คล้ายๆกับการดูหนัง series ก็ว่าได้ เมื่อมีการเปิดเผยจาก Proofpoint ว่าเจอ malware ที่โจมตีโดยใช้
MS17-010 ไม่มีผิด แต่เป็นการฝังตัวของ Application เพื่อขุดเงิน cryptocurrency (ประมาณ Bitcoin) ให้กับ Hacker ก่อนที่จะเริ่มมีการระบาด WannaCry ด้วยซำ้ โดย malware ตัวนั้นมีชื่อว่า Adylkuzz

Adylkuzz เป็น Malware ที่โจมตีและแพร่กระจายตัวเหมือนกับ WannaCry คือการโจมตีไปเป็น MS17-010 แต่แตกต่างกันที่ Adylkuzz จะไม่ได้มีการเข้ารหัสไฟล์ในเครื่องแต่อย่างใด แต่จะเน้นเรื่องการแอบรันโปรแกรมขุดเงิน cryptocurrency แบบเงียบๆในเครื่องของเหยื่อแทน โดย Proofpoint เชื่อว่า Adylkuzz เริ่มกระจายตัวตั้งแต่วันที่ 2 พค. 2017 เผลอๆอาจจะเป็นวันที่ 24 เมษายน 2017 ซึ่งก่อน WannaCry แพร่กระจายถึง 2 สัปดาห์
การพบ Adylkuzz ถือเป็นเรื่องบังเอิญด้วยซ้ำ หลังจากที่ WannaCry เริ่มแพร่กระจาย, Proofpoint พยายามตั้ง Honeypot ดักล่อ WannaCry เพื่อนำมาวิเคราะห์แต่กลับกลายเป็นได้ Malware ที่พฤติกรรมการแพร่กระจายคล้ายๆกับ WannaCry แทน ซึ่งนั่นก็คือ Adylkuzz

เมื่อ Adylkuzz ถูกติดตั้งลงไปในเครื่องของเหยื่อเรียบร้อยแล้วก็จะติดต่อไปยังเครื่อง C&C ของ Hacker เพื่อดึงตัวเครื่องมือขุด cryptocurrency และดึงขั้นตอนการขุดมา โดยในตัวอย่างที่พบจะเป็นการขุด cryptocurrency ที่ชื่อว่า Monero (คล้ายๆกับ Bitcoin) โดย ณ เวลาตอนนี้ 7.58 Monero จะมีค่าประมาณ 205$

ซึ่งบ่งบอกว่า ไม่ใช่แค่มี WannaCry เท่านั้นที่พยายามโจมตีและแพร่กระจายไปย้ง 445 (SMBv1) ดังนั้นหากเป็นไปได้ก็รีบ patch รีบป้องกันให้เร็วที่สุดเท่าที่จะได้ทำได้นะครับ

ที่มา: proofpoint

พบความเกี่ยวโยงระหว่าง WannaCry และ Malware ที่ถูกสร้างโดยเกาหลีเหนือ
Neel Mehta ซึ่งเป็นหนึ่งในบุคคลแรกๆ ของโลก(เป็น Google Researcher)ที่ทำการวิจัยและวิเคราะ Ransomware ที่ดังที่สุดในโลกในขณะนี้ นั่นคือ WannaCry นั่นเอง โดย Neel พบว่ามีโค้ดบางส่วนของ WannaCry คล้ายกับ Malware ที่ชื่อว่า Contopee ซึ่งถูกพบตั้งแต่ปี 2015 และกลุ่มที่อยู่เบื้องหลัง Contopee ก็คือ Lazarus Group ซึ่งคือกลุ่มที่เชื่อว่าเป็นกลุ่มของเกาหลีเหนือและอยู่เบื้องหลังการโจมตีเกาหลีใต้มาตั้งแต่ปี 2007 นั่นเอง
Neel Mehta พบความน่าสงสัยเกี่ยวกับ WannaCry ว่ามีส่วนฟังก์ชั่นการทำงานที่ค่อนข้างคล้ายคลึงกับ Contopee ซึ่งทั้งทาง Kaspersky และ Symantec ก็ให้ความเห็นไปในทางเดียวกันว่าน่าจะเป็นการนำฟังก์ชั่นของ Contopee มาใช้งาน
ซึ่งหากไม่ใช่กลุ่มพัฒนาเดียวกัน ก็น่าจะเป็นไปได้ยากที่โค้ดจะเหมือนกันขนาดนี้ และหากเป็นจริง WannaCry จะถือว่าเป็น Ransomware ตัวแรกที่ได้รับการสนับสนุนที่เป็นอาวุธการโจมตี Cyber ของประเทศใดๆตัวแรกของโลกเลยทีเดียว

ที่มา: blog.

พบตัว Customize WannaCrypt0r ชื่อว่า Aron WanaCrypt0r 2.0 Generator
หลังจากที่มีการปล่อย WannaCry ให้อาละวาดมาตั้งแต่วันศุกร์ (12/05/2017) ที่ผ่านมา ก็ได้มีการพบว่า Ransomware Developer ต่างๆเริ่มสร้างของตัวเองขึ้นมา แต่ครั้งจะไปเขียนเองก็เสียเวลาก็เลยกลายเป็นนำ WannaCry มาดัดแปลงแทน โดยใช้เครื่องมือที่ชื่อว่า Aron WanaCrypt0r 2.0 Generator 1.0
Aron WanaCrypt0r 2.0 Generator v1.0 เป็นเครื่องมือที่นำเอา WannaCry มาแก้ไขหน้าตาให้กลายเป็น version ใหม่ขึ้นมา ซึ่งโปรแกรมนี้จะทำให้ผู้ใช้งานสามารถที่จะเปลี่ยนแปลงหน้าตาของ WannaCry lock screen ดัดแปลงได้ทั้งข้อความที่จะแสดง, รูปภาพ, และสีของ lock screen
ทั้งนี้ Aron WanaCrypt0r 2.0 Generator v1.0 ยังไม่สามารถดัดแปลงส่วน execute ของ WannaCry ได้ครับ ดังนั้น algorithm ในการเข้ารหัส หรือลักษณะการทำงานใดๆ ยังไม่สามารถเปลี่ยนแปลงได้นั่นเอง กล่าวคือถึงแม้ว่าจะเปลี่ยนภาษาหรือว่าเปลี่ยนเลข version ของตัว lock screen แต่ก็ยังคงทำงานเหมือนๆกับ WannaCry นั่นเอง
ทั้งนี้มีการเปลี่ยน text การขู่เป็นภาษาไทยด้วย แต่ version ดังกล่าวยังไม่มีการเข้ารหัสไฟล์ในเครื่องแต่อย่างใด แต่นั่นหมายความว่าอาจจะมีคนที่เป็นคนไทยได้เครื่องมือ generator ดังกล่าวไปแล้วก็เป็นได้

ที่มา : bleepingcomputer

มีรายงานจาก NHS ซึ่งเป็นหน่วยงานให้บริการการรักษาของอังกฤษถูกโจมตีด้วย Ransomware ที่ชื่อว่า WannaCryptor ในหลายๆหน่วยงานทั่วประเทศไม่ว่าจะเป็น คลีนิค, โรงพยาบาล ต่างก็ได้รับผลกระทบไปด้วย โดย ransomware ดังกล่าวจะทำการ lock user ออกจากเครื่องและทำ popup ขึ้นมาให้จ่ายเงินเพื่อให้สามารถเข้าถึงเครื่องได้ และบางเครื่องสามารถเข้าใช้งานได้แต่ไฟล์ที่สำคัญต่างๆก็จะถูกเข้ารหัสไว้

โดยข้อมูลที่ถูกเข้ารหัสมีด้วยกันหลายประเภทด้วยกันไม่ว่าจะเป็น ข้อมูลคนไข้, ตารางนัดหมาย, ข้อมูลโทรศัพท์ภายใน, email โดยไฟล์ที่ถูกเข้ารหัสโดย ransomware ดังกล่าวจะมีนามสกุลเป็น (.WCRY) ทั้งนี้ทางหน่วยงาน NHS Digital กล่าวว่ามีหน่วยงานหลากหลายประเภทมากที่โดน ransomware เล่นงาน ทางทีมงาน NHS Digital จึงได้ร่วมมือกับ National Crime Agency ซึ่งถือว่าเป็นหน่วยงานเทียบเท่า FBI ในอังกฤษได้เริ่มทำการสอบสวนเหตุการณ์ที่เกิดขึ้นแล้ว โดยตอนนี้ยังไม่มีหลักฐานใดๆบ่งบอกถึงการที่ข้อมูลคนป่วยถูกเข้าถึงแต่อย่างใด อีกทั้งทางทีมงาน NHS Digital ได้ร่วมมือกับ National Cyber Security Center เพื่อจัดการและหาวิธีแก้ไขอย่างถูกวิธีแล้วอีกด้วย

จาก report ของคนทำงาน IT ของ NHS กล่าวว่าระบบเมล์เริ่มใช้งานไม่ได้ตั้งแต่วันที่ 11 12:30pm จากนั้นก็ตามมาด้วยระบบที่เกี่ยวกับคลีนิคมากมากที่ใช้งานไม่ได้ จากนั้นก็เป็นระบบคนไข้ และจาก report เครื่องส่วนใหญ่จะถูกขู่ให้จ่ายเงินประมาณ 300$ การถูกโจมตีครั้งนี้ถือเป็นครั้งที่ร้ายแรงที่สุดในรอบ 6 ปีเลยทีเดียว

รายงานล่าสุดพบ ransomware ตัวนี้ในไทยแล้วนะครับระวังกันให้ดี ซึ่งเป็นการโจมตีโดยใช้การโจมตีของเครื่องมือ NSA ที่หลุดมาช่วงเดือนก่อน นั่นคือ MS17-010 หรือ EternalBlue นั่นเอง ทั้งนี้แนะนำให้ทำการปิด port 445 หรือยกเลิกการใช้งาน SMBv1 เพื่อลดความเสี่ยงที่เกิดขึ้นจาก WannaCryptor

วิธีการป้องกัน
1. Update patched Windows ให้เป็น version ล่าสุด.
2. ปิด port remote การเข้าถึงอย่าง RDP และ SMB จาก internet
3. Disable SMBv1 และ protocol ใดๆที่เก่า
4. นำเครื่องใดๆที่ไม่สามารถ patch ได้ให้ไปอยู่ในส่วนที่มี security control

วิธีการแก้ไขเมื่อติด WannaCryptor
1. เข้า Windows ในลักษณะ Safe Mode
2. เข้าไปที่ msconfig.

มัลแวร์เข้ารหัสไฟล์เรียกค่าไถ่ (ransomware) ระบาดอย่างหนักในช่วงหลัง แต่การสอนให้ผู้ใช้ระมัดระวังตัวเองก็ยังเป็นเรื่องยากสำหรับผู้ดูแลระบบทั่วไป แต่มัลแวร์ EduCrypt สร้างภูมิคุ้มกันให้ผู้ใช้ด้วยการเข้ารหัสไฟล์แบบ "สั่งสอน" ผู้ใช้ว่าอย่าดาวน์โหลดไฟล์มารันบนเครื่องมั่วๆ อีก
มัลแวร์ตัวนี้เข้ารหัสไฟล์จริงโดยจะเติมนามสกุลไฟล์ ".isis" เข้าไปท้ายไฟล์ หลังจากนั้นจะทิ้งไฟล์ README.txt เอาไว้บอกผู้ใช้ว่าไฟล์ถูกเข้ารหัสแล้ว และเตือนว่าอย่าดาวน์โหลดไฟล์มารันมั่วๆ โดยไม่ระวัง พร้อมกับบอกที่ดาวน์โหลดโปรแกรมถอดรหัสและใบ้ให้ว่ามีรหัสผ่านทิ้งไว้อยู่ในเครื่อง

รหัสผ่านของ EduCrypt คือ HDJ7D-HF54D-8DN7D เหมือนกันทุกเครื่อง

ใครเห็นมัลแวร์ชื่อนี้ก็อย่าไปดาวน์โหลดมารันเล่นๆ เดี๋ยวเจอเวอร์ชั่นเรียกค่าไถ่จริงๆ แล้วจะเดือดร้อน

ที่มา: blognone

Avanan ผู้ให้บริการซอฟต์แวร์ด้านความปลอดภัยบนคลาวด์ได้ตรวจพบการระดมโจมตีด้วย ransomware ที่ถูกเรียกว่า Cerber ไปยังกลุ่มลูกค้าองค์กรที่ใช้ Office 365 โดยอาศัยช่องโหว่ของซอฟต์แวร์ เมื่อวันที่ 22 มิถุนายนที่ผ่านมา

นอกจากการแจ้งเตือนเป็นป๊อปอัพหรือตัวอักษรแบบทั่วไปแล้ว Cerber ยังแจ้งเตือนผู้ใช้เป็นไฟล์เสียงด้วยว่า ไฟล์ในเครื่องถูกเข้ารหัสเอาไว้ทั้งหมดแล้ว พร้อมเรียกค่าไถ่เพื่อปลดล็อกไฟล์ในเครื่องเป็นจำนวน 1.24 BTC ก่อนที่ทางไมโครซอฟท์จะตรวจพบการโจมตีและบล็อกไฟล์ที่มี ransomware แนบมาด้วย

Avanan คาดว่ามีองค์กรราว 57% ที่ใช้ Office 365 ได้รับไฟล์ที่ฝังมัลแวร์ผ่านทางอีเมล์ขององค์กรอย่างน้อย 1 ไฟล์

ที่มา: theregister

นักวิจัยด้านความปลอดภัยค้นพบ Ransomware ตัวใหม่ที่มีชื่อว่า “7ev3n-HONE$T” ซึ่งจะทำการเข้ารหัสไฟล์ในเครื่องและเปลี่ยนนามสกุลไฟล์เป็น .R5A เพื่อเรียกค่าไถ่เป็นเงิน 1 Bitcoin หรือประมาณ 400 ดอลล่าร์ โดยยังไม่มีข้อมูลแน่นอนว่า Ransomware ดังกล่าวถูกเผยแพร่ทางไหน และยังไม่พบวิธีในการถอดรหัสเพื่อกู้คืนข้อมูล

แนะนำผู้ใช้ไม่ควรเข้าเว็บไซต์หรือเปิดไฟล์แนบที่น่าสงสัย และควรทำการอัปเดทซอฟแวร์อย่างสม่ำเสมอ

ที่มา : bleepingcomputer

สัปดาห์ที่ผ่านมา นักวิจัยด้านความมั่นคงปลอดภัยจาก Proofpoint ได้ออกมาเปิดเผยถึง Ransomware หรือมัลแวร์เรียกค่าไถ่ตัวใหม่ ชื่อว่า “CyrptXXX” ที่นอกจากจะเข้ารหัสไฟล์ข้อมูลเรียกค่าไถ่แล้ว ยังพยายามขโมยเงิน Bitcoin และ Username/Password ที่ใช้ล็อกอินของเหยื่ออีกด้วย แต่ข่าวดีคือ Kaspersky Lab ได้ออก Decrypter สำหรับปลดล็อก CryptXXX ได้สำเร็จ โดยไม่ต้องเสียค่าไถ่อีกต่อไป
หลังจาก CryptXXX ถูกติดตั้งสู่เครื่องคอมพิวเตอร์แล้ว มันจะทำการเข้ารหัสไฟล์ข้อมูลแล้วต่อท้ายนามสกุลไฟล์เป็น .crypt จากนั้นจะแสดงข้อความเรียกค่าไถ่เป็นจำนวนเงิน $500 หรือประมาณ 18,000 บาทเพื่อแลกกับกุญแจปลดรหัส แต่ที่ร้ายกาจคือ CryptXXX จะแอบขโมย Bitcoin wallet และข้อมูล Credential ต่างๆ เช่น FTP Client, Instant Messaging Client, Email และ Browser อีกด้วย
อย่างไรก็ตาม Kaspersky Lab ค้นพบจุดอ่อนของ Ransomware ดังกล่าว และได้ทำการออก Decrypter สำหรับปลดรหัสไฟล์โดยไม่ต้องจ่ายค่าไถ่เป็นที่เรียบร้อย เรียกว่า “RannohDecryptor” หลังจากที่ปลดรหัสไฟล์เรียบร้อยแล้ว สามารถถอนการติดตั้งโปรแกรม Decrypter ออกได้ทันที นอกจากนี้ แนะนำว่าให้ใช้โปรแกรม Anti-malware สแกนเครื่องคอมพิวเตอร์ทั้งหมดอีกครั้ง เพื่อให้มั่นใจว่ามัลแวร์ถูกกำจัดออกไปจากเครื่องจนหมดจริง

ที่มา : bleepingcomputer

มัลแวร์เรียกค่าไถ่ชนิดใหม่ชื่อ “Jigsaw” เมื่อเข้ารหัสไฟล์ข้อมูลในเครื่องเรียบร้อยแล้วจะแสดงรูปภาพของตัวละคร Jigsaw จากภาพยนตร์เรื่อง Saw บนหน้าจอเครื่องคอมพิวเตอร์ของเหยื่อพร้อมข้อความเรียกค่าไถ่ โดยข่มขู่ว่าหากไม่จ่ายเงินจะลบไฟล์ในเครื่องทิ้งไปเรื่อยๆ โดยจะค่อยๆ ลบไฟล์ที่ถูกเข้ารหัสทุกๆ ชั่วโมง และลบทิ้งครั้งละ 1,000 ไฟล์
มัลแวร์ดังกล่าวจะถูกเปลี่ยนนามสกุลเป็น .fun และเรียกร้องให้เหยื่อจ่ายเงิน 0.4 bitcoin หรือประมาณ 160 ดอลลาร์สหรัฐ

อย่างไรก็ตาม นักวิจัยค้นพบวิธีกู้คืนไฟล์ที่ถูกเข้ารหัสลับโดยมัลแวร์นี้ได้แล้ว โดยสามารถดาวน์โหลดโปรแกรม JigSawDecrypter เพื่อใช้กู้คืนไฟล์ได้ฟรี (https://download.

Blue Coat ออกมาแจ้งเตือนถึง Ransomware ตัวใหม่ เรียกตัวเองว่า “Cyber.Police” ซึ่งพุ่งเป้าโจมตีอุปกรณ์ Android
ทีมนักวิจัยจาก Blue Coat เรียกมัลแวร์ตัวนี้ว่า “Dogspectus” โดยมีความแตกต่างจาก Ransomware ปกติเล็กน้อย คือ มัลแวร์ดังกล่าวไม่ได้ทำการเข้ารหัสไฟล์ข้อมูลของผู้ใช้ แต่จะทำการบล็อกอุปกรณ์ให้ไม่สามารถใช้งานได้ จากนั้นจะแสดงข้อความสวมรอยเป็นตำรวจไซเบอร์ของ American National Security Agency (เป็นหน่วยงานที่ไม่มีอยู่จริง) ระบุว่า ผู้ใช้ได้กระทำสิ่งผิดกฏหมายจึงต้องล็อกอุปกรณ์ไม่ให้ใช้งาน เพื่อปลดล็อกอุปกรณ์ดังกล่าว เหยื่อจำเป็นต้องซื้อ iTunes Gift Card ราคา $100 จำนวน 2 ใบแล้วส่งโค้ดมาให้ทางแฮกเกอร์ที่แอบอ้างตัวเป็นเจ้าหน้าที่
เป้าหมายหลักของ Ransomware คือ อุปกรณ์ระบบปฏิบัติการ Android เวอร์ชั่น 4.x เนื่องจาก Blue Coat ตรวจพบว่ามีอุปกรณ์ไม่น้อยกว่า 224 เครื่องที่รันเวอร์ชั่น 4.0.3 ถึง 4.4.4 ทำการติดต่อกับเซิร์ฟเวอร์ที่ใช้แพร่กระจาย Ransomware ดังกล่าว แต่ไม่พบอุปกรณ์ที่รัน Android เวอร์ชั่น 5.x หรือ 6.x เลยแม้แต่น้อย
ที่น่าสนใจสำหรับ Ransomware นี้คือ มันแพร่กระจายผ่านทาง Malvertising หรือโฆษณาที่มี Malicious JavaScript ฝังอยู่ โดยสามารถติดตั้ง Payload ได้โดยไม่ต้องอาศัยการปฏิสัมพันธ์ใดๆ กับผู้ใช้
อย่างไรก็ตาม วิธีจัดการกับ Cyber.