ลองนึกภาพดู: คุณบูทเครื่อง PC และเจอข้อความนี้บนเดสก์ทอป:
นี่อาจเป็นหนึ่งในฝันร้ายแย่ที่สุดของผู้ใช้คอมพิวเตอร์คนไหนก็ตาม เมื่อคุณเห็นข้อความนี้ หรือเห็นไฟล์บนคอมพิวเตอร์ที่มีข้อความนี้เขียนอยู่ภายใน แสดงว่าคอมพิวเตอร์ของคุณติดเชื้อ GandCrab cryptovirus แทบทุกตัว
GandCrab เป็นแรนซัมแวร์เข้ารหัสไฟล์ ที่เข้ารหัสไฟล์และเอกสารทั้งหมดของคอมพิวเตอร์ที่ติดเชื้อ แรนซัมแวร์นี้ใช้คีย์ RSA-2048 หรืออัลกอริทึมการเข้ารหัสสตรีม Salsa2.0 สำหรับการเข้ารหัสไฟล์ และทิ้งข้อความเรียกค่าไถ่ให้เจ้าของอุปกรณ์ ข้อความเสนอถอดรหัสไฟล์ให้ในราคาบางจำนวน จำนวนเงินไม่เหมือนกันทุกกรณี บางโจรกรรมขอ $500 บางกรณีต้องการถึง $2,400 สำหรับกระบวนการถอดรหัส
โจรกรรมยังเพิ่มความเร่งด่วนโดยคุกคามว่าจะเพิ่มราคาเป็นสองเท่าหลังจากช่วงเวลาหนึ่ง คำแนะนำจะถูกทิ้งไว้ในไฟล์ txt หรือ html ที่มีชื่อไฟล์เป็นตัวอักษรสุ่ม เช่น DEKSTFDERT-DECRYPT.txt หรือ DEKSTFDERT-DECRYPT.html
เคล็ดลับ: ใช้เครื่องมือเพิ่มประสิทธิภาพ PC เฉพาะทางเพื่อกำจัดการตั้งค่าผิดปกติ ไฟล์ขยะ แอปมี害 และภัยคุกคามด้านความปลอดภัยที่อาจก่อให้เกิดปัญหาระบบหรือประสิทธิภาพช้าลง
สิ่งที่คุณต้องรู้เกี่ยวกับ GandCrab Cryptovirus
ไวรัสแรนซัมแวร์ GandCrab ได้พัฒนานานมากหลังจากที่ถูกค้นพบครั้งแรกในเดือนมกราคม 2018 ใน 6 เดือนแรกหลังจากแพร่กระจาย มันติดเชื้ออุปกรณ์มากกว่า 50,000 เครื่อง และสร้างรายได้จากค่าไถ่ $600,000 จากเหยื่อ
GandCrab ถือเป็นหนึ่งในแรนซัมแวร์ที่กระจายตัวมากที่สุดและกระตือรือร้นที่สุดของปี และได้ปล่อยรุ่นของไวรัสแรนซัมออกมาแล้ว 5 รุ่น รุ่นล่าสุดคือ GandCrab v5.0.4 และแม้จะไม่มีความแตกต่างที่ชัดเจนระหว่างรุ่นนี้กับรุ่นก่อนหน้า แต่วิรัสแรนซัมนี้ได้พัฒนาอย่างต่อเนื่องเพื่อหลีกเลี่ยงโปรแกรมถอดรหัสที่บริษัทความปลอดภัยออนไลน์สร้างขึ้น จริงๆ แล้ว การเปลี่ยนแปลงที่โดดเด่นที่สุดของไวรัส GandCrab คือการเปลี่ยนจากอัลกอริทึมการเข้ารหัส RSA-2048 ไปเป็น Salsa2.0 stream cipher ที่เร็วกว่า
GandCrab v5.0.4 แรนซัมแวร์แพร่กระจายอย่างไร
GandCrab ใช้จุดเข้าหลายแห่งในการติดเชื้อคอมพิวเตอร์ มักแพร่กระจายผ่านอีเมลสแปม ชุดอี็กซพลอยต์ (exploit kits) และแคมเปญมัลแวร์อื่นๆ มาดูแต่ละเวกเตอร์การแพร่กระจายทีละอย่าง
อีเมลสแปมเป็นตัวพาไวรัสและมัลแวร์ทุกประเภทมาตั้งแต่กาลเก่าแก่ มักหลอกผู้ใช้ให้เปิดอีเมลสแปมที่มีหัวข้อจูงใจพร้อมไฟล์ ZIP แนบมา ไฟล์ ZIP มีสคริปต์ที่ดาวน์โหลด cryptovirus เข้าคอมพิวเตอร์และรันมัน
อีกวิธีหนึ่งคือผ่าน exploit kits GrandSoft และ RIG เป็น exploit kits ที่ใช้แพร่กระจาย GandCrab มากที่สุด อย่างไรก็ตาม รุ่น 5.0 ของแรนซัมแวร์รายงานว่าแพร่กระจายโดย Fallout exploit kit เริ่มแรก ซึ่งตอนนี้เกี่ยวข้องกับการแพร่กระจายแรนซัมแวร์ Kraken แทน
เวกเตอร์การเข้าอื่นๆ รวมถึง การเชื่อมต่อ Remote Desktop ที่มีความปลอดภัยต่ำ โปรแกรมที่ติดทrojans สคริปต์ PowerShell และ Botnets เช่น Phorpiex
GandCrab ทำอะไร?
เป้าหมายของ GandCrab เหมือนแรนซัมแวร์อื่นๆ ทั้งหมด คือ เข้ารหัสไฟล์ทั้งหมดของระบบที่ติดเชื้อ และเรียกค่าไถ่เพื่อถอดรหัส ค่าไถ่มักชำระด้วยสกุลเงินคริปโต เช่น Dash หรือ Bitcoin เพราะยากต่อการติดตาม
GandCrab v5.0.4 แรนซัมแวร์ติดเชื้อทุกเวอร์ชันของระบบ Windows รวมถึง Windows 10/11, Windows 7, และ Windows 8.1 เมื่อแรนซัมแวร์ถูกติดตั้ง มันจะสแกนระบบหาไฟล์ข้อมูลเพื่อเข้ารหัส เอกสารที่มีนามสกุลไฟล์ เช่น .doc, .docx, .xls, และ .pdf เป็นเป้าหมายที่พบบ่อยที่สุด เมื่อพบไฟล์เหล่านี้แล้ว ไวรัสแรนซัมจะเปลี่ยนนามสกุลไฟล์ของไฟล์เหล่านั้น ทำให้ไม่สามารถเปิดได้อีก
หลังจากเข้ารหัสไฟล์แล้ว GandCrab จะทิ้งบันทึกเรียกค่าไถ่พร้อมคำแนะนำว่าผู้ครอบครองอุปกรณ์ควรทำอย่างไร โดยเฉพาะวิธีการชำระค่าไถ่ การชำระค่าไถ่ไม่ได้รับแนะนำ เพราะจะเพียงให้ความมั่นใจแก่โจรกรรมและกระตุ้นให้พวกเขาแพร่ไวรัสต่อ
หากอุปกรณ์ของคุณติดเชื้อ GandCrab v5.0.4 แรนซัมแวร์ ทำตามขั้นตอนด้านล่างเพื่อกำจัดมันออกจากระบบอย่างสมบูรณ์และหวังว่าจะกู้คืนไฟล์บางส่วนได้
วิธีกำจัด GandCrab V5.0.4 แรนซัมแวร์
น่าเสียดายที่ยังไม่มีโปรแกรมถอดรหัส (decryptor) สำหรับ GandCrab V5.0.4 Bitdefender เคยสร้างโปรแกรมถอดรหัสสำหรับรุ่นแรกของแรนซัมแวร์ แต่กลายเป็นโปรแกรมที่ใช้ไม่ได้เมื่อผู้เขียนอัปเกรด GandCrab เป็นรุ่น 2.0 บริษัทความปลอดภัยอื่นๆ ก็พยายามปล่อยโปรแกรมถอดรหัสของตนเอง แต่ไม่มีตัวไหนทำงานได้จนถึงตอนนี้
ดังนั้น หากคอมพิวเตอร์ของคุณติด GandCrab V5.0.4 อย่างน่าเสียดาย นี่คือสิ่งที่คุณควรทำ:
ขั้นตอน 1. สร้างสำเนาไฟล์ที่ติดเชื้อทั้งหมด
สิ่งนี้ช่วยให้คุณบันทึกข้อมูลที่เข้ารหัสทั้งหมดและเก็บไว้อย่างปลอดภัยจนกว่าจะมีโปรแกรมถอดรหัสฟรีถูกพัฒนาในอนาคต จะดีกว่ามากถ้าคุณสร้างอิมเมจของฮาร์ดดิสก์ทั้งหมด เพราะคุณจะบันทึกทุกอย่างที่เกี่ยวข้องกับแรนซัมแวร์ได้ รวมถึงไฟล์ที่เข้ารหัส ข้อความเรียกค่าไถ่ ไฟล์ข้อมูลคีย์ และรายการรีจิสทรี
ขั้นตอน 2. กำจัด GandCrab V5.0.4 ออกจากคอมพิวเตอร์ของคุณ
สิ่งที่คุณต้องทำคือพยายามกำจัดแรนซัมแวร์ออกจากระบบก่อนที่มันจะสร้างความเสียหายมากขึ้น ในการลบแรนซัมแวร์จาก Windows ทำตามขั้นตอนด้านล่าง:
- บูทเข้าสู่ Safe Mode โดยคลิกเมนู Start
- คลิกปุ่ม Power กดค้าง Shift แล้วคลิก Restart
- คอมพิวเตอร์จะรีบูทและเมนูสีน้ำเงินจะปรากฏ เลือก Troubleshoot จากหน้าต่างนี้
- ในเมนู Troubleshoot เลือก Advanced Options > Startup Settings > Restart
- เลือกตัวเลือก Safe Mode ใดก็ได้จาก 3 ตัวเลือกที่มี
- ขณะอยู่ใน Safe Mode ค้นหาไฟล์ที่ติดเชื้อโดยพิมพ์ fileextension: ในกล่องค้นหา ตามด้วยประเภทนามสกุลที่คุณค้นหา
- ลบไฟล์ที่ติดเชื้อทั้งหมดและล้าง Recycle Bin หลังจากนั้น คุณสามารถใช้เครื่องมืออย่าง Outbyte PC Repair เพื่อให้แน่ใจว่าไฟล์ขยะทั้งหมดถูกลบ และไม่มีไฟล์ติดเชื้อเหลืออยู่บนระบบ
- รันโปรแกรมแอนติไวรัสหรือแอนตี้มัลแวร์เพื่อกำจัดการติดเชื้อให้สิ้นสุด
ขั้นตอน 3: พยายามกู้คืนไฟล์ที่เข้ารหัส
เนื่องจากยังไม่มีโปรแกรมถอดรหัสทางการสำหรับ GandCrab V5.0.4 คุณสามารถลองโชคกับซอฟต์แวร์ถอดรหัสของบุคคลที่สาม และอาจมีตัวหนึ่งที่ใช้ได้กับคุณ คุณยังสามารถลองกู้คืนไฟล์ด้วยซอฟต์แวร์กู้คืนไฟล์ (file recovery software) แม้ไม่มีการรับประกันว่าไฟล์จะกู้คืนได้จริง บางผู้ใช้ที่ลองวิธีนี้รายงานว่าไฟล์ส่วนใหญ่กลับมาเสียหาย (corrupted)
อีกทางเลือกหนึ่งคือการย้อนระบบกลับไปที่ restore point ก่อนที่จะติดเชื้อ นี่อาจเป็นทางเลือกที่ดีที่สุดสำหรับคุณตอนนี้
ทำตามขั้นตอนเหล่านี้เพื่อย้อนการเปลี่ยนแปลงบน PC โดยใช้ restore point:
- คลิก Start และพิมพ์ Create a restore point ในกล่องค้นหา
- คลิก System Properties จากผลลัพธ์
- คลิก System Restore > Next แล้วเลือก restore point ล่าสุดที่ทำงานได้ปกติ ก่อนเกิดการติดเชื้อ
- คลิก Scan for affected programs เพื่อลบแอปและกระบวนการที่ติดตั้งหลังจากสร้าง restore point
- คลิก Close > Next > Finish
อุปกรณ์ของคุณจะย้อนกลับไปในเวลาเมื่อสร้าง restore point และทุกอย่างทำงานปกติ
สรุป
เห็นคอมพิวเตอร์ติด GandCrab V5.0.4 แรนซัมแวร์อาจทำให้ตกใจดูแล้ว — ไฟล์ทั้งหมดถูกเข้ารหัส และไม่มีวิธีถอดรหัสตอนนี้ ผู้ใช้บางคนลured ที่จะจ่ายค่าไถ่ คิดว่านั่นเป็นวิธีง่ายที่สุดในการแก้ปัญหาและได้ไฟล์กลับมา แต่คุณเชื่อมั่นได้ไหมในโจรกรรมเหล่านี้ว่าจะทำตามสัญญาหลังจากโอนเงินแล้ว? ส่วนใหญ่คือ ไม่ พวกเขาไม่แคร์คุณหรือไฟล์ของคุณ พวกเขาแคร์แค่เงินที่คุณยอมให้
ดังนั้น หากคอมพิวเตอร์ของคุณติด GandCrab V5.0.4 แรนซัมแวร์ อย่าวิ่งไปหาโจรกรรมพร้อมเงินสด ลองทำตามคู่มือขั้นตอนข้างต้นเพื่อลบไฟล์ที่ติดเชื้อออกจากคอมพิวเตอร์และกู้คืนข้อมูลด้วยวิธีอื่นๆ นอกจากนี้ คุณอาจไม่ต้องรอนานมากสำหรับโปรแกรมถอดรหัสทางการที่จะถูกปล่อยออกมาเพื่อต้านการโจมตีนี้
