# Playbook ứng phó sự cố mã độc tống tiền (Ransomware)

> Playbook ứng phó · Vai trò: SOC / Ứng cứu sự cố · Mức độ: Trung cấp · Thời gian ước tính: 90 phút
> Nguồn: https://news.huecybersec.xyz/cam-nang/ung-pho-su-co-ransomware · Cập nhật: 2026-11-13

## 1. Mục tiêu

Trình tự xử lý khi phát hiện mã độc mã hoá dữ liệu: khoanh vùng nhanh, bảo toàn chứng cứ, loại bỏ điểm xâm nhập và khôi phục từ bản sao lưu sạch.

## 2. Khi nào áp dụng

Áp dụng khi máy trạm/máy chủ xuất hiện tệp bị đổi đuôi hàng loạt, ghi chú đòi tiền chuộc, bản sao lưu bóng (shadow copy) bị xoá hoặc cảnh báo EDR về hành vi mã hoá.

## 3. Quy trình thực hiện

### 3.1. Chuẩn bị (trước sự cố)

_Mục tiêu: Bảo đảm có thể khôi phục mà không phải trả tiền chuộc_

- [ ] **[BẮT BUỘC]** Duy trì bản sao lưu ngoại tuyến (offline) hoặc bất biến, được mã hoá, và diễn tập khôi phục định kỳ [1]
- [ ] Lập kế hoạch ứng cứu sự cố có danh sách đầu mối liên hệ (kỹ thuật, lãnh đạo, pháp chế, cơ quan chức năng) bản in giấy [1][2]
- [ ] **[BẮT BUỘC]** Bắt buộc MFA cho VPN, RDP, email và tài khoản quản trị; không mở RDP trực tiếp ra Internet [1][3]
- [ ] Ưu tiên vá các lỗ hổng trên thiết bị biên đang bị khai thác (danh mục CISA KEV) [1]

### 3.2. Phát hiện & phân tích

_Mục tiêu: Xác định phạm vi ảnh hưởng_

- [ ] **[BẮT BUỘC]** Xác định các hệ thống bị ảnh hưởng và cô lập ngay khỏi mạng (rút cáp/tắt Wi-Fi, chặn trên switch); chỉ tắt nguồn khi không thể ngắt mạng [1]
- [ ] Không xoá ghi chú tiền chuộc và tệp bị mã hoá; chụp ảnh màn hình, ghi lại tên biến thể và địa chỉ liên hệ của kẻ tấn công [1]
- [ ] Thu thập ảnh bộ nhớ (RAM) và nhật ký trên máy đang chạy trước khi khởi động lại [1][2]
- [ ] Kiểm tra bản sao lưu bóng còn hay đã bị xoá [1]
  ```
  vssadmin list shadows
  ```
- [ ] Rà đăng nhập bất thường 48 giờ gần nhất (4624 thành công, 4625 thất bại, 4672 quyền đặc biệt) [2]
  ```
  Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4624,4625,4672; StartTime=(Get-Date).AddDays(-2)} | Select-Object TimeCreated,Id,Message -First 100
  ```
- [ ] **[BẮT BUỘC]** Thông báo lãnh đạo, bộ phận pháp chế và cơ quan chức năng có thẩm quyền theo quy định [1]

### 3.3. Ngăn chặn

_Mục tiêu: Chặn lây lan và cắt kênh điều khiển_

- [ ] Vô hiệu hoá tạm thời VPN/truy cập từ xa và chặn các IOC (IP, tên miền C2) đã biết trên tường lửa, proxy [1]
- [ ] **[BẮT BUỘC]** Đặt lại mật khẩu tài khoản quản trị, tài khoản dịch vụ và tài khoản bị lộ; thu hồi phiên đăng nhập; với AD đặt lại mật khẩu krbtgt hai lần [1]
- [ ] Rà cơ chế bám trụ: tác vụ theo lịch, dịch vụ mới, GPO bị sửa, khoá Run [1][2]
  ```
  Get-ScheduledTask | Where-Object {$_.State -ne 'Disabled'} | Select-Object TaskName,TaskPath,State
  ```

### 3.4. Loại bỏ & khôi phục

_Mục tiêu: Đưa hệ thống trở lại an toàn_

- [ ] **[BẮT BUỘC]** Dựng lại hệ thống từ image sạch đã biết; không khôi phục lên máy còn dấu vết xâm nhập [1]
- [ ] Kiểm tra bản sao lưu không chứa mã độc trước khi khôi phục; ưu tiên hệ thống thiết yếu [1]
- [ ] Vá lỗ hổng/điểm xâm nhập ban đầu trước khi kết nối lại mạng [1][2]
- [ ] Giám sát tăng cường ít nhất 30 ngày sau khôi phục để phát hiện tái nhiễm [2]

### 3.5. Sau sự cố

- [ ] Họp rút kinh nghiệm, cập nhật kế hoạch ứng cứu và danh mục kiểm soát [2]
- [ ] Lưu trữ chứng cứ, dòng thời gian sự cố và báo cáo theo yêu cầu pháp lý [2]

## 4. Kho lệnh tham khảo

> Chạy trên hệ thống được phép, với quyền phù hợp; đọc kỹ lệnh trước khi chạy.

**Kết nối mạng đang mở kèm tiến trình** (Windows)
```
Get-NetTCPConnection -State Established | Select-Object LocalAddress,LocalPort,RemoteAddress,RemotePort,OwningProcess
```

**Dịch vụ tự khởi động kèm đường dẫn** (Windows)
```
Get-CimInstance Win32_Service | Where-Object {$_.StartMode -eq 'Auto'} | Select-Object Name,PathName,StartName
```

**Cô lập máy: chặn toàn bộ kết nối ra ngoài** (Windows) — Thay đổi hệ thống — cần quyền quản trị, chỉ dùng khi quyết định cô lập; gỡ bằng Remove-NetFirewallRule -DisplayName 'IR-Isolate-Outbound'
```
New-NetFirewallRule -DisplayName 'IR-Isolate-Outbound' -Direction Outbound -Action Block
```

## 5. Tài liệu tham khảo

[1] CISA — #StopRansomware Guide. https://www.cisa.gov/stopransomware/ransomware-guide
[2] NIST — SP 800-61 Rev. 3 — Incident Response Recommendations and Considerations for Cybersecurity Risk Management. https://csrc.nist.gov/pubs/sp/800/61/r3/final
[3] NCSC (Vương quốc Anh) — Mitigating malware and ransomware attacks. https://www.ncsc.gov.uk/guidance/mitigating-malware-and-ransomware-attacks

---
Tài liệu do HueCA-CYBER tổng hợp. Ghi rõ nguồn khi sử dụng lại.