ทำความเข้าใจไรเซมแวร์ Xorist: การทำงาน และวิธีป้องกันตัวเอง

อินเทอร์เน็ตกลายเป็นไม่ปลอดภัยมากขึ้น หนึ่งในภัยคุกคามด้านความปลอดภัยที่ใหม่และร้ายแรงที่สุดบนอินเทอร์เน็ตคือ ไรเซมแวร์ Xorist (Xorist ransomware) นักวิเคราะห์ด้านความปลอดภัยสังเกตเห็นการเพิ่มขึ้นของการติดเชื้อไรเซมแวร์ Xorist อย่างชัดเจน

เราได้รวบรวมบทความนี้เพื่ออธิบายว่า ไรเซมแวร์ Xorist คืออะไร มันทำอะไรกับคุณ วิธีการเจาะเข้า (intrusion method) และวิธีการกำจัด ทำตามคู่มือกำจัดไรเซมแวร์ที่เราให้ไว้ท้ายบทความด้วย เพื่อกำจัดไรเซมแวร์ Xorist

เกี่ยวกับไรเซมแวร์ Xorist

ไรเซมแวร์ Xorist เป็นส่วนหนึ่งของครอบครัวแมลแวร์โทรจัน (malware Trojans) (ทั้งหมดเป็นไรเซมแวร์) ที่เสนอเป็น RaaS (Ransomware as a Service) แฮกเกอร์สร้างเวอร์ชันต่างๆ (variants) ของไรเซมแวร์ Xorist โดยใช้เครื่องมือสร้างไรเซมแวร์ (ransomware builder) สิ่งนี้ทำให้สคริปต์คิดดี้ (script kiddies) และนักหลอกลวง (con artists) สามารถสร้างเวอร์ชันกำหนดเอง (custom versions) ได้อย่างรวดเร็ว

เพราะง่ายที่จะปรับแต่งเวอร์ชันของไรเซมแวร์ Xorist ความปลอดภัยของคอมพิวเตอร์จึงซับซ้อนมากขึ้น นักวิจัยพบว่ายากที่จะเสนอโซลูชัน เพราะมีเวอร์ชันมากมาย มันใช้ข้อความขอค่าไถ่ที่เข้ารหัสต่างกัน นามสกุลไฟล์ต่างกัน การเข้ารหัสต่างกัน และกลยุทธ์อื่นๆ หลากหลาย

เวอร์ชันต่างๆ ของไรเซมแวร์ Xorist ยังคงพัฒนาต่อไปแม้จะมีการถอดรหัสที่ใช้งานอยู่ ตั้งแต่เกิดขึ้นมาจนถึงปัจจุบัน เวอร์ชันใหม่ยังคงปรากฏขึ้นเรื่อยๆ

ไรเซมแวร์ Xorist ทำอะไร?

Xorist เป็นแมลแวร์ที่เข้ารหัสไฟล์ โดยปกติบนคอมพิวเตอร์ Microsoft Windows มันใช้อัลกอริทึมการเข้ารหัสที่แข็งแกร่ง (robust encryption algorithm) มันขอให้ผู้ใช้จ่ายค่าไถ่เพื่อถอดรหัสไฟล์ มักมุ่งเป้าผู้ใช้ที่พูดภาษาอังกฤษและรัสเซีย Xorist แพร่กระจายโดยการแฮ็กผ่านการตั้งค่า RDP ที่ไม่ปลอดภัย โดยใช้:

• web injects
• exploits
• email spam
• malicious attachments
• fake updates
• fraudulent downloads
• infected
• repackaged installers

วิธีการเจาะเข้า (Intrusion Method) ของไรเซมแวร์ Xorist

ไรเซมแวร์ Xorist คัดลอกไฟล์ของมันไปที่ฮาร์ดดิสก์ของคอมพิวเตอร์เหยื่อ เนื่องจากมีเวอร์ชันต่างๆ ชื่อไฟล์จึงต่างกัน เช่น (randomname).dll อย่างไรก็ตาม นามสกุลเริ่มต้นของ Xorist คือ .EnCiPhErEd

ไรเซมแวร์จากนั้นสร้างคีย์สตาร์ทอัป (startup key) ใหม่ ชื่อ Xorist ransomware และค่า (randomname).dll เหยื่อสามารถพบมันได้ในรายการกระบวนการ (processes list) ชื่อ Xorist ransomware หรือ (randomname).dll มันอาจสร้างโฟลเดอร์ในระบบของเหยื่ออีก โดยเฉพาะภายใต้ C:\Program Files\ หรือ C:\ProgramData ชื่อ Xorist ransomware

ทุกเวอร์ชันของไรเซมแวร์ Xorist มีบันทึกขอค่าไถ่เริ่มต้น (default ransom note) ชื่อ 'HOW TO DECRYPT FILES.txt' และประกอบด้วยข้อความดังนี้:

Attention! All your files are encrypted!
To restore your files and access them,
please send an SMS with the text XXXX to YYYY number.

You have N attempts to enter the code.
When that number has been exceeded,
all the data irreversibly is destroyed.
Be careful when you enter the code!

วิธีกำจัดไรเซมแวร์ Xorist?

ไรเซมแวร์ Xorist สามารถกำจัดได้ 2 วิธี:

1. ด้วยตนเอง (Manually) โดยการลบคีย์รีจิสทรีและไฟล์ที่เกี่ยวข้องทั้งหมด ลบออกจากรายการสตาร์ทอัป (startup list) และยกเลิกการลงทะเบียน DLL ที่เกี่ยวข้องทั้งหมด
2. อัตโนมัติ (Automatically) โดยใช้เครื่องมือแอนติแมลแวร์ของบุคคลที่สาม และซอฟต์แวร์กู้คืนข้อมูล (data recovery software) เช่น Wipersoft, Spyhunter Remediation, Emsisoft และ Kaspersky และอื่นๆ

โชคดีที่ นักวิเคราะห์และนักวิจัยด้านความปลอดภัยคอมพิวเตอร์ ได้ค้นพบเครื่องมือสร้างไรเซมแวร์ (ransomware builder) ที่แฮกเกอร์ใช้สร้างเวอร์ชันของไรเซมแวร์ Xorist พวกเขาจึงใช้เครื่องมือสร้างนี้เพื่อสร้างโปรแกรมถอดรหัส (decrypter) ในรูปซอฟต์แวร์ของบุคคลที่สาม สำหรับภัยคุกคามทั้งหมดที่เกี่ยวข้องกับทุกเวอร์ชันของไรเซมแวร์ Xorist

ผลคือ แอนติแมลแวร์หรือแอนตี้ไวรัสที่น่าเชื่อถือสามารถกำจัดไรเซมแวร์ Xorist ได้สำเร็จ เหยื่อจะต้องใช้ยูทิลิตี้เพิ่มประสิทธิภาพมืออาชีพ (professional optimization utility) เพื่อแก้ไขความเสียหาย

คู่มือการกำจัดไรเซมแวร์ Xorist

คุณสามารถกำจัดไรเซมแวร์ Xorist ด้วยตนเองได้โดยทำตามแนวทางด้านล่าง:

• ลบคีย์รีจิสทรีและไฟล์ที่เกี่ยวข้องทั้งหมด
• ลบออกจากรายการสตาร์ทอัป
• ยกเลิกการลงทะเบียน DLL ที่เกี่ยวข้องทั้งหมด นอกจากนี้ คุณควรกู้คืน DLL ที่หายไป หากถูกทำลายโดยไรเซมแวร์ Xorist

เพื่อกำจัดไรเซมแวร์ Xorist ด้วยตนเอง คุณควรดำเนินการตามขั้นตอนต่อไปนี้:

1. สำรองข้อมูลไฟล์และโฟลเดอร์ทั้งหมดไว้ในที่เก็บที่ปลอดภัย
2. บูทคอมพิวเตอร์เข้า Safe Mode
3. ล้างรีจิสทรีทั้งหมดที่ไรเซมแวร์ Xorist สร้างบนคอมพิวเตอร์ของคุณ รีจิสทรี Windows ที่มักถูกมุ่งเป้าคือ:
   HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
   HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
   HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnce
   HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce
   • เปิดหน้าต่าง Run พิมพ์ "regedit" และคลิก OK
   • ใน Registry Editor ให้ไปที่คีย์ Run และ RunOnce ตามตำแหน่งที่แสดงข้างต้น
   • ลบค่าของแมลแวร์โดยคลิกขวาและลบ
4. ค้นหาไฟล์ที่ไรเซมแวร์ Xorist สร้าง
   • รัน Windows พิมพ์ explorer.exe และคลิก OK
   • คลิก This PC หรือ My PC หรือ My Computer จากแถบการเข้าถึงเร็ว
   • ค้นหากล่อง 'search' พิมพ์ 'fileextension:' แล้วพิมพ์นามสกุลไฟล์ เช่น "fileextension:exe" แล้วเว้นวรรคและพิมพ์ชื่อไฟล์ที่คุณเชื่อว่าแมลแวร์สร้าง
   • รอแถบโหลดสีเขียวเต็มเพื่อบ่งชี้ว่าเจอไฟล์หรือไม่
5. ลบไฟล์หรือโฟลเดอร์ที่ติดเชื้อ
6. บูทกลับเข้า Normal Mode
7. หากคุณมีเครื่องมือแอนติแมลแวร์ ให้รันแอปพลิเคชันเพื่อสแกนคอมพิวเตอร์หาแมลแวร์ที่เหลือ

สรุป

แค่นั้นแหละ!

เราเข้าใจว่าการติดไรเซมแวร์ Xorist ทำให้หงุดหงิดมาก แต่เราเชื่อว่าตอนนี้คุณเข้าใจมันแล้ว และรู้วิธีกำจัดมัน หากคุณมีปัญหาอื่นๆ เกี่ยวกับการโจมตีไรเซมแวร์ แจ้งให้เราทราบผ่านส่วนความคิดเห็น