รैनซัมแวร์ Zeppelin เป็นรैनซัมแวร์ใหม่ที่โจมตีธุรกิจในช่วงปลายปี 2019 คนกล่าวว่ามันเป็นเวเรียนต์ (Variant) ของรैनซัมแวร์ VegaLocker ที่โด่งดัง แต่แทนที่จะมุ่งเป้าคอมพิวเตอร์ในรัสเซียและยุโรปตะวันออก Zeppelin ดูเหมือนจะเน้นโจมตีระบบคอมพิวเตอร์ในสหรัฐอเมริกาและยุโรปมากกว่า
มีการคาดเดามากมายว่าแม้ Zeppelin จะมีความคล้ายคลึงกับ VegaLocker มาก รวมถึงรหัสอันตราย (Malicious Code) แต่ก็ยังแตกต่างกัน เนื่องจากเป็นงานของทีมคนละทีมกัน Zeppelin โจมตีบริษัท IT และสุขภาพในภูมิภาคต่างกัน แต่เช่นเดียวกับ VegaLocker มันเชื่อว่าเป็น RaaS (Ransomware-as-a-Service) ที่ซื้อได้บนฟอรัมแฮกเกอร์รัสเซียบนดาร์กเว็บ
โหมดการทำงานของ Zeppelin
ไม่ชัดเจนอย่างแน่ชัดว่า Zeppelin สลอดแฝดเข้าไปในระบบคอมพิวเตอร์อย่างไร แต่นักวิจัยไซเบอร์เซキュริตีเชื่อว่ามันถูกส่งผ่านเซิร์ฟเวอร์เดสก์ท็อประยะไกล (Remote Desktop Server) มันสามารถเจาะเข้าเครือข่ายคอมพิวเตอร์ได้โดยใช้ช่องโหว่ของซอฟต์แวร์ที่ติดตั้งอยู่
เมื่อมัลแวร์เจาะเข้าไปในคอมพิวเตอร์สำเร็จ มันจะตรวจสอบรายละเอียดของเหยื่อว่าคุ้มค่าที่จะเป็นเป้าหมายหรือไม่ ถ้าคุ้มค่า Zeppelin จะเริ่มทำลายการทำงานของเซิร์ฟเวอร์ที่เกี่ยวข้องกับคอมพิวเตอร์และฐานข้อมูลของเหยื่อ ถ้ามีไฟล์สำรอง (Backups) ก็จะถูกมุ่งเป้าและทำให้เข้าถึงไม่ได้
Zeppelin จะเข้ารหัสไฟล์สำคัญทั้งหมดของเหยื่อ และ要求ค่าไถ่ผ่านไฟล์ readme.txt ข้อความขึ้นต้นด้วยว่า "All your files, documents, photos, databases, and other important files are encrypted. There is only one method of recovering files it is to purchase a unique key…"
ข้อความยังให้ที่อยู่อีเมลเพื่อติดต่อไซเบอร์อาชญากร และเตือนไม่ให้พยายามถอดรหัสหรือเปลี่ยนชื่อไฟล์ เพราะอาจสูญเสียไฟล์ไปถาวร
นักวิจัยยังค้นพบ Zeppelin Payload Builder ซึ่งมีการออกแบบใหม่ และช่วยให้พันธมิตร Zeppelin สร้างเพย์โหลด (Payloads) ประเภทต่างๆ ตามเป้าหมาย เพย์โหลดอาจเป็น .exe, .dll หรือสคริปต์ .ps1 แต่ละอย่างจะเริ่มการโจมตีแบบต่างกัน
การกำจัดรैनซัมแวร์ Zeppelin
เมื่อคอมพิวเตอร์ติดรैनซัมแวร์แล้ว ไม่ว่าจะเป็นตัวไหน ตัวเลือกของคุณจะจำกัดมาก ขั้นแรก คุณไม่ควรจ่ายค่าไถ่ เพราะไม่ไว้วางใจอาชญากรได้ว่าจะถอดรหัสไฟล์ให้หลังได้เงิน นอกจากนี้การจ่ายเงินจะเพียงให้แรงจูงใจพวกเขาทำต่อไป
ถ้าจ่ายไม่ได้ สามารถทำอะไรได้บ้างในการกำจัดไวรัส Zeppelin?
Safe Mode พร้อมเครือข่าย (Safe Mode with Networking)
Safe Mode เป็นกระบวนการของ Windows ที่รันคอมพิวเตอร์ในรูปแบบพื้นฐาน เปิดใช้งานแอปและการตั้งค่าที่จำเป็นเท่านั้น เมื่ออยู่ใน Safe Mode พร้อมเครือข่าย คุณสามารถเข้าถึงทรัพยากรเครือข่าย เช่น อินเทอร์เน็ต และใช้ดาวน์โหลดโซลูชันต่อต้านมัลแวร์ที่ทรงพลัง เช่น Outbyte Antivirus แอนตี้มัลแวร์จะช่วยกำจัดไวรัสที่สลอดแฝดเข้าไป แต่ต้องเตือนว่า การลบไวรัสไม่ได้หมายความว่าคุณจะกู้คืนไฟล์กลับมา
วิธีเข้าสู่ Safe Mode พร้อมเครือข่ายบน Windows 7, Vista, XP:
- รีสตาร์ทคอมพิวเตอร์และกด F8 ซ้ำๆ ทุก 1 วินาที
- คอมพิวเตอร์จะแสดงข้อมูลฮาร์ดแวร์และทดสอบหน่วยความจำ ก่อนแสดงเมนู Advanced Boot Options
- ใช้ปุ่มลูกศรเลือก Safe mode with Networking
Safe Mode พร้อมเครือข่ายบน Windows 10/11:
เพื่อบูท Windows 10/11 เข้าสู่ Safe Mode พร้อมเครือข่ายจากหน้าจอว่าง ให้ทำตามขั้นตอน:
- ค้างปุ่มเปิด/ปิดประมาณ 10 วินาที เพื่อปิดเครื่อง
- กดปุ่มเปิด/ปิดอีกครั้งเพื่อเปิดเครื่อง
- เมื่อ Windows เริ่มบูท ให้กดปุ่มเปิด/ปิดอีกครั้งเพื่อปิดเครื่อง ทำซ้ำจนเข้าสู่ Windows Recovery Environment (winRE)
- บนหน้าจอ Choose an option ใน winRE ให้เลือก Troubleshoot > Advanced Options > Startup Settings > Restart
- หลังจากรีสตาร์ท ให้ใช้ปุ่มลูกศรเลือก Safe Mode with Networking จากรายการที่ปรากฏ
ตอนนี้คุณบูท Windows 10/11 เข้าสู่ Safe Mode พร้อมเครือข่ายแล้ว สามารถใช้ทรัพยากรเครือข่ายเข้าชมเว็บไซต์เพื่อเรียนรู้วิธีจัดการมัลแวร์ต่างๆ
การกู้คืนระบบ (System Restore)
System Restore เป็นกระบวนการกู้คืนของ Windows ที่ให้คุณคืนคอมพิวเตอร์ไปสู่สถานะที่ทำงานได้ดีก่อนหน้า โดยเปิดใช้งานจุดกู้คืน (Restore Point) System Restore จะทำงานก็ต่อเมื่อมีจุดกู้คืนอยู่ในคอมพิวเตอร์แล้ว
เพื่อเข้าสู่ตัวเลือก System Restore ให้ทำตามขั้นตอนบูทเข้าสู่ Safe Mode พร้อมเครือข่าย แต่แทนที่จะเลือก Startup Settings ให้เลือก System Restore ระหว่างกระบวนการคุณจะได้รับแจ้งเกี่ยวกับแอปและการตั้งค่าที่จะไม่พร้อมใช้งานหลังเปิดใช้งานจุดกู้คืน โปรดตรวจสอบว่าไวรัสที่ต้องการลบอยู่ในรายการโปรแกรมที่ได้รับผลกระทบ
อะไรทำได้อีกบ้าง? ถ้าพยายามลบไฟล์ Zeppelin ล้มเหลวทั้งหมด คุณยังมีตัวเลือกนิวเคลียร์ (Nuclear Option) คือ รีเซ็ตคอมพิวเตอร์ หรือติดตั้ง Windows ใหม่
มัลแวร์ Zeppelin ติดคอมพิวเตอร์ของคุณอย่างไร?
หลังจากประสบภัยร้ายแรงอย่างการติดไวรัส Zeppelin มักจะสงสัยว่ามันเข้ามาอย่างไร นี่คือเบาะแสบางอย่าง:
ความปลอดภัยที่ขาดสติ (Sloppy Security)
คุณมีแอนตี้ไวรัสบนคอมพิวเตอร์ทุกเครื่องไหม? องค์กรของคุณใช้การยืนยันตัวตนสองปัจจัย (2FA) สำหรับแอปที่เผยหน้าสู่สาธารณะไหม? ระบบและแอปทั้งหมด รวมถึง Windows OS เป็นเวอร์ชันล่าสุดไหม? คุณมีการสำรองข้อมูลสำคัญอย่างปลอดภัยไหม? นี่คือคำถามที่ควรถามตัวเองหลังติดไวรัส จะช่วยระบุจุดอ่อน
นิสัยท่องเว็บที่ไม่ดี (Poor Web Surfing Habits)
ถ้าคุณเข้าชมเว็บไซต์ที่น่าสงสัยหรือไม่ปลอดภัย คุณเสี่ยงต่อการดาวน์โหลดมัลแวร์อัตโนมัติ แม้ไม่ได้คลิกไฟล์ใดๆ ก็ตาม
การจัดการไฟล์แนบอีเมลที่ไม่ดี (Poor Handling of Email Attachments)
มัลแวร์ส่วนใหญ่แพร่ผ่านแคมเปญฟิชชิงที่เกี่ยวข้องกับอีเมลสแปมที่มีลิงก์และไฟล์แนบอันตราย ก่อนจะตอบสนองใดๆ ให้ตรวจสอบความน่าเชื่อถือของแหล่งที่มา
ซอฟต์แวร์ลิขสิทธิ์ (Pirated Software)
เราทุกคนอยากใช้ของฟรี แต่ทุกอย่างมีราคา ซอฟต์แวร์ฟรีบน The Pirate Bay และเว็บคล้ายกัน บางส่วนถูกแชร์โดยไซเบอร์อาชญากรที่ผูกมัลแวร์ไว้ในแพ็กเกจ อาจดูฉลาดแต่ผลลัพธ์อาจร้ายแรงเมื่อโจมตีจริง
