แรนซัมแวร์ (Ransomware) เป็นเอนทิตีอันตรายที่นักพัฒนาผิดกฎหมายใช้โจมตีและล็อกไฟล์ส่วนตัวของผู้ใช้ เพื่อปลดล็อก พวกเขากล่าวอ้างค่าไถ่ ไวรัสชนิดนี้พัฒนาตามเวลาและเปลี่ยนอัลกอริทึมอย่างต่อเนื่อง จนทำให้หาเครื่องมือปลดล็อกไฟล์ได้ยาก ดังนั้น ในส่วนใหญ่ ผู้ใช้เหลือเพียง 2 ทางเลือก: สูญเสียไฟล์และกำจัดไวรัส หรือจ่ายค่าไถ่ให้ผู้ร้ายและหวังว่าพวกเขาจะทำตามสัญญาคืนไฟล์ นี่คือสิ่งที่สตูดิโอเกมวิดีโอ CD Projekt ประสบเมื่อถูกโจมตีโดยแรนซัมแวร์ HelloKitty
เราทุกคนรู้ว่า "ไม่มีเกียรติในหมู่นักขโมย" ดังนั้น เราแนะนำให้ไม่จ่ายเงินให้ผู้ร้ายทางไซเบอร์แม้แต่เซ็นต์เดียว แม้พวกเขาจะแสดงเจตนาจะปลดล็อกไฟล์โดยเสนอบริการฟรีบนไฟล์เดียว ไฟล์ของคุณไม่ได้ล็อกด้วยโชค พวกเขาคือคนเดียวกันที่รุกรานความเป็นส่วนตัวและล็อกคุณออกจากการเข้าถึงข้อมูลส่วนตัว คุณมีสิทธิ์เต็มที่จะไม่น่าเชื่อถือคำพูดใดๆ ของพวกเขา
แรนซัมแวร์ HelloKitty เป็นเอนทิตีดุร้ายที่มุ่งเป้าธุรกิจ และเปลี่ยนชื่อไฟล์ที่ได้รับผลกระทบโดยเพิ่ม .crypted ที่ท้ายชื่อไฟล์ เมื่อโปรแกรมล็อกเสร็จ จะส่งคีย์ถอดรหัสไปยังผู้ร้าย ทำให้พวกเขาเป็นคนเดียวที่สามารถให้คุณเข้าถึงไฟล์ของคุณได้คืน
แรนซัมแวร์ HelloKitty ทำอะไร?
แรนซัมแวร์ HelloKitty แตกต่างและซับซ้อนกว่าไวรัสอื่นๆ ในประเภทเดียวกัน เพื่อเข้าใจพฤติกรรม เรามาใช้การโจมตี CD Project เป็นตัวอย่าง โปรแกรมคัดลอกซอร์สโค้ดจากเซิร์ฟเวอร์ที่เกี่ยวข้องกับเกมของสตูดิโอ เอกสารนักลงทุน ข้อมูลบัญชี รวมถึงไฟล์กฎหมายและทรัพยากรบุคคล เซิร์ฟเวอร์ก็ถูกเข้ารหัสด้วย ผู้ร้ายตามมาด้วยขู่ว่าจะเปิดเผยไฟล์สาธารณะ หากเหยื่อไม่ตอบสนองความต้องการค่าไถ่
บทเรียนที่ดีจากการโจมตีนี้คือ เหยื่อไม่ยอมตกเป็นเหยื่อความต้องการ แต่เปิดเผยต่อสาธารณะว่าจะไม่เจรจากับผู้ร้าย และมอบคดีให้เจ้าหน้าที่บังคับกฎหมาย
เมื่อ HelloKitty Ransomware ทำการเข้ารหัสเสร็จ จะวางโน้ตค่าไถ่ซึ่งอ่านได้ดังนี้:
!!!!!!!!!!!!! Hello CD PROJEKT !!!!!!!!!!!!!
Your have been EPICALLY pwned!!
We have dumped FULL copies of the source codes from your Perforce server for Cyberpunk 2077, Witcher 3, Gwent and the unreleased version of Witcher!!!
We have also dumped all of your documents relating to accounting, administration, legal, HR, investor relations and more!
Also, we have encrypted all of your servers, but we understand that you can most likely recover from backups.
If we will not come to an agreement, then your source codes will be sold or leaked online and your documents will be sent to our contact in gaming journalism. Your public image will go down to the shitty even more people will see how you shitty your company functions. Investors will lose trust in your company and the stock will dive even lower!
You have 48 hours to contact us.
โน้ตข้างต้นส่งให้ CD Projekt หลังการโจมตี บริษัทไม่เสียเวลาดำเนินการ เผยแพร่คำแถลงภายใน 24 ชั่วโมงแจ้งสาธารณะเกี่ยวกับการโจมตี ผู้ใช้คนอื่นที่ถูกโจมตีแบบสุ่มโดยไวรัสนี้ จะได้รับไฟล์ข้อความคล้ายกันอธิบายการโจมตี อ่านได้ดังนี้:
Hello dear user.
Your files have been encrypted.
— What does it mean?!
Content of your files have been modified. Without special key you can't undo that operation.
— How to get special key?
If you want to get it, you must pay us some money and we will help you.
We will give you special decryption program and instructions.
— Ok, how i can pay you?
1) Download TOR browser, if you don't know how to do it you can google it.
2) Open this website in tor browser: hxxp://6x7dp6h3w6q3ugjv4yv5gycj3femb24kysgry5b44hhgfwc5ml5qrdad.onion/ d87c3f9baf85b2e9ab2a824bb78868294e19992e2e26b54f248abfa73c42a7c0
3) Follow instructions in chat.
เป้าหมายสูงสุดของแผนรังสีแวร์คือ แทรกแซงความกลัวของเหยื่อ ดันให้พวกเขายอมตามความต้องการของผู้ร้าย อย่างไรก็ตาม ไม่มีการรับประกันว่าเหยื่อจะได้ไฟล์คืน และผู้ร้ายจะไม่ยังคงขอเงินเพิ่ม การจ่ายเงินหมายความว่าคุณสนับสนุนการเคลื่อนไหวของพวกเขา พิสูจน์ว่ามันมีประโยชน์ และพวกเขาควรโจมตีผู้ไร้เดียงสาต่อไป
วิธีกำจัดแรนซัมแวร์ HelloKitty?
ไม่มีเครื่องมือใดถอดรหัสไฟล์ที่ถูกล็อกโดย HelloKitty Ransomware ได้ ดังนั้น คุณต้องระมัดระวังในการหาวิธีแก้ไข ที่คุณไม่ได้ถูกล่อลวงโดยผู้อื่นอีก มากมายผู้ใช้รายงานถูกล่อลวงโดยนักพัฒนาอื่นๆ ด้วยการขายเครื่องมือที่ตั้งใจจะถอดรหัสไฟล์ที่ถูกล็อกโดยแรนซัมแวร์ แต่พวกเขาเหลือเพียงซอฟต์แวร์ที่ไร้ประโยชน์ ไม่สามารถทำหน้าที่ที่ซื้อมาทำได้
วิธีที่ดีที่สุดคือกำจัดไวรัส เริ่มด้วยการแบ็กอัพไฟล์ที่ถูกเข้ารหัสทั้งหมดลงใน External Drive (ดิสก์ภายนอก) แยกต่างหาก เมื่อเสร็จ คุณต้องตัดการเชื่อมต่อคอมพิวเตอร์ที่ติดเชื้อออกจากเครือข่ายบ้านหรือที่ทำงาน เพื่อหยุดการแพร่กระจาย HelloKitty Ransomware ไปยังอุปกรณ์อื่นที่เชื่อมต่อกับเครือข่ายเดียวกัน หากคุณมีแบ็กอัพ อย่าทำการกู้คืนจนกว่าคุณจะแน่ใจว่าไวรัสถูกลบหมดแล้ว
เมื่อคุณเตรียมระบบสำหรับกระบวนการกำจัดแล้ว ตอนนี้คุณสามารถใช้วิธีแก้ไขด้านล่าง:
วิธีแก้ไข #1: ใช้โปรแกรมแอนตี้มัลแวร์ที่แข็งแกร่ง สแกน ตรวจจับ และลบแรนซัมแวร์
อินเทอร์เน็ตเสพผู้ใช้ด้วยการเลือกมากมาย มีผลิตภัณฑ์เยอะแยะ แตคุณแค่ต้องรู้ว่าตัวไหนถูกต้อง เราแนะนำให้ใช้ซอฟต์แวร์ความปลอดภัยแอนตี้มัลแวร์ที่แนะนำ เพื่อกำจัดไวรัสถาวร
- ติดตั้งชุดความปลอดภัยและรันมัน
- เลือกตัวเลือก Full Scan (สแกนเต็มรูปแบบ) และรอให้กระบวนการเสร็จสิ้น
- เลือก Remove (ลบ) หรือ Quarantine (กักกัน) เพื่อลบเนื้อหาที่ถูกตรวจจับ
- ตอนนี้ กดปุ่ม Windows + I เพื่อเปิดหน้าต่าง Settings (การตั้งค่า)
- เลือกหมวดหมู่ Apps (แอป) และตรวจสอบรายการโปรแกรมที่ติดตั้ง เพื่อระบุตัวที่คุณไม่รู้จัก และติดตั้งเมื่อเร็วๆ นี้หรือระหว่างการโจมตี HelloKitty Ransomware
- เมื่อคุณระบุแอปน่าสงสัย คลิกที่มันและเลือกปุ่ม Uninstall (ถอนการติดตั้ง) ถัดจากมัน
- เมื่อเสร็จ ปิดหน้าต่าง
วิธีแก้ไข #2: ลบไฟล์ที่ถูกเข้ารหัสทั้งหมดออกจากคอมพิวเตอร์
เนื่องจากคุณแบ็กอัพไฟล์ที่ถูกเข้ารหัสแล้ว คุณควรล้างไฟล์ต้นฉบับออกจากคอมพิวเตอร์ เพื่อให้แน่ใจว่าไม่มีแทรกซ้อนของไวรัส วิธีทำ:
- เข้าถึง File Explorer และระบุไดรฟ์ที่มีข้อมูลส่วนตัว หากไฟล์ของคุณใช้ไดรฟ์เดียวกับ Windows OS คุณสามารถข้ามขั้นตอนนี้ได้
- คลิกขวาที่ไดรฟ์จัดเก็บ และเลือก Format (ฟอร์แมต) ตามพรอมต์เพื่อฟอร์แมตดิสก์ให้เสร็จ
- ตอนนี้ กด Windows และพิมพ์ Restore Point และกดปุ่ม Enter
- ภายใต้ System Protection คลิก System Restore ตามด้วย Next
- ตอนนี้ เลือก Restore Point (จุดกู้คืนระบบ) ที่สร้างขึ้นก่อนการติดเชื้อ
- ระบบจะกลับสู่สถานะที่แข็งแรง
สรุป
แรนซัมแวร์ HelloKitty เพียงแค่ปลาย айсเบิร์ก (tip of the iceberg) เพราะรูปแบบไวรัสหลายอย่างรออยู่ที่จะโจมตี คุณต้องเตรียมพร้อมเสมอและรู้วิธีป้องกันตัวเองจากแรนซัมแวร์ HelloKitty สำคัญคือ รักษาแอนตี้มัลแวร์ที่เชื่อถือได้ไว้ทำงานเบื้องหลัง เพื่อรับการป้องกันแบบเรียลไทม์ต่อมัลแวร์ทุกประเภท เรียนรู้เพิ่มเติมเกี่ยวกับประเภทไวรัสนี้และอยู่ในความปลอดภัยขณะเล่นอินเทอร์เน็ต
