เอาชนะมัลแวร์ TrickBot: ขั้นตอนกำจัดและป้องกันจากผู้เชี่ยวชาญ

แฮกเกอร์กลายเป็นมีความคิดสร้างสรรค์มากขึ้นในการออกแบบมัลแวร์ เพื่อให้แข็งแกร่ง อันตราย และมีประสิทธิภาพมากขึ้น มัลแวร์ที่ขโมยรหัสผ่านหรือบันทึกกิจกรรมคีย์บอร์ด ตอนนี้ดูขLEMENTARY คุณต้องอยู่ระดับ Ransomware หรือ Crypto-miner จึงจะโดดเด่นในอุตสาหกรรมแข่งขันนี้

เนื่องจากแนวโน้มนี้ เอนทิตีมัลแวร์ก็เพิ่มขึ้นเรื่อยๆ ทั้งความรุนแรงและความซับซ้อน ตัวอย่างสมบูรณ์แบบคือ มัลแวร์ TrickBot มัลแวร์นี้ออกแบบมาเพื่อเจาะอีเมล และมีมานานแล้ว จริงๆ มัลแวร์ TrickBot ได้เจาะบัญชีอีเมล 250 ล้านบัญชีแล้ว

มัลแวร์ TrickBot มีมาตั้งแต่ 2559 แต่แทนที่จะลดลงหรือหายไป มันยังคงแข็งแกร่งและพัฒนาตลอดปี ยังถือเป็นหนึ่งในภัยคุกคามอันดับต้นๆ ที่มุ่งเป้าธุรกิจวันนี้ ปีล่าสุดเห็นมัลแวร์พัฒนาและเพิ่มฟังก์ชันใหม่ ทำให้มันน่ากลัวกว่าเดิมมาก

มัลแวร์ TrickBot ทำอะไรได้บ้าง?

TrickBot เป็น Banking Trojan ต้นทาง เหมือนมัลแวร์ Emotet ออกแบบมาเพื่อขโมยข้อมูลธนาคารและการเงินจากคอมพิวเตอร์ที่ติดเชื้อ มักแพร่กระจายผ่าน Spear Phishing Emails ที่ส่งให้พนักงานองค์กร/บริษัทที่ไม่รู้ตัว เช่น แปลงรูปเป็น Fake Resume ส่งจากผู้สมัครไป HR หรือ Fake Invoice ส่งไป Accounting มัลแวร์ TrickBot ซ่อนอยู่ในไฟล์ Microsoft Word หรือ Excel ที่แนบมากับอีเมล

เมื่อมัลแวร์เข้าไป มันแพร่กระจายผ่านองค์กรได้หลายวิธี วิธีง่ายที่สุดคือ Exploit ช่องโหว่ใน Server Message Block (SMB) โปรโตคอลแชร์ไฟล์ที่บริษัทใช้ อนุญาตให้ Windows Users ในเครือข่ายเดียวกันแชร์และเข้าถึงไฟล์ได้ง่าย

ตามผู้เชี่ยวชาญความปลอดภัย DeepInstinct TrickBot พัฒนาเป็น "ภัยคุกคามที่แข็งแรง ซับซ้อน และมีระดับสูง หลายวัตถุประสงค์สำหรับกิจกรรมอันตรายหลายประเภท" พวกเขาค้นพบ Variant ของ TrickBot เรียกว่า TrickBooster โมดูลการกระจายผ่านอีเมลอันตราย ที่เก็บอีเมลและ Contacts จาก Address Book และ Email Accounts ของคอมพิวเตอร์ที่ติดเชื้อ มัลแวร์จึงส่ง Spam Emails จากอีเมลของผู้ใช้ และลบข้อความที่ส่งแล้ว เพื่อหลีกเลี่ยงการตรวจจับ นี่คือวิธีที่มัลแวร์แพร่กระจายเร็วและเก็บบัญชีอีเมลเพื่อการ Monetization

สรุป มัลแวร์ TrickBot ทำงาน 4 ขั้นตอน:

• คอมพิวเตอร์เหยื่อติด TrickBot และได้รับคำสั่งจาก Trick Bot Control Server ให้ดาวน์โหลด TrickBooster
• TrickBooster ที่ดาวน์โหลด รายงานกลับ Control Server และส่งรายการ Email Addresses และ Login Credentials ที่เก็บได้จากคอมพิวเตอร์ที่ติดเชื้อ
• TrickBooster Control Server สั่ง Malware Bot ส่งอีเมลอันตรายจากบัญชีอีเมลเหยื่อ
• TrickBooster Bot ส่ง Spam Emails แพร่มัลแวร์ต่อ

ตามการสืบสวนของ DeepInstinct ฐานข้อมูล TrickBot มีที่อยู่อีเมลประมาณ 250 ล้านที่เก็บได้ล่าสุด จาก 250 ล้าน 25 ล้านมาจาก Gmail, 21 ล้านจาก Yahoo!, 11 ล้านจาก Hotmail, 10 ล้านจาก AOL และ MSN ส่วนที่เหลือมาจากโดเมนอีเมลของบริษัทและหน่วยงานรัฐ มีที่อยู่อีเมลจาก US Department of Justice, Homeland Security, IRS, NASA และ ATF ด้วย

วิธีป้องกันคอมพิวเตอร์จาก TrickBot

การป้องกันดีกว่าการรักษา และแนวคิดนี้ใช้กับ TrickBot ได้พอดี มัลแวร์นี้ลับและยากที่จะตรวจจับ เนื่องจากมันลบข้อความที่ส่งทั้งหมด คุณไม่เห็นอะไร เว้นแต่ผู้รับ Spam Email แจ้งให้คุณรู้ ในกรณีนี้ การตื่นตัวรู้ตัว (Vigilance) เป็นการป้องกันที่ดีที่สุดต่อมัลแวร์ลับตัวนี้

นี่คือเคล็ดลับป้องกัน Trick Bot ไม่ให้ติดเชื้อคอมพิวเตอร์และปกป้องข้อมูล:

• ติดตั้ง Windows Updates ทั้งหมด Microsoft ปล่อย Security Patches ล่าสุดผ่าน Windows Update ให้ติดตั้งเมื่อพร้อม สามารถเช็ค Manual ได้ที่ Settings > Update & Security > Windows Update คลิก Check for Updates ดูว่ามีอัปเดตใหม่ที่ต้องติดตั้งไหม
• อัปเดต Antivirus Software รวมถึงคอมพิวเตอร์ที่เชื่อมต่อเครือข่ายเดียวกัน
• ระวังตอนเปิดอีเมล โดยเฉพาะที่มีไฟล์แนบ Phishing Emails เป็นโหมดการกระจายหมายเลข 1 ของ Trick Bot ให้ใส่ใจอีเมลผิดปกติที่รับ หากได้อีเมลจากโดเมนนอกเครือข่ายบริษัท และหัวข้อเกี่ยวกับงาน Research โดเมนก่อนเพื่อ Verify ว่าอีเมลถูกต้อง อาจยากที่จะบอก Authenticity ของอีเมล เพราะมัลแวร์มักเลียนแบบธุรกิจจริงหลอกผู้ใช้เปิด
• อย่าให้ Login Credentials บางโจมตี TrickBot มุ่งเป้าผู้ใช้ PayPal หลอกให้ให้ Login Info หากคลิกลิงก์และถูกขอ Sign In ไม่ว่าจะ PayPal, Email หรือบัญชีอื่น ให้ปิดเบราว์เซอร์ทันที

วิธีกำจัดมัลแวร์ TrickBot

เหมือนที่กล่าว TrickBot ยากมาก ตัวใหญ่ของภัยคุกคามไซเบอร์วันนี้ และกำจัดมันต้องใช้ความพยายามและความใส่ใจมาก Trojan ชนิดนี้รู้จักซ่อนตัวดี คุณต้อง Loop (Thorough) เมื่อกำจัด มันมักซ่อนไฟล์อันตรายลึกในระบบ ทำให้ยากที่จะตรวจจับและลบ

หากคุณสงสัยว่าคอมพิวเตอร์ติด Trick Bot ทำตามคู่มือด้านล่างวิธีลบด้วยตนเอง และให้แน่ใจว่ามันไม่กลับมา

ขั้นตอนที่ 1: บูทเข้า Safe Mode

การบูทเข้า Safe Mode ปิดกระบวนการ Third-party ที่ไม่จำเป็น ทำให้คุณแยกแยะกระบวนการน่าสงสัยที่รันอยู่บนคอมพิวเตอร์ได้ง่าย วิธีบูทเข้า Safe Mode:

1. คลิก Start แล้วคลิกไอคอน Power ปุ่มซ้ายล่างเมนู จะแสดง Power Options Menu
2. กดค้าง Shift บนคีย์บอร์ด แล้วคลิก Restart
3. คอมพิวเตอร์จะ Restart และเข้า Safe Mode

ขั้นตอนที่ 2: Uninstall โปรแกรมน่าสงสัย

มัลแวร์ส่วนใหญ่ติดตั้งซอฟต์แวร์อันตรายอื่นบนคอมพิวเตอร์ กรณี TrickBot มันดาวน์โหลดและติดตั้ง TrickBooster เพื่อเก็บ Email Addresses และ Contact Info บนคอมพิวเตอร์ที่ติดเชื้อ คุณต้องเช็คว่าโปรแกรมไหนติดตั้งอยู่เป็นถูกต้อง และไหนน่าสงสัย

วิธี Uninstall แอปน่าสงสัย:

1. เปิด Run โดยกด Windows + R พร้อมกัน
2. พิมพ์ appwiz.cpl ในกล่องโต้ตอบ แล้วคลิก OK จะเปิด Control Panel
3. หาโปรแกรมที่คุณไม่ได้ติดตั้ง แล้ว Uninstall

ขั้นตอนที่ 3: Disable Startup Entries ที่น่าสงสัย

TrickBot เหมือนมัลแวร์อื่น ออกแบบให้รันตอน System Loads คุณต้องเช็ค Startup Items ว่ามีกระบวนการแปลกโหลดตอน Startup ไหม

วิธีทำ:

1. เปิด Run โดยกด Windows + R
2. พิมพ์ msconfig ในกล่องโต้ตอบ แล้วกด Enter ควรเปิดหน้าต่าง Services
3. คลิกแท็บ Startup
4. หา Entries ที่มี Unknown ใต้ Category Manufacturer และ Uncheck

ขั้นตอนที่ 4: Kill กระบวนการน่าสงสัย (Kill Suspicious Processes)

นอกจาก Disable Startup Entries และ Uninstall โปรแกรมปลอม สำคัญที่ต้องเช็คว่ากระบวนการไหนบนคอมพิวเตอร์เป็นมัลแวร์ ต้อง Kill กระบวนการเหล่านี้ทันที และลบ Directory ที่ไฟล์ของมันซ่อนอยู่ วิธีทำ:

1. กด Ctrl + Shift + Esc เปิด Task Manager
2. คลิกแท็บ Processes
3. กำหนดว่ากระบวนการไหนเป็นมัลแวร์โดยการ Google หา
4. คลิกขวาบนกระบวนการน่าสงสัย เลือก Open File Location ควรเปิด Directory ที่ไฟล์กระบวนการตั้งอยู่
5. กลับไป Task Manager คลิกขวากระบวนการน่าสงสัยอีกครั้ง คลิก End Process
6. กลับไปโฟลเดอร์ที่เปิดอยู่ ลบไฟล์ทั้งหมด

ขั้นตอนที่ 5: สแกนคอมพิวเตอร์ด้วย Anti-Malware

เพื่อกำจัด TrickBot แนะนำให้สแกนคอมพิวเตอร์และ Directory ด้วย Anti-malware Software ที่อัปเดตแล้ว หากตรวจพบ ทำตามคำแนะนำเพื่อกำจัด TrickBot อย่างสมบูรณ์

ขั้นตอนที่ 6: ลบไฟล์คงเหลือ (Left-over Files)

หนึ่งในเหตุผลที่ TrickBot ยากที่จะลบคือ มันซ่อนไฟล์ได้ดีมาก คุณต้องแน่ใจว่าไฟล์ทั้งหมดที่เกี่ยวข้องกับมัลแวร์ถูกลบแล้ว เพื่อป้องกันไม่ให้กลับมา ไฟล์เหล่านี้มักซ่อนใน Directories ที่มีชื่อสุ่ม คุณสามารถค้นหาโฟลเดอร์เหล่านี้ดูว่ามีไฟล์ TrickBot คงเหลืออยู่ไหม:

• C:\
• C:\Windows
• C:\Windows\System32
• C:\Windows\Syswow64
• C:\Windows\ProgramData
• %AppData% folders, โดยเฉพาะ Roaming folder

สรุป

มัลแวร์ TrickBot แสดงให้เห็นว่า มัลแวร์ง่ายๆ สามารถปรับตัวกับเทคโนโลยีใหม่ และ Level Up เกมของพวกมันได้ การตื่นตัวและความตระหนักรู้ (Vigilance and Awareness) เป็นการป้องกันหมายเลข 1 ต่อมัลแวร์ที่ Persistent และยากต่อการตรวจจับอย่าง TrickBot หากคุณคิดว่าระบบถูกติดเชื้อ ทำตามคู่มือข้างต้นเพื่อกำจัดมัลแวร์ TrickBot ออกจากคอมพิวเตอร์อย่างสมบูรณ์