อะไรแย่กว่ารันซัมแวร์? มัลแวร์ที่ปลอมรูปเป็นรันซัมแวร์แต่ทำงานเป็นมัลแวร์ชนิดอื่นในพื้นหลัง มัลแวร์ประเภทนี้อันตรายมากเพราะส่วนประกอบการหลอกลวง ขณะเหยื่อพยายามแก้ไขการติดเชื้อรันซัมแวร์ มัลแวร์จริงทำงานอิสระในพื้นหลังโดยไม่ถูกตรวจพบ
กรณี EvilQuest รันซัมแวร์ กรณีนี้ตรงเป๊ะ เนื่องจากตรวจจับ EvilQuest บน Mac ได้ง่าย จึงทำให้มัลแวร์จริงทำงานง่ายขึ้น เพราะผู้ใช้โฟกัสที่รันซัมแวร์ซึ่งเป็นหน้ากากปิดบัง
EvilQuest รันซัมแวร์บน Mac คืออะไร?
EvilQuest หรือ ThiefQuest เป็นสเตรนรันซัมแวร์ล่าสุดค้นพบเมื่อมิถุนายน 2020 มักแบนเดิลกับแอป Mac ยอดนิยมที่แคร็ก เช่น Little Snitch, Mixed in Key, Ableton Live นอกจากแบนเดิลแอป ยังค้นพบปลอมเป็นโปรแกรม Google Software Update
EvilQuest เข้ารหัสเอกสารและไฟล์ของเหยื่อด้วยอัลกอริทึมเข้ารหัสแข็งแกร่ง จะรู้ว่ามีรันซัมแวร์เมื่อได้ป๊อปอัพข้อความ:
Your files are encrypted
Many of your important documents, photos, videos, images and other files are no longer accessible because they have been encrypted.
Maybe you are busy looking for a way to recover your files, but do not waste your time. Nobody can recover your files without our decryption service.
We guarantee however that you can recover your files safely and easily and this will cost you 50 USD without any additional fees.
Our offer is valid FOR 3 DAYS (starting now!). Full details can be found in the file: READ_ME_NOW.txt located on your Desktop
ยังวางบันทึกค่าไถ่ชื่อ READ_ME_NOW.txt เนื้อหาซ้ำป๊อปอัพ และเพิ่มรายละเอียดการชำระเงิน:
We use 256-bit AES algorithm so it will take you more than a billion years to break this encryption without knowing the key (you can read Wikipedia about AES if you don’t believe this statement).
Anyways, we guarantee that you can recover your files safely and easily. This will require us to use some processing power, electricity and storage on our side, so there’s a fixed processing fee of 50 USD. This is a one-time payment, no additional fees included.
In order to accept this offer, you have to deposit payment within 72 hours (3 days) after receiving this message, otherwise this offer will expire and you will lose your files forever.
Payment has to be deposited in Bitcoin based on Bitcoin/USD exchange rate at the moment of payment. The address you have to make payment is:
13roGMpWd7Pb3ZoJyce8eoQpfegQvGHHK7
Decryption will start automatically within 2 hours after the payment has been processed and will take from 2 to 5 hours depending on the processing power of your computer. After that all of your files will be restored.
THIS OFFER IS VALID FOR 72 HOURS AFTER RECEIVING THIS MESSAGE
มากกว่ารันซัมแวร์
ดูบันทึกค่าไถ่ จะสังเกตค่าไถ่ต่ำมาก ($50) เทียบกับ $980 ของ STOP/Djvu หรือ $4,000-$8,000 ของ Locky รวมถึงไม่มีข้อมูลติดต่อผู้โจมตี ทำให้เหยื่อติดต่อไม่ได้
สิ่งนี้ทำให้สงสัยว่าผู้โจมตีจริงจังหรือไม่ การขอ $50 ดูเหมือนเล่นตลก ทำให้นักวิจัยความปลอดภัยสงสัยลักษณะจริงของมัลแวร์นี้ หลังวิเคราะห์เพิ่มเติม ยืนยันได้ว่า EvilQuest ไม่ใช่แค่รันซัมแวร์
มีฟังก์ชันและความสามารถเกินการเข้ารหัสและขอค่าไถ่ต่ำนี้ รวมถึง keylogging (บันทึกแป้นพิมพ์) และขโมยข้อมูล สามารถรวบรวมรูปภาพ เอกสารข้อความต่างๆ ฐานข้อมูล งานนำเสนอ สเปรดชีต คริปโตวอลเล็ต ไฟล์สำรอง และข้อมูลละเอียดอ่อนอื่นๆ มัลแวร์ยังตรวจสอบได้ว่ากำลังรันใน Virtual Machine หรือไม่ และโซลูชันความปลอดภัยที่ติดตั้งอยู่ เพื่อใช้กลยุทธ์ persistence ต่างๆ
เมื่อสแกนระบบและพบข้อมูลตรงกับรูปแบบใดๆ จะเชื่อมต่อลับๆ ไปยัง command service โดยเปิด reverse shell ใช้เป็นประตูหลังดาวน์โหลดไฟล์เพิ่มเติมบน Mac และส่งออกข้อมูลที่รวบรวมโดยไม่รู้ตัว ทำพร้อมกับล็อกไฟล์ระบบบางส่วน เพื่อเบี่ยงเบนความสนใจจากสิ่งที่มันทำจริง
นามสกุลไฟล์บางส่วนที่ถูกเข้ารหัส:
.pdf, .doc, .txt, .jpg, .pem, .pages, .cer, .py, .h, .webarchive, .zip, .xsl, .xslx, .docx, .ppt, .keynote, .js, .crt, .php, .m, .hpp, .pptx, .cpp, .cs, .sqlite3, .pl, .p, .p3, .wallet, .html, .dat และอื่นๆ
วิธีกำจัด EvilQuest รันซัมแวร์จาก Mac
โชคดีที่ซอฟต์แวร์ความปลอดภัยหลายตัว ตอนนี้ตรวจจับ EvilQuest และกำจัดจาก Mac ได้ สามารถใช้โปรแกรมแอนติไวรัสลบทั้งรันซัมแวร์และฟังก์ชัน “พิเศษ” (reverse shell และ keylogger) ออกจากคอมพิวเตอร์ Malwarebytes เป็นเครื่องมือที่มีประสิทธิภาพกำจัด EvilQuest บน Mac เครื่องมือ RansomWhere? ของ Wardle ก็ตรวจจับและหยุดกระบวนการเข้ารหัสมัลลิเชียสของ EvilQuest ได้ น่าเสียดายที่การใช้เครื่องมือเหล่านี้จะนำไปสู่การสูญเสียข้อมูลมาก หากไม่มีสำรองไฟล์
หากไม่มีสำเนาไฟล์ สามารถใช้ EvilQuest decryptor ที่ SentinelOne ปล่อยออกมาใหม่ๆ ดูวิดีโอสาธิตได้ที่นี่ เพื่อเรียนรู้วิธีใช้ อย่างไรก็ตาม ยังต้องกำจัดรันซัมแวร์ออกจากคอมพิวเตอร์และทำความสะอาด Mac ก่อนใช้ decryptor นี้ เพราะมันถอดรหัสไฟล์เท่านั้น ไม่ได้กำจัดมัลแวร์
สรุป
มัลแวร์กลายเป็นมีความคิดสร้างสรรค์และซับซ้อนมากขึ้นจนยากที่จะจัดหมวดหมู่อย่างเคร่งครัด EvilQuest เป็นตัวอย่างดีของสถานการณ์นี้ ดังนั้นหากได้แจ้งเตือนว่า Mac ติดมัลแวร์ประเภทใด ให้受け止めด้วยเมตตา (take it with a grain of salt) ตรวจสอบระบบอย่างละเอียดและกำจัดทุกส่วนของมัลแวร์มัลลิเชียสออกจากระบบ
