พบ RIG Exploit Kit ยังคงระบาดไปยังผู้ใช้งานในองค์กรผ่าน Internet Explorer ที่มีช่องโหว่

    ผู้เชี่ยวชาญด้านความปลอดภัย Prodaft  เปิดเผยรายงานการพบ RIG Exploit Kit ที่มุ่งเป้าหมายการโจมตีไปยังองค์กรที่ยังมีการใช้ Internet Explorer ในเวอร์ชันที่มีช่องโหว่ โดยแพร่กระจาย Malware เช่น Dridex, SmokeLoader และ RaccoonStealer โดยมีอัตราการโจมตีสูงถึง 2,000 ครั้งต่อวัน และประสบความสำเร็จประมาณ 30% ของกรณีทั้งหมด ซึ่งเป็นอัตราส่วนที่สูงที่สุดในประวัติการของ RIG Exploit Kit

ประวัติของ RIG Exploit Kit

    RIG Exploit Kit เปิดตัวครั้งแรกเมื่อ 8 ปีที่แล้วในปี 2014 โดยโปรโมตว่าเป็น Exploit-as-a-service ที่ให้เหล่า ผู้ไม่ประสงค์ดี มาเช่าใช้บริการเพื่อนำไปโจมตี และแพร่กระจาย Malware บนอุปกรณ์ที่มีช่องโหว่

โดย RIG Exploit Kit เป็น JavaScript ซึ่งฝังอยู่ในเว็บไซต์ที่ถูกโจมตี หรือเว็บไซต์ที่ถูกสร้างขึ้นจาก ผู้ไม่ประสงค์ดี เมื่อมีเป้าหมายกดเยี่ยมชมเว็บไซต์เหล่านี้ สคริปต์ที่เป็นอันตรายจะถูกดำเนินการ และพยายามโจมตีด้วยช่องโหว่ประเภทต่าง ๆ บนเบราว์เซอร์เพื่อติดตั้งMalwareบนอุปกรณ์ของเป้าหมายโดยอัตโนมัติ

ปี 2015 ได้มีการปล่อย RIG Exploit Kit เวอร์ชันที่สองที่ได้รับการพัฒนา ทำให้สามารถโจมตีได้เป็นวงกว้าง และประสบความสำเร็จมากขึ้น

    ปี 2017 RIG Exploit Kit ได้หยุดชะงักลงเนื่องจากการถูก Takedown ครั้งใหญ่ และทำให้ระบบโครงสร้างพื้นฐานส่วนใหญ่ของผู้โจมตีถูกหยุดไป

    ปี 2019 RIG Exploit Kit ได้กลับมาอีกครั้ง โดยมุ่งเน้นที่การแพร่กระจาย Ransomware Sodinokibi (REvil), Nemty และ ERIS ransomware ซึ่งมี Payloadที่ใช้ในการเข้ารหัสข้อมูลในเครือข่ายของเป้าหมาย

    ปี 2021 ทาง RIG Exploit Kit ได้ประกาศว่าจะทำการปิดตัวลง แต่ต่อมาในปี 2022 ก็ได้กลับมาอีกครั้ง พร้อมกับการโจมตีโดยใช้ช่องโหว่ใหม่สองรายการ (CVE-2020-0674 และ CVE-2021-26411 ใน Internet Explorer) ซึ่งมีอัตราส่วนความสำเร็จในการโจมตีสูงเป็นประวัติการณ์

    แม้ว่า RIG Exploit Kit จะหันมาโจมตีช่องโหว่บน Microsoft Edge แทน Internet Explorer แล้ว แต่ Internet Explorer ก็ยังคงถูกใช้งานในองค์กรต่าง ๆ หลายล้านเครื่อง ซึ่งต่อมาได้กลายเป็นเป้าหมายหลักในการโจมตีช่องโหว่ของ RIG Exploit Kit

การโจมตีในปัจจุบัน

    Prodaft พบว่าปัจจุบัน RIG Exploit Kit ได้กำหนดเป้าหมายการโจมตีไปยัง 207 ประเทศ ทำการโจมตีโดยเฉลี่ย 2,000 ครั้งต่อวัน และมีอัตราความสำเร็จในปัจจุบันที่ 30% โดยในอดีตอัตราความสำเร็จอยู่ที่ 22% ก่อนที่ RIG Exploit Kit จะมุ่งเป้าหมายการโจมตีไปยัง Internet Explorer ที่มีช่องโหว่ อัตราความสำเร็จในการโจมตีสูงสุดคือช่องโหว่ CVE-2021-26411 โดยมีอัตราส่วนโจมตีสำเร็จ 45% ตามมาด้วย CVE-2016-0189 ที่ 29% และ CVE-2019-0752 ที่ 10%

    CVE-2021-26411 เป็นช่องโหว่ memory corruption ที่มีความรุนแรงสูงใน Internet Explorer โดย Microsoft ได้ออกแพตซ์อัปเดตแก้ไขช่องโหว่ในเดือนมีนาคม 2021 โดยเกิดขึ้นจากการเข้าเว็บไซต์ที่ไม่ปลอดภั

    CVE-2016-0189 และ CVE-2019-0752 เป็นช่องโหว่ใน Internet Explorer เช่นกัน ทำให้สามารถเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกล (RCE) ในเบราว์เซอร์ได้ อีกทั้ง CISA ยังได้แจ้งเตือนไปยังผู้ดูแลระบบในสหรัฐ จากการค้นพบการโจมตีด้วยช่องโหว่ดังกล่าว

payloads ที่หลากหลาย

    ปัจจุบัน RIG Exploit Kit ได้มุ่งเป้าหมายการโจมตีไปยังการขโมยข้อมูล และการเผยแพร่Malwareเป็นหลัก โดย Dridex เป็นMalwareที่พบบ่อยที่สุด (34%) ตามด้วย SmokeLoader (26%), RaccoonStealer (20%), Zloader (2.5%), Truebot (1.8%) และ IcedID (1.4%) นอกจากนี้ทาง Prodaft ยังพบการเผยแพร่Malware Redline, RecordBreaker, PureCrypter, Gozi, Royal Ransomware และ UrSnif อีกด้วย ซึ่งมีการเปลี่ยนแปลงไปตลอดเวลา โดยขึ้นอยู่กับ ผู้ไม่ประสงค์ดี กลุ่มไหนที่นำไปใช้

โดย Prodaft พบว่าการโจมตีส่วนใหญ่เกิดจากการใช้ Internet Explorer ที่มีช่องโหว่ และไม่ได้รับการอัปเดตด้านความปลอดภัย จึงได้กลายเป็นเป้าหมายในการโจมตีช่องโหว่ ปัจจุบัน Microsoft ได้ประกาศเลิกใช้ Internet Explorer ในเดือนกุมภาพันธ์ 2023 และได้เปลี่ยนไปใช้ Microsoft Edge แทน

ReF: bleepingcomputer

Google เตือนช่องโหว่ Zero-Day บน Internet Explorer กำลังถูกใช้โจมตีโดยกลุ่ม ScarCruft Hackers

Google Warns of Internet Explorer Zero-Day Vulnerability Exploited by ScarCruft Hackers

    ช่องโหว่ Zero-Day บน Internet Explorer กำลังถูกใช้ในการโจมตีอย่างต่อเนื่องโดยกลุ่ม ScarCruft กลุ่มผู้ไม่ประสงค์ดีจากเกาหลีเหนือ ซึ่งจะมุ่งเป้าไปยังผู้ใช้งานชาวเกาหลีใต้ โดยใช้เหตุการณ์โศกนาฏกรรมที่ Itaewon ในช่วงวันฮาโลวีนเพื่อดึงดูดความสนใจให้เหยื่อดาวน์โหลดไฟล์ที่เป็นอันตราย

  การค้นพบครั้งนี้ถูกรายงานโดย Benoît Sevens และ Clément Lecigne นักวิจัยจาก Google Threat Analysis Group (TAG) ซึ่งถือเป็นการโจมตีล่าสุดที่ดำเนินการโดยกลุ่ม ScarCruft ซึ่งเป็นที่รู้จักในอีกหลายชื่อ เช่น APT37, InkySquid, Reaper และ Ricochet Chollima โดยส่วนใหญ่การโจมตีจะมุ่งเป้าไปที่ผู้ใช้งานชาวเกาหลีใต้ ผู้แปรพักตร์ชาวเกาหลีเหนือ ผู้กำหนดนโยบาย นักข่าว และนักเคลื่อนไหวด้านสิทธิมนุษย์ชน

ลักษณะการโจมตี

    การโจมตีจะเกิดขึ้นหลังจากที่มีการเปิดไฟล์บน Microsoft Word และแสดงเนื้อหา HTML ที่เปิดขึ้นมาจาก Internet Explorer มีการใช้ช่องโหว่ของ Internet Explorer เช่น CVE-2020-1380 และ CVE-2021-26411 เพื่อติดตั้ง Backdoor อย่าง BLUELIGHT และ Dolphin มีการใช้ RokRat (Remote Access Trojan) บน Windows ที่มีฟังก์ชั่นที่ช่วยให้สามารถจับภาพหน้าจอ, บันทึกการกดแป้นพิมพ์ และการเก็บข้อมูลอุปกรณ์ Bluetooth

    หลังจากที่โจมตีสำเร็จแล้ว มันจะทำการส่ง Shell Code ที่สามารถลบร่องรอยในการโจมตีทั้งหมด โดยการล้างแคช และประวัติของ Internet Explorer รวมถึง payload ของ Malware โดย Google TAG ลองอัปโหลดเอกสาร Microsoft Word ที่เป็นอันตรายนี้ไปยัง VirusTotal เมื่อวันที่ 31 ตุลาคม 2022 โดยพบว่าเป็นการโจมตีโดยใช้ช่องโหว่ Zero-day ของ Internet Explorer ที่เกี่ยวข้องกับ JScript9 JavaScript, CVE-2022-41128 ซึ่งได้รับการแก้ไขโดย Microsoft ไปแล้วเมื่อเดือนที่ผ่านมา

    อีกทั้ง MalwareHunterTeam ยังพบไฟล์ Word ลักษณะเดียวกันนี้เคยถูกแชร์จากกลุ่ม Shadow Chaser Group เมื่อวันที่ 31 ตุลาคม 2022 ซึ่งเคยได้ระบุในรายงานไว้ว่าเป็น "DOCX injection template ที่น่าสนใจ" และมีต้นกำเนิดจากประเทศเกาหลีเช่นเดียวกัน Google TAG ระบุว่าขณะนี้ยังไม่สามารถกู้คืน Malwareที่ถูกใช้ในแคมเปญนี้ได้ แม้ว่าจะทราบแล้วว่าเป็น Malwareอย่างเช่น RokRat, BLUELIGHT หรือ Dolphin ก็ตาม

Ref : thehackernews