นานก่อนที่การโจมตีด้วยแรนซัมแวร์จะกลายเป็นข่าวพาดหัวรายสัปดาห์ มัลแวร์ตระกูลหนึ่งได้เขียนกฎใหม่ของอาชญากรรมไซเบอร์อย่างเงียบ ๆ แกนด์แคร็บไม่ได้แค่ข่มขู่เรียกค่าไถ่จากเหยื่อ มันสร้างธุรกิจทั้งหมดขึ้นรอบการข่มขู่เรียกค่าไถ่ ครบครันด้วยสัญญาพันธมิตร ตัวชี้วัดผลการปฏิบัติงาน และบริการลูกค้า นักวิจัยด้านความปลอดภัยจากแมคอาฟีขุดลึกลงไปว่าปฏิบัติการนี้ทำงานจริงอย่างไร และสิ่งที่พวกเขาพบนั้นอ่านแล้วไม่เหมือนกรณีศึกษาเรื่องแฮกกิ้ง แต่เหมือนข้อตกลงแฟรนไชส์มากกว่า การทำความเข้าใจโครงสร้างของแกนด์แคร็บมีความสำคัญในทุกวันนี้ เพราะโมเดลแรนซัมแวร์แบบบริการ (Ransomware as a Service) ที่มันช่วยทำให้เป็นที่นิยมยังคงเป็นรูปแบบหลักเบื้องหลังการโจมตีสมัยใหม่

อะไรที่ทำให้แกนด์แคร็บแตกต่าง: โมเดลธุรกิจแบบพันธมิตร

คนส่วนใหญ่นึกภาพแรนซัมแวร์ว่าเป็นผลงานของแฮกเกอร์คนเดียวที่ฝังโค้ดอันตราย แกนด์แคร็บดำเนินการแตกต่างออกไป ตามการวิเคราะห์ของแมคอาฟี นักพัฒนาที่อยู่เบื้องหลังแกนด์แคร็บไม่ได้ลงมือโจมตีด้วยตัวเอง พวกเขากลับรับสมัครพันธมิตรที่ทำหน้าที่เผยแพร่มัลแวร์และจัดการกับการติดเชื้อจริง ขณะที่ผู้ดำเนินการหลักหักส่วนแบ่งจากรายได้

ส่วนแบ่งนั้นมีมูลค่ามหาศาล: พันธมิตรเก็บค่าไถ่ได้ 70% ส่วนที่เหลือส่งกลับไปให้ผู้พัฒนาที่ดูแลโค้ด การแบ่งรายได้นี้กระตุ้นให้พันธมิตรเร่งปริมาณการโจมตี และทำให้ผู้ดำเนินการมีรายได้ไหลเข้าอย่างสม่ำเสมอโดยไม่ต้องแตะเครื่องของเหยื่อแม้แต่เครื่องเดียวโดยตรง

การจัดการนี้ยังมาพร้อมกับความรับผิดชอบ แมคอาฟีพบว่าพันธมิตรที่ผลงานต่ำกว่ามาตรฐานถูกไล่ออกจากโปรแกรม รายละเอียดนี้ตอกย้ำว่าปฏิบัติการนี้กลายเป็นธุรกิจจริงจังแค่ไหน ผลงานต่ำหมายถึงการยุติความร่วมมือ ตรรกะเดียวกับที่ควบคุมทีมขายทุกทีมที่วัดผลด้วยโควตา ตัวมัลแวร์เองยังถูกออกแบบให้ข้ามเครื่องที่อยู่ในรัสเซียและอดีตสหภาพโซเวียต ซึ่งเป็นรูปแบบที่พบได้ทั่วไปในกลุ่มแรนซัมแวร์ที่เชื่อกันว่าปฏิบัติการจากภูมิภาคนั้น น่าจะเพื่อหลีกเลี่ยงการดึงดูดความสนใจจากหน่วยงานบังคับใช้กฎหมายในประเทศ

คู่มือทางเทคนิค: การเข้ารหัส การลบ Shadow Copy และการพิสูจน์การถอดรหัส

ใต้โครงสร้างธุรกิจคือวิศวกรรมมัลแวร์ที่ได้ผลจริง แกนด์แคร็บผสมผสานการเข้ารหัส AES และ RSA ซ้อนชั้นการเข้ารหัสแบบสมมาตรและอสมมาตรเพื่อให้เหยื่อไม่สามารถย้อนกระบวนการได้ง่าย ๆ หากไม่มีคีย์ส่วนตัวของผู้โจมตี เมื่อไฟล์ถูกล็อกแล้ว มัลแวร์จะลบ Windows shadow copies ซึ่งเป็นสแนปชอตสำรองในตัวที่ผู้ใช้จำนวนมากพึ่งพาเพื่อกู้คืนไฟล์หลังจากเกิดปัญหาระบบ การลบสำเนาเหล่านั้นเป็นการปิดเส้นทางการกู้คืนที่ง่ายที่สุดเส้นทางหนึ่งที่เหยื่ออาจใช้ได้หาก他们没有สำรองข้อมูลแยกต่างหากนอกระบบ

เพื่อพิสูจน์ว่าการเรียกค่าไถ่เป็นของจริงไม่ใช่การหลอกลวง ผู้ดำเนินการจึงสร้างกลไกให้ถอดรหัสไฟล์หนึ่งไฟล์ฟรี ท่าทางเล็ก ๆ นี้มีจุดประสงค์ทางจิตวิทยาที่เฉพาะเจาะจง: มันแสดงให้เห็นว่าการจ่ายเงินจะช่วยให้เข้าถึงข้อมูลได้จริง ทำให้เหยื่อมีแนวโน้มที่จะจ่ายตามคำขอ แทนที่จะตัดใจว่าข้อมูลของตนสูญหายทั้งหมด

การสนับสนุนบนเว็บมืดและการจ่ายผ่าน Dash: การขู่กรรโชกในรูปแบบบริการลูกค้า

บางทีแง่มุมที่ผิดปกติที่สุดของปฏิบัติการแกนด์แคร็บคือวิธีที่มันปฏิบัติต่อเหยื่อหลังจากจอ ransom note ปรากฏขึ้น กลุ่มนี้เสนอการสนับสนุนบนเว็บมืดที่พร้อมให้บริการตลอด 24 ชั่วโมง เรียกได้ว่าวิ่งศูนย์ช่วยเหลือให้คนที่กำลังถูกขู่กรรโชกจริง ๆ เหยื่อที่สับสนเกี่ยวกับขั้นตอนการจ่ายเงินหรือคำแนะนำการถอดรหัสสามารถขอคำแนะนำได้ ซึ่งเป็นชั้นบริการที่ทำให้กระบวนการทั้งหมดรู้สึกใกล้เคียงกับการสนับสนุนลูกค้าที่ถูกกฎหมายอย่างน่าขนลุก

การจ่ายเงินเองถูกส่งผ่าน Dash แทนที่จะเป็น Bitcoin ที่ถูกพูดถึงมากกว่า Dash ให้ความเร็วในการทำธุรกรรมที่เร็วกว่าและฟีเจอร์ความเป็นส่วนตัวเพิ่มเติม ซึ่งทำให้เป็นตัวเลือกที่น่าสนใจสำหรับปฏิบัติการที่ต้องประมวลผลการจ่ายเงินข้ามเครือข่ายพันธมิตรที่กระจายตัว ขณะเดียวกันก็จำกัดการติดตามได้

สิ่งนี้หมายความต่อระบบความปลอดภัยของคุณในวันนี้

แกนด์แคร็บเป็นกรณีศึกษาที่มีประโยชน์เพราะโมเดลแรนซัมแวร์แบบบริการที่มันปรับแต่งให้สมบูรณ์ไม่เคยหายไป โครงสร้างพันธมิตร การจ่ายแบบชั้น และช่องทางการสนับสนุนบนเว็บมืดยังคงเป็นคุณสมบัติมาตรฐานของปฏิบัติการแรนซัมแวร์ในปัจจุบัน รายงานของเช็คพอยต์เกี่ยวกับเหยื่อแรนซัมแวร์ 2,139 รายในไตรมาสที่ 2 ปี 2026 แสดงให้เห็นว่าโมเดลที่ขับเคลื่อนด้วยพันธมิตรนี้ขยายตัวมากแค่ไหน ยืนยันว่าคู่มือที่แกนด์แคร็บช่วยสร้างไว้ยังคงสร้างเหยื่อจริงในปริมาณจริงต่อไป

สำหรับผู้ใช้ทั่วไปและธุรกิจขนาดเล็ก บทเรียนด้านการป้องกันไม่เปลี่ยนแปลง เพราะแรนซัมแวร์อย่างแกนด์แคร็บลบ shadow copies เพื่อปิดกั้นการกู้คืนที่ง่าย การสำรองข้อมูลแบบออฟไลน์และบนคลาวด์ที่จัดเก็บแยกจากระบบหลักจึงเป็นสิ่งจำเป็น ไม่ใช่ทางเลือก เครื่องมือรักษาความปลอดภัยปลายทางที่จับพฤติกรรมการเข้ารหัสอันตรายก่อนที่มันจะเสร็จสิ้นการไล่เข้ารหัสไฟล์ทั้งหมดจะเพิ่มการป้องกันอีกชั้นหนึ่ง VPN ที่น่าเชื่อถือจะไม่หยุดแรนซัมแวร์ด้วยตัวมันเอง แต่มันลดความเสี่ยงบนเครือข่ายสาธารณะและจำกัดการสอดแนมเครือข่ายแบบที่บางครั้งเกิดขึ้นก่อนการโจมตีแบบเจาะจง โดยเฉพาะสำหรับพนักงานระยะไกลและพนักงานธุรกิจขนาดเล็กที่เชื่อมต่อจากสถานที่หลากหลาย

ข้อสรุปที่นำไปปฏิบัติได้

สำรองไฟล์ของคุณอย่างสม่ำเสมอ และเก็บสำเนาอย่างน้อยหนึ่งชุดแบบออฟไลน์หรือในพื้นที่เก็บข้อมูลที่แรนซัมแวร์เข้าถึงผ่านเครือข่ายของคุณไม่ได้ อัปเดตระบบปฏิบัติการและซอฟต์แวร์ความปลอดภัยอยู่เสมอ เนื่องจากการติดเชื้อแรนซัมแวร์จำนวนมากยังคงใช้ประโยชน์จากช่องโหว่ที่รู้จักและแก้ไขได้ อย่าไว้ใจไฟล์แนบและลิงก์ที่ไม่ได้รับการร้องขอ เนื่องจากแคมเปญที่ขับเคลื่อนด้วยพันธมิตรพึ่งพาการฟิชชิ่งเชิงปริมาณจำนวนมากเพื่อหาเหยื่อ สุดท้าย มองเครื่องมือความปลอดภัยใด ๆ เพียงชิ้นเดียว ไม่ว่าจะเป็น VPN แอนตี้ไวรัส หรือโซลูชันสำรองข้อมูล ว่าเป็นหนึ่งชิ้นส่วนของการป้องกันแบบหลายชั้น ไม่ใช่คำตอบที่สมบูรณ์ แกนด์แคร็บพิสูจน์ว่าผู้ปฏิบัติการแรนซัมแวร์คิดเหมือนนักธุรกิจ ระบบป้องกันของคุณควรฉลาดรอบคอบไม่แพ้กัน