Zero-day (หรือ Zero-day Exploit) คือการโจมตีที่ใช้ช่องโหว่ในซอฟต์แวร์ที่ผู้ผลิตยังไม่รู้หรือยังไม่มีแพตช์แก้ไข ชื่อนี้มาจากจำนวนวันที่ผู้พัฒนารู้ถึงช่องโหว่ = 0 วันนับตั้งแต่พบการโจมตีครั้งแรก

ทำไม Zero-day ถึงอันตราย

• ไม่มีแพตช์แก้ไขในตอนแรก ทำให้วิธีป้องกันแบบปกติ (อัปเดต) ใช้ไม่ได้
• มักถูกใช้โจมตีเป้าหมายสำคัญ เช่น หน่วยงานรัฐ บริษัทใหญ่ และนักข่าว
• บางครั้งผู้ขายมัลแวร์ (exploit brokers) ซื้อขายกันในราคาแพง

วิธีป้องกันช่องโหว่ที่ไม่รู้จัก

1. อัปเดตให้ทัน (Patch Management)

เมื่อผู้ผลิตปล่อยแพตช์ ควรอัปเดตภายในเวลาอันสั้น เพราะช่วงเวลา “รู้ว่ามีช่องโหว่แต่ยังไม่แก้อัปเดต” คือจุดที่เปราะบางที่สุด

2. ลดสิทธิ์การใช้งาน (Least Privilege)

ไม่ใช้บัญชี Administrator เป็นบัญชีประจำวัน เพราะแม้โดนโจมตี ระดับความเสียหายจะถูกจำกัด

3. ใช้หลักการ Defense in Depth

• แอนตี้ไวรัส + EDR (Endpoint Detection & Response) ตรวจจับพฤติกรรมผิดปกติ ไม่ใช่แค่ลายเซ็น
• ไฟร์วอลล์และระบบตรวจจับการบุกรุก (IDS)
• Application Control / Whitelisting: อนุญาตให้รันเฉพาะโปรแกรมที่รับรองเท่านั้น

4. จำกัดพื้นผิวการโจมตี (Attack Surface Reduction)

ปิดฟีเจอร์และบริการที่ไม่ได้ใช้ ลบโปรแกรมที่ไม่จำเป็น อัปเดตปลั๊กอินทุกตัว และเปิดการป้องกัน Exploit ของ Windows (Windows Defender Exploit Guard)

5. ติดตามข่าวสารช่องโหว่

ติดตามประกาศ CVE และแจ้งเตือนจากผู้ผลิต เพื่ออัปเดตแพตช์ชั่วคราวหรือมาตรการชดเชย (Mitigation) ได้ทัน

สรุป

ไม่มียาแก้ Zero-day ที่รับประกันได้ 100% แต่การอัปเดตไว ติดตั้งชั้นป้องกันหลายชั้น และใช้นิสัยที่ปลอดภัย จะลดความเสี่ยงได้อย่างมาก แม้ไม่รู้ว่าช่องโหว่คืออะไร

หมายเหตุ: หากองค์กรของคุณต้องเผชิญกับภัยคุกคามขั้นสูง ควรปรึกษาผู้เชี่ยวชาญด้านความปลอดภัยและทำการทดสอบเจาะระบบเป็นระยะ

Autoruns และ Process Explorer เป็นเครื่องมือฟรีจาก Microsoft (Sysinternals) ที่ใช้กันแพร่หลายในการตรวจหามัลแวร์ระดับขั้นสูง เพราะมันเผยให้เห็นสิ่งที่แอนตี้ไวรัสทั่วไปอาจไม่แสดงผลออกมาให้เห็น

Autoruns: ตรวจทุกจุดที่โปรแกรมสตาร์ตอัตโนมัติ

มัลแวร์ส่วนใหญ่ต้อง “ติดตั้งตัวเองให้เริ่มทำงานเมื่อบูต” ผ่านจุด autorun เช่น รันคีย์รีจิสทรี, โฟลเดอร์ Startup, งานใน Task Scheduler และไดรเวอร์

วิธีใช้ Autoruns

1. ดาวน์โหลด Autoruns จากเว็บไซต์ Sysinternals ทางการ
2. รันด้วยสิทธิ์ Administrator
3. ดูแท็บ Everything เพื่อเห็นรายการทั้งหมด
4. ติ๊กตัวกรอง Hide Microsoft Entries และ Hide Windows Entries เพื่อเหลือเฉพาะรายการจากบุคคลที่สาม
5. สังเกตรายการที่ ไม่มี publisher หรือที่ VirusTotal ให้ผล “0/xx” (ไม่รู้จัก) อย่างน่าสงสัย
6. คลิกขวา > Search Online เพื่อตรวจสอบชื่อไฟล์

Process Explorer: ดูกระบวนการที่ทำงานจริง

Process Explorer เป็นตัวจัดการงานขั้นสูง ที่แสดงว่าแต่ละกระบวนการโหลด DLL อะไร เชื่อมต่อเครือข่ายที่ไหน และมีลายเซ็นจากใคร

วิธีใช้ Process Explorer

1. รันและตั้งค่า: Options > Verify Image Signatures
2. Sort ตามคอลัมน์ Verified Signer เพื่อแยกกระบวนการที่มีและไม่มีลายเซ็น
3. คลิกขวากระบวนการต้องสงสัย > Properties ดูแท็บ Image และ Strings
4. ดูแท็บ TCP/IP ว่ากระบวนการเชื่อมต่อไปที่ IP ใด — IP ที่เป็นตำแหน่งของ C2 (Command & Control) คือธงแดง
5. ตรวจ DLL ที่โหลดโดยกระบวนการ (แท็บ DLLs) — DLL ต้องสงสัยที่โหลดในกระบวนการปกติคือสัญญาณของมัลแวร์

การแยกแยะปกติกับผิดปกติ

• ชื่อไฟล์พิมพ์ผิด เช่น svch0st.exe แทน svchost.exe หรือ expl0rer.exe
• กระบวนการระบบรันจากตำแหน่งที่ไม่ถูกต้อง (เช่น svchost.exe ที่อยู่ใน Downloads)
• ไม่มี publisher และไฟล์เพิ่งถูกสร้างเมื่อเร็วๆ นี้
• เชื่อมต่อไปยัง IP/โดเมนที่ไม่รู้จักตลอดเวลา

ข้อควรจำ

เครื่องมือเหล่านี้ช่วย “ค้นหา” แต่การ “กำจัด” มัลแวร์ที่ฝังลึกควรใช้การสแกนแบบ Offline หรือติดตั้ง Windows ใหม่ มากกว่าการลบไฟล์ทีละไฟล์ขณะระบบทำงาน

หมายเหตุ: ดาวน์โหลดเครื่องมือจากเว็บไซต์ Microsoft ทางการเท่านั้น และทำการวิเคราะห์บนเครื่องสำรองหรือใน VM เพื่อความปลอดภัย

Sandbox คือสภาพแวดล้อมที่แยกออกจากระบบจริงโดยสิ้นเชิง ใช้สำหรับรันไฟล์ที่น่าสงสัยเพื่อดูพฤติกรรมโดยไม่เป็นอันตรายต่อเครื่องแม่ บทความนี้แนะนำการวิเคราะห์มัลแวร์แบบ Dynamic Analysis (การรันจริงแล้วสังเกตพฤติกรรม)

ทำไมต้องวิเคราะห์ใน Sandbox

• เห็นพฤติกรรมจริง: ไฟล์สร้างอะไร เขียนที่ไหน เชื่อมต่อที่ไหน
• ปลอดภัย: การติดเชื้อถูกจำกัดอยู่ในสภาพแวดล้อมที่ปิดกั้น
• เก็บหลักฐาน: บันทึก network traffic, file system changes, registry

เครื่องมือที่นิยมใช้

บริการวิเคราะห์อัตโนมัติ

• VirusTotal — อัปโหลดไฟล์เพื่อสแกนหลายๆ เอนจิน และดูรายงานพฤติกรรม
• Any.Run — รันไฟล์ใน Sandbox ออนไลน์และดูภาพการทำงาน
• Hybrid Analysis — รายงาน Dynamic Analysis แบบละเอียด

เครื่องมือในเครื่อง (Self-hosted)

• VirtualBox / VMware + สแนปช็อต — ใช้ VM ที่ถูก snap ก่อนรันทุกครั้ง
• FLARE VM / REMnux — ชุดเครื่องมือวิเคราะห์มัลแวร์โดยเฉพาะ
• Process Monitor (Sysinternals) — บันทึกการทำงานของระบบทั้งหมด

ขั้นตอนวิเคราะห์เบื้องต้น

1. สร้าง VM ที่แยกเครือข่าย (ใช้ Host-only หรือไม่มีเน็ต)
2. ถ่ายสแนปช็อต (Snapshot) ก่อนรันเสมอ
3. รันไฟล์ที่น่าสงสัย แล้วบันทึก: กระบวนการที่เกิดขึ้น, ไฟล์ที่ถูกสร้าง, รีจิสทรีที่ถูกแก้, การเชื่อมต่อเครือข่าย
4. หาค่าแฮช (SHA-256) ไปเทียบกับฐานข้อมูล (VirusTotal)
5. คืนค่า VM จากสแนปช็อตหลังวิเคราะห์เสร็จ

ข้อควรระวัง

• มัลแวร์บางตัวตรวจพบ Sandbox (VM detection) แล้วไม่แสดงพฤติกรรม
• ห้ามรันมัลแวร์บนเครื่องหลักเด็ดขาด แม้แค่ทดลอง
• ควรทำงานนี้ในเครือข่ายที่แยกจากระบบจริง

หมายเหตุ: การวิเคราะห์มัลแวร์ระดับนี้ควรทำอย่างมีความรับผิดชอบ ไม่นำตัวอย่างไปเผยแพร่ และอ้างอิงข้อมูลให้ถูกต้อง

MpCmdRun.exe คือโปรแกรมสั่งการของ Microsoft Defender ที่ช่วยให้คุณสแกน อัปเดตฐานข้อมูล และจัดการผลลัพธ์ได้จาก Command Line ซึ่งมีประโยชน์มากเมื่อ GUI มีปัญหา หรือต้องการทำสแกนแบบกำหนดเองในสคริปต์

ตำแหน่งของคำสั่ง

บน Windows 10/11 64 บิต ไฟล์อยู่ที่:

C:\Program Files\Windows Defender\MpCmdRun.exe

คำสั่งที่ใช้งานบ่อย

สแกนทั้งระบบ (Full Scan)

MpCmdRun.exe -scan -scantype 2

สแกนอย่างรวดเร็ว (Quick Scan)

MpCmdRun.exe -scan -scantype 1

สแกนไฟล์หรือโฟลเดอร์ที่กำหนด

MpCmdRun.exe -scan -scantype 3 -file "C:\Users\คุณ\Downloads\suspect.exe"

อัปเดตฐานข้อมูลไวรัส

MpCmdRun.exe -SignatureUpdate

กู้ไฟล์ที่ถูกกักบริเวณ (Quarantine)

ดูรายการไฟล์ที่ถูกกักก่อน:

MpCmdRun.exe -Restore -ListAll

กู้ไฟล์ที่ระบุกลับคืน:

MpCmdRun.exe -Restore -Name "ชื่อไฟล์" -All

คำแนะนำการใช้งาน

• เปิด Command Prompt ในโหมด Administrator ก่อนใช้งาน
• สำหรับสแกนที่ต้องการความแม่นยำ ควรหยุดโปรแกรมทำงานอื่นชั่วคราว
• หากต้องจัดการ Rootkit ให้สแกนแบบ Offline แทนที่จะสแกนในระบบ

ตรวจสอบว่าคำสั่งมีอยู่

บางเวอร์ชันของ Windows ใช้เส้นทางอื่น ให้ลองพิมพ์ mpcmdrun ที่ Command Prompt โดยตรง หรือใช้ Get-Command MpCmdRun ใน PowerShell

หมายเหตุ: การใช้คำสั่งนี้ควรทำในเครื่องที่คุณควบคุมเองทั้งหมด และอัปเดตฐานข้อมูลก่อนสแกนเสมอ

Rootkit คือมัลแวร์ที่แอบเข้าไปยึดสิทธิ์ระดับลึกของระบบ เพื่อซ่อนตัวของมันและโปรแกรมอันตรายอื่นๆ เอาไว้จากระบบตรวจสอบปกติ ส่วน Bootkit เป็นรูปแบบที่ฝังตัวในส่วนที่เครื่องอ่านก่อนบูตระบบปฏิบัติการ (เช่น MBR หรือ UEFI) ทำให้มันทำงานก่อนแอนตี้ไวรัสจะเริ่มต้นเสียอีก

Rootkit กับ Bootkit ต่างกันอย่างไร

ทำไมการสแกนปกติจับไม่ได้

Rootkit แทรกตัวเองเข้าไปในชุดคำสั่งที่ใช้แสดงรายการไฟล์และกระบวนการ (API hooking) ทำให้ข้อมูลที่ระบบตรวจสอบเห็นเป็น “ข้อมูลปลอม” ที่ซ่อนมัลแวร์ไว้ ดังนั้นการสแกนภายในระบบปฏิบัติการที่กำลังทำงานจึงเชื่อถือไม่ได้

วิธีตรวจจับและกำจัด

สแกนจากนอกระบบ (Offline Scan)

ใช้เครื่องมือที่บูตแยกต่างหากก่อน Windows เริ่มทำงาน เช่น Microsoft Defender Offline, Windows RE (WinRE) หรือดิสก์กู้ระบบ วิธีนี้ระบบปฏิบัติการยังไม่ถูก Rootkit เข้าควบคุม จึงเห็นมัลแวร์จริง

ตรวจหาโดยตรง

• ใช้ Sysinternals Autoruns เพื่อดูจุดเริ่มต้น (autorun entries) ที่ถูกซ่อนหรือไม่มีการเซ็นชื่อ
• ใช้ Process Explorer ตรวจ DLL ที่โหลดอยู่ในกระบวนการที่ควรจะเป็น
• เปรียบเทียบรายการไฟล์กับข้อมูลจริงด้วยเครื่องมือตรวจสอบไฟล์ระบบ

เมื่อพบแล้ว

การลบ Rootkit ขณะระบบทำงานส่วนใหญ่ไม่สำเร็จ แนวทางที่ได้ผลคือสแกนแบบ Offline หากไม่สามารถกู้ได้จนเชื่อใจระบบได้ ให้ติดตั้ง Windows ใหม่ทั้งหมดบนดิสก์ที่ล้างสะอาด และกู้ข้อมูลจากสำรองเท่านั้น

ข้อควรจำ

การสำรองข้อมูลแยกต่างหากคือทางรอดหลักของเหตุการณ์แบบนี้ เนื่องจากการฟอร์แมตเครื่องใหม่เป็นทางเลือกที่แน่นอนที่สุด แต่ข้อมูลจะรอดได้ก็ต่อเมื่อมี Backup ที่สะอาด

หมายเหตุ: บทความนี้ระดับยาก เหมาะสำหรับผู้ที่เข้าใจการทำงานของระบบ หากไม่มั่นใจให้จ้างผู้เชี่ยวชาญหรือทำการฟอร์แมตใหม่