<h2>พบมัลแวร์เริ่มใช้ช่องโหว่ SMB เช่นเดียวกับ WannaCry ในการแพร่กระจายตัวเอง ควรรีบแพตช์</h2>
เมื่อกลางเดือนเมษายน 2560 กลุ่มแฮกเกอร์ Shadow Brokers ได้เผยแพร่ชุดเครื่องมือเจาะระบบที่อ้างว่าหลุดออกมาจากหน่วยงาน NSA ของสหรัฐฯ (ข่าวเก่า <a href="https://www.thaicert.or.th/newsbite/2017-04-18-01.html">https://www.thaicert.or.th/newsbite/2017-04-18-01.html</a>) โดยเครื่องมือที่ถูกเผยแพร่ออกมา หนึ่งในนั้นมี EternalBlue ซึ่งสามารถใช้โจมตีช่องโหว่ระบบ SMB ใน Windows เพื่อฝังมัลแวร์ได้ หลังจากที่เครื่องมือดังกล่าวถูกเผยแพร่ออกมาได้ไม่ถึง 1 สัปดาห์ ก็มีการนำมาใช้โจมตีเครื่องคอมพิวเตอร์ทั่วโลกกว่า 10,000 เครื่องแล้ว (ข่าวเก่า <a href="https://www.thaicert.or.th/newsbite/2017-04-24-01.html">https://www.thaicert.or.th/newsbite/2017-04-24-01.html</a>)

หนึ่งเดือนต่อมา ผู้ประสงค์ร้ายได้อาศัยช่องโหว่ SMB มาใช้แพร่กระจายมัลแวร์เรียกค่าไถ่ WannaCry ซึ่งทำให้คอมพิวเตอร์กว่า 200,000 เครื่องทั่วโลกถูกโจมตี (บทความ <a href="https://www.thaicert.or.th/alerts/user/2017/al2017us001.html">https://www.thaicert.or.th/alerts/user/2017/al2017us001.html</a>) เนื่องจากช่องโหว่นี้มัลแวร์สามารถแพร่กระจายตัวเองได้ผ่านระบบเครือข่ายโดยที่ไม่จำเป็นต้องมีการกระทำใดๆ จากผู้ใช้

ถึงแม้สถานะการแพร่ระบาดของมัลแวร์เรียกค่าไถ่ WannaCry จะเริ่มลดลงตามลำดับ แต่เครื่องคอมพิวเตอร์ที่มีช่องโหว่ SMB และยังไม่ได้อัปเดตแพตช์ก็ยังคงถูกใช้งานอยู่ นั่นทำให้ยังมีความเสี่ยงที่จะถูกโจมตีจากมัลแวร์อื่นได้ โดยมีรายงานการแพร่กระจายมัลแวร์ EternalRocks และ Adylkuzz ที่แพร่กระจายโดยใช้ช่องทางเดียวกัน (ข่าวเก่า <a href="https://www.thaicert.or.th/newsbite/2017-05-22-02.html">https://www.thaicert.or.th/newsbite/2017-05-22-02.html</a>)

เมื่อต้นเดือนมิถุนายน 2560 บริษัท FireEye ได้รายงานการแพร่ระบาดของมัลแวร์ Nitol และ Gh0st RAT ซึ่งทั้งคู่เป็นมัลแวร์ประเภทโทรจันที่เปิดให้ผู้ประสงค์ร้ายสามารถเชื่อมต่อเข้ามาควบคุมเครื่องคอมพิวเตอร์ของเหยื่อได้จากระยะไกล (Remote Access Trojan - RAT) ที่อาศัยช่องโหว่ SMB ในการแพร่กระจายเช่นเดียวกัน ปัจจุบันยังไม่มีรายงานจำนวนเครื่องที่ได้รับผลกระทบจากมัลแวร์เหล่านี้

เนื่องจากช่องโหว่ SMB นั้นเปิดโอกาสให้ผู้ประสงค์ร้ายสามารถสั่งติดตั้งมัลแวร์ใดๆ ก็ได้ลงในเครื่องของเหยื่อ ทำให้โอกาสเกิดความเสียหายมีมากกว่าแค่มัลแวร์เรียกค่าไถ่เพียงอย่างเดียว (เช่น ขโมยข้อมูลสำคัญที่เป็นความลับ หรือทำลายข้อมูลทั้งหมดในระบบแบบไม่ให้กู้คืนได้) ผู้ใช้ทั่วไป หรือผู้ดูแลระบบ ที่ยังไม่ได้อัปเดตแพตช์ Windows รวมถึงไม่ได้ตั้งค่าป้องกันการโจมตีผ่านพอร์ต SMB ควรพิจารณาความเสี่ยงและวางแผนป้องกันความเสียหาย โดยสามารถศึกษาข้อมูลเพิ่มเติมได้จากบทความ WannaCry ของไทยเซิร์ต

<strong>ที่มา:</strong> <a href="http://thcert.co/WkbBuJ">Threatpost</a> l <a href="http://thcert.co/75nYnZ">FireEye</a> l <a href="https://www.thaicert.or.th/newsbite/2017-06-05-02.html#2017-06-05-02">ThaiCERT</a>