Botnet และ Ransomware บนเซิร์ฟเวอร์ ภัยร้ายแรงที่สุดของเว็บไซต์

Ransomware บนเว็บไซต์ คือมัลแวร์เรียกค่าไถ่ที่เข้ารหัสไฟล์ ฐานข้อมูล หรือทั้งเซิร์ฟเวอร์ที่เว็บตั้งอยู่ จนเว็บใช้งานไม่ได้ แล้วเรียกเงินเพื่อแลกกับการคืนสิทธิ์เข้าถึง NIST นิยามว่าแรนซัมแวร์เป็นการโจมตีที่ผู้โจมตีเข้ารหัสข้อมูลขององค์กรแล้วเรียกเงินเพื่อคืนการเข้าถึง และอาจขโมยข้อมูลแล้วเรียกเงินเพิ่มเพื่อแลกกับการไม่เปิดเผยข้อมูลนั้น (NIST IR 8374 Rev. 1, 2026) ส่วน Botnet คือเครือข่ายของเครื่องที่ถูกยึด ซึ่งผู้โจมตีสั่งการจากระยะไกลให้ทำงานพร้อมกัน

ทั้งสองแบบต่างจากมัลแวร์เว็บส่วนใหญ่ที่แทรกลิงก์หรือพาผู้เข้าชมไปเว็บอื่น เพราะเป้าหมายคือตัวเซิร์ฟเวอร์ ทั้งการใช้เครื่องของเราไปโจมตีผู้อื่น และการทำให้ข้อมูลของเราใช้ไม่ได้ บทความนี้อยู่ในชุดความรู้เรื่อง มัลแวร์เว็บไซต์ (Website Malware) โดยอธิบายนิยาม ผลกระทบ จุดยืนของหน่วยงานทางการเรื่องการจ่ายค่าไถ่ และวิธีเตรียมระบบสำรองข้อมูลให้รอดจากเหตุลักษณะนี้

Botnet คืออะไร เว็บเราเกี่ยวอะไรด้วย

คำว่า Botnet มาจาก robot และ network อภิธานศัพท์ของ NIST อธิบายว่าอาชญากรไซเบอร์ใช้โทรจันเจาะความปลอดภัยของคอมพิวเตอร์หลายเครื่อง ยึดการควบคุมแต่ละเครื่อง แล้วรวมเครื่องที่ติดเชื้อเป็นเครือข่ายของบอทที่สั่งการจากระยะไกลได้ (NIST CSRC Glossary) MITRE ATT&CK อธิบายในเทคนิค T1584.005 Compromise Infrastructure: Botnet ว่าผู้โจมตีอาจยึดระบบของบุคคลที่สามจำนวนมากเพื่อสร้าง Botnet แล้วสั่งให้ทำงานประสานกัน เช่น ส่ง Phishing จำนวนมาก หรือทำ Distributed Denial of Service (DDoS)

เว็บไซต์เกี่ยวข้องกับ Botnet ได้สองทาง

• เว็บเป็นเหยื่อ CISA นิยาม DoS ว่าเป็นเหตุที่ผู้ใช้ที่ถูกต้องเข้าถึงระบบหรือทรัพยากรเครือข่ายไม่ได้เพราะการกระทำของผู้โจมตี และ DDoS คือการที่หลายเครื่องโจมตีเป้าหมายเดียวพร้อมกัน โดยมักใช้ Botnet (CISA, 2021) MITRE แยกเป็น T1498 Network Denial of Service ที่ทำให้เครือข่ายเต็ม และ T1499 Endpoint Denial of Service ที่มุ่งใช้ทรัพยากรของระบบจนหมด ซึ่งครอบคลุมถึงเว็บเซิร์ฟเวอร์ DNS และฐานข้อมูล
• เว็บกลายเป็นบอท เมื่อผู้โจมตีได้สิทธิ์รันคำสั่งบนเซิร์ฟเวอร์ เช่น ผ่าน Web Shell เซิร์ฟเวอร์ของเราอาจถูกสั่งให้ส่งทราฟฟิกไปโจมตีเว็บอื่น ส่งสแปม หรือสแกนหาช่องโหว่ของเว็บอื่นต่อ เซิร์ฟเวอร์มีแบนด์วิดท์และเปิดทำงานตลอดเวลา จึงมีค่าสำหรับผู้โจมตีมากกว่าคอมพิวเตอร์ทั่วไป

สำหรับ WordPress ช่องทางที่ถูกใช้บ่อยในการโจมตีจำนวนมากคือการเดารหัสผ่าน ดูรายละเอียดใน Brute Force Attack และ XML-RPC ควรปิดไหม ส่วนการที่เซิร์ฟเวอร์ถูกยึดทรัพยากรไปขุดเหรียญเป็นปัญหาตระกูลเดียวกัน อธิบายไว้ใน Cryptojacking คืออะไร

Ransomware บนเว็บเซิร์ฟเวอร์คืออะไร

คู่มือ #StopRansomware ของ CISA นิยามแรนซัมแวร์ว่าเป็นมัลแวร์ที่ออกแบบมาเพื่อเข้ารหัสไฟล์บนอุปกรณ์ ทำให้ไฟล์และระบบที่พึ่งพาไฟล์เหล่านั้นใช้งานไม่ได้ และระบุว่าผู้โจมตีในปัจจุบันมักขโมยข้อมูลออกไปก่อนแล้วขู่ว่าจะเปิดเผย เพื่อกดดันให้จ่ายเงิน บางกรณีขู่กรรโชกด้วยข้อมูลอย่างเดียวโดยไม่ใช้แรนซัมแวร์เลย (CISA #StopRansomware Guide, 2023) MITRE จัดการเข้ารหัสเพื่อทำลายความพร้อมใช้งานไว้ในเทคนิค T1486 Data Encrypted for Impact ซึ่งครอบคลุมทั้งไฟล์ระบบ พาร์ทิชันของดิสก์ และเครื่องเสมือน (virtual machine) บน hypervisor เช่น ESXi

ในบริบทของเว็บไซต์ เหตุแรนซัมแวร์มีได้หลายระดับ

CISA ระบุว่าแนวทางการโจมตีที่เกิดขึ้นใหม่เริ่มมุ่งเป้าเซิร์ฟเวอร์ VMware ESXi และ hypervisor เพราะเข้ารหัสโครงสร้างพื้นฐานจำนวนมากได้เร็ว (CISA, 2023) ซึ่งเกี่ยวข้องกับเจ้าของเว็บที่ใช้ VPS หรือเซิร์ฟเวอร์เสมือน เพราะความปลอดภัยของเว็บขึ้นอยู่กับโครงสร้างของผู้ให้บริการด้วย

ข้อควรแยกให้ออก คือหน้าเว็บที่ถูกเปลี่ยนเป็นข้อความของแฮกเกอร์ไม่ได้แปลว่าเป็นแรนซัมแวร์เสมอไป หลายกรณีเป็นการเปลี่ยนหน้าเว็บ (Defacement) โดยไฟล์อื่นยังอยู่ครบ ดูวิธีแยกและรับมือใน เว็บโดนแฮกเปลี่ยนหน้าแรก (Defacement)

ผลกระทบ: เว็บล่ม ข้อมูลหาย และถูกโฮสต์ระงับ

CISA ระบุว่าเหตุแรนซัมแวร์และการรั่วไหลของข้อมูลที่เกี่ยวข้องอาจกระทบกระบวนการทางธุรกิจรุนแรง เพราะองค์กรเข้าถึงข้อมูลที่จำเป็นต่อการให้บริการไม่ได้ และผลทางเศรษฐกิจและชื่อเสียงสร้างต้นทุนสูงทั้งช่วงหยุดชะงักและช่วงกู้คืนที่อาจยาวนาน (CISA, 2023) สำหรับเว็บไซต์ ผลกระทบแบ่งได้ดังนี้

• เว็บล่มหรือช้าจนใช้ไม่ได้ ทั้งจากไฟล์ถูกเข้ารหัส และจาก DDoS ซึ่ง CISA ระบุอาการไว้ว่าเครือข่ายช้าผิดปกติ หรือเว็บไซต์บางแห่งเข้าไม่ได้ (CISA, 2021) วิธีไล่หาสาเหตุเว็บล่มทั่วไปดูได้ใน WordPress เว็บล่ม แก้ยังไง
• ข้อมูลหายถาวรถ้าไม่มี Backup ที่ใช้ได้ CISA เตือนว่าแรนซัมแวร์หลายสายพันธุ์พยายามค้นหาแล้วลบหรือเข้ารหัส Backup ที่เข้าถึงได้ เพื่อให้กู้คืนไม่ได้นอกจากจะจ่ายค่าไถ่
• ข้อมูลลูกค้ารั่วไหล ในกรณีขโมยข้อมูลแล้วขู่ ซึ่งอาจมีภาระตามกฎหมายคุ้มครองข้อมูลส่วนบุคคล ภาพรวมเรื่อง PDPA สรุปไว้ในบทความหลัก มัลแวร์เว็บไซต์คืออะไร
• ถูกผู้ให้บริการโฮสติ้งระงับบัญชี จากเคสที่เราแก้ เมื่อเซิร์ฟเวอร์ถูกใช้เป็นบอทยิงทราฟฟิกหรือส่งสแปม ผู้ให้บริการมักระงับบัญชีหรือตัดเครือข่ายเพื่อหยุดผลกระทบต่อลูกค้ารายอื่น ทำให้เว็บล่มแม้ไฟล์จะยังอยู่ แนวทางเมื่อได้รับแจ้งดูได้ใน Hosting แจ้งพบ Malware
• ผลต่อชื่อเสียงของโดเมนและ IP เมื่อเซิร์ฟเวอร์ส่งสแปมหรือทราฟฟิกโจมตี อีเมลของบริษัทที่ใช้เซิร์ฟเวอร์เดียวกันอาจส่งไม่ถึงผู้รับ ดูเรื่องนี้ใน อีเมลส่งไม่ออก เพราะเว็บโดนฝัง Spam Mailer

คำสั่งตรวจสอบเบื้องต้นบนเซิร์ฟเวอร์

บทความนี้ไม่แสดงตัวอย่างโค้ดของบอทหรือแรนซัมแวร์ เพราะประโยชน์ต่อการตรวจจับมีน้อยกว่าความเสี่ยง หัวข้อนี้จึงรวมเฉพาะคำสั่งอ่านข้อมูลที่ปลอดภัย ใช้ดูร่องรอยว่าเซิร์ฟเวอร์ถูกใช้เป็นบอท หรือมีไฟล์ถูกเปลี่ยนจำนวนมาก

# การเชื่อมต่อเครือข่ายที่เปิดอยู่ พร้อมชื่อโปรเซส (ต้องใช้ sudo เพื่อเห็นทุกโปรเซส)
sudo ss -tunap

# นับการเชื่อมต่อแยกตามปลายทาง ถ้ามีปลายทางเดียวจำนวนมากผิดปกติควรตรวจต่อ
sudo ss -tn state established | awk 'NR>1 {print $4}' | cut -d: -f1 | sort | uniq -c | sort -rn | head

# โปรเซสที่ใช้ CPU มากที่สุด
ps aux --sort=-%cpu | head -n 15

# งานตั้งเวลาที่อาจใช้ปลุกโปรแกรมแปลกปลอมกลับมา
crontab -l
ls -la /etc/cron.d/

# จำนวนไฟล์ในเว็บที่ถูกแก้ไขภายใน 1 วัน (เปลี่ยน path ให้ตรงกับเว็บของคุณ)
find /var/www/html -type f -mtime -1 | wc -l

# นามสกุลไฟล์ที่พบมากที่สุดในโฟลเดอร์ uploads
find /var/www/html/wp-content/uploads -type f | sed 's/.*\.//' | sort | uniq -c | sort -rn | head

# ตรวจไฟล์ Core ของ WordPress เทียบกับต้นฉบับ
wp core verify-checksums

ควรจ่ายค่าไถ่ไหม: จุดยืนของหน่วยงานทางการ

คำถามนี้เป็นการตัดสินใจทางธุรกิจและกฎหมายของแต่ละองค์กร หัวข้อนี้จึงสรุปจุดยืนที่หน่วยงานทางการเผยแพร่ไว้ ไม่ใช่คำแนะนำทางกฎหมาย

• FBI (ผ่าน IC3, ตุลาคม 2019) ระบุว่า FBI ไม่สนับสนุนการจ่ายค่าไถ่ ส่วนหนึ่งเพราะไม่รับประกันว่าองค์กรจะได้ข้อมูลคืน บางกรณีผู้ที่จ่ายแล้วไม่ได้รับกุญแจถอดรหัส หรือกู้ข้อมูลไม่ได้เพราะการเข้ารหัสของมัลแวร์บางตัวมีข้อบกพร่อง และการจ่ายยังทำให้อาชญากรกล้าโจมตีองค์กรอื่นต่อ ในเอกสารเดียวกัน FBI ยอมรับว่าเมื่อธุรกิจไม่สามารถดำเนินงานได้ ผู้บริหารจะประเมินทุกทางเลือกเพื่อปกป้องผู้ถือหุ้น พนักงาน และลูกค้า (FBI IC3, 2019)
• FBI และ CISA (ประกาศ #StopRansomware) ระบุว่าไม่สนับสนุนการจ่ายค่าไถ่ เพราะการจ่ายไม่รับประกันว่าจะกู้ไฟล์ได้ อาจทำให้ผู้โจมตีไปโจมตีองค์กรอื่นเพิ่ม กระตุ้นให้อาชญากรรายอื่นเข้ามาเผยแพร่แรนซัมแวร์ และเป็นการให้ทุนกับกิจกรรมผิดกฎหมาย (CISA AA24-109A, ปรับปรุง 2025)

สิ่งที่เอกสารของหน่วยงานเหล่านี้เห็นตรงกัน คือทางเลือกที่ดีที่สุดเกิดขึ้นก่อนเหตุ ได้แก่ การมี Backup ที่ผู้โจมตีเข้าไม่ถึง และแผนรับมือเหตุที่ซ้อมไว้แล้ว ในมุมของเราในฐานะผู้ดูแลเว็บ เมื่อมี Backup ที่ใช้ได้ การกู้เว็บจาก Backup และปิดช่องโหว่จะไม่ต้องพึ่งการเจรจากับผู้โจมตีเลย

ความสำคัญของ Backup แบบแยกที่เก็บ

Backup ที่เก็บไว้ในเซิร์ฟเวอร์เดียวกับเว็บไม่พอสำหรับแรนซัมแวร์ เพราะถ้าผู้โจมตีเข้าถึงเซิร์ฟเวอร์ได้ ก็เข้าถึง Backup ได้เช่นกัน แนวทางจากแหล่งอ้างอิงหลักมีดังนี้

• เก็บแบบออฟไลน์ เข้ารหัส และทดสอบ CISA แนะนำให้เก็บ Backup ของข้อมูลสำคัญแบบออฟไลน์และเข้ารหัส และทดสอบความพร้อมใช้งานและความสมบูรณ์ของ Backup ในสถานการณ์กู้คืนจริงเป็นประจำ (CISA, 2023)
• เก็บไว้นอกระบบและป้องกันการลบ MITRE แนะนำให้มีแผนกู้คืนที่ทำและทดสอบ Backup สม่ำเสมอ และเก็บ Backup ไว้นอกระบบโดยป้องกันไม่ให้ผู้โจมตีเข้าไปทำลายได้ (MITRE ATT&CK T1486) FBI ก็แนะนำให้ Backup ไม่เชื่อมต่อกับเครื่องหรือเครือข่ายที่ถูกสำรอง (FBI IC3, 2019)
• หลัก 3-2-1 เอกสาร Data Backup Options ที่เผยแพร่ผ่าน CISA (เดิมคือ US-CERT) อธิบายว่าให้มีสำเนาของไฟล์สำคัญ 3 ชุด คือต้นฉบับ 1 ชุดและ Backup 2 ชุด เก็บบนสื่อ 2 ประเภท และเก็บนอกสถานที่ 1 ชุด (US-CERT, ม.ป.ป.)
• สำรองทั้งไฟล์และฐานข้อมูล คู่มือของ WordPress.org ระบุว่าต้องสำรองทั้งฐานข้อมูลและไฟล์ของเว็บ และแนะนำให้มี Backup ล่าสุด 3–5 ชุด เก็บในหลายที่ เช่น บนโฮสติ้ง บนคลาวด์ และในเครื่องของเจ้าของเว็บ (WordPress.org)

วิธีตั้งค่าในทางปฏิบัติสำหรับ WordPress ดูได้ใน ควรทำ Backup WordPress อย่างไรให้ปลอดภัย ถ้าไม่มีเวลาดูแลเอง บริการ ดูแลเว็บไซต์รายเดือน ของเรารวมการสำรองข้อมูลแยกที่เก็บและการตรวจว่า Backup กู้คืนได้จริง

วิธีป้องกัน

คู่มือของ CISA จัดแนวทางป้องกันตามช่องทางเข้าที่พบบ่อย หนึ่งในนั้นคือช่องโหว่และการตั้งค่าผิดพลาดของระบบที่เปิดสู่อินเทอร์เน็ต โดยแนะนำให้ไม่เปิดบริการอย่าง Remote Desktop สู่เว็บ ปิดแอปพลิเคชันและโปรโตคอลที่ไม่จำเป็น สแกนช่องโหว่สม่ำเสมอ อัปเดตซอฟต์แวร์และให้ความสำคัญกับเซิร์ฟเวอร์ที่เปิดสู่อินเทอร์เน็ตและช่องโหว่ที่ทราบว่าถูกใช้โจมตีแล้ว และใช้หลักสิทธิ์น้อยที่สุด (least privilege) (CISA, 2023) เมื่อนำมาใช้กับเว็บ WordPress จะได้รายการดังนี้

1. อัปเดต WordPress, Theme, Plugin และ PHP และลบส่วนเสริมที่เลิกใช้ ดูเหตุผลใน ทำไมต้องอัปเดต Plugin และ Theme
2. ปิดบริการที่ไม่ใช้บนเซิร์ฟเวอร์ เช่น พอร์ตจัดการระยะไกลที่เปิดสู่ทุก IP และจำกัดการเข้าถึง SSH และแผงควบคุม
3. ใช้รหัสผ่านที่แข็งแรงและ 2FA สำหรับแอดมิน WordPress, Hosting และ SSH ดู 2FA คืออะไร
4. จำกัดสิทธิ์ ทั้งจำนวนผู้ใช้ระดับแอดมินและสิทธิ์เขียนไฟล์ ดู User Admin หลายคนเสี่ยงอย่างไร และ File Permission ใน WordPress
5. ทำ Backup แบบแยกที่เก็บ และทดสอบกู้คืน ตามหัวข้อก่อนหน้า
6. เฝ้าดูทรัพยากรและการเชื่อมต่อ CISA ระบุว่าวิธีที่ดีที่สุดในการตรวจจับ DoS คือการเฝ้าดูและวิเคราะห์ทราฟฟิกเครือข่าย (CISA, 2021) การตั้งแจ้งเตือนเมื่อ CPU หรือแบนด์วิดท์สูงผิดปกติช่วยให้รู้ตัวเร็วขึ้น

Checklist ฉบับเต็มอยู่ใน วิธีป้องกันเว็บ WordPress โดนแฮก และ WordPress Security Checklist

ถ้าเกิดเหตุแล้ว ทำอะไรก่อน

รายการตรวจสอบการรับมือของ CISA แนะนำให้ระบุระบบที่ได้รับผลกระทบและแยกออกจากเครือข่ายทันที และหลังจบเหตุให้กู้คืนจาก Backup ที่ออฟไลน์และเข้ารหัสไว้ โดยระวังไม่ให้ระบบที่สะอาดติดเชื้อซ้ำ (CISA, 2023) สำหรับเว็บไซต์ หมายถึงแจ้งผู้ให้บริการโฮสติ้ง เก็บหลักฐาน เปลี่ยนรหัสผ่านทุกจุดจากเครื่องที่สะอาด และหาทางเข้าของผู้โจมตีให้เจอก่อนนำเว็บกลับขึ้น ลำดับขั้นละเอียดอยู่ใน เว็บโดนแฮก ทำอย่างไรดี ถ้าต้องการให้ผู้เชี่ยวชาญช่วยกู้และปิดช่องโหว่ ดูบริการ ล้างไวรัสและกู้เว็บ

คำถามที่พบบ่อย

แหล่งอ้างอิง

1. National Institute of Standards and Technology (NIST). (2026). NIST IR 8374 Rev. 1: Ransomware Risk Management: A Cybersecurity Framework 2.0 Community Profile. สืบค้นเมื่อ 3 ตุลาคม 2026, จาก https://csrc.nist.gov/pubs/ir/8374/r1/final
2. National Institute of Standards and Technology (NIST). (ม.ป.ป.). botnet – Glossary | CSRC. สืบค้นเมื่อ 3 ตุลาคม 2026, จาก https://csrc.nist.gov/glossary/term/botnet
3. Cybersecurity and Infrastructure Security Agency (CISA). (2023). #StopRansomware Guide. สืบค้นเมื่อ 3 ตุลาคม 2026, จาก https://www.cisa.gov/stopransomware/ransomware-guide
4. Cybersecurity and Infrastructure Security Agency (CISA). (2021). Understanding Denial-of-Service Attacks. สืบค้นเมื่อ 3 ตุลาคม 2026, จาก https://www.cisa.gov/news-events/news/understanding-denial-service-attacks
5. Cybersecurity and Infrastructure Security Agency (CISA) และ Federal Bureau of Investigation (FBI). (2025). #StopRansomware: Akira Ransomware (AA24-109A). สืบค้นเมื่อ 3 ตุลาคม 2026, จาก https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-109a
6. Federal Bureau of Investigation, Internet Crime Complaint Center (IC3). (2019). High-Impact Ransomware Attacks Threaten U.S. Businesses and Organizations. สืบค้นเมื่อ 3 ตุลาคม 2026, จาก https://www.ic3.gov/PSA/2019/PSA191002
7. Ruggiero, P. และ Heckathorn, M. A. (US-CERT). (ม.ป.ป.). Data Backup Options. สืบค้นเมื่อ 3 ตุลาคม 2026, จาก https://www.cisa.gov/sites/default/files/publications/data_backup_options.pdf
8. MITRE. (2026). Data Encrypted for Impact, Technique T1486 – Enterprise | MITRE ATT&CK. สืบค้นเมื่อ 3 ตุลาคม 2026, จาก https://attack.mitre.org/techniques/T1486/
9. MITRE. (2026). Compromise Infrastructure: Botnet, Sub-technique T1584.005 – Enterprise | MITRE ATT&CK. สืบค้นเมื่อ 3 ตุลาคม 2026, จาก https://attack.mitre.org/techniques/T1584/005/
10. MITRE. (2025). Network Denial of Service, Technique T1498 – Enterprise | MITRE ATT&CK. สืบค้นเมื่อ 3 ตุลาคม 2026, จาก https://attack.mitre.org/techniques/T1498/
11. MITRE. (2025). Endpoint Denial of Service, Technique T1499 – Enterprise | MITRE ATT&CK. สืบค้นเมื่อ 3 ตุลาคม 2026, จาก https://attack.mitre.org/techniques/T1499/
12. WordPress.org. (ม.ป.ป.). WordPress Backups – Advanced Administration Handbook. สืบค้นเมื่อ 3 ตุลาคม 2026, จาก https://developer.wordpress.org/advanced-administration/security/backup/