รैनซัมแวร์ SamSam เป็นการติดไวรัสที่แพร่กระจายเหมือนบอท (Bot) เมื่อสลอดแฝดเข้าไปในคอมพิวเตอร์สำเร็จ มันจะมองหาทรัพยากรเครือข่ายและใช้แพร่กระจายต่อ หลังจากติดไวรัสคอมพิวเตอร์ประมาณสิบกว่าเครื่องในองค์กรเป้าหมาย มันจะเริ่มเข้ารหัสไฟล์ให้มากที่สุดเท่าที่จะทำได้
รวมทั้งหมด SamSam โจมตีองค์กรประมาณ 67 แห่งในสหรัฐอเมริกา ขอค่าไถ่สูงหลังการเจาะสำเร็จแต่ละครั้ง บางครั้งถึงหลายล้านดอลลาร์ คอมพิวเตอร์เทศบาลกรุงแอตแลนตา และกรมขนส่งโคโลราโด ถูกโจมตีในปี 2018 เหยื่อส่วนใหญ่คือสถานพยาบาล
รैनซัมแวร์ SamSam ทำงานอย่างไร?
แตกต่างจากรैनซัมแวร์ส่วนใหญ่ที่แพร่กระจายแบบสุ่มผ่านอีเมลสแปม ฟิชชิงหรือ Exploit Kits, SamSam แพร่กระจายแบบมุ่งเป้า (Targeted) โหมดการทำงาน (Modus Operandi) คือ เข้าถึงเครือข่ายองค์กร ใช้เวลาทำการลาดตระเวน (Reconnaissance) คือการจับแผนที่เครือข่าย ก่อนเลือกเวลาที่เหมาะสมที่สุดในการเข้ารหัสไฟล์ให้มากที่สุดในคอมพิวเตอร์มากที่สุด
แฮกเกอร์เบื้องหลังมัลแวร์ใช้กลยุทธ์ "Living off the Land" ซึ่งเกี่ยวข้องกับการใช้ฟีเจอร์ของระบบปฏิบัติการเพื่อทำลายเครือข่ายของเหยื่อ กลยุทธ์นี้ทำให้มัลแวร์เก็บโปรไฟล์ต่ำ (Low Profile) ขณะแพร่กระจาย
ในการโจมตีที่บันทึกไว้ในปี 2018 แฮกเกอร์ที่ใช้มัลแวร์นี้สามารถซ่อนตัวอยู่ได้ 48 ชั่วโมง ซึ่งในช่วงนั้นพวกเขาใช้ PsInfo (เครื่องมือ Microsoft Sysinternals) เพื่อรวบรวมข้อมูลและใช้ทรัพยากรเครือข่ายดาวน์โหลดมัลแวร์อื่นๆ มาช่วยกิจกรรมอาชญากรรม
หลังจากกระบวนการเจาะเข้าเสร็จสิ้น มัลแวร์จะแสดงข้อความรายละเอียดเงื่อนไขการถอดรหัส จะขอให้โอนเงินจำนวนมาก บางครั้งร้อยพันดอลลาร์ ไปที่ที่อยู่บิทคอยน์ (Bitcoin Address)
คุณนึกภาพได้ว่าการเจาะสำเร็จมีผลกระทบร้ายแรงต่อเหยื่อ ทั้งการรบกวน ความหงุดหงิด และค่าใช้จ่ายมหาศาลในการจัดการ
วิธีป้องกันรैनซัมแวร์ SamSam
어떻게ป้องกัน SamSam? SamSam มุ่งเป้าเป้าหมายที่ง่าย มันไม่找คอมพิวเตอร์ที่ยากที่จะเจาะ อาชญากรต้องการงานง่าย และองค์กรเป้าหมายคือฝ่ายที่ต้อง "ขี้เกียจ" ด้านความปลอดภัยเครือข่าย นี่คือเคล็ดลับป้องกัน SamSam:
· ติดตั้งแอนตี้ไวรัสที่ทรงพลัง
โซลูชันแอนตี้ไวรัสระดับพรีเมียม เช่น Outbyte Antivirus จะคอยเฝ้าระวังโจมตีมัลแวร์ แม้คุณลuredที่จะดาวน์โหลดเวอร์ชันฟรี แต่ลองคิดถึงความเสียหายมหาศาลที่การเจาะสำเร็จจะทำให้องค์กรของคุณ
· การยืนยันตัวตนหลายปัจจัย (Multi-factor Authentication)
แอปพลิเคชันที่เผยหน้าสู่ภายนอกทั้งหมดขององค์กรควรมีการยืนยันตัวตนหลายปัจจัย (MFA) จะป้องกันไม่ให้แฮกเกอร์ซื้อข้อมูลประจำตัวจากพนักงานที่ไม่พอใจหรือผิดปกติ
· การแพตช์และสแกน (Patching and Scanning)
แอปพลิเคชันที่เผยหน้าสู่ภายนอกทั้งหมดบนคอมพิวเตอร์ต้องได้รับแพตช์สำหรับช่องโหว่ใดๆ แฮกเกอร์ใช้ช่องโหว่เหล่านี้ในการติดตั้งมัลแวร์
· จ้าง Incident Containment Retainer
Incident Containment Retainer จะช่วยองค์กรเคลื่อนไหวเร็วที่สุดหากมีเหตุการณ์เกิดขึ้น จำเป็นสำหรับเหตุการณ์มัลแวร์ เพราะส่งผลต่อคอมพิวเตอร์และระบบทั่วเครือข่าย
· มีการสำรองข้อมูล (Employ Backups)
ถ้าองค์กรของคุณใหญ่ เช่น ผู้ให้บริการดูแลสุขภาพที่จัดการบันทึกผู้ป่วยสำคัญ ไม่มีข้ออ้างว่าทำไมไม่มีระบบสำรองข้อมูล เผื่อกรณีมัลแวร์อย่าง SamSam โจมตี อาจเป็นโอกาสเดียวที่คุณดำเนินการต่อได้โดยไม่มีปัญหา
การป้องกันอุปกรณ์จากรैनซัมแวร์ SamSam
สมมติคุณปฏิบัติมาตรการป้องกันข้างต้นทั้งหมดแล้ว คุณจะจัดการกับการโจมตีที่กำลังเกิดอยู่หรือการพยายามเจาะเข้าได้อย่างไร? นี่คือเคล็ดลับ:
- ถ้าการโจมตีสำเร็จ อย่าพิจารณาจ่ายค่าไถ่ เพราะจะเพียงทำให้ผู้โจมตีกล้าขึ้นครั้งหน้า และไม่มีการรับประกันว่าจะคืนไฟล์ให้
- ถ้าได้รับอีเมลน่าสงสัย โดยเฉพาะที่มีไฟล์แนบ อย่าเปิดจนกว่าจะแน่ใจว่าแท้จริง พร้อมกันนั้น ถ้ามีคนโทรมาจาก "แผนก IT" ขอรหัสผ่านและรายละเอียดระบุตัวตน ให้ถือว่าเป็นฉ้อโกง
- อัปเดตคอมพิวเตอร์ทั้งหมดให้เป็นปัจจุบัน องค์กรขนาดเล็กและกลางมีคอมพิวเตอร์เยอะมาก จนบางครั้งลืมอัปเดตบางเครื่อง แค่จุดอ่อนเพียงจุดเดียวก็พอให้การเจาะสำเร็จได้
การกำจัดรैनซัมแวร์ SamSam
กระบวนการทำความสะอาดหลังติดไวรัส SamSam โดยเฉพาะองค์กรใหญ่ที่มีคอมพิวเตอร์ร้อยถึงพันเครื่อง อาจมีค่าใช้จ่ายสูงมาก เกี่ยวข้องกับการติดตั้ง Windows ใหม่และใช้กระบวนการกู้คืนของ Windows เช่น System Restore และการรันคอมพิวเตอร์แต่ละเครื่องใน Safe Mode พร้อมเครือข่าย
เพื่อเริ่ม Windows 10/11 ใน Safe Mode พร้อมเครือข่าย ให้ทำตามขั้นตอน:
- ค้างปุ่ม Power ประมาณ 10 วินาที เพื่อปิดเครื่อง
- กดปุ่ม Power อีกครั้งเพื่อเปิดเครื่อง ทำซ้ำการเปิด-ปิดจนปรากฏ Windows Recovery Environment (winRE)
- winRE จะแสดงหน้าจอ Choose an Option ให้เลือก Troubleshoot > Advanced options > Startup Settings > Restart
- หลังจากคอมพิวเตอร์รีสตาร์ท คุณจะเห็นรายการตัวเลือก รวมถึง Safe Mode with Networking ให้ใช้ปุ่มลูกศรเลือกตัวเลือกนี้ หรือกดหมายเลข 5 บนคีย์บอร์ด
ตอนนี้คุณสามารถใช้อินเทอร์เน็ตดาวน์โหลดแอนตี้ไวรัส หรือสำรวจวิธีอื่นๆ ในการจัดการกับรैनซัมแวร์ SamSam
