ไม่ใช่ชื่อการ์ตูนดัง แต่มันจะมาเรียกค่าไถ่คุณ! พบแรนซัมแวร์ตัวใหม่ Eldorado เล็งไถเงินคนใช้ Windows และ Linux

Eldorado เป็นภาษสเปนที่หมายถึงสถานที่ที่มีขุมทรัพย์มหาศาล และยังเป็นชื่อการ์ตูนตามหาดินแดนมหาสมบัติที่โด่งดังของดิสนีย์ด้วย แต่สำหรับกรณีนี้ สมบัติที่มากมายไม่ได้อยู่ที่ไหน แต่คือตัวเหยื่อที่เป็นบ่อเงินบ่อทองให้เหล่าแฮกเกอร์ได้ขุดเล่น

จากรายงานข่าวโดยเว็บไซต์ The Hacker News ได้รายงานถึงการปรากฎตัวของมัลแวร์ประเภทมัลแวร์สำหรับการเรียกค่าไถ่ (Ransomware) ในช่วงเดือนมีนาคมที่ผ่านมา โดยแรนซัมแวร์ตัวดังกล่าวนั้นมีชื่อว่า Eldorado ซึ่งเป็นแรนซัมแวร์ประเภทที่แฮกเกอร์สามารถซื้อมาใช้ในการโจมตีของตนได้ (Ransomware-as-a-Service หรือ RaaS) โดยทีมวิจัยด้านความปลอดภัยไซเบอร์จากบริษัท Group-IB ได้พบการมีอยู่ของแรนซัมแวร์ตัวดังกล่าว หลังจากที่ได้เข้าแทรกซึมเข้าสู่เว็บบอร์ดของ RAMP ซึ่งเป็นกลุ่มอาชญากรรมไซเบอร์จากรัสเซีย และได้พบการโพสต์โฆษณาแรนซัมแวร์ Eldorado เพื่อหาสมาชิกมาเข้าร่วม Affiliate Program กับผู้พัฒนามัลแวร์ อยู่บนเว็บบอร์ดดังกล่าว

สำหรับตัวแรนซัมแวร์ Eldorado นั้นถูกพัฒนาขึ้นอยู่บนพื้นฐานของภาษา Golang มีความสามารถในการทำงานแบบ Cross-platform ทั้งบนระบบปฏิบัติการ Windows และ Linux ซึ่งเทคโนโลยีสำหรับการเข้ารหัสไฟล์ของเครื่องเหยื่อเพื่อจับเป็นตัวประกันนั้น ตัวมัลแวร์ได้ใช้ระบบการเข้ารหัสแบบ ChaCha20 และ ใช้ระบบ Rivest Shamir Adleman-Optimal Asymmetric Encryption Padding (RSA-OAEP) สำหรับกุญแจถอดรหัส ซึ่งเครื่องมือสำหรับการเข้ารหัสของมัลแวร์ตัวนี้จะถูกแบ่งออกเป็น 4 รูปแบบตามระบบปฏิบัติการของเหยื่อที่เป็นเป้าหมาย คือ esxi, esxi_64, win, และ win_64 

นอกจากความสามารถในการล็อกไฟล์บนเครื่องของเหยื่อแบบแรนซัมแวร์ทั่วไปแล้ว ตัว Eldorado ยังสามารถล็อกไฟล์ที่แชร์กันอยู่ในเครือข่ายของเหยื่อได้ด้วยการใช้ระบบ Server Message Block (SMB) Protocol ได้อีกด้วย ซึ่งหมายความว่า ถ้าองค์กรใดติดแรนซัมแวร์ตัวดังกล่าว ความเสียหายจากแรนซัมแวร์จะแพร่กระจายไปทั่วทั้งองค์กรได้โดยง่ายผ่านทางไฟล์แชร์ อีกทั้งตัวแรนซัมแวร์ดังกล่าวยังสามารถกลบข้อมูลที่มาที่ไปด้วยการใช้คำสั่ง PowerShell เพื่อเขียนทับไฟล์ Locker ก่อนที่จะลบไฟล์ดังกล่าวทิ้ง อีกด้วย

ปัจจุบัน ได้มีรายงานถึงจำนวนของเหยื่อที่ประสบภัยจากแรนซัมแวร์ตัวดังกล่าวแล้วถึง 16 ราย จากหลากอุตสาหกรรมไม่ว่าจะเป็นอสังหาริมทรัพย์, การศึกษา, บริการทางสุขภาพ, การผลิต และบริการต่าง ๆ โดยเหยื่อ 13 รายนั้นอาศัยอยู่ในประเทศสหรัฐอเมริกา 2 ราย อาศัยอยู่ในประเทศอิตาลี และ รายสุดท้ายอาศัยอยู่ในประเทศโครเอเชีย 

ภาพจาก https://www.bleepingcomputer.com/news/security/new-eldorado-ransomware-targets-windows-vmware-esxi-vms/

ทั้งนี้ แหล่งข่าวไม่ได้เปิดเผยว่า แรนซัมแวร์ดังกล่าวเข้าถึงตัวเหยื่อได้อย่างไร หรือแฮกเกอร์ใช้วิธีการหลอกลวงเหยื่ออย่างไรเพื่อให้ติดตั้งแรนซัมแวร์ลงสู่เครื่อง ดังนั้น ขอให้ทุกธุรกิจอยู่ในความไม่ประมาทด้วยการไม่เปิดไฟล์ใด ๆ ที่ได้รับจากบุคคลที่ไม่น่าไว้วางใจก่อนมีการตรวจสอบ จะเป็นมาตรการพื้นฐานที่อาจช่วยได้ไม่มากก็น้อย