มัลแวร์เรียกค่าไถ่ Zollo

ภัยคุกคามจากมัลแวร์ยังคงพัฒนาไปอย่างซับซ้อนมากขึ้นเรื่อยๆ ทำให้การปกป้องอุปกรณ์เป็นสิ่งสำคัญอย่างยิ่งสำหรับทั้งบุคคลและองค์กร โดยเฉพาะอย่างยิ่งการโจมตีด้วยแรนซัมแวร์อาจทำให้การดำเนินงานหยุดชะงักอย่างรุนแรง เกิดความเสียหายทางการเงิน และการเปิดเผยข้อมูลสำคัญ ภัยคุกคามที่พบเห็นได้เมื่อเร็วๆ นี้คือ Zollo Ransomware ซึ่งเป็นโปรแกรมที่เป็นอันตรายที่ออกแบบมาเพื่อเข้ารหัสไฟล์และเรียกค่าไถ่จากเหยื่อ การทำความเข้าใจวิธีการทำงานและการแพร่กระจายของภัยคุกคามนี้เป็นสิ่งสำคัญสำหรับการสร้างระบบป้องกันที่แข็งแกร่งขึ้นเพื่อรับมือกับการโจมตีที่คล้ายคลึงกัน

การปรากฏตัวของมัลแวร์เรียกค่าไถ่ Zollo

มัลแวร์เรียกค่าไถ่ Zollo ถูกระบุว่าเป็นสายพันธุ์ย่อยของตระกูลมัลแวร์เรียกค่าไถ่ MedusaLocker เช่นเดียวกับสมาชิกอื่นๆ ในตระกูลนี้ มันถูกออกแบบมาเพื่อแทรกซึมเข้าสู่ระบบ เข้ารหัสไฟล์สำคัญ และกดดันเหยื่อให้จ่ายค่าไถ่เพื่อแลกกับการถอดรหัส

เมื่อมัลแวร์ทำงานบนอุปกรณ์ที่ติดไวรัสแล้ว มันจะสแกนระบบเพื่อค้นหาไฟล์ที่เข้าถึงได้และเข้ารหัสไฟล์เหล่านั้นโดยใช้อัลกอริธึมการเข้ารหัสที่แข็งแกร่ง หลังจากเข้ารหัสแล้ว แรนซัมแวร์จะแก้ไขชื่อไฟล์โดยการเพิ่มส่วนขยายเฉพาะ เช่น '.zollo6' ตัวอย่างเช่น:

• 1.png กลายเป็น 1.png.zollo6
• 2.pdf กลายเป็น 2.pdf.zollo6

ตัวเลขในนามสกุลไฟล์อาจแตกต่างกันไป แต่ผลลัพธ์ยังคงเหมือนเดิม คือ ไฟล์ที่ถูกเข้ารหัสจะไม่สามารถเข้าถึงได้โดยผู้ใช้ นอกจากการล็อกไฟล์แล้ว มัลแวร์เรียกค่าไถ่ยังเปลี่ยนภาพพื้นหลังเดสก์ท็อปของระบบ และวางข้อความเรียกค่าไถ่ไว้ในอุปกรณ์โดยมีชื่อว่า 'READ_NOTE.html'

วิธีการเข้ารหัสและข้อความเรียกค่าไถ่

ข้อความเรียกค่าไถ่ที่ผู้โจมตีทิ้งไว้ระบุว่า ไฟล์ต่างๆ ถูกเข้ารหัสโดยใช้การเข้ารหัสแบบ RSA และ AES ซึ่งเป็นวิธีการเข้ารหัสที่ใช้กันทั่วไปในการโจมตีด้วยมัลแวร์เรียกค่าไถ่ในปัจจุบัน ตามข้อความดังกล่าว การพยายามกู้คืน เปลี่ยนชื่อ หรือแก้ไขไฟล์ที่ถูกเข้ารหัส อาจทำให้ข้อมูลเสียหายอย่างถาวร

ผู้โจมตีอ้างว่าไม่มีซอฟต์แวร์ใด ๆ ที่เปิดให้ใช้งานได้ทั่วไปสามารถกู้คืนไฟล์ได้ และมีเพียงเครื่องมือถอดรหัสที่เป็นกรรมสิทธิ์ของพวกเขาเท่านั้นที่สามารถกู้คืนการเข้าถึงได้ ผู้เสียหายได้รับคำแนะนำให้ติดต่อผู้ดำเนินการผ่านที่อยู่อีเมลที่ให้ไว้:

• recovery1@salamati.vip
• recovery1@amniyat.xyz

ข้อความดังกล่าวยังมีการกดดันเรื่องเวลาด้วย โดยเตือนเหยื่อว่าจำนวนเงินค่าไถ่จะเพิ่มขึ้นหากไม่สามารถติดต่อได้ภายใน 72 ชั่วโมง

การขโมยข้อมูลและกลยุทธ์การกรรโชกทรัพย์สองชั้น

ลักษณะที่น่ากังวลเป็นพิเศษของมัลแวร์เรียกค่าไถ่ชนิดนี้คือ การอ้างว่าข้อมูลลับถูกขโมยไปก่อนที่จะทำการเข้ารหัส ผู้โจมตีระบุว่าข้อมูลนี้ถูกเก็บไว้ในเซิร์ฟเวอร์ส่วนตัวที่อยู่ภายใต้การควบคุมของพวกเขา

ตามข้อความเรียกค่าไถ่ การจ่ายเงินจะส่งผลให้ข้อมูลที่ถูกขโมยไปถูกลบออกจากเซิร์ฟเวอร์ของพวกเขา หากไม่จ่ายค่าไถ่ ผู้กระทำการขู่ว่าจะเผยแพร่หรือขายข้อมูลดังกล่าว กลยุทธ์นี้เรียกว่าการขู่กรรโชกสองชั้น ซึ่งเพิ่มแรงกดดันต่อเหยื่อโดยการผสมผสานการเข้ารหัสข้อมูลเข้ากับความเสี่ยงที่ข้อมูลจะถูกเปิดเผยต่อสาธารณะ

แม้ว่าเหยื่อจะยอมจ่ายค่าไถ่ แต่ก็ไม่มีการรับประกันว่าผู้โจมตีจะจัดหาเครื่องมือถอดรหัสที่ใช้งานได้ หรือลบข้อมูลที่ถูกขโมยไป ด้วยเหตุนี้ ผู้เชี่ยวชาญด้านความปลอดภัยทางไซเบอร์จึงมักไม่แนะนำให้จ่ายค่าไถ่

แรนซัมแวร์ Zollo แพร่กระจายได้อย่างไร

การโจมตีด้วยแรนซัมแวร์มักอาศัยการหลอกลวงและวิศวกรรมสังคมเพื่อแทรกซึมเข้าสู่ระบบ ผู้โจมตีมักปลอมแปลงไฟล์ที่เป็นอันตรายให้ดูเหมือนไฟล์ปกติ เพื่อหลอกให้ผู้ใช้เรียกใช้งาน

พาหะนำโรคที่พบได้ทั่วไป ได้แก่:

• ไฟล์แนบอีเมลที่เป็นอันตราย หรือลิงก์ที่ฝังอยู่ในอีเมลฟิชชิ่ง
• ข้อความแจ้งเตือนการสนับสนุนทางเทคนิคปลอมที่ออกแบบมาเพื่อล่อลวงเหยื่อให้ดาวน์โหลดมัลแวร์
• ซอฟต์แวร์ที่ถูกแคร็ก โปรแกรมสร้างรหัสลิขสิทธิ์ที่ไม่เป็นทางการ และแอปพลิเคชันละเมิดลิขสิทธิ์
• ซอฟต์แวร์ที่ล้าสมัยและมีช่องโหว่ที่ยังไม่ได้รับการแก้ไข
• เว็บไซต์ที่ถูกบุกรุก โฆษณาที่เป็นอันตราย และเครือข่ายการแชร์ไฟล์แบบ Peer-to-Peer
• โปรแกรมดาวน์โหลดจากภายนอกหรือไดรฟ์ USB ที่ติดไวรัส

เมื่อเริ่มทำงานแล้ว มัลแวร์เรียกค่าไถ่จะเริ่มเข้ารหัสไฟล์ทันที และอาจพยายามแพร่กระจายไปยังระบบที่เชื่อมต่ออยู่ในเครือข่ายเดียวกัน

ความท้าทายในการฟื้นฟูและการรับมือกับเหตุการณ์

หลังจากที่ไฟล์ถูกเข้ารหัสแล้ว โดยทั่วไปเหยื่อจะไม่สามารถเปิดไฟล์ที่ได้รับผลกระทบได้หากไม่มีรหัสถอดรหัสของผู้โจมตี การกู้คืนข้อมูลจะทำได้เฉพาะในบางกรณีเท่านั้น โดยเฉพาะอย่างยิ่งเมื่อมีข้อมูลสำรองที่ปลอดภัยซึ่งไม่ได้เชื่อมต่อกับระบบที่ติดไวรัสในระหว่างการโจมตี

การกำจัดแรนซัมแวร์ทันทีที่ตรวจพบเป็นสิ่งสำคัญ หากมัลแวร์ยังคงทำงานอยู่บนอุปกรณ์ มันอาจจะเข้ารหัสไฟล์เพิ่มเติมหรือพยายามแพร่กระจายไปยังเครื่องอื่น ๆ ในเครือข่าย ดังนั้น การแยกเครื่องที่ติดมัลแวร์อย่างรวดเร็วจะช่วยจำกัดความเสียหายและป้องกันการแพร่กระจายต่อไปได้

แนวทางปฏิบัติด้านความปลอดภัยที่สำคัญเพื่อป้องกันแรนซัมแวร์

นิสัยด้านความปลอดภัยที่ดีจะช่วยลดโอกาสการติดไวรัสจากภัยคุกคามต่างๆ เช่น Zollo Ransomware ได้อย่างมาก การป้องกันที่มีประสิทธิภาพต้องอาศัยการผสมผสานระหว่างการควบคุมทางเทคนิคเชิงรุกและพฤติกรรมของผู้ใช้ที่ระมัดระวัง

การอัปเดตระบบปฏิบัติการ แอปพลิเคชัน และเครื่องมือรักษาความปลอดภัยอย่างสม่ำเสมอเป็นสิ่งสำคัญอย่างยิ่ง เนื่องจากแคมเปญแรนซัมแวร์จำนวนมากใช้ประโยชน์จากช่องโหว่ในซอฟต์แวร์ที่ล้าสมัย นอกจากนี้ การใช้โปรแกรมป้องกันไวรัสหรือโซลูชันการป้องกันปลายทางที่เชื่อถือได้ซึ่งสามารถตรวจจับพฤติกรรมที่น่าสงสัยได้ก็มีความสำคัญไม่แพ้กัน

การสำรองข้อมูลแบบออฟไลน์หรือบนคลาวด์เป็นหนึ่งในมาตรการป้องกันที่มีประสิทธิภาพมากที่สุด ควรจัดเก็บข้อมูลสำรองแยกต่างหากจากระบบหลัก เพื่อป้องกันไม่ให้ถูกเข้ารหัสระหว่างการโจมตี ในกรณีที่เกิดการติดไวรัส ข้อมูลสำรองที่ปลอดภัยจะช่วยให้สามารถกู้คืนระบบได้โดยไม่ต้องจ่ายค่าไถ่

ผู้ใช้ควรระมัดระวังเมื่อเปิดไฟล์แนบในอีเมลหรือดาวน์โหลดไฟล์ต่างๆ ไฟล์ที่น่าสงสัย โดยเฉพาะอย่างยิ่งไฟล์ที่อ้างว่าเร่งด่วนหรือขอให้ดำเนินการทันที ควรตรวจสอบให้แน่ใจก่อนเปิด องค์กรต่างๆ มักเสริมความแข็งแกร่งในการป้องกันนี้ด้วยการกรองอีเมล การแยกไฟล์แนบออกจากไฟล์อื่นๆ และการฝึกอบรมด้านความปลอดภัย

การแบ่งส่วนเครือข่ายสามารถลดความเสี่ยงลงได้อีก โดยจำกัดขอบเขตการแพร่กระจายของแรนซัมแวร์เมื่อมันเข้าสู่ระบบแล้ว เมื่อรวมกับการควบคุมการเข้าถึงและระบบตรวจสอบ การแบ่งส่วนจะช่วยยับยั้งการติดเชื้อก่อนที่จะส่งผลกระทบต่อโครงสร้างพื้นฐานที่สำคัญ

ข้อคิดส่งท้าย

ภัยคุกคามจากแรนซัมแวร์ เช่น แรนซัมแวร์ Zollo เน้นย้ำถึงความสำคัญของมาตรการรักษาความปลอดภัยทางไซเบอร์เชิงรุก โดยการเข้ารหัสไฟล์ ข่มขู่ว่าจะเปิดเผยข้อมูล และกดดันเหยื่อด้วยการเรียกร้องค่าไถ่ภายในเวลาที่กำหนด ผู้โจมตีมุ่งหวังที่จะบังคับให้เหยื่อจ่ายเงินอย่างรวดเร็ว

กลยุทธ์การป้องกันแบบหลายชั้น ซึ่งผสมผสานการอัปเดตระบบ การสำรองข้อมูลที่เชื่อถือได้ ซอฟต์แวร์รักษาความปลอดภัย และการใช้งานอย่างระมัดระวังของผู้ใช้ ยังคงเป็นวิธีที่มีประสิทธิภาพที่สุดในการลดภัยคุกคามเหล่านี้ การตรวจจับตั้งแต่เนิ่นๆ และการตอบสนองอย่างรวดเร็วสามารถลดผลกระทบจากเหตุการณ์แรนซัมแวร์ได้อย่างมากและปกป้องข้อมูลที่มีค่าจากการสูญหายอย่างถาวร