Appender ในความปลอดภัยเครือข่าย คืออะไร? ประเภทมัลแวร์และการติดเชื้อ

Appender Infection (การติดเชื้อแบบ Append) คืออะไร?

Appender Virus/Infection เป็นประเภทหนึ่งของ Virus Infection Mechanism ที่ทำงานโดย:

1. นำ Virus Code ไป **ต่อท้าย (Append)** ไฟล์เป้าหมาย (Target File)
2. แก้ไข **จุดเริ่มต้นการทำงาน (Entry Point)** ของไฟล์เป้าหมาย ให้กระโดดไปรัน Virus Code ก่อน
3. เมื่อ Virus ทำงานเสร็จ จะส่งควบคุมกลับไปโปรแกรมต้นฉบับ (เพื่อไม่ให้สงสัย)

เป็นเทคนิคคลาสสิกของ File Infector Viruses ยุคแรก (DOS/Windows 9x Era)

Malware (มัลแวร์) ในความปลอดภัยเครือข่าย คืออะไร?

Malware (Malicious Software) = ซอฟต์แวร์ที่สร้างขึ้นเพื่อทำลาย รบกวน ขโมย หรือเข้าถึงระบบคอมพิวเตอร์โดยไม่ได้รับอนุญาต ส่งผ่านเครือข่าย (Network-borne) หรือสื่อต่างๆ

ประเภทหลักของ Malware (Malware Taxonomy)

Backdoor (ประตูหลัง) คืออะไร?

ช่องทางลับที่繞过 การยืนยันตัวตนปกติ (Authentication) เพื่อเข้าถึงระบบ/ข้อมูล โดยไม่ผ่านกระบวนการตรวจสอบทั่วไป

• ติดตั้งโดย: Hackers (หลัง Compromise), Developers (Debug/Backdoor Accounts), Vendors (Remote Support)
• ใช้เพื่อ: Persistent Access, Data Exfiltration, Lateral Movement, Deploy More Malware
• ตัวอย่าง: FinSpy - Backdoor ระดับรัฐ ใช้สแกน/ควบคุมระยะไกล

Rootkit คืออะไร?

มัลแวร์ที่ออกแบบมาเพื่อ ซ่อนตัวเองและมัลแวร์อื่นๆ จาก OS และ Security Tools โดยการ Hook/Modify Kernel, System Calls, File System, Registry

ลักษณะเด่น:

• ซ่อน: Files, Processes, Registry Keys, Network Connections, Ports
• Disable Antivirus/EDR
• Keylogger, Credential Stealer, Banking Trojan Components
• ยากต่อการกำจัดมาก ต้อง Boot จาก External Media (WinPE, Linux Live, Helix, Trinity Rescue Disk)

Macro Virus คืออะไร?

ไวรัสที่ฝังโค้ดอันตรายในไฟล์เอกสาร (Word, Excel, PowerPoint) ที่ใช้ Macro (VBA) ทำงานเมื่อเปิดไฟล์ → แพร่กระจายไปไฟล์อื่นในระบบ

การแพร่กระจายของ Malware ในเครือข่าย

1. Initial Access: Phishing, Exploit, Drive-by Download, USB, Supply Chain
2. Execution: รัน Payload บน Victim Machine
3. Persistence: Registry Run Keys, Scheduled Tasks, Services, WMI, Startup Folder
4. Privilege Escalation: Exploit Vulnerabilities, Token Impersonation, UAC Bypass
5. Defense Evasion: Obfuscation, Packing, Living-off-the-land, Rootkit
6. Credential Access: Dump LSASS, SAM, NTDS.dit, Keylogging
7. Discovery: Network Scan, AD Recon, Cloud Metadata
8. Lateral Movement: SMB/PSExec, WMI, RDP, SSH, Pass-the-Hash
9. Collection: Staging Data, Archive, Encrypt
10. Command & Control (C2): DNS, HTTP/HTTPS, Custom Protocols
11. Exfiltration: Compress, Encrypt, Send to External Server
12. Impact: Encrypt (Ransomware), Destroy, Deface, DDoS

(อ้างอิง MITRE ATT&CK Framework)

สัญญาณเตือนการติด Malware

• คอมพิวเตอร์ช้าลงอย่างกะทันหัน
• BSOD (Blue Screen of Death) บ่อยขึ้น
• โปรแกรมเปิด/ปิดเอง, Pop-ups, Toolbars, Browser Redirects
• Disk/Network Activity สูงผิดปกติ (ตอน Idle)
• พื้นที่ Disk เหลือน้อยลงเร็ว
• Spam ส่งจากอีเมลตัวเอง
• Antivirus/EDR ถูก Disable/Uninstall เอง

การป้องกันและตอบสนอง

• Prevention: EDR/NGAV, Email Security, Web Proxy, Application Control, Patch Management, User Training, MFA
• Detection: SIEM, XDR, NTA, Threat Hunting, Deception Technology
• Response: Isolation, Block IOCs, Credential Reset, Forensic Imaging, Restore from Backup, Lessons Learned
• Sandbox: รันไฟล์/URL น่าสงสัยใน Isolated Environment วิเคราะห์พฤติกรรม (Behavior-based Detection)

วิธีตรวจสอบสิทธิ์การเข้าถึงเครือข่าย (Network Security Permissions Review)

Network Security Scanner ตรวจจับอะไรได้บ้าง? ประเภท Vulnerability Scanner และเครื่องมือแนะนำ