ชุดโค้ดอันตราย หรือ Exploit Kit เป็นรูปแบบหนึ่งของชุดเครื่องมือหรือทูลอันตรายที่ออกมาจำหน่ายจ่ายแจกให้วายร้ายทั้งหลายนำไปประยุกต์ใช้ทะลวงช่องโหว่ต่างๆ เพื่อกระจายมัลแวร์ไปยังระบบของเหยื่อตามต้องการ
ก่อนหน้านี้ นักพัฒนามัลแวร์ได้อาศัยช่องโหว่ของไฟล์เอกสาร Microsoft Office เป็นเวลาหลายปี แต่ปัจจุบันได้อัพเกรดตัวเองมาทำไฟล์เอกสารอันตรายทั้งไฟล์แทน ตัวอย่างเช่น Microsoft Word Intruder และ Ancalog Builder ที่สามารถกระจายเชื้อมัลแวร์ไปยังคอมพิวเตอร์เครื่องอื่นผ่านไฟล์เวิร์ดอันตรายได้ หรือชุดโค้ดอันตรายตระกูลใหม่ล่าสุดในชื่อ AK Builder ที่สามารถสร้างสร้างไฟล์เอกสารเวิร์ดอันตรายให้อยู่ในรูป Rich Text เพื่อใช้ช่องโหว่ที่สามารถสร้างความเสียหายแก่ไฟล์ จนทำให้เกิดบั๊กต่างๆ ทั้งบน Office เอง และในวินโดวส์ด้วยพร้อมกัน
จากงานวิจัยของ SophosLabs เมื่อเร็วๆ นี้ พบ AK Builder ที่แตกต่างกันสองสายพันธุ์ โดยแต่ละตัวต่างใช้ช่องโหว่บน Office คนละตัว ทาง SophosLabs ระบุว่าสายพันธุ์ AK-1 มีการระบาดอย่างหนักในช่วงกลางปี 2558 ไปจนถึง 2559 โดยได้สร้างไฟล์เอกสารอันตรายมากถึง 760 ไฟล์ สำหรับแพร่กระจายมัลแวร์ไปแล้วมากกว่า 50 ตระกูล ขณะที่สายพันธุ์ต่อมาอย่าง AK-2 มีการระบาดเพียงช่วงสั้นๆ จนถึงฤดูร้อนปีที่แล้ว
ทำไม AK Builder จึงประสบความสำเร็จในการระบาด?
เนื่องจาก AK Builder ถูกเขียนโปรแกรมด้วยสคริปต์ Python อย่างง่าย อาชญากรทั้งหลายจึงนำไปพัฒนาเป็นอาวุธของตนเองได้อย่างรวดเร็ว แถมยังคงความเรียบง่ายของโค้ดจนวายร้ายคนอื่นสามารถเอาโค้ดของคนอื่นมาพัฒนาต่อๆ กันได้เรื่อยๆ
AK Builder มีการโฆษณาผ่านคลิปยูทูป และวางจำหน่ายตามเว็บบอร์ดใต้ดินในราคาแค่ 550 ดอลลาร์ต่อชุด ด้วยราคาเป็นกันเอง แตะต้องได้ และมีพร้อมให้ซื้ออย่างง่ายดาย ทำให้เป็นที่นิยมมากในวงแฮ็กเกอร์ที่ต้องการใช้ AK Builder นี้ในสร้างไฟล์เอกสารที่เป็นอันตราย
นอกจากนี้ สิ่งที่แตกต่างจาก Microsoft Word Intruder และ Ancalog Builder คือ AK Builder รองรับการเข้ารหัสข้อมูล และแสดงข้อมูลลวงด้วย ซึ่งถือเป็นฟีเจอร์สำคัญที่ส่งผลถึงความสำเร็จในการโจมตีอย่างมาก เนื่องจากข้อมูลหลอกๆ เบื้องหน้าจะช่วยพรางกิจกรรมอันตรายที่กำลังรันอยู่เบื้องหลัง รวมถึงลดความน่าสงสัยเวลาที่เหยื่อเปิดดูเนื้อหาในไฟล์เอกสารเวิร์ดดังกล่าวอีกด้วย
แล้วเราจะรับมือกับ AK Builder ได้อย่างไร?
องค์กรต่างๆ สามารถเลือกใช้หลายวิธีร่วมกันเพื่อให้ได้ผลดีที่สุด โดยเรามีขั้นตอนที่แนะนำให้ปฏิบัติดังนี้:
1. ติดตั้งแพทช์ทันทีให้เป็นปัจจุบัน เนื่องจากเอกสารออฟฟิศอันตรายที่สร้างขึ้นมาจากชุดโค้ดอันตรายนี้ เจาะจงเล่นงานช่องโหว่ด้านความปลอดภัยที่มีแพทช์ออกมาตั้งแต่ปีที่แล้ว
2. พิจารณาติดตั้งโซลูชั่นความปลอดภัยแบบ Next-Gen ที่ครอบคลุม เพื่อจัดการกับช่องโหว่ต่างๆ และมัลแวร์ที่ไม่ได้อยู่ในรูปของไฟล์
3. ระวังไฟล์แนบที่น่าสงสัย และเปิดดูเอกสารเฉพาะจากผู้ส่งที่รู้จักเท่านั้น
4. ลบ หรือปิดการใช้งานบัญชีผู้ใช้ที่ได้รับสิทธิ์เหนือกว่าความจำเป็น และเลือกติดตั้งแอพพลิเคชั่นจากผู้ผลิตที่ไว้ใจได้เท่านั้น
5. พิจารณาใช้โปรแกรมสำหรับเรียกดูเอกสารอย่างเดียวหรือ Viewer ต่างๆ เช่น Word Viewer ของไมโครซอฟท์ เนื่องจากอ่อนไหวน้อยกว่าโปรแกรมเวิร์ดตัวเต็ม โดยเฉพาะพวกวิวเวอร์เหล่านี้ไม่สามารถเปิดรันมาโครได้ เป็นต้น
บทความโดย : Wana Tun เป็นผู้เชี่ยวชาญทางเทคนิคประจำภูมิภาคของ Sophos
