Breaking News

พบ Ransomware เลียนแบบ Locky แต่เสียใจ ถูกปลดรหัสได้เรียบร้อย

emsisoft_logo

พบ Ransomware หรือมัลแวร์เรียกค่าไถ่ตัวใหม่ ที่พยายามเลียนแบบ Ransomware ชื่อดังอย่าง Locky โดยเติมนามสกุล .locky ต่อท้ายไฟล์ที่เข้ารหัส และเรียกตัวเองว่า “Locky” ด้วยเช่นกัน แต่การตรวจสอบโดยละเอียดพบว่า Ransomware ทั้งสองมีความแตกต่างกันอย่างเห็นได้ชัด ไม่ว่าจะเป็นข้อความที่ใช้เรียกค่าไถ่ และการติดต่อกับ C&C Server โดยไม่ผ่านเครือข่าย Tor ที่สำคัญคือ Emsisoft ออก Decrypter สำหรับปลดรหัสได้เป็นที่เรียบร้อย

Ransomware ตัวแรกที่ใช้ภาษา AutoIt

ที่น่าสนใจคือ มัลแวร์เลียนแบบ Locky นี้ใช้สคริปต์ AutoIt ในการเขียน แทนที่จะเป็น Visual C++ เหมือน Locky ต้นฉบับ AutoIt เป็นภาษาสคริปต์ที่แรกเริ่มเดิมทีถูกใช้เพื่อช่วยตั้งค่า PC หลายร้อยหรือหลายพันเครื่องให้พร้อมใช้งาน แต่ปัจจุบันนี้กลายเป็นหนึ่งในภาษาที่ทรงพลัง ที่ใช้ในการสร้างโปรแกรมเพื่อทำงานหลายๆ อย่างโดยอัตโนมัติ ด้วยการใช้ภาษา AutoIt นี้เอง มัลแวร์เลียนแบบ Locky นี้จึงถูกตั้งชื่อว่า AutoLocky

Decompile เพื่อวิเคราะห์และปลดรหัสได้เรียบร้อย

จุดอ่อนสำคัญของมัลแวร์ที่พัฒนาโดยใช้ AutoIt คือ สามารถ Decompile โปรแกรมกลับไปเป็นสคริปต์ปกติที่อ่านรู้เรื่องได้ ส่งผลให้นักวิจัยจาก Emsisoft เห็นโค้ดและสคริปต์ทั้งหมดที่ใช้สร้าง AutoLocky จึงสามารถวิเคราะห์มัลแวร์และสร้าง Decrypter สำหรับปลดรหัสได้อย่างง่ายดาย อย่างไรก็ตาม จนถึงตอนนี้ยังไม่ทราบว่า AutoLocky เริ่มแพร่กระจายเมื่อไหร่ และแพร่กระจายด้วยวิธีไหน

สำหรับผู้ที่ถูก AutoLocky โจมตี สามารถดูขั้นตอนปลดรหัสได้ที่: http://www.bleepingcomputer.com/news/security/decrypted-the-new-autolocky-ransomware-fails-to-impersonate-locky/
Decrypter สำหรับปลดรหัส: https://decrypter.emsisoft.com/autolocky

autolocky_ransom_note

ที่มาและเครดิตรูปภาพ: http://www.bleepingcomputer.com/news/security/decrypted-the-new-autolocky-ransomware-fails-to-impersonate-locky/


About techtalkthai

ทีมงาน TechTalkThai เป็นกลุ่มบุคคลที่ทำงานในสาย Enterprise IT ที่มีความเชี่ยวชาญทางด้าน Network, Security, Server, Storage, Operating System และ Virtualization มารวมตัวกันเพื่ออัพเดตข่าวสารทางด้าน Enterprise IT ให้แก่ชาว IT ในไทยโดยเฉพาะ

Check Also

เปิดตัว Dell EMC PowerEdge Server รุ่นที่ใช้หน่วยประมวลผล AMD EPYC 7002

Dell EMC ได้ออกมาประกาศเปิดตัว Dell EMC PowerEdge Server ใหม่ 5 รุ่น ที่ใช้หน่วยประมวลผล AMD EPYC 7002 ตอบโจทย์ธุรกิจองค์กรที่ต้องการพลังประมวลผลสูงในงบประมาณที่คุ้มค่า พร้อมให้บริการแล้วทั่วโลก ดังนี้

Microsoft นำ IBM Power9 มาเปิดให้บริการบน Azure รองรับ Workload จากระบบของ IBM โดยเฉพาะ

Microsoft ได้ออกมาประกาศความร่วมมือกับบริษัท Skytap ผู้เชี่ยวชาญด้านการย้ายระบบของ IBM ในการนำ IBM Power 9 มาเปิดให้บริการบน Microsoft Azure รองรับการย้ายระบบจาก Hardware ของ IBM เองมาอยู่บน Cloud โดยเฉพาะ