AIDS Trojan กับเรื่องราวของ มัลแวร์เรียกค่าไถ่ (Ransomware) ตัวแรกของโลก

เรื่องราวน่าสนใจของ AIDS Trojan มัลแวร์เรียกค่าไถ่ตัวแรกของโลก

Ransomware เป็นมัลแวร์ชนิดหนึ่งที่จะทำการเข้ารหัสข้อมูลไฟล์ที่บันทึกอยู่ในอุปกรณ์ของเหยื่อ เพื่อข่มขู่ให้เหยื่อจ่ายเงินก้อนโตแลกกับรหัสสำหรับใช้ในการปลดล็อกไฟล์ที่ถูกเข้ารหัสไม่ให้สามารถใช้งานได้เอาไว้ เป็นสาเหตุให้มัลแวร์ประเภทนี้ถูกตั้งชื่อว่าเป็นมัลแวร์เรียกค่าไถ่

ปัจจุบันนี้ การแพร่ระบาดของ มัลแวร์เรียกค่าไถ่ (Ransomware) ยังคงมีข่าวออกมาให้เห็นอยู่เป็นระยะ กล่าวได้ว่าเป็นปัญหาเรื้อรังที่ยังไม่น่าจะจบสิ้นไปได้ง่าย ๆ แต่เคยสงสัยกันไหมว่ามัลแวร์เรียกค่าไถ่นั้น ถือกำเนิดมาตั้งแต่เมื่อไหร่ แล้วแพร่กระจายได้อย่างไร ใครเป็นผู้สร้างมันขึ้นมาเป็นบุคคลแรก ?

ประวัติความเป็นมาของ Ransomware สามารถย้อนอดีตไปได้ถึงปี ค.ศ. 1989 (พ.ศ. 2532) เลยทีเดียว มันถือกำเนิดขึ้นมาได้อย่างไร ? แล้วใครเป็นผู้สร้างมันขึ้นมา ? หากสงสัยล่ะก็ ในบทความนี้เรามีเรื่องราวน่าสนใจเกี่ยวกับมันมาฝากให้อ่านกัน

Joseph Popp คือผู้ที่สร้าง Ransomware ตัวแรกขึ้นมา

มัลแวร์ที่ถูกบันทึกเอาไว้ว่าเป็น Ransomware ตัวแรกของโลก ถูกสร้างขึ้นมาในปี ปี ค.ศ. 1989 (พ.ศ. 2532) มันชื่อว่า AIDS Trojan Horse แต่ก็รู้จักกันในอีกสองชื่อด้วย คือ Aids Info Disk และ PC Cyborg Trojan

AIDS Trojan Horse ถูกสร้างขึ้นมาโดยดอกเตอร์ Joseph Popp นักชีววิทยาด้านวิวัฒนาการที่สอนอยู่ในมหาวิทยาลัยฮาร์วาร์ด โดยเขาได้เขียนมัลแวร์ AIDS Trojan Horse ขึ้นมา ซึ่งในยุคนั้นอินเทอร์เน็ตยังไม่ได้แพร่หลาย การกระจายมัลแวร์ของเขา จึงใช้วิธีใส่มันไว้ในแผ่นดิสก์เก็ต บนแผ่นดิสก์เก็ตมีการแปะสติกเกอร์ที่พิมพ์คำว่า "AIDS Information Introductory Diskette" (ดิสก์เก็ตแนะนำข้อมูลโรคเอดส์) พร้อมแนบเอกสารระบุว่ามีแบบสำรวจความเสี่ยงของบุคคลที่จะติดเชื้อเอดส์ใส่ไปในกล่องด้วย

Eddy Williems ผู้เชี่ยวชาญด้านความปลอดภัย หนึ่งในผู้ที่ได้รับแผ่นดิสก์ที่มี Ransomware ตัวแรกของโลก
ภาพจาก : https://www.gwinnettdailypost.com/news/business/the-bizarre-story-of-the-inventor-of-ransomware/article_bed2be94-129c-5d5a-a973-2112d99556a6.html

แล้วส่งแผ่นดิสก์เก็ตผ่านไปรษณีย์ไปยังที่อยู่ต่าง ๆ ที่เขาได้มาจากฐานข้อมูลสมาชิกขององค์การอนามัยโลก (World Health Organization) และนิตยสาร PC Business World magazine ซึ่งงานนี้ก็ต้องยอมรับว่าการโจมตีของเขาประสบความสำเร็จพอสมควร มีคน และสถาบันทางการแพทย์ตกเป็นเหยื่อมากกว่า 20,000 ราย เลยทีเดียว

ปัจจุบันนี้ Joseph Popp ได้เสียชีวิตลงแล้ว ด้วยวัย 55 ปี เมื่อวันที่ 27 มิถุนายน ค.ศ. 2006 (พ.ศ. 2549) ซึ่งก่อนที่จะเสียชีวิต เขาได้สร้างสวนเรือนกระจกสำหรับเลี้ยงผีเสื้อขึ้นมาในเมืองนิวยอร์ก ซึ่งปัจจุบันนี้ก็ยังเปิดให้บริการอยู่

Joseph Popp
ภาพจาก : https://www.findagrave.com/memorial/78146552/joseph-l-popp

AIDS Trojan Horse ทำงานอย่างไร ?

ภายในแผ่นดิสก์เก็ตจะมีไฟล์ที่ถูกสร้างขึ้นด้วยภาษา QuickBASIC 3.0 อยู่ 2 ไฟล์ ไฟล์แรกจะบรรจุแบบสำรวจ ส่วนอีกไฟล์จะเป็นตัวติดตั้งมัลแวร์เอาไว้

เมื่อมัลแวร์ถูกติดตั้งลงในเครื่องคอมพิวเตอร์ แต่ว่ามันจะยังไม่เข้ารหัสไฟล์โดยทันที แต่มันจะโจมตีไปที่ไดร์ฟ C:\ เพื่อเข้าควบคุมไฟล์ AUTOEXEC.BAT ที่อยู่ใน Root Directory ก่อน ซึ่งไฟล์ AUTOEXEC.BAT เป็นหนึ่งในไฟล์ Startup ของระบบปฏิบัติการ Windows ในยุคนั้น ทำให้มัลแวร์ถูกเรียกทำงานในทุกครั้งที่ระบบปฏิบัติการ Windows ถูกบูตเริ่มทำงาน

แม้ว่าตัวมัลแวร์จะไม่ทำอันตรายต่อระบบบูตของ ระบบปฏิบัติการ Windows แต่มันจะ "นับ" จำนวนครั้งที่ไฟล์ถูกเรียกใช้งาน หลังจากที่ครบ 90 ครั้ง มัลแวร์จะเริ่มเข้ารหัสไฟล์ทั้งหมดที่อยู่ในไดร์ฟ C:\ ทันที โดยใช้การเข้ารหัสแบบสมมาตร (Symmetrical Encryption) แม้ไฟล์ที่ถูกเข้ารหัสจะไม่ได้รับความเสียหาย แต่มันจะเปลี่ยนนามสกุลไฟล์ และปิดกั้นไม่ให้ไฟล์สามารถใช้งานได้

ภาพจาก : https://www.ssl2buy.com/wiki/symmetric-vs-asymmetric-encryption-what-are-differences

หลังจากไฟล์ถูกเข้ารหัสเป็นที่เรียบร้อยแล้ว มัลแวร์ก็จะแสดงข้อความกรรโชกทรัพย์เรียกเงินค่าไถ่ โดยอ้างว่านี่เป็นซอฟต์แวร์จากบริษัท PC Cyborg Corporation ที่หมดอายุการใช้งานแล้ว ผู้ใช้จำเป็นต้องจ่ายเงินเพื่อต่ออายุใหม่ โดยมีค่าใช้จ่ายปีละ $189 ต่อปี (มูลค่าประมาณ $408.54 หรือประมาณ 13,7xx บาท ในปัจจุบัน) หรือ $378 (มูลค่าประมาณ $817.09 หรือประมาณ 27,5xx บาท) ในปัจจุบัน สำหรับ สิทธิ์การใช้งานตลอดชีพ (Lifetime License) แน่นอนว่ายุคนั้นไม่มี สกุลเงินคริปโต (Cryptocurrency) ทางผู้ใช้ต้องส่งเงินผ่านทางแคชเชียร์เช็ค หรือธนาณัติระหว่างประเทศ ไปที่ตู้ไปรษณีย์ ในประเทศสาธารณรัฐปานามา

หน้าจอของผู้ใช้งานจะถูกถล่มด้วยข้อความไถเงินนี้จนไม่สามารถใช้งานคอมพิวเตอร์ได้ และหากพยายามรีสตาร์ตเครื่อง ทุกอย่างก็จะเกิดขึ้นเหมือนเดิมอยู่ดี เพราะไฟล์ AUTOEXEC.BAT ได้ถูกมัลแวร์ครอบงำไปแล้ว

ภาพจาก : https://www.sdxcentral.com/security/definitions/case-study-aids-trojan-ransomware/

เหตุการณ์ที่เกิดขึ้นหลังจาก AIDS Trojan Horse แพร่ระบาด

มัลแวร์ AIDS Trojan Horse ไม่ได้ทำให้ Joseph Popp มีฐานะร่ำรวยแต่อย่างใด สืบเนื่องมาจากวิธีการชำระเงินที่ยากลำบาก แถมค่าไถ่ก็ถือว่าสูงมากอีกด้วย อย่างไรก็ตาม ความเสียหายที่เกิดขึ้นก็ถือว่าสาหัสพอสมควร เหยื่อจำนวนหลายรายได้เลือกวิธีลบข้อมูลทั้งหมดในฮาร์ดดิสก์ออก นักวิจัย และสถาบันทางการแพทย์หลายแห่งต้องสูญเสียข้อมูลงานที่สั่งสมมาเป็นเวลาหลายปี

อย่างไรก็ตาม ปัญหาของ AIDS Trojan Horse ก็จบลงในเดือนมกราคม ปี ค.ศ. 1990 (พ.ศ. 2533) หลังจาก Jim Bates ที่ปรึกษาประจำกองบรรณาธิการของ Virus Bulletin ได้พัฒนาโปรแกรมที่ชื่อว่า "AIDSOUT" และ "CLEARAID" ออกมา ให้ผู้ที่ตกเป็นเหยื่อสามารถนำไปติดตั้งในคอมพิวเตอร์เพื่อใช้ลบมัลแวร์ AIDS Trojan Horse ออกจากระบบ โดย AIDSOUT ใช้ในการลบมัลแวร์ ส่วน CLEARAID ใช้ในการถอดรหัสไฟล์ให้กลับมาปกติ

แม้การแพร่กระจายของมัลแวร์ AIDS Trojan Horse จะจำกัดอยู่ในวงแคบ จากข้อจำกัดของแผ่นดิสก์ที่ถูกแจกจ่ายออกไป อย่างไรก็ตาม มันได้จุดประกายความคิดในการแสวงหาผลประโยชน์จากมัลแวร์รูปแบบใหม่ขึ้นมา หลังจากนั้นก็มีมัลแวร์ที่มีเป้าหมายในการจับไฟล์เป็นตัวประกันถือกำเนิดขึ้นมามากมาย

ทางด้านตัว Joseph Popp ก็หนีไปไหนไม่รอด เขาถูกจับกุมในเดือนมกราคม ปี ค.ศ. 1990 (พ.ศ. 2533) ในประเทศเนเธอร์แลนด์ หลังจากมีอาการทางประสาทที่สนามบินอัมสเตอร์ดัม จนเจ้าหน้าที่เข้าควบคุมตัว ก่อนที่จะพบอุปกรณ์ที่แปะป้ายเอาไว้ว่า "PC Cyborg Corp" ในสัมภาระของเขา โดยเข้าได้ถูกส่งตัวกลับไปจำคุกที่ที่ประเทศสหรัฐอเมริกา ในภายหลังทางตำรวจนครบาลของนิวสกอตแลนด์ยาร์ดได้ขอให้มอบตัวผู้ร้ายข้ามแดนกลับไปรับโทษต่อที่ประเทศอังกฤษในข้อหาแบล็กเมล์

อย่างไรก็ตาม ในปี ค.ศ. 1992 (พ.ศ. 2535) ทางศาลได้ตัดสินว่า สภาพจิตใจของ Joseph Popp ไม่อยู่ในสภาวะที่เหมาะสมต่อการพิจารณาคดี โดยเขาติดที่ดัดผมไว้ที่หนวดเคราโดยอ้างว่าเพื่อป้องกันรังสีที่แผ่กระจายออกมาจากจุลินทรีย์, นำถุงยางมาครอบจมูก และพยายามเอากล่องกระดาษมาสวมไว้บนหัวอยู่ตลอดเวลา หลังจากนั้น เขาก็ถูกเนรเทศกลับประเทศสหรัฐอเมริกา และใช้ชีวิตอยู่ที่นั่นจนกระทั่งเสียชีวิตลง เหลือไว้เพียงแผ่นดิสก์ที่ภายในมี Ransomware ตัวแรกของโลกที่ถูกทิ้งไว้เป็นอนุสรณ์หนึ่งในเสี้ยวประวัติศาสตร์ของระบบคอมพิวเตอร์

แรงจูงใจในการสร้าง AIDS Trojan Horse

ปัจจุบันนี้ คดีความของ Joseph Popp ยังคงเป็นปริศนาว่าเขาลงมือทำไปเพื่ออะไร ? และคงไม่มีใครรู้คำตอบนอกจากตัวเขาเอง แต่น่าเสียดายที่เขามีอาการทางประสาท และเสียชีวิตไปแล้ว ทุกอย่างได้ถูกฝังจมไปกับร่างในหลุมศพของเขา ทำให้ความจริงไม่มีวันปรากฏได้อีกตลอดกาล

มันมีประเด็นน่าสงสัยหลายอย่างที่ยังไม่ได้รับคำตอบ เขาเอาแผ่นดิสก์จำนวนมากมาจากไหน ? เพราะแผ่นดิสก์ในยุคนั้นมีราคาที่สูงมากพอสมควร นักชีววิทยาอย่างเขาจะเอาเอาเงินจากไหนมาซื้อแผ่นดิสก์กว่า 20,000 แผ่น (แผ่นดิสก์ในยุคนั้นมีราคาประมาณ $5) ไหนจะค่าส่งไปรษณีย์ แรง และเวลาที่ต้องเสียสละไปเพื่อสิ่งตอบแทนที่ไม่คุ้มค่าเอาเสียเลย บางคนเชื่อว่าน่าจะมีคนบงการอยู่เบื้องหลัง บ้างก็ว่า เพราะ Joseph Popp ต้องการแก้แค้นองค์การอนามัยโลก (World Health Organization) ที่ปฏิเสธไม่ยอมรับเขาเข้าทำงาน

อย่างไรก็ตาม Michela Menting ผู้อำนวยการฝ่ายวิจัย ของบริษัทวิจัยตลาด ABI Research ได้วิเคราะห์ว่า "เห็นได้อย่างชัดเจนว่า การกระทำของ Joseph Popp เกิดขึ้นจากความต้องการของเขาเพียงลำพัง ไม่ได้มีองค์กร หรือบุคคลที่สามให้การสนับสนุน แล้วสิ่งหนึ่งที่เขาแสดงออกอย่างชัดเจน คือ ความรู้สึกแรงกล้าที่มีต่อโรคเอดส์ และการวิจัยเอดส์ แม้แรงจูงใจของ Joseph Pop จะไม่มีใครรู้ แต่หลังจากพ้นโทษออกมาจากคุก เขาก็พยายามที่จะเริ่มต้น และไล่ตามความฝันอันใหม่ของเขา ซึ่งดูได้จากการเขียนหนังสือ "Popular Evolution" ออกมา โดยเป็นหนังสือเกี่ยวกับแนวคิดสนับสนุนให้ผู้หญิงเริ่มแต่งงานตั้งแต่ที่อายุยังน้อย และเอาใจใส่การเลี้ยงดูบุตร

หนังสือ Popular Evolution เขียนโดย Joseph L. Popp.
ภาพจาก : https://www.villagevoice.com/2009/04/16/dr-popp-the-first-computer-virus-and-the-purpose-of-human-life-studies-in-crap-gapes-at-popular-evolution/