มัลแวร์แนวแรนซั่มแวร์ (ransomware/cryptolocker) สามารถติดเครื่องที่เป็น Android ได้แล้ว

จากเพจ https://www.facebook.com/longhackz

มัลแวร์แนวแรนซั่มแวร์ (ransomware/cryptolocker) เริ่มล่ามมาเครื่อง Android อีกแล้วครับล่าสุด Bitdefender ตรวจพบสแปมเมลจำนวนมากแนบไฟล์ที่อ้างว่าเป็นอัพเดทสำหรับ Flash Player ของ Andriod ให้ติดตั้ง เมื่อเหยื่อเผลอติดตั้งจะขึ้นหน้าจอ เตือนว่า FBI พบว่าเครื่องของคุณ "เคยใช้ดูหนังโป๊น่ะ" ต้องจ่ายเงินค่าไถ่ 16000 บาท เพื่อปลดล็อค แต่ถ้าไม่จ่ายเงินแล้วแอพพบว่า user มีความพยายามจะเข้าใช้เครื่องต่อ ค่าไถ่จะเพิ่มขึ้นถึงสามเท่า! โดยแรนซั่มแวร์ตัวนี้จะปิดทำการปุ่ม Home บนเครื่อง แต่โชคดีที่มันไม่ได้เข้ารหัสไฟล์ในเครื่องผู้ใช้สามารถใช้ adb เพื่อกู้กลับมาได้ครับ ใครจะเปิดไฟล์แนบจากอีเมลต้องสงสัยอาจตกเป็นเหยื่อได้ ถ้าได้รับอีเมลที่บอกให้เราต้องเปิดไฟล์แนบจากแหล่งที่มาไม่น่าเชื่อถือแนะนำให้ลบทิ้งครับ
ที่มา: http://www.net-security.org/malware_news.php?id=3046

รวมโปรแกรมถอดรหัสไวรัส cryptolocker

โปรแกรมถอดรหัส cryptolocker

ให้ลองใช้โปรแกรมถอดรหัสเหล่านี้ดูก่อน เพราะว่าตัว cryptolocker มันมีหลายสายพันธุ์บางตัวอาจจะถอดรหัสได้ (แต่ก่อนอื่นต้อง remove ตัว มัลแวร์ออกก่อนครับ)

Anti Malware
- Malwarebytes' Anti-Malware


Decryptor
- decryptcryptolocker.com


Decryptor ของ kaspersky
- RectorDecryptor
 to encrypted by Trojan-Ransom.Win32.Rector.
 
- XoristDecryptor
to decrypt files crypted by Trojan-Ransom.Win32.Xorist family (or Trojan-Ransom.MSIL.Vandev )

- RakhniDecryptor
to encrypted by Trojan-Ransom.Win32.Rakhni.

- RannohDecryptor
to encrypt files on a victim-computer by changing files' names and extensions.  
Trojan-Ransom.Win32.Rannoh family

- ScatterDecryptor
to decrypt files crypted by Trojan-Ransom.BAT.Scatter.

- ScraperDecryptor
to decrypt files affected by the Trojan-Ransom.Win32.Scraper 


ตรวจสอบไฟล์หรือเวปไซด์ที่ไม่แน่ใจก่อนเปิด
Virustotal.com

การแก้ปัญหา ไวรัส cryptowall

การแก้ปัญหา ไวรัส cryptowall แชร์โดยคุณ ลมธรรม สมาชิกบอร์ดพันทิบครับ

เครื่องของแฟนผมใช้win7โดนเขัาไปวันที่17มค  ไฟล์งานวิจัย ไฟล์งานที่เก็บไว้เปิดไม่ได้ทั้งหมด
รูปภาพ  power point  โดนเกลี้ยง  แฟนผมร้องไห้เลยเพราะงานสะสมมากมาย แมัจะแบคอัพมาบ้างแล้ว
ในครั้งแรกตัดสินใจว่าคงต้องจ่ายค่าไถ่ แต่ก็หวั่นใจว่าจ่ายไปแล้วก็แก้ไม่ได้ เสียเงินเปล่า

หาในgoogle เจอกระทู้ในpantipกระทู้เดียว บอกว่าโดนเหมือนกัน
เจอแนวแก้ในกระทู้ของ ตปทเลยลองดู

ประเด็นสำคัญพบว่า
1 ไวรัสตัวนี้ฆ่าตายไม่ยาก โปรแกรมมัลแวร์ธรรมดาก็ใช้ได้แล้ว
2ความเสียหายคือไฟล์ถูกเข้ารหัสทั้งหมด แม้ฆ่าไวรัสไปแล้วก็ติดรหัสอยู่ดี
3ผมลองใช้ shadow explores กู้ข้อมูลดู  ไม่น่าเชื่อ กู้กลับได้เกือบครบ
คือได้จนถึงวันที่11 มค  ทำให้เราเสียข้อมูลไปไม่มาก

วิธีการใช้  
1. หาdownload  shadow explorer มาติดตั้งในเครื่องหลังฆ่าไวรัสไปแล้ว
2. เปิดโปรแกรม มันจะโชว์drive ที่มีในเครื่อง คือ c และอื่นพร้อมช่องวันที่

3. คลิกเลือกdrive แล้วคลิกช่องวันที่  (ของผมได้ถึง11 มค)มันจะแสดงข้อมูลระบบในวันนั้นๆออกมา
4. เลือกข้อมูลที่ต้องการ แล้วคลิกขวา มันจะโชว์คำว่า export
กดเลือกให้มันส่งไฟล์ไปที่ๆเราต้องการ(ของผมให้ส่งไป memory stick ที่ผมเสียบไว้) แล้วย้ายไฟล์ไปไว้ในอีกเครื่องหนึ่ง  ค่อยๆย้ายไปเรื่อยจนหมด แล้วผมก็เตรียมลงwinใหม่เลย

ดีใจเลยรีบแบ่งปันครับ  ไม่ทราบว่ามีใครแนะนำก่อนผมหรือยังถ้าซ้ำก็ขออภัยนะครับ
ขอขอบคุณท่านที่แนะนำให้ลองใช้ shadow explorer เป็นอย่างสูงครับ



ดาวน์โหลดไฟล์ที่นี่
shadowexplorer


อ่านกระทู้เพิ่มเติมได้ที่นี่ครับ
http://www.pantip.com/topic/3313431

ตัวอย่างวีดีโอวิธีการถอดรหัส CryptoLocker Ransomware

ตัวอย่างวีดีโอวิธีการถอดรหัส CryptoLocker Ransomware 

CryptoLocker Ransomware มีอยู่หลายสายพันธุ์ วิธีการนี้อาจจะใช้ไม่ได้กับทุกตัวครับ

มารู้จักกับไวรัส CryptoLocker

CrytoLocker คือ Ransomware , Ransomware ก็คือ Malware ชนิดหนึ่งนั่นเอง

CryptoLocker เป็น Ransomware บนระบบปฏิบัติการ Windows โดยถูกเผยแพร่ผ่านทางไฟล์แนบในอีเมลหลอกลวง พร้อมกับแนบไฟล์ ZIP ซึ่งภายในมีไฟล์ EXE ที่ถูกปลอมแปลงว่าเป็นไฟล์ PDF หรือผ่านทางมัลแวร์ประเภทบอตเน็ตที่เคยถูกติดตั้งลงบนเครื่องของผู้ใช้มาก่อน หลักการทำงานโดยทั่วไปของ CryptoLocker นั้นคือทำการเข้ารหัสลับข้อมูลไม่ว่าจะเป็นไฟล์เอกสาร รูปภาพ และไฟล์ประเภทอื่น ๆ ในเครื่องคอมพิวเตอร์ของเหยื่อ จากนั้นจะขึ้นข้อความข่มขู่ให้ผู้ใช้ทำการชำระเงินภายในเวลาที่กำหนด ก่อนที่ข้อมูลทั้งหมดจะไม่สามารถถูกถอดรหัสลับได้อีกตลอดไป
ทั้งนี้ตัว CrytoLocker ยังสามารถแพร่ผ่านเครือข่ายที่ถูกแชร์ได้ด้วย (Map Drive)

CryptoLocker หลังจากที่ติดตั้งตัวเองลงในคอมพิวเตอร์แล้ว จะทำการดาวน์โหลด Public key ที่ใช้สำหรับเข้ารหัสลับ โดย Public key ที่ถูกดาวน์โหลดมานั้นใช้อัลกอริทึม RSA ที่มีความยาวถึง 2048 bits ซึ่งคอมพิวเตอร์ธรรมดาไม่มีทางที่จะถอดรหัสสุ่มหา Private key ได้เลย ทั้งนี้ RAS publickey นี้เพื่อเอามาครอบรหัสลับ Secret key ที่ใช้ในการเข้ารหัสลับข้อมูลในคอมพิวเตอร์ของเหยื่อจริง ๆ อีกทอดหนึ่ง โดย Secret key ดังกล่าวใช้อัลกอริทึม AES ความยาว 256 bits
สิ่งที่เราต้องการที่จะต้องจ่ายให้กับแฮกเกอร์คือตัว Private key นี่ล่ะ

ช่องทางการชำระเงินจะต้องจ่ายทาง Bitcoin (ตัวย่อ: BTC) ซึ่งเป็นสกุลเงินดิจิทัล

วิธีการชำระเงินนั้นจะเริ่มจากการให้ผู้ใช้อัพโหลดไฟล์ที่ถูกเข้ารหัสลับผ่านหน้าเว็บไซต์เพื่อทำการตรวจสอบหา Private key ที่ใช้ในการถอดรหัสลับ

หน้าต่างชำระเงินหลังจากเสร็จสิ้นการค้นหา Private key

วิธีการป้องกัน
- Backup ข้อมูลอย่างสม่ำเสมอ
- ติดตั้ง/อัปเดตโปรแกรมป้องกันไวรัส/มัลแวร์
- อัปเดตโปรแกรมอื่นๆ สม่ำเสมอ เช่น Java และ Adobe Reader
- อัปเดตระบบปฏิบัติการอย่างสม่ำเสมอ
- ไม่คลิกลิงก์หรือเปิดไฟล์ที่มาพร้อมกับอีเมลที่น่าสงสัย
- หากมีการแชร์ข้อมูลร่วมกันผ่านระบบเครือข่าย ให้ตรวจสอบสิทธิ์ในการเข้าถึงข้อมูลแต่ละส่วน และกำหนดสิทธิ์ให้ผู้ใช้มีสิทธิ์อ่านหรือแก้ไขเฉพาะไฟล์ที่มีความจำเป็นต้องใช้สิทธิ์เหล่านั้น
- ตั้งค่า Policy ของระบบปฏิบัติการ เพื่อป้องกันไม่ให้มัลแวร์สามารถทำงานตาม Directory หรือ Path ที่ระบุได้ 



สามารถอ่านแบบละเอียดได้ที่
 https://www.thaicert.or.th/papers/technical/2013/pa2013te011.html

Ransomware และ Cryptolocker คืออะไร ป้องกัน-แก้ไขยังไงแบบเข้าใจง่าย ๆ ในรูปเดียว

ทางเพจ สอนแฮกเว็บแบบแมวๆ https://www.facebook.com/longhackz ได้ทำ infographic เกี่ยวกับเจ้า Ransomware และ Cryptolocker คืออะไร ป้องกัน-แก้ไขยังไงแบบเข้าใจง่ายมาให้ดูกันครับ

ครั้งแรกที่รู้จักไวรัส Cryptolocker เรียกค่าไถ่

ครั้งแรกที่รู้จักไวรัส Cryptolocker เรียกค่าไถ่

          ผมเป็นคนที่เข้าบอร์ด thaiseoboard ประจำอยู่แล้ว มีอยู่วันนึง ก็มีสมาชิกในบอร์ด คุณ killrerb โพสขอความช่วยเหลือเรื่องโดนไวรัส Cyptolocker เรียกค่าไถ่ ต้องซื้อโปรแกรมถอดรหัสจากเขาเป็นเงิน 11,900 บาท หนำซ้ำถ้าเกินเวลาจะต้องจ่ายเงินเพิ่มอีก การจ่ายเงินก็จะต้องจ่ายในระบบ bitcoin เท่านั้นซึ่งไม่สามารถที่จะเรียกคืนหรือแจ้งระงับได้เหมือน paypal

(ขู่มาเป็นภาษาไทยเลยครับ)

ตามนี้ครับ http://www.thaiseoboard.com/index.php/topic,367987.0.html


ขู่มาเป็นภาษาไทยแบบไม่ผิดเพี้ยนแบบนี้ หรือว่าถูกปล่อยมาจากคนไทยเองนะน่าคิด .......


อาการเครื่องที่ติดไวรัส Cyptolocker

        เจ้าของกระทู้คาดว่าน่าจะติดมาจากการไปลองดาวน์โหลดโปรแกรมในเน็ทมาติดตั้ง แล้วมีไวรัสแฝงอยู่ อาการเริ่มแรกคือ เครื่องจะทำงานช้าลงๆ หลังจาก restart เครื่องไปก็จะขึ้นหน้าจอเรียกค่าไถ่ ไฟล์ต่างๆก็ถูกเข้ารหัสหมดไม่สามารถใช้งานได้เลย ซึ่งถึงแม้เราย้ายข้อมูลไปไว้ที่อื่นก็ไม่สามารถเปิดได้

การแก้ไข
         มีสมาชิกหลายๆท่านได้ช่วยแนะวิธีการต่างๆ บางสมาชิกแนะนำไว่าถ้าเป็นไฟล์งานที่สำคัญมากๆ ก็ให้จ่ายเงินไปจะคุ้มกว่า ถ้าไม่สำคัญก็ให้ format เครื่องไปเลย การแก้ไขเบื้องต้นทำได้เพียงใช้โปรแกรม remove เจ้าไวรัสตัวนี้ออกไป แต่ส่วนไฟล์ที่ถูกเข้ารหัสไว้จะไม่สามารถเปิดได้ ซึ่งเดี๋ยวผมจะรวบรวมแนวทางวิธีการถอดรหัสให้อีกทีครับ

ตัวอย่างคนที่จ่ายค่าไถ่แล้วใช้งานได้ (ทำไมถึงจับไม่ได้เสียทีพวกนี้)

ใครจะลอง Decrypt ไฟล์ลองดูที่นี่ครับ
https//www.decryptcryptolocker.com
http://support.kaspersky.com/viruses/utility


การป้องกันเบื้องต้น
- update antivirus, antimalware
- ให้สแกนไฟล์ที่แนบมากับอีเมล์ทุกครั้งก่อนเปิด ถ้าเป็นไฟล์นามสกุล exe ห้ามเปิดเด็ดขาด ไวรัสตัวนี้มักจะปลอมตัวคล้ายๆ PDF ซึ่งจริงๆแล้วคือ PDF.EXE
- อย่าเปิดไฟล์ที่ดาวน์โหลดมา ให้สแกนดูก่อน
- สำรองข้อมูลเป็นประจำ

นี่เป็นข้อมูลเบื้องต้นเกี่ยวกับเจ้าไวรัสเรียกค่าไถ่ Cryptolocker ส่วนในโพสถัดไปเราจะมาทำความรู้จักกับที่มาที่ไปของเจ้าไวรัสตัวนี้กันครับ



แหล่งข้อมูล
http://www.thaiseoboard.com/index.php/topic,367987.0.html
http://pantip.com/topic/3118876