ปี 2019 มีภัยคุกคามรैनซัมแวร์หลายตัวที่ทำให้คอมพิวเตอร์ส่วนบุคคลและองค์กรทั้งหมดอักขมา หนึ่งในนั้นที่ขึ้น 신문 ก็คือ รैनซัมแวร์ PureLocker เป็นมัลแวร์ที่สามารถโจมตีเซิร์ฟเวอร์ผลิต (Production Servers) และองค์กรทั้ง Windows และ Linux ได้
PureLocker ได้ชื่อมาจากโค้ดที่เขียนด้วยภาษา PureBasic ซึ่งให้ข้อได้เปรียบหลายประการเหนือรैनซัมแวร์อื่นๆ ข้อแรก PureBasic ไม่ค่อยแพร่หลาย ทำให้โซลูชันต่อต้านมัลแวร์หลายตัวไม่สามารถจัดการกับภัยคุกคามนี้ได้ดี กล่าวคือ แอนตี้ไวรัสหลายตัวจำกัดในการตรวจจับลายเซ็นจากไบนารี PureBasic
แม้จะใหม่ในหลายด้าน แต่ PureLocker ยังใช้โค้ดบางส่วนจากกลุ่มรैनซัมแวร์ที่รู้จัก เช่น "more_eggs" ซึ่งขายเป็น MaaS บนดาร์กเว็บ หมายความว่าการโจมตีของ PureLocker เกี่ยวข้องกับกลุ่มอาชญากลใต้ดินอย่าง Cobalt Group และ FIN6 Gang
มัลแวร์ PureLocker ทำอะไร?
เรารู้ว่า PureLocker แตกต่างจากมัลแวร์อื่น แต่ทำงานอย่างไรพอดี? รैनซัมแวร์นี้รู้จักในการหลีกเลี่ยงการฮุค (Hooking) API โหมดผู้ใช้ของฟังก์ชัน NTDLL โดยการโหลดคอปปี้ของ "ntdll.dll" และแก้ไขที่อยู่ API จากที่นี่ เทคนิคหลีกเลี่ยงนี้ทำให้แอนตี้ไวรัสยากที่จะตอบโต้มัลแวร์ เพราะ API Hooking คือสิ่งที่แอนตี้ไวรัสใช้ดูฟังก์ชันที่มัลแวร์เรียกใช้
มัลแวร์ยังส่งคำสั่งติดตั้งคอมโพเนนต์ PureLocker ให้กับยูทิลิตี้บรรทัดคำสั่งของ Windows ชื่อ regrsrv32.exe โดยไม่แสดงไดอะล็อกใดๆ เมื่อรันโดย regrsrv32.exe มัลแวร์จะตรวจสอบปี และยืนยันนามสกุลไฟล์เป็น .DLL หรือ .OCX ยืนยันอีกว่าผู้ใช้มีสิทธิ์แอดมิน ถ้าการตรวจสอบใดล้มเหลว มัลแวร์จะออกจากคอมพิวเตอร์เงียบๆ เหมือนไม่มีอะไรเกิดขึ้น แต่ถ้าทุกอย่างปกติ ไฟล์ของเป้าหมายจะถูกเข้ารหัสด้วยการผสมผสานมาตรฐาน AES + RSA นามสกุล .CRI จะถูกเพิ่มให้ทุกไฟล์ที่ถูกเข้ารหัส ไฟล์ชาโดว์ (Shadow Files) หรือการสำรองข้อมูลของ Windows จะถูกลบระหว่างการติดไวรัส ทำให้คุณไม่มีทางกู้คืนไฟล์
สิ่งผิดปกติอีกอย่างของ PureLocker คือ แทนที่จะแสดง readme.txt บอกที่ส่งเงินค่าไถ่ มันจะให้ที่อยู่อีเมลที่เข้ารหัสและไม่ระบุตัวตน ซึ่งเชื่อมโยงผู้โจมตีกับเหยื่อ ถ้าตกลงกัน จะมีข้อเสนอถอดรหัสไฟล์
วิธีกำจัดรैनซัมแวร์ PureLocker จากคอมพิวเตอร์ของคุณ
PureLocker เป็นมัลแวร์ที่เฉพาะตัวในหลายด้าน และสามารถซ่อนตัวอยู่ในคอมพิวเตอร์โดยไม่ถูกตรวจจับนานมาก ดังนั้นตัวเลือกในการกำจัดจึงจำกัด แต่ไม่ว่าคุณจะยากลำบากแค่ไหน คุณไม่ควรพิจารณาจ่ายค่าไถ่ให้อาชญากร เพราะ一来จะทำให้คุณเป็นเป้าหมายครั้งหน้า เพราะความยินดีจ่ายเงินคือสิ่งเดียวที่ขับเคลื่อนไซเบอร์อาชญากร สองคุณควรพิจารณาว่าผู้สร้างมัลแวร์อาจไม่ปฏิบัติตามสัญญาถอดรหัสหลังได้เงิน เพราะคิดดูสิ ถ้าพวกเขาไม่ทำตามสัญญา จะเกิดอะไรขึ้น? ไม่มีอะไรเลย
ถ้าจ่ายค่าไถ่ไม่ใช่ทางออก คุณสามารถทำอะไรได้บ้างเพื่อแก้ไขคอมพิวเตอร์จาก PureLocker? เราแนะนำให้รันคอมพิวเตอร์ใน Safe Mode พร้อมเครือข่าย (Safe Mode with Networking) จะให้คุณเข้าถึงทรัพยากรเครือข่ายเพื่อดาวน์โหลดโซลูชันต่อต้านมัลแวร์ที่ทรงพลัง เช่น Outbyte Antivirus
แอนตี้ไวรัสจะกำจัด PureLocker และคอมโพเนนต์อันตรายทั้งหมด
เพื่อบูทเข้าสู่ Safe Mode พร้อมเครือข่ายบน Windows 7/ Vista หรือ XP ให้ทำตามขั้นตอน:
- ไปที่ Start > Shutdown > Restart > OK
- เมื่อคอมพิวเตอร์รีสตาร์ท ให้กด F8 หลายครั้งจนปรากฏเมนู Advanced Boot Options
- เลือก Safe Mode with Networking โดยกดปุ่ม F5
Safe Mode พร้อมเครือข่ายบน Windows 8 และ 10:
- ค้างปุ่มเปิด/ปิดประมาณ 10 วินาที เพื่อปิดเครื่อง
- กดปุ่มเปิด/ปิดอีกครั้งเพื่อเปิดเครื่อง
- ทำซ้ำขั้นตอนข้างต้นจนอุปกรณ์เข้าสู่ Windows Recovery Environment (winRE)
- บนหน้าจอ Choose an Option ที่ปรากฏ ให้เลือก Troubleshoot > Advanced Options > Startup Settings > Restart
- หลังจากคอมพิวเตอร์รีสตาร์ท คุณจะเห็นรายการตัวเลือก ให้ใช้ปุ่มลูกศรเลือก Safe Mode with Networking
ถ้าตัวเลือก Safe Mode พร้อมเครือข่ายล้มเหลวในการกำจัด PureLocker คุณสามารถทำซ้ำขั้นตอนข้างต้น แต่ครั้งนี้แทนที่จะเลือก Startup Settings ให้เลือก System Restore
System Restore เป็นกระบวนการกู้คืนของ Windows ที่ให้คุณย้อนกลับการเปลี่ยนแปลงของการตั้งค่าและแอป คุณสามารถใช้ลบแอปและซอฟต์แวร์ที่มีปัญหาได้
ถ้ามัลแวร์ PureLocker โจมตี Mac ของคุณ คุณสามารถใช้ Time Machine เพื่อกู้คืนไฟล์ การตั้งค่า และแอปบางส่วน แต่เช่นเดียวกับ System Restore การสำรองข้อมูล Time Machine ต้องมีอยู่ก่อนการติดไวรัส
ถ้าทุกอย่างล้มเหลว (รวมถึง Mac) ให้พิจารณาติดตั้ง OS ใหม่
การป้องกันคอมพิวเตอร์จากการติดไวรัสคืองานสำคัญที่สุด นี่คือเคล็ดลับป้องกันมัลแวร์อย่าง PureLocker:
อัปเดตระบบทั้งหมด
น่าเสียดายที่บางองค์กรยังใช้ Windows เก่า เช่น Windows XP ที่ไม่ได้รับการปกป้องจาก Microsoft อีกต่อไป Windows XP เคยเป็นผลิตภัณฑ์ที่ยอดเยี่ยม แต่โลกก้าวหน้าไปแล้ว การ執着อยู่ที่นี่เพียงเพิ่มโอกาสที่ช่องโหว่มากมายจะถูกใช้ ضدคุณ
ติดตั้งแอนตี้มัลแวร์
คุณมีโซลูชันต่อต้านมัลแวร์ระดับพรีเมียมบนคอมพิวเตอร์ไหม? ถ้าไม่มี ควรมี และขณะนั้นก็ควรพิจารณาติดตั้งเครื่องมือซ่อมแซมคอมพิวเตอร์ เช่น Outbyte PC Repair เครื่องมือนี้จะสแกนสุขภาพคอมพิวเตอร์ตลอดเวลา ทำความสะอาดพื้นที่จัดเก็บ ช่วยซ่อมแซมรีจิสทรีที่เสียหาย และเพิ่มประสิทธิภาพ RAM
สร้างสำรองข้อมูลไฟล์
คุณควรมีดิสก์แบบฟิสิกส์สำหรับเก็บไฟล์สำคัญ เผื่อกรณีมัลแวร์อย่าง PureLocker โจมตีระบบ ถ้าไม่มีความเสี่ยงการสูญเสียไฟล์ การโจมตีรैनซัมแวร์จะเหมือนวันทั่วไปในสำนักงาน
หวังว่าบทความนี้จะช่วยคุณในการจัดการกับมัลแวร์ PureLocker หากมีคำถาม ข้อเสนอแนะ หรือมีอะไรเพิ่มเติม สามารถแสดงความคิดเห็นได้ที่ส่วนความคิดเห็นด้านล่าง
