát hiện lỗ hổng ngoài thực tế đến vũ khí hóa đã xuống dưới 24 giờ; xử lý lỗi nghiêm trọng trên tài sản phơi lộ Internet có thể mất 30–60 ngày. Trong nhóm năm CVE dẫn đầu được phân tích, CVE-2020-1472 chiếm 58% phát hiện, dù đã công bố từ năm 2020. Đây là số liệu trong phạm vi quan sát của Microsoft, không phải thống kê số vụ ransomware.
Việc nên làm: Kiểm kê hệ thống phơi lộ Internet, ưu tiên vá theo khả năng bị khai thác; giảm quyền quản trị, kết nối log danh tính–máy chủ–cloud và diễn tập phục hồi.
TerminalFix: lừa chạy lệnh để mở tunnel, chưa ghi nhận mã hóa
Ngày 30/09/2026, Sophos mô tả STAC4924: mồi TerminalFix dụ người dùng chạy lệnh trong Windows Terminal, rồi dùng DLL sideloading và Lorem Ipsum Loader cài tunnel Python qua WebSocket mã hóa. Tunnel cho phép truy cập tài nguyên mạng nội bộ. Chiến dịch được quan sát từ ít nhất tháng 03, tiếp tục tới tháng 09; ngày công bố không phải ngày bắt đầu sự cố. Sophos nhận định dấu vết hỗ trợ liên hệ GOLD VICTOR, nhóm từng liên quan Vice Society/Rhysida, nhưng chưa thấy mã hóa dữ liệu trong STAC4924.
Việc nên làm: Huấn luyện nhân viên không chạy lệnh do trang web yêu cầu. Rà DLL cạnh phần mềm hợp pháp, tác vụ tự khởi động và tunnel bất thường; cô lập máy nghi nhiễm, bảo toàn bằng chứng.
Zimbra: email chế tác kích hoạt chèn lệnh, chưa ghi nhận ransomware
Ngày 30/09/2026, Microsoft công bố đã theo dõi khai thác CVE-2026-73570 trên Zimbra Collaboration Suite. Khi zimbra-snmp được cài và thông báo SNMP bật, email chế tác có thể kích hoạt chèn lệnh trên máy chủ Internet-facing mà không cần đăng nhập hay tương tác. Trong các vụ xác nhận, Microsoft thấy web shell, reverse shell, leo thang root, duy trì truy cập, di chuyển giữa các nút và thu thập bí mật xác thực cùng hộp thư. Một lần chuyển kho lưu trữ ra ngoài chưa được xác nhận thành công. Nguồn không ghi nhận ransomware hoặc mã hóa dữ liệu.
Việc nên làm: Nâng Zimbra lên 10.1.20 trở lên. Nếu chưa vá, gỡ zimbra-snmp, tắt thông báo SNMP và giới hạn SMTP/SNMP. Khi nghi bị khai thác, cô lập máy, bảo toàn log, rà JSP, systemd/cron/SSH key lạ; xoay khóa pre-auth, token và thông tin xác thực trên mọi nút.
Storm-3068: chiếm tài khoản rồi lấy khóa Kubernetes qua pipeline
Ngày 29/09/2026, Microsoft công bố phân tích Storm-3068 chiếm tài khoản qua quy trình tự đặt lại mật khẩu, rồi đăng ký phương thức xác thực riêng. Tác nhân tạo pipeline Azure DevOps thu thập kubeconfig chứa thông tin truy cập Kubernetes; Atera và Chisel được cài nhằm mở thêm đường truy cập từ xa. Báo cáo không nêu ngày bắt đầu sự cố và không xác nhận ransomware hay mã hóa dữ liệu.
Việc nên làm: Theo dõi đặt lại mật khẩu và thay đổi MFA; dùng MFA chống phishing cho tài khoản đặc quyền. Yêu cầu duyệt thay đổi mã, giới hạn quyền tạo/chạy pipeline và rà quyền truy cập tài nguyên cloud.
A3.003 Centum Wealth Số 2A Phan Chu Trinh, P. Tăng Nhơn Phú, TP. Hồ Chí Minh.Địa chỉ cũ: A3.003 Centum Wealth, Số 2A Phan Chu Trinh, P. Hiệp Phú, TP. Thủ Đức, TP. Hồ Chí Minh.
