Computer Virus คืออะไร?
Computer Virus (ไวรัสคอมพิวเตอร์) คือโค้ดโปรแกรมคอมพิวเตอร์ที่ออกแบบมาเพื่อ ทำซ้ำตัวเอง (Self-replicate) และแพร่กระจายจากเครื่องหนึ่งไปยังอีกเครื่องหนึ่ง โดยมักแทรกตัวไฟล์หรือโปรแกรมอื่นๆ คล้ายกับไวรัสชีววิทยาที่ต้องพึ่งโฮสต์เพื่อคัดลอก
จัดอยู่ในกลุ่ม Malware (Malicious Software) ร่วมกับ Worm, Trojan, Ransomware, Spyware, Adware, Rootkit ฯลฯ
ลักษณะเฉพาะ (Characteristics) ของไวรัสคอมพิวเตอร์
1. ความสามารถในการทำซ้ำตัวเอง (Self-Replication) - ลักษณะนิยาม
ไวรัสต้องสามารถคัดลอกตัวเองได้ เพื่อแพร่กระจายไปยังไฟล์ โปรแกรม บูท섹เตอร์ หรืออุปกรณ์จัดเก็บอื่นๆ หากโค้ดไม่สามารถทำซ้ำได้ ไม่ถือว่าเป็นไวรัส (อาจเป็น Logic Bomb หรือ Trojan)
2. ต้องพึ่งโฮสต์ (Requires Host)
ไวรัสไม่สามารถทำงานได้ด้วยตัวเอง ต้องแทรกโค้ดลงใน:
- Executable files (.exe, .com, .dll, .sys)
- Documents ที่มี Macro (Word, Excel, PowerPoint)
- Boot Sector / Master Boot Record (MBR)
- Script files (JavaScript, VBScript, PowerShell, Batch)
3. ต้องมีการกระทำของผู้ใช้ (User Action Required)
ต่างจาก Worm ที่แพร่กระจายได้เองผ่านเครือข่าย ไวรัสต้องการให้ผู้ใช้:
- รันโปรแกรมที่ติดไวรัส
- เปิดเอกสารที่มี Macro ไวรัส
- บูทจาก USB/Disk ที่ติดไวรัส Boot Sector
- คลิกลิงก์/เปิดไฟล์แนบอีเมลที่เป็นไวรัส
4. มี Payload (ส่วนที่ทำลาย/กระทำร้าย)
นอกจากการทำซ้ำ ไวรัสมักมี Payload เพื่อ:
- ลบ/เข้ารหัส/ทำลายไฟล์
- ขโมยข้อมูล (Keylogger, Data Exfiltration)
- เปิด Backdoor ให้แฮกเกอร์เข้าควบคุม
- แสดงข้อความ/รูปภาพรบกวน
- ทำให้ระบบไม่เสถียร/ช้า/ครัช
- ปิดการทำงาน Antivirus/Firewall
5. เทคนิคการหลบเลี่ยงการตรวจจับ (Evasion Techniques)
- Polymorphic: เปลี่ยนโค้ดตัวเองทุกครั้งที่ทำซ้ำ (Signature-based AV จับยาก)
- Metamorphic: เขียนโค้ดใหม่ทั้งหมดทุกรุ่น
- Stealth/Rootkit: ซ่อนตัวจาก OS และ AV
- Encrypted/Obfuscated: เข้ารหัสตัวเอง ถอดรหัสตอนรัน
- Anti-VM/Anti-Sandbox: ตรวจจับสภาพแวดล้อมทดสอบ แล้วหยุดทำงาน
ประเภทของไวรัสคอมพิวเตอร์ (Classification)
| ประเภท | ลักษณะ | ตัวอย่าง |
|---|---|---|
| File Infector | ติดไฟล์ .exe/.com | CIH (Chernobyl), Sality, Virut |
| Macro Virus | ติดเอกสาร Office (VBA Macro) | Melissa, Concept, W97M |
| Boot Sector Virus | ติด MBR/VBR ของดิสก์ | Stoned, Michelangelo, Form |
| Polymorphic Virus | เปลี่ยนรูปแบบโค้ดทุกครั้ง | Storm Worm, VirLock |
| Resident Virus | อาศัยอยู่ใน RAM ตลอดเวลา | Randex, CMJ, Meve |
| Multipartite Virus | ติดทั้งไฟล์และ Boot Sector | Tequila, Invader, Flip |
| Browser Hijacker | เปลี่ยนหน้าแรก/ค้นหา/โฆษณา | CoolWebSearch, Ask Toolbar |
| Script Virus | เขียนเป็น Script (JS, VBS, PS1) | ILOVEYOU (VBS), Locky (JS) |
อาการที่คอมพิวเตอร์ติดไวรัส
- ช้าผิดปกติ CPU/RAM/Disk ใช้สูงตลอดเวลา
- ไฟล์หาย/เสียหาย/เปลี่ยนนามสกุล (เช่น .exe → .exe.virus)
- โปรแกรมเปิดเอง/ปิดเอง/ครัชบ่อย
- หน้าจอแสดงข้อความแปลก/โฆษณาแป๊บ
- การเชื่อมต่อเครือข่ายผิดปกติ (Traffic สูงตอนไม่ได้ใช้)
- Antivirus/Firewall/Windows Update ถูกปิด/ไม่ทำงาน
- มีโปรแกรม/Toolbar/Extension ที่ไม่ได้ติดตั้งเอง
- รหัสผ่าน/การตั้งค่าเปลี่ยนไปเอง
ไวรัสที่โดดเด่นทางประวัติศาสตร์
- Morris Worm (1988): ไวรัส/เวิร์มแรกที่แพร่กว้างบน Internet
- ILOVEYOU (2000): Macro Virus แพร่ทางอีเมล เสียหาย $10B+
- Code Red (2001): โจมตี IIS Web Server
- SQL Slammer (2003):แพร่ใน 10 นาที โดน 75,000+ Server
- Stuxnet (2010): Cyberweapon โจมตีโรงงานนิวเคลียร์อิหร่าน
- WannaCry (2017): Ransomware Worm ใช้ EternalBlue แพร่ทั่วโลก
- NotPetya (2017): Wiper แปรรูป Ransomware เสียหาย $10B+
การป้องกันและแก้ไข
- ติดตั้ง Antivirus/EDR ที่ทันสมัย (Behavior-based, AI/ML, Cloud lookup)
- Patch/Update OS และ Software เป็นประจำ (ปิดช่องโหว่ Exploit)
- ไม่เปิดไฟล์แนบ/ลิงก์ผิดปกติ (Phishing Awareness)
- Backup ข้อมูลสำคัญ แยกเก็บ Offline/Immutable (3-2-1 Rule)
- Application Whitelisting / Applocker ป้องกันรัน .exe ไม่รู้จัก
- Disable Macros by Default ใน Office
- Network Segmentation จำกัดการแพร่ระบาด
สรุป
ลักษณะสำคัญที่สุดของไวรัสคือ การทำซ้ำตัวเอง (Replication) โดยพึ่งโฮสต์ (Host-dependent) และต้องการการกระทำของผู้ใช้ (User-dependent) ทำให้ต่างจาก Worm ที่แพร่เองได้ และ Trojan ที่ไม่ทำซ้ำ การเข้าใจลักษณะนี้ช่วยให้เลือกเครื่องมือและกลยุทธ์ป้องกันได้ถูกต้อง
