ประวัติศาสตร์และอนาคตของ Ransomsare จากรองประธานฝ่ายวิจัย Trend Micro

ในงาน CLOUDSEC ที่สิงคโปร์เมื่อวานนี้ หัวข้อหนึ่งในงานคือ "The Future of Ransomware" โดย Rik Ferguson รองประธานฝ่ายวิจัยของ Trend Micro เล่าถึงประวัติศาสตร์ของมัลแวร์เรียกค่าไถ่ พร้อมกับคาดการณ์ว่าในอนาคตจะมีทิศทางใด

มัลแวร์เรียกค่าไถ่ในอดีต


มัลแวร์เรียกค่าไถ่ตัวแรกๆ ในโลกเกิดในปี 1989 ชื่อว่า AIDS จากการแสดงตัวเองเป็นซอฟต์แวร์ให้ข้อมูลโรคเอดส์ โดยจะถามข้อมูลของผู้ใช้เพื่อประเมินความเสี่ยง แต่เมื่อผู้ใช้เรียกใช้งานจริง มันจะล็อกเครื่องพร้อมบอก "หมายเลขอ้างอิง" ให้จ่ายค่าไถ่เป็นเช็คไปยังตู้ปณ. ในปานามา



ตัว AIDS ไม่ได้เข้ารหัสไฟล์แต่มีการซ่อนและเปลี่ยนชื่อไฟล์เท่านั้น หากผ่านหน้าจอเรียกค่าไถ่เข้าไปอ่านไฟล์ได้ก็จะกู้คืนไฟล์มาได้



จากนั้นมัลแวร์เรียกค่าไถ่พัฒนาเรื่อยมาจนในยุคเว็บ มัลแวร์จำนวนหนึ่งแสดงหน้าจอแสดงตัวว่าเป็นซอฟต์แวร์ของหน่วยงานรัฐบาล และแจ้งบนหน้าจอว่าหมายเลขไอพีของเราทำผิดกฎหมายร้ายแรง เช่น เข้าชมภาพอนาจารเด็ก และต้อง "เสียค่าปรับ" เพื่อใช้งานคอมพิวเตอร์ต่อไป

มัลแวร์เหล่านี้เริ่มมองตลาดโลก มัลแวร์ในตระกูลนี้บางตัวมีความสามารถในการปรับหน้าจอไปตามประเทศของเหยื่อ ไม่ว่าจะเป็นภาษาของข้อความและชื่อหน่วยงานตำรวจ



ความเปลี่ยนแปลงสำคัญในช่วงไม่กี่ปีที่ผ่านมาคือการเข้ารหัสไฟล์จริงจัง เริ่มจาก CryptoLocker ในช่วงปี 2013 มัลแวร์เข้ารหัสด้วยกระบวนการเข้ารหัสจริง ทำให้แม้แต่บริษัทความปลอดภัยไซเบอร์ก็ช่วยเหลือลูกค้าไม่ได้หากตัวมัลแวร์ไม่ได้ทำผิดพลาดเอง

มัลแวร์เรียกค่าไถ่ในปัจจุบัน


ปี 2016 นับเป็นการผงาดขึ้นมาของมัลแวร์เรียกค่าไถ่เหล่านี้ โดยพบมัลแวร์ตระกูลใหม่ๆ ทั้งปีกว่า 200 ตระกูล เพิ่มขึ้นหลายเท่าตัวเมื่อเทียบกับปี 2015 อย่างไรก็ดีทาง Trend Micro มองว่าในแง่ของจำนวนตระกูลมัลแวร์น่าจะถึงจุดสูงสุดแล้ว แต่ความเปลี่ยนแปลงในช่วงหลังคือมัลแวร์เหล่านี้เริ่มมุ่งเป้าไปยังซอฟต์แวร์ธุรกิจมากขึ้น อาจจะเป็นเพราะหน่วยงานเหล่านี้ยอมจ่ายเงินง่ายกว่าข้อมูลส่วนตัว ที่ระบาดมากเช่นมัลแวร์เข้ารหัสฐานข้อมูลต่างๆ



การตรวจสอบเครื่องที่ติดมัลแวร์เหล่านี้เพื่อหาช่องทางที่ติดมัลแวร์ ทำได้เพียง 43% เพราะเครื่องที่เหลือมาพบหลังข้อมูลถูกล็อกไปแล้วทำให้วิเคราะห์ข้อมูลต่อได้ยาก แต่เครื่องที่ติดมัลแวร์เหล่านี้และหาสาเหตุได้ก็ยังพบว่ามักจะติดผ่านทางอีเมลถึง 71% อีก 18% มาทางชุดเครื่องมือเจาะระบบ ที่น่าสนใจคือ 3% มาทาง Team Viewer เท่าๆ กับมัลแวร์ที่ติดจากแอปสโตร์ต่างๆ



จากช่องทางการติดที่ยังคาดเดาได้ ทาง Trend Micro สรุปปริมาณการป้องกันมัลแวร์เหล่านี้ 1,000 ล้านครั้ง พบว่าส่วนใหญ่สามารถป้องกันได้จากการกรองอีเมล, บล็อคไอพีของเมลเซิร์ฟเวอร์, กรอง URL เว็บ มีเพียงส่วนน้อยรวมๆ ไม่ถึง 1% ที่ต้องกรองในระดับการวิเคราะห์พฤติกรรมของมัลแวร์ด้วยเทคนิคต่างๆ

ความเปลี่ยนแปลงของมัลแวร์เรียกค่าไถ่เหล่านี้ จนถึงตอนนี้สรุปได้ 5 ข้อ

• เริ่มโจมตีรุนแรงมากขึ้น หลายครั้งตัวมัลแวร์มีเป้าหมายเจาะจง มัลแวร์บางตัวตรวจสอบรหัสคีย์บอร์ดเพื่อเลือกโจมตีหรือไม่โจมตีเครื่องที่ใช้คีย์บอร์ดบางภาษา
• เริ่มใช้เครื่องมือสำหรับการดูแลระบบเป็นช่องทางมากขึ้น
• ซ่อนตัวไม่ให้มีไฟล์เหลือสำหรับนำไปวิเคราะห์
• แพร่กระจายตัวเองได้ เช่น WannaCry
• เริ่มรองรับระบบปฎิบัติการอื่นที่ไม่ใช่วินโดวส์

คาดการณ์ในอนาคต


ทาง Trend Micro คาดการณ์ถึงความเปลี่ยนแปลงของมัลแวร์เหล่านี้ โดยมันมีแนวโน้มจะทำให้เหยื่อตัดสินใจจ่ายเงินมากขึ้นเรื่อยๆ โดยมุ่งเป้าไปที่องค์กร บริษัทต่างๆ ที่มักยอมจ่ายค่าไถ่เหล่านี้ง่ายกว่า มัลแวร์เหล่านี้นอกจากจะทำลายข้อมูลที่อยู่ในเครื่องแล้ว จะเริ่มขโมยข้อมูลออกไปเพื่อข่มขู่เหยื่อว่าหากไม่จ่ายค่าไถ่ข้อมูลจะถูกเปิดเผย ขณะที่มัลแวร์ยุคต่อไปน่าจะเริ่มมีความสามารถในการตามหาข้อมูลสำรอง และมัลแวร์เหล่านี้อาจจะพยายามเข้ารหัสข้อมูลสำรองก่อนข้อมูลจริง เพราะเหยื่อจะรู้ตัวช้ากว่า และเมื่อเข้ารหัสข้อมูลหลัก ข้อมูลสำรองก็ถูกเข้ารหัสหมดไปก่อนแล้ว

เครื่องเป้าหมายของมัลแวร์เรียกค่าไถ่เหล่านี้กำลังออกจากพีซีที่เป็นวินโดวส์ โดยมีรายงานถึงมัลแวร์แมคมาก่อนหน้านี้แล้ว ในอนาคตมัลแวร์บนโทรศัพท์มือถือน่าจะเพิ่มขึ้นเรื่อยๆ ความเป็นไปได้ เช่น การล็อกคอมพิวเตอร์ในกลุ่ม IoT เช่นรถยนต์ หรือประตูบ้านที่อาจจะล็อกไม่ให้เจ้าของบ้านเข้าหรือออกจากบ้านตัวเอง (ถึงเวลามีจริงน่าสนใจว่าจะมีคนจ่ายเงินค่าไถ่หรือไม่)

แนวโน้มอีกอย่างหนึ่งคือมัลแวร์เรียกค่าไถ่เหล่านี้อาจจะมุ่งเป้าไปที่ระบบเฉพาะทางมากขึ้น เช่น ระบบ SCADA ที่ควบคุมโรงงานไฟฟ้าหรือระบบประปา และหลายครั้งไม่มีการป้องกันดีพอ ไปจนถึงการเรียกค่าไถ่จากระบบเฉพาะทางมากๆ เช่น ระบบควบคุมโรงงานที่การหยุดสายการผลิตเพียงไม่นานก็สร้างความเสียหายได้มหาศาล ไปจนถึงระบบสำคัญที่หยุดการทำงานไม่ได้ เช่นระบบควบคุมจราจรทางอากาศ

การป้องกันยังเหมือนเดิม




พัฒนาการของมัลแวร์เข้ารหัสเหล่านี้อาจจะเป็นไปได้อีกมาก แต่กระบวนการป้องกันยังคงคล้ายเดิม เช่น ต้องมีข้อมูลสำรองเป็นระยะ, อัพเดตระบบสม่ำเสมอ, ควบคุมการเข้าถึงข้อมูลส่วนต่างๆ, ไปจนถึงการฝึกฝนสร้างความเข้าใจให้กับคนในองค์กรอย่างทั่วถึง

Topics: Trend MicroSecurityMalwareRansomware