TechTalkThai ศูนย์รวมข่าว Enterprise IT ออนไลน์แห่งแรกในประเทศไทย
ผู้เชี่ยวชาญจาก Anomali Threat Research ได้ออกมาแจ้งเตือนถึง Ransomware ตัวใหม่ที่ตั้งชื่อตาม String ที่ปรากฏในโค้ดภาษา Go ของมัลแวร์ว่า ‘eCh0raix’ โดยมีความสามารถที่น่าสนใจคือการ Brute-force โจมตีอุปกรณ์ NAS Storage ของค่าย QNAP ได้
สำหรับอุปกรณ์ที่ถูกรายงานเข้ามาจากผู้ใช้งานแล้วในขณะนี้ก็คือ QNAP รุ่น TS-251, TS-451, TS-459 Pro II และ TS 253B เป็นต้น ทั้งนี้ทาง QNAP เองก็มีคำแนะนำสำหรับกู้คืน Snapshot เผยแพร่ไว้อยู่แล้วที่นี่ นอกจากนี้จากหลักฐานที่พบคือ eCh0raixได้ใช้กุญแจแตกต่างกันในเหยื่อแต่ละราย รวมถึงใช้เซิร์ฟเวอร์ควบคุมผ่านเครือข่าย Tor แต่ใช้ SOCKS5 Proxy ส่งสารแทนการใช้ Tor Client ซึ่งความน่าสนใจคือคนร้ายได้เลือกละเว้นเหยื่อที่ใช้ภาษาของกลุ่มประเทศรัฐเอกราช (CIS Country) ด้วย
โดยหลังจากที่เชื่อมต่อกับเซิร์ฟเวอร์ได้แล้วจะมีการดาวน์โหลดไฟล์เรียกค่าไถ่และใช้ RSA Public Key เพื่อเข้ารหัส Key เข้ารหัสสำหรับเหยื่ออีกทีหนึ่ง รวมถึงมีการติดตามกิจกรรมของมัลแวร์ด้วย อย่างไรก็ตามนักวิจัยพบว่าคนร้ายจะไม่สามารถแยกแยะเหยื่อได้เนื่องจากไม่มีการส่งข้อมูลของระบบ ทั้งนี้คนร้ายยังได้พัฒนา API ขึ้นมาสำหรับร้องขอข้อมูลอื่นที่สันนิษฐานว่าอาจใช้ร้องขอ Public Key ตามเลขแคมเปญด้วย ตามรูปด้านล่าง
eCh0raix ค้นหาและสั่ง Kill โปรเซสบน NAS ด้วยคำสั่ง service stop %s หรือ systemctl stop %s กับโปรเซส เช่น apache2, httpd, nginx, mysqld, mysqd และ php-fpm เป็นต้น รวมถึงยังละเว้น Path และไฟล์ตามรูปด้านล่างอย่างอัตโนมัติ โดยจะเข้ารหัสไฟล์เอกสารจำพวก Microsoft Office, Open Office, PDF, Text, Archive, Database, รูปภาพ, หนัง, เพลง และไฟล์อิมเมจต่างๆ ผ่านอัลกอริทึม AES ในโหมด Cipher Feedback (CFB)
ในท้ายที่สุดแล้วคนร้ายจะร้องขอเงินค่าไถ่ราว 0.05 – 0.06 BTC เพื่อแลกกับตัวถอดรหัส อย่างไรก็ดีผู้เชี่ยวชาญกล่าวว่า “มัลแวร์ใช้แพ็กเกจทางคณิตศาสตร์เพื่อสร้าง Secret Key ซึ่งไม่ได้สุ่มขึ้น ดังนั้นเป็นไปได้ในทางปฏิบัติที่จะเขียน Decryptor ขึ้นมาได้” โดย QNAP NAS ไม่ได้มีโซลูชัน Anti-malware ติดมาและถึงแม้ว่ามีก็ยังยากที่จะป้องกัน เพราะจากการทดสอบด้วย 55 โซลูชันบน VirusTotal พบว่ามีเพียง 3 โซลูชันเท่านั้นที่สามารถตรวจจับ eCh0raix ได้ว่าเป็นมัลแวร์
