แฮกเกอร์ขายมัลแวร์ NtKiller ในดาร์กเว็บ
แฮกเกอร์อ้างมัลแวร์ NtKiller สามารถในการปิดการใช้งาน EDR ได้
ในการป้องกันเครื่องคอมพิวเตอร์จากมัลแวร์นั้น คงจะหนีไม่พ้นการใช้เครื่องมืออย่างแอนตี้ไวรัส หรือ เครื่องมือแบบครบเครื่องกว่าเช่น EDR (Endpoints Detection and Response) ทว่าแฮกเกอร์ก็เริ่มจะนำขึ้นครึ่งก้าวอีกครั้งด้วยมัลแวร์ตัวใหม่ที่มีความสามารถในการประมือกับเครื่องมือเหล่านี้ได้อย่างร้ายกาจ
จากรายงานโดยเว็บไซต์ Cyber Security News ได้กล่าวถึงการที่ทีมวิจัยจาก KrakenLabs บริษัทผู้เชี่ยวชาญด้านการตรวจสอบภัยไซเบอร์ ทำการตรวจพบว่าแฮกเกอร์ หรือ กลุ่มแฮกเกอร์ที่มีชื่อว่า AlphaGhoul ได้ทำการพัฒนาแต่จัดจำหน่ายมัลแวร์ตัวใหม่ NtKiller ผ่านทางตลาดมืดใต้ดิน โดยได้โอ้อวดว่ามัลแวร์ดังกล่าวนั้นมีความสามารถในการเข้าปิดระบบรักษาความปลอดภัยชื่อดัง ยอดนิยมหลากหลายตัว เช่น Microsoft Defender, ESET, Kaspersky, Bitdefender, และ Trend Micro เป็นต้น นอกจากนั้นตัวมัลแวร์ยังมีโหมดการทำงานอย่างเกรี้ยวกราด (Aggressive Mode) เพื่อใช้งานการฝ่าเครื่องมือ EDR เกรดสำหรับการใช้งานในองค์กร (Enterprise) ได้อีกด้วย ซึ่งการจัดจำหน่ายมัลแวร์นั้นจะขายแบบเป็นโมดูล (Module) เริ่มจากโมดูลหลัก (Core) ที่ขายอยู่ที่ 500 ดอลลาร์สหรัฐ (15,620 บาท) ขณะที่ส่วนเสริมอื่น ๆ อย่าง UAC Bypass และ Rootkit จะถูกขายในราคา 300 ดอลลาร์สหรัฐต่อส่วนเสริม (9,370.20 บาท)
สำหรับข้อมูลในทางเทคนิคนั้นตัวมัลแวร์จะมีการสร้างความคงทนตัวเองอยู่บนระบบ หรือ Persistence ด้วยการฝังตัวเองให้มีการทำงานอัตโนมัติในช่วงการบูตระบบปฏิบัติการ (Startup) เพื่อชิงทำงานก่อนที่ระบบความปลอดภัยที่ถูกติดตั้งไว้จะเริ่มทำงาน ทั้งยังมีความสามารถในการต่อต้านการดีบั๊ก (Anti-Debugging) และ การถูกวิเคราะห์ (Anti-Analysis) ทำให้ไม่สามารถถูกตรวจสอบได้โดยเหล่านักวิจัยด้านภัยไซเบอร์
ในส่วนของส่วนเสริมความสามารถอย่างเช่น UAC Bypass นั้นจะเป็นการฝ่าระบบป้องกันของ User Account Control เพื่อที่จะช่วยให้มัลแวร์สามารถเข้าถึงสิทธิ์การใช้งานระบบในระดับสูง และในขณะเดียวกันการเพิ่มสิทธิ์นั้นจะไม่ส่งผลให้เกิดการแจ้งเตือนเหยื่อว่ามีผู้ใช้งานแปลกปลอมรุกรานมาอัปเกรดสิทธิ์บนระบบ ในขณะที่ส่วนของ Rootkit นั้นจะเป็นในแง่ของการสร้าง Persistence และล ่องหนหลบซ่อนตัวอยู่ภายในระบบอย่างเงียบเชียบไปในขณะเดียวกัน
ทั้งนี้ ทุกอย่างเป็นเพียงแค่การวิเคราะห์จากโฆษณาที่แฮกเกอร์ทำการโม้โอ้อวดไว้ภายในเว็บไซต์ใต้ดินเท่านั้น ยังไม่สามารถยืนยันได้ว่าความสามารถทั้งหมดนี้ทำได้จริงหรือไม่แต่อย่างใด เนื่องจากทางทีมวิจัยยังไม่สามารถเข้าถึงตัวมัลแวร์ตัวจริงได้ในขณะนี้
#ติดเทรนด์ #Lemon8ฮาวทู #ป้ายยากับlemon8 #lemon8ไดอารี่ #freedomhack
ถ้าคุณลองเสิร์ชคำว่า “NtKiller” แล้วเจอแต่โพสต์สั้น ๆ หรือภาพโฆษณาในดาร์กเว็บ บอกเลยว่าความสับสนหลัก ๆ คือมัน “มีอยู่จริงแค่ไหน” และ “มันอันตรายกับคนทั่วไปหรือเฉพาะองค์กร” จากที่อ่านรายงานและดูรายละเอียดที่ถูกนำมาอ้าง สิ่งที่ควรจับใจความคือ NtKiller ถูกทำตลาดเหมือนเป็น “ชุดเครื่องมือปิดระบบป้องกัน” มากกว่าจะเป็นมัลแวร์ตัวเดียวจบ โดยมีการขายแบบโมดูล (Core + Add-on) และชูจุดขายเรื่องปิดแอนตี้ไวรัส/EDR/ไฟร์วอลล์แบบเงียบ ๆ รวมถึงมีโหมด Aggressive สำหรับลุย EDR เกรดองค์กร สิ่งที่มักถูกพูดถึงคู่กับ NtKiller คือคำว่า persistence, anti-debugging และ anti-analysis ซึ่งถ้าอธิบายแบบภาษาคนใช้คอมคือ 1) persistence = ทำให้มัน “ติดเครื่อง” อยู่ได้นาน เช่น เซ็ตให้รันตอนเปิดเครื่อง (startup) เพื่อแย่งทำงานก่อนโปรแกรมป้องกัน 2) anti-debug/analysis = ทำให้คนวิเคราะห์มัลแวร์ตรวจยากขึ้น เช่น ตรวจจับว่ากำลังถูกรันใน sandbox/VM หรือมีเครื่องมือดีบั๊กอยู่แล้วหยุดทำงาน/เปลี่ยนพฤติกรรม อีกคำที่เจอบ่อยในภาพโปรโมตคือ UAC Bypass กับ Rootkit อันนี้เป็น “ส่วนเสริม” ที่ทำให้เกมยากขึ้นสำหรับฝั่งป้องกัน: UAC Bypass คือพยายามข้ามหน้าต่างยืนยันสิทธิ์ของ Windows เพื่อยกระดับสิทธิ์แบบไม่ให้ผู้ใช้สังเกต ส่วน Rootkit คือแนวทางซ่อนตัว/ซ่อนไฟล์/ซ่อนโปรเซส เพื่ออยู่ในระบบได้นานและตรวจจับยากขึ้น (และมักถูกใช้เพื่อสร้าง persistence เพิ่มเติมด้วย) อย่างไรก็ตาม ประเด็นสำคัญที่คนอ่านควรระวังคือ ตอนนี้หลายข้อมูลยังมาจาก “คำโฆษณา” ของผู้ขายในตลาดมืด ทีมวิจัยบางส่วนยังไม่ยืนยันด้วยตัวอย่างมัลแวร์จริง ดังนั้นเวลาเจอคำเคลมว่า “ปิด Microsoft Defender, ESET, Kaspersky, Bitdefender, Trend Micro” หรือ “ปิด EDR ได้ทุกเจ้า” ให้มองเป็นสัญญาณเตือนภัย แต่ยังไม่ควรสรุปว่า 100% ทำได้ตามนั้น เพราะผู้ขายมัลแวร์ชอบโม้เพื่อดันยอดขาย ถ้าคุณกังวลว่า NtKiller จะกระทบยังไงกับผู้ใช้ทั่วไป/องค์กร แบบที่ฉันแนะนำให้โฟกัสคือ “พฤติกรรมป้องกันพื้นฐานที่ช่วยได้กับมัลแวร์แนวปิดระบบป้องกัน”: อัปเดต Windows/ซอฟต์แวร์ให้ล่าสุด, เปิดใช้การป้องกันแบบเรียลไทม์, จำกัดสิทธิ์ผู้ใช้ไม่ให้เป็นแอดมินโดยไม่จำเป็น, เปิดการป้องกันการแก้ไข (tamper protection) หากมี, และทำแบ็กอัปแบบแยกเครื่อง/ออฟไลน์เป็นประจำ สุดท้าย ถ้าเห็นไฟล์หรือสคริปต์แปลก ๆ อ้างชื่อ NtKiller หรือชวนดาวน์โหลด “ตัวทดลอง/ตัวเดโม” อย่าลองรันเอง เพราะมัลแวร์สายนี้มักตั้งใจทำให้เครื่องมือวิเคราะห์ทำงานยากและอาจทำให้เครื่องติดจริงได้ง่ายกว่าที่คิด สิ่งที่ควรทำคือบันทึกข้อมูลที่พบ (ลิงก์/แฮช/ชื่อไฟล์) แล้วส่งให้ทีมไอทีหรือผู้เชี่ยวชาญตรวจสอบในสภาพแวดล้อมที่ปลอดภัยแทน
