ปัญหาของผู้โจมตีไม่ใช่การเขียนตัวมัลแวร์ แต่คือการทำให้ใครสักคนยอมสั่งรันมัน บนเว็บสตรีมมิง ปัญหานั้นถูกแก้ด้วยบริบท คือคนที่กำลังพยายามทำให้วิดีโอเล่นได้อยู่แล้ว ย่อมยอมรับคำอธิบายว่าทำไมมันถึงเล่นไม่ได้
การปลอมตัวเกือบทุกแบบข้างล่างนี้เป็นเพียงรูปแปรของเทคนิคเดียวกันนั้น มาตรการรับมือจึงพูดได้ง่ายพอกัน และทำลายได้ยาก นั่นคือ ไม่มีเว็บสตรีมมิงไหนต้องให้คุณติดตั้ง แตกไฟล์ หรือวางคำสั่งอะไรทั้งนั้นเพื่อเล่นวิดีโอ เบราว์เซอร์สมัยใหม่ถอดรหัสวิดีโอมาตรฐานได้ในตัว หน้าเว็บใดที่บอกเป็นอย่างอื่นคือหน้าเว็บที่โกหก และถ้อยคำที่มันใช้โกหกก็ไม่สำคัญ
การปลอมตัวที่พบบ่อยมีแบบไหนบ้าง?
เจ็ดรูปแบบครอบคลุมสิ่งที่หมุนเวียนอยู่ได้เกือบทั้งหมด
| การปลอมตัว | สิ่งที่มันอ้าง | จริง ๆ แล้วมันคืออะไร | จุดที่จับได้ |
|---|---|---|---|
| ขาด codec | "ติดตั้งชุด codec นี้เพื่อดูแบบ HD" | ตัวติดตั้ง มักเป็นแอดแวร์พ่วงหรือตัวโหลดมัลแวร์ | เบราว์เซอร์ถอดรหัส H.264 ได้ในตัวมากว่าสิบปีแล้ว |
| อัปเดตโปรแกรมเล่นวิดีโอ | "โปรแกรมเล่นวิดีโอของคุณเก่าเกินไป" | อย่างเดียวกัน แต่แต่งหน้าตาให้เหมือน UI ของเว็บนั้น | หน้าเว็บไม่มีโปรแกรมเล่นวิดีโอให้อัปเดต |
| อัปเดตเบราว์เซอร์ | หน้าเว็บที่เลียนหน้าจออัปเดตของเบราว์เซอร์คุณ ตรงกับ user agent ของคุณ | ไฟล์โปรแกรม | เบราว์เซอร์อัปเดตตัวเอง และไม่เคยอัปเดตจากหน้าเว็บ |
| CAPTCHA ปลอม | "ยืนยันว่าคุณเป็นมนุษย์: กด Win+R แล้ววางข้อความนี้" | คุณเป็นคนสั่งรันคำสั่งของผู้โจมตีเอง | ไม่มีระบบยืนยันตัวตนไหนขอให้คุณใช้หน้าต่างคำสั่ง |
| ตัวช่วยดาวน์โหลด | "โหลดแอปเพื่อสตรีมได้เร็วขึ้น" | ตัวติดตั้งที่ฝังตัวอยู่ถาวร | เว็บก็ใช้งานได้อยู่แล้วโดยไม่ต้องมีมัน |
| ไฟล์ซับไตเติลหรือไฟล์บีบอัด | ไฟล์ .srt, .zip หรือ .rar ที่วางอยู่ข้างวิดีโอ |
สคริปต์หรือไฟล์โปรแกรมที่ซ่อนอยู่ข้างใน | นามสกุลไฟล์และสิ่งที่อยู่ในไฟล์บีบอัดแทบไม่เคยตรงกับคำอธิบาย |
| ตัวติดตั้งที่มีลายเซ็น | โปรแกรมติดตั้งที่เซ็นรับรองโค้ดไว้จริง | ลายเซ็นจริง แต่ใบรับรองถูกนำไปใช้ในทางที่ผิดหรือถูกขโมยมา | ลายเซ็นที่ถูกต้องพิสูจน์ว่าใครเซ็น ไม่ได้พิสูจน์ว่าปลอดภัย |
ตระกูล CAPTCHA ปลอม ซึ่งบางทีถูกเรียกว่า "วางแล้วรัน" สมควรได้รับความสนใจเป็นพิเศษ เพราะมันเอาชนะการป้องกันที่อิงกับไฟล์ได้ทั้งหมด หน้าเว็บจะวางคำสั่งไว้ในคลิปบอร์ดของคุณ แล้วสั่งให้คุณวางมันลงในกล่อง Run หรือหน้าต่างคำสั่ง โดยอ้างว่าเป็นการยืนยันตัวตน ไม่มีไฟล์ใดถูกดาวน์โหลด การตรวจชื่อเสียงของไฟล์ดาวน์โหลดและตัวสแกนหลายตัวจึงไม่ทำงานเลย ไม่เคยมีอะไรที่ถูกต้องบนอินเทอร์เน็ตขอให้คุณทำแบบนี้
ชื่อไฟล์ซ่อนตัวตนที่แท้จริงของไฟล์อย่างไร?
ด้วยการอาศัยข้อเท็จจริงที่ว่าระบบส่วนใหญ่ซ่อนนามสกุลไฟล์ไว้ตั้งแต่ต้น
| กลลวง | ปรากฏเป็น | จริง ๆ แล้วคือ |
|---|---|---|
| นามสกุลซ้อนสอง | video.mp4.exe |
ไฟล์โปรแกรม ที่แสดงเป็น video.mp4 ถ้าซ่อนนามสกุลไว้ |
| ไฟล์ทางลัด | movie.mkv.lnk |
ทางลัดที่สั่งรันคำสั่ง |
| สคริปต์ที่ปลอมเป็นไฟล์สื่อ | episode.mp4.js |
สคริปต์ที่ระบบจะเอาไปรัน |
| ตัวติดตั้งที่แสร้งเป็นอย่างอื่น | codec_setup.msi |
ตัวติดตั้ง ตรงตามชื่อเป๊ะ ๆ ตัวชื่อนั่นแหละคือการปลอมตัว |
| การสลับทิศอักษรขวาไปซ้าย | videoexe.mp4 |
ตัวอักษรถูกกลับด้านด้วยอักขระควบคุมที่มองไม่เห็น |
| ไฟล์บีบอัดที่ใส่รหัสผ่าน | film.zip โดยมีรหัสผ่านอยู่ในหน้าเว็บ |
สิ่งที่อยู่ข้างในสแกนไม่ได้จนกว่าจะแตกไฟล์ |
การแก้ข้อแรกคือการเปลี่ยนค่าตั้งค่า คือเปิดให้แสดงนามสกุลไฟล์ใน Windows Explorer หรือ Finder ของ macOS มันไม่มีต้นทุนอะไรเลย และปิดตายครึ่งหนึ่งของตารางนี้ได้อย่างถาวร
ไฟล์บีบอัดที่ใส่รหัสผ่านคือมาตรการต้านการสแกนโดยเจตนา ไฟล์ดาวน์โหลดใดที่มาพร้อมรหัสผ่านในเนื้อหน้าเว็บ กำลังขอให้คุณข้ามโปรแกรมป้องกันไวรัสของตัวเอง และไม่มีเหตุผลอันชอบธรรมใดที่ไฟล์ดาวน์โหลดสาธารณะจะต้องเข้ารหัสแบบนั้น
จะตรวจไฟล์ดาวน์โหลดก่อนเปิดได้อย่างไร?
ลำดับสั้น ๆ เรียงตามความมีประโยชน์
| สิ่งที่ตรวจ | มันจับอะไรได้ |
|---|---|
| เปิดให้แสดงนามสกุล แล้วอ่านนามสกุลจริง | นามสกุลซ้อนสองและไฟล์สคริปต์ |
| เทียบขนาดไฟล์กับสิ่งที่มันอ้าง | "หนัง 1080p" ขนาด 3 MB ไม่ใช่หนัง |
| สแกนด้วยบริการที่ใช้หลายเอนจิน | ตัวอย่างที่รู้จักแล้ว ส่วนตัวใหม่ ๆ มักรอดไปได้ |
| ตรวจดูลายเซ็นดิจิทัล | ตัวติดตั้งที่ไม่มีลายเซ็น หรือลายเซ็นที่ระบุชื่อบริษัทที่ไม่เกี่ยวข้อง |
| ดูว่ามันขอสิทธิ์ผู้ดูแลระบบหรือไม่ | ไฟล์สื่อไม่เคยต้องยกระดับสิทธิ์ |
| อย่าปิด SmartScreen หรือ Gatekeeper | คำเตือนพวกนี้มีอยู่เพื่อกรณีแบบนี้โดยเฉพาะ |
กฎที่รองรับทั้งหมดนี้อยู่คือ คุณไม่ได้กำลังประเมินว่าไฟล์นั้นดูปลอดภัยไหม แต่กำลังประเมินว่าคุณมีเหตุผลอะไรที่จะต้องดาวน์โหลดไฟล์โปรแกรมตั้งแต่แรกหรือเปล่า บนหน้าเว็บสตรีมมิง คำตอบคือไม่มี และคำตอบนั้นเชื่อถือได้ในแบบที่ผลสแกนไม่มีวันเชื่อถือได้
ถ้าเผลอสั่งรันไปแล้วต้องทำอย่างไร?
ให้ตั้งสมมติฐานเรื่องการขโมยข้อมูลล็อกอินไว้ก่อน มัลแวร์ตลาดสมัยใหม่ส่วนใหญ่อย่างท่วมท้นเป็นประเภทขโมยข้อมูล และสิ่งแรกที่มันทำมักคือคัดลอกคุกกี้ของเบราว์เซอร์ รหัสผ่านที่บันทึกไว้ และโทเคนเซสชัน ซึ่งเป็นเหตุผลที่การเปลี่ยนรหัสผ่านจากเครื่องที่ติดเชื้อแล้วไม่ได้ผลอะไรเลย
| ขั้นตอน | เหตุผล |
|---|---|
| 1. ตัดการเชื่อมต่อจากเครือข่าย | หยุดการส่งข้อมูลออกและคำสั่งจากระยะไกล |
| 2. เปลี่ยนรหัสผ่านจากอุปกรณ์ เครื่องอื่น ที่สะอาด | เครื่องที่ถูกเจาะอาจกำลังบันทึกทุกอย่างที่คุณพิมพ์ |
| 3. สั่งออกจากระบบทุกเซสชันบนบัญชีสำคัญ | โทเคนเซสชันที่ถูกขโมยไปยังใช้ได้แม้เปลี่ยนรหัสผ่านแล้ว |
| 4. ตรวจหาส่วนขยายและโปรไฟล์เบราว์เซอร์ที่โผล่มาใหม่ | กลไกฝังตัวถาวรที่พบบ่อย |
| 5. ตรวจรายการโปรแกรมที่เปิดตอนบูตและงานตั้งเวลา | อีกกลไกฝังตัวถาวรที่พบบ่อย |
| 6. สแกนแบบออฟไลน์จากสื่อที่บูตได้ | การติดเชื้อที่ยังทำงานอยู่รบกวนตัวสแกนที่รันในระบบปฏิบัติการได้ |
| 7. ถ้าเครื่องนั้นเก็บข้อมูลการชำระเงินหรือข้อมูลยืนยันตัวตน ให้ล้างเครื่องแล้วติดตั้งใหม่ | เป็นการแก้ไขทางเดียวที่เชื่อถือได้เมื่อมีโค้ดรันด้วยสิทธิ์ของคุณไปแล้ว |
ขั้นที่ 2 คือขั้นที่คนทำผิดลำดับบ่อยที่สุด ส่วนขั้นที่ 3 คือขั้นที่คนข้ามไปเลยบ่อยที่สุด โทเคนเซสชันที่ถูกส่งออกไปก่อนที่คุณจะเปลี่ยนอะไรจะยังใช้งานได้ต่อไป จนกว่าบัญชีนั้นจะสั่งยกเลิกมันอย่างชัดเจน