Florian Bogner นักวิจัยด้านความปลอดภัย รายงานช่องโหว่ AVGate ของโปรแกรมแอนตี้ไวรัสหลายตัว ที่ไวรัสสามารถเจาะผ่านแอนตี้ไวรัส เพื่อเข้าควบคุมเครื่องคอมพิวเตอร์ของผู้ใช้ได้

ปกติแล้วแอนตี้ไวรัสจะนำไฟล์ต้องสงสัยไปเก็บในโฟลเดอร์ Quarantine เพื่อตรวจสอบพฤติกรรม แต่ถ้าแฮ็กเกอร์รู้ช่องโหว่ของระบบไฟล์ NTFS ก็สามารถนำไฟล์นั้นกลับไปใส่ไว้ในโฟลเดอร์สำคัญๆ อย่าง C:\Windows หรือ C:\Program Files ได้

ช่องโหว่นี้ช่วยให้ไวรัส-มัลแวร์สามารถเข้าถึงสิทธิผู้ดูแลระบบ ซึ่งระบบปฏิบัติการป้องกันเอาไว้ค่อนข้างดี แต่เมื่อแอนตี้ไวรัสรันที่สิทธิผู้ดูแลระบบ ก็ใช้วิธีการเจาะผ่านแอนตี้ไวรัสแทน

จากประเด็นเรื่องความเชื่อมโยงของ Kaspersky กับรัสเซีย จนบริษัทต้องประกาศสอบสวนข้อมูลเป็นการภายใน และ ออกมาตรการเรื่องความโปร่งใส

ล่าสุด Kaspersky ออกมาให้ข้อมูลในประเด็น ข้อมูลของพนักงาน NSA โดนล้วง โดยอ้างจากข้อมูล log ภายในของบริษัทเอง ว่าข้อมูลของ NSA ที่หลุดออกไปตามข่าว มีลักษณะตรงกับ มัลแวร์จากกลุ่ม Equation ที่ Kaspersky เคยรายงานการค้นพบในปี 2015 ทำให้ระบบของ Kaspersky พยายามตรวจจับมัลแวร์ที่คล้ายคลึงกันในเวลาต่อมา

จากข่าว เซิร์ฟเวอร์ CCleaner ถูกแฮ็ก โปรแกรมถูกฝังมัลแวร์ ตอนนี้เริ่มมีรายละเอียดของมัลแวร์ตัวนี้ออกมาว่ามันไม่ธรรมดา เพราะมันถูกออกแบบเพื่อตั้งใจโจมตีคอมพิวเตอร์ภายในบริษัทใหญ่ๆ อย่าง Intel, HTC, Samsung, Sony, Microsoft, Cisco ด้วย

รายละเอียดเรื่องนี้มาจาก Cisco Talos หน่วยวิเคราะห์ข้อมูลด้านความปลอดภัยของ Cisco ที่เป็นบริษัทหนึ่งที่ค้นพบมัลแวร์ตัวนี้และแจ้งไปยัง Piriform บริษัทผู้พัฒนา CCleaner (ปัจจุบันเป็นบริษัทลูกของ Avast)

บริษัทความปลอดภัย Check Point ตรวจพบแอพ Android จำนวนอย่างน้อย 50 ตัวที่ฝังมัลแวร์และหลุดรอดการตรวจสอบของกูเกิลขึ้นไปอยู่บน Play Store ได้

Check Point เรียกมัลแวร์ตัวนี้ว่า ExpensiveWall เพราะมันจะสมัครบริการ SMS แบบเสียเงินเพื่อหารายได้จากผู้ใช้สมาร์ทโฟน จากสถิติของ Check Point พบว่ามีคนดาวน์โหลดแอพกลุ่มนี้ไปแล้ว 5.9-21.1 ล้านครั้ง (สถิติการดาวน์โหลดของ Google Play บอกเป็นช่วง) ล่าสุด Check Point แจ้งปัญหาไปยังกูเกิล และกูเกิลลบแอพทั้งหมดออกหมดแล้ว

ในแง่รูปแบบการโจมตีที่สมัคร SMS คงไม่มีอะไรใหม่ แต่ความน่าสนใจของเคสนี้คือเทคนิคของมัลแวร์ที่ "เข้ารหัส" โค้ดส่วนมัลแวร์เอาไว้ เพื่อให้หลบเลี่ยงการตรวจสอบของกูเกิลได้สำเร็จ

Google ได้ลบแอปออกจาก Play Store ไปกว่า 300 แอป หลังได้รับแจ้งจากฝ่ายวิจัยของบริษัท Akamai ว่าแอปที่ดูไม่มีพิษภัยเหล่านั้น (อาทิแอปเล่นหนังหรือริงโทน) แฝงมาด้วย botnet ที่ชื่อว่า WireX และใช้เครื่องที่ิติดตั้งแอปสำหรับการโจมตีแบบ DDoS

โฆษก Google ระบุตอนนี้กำลังพยายามลบแอปและ botnet ออกจากเครื่องที่มีปัญหาทั้งหมด โดยตอนนี้ยังไม่เป็นที่แน่ชัดว่ามีเครื่องที่ติดมัลแวร์มีทั้งหมดกี่เครื่อง ขณะที่นักวิจัยของ Akamai คาดว่าจะอยู่ที่ราวๆ 7 หมื่นเครื่อง ขณะที่การโจมตีของ WireX บางกรณีมีการเรียกค่าไถ่ด้วย

ขณะที่นักวิจัยจากหลายบริษัท อาทิ Google, Akamai, Cloudflare, FLashpoint, Oracle Dyn ฯลฯ กำลังร่วมกันสืบสวนและแก้ปัญหานี้กันอยู่

ในงาน CLOUDSEC ที่สิงคโปร์เมื่อวานนี้ หัวข้อหนึ่งในงานคือ "The Future of Ransomware" โดย Rik Ferguson รองประธานฝ่ายวิจัยของ Trend Micro เล่าถึงประวัติศาสตร์ของมัลแวร์เรียกค่าไถ่ พร้อมกับคาดการณ์ว่าในอนาคตจะมีทิศทางใด

มัลแวร์เรียกค่าไถ่ในอดีต

มัลแวร์เรียกค่าไถ่ตัวแรกๆ ในโลกเกิดในปี 1989 ชื่อว่า AIDS จากการแสดงตัวเองเป็นซอฟต์แวร์ให้ข้อมูลโรคเอดส์ โดยจะถามข้อมูลของผู้ใช้เพื่อประเมินความเสี่ยง แต่เมื่อผู้ใช้เรียกใช้งานจริง มันจะล็อกเครื่องพร้อมบอก "หมายเลขอ้างอิง" ให้จ่ายค่าไถ่เป็นเช็คไปยังตู้ปณ. ในปานามา

Trend Micro รายงานการโจมตีที่ตรวจจับได้จากซอตฟ์แวร์ของบริษัท พบว่ามีการ "โจมตี" จากมัลแวร์เข้ารหัสข้อมูลเรียกค่าไถ่ (ransomware) ครึ่งปีแรกสูงถึง 1,200 ล้านครั้ง ในจำนวนนี้เป็นการโจมตีที่ตรวจพบในไทย 1.35% หรือประมาณ 16.2 ล้านครั้ง

ทาง Trend Micro สำรวจการโจมตีมาต่อเนื่องและพบว่า ransomware เริ่มติดอันดับภัยสำคัญตั้งแต่ปี 2015 อัตราการเติบโตรวดเร็วเป็นอย่างมาก เฉพาะภูมิภาคเอเชียแปซิฟิกเติบโต 41 เท่าตัว และของไทย 13 เท่าตัว

หลังจาก Marcus Hutchins หรือ MalwareTech ผู้ที่โด่งดังขึ้นมาจากการหยุดมัลแวร์ WannaCry ถูกจับกุมขณะกำลังขึ้นบินกลับอังกฤษ รายงานล่าสุดระบุว่าเขาได้รับอนุมัติประกันตัวโดยต้องวางหลักประกัน 30,000 ดอลลาร์ และห้ามออกนอกประเทศ โดยต้องติดเครื่องติดตามตัวไว้ด้วย

ทนายของ Hutchins ระบุว่าคำพิพากษาอนุมัติประกันตัวก่อนสำนักงานศาลปิดไม่นานทำให้ดำเนินการไม่ทัน การยื่นปล่อยตัวจริง

มัลแวร์ WannaCry/WannaCrypt ระบาดในช่วงสามเดือนก่อนสร้างความเสียหายกับบริษัทขนาดใหญ่จำนวนมาก แต่ในโค้ดกับมีการตรวจสอบโดเมนหนึ่ง ถ้าเปิดเว็บไว้มัลแวร์จะหยุดทำงาน เมื่อ Marcus Hutchins หรือชื่อออนไลน์ว่า MalwareTech พบโดเมนนี้ในโค้ดและไปจดโดเมน มัลแวร์ทั้งหมดจึงหยุดทำงานลง แต่หลังงาน DEF CON ในลาสเวกัส เขากลับถูก FBI จับกุมตัวขณะกำลังรอขึ้นเครื่องกลับอังกฤษ ด้วยข้อหาสร้างมัลแวร์ Kronos

Hyrum Anderson นักวิจัยด้านความปลอดภัยจากบริษัท Endgame โชว์ผลงานวิจัยการใช้ AI สร้างมัลแวร์ที่แอนตี้ไวรัสจับไม่ได้

แนวคิดของเรื่องนี้คือนำโค้ดมัลแวร์เดิมที่เป็นไบนารี มาดัดแปลงเพียงเล็กน้อย (น้อยมากๆ ระดับแก้ไม่กี่ไบต์) โดยให้ AI ทดลองหาวิธีแปลงที่น่าจะหลุดรอดการตรวจจับไปเรื่อยๆ จนกว่าจะได้วิธีการที่ดีที่สุด เช่น เติมเลขศูนย์ เติมไบต์สุ่ม เปลี่ยนชื่อบางเซคชั่นในไฟล์ ฯลฯ

AI ตัวนี้ใช้เวลาเทรน 15 ชั่วโมงกับตัวอย่างโค้ด 100,000 ตัวอย่าง (ไม่ระบุว่าทดสอบกับแอนตี้ไวรัสตัวไหน) ผลคือ AI สามารถสร้างโค้ดมัลแวร์ที่มีโอกาสรอดการตรวจจับได้ถึง 60%

Patrick Wardle นักวิจัยจากบริษัท Synack รายงานถึงมัลแวร์ที่เกี่ยวข้องกับมัลแวร์ Fruitfly ที่ค้นพบไปก่อนหน้านี้ โดยมัลแวร์ตัวนี้ติดเครื่องแมคมาแล้วอย่างน้อย 5 ปี และตอนนี้มีเครื่องแมคที่ยังติดอยู่อย่างน้อย 400 เครื่อง

Wardle พบตัวอย่างมัลแวร์และถอดรหัสโดเมนที่ตัวมัลแวร์พยายามติดต่อออกมาได้ จากนั้นเขาจึงทดลองจดโดเมนและตั้งเซิร์ฟเวอร์ขึ้นมา พบว่ามีคอมพิวเตอร์กว่า 400 เครื่องติดต่อเข้ามาทันที โดยคอมพิวเตอร์ที่ติดต่อเข้ามาเป็นคอมพิวเตอร์ตามบ้านในสหรัฐฯ เป็นส่วนใหญ่

บริษัทความปลอดภัย Darktrace ระบุว่าเริ่มค้นพบมัลแวร์รูปแบบใหม่ๆ ที่นำเทคนิคด้าน AI มาใช้งาน เพื่อให้มัลแวร์สามารถเรียนรู้สภาพแวดล้อม และปลอมตัวได้เนียนกว่าเดิม

Nicole Eagan ซีอีโอของ Darktrace บอกว่ามัลแวร์กลุ่มนี้จะปรับพฤติกรรมไปเรื่อยๆ เพื่อให้อยู่ในระบบโดยไม่ถูกตรวจจับได้นานที่สุดเท่าที่จะทำได้ อย่างไรก็ตาม มัลแวร์กลุ่มนี้ยังไม่ได้มีศักยภาพด้าน AI เต็มขั้น แต่ก็เริ่มหยิบบางส่วนมาใช้งาน

ไมโครซอฟท์ออกรายงานวิเคราะห์ มัลแวร์เรียกค่าไถ่ Petya/Petwrap ที่ระบาดไปทั่วโลกเมื่อสัปดาห์ก่อน ว่าเป็นมัลแวร์ที่ซับซ้อนมาก และถือว่าพัฒนาจาก WannaCrypt ไปอีกขั้น ตรงที่มันกระจายตัวต่อผ่านช่องโหว่หลายตัว ไม่ใช่เพียงแค่ช่องโหว่ EternalBlue อย่างเดียวเหมือน WannaCrypt

สถิติของไมโครซอฟท์เองระบุว่า 70% ของเครื่องที่ติด Petya อยู่ในยูเครน และเครื่องส่วนใหญ่เป็น Windows 7 ซึ่งไมโครซอฟท์ก็ถือโอกาสโฆษณาว่า Windows 10 Creators Update มีฟีเจอร์ด้านความปลอดภัยสมัยใหม่หลายอย่าง ที่ช่วยคุ้มครองจากมัลแวร์แบบ Petya ได้

หลังจากที่ Petrwrap ออกโจมตีคอมพิวเตอร์ในยูเครนเมื่อวันอังคารที่ผ่านมา คุณ Matt Suiche นักวิจัยด้วยความปลอดภัยจากบริษัทต่างๆ ได้ข้อมูลเพิ่มเติมเกี่ยวกับ malware ตัวนี้ว่าจริงๆ แล้วมันเป็น wiper (malware ทำลายข้อมูล) มากกว่าที่จะเป็น ransomware โดยนำโค้ดของ Petya มาปรับปรุง

มัลแวร์เรียกค่าไถ่ Petya/Petrwrap/Goldeneye ที่ระบาดทั่วโลกตั้งแต่เมื่อวานนี้ เรียกเงินค่าไถ่ 300 ดอลลาร์เป็น Bitcoin โดยระบุให้ส่งรายละเอียดของการจ่ายเงินไปยังอีเมล wowsmith123456@posteo.net

โดเมนเนม posteo.net เป็นของผู้บริการโฮสติ้งในเยอรมนีรายหนึ่ง หลังข่าว Petya ดังขึ้นมา ทาง Posteo ก็ปิดบัญชีอีเมลดังกล่าวแล้ว ด้วยเหตุผลว่าใช้อีเมลของ Posteo ในทางที่ไม่ถูกต้อง

การปิดบัญชีอีเมลนี้ ส่งผลให้ผู้ที่ติด Petya และโดนเข้ารหัสข้อมูลไปแล้ว ไม่สามารถจ่ายค่าไถ่ได้อีกเลย เพราะตัว Petya ขึ้นช่องทางการติดต่อให้เพียงทางนี้ทางเดียวเท่านั้น

Cisco เปิดตัวสวิตช์รุ่นใหม่ Catalyst 9000 Series ที่ออกแบบมาสำหรับเครือข่ายยุคใหม่ที่บริษัทเรียกว่า intent-based networking

แนวคิดของ Cisco คือการจัดการเครือข่ายยุคหน้าจะต้องฉลาดกว่าเดิม โดยดูจากเจตนา (intent) และบริบท (context) ของทราฟฟิกว่ามาจากไหนและมีเป้าหมายอย่างไร สวิตช์รุ่นใหม่ถูกออกแบบให้ผสานการทำงานระหว่างฮาร์ดแวร์ (ASIC) และซอฟต์แวร์ (iOS XE) เข้าด้วยกันให้จัดการทราฟฟิกได้ฉลาดขึ้น

ฟีเจอร์เด่นของ Cisco Catalyst 9000 คือสามารถตรวจจับมัลแวร์ได้จากทราฟฟิกที่เข้ารหัส โดย Cisco คุยว่าอัตราความแม่นยำสูงถึง 99% โดยที่ไม่ต้องถอดรหัสข้อมูลด้วยซ้ำ

Check Point แจ้งเตือนมัลแวร์ Fireball ที่เน้นหารายได้จากเหยื่อด้วยการโฆษณา จากบริษัทโฆษณา Rafo Technology ในปักกิ่ง ตัวมัลแวร์แพร่กระจายผ่านซอฟต์แวร์ของ Rafo เอง เช่น Deal WIFI หรือ Mustang Browser เบราว์เซอร์ที่โฆษณาว่าเน้นความเป็นส่วนตัว พร้อมบริการบล็อคโฆษณาและ VPN หรือใช้บริการติดตั้งซอฟต์แวร์อื่นๆ

เมื่อติดมัลแวร์เข้าไปแล้ว ตัวมัลแวร์จะเปลี่ยนหน้าค้นหาให้กลายเป็นหน้าเว็บของตัวเอง โดยหน้าเว็บเหล่านั้นใช้ผลค้นหาจากกูเกิลหรือยาฮูตามปกติ แต่ตัวเว็บจะมี tracking pixel เพื่อติดตามพฤติกรรมของผู้ใช้ ตัวมัลแวร์สามารถรันโค้ดใดๆ บนเครื่องของเหยื่อได้

หน้าเว็บของ Rafo ของขายโฆษณาโดยระบุว่าเป็นเครือข่ายโฆษณาที่เข้าถึงผู้ใช้ได้กว่า 300 ล้านคน

กูเกิลเพิ่มฟีเจอร์ด้านความปลอดภัยให้ Gmail/G Suite ทั้งหมด 4 อย่าง ดังนี้

Costin Raiu นักวิจัยจาก Kaspersky Lab เปิดเผยผลการศึกษาพบว่าคอมพิวเตอร์ที่ถูกโจมตีจากมัลแวร์ WannaCry นั้น 98% ใช้ระบบปฏิบัติการ Windows 7 ไม่ได้มาจากระบบปฏิบัติการเวอร์ชันเก่ากว่านั้นอย่างที่เข้าใจกัน โดย Windows XP และ 2008 R2 Server นั้นมีรวมกันเพียง 1% เท่านั้น

โดยส่วนใหญ่ของ Windows 7 ที่ถูกโจมตีเป็นเวอร์ชัน Windows 7 x64

ตัวเลขนี้ถือว่าสมเหตุสมผลเพราะ Windows 7 ปัจจุบันมีจำนวนผู้ใช้งานสูงกว่า Windows 10 ถึง 4 เท่า ถือเป็นระบบปฏิบัติการยอดนิยมตอนนี้ก็มีโอกาสที่จะมีจำนวนการถูกโจมตีที่สูงกว่าระบบปฏิบัติการอื่น

ที่มา: The Verge

หลัง WannaCry (WannaCrypt) ระบาดเป็นวงกว้าง นักวิจัยก็พากันหาวิธีว่าจะสามารถถอดรหัสไฟล์โดยไม่ต้องจ่ายเงินกันได้บ้างหรือไม่ ตอนนี้ก็มีแนวทางออกมาแล้ว แม้จะใช้ได้เฉพาะ Windows XP และต้องอาศัยโชคช่วยประมาณหนึ่ง

จีนยังใช้งาน Windows XP อยู่จำนวนมากอาจจะทำให้มัลแวร์ WannaCrypt ระบาดได้มากกว่าชาติอื่นๆ แต่ตัวเลขก็ยังสรุปได้ไม่ชัดเจนนักว่าอัตราการระบาดหนักแค่ไหน ตอนนี้ Threat Intelligence Center ของ Qihoo360 ผู้ผลิตซอฟต์แวร์ป้องกันไวรัสในจีนก็ออกมาระบุว่าการระบาดไปถึง 30,000 องค์กรทั่วจีน เฉพาะสถาบันการศึกษาก็มากกว่า 4,300 สถาบัน

แต่ทางกระทรวงศึกษาธิการของจีนออกมาปฎิเสธตัวเลขนี้ ระบุว่ารายงานของ Qihoo360 นั้นชี้นำผิด โดยตัวเลขมหาวิทยาลัยที่ติด WannaCrypt มีเพียง 66 มหาวิทยาลัย จากทั้งหมด 1,600 มหาวิทยาลัย

โลกของมัลแวร์เป็นโลกที่ซับซ้อนและมีกลุ่มต่างๆ จำนวนมาก และกลุ่มต่างๆ ก็อาจจะแข่งขันกันหรือแม้แต่โจมตีกันเอง รายงานจาก poofpoint อธิบายถึงการทำงานของมัลแวร์ Adylkuzz ที่ใช้เครื่องมือ EternalBlue และ DoublePulsar แบบเดียวกับมัลแวร์ WannaCrypt และอาจจะแพร่เป็นวงกว้างกว่ามาก

ความพิเศษอย่างหนึ่งของ Adylkuzz คือหลังจากเครื่องเหยื่อติดแล้ว มันจะสั่งบล็อคพอร์ต 445 เพื่อป้องกันมัลแวร์ตัวอื่น รวมถึง WannaCrypt มาใช้ช่องโหว่เดียวกันติดเครื่องของเหยื่ออีก

Adylkuzz ใช้ซีพียูเครื่องเหยื่อขุดเงิน Monero (XMR) ทำให้มันไม่ต้องทำลายข้อมูลใดๆ ในเครื่องของเหยื่อ ผู้ใช้เครื่องอาจจะรู้สึกเครื่องช้าลง หรือรำคาญที่อยู่ดีๆ ก็แชร์ไฟล์ไม่ได้เท่านั้น

DocuSign บริการเซ็นเอกสารอิเล็กทรอนิกส์ ประกาศเตือนภัยอีเมล phishing ปลอมเป็นอีเมลจากบริษัท หลอกให้ผู้รับเปิดไฟล์เอกสาร Word ที่แนบมาเพื่อติดตั้งมัลแวร์

DocuSign ระบุว่าตรวจพบการแฮ็กเซิร์ฟเวอร์ของบริษัท โดยแฮ็กเกอร์ได้อีเมลของลูกค้าไป แต่ข้อมูลอื่นๆ รวมถึงเซิร์ฟเวอร์หลักของบริษัทที่เป็นระบบ eSignature ยังปลอดภัยและไม่ถูกโจมตี

DocuSign เตือนให้ระวังอีเมลที่ใช้ชื่อเรื่องว่า “Completed: [domain name] – Wire transfer for recipient-name Document Ready for Signature” และ “Completed [domain name/email address] – Accounting Invoice [Number] Document Ready for Signature” เนื่องจากเป็นอีเมลปลอม และขอให้ตรวจสอบลิงก์ว่าของแท้ต้องเป็น docusign.com หรือ docusign.net เท่านั้น

มีการค้นพบร่างกลายพันธุ์ของมัลแวร์เรียกค่าไถ่ WannaCrypt ที่ตั้งชื่อว่า WannaCrypt 4.0 พร้อมอินเทอร์เฟซและข้อความเป็นภาษาไทย

ข้อมูลนี้มาจากฐานข้อมูลไวรัส VirusTotal (ปัจจุบันเป็นบริษัทลูกของกูเกิล) ถูกส่งเข้ามาเมื่อวานนี้ (14 พ.ค.) ช่วงบ่าย ตอนนี้มัลแวร์ตัวนี้ยังมีเฉพาะภาพหน้าจอภาษาไทยเท่านั้น และยังไม่มีความสามารถการเข้ารหัสข้อมูลเพื่อเรียกค่าไถ่ คาดว่ายังอยู่ในระหว่างการพัฒนา

จากภาพหน้าจอที่หลุดออกมา WannaCrypt 4.0 เรียกค่าไถ่เป็นเงินสกุล Bitcoin พร้อมชี้เป้าให้ไปซื้อหาได้ที่ bitcoin.co.th ส่วนชื่อเวอร์ชัน 4.0 จะมีความเกี่ยวข้องใดกับนโยบาย Thailand 4.0 หรือไม่ก็คงต้องคิดตามกันต่อไป

ชั่วโมงนี้หลายคนคงรู้จักมัลแวร์ WannaCry ซึ่งเป็นมัลแวร์เรียกค่าไถ่ชื่อดังที่กำลังระบาดไปทั่วโลก และตอนนี้ในไทยก็มีองค์กรที่ประกาศว่าได้รับผลกระทบแล้วคือช่องสถานีโทรทัศน์ฟ้าวันใหม่

ทางสถานีได้ประกาศเรื่องดังกล่าวเมื่อคืนวานทางแฟนเพจ BLUESKY Channel โดยผลลัพธ์จากมัลแวร์นี้ทำให้ทางสถานีต้องหยุดให้บริการเว็บไซต์ fahwanmai.com (ณ เวลาที่เขียนข่าว ยังไม่สามารถเข้าได้) และย้ายไปให้บริการที่เว็บไซต์ blueskychannel.tv เป็นการชั่วคราว เพื่อให้ฝ่ายไอทีของบริษัททำการล้างคอมพิวเตอร์ที่ได้รับผลกระทบ