01มัลแวร์คืออะไร What is malware
มัลแวร์ (Malware) ย่อมาจาก malicious software แปลตรง ๆ ว่า “ซอฟต์แวร์ที่มีเจตนาร้าย” คือโปรแกรมที่ถูกเขียนขึ้นมาเพื่อทำสิ่งที่เจ้าของเครื่องไม่ได้ต้องการ
ลองนึกภาพคนแปลกหน้าที่แต่งตัวเป็นช่างซ่อมแอร์ แล้วเดินเข้าบ้านเรามาอย่างสบาย ๆ เพราะเราเปิดประตูให้เอง เขาอาจมาขโมยของ แอบติดกล้อง หรือล็อกห้องทุกห้องแล้วเรียกเงินค่ากุญแจ มัลแวร์ก็ทำแบบเดียวกัน เพียงแต่ “บ้าน” คือคอมพิวเตอร์หรือมือถือของเรา
สิ่งสำคัญที่สุดที่ต้องเข้าใจตั้งแต่ต้นคือ มัลแวร์ส่วนใหญ่เข้ามาได้เพราะมีคนเปิดประตูให้ กดไฟล์ กดลิงก์ หรือลงแอปที่ไม่ควรลง ข่าวดีคือ ถ้ารู้ว่าประตูอยู่ตรงไหน เราก็ปิดมันได้
- ศัพท์น่ารู้: Payload
- “ของที่มัลแวร์พกมา” คือส่วนที่ทำอันตรายจริง ๆ เช่น ขโมยรหัสผ่าน หรือเข้ารหัสไฟล์ ส่วนที่เหลือของมัลแวร์มีไว้เพื่อแอบเข้ามาและซ่อนตัวให้ได้ก่อน
02มัลแวร์เข้ามาได้อย่างไร Infection vectors
ทางที่มัลแวร์ใช้เข้าเครื่องเรียกว่า “ช่องทางการติดเชื้อ” (infection vector) ทางที่พบบ่อยมีห้าทาง สี่ทางแรกต้องอาศัยให้เรากดหรือเปิดอะไรบางอย่างเอง แต่ทางที่ห้าน่ากลัวที่สุด เพราะเราไม่ต้องทำอะไรเลย
FIG 01ห้าทางที่มัลแวร์เข้าสู่เครื่องของคุณ
บันทึกเป็นภาพ
ใบแจ้งหนี้.pdf.exe: ส่วนท้ายสุด .exe บอกว่าเป็นโปรแกรม ไม่ใช่เอกสาร แต่ถ้าเครื่องซ่อนนามสกุลไฟล์ไว้ เราจะเห็นแค่ “ใบแจ้งหนี้.pdf”อ่านภาพนี้เป็นข้อความ
- ไฟล์แนบในอีเมลหรือแชต: ชื่อไฟล์ชวนเปิด แต่จริง ๆ เป็นโปรแกรม
- โปรแกรมเถื่อนหรือตัวแคร็กเกม: แจกฟรี แต่แอบพ่วงมัลแวร์มาด้วย
- แฟลชไดรฟ์ที่ไม่รู้ที่มา: เสียบแล้วเปิดไฟล์ข้างใน
- แอปปลอมหรือปุ่มดาวน์โหลดหลอก: ไม่ได้มาจากร้านค้าแอปทางการ
- ช่องโหว่ในโปรแกรมที่ไม่อัปเดต: ผู้โจมตีเข้ามาได้แม้เราไม่กดอะไรเลย
ทั้งห้าทางพามัลแวร์มาถึงเครื่องของคุณ ซึ่งมันจะเริ่มทำงานอย่างเงียบ ๆ
วิธีปิดประตูเหล่านี้ไม่ได้ยากเลย: เปิดให้เครื่องแสดงนามสกุลไฟล์ ลงโปรแกรมจากแหล่งทางการเท่านั้น ไม่เสียบแฟลชไดรฟ์ที่ไม่รู้ที่มา และ เปิดการอัปเดตอัตโนมัติ ไว้เสมอ เพราะการอัปเดตจำนวนมากคือการ “ปิดช่องโหว่” ที่ถูกค้นพบแล้วนั่นเอง
- ศัพท์น่ารู้: ช่องโหว่ (Vulnerability) และแพตช์ (Patch)
- ช่องโหว่คือจุดบกพร่องในโปรแกรมที่คนร้ายใช้เจาะเข้ามาได้ แพตช์คือการแก้ไขจุดนั้น ซึ่งมากับการอัปเดต ถ้าไม่อัปเดต ประตูก็ยังเปิดอยู่ แม้คนทำโปรแกรมจะซ่อมให้แล้ว
03รู้จักครอบครัวมัลแวร์ Malware types
“มัลแวร์” เป็นคำเรียกรวม ข้างในแบ่งได้หลายชนิดตามวิธีเข้ามาและสิ่งที่มันทำ มัลแวร์ตัวเดียวอาจมีหลายลักษณะรวมกันก็ได้
| ชนิด | เข้ามาอย่างไร | ทำอะไร | เปรียบเทียบง่าย ๆ |
|---|---|---|---|
| ไวรัสVirus | ติดมากับไฟล์หรือโปรแกรมที่เราเปิด | เกาะไปกับไฟล์อื่น แล้วแพร่ต่อเมื่อไฟล์นั้นถูกเปิด | เชื้อหวัดที่ติดต่อผ่านการสัมผัส |
| เวิร์มWorm | ผ่านเครือข่าย และช่องโหว่ที่ยังไม่ได้แพตช์ | คัดลอกตัวเองไปเครื่องอื่นได้เอง ไม่ต้องรอให้ใครกด | ข่าวลือที่กระจายต่อกันเองในกลุ่มแชต |
| โทรจันTrojan | ปลอมตัวเป็นโปรแกรมที่ดูมีประโยชน์ | เปิด “ประตูหลัง” ให้คนร้ายเข้ามาควบคุมเครื่องได้ | ม้าไม้เมืองทรอยที่มีทหารซ่อนอยู่ข้างใน |
| สปายแวร์Spyware | พ่วงมากับแอปฟรีหรือส่วนเสริมเบราว์เซอร์ | แอบเก็บสิ่งที่เราพิมพ์ รหัสผ่าน และประวัติการใช้งาน | กล้องแอบถ่ายที่ซ่อนอยู่ในห้อง |
| อินโฟสตีลเลอร์Infostealer | ตัวแคร็กเกม โปรแกรมเถื่อน หรือโฆษณาปลอม | กวาดรหัสผ่านและคุกกี้ที่เบราว์เซอร์จำไว้ ส่งออกไปภายในไม่กี่นาที | ขโมยที่หยิบพวงกุญแจทั้งพวงแล้วหายไปเลย |
| รูตคิตRootkit | มักมาพร้อมมัลแวร์ตัวอื่นที่ได้สิทธิ์สูงแล้ว | ซ่อนตัวเองและมัลแวร์อื่นจากระบบและโปรแกรมป้องกัน | ผู้บุกรุกที่แก้กล้องวงจรปิดให้ฉายภาพห้องว่าง |
| คริปโตแจ็กเกอร์Cryptojacker | เว็บหรือโปรแกรมที่ถูกฝังโค้ด | แอบใช้พลังเครื่องเราขุดเงินดิจิทัลให้คนร้าย เครื่องร้อนและช้าลง | คนแอบพ่วงไฟบ้านเราไปใช้ แต่เราจ่ายค่าไฟ |
| แรนซัมแวร์Ransomware | อีเมลหลอก ช่องโหว่ หรือมากับโทรจันตัวอื่น | ล็อกไฟล์ทั้งหมด แล้วเรียกเงินแลกกับกุญแจ | โจรจับไฟล์ของเราเป็นตัวประกัน |
ในบทนี้เราจะเจาะลึกตัวสุดท้าย แรนซัมแวร์ เพราะเป็นชนิดที่สร้างความเสียหายหนักและเป็นข่าวบ่อยที่สุด และเพราะการเข้าใจมัน ทำให้เข้าใจมัลแวร์ชนิดอื่นไปพร้อมกัน
04แรนซัมแวร์ล็อกไฟล์อย่างไร How ransomware works
คำว่า ransom แปลว่า “ค่าไถ่” แรนซัมแวร์จึงเป็นมัลแวร์เรียกค่าไถ่ อาวุธของมันคือสิ่งที่ปกติใช้ปกป้องข้อมูลเรา นั่นคือ การเข้ารหัส (encryption)
การเข้ารหัสคือการผสมข้อมูลด้วย “กุญแจ” ลับจนอ่านไม่ออก ใครมีกุญแจก็ถอดกลับมาอ่านได้ ปกติเราใช้มันปกป้องรหัสผ่านหรือข้อความแชต แต่แรนซัมแวร์กลับเอามาล็อกไฟล์ของเรา แล้วให้กุญแจอยู่ในมือคนร้ายคนเดียว
FIG 02ล็อกไฟล์ แล้วเอากุญแจไปด้วย
บันทึกเป็นภาพ
อ่านภาพนี้เป็นข้อความ
- ไฟล์ของคุณ เช่น รูปถ่าย งานกลุ่ม รายงาน เปิดได้ตามปกติ
- คนร้ายเข้ารหัสไฟล์ด้วยกุญแจลับที่มีแค่คนร้ายถือ
- ไฟล์ถูกล็อก ชื่อเปลี่ยน เช่น รายงาน.docx.locked และเปิดแล้วอ่านไม่ออก
- หน้าจอเรียกค่าไถ่ ให้จ่ายเงินแลกกับคำสัญญาว่าจะส่งกุญแจให้
ทางรอด: ถ้ามีสำเนาสำรองที่แยกเก็บไว้ ให้ล้างเครื่องแล้วกู้ไฟล์คืนเองได้
แรนซัมแวร์ยุคหลังยังร้ายขึ้นอีกขั้น คือ ขโมยข้อมูลออกไปก่อน แล้วค่อยล็อก ถ้าเหยื่อไม่จ่าย ก็ขู่ว่าจะปล่อยข้อมูลสู่สาธารณะ เรียกว่าการขู่กรรโชกซ้ำสองชั้น (double extortion)
05วงจรการโจมตี 6 ขั้น The attack chain
การโจมตีด้วยแรนซัมแวร์ไม่ได้เกิดขึ้นในคลิกเดียว มันเป็น วงจรหลายขั้นต่อกันเหมือนโซ่ คนร้ายต้องผ่านให้ได้ทุกขั้นจึงจะสำเร็จ ส่วนเราขอแค่ตัดได้ขั้นใดขั้นหนึ่ง โซ่ก็ขาดแล้ว นักความปลอดภัยเรียกแนวคิดนี้ว่า “Kill Chain”
FIG 03หกขั้นของแรนซัมแวร์ และจุดที่เราตัดวงจรได้
บันทึกเป็นภาพ
อ่านภาพนี้เป็นข้อความ
- หลอกให้เปิดประตู (Initial access): อีเมลหลอกหรือช่องโหว่: ตัดได้ด้วยการดูให้ดีก่อนกด และอัปเดตเสมอ
- แอบฝังตัว (Execution): มัลแวร์ติดตั้งตัวเองให้ทำงานทุกครั้งที่เปิดเครื่อง ตัดได้ด้วยโปรแกรมป้องกันที่เปิดอยู่ตลอด
- ยึดสิทธิ์แอดมิน (Privilege escalation): หาทางเป็นเจ้าของเครื่อง ตัดได้ด้วยการใช้บัญชีธรรมดาในชีวิตประจำวัน
- ลามไปเครื่องอื่น (Lateral movement): ไต่ไปเครื่องอื่นในเครือข่าย ตัดได้ด้วยรหัสผ่านไม่ซ้ำและการยืนยันสองชั้น
- ขโมยข้อมูลออกไป (Exfiltration): คัดลอกไฟล์ไปขู่ซ้ำ: ลดความเสียหายด้วยการเข้ารหัสไฟล์ลับเอง และไม่เก็บข้อมูลเกินจำเป็น
- ล็อกไฟล์และเรียกค่าไถ่ (Impact): รับมือได้ด้วยการสำรองข้อมูลแบบ 3-2-1
สังเกตว่าเราไม่จำเป็นต้องเป็นผู้เชี่ยวชาญเลยสักขั้น ทุกจุดตัดในภาพเป็นนิสัยที่นักเรียนคนหนึ่งทำได้ด้วยตัวเอง และยิ่งตัดได้หลายขั้น โอกาสที่คนร้ายจะสำเร็จก็ยิ่งน้อยลง แนวคิดการวางเกราะหลายชั้นแบบนี้เรียกว่า Defense in depth
06โปรแกรมป้องกันจับมัลแวร์ได้อย่างไร How detection works
หลายคนคิดว่าแอนติไวรัสคือรายชื่อ “ผู้ต้องหา” ยาว ๆ ที่เอาไว้เทียบกับไฟล์ในเครื่อง ซึ่งถูกแค่ครึ่งเดียว โปรแกรมป้องกันยุคนี้ทำงานเหมือน รปภ. หน้าตึกที่มีทั้งรูปผู้ต้องหาติดบอร์ด มีกล้องคอยดูพฤติกรรม และมีห้องตรวจของต้องสงสัยแยกไว้ต่างหาก
FIG 04สามด่านที่มัลแวร์ต้องผ่าน
บันทึกเป็นภาพ
อ่านภาพนี้เป็นข้อความ
- เทียบลายนิ้วมือ (signature): เทียบกับฐานข้อมูลมัลแวร์ที่รู้จัก แม่นกับของเก่า แต่ของใหม่ยังไม่อยู่ในฐานข้อมูล
- จับพฤติกรรม (behaviour): สังเกตการกระทำแปลก ๆ เช่น แก้ไขไฟล์จำนวนมากรัว ๆ จึงจับตัวใหม่ได้
- ห้องทดลอง (sandbox): ลองเปิดไฟล์น่าสงสัยในเครื่องจำลองที่แยกขาดก่อน
EDR บันทึกเหตุการณ์ทั้งหมด ให้ทีมป้องกันตามสืบต่อได้ ถ้ามีอะไรหลุดทั้งสามด่าน
บทเรียนสำคัญจากภาพนี้คือ ไม่มีด่านไหนจับได้ทุกอย่าง มัลแวร์ตัวใหม่ที่ยังไม่มีใครเคยเห็นอาจหลุดด่านแรกไปได้ นี่จึงเป็นเหตุผลที่เราต้องมีทั้งโปรแกรมป้องกันที่อัปเดตอยู่เสมอ นิสัยระวังก่อนกด และสำเนาสำรองข้อมูล วางซ้อนกันหลายชั้น
- ศัพท์น่ารู้: EDR (Endpoint Detection and Response)
- ระบบที่ติดตั้งบนเครื่องคอมพิวเตอร์ในองค์กร คอยบันทึกว่าโปรแกรมไหนทำอะไร เชื่อมต่อไปที่ไหน แก้ไฟล์อะไร เมื่อพบความผิดปกติก็แจ้งเตือนและช่วยตัดเครื่องออกจากเครือข่ายได้ทันที เราจะได้เจอมันอีกครั้งในบท SOC
07เกราะชั้นสุดท้าย: สำรองข้อมูล 3-2-1 Backups
ถ้าทุกขั้นก่อนหน้าพลาดหมด สิ่งที่ยังช่วยเราได้คือการมีสำเนาไฟล์ที่ปลอดภัย กฎที่ใช้กันทั่วโลกเรียกว่า 3-2-1: มีข้อมูลอย่างน้อย 3 ชุด เก็บบนสื่อ 2 ชนิด และมี 1 ชุดเก็บแยกไว้นอกเครื่อง
FIG 05สำรองแบบ 3-2-1 แล้วเกิดอะไรขึ้นเมื่อโดนโจมตี
บันทึกเป็นภาพ
อ่านภาพนี้เป็นข้อความ
- สำเนาที่ 1 ต้นฉบับในเครื่อง: เมื่อโดนแรนซัมแวร์จะถูกล็อก
- สำเนาที่ 2 ฮาร์ดดิสก์พกพา: รอดถ้าถอดออกหลังสำรอง แต่ถ้าเสียบค้างไว้ก็ถูกล็อกด้วย
- สำเนาที่ 3 คลาวด์หรือเก็บไว้อีกที่: รอด เพราะแรนซัมแวร์เอื้อมไม่ถึง
จากนั้นล้างเครื่องให้สะอาด แล้วกู้ไฟล์คืนจากสำเนาที่รอด
สำหรับนักเรียน แค่เริ่มจากงานสำคัญก่อนก็พอ: เก็บงานไว้ในคลาวด์ที่โรงเรียนหรือมหาวิทยาลัยให้ใช้ และคัดลอกลงฮาร์ดดิสก์อีกชุดทุกสัปดาห์ แล้วถอดเก็บ
08ถ้าโดนแล้ว ทำอะไรก่อน If you get hit
ถ้าวันหนึ่งเปิดเครื่องแล้วเจอไฟล์เปลี่ยนชื่อหมด หรือมีหน้าจอเรียกเงินขึ้นมา ตั้งสติ แล้วทำตามลำดับนี้
ตัดการเชื่อมต่อทันที
ปิด Wi-Fi ถอดสาย LAN และถอดฮาร์ดดิสก์หรือแฟลชไดรฟ์ทุกตัวออก เพื่อไม่ให้มันลามไปเครื่องอื่นหรือไปล็อกสำเนาสำรอง
ถ่ายรูปหน้าจอเก็บไว้
ใช้มือถือถ่ายข้อความเรียกค่าไถ่และชื่อไฟล์ที่เปลี่ยนไป ข้อมูลนี้ช่วยให้ผู้เชี่ยวชาญรู้ว่าเป็นแรนซัมแวร์ตัวไหน
บอกคนที่ช่วยได้
ถ้าเป็นเครื่องของโรงเรียนหรือที่ทำงาน แจ้งฝ่ายไอทีทันที ถ้าเป็นเครื่องส่วนตัว บอกผู้ปกครองหรือครู และสามารถโทรขอคำแนะนำหรือแจ้งเหตุได้ที่สายด่วน 1441 (ศูนย์ AOC รับแจ้งปัญหาภัยออนไลน์)
อย่ารีบจ่ายค่าไถ่
ไม่มีอะไรรับประกันว่าจ่ายแล้วจะได้กุญแจจริง และเงินนั้นกลายเป็นทุนให้คนร้ายโจมตีคนอื่นต่อ ลองเช็กก่อนว่ามีเครื่องมือถอดรหัสฟรีหรือไม่ที่ nomoreransom.org โครงการร่วมของหน่วยงานตำรวจและบริษัทความปลอดภัย
ล้างเครื่อง แล้วกู้คืน
ติดตั้งระบบใหม่ให้สะอาด กู้ไฟล์จากสำเนาที่รอด และเปลี่ยนรหัสผ่านบัญชีสำคัญทั้งหมดจากเครื่องอื่นที่ปลอดภัย
09สรุปให้จำ Recap
ถ้าจำได้แค่ห้าข้อ ให้จำห้าข้อนี้ แต่ละข้อตัดวงจรได้อย่างน้อยหนึ่งขั้น
- เปิดอัปเดตอัตโนมัติ ทั้งระบบปฏิบัติการ เบราว์เซอร์ และแอป
- หยุดคิดก่อนกด ไฟล์แนบหรือลิงก์ที่ไม่ได้รอ และเปิดให้เครื่องแสดงนามสกุลไฟล์
- ลงโปรแกรมจากแหล่งทางการ ไม่ใช้ตัวแคร็กหรือโปรแกรมเถื่อน
- รหัสผ่านไม่ซ้ำ + ยืนยันสองชั้น ในบัญชีสำคัญ
- สำรองแบบ 3-2-1 และถอดฮาร์ดดิสก์ออกหลังสำรองเสร็จ
ลองทบทวนดู
ทำไมไฟล์ชื่อ “ใบแจ้งหนี้.pdf.exe” ถึงน่าสงสัย
เพราะนามสกุลจริงคือส่วนท้ายสุด .exe ซึ่งแปลว่าเป็นโปรแกรม ไม่ใช่เอกสาร คนร้ายตั้งชื่อให้ดูเหมือน PDF เพื่อหลอกให้เราดับเบิลคลิก
เวิร์มต่างจากไวรัสตรงไหน
ไวรัสต้องรอให้คนเปิดไฟล์ที่มันเกาะอยู่ ส่วนเวิร์มคัดลอกตัวเองข้ามเครือข่ายไปเครื่องอื่นได้เอง จึงระบาดเร็วกว่ามาก อย่างที่ WannaCry ทำให้เห็น
ถ้ามีสำเนาข้อมูลอยู่ในฮาร์ดดิสก์ที่เสียบคาเครื่องไว้ตลอด ปลอดภัยไหม
ไม่ปลอดภัย แรนซัมแวร์มองเห็นไดรฟ์ที่ต่ออยู่และล็อกได้เหมือนไฟล์ในเครื่อง สำเนาสำรองต้องถอดออกหรือแยกเก็บ จึงจะรอด