The Gentlemen กลุ่มแรนซัมแวร์หน้าใหม่ อาละวาดหนัก
"The Gentlemen" กลุ่มแรนซัมแวร์หน้าใหม่ อาละวาดหนักตั้งแต่กลางปี 2025 ที่ผ่านมา ขโมยข้อมูลสำคัญก่อนล็อกเครื่อง โดนแล้วกว่า 17 ประเทศทั่วโลก
Gentlemen หรือ สุภาพบุรุษ เมื่อเห็นคำนี้อาจจะนึกถึงบุรุษที่สุภาพเรียบร้อย ดูดีมีสกุล แต่ถ้าเปลี่ยนให้มาเป็นชื่อมัลแวร์ โดยเฉพาะมัลแวร์เรียกค่าไถ่ (Ransomware) ล่ะก็ ไม่มีทางที่เหยื่อจะได้รับความสุภาพอย่างแน่ นอน
จากรายงานโดยเว็บไซต์ Cyberpress ได้กล่าวถึงการตรวจพบแคมเปญการแพร่กระจายแรนซัมแวร์ตัวใหม่ที่มีชื่อว่า Gentlemen ซึ่งถูกพัฒนาโดยกลุ่มแรนซัมแวร์ชื่อเดียวกัน โดยมัลแวร์ตัวนี้ได้เริ่มระบาดมาตั้งแต่ช่วงเดือนสิงหาคมที่ผ่านมา และได้ระบาดไปยัง 17 ประเทศทั่วโลก ครอบคลุมประเทศในแถบเอเชียแปซิฟิก, ทวีปอเมริกาเหนือ, ทวีปอเมริกาใต้ และแถบตะวันออกกลาง โดยโจมตีนั้นได้มุ่งเน้นไปยังกลุ่มธุรกิจที่มีความสำคัญ และมูลค่าสูงเช่น กลุ่มการผลิต, กลุ่มก่อสร้าง, กลุ่มธุรกิจด้านการแพทย์, และกลุ่มธุรกิจประกัน โดยเน้นไปยังกลุ่มธุรกิจขนาดกลางและขนาดใหญ่ ซึ่งรูปแบบการปฏิบัติการนั้นแสดงให้เห็นถึงการที่กลุ่มแรนซัมแวร์ดังกล่าวนั้นมีความเชี่ยวชาญและมีความมืออาชีพสูง
ในทางเทคนิคนั้นตัวแรนซัมแวร์ Gentlemen ถูกสร้างขึ้นด้ว ยภาษา Go โดยมีการรวบรวมหลากเทคนิคสำหรับการบุกรุกเข้าระบบของเหยื่อไว้บนมัลแวร์ตัวเดียว ซึ่งหลังจากที่มัลแวร์ดังกล่าวฝังตัวลงบนระบบของเหยื่อแล้ว ก่อนที่จะทำการเข้ารหัส (Encryption) ไฟล์ต่าง ๆ บนเครื่องของเหยื่อเพื่อจับไว้เป็นประกัน ตัวมัลแวร์จะจัดการปิดระบบป้องกัน Windows Defender, ปิดระบบสำรองข้อมูล (Backup Service) อย่างเช่น Veeam ลง, หยุดการใช้งานฐานข้อมูล (Database) เช่น MSSQL และ MongoDB, และลบบันทึกการทำงานของระบบ (Sytem Log) เพื่อทำให้การตรวจสอบวิเคราะห์ระบบหลังความเสียหายเกิดขึ้นแล้วทำได้ยากยิ่งขึ้น
ตัวมัลแวร์จะทำงานภายใต้ภาพแวดล้อมที่กำหนด โดยจะทำงานภายในพารามิเตอร์ Password (–password) ซึ่งถ้าไม่มีการใช้รหัสผ่านที่ถูกต้อง ตัวมัลแวร์ก็จะหยุดทำงานโดยทันที ทั้งนี้เพื่อป้องกันการทำงานโดยไม่ตั้งใจ และป้องกันการถูกตรวจสอบโดยทีมวิจัยมัลแวร์ นอกจากนั้ นตัวมัลแวร์ยังมีการใช้งาน Argument ต่าง ๆ บน Command-Line ที่จะเข้ามาช่วยกำหนดขอบเขตของการทำงาน, เป้าหมายไฟล์ที่ต้องการ, และความเร็วในการเข้ารหัสไฟล์ ช่วยเพิ่มประสิทธิภาพและความยืดหยุ่นในการทำงานของมัลแวร์ดังกล่าว เช่น –system, –shares, –fast, และ –ultrafast เป็นต้น
ในส่วนของเทคนิคการเข้ารหัสไฟล์นั้น แรนซัมแวร์ตัวนี้จะใช้เทคนิคการเข้ารหัสแบบลูกผสมระหว่าง X25519 (ECDH) และ XChaCha20 ซึ่งไฟล์ที่ถูกเข้ารหัสแต่ละตัวจะมีกุญแจเฉพาะ (Unique Key) กับกุญแจ nonce ซึ่งเป็นการเข้ารหัสด้วยรูปแบบไม่คงที่ หรือ Dynamic เพื่อเพิ่มความยากในการพยายามถอดรหัสปลดล็อกไฟล์เองโดยไม่พึ่งกุญแจส่วนตัว หรือ Private Key ที่ถูกเก็บไว้กับแฮกเกอร์ที่ใช้งานแรนซัมแวร์ดังกล่าว โดยไฟล์ที่มีขนาด 1 MB หรือเล็กกว่าจะถูกเข้ารหัสแบบเต็มตัว ขณะที่ไฟล์ขนาดใหญ่กว่านั้นจะถูกเข้ารหัสแค่บางส่วนของไฟล์เพี ยงแค่ให้รับประกันว่าไฟล์จะใช้งานไม่ได้ เพื่อช่วยให้การเข้ารหัสไฟล์ทำได้รวดเร็วมากกว่าการเข้ารหัสแบบเต็มทุกไฟล์
หลังจากที่แรนซัมแวร์ทำการเข้ารหัสล็อกไฟล์บนเครื่องเสร็จเรียบร้อยแล้ว ตัวมัลแวร์ก็จะทำการปล่อยโน้ตเรียกค่าไถ่ภายใต้ชื่อไฟล์ว่า README-GENTLEMEN.txt เอาไว้ โดยภายในจะมีการบอกว่ามีโฟลเดอร์ไหนที่ตกเป็นเหยื่อบ้าง พร้อมทั้งคำคู่ว่าไฟล์ทั้งหมดถูกส่งไปให้แฮกเกอร์แล้วและจะทำการปล่อยสู่สาธารณะทันทีถ้าไม่มีการจ่ายค่าไถ่ให้ตามเวลาที่กำหนด พร้อมทั้งเสนอว่าจะโชว์การปลดล็อกไฟล์ให้ดู 2 ไฟล์เพื่อยืนยันว่าแฮกเกอร์สามารถปลดล็อกไฟล์ได้จริง ในเวลาเดียวกันตัวมัลแวร์ก็จะทำการเปลี่ยนฉากหลัง (Wallpaper) เพื่อข่มขู่เหยื่ออีกด้วย
ทางทีมวิจัยจาก AhnLab บริษัทผู้เชี่ยวชาญด้านการพัฒนาเครื่องมือต่อต้านภัยไซเบอร์ ซึ่งเป็นผู้ตรวจพบแรนซัมแวร์ดังกล่าว ได้ระบุตัวแรนซัมแวร์ภายใต้ชื่อ Ransomware/Win GentlemenCrypt แล้วได้ทำการอัปเดตเครื่องมือตรวจจับอย่าง AhnLab V3 ในช่วงเดือนธันวาคมนี้ให้สามารถตรวจจับได้แล้ว พร้อมทั้งให้ข้อมูลระบุตัวไฟล์มัลแวร์ในรูปแบบ MD5 Hash มาด้วย ซึ่งตัวข้อมูลระบุตัวตนของไฟล์มัลแวร์นั้นมีลักษณะแบบนี้
adf675ffc1acb357f2d9f1a94e016f52 and de1a114a2c5552387a1bbb61501bf129
ใครที่กดค้นหา “The Gentlemen นางเอก” แล้วเจอผลลัพธ์ปน ๆ กัน ไม่ได้แปลว่าคุณจำผิดนะ เพราะคำว่า The Gentlemen มักถูกใช้ในหลายคอนเทนต์ และบางทีไปโผล่คู่กับข่าวไอที/แรนซัมแวร์ด้วย ทำให้คนที่ตั้งใจหาข้อมูลสายหนัง-ซีรีส์งงได้ง่ายมาก จากประสบการณ์เรา เวลาจะหาว่า “นางเอกคือใคร” ให้เริ่มจากการแยกเวอร์ชันก่อน: The Gentlemen ที่คนส่วนใหญ่ถามหานางเอก มักหมายถึงเวอร์ชันซีรีส์/จักรวาลเดียวกับเรื่องแนวอาชญากรรม-คอมเมดี้แบบอังกฤษ ซึ่งโทนจะเป็นแก๊งมาเฟีย การต่อรองผลประโยชน์ และความสัมพันธ์ตัวละครที่ไม่ได้มี “นางเอก” แบบโรแมนติกชัด ๆ เหมือนซีรีส์รัก แต่จะมีตัวละครหญิงเด่นหลายคนที่ขับเคลื่อนพล็อต ทริคที่เราใช้แล้วเวิร์ก: 1) ดูรายชื่อนักแสดงในหน้าแพลตฟอร์มที่คุณดู (Netflix/Prime/ฯลฯ) แล้วโฟกัสคำว่า “Main cast” เพราะตัวละครหญิงที่เป็นแกนเรื่องมักอยู่ตรงนั้น 2) สังเกตบทบาท ไม่ใช่แค่หน้าปก: บางเรื่องผู้หญิงไม่ได้ขึ้นเป็น “นางเอก” แต่เป็นคนคุมเกม เช่น ผู้จัดการธุรกิจ, คนกลางเจรจา, สายข่าว หรือคนในตระกูลที่มีอิทธิพล ซึ่งมักสำคัญกว่าเลิฟไลน์ 3) ถ้าคุณหมายถึง “นางเอกในเชิงคู่กับพระเอก” ให้ลองค้นแบบเจาะจงเพิ่ม เช่น “The Gentlemen female lead character name” หรือใส่ชื่อพระเอกต่อท้าย จะตัดความคลุมเครือได้เยอะ อีกอย่างที่อยากเตือน (เพราะเราเคยพลาด): ถ้าคุณเจอคำว่า “YOUR NETWORK IS LOCKED BY THE GENTLEMEN” หรือไฟล์เรียกค่าไถ่แนว README-GENTLEMEN.txt นั่นไม่เกี่ยวกับซีรีส์เลย แต่เป็นคนละเรื่องแบบสิ้นเชิง เป็นคีย์เวิร์ดที่พาไปสายความปลอดภัยไซเบอร์ ทำให้ผลค้นหายิ่งมั่ว สรุปสั้น ๆ: The Gentlemen ไม่ได้มี “นางเอก” แบบสูตรสำเร็จคนเดียวเสมอไป แต่มีตัวละครหญิงเด่นหลายตำแหน่ง ให้ยึดเวอร์ชันที่คุณดู + เช็ก Main cast + ดูบทบาทในพล็อต แล้วคุณจะระบุได้ว่าใครคือ “นางเอก” ในความหมายที่คุณต้องการจริง ๆ
