ADPT

Sophos เผยวิธีการหลีกเลี่ยงการตรวจจับของแรนซัมแวร์ WastedLocker โดยใช้ฟีเจอร์ปกติใน Windows

Sophos ผู้เชี่ยวชาญด้านความมั่นคงปลอดภัยทางไซเบอร์ได้ออกมาเปิดเผยถึง วิธีการที่แรนซัมแวร์อย่าง WastedLocker ใช้หลีกเลี่ยงการตรวจจับของโซลูชันป้องกัน โดยใช้ฟีเจอร์ใน Windows ที่มีอยู่แล้ว

WastedLocker คือแรนซัมแวร์ตัวหนึ่ง ซึ่งล่าสุดก็ถูกใช้ในเหตุการณ์โจมตี Garmin จนให้บริการไม่ได้ไปหลายวันเช่นกัน วันนี้มีการเปิดเผยรายละเอียดจาก Sophos ว่ามัลแวร์ตัวนี้สามารถหลบเลี่ยงการตรวจจับได้อย่างไร

ก่อนจะเข้าใจวิธีการโจมตีเราต้องทราบถึงกลยุทธ์ที่โซลูชันฝั่งป้องกันทำเสียก่อน ไอเดียก็คือโซลูชันป้องกันแรนซัมแวร์จะไปติดตามการเรียก System Call ที่เกี่ยวกับ File Operation ก็คือหากมีโปรเซสที่ไม่รู้จักเรียกเปิด เขียนและปิดไฟล์จำนวนมาก ตัวป้องกันก็จะทำการปิดโปรเซสนั้น นั่นหมายความว่าเราอาจจะสูญเสียไฟล์ไปบางส่วนก่อนที่การป้องกันจะทำงาน แต่ก็ดีกว่าถูกโจมตีทั้งเครื่อง

อย่างไรก็ดีเพื่อเพิ่มประสิทธิภาพใน Windows จะมีการใช้งาน Cache Manager ซึ่งคอนเซปต์ก็ทั่วไปคือการเขียน อ่าน จากหน่วยความจำทำได้เร็วกว่าจากดิสก์ ด้วยเหตุนี้เองทางแทนที่ WastedLocker จะไปจัดการไฟล์โดยตรง ก็เลยเข้าไปเข้ารหัสไฟล์ในแคชแทน ซึ่งเมื่อมีการอัปเดตจำนวนมากระบบ Cache Manager ซึ่งมีสิทธิ์ระดับ SYSTEM ก็จะไปเขียนไฟล์ที่ถูกเข้ารหัสทับไฟล์กลับในระบบ (อัปเดตจาก Cache ไปยังดิสก์นั่นเอง) ทั้งนี้ด้วยสิทธิ์ที่ถูกต้องทางฝั่งการป้องกันเลยปล่อยผ่านการเรียก System Call นี้ไปนั่นเอง

หากใครต้องการศึกษาในเชิงลึกสามารถติดตามเพิ่มเติมได้จากบล็อกของ Sophos ครับ 

ที่มา :  https://www.bleepingcomputer.com/news/security/wastedlocker-ransomware-abuses-windows-feature-to-evade-detection/


About nattakon

จบการศึกษา ปริญญาตรีและโท สาขาวิศวกรรมคอมพิวเตอร์ KMITL เคยทำงานด้าน Engineer/Presale ดูแลผลิตภัณฑ์ด้าน Network Security และ Public Cloud ในประเทศ ปัจจุบันเป็นนักเขียน Full-time ที่ TechTalkThai

Check Also

ขอเชิญเข้าร่วมงาน VMworld 2021: Online Around the Globe อัปเดตเทคโนโลยีล่าสุดจาก VMware วันที่ 6-7 ต.ค. 2021

ขอเรียนเชิญผู้ที่สนใจทุกท่านเข้าร่วมงานสัมมนาออนไลน์ใหญ่ประจำปีจาก VMware กับงาน VMworld 2021: Online Around the Globe รอบภูมิภาคเอเชียแปซิฟิกในวันที่ 5-6 ตุลาคม 2021 นี้ เพื่อรับชมอัปเดตแนวโน้มและเทคโนโลยีใหม่ล่าสุดสำหรับธุรกิจองค์กร เตรียมก้าวสู่ปี 2022 อย่างมั่นใจ โดยมีรายละเอียด กำหนดการ และวิธีการลงทะเบียนเข้าร่วมงานโดยไม่มีค่าใช้จ่ายดังนี้

[Guest Post] ไม่อยากปวดหัวกับ Ransomware ต้องมี!! | Veritas Flex5150 Appliance

ปัญหา #Ransomware เป็นเรื่องใหญ่ระดับโลกที่ทุกองค์กร กำลังได้รับผลกระทบเป็นอย่างมาก ยิบอินซอย และ Veritas ได้เล็งเห็นปัญหาดังกล่าว จัดโปรโมชั่นพิเศษสุดๆ กับโซลูชั่นสำรองข้อมูล สำหรับลูกค้าองค์กรทุกท่านในการเริ่มต้นใช้งาน NetBackup ได้อย่างง่ายๆ ครบถ้วนทั้ง hardware และ software ในราคาที่จับต้องได้