ในปี 2019 ทีม Microsoft Defender ATP ตรวจพบสายพันธุ์ใหม่ของมัลแวร์แบบไร้ไฟล์ (Fileless Malware) มัลแวร์ที่ถูกทีม Microsoft เรียกว่า Nodersok หรือ Divergent โดย Cisco มีความสามารถในการดาวน์โหลดและติดตั้งโครงสร้าง Node.js (Node.js Framework) และนำคอมพิวเตอร์ที่ติดไวรัสมาเป็นพร็อกซี (Proxies) ช่วยเหลือในการทำ Click Fraud (การคลิกปลอม)
มัลแวร์ Nodersok ถูกเผยแพร่ผ่านโฆษณาอันตราย (Malicious Ads) ที่เมื่อคลิกแล้ว จะบังคับดาวน์โหลดแอปพลิเคชัน HTML (HTML Applications - HTA) บนคอมพิวเตอร์ของผู้ใช้ เริ่มต้นกระบวนการติดไวรัสหลายระดับ (Multi-level) ที่เกี่ยวข้องกับ MS Excel, สคริปต์ PowerShell และ JavaScript สคริปต์ PowerShell สุดท้ายจะช่วยดาวน์โหลดมัลแวร์ Nodersok
มัลแวร์ Nodersok ทำอะไร?
มัลแวร์ Nodersok ประกอบด้วยคอมโพเนนต์หลายตัว แต่ละตัวมีบทบาทในการติดไวรัส คอมโพเนนต์แรกคือโมดูล PowerShell ซึ่งทำหน้าที่สำคัญในการปิดการป้องกันมัลแวร์ใดๆ รวมถึง Windows Defender และ Windows Update คอมโพเนนต์ที่สอง ยกเลิกสิทธิ์มัลแวร์เป็นระดับ SYSTEM (SYSTEM Level) กลยุทธ์ที่ให้ Nodersok สิทธิ์อิสระบนคอมพิวเตอร์ของเหยื่อ
คอมโพเนนต์อีกสองตัวคือ Node.js และ Windows Packet Divert (WinDivert) แอปเหล่านี้พบได้บนคอมพิวเตอร์ Windows ส่วนใหญ่ และไม่ใช่อันตรายด้วยตัวเอง แต่มัลแวร์ Nodersok สามารถใช้พวกมันสำหรับการจับและโต้ตอบกับแพ็กเก็ตเครือข่าย (Network Packets) และรัน JavaScript บนเว็บเซิร์ฟเวอร์
ด้วยกลยุทธ์การโจมตีนี้ มัลแวร์สามารถทำให้คอมพิวเตอร์ที่ติดไวรัสกลายเป็นซอมบี้ (Zombify) และเปลี่ยนเป็นพร็อกซีที่ใช้เป็นเซิร์ฟเวอร์ส่งต่อ (Relay Servers) ออกแบบมาเพื่อให้ไซเบอร์อาชญากรได้เข้าถึงและควบคุมระดับที่ไม่มีก่อนหน้านี้บนเครื่องที่ติดไวรัส
ฉันจะรู้ได้อย่างไรว่าฉันติดไวรัส Nodersok?
การตรวจจับมัลแวร์ Nodersok ไม่ง่ายเลย เพราะมันลับลับมาก แต่มีอาการที่คุณสามารถสังเกตได้ อาการเหล่านี้รวมถึง ประสิทธิภาพลดลง (Reduced Performance) ไม่ตอบสนอง (Unresponsiveness) และการเพิ่มขึ้นของกิจกรรมเครือข่ายที่อธิบายไม่ได้ (Unexplained Spike in Network Activities) คุณยังสามารถตรวจสอบโปรเซสที่ทำงานบนคอมพิวเตอร์ของคุณได้ หากพวกมันน่าสงสัยและใช้ทรัพยากรคอมพิวเตอร์มากเกินไป ให้ติดตามตำแหน่งของพวกมันโดยการคลิกขวาเพื่อเปิดตำแหน่งไฟล์ (Open File Location)
วิธีกำจัดมัลแวร์ Nodersok
การกำจัดมัลแวร์ Nodersok ง่าย เพราะทีม Microsoft ได้ระบุมันเป็นภัยคุกคามแล้ว และได้ดำเนินการแพตช์ช่องโหว่ที่มัลแวร์พึ่งพาเพื่อบรรลุเป้าหมายอาชญากรรม Microsoft ยังแจ้งให้พันธมิตรด้านความปลอดภัยทั้งหมด (ผู้ขายซอฟต์แวร์แอนตี้ไวรัส) ทราบถึง "เด็กใหม่" ในบล็อกนี้ ดังนั้น ทั้งหมดที่คุณต้องทำเพื่อกำจัดมัลแวร์ Nodersok คือ ปรับใช้ซอฟต์แวร์ต่อต้านมัลแวร์ที่ทรงพลัง เช่น Outbyte Antivirus คุณยังต้องดาวน์โหลดการอัปเดต Windows ล่าสุด
ในขณะที่การอัปเดต Windows จะป้องกันการติดไวรัสในอนาคต พวกมันไม่สามารถกำจัดการติดไวรัสที่กำลังทำงานอยู่ได้ และนั่นคือเหตุผลที่คุณต้องอัปเดตอุปกรณ์และสแกนพร้อมกัน
เมื่อใช้แอนตี้มัลแวร์ 最好 ให้รันอุปกรณ์ Windows ใน Safe Mode ซึ่งเป็น Windows แบบโครงกระดูก ที่รันการตั้งค่าและแอปเริ่มต้นเท่านั้น กล่าวคือ Safe Mode แยกแอปอื่นๆ ทั้งหมด ยกเว้นแอปของ Windows ทำให้การแก้ไขปัญหาประสิทธิภาพง่ายขึ้นมาก นี่คือขั้นตอนเข้าสู่ Safe Mode บนคอมพิวเตอร์ Windows 10/11:
- กดปุ่ม Windows Start ไปที่ Settings > Update & Security > Recovery
- ภายใต้ Advanced startup ให้เลือก Restart now
- จากหน้าจอ Choose an Option ที่ปรากฏหลังคอมพิวเตอร์รีสตาร์ท ให้เลือก Troubleshoot > Advanced options > Startup Settings > Restart
- หลังจากคอมพิวเตอร์รีสตาร์ท ให้กด F5 เพื่อเลือก Safe Mode with Networking
ตอนนี้คุณอยู่ใน Safe Mode พร้อมเครือข่ายแล้ว คุณสามารถใช้อินเทอร์เน็ตดาวน์โหลดแอนตี้มัลแวร์
เครื่องมือยูทิลิตี้อีกตัวที่จะช่วยคุณกำจัดมัลแวร์ Nodersok คือ เครื่องมือซ่อมแซมคอมพิวเตอร์ (PC Repair Tool) มันจะทำให้คุณตรวจสอบกิจกรรมเครือข่ายบนคอมพิวเตอร์ได้ง่ายขึ้น ถ้ามันเพิ่มขึ้นมาก คุณก็มีเหตุผลที่จะสงสัยว่ามีบางอย่างผิดปกติ
แม้หลังจากทำความสะอาดและสแกนคอมพิวเตอร์แล้ว คุณยังต้องใช้เครื่องมือกู้คืนอื่นๆ เพื่อให้แน่ใจว่าภัยคุกคามจากมัลแวร์ Nodersok ได้รับการจัดการอย่างสมบูรณ์
การกู้คืนระบบ (System Restore)
คุณมีจุดกู้คืนบนคอมพิวเตอร์ไหม? ถ้ามี คุณควรใช้มันเพื่อยกเลิกการเปลี่ยนแปลงที่เป็นปัญหาไปยังแอป การตั้งค่า ไฟล์ระบบ และการกำหนดค่า Windows วิธีใช้ตัวเลือก System Restore ให้ทำตามขั้นตอน:
- ในช่องค้นหา ให้พิมพ์ 'create a restore point'
- เลือกผลลัพธ์แรกจากการค้นหานี้
- บนแอป System Properties ไปที่แท็บ System Protection และคลิก System Restore
- เลือกจุดกู้คืน
- ทำตามคำแนะนำบนหน้าจอเพื่อดำเนินการให้เสร็จสิ้น
ในระหว่างกระบวนการ System Restore คุณจะได้รับรายการแอป การตั้งค่า และการอัปเดตที่จะไม่พร้อมใช้งานเมื่อกระบวนการ System Restore เสร็จสิ้น โปรดตรวจสอบให้แน่ใจว่าไฟล์ HTA ที่ใช้เริ่มการติดไวรัส Nodersok อยู่ในรายการนั้น
ตัวเลือกกู้คืนอีกอย่างที่คุณอาจพิจารณาใช้คือ ตัวเลือก Refresh (Refresh Option) มันให้คุณติดตั้ง Windows ใหม่ พร้อมตัวเลือกเก็บไฟล์และการตั้งค่าไว้
วิธี Refresh คอมพิวเตอร์ Windows 10/11:
- กดปุ่ม Windows Start ไปที่ Settings > Change PC settings
- คลิก Update and Recovery แล้วเลือก Recovery
- ภายใต้ Refresh your PC with affecting your files ให้เลือก Get started
- ทำตามคำแนะนำบนหน้าจอเพื่อดำเนินการให้เสร็จสิ้น
วิธีรักษาความปลอดภัยคอมพิวเตอร์จากมัลแวร์ Nodersok
ในช่วงยอดเยี่ยม มัลแวร์ Nodersok สามารถติดไวรัสอุปกรณ์ล้านๆ เครื่องในสหรัฐและยุโรป วิธีการเจาะเข้าหลักคือผ่านโฆษณาอันตราย (Malicious Ads) ดังนั้น หากคุณหลีกเลี่ยงพวกมันโดยไม่เข้าชมเว็บไซต์ที่ไม่ปลอดภัย หรือดาวน์โหลดไฟล์แนบอีเมลจากแหล่งที่ไม่คุ้นเคย คุณก็จะปลอดภัย
คุณยังต้อง武装ตัวเองด้วยเครื่องมือต่อต้านมัลแวร์ เพราะแม้มัลแวร์ Nodersok จะลบง่าย แต่มีภัยคุกคามมัลแวร์เยอะมาก และคุณไม่รู้ว่าพวกมันอาจติดไวรัสคอมพิวเตอร์ของคุณเมื่อไหร่
หากคุณมีคำถาม ข้อเสนอแนะ หรือความคิดเห็นเกี่ยวกับมัลแวร์ Nodersok รู้สึกสบายใจโพสต์ในส่วนความคิดเห็นด้านล่าง
