ไวรัม EternalRocks ที่ค้นพบใหม่ ไม่มี Kill Switch และติดเชื้อได้สูง ใช้เครื่องมือที่รั่วไหลของ NSA และสามารถทำให้เป็นอาวุธกับแรนซัมแวร์ ทรอยจันธนาคาร หรือ RATs ได้อย่างรวดเร็ว
หลังการโจมตีแรนซัมแวร์หลายครั้งที่สร้างความวุ่นวายทั่วโลกใน 10 วันที่ผ่านมาโดย WannaCry สายพันธุ์มัลแวร์ใหม่ชื่อ EternalRocks ถูกค้นพบโดยนักวิจัยความปลอดภัย Miroslav Stampar ถูกค้นพบในวันพุธจากตัวอย่างบน Windows 7 honeypot ของเขา เมื่อติดเชื้อ
ชื่อต้นฉบับคือ "MicroBotMassiveNet" และ Stampar ตั้งชื่อว่า "DoomsDayWorm" EternalRocks รายชื่อเป็นชื่อผลิตภัณฑ์ภายใต้คุณสมบัติ Taskhost
EternalRocks แพร่กระจายด้วยการใช้ exploit SMB ทั้งหมดในการรั่วไหล รวมถึง EternalBlue ที่ WannaCry ใช้ EternalRocks ไม่ได้แค่ใช้ EternalBlue แต่ยังใช้ EternalChampion, EternalRomance, EternalSynergy, ArchiTouch, SMBTouch, และ DoublePulsar kernel exploit
EternalRocks เป็นมัลแวร์ที่ทำซ้ำตัวเอง (self-replicating) มีภัยคุกคามมากกว่า และอันตรายกว่า WannaCry แพร่ผ่านช่องโหว่ SMB (Server Message Block) หลายช่อง และใช้เครื่องมือ NSA ชื่อ EternalBlue แพร่จากคอมพิวเตอร์หนึ่งไปอีกเครื่องผ่าน Windows
ข้อสำคัญที่ควรรู้เกี่ยวกับ EternalRocks:
- ในรูปแบบปัจจุบัน 'EternalRocks' ไม่ล็อกหรือทำลายไฟล์ และไม่ใช้เครื่องที่ติดเชื้อสร้าง botnet แต่ทำให้คอมพิวเตอร์ที่ติดเชื้อเปราะบางต่อคำสั่งระยะไกล ซึ่งอาจ 'ทำให้เป็นอาวุธ' การติดเชื้อได้ทุกเมื่อ
- 'EternalRocks' แข็งแกร่งกว่า WannaCry เพราะไม่มีช่องโหว่และ Kill Switch ช่องโหว่เหล่านี้ทำให้ WannaCry ช้าและหลีกเลี่ยงได้
- 'EternalRocks' ไม่ทำอะไร 24 ชั่วโมงหลังติดเชื้อ ทำให้ยากต่อการตรวจจับ แพร่ใน 2 ระยะ ภายใน 24 ชั่วโมง
Honeypot คืออะไร?
Honeypot เป็นกลไกความปลอดภัยคอมพิวเตอร์ ตั้งขึ้นเพื่อทำหน้าที่เป็นกับดัก ดึงดูด ตรวจจับ และเบนให้แฮกเกอร์ที่พยายามเข้าถึงระบบข้อมูลโดยไม่ได้รับอนุญาต ระบุกิจกรรมอันตรายบนอินเทอร์เน็ตโดยการจับต้องข้ามและหลอกลวงผู้โจมตีไซเบอร์โดยเจตนา
EternalRocks แตกต่างจาก WannaCry อย่างไร?
แม้ EternalRocks ใช้เส้นทางและช่องโหว่เดียวกันโจมตีระบบ Windows แต่กล่าวว่าอันตรายกว่ามาก เนื่องจากใช้เครื่องมือแฮก 7 ชิ้นจาก NSA เทียบกับ WannaCry ที่ใช้แค่ 2 ชิ้น
WannaCry ด้วยเครื่องมือ NSA 2 ชิ้น ทำลายล้าง 150 ประเทศ 240,000+ เครื่อง จินตนาการได้ว่า EternalRocks ทำอะไรได้บ้าง ด้วย 7 เครื่องมือ
คุณสมบัติเฉพาะของ "DoomsDayWorm" คือ รอเงียบๆ 24 ชั่วโมง ก่อนใช้ backdoor ดาวน์โหลดมัลแวร์เพิ่มเติมจากเซิร์ฟเวอร์ Command and Control ไม่เหมือน WannaCry ที่หยุดการแพร่เพราะ Kill Switch ที่นักวิจัยค้นพบ
ระยะที่ 1: EternalRocks ติดตั้ง TOR เป็นช่องสื่อสาร C&C (Command-and-Control) ระยะที่ 2: หลังผ่าน 24 ชั่วโมง เซิร์ฟเวอร์ C&C ตอบกลับด้วย shadowbrokers.zip แล้ว unpack ไฟล์ และเริ่มสแกนพอร์ต 445 SMB แบบสุ่มบนอินเทอร์เน็ต
TOR คืออะไร?
ซอฟต์แวร์ที่ปิดตา unseen eyes เพราะพวกเขาอยู่ทุกที่
TOR เป็นซอฟต์แวร์ที่อนุญาตให้ผู้ใช้เล่นอินเทอร์เน็ตแบบนิรนาม TOR เดิมชื่อ The Onion Router ใช้เทคนิค onion routing ซ่อนข้อมูลกิจกรรมผู้ใช้ TOR ทำให้ติดตามกิจกรรมอินเทอร์เน็ตยากขึ้น โดยแยก identification และ routing เข้ารหัสข้อมูลรวมถึง IP address
C&C (Command-and-Control) communications channel คืออะไร?
เซิร์ฟเวอร์ Command and control เรียกว่า C&C servers หรือ C2 เป็นคอมพิวเตอร์ที่โจมตีใช้สื่อสารกับระบบที่ถูกคุกคามภายในเครือข่ายเป้าหมาย
เครื่องมือ NSA 7 ชิ้นที่ ShadowBrokers รั่วไหล และ EternalRocks ใช้:
- EternalBlue — SMB1 และ SMB2 exploit ใช้เข้าเครือข่าย
- EternalRomance — remote SMB1 network file server exploit เป้าหมาย Windows XP, Server 2003, Vista, 7, 8, Server 2008, Server 2008 R2
- EternalChampion — SMBv2 exploit tool
- EternalSynergy — remote code execution exploit ต่อ SMB3 ที่อาจทำงานกับ OS ต่างๆ
- 4 เครื่องมือข้างต้น ใช้เจาะคอมพิวเตอร์ Windows ที่เปราะบาง
- SMBTouch — SMB reconnaissance tool
- ArchTouch — SMB reconnaissance tool
- 2 เครื่องมือข้างต้น ใช้สแกนพอร์ต SMB เปิดบนเครือข่ายสาธารณะ
- DoublePulsar — ใช้ติดตั้งแรนซัมแวร์ ช่วยแพร่ไวรัมจากคอมพิวเตอร์หนึ่งไปอีกเครื่องข้ามเครือข่ายเดียวกัน
WannaCry ไม่ใช่มัลแวร์เดียวที่ใช้ EternalBlue หรือ backdoor DoublePulsar exploit โปรแกรมขุดคริปโตเคอเรนซี Adylkuzz สร้างสกุลเงินเสมือนบนเครื่องติดเชื้อ มัลแวร์อีกตัวที่แพร่ผ่านเวกเตอร์โจมตีคล้ายกันคือ UIWIX
ข่าวดี: ไม่มีรายงาน EternalRocks ถูกทำเป็นอาวุธ ไม่มี payload อันตราย เช่น แรนซัมแวร์ รายงาน
ข่าวร้าย: เนื่องจากแพตช์ SMB ถูกนำไปใช้ในภายหลัง เครื่องที่ติดเชื้อ EternalRocks ทำให้เข้าถึงระยะไกลได้ผ่าน DOUBLEPULSAR NSA tool Backdoor Trojan DOUBLEPULSAR ที่ EternalRocks ทิ้งไว้ ทำให้ประตูเปิดให้แฮกเกอร์ตลอดเวลา
ควรทำอะไรเพื่อปลอดภัยจากการโจมตีแบบนี้?
- บล็อกการเข้าถึงภายนอกพอร์ต SMB บนอินเทอร์เน็ตสาธารณะ
- แพตช์ช่องโหว่ SMB ทั้งหมด
- บล็อกการเข้าถึงเซิร์ฟเวอร์ C&C และบล็อก Torproject.org
- ตรวจสอบ Scheduled Tasks ที่เพิ่มใหม่
- อัปเดต Windows OS
- ติดตั้งและอัปเดตแอนติไวรัส
- ติดตั้งหรือเปิดใช้งานไฟร์วอลล์ระบบ เพื่อสร้างกำแพงกั้นระหว่างลิงก์น่าสงสัยและระบบ
- หลีกเลี่ยงการตั้งค่าที่ชัดเจนและรหัสผ่านง่าย ใช้ตัวอักษรและตัวเลขผสม ตัวพิมพ์ใหญ่และเล็กผสมก็ปลอดภัยกว่า
อย่าใช้ Windows แบบลักลอก หากมี ระบบจะเปราะบางต่อการติดเชื้อมากกว่า ควรติดตั้งและใช้ Windows OS แท้
