TechTalkThai ศูนย์รวมข่าว Enterprise IT ออนไลน์แห่งแรกในประเทศไทย
พบ Ransomware หรือมัลแวร์เรียกค่าไถ่ตัวใหม่ ที่พยายามเลียนแบบ Ransomware ชื่อดังอย่าง Locky โดยเติมนามสกุล .locky ต่อท้ายไฟล์ที่เข้ารหัส และเรียกตัวเองว่า “Locky” ด้วยเช่นกัน แต่การตรวจสอบโดยละเอียดพบว่า Ransomware ทั้งสองมีความแตกต่างกันอย่างเห็นได้ชัด ไม่ว่าจะเป็นข้อความที่ใช้เรียกค่าไถ่ และการติดต่อกับ C&C Server โดยไม่ผ่านเครือข่าย Tor ที่สำคัญคือ Emsisoft ออก Decrypter สำหรับปลดรหัสได้เป็นที่เรียบร้อย
Ransomware ตัวแรกที่ใช้ภาษา AutoIt
ที่น่าสนใจคือ มัลแวร์เลียนแบบ Locky นี้ใช้สคริปต์ AutoIt ในการเขียน แทนที่จะเป็น Visual C++ เหมือน Locky ต้นฉบับ AutoIt เป็นภาษาสคริปต์ที่แรกเริ่มเดิมทีถูกใช้เพื่อช่วยตั้งค่า PC หลายร้อยหรือหลายพันเครื่องให้พร้อมใช้งาน แต่ปัจจุบันนี้กลายเป็นหนึ่งในภาษาที่ทรงพลัง ที่ใช้ในการสร้างโปรแกรมเพื่อทำงานหลายๆ อย่างโดยอัตโนมัติ ด้วยการใช้ภาษา AutoIt นี้เอง มัลแวร์เลียนแบบ Locky นี้จึงถูกตั้งชื่อว่า AutoLocky
Decompile เพื่อวิเคราะห์และปลดรหัสได้เรียบร้อย
จุดอ่อนสำคัญของมัลแวร์ที่พัฒนาโดยใช้ AutoIt คือ สามารถ Decompile โปรแกรมกลับไปเป็นสคริปต์ปกติที่อ่านรู้เรื่องได้ ส่งผลให้นักวิจัยจาก Emsisoft เห็นโค้ดและสคริปต์ทั้งหมดที่ใช้สร้าง AutoLocky จึงสามารถวิเคราะห์มัลแวร์และสร้าง Decrypter สำหรับปลดรหัสได้อย่างง่ายดาย อย่างไรก็ตาม จนถึงตอนนี้ยังไม่ทราบว่า AutoLocky เริ่มแพร่กระจายเมื่อไหร่ และแพร่กระจายด้วยวิธีไหน
สำหรับผู้ที่ถูก AutoLocky โจมตี สามารถดูขั้นตอนปลดรหัสได้ที่: http://www.bleepingcomputer.com/news/security/decrypted-the-new-autolocky-ransomware-fails-to-impersonate-locky/
Decrypter สำหรับปลดรหัส: https://decrypter.emsisoft.com/autolocky
ที่มาและเครดิตรูปภาพ: http://www.bleepingcomputer.com/news/security/decrypted-the-new-autolocky-ransomware-fails-to-impersonate-locky/
