<h1>อย่าป้องกันแค่ WannaCry พบมัลแวร์ตัวใหม่ใช้ช่องโหว่ SMB โจมตีแบบเดียวกัน แพตช์ด่วน</h1>
หลังจากที่มัลแวร์ WannaCry แพร่ระบาดอย่างหนักตั้งแต่เมื่อช่วงกลางเดือนพฤษภาคม 2560 (<a href="https://www.thaicert.or.th/alerts/user/2017/al2017us001.html">https://www.thaicert.or.th/alerts/user/2017/al2017us001.html</a>) ซึ่งมัลแวร์ดังกล่าวโจมตีผ่านช่องโหว่ของระบบ SMB ใน Windows โดยเป็นช่องโหว่ที่ถูกเปิดเผยออกมาพร้อมกับเครื่องมือโจมตีที่หลุดมาจากหน่วยงาน NSA ของสหรัฐอเมริกา ถึงแม้ทาง Microsoft จะออกแพตช์แก้ไขช่องโหว่นี้ให้กับ Windows ทุกเวอร์ชันที่ได้รับผลกระทบแล้ว แต่ก็ยังมีคอมพิวเตอร์จำนวนมากที่ยังไม่ได้อัปเดตและตกเป็นเหยื่อมัลแวร์ WannaCry อยู่

นักวิจัยด้านความมั่นคงปลอดภัยประเมินว่า จากความสำเร็จของ WannaCry ผู้ประสงค์ร้ายอาจเลียนแบบพฤติกรรมใช้ช่องทางเดียวกันนี้ในการโจมตีระบบเครื่องคอมพิวเตอร์ หลังจากนั้นไม่นาน ก็เริ่มพบมัลแวร์ที่อาศัยการแพร่กระจายผ่านช่องโหว่ SMB แบบเดียวกัน โดยพบมัลแวร์ EternalRocks ที่โจมตีและแพร่กระจายตัวเองติดในเครื่องเหยื่อเพื่อใช้ในการควบคุม พบมัลแวร์ Adylkuzz ที่ฝังตัวในเครื่องเหยื่อแล้วแอบใช้เครื่องขุด bitcoin รวมถึงพบการใช้ช่องโหว่ SMB ในการแพร่กระจายโทรจันที่สามารถเชื่อมต่อเข้าไปควบคุมเครื่องได้ เป็นต้น

เนื่องจากเครื่องมือที่หลุดออกมาจาก NSA ที่ถูกเผยแพร่ไปตั้งแต่กลางเดือนเมษายนนั้น ตัวเครื่องมือสามารถใช้โจมตีและฝังมัลแวร์ลงในเครื่องคอมพิวเตอร์ใดๆ ก็ได้ที่ไม่อัปเดตแพตช์ความมั่นคงปลอดภัย (<a href="https://www.thaicert.or.th/newsbite/2017-04-24-01.html">https://www.thaicert.or.th/newsbite/2017-04-24-01.html</a>) ผู้ใช้ทั่วไปและดูแลระบบ ควรตระหนักถึงปัญหาของการไม่อัปเดตแพตช์ ซึ่งจะส่งผลกระทบด้านความมั่นคงปลอดภัยอีกมาก ไม่ใช่เฉพาะแค่การติดมัลแวร์เรียกค่าไถ่อย่างเดียว

ข้อแนะนำในการป้องกัน
<ul>
 	<li>อัปเดต Windows และแอนติไวรัสให้เป็นเวอร์ชันล่าสุด</li>
 	<li>หยุดใช้งาน Windows XP และ Windows Server 2003 หรือหากไม่สามารถทำได้ ควรแยกออกจากระบบเครือข่ายหลัก ไม่นำเชื่อมต่อกับอินเทอร์เน็ต</li>
 	<li>ตรวจสอบการโจมตีพอร์ต SMB SMB (TCP 137, 139 และ 445 UDP 137 และ 138) อาจพิจารณาบล็อกการเชื่อมต่อ SMB จาก IP ภายนอก</li>
 	<li>พิจารณาปิดการใช้งาน SMBv1 หากไม่จำเป็น</li>
</ul>
<strong>ที่มา:</strong> <a href="http://thcert.co/T3Z2Ri">Bleeping Computer</a> l <a href="http://thcert.co/26QV0v">Proofpoint</a> l <a href="https://www.thaicert.or.th/newsbite/2017-05-22-01.html#2017-05-22-01"><b>ThaiCERT</b></a>