Cortizol Ransomware

การติดมัลแวร์ยังคงเพิ่มขึ้นอย่างต่อเนื่องทั้งในด้านขนาดและความซับซ้อน ทำให้บุคคลและองค์กรจำเป็นต้องมีระบบป้องกันที่แข็งแกร่งในทุกอุปกรณ์ โดยเฉพาะอย่างยิ่งแรนซัมแวร์นั้นก่อให้เกิดความเสี่ยงร้ายแรง เพราะไม่เพียงแต่จะทำลายความลับของข้อมูลเท่านั้น แต่ยังขัดขวางการใช้งานโดยการล็อกไม่ให้ผู้ใช้เข้าถึงไฟล์ของตนเองอีกด้วย หนึ่งในภัยคุกคามที่ได้รับการวิเคราะห์เมื่อเร็ว ๆ นี้ซึ่งแสดงให้เห็นถึงอันตรายเหล่านี้คือ Cortizol Ransomware ซึ่งเป็นมัลแวร์เข้ารหัสไฟล์ที่ซับซ้อน ออกแบบมาเพื่อเรียกค่าไถ่จากเหยื่อผ่านการข่มขู่และการควบคุมทางเทคนิค

มัลแวร์เรียกค่าไถ่ Cortizol: แผนการเข้ารหัสที่วางแผนไว้ล่วงหน้า

มัลแวร์เรียกค่าไถ่ Cortizol ถูกค้นพบในระหว่างการตรวจสอบมัลแวร์อย่างละเอียดโดยนักวิจัยด้านความปลอดภัยสารสนเทศ เมื่อถูกเรียกใช้งานบนระบบ มัลแวร์เรียกค่าไถ่นี้จะเข้ารหัสไฟล์และเปลี่ยนชื่อไฟล์ในรูปแบบเฉพาะ ไฟล์ที่ถูกเข้ารหัสแต่ละไฟล์จะได้รับรหัสผู้เสียหาย ที่อยู่อีเมลสำหรับติดต่อ และนามสกุล '.Cortizol' ต่อท้าย ตัวอย่างเช่น ไฟล์ที่ชื่อเดิม '1.png' จะถูกเปลี่ยนชื่อเป็น '1.png-id-6640599815[cortizol@atomicmail.io].Cortizol' ในขณะที่ '2.pdf' จะกลายเป็น '2.pdf-id-6640599815[cortizol@atomicmail.io].Cortizol'

การเปลี่ยนชื่อไฟล์แบบนี้มีจุดประสงค์สองประการ คือ ประการแรก เป็นการส่งสัญญาณอย่างชัดเจนว่าไฟล์เหล่านั้นถูกยึดเป็นตัวประกัน และประการที่สอง เป็นการฝังรายละเอียดระบุตัวตนที่ผู้โจมตีใช้ในการติดตามเหยื่อ นอกจากการเข้ารหัสไฟล์แล้ว Cortizol ยังเปลี่ยนภาพพื้นหลังเดสก์ท็อปเพื่อเน้นย้ำการโจมตี และทิ้งข้อความเรียกค่าไถ่ชื่อ 'HOW_TO_RECOVER.txt' ไว้ เพื่อให้แน่ใจว่าเหยื่อไม่สามารถมองข้ามเหตุการณ์นี้ได้

จดหมายเรียกค่าไถ่และแรงกดดันทางจิตวิทยา

ข้อความเรียกค่าไถ่ระบุว่าไฟล์ทั้งหมดในระบบที่ถูกโจมตีถูกเข้ารหัสแล้ว และยืนยันว่าไม่สามารถถอดรหัสได้หากไม่มีรหัสส่วนตัวเฉพาะที่ผู้โจมตีถือครองอยู่ เหยื่อได้รับการเตือนว่าการพยายามใช้เครื่องมือถอดรหัสของบุคคลที่สามหรือการเปลี่ยนชื่อไฟล์ที่ถูกเข้ารหัสจะส่งผลให้ข้อมูลเสียหายอย่างถาวร คำเตือนดังกล่าวเป็นกลยุทธ์ทางจิตวิทยาที่ใช้กันทั่วไปเพื่อยับยั้งการพยายามกู้คืนข้อมูลด้วยตนเอง

Cortizol สั่งให้เหยื่อค้นหาไฟล์ชื่อ 'key.Cortizol' ซึ่งคาดว่าอยู่ในไดเร็กทอรี 'C:\ProgramData\' หรือไดรฟ์อื่นๆ แล้วส่งไฟล์นั้นให้ผู้โจมตี ข้อความดังกล่าวยังเตือนไม่ให้ติดตั้งหรือแก้ไขระบบปฏิบัติการ Windows ใหม่โดยไม่เก็บไฟล์คีย์นี้ไว้ เพราะอาจทำให้ข้อมูลสูญหายอย่างถาวรหากไม่ปฏิบัติตามคำแนะนำอย่างเคร่งครัด ช่องทางการติดต่อสื่อสาร ได้แก่ อีเมล cortizol@atomicmail.io
และบัญชี Telegram ที่ระบุชื่อว่า Cortizol2025 วิธีการติดต่อแบบหลายช่องทางนี้เพิ่มโอกาสที่เหยื่อจะให้ความร่วมมือมากขึ้น

แม้ว่าผู้โจมตีจะยืนยันว่าการซื้อรหัสส่วนตัวเป็นวิธีเดียวที่จะกู้คืนการเข้าถึงได้ แต่ประสบการณ์ในด้านความปลอดภัยทางไซเบอร์แสดงให้เห็นอย่างสม่ำเสมอว่าการจ่ายค่าไถ่ไม่ได้รับประกันว่าจะสามารถกู้คืนไฟล์ได้ อาชญากรไซเบอร์อาจไม่ส่งมอบเครื่องมือถอดรหัสที่ใช้งานได้ หรืออาจหยุดการติดต่อหลังจากได้รับการชำระเงินแล้ว

พาหะนำโรคและเทคนิคการนำส่งเชื้อ

มัลแวร์เรียกค่าไถ่ Cortizol แพร่กระจายโดยใช้วิธีการแจกจ่ายที่หลากหลายและเป็นที่รู้จักกันดี อีเมลฟิชชิ่งยังคงเป็นหนึ่งในกลไกการส่งที่ได้ผลมากที่สุด โดยมักจะมีไฟล์แนบที่เป็นอันตรายหรือลิงก์ฝังตัวที่กระตุ้นให้ดาวน์โหลดเพย์โหลด นอกจากนี้ การหลอกลวงด้วยแผนการให้ความช่วยเหลือทางเทคนิคปลอมและกลยุทธ์ทางสังคมยังเพิ่มโอกาสในการที่ผู้ใช้จะตกเป็นเหยื่ออีกด้วย

กลุ่มผู้คุกคามยังแพร่กระจายแรนซัมแวร์ผ่านซอฟต์แวร์ละเมิดลิขสิทธิ์ โปรแกรมแคร็ก และโปรแกรมสร้างรหัสที่ได้มาจากเครือข่ายการแชร์ไฟล์ที่ไม่เป็นทางการหรือแบบ Peer-to-Peer เว็บไซต์ที่ถูกบุกรุก โฆษณาหลอกลวง ไดรฟ์ USB ที่ติดไวรัส และการใช้ช่องโหว่ในซอฟต์แวร์ที่ล้าสมัยเป็นช่องทางเข้าถึงเพิ่มเติม โดยทั่วไปแล้ว เพย์โหลดที่เป็นอันตรายจะถูกซ่อนไว้ในไฟล์ปฏิบัติการ สคริปต์ ไฟล์บีบอัด เช่น ไฟล์ ZIP หรือ RAR หรือเอกสารที่ดูเหมือนถูกต้องตามกฎหมาย รวมถึงไฟล์ Word, Excel และ PDF การผสมผสานโค้ดที่เป็นอันตรายกับรูปแบบที่คุ้นเคยนี้ช่วยเพิ่มอัตราความสำเร็จของการติดไวรัส

ผลกระทบและความเสี่ยงหลังการติดเชื้อ

เมื่อ Cortizol ทำงานแล้ว มันจะไม่เพียงแต่เข้ารหัสไฟล์ที่เข้าถึงได้เท่านั้น แต่ยังอาจสแกนหาข้อมูลเพิ่มเติมเพื่อทำการโจมตีอีกด้วย หากปล่อยทิ้งไว้โดยไม่กำจัด มัลแวร์เรียกค่าไถ่นี้สามารถแพร่กระจายไปยังระบบที่เชื่อมต่อกันภายในเครือข่ายเดียวกัน ทำให้เกิดความเสียหายต่อการดำเนินงานและทางการเงินมากขึ้น ยิ่งมัลแวร์อยู่ในอุปกรณ์นานเท่าใด ความเสี่ยงของการเข้ารหัสที่ขยายวงกว้างและการติดตั้งเพย์โหลดรองก็จะยิ่งมากขึ้นเท่านั้น

โดยทั่วไปแล้ว การกู้คืนระบบโดยปราศจากคีย์ส่วนตัวของผู้โจมตีนั้นเป็นไปไม่ได้ เว้นแต่จะมีข้อมูลสำรองที่ปลอดภัยและไม่ได้รับผลกระทบ ด้วยเหตุนี้ องค์กรและผู้ใช้รายบุคคลที่มีข้อมูลสำรองแบบออฟไลน์หรือบนคลาวด์ที่เชื่อถือได้ จึงอยู่ในตำแหน่งที่ดีกว่ามากในการกู้คืนการดำเนินงานโดยไม่ต้องยอมจำนนต่อการเรียกร้องค่าไถ่

เสริมสร้างการป้องกันมัลแวร์เรียกค่าไถ่

การป้องกันภัยคุกคามอย่าง Cortizol อย่างมีประสิทธิภาพ จำเป็นต้องใช้แนวทางการรักษาความปลอดภัยแบบหลายชั้นที่ผสมผสานมาตรการป้องกันทางเทคนิคเข้ากับการตระหนักรู้ของผู้ใช้ แนวทางปฏิบัติต่อไปนี้จะช่วยลดความเสี่ยงต่อการติดมัลแวร์เรียกค่าไถ่ได้อย่างมาก:

• ทำการสำรองข้อมูลอัตโนมัติเป็นประจำ โดยจัดเก็บข้อมูลไว้แบบออฟไลน์หรือในสภาพแวดล้อมคลาวด์ที่ปลอดภัยซึ่งแยกต่างหากจากระบบหลัก
• หมั่นอัปเดตระบบปฏิบัติการ แอปพลิเคชัน และซอฟต์แวร์รักษาความปลอดภัยอยู่เสมอ เพื่อแก้ไขช่องโหว่ที่ทราบแล้ว
• ใช้โซลูชันการป้องกันปลายทางที่มีชื่อเสียงและสามารถตรวจจับรูปแบบพฤติกรรมของแรนซัมแวร์ได้
• หลีกเลี่ยงการดาวน์โหลดซอฟต์แวร์หรือไฟล์ละเมิดลิขสิทธิ์จากแหล่งที่ไม่เป็นทางการและเครือข่ายแบบ Peer-to-Peer
• โปรดใช้ความระมัดระวังเมื่อจัดการกับไฟล์แนบในอีเมลหรือคลิกลิงก์ โดยเฉพาะอย่างยิ่งจากผู้ส่งที่ไม่รู้จักหรือไม่คาดคิด
• ปิดใช้งานมาโครในเอกสาร Office เว้นแต่จำเป็นอย่างยิ่งและได้รับการตรวจสอบแล้วว่าปลอดภัย

นอกเหนือจากมาตรการเหล่านี้แล้ว การกำจัดแรนซัมแวร์ที่ตรวจพบอย่างรวดเร็วเป็นสิ่งสำคัญอย่างยิ่งในการป้องกันการเข้ารหัสไฟล์เพิ่มเติมหรือการแพร่กระจายในเครือข่าย ขั้นตอนการรับมือกับเหตุการณ์ควรประกอบด้วยการแยกระบบที่ได้รับผลกระทบออกจากเครือข่าย การสแกนหามัลแวร์อย่างละเอียด และการกู้คืนข้อมูลที่ปลอดภัยจากข้อมูลสำรองหากมี

มัลแวร์เรียกค่าไถ่ Cortizol แสดงให้เห็นว่ามัลแวร์เรียกค่าไถ่สมัยใหม่ผสมผสานกลไกการเข้ารหัสทางเทคนิคเข้ากับวิศวกรรมสังคมและแรงกดดันทางจิตวิทยา การรักษาความปลอดภัยเชิงรุกควบคู่ไปกับกลยุทธ์การสำรองข้อมูลที่เชื่อถือได้ ยังคงเป็นมาตรการรับมือที่มีประสิทธิภาพมากที่สุดต่อภัยคุกคามทางไซเบอร์ที่เปลี่ยนแปลงไปเช่นนี้