KONNI เป็น Remote Access Trojan (RAT) ที่เชื่อมโยงอย่างแน่นอนกับหน่วยงานข่าวกรองเกาหลีเหนือ นักวิจัยด้านไซเบอร์เซคิวริตี้เชื่อมโยงได้ เพราะหลังการทดสอบขับขนานข้ามทวีป (ICBM) สำเร็จของเกาหลีเหนือในปี 2017 พบการเพิ่มขึ้นของแคมเปญ Spear Phishing ที่อ้างอิงความสามารถด้านนิวเคลียร์และข tênของเกาหลีเหนือ แคมเปญ KONNI เหมือนกันเกิดขึ้นในปี 2014 และนำไปสู่ข้อสรุปว่า KONNI เป็นอาวุธข่าวกรองสำหรับผู้สนใจเรื่องเกาหลีเหนือ โดยเฉพาะโปรแกรมนิวเคลียร์และข tênบัลลิสติก เป้าหมายส่วนใหญ่อยู่ในภูมิภาค Asia-Pacific
KONNI Trojan ทำอะไร?
KONNI ติดเชื้อคอมพิวเตอร์ผ่านเอกสาร Word ที่ติดไวรัส ส่งมาถึงเหยื่อส่วนใหญ่เป็นไฟล์แนบอีเมล
ขณะเหยื่อดาวน์โหลดไฟล์ มัลแวร์จะโหลดในพื้นหลังและรันเพย์โหลด KONNI เริ่มภารกิจหลัก: การลาดตระเวนและรวบรวมข้อมูล สร้างโปรไฟล์เครือข่ายคอมพิวเตอร์ขององค์กร จับภาพหน้าจอ ขโมยรหัสผ่าน ประวัติการท่องเว็บ และหาข้อมูลทุกอย่างที่เจอ ส่งไปยัง Command & Control Center
มัลแวร์สร้างไดเรกทอรี Windows ภายใต้โฟลเดอร์ local settings ของผู้ใช้ปัจจุบัน: MFAData\\event และแยกไฟล์ DLL อันตราย 2 ไฟล์ (หนึ่งสำหรับ 64-bit อีกตัว 32-bit) จากนั้นสร้างคีย์รีจิสทรีชื่อ RTHDVCP หรือ RTHDVCPE ที่พาธ: HKCU\\Software\\Microsoft\\Windows\\CurrentVersion\\Run
พาธรีจิสที้นี้ใช้สำหรับ Auto-persistence เพราะจะเริ่มกระบวนการอัตโนมัติหลังล็อกอินสำเร็จ ไฟล์ DLL ที่สร้างมีความสามารถหลัก: Keylogging, Host Enumeration, Intelligence Gathering, Data Exfiltration, Host Profiling
ข้อมูลที่รวบรวมจะนำไปสร้างการโจมตีที่เหมาะกับโปรไฟล์เหยื่อ หาก KONNI ติดเชื้อคอมพิวเตอร์เป้าหมายระดับสูง เช่น ทหารเกาหลีใต้ หรือสถาบันการเงิน ผู้ดำเนินการอาจปรับแต่งการโจมตีเฉพาะเจาะจง เช่น การจับ探ข่าวกรอง หรือโจมตีแรนซัมแวร์
วิธีกำจัด KONNI Trojan
สมมติคอมพิวเตอร์ติดเชื้อ คุณรู้ไหมว่าต้องทำอย่างไร?
วิธีง่ายที่สุดคือใช้โซลูชันแอนติมัลแวร์น่าเชื่อถือ เช่น Outbyte Antivirus ต้องรัน PC ใน Safe Mode เพราะ KONNI ใช้เทคนิค Auto-persistence รวมถึงการจัดการรายการเริ่มต้นอัตโนมัติให้รวมตัวเองไว้
ขั้นตอนเข้า Safe Mode with Networking สำหรับ Windows 10/11 และ 7:
- เปิด Run โดยกด Windows + R
- พิมพ์ msconfig รันคำสั่ง
- ไปแท็บ Boot เลือก Safe boot และ Network
- รีสตาร์ทอุปกรณ์
หลังรีสตาร์ท ให้เปิดแอนติมัลแวร์ และปล่อยให้สแกนลบไวรัสนานพอ
หากไม่มีแอนติมัลแวร์ สามารถติดตามไฟล์/โฟลเดอร์ที่เป็นที่พักของไวรัสด้วยตนเอง: เปิด Task Manager (Ctrl+Alt+Delete) ไปแท็บ Startup หารายการ Startup ที่น่าสงสัย คลิกขวา Open file location ไปที่ตำแหน่งไฟล์ ลบไฟล์/โฟลเดอร์ไป Recycle Bin ควรหาโฟลเดอร์ MFAData\\event
อีกอย่างคือซ่อมแซมและลบรายการรีจิสทรีที่เสียหาย/เกี่ยวกับ KONNI วิธีง่ายคือใช้ PC Cleaner เพราะเป้าหลักคือซ่อมรีจิสทรีเสียหาย
PC Repair Tool ยังลบไฟล์ขยะ คุกกี้ ประวัติการท่องเว็บ ดาวน์โหลด และข้อมูลส่วนใหญ่ที่ Trojan อย่าง KONNI ส่งไปให้โจร กล่าวคือ ใช้ PC Cleaner ไม่เพียงลดความเสี่ยงติดเชื้อซ้ำ แต่ยังทำให้มั่นใจว่าแม้มัลแวร์อื่นเข้ามา ก็ขโมยข้อมูลไม่ได้มาก
หากทำตามขั้นตอนด้านบน โอกาสสูงที่คุณจัดการภัยคุกคามมัลแวร์ได้สมบูรณ์ เหลือแค่ป้องกันการติดเชื้อในอนาคต
ต้องรู้ว่า มัลแวร์อย่าง KONNI ติดเชื้อได้ต่อเมื่อเหยื่อไม่ระมัดระวังกับไฟล์แนบจากแหล่งไม่รู้จัก หากระมัดระวังเพิ่มเติม ไม่ดาวน์โหลดไฟล์ทุกอย่างที่ส่งมา จะลดความเสี่ยงได้มาก
สุดท้าย ต้องอัปเดตคอมพิวเตอร์ให้บ่อยที่สุด มัลแวร์อย่าง KONNI ใช้ช่องโหว่ที่ผู้พัฒนาซอฟต์แวร์รวมถึง Microsoft กำลังแก้ไข (Patch) อยู่ตลอดเวลา
