GhostEngine mining Malware ที่มีความสามารถในการสั่ง "หยุดการทำงานของ EDR โดยใช้ไดรเวอร์ที่มีช่องโหว่"

    รูปแบบการโจมตีของ Malware แบบขุดคริปโตเคอเรนซีที่มีชื่อว่า 'REF4578' ถูกพบว่ากำลังพยายามใช้ Pay load ที่เป็นอันตรายในชื่อ GhostEngine ซึ่งมีการใช้ไดรเวอร์ที่มีช่องโหว่เพื่อปิดการทำงานของอุปกรณ์ป้องกันด้านความปลอดภัย และติดตั้ง XMRig miner

    นักวิจัยจาก Elastic Security Labs เป็นผู้รายงานถึงความซับซ้อนของการโจมตีจาก Malware ขุดคริปโตเคอเรนซีเหล่านี้ เพื่อช่วยให้ผู้ใช้งานสามารถระบุ และหยุดการโจมตีเหล่านั้นได้อย่างทันท่วงที

อย่างไรก็ตาม ยังไม่มีรายงานที่ระบุว่าพฤติกรรมดังกล่าวมาจากกลุ่มผู้ไม่ประสงค์ดีกลุ่มใด และยังไม่มีการเผยรายละเอียดของเหยื่อ ดังนั้นจึงทำให้ยังไม่ทราบที่มา และขอบเขตของรูปแบบการโจมตี

GhostEngine

    ยังไม่เป็นที่แน่ชัด ว่าผู้ไม่ประสงค์ดีเข้าถึง และ โจมตีบนเครื่องแม่ข่ายได้อย่างไร แต่การโจมตีของผู้ไม่ประสงค์ดีเริ่มต้นด้วยการเรียกใช้ไฟล์ชื่อ 'Tiworker.exe' ซึ่งปลอมเป็นไฟล์บน Windows ที่ดูปกติ โดยไฟล์ปฏิบัติการนี้เป็นเพย์โหลดเริ่มต้นสำหรับ GhostEngine ซึ่งเป็นสคริปต์ PowerShell ที่จะดาวน์โหลดโมดูลต่าง ๆ เพื่อดำเนินการลักษณะการทำงานที่แตกต่างกันบนอุปกรณ์ที่ติด Malware 

  เมื่อ Tiworker.exe เมื่อถูกเรียกใช้งานจะดาวน์โหลดสคริปต์ PowerShell ชื่อ 'get.png' จากเซิร์ฟเวอร์ command and control (C2) ของผู้ไม่ประสงค์ดี ซึ่งทำหน้าที่เป็น loader หลักของ GhostEngine สคริปต์ PowerShell นี้จะดาวน์โหลดโมดูลเพิ่มเติม และการตั้งค่าการปิดใช้งาน Windows Defender, เปิดใช้งาน remote services และลบ Windows event logs ต่าง ๆ จากนั้น get.png จะตรวจสอบว่าระบบมีพื้นที่ว่างอย่างน้อย 10 เมกะไบต์หรือไม่ ซึ่งจะจำเป็นสำหรับการโจมตีต่อไป โดยมันจะสร้าง scheduled tasks ชื่อ OneDriveCloudSync, DefaultBrowserUpdate และ OneDriveCloudBackup

    จากนั้นสคริปต์ PowerShell จะดาวน์โหลด และเรียกใช้งานไฟล์ smartsscreen.exe ซึ่งทำหน้าที่เป็นเพย์โหลดหลักของ GhostEngine

    Malware นี้มีหน้าที่สำคัญในการหยุดการทำงาน และลบซอฟต์แวร์ EDR ออกไป รวมถึงการดาวน์โหลด และเรียกใช้งาน XMRig เพื่อทำการขุดคริปโตเคอเรนซี โดยหากต้องการหยุดการทำงานของซอฟต์แวร์ EDR นั้น GhostEngine จะโหลด kernel drivers ที่มีช่องโหว่สองตัว ได้แก่ aswArPots.sys (ไดรเวอร์ Avast) ซึ่งใช้เพื่อหยุดการทำงานของ EDR process และ IObitUnlockers.sys (ไดรเวอร์ Iobit) เพื่อลบไฟล์ปฏิบัติการที่เกี่ยวข้อง

รายการ Process ที่เป็นเป้าหมายในการหยุดการทำงานของ EDR มีดังนี้

    DLL ที่ชื่อว่า 'oci.dll' จะถูกโหลดโดย Windows service ชื่อ 'msdtc' เมื่อเริ่มทำงาน DLL นี้จะดาวน์โหลดสำเนาใหม่ของ 'get.png' เพื่อติดตั้ง GhostEngine เวอร์ชันล่าสุดบนเครื่อง

แม้ว่าทีม Elastic จะพบว่า Wallet ID ของ Malware ดังกล่าวทำเงินจากการขุดคริปโตเคอเรนซีได้ไม่มากนัก แต่ก็เป็นไปได้ที่เหยื่อแต่ละรายจะมี wallet ที่ไม่ซ้ำกัน ดังนั้นจำนวนเงินโดยรวมของการขุดคริปโตของ Malware อาจมีจำนวนมากกว่าที่เห็น

การป้องกัน GhostEngine

    นักวิจัยแนะนำให้ผู้ใช้งานระวังการทำงานของ PowerShell ที่น่าสงสัย, พฤติกรรมที่ผิดปกติ และการรับส่งข้อมูลบนเครือข่ายที่ชี้ไปยัง crypto-mining pools นอกจากนี้การพบการใช้ไดรเวอร์ที่มีช่องโหว่ และการสร้าง kernel mode services ควรถือว่าเป็นพฤติกรรมที่เป็นอันตรายไว้ก่อน    มาตรการเชิงรุกคือการบล็อกการสร้างไฟล์จากไดรเวอร์ที่มีช่องโหว่ เช่น aswArPots.sys และ IobitUnlockers.sys และปรับใช้ YARA rules ในรายงานเพื่อช่วยระบุการติด Malware  GhostEngine

Ref: bleepingcomputer

KmsdBot มัลแวร์ตัวใหม่ถูกใช้เพื่อ Mining Crypto และ DDoS Attacks

     Malware ที่ได้รับการค้นพบครั้งนี้จะใช้ประโยชน์จากโปรโตคอล Secure Shell (SSH) เพื่อเข้าสู่ระบบเป้าหมายโดยมีเป้าหมายในการ mining cryptocurrency และทำการโจมตีแบบ Distributed Denial-of-Service (DDoS)

    KmsdBot ถูกพบโดยนักวิจัยจาก Akamai Security Intelligence Response Team (SIRT) ซึ่งเป็น Malware ที่ใช้ภาษา Golang โดยกำหนดเป้าหมายไปยังบริษัทต่าง ๆ ตั้งแต่บริษัทเกมไปจนถึงแบรนด์รถหรู และบริษัทรักษาความปลอดภัย

    Malware ได้รับชื่อจากไฟล์ติดตั้งที่ชื่อว่า "kmsd.exe" ซึ่งจะถูกดาวน์โหลดจากเซิร์ฟเวอร์ภายนอกหลังจากที่โจมตีเครื่องเหยื่อได้สำเร็จ ซึ่งมันถูกออกแบบมาเพื่อรองรับระบบต่าง ๆ ได้หลากหลาย เช่น Winx86, Arm64, mips64 และ x86_64

    Akamai กล่าวว่าเป้าหมายแรกของ Malware คือบริษัทเกมชื่อ FiveM ซึ่งเป็น mod สำหรับเกม Grand Theft Auto V ที่อนุญาตให้ผู้เล่นเข้าถึงเซิร์ฟเวอร์ และเล่นตามบทบาทที่กำหนดเองได้ส่วนการโจมตีแบบ DDoS ที่ตรวจพบคือการโจมตีใน Layer 4 และ Layer 7 ซึ่งจะมีการส่งคำขอ TCP, UDP flood หรือ HTTP GET ไปยังเซิร์ฟเวอร์เป้าหมาย

    โดยปัจจุบันผลการวิจัยจาก Kaspersky พบว่ามีการใช้ cryptocurrency miners เพิ่มขึ้นจาก 12% ในไตรมาสแรกของปี 2022 เป็น 17% ในไตรมาสที่ 3 ซึ่งเกือบครึ่งหนึ่งของตัวอย่างที่ถูกวิเคราะห์ หรือประมาณ 48% เป็นการ mining Monero (XMR) โดยประเทศที่เป็นเป้าหมายมากที่สุดในไตรมาสที่ 3 ปี 2022 คือเอธิโอเปีย (2.38%) ซึ่งการทำ mining cryptocurrency เป็นเรื่องผิดกฎหมายของประเทศ, คาซัคสถาน (2.13%) และอุซเบกิสถาน (2.01%) ตามมาเป็นอันดับสองและสาม

Ref : thehackernews