Locker Unlocker : โปรแกรมถอดรหัสลับข้อมูลที่ติด Ransomware
ผู้เขียน: ทีมไทยเซิร์ตวันที่ประกาศ: 9 มิถุนายน 2558
ปรับปรุงล่าสุด: 9 มิถุนายน 2558
ความน่ากลัวของมัลแวร์ประเภทนี้อยู่ตรงที่การจะถอดรหัสลับข้อมูลเพื่อให้ กลับมาใช้งานได้อีกครั้งเป็นเรื่องค่อนข้างยาก แต่ที่ผ่านมาก็มีการพบจุดอ่อนในกระบวนการทำงานของ Ransomware บางสายพันธุ์ ทำให้สามารถถอดรหัสลับข้อมูลได้ ล่าสุดมีข่าวการเผยแพร่เครื่องมือชื่อ Locker Unlocker สำหรับถอดรหัสลับข้อมูลที่ถูกเข้ารหัสลับโดย Ransomware สายพันธุ์ Locker ไทยเซิร์ตจึงได้ทำการวิเคราะห์เครื่องมือดังกล่าว รวมถึงแนะนำเครื่องอื่น ๆ ที่ใช้ในการถอดรหัสลับข้อมูลในบทความนี้
การวิเคราะห์โปรแกรม Locker Unlocker
เมื่อวันที่ 30 พฤษภาคม มีผู้ที่อ้างว่าเป็นคนสร้างมัลแวร์ Locker ได้เผยแพร่ข้อมูล Private Key [1] [2] ที่สามารถใช้ในการถอดรหัสลับไฟล์ที่ถูกเข้ารหัสลับบนเครื่องของเหยื่อได้ โดยลักษณะข้อมูลที่เผยแพร่ประกอบด้วยรายการ Private key, Public key กับ Bitcoin Address ของเหยื่อแต่ละคน ทำให้ทราบว่า ไฟล์ของเหยื่อที่ถูกเข้ารหัสลับไว้นั้น ถูกเข้ารหัสลับด้วยกุญแจอะไรและใช้ Bitcoin Address อะไรในการจ่ายเงินเรียกค่าไถ่ต่อมาเมื่อวันที่ 31 พฤษภาคม นาย Nathan Scott นักวิเคราะห์และเคยพัฒนาเครื่องมือเกี่ยวกับการตรวจสอบ Ransonware [3] ได้เผยแพร่เครื่องมือ Locker Unlocker เมื่อเปิดใช้งานจะมีหน้าตาดังรูปที่ 1 ซึ่งใช้สำหรับถอดรหัสลับข้อมูลที่ถูกเข้ารหัสลับโดย Ransomware สายพันธุ์ Locker ดังรูปที่2 [4]
รูปที่ 1 ลักษณะของโปรแกรม Locker Unlocker
รูปที่ 2 ลักษณะของ Ransomware สายพันธุ์ Locker
รูปที่ 3 แสดงการตรวจสอบโปรแกรมจาก virus total และ metascan-online
อย่างไรก็ตามนาย Nathan Scott ได้เผยแพร่ Source Code
ของโปรแกรมดังกล่าวแล้วในภายหลัง
ซึ่งสามารถตรวจสอบได้ว่ามีการทำงานที่ไม่เหมาะสมแฝงมาในโปรแกรมหรือไม่ [7]
หากผู้ใช้ที่ตกเป็นเหยื่อต้องการใช้งาน
ควรใช้งานในเครื่องที่ไม่มีข้อมูลสำคัญ
เพื่อใช้ถอดรหัสไฟล์ที่ต้องการและทำการฟอร์แมตเครื่องใหม่เพื่อป้องกัน
โปรแกรมแอบแสดงพฤติกรรมไม่พึงประสงค์หรือดาวน์โหลดมัลแวร์อื่นมาติดตั้งใน
เครื่องจากข้อมูลดังกล่าว ไทยเซิร์ตวิเคราะห์การทำงานของ Locker Unlocker พบข้อสังเกตที่น่าสนใจว่า มีการเก็บฐานข้อมูล Private Key, Public key และ Bitcoin Address ในโปรแกรมที่ติดตั้งแล้ว โดยข้อมูลดังกล่าวไม่ได้มีการดาวน์โหลดจากอินเทอร์เน็ต ดังรูปที่ 4
รูปที่ 4 แสดงฐานข้อมูล Private Key และ Bitcoin Address
อย่างไรก็ตาม ไทยเซิร์ตยังไม่เคยได้รับแจ้งถึง Ransomware สายพันธุ์
Locker จากผู้ใช้ภายในประเทศไทย ซึ่งหากผู้ใช้ที่ตกเป็นเหยื่อ Ransomware
สายพันธุ์อื่น ๆ เช่น CryptoLocker จะไม่สามารถใช้งานได้ ดังรูปที่ 5 และ 6
รูปที่ 5 แสดงข้อความหลังจากติด Ransomware สายพันธุ์ CryptoLocker
รูปที่ 6 แสดงข้อความว่าหา Private Key ไม่พบหลังจากใส่ค่า Bitcoin Address ใน LockerUnlocker ของเครื่องที่ติด CryptoLocker
เครื่องมืออื่น ๆ สำหรับถอดรหัสลับข้อมูลที่ถูกเข้ารหัสลับโดย Ransomware
ถึงแม้ว่าข้อมูลที่ถูกเข้ารหัสลับ Ransomware ส่วนใหญ่จะไม่สามารถถอดรหัสลับหรือกู้คืนให้กลับมาใช้งานได้ อย่างไรก็ตามในปัจจุบัน มีบริการออนไลน์และโปรแกรมที่ช่วยถอดรหัสลับข้อมูล Ransomware บางสายพันธุ์ เช่น Cryptolocker, CoinVault หรือ TeslaCrypt ซึ่งอาจสามารถทดลองใช้งาน (อาจใช้ไม่ได้กับมัลแวร์เวอร์ชันใหม่) โดยมีข้อมูลดังต่อไปนี้
รูปที่ 7 ตัวอย่างหน้าต่างที่แสดงโดย Cryptolocker
รูปที่ 8 ตัวอย่างหน้าต่างที่แสดงโดย CoinVault
รูปที่ 9 ตัวอย่างหน้าต่างที่แสดงโดย TeslaCrypt
รูปที่ 10 ตัวอย่างหน้าต่างที่แสดงโดย Bit Cryptor
รูปที่ 11 ตัวอย่างหน้าต่างที่แสดงโดย CryptoDefense
รูปที่ 12 ตัวอย่างหน้าต่างที่แสดงโดย Operation Global III
รูปที่ 13 ตัวอย่างหน้าต่างที่แสดงโดย PClock
รูปที่ 14 ตัวอย่างหน้าต่างที่แสดงโดย TorrentLocker
นอกจากนี้หากเครื่องที่ติดมัลแวร์เป็นระบบปฏิบัติการณ์ Winows 7 ขึ้นไป ผู้ใช้สามารถทดลองใช้งาน Shadow Volume Copies ซึ่งเป็นฟีเจอร์ของ Windows สำหรับสำรองข้อมูล ในการกู้คืนไฟล์เดิมได้ อย่างไรก็ตามวิธีนี้อาจไม่ได้ผลหาก Ransomware ลบข้อมูลที่ถูกสำรองไว้ สำหรับวิธีการใช้งานเป็นไปดังขั้นตอนตามรูปที่ 15-19
รูปที่ 15-19 แสดงขั้นตอนการใช้งานฟังก์ชัน
Shadow volumn copies บนระบบปฏิบัติการณ์วินโดวส์
ในการกู้คืนไฟล์ที่ถูกเข้ารหัสลับของมัลแวร์ CTB-Locker
ถึงแม้ว่าจะมีเครื่องมือที่ช่วยในการถอดรหัสลับข้อมูลสำหรับ Ransomware
บางสายพันธุ์
แต่เครื่องมือส่วนใหญ่ก็อาจไม่สามารถใช้งานได้กับผู้ที่ตกเป็นเหยื่อรายใหม่
เนื่องจาก Ransomware เวอร์ชันใหม่ได้ปิดจุดอ่อนแล้ว
ดังนั้นผู้ใช้ควรตระหนักในการป้องกันไม่ให้ติดมัลแวร์รวมถึงสำรองข้อมูล
อย่างสม่ำเสมอ สำหรับข้อแนะนำอื่น ๆ ผู้ใช้สามารถศึกษาได้จาก Infographic “ThaiCERT แจ้งเตือนและแนะนำวิธีป้องกันความเสียหายจาก Ransomware”อ้างอิง
- http://pastebin.com/1WZGqrUH
- http://www.bleepingcomputer.com/forums/t/577953/locker-developer-releases-private-key-database-and-3rd-party-decrypter-released/
- https://twitter.com/DecrypterFixer
- http://www.bleepingcomputer.com/forums/t/577246/locker-ransomware-support-topic/page-32#entry3721545
- https://www.virustotal.com/en/file/58666903e617304e294e8551f1eefc3417c276e897284cd330441fd94334ee6c/analysis/1433315369/
- https://www.metascan-online.com/en/scanresult/file/d48061c8d902453e8d0fa079474c5e69
- http://www.bleepingcomputer.com/forums/t/577246/locker-ransomware-support-topic/page-39#entry3724234
- http://blogs.cisco.com/security/talos/teslacrypt
- http://www.bleepingcomputer.com/virus-removal/cryptodefense-ransomware-information#emsisoft
- http://www.thewindowsclub.com/cryptodefense-ransomware
- http://www.bleepingcomputer.com/forums/t/559220/operation-global-iii-ransomware-not-only-encrypts-but-infects-your-data-as-well
- http://www.bleepingcomputer.com/forums/t/561970/new-pclock-cryptolocker-ransomware-discovered/
- http://www.bleepingcomputer.com/forums/t/547708/torrentlocker-ransomware-cracked-and-decrypter-has-been-made/
ไม่มีความคิดเห็น:
แสดงความคิดเห็น