ปัญหาของผู้โจมตีไม่ใช่การเขียนตัวมัลแวร์ แต่คือการทำให้ใครสักคนยอมสั่งรันมัน บนเว็บสตรีมมิง ปัญหานั้นถูกแก้ด้วยบริบท คือคนที่กำลังพยายามทำให้วิดีโอเล่นได้อยู่แล้ว ย่อมยอมรับคำอธิบายว่าทำไมมันถึงเล่นไม่ได้

การปลอมตัวเกือบทุกแบบข้างล่างนี้เป็นเพียงรูปแปรของเทคนิคเดียวกันนั้น มาตรการรับมือจึงพูดได้ง่ายพอกัน และทำลายได้ยาก นั่นคือ ไม่มีเว็บสตรีมมิงไหนต้องให้คุณติดตั้ง แตกไฟล์ หรือวางคำสั่งอะไรทั้งนั้นเพื่อเล่นวิดีโอ เบราว์เซอร์สมัยใหม่ถอดรหัสวิดีโอมาตรฐานได้ในตัว หน้าเว็บใดที่บอกเป็นอย่างอื่นคือหน้าเว็บที่โกหก และถ้อยคำที่มันใช้โกหกก็ไม่สำคัญ

การปลอมตัวที่พบบ่อยมีแบบไหนบ้าง?

เจ็ดรูปแบบครอบคลุมสิ่งที่หมุนเวียนอยู่ได้เกือบทั้งหมด

การปลอมตัว สิ่งที่มันอ้าง จริง ๆ แล้วมันคืออะไร จุดที่จับได้
ขาด codec "ติดตั้งชุด codec นี้เพื่อดูแบบ HD" ตัวติดตั้ง มักเป็นแอดแวร์พ่วงหรือตัวโหลดมัลแวร์ เบราว์เซอร์ถอดรหัส H.264 ได้ในตัวมากว่าสิบปีแล้ว
อัปเดตโปรแกรมเล่นวิดีโอ "โปรแกรมเล่นวิดีโอของคุณเก่าเกินไป" อย่างเดียวกัน แต่แต่งหน้าตาให้เหมือน UI ของเว็บนั้น หน้าเว็บไม่มีโปรแกรมเล่นวิดีโอให้อัปเดต
อัปเดตเบราว์เซอร์ หน้าเว็บที่เลียนหน้าจออัปเดตของเบราว์เซอร์คุณ ตรงกับ user agent ของคุณ ไฟล์โปรแกรม เบราว์เซอร์อัปเดตตัวเอง และไม่เคยอัปเดตจากหน้าเว็บ
CAPTCHA ปลอม "ยืนยันว่าคุณเป็นมนุษย์: กด Win+R แล้ววางข้อความนี้" คุณเป็นคนสั่งรันคำสั่งของผู้โจมตีเอง ไม่มีระบบยืนยันตัวตนไหนขอให้คุณใช้หน้าต่างคำสั่ง
ตัวช่วยดาวน์โหลด "โหลดแอปเพื่อสตรีมได้เร็วขึ้น" ตัวติดตั้งที่ฝังตัวอยู่ถาวร เว็บก็ใช้งานได้อยู่แล้วโดยไม่ต้องมีมัน
ไฟล์ซับไตเติลหรือไฟล์บีบอัด ไฟล์ .srt, .zip หรือ .rar ที่วางอยู่ข้างวิดีโอ สคริปต์หรือไฟล์โปรแกรมที่ซ่อนอยู่ข้างใน นามสกุลไฟล์และสิ่งที่อยู่ในไฟล์บีบอัดแทบไม่เคยตรงกับคำอธิบาย
ตัวติดตั้งที่มีลายเซ็น โปรแกรมติดตั้งที่เซ็นรับรองโค้ดไว้จริง ลายเซ็นจริง แต่ใบรับรองถูกนำไปใช้ในทางที่ผิดหรือถูกขโมยมา ลายเซ็นที่ถูกต้องพิสูจน์ว่าใครเซ็น ไม่ได้พิสูจน์ว่าปลอดภัย

ตระกูล CAPTCHA ปลอม ซึ่งบางทีถูกเรียกว่า "วางแล้วรัน" สมควรได้รับความสนใจเป็นพิเศษ เพราะมันเอาชนะการป้องกันที่อิงกับไฟล์ได้ทั้งหมด หน้าเว็บจะวางคำสั่งไว้ในคลิปบอร์ดของคุณ แล้วสั่งให้คุณวางมันลงในกล่อง Run หรือหน้าต่างคำสั่ง โดยอ้างว่าเป็นการยืนยันตัวตน ไม่มีไฟล์ใดถูกดาวน์โหลด การตรวจชื่อเสียงของไฟล์ดาวน์โหลดและตัวสแกนหลายตัวจึงไม่ทำงานเลย ไม่เคยมีอะไรที่ถูกต้องบนอินเทอร์เน็ตขอให้คุณทำแบบนี้

ชื่อไฟล์ซ่อนตัวตนที่แท้จริงของไฟล์อย่างไร?

ด้วยการอาศัยข้อเท็จจริงที่ว่าระบบส่วนใหญ่ซ่อนนามสกุลไฟล์ไว้ตั้งแต่ต้น

กลลวง ปรากฏเป็น จริง ๆ แล้วคือ
นามสกุลซ้อนสอง video.mp4.exe ไฟล์โปรแกรม ที่แสดงเป็น video.mp4 ถ้าซ่อนนามสกุลไว้
ไฟล์ทางลัด movie.mkv.lnk ทางลัดที่สั่งรันคำสั่ง
สคริปต์ที่ปลอมเป็นไฟล์สื่อ episode.mp4.js สคริปต์ที่ระบบจะเอาไปรัน
ตัวติดตั้งที่แสร้งเป็นอย่างอื่น codec_setup.msi ตัวติดตั้ง ตรงตามชื่อเป๊ะ ๆ ตัวชื่อนั่นแหละคือการปลอมตัว
การสลับทิศอักษรขวาไปซ้าย videoexe.mp4 ตัวอักษรถูกกลับด้านด้วยอักขระควบคุมที่มองไม่เห็น
ไฟล์บีบอัดที่ใส่รหัสผ่าน film.zip โดยมีรหัสผ่านอยู่ในหน้าเว็บ สิ่งที่อยู่ข้างในสแกนไม่ได้จนกว่าจะแตกไฟล์

การแก้ข้อแรกคือการเปลี่ยนค่าตั้งค่า คือเปิดให้แสดงนามสกุลไฟล์ใน Windows Explorer หรือ Finder ของ macOS มันไม่มีต้นทุนอะไรเลย และปิดตายครึ่งหนึ่งของตารางนี้ได้อย่างถาวร

ไฟล์บีบอัดที่ใส่รหัสผ่านคือมาตรการต้านการสแกนโดยเจตนา ไฟล์ดาวน์โหลดใดที่มาพร้อมรหัสผ่านในเนื้อหน้าเว็บ กำลังขอให้คุณข้ามโปรแกรมป้องกันไวรัสของตัวเอง และไม่มีเหตุผลอันชอบธรรมใดที่ไฟล์ดาวน์โหลดสาธารณะจะต้องเข้ารหัสแบบนั้น

จะตรวจไฟล์ดาวน์โหลดก่อนเปิดได้อย่างไร?

ลำดับสั้น ๆ เรียงตามความมีประโยชน์

สิ่งที่ตรวจ มันจับอะไรได้
เปิดให้แสดงนามสกุล แล้วอ่านนามสกุลจริง นามสกุลซ้อนสองและไฟล์สคริปต์
เทียบขนาดไฟล์กับสิ่งที่มันอ้าง "หนัง 1080p" ขนาด 3 MB ไม่ใช่หนัง
สแกนด้วยบริการที่ใช้หลายเอนจิน ตัวอย่างที่รู้จักแล้ว ส่วนตัวใหม่ ๆ มักรอดไปได้
ตรวจดูลายเซ็นดิจิทัล ตัวติดตั้งที่ไม่มีลายเซ็น หรือลายเซ็นที่ระบุชื่อบริษัทที่ไม่เกี่ยวข้อง
ดูว่ามันขอสิทธิ์ผู้ดูแลระบบหรือไม่ ไฟล์สื่อไม่เคยต้องยกระดับสิทธิ์
อย่าปิด SmartScreen หรือ Gatekeeper คำเตือนพวกนี้มีอยู่เพื่อกรณีแบบนี้โดยเฉพาะ

กฎที่รองรับทั้งหมดนี้อยู่คือ คุณไม่ได้กำลังประเมินว่าไฟล์นั้นดูปลอดภัยไหม แต่กำลังประเมินว่าคุณมีเหตุผลอะไรที่จะต้องดาวน์โหลดไฟล์โปรแกรมตั้งแต่แรกหรือเปล่า บนหน้าเว็บสตรีมมิง คำตอบคือไม่มี และคำตอบนั้นเชื่อถือได้ในแบบที่ผลสแกนไม่มีวันเชื่อถือได้

ถ้าเผลอสั่งรันไปแล้วต้องทำอย่างไร?

ให้ตั้งสมมติฐานเรื่องการขโมยข้อมูลล็อกอินไว้ก่อน มัลแวร์ตลาดสมัยใหม่ส่วนใหญ่อย่างท่วมท้นเป็นประเภทขโมยข้อมูล และสิ่งแรกที่มันทำมักคือคัดลอกคุกกี้ของเบราว์เซอร์ รหัสผ่านที่บันทึกไว้ และโทเคนเซสชัน ซึ่งเป็นเหตุผลที่การเปลี่ยนรหัสผ่านจากเครื่องที่ติดเชื้อแล้วไม่ได้ผลอะไรเลย

ขั้นตอน เหตุผล
1. ตัดการเชื่อมต่อจากเครือข่าย หยุดการส่งข้อมูลออกและคำสั่งจากระยะไกล
2. เปลี่ยนรหัสผ่านจากอุปกรณ์ เครื่องอื่น ที่สะอาด เครื่องที่ถูกเจาะอาจกำลังบันทึกทุกอย่างที่คุณพิมพ์
3. สั่งออกจากระบบทุกเซสชันบนบัญชีสำคัญ โทเคนเซสชันที่ถูกขโมยไปยังใช้ได้แม้เปลี่ยนรหัสผ่านแล้ว
4. ตรวจหาส่วนขยายและโปรไฟล์เบราว์เซอร์ที่โผล่มาใหม่ กลไกฝังตัวถาวรที่พบบ่อย
5. ตรวจรายการโปรแกรมที่เปิดตอนบูตและงานตั้งเวลา อีกกลไกฝังตัวถาวรที่พบบ่อย
6. สแกนแบบออฟไลน์จากสื่อที่บูตได้ การติดเชื้อที่ยังทำงานอยู่รบกวนตัวสแกนที่รันในระบบปฏิบัติการได้
7. ถ้าเครื่องนั้นเก็บข้อมูลการชำระเงินหรือข้อมูลยืนยันตัวตน ให้ล้างเครื่องแล้วติดตั้งใหม่ เป็นการแก้ไขทางเดียวที่เชื่อถือได้เมื่อมีโค้ดรันด้วยสิทธิ์ของคุณไปแล้ว

ขั้นที่ 2 คือขั้นที่คนทำผิดลำดับบ่อยที่สุด ส่วนขั้นที่ 3 คือขั้นที่คนข้ามไปเลยบ่อยที่สุด โทเคนเซสชันที่ถูกส่งออกไปก่อนที่คุณจะเปลี่ยนอะไรจะยังใช้งานได้ต่อไป จนกว่าบัญชีนั้นจะสั่งยกเลิกมันอย่างชัดเจน

คำถามที่เกี่ยวข้อง