Malware มีรูปแบบและความรุนแรงหลากหลาย และเราจะพูดถึงมัลแวร์อันตรายที่สุดหนึ่ง: Fileless Malware
ชื่ออย่างเดียวก็ทำให้สงสัย: มัลแวร์นี้แพร่กระจายอย่างไรเมื่อไม่มีไฟล์เกี่ยวข้อง? โดยเฉพาะ Fileless Malware ยึดครอง PC ได้อย่างไรเมื่อคุณไม่ได้ดาวน์โหลดไฟล์เลย?
อ่านเพิ่ม: Malware: สงครามที่เราไม่เคยขอ
ลองเข้าไปในสมองของผู้โจมตี (Attacker) ผู้โจมตีอาจใช้ Fileless Malware เพราะ:
- ภายใต้สภาพปกติ จะ ไม่ถูกตรวจจับโดย Antivirus ทำไม? จะอธิบายทีหลัง
- ไม่มีไฟล์หรือ Digital Signature ให้ตรวจจับ
- ผู้โจมตีใช้ Tools ที่ถูกต้อง (Legitimate) ที่มีอยู่ใน Windows อยู่แล้ว กล่าวคือ ผู้โจมตีพลิกโฉม Windows ให้โจมตีตัวเอง
ลองลองลึกลงไปละกัน
Fileless Malware คืออะไร?
Fileless Malware ตามชื่อ คือ โปรแกรมร้ายที่ ไม่พึ่งพาไฟล์ ในการแพร่กระจาย หมายถึงไม่ต้องติดเชื้อไฟล์ด้วยไวรัสเพื่อทำลายล้าง แล้วมันโจมตีคอมพิวเตอร์อย่างไร? มันใช้ แอปพลิเคชันทั่วไปและ Built-in Tools เพื่อ攜帶出การโจมตี ใช้โปรแกรมที่ถูกต้อง (Legitimate) เพื่อติดเชื้อ PC กล่าวคือ มันพลิกโฉม Windows PC ของคุณให้โจมตีตัวเอง สิ่งที่ทำให้ Fileless Malware ต่างจากการโจมตีแบบดั้งเดิมคือ ผู้โจมตี ไม่ติดตั้งโค้ดบน PC เหยื่อ ทำให้ Fileless Malware ยากต่อการตรวจจับ
Fileless Malware ทำงานอย่างไร?
Fileless Malware อยู่ในกลุ่ม LOC (Low-Observable Characteristics) Attacks หรือโจมตีแบบ Stealth ที่หลบพ้นการตรวจจับของ Security Solutions ส่วนใหญ่ Fileless Malware ทำงานใน RAM (Random Access Memory) ของคอมพิวเตอร์ และ ไม่สัมผัส Hard Drive เลย ผู้โจมตีใช้ Software ที่เปราะบาง (Vulnerable) ที่มีอยู่ในคอมพิวเตอร์แล้ว เพื่อควบคุมและ Execute การโจมตี
เมื่อผู้โจมตีได้ Access เข้าคอมพิวเตอร์แล้ว สามารถใช้ Windows Management Instrumentation (WMI) หรือ Windows PowerShell ทำกิจกรรมร้ายได้
คุณอาจสงสัย: ทำไมมันผ่าน Security Solution ของฉันได้? เพราะหลายเทคโนโลยีความปลอดภัย ไว้วางใจ Utilities เหล่านี้ ทำให้กิจกรรมร้ายหลบพ้นการตรวจจับ นอกจากนี้ Fileless Malware ไม่เขียนอะไรลง Hard Drive โดยตรง ไม่มีไฟล์ให้ Security Software สแกน และ ไม่ทิ้ง Footprints หรือ Signatures ที่ Antivirus ปกติตรวจจับได้
ขั้นตอนต่างๆ ของ Fileless Malware
ขั้นตอนที่ 1: ผู้โจมตี Exploit ช่องโหว่ (Vulnerability) และใช้ Web Scripting เพื่อได้ Remote Access
ขั้นตอนที่ 2: หลังได้ Access แล้ว พยายาม ขโมย Credentials ของสภาพแวดล้อมที่ถูกเจาะ เพื่อเคลื่อนย้ายไประบบอื่นในสภาพแวดล้อมเดียวกัน
ขั้นตอนที่ 3: ผู้โจมตีแก้ไข Registry เพื่อสร้าง Backdoor
ขั้นตอนที่ 4: ผู้โจมตีรวบรวมข้อมูลที่ต้องการ Copy ไว้ที่เดียว ใช้ Tools ที่มีอยู่บีบอัดข้อมูล แล้วนำข้อมูลออกจากสภาพแวดล้อมโดย Upload ผ่าน FTP
ประเภทการโจมตี Fileless Malware ต่างๆ
● Memory Code Injection
ผู้โจมตีซ่อนโค้ดร้ายใน Memory ของแอปพลิเคชันที่ถูกต้อง (Legitimate) มัลแวร์ Inject และกระจายตัวขณะ Process ที่สำคัญต่อ Windows ทำงาน ใช้โปรแกรม Windows อย่าง WMI และ PowerShell คำสั่งที่ Execute ถูกมองว่า Safe ไม่ Trigger Red Flags
● Windows Registry Manipulation
ในอดีต Powelike และ Kovter ทำให้ระบบเหยื่อกลายเป็น Click Bot เชื่อมต่อ Click-through Ads และเว็บไซต์ เมื่อเหยื่อคลิก Link/ไฟล์ร้าย มัลแวร์ใช้ Windows Process ปกติ เขียนและ Execute Fileless Code ลง Registry
● Script-Based Techniques
ไม่ได้ว่าวิธีนี้ "ไร้ชีวิต" แต่แน่นอนว่า ยากต่อการตรวจจับ อธิบายด้วย 2 โจมตีดัง: SamSam Ransomware และ Operation Cobalt Kitty SamSam เป็น Semi-fileless Payload ไม่สามารถวิเคราะห์ได้โดยไม่มี Initial Script เพราะ Run-time Decrypted และต้องการ Password ที่ผู้สร้างมี Operation Cobalt Kitty เป็น Fileless Attack โจมตีบริษัทเอเชียเกือบ 6 เดือน ด้วย PowerShell ร้าย ใช้ Spear-phishing Email สล่ามเข้าสู่ 40+ Servers และ PCs
ป้องกันระบบจาก Fileless Malware อย่างไร?
Fileless Malware หยุดยั้ง Antivirus ได้ (ตัวอ่อนแอบ) แต่ไม่หมายความว่าไม่ควรติดตั้ง Antivirus ส่วนใหญ่รวมถึง Microsoft Windows Security สามารถกั้นกิจกรรมผิดปกติจาก PowerShell ได้ ด้านล่างคือขั้นตอนระมัดระวัง:
- ห้ามคลิกลิงก์น่าสงสัยบนเว็บไซต์ไหนๆ อย่าเข้าเว็บที่ไม่น่าเชื่อถือ
- อัปเดตแอปพลิเคชันบนคอมพิวเตอร์ โดยเฉพาะจาก Microsoft
- แนะนำให้มี Antivirus 2 ชั้น: Microsoft Defender และชั้นที่ 2 เลือก T9 Antivirus
ฟีเจอร์เด่นของ T9 Antivirus:
- Real-time Protection ต่อหลายภัยคุกคาม
- ป้องกัน PUP, Zero-day Threats, Trojan และอื่นๆ
- กำจัดช่องโหว่ใหม่ๆ
- Multiple Scans กำจัดภัยคุกคาม
- Schedule Scan ตามเวลาที่ต้องการ
- Exploit Protection ต่อไฟล์ไม่รู้จัก
- ลบ Startup Items ไม่ต้องการ
- Antivirus Utility เบา (Lightweight)
T9 Antivirus ทำงานอย่างไร?
- ดาวน์โหลดและติดตั้ง T9 Antivirus
- ปล่อยให้ Antivirus ติดตั้ง Updates
- คลิกปุ่ม SCAN NOW สีส้ม
- T9 Antivirus จะค้นหาภัยคุกคามที่จะเกิดขึ้น
สรุป
Malware 出现各种形式和强度 从 Fileless Malware 可見威脅行為者不斷升級以擊敗防禦 重要的是我們永遠不放鬆戒備 無論您是大企業還是個人 如果喜歡請點贊並分享給朋友和親人
คำถามที่พบบ่อย (FAQ)
Q1. ตัวอย่าง Fileless Malware? Code Red Worm (2001), SQL Slammer (2003), Operation Cobalt Kitty, Stuxnet (2010), UIWIX (2017), Ramnit Banking Trojan
Q2. Fileless Virus คืออะไร? ไม่ใช้ Executable Files แบบดั้งเดิม แต่พลิกโฉม Windows ให้โจมตีตัวเองโดย Exploit OS และ Legitimate Windows Apps
Q3. Worms เป็น Fileless Malware ไหม? มัลแวร์ตัวแรกที่จัดเป็น Fileless คือ Code Red Worm (2001) โจมตี IIS ของ Microsoft อีกตัวคือ Duqu 2.0 (Memory-only)
Q4. Windows Defender ตรวจจับ Fileless Malware ได้ไหม? Microsoft อัปเกรด Defender ให้ตรวจจับกิจกรรมผิดปกติจาก PowerShell มี AMSI, Memory Scanning, Behavior Monitoring, Boot Sector Protection ช่วยกัน Fileless Malware ได้
