แม้จะมีสายพันธุ์แรนซัมแวร์ (Ransomware) จำนวนมากและโจมตีอย่างต่อเนื่อง ผู้สร้างแรนซัมแวร์ก็ยังคงหาท่าทีใหม่ๆ เพื่อข嚇ผู้ใช้งาน
เราเคยเจอแรนซัมแวร์ที่ลบไฟล์หากไม่จ่ายค่าไถ่ภายในเวลาที่กำหนด มีตัวแปรที่ล็อกข้อมูลโดยเปลี่ยนชื่อไฟล์ ทำให้ถอดรหัสยากขึ้น แตคราวนี้ ผู้สร้างแรนซัมแวร์ Popcorn Time เลือกวิธีการที่ "ง่ายดาย" กว่า เพื่อลดความพยายามของตัวเอง หรือพูดอีกอย่างคือ "เมตตา" ต่อเหยื่อเล็กน้อย
เมื่อเร็วๆ นี้ ทีม MalwareHunterTeam ได้ค้นพบสายพันธุ์แรนซัมแวร์ใหม่ชื่อ Popcorn Time ซึ่งมีวิธีการข่มขบเงินที่แปลกประหลาด: หากเหยื่อสามารถ "แนะนำ" ไวรัสนี้ให้ผู้อื่นอีก 2 คนติดตั้ง และผู้ถูกแนะนำจ่ายค่าไถ่แล้ว เหยื่อคนแรกจะได้คีย์ถอดรหัสฟรี แต่หากไม่สามารถทำได้ เหยื่อก็ต้องจ่ายเอง ยิ่งไปกว่านั้น โค้ดที่ยังไม่สมบูรณ์อาจลบไฟล์หากผู้ใช้ใส่คีย์ถอดรหัสผิด 4 ครั้ง
จุดน่าสงสัยของแรนซัมแวร์ Popcorn Time
ไวรัสนี้มีลิงก์แนะนำ (referral link) เพื่อเผยแพร่ ตัวเหยื่อต้นทางจะได้คีย์ถอดรหัสเมื่ออีก 2 คนจ่ายค่าไถ่แล้ว แต่หากไม่จ่าย เหยื่อคนแรกต้องจ่ายเอง ตาม Bleeping Computer ระบุว่า โน้ตแรนซัมแวร์จะมี URL ชี้ไปยังไฟล์บนเซิร์ฟเวอร์ TOR ของแรนซัมแวร์ แต่ขณะนี้เซิร์ฟเวอร์ดาวน์อยู่ ทำให้ไม่ทราบว่าไฟล์จะปรากฏหรือแต่งตัวอย่างไรเพื่อหลอกให้ติดตั้ง
อีกฟีเจอร์หนึ่งที่อาจเพิ่มเข้ามาคือการลบไฟล์หากใส่คีย์ผิด 4 ครั้ง ดูเหมือนแรนซัมแวร์นี้ยังอยู่ในขั้นตอนพัฒนา จึงไม่แน่ชัดว่าท่าทีนี้มีอยู่จริงหรือเพียงแค่การหลอกลวง
วิธีการทำงานของแรนซัมแวร์ Popcorn Time
เมื่อติดตั้งสำเร็จ ไวรัสจะตรวจสอบว่าเคยรันมาบนเครื่องนี้แล้วหรือยัง ผ่านไฟล์เช่น %AppData%\been_here และ %AppData%\server_step_one หากพบไฟล์เหล่านี้ แรนซัมแวร์จะหยุดทำงานทันที หากไม่พบ จะเริ่มดาวน์โหลดรูปภาพเพื่อใช้เป็นพื้นหลังหรือเริ่มเข้ารหัสไฟล์
เนื่องจากยังอยู่ในขั้นพัฒนา Popcorn Time จึงเข้ารหัสเฉพาะโฟลเดอร์ทดสอบชื่อ Efiles บนเดสก์ท็อป ซึ่งมีไฟล์นามสกุลหลากหลาย (รายการเต็มด้านล่าง)
.1cd, .3dm, .3ds, .3fr, .3g2, .3gp, .3pr, .7z, .7zip, .aac, .aaf, .ab4, .accdb, .accde, .accdr, .accdt, .ach, .acr, .act, .adb, .adp, .ads, .aep, .aepx, .aes, .aet, .agdl, .ai, .aif, .aiff, .ait, .al, .amr, .aoi, .apj, .apk, .arch00, .arw, .as, .as3, .asf, .asm, .asp, .aspx, .asset, .asx, .atr, .avi, .awg, .back, .backup, .backupdb, .bak, .bar, .bay, .bc6, .bc7, .bdb, .bgt, .big, .bik, .bin, .bkf, .bkp, .blend, .blob, .bmd, .bmp, .bpw, .bsa, .c, .cas, .cdc, .cdf, .cdr, .cdr3, .cdr4, .cdr5, .cdr6, .cdrw, .cdx, .ce1, .ce2, .cer, .cfg, .cfr, .cgm, .cib, .class, .cls, .cmt, .config, .contact, .cpi, .cpp, .cr2, .craw, .crt, .crw, .cs, .csh, .csl, .css, .csv, .d3dbsp, .dac, .dar, .das, .dat, .dazip, .db, .db0, .db3, .dba, .dbf, .dbx, .db_journal, .dc2, .dcr, .dcs, .ddd, .ddoc, .ddrw, .dds, .der, .des, .desc, .design, .dgc, .dir, .dit, .djvu, .dmp, .dng, .doc, .docb, .docm, .docx, .dot, .dotm, .dotx, .drf, .drw, .dtd, .dwg, .dxb, .dxf, .dxg, .easm, .edb, .efx, .eml, .epk, .eps, .erbsql, .erf, .esm, .exf, .fdb, .ff, .ffd, .fff, .fh, .fhd, .fla, .flac, .flf, .flv, .flvv, .forge, .fos, .fpk, .fpx, .fsh, .fxg, .gdb, .gdoc, .gho, .gif, .gmap, .gray, .grey, .groups, .gry, .gsheet, .h, .hbk, .hdd, .hkdb, .hkx, .hplg, .hpp, .htm, .html, .hvpl, .ibank, .ibd, .ibz, .icxs, .idml, .idx, .iff, .iif, .iiq, .incpas, .indb, .indd, .indl, .indt, .inx, .itdb, .itl, .itm, .iwd, .iwi, .jar, .java, .jnt, .jpe, .jpeg, .jpg, .js, .kc2, .kdb, .kdbx, .kdc, .key, .kf, .kpdx, .kwm, .laccdb, .layout, .lbf, .lck, .ldf, .lit, .litemod, .log, .lrf, .ltx, .lua, .lvl, .m, .m2, .m2ts, .m3u, .m3u8, .m4a, .m4p, .m4u, .m4v, .map, .max, .mbx, .mcmeta, .md, .mdb, .mdbackup, .mdc, .mddata, .mdf, .mdi, .mef, .menu, .mfw, .mid, .mkv, .mlb, .mlx, .mmw, .mny, .mos, .mov, .mp3, .mp4, .mpa, .mpeg, .mpg, .mpp, .mpqge, .mrw, .mrwref, .msg, .myd, .nc, .ncf, .nd, .ndd, .ndf, .nef, .nk2, .nop, .nrw, .ns2, .ns3, .ns4, .nsd, .nsf, .nsg, .nsh, .ntl, .nvram, .nwb, .nx2, .nxl, .nyf, .oab, .obj, .odb, .odc, .odf, .odg, .odm, .odp, .ods, .odt, .ogg, .oil, .orf, .ost, .otg, .oth, .otp, .ots, .ott, .p12, .p7b, .p7c, .pab, .pages, .pak, .pas, .pat, .pcd, .pct, .pdb, .pdd, .pdf, .pef, .pem, .pfx, .php, .pif, .pkpass, .pl, .plb, .plc, .plt, .plus_muhd, .pmd, .png, .po, .pot, .potm, .potx, .ppam, .ppj, .ppk, .pps, .ppsm, .ppsx, .ppt, .pptm, .pptx, .prel, .prf, .prproj, .ps, .psafe3, .psd, .psk, .pst, .ptx, .pwm, .py, .qba, .qbb, .qbm, .qbr, .qbw, .qbx, .qby, .qcow, .qcow2, .qdf, .qed, .qic, .r3d, .ra, .raf, .rar, .rat, .raw, .rb, .rdb, .re4, .rgss3a, .rim, .rm, .rofl, .rtf, .rvt, .rw2, .rwl, .rwz, .s3db, .safe, .sas7bdat, .sav, .save, .say, .sb, .sd0, .sda, .sdf, .ses, .shx, .sid, .sidd, .sidn, .sie, .sis, .sldasm, .sldblk, .sldm, .sldprt, .sldx, .slm, .snx, .sql, .sqlite, .sqlite3, .sqlitedb, .sr2, .srf, .srt, .srw, .st4, .st5, .st6, .st7, .st8, .stc, .std, .sti, .stl, .stm, .stw, .stx, .sum, .svg, .swf, .sxc, .sxd, .sxg, .sxi, .sxm, .sxw, .syncdb, .t12, .t13, .tap, .tax, .tex, .tga, .thm, .tif, .tlg, .tor, .txt, .upk, .v3d, .vbox, .vcf, .vdf, .vdi, .vfs0, .vhd, .vhdx, .vmdk, .vmsd, .vmx, .vmxf, .vob, .vpk, .vpp_pc, .vtf, .w3x, .wab, .wad, .wallet, .wav, .wb2, .wma, .wmo, .wmv, .wotreplay, .wpd, .wps, .x11, .x3f, .xf, .xis, .xla, .xlam, .xlk, .xll, .xlm, .xlr, .xls, .xlsb, .xlsb3dm, .xlsm, .xlsx, .xlt, .xltm, .xltx, .xlw, .xml, .xqx, .xxx, .ycbcra, .yuv, .zip, .ztmp
จากนั้นแรนซัมแวร์จะค้นหาไฟล์ที่ตรงนามสกุลเหล่านี้และเข้ารหัสด้วย AES-256 ไฟล์ที่ถูกเข้ารหัสจะเติมนามสกุล .filock เช่น abc.docx กลายเป็น abc.docx.filock หลังจบการเข้ารหัส จะสร้างโน้ตแรนซัม 2 ไฟล์คือ restore_your_files.html และ restore_your_files.txt แล้วแสดงโน้ตแบบ HTML
ภาพจาก: bleepingcomputer.com
การป้องกันแรนซัมแวร์
ขณะนี้ยังไม่มีเครื่องมือตรวจจับหรือกำจัดแรนซัมแวร์ตัวนี้ที่ช่วยกู้คืนข้อมูลได้ ผู้ใช้ควรปฏิบัติการป้องกันล่วงหน้า: สำคัญที่สุดคือ สำรองข้อมูล (Backup) เป็นประจำ นอกจากนี้ ควรเล่นอินเทอร์เน็ตอย่างปลอดภัย ติดบล็อกโฆษณา ใช้แอนตี้แมลแวร์ที่น่าเชื่อถือ และอัปเดตซอฟต์แวร์/แอป/โปรแกรมให้ทันสมัย สำหรับการสำรองข้อมูลบนคลาวด์ที่ปลอดภัย แนะนำ Right Backup ซึ่งเข้ารหัสข้อมูลด้วย AES 256-bit
