Ransomware คืออะไร กำเนิดขึ้นมายังไง มีการทำงานแบบไหน และมีวิธีการป้องกันหรือแก้ไขอย่างไรได้บ้าง

หลายๆ คนอาจจะเคยได้ยินคำว่า Ransomware ผ่านหูมาบ้าง บทความนี้ผมจะมาอธิบายอย่างละเอียดว่ามันคืออะไร มีประวัติความเป็นมาอย่างไร มีผลกระทบต่อข้อมูลสำคัญขององค์กรอย่างไรบ้าง และมีวิธีป้องกันไม่ให้แรนซัมแวร์เข้ามาสร้างความเสียหายได้อย่างไรบ้าง

Ransomware คือมัลแวร์ชนิดหนึ่ง ที่มีความสามารถในการป้องกัน หรือจำกัดไม่ให้ User สามารถเข้าถึงข้อมูลระบบที่สำคัญของตนเองได้ ส่วนมากมักใช้วิธี Lock ตัวระบบ System หรือไฟล์ โดยมีจุดประสงค์เพื่อเรียกร้องค่าดำเนินการเพื่อปลดล็อคให้ หรือเรียกง่ายๆ ว่าเรียกค่าไถ่นั่นเอง ในปัจจุบัน แรนซัมแวร์สมัยใหม่มักจะใช้วิธีเข้ารหัสไฟล์สำคัญของเหยื่อ และเก็บค่าไถ่ด้วยการชำระเงินออนไลน์ สกุลเงินดิจิตอล

ราคาและการชำระเงิน

มูลค่าในการเรียกค่าไถ่เพื่อปลดล็อคของ Ransomware นั้นมีความหลากหลายมาก ตั้งแต่หลักพัน ไปจนถึงเป็นแสนเป็นล้านบาทก็มีครับ และมักมีสกุลเงินเป็นค่าเงิน Digital และเพราะการเข้ามาเป็นที่นิยมของค่าเงินดิจิตอล ทำให้การดำเนินการเรียกค่าใช้จ่ายของแรนซัมแวร์ยิ่งทำได้ง่ายขึ้นไปอีก เพราะสามารถนำการชำระเงินด้วยระบบ Bitcoin ซึ่งไม่สามารถติดตามผู้กระทำผิดได้เลย มาใช้ได้อย่างสบายๆ

นอกจาก Bitcoin แล้ว ปัจจุบันทาง Hacker ยังได้สร้างสรรค์วิธีการชำระค่าไถที่หลากหลายมากมายเพิ่มขึ้น อาทิเช่น iTunes หรือ Amazon Gift Card เป็นต้น ซึ่งเหยื่อจะไม่สามารถทราบได้เลยว่าเจ้าของบัญชีต้นทางคือใคร

อย่างไรก็ตาม การที่เราจ่ายเงินตามจำนวนที่ Hacker เรียกร้อง ไม่ได้หมายความว่าไฟล์ข้อมูลของเราจะได้รับการปลดล็อคให้เข้าใช้งานได้เหมือนเดิมเสมอไป หลายๆ คนก็มีโดนหลอกให้จ่ายเงินเรื่อยๆ และสุดท้ายก็เสียข้อมูลไป ใช้ไม่ได้เหมือนเดิมครับ

Ransomware นั้น สามารถเรียกได้อีกชื่อว่า Scareware เพราะวิธีการทำงานของมันที่บังคับให้ User ต้องจ่ายเงิน ด้วยการขู่ให้กลัวว่าข้อมูลจะเสียหาย ใช้ไม่ได้ตลอดไป

การคุกคามโดยแรมซัมแวร์ครั้งแรกนั้น ถูกพบว่าเกิดขึ้นที่ประเทศรัสเซีย ในระหว่างปี 2005 และ 2006 เหตุการณ์คือมีไฟล์มัลแวร์ชนิดหนึ่งถูกจับได้ในรูปแบบ Zipped ไฟล์ เมื่อ Extract ออกมาแล้วจะทำการเข้ารหัสไฟล์สำคัญ ทำให้เหยื่อไม่สามารถเข้าถึงข้อมูลสำคัญของตนเองได้หากไม่มี Password โดยผู่เสียหาย ต้องชำระค่าไถ่เพื่อได้รับ Password มาปลดล็อคไฟล์ของตนเอง ซึ่งในช่วงเวลานั้น มูลค่าของค่าไถ่ส่วนมากจะอยู่ที่ประมาณ 10,000 บาทครับ

ในปีต่อๆ มา แรนซัมแวร์เริ่มพัฒนา มีรูปแบบนามสกุลไฟล์ที่หลากหลายขึ้น อาทิเช่น .doc, .xls, .jpg, .zip, .pdf และนามสกุลอื่นๆ ที่เป็นที่นิยมกันอีกมากมาย เพื่อความแนบเนียนมากขึ้น

ในปี 2011 มีการตรวจสอบพบว่ามีแรนซัมแวร์รูปแบบใหม่ที่ให้เหยื่อชำระค่าไถ่ด้วยวิธีการใช้ส่ง SMS เรียกว่า SMS Ransomware ซึ่งจะทำให้หน้าจออุปกรณ์ของผู้เสียหายมีข้อความภาษารัสเซีย Flood ขึ้นซ้ำๆ เป็นเพจที่ขู่ให้เราชำระเงินด้วยการต่อสายไปยังเบอร์โทร Premium

ในช่วงนั้น แรนซัมแวร์อีกประเภทที่ตรวจพบเป็นจำนวนมาก คือกลุ่ม Master Boot Record (MBR) ที่ใช้วิธีขัดขวางไม่ให้ระบบปฏิบัติการหรือ Operating System ของอุปกรณ์สามารถทำงานได้ โดยมันจะใช้วิธีคัดลอก MBR และติดตั้งทับด้วย Code รูปแบบพิเศษ ที่สามารถบังคับระบบให้ Restart ตนเองตลอดเวลา

เริ่มกระจายออกนอกรัสเซีย

การเกิดขึ้นของ Ransomware นั้น กำเนิดที่ Russia แต่ด้วยความที่สามารถเข้าถึงเหยื่อได้ง่าย และทำเงินได้มหาศาล ทำให้เจ้ามัลแวร์ประเภทนี้เริ่มเป็นที่นิยมในหมู่ Hacker ถึงขนาดแฮคกันเป็นธุรกิจเลยทีเดียว ในเดือนมีนาคมมี 2012 นั้น เริ่มมีการค้นพบ Malware ชนิดนี้ที่ประเทศอื่นมากมายในยุโรปอเมริกา ในรูปแบบเพจแจ้งเตือน

ในช่วงระยะเวลานั้น เหล่าแฮคเกอร์ได้พัฒนาวิธีการในการกระจายแรนซัมแวร์ออกไปได้เพิ่มขึ้นอีกมากมาย เช่น มีเว็บไซต์ Laduree.fr ซึ่งเป็น Website ร้านขนมชื่อดังในฝรั่งเศส ถูก Hack และติดตั้งมัลแวร์ชนิดนี้ ให้สามารถกระจายตัวเข้าสู้ผู้ใช้งานทั่วไปของเว็บไซต์ได้ ปรากฎการณ์ครั้งนี้ ทำให้แรนซัมแวร์ยิ่งขยายตัวระบาดไปทั่วทั้งฝรั่งเศสและญี่ปุ่น เพราะร้านนี้เป็นร้านที่มีชื่อเสียงในแดนอาทิตย์อุทัยด้วย

ต้นกำเนิดของ Reveton

Reveton คือแรนซัมแวร์ชนิดหนึ่งที่ใช้วิธีแอบอ้างตนเองเป็นกฏหมาย เรียกได้อีกชื่อหนึ่งว่า Police Ransomware หรือ Police Trojans มีการขู่ User ด้วยการแสดงหน้า Page แจ้งเตือนโดยอ้างเหตุผลด้านกฎหมาย ว่าตรวจพบว่าเหยื่อทำผิดกฏหมาย เพื่อแจ้งให้ชำระค่าปรับ โดยที่ไม่จำเป็นต้องทำ

ต้นกำเนิดของ CryptoLocker

ในปลายปี 2013 มีแรนซัมแวร์ประเภทใหม่ถือกำเนิดขึ้น โดยมีความสามารถในการเข้ารหัส ล็อคไฟล์สำคัญของเหยื่อได้ แทนที่จะใช้วิธีล็อคที่ระบบ ด้วยวิธีนี้ ถึงแม้เราจะทำการลบ Malware ออกไปแล้ว เราจะยังไม่สามารถเปิดใช้ไฟล์ที่ถูกเข้ารหัสไว้ได้อยู่ดี Ransomware ชนิดนี้มีชื่อว่า CryptoLocker หรือ Cryptoransomware นั่นเอง และก็เหมือนกับแรนซัมแวร์รุ่นก่อนๆคือ CryptoLocker จะขู่ให้เหยื่อต้องจ่ายเงิน เพื่อแลกกับพาสเวิร์ดไว้ปลดล็อคไฟล์ที่เหยื่อต้องการ

จากสถิติ ส่วนใหญ่ Hacker จะใช้วิธีในการกระจายมัลแวร์ชนิดนี้ด้วยการสแปมข้อความหรืออีเมลล์ อ้างเป็นแคมเปญต่างๆ หลอกให้เหยื่อดาวน์โหลดเข้าสู่อุปกรณ์ด้วยไฟล์ขนาดเล็กหน้าตาธรรมดาทั่วไป

ช่วงสิ้นปี 2013 ก็มี CryptoLocker ชนิดใหม่ก่อกำเนิดขึ้นอีก คราวนี้มันสามารถแพร่กระจ่ายผ่าน Drive ที่ถอดออกได้ ทำให้ยิ่งง่ายต่อการแทรกซึมเข้าสู่อุปกรณ์ต่างๆ ยิ่งไปกว่านั้น ยังไม่จำเป็นต้องให้เหยื่อกด Download อีกด้วย

ในเวลาต่อมานั้น CryptoLocker ก็ได้ทำการพัฒนาความร้ายกาจขึ้นไปอีกระดับ คือสามารถเข้ารหัสไฟล์ได้หลากหลายประเภทมากขึ้น เช่น ข้อมูล, ไฟล์ Office, Video, รูปภาพ, ข้อควม และอื่นๆ มากมาย และยังเจาะเข้าไปลบไฟล์ Backup เพื่อป้องกันไม่ให้เหยื่อสามารถกู้คืนได้จนกว่าจะชำระเงินค่าไถ่อีกด้วย

เริ่มกระจายเข้าสู่วงการเงินดิจิตอล

ในปี 2014 เจ้า Ransomware ได้เริ่มรุกรานเข้าถึงกลุ่ม Cryptocurrency (เช่น Bitcoin) โดยมีมัลแวร์ประเภทใหม่ถือกำเนิดขึ้น เรียกว่า BitCrypt มีเป้าหมายหลักคือเข้ารหัสหรือขโมยข้อมูลไฟล์สำคัญที่เกี่ยวข้องกับเงินดิจิตอล อาทิเช่น Wallet.dat (Bitcoin), Eletrum.Dat (Electrum) และ .wallet (MultiBit) ซึ่งไฟล์เหล่านี้มีข้อมูลสำคัญ เช่น ประวัติการเดินบัญชีหรือข้อมูลส่วนตัวเจ้าของบัญชี

Angler Exploit Kit

ในปี 2015 มีเครื่องมือในการกระจายแรนซัมแวร์ที่เป็นที่นิยมในหมู่แฮคเกอร์อย่างมากกำเนิดขึ้น ชื่อว่า Angler Exploit ใช้โจมตีเหยื่อผ่านช่องทางที่เป็นที่นิยม เช่น Website

ไฟล์สำคัญที่เป็นเป้าหมาย

ถึงแม้ Cryptoransomware จะเป็นที่นิยมอย่างสูงในหมู่มิจฉาชีพ แต่แรนซัมแวร์ประเภทอื่นๆ ก็ยังคงไม่ได้หายไปไหน และสามารถพบได้อยู่บ้างอาทิเช่น Police Trojans ที่ยังสามารถพบได้ทั่วไป

จะเห็นได้ว่าในเพียงเวลาไม่กี่ปี Ransomware ได้ก่อกำเนิดและวิวัฒนาการ จากแค่โจมตีผู้ใช้งานในรัสเซีย กลายเป็นระบาดไปทั่วโลก เพราะเป็นมัลแวร์ที่สร้างรายได้มหาศาลให้แก่แฮคเกอร์ และมีการคาดการณ์ว่ามันจะยิ่งมีการเติบโตพัฒนา ไปเรื่อยๆ ขึ้นอีกในอนาคต

ก่อนหน้านี้แรนซัมแวร์จะเล็งเป้าไปแค่ที่ไฟล์ทั่วไปเช่น .doc, .xls, .jpg, .pdf และ อื่นๆ แต่ปัจุจุบันไฟล์เฉพาะทางที่มีความสำคัญก็สามารถถูกล็อคได้เหมือนกัน เช่น ไฟล์ Database, ไฟล์ Website, ไฟล์ SQL, ไฟล์ CAD และ Virtual Desktop Files เป็นต้น

Ransomeware ในยุคปัจจุบัน

หลัง Cryptoransomware ได้รับความนิยมมากขึ้น มัลแวร์ชนิดนี้ก็ได้วิวัฒนาการต่อไปเรื่อยๆ โดยมีการเพิ่มฟีเจอร์ต่างๆ มากขึ่นไปอีกมากมาย อาทิเช่น ระบบ Countdown นับเวลาถอยหลัง, การเพิ่มค่าไถ่ไปเรื่อยๆ และการกระจายตัว เมื่อเข้าถึงอุปกรณ์เพียงชิ้นเดียวในระบบ จะสามารถขยายความเสียหายไปสู่ระบบเครือข่ายและเซิร์ฟเวอร์หลักได้

ถึงแม้จะก่อกำเนิดมาหลายปีแล้ว Ransomware ก็ยังคงสร้างความเสียหาย และปั่นป่วนระบบสำคัญขององค์กรต่างๆ ได้อย่างต่อเนื่องในปัจจุบัน ในปัจจุบัน ชนิดที่ดังที่สุดของหนีไม่พ้น WannaCry ซึ่งเริ่มต้นแพร่กระจายผ่าน Dropbox URL ที่ฝังมาใน Spam แต่ปัจจุบันเริ่มพัฒนามากระจายตัวผ่าน Server Message Block ทำให้เจ้า WannaCry นี้ เป็นที่นิยมอย่างมากในหมู่มิจฉาชีพ ถือเป็นแรนซัมแวร์ที่ถูกตรวจพบได้มากที่สุดในทั่วโลก

คงไม่น่าแปลกใจเท่าไหร่ ถ้า Malware ชนิดนี้ จะมีการปรับเปลี่ยน พัฒนาขึ้นไปอีกในไม่กี่ปีข้างหน้า ด้วยศักยภาพความร้ายกาจของมัน มันสามารถพัฒนาตัวให้กลายเป็น Malware ที่สามารถปิดการทำงานของโครงสร้างระบบไอทีทั้งองค์กร จนกว่าจะได้รับค่าไถ่ที่เรียกร้อง ความน่ากลัวนี้ไม่เพียงแต่อาจจะส่งผลกระทบต่อภาคธุรกิจ แต่อาจจะส่งผลถึงระบบไอทีของเมืองหรือประเทศชาติได้เลยทีเดียวก็เป็นได้ ยิ่งไปกว่านั้น อาชญากรทางโลกไซเบอร์ อาจจะสามารถพัฒนาตนเองไปโจมตีบนระบบ ICSs หรืออุตสาหกรรมขนาดใหญ่ เช่น สถานพยาบาล การขนส่ง หรือรัฐบาล

องค์กรต่างๆ จำเป็นต้องเตรียมรับมือการโจมตีที่อาจเกิดขึ้นตลอดเวลา โดยเฉพาะในปัจจุบันที่เหล่าแฮคเกอร์เริ่มหันมาใช้มัลแวร์ชนิดนี้ในการเล่นงานเหยื่อกันมากขึ้นเรื่อยๆ โดย Hacker จะศึกษาธุรกิจเบื้องต้นของเหยื่อ เพื่อเล็งเข้าถึงประเภทไฟล์ที่สำคัญ เพื่อเรียกเงินค่าไถ่ให้ได้มูลค่ามากที่สุด

ความสัมพันธ์กับ Bitcoin

Ransomware ส่วนใหญ่นั้น มักจะเรียกร้องค่าไถ่เป็นเงินดิจิตอลจำนวน 0.5 ถึง 5 Bitcoins (ข้อมูลจากปี 2016) เพื่อแลกกับการปลดล็อคไฟล์ของเหยื่อ โดยบางตัวอาจจะเพิ่มมูลค่ามากขึ้นเรื่อยๆ ตามระยะเวลาที่รอ

ถึงแม้จะไม่มีวิธีตายตัวที่ใช้หยุดการรุกรานของ Ransomware การปกป้องและใช้งานอุปกรณ์อย่างระมัดระวังโดยเฉพาะขณะเชื่อมต่อระบบอินเตอร์เน็ต เตรียมพร้อมไว้หลายๆ ขั้นตอน ก็อาจช่วยลดความเสี่ยงไม่ให้ระบบเครือข่ายของเราถูกเข้าถึงได้ เพราะฉะนั้น การป้องกันที่ดี ก็คือวิธีแก้ ที่ดีที่สุดนั่นเองครับ

การป้องกัน

การป้องกันอุปกรณ์และระบบจากแรนซัมแวร์นั้น ทำได้เบื้องต้นดังนี้

• อย่าเปิดไฟล์อีเมลล์แปลกหน้าที่ยังไม่ได้รับการตรวจสอบ และอย่าคลิกลิ้งก์ที่ฝังมากับมัน
• หมั่น Back up ไฟล์ที่สำคัญไว้ตลอดเวลา ถ้าใครมีเวลา ให้คัดลอกข้อมูลสำคัญเก็บไว้ 3 ชุด โดย 2 ชุดแรกเก็บไว้ในอุปกรณ์คนละชนิดกัน และอีก 1 ชุดเก็บไว้ในสถานที่อีกที่หนึ่ง
• Update Software, โปรแกรม และ Application ตลอดเพื่อใช้ฟีเจอร์รักษาความปลอดภัยเวอร์ชั่นล่าสุดตลอดเวลา
• สร้างความรู้ความเข้าใจให้กับพนักงานบริษัททุกคน ให้รู้จักกับความอันตรายของ Ransomware เพื่อให้ทุกคนตื่นตัว ไม่เผลอทำพลาดดาวน์โหลดมันเข้ามาในระบบองค์กร
• จำกัดการเข้าถึงระบบเครือข่าย หรือไดรฟ์แบบแชร์ให้กับอุปกรณ์และ User ที่ได้รับอนุญาตเท่านั้น

ในองค์กรขนาดใหญ่ หากถูกโจมตีด้วยแรนซัมแวร์แล้ว แนะนำว่าอย่าชำระเงินค่าไถ่เนื่องจากไม่ได้การันตีว่าเราจะได้ข้อมูลคืนมา 100% ให้ดำเนินการต่อตามกระบวนการกฎหมาย แจ้งตำรวจและยืดระยะเวลาจ่ายค่าไถ่ออกไปให้นานที่สุด

อีกวิธีป้องกันที่ได้ผลคือการลงทุนซื้อ Software และอุปกรณ์ Server ที่อุทิศตนเพื่อบริหารจัดการ, สำรอง และ ปกป้องข้อมูลสำคัญของบริษัทโดยเฉพาะ ยกตัวอย่างเช่นโซลูชั่นของการทำงานร่วมกันระหว่าง Cohesity software และ Server HPE

> อ่านบทความเพิ่มเติมเกี่ยวกับ Cohesity และ HPE ที่นี่

ในส่วนขององค์กรที่ใช้ระบบปฏิบัติการ OS ที่ถูกลิขสิทธิ์อย่าง Windows 10 อยู่แล้ว ตัว OS เองมักจะมีการอัพเดตตัวเองตลอดเวลาให้สามารถตรวจจับและป้องกัน Malware ต่างๆ ได้อย่างเฉียบขาด ทั้งนี้แนะนำให้ใช้ Windows 10 Pro เพราะมีฟีเจอร์รักษาความปลอดภัยมากมายที่เหนือกว่าแบบ Home อ่านบทความ Windows 10 Home VS Pro ได้ที่นี่

สนใจสั่งซื้อหรือสอบถามรายละเอียดเพิ่มเติม สามารถติดต่อได้ที่หน้า Contact

หรือ

สรุป

เมื่อทราบถึงความน่ากลัวของ Ransomware กันแล้ว ว่ามันคืออะไร มีความอันตรายอย่างไร ก็อยากให้ทุกๆ คนเตรียมรับมือ และระมัดระวังในการใช้งานอุปกรณ์ไอทีทุกประเภทไว้เสมอครับ โดยเฉพาะหากได้รับลิ้งก์หรือไฟล์ปริศนาที่เชื่อถือไม่ได้ อย่าไปกดหรือดาวน์โหลดเชียวนะครับ โดยนอกจาพื้นฐานการป้องกันเบื้องต้นแล้ว เรายังสามารถใช้ Anti-Virus ติดตั้งเพิ่มเติมกับตัวอุปกรณ์ได้ดวย ซึ่งทาง Addin.co.th ภายใต้บริษัท แอด อิน บิซิเนส จำกัด นอกจากอุปกรณ์ Hardware แล้ว เราก็เป็นตัวแทนจำหน่าย Software เช่นกันรวมถึงโปรแกรม Anti-Virus ที่มีชื่อเสียงด้วย

หากท่านผู้อ่านมีความสนใจเพิ่มเติมในการสั่งซื้อสินค้าอุปกรณ์ไอที สอบถามข้อมูล หรือขอใบเสนอราคา ไม่ว่าจะเป็นในส่วนของอุปกรณ์ใดๆก็ตาม สามารถติดต่อเข้ามาได้ที่

Facebook Inbox : https://goo.gl/9wo8oL
Hotline : 063-819-7299
โทร : 02-713-2261
Line@ : @addinonline
Email : [email protected]