ในช่วงแพนเดมิก การโจมตีรันซัมแวร์เพิ่มขึ้น 148% เทียบกับฐานเดือนกุมภาพันธ์ 2020 ผู้เชี่ยวชาญด้านความปลอดภัยสังเกตเห็นความถี่ของการโจมตีที่เกี่ยวข้องกับโควิด-19 เพิ่มขึ้น แต่ตัวแปรรันซัมแวร์อื่นๆ ก็เพิ่มขึ้นอย่างรวดเร็ว อาจเพราะเป้าหมายที่เป็นไปได้เพิ่มขึ้นอย่างกะทันหัน โดย 70% ของแรงงานถูกบังคับให้ทำงานจากบ้าน ซึ่งความปลอดภัยอินเทอร์เน็ตน้อยกว่าสภาพแวดล้อมสำนักงานมาก
หนึ่งในการโจมตีรันซัมแวร์ที่ทำลายล้างในช่วงล็อกดาวน์ทั่วโลกคือ Cobra Locker ไฟล์ถูกล็อกด้วยอัลกอริทึม AES และ RSA และได้รับนามสกุล .cobra ภคคุกคำนี้มักแพร่กระจายผ่านการดาวน์โหลดจากเว็บไซต์มัลลิเชียส การคลิกอีเมลสแปม หรือการฉีดเข้าโดยตรงจากมัลแวร์อื่น ผู้โจมตีมักเรียกร้องค่าไถ่เพื่อปลดล็อกไฟล์ มิฉะนั้นผู้ใช้จะเข้าถึงไม่ได้
รันซัมแวร์ Cobra Locker คืออะไร?
Cobra Locker หรือ Cobra_Locker ถูกค้นพบครั้งแรกโดยผู้ใช้ Twitter @dnwls0719 วันที่ 20 มิถุนายน 2020 เป็นสต레นรันซัมแวร์ใหม่ที่พัฒนาขึ้นเพื่อเอาเปรียบผู้ที่ได้รับผลกระทบจากแพนเดมิก คริปโตไวรัสนี้ทำงานโดยเข้ารหัสข้อมูลผู้ใช้และเรียกร้องค่าไถ่เพื่อบริการถอดรหัส Cobra Locker มักมุ่งเป้าวิดีโอ รูปภาพ เอกสาร ไฟล์บีบอัด ฐานข้อมูล และข้อมูลประเภทอื่นๆ บนคอมพิวเตอร์ ไฟล์ทั้งหมดจะถูกล็อกและเข้ารหัส ทำให้ผู้ใช้เข้าถึงไม่ได้จนกว่าจะจ่ายค่าไถ่
จะเห็นชัดเจนทันทีเมื่อคอมพิวเตอร์ติด Cobra Locker เพราะจะได้ข้อความป๊อปอัพพื้นหลังสีแดงสว่าง โชว์ข้อความดังนี้:
Cobra_Locker
Oops! Your have been encrypted!
If you want decrypt your files you must have decryption code
All your important files were encrypted on this PC.
All files with .Cobra extension are encrypted.
Encryption was produced using unique private key generated for this computer.
To decrypt your files, you need to obtain private key.
To retrieve the private key you need to contact us by email
admin@wsxdn.com send us an email and wait for further
instructions.
E-mail address to contact us:
admin@wsxdn.com
If you want decrypt your files you must have decryption code
การตรวจจับ Cobra Locker:
- DrWeb: Trojan.Encoder.31957 and Trojan.Encoder.32077
- ALYac: Trojan.Ransom.Filecoder
- Avira (no cloud): TR / Ransom.avuwe
- BitDefender: Gen: Heur.Ransom.RTH.1, Trojan .GenericKD.43441079
- ESET-NOD32: Variant of the MSIL / Filecoder.YQ or Variant of the MSIL / Filecoder.AAX
- Malwarebytes: Ransom.FileCryptor or Ransom.CobraLocker
- Rising: Ransom.Encoder 8.FFD4
- Symantec: ML.Attribute.HighConfidence
- Tencent: Msil.Trojan.Encoder.Wtod
- TrendMicro: TROJ_GEN.R002H09FE20
หนึ่งเดือนต่อมา รันซัมแวร์ใหม่ 출현 ใช้นามสกุล .IT เข้ารหัสไฟล์ ตรวจพบต้นเดือนกรกฎาคม ใช้อีเมลเดียวกับ Cobra Locker ผู้โจมตียังใช้ภาพ Pennywise จากหนัง IT เป็นพื้นหลัง เพิ่มความกลัว ข้อความป๊อปอัพมักเป็น:
You have fallen victim to IT ransomware!
All your important files have been encrypted! And your screen is locked!
let me introduce you to the rules
- to unlock screen you must enter special key
- to decrypt files you must contact with us: admin@wsxdn.com
การตรวจจับ IT:
- DrWeb: Trojan.Encoder.32077
- BitDefender: Trojan.GenericKD.43441079
- ESET-NOD32: Variant of MSIL / Filecoder.AAX
- Malwarebytes: Ransom.CobraLocker
- Symantec: ML.Attribute.HighConfidence
ดูจากอีเมลทั้งสอง ผู้โจมตีไม่ระบุวิธีชำระหรือจำนวนเงิน ต้องอีเมลโดยตรงเพื่อทราบรายละเอียดการถอดรหัส
อย่างไรก็ตาม อย่าคาดหวังมาก แม้จ่ายค่าไถ่แล้ว ไม่มีการรับประกันว่าผู้โจมตียังคงสนใจถอดรหัสไฟล์ให้ อาจเพิกเฉยหลังได้รับเงิน
Cobra Locker รันซัมแวร์ ทำอะไรได้บ้าง?
Cobra Locker และ IT ransomware มาจากกลุ่มผู้โจมตีเดียวกัน สามารถสมมติได้ว่าทำงานคล้ายกัน
Cobra Locker เข้ารหัสไฟล์ผู้ใช้ด้วย AES + RSA เพิ่มนามสกุล .Cobra ทุกไฟล์ ส่วน IT ransomware เพิ่ม .IT ทั้งคู่สแกนระบบและเข้ารหัสอัตโนมัติ: เอกสาร MS Office, ไฟล์ OpenOffice, PDF, ไฟล์ข้อความ, ฐานข้อมูล, รูปภาพ, เพลง, วิดีโอ, ไฟล์บีบอัด และอื่นๆ ตามบันทึกค่าไถ่ จะเข้าถึงไฟล์เหล่านี้ไม่ได้จนกว่าจะจ่ายค่าไถ่ที่ผู้โจมตีเรียกร้อง
รันซัมแวร์นี้ทำให้ปวดหัวมาก หากเหยื่อไม่มีสำรองไฟล์ที่ถูกเข้ารหัส ดังนั้นเมื่อคอมพิวเตอร์ติด Cobra Locker ควรทำอย่างไร?
คำแนะนำการกำจัดรันซัมแวร์ Cobra Locker
สิ่งแรกที่ต้องทำเมื่อติด Cobra Locker หรือ IT ransomware คือกำจัดภคคุกคามจากคอมพิวเตอร์ก่อน เพื่อป้องกันการเข้ารหัสไฟล์เพิ่มเติม หลังจากนั้นจึงลองกู้ไฟล์
วิธีกำจัด Cobra Locker และ IT ransomware:
ขั้นตอน 1: บูทเข้าสู่ Safe Mode With Networking
- คลิก Windows > Power ไอคอน เลือก Restart ขณะกดปุ่ม Shift ค้างไว้
- เลือก Troubleshoot > Advanced Option
- คลิก Startup Settings > Restart เพื่อรีบูทคอมพิวเตอร์
- เมื่อ Windows บูทแล้ว กด F5 หรือหมายเลข 5 บนคีย์บอร์ด เพื่อบูทเข้าสู่ Safe Mode With Networking
ขั้นตอน 2: กำจัดรันซัมแวร์
ขั้นตอนต่อไปต้องการซอฟต์แวร์ความปลอดภัยที่ตรวจจับและกำจัดรันซัมแวร์ได้ หากยังไม่มี Anti-Malware ที่เหมาะสม ให้ดาวน์โหลดก่อนดำเนินขั้นตอนนี้ หลังติดตั้งแอนติไวรัสแล้ว ให้สแกนคอมพิวเตอร์และลบไฟล์ที่ติดเชื้อทั้งหมด ไฟล์ที่เกี่ยวข้องกับรันซัมแวร์:
- Ransomware.exe หรือ IT.exe
- CobraLocker.dll
- _readme.txt
- readme.txt
ขั้นตอน 3: กู้คืนไฟล์
ขั้นตอนสุดท้ายคือลองกู้ไฟล์ ยังไม่มีถอดรหัสเฉพาะสำหรับรันซัมแวร์นี้ ลองตัวเลือกด้านล่าง:
ใช้ถอดรหัสทั่วไป (generic decryptor)
มีซอฟต์แวร์ถอดรหัสหลายตัวที่นักวิจัยความปลอดภัยพัฒนา เช่น Michael Gillespie, Kaspersky, Emsisoft และอื่นๆ สามารถลองใช้เพื่อดูว่าตัวไหนทำงานได้
ใช้ System Restore Point
ตัวเลือกอื่นคือย้อนระบบกลับไปที่จุดก่อนการติดเชื้อ อาจยากหากไม่ทราบจุดที่ติดเชื้อแน่นอน เพื่อความปลอดภัย เลือก restore point ที่อยู่ก่อนการค้นพบรันซัมแวร์ (มิถุนายน 2020)
ใช้ซอฟต์แวร์กู้ข้อมูลของบุคคลที่สาม
หากถอดรหัสไม่ได้ และไม่มี restore point ที่ใช้ได้ ตัวเลือกสุดท้ายคือใช้โปรแกรมกู้ข้อมูล เช่น Recuva, EaseUS Data Recovery, Stellar หรือโปรแกรมกู้ข้อมูลอื่นๆ
สรุป
รันซัมแวร์ยากที่จะจัดการ โดยเฉพาะหากไม่มีสำรองไฟล์ สิ่งสำคัญที่สุดคือลบรันซัมแวร์ออกจากอุปกรณ์ก่อนลองวิธีกู้ข้อมูลข้างต้น ต้องคัดลอกไฟล์ที่ถูกเข้ารหัสทั้งหมดก่อนลองปลดล็อก เพื่อป้องกันการสูญเสียข้อมูล หากทุกอย่างล้มเหลว สามารถรอถอดรหัสเฉพาะสำหรับ Cobra Locker ที่จะปล่อยออกมาในอนาคต
