Forensic AnyDesk trong sự cố ransomware: giữ chứng cứ, dựng timeline và bảo vệ dữ liệu mã hóa

1. AnyDesk liên quan thế nào đến dữ liệu bị mã hóa?

Kẻ tấn công có thể chiếm tài khoản VPN/RDP rồi dùng AnyDesk để điều khiển GUI, tải công cụ, di chuyển file và thực thi mã độc. CISA từng ghi nhận các affiliate LockBit sử dụng AnyDesk; Huntress năm 2026 mô tả một ca Akira đưa công cụ mã hóa vào máy thông qua phiên AnyDesk. Những bằng chứng này không biến AnyDesk thành encryptor và không chứng minh mỗi ca xuất hiện AnyDesk đều là ransomware. [S1][S2]

Trong môi trường doanh nghiệp, tác động có thể trải rộng từ máy trạm tới SQL Server (MDF/LDF), NAS, shared folder, VM/ESXi, backup repository. Muốn biết dữ liệu nào còn cơ hội phục hồi, kỹ thuật viên cần tách nguồn xâm nhập, quá trình mã hóa, tình trạng lưu trữ và trạng thái bản sao dự phòng.

2. 15 phút đầu tiên: ưu tiên bảo toàn hiện trường

1. Khoanh vùng: máy nào đang bị mã hóa, NAS/share nào bị truy cập, máy nào còn sạch. Xác nhận có phiên remote đáng ngờ đang hoạt động.
2. Cô lập có đánh giá tác động: ngắt đường truy cập không an toàn theo quy trình ứng cứu. Với hệ thống phụ thuộc iSCSI, cluster, SAN, SQL Always On hoặc hypervisor, phải đánh giá trước để không làm mất thêm dữ liệu hay gây split-brain.
3. Ghi nhận thời điểm: thời gian hệ thống, múi giờ, màn hình, ransom note, phần mở rộng file, thời điểm phát hiện. Chụp/lưu đầy đủ hash của file mẫu trên bản sao, không suy ra ransomware family chỉ từ extension.
4. Giữ dữ liệu gốc: không ghi đè, không chạy chkdsk /f, không sửa BCD, không format, không tạo snapshot mới vô tội vạ trên datastore có vấn đề. Ưu tiên image/clone theo chính sách forensic.
5. Phân quyền khẩn cấp: vô hiệu hóa phiên truy cập độc hại và thay credential từ máy sạch theo kế hoạch IR; tránh đăng nhập tài khoản quản trị vào một máy còn nghi bị kiểm soát.

Lưu ý: Nếu hệ thống vẫn đang bị tấn công, ngăn thiệt hại liên tục được ưu tiên trước thu thập chứng cứ hoàn hảo. Quyết định có thể phải cân bằng hai mục tiêu này.

Bảo toàn chứng cứ trước khi phục hồi

01Cô lập phù hợp

02Thu log & service

03Dựng timeline

04Phục hồi có kiểm định

Minh họa quy trình · TEKLab by TUNGTEK

3. 6 nhóm chứng cứ quan trọng nhất

Vị trí tài liệu hãng xác nhận cho bản AnyDesk thông thường:

%APPDATA%\AnyDesk\ad.trace
%PROGRAMDATA%\AnyDesk\ad_svc.trace
%APPDATA%\AnyDesk\connection_trace.txt

connection_trace.txt nằm trong thư mục configuration files của client; tùy phiên bản và hình thức cài, vị trí có thể khác. Custom EXE/MSI thường dùng thư mục con ad_<prefix> hoặc ad_<prefix>_msi. Phải kiểm tra toàn bộ profile liên quan, không chỉ %APPDATA% của người đang login. [S3]

4. PowerShell khảo sát nhanh (chỉ đọc)

Đoạn dưới không gỡ ứng dụng, không xóa registry và không khởi tạo kết nối mạng. Chạy với quyền phù hợp, lưu output sang vị trí thu thập chứng cứ đã được phê duyệt nếu cần; ghi lại thời gian và máy thực thi.

# TUNGTEK TEKLink215 | AnyDesk Forensic Quick Check
# READ-ONLY: inventory, khong sua registry/dich vu/file
$since = (Get-Date).AddDays(-30)

Write-Host '=== AnyDesk Services ==='
Get-CimInstance Win32_Service |
  Where-Object { $_.Name -match 'AnyDesk' -or $_.PathName -match 'AnyDesk' } |
  Select-Object Name, State, StartMode, PathName | Format-List

Write-Host '=== AnyDesk Processes ==='
Get-CimInstance Win32_Process |
  Where-Object { $_.Name -match 'AnyDesk' -or $_.ExecutablePath -match 'AnyDesk' } |
  Select-Object ProcessId, Name, ExecutablePath, CommandLine | Format-List

Write-Host '=== Service Creation (Event ID 7045) ==='
Get-WinEvent -FilterHashtable @{
  LogName='System'; Id=7045; StartTime=$since
} -ErrorAction SilentlyContinue |
  Where-Object { $_.Message -match 'AnyDesk' } |
  Select-Object TimeCreated, Message | Format-List

Write-Host '=== Standard Trace Paths ==='
$roots = @("$env:ProgramData\AnyDesk")
$roots += Get-ChildItem "$env:SystemDrive\Users" -Directory -ErrorAction SilentlyContinue |
  ForEach-Object { Join-Path $_.FullName 'AppData\Roaming\AnyDesk' }
Get-ChildItem -Path $roots -Recurse -File -ErrorAction SilentlyContinue |
  Where-Object { $_.Name -match '^(connection_trace\.txt|ad.*\.trace)$' } |
  Select-Object FullName, Length, CreationTimeUtc, LastWriteTimeUtc |
  Format-Table -AutoSize

Không thấy kết quả ≠ an toàn. Script này chỉ tra theo tên/path quen thuộc, không đủ phát hiện binary đổi tên, bản portable đã xóa hoặc artifact nằm trên volume khác. Mốc CreationTime/LastWriteTime cũng có thể bị thay đổi; chỉ dùng như đầu mối để kiểm tra độc lập.

5. Dựng timeline: đừng chỉ nhìn log AnyDesk

Bắt đầu từ thời điểm file đầu tiên bị đổi tên/mã hóa, lùi dần tới các phiên truy cập: VPN → Windows login/RDP → tạo dịch vụ → AnyDesk session → file transfer → thực thi công cụ → thay đổi bảo vệ → mã hóa / exfiltration. Chuẩn hóa timestamp theo UTC và giữ cả giờ địa phương trong báo cáo để tránh kết luận sai thứ tự.

Trong ca Akira do Huntress công bố ngày 04/08/2026, AnyDesk được dùng như kênh điều khiển và chuyển file; akira.exe xuất hiện chỉ khoảng 27 giây sau giao dịch truyền file. Đó là timeline cụ thể của ca Huntress, không phải dấu hiệu IOC phổ quát cho mọi ca ransomware. [S2]

Khi có dấu hiệu khởi động vào Safe Mode, kiểm tra System/Kernel-Boot, thay đổi registry nhánh SafeBoot\Network và nhật ký service dừng/bắt đầu. Không kết luận Safe Mode độc hại nếu thiếu ngữ cảnh: người quản trị cũng có thể sử dụng để khắc phục lỗi hợp pháp.

6. Đặc biệt với SQL Server, NAS và VMware ESXi

Database MDF/LDF

Xác định dịch vụ SQL còn chạy hay không, trạng thái database, vị trí MDF/LDF, snapshot/storage, backup SQL (.bak, log backup) và log truy cập bất thường. Không attach/detach hoặc repair database nguyên bản chỉ để "thử xem có lên không". Nếu có file .piz, phải lưu mẫu có hash và kiểm tra cấu trúc đầu/cuối file, tỷ lệ entropy, các bản backup có thể đọc — không suy ra gia đình ransomware chỉ từ .PIZ.

NAS/SMB

Chụp cấu hình NAS, trạng thái volume/RAID, audit SMB (nếu có), tài khoản/quyền truy cập, snapshot và backup. Thay đổi mapping share hoặc quyền có thể cắt luồng tấn công nhưng cũng tác động tới dịch vụ đang chạy; quyết định cần được ghi thành timeline.

ESXi / VM

Phân biệt file VMDK thực sự bị mã hóa, datastore bị lỗi, mất descriptor/snapshot chain, hoặc VM không boot vì cấu hình. Lưu vmware.log, cấu trúc VMDK/flat/delta, timestamp host, event từ vCenter và ảnh gốc. Ưu tiên thao tác read-only, không consolidate/delete snapshot khi chưa hiểu chain.

7. Khi nào có thể nói AnyDesk bị hacker sử dụng?

Kết luận nên dựa trên tổ hợp chứng cứ: AnyDesk được cài ngoài lịch IT, ID bên điều khiển không thuộc allowlist, phiên kết nối trùng thời điểm hoạt động lạ, tiến trình được tạo từ phiên, tài khoản bị chiếm quyền, có dấu hiệu dịch chuyển dữ liệu hoặc thực thi mã độc. Báo cáo cần phân ba nhãn: đã xác nhận, có cơ sở nghi vấn, chưa đủ bằng chứng.

Đối với ca .PIZ của khách hàng, không công bố thông tin cá nhân, tên file gốc, địa chỉ IP/AnyDesk ID, hash mẫu hoặc sơ đồ hạ tầng nếu chưa được phép. Không công bố tỉ lệ thành công dựa trên một số extension hoặc file mẫu duy nhất.

8. Lộ trình phục hồi sau điều tra

1. Làm việc trên bản sao kiểm định được, giữ dữ liệu gốc bất biến.
2. Kiểm tra loại mã hóa, file size, cấu trúc file, vùng mã hóa, metadata và khả năng trích xuất từng phần.
3. Tìm bản sao sạch: SQL backup, VSS, NAS snapshot, backup application-aware, offsite/immutable.
4. Khôi phục thử trong môi trường cô lập, xác thực bằng mức ứng dụng (SQL DBCC CHECKDB trên bản copy, đọc sample nghiệp vụ, mở VM thử nghiệm).
5. Đóng sự cố bằng cách xử lý đường xâm nhập và persistence, rotate credential và cải thiện giám sát trước khi đưa môi trường hoạt động lại.

Kết luận TEKLab

Sự xuất hiện của AnyDesk là một đầu mối forensic, không phải phán quyết. Khảo sát đúng thời điểm, thu đúng dấu vết, giữ bản gốc và xác định thứ tự hành vi mới có cơ sở lựa chọn phương án ứng cứu và trích xuất dữ liệu mã hóa an toàn.

CuuDuLieuMaHoa.com by TUNGTEK — 0963 509 115
🇻🇳 Sự cố dữ liệu? Gọi TUNGTEK.

Nguồn đối chiếu

• [S1] CISA — LockBit (AA23-165A):https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-165a
• [S2] Huntress — Akira và Safe Mode:https://www.huntress.com/blog/akira-hits-safe-mode-ransomware-rebooting-around-edr
• [S3] AnyDesk — Trace Files:https://support.anydesk.com/what-are-trace-files
• [S4] MITRE ATT&CK T1219.002:https://attack.mitre.org/techniques/T1219/002/

Bài kỹ thuật nhằm hỗ trợ phòng vệ và ứng cứu. Không thay thế đánh giá pháp chứng trên thiết bị gốc. Hình minh họa và các ID/đường dẫn trong ví dụ không phải thông tin của khách hàng.