Ransomware (แรนซัมแวร์) คือโปรแกรมอันตรายที่เข้ารหัสไฟล์และโฟลเดอร์บนคอมพิวเตอร์แล้ว挟持ไว้ เพื่อขอค่าไถ่ชีวิต (มักเป็น Bitcoin) จากเหยื่อเพื่อปลดล็อกไฟล์คืน
ปัจจุบัน การโจมตีแรนซัมแวร์เป็นภัยคุกคามทางไซเบอร์ความรุนแรง เนื่องจากเกิดขึ้นบ่อยมาก มีรายงานว่าทุก 14 วินาทีก็มีการโจมตีครั้งหนึ่ง สิ่งที่น่ากลัวกว่านั้นคือสายพันธุ์มัลแวร์แรนซัมแวร์ใหม่ๆ ที่เกิดขึ้นตลอดเวลา ทำให้ผู้เชี่ยวชาญด้านไซเบอร์เซキュリティติดตามไม่ทัน
บทความนี้จะพูดถึงสายพันธุ์หนึ่งที่ชื่อว่า Sage
Sage Ransomware ทำอะไรได้บ้าง?
Sage Ransomware เป็นสายพันธุ์มัลแวร์จากกลุ่ม TeslaCrypt Ransomware ซึ่งปัจจุบันหยุดทำงานแล้ว เหมือนแรนซัมแวร์ทั่วไป Sage จะสแกนคอมพิวเตอร์เหยื่อหาชนิดไฟล์ที่กำหนดไว้ล่วงหน้า แล้วเข้ารหัสด้วยอัลกอริทึมเข้ารหัสที่แข็งแกร่ง หลังจากนั้นจะทิ้งบันทึกขอค่าไถ่ (Ransom Note) ไว้ข้อความประมาณนี้:
ATTENTION!
Sage ได้เข้ารหัสไฟล์ทั้งหมดของคุณแล้ว!
—————————–
ไฟล์ รูปภาพ วิดีโอ และฐานข้อมูลทั้งหมดถูกเข้ารหัสและเข้าถึงไม่ได้โดยซอฟต์แวร์ที่ชื่อว่า Sage
คุณไม่มีโอกาสกู้คืนไฟล์โดยไม่มีความช่วยเหลือจากเรา
แต่หากปฏิบัติตามคำแนะนำ ไฟล์สามารถกู้คืนได้ง่าย
คำแนะนำการกู้คืนไฟล์ถูกเก็บไว้ในทุกไดรฟ์
ในเอกสาร และบนเดสก์ท็อป
หาไฟล์ !Recovery_2g0zr9.txt และ !Recovery_2g0zr9.html
หากหาไม่เจอ ให้ใช้โปรแกรม Tor Browser (ค้นหาใน Google)
เพื่อเข้าถึงเว็บไซต์ onion: https://qbxeaekvg7o3lxnn.onion เพื่อรับคำแนะนำ
เมื่อ Sage ทำถึงขั้นนี้ ไฟล์ที่ถูกเข้ารหัสมักใช้มาตรฐาน AES-256-bit ระดับทหาร ไม่สามารถกู้คืนได้โดยไม่มีคีย์ถอดรหัส
แม้คุณจะพิจารณาจ่ายค่าไถ่ (มักประมาณ 530 ดอลลาร์เป็น Bitcoin) แต่เราไม่แนะนำ เพราะโจรไซเบอร์ไม่ใช่คนที่เชื่อถือได้ แม้พวกเขาจะคืนคีย์ให้ ก็อาจโจมตีซ้ำได้ เพราะคุณแสดงให้เห็นว่ายินดีจ่าย
สิ่งที่ควรทำหลังโดนแรนซัมแวร์คือ กำจัด Sage Ransomware ทันทีที่สุด
วิธีกำจัด Sage Ransomware
สาเหตุที่กลุ่ม TeslaCrypt หยุดทำงาน คือนักวิจัยด้านไซเบอร์เซคิวริตี้เข้าใจวิธีการทำงาน จึงพัฒนาโซลูชันแอนติมัลแวร์ที่ตรวจจับและหยุดพวกเขาได้ ดังนั้น การกำจัด Sage ต้องใช้ซอฟต์แวร์แอนติมัลแวร์ที่ทรงพลัง เช่น Outbyte Anti-Malware จะสแกนครบทุกมุมหาลายเซ็นและพฤติกรรมของมัลแวร์ Sage
เมื่อมัลแวร์รุนแรงอย่าง Sage แนะนำให้รันคอมพิวเตอร์ใน Safe Mode with Networking
Safe Mode ป้องกันไม่ให้แอปอื่นรันอัตโนมัติ ยกเว้นแอปมาจาก Windows OS ส่วน Networking อนุญาตให้เข้าถึงอินเทอร์เน็ต วิธีเข้า Safe Mode with Networking บน Windows 10/11:
- ที่หน้าจอ Sign in ของ Windows กด Shift + Restart
- Windows จะรีบูทและแสดงหน้าจอ Choose an option เลือก Troubleshoot
- ไปที่ Advanced options → Startup Settings → Restart
- กด 5 หรือ F5 เพื่อบูทเข้า Safe Mode with Networking
เมื่ออยู่ใน Safe Mode with Networking แล้ว จึงควรเปิดแอนติมัลแวร์ ถ้ายังไม่มี ให้ดาวน์โหลดจากอินเทอร์เน็ต
อีกเครื่องมือที่จำเป็นคือ PC Repair Tool จะสแกนระบบทั้งเครื่อง ลบไฟล์ขยะ หยุดปัญหาที่ทำช้า และซ่อมแซมรีจิสทรีที่เสียหายหรือหายไป กล่าวคือ แอนติมัลแวร์จะกำจัดไวรัส ส่วน PC Repair Tool จะฟื้นฟูสุขภาพเครื่อง
Windows Recovery Tools
สมมติว่าคุณไม่ได้ใช้ Outbyte Antivirus ยังมีวิธีอื่นไหม?
Windows OS มีตัวเลือกการกู้คืนหลายอย่าง เริ่มจาก System Restore ไปจนถึง Use installation media to reinstall Windows เราจะพูดถึง 2 วิธีหลัก
System Restore
System Restore เป็นเครื่องมือกู้คืนของ Windows ที่พึ่งพา Restore Point ซึ่งเหมือน "สแนปชอต" ของ Windows OS ณ จุดเวลาหนึ่ง
หากมีสแนปชอตไว้ สามารถนำคอมพิวเตอร์กลับสู่สภาพเดิมได้ การเข้าถึง System Restore ง่าย หากคุณเคยทำขั้นตอนเข้า Safe Mode with Networking อาจเห็นตัวเลือก System Restore ภายใต้ Advanced options
คลิกเลือก จะ thấyรายการ Restore Point ที่มีอยู่ เลือกหนึ่งจุดแล้วดำเนินการต่อ
ข้อจำกัด: 1) ต้องมี Restore Point ที่สร้างก่อนปัญหาเกิด 2) บางสายพันธุ์มัลแวร์ลบ Restore Point ทิ้ง เพื่อป้องกันไม่ให้เหยื่อกู้คืนได้
Reset this PC
Reset this PC ให้คุณรีเซ็ตอุปกรณ์กลับสู่ค่าเริ่มต้น ขั้นตอน Windows 10/11:
- เปิด Settings โดยกด Windows + I
- ไปที่ Change PC settings > Update & Recovery > Recovery
- เลือก Remove Everything เพื่อรีเซ็ต PC (เพราะไฟล์ที่ Sage เข้ารหัสกู้คืนไม่ได้)
- คลิก Get Started
- ทำตามคำแนะนำบนหน้าจอ
แม้ไม่มีแอนติไวรัส การรีเซ็ต PC ควรจะกำจัดมัลแวร์ทั้งหมด ต่อไปคือป้องกันไม่ให้ติดไวรัสใหม่
วิธีป้องกันไม่ให้ Ransomware ติดเชื้อคอมพิวเตอร์
การป้องกันมัลแวร์เป็นเรื่องยาก แม้สำหรับผู้เชี่ยวชาญ แต่ทำได้ หากปฏิบัติกฎความปลอดภัยง่ายๆ ดังนี้:
- ติดตั้งแอนติมัลแวร์ และสแกนคอมพิวเตอร์ทุกวันหากทำได้
- หลีกเลี่ยงเว็บไซต์ที่ไม่มีตราประทับความปลอดภัย หรือมีโฆษณาเยอะเกินไป
- ตรวจสอบความถูกต้องของข้อความ อีเมล และการแจ้งเตือนด้านความปลอดภัย ก่อนตอบสนอง
- สำรองข้อมูลสำคัญไว้เสมอ เพื่อกู้คืนได้หากโดนแรนซัมแวร์
- เก็บคอมพิวเตอร์ให้สะอาด โดยลบคุกกี้ ประวัติการท่องเว็บ แอป และไฟล์ที่ไม่ต้องการ
