ทำความเข้าใจ Jaff Ransomware: ภัยคุกคาม การแพร่กระจาย และการป้องกัน

Jaff ransomware โดย Necurs botnet เป็นแรนซัมแวร์ที่โหลดเข้าไปในคอมพิวเตอร์ที่เปราะบาง มักแจกจ่ายผ่านไฟล์ PDF ที่น่าสงสัยซึ่งมีไฟล์ .docm ที่ฝัง executable พร้อมแมโครอันตราย เมื่อเข้าสู่คอมพิวเตอร์เหยื่อ แรนซัมแวร์จะสแกนหาชนิดไฟล์ที่กำหนดไว้ล่วงหน้า และเข้ารหัสด้วยการเข้ารหัสแบบอสมมาตร (asymmetric encryption) หมายความว่าต้องใช้คีย์พิเศษเพื่อถอดรหัสไฟล์แต่ละไฟล์

Jaff ransomware ปล่อยในปี 2017 พร้อมกับ WannaCry ที่กำลังทำลายล้างทั่วโลก และเช่นเดียวกับ WannaCry มัลแวร์ Jaff ติดเชื้อคอมพิวเตอร์หลายพันเครื่องทั่วโลก

Jaff Ransomware ทำอะไรได้บ้าง?

กระบวนการติดเชื้อของ Jaff ransomware เริ่มต้นเมื่อเหยื่อรันแมโครบนเอกสาร Microsoft Word DOCM ที่ติดเชื้อ เมื่อเข้าสู่คอมพิวเตอร์ มัลแวร์ Jaff จะค้นหาไฟล์ที่ตรงกับ 424 นามสกุลไฟล์เฉพาะ และเข้ารหัส มันจะเพิ่มนามสกุล .jaff เข้าไปในทุกไฟล์ที่ถูกเข้ารหัส ดังนั้น หากไฟล์ต้นฉบับคือ myimage.jpg จะกลายเป็น myimage.jpg.jaff

หลังจากเข้ารหัสเสร็จ มัลแวร์จะทิ้งบันทึกค่าไถ่ที่ระบุจำนวนเงินค่าไถ่ (2 Bitcoin) และที่อยู่สำหรับส่งเงิน นักวิจัยด้านไซเบอร์เซキュリティสังเกตว่าผู้สร้าง Jaff ransomware คัดลอกโค้ดขอชำระเงินจากแรนซัมแวร์ดังอีกตัวหนึ่งชื่อ Locky

วิธีลบ Jaff Ransomware

การลบ Jaff ransomware จากคอมพิวเตอร์ไม่ใช่เรื่องง่าย เพราะมันใช้เทคนิคขुपซ่อนตัวไม่ให้โปรแกรมแอนตี้มัลแวร์ตรวจจับจนกว่าจะสายเกินไป

ตัวอย่างเช่น หลังจากดาวน์โหลดไฟล์มัลแวร์ Jaff ransomware เริ่มถอดรหัสโค้ดมัลแวร์ของตัวเอง และใช้ code redirection routine เพื่อดึงเวลาให้โปรแกรมแอนตี้มัลแวร์ใช้เวลานานในการวิเคราะห์โค้ดอันตราย มันทำได้เพราะรวมรหัสขยะ (garbage code) มากมายที่ไม่เกี่ยวข้องกับการทำงาน แม้แอนตี้มัลแวร์วิเคราะห์โค้ดอันตรายแล้ว ยังเผชิญงานยากคือการระบุชื่อ API ที่ Jaff ใช้ เพราะ Jaff ใช้เทคนิค hashing ซ่อน API

โชคดีที่ Microsoft แชร์เทคนิคขुपซ่อนกับพันธมิตรด้านความปลอดภัย หมายความว่าทั้งที่คุณต้องการลบ Jaff ransomware คือโซลูชันแอนตี้มัลแวร์ทรงพลังอย่าง Outbyte Anti-Malware

เพื่อแยกมัลแวร์ คุณต้องรันอุปกรณ์ Windows ใน Safe Mode with Networking Safe Mode เป็นสถานะ Windows พื้นฐานที่รันบนแอปและการตั้งค่า Windows ขั้นต่ำ และเหมาะสำหรับการแก้ไขปัญหา Windows

วิธีบูท Windows PC เข้าสู่ Safe Mode with Networking:

1. กดปุ่ม Windows + I บนแป้นพิมพ์เพื่อเปิด Settings
2. บนแอป Settings ไปที่ Update & Recovery
3. ภายใต้ Advanced Startup เลือก Restart now
4. บนหน้าจอ Choose an Option ที่ปรากฏหลังคอมพิวเตอร์รีสตาร์ท เลือก Troubleshoot > Advanced options > Startup Settings > Restart
5. เมื่อคอมพิวเตอร์รีสตาร์ทอีกครั้ง กดปุ่ม F5 เพื่อเลือก Safe Mode with Networking

Safe Mode with Networking จะให้คุณเข้าถึงทรัพยากรเครือข่าย เช่น อินเทอร์เน็ต ซึ่งคุณสามารถใช้ดาวน์โหลดเครื่องมือยูทิลิตี้หรือเรียนรู้เพิ่มเติมเกี่ยวกับกระบวนการลบ Jaff ransomware

เมื่อแอนตี้มัลแวร์จัดการกับไวรัสสำเร็จแล้ว ตอนนี้คุณต้องทำความสะอาดคอมพิวเตอร์ด้วยเครื่องมือซ่อมแซมพีซี เครื่องมือซ่อมแซมจะล้างไฟล์ขยะทั้งหมด ซ่อมแซมคีย์รีจิสทรีที่เสียหาย และปรับปรุงประสิทธิภาพโดยรวมของอุปกรณ์ หากคุณใช้ Mac ตัวเทียบเท่าของ Windows PC repair tool คือ Outbyte macAries

ตัวเลือกการกู้คืน (Recovery Options)

ตอนนี้คุณลบมัลแวร์จากคอมพิวเตอร์และทำความสะอาดด้วยเครื่องมือซ่อมแซมพีซีแล้ว ถึงเวลาที่คุณควรใช้ประโยชน์จากตัวเลือกกู้คืนของ Windows บางอย่าง

ตัวเลือกกู้คืนรวมถึง Startup Repair, Command Prompt, System Image Recovery, System Restore, Go back to the previous version, Refresh this PC, และ Reset this PC บทความนี้จะแสดงวิธีทำสองอย่าง

System Restore

System Restore เป็นตัวเลือกกู้คืนของ Windows ที่ให้คุณย้อนกลับการเปลี่ยนแปลงไฟล์ระบบของคอมพิวเตอร์ไปยังจุดกู้คืนหนึ่ง นั่นหมายความว่าคุณสามารถใช้ System Restore ลบแอปหรือโปรแกรมที่มีปัญหา รวมถึงเอนทิตีมัลแวร์และการพึ่งพาของมัน

ขั้นตอนเข้าถึง System Restore:

1. ไปที่กล่องค้นหา Windows พิมพ์ "create a restore point"
2. คลิกผลลัพธ์แรกของการค้นหานี้ เพื่อไปที่แอป System Properties
3. บนแอป System Properties ไปที่แท็บ System Protection กด System Restore
4. เลือกจุดกู้คืนจากรายการจุดกู้คืนที่มีอยู่บนคอมพิวเตอร์ หากไม่มีจุดกู้คืน พิจารณาใช้ตัวเลือกกู้คืน Windows อื่นๆ
5. หลังเลือกจุดกู้คืน ทำตามคำแนะนำบนหน้าจอเพื่อเสร็จสิ้น

Reset This PC

ตัวเลือกกู้คืน Windows อีกอย่างที่เราจะดูคือ Reset This PC ตัวเลือกนี้ให้คุณเก็บสำเนาไฟล์ของคุณ แม้ในกรณีนี้คุณไม่ควรกลุ้มใจ เพราะไฟล์ถูกเข้ารหัสโดย Jaff ransomware แล้ว

ขั้นตอนรีเซ็ตพีซี:

1. กดค้าง Windows และ I เพื่อไปที่แอป Settings
2. คลิก Update & Recovery > Recovery
3. ภายใต้ตัวเลือก Remove everything and reinstall Windows กด Get Started
4. ทำตามคำแนะนำบนหน้าจอเพื่อเสร็จสิ้น

หากคุณทำตามขั้นตอนที่ระบุข้างต้น เริ่มจากดาวน์โหลดซอฟต์แวร์แอนตี้มัลแวร์พรีเมียม คุณจะเสร็จสิ้นกระบวนการลบ Jaff ransomware ได้สำเร็จ

บางคนอาจสงสัยว่าคุ้มค่าที่จะจ่ายค่าไถ่ในการจัดการกับ Jaff ransomware แม้การจ่ายค่าไถ่เป็นสิทธิ์ของคุณ แต่เราไม่แนะนำ เพราะมันเพียงกระตุ้นให้ผู้ร้ายทางไซเบอร์สร้างภัยคุกคามแรนซัมแวร์ที่ทรงพลังขึ้นเรื่อยๆ นاهิคจากไม่มีการรับประกันว่าหลังจ่ายค่าไถ่คุณจะได้ไฟล์คืน เพราะมีกรณีที่ผู้ร้ายเงียบขรึมหลังได้เงิน

สิ่งที่เราขอให้คุณทำคือ เก็บสำเนาสำรองไฟล์ โดยเฉพาะบนคลาวด์ (cloud) เพื่อแม้คุณจะเป็นเหยื่อโจมตีแรนซัมแวร์ร้ายแรง คุณก็ไม่ต้องเสียอะไร เพราะไฟล์ทั้งหมดอยู่ในมือคุณ

นอกจากนี้ ห้ามเปิดไฟล์แนบจากแหล่งที่ไม่รู้จัก ควรตรวจสอบความถูกต้องของอีเมลแปลกๆ ที่มาบางครั้ง