FBI ประกาศความสำเร็จในการยึดเงินค่าไถ่ข้อมูลที่บริษัท Colonial Pipeline จ่ายให้กับกลุ่มมัลแวร์ DarkSide เพื่อกู้ข้อมูล ได้บิตคอยน์กลับมา 63.7BTC จากที่จ่ายไปทั้งหมด 75BTC

ทาง Colonial Pipeline จ่ายบิตคอยน์รวม 75BTC ไปยังบัญชีที่ลงท้ายว่า jc9fr เมื่อวันที่ 8 พฤษภาคมที่ผ่านมา รวมมูลค่า 4.4 ล้านดอลลาร์หรือกว่า 130 ล้านบาท ทาง FBI ติดตามเงินก้อนนี้และพบว่าเงินถูกกระจายไปเรื่อยๆ FBI ไม่เปิดเผยว่าใช้เทคนิคอะไรจึงยึดเงินก้อนนี้ได้ แต่ระบุว่าสามารถดึงเงินเข้าบัญชีลงท้ายว่า fsegq ที่กุญแจอยู่กับ FBI ได้สำเร็จในวันที่ 27 พฤษภาคมที่ผ่านมา

กระทรวงยุติธรรมสหรัฐฯ ประกาศแนวทางสอบสวนคดีมัลแวร์เรียกค่าไถ่ (ransomware) ให้เท่ากับการก่อการร้าย หลังสหรัฐฯ ถูกโจมตีท่อส่งน้ำมันหลักจนเศรษฐกิจปั่นป่วน

Colonial Pipline บริษัทผู้ดูแลท่อส่งน้ำมันฝั่งตะวันออกของสหรัฐฯ จ่ายค่าไถ่ข้อมูลไปทั้งสิ้น 5 ล้านดอลลาร์เพื่อกู้ระบบ

กลุ่มธุรกิจที่ถูกจับตาเป็นพิเศษจากแนวทางการสอบสวนใหม่ ได้แก่ ธุรกิจหลบเลี่ยงโปรแกรมป้องกันไวรัส, เว็บบอร์ดใต้ดิน, ตลาดค้าเงินคริปโต, บริการโฮสต์เว็บแบบป้องกันลูกค้าจากกฎหมาย (bulletproof hosting), บริการ botnet, และบริการฟอกเงิน

สำนักข่าว Bloomberg อ้างแหล่งข่าวไม่เปิดเผยตัวตนระบุว่า CNA Financial Corp บริษัทประกันรายใหญ่ในสหรัฐฯ จ่ายค่าไถ่ข้อมูลรวมมูลค่าถึง 40 ล้านดอลลาร์หรือประมาณ 1,200 ล้านบาทเมื่อเดือนมีนาคมที่ผ่านมา หลังจากถูกมัลแวร์เข้ารหัสเรียกค่าไถ่ Phoenix Locker โจมตี

ทาง CNA ระบุว่าได้แจ้งถึงการโจมตีต่อ FBI แล้ว และทำตามกฎหมายที่เกี่ยวข้อง แต่ไม่แสดงความเห็นต่อกรณีการจ่ายค่าไถ่ข้อมูล แต่แหล่งข่าวระบุกับ Bloomberg ว่าแฮกเกอร์เรียกค่าไถ่เริ่มต้น 60 ล้านดอลลาร์หรือ 1,800 ล้านบาท ก่อนจะต่อรองในสัปดาห์ต่อมาจนเหลือ 40 ล้านดอลลาร์หรือ 1,200 ล้านบาท

กลุ่มมัลแวร์เข้ารหัสเรียกค่าไถ่ DarkSide ที่ถูกระบุว่าเป็นผู้แฮกบริษัท Colonial Pipeline ผู้ส่งน้ำมันรายใหญ่ของสหรัฐฯ ปิดเซิร์ฟเวอร์ที่ใช้ประกาศข่าวและเซิร์ฟเวอร์ที่ใช้รับเงินจากเหยื่อ พร้อมกันนั้นบัญชีบิตคอยน์ที่ใช้รับค่าไถ่ก็ถูกโอนออกไปจนหมด โดยยังไม่มีรัฐบาลชาติใดประกาศความสำเร็จในการเข้ายึดครั้งนี้

สาธารณรัฐไอร์แลนด์ประกาศระงับการให้บริการไอทีสำหรับสาธารณสุข เนื่องจากทางหน่วยงานตรวจพบ ransomware หรือมัลแวร์เรียกค่าไถ่ในระบบ จึงสั่งการระงับการให้บริการไว้ก่อนเพื่อตรวจสอบให้ระบบมีความพร้อมก่อนที่จะเปิดให้บริการต่อไป

กระทรวงคมนาคมสหรัฐฯออกมาตรการฉุกเฉินหลังบริษัท Colonial Pipeline ผู้ดูแลท่อส่งน้ำมันหลักของสหรัฐฯ ถูกแฮกและยังไม่สามารถกู้ระบบกลับมาได้ ทำให้บริษัทไม่สามารถส่งน้ำมันออกจากโรงกลั่นในเท็กซัสไปยังรัฐอื่นๆ คำสั่งนี้เปิดทางให้บริษัทน้ำมันสามารถส่งน้ำมันทางรถได้โดยไม่ติดกฎระเบียบตามปกติ

ตอนนี้น้ำมันกลั่นแล้วไม่สามารถส่งไปยังผู้ใช้ปลายทางได้ และหากไม่สามารถเปิดท่อส่งน้ำมันภายในวันอังคารนี้ ผลกระทบจะเริ่มไปถึงรัฐนิวยอร์ค ส่วนทาง Colonial ระบุว่าตอนนี้ท่อส่งน้ำมันหลักของบริษัทนั้นปิดทำการ แต่ยังมีท่อย่อยๆ แบบจุดต่อจุดที่บริษัทดูแลนั้นยังใช้งานได้ตามปกติ

Qualys บริษัทความปลอดภัยไซเบอร์ที่เป็นที่รู้จักจากบริการ SSL Labs ถูกแฮกเกอร์กลุ่ม CLOP ransomware เจาะเซิร์ฟเวอร์ Accellion FTA ด้วยช่องโหว่ zero-day ทำให้แฮกเกอร์ได้ไฟล์ออกไป และเริ่มโพสตัวอย่างไฟล์บางส่วนในเว็บ Tor เป็นไฟล์เอกสารสั่งซื้อ, เอกสารภาษี, และข้อตกลงการใช้งานกับลูกค้าของ Qualys

FBI ประกาศการจับกุม Sebastien Vachon-Desjardins ชายชาวแคนาดาที่ถูกระบุว่าเป็นผู้อยู่เบื้องหลังมัลแวร์เข้ารหัสเรียกค่าไถ่ NetWalker หลังสามารถติดตามเว็บที่ซ่อนไอพีอยู่หลังเครือข่าย Tor

NetWalker เป็นมัลแวร์ที่มีความสามารถสูง มันจะไม่เข้ารหัสเครื่องของเหยื่อทันทีแต่ค่อยๆ เจาะระบบไปเรื่อยๆ จนกว่าผู้ควบคุมจะพอใจว่าได้ข้อมูลมากพอ บางครั้งอาจจะเจาะระบบของเหยื่อไปนานหลายสัปดาห์จึงเข้ารหัสและทิ้งข้อความเรียกค่าไถ่ ตัวมัลแวร์เองเป็นบริการ Ransomware-as-a-Service ที่เปิดให้คนร้ายไปหาเหยื่อเพื่อปล่อยมัลแวร์เข้าไปในองค์กร หากได้ค่าไถ่ก็จะแบ่งกันระหว่างผู้พัฒนามัลแวร์กับคนที่หาเหยื่อมาได้

กลุ่มโรงเรียนใน Baltimore County หรือ Baltimore County Public Schools (BCPS) ในรัฐแมรีแลนด์โดนโจมตีจากมัลแวร์เรียกค่าไถ่ที่ทำให้ระบบเครือข่ายภายในโรงเรียนต้องหยุดทำงาน ส่งผลกระทบถึงระบบไอทีของโรงเรียนไม่สามารถให้บริการได้ กระทบตั้งแต่อีเมล, ระบบเกรด ไปจนถึงเว็บไซต์ (ณ ตอนที่เขียนข่าวนี้ เว็บไซต์ของโรงเรียนก็ยังไม่สามารถใช้งานได้)

Mychael Dickerson หัวหน้าพนักงานของ BCPS ยืนยันผ่านทวิตเตอร์ว่าเหตุการณ์ที่ระบบไอทีใช้งานไม่ได้นี้คาดว่าจะเกิดจากการโจมตีโดยมัลแวร์เรียกค่าไถ่ ซึ่งตอนนี้ทีมเทคโนโลยีของ BCPS กำลังเร่งแก้ไขสถานการณ์นี้

Capcom ออกมายอมรับว่าโดนการโจมตี ransomware ในระบบไอทีของบริษัท ส่งผลให้ข้อมูลส่วนตัวของลูกค้า-พนักงาน-อดีตพนักงาน-ผู้ถือหุ้น รั่วไหลประมาณ 350,000 รายการ

ข้อมูลที่รั่วไหลแตกต่างกันตามแต่ละภูมิภาคและชนิดของบุคคล มีทั้งชื่อ อีเมล วันเกิด ที่อยู่ หมายเลขโทรศัพท์ และวันเกิด แต่ไม่มีข้อมูลบัตรเครดิตที่ Capcom ไม่ได้เก็บรักษาไว้เองตั้งแต่ต้น

นอกจากข้อมูลของบุคคลแล้ว ยังมีไฟล์เอกสารทางธุรกิจของ Capcom รั่วไหลออกมาด้วย ซึ่งมีทั้งตัวเลขยอดขาย ข้อมูลการพัฒนาเกม และข้อมูลของพาร์ทเนอร์ธุรกิจ

Campari Group บริษัทผู้ผลิตเครื่องดื่มในอิตาลีถูกมัลแวร์เข้ารหัสเรียกค่าไถ่ของกลุ่ม Ragnar Locker Team โจมตีตั้งแต่วันที่ 1 พฤศจิกายนที่ผ่านมา แต่หลังจากปิดระบบไอทีเพื่อรับมือ ก็เริ่มมีผู้ใช้เฟซบุ๊กรายงานว่าเห็นโฆษณาประจานทาง Campari ว่าถูกแฮกข้อมูลออกไป

ก่อนหน้านี้ Campari เคยแถลงว่ายังไม่สามารถยืนยันได้ว่ามีข้อมูลหลุดออกไปจากบริษัทขณะที่ถูกมัลแวร์โจมตีจริงหรือไม่ แต่โฆษณาจากแฮกเกอร์กลับระบุว่าบริษัทโกหกและข้อมูลมากกว่า 2TB ถูกขโมยออกไปแล้วแน่นอน พร้อมกับเรียกร้องให้ Campari ยอมจ่ายค่าไถ่เสีย ไม่เช่นนั้นจะเปิดเผยไฟล์ออกมา

US-CERT ออกรายงานแจ้งเตือนว่ากลุ่มคนร้ายที่อยู่เบื้องหลังมัลแวร์ Trickbot กำลังไล่โจมตีโรงพยาบาลและสถานพยาบาลอื่นด้วยมัลแวร์เรียกค่าไถ่ Ryuk โดยล่าสุดพบว่ากลุ่มแฮกเกอร์นี้พัฒนา Anchor_DNS เครื่องมือสร้าง tunel ขโมยข้อมูลออกโลกภายนอกด้วย DNS

ทาง CNN อ้างเจ้าหน้าที่ในรัฐบาลโดยไม่เปิดเผยชื่อ ระบุว่ามีโรงพยาบาลหลายแห่งถูกโจมตีในช่วงสองวันที่ผ่านมา และทาง FBI กำลังเข้าไปสอบสวนเรื่องนี้ โดยก่อนหน้านี้กลุ่มโรงพยาบาล Universal Health Services ก็ถูกโจมตีไปก่อนแล้ว และตอนนี้กลุ่มโรงพยาบาล St. Lawrence Health Systems และศูนย์การแพทย์ Sky Lakes ก็เพิ่งถูกโจมตีไป

สำนักงานพัฒนาธุรกรรมทางอิเล็กทรอนิกส์ หรือ ETDA ประกาศแนวปฏิบัติในการรับมือเหตุการณ์ภัยคุกคามทางไซเบอร์เกี่ยวกับมัลแวร์เรียกค่าไถ่ (Ransomware) สำหรับหน่วยงานรัฐ โดยกำหนดแนวทางไว้กว้างๆ เช่น

Universal Health Services (UHS) เครือโรงพยาบาลในสหรัฐฯ และสหราชอาณาจักรถูก ransomware โจมตีจนทำให้ไม่สามารถใช้ระบบคอมพิวเตอร์ใดๆ ได้อีก และตอนนี้เจ้าหน้าที่ทั้งหมดต้องกลับไปใช้ระบบแมนนวล กรอกเอกสารผ่านกระดาษและส่งผลจากห้องปฏิบัติการทางโทรศัพท์ และเจ้าหน้าที่ไม่สามารถเข้าถึงข้อมูลย้อนหลังที่อยู่ในคอมพิวเตอร์ได้

ทาง UHS ออกแถลงยอมรับว่าปิดระบบไอทีทั้งหมดจากปัญหาความมั่นคงปลอดภัยของระบบไอที และกำลังใช้กระบวนการสำรองในการทำงาน โดยยืนยันว่าคนไข้ได้รับการรักษาอย่างมีประสิทธิผลและปลอดภับ และไม่มีข้อมูลพนักงานหรือข้อมูลคนไข้หลุดออกไปแต่อย่างใด

แม้โรงพยาบาลสระบุรีที่ถูก ransomware โจมตี จะไม่ได้มีเหตุการณ์ร้ายแรงใด ๆ แต่กับเหตุที่เพิ่งเกิดกับโรงพยาบาลมหาวิทยาลัยดุสเซลดอร์ฟ (Düsseldorf University Hospital) ในเยอรมนีถึงกับทำให้มีผู้ป่วยเสียชีวิตเลย

สำนักข่าว AP และสำนักข่าวท้องถิ่นเยอรมนีรายงานว่าโรงพยาบาลมหาวิทยาลัยดุสเซลดอร์ฟจำเป็นต้องปฏิเสธการรับรักษาผู้ป่วยสตรี (ที่น่าจะอยู่ในอาการสาหัสหรือฉุกเฉินพอสมควร) เธอเลยต้องไปอีกโรงพยาบาลนอกเมืองที่ห่างไปราว 30 กิโลเมตร ก่อนจะเสียขีวิต เพราะถึงมือหมอช้าไปรวมแล้วราว 1 ชม.

จากงานแถลงข่าว Cisco ลงนามความร่วมมือกับคณะแพทยศาสตร์ มช. พัฒนา Telehealth ผู้สื่อข่าวได้ถามเพิ่มเติมกรณีโรงพยาบาลสระบุรีถูก Ransomware โจมตี ผศ.นพ. ภาสกร สวัสดิรักษ์ รอง ผอ. โรงพยาบาลมหาราชนครเชียงใหม่ เผยว่า ช่วงปลายปี 2019 ที่ผ่านมา ทางโรงพยาบาลเองก็เคยถูก Ransomware โจมตีเช่นกัน แต่ไม่เกิดความเสียหายใดๆ ในตอนนั้น

เมื่อวันจันทร์ที่ผ่านมาโรงพยาบาลสระบุรีประกาศว่าระบบคอมพิวเตอร์ขัดข้องจนกระทั่งไม่สามารถใช้งานได้ ทำให้ทางโรงพยาบาลต้องขอให้ผู้มารับบริการนำเอกสาร รวมถึงรายการยาเดิมและตัวยาเดิมมารับบริการด้วย

คุณ Jarinya Jupanich แพทย์ที่โรงพยาบาลโพสเปิดเผยว่าสาเหตุเกิดจากระบบคอมพิวเตอร์ถูกมัลแวร์เรียกค่าไถ่โจมตี ทำให้ข้อมูลสูญหาย และไฟล์สำรองที่มีอยู่ไม่ถึงปัจจุบัน คาดว่ามัลแวร์ที่ติดมาเป็น VoidCrypt (.spade)

ช่วงสัปดาห์ที่ผ่านมาคนส่วนมากคงให้ความสนใจกับเหตุแฮก Garmin ที่บริษัทยืนยันว่าเป็นมัลแวร์เข้ารหัสเรียกค่าไถ่ (แม้ไม่ได้บอกตรงๆ แต่บอกว่าถูกโจมตีโดยเข้ารหัสข้อมูล) แต่ช่วงเดียวกันนั้นอีกบริษัทที่ถูกโจมตีเช่นกันคือแคนนอนผู้ผลิตกล้องดิจิทัลและอุปกรณ์สำนักงานรายใหญ่ โดยตั้งแต่วันที่ 30 กรกฎาคมที่ผ่านมามีรายงานว่าบริการภายในของบริษัทไม่ทำงาน พร้อมกับบริการฝากภาพ image.canon ก็ใช้การไม่ได้ โดย Bleeping Computer ระบุว่าเป็นฝีมือของกลุ่มแฮกเกอร์ Maze

ทางแคนนอนกู้คือบริการฝากภาพมาได้เมื่อวานนี้แต่ระบุว่าภาพที่เซฟก่อนวันที่ 16 มิถุนายนที่ผ่านมาในบริการเก็บภาพระยะยาวจะสูญหายไปบางส่วน แต่ยืนยันว่าไม่มีภาพหลุดออกไปจากระบบ

หลังจาก Garmin ถูกโจมตีจนต้องปิดบริการแทบทั้งหมด และสามารถเปิดบริการกลับมาได้ภายในสี่วันถัดมา ทาง Bleeping Computer ระบุว่าได้รับโปรแกรมถอดรหัสมัลแวร์ WastedLocker

สคริปต์ติดตั้งระบุว่าสร้างไฟล์เมื่อวันที่ 25 กรกฎาคมที่ผ่านมา โดยสคริปต์จะสำเนาโปรแกรมลงเครื่อง, ถอดดิสก์เน็ตเวิร์ค, แล้วถอดรหัสไฟล์ในเครื่องจากกุญแจเข้ารหัสของไฟล์นามสกุล .garminwasted

Garmin เริ่มเปิดบริการออนไลน์กลับขึ้นมาอีกครั้งหลังจากปิดบริการทั้งหมดไปตั้งแต่วันศุกร์ที่ผ่านมา โดยหน้าเว็บ dashboard แสดงสถานะของบริการต่างๆ ระบุว่ากระบวนการซิงก์อาจจะช้ากว่าปกติ ซึ่งคงเป็นเรื่องปกติของบริการที่คนใช้จำนวนมากแต่กลับปิดบริการไปนาน ทำให้ทุกคนกลับมาซิงก์พร้อมๆ กัน

ทางบริษัทเปิดหน้าเว็บคำถามที่พบบ่อยชี้แจงว่าว่าข้อมูลของผู้ใช้บนเซิร์ฟเวอร์ไม่ได้สูญหายไปไหน และไม่มีข้อบ่งชี้ว่าข้อมูลของผู้ใช้ได้รับผลกระทบ รวมถึงข้อมูลการชำระเงินและข้อมูลส่วนตัวอื่นๆ

หลังเหตุฮอนด้าประกาศว่าระบบไอทีมีปัญหาทั่วโลกจนกระทบสายการผลิต ล่าสุดก็ออกมีข่าวออกมาว่าการโจมตีครั้งนี้มาจากมัลแวร์เข้ารหัสข้อมูลเรียกค่าไถ่ Snake โดยพบตัวอย่างมัลแวร์อัพโหลดขึ้นไปยัง VirusTotal

ตัวอย่างมัลแวร์ที่พบจะพยายามหาไอพีของโดเมน mds.honda.com ซึ่งเป็นโดเมนภายในบริษัทไม่สามารถ resolve จากภายนอกได้ แสดงให้เห็นว่าตัวมัลแวร์ปรับแต่งมาให้โจมตีทางฮอนด้าโดยเฉพาะ

กลุ่มมัลแวร์ Snake มีประวัติการขโมยข้อมูลไปก่อนการเข้ารหัสเพื่อเรียกค่าไถ่ แต่ทางฮอนด้ายืนยันว่าไม่มีข้อมูลหลุดในตอนนี้

Michael Gillespie นักวิจัยมัลแวร์เข้ารหัสเรียกค่าไถ่ หรือ ransomware รายงานถึงมัลแวร์ตัวใหม่ที่ชื่อว่า Zorab เป็นมัลแวร์ที่เข้ารหัสข้อมูลซ้ำหลังจากข้อมูลของผู้ใช้ถูกเข้ารหัสจากมัลแวร์ตัวอื่นไปแล้ว

ตัวอย่างมัลแวร์ตัวนี้ที่พบปลอมตัวเป็นตัวถอดรหัสมัลแวร์ STOP Djvu ที่มี Michael เองเคยพบจุดอ่อนและเผยแพร่ตัวถอดรหัสได้ฟรีมาก่อนหน้านี้แล้ว แม้ว่าจะมีเวอร์ชั่นใหม่ๆ ที่ยังไม่มีตัวถอดรหัสออกมา โดยตัว Zorab เมื่อรันแล้วจะเข้ารหัสไฟล์ธรรมดาที่ยังไม่เข้ารหัสด้วย

ตอนนี้มัลแวร์เพิ่งมีรายงานออกมา ยังต้องรอการวิเคราะห์อีกระยะว่าจะมีช่องโหว่ในการเข้ารหัสทำให้ถอดรหัสได้เองหรือไม่

บริษัทประกันในแคนาดาไม่เปิดเผยชื่อส่งทนายยื่นฟ้องบริษัท Bitfinex ให้อายัดบัญชีบิตคอยน์ได้สำเร็จ เพิ่มโอกาสได้เงินคืนเกือบทั้งหมด หลังจากปีที่แล้วบริษัทประกันแห่งนี้ตกเป็นเหยื่อจากมัลแวร์เข้ารหัสเรียกค่าไถ่ที่ชื่อว่า BitPaymer โดยมีพีซีนับพันเครื่อง และเซิร์ฟเวอร์อีก 20 เครื่องถูกเข้ารหัสข้อมูล

แฮกเกอร์เรียกร้องค่าไถ่ 1.2 ล้านดอลลาร์แต่บริษัทต่อรองจนเหลือ 950,000 ดอลลาร์ หลังจากนั้นบริษัทก็ยอมจ่ายเงิน 109.25 BTC ไปยังคนร้าย โดยบริษัทใช้เวลาถอดรหัสข้อมูลบนเซิร์ฟเวอร์นาน 5 วัน และพีซีทั้งหมดอีก 10 วัน