ทำความเข้าใจ Orcus RAT: คู่มือครบถ้วน

ในโลกคอมพิวเตอร์ Trojan (ทโรจัน) หมายถึงซอฟต์แวร์อันตรายที่ซ่อนเจตนาจริงจากเหยื่อเป้าหมาย มาจากตำนานกรีกที่เล่าถึงการล้มของนครโทรยผ่านการใช้ Trojan Horse (ม้าทroje) มัลแวร์ประเภทนี้ถูกปลอมให้ดูไม่น่าสงสัย

มีหลายประเภทของทโรจัน และผลกระทบรุนแรง بصفته มัลแวร์เอนทิตี มันสามารถทำลายทั้งผู้ใช้และอุปกรณ์ได้ ในบทความนี้ เราจะเน้นที่ Orcus RAT (Remote Access Trojan - ทโรจันการเข้าถึงระยะไกล)

เกี่ยวกับ Orcus RAT

Orcus RAT เป็นไวรัสคอมพิวเตอร์ที่แพร่กระจายผ่านแคมเปญที่ซับซ้อน (Sophisticated campaigns) มัลแวร์นี้มุ่งเป้าผู้ลงทุน Bitcoin (บิทคอยน์) โดยเฉพาะ เพื่อหลอกลวงการเงินของพวกเขา ปรากฏขึ้นในปี 2016 และจนถึงปัจจุบันสามารถโจมตีหลายสถานที่ทั่วโลกได้ ภัยคุกคามนี้สามารถทำให้เกิดความเสียหายทางการเงินรุนแรงและการขโมยข้อมูลตัวตน (Identity Theft)

ผู้ใช้ Twitter ชื่อ Armada ถูกสืบสวนหลังแพร่ทโรจันเป็นเครื่องมือ Remote Administration Tool (เครื่องจัดการระยะไกล) ที่แท้จริง ในขณะที่เธอถูกสืบสวน จำนวนคอมพิวเตอร์ที่ติดเชื้อเพิ่มขึ้นใน UK และ Canada การแพร่ของไวรัสนี้ทำได้ผ่าน Spear-phishing Email Campaigns (แคมเปญอีเมลฟิชชิงเป้าหมาย) และ Drive-by-downloads (การดาวน์โหลดโดยไม่รู้ตัว)

Orcus RAT ทำอะไร?

เมื่อ Orcus RAT พบโฮสต์ มันจะรันกระบวนการชื่อ PK Holdings.exe จาก Task Manager (ตัวจัดการงาน) จากนั้นเข้าถึงและกำหนดค่า Registry Entries (รายการรีจิสทรี) และเปิดใช้งาน Advanced System Plug-in (ปลั๊กอินระบบขั้นสูง) และกิจกรรมน่าสงสัยอื่นๆ เป้าหมายคืออนุญาตให้ผู้ร้ายควบคุมระบบจากระยะไกลอย่างเต็มที่ เมื่อเกิดขึ้น ผู้ร้ายทางไซเบอร์เริ่มเก็บรายละเอียดการธนาคารของเหยื่อ จับ Keystrokes (การกดแป้นพิมพ์) บันทึกวิดีโอผ่านเว็บแคม และ รีด (Raid) กระเป๋า Bitcoin ในที่สุด เหยื่อประสบความเสียหายทางการเงินมหาศาล

ภูมิภาค US และ Canada เป็นเป้าหมายหลักของ Orcus RAT อย่างไรก็ตาม นักเชี่ยวชาญด้านไซเบอร์เซคิวริทีระบุว่ามัลแวร์ยังสามารถโจมตีส่วนอื่นๆ ของโลกได้ ผู้กระทำของทโรจันนี้เริ่มขายมัลแวร์ในปี 2016 ราคา $40 ผู้ขายยังให้บทแนะนำวิธีใช้ไวรัสโจมตีคอมพิวเตอร์อื่นๆ ให้ผู้ใช้ที่ยังไม่มีประสบการณ์ คำแนะนำรวมถึงการใช้เอกสาร MS Office ที่น่าสงสัยซึ่งมี Macros, Scripts หรือ Exploits CVE-2017-8759

ในปี 2018 การโจมตีไวรัสปรากฏอีกครั้ง ครั้งนี้มุ่งเป้าผู้เสียภาษีสหรัฐผ่านแคมเปญฟิชชิง Orcus RAT ถูกกระจายเป็น Bundle (ชุด) กับ Netwire ทโรจันปรากฏขึ้นอีกในปี 2019 แต่ครั้งนั้นใช้กลยุทธ์การกระจายใหม่ที่ซ่อน RAT ไว้ในวิดีโอ Coca-Cola 主题 Ramadan ไม่ว่าจะเป็นแคมเปญประเภทไหน เป้าหมายและฟังก์ชันของ RAT เหมือนกัน – ได้กำไรทางการเงินและได้ข้อมูลประจำตัวการธนาคาร

เนื้อหาที่นำเสนอเมื่อหลอกลวงผู้ใช้ผ่านอีเมลเพื่อเข้าถึงเนื้อหาอันตรายที่แนบมา มีดังนี้:

Dear Sir Madam, Good day!

We are trading company in Taiwan with business line of Lathe and CNC Machines, ELECTRICAL, BOLT & NUTS in this regard, Please kindly refer to the following items and offer your best quotation as soon as possible, thank you.

1. C.I.F Kaohsiung Port Taiwan
2. By air .1 By sea separately
3. Do you need photo of name plate for this Machines Attached?

Kindly revert with price asap. Attached is Our Operating Certificate / License and Order for Specification and references

If you have any question, don't hesitate to contact me.

Best Regards

Amy Wu

Sales Manager

PROTOM MACHINERY TOOLS LTD.

55 Chin Shan South Road Sec. 2

Taipei, Taiwan 10603 TAIWAN, R. 0. C.

Please to consider the environment before printing this e-mail

เพื่อบรรลุเป้าหมายเหล่านี้ ผู้พัฒนา Orcus RAT ได้ติดตั้งความสามารถเหล่านี้ให้กับมัลแวร์:

• Execute DDoS attacks (รันการโจมตี DDoS)
• Take over the webcam functionality and disable its activity light (接管 เว็บแคมและปิดไฟสถานะกิจกรรม)
• Take a video and audio using system resources (บันทึกวิดีโอและเสียงด้วยทรัพยากรระบบ)
• Acquire vital system information (ได้ข้อมูลระบบสำคัญ)
• Take snapshots (ถ่ายสแนปชอต)
• Harvest passwords and browser cookies (เก็บรหัสผ่านและคุกกี้เบราว์เซอร์)

ในกิจกรรมเหล่านี้ มีเพียงแค่การปิดไฟสถานะกิจกรรมของเว็บแคมที่สังเกตได้ ฟังก์ชันอื่นๆ ของ RAT นี้ทำงานในเบื้องหลัง ทำให้ผู้ใช้คอมพิวเตอร์ทั่วไปยากที่จะรับรู้ความมีอยู่ของมัน เพื่อตรวจจับ RAT นี้ คุณต้องรันซอฟต์แวร์ความปลอดภัยแอนตี้มัลแวร์ที่แข็งแกร่ง

วิธีกำจัด Orcus RAT?

สิ่งที่ทำให้ยากต่อการจัดการกับ Orcus RAT คือ ไวรัสเจาะลึกพื้นที่ศักดิ์สิทธิ์ของคอมพิวเตอร์ มันจัดการ Registry Entries และปลูกกระบวนการต่างๆ ลงในระบบ ดังนั้น แม้คุณจะลบโปรแกรมจากระบบ ผู้ร้ายอาจยังเข้าถึงได้โดยใช้รากที่ทิ้งไว้ หากกระบวนการแบบนี้มีอยู่ในคอมพิวเตอร์ของคุณ พวกมันสามารถบริโภค CPU Power และทรัพยากรระบบมากมาย นี่คือเหตุผลที่คุณควรพิจารณาใช้ยูทิลิตี้อัตโนมัติร่วมกับตัวเลือกด้วยตนเอง

คำแนะนำการลบ Orcus RAT

กระบวนการลบด้วยตนเองซับซ้อนกว่าวิธีอัตโนมัติ ดังนั้น เราแนะนำให้ใช้วิธีอัตโนมัติ หากทักษะคอมพิวเตอร์ของคุณไม่ได้ขั้นสูง อย่างไรก็ตาม หากคุณต้องการใช้วิธีด้วยตนเอง ขั้นตอนแรกคือระบุชื่อของทโรจันที่คุณต้องการกำจัด เมื่อคุณทำแล้ว คุณสามารถดำเนินการและเริ่มกระบวนการกำจัดได้ตามที่แสดงด้านล่าง:

ขั้นตอน 1: เข้าสู่ Safe Mode with Networking

1. กด Windows + I เพื่อเปิดแอป Settings (การตั้งค่า)
2. ตรวจสอบ Update & Security (อัปเดตและความปลอดภัย) และคลิกที่มัน
3. ชี้ไปแถบด้านซ้ายและเลือก Recovery (การกู้คืน)
4. คลิกตัวเลือก Restart Now (รีสตาร์ทตอนนี้) ภายใต้ส่วน Advanced Startup (การเริ่มต้นขั้นสูง)
5. คลิก Troubleshoot (แก้ไขปัญหา) ก่อนเลือก Advanced options (ตัวเลือกขั้นสูง)
6. ตอนนี้ เลือก Startup Settings (การตั้งค่าการเริ่มต้น) ก่อนกดตัวเลือก Restart (รีสตาร์ท)
7. เลือกตัวเลือก 5) Enable Safe Mode with Networking (เปิดใช้งาน Safe Mode พร้อมเครือข่าย)

ขั้นตอนที่ 2: หยุดกระบวนการน่าสงสัยจาก Task Manager

1. กด Ctrl + Alt + Delete และคลิก Task Manager เพื่อเปิดยูทิลิตี้
2. ตอนนี้ คลิก More details (รายละเอียดเพิ่มเติม) และเลื่อนลงไปที่ส่วนที่ติดป้ายว่า Background processes (กระบวนการเบื้องหลัง) ตรวจสอบในรายการกระบวนการว่ามีอะไรน่าสงสัยไหม
3. คลิกขวาที่กระบวนการน่าสงสัยและเลือก Open file location (เปิดตำแหน่งไฟล์)
4. กลับไปที่ Task Manager และคลิกขวาที่กระบวนการน่าสงสัย อีกครั้ง เลือก End task (หยุดงาน)
   • ทำซ้ำขั้นตอน 3 และ 4 กับกระบวนการน่าสงสัยทั้งหมด
5. เมื่อเสร็จ ไปที่ตำแหน่งไฟล์ที่เปิดทั้งหมดและลบเนื้อหา
6. ตอนนี้ ไปที่แท็บ Startup (การเริ่มต้น) และระบุโปรแกรมน่าสงสัย คลิกขวาและเลือก Disable (ปิดใช้งาน)

ขั้นตอนที่ 3: กำจัดไฟล์ไวรัส

ไฟล์มัลแวร์สามารถตรวจจับได้ในตำแหน่งต่างๆ ภายในระบบของคุณ ปฏิบัติตามคำแนะนำนี้เพื่อหาพวกมัน:

1. กดปุ่ม Windows และพิมพ์ Disk Cleanup ก่อนกดปุ่ม Enter
2. เลือกไดรฟ์จัดเก็บที่คุณต้องการทำความสะอาด (เราแนะนำให้เลือกที่คุณติดตั้งระบบปฏิบัติการ เช่น ไดรฟ์ C)
3. ภายใต้ Files to delete (ไฟล์ที่จะลบ) ให้ติ๊กถูกดังนี้:
   • Temporary Internet Files (ไฟล์อินเทอร์เน็ตชั่วคราว)
   • Downloads (การดาวน์โหลด)
   • Recycle Bin (ถังขยะ)
   • Temporary files (ไฟล์ชั่วคราว)
4. เมื่อเสร็จ คุณสามารถตรวจสอบตำแหน่งอื่นๆ ที่มักเป็นที่พักของเนื้อหาอันตราย เช่น:
   • %AppData%
   • %LocalAppData%
   • %ProgramData%
   • %WinDir%

เมื่อเสร็จ คุณสามารถรีบูทระบบในโหมดปกติได้

ใช้วิธีอัตโนมัติเพื่อกำจัด Orcus RAT

วิธีที่มีประสิทธิภาพที่สุดในการกำจัดทโรจัน Orcus คือใช้ซอฟต์แวร์ความปลอดภัยแอนตี้มัลแวร์ที่แข็งแกร่งและน่าเชื่อถือ ยูทิลิตี้ความปลอดภัยที่น่าเชื่อถืออัปเดตข้อมูลทันเวลาเพื่อตรวจจับเนื้อหามัลแวร์ล่าสุด ดังนั้น คุณต้องพิจารณาบริษัทที่มีชื่อเสียงเพื่อให้แน่ใจว่าคุณกำจัดมัลแวร์ทั้งหมดในระบบของคุณครั้งหนึ่งและตลอดกาล

ดาวน์โหลดโปรแกรมความปลอดภัยจากเว็บไซต์ทางการและติดตั้ง เมื่อเสร็จ รันโปรแกรมและเลือกตัวเลือก Full Scan (สแกนเต็มรูปแบบ) รอให้โปรแกรมสแกนระบบทั้งหมดเสร็จและแสดงเนื้อหาที่ถูกตรวจจับทั้งหมด เลือกการกระทำที่แนะนำเพื่อ Quarantine / Remove (กักกัน/ลบ) มัลแวร์

สรุป

แม้ Orcus Technologies จะถูกปรับ CAD 115,000 สำหรับการแพร่ Orcus RAT แต่ไม่ได้หยุดการแพร่ของไวรัส มันยังคงรุนแรงและต้องจัดการทันทีเพื่อหลีกเลี่ยงความเสียหายและความสูญเสียที่รุนแรง เราแนะนำให้ผู้ใช้รักษาโปรแกรมแอนตี้มัลแวร์ที่แข็งแกร่งไว้ทำงานเบื้องหลังเพื่อรับการป้องกันแบบเรียลไทม์ นอกจากนี้ การเก็บซอฟต์แวร์ทั้งหมดให้ทันสมัยเป็นมาตรการความปลอดภัยเพื่อรับประโยชน์จากแพตช์ความปลอดภัยล่าสุด