TechTalkThai ศูนย์รวมข่าว Enterprise IT ออนไลน์แห่งแรกในประเทศไทย
Ransomware กำลังระบาดหนักมากขึ้นทั่วโลก ข้อมูลจาก Trend Micro ระบุว่าจากเดือนมกราคมถึงเดือนพฤษภาคมปีนี้ Trend Micro ได้ตรวจจับ/บล็อกภัยคุกคามที่เกี่ยวกับมัลแวร์เรียกค่าไถ่มากกว่า 66 ล้านภัยคุกคามทั่วโลก ในจำนวนนี้ 64% เป็นภัยคุกคามจากมัลแวร์เรียกค่าไถ่ที่มากับอีเมล
ล่าสุด TrendLabs ของ Trend Micro ตรวจพบ MIRCOP.A crypto-ransomware จากอีเมลขยะที่มีเอกสารแนบที่ทำให้ดูจะคล้ายเป็นแบบฟอร์มของใบศุลกากรไทยที่ใช้ในการนำเข้า-ส่งออกสินค้า (http://blog.trendmicro.com/trendlabs-security-intelligence/instruction-less-ransomware-mircop-channels-guy-fawkes/)
ภาพที่ 1 แสดงข้อความข่มขู่จาก MIRCOP.A crypto-ransomware
ภาพที่ 2 แสดงตัวอย่างไฟล์แนบที่มากับ MIRCOP.A crypto-ransomware
MIRCOP.A มีพฤติกรรมที่แตกต่างจากมัลแวร์เรียกค่าไถ่อื่นๆ ที่ผู้ตกเป็นเหยื่อมักจะได้รับคำแนะนำขั้นตอนการจ่ายค่าไถ่ แต่ MIRCOP.A จะมีการกล่าวโทษผู้ตกเป็นเหยื่อว่าไปขโมยเงิน (Bitcoin) มาและขู่ว่าหากไม่จ่ายค่าไถ่จะเกิดเหตุการณ์ต่างๆ โดยไม่กำหนดเวลาการจ่ายเงินและไม่บอกวิธีการจ่ายค่าไถ่ แต่ให้ Bitcoin address ไว้ เหมือนจะมุ่งโจมตีเหยื่อที่คุ้นเคยกับการทำธุรกรรมผ่าน Bitcoin จำนวนเงินค่าไถ่ที่พบคือ 48.48 bitcoins (หรือ 28,730.70 ดอลลาร์สหรัฐ ณ วันที่ 23 มิถุนายน 2559) เป็นค่าไถ่สูงสุดที่เคยพบมา ทั้งนี้ Trend Micro ได้ตรวจสอบ Bitcoin Address ณ วันที่ 23 มิถุนายนยังไม่พบว่ามีการจ่ายเงินค่าไถ่ใดๆ
เมื่อผู้ใช้เปิดไฟล์แนบและเปิดการใช้งานแมโครจะเป็นการลิงก์เข้าไปยัง hxxp://www[.]blushy[.]nl/u/putty.exe และจะดาวน์โหลดและรันมัลแวร์โดยอัตโนมัติ ส่วนเว็บไซต์ที่ถูกโจมตีจะถูกลิงก์ไปยัง adult shop ที่อยู่ในดัตช์ ทั้งนี้มัลแวร์เรียกค่าไถ่จะสร้างไฟล์สามไฟล์ไว้ใน C:\users\administrato\appdata\local\temp\ โดยไฟล์ c.exe ใช้ในการขโมยข้อมูล, x.exe และ y.exe จะทำการเข้าหรัสไฟล์ต่างๆ และแทนที่จะเข้ารหัสไฟล์ด้วยนามสกุล MIRCOP กลับใส่คำว่า “Lock” ไว้หน้าชื่อไฟล์นั้นๆ นอกจากนี้ยังเข้ารหัสโฟลเดอร์ด้วย เมื่อเปิดไฟล์ข้อความในไฟล์จะถูกเปลี่ยนเป็นตัวอักษรที่อ่านไม่ได้
