Clear
Lead Graphic Papers

Locker Unlocker : โปรแกรมถอดรหัสลับข้อมูลที่ติด Ransomware

ผู้เขียน: ทีมไทยเซิร์ต
วันที่ประกาศ: 9 มิถุนายน 2558
ปรับปรุงล่าสุด: 9 มิถุนายน 2558

Share on Facebook Share on Twitter Share on Google+

ปัจจุบันหลายประเทศทั่วโลกรวมถึงประเทศไทยกำลังได้รับผลกระทบจากการโจมตีด้วย Ransomware ซึ่งเป็นมัลแวร์ที่เข้ารหัสลับข้อมูล เช่น ไฟล์เอกสาร ทำให้เปิดใช้งานไม่ได้และเรียกร้องเงินเพื่อแลกกับการทำให้สามารถใช้งานได้อีกครั้ง

ความน่ากลัวของมัลแวร์ประเภทนี้อยู่ตรงที่การจะถอดรหัสลับข้อมูลเพื่อให้กลับมาใช้งานได้อีกครั้งเป็นเรื่องค่อนข้างยาก แต่ที่ผ่านมาก็มีการพบจุดอ่อนในกระบวนการทำงานของ Ransomware บางสายพันธุ์ ทำให้สามารถถอดรหัสลับข้อมูลได้ ล่าสุดมีข่าวการเผยแพร่เครื่องมือชื่อ Locker Unlocker สำหรับถอดรหัสลับข้อมูลที่ถูกเข้ารหัสลับโดย Ransomware สายพันธุ์ Locker ไทยเซิร์ตจึงได้ทำการวิเคราะห์เครื่องมือดังกล่าว รวมถึงแนะนำเครื่องอื่น ๆ ที่ใช้ในการถอดรหัสลับข้อมูลในบทความนี้

การวิเคราะห์โปรแกรม Locker Unlocker

เมื่อวันที่ 30 พฤษภาคม มีผู้ที่อ้างว่าเป็นคนสร้างมัลแวร์ Locker ได้เผยแพร่ข้อมูล Private Key [1] [2] ที่สามารถใช้ในการถอดรหัสลับไฟล์ที่ถูกเข้ารหัสลับบนเครื่องของเหยื่อได้ โดยลักษณะข้อมูลที่เผยแพร่ประกอบด้วยรายการ Private key, Public key กับ Bitcoin Address ของเหยื่อแต่ละคน ทำให้ทราบว่า ไฟล์ของเหยื่อที่ถูกเข้ารหัสลับไว้นั้น ถูกเข้ารหัสลับด้วยกุญแจอะไรและใช้ Bitcoin Address อะไรในการจ่ายเงินเรียกค่าไถ่

ต่อมาเมื่อวันที่ 31 พฤษภาคม นาย Nathan Scott นักวิเคราะห์และเคยพัฒนาเครื่องมือเกี่ยวกับการตรวจสอบ Ransonware [3] ได้เผยแพร่เครื่องมือ Locker Unlocker เมื่อเปิดใช้งานจะมีหน้าตาดังรูปที่ 1 ซึ่งใช้สำหรับถอดรหัสลับข้อมูลที่ถูกเข้ารหัสลับโดย Ransomware สายพันธุ์ Locker ดังรูปที่2 [4]


รูปที่ 1 ลักษณะของโปรแกรม Locker Unlocker


รูปที่ 2 ลักษณะของ Ransomware สายพันธุ์ Locker

จากข้อมูลเครื่องมือดังกล่าวนั้น เมื่อมีการนำไปตรวจสอบผ่านเว็บไซต์ ได้แก่ Virus Total [5] และ Metascan Online [6] ซึ่งเป็นบริการที่ใช้ตรวจสอบไฟล์ที่ต้องสงสัยว่าจะเป็นมัลแวร์หรือไม่ โดยตรวจสอบจาก Anti virus หลายๆแหล่ง ก็แสดงผลลัพธ์ว่าอาจมีพฤติกรรมในลักษณะโปรแกรมแฝงโฆษณา (Adware) หรือดาวน์โหลดโปรแกรมอื่นเข้ามาติดตั้งยังเครื่องผู้ใช้ได้ (Downloader) ดังรูปที่ 2

รูปที่ 3 แสดงการตรวจสอบโปรแกรมจาก virus total และ metascan-online

อย่างไรก็ตามนาย Nathan Scott ได้เผยแพร่ Source Code ของโปรแกรมดังกล่าวแล้วในภายหลัง ซึ่งสามารถตรวจสอบได้ว่ามีการทำงานที่ไม่เหมาะสมแฝงมาในโปรแกรมหรือไม่ [7] หากผู้ใช้ที่ตกเป็นเหยื่อต้องการใช้งาน ควรใช้งานในเครื่องที่ไม่มีข้อมูลสำคัญ เพื่อใช้ถอดรหัสไฟล์ที่ต้องการและทำการฟอร์แมตเครื่องใหม่เพื่อป้องกันโปรแกรมแอบแสดงพฤติกรรมไม่พึงประสงค์หรือดาวน์โหลดมัลแวร์อื่นมาติดตั้งในเครื่อง

จากข้อมูลดังกล่าว ไทยเซิร์ตวิเคราะห์การทำงานของ Locker Unlocker พบข้อสังเกตที่น่าสนใจว่า มีการเก็บฐานข้อมูล Private Key, Public key และ Bitcoin Address ในโปรแกรมที่ติดตั้งแล้ว โดยข้อมูลดังกล่าวไม่ได้มีการดาวน์โหลดจากอินเทอร์เน็ต ดังรูปที่ 4

รูปที่ 4 แสดงฐานข้อมูล Private Key และ Bitcoin Address

อย่างไรก็ตาม ไทยเซิร์ตยังไม่เคยได้รับแจ้งถึง Ransomware สายพันธุ์ Locker จากผู้ใช้ภายในประเทศไทย ซึ่งหากผู้ใช้ที่ตกเป็นเหยื่อ Ransomware สายพันธุ์อื่น ๆ เช่น CryptoLocker จะไม่สามารถใช้งานได้ ดังรูปที่ 5 และ 6


รูปที่ 5 แสดงข้อความหลังจากติด Ransomware สายพันธุ์ CryptoLocker


รูปที่ 6 แสดงข้อความว่าหา Private Key ไม่พบหลังจากใส่ค่า Bitcoin Address ใน LockerUnlocker ของเครื่องที่ติด CryptoLocker

จากข้อมูลข้างต้นแสดงให้เห็นว่าโปรแกรมดังกล่าวไม่สามารถถอดรหัสลับไฟล์ที่ติดจาก Ransomware ตระกูลอื่น ๆ ได้ นอกจากนี้เนื่องจากโปรแกรมอาศัยการระบุ Private key จากฐานข้อมูล Private key ที่รวบรวมไว้ก่อนหน้า ดังนั้นก็มีโอกาสที่โปรแกรมใช้งานไม่ได้กับผู้ที่ตกเป็นเหยื่อรายใหม่ เนื่องจากโปรแกรมไม่มีการเชื่อมต่อเพื่ออัปเดตฐานข้อมูล ผู้ใช้อาจต้องคอยติดตามการอัปเดตโปรแกรมจากผู้พัฒนาในภายหลัง

เครื่องมืออื่น ๆ สำหรับถอดรหัสลับข้อมูลที่ถูกเข้ารหัสลับโดย Ransomware

ถึงแม้ว่าข้อมูลที่ถูกเข้ารหัสลับ Ransomware ส่วนใหญ่จะไม่สามารถถอดรหัสลับหรือกู้คืนให้กลับมาใช้งานได้ อย่างไรก็ตามในปัจจุบัน มีบริการออนไลน์และโปรแกรมที่ช่วยถอดรหัสลับข้อมูล Ransomware บางสายพันธุ์ เช่น Cryptolocker, CoinVault หรือ TeslaCrypt ซึ่งอาจสามารถทดลองใช้งาน (อาจใช้ไม่ได้กับมัลแวร์เวอร์ชันใหม่) โดยมีข้อมูลดังต่อไปนี้


รูปที่ 7 ตัวอย่างหน้าต่างที่แสดงโดย Cryptolocker


รูปที่ 8 ตัวอย่างหน้าต่างที่แสดงโดย CoinVault


รูปที่ 9 ตัวอย่างหน้าต่างที่แสดงโดย TeslaCrypt


รูปที่ 10 ตัวอย่างหน้าต่างที่แสดงโดย Bit Cryptor


รูปที่ 11 ตัวอย่างหน้าต่างที่แสดงโดย CryptoDefense


รูปที่ 12 ตัวอย่างหน้าต่างที่แสดงโดย Operation Global III


รูปที่ 13 ตัวอย่างหน้าต่างที่แสดงโดย PClock


รูปที่ 14 ตัวอย่างหน้าต่างที่แสดงโดย TorrentLocker

การกู้คืนข้อมูลด้วย Shadow Volume Copies

นอกจากนี้หากเครื่องที่ติดมัลแวร์เป็นระบบปฏิบัติการณ์ Winows 7 ขึ้นไป ผู้ใช้สามารถทดลองใช้งาน Shadow Volume Copies ซึ่งเป็นฟีเจอร์ของ Windows สำหรับสำรองข้อมูล ในการกู้คืนไฟล์เดิมได้ อย่างไรก็ตามวิธีนี้อาจไม่ได้ผลหาก Ransomware ลบข้อมูลที่ถูกสำรองไว้ สำหรับวิธีการใช้งานเป็นไปดังขั้นตอนตามรูปที่ 15-19

รูปที่ 15-19 แสดงขั้นตอนการใช้งานฟังก์ชัน Shadow volumn copies บนระบบปฏิบัติการณ์วินโดวส์ ในการกู้คืนไฟล์ที่ถูกเข้ารหัสลับของมัลแวร์ CTB-Locker

ถึงแม้ว่าจะมีเครื่องมือที่ช่วยในการถอดรหัสลับข้อมูลสำหรับ Ransomware บางสายพันธุ์ แต่เครื่องมือส่วนใหญ่ก็อาจไม่สามารถใช้งานได้กับผู้ที่ตกเป็นเหยื่อรายใหม่ เนื่องจาก Ransomware เวอร์ชันใหม่ได้ปิดจุดอ่อนแล้ว ดังนั้นผู้ใช้ควรตระหนักในการป้องกันไม่ให้ติดมัลแวร์รวมถึงสำรองข้อมูลอย่างสม่ำเสมอ สำหรับข้อแนะนำอื่น ๆ ผู้ใช้สามารถศึกษาได้จาก Infographic “ThaiCERT แจ้งเตือนและแนะนำวิธีป้องกันความเสียหายจาก Ransomware”

อ้างอิง

  1. http://pastebin.com/1WZGqrUH
  2. http://www.bleepingcomputer.com/forums/t/577953/locker-developer-releases-private-key-database-and-3rd-party-decrypter-released/
  3. https://twitter.com/DecrypterFixer
  4. http://www.bleepingcomputer.com/forums/t/577246/locker-ransomware-support-topic/page-32#entry3721545
  5. https://www.virustotal.com/en/file/58666903e617304e294e8551f1eefc3417c276e897284cd330441fd94334ee6c/analysis/1433315369/
  6. https://www.metascan-online.com/en/scanresult/file/d48061c8d902453e8d0fa079474c5e69
  7. http://www.bleepingcomputer.com/forums/t/577246/locker-ransomware-support-topic/page-39#entry3724234
  8. http://blogs.cisco.com/security/talos/teslacrypt
  9. http://www.bleepingcomputer.com/virus-removal/cryptodefense-ransomware-information#emsisoft
  10. http://www.thewindowsclub.com/cryptodefense-ransomware
  11. http://www.bleepingcomputer.com/forums/t/559220/operation-global-iii-ransomware-not-only-encrypts-but-infects-your-data-as-well
  12. http://www.bleepingcomputer.com/forums/t/561970/new-pclock-cryptolocker-ransomware-discovered/
  13. http://www.bleepingcomputer.com/forums/t/547708/torrentlocker-ransomware-cracked-and-decrypter-has-been-made/
Clear