วิธีป้องกันและแก้ไขเครื่องติดไวรัส Cryptolocker หรือไวรัสเรียกค่าไถ่

ข่าวดี!! กุญแจถอดรหัสกว่าหมื่นชุดถูกปล่อยหลังบุกยึดเซิร์ฟเวอร์ควบคุมมัลแวร์ CoinVault และ BitCryptor ได้

2015-11-02T15:21:00.000+07:00

หน่วยอาชญากรรมเทคโนโลยีระดับสูงแห่งเนเธอร์แลนด์ (National High Tech Crime Unit - NHTCU) บุกยึดเซิร์ฟเวอร์ควบคุมมัลแวร์ CoinVault และ BitCryptor หลังจากผู้ต้องสงสัยว่าเป็นผู้สร้างมัลแวร์ทั้งสองตัวถูกจับไปตั้งแต่เดือนกันยายนที่ผ่านมา ตอนนี้กุญแจถอดรหัสชุดสุดท้ายที่ได้มาจากเซิร์ฟเวอร์ถูกเปิดเผยในเว็บ No Ransom ของ Kaspersky แล้ว

เซิร์ฟเวอร์ที่ถูกยึด พบทั้งค่า IV, กุญแจเข้ารหัส, และกุญแจลับของบัญชีบิตคอยน์ ก่อนหน้านี้มีรายงานว่ามัลแวร์ทั้งสองตัวเข้ารหัสเครื่องคอมพิวเตอร์ไปอย่างน้อย 1,500 เครื่อง แต่กุญแจที่เปิดเผยออกมามีมากถึง 14,755 ชุด

ทาง Kaspersky ไม่ได้เปิดเผยกุญแจออกมาเป็นฐานข้อมูลตรงๆ แต่เปิดเป็นเครื่องมือถอดรหัสไฟล์ ถ้าใครเป็นเหยื่อเข้าไปอ่านวิธีใช้ได้ในเว็บ

ที่มา https://www.blognone.com/node/74303

ไวรัส CryptoLocker สามารถถอดรหัสได้แล้วครับ

2015-06-03T18:01:00.003+07:00

ที่มาจากเพจ https://www.facebook.com/hackandsecbook

"เราจะทำตามสัญญาขอเวลาอีกไม่นาน แล้วไฟล์ทั้งหลายจะคืนกลับมาาาาาา"
ก่อนหน้านี้เคยมีข่าวว่าคนที่เขียน CryptoLocker ปล่อย private key สำหรับการ decrypt ไฟล์ที่ถูกเข้ารหัส แล้วจะปล่อยเครื่องมือมาใช้ในการถอดรหัสไฟล์มาให้อีกที

มาวันนี้ปล่อยออกมาแล้วครับ สามารถ download ได้ตาม link (1) ตามที่แปะไว้ด้านล่างครับ มีคนลองแล้วด้วยว่าแก้ไขได้จริงๆ แถมตอนสุดท้ายหลังจาก decrypt เสร็จมีการขึ้นข้อความ "I'm sorryabout the encryption, your files are unlocked for free. Be good to the world and don't forget to smile smile emoticon"

งานนี้ไม่ทราบว่าทำไมคนเขียน CryptoLocker ถึงตัดสินใจทำแบบนี้ แต่ก็ถือว่าเยี่ยมไปเลยครับ

https://easysyncbackup.com/Downloads/LockerUnlocker.exe

http://www.bleepingcomputer.com/forums/t/577953/locker-developer-releases-private-key-database-and-3rd-party-decrypter-released/

http://www.bleepingcomputer.com/forums/t/578182/today-locker-ransomware-dev-decrypted-everyones-files-for-free/#entry3723675

ลองชั่งน้ำหนักดูละกันนะครับว่าจะลองใช้มั้ย(เห็นถามเข้ามากันเยอะ) เบื้องต้นตาม link ที่ให้ไว้ยังไม่มีคนไหนพบสิ่งผิดปกติครับ โดยส่วนตัวถ้าเป็นผมจะทำดังนี้
1. decrypt file ด้วยเครื่องมือนี้
2. backup file ทั้งหมด
3. wipe เครื่องใหม่หมด จากนั้นลง windows ใหม่

ปล. หากใครไม่ทราบ bitcoin address แล้วต้องการ decrypt ไฟล์(ยังไม่ได้ลง Windows ทับ)ให้ทำตามนี้ครับ
1. Download ShadowExplorer.
2. Export the file C:\ProgramData\rkcl\data.aa6 to any location. (Just access the file through Windows Explorer, if you haven't deleted the rkcl folder.)
3. Open the file in Notepad or similar.

http://www.bleepingcomputer.com/forums/t/577246/locker-ransomware-support-topic/page-33#entry3721707

มัลแวร์แนวแรนซั่มแวร์ (ransomware/cryptolocker) สามารถติดเครื่องที่เป็น Android ได้แล้ว

2015-05-26T20:48:00.001+07:00

จากเพจ https://www.facebook.com/longhackz

มัลแวร์แนวแรนซั่มแวร์ (ransomware/cryptolocker) เริ่มล่ามมาเครื่อง Android อีกแล้วครับล่าสุด Bitdefender ตรวจพบสแปมเมลจำนวนมากแนบไฟล์ที่อ้างว่าเป็นอัพเดทสำหรับ Flash Player ของ Andriod ให้ติดตั้ง เมื่อเหยื่อเผลอติดตั้งจะขึ้นหน้าจอ เตือนว่า FBI พบว่าเครื่องของคุณ "เคยใช้ดูหนังโป๊น่ะ" ต้องจ่ายเงินค่าไถ่ 16000 บาท เพื่อปลดล็อค แต่ถ้าไม่จ่ายเงินแล้วแอพพบว่า user มีความพยายามจะเข้าใช้เครื่องต่อ ค่าไถ่จะเพิ่มขึ้นถึงสามเท่า! โดยแรนซั่มแวร์ตัวนี้จะปิดทำการปุ่ม Home บนเครื่อง แต่โชคดีที่มันไม่ได้เข้ารหัสไฟล์ในเครื่องผู้ใช้สามารถใช้ adb เพื่อกู้กลับมาได้ครับ ใครจะเปิดไฟล์แนบจากอีเมลต้องสงสัยอาจตกเป็นเหยื่อได้ ถ้าได้รับอีเมลที่บอกให้เราต้องเปิดไฟล์แนบจากแหล่งที่มาไม่น่าเชื่อถือแนะนำให้ลบทิ้งครับ
ที่มา: http://www.net-security.org/malware_news.php?id=3046

รวมโปรแกรมถอดรหัสไวรัส cryptolocker

2015-05-06T19:09:00.001+07:00

โปรแกรมถอดรหัส cryptolocker

ให้ลองใช้โปรแกรมถอดรหัสเหล่านี้ดูก่อน เพราะว่าตัว cryptolocker มันมีหลายสายพันธุ์บางตัวอาจจะถอดรหัสได้ (แต่ก่อนอื่นต้อง remove ตัว มัลแวร์ออกก่อนครับ)

Anti Malware
- Malwarebytes' Anti-Malware

Decryptor
- decryptcryptolocker.com

Decryptor ของ kaspersky
- RectorDecryptor
to encrypted by Trojan-Ransom.Win32.Rector.

- XoristDecryptor
to decrypt files crypted by Trojan-Ransom.Win32.Xorist family (or Trojan-Ransom.MSIL.Vandev )

- RakhniDecryptor
to encrypted by Trojan-Ransom.Win32.Rakhni.

- RannohDecryptor
to encrypt files on a victim-computer by changing files' names and extensions.
Trojan-Ransom.Win32.Rannoh family

- ScatterDecryptor
to decrypt files crypted by Trojan-Ransom.BAT.Scatter.

- ScraperDecryptor
to decrypt files affected by the Trojan-Ransom.Win32.Scraper

ตรวจสอบไฟล์หรือเวปไซด์ที่ไม่แน่ใจก่อนเปิด
Virustotal.com

การแก้ปัญหา ไวรัส cryptowall

2015-05-05T10:00:00.001+07:00

การแก้ปัญหา ไวรัส cryptowall แชร์โดยคุณ ลมธรรม สมาชิกบอร์ดพันทิบครับ

เครื่องของแฟนผมใช้win7โดนเขัาไปวันที่17มค ไฟล์งานวิจัย ไฟล์งานที่เก็บไว้เปิดไม่ได้ทั้งหมด
รูปภาพ power point โดนเกลี้ยง แฟนผมร้องไห้เลยเพราะงานสะสมมากมาย แมัจะแบคอัพมาบ้างแล้ว
ในครั้งแรกตัดสินใจว่าคงต้องจ่ายค่าไถ่ แต่ก็หวั่นใจว่าจ่ายไปแล้วก็แก้ไม่ได้ เสียเงินเปล่า

หาในgoogle เจอกระทู้ในpantipกระทู้เดียว บอกว่าโดนเหมือนกัน
เจอแนวแก้ในกระทู้ของ ตปทเลยลองดู

ประเด็นสำคัญพบว่า
1 ไวรัสตัวนี้ฆ่าตายไม่ยาก โปรแกรมมัลแวร์ธรรมดาก็ใช้ได้แล้ว
2ความเสียหายคือไฟล์ถูกเข้ารหัสทั้งหมด แม้ฆ่าไวรัสไปแล้วก็ติดรหัสอยู่ดี
3ผมลองใช้ shadow explores กู้ข้อมูลดู ไม่น่าเชื่อ กู้กลับได้เกือบครบ
คือได้จนถึงวันที่11 มค ทำให้เราเสียข้อมูลไปไม่มาก

วิธีการใช้
1. หาdownload shadow explorer มาติดตั้งในเครื่องหลังฆ่าไวรัสไปแล้ว
2. เปิดโปรแกรม มันจะโชว์drive ที่มีในเครื่อง คือ c และอื่นพร้อมช่องวันที่

3. คลิกเลือกdrive แล้วคลิกช่องวันที่ (ของผมได้ถึง11 มค)มันจะแสดงข้อมูลระบบในวันนั้นๆออกมา
4. เลือกข้อมูลที่ต้องการ แล้วคลิกขวา มันจะโชว์คำว่า export
กดเลือกให้มันส่งไฟล์ไปที่ๆเราต้องการ(ของผมให้ส่งไป memory stick ที่ผมเสียบไว้) แล้วย้ายไฟล์ไปไว้ในอีกเครื่องหนึ่ง ค่อยๆย้ายไปเรื่อยจนหมด แล้วผมก็เตรียมลงwinใหม่เลย

ดีใจเลยรีบแบ่งปันครับ ไม่ทราบว่ามีใครแนะนำก่อนผมหรือยังถ้าซ้ำก็ขออภัยนะครับ
ขอขอบคุณท่านที่แนะนำให้ลองใช้ shadow explorer เป็นอย่างสูงครับ

ดาวน์โหลดไฟล์ที่นี่
shadowexplorer

อ่านกระทู้เพิ่มเติมได้ที่นี่ครับ
http://www.pantip.com/topic/3313431

ตัวอย่างวีดีโอวิธีการถอดรหัส CryptoLocker Ransomware

2015-05-05T09:37:00.001+07:00

ตัวอย่างวีดีโอวิธีการถอดรหัส CryptoLocker Ransomware

CryptoLocker Ransomware มีอยู่หลายสายพันธุ์ วิธีการนี้อาจจะใช้ไม่ได้กับทุกตัวครับ

มารู้จักกับไวรัส CryptoLocker

2015-05-04T16:45:00.001+07:00

CrytoLocker คือ Ransomware , Ransomware ก็คือ Malware ชนิดหนึ่งนั่นเอง

CryptoLocker เป็น Ransomware บนระบบปฏิบัติการ Windows โดยถูกเผยแพร่ผ่านทางไฟล์แนบในอีเมลหลอกลวง พร้อมกับแนบไฟล์ ZIP ซึ่งภายในมีไฟล์ EXE ที่ถูกปลอมแปลงว่าเป็นไฟล์ PDF หรือผ่านทางมัลแวร์ประเภทบอตเน็ตที่เคยถูกติดตั้งลงบนเครื่องของผู้ใช้มาก่อน หลักการทำงานโดยทั่วไปของ CryptoLocker นั้นคือทำการเข้ารหัสลับข้อมูลไม่ว่าจะเป็นไฟล์เอกสาร รูปภาพ และไฟล์ประเภทอื่น ๆ ในเครื่องคอมพิวเตอร์ของเหยื่อ จากนั้นจะขึ้นข้อความข่มขู่ให้ผู้ใช้ทำการชำระเงินภายในเวลาที่กำหนด ก่อนที่ข้อมูลทั้งหมดจะไม่สามารถถูกถอดรหัสลับได้อีกตลอดไป
ทั้งนี้ตัว CrytoLocker ยังสามารถแพร่ผ่านเครือข่ายที่ถูกแชร์ได้ด้วย (Map Drive)

CryptoLocker หลังจากที่ติดตั้งตัวเองลงในคอมพิวเตอร์แล้ว จะทำการดาวน์โหลด Public key ที่ใช้สำหรับเข้ารหัสลับ โดย Public key ที่ถูกดาวน์โหลดมานั้นใช้อัลกอริทึม RSA ที่มีความยาวถึง 2048 bits ซึ่งคอมพิวเตอร์ธรรมดาไม่มีทางที่จะถอดรหัสสุ่มหา Private key ได้เลย ทั้งนี้ RAS publickey นี้เพื่อเอามาครอบรหัสลับ Secret key ที่ใช้ในการเข้ารหัสลับข้อมูลในคอมพิวเตอร์ของเหยื่อจริง ๆ อีกทอดหนึ่ง โดย Secret key ดังกล่าวใช้อัลกอริทึม AES ความยาว 256 bits
สิ่งที่เราต้องการที่จะต้องจ่ายให้กับแฮกเกอร์คือตัว Private key นี่ล่ะ

ช่องทางการชำระเงินจะต้องจ่ายทาง Bitcoin (ตัวย่อ: BTC) ซึ่งเป็นสกุลเงินดิจิทัล

วิธีการชำระเงินนั้นจะเริ่มจากการให้ผู้ใช้อัพโหลดไฟล์ที่ถูกเข้ารหัสลับผ่านหน้าเว็บไซต์เพื่อทำการตรวจสอบหา Private key ที่ใช้ในการถอดรหัสลับ

หน้าต่างชำระเงินหลังจากเสร็จสิ้นการค้นหา Private key

วิธีการป้องกัน
- Backup ข้อมูลอย่างสม่ำเสมอ
- ติดตั้ง/อัปเดตโปรแกรมป้องกันไวรัส/มัลแวร์
- อัปเดตโปรแกรมอื่นๆ สม่ำเสมอ เช่น Java และ Adobe Reader
- อัปเดตระบบปฏิบัติการอย่างสม่ำเสมอ
- ไม่คลิกลิงก์หรือเปิดไฟล์ที่มาพร้อมกับอีเมลที่น่าสงสัย
- หากมีการแชร์ข้อมูลร่วมกันผ่านระบบเครือข่าย ให้ตรวจสอบสิทธิ์ในการเข้าถึงข้อมูลแต่ละส่วน และกำหนดสิทธิ์ให้ผู้ใช้มีสิทธิ์อ่านหรือแก้ไขเฉพาะไฟล์ที่มีความจำเป็นต้องใช้สิทธิ์เหล่านั้น
- ตั้งค่า Policy ของระบบปฏิบัติการ เพื่อป้องกันไม่ให้มัลแวร์สามารถทำงานตาม Directory หรือ Path ที่ระบุได้

สามารถอ่านแบบละเอียดได้ที่
https://www.thaicert.or.th/papers/technical/2013/pa2013te011.html

Ransomware และ Cryptolocker คืออะไร ป้องกัน-แก้ไขยังไงแบบเข้าใจง่าย ๆ ในรูปเดียว

2015-05-04T15:53:00.003+07:00

ทางเพจ สอนแฮกเว็บแบบแมวๆ https://www.facebook.com/longhackz ได้ทำ infographic เกี่ยวกับเจ้า Ransomware และ Cryptolocker คืออะไร ป้องกัน-แก้ไขยังไงแบบเข้าใจง่ายมาให้ดูกันครับ

ครั้งแรกที่รู้จักไวรัส Cryptolocker เรียกค่าไถ่

2015-05-04T10:24:00.003+07:00

ครั้งแรกที่รู้จักไวรัส Cryptolocker เรียกค่าไถ่

ผมเป็นคนที่เข้าบอร์ด thaiseoboard ประจำอยู่แล้ว มีอยู่วันนึง ก็มีสมาชิกในบอร์ด คุณ killrerb โพสขอความช่วยเหลือเรื่องโดนไวรัส Cyptolocker เรียกค่าไถ่ ต้องซื้อโปรแกรมถอดรหัสจากเขาเป็นเงิน 11,900 บาท หนำซ้ำถ้าเกินเวลาจะต้องจ่ายเงินเพิ่มอีก การจ่ายเงินก็จะต้องจ่ายในระบบ bitcoin เท่านั้นซึ่งไม่สามารถที่จะเรียกคืนหรือแจ้งระงับได้เหมือน paypal

(ขู่มาเป็นภาษาไทยเลยครับ)

ตามนี้ครับ http://www.thaiseoboard.com/index.php/topic,367987.0.html

ขู่มาเป็นภาษาไทยแบบไม่ผิดเพี้ยนแบบนี้ หรือว่าถูกปล่อยมาจากคนไทยเองนะน่าคิด .......

อาการเครื่องที่ติดไวรัส Cyptolocker

เจ้าของกระทู้คาดว่าน่าจะติดมาจากการไปลองดาวน์โหลดโปรแกรมในเน็ทมาติดตั้ง แล้วมีไวรัสแฝงอยู่ อาการเริ่มแรกคือ เครื่องจะทำงานช้าลงๆ หลังจาก restart เครื่องไปก็จะขึ้นหน้าจอเรียกค่าไถ่ ไฟล์ต่างๆก็ถูกเข้ารหัสหมดไม่สามารถใช้งานได้เลย ซึ่งถึงแม้เราย้ายข้อมูลไปไว้ที่อื่นก็ไม่สามารถเปิดได้

การแก้ไข
มีสมาชิกหลายๆท่านได้ช่วยแนะวิธีการต่างๆ บางสมาชิกแนะนำไว่าถ้าเป็นไฟล์งานที่สำคัญมากๆ ก็ให้จ่ายเงินไปจะคุ้มกว่า ถ้าไม่สำคัญก็ให้ format เครื่องไปเลย การแก้ไขเบื้องต้นทำได้เพียงใช้โปรแกรม remove เจ้าไวรัสตัวนี้ออกไป แต่ส่วนไฟล์ที่ถูกเข้ารหัสไว้จะไม่สามารถเปิดได้ ซึ่งเดี๋ยวผมจะรวบรวมแนวทางวิธีการถอดรหัสให้อีกทีครับ

ตัวอย่างคนที่จ่ายค่าไถ่แล้วใช้งานได้ (ทำไมถึงจับไม่ได้เสียทีพวกนี้)

ใครจะลอง Decrypt ไฟล์ลองดูที่นี่ครับ
https//www.decryptcryptolocker.com
http://support.kaspersky.com/viruses/utility

การป้องกันเบื้องต้น
- update antivirus, antimalware
- ให้สแกนไฟล์ที่แนบมากับอีเมล์ทุกครั้งก่อนเปิด ถ้าเป็นไฟล์นามสกุล exe ห้ามเปิดเด็ดขาด ไวรัสตัวนี้มักจะปลอมตัวคล้ายๆ PDF ซึ่งจริงๆแล้วคือ PDF.EXE
- อย่าเปิดไฟล์ที่ดาวน์โหลดมา ให้สแกนดูก่อน
- สำรองข้อมูลเป็นประจำ

นี่เป็นข้อมูลเบื้องต้นเกี่ยวกับเจ้าไวรัสเรียกค่าไถ่ Cryptolocker ส่วนในโพสถัดไปเราจะมาทำความรู้จักกับที่มาที่ไปของเจ้าไวรัสตัวนี้กันครับ

แหล่งข้อมูล
http://www.thaiseoboard.com/index.php/topic,367987.0.html
http://pantip.com/topic/3118876