<span class="headnews"><strong><span style="font-size: medium;">นักวิจัยพบวิธีถอดรหัสลับกู้คืนไฟล์จากเครื่องที่ติด WannaCry ได้ <span style="color: #ff0000;">(ถ้ายังไม่รีสตาร์ท)</span></span></strong></span>

ตั้งแต่วันที่ 12 พฤษภาคม 2560 มัลแวร์เรียกค่าไถ่ WannaCry แพร่ระบาดทั่วโลกผ่านช่องโหว่ของบริการ SMB ใน Windows (อ่านเพิ่มเติม <a href="https://www.thaicert.or.th/alerts/user/2017/al2017us001.html">https://www.thaicert.or.th/alerts/user/2017/al2017us001.html</a>) ทาง Microsoft ได้ออกแพตช์แก้ไขช่องโหว่ที่ถูกมัลแวร์นำมาใช้ในการโจมตีให้กับระบบที่ได้รับผลกระทบ ตั้งแต่ Windows XP จนถึง Windows 10 (Microsoft แจ้งว่า Windows 10 ไม่ติดมัลแวร์ WannaCry)

นักวิจัยด้านความมั่นคงปลอดภัยจาก Quarkslab ได้วิเคราะมัลแวร์ WannaCry แล้วพบว่าถึงแม้มัลแวร์จะสามารถทำงานบน Windows XP ได้ แต่จะไม่ติดมัลแวร์แบบอัตโนมัติผ่านช่องโหว่ SMB (อย่างไรก็ตาม หากเป็นไปได้ก็ควรติดตั้งแพตช์แก้ไขช่องโหว่) อีกทั้งพบข้อจำกัดหรือข้อผิดพลาดในการทำงานของมัลแวร์บน Windows XP ทำให้ข้อมูลที่ใช้สร้างกุญแจสำหรับถอดรหัสลับนั้นยังคงอยู่ในหน่วยความจำ จึง "มีโอกาส" ที่จะสามารถกู้คืนไฟล์กลับมาได้

นักวิจัยได้พัฒนาเครื่องมือชื่อ Wannakey แจกให้ดาวน์โหลดไปใช้งานได้ฟรี (<a href="https://github.com/aguinet/wannakey">https://github.com/aguinet/wannakey</a>) โดยมีเงื่อนไขคือเครื่องที่จะกู้คืนข้อมูลสำหรับนำมาใช้สร้างกุญแจถอดรหัสลับนั้นต้องเป็น Windows XP ที่หลังจากติดมัลแวร์แล้วยังไม่มีการรีสตาร์ทเครื่อง และต้องใช้เครื่องมือนี้กู้คืนกุญแจโดยเร็วที่สุด เนื่องจากข้อมูลในหน่วยความจำอาจจะถูกเปลี่ยนแปลงหรือเขียนทับได้หากมีการใช้งานเครื่องต่อ

หลังจากนั้นไม่นาน นักวิจัยอีกรายหนึ่งได้นำไอเดียนี้ไปต่อยอดและค้นพบว่าในเครื่อง Windows 7 ที่ติดมัลแวร์ WannaCry ก็สามารถกู้คืนข้อมูลจากหน่วยความจำออกมาสร้างกุญแจถอดรหัสลับได้เช่นกัน โดยเครื่องมือนี้ชื่อ Wanakiwi (<a href="https://github.com/gentilkiwi/wanakiwi/releases">https://github.com/gentilkiwi/wanakiwi/releases</a>) ล่าสุดมีการอัปเดตเครื่องมือนี้ให้สามารถใช้งานได้กับระบบปฏิบัติการตั้งแต่ Windows XP และ Windows Server 2003 จนถึง Windows 7 และ Windows Server 2003

อย่างไรก็ตาม ถึงแม้จะมีเครื่องมือสำหรับกู้คืนไฟล์ได้โดยไม่ต้องจ่ายค่าไถ่ แต่เงื่อนไขการใช้งานก็มีจำกัดและไม่ได้รองรับระบบปฏิบัติการอื่นๆ ที่ได้รับผลกระทบ อีกทั้งผู้พัฒนามัลแวร์อาจออกเวอร์ชันใหม่ที่แก้ไขข้อผิดพลาดดังกล่าวแล้วในอนาคต ดังนั้นหากผู้ใช้หรือผู้ดูแลระบบยังมีเครื่องที่ยังไม่ได้ติดตั้งแพตช์แก้ไขช่องโหว่ความมั่นคงปลอดภัย ควรรีบดำเนินการโดยเร็ว และสำรองข้อมูลสำคัญอย่างสม่ำเสมอเพื่อลดผลกระทบจากความเสียหาย

<strong>ที่มา:</strong> <a href="http://thcert.co/Ti4bJP">Ars Technica</a> l <a href="http://thcert.co/tQrqcj">Wired</a> l <a href="http://thcert.co/9bfIHX">Comae</a> l <a href="https://www.thaicert.or.th/newsbite/2017-05-19-02.html#2017-05-19-02">ThaiCERT</a>