Chống mã hoá tống tiền cho máy kế toán: lấy lại 175/175 tệp (thử thật)

Mã độc tống tiền (ransomware) mã hoá mọi tệp nó với tới được rồi để lại thư đòi tiền chuộc. Với máy kế toán, đó là sổ sách, hoá đơn điện tử, bảng lương và cả tệp sao lưu để ngay trên máy. Trả tiền chưa chắc đã lấy lại được dữ liệu. Cách chắc ăn hơn là có một bản sao lưu mà mã độc không với tới.

Để xem Cloud Backup của CloudNest có làm được việc đó không, chúng tôi dựng một máy kế toán Windows 10 với 175 tệp, bật sao lưu, rồi tự mã hoá toàn bộ dữ liệu. Sau đó chúng tôi đóng vai kẻ đã chiếm quyền admin: gỡ phần mềm sao lưu và xoá sạch máy. Bài này ghi lại từng bước kèm số đo thật để bạn làm theo trên máy của mình.

1. Kết quả thử thật

Máy thử là một VPS Windows 10 Pro (2 vCPU, 4 GB RAM) tạo riêng cho bài này. Thư mục C:\KeToan có 175 tệp, 61,1 MB: 160 hoá đơn điện tử XML, 5 sổ CSV mỗi sổ 4.000 dòng, 9 tệp .xlsx, .pdf, .docx và một tệp sao lưu 48 MB. Toàn bộ là dữ liệu giả lập, không có dữ liệu của khách hàng nào.

2. Vì sao bản sao lưu hay mất cùng dữ liệu

Mã độc chạy bằng quyền của người đang dùng máy. Nơi nào người đó ghi được thì mã độc cũng mã hoá được: ổ D, ổ USB đang cắm, thư mục chia sẻ trong mạng nội bộ, và tệp sao lưu để ngay trên máy.

Trong lần thử, DuLieuKeToan_SaoLuu_10-11-2026.zip là tệp sao lưu 48 MB nằm cùng thư mục sổ sách. Nó bị mã hoá cùng lúc với mọi tệp khác.

Một bản sao lưu chỉ cứu được bạn khi có đủ 4 điều sau:

Nguyên tắc chung về số bản và nơi cất xem ở bài quy tắc sao lưu 3-2-1. Phần dưới làm từng bước với Cloud Backup.

3. Cài Cloud Backup lên máy kế toán

Cloud Backup sao lưu thư mục và cơ sở dữ liệu lên kho của CloudNest. Gói nhỏ nhất 20 GB giá 29.000đ/tháng, dùng chung cho tối đa 10 máy. Mỗi máy cài một phần mềm nhỏ chạy nền.

1. 1Mua gói trên Portal (xem các gói ở trang Cloud Backup). Mua xong bạn có một kho.
2. 2Vào Portal › Cloud Backup, chọn kho, bấm Thêm máy, đặt tên dễ nhận ra, ví dụ may-ke-toan.
3. 3Portal hiện một dòng lệnh. Bấm chép.
4. 4Trên máy kế toán, bấm chuột phải nút Start › Windows PowerShell (Admin). Lệnh cần quyền Administrator.
5. 5Dán lệnh, nhấn Enter. Máy thử cài xong trong khoảng 15 giây.

PS C:\WINDOWS\system32> powershell -NoProfile -ExecutionPolicy Bypass -Command "…/install/‹mã›/windows.ps1…"
# dòng lệnh chép từ Portal (rút gọn); ‹mã› là mã riêng, dùng một lần
Dang tai phan mem...
[1/5] Kiem tra quyen va tep cai dat
[2/5] Chep tep vao C:\Program Files\CloudNest Backup
[3/5] Dang ky may voi may chu
[4/5] Ghi cau hinh C:\ProgramData\CloudNest Backup\agent.json
[5/5] Dang ky va chay dich vu
Da cai xong CloudNest Backup.
  Ma may:     ••••••••-••••-••••-••••-••••••••••••
  Thu muc:    C:\Program Files\CloudNest Backup
  Cau hinh:   C:\ProgramData\CloudNest Backup\agent.json
  Nhat ky:    C:\ProgramData\CloudNest Backup\agent.log
Mo trang quan ly de chon thu muc, CSDL va lich sao luu cho may nay.

Cài xong, Portal hiện máy ở trạng thái Đang kết nối. Phần mềm chạy thành dịch vụ cloudnest-backup và tự bật cùng Windows.

4. Chọn thư mục, lịch và số ngày giữ bản

Ở tab Thiết lập của máy, chọn thư mục cần sao lưu. Máy thử chọn C:\KeToan. Phần mềm kế toán của bạn lưu dữ liệu và tệp sao lưu ở đâu thì chọn thư mục đó.

Bấm Sao lưu ngay để có bản đầu tiên, không cần chờ lịch. Máy thử gửi 175 tệp, 61,1 MB trong 14,5 giây. Các lượt sau chỉ gửi phần đã đổi: sáng hôm sau, lượt sao lưu 175 tệp không đổi nội dung chạy 3,7 giây và thêm chưa tới 1 MB vào kho.

Một lượt hỏng chỉ hiện trong Lịch sử. Hỏng 3 lượt liền thì Portal gửi thư báo cho bạn.

5. Khi bị mã hoá: bản cũ vẫn nguyên

23:19, đoạn lệnh giả lập mã hoá 175 tệp trong 2,1 giây. Lượt sao lưu kế tiếp lúc 23:20 làm đúng việc của nó: chép thư mục như đang thấy, tức 175 tệp .locked và 11 thư đòi tiền. Bản đó vô dụng, nhưng nó là bản mới, không ghi đè bản 23:16.

Đây là chỗ khác giữa sao lưu nhiều bản và đồng bộ thư mục. Đồng bộ giữ cho bản trên mây giống hệt máy, nên khi máy bị mã hoá thì bản đồng bộ cũng thành tệp .locked.

6. Lấy lại bản trước khi bị mã hoá

Nếu chưa chắc máy đã sạch mã độc, hãy làm theo mục 7 (cài lại trên máy sạch) rồi mới lấy lại dữ liệu. Khôi phục lên máy còn mã độc thì dữ liệu có thể bị mã hoá lần nữa.

Có hai cách lấy lại. Cả hai đều bắt đầu ở Portal › Cloud Backup › chọn máy › tab Khôi phục, chọn bản có giờ trước lúc bị mã hoá (máy thử: 23:16 · 175 tệp).

Cách 1: Tải về qua trình duyệt

Hợp khi cần lấy vài thư mục hoặc vài tệp, hoặc khi máy kế toán chưa dùng được. Làm được trên bất kỳ máy nào đăng nhập được Portal.

1. 1Bấm Xem tệp ở bản cần lấy.
2. 2Tích thư mục hoặc tệp cần lấy, bấm Tải về. Một tệp thì tải nguyên tệp; thư mục hoặc nhiều mục thì được gói thành một tệp .zip. Link tải chỉ dùng được một lần, trên trình duyệt đang đăng nhập.
3. 3Giải nén, rồi chép các tệp về chỗ cần dùng.

Thử thật: tải thư mục SoSach về một máy tính khác (máy Mac) được tệp SoSach.zip 48,3 MB. Giải nén ra đủ 6 tệp, giữ nguyên giờ sửa 23:13–23:14 của tối hôm trước.

Cách 2: Khôi phục về máy rồi chép về chỗ cũ

Hợp khi lấy lại cả thư mục lớn ngay trên máy kế toán.

1. 1Đổi tên thư mục đang bị mã hoá, ví dụ C:\KeToan thành C:\KeToan-bi-ma-hoa. Giữ lại để đối chiếu, chưa xoá vội.
2. 2Bấm Khôi phục ở bản cần lấy. Phần mềm tải bản đó về một thư mục mới trên máy, không ghi đè thứ gì. Đường dẫn hiện ở khung Dữ liệu đã khôi phục về máy, có nút chép. (Hộp Xem tệp cũng có nút Khôi phục về máy cho riêng các mục đã tích.)
3. 3Mở Windows PowerShell (Admin), chép thư mục về chỗ cũ bằng robocopy. Thay đường dẫn đầu tiên bằng đường Portal hiện cho bạn.

PS C:\WINDOWS\system32> robocopy "C:\ProgramData\CloudNest Backup\restored\20261112-073351\C\KeToan" "C:\KeToan" /E
  … robocopy in tên từng tệp kèm phần trăm (rút gọn) …

               Total    Copied   Skipped  Mismatch    FAILED    Extras
    Dirs :        11        11         0         0         0         0
   Files :       175       175         0         0         0         0
   Bytes :   61.14 m   61.14 m         0         0         0         0
   Times :   0:00:00   0:00:00                       0:00:00   0:00:00

PS C:\WINDOWS\system32> Get-ChildItem C:\KeToan -Recurse -Filter *.locked | Measure-Object
Count    : 0
  … các dòng còn lại (Average, Sum, Maximum, Minimum, Property) để trống …

robocopy trả mã 1, nghĩa là đã chép xong và không có lỗi (mã 0 là không có gì để chép, từ 8 trở lên mới là lỗi). Lệnh thứ hai đếm tệp .locked còn sót: Count : 0 là sạch.

Thư mục khôi phục nằm trong C:\ProgramData, là thư mục ẩn và chỉ quyền Administrator mới mở được, nên chép bằng PowerShell (Admin) như trên. Chỉ cần vài tệp thì dùng cách 1 cho nhanh.

Chúng tôi so mã băm SHA-256 của từng tệp với bảng băm lập trước khi mã hoá: cả 175 tệp đều khớp, cả ở thư mục khôi phục lẫn sau khi chép về C:\KeToan.

7. Kẻ tấn công xoá sạch máy: vẫn lấy lại được

Các nhóm tống tiền chuyên nghiệp thường chiếm quyền admin trước, gỡ phần mềm sao lưu, xoá bản sao lưu rồi mới mã hoá. Chúng tôi làm lại đúng việc đó trên máy thử: gỡ Cloud Backup bằng quyền admin, xoá C:\KeToan và mọi thư mục của phần mềm. Mất 1 giây.

PS C:\WINDOWS\system32> & "C:\Program Files\CloudNest Backup\bkagent.exe" uninstall
Da go CloudNest Backup khoi may nay.
Giu lai cac ban da khoi phuc o C:\ProgramData\CloudNest Backup\restored, khong can nua thi tu xoa thu muc nay.
Mot vai tep dang chay se duoc xoa o lan khoi dong lai may.
Cac ban sao luu trong kho KHONG bi xoa, quan ly tren trang.
PS C:\WINDOWS\system32> Remove-Item 'C:\KeToan' -Recurse -Force
PS C:\WINDOWS\system32> Remove-Item 'C:\ProgramData\CloudNest Backup' -Recurse -Force
PS C:\WINDOWS\system32> Remove-Item 'C:\Program Files\CloudNest Backup' -Recurse -Force
# máy không còn phần mềm sao lưu, không còn dữ liệu kế toán

Trên Portal, kho vẫn còn đủ 2 bản 23:16 và 23:20. Gỡ phần mềm trên máy không đụng tới kho. Máy chỉ có quyền gửi thêm bản mới; nhóm làm Cloud Backup đã thử 24 cách xoá, sửa, ghi đè bản trong kho bằng quyền của máy, cả 24 đều bị từ chối.

Sáng hôm sau, máy vẫn trống trơn. Cách lấy lại:

1. 1Dọn máy trước: cài lại Windows hoặc dùng máy khác, đổi mật khẩu các tài khoản trên máy.
2. 2Vào Portal › Cloud Backup, mở máy cũ, bấm Cài lại. Portal tạo dòng lệnh mới.
3. 3Dán lệnh vào Windows PowerShell (Admin) trên máy sạch. Máy thử xong trong 18 giây, nhận lại đúng tên máy và các bản cũ.
4. 4Lấy lại bản trước tấn công như mục 6. Máy thử: khôi phục 6,7 giây, chép về C:\KeToan 0,3 giây, 175/175 tệp khớp mã băm.

8. Giảm nguy cơ bị mã hoá

Sao lưu giúp lấy lại dữ liệu, không ngăn được mã độc. Vài việc nên làm thêm:

• ✓VPS mở Remote Desktop ra Internet bị dò mật khẩu cả ngày lẫn đêm. Đổi cổng (hướng dẫn) và chặn IP lạ (chặn IP bằng 1 tệp .BAT).
• ✓Mật khẩu dài, mỗi máy một mật khẩu, đổi ngay khi nghi bị lộ (đổi mật khẩu VPS Windows).
• ✓Cẩn thận tệp đính kèm giả hoá đơn, giả thông báo thuế. Tệp .zip, .rar chứa .exe, .js, .lnk là dấu hiệu lạ; hỏi lại người gửi trước khi mở.
• ✓Để Windows Update và Microsoft Defender bật.
• ✓Xem lịch sử đăng nhập định kỳ để phát hiện người lạ sớm (cách kiểm tra).
• ✓Mỗi tháng thử lấy lại một bản để chắc bản sao lưu dùng được.

Danh sách đầy đủ hơn ở bài 10 việc nên làm ngay để bảo mật VPS.

9. Hỏi đáp

Bị mã hoá rồi mới cài Cloud Backup có lấy lại được không?

Không. Cloud Backup chỉ trả lại những gì đã sao lưu trước lúc bị mã hoá. Hãy cài khi máy còn lành.

Cloud Backup có chặn được mã độc không?

Không. Nó không phải phần mềm diệt virus. Việc của nó là giữ bản sạch ở ngoài máy để bạn lấy lại; vẫn cần Defender và các việc ở mục 8.

Có nên trả tiền chuộc?

Không có gì bảo đảm kẻ tấn công sẽ đưa khoá giải mã sau khi nhận tiền. Có bản sao lưu sạch thì bạn không phải đứng trước lựa chọn đó.

Dữ liệu kế toán gửi lên kho có ai đọc được không?

Dữ liệu được mã hoá ngay trên máy trước khi gửi đi, đường truyền tới kho đi qua TLS.

Máy Windows 11 hoặc bản Home dùng được không?

Trang Cloud Backup ghi hỗ trợ Windows 10 trở lên và Windows Server 2012 R2 trở lên. Bài này thử trên Windows 10 Pro.

Phần mềm kế toán lưu dữ liệu trong SQL Server thì sao?

Ở tab Thiết lập có nút Thêm cơ sở dữ liệu. Bài này chỉ thử sao lưu thư mục; cơ sở dữ liệu nào được hỗ trợ xem ở trang Cloud Backup.

Máy kế toán hỏng hẳn thì lấy dữ liệu thế nào?

Đăng nhập Portal trên máy khác, mở bản cần lấy, bấm Xem tệp › Tải về (mục 6, cách 1). Muốn máy mới tiếp tục sao lưu vào kho cũ thì bấm Cài lại (mục 7).

Cloud Backup khác Sao lưu VPS thế nào?

Sao lưu VPS chụp nguyên ổ đĩa VPS của CloudNest (hệ điều hành, phần mềm, dữ liệu) mỗi đêm. Cloud Backup chép thư mục và cơ sở dữ liệu bạn chọn, từ máy Windows hoặc Linux nào có Internet, kể cả máy tính ở văn phòng.

Thử thật ngày 11–12/11/2026 trên Windows 10 Pro 22H2 (bản dựng 19045), phần mềm Cloud Backup 1.1.1.