LastPass ถูกแฮก เตือนให้รีบเปลี่ยนรหัสผ่าน

LastPass ถูกแฮก เตือนให้รีบเปลี่ยนรหัสผ่าน +วิธีเปิด ใช้งานการตรวจสอบ 2 ขั้นตอน

บริการหนึ่งที่ตอนนี้ยังไม่เคยถูกแฮกเลย อย่าง LastPass เป็นระบบช่วยจำรหัสผ่านและกรอกรหัสผ่านให้โดยอัตโนมัติ และมีการเข้ารหัสด้วยเพิ่มความปลอดภัยแก่ผู้ใช้มากขึ้น แต่ล่าสุด LastPass ได้ประกาศว่า พบความผิดปกติบนเครือข่ายภายใน พวกข้อมูลช่วยจำรหัสผ่าน และข้อมูล username และ password ของผู้ใช้บางคนถูกขโมยไป

LastPass  ได้ชี้แจงว่า ระบบความปลอดภัยของ LastPass นั้น เรื่องการเข้ารหัสกับตัวรหัสผ่านด้วย PBKDF2-SHA256   1 แสนรอบบน Server ยังช่วยให้ผู้ใช้ LastPass ยังปลอดภัยดีอยู่  แต่เพื่อให้ความไม่ประมาท จึงประกาศให้ผู้ใช้ LastPass ทำการ Login อีกครั้ง พร้อมกับทำการเปลี่ยนรหัสผ่านหลักของ LastPass ทันที ในกรณี เข้าเครื่องจากอุปกรณ์อื่น ให้ทำการยืนยันตัวตนด้วย และแนะนำให้เปิด multifactor authentication  หรือ เปิดการตรวจสอบ 2 ขั้นตอนด้วย เพื่อให้บัญชีคุณมีความปลอดภัยยิ่งขึ้น

ขั้นตอนการเปลี่ยนรหัสผ่าน และเปิดตรวจสอบ 2 ขั้นตอนใน LastPass

เริ่มจากทำการ sign in ด้วยบัญชี LastPass 

จากนั้นดูที่รายการด้านซ้าย เลือกที่ การตั้งค่าบัญชี

หากต้องการเปลี่ยนรหัสผ่าน คลิกที่ change master password  ( โดยเมื่อคลิกแล้ว ให้ใส่รหัสเดิม และกรอกรหัสใหม่  2 ครั้งและตั้งคำถามกันลืม ตามขั้นตอนที่ปรากฎบนหน้าจอ ) หากคุณเปลี่ยนรหัสเรียบร้อยแล้ว อยากจะเปิดการตรวจสอบ 2 ขั้นตอนเพื่อความปลอดภัยมากขึ้น ให้คลิกที่ multifactor Options

จากนั้นเลือกรูปแบบการตรวจสอบ 2 ขั้นตอนที่ต้องการ  ชอบรูปแบบไหนคลิกที่ไอคอนดินสอตรงรายการนั้น แล้วทำตามขั้นตอนบนหน้าจอ (รายละเอียดต่างๆของแต่ละรายการ อ่านได้ที่นี่  ที่ทีมงานแนะนำ มี Google Authenticator กับ  TRANSAKT ซึ่งตั้งค่าไม่ยาก


หากเปิดการใช้งานแล้ว จะขึ้น enable แบบนี้ เวลาที่คุณ sign in หลังจากใส่รหัสผ่านเรียบร้อยแล้ว เว็บจะถามรหัสที่ 2 ของเราให้เราพิมพ์รหัสให้ถูกต้อง หรือทำการสแกนบาร์โค้ด เพื่อยืนยันเข้าสู่ระบบ  เพียงเท่านี้บัญชี lastpass ของเราก็จะปลอดภัยมากขึ้นแล้ว

ข้อมูลจาก Sophos , LastPass blog
www.it24hrs.com

Locker Unlocker : โปรแกรมถอดรหัสลับข้อมูลที่ติด Ransomware

ผู้เขียน: ทีมไทยเซิร์ต
วันที่ประกาศ: 9 มิถุนายน 2558
ปรับปรุงล่าสุด: 9 มิถุนายน 2558

ปัจจุบันหลายประเทศทั่วโลกรวมถึงประเทศไทยกำลังได้รับผลกระทบจากการโจมตี ด้วย Ransomware ซึ่งเป็นมัลแวร์ที่เข้ารหัสลับข้อมูล เช่น ไฟล์เอกสาร ทำให้เปิดใช้งานไม่ได้และเรียกร้องเงินเพื่อแลกกับการทำให้สามารถใช้งานได้ อีกครั้ง
ความน่ากลัวของมัลแวร์ประเภทนี้อยู่ตรงที่การจะถอดรหัสลับข้อมูลเพื่อให้ กลับมาใช้งานได้อีกครั้งเป็นเรื่องค่อนข้างยาก แต่ที่ผ่านมาก็มีการพบจุดอ่อนในกระบวนการทำงานของ Ransomware บางสายพันธุ์ ทำให้สามารถถอดรหัสลับข้อมูลได้ ล่าสุดมีข่าวการเผยแพร่เครื่องมือชื่อ Locker Unlocker สำหรับถอดรหัสลับข้อมูลที่ถูกเข้ารหัสลับโดย Ransomware สายพันธุ์ Locker ไทยเซิร์ตจึงได้ทำการวิเคราะห์เครื่องมือดังกล่าว รวมถึงแนะนำเครื่องอื่น ๆ ที่ใช้ในการถอดรหัสลับข้อมูลในบทความนี้

การวิเคราะห์โปรแกรม Locker Unlocker

เมื่อวันที่ 30 พฤษภาคม มีผู้ที่อ้างว่าเป็นคนสร้างมัลแวร์ Locker ได้เผยแพร่ข้อมูล Private Key [1] [2] ที่สามารถใช้ในการถอดรหัสลับไฟล์ที่ถูกเข้ารหัสลับบนเครื่องของเหยื่อได้ โดยลักษณะข้อมูลที่เผยแพร่ประกอบด้วยรายการ Private key, Public key กับ Bitcoin Address ของเหยื่อแต่ละคน ทำให้ทราบว่า ไฟล์ของเหยื่อที่ถูกเข้ารหัสลับไว้นั้น ถูกเข้ารหัสลับด้วยกุญแจอะไรและใช้ Bitcoin Address อะไรในการจ่ายเงินเรียกค่าไถ่
ต่อมาเมื่อวันที่ 31 พฤษภาคม นาย Nathan Scott นักวิเคราะห์และเคยพัฒนาเครื่องมือเกี่ยวกับการตรวจสอบ Ransonware [3] ได้เผยแพร่เครื่องมือ Locker Unlocker เมื่อเปิดใช้งานจะมีหน้าตาดังรูปที่ 1 ซึ่งใช้สำหรับถอดรหัสลับข้อมูลที่ถูกเข้ารหัสลับโดย Ransomware สายพันธุ์ Locker ดังรูปที่2 [4]

รูปที่ 1 ลักษณะของโปรแกรม Locker Unlocker

รูปที่ 2 ลักษณะของ Ransomware สายพันธุ์ Locker

จากข้อมูลเครื่องมือดังกล่าวนั้น เมื่อมีการนำไปตรวจสอบผ่านเว็บไซต์ ได้แก่ Virus Total [5] และ Metascan Online [6] ซึ่งเป็นบริการที่ใช้ตรวจสอบไฟล์ที่ต้องสงสัยว่าจะเป็นมัลแวร์หรือไม่ โดยตรวจสอบจาก Anti virus หลายๆแหล่ง ก็แสดงผลลัพธ์ว่าอาจมีพฤติกรรมในลักษณะโปรแกรมแฝงโฆษณา (Adware) หรือดาวน์โหลดโปรแกรมอื่นเข้ามาติดตั้งยังเครื่องผู้ใช้ได้ (Downloader) ดังรูปที่ 2

รูปที่ 3 แสดงการตรวจสอบโปรแกรมจาก virus total และ metascan-online

อย่างไรก็ตามนาย Nathan Scott ได้เผยแพร่ Source Code ของโปรแกรมดังกล่าวแล้วในภายหลัง ซึ่งสามารถตรวจสอบได้ว่ามีการทำงานที่ไม่เหมาะสมแฝงมาในโปรแกรมหรือไม่ [7] หากผู้ใช้ที่ตกเป็นเหยื่อต้องการใช้งาน ควรใช้งานในเครื่องที่ไม่มีข้อมูลสำคัญ เพื่อใช้ถอดรหัสไฟล์ที่ต้องการและทำการฟอร์แมตเครื่องใหม่เพื่อป้องกัน โปรแกรมแอบแสดงพฤติกรรมไม่พึงประสงค์หรือดาวน์โหลดมัลแวร์อื่นมาติดตั้งใน เครื่อง
จากข้อมูลดังกล่าว ไทยเซิร์ตวิเคราะห์การทำงานของ Locker Unlocker พบข้อสังเกตที่น่าสนใจว่า มีการเก็บฐานข้อมูล Private Key, Public key และ Bitcoin Address ในโปรแกรมที่ติดตั้งแล้ว โดยข้อมูลดังกล่าวไม่ได้มีการดาวน์โหลดจากอินเทอร์เน็ต ดังรูปที่ 4

รูปที่ 4 แสดงฐานข้อมูล Private Key และ Bitcoin Address

อย่างไรก็ตาม ไทยเซิร์ตยังไม่เคยได้รับแจ้งถึง Ransomware สายพันธุ์ Locker จากผู้ใช้ภายในประเทศไทย ซึ่งหากผู้ใช้ที่ตกเป็นเหยื่อ Ransomware สายพันธุ์อื่น ๆ เช่น CryptoLocker จะไม่สามารถใช้งานได้ ดังรูปที่ 5 และ 6

รูปที่ 5 แสดงข้อความหลังจากติด Ransomware สายพันธุ์ CryptoLocker

รูปที่ 6 แสดงข้อความว่าหา Private Key ไม่พบหลังจากใส่ค่า Bitcoin Address ใน LockerUnlocker ของเครื่องที่ติด CryptoLocker

จากข้อมูลข้างต้นแสดงให้เห็นว่าโปรแกรมดังกล่าวไม่สามารถถอดรหัสลับไฟล์ ที่ติดจาก Ransomware ตระกูลอื่น ๆ ได้ นอกจากนี้เนื่องจากโปรแกรมอาศัยการระบุ Private key จากฐานข้อมูล Private key ที่รวบรวมไว้ก่อนหน้า ดังนั้นก็มีโอกาสที่โปรแกรมใช้งานไม่ได้กับผู้ที่ตกเป็นเหยื่อรายใหม่ เนื่องจากโปรแกรมไม่มีการเชื่อมต่อเพื่ออัปเดตฐานข้อมูล ผู้ใช้อาจต้องคอยติดตามการอัปเดตโปรแกรมจากผู้พัฒนาในภายหลัง

เครื่องมืออื่น ๆ สำหรับถอดรหัสลับข้อมูลที่ถูกเข้ารหัสลับโดย Ransomware

ถึงแม้ว่าข้อมูลที่ถูกเข้ารหัสลับ Ransomware ส่วนใหญ่จะไม่สามารถถอดรหัสลับหรือกู้คืนให้กลับมาใช้งานได้ อย่างไรก็ตามในปัจจุบัน มีบริการออนไลน์และโปรแกรมที่ช่วยถอดรหัสลับข้อมูล Ransomware บางสายพันธุ์ เช่น Cryptolocker, CoinVault หรือ TeslaCrypt ซึ่งอาจสามารถทดลองใช้งาน (อาจใช้ไม่ได้กับมัลแวร์เวอร์ชันใหม่) โดยมีข้อมูลดังต่อไปนี้

• บริการถอดรหัสลับข้อมูลที่ถูกเข้ารหัสลับโดย Cryptolocker

รูปที่ 7 ตัวอย่างหน้าต่างที่แสดงโดย Cryptolocker

• บริการถอดรหัสลับข้อมูลที่ถูกเข้ารหัสลับโดย CoinVault

รูปที่ 8 ตัวอย่างหน้าต่างที่แสดงโดย CoinVault

• โปรแกรมถอดรหัสลับข้อมูลที่ถูกเข้ารหัสลับโดย TeslaCrypt[8]

รูปที่ 9 ตัวอย่างหน้าต่างที่แสดงโดย TeslaCrypt

• โปรแกรมกู้ไฟล์ดั้งเดิมที่ถูกลบก่อนถูกเข้ารหัสลับโดย Bit Cryptor

รูปที่ 10 ตัวอย่างหน้าต่างที่แสดงโดย Bit Cryptor

• โปรแกรมถอดรหัสลับข้อมูลที่ถูกเข้ารหัสลับโดย CryptoDefense [9] [10]

รูปที่ 11 ตัวอย่างหน้าต่างที่แสดงโดย CryptoDefense

• โปรแกรมถอดรหัสลับข้อมูลที่ถูกเข้ารหัสลับโดย Operation Global III[11]

รูปที่ 12 ตัวอย่างหน้าต่างที่แสดงโดย Operation Global III

• โปรแกรมถอดรหัสลับข้อมูลที่ถูกเข้ารหัสลับโดย PClock [12]

รูปที่ 13 ตัวอย่างหน้าต่างที่แสดงโดย PClock

• โปรแกรมถอดรหัสลับข้อมูลที่ถูกเข้ารหัสลับโดย TorrentLocker[13]

รูปที่ 14 ตัวอย่างหน้าต่างที่แสดงโดย TorrentLocker

การกู้คืนข้อมูลด้วย Shadow Volume Copies
นอกจากนี้หากเครื่องที่ติดมัลแวร์เป็นระบบปฏิบัติการณ์ Winows 7 ขึ้นไป ผู้ใช้สามารถทดลองใช้งาน Shadow Volume Copies ซึ่งเป็นฟีเจอร์ของ Windows สำหรับสำรองข้อมูล ในการกู้คืนไฟล์เดิมได้ อย่างไรก็ตามวิธีนี้อาจไม่ได้ผลหาก Ransomware ลบข้อมูลที่ถูกสำรองไว้ สำหรับวิธีการใช้งานเป็นไปดังขั้นตอนตามรูปที่ 15-19

รูปที่ 15-19 แสดงขั้นตอนการใช้งานฟังก์ชัน Shadow volumn copies บนระบบปฏิบัติการณ์วินโดวส์ ในการกู้คืนไฟล์ที่ถูกเข้ารหัสลับของมัลแวร์ CTB-Locker

ถึงแม้ว่าจะมีเครื่องมือที่ช่วยในการถอดรหัสลับข้อมูลสำหรับ Ransomware บางสายพันธุ์ แต่เครื่องมือส่วนใหญ่ก็อาจไม่สามารถใช้งานได้กับผู้ที่ตกเป็นเหยื่อรายใหม่ เนื่องจาก Ransomware เวอร์ชันใหม่ได้ปิดจุดอ่อนแล้ว ดังนั้นผู้ใช้ควรตระหนักในการป้องกันไม่ให้ติดมัลแวร์รวมถึงสำรองข้อมูล อย่างสม่ำเสมอ สำหรับข้อแนะนำอื่น ๆ ผู้ใช้สามารถศึกษาได้จาก Infographic “ThaiCERT แจ้งเตือนและแนะนำวิธีป้องกันความเสียหายจาก Ransomware”

อ้างอิง

1. http://pastebin.com/1WZGqrUH
2. http://www.bleepingcomputer.com/forums/t/577953/locker-developer-releases-private-key-database-and-3rd-party-decrypter-released/
3. https://twitter.com/DecrypterFixer
4. http://www.bleepingcomputer.com/forums/t/577246/locker-ransomware-support-topic/page-32#entry3721545
5. https://www.virustotal.com/en/file/58666903e617304e294e8551f1eefc3417c276e897284cd330441fd94334ee6c/analysis/1433315369/
6. https://www.metascan-online.com/en/scanresult/file/d48061c8d902453e8d0fa079474c5e69
7. http://www.bleepingcomputer.com/forums/t/577246/locker-ransomware-support-topic/page-39#entry3724234
8. http://blogs.cisco.com/security/talos/teslacrypt
9. http://www.bleepingcomputer.com/virus-removal/cryptodefense-ransomware-information#emsisoft
10. http://www.thewindowsclub.com/cryptodefense-ransomware
11. http://www.bleepingcomputer.com/forums/t/559220/operation-global-iii-ransomware-not-only-encrypts-but-infects-your-data-as-well
12. http://www.bleepingcomputer.com/forums/t/561970/new-pclock-cryptolocker-ransomware-discovered/
13. http://www.bleepingcomputer.com/forums/t/547708/torrentlocker-ransomware-cracked-and-decrypter-has-been-made/