Niềm vui bàn giao Database BRAVO sau sự cố mã hóa .WEX

Niềm vui không phải “file đã copy xong” — mà là dữ liệu đã quay lại công việc

Trong Ransomware Recovery, một file MDF có thể đọc được chưa đồng nghĩa database đã dùng được. Kết quả chỉ có ý nghĩa khi cấu trúc SQL Server đủ ổn định, dữ liệu nghiệp vụ truy xuất được, và cuối cùng chính ứng dụng BRAVO cùng người dùng xác nhận quy trình làm việc trở lại.

“Congratz & Thanks to @TUNGTEK – Tùng Nguyễn cùng cả team đã cứu được dữ liệu và active lại chương trình của BRAVO!”

Kinh nghiệm tích lũy là lý do hiệu suất Recovery ngày càng cao

Trong thực tế Ransomware Recovery cho SQL Server, hiệu quả không chỉ đến từ một công cụ hay một decryptor. Nó đến từ khả năng đọc nhanh hiện trạng, nhận diện pattern tác động, hiểu cấu trúc dữ liệu nghiệp vụ và biết đâu là phần cần ưu tiên để đưa hệ thống trở lại trạng thái có thể kiểm chứng.

Những ca thực chiến trước đây với Mallox / TargetCompany tạo cho TUNGTEK một nền kinh nghiệm có giá trị: cách nhìn file .mdf/.ldf, cách đánh giá các vùng hỏng rời rạc, sự phụ thuộc giữa page, metadata, allocation map và dữ liệu nghiệp vụ; đồng thời hiểu rất rõ rằng attach được database chưa phải là Recovery thành công.

Vì vậy khi gặp .WEX, Ticket #1326 không được nhìn như một ca “extension mới thì mọi thứ bắt đầu lại từ đầu”. Kinh nghiệm Mallox giúp rút ngắn giai đoạn định hướng, tăng chất lượng RFC và tập trung sớm vào con đường có giá trị nhất: trích xuất → tái cấu trúc → Validation thực tế bằng BRAVO.

Từ kinh nghiệm thành hiệu suất

Nhận diện nhanh hơn: không dừng ở tên extension; ưu tiên pattern tác động lên SQL Server và dữ liệu thật.

RFC có trọng tâm hơn: đo vùng ảnh hưởng và đánh giá khả năng cứu theo cấu trúc Page / Extent thay vì chỉ nhìn trạng thái file.

Recovery ít vòng thử sai hơn: bảo toàn source, làm việc trên working copy và ưu tiên dữ liệu nghiệp vụ.

Validation đúng đích: kết quả cuối phải được kiểm chứng bằng BRAVO và người dùng thực tế.

Bóc tách hồ sơ kỹ thuật: một MDF lớn, nhiều vùng hỏng rời rạc

Một hình — đủ bối cảnh kỹ thuật của Ticket #1326

Hình dưới đây tổng hợp các điểm chính của case: BRAVO / SQL Server, mẫu B8R2_ABC.mdf.wex, 215 vùng ảnh hưởng, khoảng 95% dung lượng ngoài vùng mã hóa và kết quả được Validation thực tế trước khi bàn giao.

5% bị ảnh hưởng không có nghĩa “chỉ mất 5% dữ liệu” — và 95% còn lại cũng chưa chắc dùng được ngay

Với database, vị trí của vùng hỏng quan trọng không kém dung lượng. Một vùng mã hóa nhỏ nhưng rơi đúng vào metadata, allocation map, page chain, index hoặc các cấu trúc then chốt có thể làm SQL Server không attach được cả database. Ngược lại, nếu các vùng lỗi phân tán và phần lớn page dữ liệu còn hợp lệ, hướng trích xuất/tái cấu trúc có thể khả thi hơn nhiều so với việc chờ một decryptor.

Vì sao cấu trúc Page / Extent tạo ra cơ hội trích xuất?

Theo kiến trúc SQL Server, file dữ liệu .mdf/.ndf được chia thành các page 8 KiB; một extent gồm 8 page liên tiếp, tổng 64 KiB. Vì dữ liệu, index và metadata nằm trên nhiều page khác nhau, một mẫu ransomware tác động theo các vùng rời rạc có thể để lại lượng lớn page còn đọc được. Đây là cơ sở để đánh giá khả năng trích xuất thay vì chỉ nhìn trạng thái “SQL Server không attach được”. ^[5]

Recovery không làm trực tiếp trên file gốc

Hồ sơ #1326 mô tả quy trình ở mức đủ để kiểm chứng nhưng không công khai các kỹ thuật độc quyền, pattern nội bộ hay công cụ proprietary của TUNGTEK.

Điểm mạnh nhất của Ticket #1326: Validation bằng chính BRAVO

Hồ sơ đặt điều kiện rõ: khách hàng kiểm tra trực tiếp dữ liệu phục hồi trên máy chủ TUNGTEK trước nghiệm thu. Đối với BRAVO, việc kiểm tra được thực hiện thông qua phối hợp cài đặt/cấp phép tạm thời và quy trình cần thiết theo sự ủy nhiệm của khách hàng.

Đây cũng là lý do TUNGTEK luôn tách hai khái niệm: tỷ lệ cấu trúc/byte còn khả dụng và tỷ lệ dữ liệu nghiệp vụ thực sự dùng được.

.WEX: dấu hiệu rất đáng chú ý của WeaXor/Mallox — nhưng không nên gán family chỉ từ extension

LevelBlue SpiderLabs công bố ngày 17/04/2025 rằng WeaXor là một phiên bản sửa đổi của Mallox và các mẫu họ thu thập gắn hậu tố .wex vào file bị mã hóa. SpiderLabs đồng thời ghi nhận C2, ransom note “RECOVERY INFO”, webchat Onion và một số hash mẫu. ^[1]

Với hệ sinh thái Mallox/TargetCompany, Unit 42 và SentinelOne đều ghi nhận trọng tâm tấn công vào Microsoft SQL Server / ODBC exposed ra Internet, bao gồm brute force mật khẩu yếu, PowerShell/WMI sau khi truy cập được, cố dừng dịch vụ SQL, xóa cơ chế khôi phục và trong một số chiến dịch có hành vi đánh cắp dữ liệu trước khi mã hóa. ^{[2] [3]}

Trend Micro cũng liệt kê .mdf, .sql, file backup và nhiều định dạng hạ tầng trong nhóm extension mà các mẫu TargetCompany/Mallox nhắm tới, đồng thời ghi nhận hành vi dừng nhiều service SQL Server. ^[4]

IOC WeaXor được SpiderLabs công bố

Các chỉ báo dưới đây là IOC công khai được LevelBlue SpiderLabs quan sát trong chiến dịch WeaXor năm 2025. Không đồng nghĩa chúng xuất hiện trong Ticket #1326 nếu chưa được đối chiếu log/mẫu mã độc. Dùng cho Threat Hunting, SIEM/EDR và kiểm tra hồi cứu.

Artefact nên hunt thêm trên máy chủ SQL

Điều cần làm ngay với SQL Server / ERP sau một ca .WEX

Đừng vội “repair” file gốc khi chưa biết ransomware đã làm gì

Một database bị gắn đuôi ransomware không phải lúc nào cũng đồng nghĩa 100% nội dung đã thành ciphertext, nhưng cũng không thể đánh giá bằng mắt thường hoặc chỉ dựa vào việc đổi lại extension. Giữ nguyên source, tạo working copy, lập RFC và đo mức ảnh hưởng trước khi quyết định hướng Recovery thường là lựa chọn an toàn hơn.

Threat Intelligence & tài liệu kỹ thuật

1. LevelBlue SpiderLabs — “Proton66 Part 2: Compromised WordPress Pages and Malware Campaigns”, 17/04/2025. Xác định WeaXor là biến thể sửa đổi của Mallox, gắn .wex, công bố C2, Onion và SHA-256. Mở nguồn.
2. Palo Alto Networks Unit 42 — “Threat Group Assessment: Mallox Ransomware”. Ghi nhận Mallox nhắm MS-SQL không an toàn, brute force, PowerShell, WMI, dừng SQL service, xóa shadow copies và double extortion. Mở nguồn.
3. SentinelOne — “Mallox Resurrected | Ransomware Attacks Exploiting MS-SQL Continue to Burden Enterprises”, cập nhật 27/04/2025. Mô tả RaaS, MS-SQL/ODBC exposure, brute force, PowerShell/WMIC và payload Mallox gần đây. Mở nguồn.
4. Trend Micro Threat Encyclopedia — TargetCompany/Mallox. Ghi nhận .mdf, .sql và nhiều file hạ tầng là mục tiêu; có hành vi dừng các service liên quan SQL Server. Mở nguồn.
5. Microsoft Learn — “Page and Extent Architecture Guide – SQL Server”. Page 8 KiB; một extent gồm 8 page liên tiếp, tổng 64 KiB. Mở nguồn.

Dữ liệu case study lấy từ hồ sơ nội bộ Ticket #1326 và tài liệu nghiệm thu. Thông tin định danh khách hàng, tài khoản, hạ tầng, đường dẫn và chi tiết kỹ thuật nhạy cảm đã được lược bỏ/ẩn hóa. Các tên công ty/tên file có khả năng nhận diện được thay bằng tên giả định như ABC để bảo vệ khách hàng.