ระบาดโคโรนาทำให้นายจ้างหลายคนอนุญาตให้พนักงานทำงานจากบ้าน ผู้เชี่ยวชาญด้านความปลอดภัยประมาณการว่างานจากบ้านเพิ่มขึ้น 70% ระหว่าง 4 กุมภาพันธ์ - 7 เมษายน 2020 ทำให้โจมตีมีเป้าหมายกว้างขึ้นและง่ายขึ้น ในเดือนที่ผ่านมา การโจมตีมัลแวร์เพิ่มขึ้นอย่างมาก รวมถึงแรนซัมแวร์ที่กระโดดสูง 148% ในเดือนมีนาคม โจมตีใช้ความกลัวของประชาชนต่อโคโรนา ทำให้เปราะบางต่อวิธีการแพร่กระจายแบบอารมณ์
หนึ่งในแรนซัมแวร์ที่ได้รับความนิยมคือ Tabe Ransomware มัลแวร์อันตรายนี้ 属于 Djvu/STOP Ransomware Family เป็นเวอร์ชันที่ 234 ของกลุ่มมัลแวร์นี้ ทำให้มันอันตรายกว่าเวอร์ชันต้นฉบับ 234 เท่า
ภัยคุกคามอย่าง Tabe Ransomware โจมตีอุปกรณ์เหยื่อโดยตรง ล็อกไฟล์สำคัญทั้งหมด และขอชำระเงินจากเจ้าของเพื่อรับคีย์ถอดรหัส เพื่อหลีกเลี่ยงความยุ่งยาก เหยื่อส่วนใหญ่จ่ายเงินเพื่อรับไฟล์คืน แต่ไม่ใช่ทุกคนที่ได้ไฟล์คืนแม้จ่ายค่าไถ่แล้ว
เมื่อเจอ Tabe Ransomware ต้องทำอย่างไร? คู่มือนี้จะให้ภาพชัดเจนว่า Tabe คืออะไร เข้ามายังระบบอย่างไร และทำอย่างไรเพื่อกู้คืนไฟล์โดยไม่จ่ายค่าไถ่
Tabe Ransomware คืออะไร?
Tabe Ransomware ไม่ใช่แค่แรนซัมแวร์ นอกจากล็อกไฟล์ มันยังทำลายเครื่องของคุณเพื่อป้องกันไม่ให้กำจัดมันได้สมบูรณ์ ไฟล์ล็อกเกอร์ที่รุกรานนี้ทำมากกว่าการเข้ารหัสไฟล์และขอเงิน มันยังทำลายไฟล์ระบบและฟังก์ชันบางอย่าง เพื่อขับให้ผู้ใช้อยากจ่ายค่าไถ่มากขึ้น
Tabe 属于 Djvu/STOP Ransomware Family ทำให้มันอันตรายกว่าภัยคุกคามอื่นๆ เพราะแฮกเกอร์กลุ่มนี้รู้จักกันดีในแคมเปญอันตรายตั้งแต่ 2016 พวกเขาสามารถแก้ไขโค้ดใดๆ และปล่อยเวอร์ชันแรนซัมแวร์ใหม่ทุกสัปดาห์ ทำให้นักวิจัยมัลแวร์ไม่สามารถแตกการทำงานได้มาตลอด
Tabe Ransomware เป็นเวอร์ชัน 234 ของ Djvu เวอร์ชันก่อนหน้าถอดรหัสได้ เพราะใช้ Offline Keys ทำให้นักวิจัยสร้างเครื่องมือถอดรหัสได้ ไฟล์ถูกเข้ารหัสด้วย Offline Key ที่ฮาร์ดโค้ดไว้ เมื่อคอมพิวเตอร์ติดเชื้อไม่ได้ต่ออินเทอร์เน็ต หรือเซิร์ฟเวอร์ Timeout/ไม่ตอบสนอง ด้วยเหตุนี้ เหยื่อบางส่วนถอดรหัสข้อมูลล็อกได้ด้วยเครื่องมือของ Michael Gillespie
แต่มาเกือบ 1 ปี เวอร์ชันใหม่ของกลุ่มแรนซัมแวร์นี้ใช้ Online IDs ไม่สามารถถอดรหัสด้วยเครื่องมือเก่าได้ เวอร์ชันที่ปล่อยหลัง สิงหาคม 2019 ไม่ใช้ Offkey Keys แล้ว นักวิจัยมัลแวร์จึงไม่มีทางอื่นนอกจากแจ้งเตือนผู้ใช้เกี่ยวกับเวอร์ชันใหม่ที่ออกเกือบทุกสัปดาห์
Tabe Ransomware เป็นเวอร์ชันใหม่ล่าสุด แต่วุฒิภัคอื่นๆ เหมือนเดิม ยังใช้อีเมล admin@wsxdn.com ในบันทึกขอค่าไถ่ _readme.txt เพื่อติดต่อโจมตี จำนวนค่าไถ่เท่าเดิม $490 หรือ $980 ขึ้นอยู่กับระยะเวลาที่จ่าย ไฟล์ข้อความอธิบายรายละเอียดการเข้ารหัสและสิ่งที่เหยื่อต้องทำหลังได้รับบันทึกขอค่าไถ่
Tabe Ransomware แพร่กระจายอย่างไร?
แรนซัมแวร์และมัลแวร์อื่นๆ มักแพร่ผ่าน: อีเมลสแปม Malvertising Adware และ Redirects โทรจัน เครื่องมือแอคติเวทผิดกฎหมาย หรือ Crack จากแหล่งไม่ถูกต้อง Fake Updaters และช่องทางดาวน์โหลดไม่น่าเชื่อถือ
แคมเปญสแปมเป็นการดำเนินการใหญ่ ส่งอีเมลหลอกลวงหลายพันฉบับ มักนำเสนอเป็นอีเมลที่ถูกต้อง สำคัญ เร่งด่วน เพื่อหลอกผู้ใช้เปิด ระหว่างระบาดโคโรนา ส่งอีเมลสแปมเยอะมาก บางอีเมลขอบริจาคให้องค์กรช่วยเหลือผู้ประสบภัยหรือหายากโรค บางอีเมลหลอกคลิกลิงก์หรือดาวน์โหลดไฟล์แนบที่มีมัลแวร์ คลิกหรือดาวน์โหลดจะทริกเกอร์ดาวน์โหลดและติดตั้งมัลแวร์ซ่อนอยู่
อีกวิธีของ Tabe คือ App Bundling เมื่อดาวน์โหลด Crack Tools หรือ Freeware จากแหล่งน่าสงสัย อาจติดตั้งมัลแวร์พร้อมกับโปรแกรมนั้น โดยเฉพาะหากไม่อ่านขั้นตอนติดตั้งทั้งหมด
ระวังการแจ้งเตือนที่催促อัปเดตซอฟต์แวร์บนคอมพิวเตอร์ เช่น Java แอนติไวรัส Adobe หรือโปรแกรมอื่น Fake Updaters จะติดตั้งมัลแวร์แทนอัปเดตจริง วิธีอื่นๆ: P2P Downloads, File-hosting websites, Malvertising, Redirects
Tabe Ransomware ทำอะไรได้บ้าง?
เมื่อ Tabe แทรกเข้าคอมพิวเตอร์ สิ่งแรกคือสแกนไฟล์และเข้ารหัสข้อมูลสำคัญ: เอกสาร รูปภาพ วิดีโอ ไฟล์บีบอัด (Archives) หลังเข้ารหัสเสร็จ จะเห็นไฟล์ทั้งหมดมี .tabe ต่อท้ายชื่อไฟล์ เช่น รูป abc.jpg จะกลายเป็น abc.jpg.tabe
เพราะ Tabe ใช้อัลกอริทึมเข้ารหัสแข็งแกร่ง ถอดรหัสโดยไม่มีคีย์ถอดรหัสเป็นไปไม่ได้ ไม่สามารถเปิดไฟล์หรือกู้คืนด้วยเครื่องมือทั่วไป
หลังล็อกไฟล์เสร็จ แรนซัมแวร์วางบันทึกขอค่าไถ่บนเดสก์ท็อป เพื่อเห็นง่ายตอนเปิดคอมพิวเตอร์ บันทึกขอค่าไถ่มักอ่านว่า:
ATTENTION!
Don't worry, you can return all your files!
All your files like photos, databases, documents and other important are encrypted with strongest encryption and unique key.
The only method of recovering files is to purchase decrypt tool and unique key for you.
This software will decrypt all your encrypted files.
What guarantees you have?
You can send one of your encrypted file from your PC and we decrypt it for free.
But we can decrypt only 1 file for free. File must not contain valuable information.
You can get and look video overview decrypt tool:
https://we.tl/t-sBwlEg46JX
Price of private key and decrypt software is $980.
Discount 50% available if you contact us first 72 hours, that's price for you is $490.
Please note that you'll never restore your data without payment.
Check your e-mail "Spam" or "Junk" folder if you don't get answer more than 6 hours.
To get this software you need write on our e-mail:
admin@wsxdn.com
Reserve e-mail address to contact us:
admin@wsxdn.com
Your personal ID
อารมณ์แรกคือจ่ายค่าไถ่ โดยเฉพาะหากข้อมูลที่ถูกล็อกเป็นไฟล์งาน แต่ผู้เชี่ยวชาญด้านความปลอดภัยไม่แนะนำให้จ่าย 2 เหตุผล: 1) คุณเพียงสนับสนุนกิจกรรมอาชญากร 2) ไม่มีการรับประกันว่าแฮกเกอร์จะให้คีย์ถอดรหัสคุณ เพราะพวกเขาได้เงินแล้ว อาจไม่สนใจว่าคุณได้ไฟล์คืนหรือไม่
คำแนะนำการกำจัด Tabe Ransomware
หากคอมพิวเตอร์ติด Tabe Ransomware อย่าจ่ายค่าไถ่ ควรกำจัดแรนซัมแวร์จากคอมพิวเตอร์ทันที และพยายามกู้คืนไฟล์
ทำตามขั้นตอนกำจัด Tabe Ransomware:
ขั้นตอน 1: หยุดกระบวนการ Tabe Ransomware ทั้งหมด
ขั้นแรกคือ Kill กระบวนการทั้งหมดที่เกี่ยวกับ Tabe ไม่อย่างนั้นจะเปลี่ยนแปลงอะไรไม่ได้ ไปที่ Task Manager คลิกขวาที่กระบวนการน่าสงสัย คลิก End Process ทำซ้ำทุกกระบวนการ Tabe แล้วไปขั้นตอนต่อไป
ขั้นตอน 2: ถอนการติดตั้ง Tabe Ransomware
หาก Tabe มาพร้อมโปรแกรมหรือ PUP ต้องถอนติดตั้งจากคอมพิวเตอร์ ไป Settings > Apps & features คลิกโปรแกรมน่าสงสัย คลิก Uninstall เพื่อให้แน่ใจว่าลบไฟล์ติดเชื้อหมด ให้รันสแกนด้วยแอนติไวรัส
ขั้นตอน 3: กู้คืนไฟล์ด้วยเครื่องมือถอดรหัส (Decryption Tools)
ตัวเลือกแรกคือใช้ Decryptors ออนไลน์ หากติดเชื้อ Djvu Ranselware เวอร์ชันเก่า สามารถใช้เครื่องมือถอดรหัสของ Emsisoft ได้
เครื่องมืออื่นๆ ที่อาจลอง:
ขั้นตอน 4: ใช้ System Restore
วิธีนี้ใช้ Restore Point ที่ตั้งไว้ก่อนหน้า เพื่อย้อนกลับการเปลี่ยนแปลงที่ Tabe ทำ ไม่สูญเสียไฟล์ในกระบวนการ
วิธีทำ:
- บูทเข้า Safe Mode with Command Prompt คลิก Start > Power แล้วค้าง Shift คลิก Restart
- หน้าจอ Windows Troubleshoot เลือก Troubleshoot > Advanced Options > Startup Settings > Restart
- ใน Startup Settings กด F6 เข้า Safe Mode with Command Prompt
- ตอน Command Prompt ปรากฏ พิมพ์ cd restore กด Enter
- พิมพ์ rstrui.exe กด Enter
- หรือพิมพ์คำสั่งนี้กด Enter: %systemroot%system32restorerstrui.exe
- ตอนหน้าต่าง System Restore เปิด คลิก Next เลือก Restore Point ที่ต้องการ
- คลิก Yes เริ่มกระบวนการกู้คืน
สรุป
Tabe Ransomware อาจก่อให้เกิดปัญหามากกว่าเวอร์ชันก่อนของ Djvu เพราะยังไม่มีเครื่องมือถอดรหัส สิ่งที่ทำได้คือ กำจัดแรนซัมแวร์ออกจากอุปกรณ์ และพยายามกู้คืนไฟล์ด้วยตนเองผ่าน System Restore หรือลองเครื่องมือถอดรหัสอื่นๆ แต่无论做什么 อย่าจ่ายค่าไถ่
