ผู้ไม่ประสงค์ดีใช้งาน Cisco Webex ที่ปลอมขึ้น ใน Google Ads เพื่อหลอกให้เป้าหมายดาวน์โหลดลงบนเครื่อง

ผู้ไม่ประสงค์ดีใช้ Ads ของ Google เป็นช่องทางในการหลอกเป้าหมายที่ค้นหาซอฟต์แวร์ Webex โดยสร้างโฆษณาที่ดูเสมือนจริงมาก ซึ่งเมื่อทำการดาวน์โหลด จะถูกเปลี่ยนเส้นทางไปยังเว็บไซต์ที่มีมัลแวร์ BatLoader

โดย Webex คือโปรแกรมการประชุมทางวิดีโอ และการติดต่อสื่อสาร ซึ่งเป็นส่วนหนึ่งของกลุ่มผลิตภัณฑ์ของ Cisco ส่วนมากใช้โดยองค์กร และธุรกิจต่าง ๆ ทั่วโลก

Malwarebytes รายงานว่าแคมเปญ Malvertising ถูกฝังอยู่ใน Google Search เป็นเวลากว่า 1 สัปดาห์ โดยกลุ่มผู้ไม่ประสงค์ดีที่คาดว่ามาจากเม็กซิโก

มัลแวร์ที่แฝงใน Google Ad

Malwarebytes รายงานว่าพอร์ทัลดาวน์โหลด Webex ปลอมใน Google Ads อยู่อันดับสูงสุดของผลการค้นหาคำว่า "webex" ซึ่งสิ่งที่ทำให้ดูน่าเชื่อถือคือการใช้โลโก้ Webex จริง และแสดง URL ที่ถูกต้อง "webex.com" ทำให้ดูไม่ต่างจากโฆษณาจริงของ Cisco โดยผู้ไม่ประสงค์ดีอาศัยช่องโหว่ใน Google Ad platform's tracking template ซึ่งช่วยให้สามารถเปลี่ยนเส้นทางได้ตามที่ต้องการโดยไม่ผิดกฎของ Google

ทั้งนี้ Google ระบุว่าผู้ลงโฆษณาอาจใช้ tracking template กับ URL parameters ที่กำหนด "final URL" ตามข้อมูลผู้ใช้จากอุปกรณ์ ตำแหน่ง และอื่น ๆ ที่เกี่ยวข้องกับการโต้ตอบต่อโฆษณา ซึ่งตามนโยบายได้กำหนดว่า URL ที่แสดงของโฆษณา และ URL สุดท้ายต้องเป็นของโดเมนเดียวกัน แต่ก็ยังทำให้ tracking template เปลี่ยนเส้นทางผู้ใช้ไปยังเว็บไซต์นอกโดเมนที่ระบุได้ โดยในกรณีนี้ ผู้ไม่ประสงค์ดีใช้ Firebase URL ("trixwe[.]page[.]link") เป็น tracking template ซึ่งมี URL สุดท้ายเป็น https://www[.]webex[.]com หากมีการคลิกโฆษณาแล้ว เป้าหมายจะถูกเปลี่ยนเส้นทางไปยังลิงก์ "trixwe.page[.]" ซึ่งจะ Filter นักวิจัย และโปรแกรมสำหรับรวบรวมข้อมูลอัตโนมัติออก

หลังจากนั้นจะเปลี่ยนเส้นทางต่อไปยัง "monoo3at[.]com" ซึ่งจะมีการตรวจสอบเพิ่มเติมอีกครั้ง หากเป้าหมายเป็นเป้าหมายของผู้ไม่ประสงค์ดี จะถูกนำไปยัง "webexadvertisingoffer[.]com" และส่วนที่ไม่ใช่เป้าหมายจะไปยังเว็บไซต์ที่ถูกต้องแทน

โปรแกรมติดตั้ง Webex ปลอม

หากเป้าหมายเข้าถึงหน้า Webex ปลอม และคลิกที่ปุ่มดาวน์โหลด จะได้รับตัวติดตั้ง MSI ที่จะรันคำสั่ง PowerShell เพื่อติดตั้งมัลแวร์ BatLoader ซึ่งจะดึงข้อมูล, ถอดรหัส และดำเนินการเพย์โหลดมัลแวร์ DanaBot เพิ่มเติมในท้ายที่สุด ซึ่ง DanaBot เป็นโทรจันที่แพร่กระจายมาตั้งแต่ปี 2561 โดยมีความสามารถในการขโมยรหัสผ่าน, การจับภาพหน้าจอ, โหลดโมดูลแรนซัมแวร์, ปิดบังการรับส่งข้อมูลกับ C2 และเปิดช่องทางการเข้าถึงโดยตรงให้กับผู้ไม่ประสงค์ดีผ่าน HVNC โดยผู้ที่โดน DanaBot จะถูกขโมยข้อมูลส่วนตัวส่งไปยังผู้ไม่ประสงค์ดี ซึ่งจะใช้ข้อมูลเหล่านี้เพื่อการโจมตีเพิ่มเติม หรือขายให้กับผู้ไม่ประสงค์ดีรายอื่น

ดังนั้น เมื่อต้องการค้นหาซอฟต์แวร์ต้นฉบับ สิ่งที่ควรทำคือข้ามการค้นหาที่เป็น Google Ads และดาวน์โหลดโดยตรงจากเว็บไซต์ที่มีชื่อเสียง และเชื่อถือได้เท่านั้น

ล่าสุด Google ให้ข้อมูลกับ BleepingComputer ว่า "การปกป้องเป้าหมายถือเป็นสิ่งสำคัญสูงสุด โดย Google จะไม่อนุญาตให้ผู้ลงโฆษณาบนแพลตฟอร์มเผยแพร่ซอฟต์แวร์ที่เป็นอันตราย ปัจจุบันได้ตรวจสอบโฆษณาที่เป็นปัญหา และดำเนินการอย่างเหมาะสมกับบัญชีที่เกี่ยวข้องเรียบร้อยแล้ว"

Ref : bleepingcomputer

DotRunpeX” Malware ตัวใหม่ ถูกใช้เพื่อแพร่กระจายมัลแวร์ตัวอื่นผ่านทาง Google Ad

    นักวิจัยของ Check Point บริษัทด้านความปลอดภัยทางไซเบอร์ เปิดเผยการค้นพบ loader malware ที่มีความสามารถในการแพร่กระจายมัลแวร์ผ่านทาง Google Ad ที่มีชื่อว่า DotRunpeX

การโจมตีของ DotRunpeX Malware

 นักวิจัยระบุว่า Hacker จะเริ่มต้นจากการนำเว็บไซต์อันตรายที่มีการติดตั้งโทรจันซึ่งปลอมแปลงเป็นซอฟต์แวร์ยอดนิยมต่างๆ เช่น AnyDesk และ LastPass ไปแสดงในหน้าค้นหาบน Google Ad เพื่อให้เหยื่อทำการกดลิงค์เข้าถึงเว็บดังกล่าว และดาวน์โหลด DotRunpeX ไปยังเครื่องเป้าหมาย

    DotRunpeX ถูกพบครั้งแรกในเดือนตุลาคม 2022 เป็นมัลแวร์ที่สามารถแทรกคำสั่งอันตรายที่เขียนด้วย .NET โดยใช้เทคนิค Process Hollowing เพื่อแพร่กระจายมัลแวร์ประเภทต่าง ๆ เช่น Agent Tesla , Ave Maria , BitRAT , FormBook , LokiBot , NetWire , Raccoon Stealer , RedLine Stealer , Remcos , Rhadamanthys และ Vidar โดยมัลแวร์ที่อยู่ในรายการเหล่านี้ ยังมีความสามารถในการป้องกัน หรือปิดระบบป้องกันด้านความปลอดภัยอีกด้วย รวมถึง DotRunpeX ยังมีการใช้ procexp.sys ในการโจมตีช่องโหว่ และยกระดับสิทธิเป็น kernel mode อีกด้วย

    Check Point คาดการณ์ว่า DotRunpeX อาจจะมีส่วนเกี่ยวข้องกับกลุ่ม Hacker ชาวรัสเซีย เนื่องจากพบว่ามัลแวร์ที่ถูกใช้แพร่กระจายบ่อย ๆ คือ RedLine, Raccoon, Vidar, Agent Tesla และ FormBook

thehackernews

SYS01stealer แนวการโจมตีรูปแบบใหม่ที่ใช้โฆษณาบน Facebook ในการโจมตี

    นักวิจัยด้านความปลอดภัยพบ Malware ขโมยข้อมูลตัวใหม่ที่ชื่อว่า "SYS01stealer" ซึ่งมีเป้าหมายไปยังพนักงานขององค์กรด้านโครงสร้างพื้นฐานที่สำคัญของรัฐบาล, บริษัทในภาคการผลิต และบริษัทในภาคส่วนอื่น ๆ

  Morphisec รายงานว่า ผู้ไม่ประสงค์ดีที่อยู่เบื้องหลังการโจมตีนี้จะมุ่งเป้าไปที่ Business accounts บน Facebook โดยการใช้ Google ads และโปรไฟล์ Facebook ปลอม ที่โปรโมตสิ่งต่าง ๆ เช่น เกมส์, เนื้อหาสำหรับผู้ใหญ่, และซอร์ฟแวร์ละเมิดลิขสิทธิ์ เพื่อหลอกล่อเหยื่อให้ดาวน์โหลดไฟล์ที่เป็นอันตราย

การโจมตีนี้ถูกออกแบบมาเพื่อขโมยข้อมูลที่สำคัญ เช่น ข้อมูลการเข้าสู่ระบบ, คุกกี้, ข้อมูลของ Facebook ad และข้อมูลบัญชีธุรกิจโดย Morphisec ระบุว่า การโจมตีนี้เริ่มต้นจากการดำเนินการของกลุ่มผู้ไม่ประสงค์ดีที่มีแรงจูงใจทางด้านการเงินที่ชื่อว่า Ducktail

    WithSecure เคยรายงานปฏิบัติการของกลุ่ม Ducktail เป็นครั้งแรกในเดือนกรกฎาคม พ.ศ. 2565 ได้ระบุว่า ข้อมูลที่ได้จากการวิเคราะห์การโจมตีทั้ง 2 ครั้งของ Ducktail มีความแตกต่างกัน แสดงให้เห็นว่าผู้ไม่ประสงค์ดีพยายามสร้างความสับสนให้กับนักวิจัยในความพยายามสำหรับการระบุแหล่งที่มา รวมไปถึงความพยายามในการหลบเลี่ยงการตรวจจับ

  Morphisec ระบุว่า การโจมตีเริ่มต้นด้วยการหลอกล่อให้เหยื่อคลิก URL จากโปรไฟล์ หรือโฆษณาบน Facebook เพื่อดาวน์โหลดไฟล์ ZIP ที่อ้างว่าเป็นซอฟต์แวร์ละเมิดลิขสิทธิ์ หรือเนื้อหาสำหรับผู้ใหญ่ การเปิดไฟล์ ZIP จะมีการเรียกใช้งานแอปที่ดูถูกต้องตามปกติ แต่จะใช้วิธีการ DLL side-loading ทำให้สามารถโหลดไฟล์ DLL ที่เป็นอันตรายควบคู่ไปกับแอปปกติได้

  แอปพลิเคชันบางตัวที่ถูกนำมาใช้เพื่อดาวน์โหลด DLL ที่เป็นอันตรายคือ WDSyncService.exe ของ Western Digital และ ElevatedInstaller.exe ของ Garmin โดยสุดท้ายเป้าหมายของผู้ไม่ประสงค์ดีคือการติดตั้ง Malware SYS01stealer

    โดย SYS01stealer ถูกออกแบบมาเพื่อเก็บข้อมูลคุกกี้ของ Facebook จาก Chromium-based web browser (เช่น Google Chrome, Microsoft Edge, Brave, Opera และ Vivaldi) โดยมันจะทำการส่งข้อมูล Facebook ของเหยื่อที่เก็บรวบรวมมาได้ไปยัง C2 Server รวมถึงสามารถดาวน์โหลด หรือทำการรันไฟล์ต่าง ๆ ตามที่ผู้ไม่ประสงค์ดีต้องการได้ และยังสามารถอัปเดตตัวเองเมื่อมีเวอร์ชันใหม่ที่พร้อมใช้งาน

    เหตุการณ์นี้เกิดขึ้นในเวลาใกล้เคียงกับที่ Bitdefender เปิดเผยการโจมตีของ Malware stealer ที่คล้ายกัน ที่รู้จักกันในชื่อ S1deload ซึ่งออกแบบมาเพื่อโจมตีบัญชี Facebook และ YouTube ของผู้ใช้งาน และใช้ประโยชน์จากระบบที่ถูกโจมตีมาทำการขุดเหรียญ cryptocurrency

    Morphisec ระบุว่า DLL side-loading เป็นเทคนิคการโจมตีที่มีประสิทธิภาพสูง เนื่องจากเมื่อแอปพลิเคชันถูกโหลดลงในหน่วยความจำบน Windows System และไม่มีการตรวจสอบลำดับในการค้นหาไฟล์ DLL ในการทำงาน แอปพลิเคชันอาจจะโหลดไฟล์ DLL ที่เป็นอันตราย แทนที่จะเป็นไฟล์ DLL ที่ถูกต้อง

thehackernews