ดิจิทัลไลเซชัน (Digitalization) ได้ปรับปรุงระดับชีวิตของเราอย่างมาก ทำให้สิ่งต่างๆ ง่ายขึ้น เร็วขึ้น และน่าเชื่อถือขึ้น แต่การเก็บบันทึกทั้งหมดบนคอมพิวเตอร์และประมวลผลผ่านอินเทอร์เน็ต เหมือนเหรียญที่มีสองด้านที่แตกต่างกัน ด้วยประโยชน์นับไม่ถ้วน มีข้อบกพร่องที่โดดเด่นบ้าง โดยเฉพาะแฮกเกอร์และเครื่องมือของพวกเขาที่รู้จักในชื่อมัลแวร์ การเพิ่มเติมล่าสุดในครอบครัวมัลแวร์ขนาดใหญ่นี้คือ Fauxpersky แม้จะมีเสียงโหม่กับแอนตี้ไวรัสรัสเซียที่มีชื่อเสียง 'Kaspersky' แต่ทางของพวกมันแยกกันที่นั่น Fauxpersky แฝงตัวเป็น Kaspersky และออกแบบมาเพื่อขโมยข้อมูลผู้ใช้และส่งไปให้แฮกเกอร์ผ่านอินเทอร์เน็ต มันแพร่กระจายผ่าน USB drives ติดเชื้อคอมพิวเตอร์ของผู้ใช้ จับคีย์สตริก (keystrokes) ทั้งหมดเหมือน keylogger และสุดท้ายส่งไปที่กล่องจดหมายของโจมตีผ่าน Google Forms ตรรกะเบื้องหลังชื่อมัลแวร์นี้ง่ายมาก สิ่งที่ทำขึ้นมาเพื่อเลียนแบบ จะรู้จักว่า Faux ดังนั้น การเลียนแบบ Kaspersky จะเป็น Faux – Kaspersky หรือ Fauxpersky
เพื่อเข้าใจกระบวนการดำเนินการของมัลแวร์นี้ มาลองดูองค์ประกอบต่างๆ ของมันก่อน:
Key Logger (คีย์ล็อกเกอร์)
Google นิยามว่า โปรแกรมคอมพิวเตอร์ที่บันทึกการกดแป้นพิมพ์ทุกครั้งที่ผู้ใช้คอมพิวเตอร์ทำ โดยเฉพาะเพื่อเข้าถึงรหัสผ่านและข้อมูลลับอื่นๆ อย่างฉลาก อย่างไรก็ตาม เมื่อออกแบบขึ้นครั้งแรก Keylogger มีวัตถุประสงค์สำหรับผู้ปกครองที่ต้องการตรวจสอบกิจกรรมออนไลน์ของลูก และองค์กรที่นายจ้างต้องการทราบว่าพนักงานทำงานในงานที่ได้รับมอบหมายหรือไม่
AutoHotKey
AutoHotkey เป็นภาษาสคริปต์แบบปรับแต่งได้ (custom scripting language) ฟรี โอเพนซอร์ส สำหรับ Microsoft Windows เป้าหมายเริ่มต้นคือการให้แป้นพิมพ์ลัด (keyboard shortcuts) หรือฮอตคีย์ (hotkeys) การสร้างแมโคร (macro-creation) อย่างรวดเร็ว และอัตโนมัติซอฟต์แวร์ (software automation) ที่อนุญาตให้ผู้ใช้ทุกระดับทักษะคอมพิวเตอร์ทำให้งานซ้ำๆ ในแอปพลิเคชัน Windows ใดๆ กลายเป็นอัตโนมัติ จาก Wikipedia สารานุกรมเสรี
Google Forms
Google Forms เป็นหนึ่งในแอปที่สร้างชุดแอปออฟฟิศออนไลน์ของ Google ใช้สร้างแบบสำรวจหรือแบบสอบถาม ซึ่งจะส่งไปยังกลุ่มคนที่ต้องการ และคำตอบของพวกเขาถูกบันทึกในสเปรดชีตเดียวเพื่อวัตถุประสงค์ทางวิเคราะห์
Kaspersky
Kaspersky เป็นเครื่องหมายการค้าแอนตี้ไวรัสรัสเซียที่รู้จักกันดี ซึ่งพัฒนาแอนตี้ไวรัส ความปลอดภัยอินเทอร์เน็ต การจัดการรหัสผ่าน ความปลอดภัยปลายทาง (endpoint security) และผลิตภัณฑ์และบริการความปลอดภัยทางไซเบอร์อื่นๆ
ที่นี่ ตามที่บางครั้งพูดว่า "สิ่งดีๆ มากเกินไปอาจทำให้เกิดสิ่งร้ายใหญ่"
สูตร Fauxpersky
Fauxpersky ถูกพัฒนาโดยใช้เครื่องมือ AutoHotKey (AHK) ซึ่งอ่านข้อความทั้งหมดที่ผู้ใช้ป้อนจาก Windows และส่งคีย์สตริกไปยังแอปพลิเคชันอื่นๆ วิธีที่ใช้โดย AHK keylogger ค่อนข้างตรงไปตรงมา มันแพร่กระจายผ่านเทคนิคการจำลองตัวเอง (self-replication) หนึ่งครั้งที่รันบนระบบ มันเริ่มจัดเก็บข้อมูลทั้งหมดที่ผู้ใช้พิมพ์ลงในไฟล์ข้อความที่มีชื่อหน้าต่างที่เกี่ยวข้อง มันทำงานภายใต้หน้ากากของ Kaspersky Internet Security และส่งข้อมูลทั้งหมดที่บันทึกจากคีย์สตริกไปให้แฮกเกอร์ผ่าน Google Forms วิธีการสกัดข้อมูล (data extraction) เป็นเรื่องไม่ธรรมดา: ผู้โจมตีรวบรวมข้อมูลจากระบบที่ติดเชื้อโดยใช้ Google Forms โดยไม่ทำให้โซลูชันความปลอดภัยที่วิเคราะห์トラฟฟิกสงสัย เพราะการเชื่อมต่อที่เข้ารหัสกับ docs.google.com ไม่ดูน่าสงสัย เมื่อรายการคีย์สตริกถูกส่งแล้ว มันจะถูกลบจากฮาร์ดดิสก์เพื่อป้องกันการตรวจจับ อย่างไรก็ตาม เมื่อระบบติดเชื้อ มัลแวร์จะบูทขึ้นอีกครั้งหลังคอมพิวเตอร์รีสตาร์ท มันยังสร้าง shortcut สำหรับตัวเองในไดเรกทอรี startup ของเมนู Start
Fauxpersky: วิธีการดำเนินงาน (Modus Operandi)
กระบวนการติดเชื้อเริ่มต้นยังไม่ได้รับการกำหนด แต่หลังจากมัลแวร์เจาะระบบ มันจะสแกนดิสก์ถอดได้ (removable drives) ทั้งหมดที่ต่ออยู่กับคอมพิวเตอร์ และจำลองตัวเองในนั้น มันสร้างโฟลเดอร์ใน %APPDATA% ชื่อ "Kaspersky Internet Security 2017" พร้อม 6 ไฟล์ 4 ไฟล์เป็น executable และมีชื่อเหมือนไฟล์ระบบ Windows: Explorers.exe, Spoolsvc.exe, Svhost.exe, และ Taskhosts.exe ไฟล์อีกสองไฟล์คือ ไฟล์รูปภาพพร้อมโลโก้แอนตี้ไวรัส Kaspersky และอีกไฟล์คือไฟล์ข้อความชื่อ 'readme.txt' ไฟล์ executable 4 ตัวทำหน้าที่ต่างกัน:
- Explorers.exe – แพร่กระจายจากเครื่องโฮสต์ไปยังดิสก์ภายนอกที่เชื่อมต่อผ่านการทำซ้ำไฟล์
- Spoolsvc.exe – เปลี่ยนค่ารีจิสทรีของระบบ ซึ่งป้องกันไม่ให้ผู้ใช้ดูไฟล์ hidden และ system files ทั้งหมด
- Svhost.exe – ใช้ฟังก์ชัน AHK ตรวจสอบหน้าต่างที่ใช้งานอยู่ (active window) และบันทึกคีย์สตริกที่ป้อนเข้าไปในหน้าต่างนั้น
- Taskhosts.exe – ใช้สำหรับอัปโหลดข้อมูลขั้นสุดท้าย
ข้อมูลทั้งหมดที่บันทึกในไฟล์ข้อความจะถูกส่งไปที่กล่องจดหมายของโจมตีผ่าน Google Forms และถูกลบจากระบบ นอกจากนี้ ข้อมูลที่ส่งผ่าน Google Forms ได้รับการเข้ารหัสแล้ว ซึ่งทำให้การอัปโหลดข้อมูลของ Fauxpersky ดูไม่น่าสงสัยในโซลูชันต่างๆ ที่ตรวจสอบトラฟฟิก
บริษัทความปลอดภัยทางไซเบอร์ 'Cybereason' ได้รับเครดิตในการค้นพบมัลแวร์นี้ และแม้จะไม่ได้ระบุว่ามีคอมพิวเตอร์กี่เครื่องที่ติดเชื้อ แต่โดยที่ Fauxpersky แพร่กระจายผ่านวิธีเก่าๆ คือการแชร์ USB drives เมื่อ Google ได้รับแจ้ง มันตอบสนองทันทีโดยนำแบบฟอร์มออกจากเซิร์ฟเวอร์ภายในหนึ่งชั่วโมง
การกำจัด (Removal)
หากคุณรู้สึกว่าคอมพิวเตอร์ของคุณติดเชื้อ ให้เข้าถึงโฟลเดอร์ 'AppData' แล้วเข้าโฟลเดอร์ 'Roaming' และลบไฟล์ที่เกี่ยวข้องกับ Kaspersky Internet Security 2017 และไดเรกทอรีตัวมันเองจากไดเรกทอรี startup ที่อยู่ในเมนู Start นอกจากนี้ แนะนำให้เปลี่ยนรหัสผ่านของบริการต่างๆ เพื่อป้องกันการใช้งานบัญชีโดยไม่ได้รับอนุญาต
แม้จะมีแอนตี้มัลแวร์ล่าสุดที่เงินซื้อได้ จะผิดที่จะคิดว่าข้อมูลส่วนตัวที่จัดเก็บบนคอมพิวเตอร์ของเราปลอดภัย เพราะมัลแวร์ถูกสร้างขึ้นบ่อยครั้งโดยนักกิจกรรมวิศวกรรมสังคม (social engineering activists) ทั่วโลก นักพัฒนาแอนตี้มัลแวร์สามารถอัปเดตการกำหนดมัลแวร์ได้ แต่ไม่มีทาง 100% ที่จะตรวจจับซอฟต์แวร์ผิดปกติที่ถูกสร้างโดยจิตใจที่เก่งแต่หลงทาง วิธีที่ดีที่สุดในการป้องกันการเจาะระบบคือ เยี่ยมชมเว็บไซต์ที่เชื่อถือได้เท่านั้น และระมัดระวังเป็นพิเศษขณะใช้ดิสก์ภายนอก
