ผู้ไม่ประสงค์ดีสามารถดึงข้อมูลจาก Goolge Drive แบบไม่สามารถสืบหาตัวตนได้

   ผู้เชี่ยวชาญด้านความปลอดภัยจาก Mitiga ระบุว่า "Google Workspace หรือชื่อเดิม 'G Suite' มีช่องโหว่จากการป้องกันไม่ให้บุคคลภายนอก หรือคนในที่เป็นอันตรายสามารถขโมยข้อมูลออกจาก Google Drive ได้"

    Ariel Szarf และ Or Aspir จาก Mitiga อธิบายว่า "Google Workspace กำหนดให้การมองเห็นต่อข้อมูลบน Google Drive ของบริษัทโดยใช้ 'บันทึกการใช้งาน Drive' เพื่อติดตามการดำเนินการต่าง ๆ เช่น การลบ, การดาวน์โหลด, และการดูไฟล์ รวมถึงบันทึกเหตุการณ์ที่เกี่ยวข้องจากโดเมนภายนอกก็ได้รับการบันทึกไว้"

    โดยค่าเริ่มต้นของผู้ใช้ Google Drive จะได้รับสิทธิ์ 'Cloud Identity Free' และจะได้รับการกำหนดสิทธิ์แบบเสียค่าใช้จ่าย เช่น Goolge Workspace Enterprise Plus จากผู้ดูแลระบบ

 ผู้เชี่ยวชาญด้านความปลอดภัยพบว่าเมื่อไม่ได้มีการกำหนดสิทธิ์ให้กับสิทธิ์แบบที่เสียค่าใช้จ่าย จะไม่มีบันทึกการกระทำในไดรฟ์ส่วนตัวของผู้ใช้ ซึ่งอาจทำให้องค์กรไม่ทราบถึงการดำเนินการ และการจัดการข้อมูล และการนำข้อมูลออกไปโดยผู้ใช้งาน หรือผู้โจมตีภายนอก

    ตัวอย่างเช่น หากไม่ได้รับการกำหนดสิทธิ์แบบที่เสียค่าใช้จ่าย หรือสิทธิ์ถูกยกเลิกก่อนที่บัญชี Google จะถูกลบ พนักงานที่ออกจากบริษัทอาจใช้ช่องโหว่นี้เพื่อนำข้อมูลที่สำคัญออกไปโดยไม่ทิ้งหลักฐานใด ๆ

    ผู้ใช้สามารถคัดลอกไฟล์ทั้งหมดจากไดรฟ์ที่ถูกแชร์ขององค์กรไปยังไดรฟ์ส่วนตัว และดาวน์โหลดไฟล์ ซึ่งการดาวน์โหลดจะไม่ได้รับการบันทึกไว้ และการคัดลอกจะได้รับการบันทึกเพียงบางส่วนเท่านั้น (จะบันทึกใน 'source_copy' แต่ไม่ได้บันทึกใน 'copy')

    ผู้โจมตีภายนอกอาจดำเนินการด้วยวิธีเดียวกัน ถ้าหากสามารถโจมตีบัญชีของผู้ใช้งานที่ไม่มีสิทธิ์แบบที่เสียค่าใช้จ่าย หรือบัญชีของผู้ดูแลระบบ

    ผู้เชี่ยวชาญด้านความปลอดภัยได้อธิบายว่า "ผู้ไม่ประสงค์ดีที่สามารถเข้าถึงบัญชีผู้ดูแลระบบได้ สามารถเพิกถอนสิทธิ์ของผู้ใช้งาน, ดาวน์โหลดไฟล์ส่วนตัวทั้งหมด และกำหนดสิทธิ์ใหม่ บันทึกการกระทำที่ถูกสร้างขึ้น ในกรณีนี้เป็นบันทึกเพียงเท่าที่เกี่ยวข้องกับการเพิกถอน และกำหนดสิทธิ์ (ภายใต้ 'กิจกรรมบันทึกของผู้ดูแลระบบ')"

การตรวจสอบการนำข้อมูลออกจาก Goolge Drive

    คำแนะนำของผู้เชี่ยวชาญด้านความปลอดภัยสำหรับองค์กรคือ ควรดำเนินการตรวจสอบความเสี่ยงใน Google Workspace เป็นประจำ และค้นหาเหตุการณ์การกำหนด และเพิกถอนสิทธิ์ที่น่าสงสัย และตรวจสอบบันทึก 'source_copy' เพื่อตรวจสอบการคัดลอกไฟล์ของบริษัทที่น่าสงสัย

Ref:helpnetsecurity

Chinese hackers use Google Drive to drop malware on govt networks

พบผู้ไม่ประสงค์ดีใช้ Google Drive เพื่อวาง Malware บนเครือข่ายของรัฐบาล

 ผู้ไม่ประสงค์ดีใช้การโจมตีแบบฟิชชิ่งเพื่อส่ง Malware ที่เก็บไว้ใน Google Drive ไปยังรัฐบาล และ องค์กรทางวิชาการทั่วโลก โดยการโจมตีดังกล่าวมาจากกลุ่ม Mustang Panda หรือที่รู้จักในชื่อ TA416

 ผู้เชี่วยชาญด้านความปลอดภัยไซเบอร์ของ Trend Micro กล่าวว่ากลุ่ม TA416 มุ่งเป้าไปที่องค์กรในออสเตรเลีย ญี่ปุ่น ไต้หวัน เมียนมาร์ และฟิลิปปินส์เป็นส่วนใหญ่

 ผู้ไม่ประสงค์ใช้บัญชี Google ทำการส่งข้อความไปยัง E-mail เป้าหมายเพื่อหลอกล่อให้ดาวน์โหลด Malware จากลิงก์ Google Drive โดยลิงก์ที่ฝังไว้จะนำทางไปยังโฟลเดอร์ Google Drive หรือ Dropbox เพื่อหลีกเลี่ยงการตรวจจับ ซึ่งลิงก์ดังกล่าวยังนำไปสู่การดาวน์โหลด RAR, ZIP และ JAR โดยในไฟล์จะมี Malware หลายตัวเช่น ToneShell, ToneIns และ PubLoad

 PubLoad เป็น stager ทำหน้าที่ในการสร้าง persistence การเพิ่มรีจิสตรีคีย์และ สร้าง Scheduled ที่กำหนดเวลาไว้, ถอดรหัส shellcode และ จัดการการสื่อสารด้วยคำสั่งและการควบคุม (C2) ToneIns เป็นตัวติดตั้งสำหรับ ToneShell ซึ่งเป็น backdoor หลักที่ใช้ในการโจมตีล่าสุด ยังมีความสามารถในการหลบเลี่ยงการตรวจจับ และ โหลด ToneShell ในขณะเดียวกันก็สร้าง persistence ในระบบที่ถูกโจมตี ToneShell เป็น backdoor แบบ Standalone ที่โหลดโดยตรงในหน่วยความจำ และนอกจากนี้ยังหน้าที่เป็นกลไก Anti-sandbox เนื่องจาก backdoor จะไม่ทำงานใน Debugging Environment

 หลังจากเชื่อมต่อกับ C2 แล้ว ToneShell จะส่งแพ็คเกจพร้อมข้อมูล ID ของเหยื่อ จากนั้นจะรอ Commands ใหม่ ซึ่ง Commands เหล่านี้ให้สิทธิ์ในการอัปโหลด, ดาวน์โหลด, เรียกใช้งานไฟล์, สร้าง Shells สำหรับการแลกเปลี่ยนข้อมูล Intranet, เปลี่ยนแปลงการกำหนดค่า Sleep และ อื่น ๆ

Ref : BleepingComputer