home

หน้าแรก
 Computer >> บทช่วยสอนคอมพิวเตอร์ >  >> ระบบเครือข่าย >> ความปลอดภัยเครือข่าย

มัลแวร์ที่ค้นหาช่องโหว่ในความปลอดภัยเครือข่ายคืออะไร

Malware (มัลแวร์) ในความปลอดภัยเครือข่ายคืออะไร

Malware (Malicious Software) คือซอฟต์แวร์/โค้ดที่สร้างขึ้นเพื่อทำลาย รบกวน ขโมยข้อมูล หรือเข้าควบคุมระบบคอมพิวเตอร์/เครือข่ายโดยไม่ได้รับอนุญาต สามารถแพร่กระจายผ่านเครือข่าย อีเมล เว็บไซต์ USB หรือช่องโหว่ระบบ

มัลแวร์ที่ "ค้นหาช่องโหว่" (Vulnerability Scanning/Exploitation Malware)

ไม่มีมัลแวร์ตัวเดียวที่ทำทุกอย่าง แต่มี หมวดหมู่มัลแวร์ที่มีความสามารถสแกน/โจมตีช่องโหว่ ดังนี้:

1. Worm (เวิร์ม) - แพร่กระจายตัวเองผ่านช่องโหว่เครือข่าย

  • โจมตีช่องโหว่ Remote Code Execution (RCE) ใน Service/Protocol (SMB, RDP, SSH, Web Server, Database)
  • ตัวอย่าง: WannaCry (EternalBlue/SMBv1), NotPetya, Conficker, Code Red, SQL Slammer
  • ทำงานอัตโนมัติ: สแกน IP Range > Exploit > Install > Spread Further

2. Botnet / Bot Malware - สร้างเครือข่ายบอทเพื่อโจมตีต่อ

  • ติดตั้งบนเครื่องเหยื่อ (IoT, Router, Server, PC) ผ่าน Default Credentials หรือช่องโหว่ Firmware
  • รับคำสั่งจาก C2 (Command & Control) ทำ DDoS, Spam, Credential Stuffing, Crypto Mining, Vulnerability Scanning
  • ตัวอย่าง: Mirai (IoT Default Creds), Emotet, TrickBot, QakBot, Mozi

3. Exploit Kits / Drive-by Download - โจมตีผ่านช่องโหว่ Browser/Plugin

  • เว็บไซต์ถูกแทรกโค้ด Redirect ไป Exploit Kit Server
  • สแกนช่องโหว่ Browser, Flash, Java, PDF Reader, Office > ส่ง Payload ที่เหมาะสม
  • ตัวอย่าง: RIG EK, Fallout EK, Magnitude EK, Spelevo EK

4. Ransomware - เข้ารหัสข้อมูลเรียกค่าไถ่ (มักเข้าผ่านช่องโหว่/Phishing)

  • หลายตัวมี Worm Capability แพร่กระจายในเครือข่ายเอง (WannaCry, NotPetya, Ryuk, Conti, LockBit, BlackCat/ALPHV)
  • ใช้ช่องโหว่: VPN (Pulse Secure, Fortinet), RDP, Exchange (ProxyLogon), PrintNightmare, ZeroLogon

5. Network/ Vulnerability Scanners ที่เป็น Malware

  • มัลแวร์บางตัวมี Module สแกนพอร์ท/ช่องโหว่ในเครือข่ายภายใน (Internal Recon) เช่น TrickBot (Network Recon Module), Cobalt Strike (Beacon), Metasploit (Meterpreter) (ใช้โดย Red Team/Attacker)

การตรวจจับมัลแวร์ในเครือข่าย (Network-based Detection)

  • Network Traffic Analysis (NTA/NDR): ExtraHop, Corelight, Darktrace, Vectra AI - วิเคราะห์พฤติกรรม Traffic
  • IDS/IPS (Suricata, Snort, Zeek/Bro): Signature-based + Protocol Anomaly
  • Sandbox (FireEye, Joe Sandbox, ANY.RUN, Hybrid Analysis): รันไฟล์น่าสงสัยใน VM แยก
  • Threat Intelligence Feeds: IOC (IP, Domain, Hash) Blocking/Alerting
  • DNS Security (RPZ, DNSSEC, DoH/DoT Monitoring): ตรวจจับ C2, DGA, Fast Flux
  • AVG Network Inspector / Windows Defender ATP / Microsoft Defender for Endpoint: Endpoint + Network Visibility

การแพร่กระจายของมัลแวร์ในเครือข่าย

  1. Initial Access: Phishing, Exploit Public-Facing App, Drive-by, Valid Accounts, Removable Media
  2. Execution & Persistence: Install Payload, Scheduled Tasks, Services, Registry Run Keys
  3. Privilege Escalation: Exploit Local Vulnerability, Credential Dumping (Mimikatz)
  4. Lateral Movement: SMB/PSExec, WMI, RDP, SSH, Pass-the-Hash, Pass-the-Ticket
  5. Discovery: Network Scanning (Port Scan, AD Recon), File/Dir Discovery
  6. Collection & Exfiltration: Archive, Encrypt, Upload to C2/Cloud
  7. Impact: Ransomware Encryption, Data Destruction, Defacement

สรุป

มัลแวร์ที่ "ค้นหาช่องโหว่" มักเป็น Worm, Botnet, Exploit Kit, Ransomware ที่มี Worm Capability และ Post-Exploitation Tools (Cobalt Strike, Metasploit) ที่ทำ Internal Recon/Scanning การป้องกันต้องใช้ Defense in Depth: Patch Management, Network Segmentation, Least Privilege, MFA, EDR/XDR, NDR, Email/Web Security, User Training