ผู้ไม่ประสงค์ดีมือใหม่ติด Malware กว่า 18,000 รายจากเครื่องมือสร้าง Malware ปลอม

    ผู้ไม่ประสงค์ดีกำลังมุ่งเป้าไปที่ผู้ไม่ประสงค์ดีมือใหม่ที่เรียกว่า "script kiddies" โดยใช้เครื่องมือสร้าง Malware ปลอมที่ถูกซ่อน Malware ไว้ เพื่อให้คอมพิวเตอร์ของคนเหล่านั้นติดตั้ง backdoor เพื่อขโมยข้อมูล และเข้าควบคุมคอมพิวเตอร์

    จากการรายงานของนักวิจัยด้านความปลอดภัยจาก CloudSEK พบว่า  Malware นี้ได้แพร่กระจายไปยังอุปกรณ์มากถึง 18,459 เครื่องทั่วโลก โดยส่วนใหญ่จะพบในประเทศรัสเซีย, สหรัฐอเมริกา, อินเดีย, ยูเครน และตุรกี

    รายงาน CloudSEK ยังระบุว่า เวอร์ชันที่ถูกดัดแปลงของเครื่องมือ XWorm RAT ถูกนำมาใช้ในการโจมตีครั้งนี้ และได้ถูกเผยแพร่ไปยังผู้ใช้งานจำนวนมาก

"มันถูกออกแบบมาเพื่อโจมตีโดยเฉพาะกับกลุ่ม script kiddies ที่เป็นมือใหม่ในด้านความปลอดภัยทางไซเบอร์ และมักจะดาวน์โหลดเครื่องมือต่าง ๆ แล้วใช้ทันที ซึ่งก็แสดงให้เห็นว่าแม้แต่ในกลุ่มผู้ไม่ประสงค์ดีเองก็ไม่มีความซื่อสัตย์ต่อกัน"

    นักวิจัยจาก CloudSEK พบว่า  Malware นี้มีฟังก์ชันที่เรียกว่า ‘kill switch’ ซึ่งสามารถลบ Malware ออกจากเครื่องที่ติด Malware หลายเครื่องได้ แต่ยังมีบางเครื่องที่ยังคงถูกโจมตีอยู่ เนื่องจากมีข้อจำกัดในการดำเนินการ

เครื่องมือสร้าง RAT ปลอมหลอกติดตั้ง Malware 

    นักวิจัยระบุว่า พวกเขาพบเครื่องมือสร้าง XWorm RAT ที่ถูกดัดแปลงเป็น Trojan กำลังถูกเผยแพร่ผ่านช่องทางต่าง ๆ เช่น GitHub repositories, แพลตฟอร์ม file hosting, ช่อง Telegram, วิดีโอใน YouTube และเว็บไซต์ต่าง ๆ

    ช่องทางเหล่านี้ถูกใช้โปรโมตเครื่องมือสร้าง RAT โดยอ้างว่าเครื่องมือนี้จะช่วยให้ผู้ไม่ประสงค์ดีคนอื่นสามารถใช้ Malware ได้โดยไม่ต้องจ่ายเงิน

    แทนที่จะเป็นเครื่องมือสร้าง XWorm RAT จริง ๆ มันกลับแอบติดตั้ง Malware ในอุปกรณ์ของพวกเขา

เมื่อคอมพิวเตอร์ติด Malware  มันจะตรวจสอบ Windows Registry ว่าเครื่องนั้นทำงานในสภาพแวดล้อม virtualized หรือไม่ ถ้าพบว่ามันทำงานในเครื่อง virtual มันจะหยุดทำงาน แต่ถ้าพบว่าไม่ใช่ มันจะทำการเปลี่ยนแปลงบางอย่างในระบบเพื่อให้มันยังคงทำงานได้ทุกครั้งที่เปิดเครื่องใหม่

    ทุกระบบที่ติด Malware จะถูก register กับเซิร์ฟเวอร์ที่ใช้ Telegram เป็นระบบควบคุมคำสั่ง (C2) โดยใช้ Telegram bot ID และโทเค็นที่ฝังไว้ในตัว Malware 

    Malware ยังสามารถขโมยโทเค็นของ Discord, ข้อมูลระบบ และข้อมูลตำแหน่ง (จาก IP address) โดยอัตโนมัติ และส่งข้อมูลเหล่านั้นไปยังเซิร์ฟเวอร์ C2 แล้วรอคำสั่งอื่น ๆ จากผู้ไม่ประสงค์ดี

จากคำสั่งทั้งหมด 56 คำสั่ง ตัวอย่างต่อไปนี้คือคำสั่งที่เป็นอันตรายโดยเฉพาะ:

• /machine_id*browsers - ขโมยรหัสผ่านที่บันทึกไว้, คุกกี้ และ autofill data จากเว็บเบราว์เซอร์
• /machine_id*keylogger - บันทึกทุกสิ่งที่เป้าหมายพิมพ์บนคอมพิวเตอร์
• /machine_id*desktop - จับภาพหน้าจอของเป้าหมายในขณะที่กำลังใช้งาน
• /machine_id*encrypt<password>{*} - เข้ารหัสไฟล์ทั้งหมดในระบบด้วยรหัสผ่านที่กำหนด
• /machine_id*processkill<process>* - ปิดการทำงานของโปรแกรมที่กำลังทำงานอยู่ รวมถึงซอฟต์แวร์รักษาความปลอดภัย
• /machine_id*upload<file>* - ขโมยไฟล์ที่ระบุไว้โดยเฉพาะจากระบบที่ติด Malware 
• /machine_id*uninstall - ถอนการติดตั้ง Malware จากอุปกรณ์

    CloudSEK พบว่า ผู้ไม่ประสงค์ดีได้ขโมยข้อมูลจากอุปกรณ์ที่ติด Malware ประมาณ 11% โดยส่วนใหญ่จะเป็นการจับภาพหน้าจอของอุปกรณ์ที่ติด Malware และขโมยข้อมูลจากเบราว์เซอร์

การหยุดการทำงานด้วย kill switch

    นักวิจัยจาก CloudSEK ได้ใช้เครื่องมือพิเศษที่ฝังอยู่ใน Malware เพื่อหยุดการทำงานของเครือข่ายคอมพิวเตอร์ที่ถูกโจมตี (Botnet) โดยการใช้ API token ที่ถูกตั้งค่าไว้ล่วงหน้า และฟังก์ชัน kill switch ที่สามารถลบ Malware ออกจากเครื่องที่ติด Malware ได้

    พวกเขาส่งคำสั่งถอนการติดตั้งจำนวนมากไปยังเครื่องที่กำลังเชื่อมต่อทั้งหมด โดยการวนผ่าน ID เครื่องทั้งหมดที่พวกดึงออกมาจาก Telegram logs ที่มีอยู่ก่อนหน้านี้ พวกเขายังใช้วิธีการ brute-force โดยการเดาหมายเลขเครื่องจาก 1 ถึง 9999 โดยคาดเดาว่าหมายเลขเครื่องจะเป็นลำดับตัวเลข

    แม้ว่าคำสั่งที่ส่งไปจะช่วยลบ Malware จากเครื่องที่ติด Malware ได้หลายเครื่อง แต่เครื่องที่ไม่ได้ออนไลน์ตอนที่ส่งคำสั่งจะยังคงติด Malware อยู่

    นอกจากนี้ Telegram มีการจำกัดจำนวนข้อความที่สามารถส่งได้ในแต่ละช่วงเวลา ทำให้คำสั่งถอนการติดตั้งบางคำสั่งอาจหายไประหว่างทาง

    การที่ผู้ไม่ประสงค์ดีโจมตีผู้ไม่ประสงค์ดีเป็นสถานการณ์ที่เราเห็นได้บ่อยในโลกไซเบอร์

บทเรียนจากการค้นพบของ CloudSEK คือ อย่าไว้ใจซอฟต์แวร์ที่ไม่ได้รับการรับรอง โดยเฉพาะซอฟต์แวร์ที่ถูกเผยแพร่โดยอาชญากรไซเบอร์รายอื่น และควรติดตั้งเครื่องมือสร้าง Malware ในสภาพแวดล้อมที่ใช้ทดสอบ หรือวิเคราะห์เท่านั้น

Ref : bleepingcomputer

Errors ใน Google Meet ปลอม ถูกใช้เพื่อแพร่กระจายมัลแวร์ขโมยข้อมูล

    รูปแบบการโจมตีใหม่ใหม่ที่ชื่อว่า ClickFix กำลังหลอกล่อผู้ใช้งานให้ไปที่หน้าการประชุม Google Meet ปลอม ที่แสดงข้อความ Errors ปลอมเกี่ยวกับการเชื่อมต่อ ทำให้มีการติดตั้ง Malware สำหรับขโมยข้อมูลบนระบบปฏิบัติการ Windows และ macOS

    ClickFix เป็นเทคนิค social-engineering ที่ถูกพบในเดือนพฤษภาคม โดยถูกรายงานครั้งแรกจากบริษัทด้านความปลอดภัยทางไซเบอร์ Proofpoint ซึ่งมาจากผู้โจมตีกลุ่ม (TA571) ที่ใช้ข้อความในการปลอมแปลงเป็น Errors สำหรับ Google Chrome, Microsoft Word และ OneDrive

    ข้อผิดพลาดเหล่านี้จะกระตุ้นให้ผู้ใช้งานทำการคัดลอกโค้ด PowerShell ลงในคลิปบอร์ด โดยอ้างว่าจะช่วยแก้ปัญหาเมื่อรันโค้ดใน Windows Command Prompt

    โดยจะส่งผลให้เกิดการแพร่กระจาย Malware ไปยังระบบอื่น ๆ โดย Malware ที่มีการแแพร่กระจาย เช่น DarkGate, Matanbuchus, NetSupport, Amadey Loader, XMRig, a clipboard hijacker และ Lumma Stealer

    ในเดือนกรกฎาคม McAfee รายงานว่ารูปแบบการโจมตีใหม่ ClickFix เริ่มเป็นที่นิยมมากขึ้น โดยเฉพาะในสหรัฐอเมริกา และญี่ปุ่น

    รายงานฉบับใหม่จาก Sekoia ซึ่งเป็นผู้ให้บริการความปลอดภัยทางไซเบอร์แบบ SaaS ระบุว่ารูปแบบการโจมตีใหม่ ClickFix ได้ถูกพัฒนาขึ้นอย่างมาก โดยปัจจุบันใช้การล่อลวงผ่าน Google Meet และยังมีการใช้อีเมลฟิชชิงที่กำหนดเป้าหมายไปยังบริษัทขนส่ง และโลจิสติกส์ รวมถึงมีการทำหน้า Facebook ปลอม และมีการหลอกลวงบน GitHub อีกด้วย

    ตามรายงานจากบริษัทความปลอดภัยทางไซเบอร์ของฝรั่งเศสระบุว่า รูปแบบการโจมตีใหม่ล่าสุดบางส่วนดำเนินการโดยกลุ่มผู้ไม่ประสงค์ดี 2 กลุ่ม ได้แก่ Slavic Nation Empire (SNE) และ Scamquerteo ซึ่งถือเป็นทีมย่อยของกลุ่ม Marko Polo และ CryptoLove

หลอกลวงผ่าน Google Meet

    ผู้ไม่ประสงค์ดีกำลังใช้หน้าเว็บไซต์ปลอมสำหรับ Google Meet ซึ่งเป็นบริการการสื่อสารผ่านวิดีโอที่เป็นส่วนหนึ่งของ Google Workspace ที่ได้รับความนิยมในสภาพแวดล้อมขององค์กรสำหรับการประชุมทางไกล และการสัมมนาผ่านเว็บ รวมถึงการทำงานร่วมกันทางออนไลน์

    ผู้ไม่ประสงค์ดีจะส่งอีเมลถึงเป้าหมายที่มีลักษณะเหมือนคำเชิญของ Google Meet ที่ดูเหมือนเป็นของจริง ซึ่งจะเกี่ยวข้องกับการประชุม การสัมมนา หรือเหตุการณ์สำคัญอื่น ๆ

URL เหล่านี้มีความคล้ายคลึงกับลิงก์ Google Meet ที่เป็นของจริง โดยมีรายละเอียดดังนี้

• meet[.]google[.]us-join[.]com
• meet[.]google[.]web-join[.]com
• meet[.]googie[.]com-join[.]us
• meet[.]google[.]cdm-join[.]us

    เมื่อเป้าหมายเข้าสู่หน้าเว็บไซต์ปลอมแล้ว เป้าหมายจะได้รับข้อความแจ้งให้ทราบถึงปัญหาทางเทคนิค เช่น ปัญหาของไมโครโฟน หรือหูฟัง

    หากเป้าหมายคลิกปุ่ม Try Fix ที่แสดงขึ้นมาจะมีการติดตั้ง Malware ClickFix โดยจะมีการ Copy โค้ด PowerShell จากเว็บไซต์ลงไปยังพรอมต์ของ Windows ภายในเครื่อง ส่งผลทำให้คอมพิวเตอร์ของเป้าหมายติด Malware และดึง Payload จากโดเมน googiedrivers[.]com

    Payload ในขั้นสุดท้ายคือมัลแวร์ขโมยข้อมูล Stealc หรือ Rhadamanthys บน Windows ส่วนในเครื่อง macOS ผู้โจมตีจะติดตั้ง AMOS Stealer ในรูปแบบไฟล์ .DMG (อิมเมจดิสก์ของ Apple) ที่มีชื่อว่า 'Launcher_v194'

    Sekoia ได้ระบุว่า Malware ยังสามารถกระจายไปยังกลุ่มอื่นที่นอกเหนือจาก Google Meet ได้อีก เช่น โปรแกรม Zoom, โปรแกรมอ่านไฟล์ PDF, วิดีโอเกมปลอม (Lunacy, Calipso, Battleforge, Ragon), เว็บเบราว์เซอร์ และโครงการ web3 (NGT Studio) รวมไปถึงแอปส่งข้อความ (Nortex)

bleepingcomputer.com

กลุ่มผู้ไม่ประสงค์ดี (Ransomware Gang) ปล่อยมัลแวร์ใหม่เพื่อปิดการทำงานของซอฟต์แวร์รักษาความปลอดภัย

    กลุ่มผู้ไม่ประสงค์ดี RansomHub กำลังใช้มัลแวร์ตัวใหม่เพื่อปิดการทำงานของซอฟต์แวร์รักษาความปลอดภัย Endpoint Detection and Response (EDR) ในการโจมตีแบบ Bring Your Own Vulnerable Driver (BYOVD)

    มัลแวร์นี้ถูกตั้งชื่อว่า EDRKillShifter โดยทีมผู้เชี่ยวชาญด้านความปลอดภัยจาก Sophos ซึ่งค้นพบในระหว่างการสอบสวนแรนซัมแวร์ในเดือนพฤษภาคม 2024 มัลแวร์นี้จะติดตั้งไดรเวอร์ที่ถูกต้องตามกฎหมายแต่มีช่องโหว่ในอุปกรณ์ที่เป็นเป้าหมาย เพื่อยกระดับสิทธิ์ ปิดการทำงานของโซลูชันด้านความปลอดภัย และควบคุมระบบ

    เทคนิคนี้ได้รับความนิยมอย่างมากในหมู่ผู้ไม่หวังดีที่มีแรงจูงใจทางการเงินตั้งแต่กลุ่มผู้ไม่ประสงค์ดีไปจนถึงกลุ่มที่ได้รับการสนับสนุนจากรัฐ

    "ในระหว่างเหตุการณ์ในเดือนพฤษภาคม ผู้โจมตี — ซึ่งเราประเมินด้วยความมั่นใจในระดับปานกลางว่าเครื่องมือนี้ถูกใช้โดยผู้โจมตีหลายกลุ่ม — พยายามใช้ EDRKillShifter เพื่อยุติการป้องกันของ Sophos บนคอมพิวเตอร์ที่เป็นเป้าหมาย แต่เครื่องมือนี้ล้มเหลว" Andreas Klopsch ทีมผู้เชี่ยวชาญด้านความปลอดภัยภัยคุกคามจาก Sophos กล่าว

    "จากนั้นพวกเขาพยายามเรียกใช้ไฟล์รันแซมแวร์บนเครื่องที่พวกเขาควบคุมอยู่ แต่ก็ล้มเหลวอีกครั้งเมื่อฟีเจอร์ CryptoGuard ของเอเจนต์ปลายทางถูกเรียกใช้งาน"

    ในระหว่างการสืบสวน Sophos พบตัวอย่างที่แตกต่างกันสองตัวอย่าง โดยทั้งสองมีการใช้ช่องโหว่ในแนวคิดจาก GitHub: หนึ่งตัวอย่างใช้ประโยชน์จากไดรเวอร์ที่มีช่องโหว่ที่รู้จักกันในชื่อ RentDrv2 และอีกตัวอย่างใช้ประโยชน์จากไดรเวอร์ที่เรียกว่า ThreatFireMonitor ซึ่งเป็นส่วนประกอบของแพ็กเกจการตรวจสอบระบบที่เลิกใช้แล้ว

    Sophos ยังพบว่า EDRKillShifter สามารถส่งโหลดไดรเวอร์ต่างๆ ได้ตามความต้องการของผู้โจมตี และคุณสมบัติด้านภาษาของมัลแวร์นี้บ่งชี้ว่าถูกคอมไพล์บนคอมพิวเตอร์ที่มีการตั้งค่าภาษาเป็นภาษารัสเซีย

    การทำงานของตัวโหลดประกอบด้วยสามขั้นตอน: ขั้นแรก ผู้โจมตีจะเรียกใช้ไบนารี EDRKillShifter พร้อมกับสตริงรหัสผ่านเพื่อถอดรหัสและเรียกใช้ทรัพยากรฝังตัวที่ชื่อว่า BIN ในหน่วยความจำ โค้ดนี้จะทำการขยายและเรียกใช้เพย์โหลดสุดท้าย ซึ่งจะติดตั้งและใช้ประโยชน์จากไดรเวอร์ที่ถูกต้องตามกฎหมายแต่มีช่องโหว่เพื่อยกระดับสิทธิ์และปิดการทำงานของกระบวนการและบริการ EDR ที่กำลังทำงานอยู่

    "หลังจากมัลแวร์สร้างบริการใหม่สำหรับไดรเวอร์ เริ่มต้นบริการ และโหลดไดรเวอร์แล้ว มันจะเข้าสู่วงจรที่ไม่มีวันสิ้นสุดที่ทำการระบุชื่อกระบวนการที่กำลังทำงานอย่างต่อเนื่อง โดยจะยุติกระบวนการหากชื่อปรากฏในรายการเป้าหมายที่ถูกเข้ารหัสไว้ในโค้ด" Klopsch กล่าวเสริม

    "สิ่งที่ควรสังเกตอีกประการคือ ทั้งสองเวอร์ชันนี้ใช้ประโยชน์จากไดรเวอร์ที่ถูกต้องตามกฎหมาย (แม้จะมีช่องโหว่) โดยใช้ช่องโหว่แนวคิดจาก GitHub เราสงสัยว่าผู้โจมตีคัดลอกบางส่วนของช่องโหว่แนวคิดเหล่านี้ ดัดแปลง และนำโค้ดมาใช้กับภาษา Go"

    Sophos แนะนำให้เปิดใช้งานการป้องกันการแก้ไขในการรักษาความปลอดภัยของผลิตภัณฑ์ปลายทาง รักษาการแยกระหว่างสิทธิ์ผู้ใช้และผู้ดูแลระบบเพื่อป้องกันไม่ให้ผู้โจมตีโหลดไดรเวอร์ที่มีช่องโหว่ และอัปเดตระบบอย่างสม่ำเสมอ เนื่องจาก Microsoft ยังคงเพิกถอนการรับรองไดรเวอร์ที่ลงชื่อซึ่งทราบว่าถูกนำไปใช้ในทางที่ผิดในการโจมตีก่อนหน้านี้

    เมื่อปีที่แล้ว Sophos พบมัลแวร์ตัวอื่นที่ฆ่า EDR ชื่อว่า AuKill ซึ่งใช้ประโยชน์จากไดรเวอร์ Process Explorer ที่มีช่องโหว่ในการโจมตี Medusa Locker และ LockBit ransomware AuKill มีความคล้ายคลึงกับเครื่องมือโอเพ่นซอร์สที่รู้จักกันในชื่อ Backstab ซึ่งใช้ประโยชน์จากไดรเวอร์ Process Explorer ที่มีช่องโหว่และถูกใช้โดยกลุ่ม LockBit อย่างน้อยหนึ่งครั้งในการโจมตีที่ Sophos X-Ops สังเกตเห็น

Ref: bleepingcomputer

ช่องโหว่ Windows Smart App Control และ SmartScreen ถูกใช้ในการโจมตีมาตั้งแต่ปี 2018

        นักวิจัยด้านความปลอดภัยทางไซเบอร์ได้ค้นพบช่องโหว่ใน Windows Smart App Control และ SmartScreen ซึ่งเป็นส่วนหนึ่งของระบบป้องกันความปลอดภัยที่ออกแบบมาเพื่อปกป้องผู้ใช้จากการรันแอปพลิเคชันที่ไม่น่าเชื่อถือบน Windows ช่องโหว่นี้ถูกโจมตีและใช้งานโดยผู้ไม่ประสงค์หวังดีมาตั้งแต่ปี 2018 โดยอาศัยวิธีการจัดการไฟล์ประเภท .LNK (หรือ shortcut files) ที่เรียกว่า "LNK stomping"

รายละเอียดของช่องโหว่

        ช่องโหว่เกิดขึ้นจากการที่ระบบ Windows ไม่สามารถตรวจสอบไฟล์ LNK ที่ได้รับการแก้ไขได้อย่างถูกต้อง โดยปกติแล้วเมื่อไฟล์ถูกดาวน์โหลดจากอินเทอร์เน็ต ระบบจะทำการติดป้าย "Mark of the Web" (MotW) ซึ่งจะช่วยให้ระบบรู้ว่าไฟล์นี้มาจากแหล่งภายนอก และต้องผ่านการตรวจสอบความปลอดภัยผ่าน SmartScreen อย่างไรก็ตาม เทคนิค LNK stomping ที่ถูกค้นพบนี้ ช่วยให้ผู้โจมตีสามารถลบหรือปิดบัง MotW ออกจากไฟล์ได้ ทำให้ไฟล์ดังกล่าวไม่ถูกตรวจสอบโดย SmartScreen หรือ Smart App Control และสามารถรันได้โดยไม่มีการแจ้งเตือนถึงความเสี่ยง

        วิธีการโจมตีนี้ได้รับการเปิดเผยโดยนักวิจัยจาก Cisco Talos ซึ่งชี้ให้เห็นว่า แม้ว่า Microsoft จะได้พยายามแก้ไขปัญหานี้หลายครั้งด้วยการอัปเดตระบบ แต่ก็ยังไม่สามารถป้องกันการข้ามระบบ SmartScreen ได้อย่างสมบูรณ์

ผลกระทบและคำเตือน

        ผลกระทบจากช่องโหว่นี้ทำให้ผู้โจมตีสามารถแพร่กระจายมัลแวร์และทำฟิชชิ่งได้อย่างมีประสิทธิภาพ โดยไม่ถูกตรวจพบจากระบบรักษาความปลอดภัยของ Windows ซึ่งทำให้ผู้ใช้งานทั่วไปและองค์กรต่าง ๆ ตกอยู่ในความเสี่ยง

        นักวิจัยยังคงเตือนให้ผู้ใช้ Windows ระมัดระวังในการดาวน์โหลดไฟล์จากแหล่งที่ไม่เชื่อถือ และแนะนำให้อัปเดตระบบปฏิบัติการและซอฟต์แวร์รักษาความปลอดภัยอย่างสม่ำเสมอ เพื่อป้องกันความเสี่ยงที่อาจเกิดขึ้นจากช่องโหว่นี้

ข้อสรุป

ในขณะที่ Microsoft พยายามปรับปรุงการป้องกันช่องโหว่เหล่านี้อย่างต่อเนื่อง แต่ก็ยังไม่สามารถแก้ไขปัญหาได้ทั้งหมด ผู้ใช้งานควรให้ความสำคัญในการตรวจสอบและระมัดระวังการใช้งานไฟล์ที่ดาวน์โหลดจากอินเทอร์เน็ต เพื่อป้องกันการถูกโจมตีจากช่องโหว่นี้

Ref : BleepingComputer

Fujitsu ยืนยันข้อมูลลูกค้ารั่วไหลในเหตุการณ์การโจมตีทางไซเบอร์ช่วงเดือนมีนาคม

    Fujitsu ยืนยันว่าข้อมูลที่เกี่ยวข้องกับบุคคล และธุรกิจของลูกค้าบางรายรั่วไหลในเหตุการณ์การโจมตีทางไซเบอร์ที่ตรวจพบเมื่อต้นปีที่ผ่านมา

    โดยระบุว่า การโจมตีไม่ได้เกี่ยวข้องกับ Ransomware แต่มีการใช้วิธีการที่หลบซ่อนเพื่อหลีกเลี่ยงการตรวจสอบความถูกต้อง ตรวจจับความเคลื่อนไหวในขณะที่ขโมยข้อมูลออกไป โดยในช่วงเดือนมีนาคม บริษัทพบว่าระบบของบริษัทหลายระบบติด Malware และสังเกตเห็นความเป็นไปได้ที่ข้อมูลที่มีความสำคัญของลูกค้าอาจถูก compromised

    ทีมรักษาความมั่นคงปอลดภัยสารสนเทศของ Fujitsu เมื่อทราบเหตุได้เริ่มกระบวนการแยกคอมพิวเตอร์ที่ได้รับผลกระทบ และเริ่มการสืบสวนโดยได้รับความช่วยเหลือจากผู้เชี่ยวชาญภายนอกเพื่อกำหนดขอบเขตของการรั่วไหล

หลังเสร็จสิ้นกระบวนการทำ Digital forensics

    ทาง Fujitsu ได้สรุปการตรวจสอบเหตุการณ์ และยืนยันว่าข้อถูกนำออกไปโดยการใช้งาน Malware ที่แพร่กระจายจากจุดเริ่มต้นเพียงจุดเดียวไปยังคอมพิวเตอร์ 49 เครื่อง โดยที่หลังจาก Malware ถูกติดตั้งบนคอมพิวเตอร์เครื่องหนึ่งของบริษัท ถูกพบว่าได้มีการแพร่กระจายไปยังคอมพิวเตอร์เครื่องอื่น ๆ

"Malware นี้ไม่ใช่ Ransomware แต่ใช้เทคนิคที่ซับซ้อนในการปลอมตัวทำให้ยากต่อการตรวจจับ ซึ่งเกิดจากการโจมตีขั้นสูง"

    Fujitsu ระบุว่าคอมพิวเตอร์ที่ติดมัลแวร์ทั้ง 49 เครื่องถูกแยกออกจากระบบอื่น ๆ ทันทีหลังจากพบการโจมตี และมัลแวร์ถูกจำกัดอยู่ในสภาพแวดล้อมเครือข่ายบริษัทในญี่ปุ่นเท่านั้น

    บริษัทระบุว่า "คำสั่งในการคัดลอกไฟล์ถูกดำเนินการจากพฤติกรรมของมัลแวร์" ด้วยเหตุนี้ Fujitsu จึงระบุว่ามีความเป็นไปได้ที่ข้อมูลอาจถูกขโมยออกไป "ไฟล์ที่สามารถคัดลอกได้มีข้อมูลส่วนบุคคล และข้อมูลที่เกี่ยวข้องกับธุรกิจของลูกค้า"

    Fujitsu อธิบายเพิ่มเติมว่ายังไม่ได้รับรายงานว่าข้อมูลที่ถูก compromised ถูกนำไปใช้ในทางที่ผิด หลังจากการวิเคราะห์มัลแวร์ และเหตุการณ์ Fujitsu ได้ใช้มาตรการการตรวจสอบด้านความปลอดภัยสำหรับคอมพิวเตอร์ทั้งหมดในบริษัท และอัปเดตโซลูชันตรวจจับมัลแวร์เพื่อป้องกันการโจมตีที่คล้ายกัน

Ref: bleepingcomputer

New Ransomware Eldorado ที่กำลังโจมตีกำหนดเป้าหมายเป็นกลุ่มผู้ใช้งาน Windows และ VMware ESXI VMs

 

    มีการแจ้งเตือนจากทีมรักษาความปลอดภัยของ Group-IB ได้พบการโจมตีแบบ Ransomware-as-a-Service (RaaS) ที่ใช้ชื่อว่า Eldorado

    โดยมีกลุ่มเป้าหมายเป็นกลุ่มผู้ใช้งาน Windows และ VMware ESXI VMs มีการพบการแจ้งเหตุการณ์นี้ไปยัง CISA ของสหรัฐฯ ว่าบริษัท หรือหน่วยงานของตนนั้นถูกโจมตีด้วย Eldorado แล้วถึง 16 รายแต่ส่วนมากอยู่ในสหรัฐ ในภาคของ อสังหา การศีกษา สุขภาพ และสายการผลิต

    ทีมรักษาความปลอดภัยของ Group-IB ได้มีการติดตามการดำเนินกิจกรรมของกลุ่ม Eldorado พบว่ามีการโปรโมตการให้บริการ RaaS Eldorado ผ่านทาง Forum RAMPและเปิดให้ผู้ทีมีความสามารถในเรื่องของการเจาะระบบเข้าร่วมทีม ด้วยการโปรโมตว่า Eldorado ได้ทำการโจมตีไปยังหน่วยงานต่าง ๆ ในสหรัฐ ฯ อิตาลี และ โครเอเชีย

การโจมตีบน Windows และ Linux

    Eldorado เป็น Ransomware ที่ใช้ Go ซึ่งสามารถเข้ารหัสได้บนแพลต์ฟอร์ม Windows และ Linux ผ่านวิธีการต่าง ๆ กันไปแต่การทำงานเหมือนกันพร้อมทั้งยังกล่าวอีกว่า

    Eldoraro นั้นเป็น Malware ที่มีความเป็นเอกเทศน์สูง เพราะพัฒนาด้วยตนเองและไม่สนใจแหล่งความรู้อื่น ๆ เมื่อถูกเข้ารหัส Eldorado คำขู่มาในรูปแบบ Text ไฟล์จะถูกวางใว้ที่ Desktop

    Eldorado ยังเข้ารหัสการแชร์เครือข่ายโดยใช้โปรโตคอลการสื่อสาร SMB เพื่อเพิ่มผลกระทบให้สูงสุดและจะลบ Shadow Copy เพื่อป้องกันการกู้คืนอีกครั้งและรวมไปถึงไฟล์จำพวก

.DLL, .LNk, .SYS, .EXE ตลอดจนไฟล์ Directory ที่เกี่ยวกับการบูจและฟังก์ชั่นพื้นฐานเพื่อไม่ให้เป้าหมายทำอะไรกับเครื่องได้เลย

วิธีการป้องกัน Malware Eldorado ที่สามารถป้องกันได้ในระดับหนึ่งมีวิธีการดังนี้:

• เปิดใช้งานระบบตรวจสอบหลายปัจจุบัย Multifactor Autentication
• เปิดใช้งาน Endpoint Detection and Response (EDR)
• ทำการ Backup ข้อมูลอยู่สม่ำเสมอ
• Update Patch ของระบบต่าง ๆ ให้เป็นปัจจุบันสม่ำเสมอ

Ref : bleepingcomputer

Malware "More_eggs" แฝงมาใน Resumes โดยมีเป้าหมายเป็นผู้จัดหางาน

    ผู้เชี่ยวชาญด้านความปลอดภัยทางไซเบอร์พบการโจมตีแบบฟิชชิ่งที่แพร่กระจาย Malware More_eggs โดยปลอมเป็น Resumes ซึ่งเทคนิคนี้ถูกพบครั้งแรกเมื่อกว่าสองปีที่แล้ว โดยบริษัท eSentire บริษัทรักษาความปลอดภัยทางไซเบอร์ของแคนาดาเปิดเผยเมื่อสัปดาห์ที่แล้วว่า การโจมตีนี้มุ่งเป้าไปที่บริษัทที่ไม่ระบุชื่อในอุตสหกรรมด้านการให้บริการในเดือนพฤษภาคม 2567

    ตามรายงานระบุว่า "บุคคลที่เป็นเป้าหมายคือผู้จัดหางานที่ถูกแฮ็กเกอร์หลอกให้เข้าใจผิดว่าตนเป็นผู้สมัครงาน และหลอกล่อให้พวกเขาเข้าไปที่เว็บไซต์เพื่อดาวน์โหลดMalware"

    ผู้เชี่ยวชาญคาดว่า More_eggs เป็นผลงานของแฮ็กเกอร์ที่รู้จักกันในชื่อ Golden Chickens (หรือที่รู้จักกันในชื่อ Venom Spider) โดยเป็นโมดูล backdoor ที่สามารถเก็บรวบรวมข้อมูลที่มีความสำคัญได้ ซึ่งมันถูกเสนอขายให้กับแฮ็กเกอร์รายอื่นในรูปแบบของ Malware-as-a-Service (MaaS)

    โดยเมื่อปีที่แล้ว eSentire ได้เปิดเผยตัวตนของบุคคลสองคนที่คาดว่าเป็นผู้ดำเนินการวิธีการโจมตีนี้

รูปแบบการโจมตีล่าสุดผู้โจมตีใช้วิธีการตอบกลับโพสต์งานบน LinkedIn ด้วยลิงก์ไปยังเว็บไซต์ดาวน์โหลด Resumes ปลอมที่จะดาวน์โหลดไฟล์ Windows Shortcut (LNK) ที่เป็นอันตราย

เป็นที่น่าสังเกตว่าพฤติกรรมของ More_eggs คือมุ่งเป้าการโจมตีไปที่ผู้เชียวชาญจัดหางานบน LinkedIn เพื่อหลอกล่อให้พวกเขาดาวน์โหลดMalware

    eSentire ระบุว่า "หากลองเข้าไปยัง URL เดิมในวันถัดไป จะนำไปสู่ Resumes ของบุคคลนั้น ๆ ในรูปแบบ HTML ธรรมดา โดยจะไม่มีการเปลี่ยนเส้นทาง หรือการดาวน์โหลดใด ๆ"

    ไฟล์ LNK ถูกนำมาใช้เพื่อโหลด DLL ที่เป็นอันตรายโดยใช้ประโยชน์จากโปรแกรมบน Microsoft ที่มีชื่อว่า ie4uinit.exe หลังจากนั้น library จะถูกเรียกใช้โดย regsvr32.exe เพื่อสร้างการฝังตัวเพื่อเก็บรวบรวมข้อมูลของโฮสต์ที่ติดMalware และวาง payload เพิ่มเติม รวมถึง JavaScript ของ More_eggs backdoor

    eSentire ระบุว่า "วิธีการโจมตีของ More_eggs นี้ยังคงมีการดำเนินการอยู่ และผู้ใช้งานยังคงใช้วิธีการ social engineering เช่น การปลอมเป็นผู้สมัครงานที่ต้องการตำแหน่งาน และหลอกล่อเหยื่อ (โดยเฉพาะผู้จัดหางาน) ให้ดาวน์โหลดMalwareของพวกเขา"

    "นอกจากนี้วิธีการโจมตีของ More_eggs ที่ใช้รูปแบบ MaaS ดูเหมือนจะเป็นการโจมตีที่เลือกเป้าหมายเฉพาะเจาะจง เมื่อเปรียบเทียบกับเครือข่ายการแพร่กระจายMalwareสแปมทั่วไป"

การพัฒนาดังกล่าวเกิดขึ้นภายหลังจากที่บริษัทรักษาความปลอดภัยทางไซเบอร์ได้เปิดเผยรายละเอียดของวิธีการโจมตี drive-by download ที่ใช้เว็บไซต์ปลอมเพื่อใช้เครื่องมือ KMSPico Windows activator ในการแพร่กระจาย Vidar Stealer

    eSentire ระบุว่า "เว็บไซต์ kmspico[.]ws โฮสต์อยู่ที่เบื้องหลัง Cloudflare Turnstile ทำให้ต้องมีการกรอกข้อมูลจากมนุษย์ก่อน (การกรอกรหัส) เพื่อดาวน์โหลดไฟล์ ZIP สุดท้าย ซึ่งขั้นตอนเหล่านี้ไม่ปกติสำหรับหน้าดาวน์โหลดแอปพลิเคชันที่ถูกต้อง และถูกทำขึ้นเพื่อซ่อนหน้าเว็บ และ payload สุดท้ายจากโปรแกรมรวบรวมข้อมูลอัตโนมัติของผู้เชี่ยวชาญ"

    Trustwave SpiderLabs ระบุเมื่อสัปดาห์ที่แล้วว่า วิธีการโจมตี social engineering ในลักษณะที่คล้ายกัน มีการใช้งานเว็บไซต์ที่ดูเหมือนจะเป็นซอฟต์แวร์ที่ถูกต้อง เช่น Advanced IP Scanner เพื่อแพร่กระจาย Cobalt Strike

    นอกจากนี้ยังพบการใช้งานเครื่องมือฟิชชิ่งใหม่ที่ชื่อว่า V3B ที่ถูกนำมาใช้เพื่อโจมตีลูกค้าของธนาคาร European Union โดยมีเป้าหมายขโมยข้อมูล credentials และรหัสผ่านที่ใช้แบบครั้งเดียว (OTP)

ชุดเครื่องมือนี้ถูกเสนอให้เช่าในราคา $130-$450 ต่อเดือน ผ่านรูปแบบของ Phishing-as-a-Service (PhaaS) ผ่านทาง dark web และช่องทาง Telegram ที่ถูกสร้างขึ้นโดยเฉพาะตั้งแต่เดือนมีนาคม 2023 มันถูกออกแบบมาเพื่อรองรับธนาคารมากกว่า 54 แห่งที่ตั้งอยู่ในประเทศออสเตรีย เบลเยียม ฟินแลนด์ ฝรั่งเศส เยอรมนี กรีซ ไอร์แลนด์ อิตาลี ลักเซมเบิร์ก และเนเธอร์แลนด์

    สิ่งที่สำคัญที่สุดของ V3B คือมี template ที่ปรับแต่ง และใช้ภาษาท้องถิ่นเพื่อจำลองกระบวนการตรวจสอบ และการยืนยันต่าง ๆ ที่เป็นที่นิยมในระบบธนาคารออนไลน์ (online banking) และระบบ e-commerce ในภูมิภาคนั้น

 นอกจากนี้ยังมีความสามารถขั้นสูงในการสื่อสารกับเหยื่อแบบเรียลไทม์ และรับรหัส OTP และรหัส PhotoTAN โดยใช้ความสามารถในการโจมตีแบบ QRLJacking (หรือที่เรียกว่าการโจมตีแบบ QR code login jacking) ในบริการต่าง ๆ เช่น WhatsApp ที่อนุญาตให้เข้าสู่ระบบผ่าน QR code

โดย Resecurity ระบุว่า "ผู้โจมตีได้มุ่งเป้าหมายไปที่สถาบันการเงินยุโรป และคาดว่ามีอาชญากรไซเบอร์หลายร้อยคนใช้ชุดเครื่องมือนี้เพื่อทำการหลอกเอาเงินจากบัญชีของเหยื่อ"

Ref : thehackernews

GhostEngine mining Malware ที่มีความสามารถในการสั่ง "หยุดการทำงานของ EDR โดยใช้ไดรเวอร์ที่มีช่องโหว่"

    รูปแบบการโจมตีของ Malware แบบขุดคริปโตเคอเรนซีที่มีชื่อว่า 'REF4578' ถูกพบว่ากำลังพยายามใช้ Pay load ที่เป็นอันตรายในชื่อ GhostEngine ซึ่งมีการใช้ไดรเวอร์ที่มีช่องโหว่เพื่อปิดการทำงานของอุปกรณ์ป้องกันด้านความปลอดภัย และติดตั้ง XMRig miner

    นักวิจัยจาก Elastic Security Labs เป็นผู้รายงานถึงความซับซ้อนของการโจมตีจาก Malware ขุดคริปโตเคอเรนซีเหล่านี้ เพื่อช่วยให้ผู้ใช้งานสามารถระบุ และหยุดการโจมตีเหล่านั้นได้อย่างทันท่วงที

อย่างไรก็ตาม ยังไม่มีรายงานที่ระบุว่าพฤติกรรมดังกล่าวมาจากกลุ่มผู้ไม่ประสงค์ดีกลุ่มใด และยังไม่มีการเผยรายละเอียดของเหยื่อ ดังนั้นจึงทำให้ยังไม่ทราบที่มา และขอบเขตของรูปแบบการโจมตี

GhostEngine

    ยังไม่เป็นที่แน่ชัด ว่าผู้ไม่ประสงค์ดีเข้าถึง และ โจมตีบนเครื่องแม่ข่ายได้อย่างไร แต่การโจมตีของผู้ไม่ประสงค์ดีเริ่มต้นด้วยการเรียกใช้ไฟล์ชื่อ 'Tiworker.exe' ซึ่งปลอมเป็นไฟล์บน Windows ที่ดูปกติ โดยไฟล์ปฏิบัติการนี้เป็นเพย์โหลดเริ่มต้นสำหรับ GhostEngine ซึ่งเป็นสคริปต์ PowerShell ที่จะดาวน์โหลดโมดูลต่าง ๆ เพื่อดำเนินการลักษณะการทำงานที่แตกต่างกันบนอุปกรณ์ที่ติด Malware 

  เมื่อ Tiworker.exe เมื่อถูกเรียกใช้งานจะดาวน์โหลดสคริปต์ PowerShell ชื่อ 'get.png' จากเซิร์ฟเวอร์ command and control (C2) ของผู้ไม่ประสงค์ดี ซึ่งทำหน้าที่เป็น loader หลักของ GhostEngine สคริปต์ PowerShell นี้จะดาวน์โหลดโมดูลเพิ่มเติม และการตั้งค่าการปิดใช้งาน Windows Defender, เปิดใช้งาน remote services และลบ Windows event logs ต่าง ๆ จากนั้น get.png จะตรวจสอบว่าระบบมีพื้นที่ว่างอย่างน้อย 10 เมกะไบต์หรือไม่ ซึ่งจะจำเป็นสำหรับการโจมตีต่อไป โดยมันจะสร้าง scheduled tasks ชื่อ OneDriveCloudSync, DefaultBrowserUpdate และ OneDriveCloudBackup

    จากนั้นสคริปต์ PowerShell จะดาวน์โหลด และเรียกใช้งานไฟล์ smartsscreen.exe ซึ่งทำหน้าที่เป็นเพย์โหลดหลักของ GhostEngine

    Malware นี้มีหน้าที่สำคัญในการหยุดการทำงาน และลบซอฟต์แวร์ EDR ออกไป รวมถึงการดาวน์โหลด และเรียกใช้งาน XMRig เพื่อทำการขุดคริปโตเคอเรนซี โดยหากต้องการหยุดการทำงานของซอฟต์แวร์ EDR นั้น GhostEngine จะโหลด kernel drivers ที่มีช่องโหว่สองตัว ได้แก่ aswArPots.sys (ไดรเวอร์ Avast) ซึ่งใช้เพื่อหยุดการทำงานของ EDR process และ IObitUnlockers.sys (ไดรเวอร์ Iobit) เพื่อลบไฟล์ปฏิบัติการที่เกี่ยวข้อง

รายการ Process ที่เป็นเป้าหมายในการหยุดการทำงานของ EDR มีดังนี้

    DLL ที่ชื่อว่า 'oci.dll' จะถูกโหลดโดย Windows service ชื่อ 'msdtc' เมื่อเริ่มทำงาน DLL นี้จะดาวน์โหลดสำเนาใหม่ของ 'get.png' เพื่อติดตั้ง GhostEngine เวอร์ชันล่าสุดบนเครื่อง

แม้ว่าทีม Elastic จะพบว่า Wallet ID ของ Malware ดังกล่าวทำเงินจากการขุดคริปโตเคอเรนซีได้ไม่มากนัก แต่ก็เป็นไปได้ที่เหยื่อแต่ละรายจะมี wallet ที่ไม่ซ้ำกัน ดังนั้นจำนวนเงินโดยรวมของการขุดคริปโตของ Malware อาจมีจำนวนมากกว่าที่เห็น

การป้องกัน GhostEngine

    นักวิจัยแนะนำให้ผู้ใช้งานระวังการทำงานของ PowerShell ที่น่าสงสัย, พฤติกรรมที่ผิดปกติ และการรับส่งข้อมูลบนเครือข่ายที่ชี้ไปยัง crypto-mining pools นอกจากนี้การพบการใช้ไดรเวอร์ที่มีช่องโหว่ และการสร้าง kernel mode services ควรถือว่าเป็นพฤติกรรมที่เป็นอันตรายไว้ก่อน    มาตรการเชิงรุกคือการบล็อกการสร้างไฟล์จากไดรเวอร์ที่มีช่องโหว่ เช่น aswArPots.sys และ IobitUnlockers.sys และปรับใช้ YARA rules ในรายงานเพื่อช่วยระบุการติด Malware  GhostEngine

Ref: bleepingcomputer

MaaS ด้วยวิธีการใช้ประโยชน์จากเด็กเข้าไปใน Honeytrap เพื่อทำการใช้ Ransomware Attack

    พบวิธีการโจมตีด้วย Malware ตัวใหม่ที่กำลังกำหนดเป้าหมายไปยังกลุ่มคนที่แสวงหาผลประโยชน์จากเด็ก

    ตั้งแต่ปี 2012 ผู้โจมตีได้สร้าง Malware และ Ransomware หลากหลายรูปแบบที่ปลอมแปลงเป็นหน่วยงานของรัฐเพื่อเตือนผู้ใช้งานที่ติด Malware ว่าพวกเขากำลังกระทำความผิดจากการเข้าชม CSAM (Child Sexual Abuse Material) โดย Malware จะแจ้งให้เหยื่อยอมจ่ายค่าปรับ เพื่อป้องกันไม่ให้ข้อมูลของพวกเขาถูกส่งไปยังหน่วยงานบังคับใช้กฎหมาย

    หนึ่งในการดำเนินการของ Ransomware ในยุคใหม่ เรียกว่า Anti-Child Porn Spam Protection หรือ ACCDFISA ซึ่งใช้กลยุทธ์การขู่กรรโชกนี้ รวมกับการล็อคเดสก์ท็อป Windows และการเข้ารหัสไฟล์

    ต่อมาก็จะมีกลุ่ม Malware อื่น ๆ ที่แอบอ้างเป็นหน่วยงานบังคับใช้กฎหมายที่ออกค่าปรับจากการเข้าชม CSAM เช่น โทรจัน Harasom, Urausy และ Reveton

    สัปดาห์ที่แล้ว MalwareHunterTeam นักวิจัยด้านความปลอดภัยทางไซเบอร์ได้แชร์ตัวอย่าง Malware ชื่อ 'CryptVPN' โดยใช้กลยุทธ์การขู่กรรโชกที่คล้ายกัน ซึ่งมุ่งเป้าไปยังผู้ที่แสวงหาสื่อลามกอนาจารเด็ก

BleepingComputer พบว่าผู้โจมตีสร้างเว็บไซต์เพื่อปลอมตัวเป็น UsenetClub ซึ่งเป็นบริการสมัครสมาชิกสำหรับการเข้าถึงรูปภาพ และวิดีโอที่ดาวน์โหลดจาก Usenet แบบไม่มีการเซ็นเซอร์

    Usenet เป็นแพลตฟอร์มการสนทนาออนไลน์ที่ช่วยให้ผู้คนสามารถสนทนาหัวข้อต่าง ๆ ในกลุ่มข่าวสารที่พวกเขาสมัครเป็นสมาชิกได้ แม้ว่า Usenet จะใช้สำหรับการสนทนาที่ถูกต้องในประเด็นต่าง ๆ มากมาย แต่ก็เป็นแหล่งที่ทราบกันดีว่าเป็นแหล่งของสื่อลามกอนาจารเด็กด้วยเช่นเดียวกัน

    เว็บไซต์ปลอมที่สร้างขึ้นโดยผู้โจมตีจะปลอมแปลงเป็น UsenetClub โดยเสนอระดับการสมัครสมาชิกสามระดับสำหรับเนื้อหาของเว็บไซต์ สองรายการแรกเป็นแบบชำระค่าสมาชิกตั้งแต่ $69.99 ต่อเดือน ถึง $279.99 ต่อปี ส่วนตัวเลือกที่สามอ้างว่าให้สิทธิ์การเข้าถึงฟรีหลังจากที่ทำการติดตั้งซอฟต์แวร์ "CryptVPN" ฟรี และใช้เพื่อเข้าถึงเว็บไซต์

    การคลิกที่ปุ่ม "ดาวน์โหลด และติดตั้ง" จะดาวน์โหลดไฟล์ CryptVPN.zip จากเว็บไซต์ ซึ่งเมื่อแตกไฟล์แล้วจะมีไฟล์ shortcut ของ Windows ที่ชื่อว่า "CLICK-HERE-TO-INSTALL"

    ไฟล์นี้เป็นไฟล์ shortcut ไปยัง PowerShell.exe พร้อมคำสั่งเพื่อดาวน์โหลดไฟล์ปฏิบัติการ CryptVPN.exe และบันทึกลงใน C:\Windows\Tasks.exe และสั่งดำเนินการ

    ไฟล์ปฏิบัติการของ Malware นั้นถูกบีบอัดไฟล์ด้วย UPX แต่เมื่อคลายแพ็กเก็ตออกมาแล้วจะมีสตริง PDB ที่ระบุชื่อMaaSว่า "PedoRansom"

C:\Users\user\source\repos\PedoRansom\x64\Release\PedoRansom.pdb

    Malware ไม่มีอะไรเป็นพิเศษ สิ่งเดียวที่มันทำคือเปลี่ยนวอลเปเปอร์ของเป้าหมายเป็นข้อความขู่กรรโชก และบันทึกเรียกค่าไถ่ชื่อ README.TXT บนเดสก์ท็อป ซึ่งมีข้อความขู่กรรโชกที่คล้ายกัน

    ข้อความที่ผู้ไม่ประสงค์ดีทิ้งใว้ระบุว่า “คุณมีการค้นหาเนื้อหาเกี่ยวกับการแสวงหาผลประโยชน์จากเด็ก หรือการล่วงละเมิดทางเพศเด็ก และคุณถูกแฮ็ก เราได้รวบรวมข้อมูลของคุณทั้งหมดแล้ว ตอนนี้คุณต้องจ่ายค่าไถ่เรา ไม่เช่นนั้นชีวิตของคุณจะจบลง” ที่ผู้ไม่ประสงค์ดีทิ้งใว้ระบุต่อไปว่า ”คุณจะต้องจ่ายเงิน 500 ดอลลาร์ให้กับที่อยู่ Bitcoin ของ bc1q4zfspf0s2gfmuu8h5k0679sxgxjkd7aj5e6qyl ภายในสิบวัน มิฉะนั้นข้อมูลการทำความผิดของคุณจะถูกปล่อย"

    ซึ่งจากการตรวจสอบพบว่าไอดี bitcoin นี้ได้รับการชำระเงินเพียงประมาณ $86 เท่านั้นในปัจจุบัน

    ผู้โจมตีใช้วิธีที่ผู้ไม่ประสงค์ดีทิ้งใว้เกี่ยวกับเรื่องเพศมาเป็นเวลานาน โดยมักจะส่งอีเมลไปยังผู้คนจำนวนมากเพื่อพยายามขู่ให้พวกเขาจ่ายเงินตามข้อเรียกร้องที่ผู้ไม่ประสงค์ดีทิ้งใว้ ซึ่งวิธีการลักษณะนี้ทำงานได้ดีมากในช่วงแรก โดยผู้ส่งอีเมลสามารถทำเงินได้มากกว่า 50,000 ดอลลาร์ต่อสัปดาห์ในช่วงแรก

    อย่างไรก็ตาม เมื่อเวลาผ่านไป และผู้ที่ได้รับอีเมลลักษณะนี้มีข้อมูลมากขึ้น วิธีการที่ผู้ไม่ประสงค์ดีทิ้งใว้ที่เกี่ยวกับเพศก็ไม่ได้สร้างรายได้เหมือนกับในช่วงแรกที่เคยทำได้

    แม้ว่าวิธีการนี้จะมีความคิดสร้างสรรค์ และอาจทำให้หลายคนกลัวที่กำลังมองหาเนื้อหาประเภทนี้ แต่เราน่าจะไม่เห็นการเพิ่มขึ้นของคนที่ยอมจ่ายเงินตามคำเรียกร้องที่ผู้ไม่ประสงค์ดีทิ้งใว้นี้

bleepingcomputer

CISA เปิดตัวระบบการวิเคราะห์ “Malware Next-Gen” ออกสู่สาธารณะ

    หน่วยงานรักษาความปลอดภัยทางไซเบอร์ และโครงสร้างพื้นฐานของสหรัฐอเมริกา (CISA) เปิดตัวระบบการวิเคราะห์ "Malware Next-Gen" เวอร์ชันใหม่ ให้บุคคลทั่วไปสามารถส่งตัวอย่าง Malware เพื่อรับการวิเคราะห์โดย CISA ได้

    Malware Next-Gen เป็นแพลตฟอร์มการวิเคราะห์ Malware ที่จะตรวจสอบตัวอย่าง Malware เพื่อหา Artifacts ที่น่าสงสัย ซึ่งเดิมทีได้รับการออกแบบมาเพื่อให้หน่วยงานรัฐบาลกลาง หน่วยงานรัฐ หน่วยงานท้องถิ่นของสหรัฐอเมริกา ส่งไฟล์ที่น่าสงสัยเพื่อนำมาวิเคราะห์ Malware ได้โดยอัตโนมัติผ่านเครื่องมือวิเคราะห์แบบ Static และ Dynamic

    Malware Next-Gen ได้ถูกออกแบบมาเพื่อจัดการกับปริมาณงานที่เพิ่มขึ้นของการวิเคราะห์ภัยคุกคามทางไซเบอร์ โดยนำเสนอการวิเคราะห์ขั้นสูงที่น่าเชื่อถือบนแพลตฟอร์มที่สามารถแต่งขนาดได้ รวมถึงมีความสามารถในการจัดการในหลายระดับ สำหรับการวิเคราะห์ไฟล์หรือ URL ที่อาจเป็นอันตรายโดยอัตโนมัติ

ความพร้อมใช้งาน

    Malware Next-Gen เริ่มเปิดให้บริการแก่องค์กรภาครัฐจำนวนจำกัดตั้งแต่เดือนพฤศจิกายน 2023 ซึ่งนำไปสู่การระบุไฟล์ และ URL ที่น่าสงสัย หรือเป็นอันตราย ได้มากกว่า 200 ไฟล์ จากการส่งไฟล์ไปวิเคราะห์ 1,600 รายการ

    CISA ได้สนับสนุนให้ทุกองค์กร, นักวิจัยด้านความปลอดภัย และบุคคลทั่วไป ลงทะเบียนส่งไฟล์ที่น่าสงสัยไปยังแพลตฟอร์มเพื่อทำการวิเคราะห์ ซึ่งต้องลงทะเบียนด้วยบัญชี login.gov ก่อน

โดยไฟล์ที่ส่งมาจะได้รับการวิเคราะห์ในสภาพแวดล้อมที่ปลอดภัย ผ่านเครื่องมือวิเคราะห์แบบ static และ dynamic และผลลัพธ์ของการวิเคราะห์จะแสดงในรูปแบบ PDF และ STIX 2.1

    สำหรับผู้ที่ต้องการไม่เปิดเผยชื่อ ยังมีตัวเลือกในการส่งตัวอย่าง Malware ผ่าน portal สำหรับผู้ใช้ที่ไม่ได้ลงทะเบียน แม้ว่าจะไม่สามารถเข้าถึงผลการวิเคราะห์ได้ก็ตาม โดยจะมีเฉพาะแค่นักวิเคราะห์ของ CISA และบุคคลที่ได้รับการตรวจสอบเท่านั้น ที่จะสามารถเข้าถึงรายงานการวิเคราะห์ Malware ที่สร้างโดยระบบ ดังนั้นหากผู้ใช้งานต้องการรับผลการวิเคราะห์ไฟล์ที่น่าสงสัยทันที VirusTotal ยังคงเป็นตัวเลือกที่น่าสนใจกว่า

    ทั้งนี้ CISA ได้เตือนผู้ใช้งานว่าอย่าพยายามใช้ระบบวิเคราะห์ไฟล์ในทางที่ผิด หลีกเลี่ยงการใช้ข้อมูลที่มีความเป็นส่วนตัว เพื่อให้แน่ใจว่าข้อมูลที่ส่งบนแพลตฟอร์มไม่มีข้อมูลที่เป็นความลับ

bleepingcomputer

Bifrost Malware ใหม่บน Linux เลียนแบบโดเมน VMware เพื่อหลีกเลี่ยงการตรวจจับ

 

        Malware Bifrost Remote Access Trojan รูปแบบใหม่บนระบบปฏิบัติการ Linux และบนโดเมนใน VMware โดยสามารถหลีกเลี่ยงจากระบบตรวจจับได้มากขึ้น

        Bifrost ถูกค้นพบครั้งแรกเมื่อ  20  ปีก่อนเป็น  Malware  ที่โจมตีโดยการล่อลวงผู้ใช้งานผ่านไฟล์แนบอีเมล  จากเว็บไซต์เว็ปไซต์ทั่วไป และไฟล์ที่ถูกดาวน์โหลดจากเว็ปไซต์

        นักวิจัยจาก Palo Alto Network Unit 42 ได้ตรวจพบว่าถึง Malware Bifrost มีรูปแบบวิธีการใหม่หลากหลายที่จะสามารถฝังตัวอยู่ภายในระบบ และหลีกเลี่ยงการตรวจจับ

กลยุทธใหม่ของ Malware Bitfrost

        การวิเคราะห์ตัวอย่าง Bitfrost ล่าสุดโดยนักวิจัยจาก Palo Alto Network Unit 42 พบการปรับปรุง Malware lที่น่าสนใจซึ่งช่วยเพิ่มการทำงานในการหลีกเลี่ยงการตรวจจับ Malware

        เริ่มจาก เซิร์ฟเวอร์ Command and Control (C2) ที่เชื่อมต่อกับมัลแวร์ใช้โดเมน  download.vmfare[.] com ซึ่งมีลักษณะคล้ายกับโดเมน VMware ที่ถูกต้องจึงทำให้พลาดในระหว่างการตรวจสอบได้ง่าย โดยชื่อโดเมนที่หลอกลวงถูกโปรแกรมวิเคราะห์ DNS ตรวจสอบพบว่ามาจากประเทศไต้หวัน ทำให้การติดตามและบล็อกยากขึ้น

        ในทางเทคนิคของ Malware ไฟล์ส่วนต่าง  ๆ จะถูกแยกออกโดยในแต่ละไฟล์จะไม่ถูกคอมไฟล์ไม่ผ่านการ Debug จึงยากต่อการวิเคราะห์

        Bitfrost   จะรวบรวมชื่อโฮสต์  ที่อยู่  IP  และรหัสผ่านภายในระบบของเหยื่อ จากนั้นใช้การเข้ารหัส  RC4  เพื่อรักษาความปลอดภัยก่อนส่ง  จากนั้นส่งผ่านไปยัง  C2  และส่งออกผ่านซ็อกเก็ต  TCP  ที่สร้างขึ้นใหม่

        การค้นพบใหม่อีกอย่างในรายงานของโดยนักวิจัยจาก Palo Alto Network Unit 42  คือ Malware เวอร์ชัน ARM ของ Bitfrost ซึ่งมีฟังก์ชันเหมือนกับตัวอย่าง x86 การค้นพบของเวอร์ชันเหล่านี้แสดงให้เห็นว่าผู้ไม่ประสงค์ดีมีความตั้งใจที่จะขยายขอบเขตเป้าหมายไปสู่สถาปัตยกรรมระบบที่ใช้ ARM ซึ่งเป็นที่นิยมในการใช้งาน

        แม้ Bitfrost จะไม่ได้เป็นความเสี่ยงที่มีความซับซ้อนอย่างสูงหรือเป็นหนึ่งใน Malware ที่แพร่หลายมากที่สุด การค้นพบโดยนักวิจัยจาก Palo Alto Network Unit 42  ได้ทำขึ้น ทำให้ผู้ดูแลระบบเกิดความระมัดระวังเพิ่มขึ้น

        ผู้ไม่ประสงค์ดีที่พัฒนาทีอยู่เบื้องหลัง Malware มีเป้าหมายที่ชัดเจนในการปรับให้เป็นภัยคุกคามให้มีประสิทธิภาพมากขึ้น และยังทำให้สามารถใช้งานบนระบบปฏิบัติการที่หลากหลายระบบ

Ref : bleepingcomputer

FBI จับกุมผู้จำหน่าย Malware Warzone RAT

 

        เมื่ออาทิตย์ที่ผ่านมา FBI และตำรวจประเทศมอลตาได้บุกทำลายและจับกุม Daniel Meli อายุ 27 ปี ที่อาศัยอยู่ประเทศมอลตา โดย Daniel Meli เป็น Hacker ที่ทำการแพร่กระจาย Malware Warzone RAT หรือเรียกว่า AveMaria

        ซึ่ง Malware Warzone RAT แพร่กระจาย ขึ้นในปี 2018 ซึ่งมีความสามารถในการทำให้ UAC หรือ User Account Control ปิดการแจ้งเตือน การรีโมทควบคุม การขโมยคุกกี้และรหัสผ่าน การบันทึกKeyการเข้าถึง บันทึกวิดีโอ เข้าถึงไฟล์ข้อมูล Reverse proxy และควบคุมการทำงานของเครื่องเหยื่อ

        การจับกุม  Daniel Meli  ตามหมายจับจากหน่วยงานบังคับใช้กฎหมายของรัฐบาลกลางสหรัฐ ได้ออกหมายจับเมื่อวันที่ 12 ธันวาคม 1980 ซึ่งออกข้อหาเกี่ยวกับการกระทำผิดกฎหมายการละเมิดการเข้าถึงอุปกรณ์อิเล็กทรอนิกส์ การจำหน่ายข้อมูล โฆษณาข้อมูล และเข้าร่วมกับกลุ่มผู้กระทำผิดกฎหมาย

        Daniel Meli ถูกจับเมื่อวันที่ 7 กุมภาพันธ์ ค.ศ. 2024 ในการปฏิบัติการร่วมกันที่ดำเนินการโดยตำรวจประเทศมอลตา จากสำนักงานอัยการของประเทศมอลตา โดยรับการสนับสนุนจากกรมยุทธศาสตร์แห่งสหรัฐ และ FBI

        ในเวลาเดียวกัน  หน่วยงานรัฐบาลในบอสตันสหรัฐ  ได้ยึดอุปกรณ์เซิร์ฟเวอร์โดเมนสี่รายการที่เกี่ยวข้องกับ  Warzone RAT ซึ่งรวมถึง  warzone.ws  ที่เป็นเว็บไซต์หลักของ Malware นี้

        และต่อมาศาลแขวงแมสซาชูเซตส์ ออกข้อหาต่อเมื่อวันที่ 30 มกราคม 2024 Onyeoziri Odinakachi อายุ 31 ปี มาจากประเทศไนจีเรีย ผู้ถูกกล่าวหาว่าให้บริการสนับสนุนลูกค้าที่เป็นมิตรกับผู้พัฒนา Warzone RAT

        Onyeoziri Odinakachi ถูกจับในประเทศไนจีเรียในวันที่ 7 กุมภาพันธ์ พร้อมกับการจับกุม Daniel Meli และยึดอุปกรณ์เซิร์ฟเวอร์โดเมนที่ขาย Malware รวมถึงในประเทศแคนาดา โครเอเชีย ฟินแลนด์ เยอรมนี ดัตช์ และโรมาเนีย โดยผลงานครั้งนี้ได้ทำงานรวมกับ FBI

         US DoJ ได้ออกมาเปิดเผยข้อมูลส่วนใหญ่เกี่ยวกับการจับกุมในครั้งนี้  เป็นข้อมูลของ   Daniel Meli   ซึ่งเป็นผู้แพร่กระจายจำหน่าย แต่ไม่มีความแน่ชัดว่า  Daniel Meli  เป็นผู้สร้าง  Warzone RAT ให้เกิดชึ้นมาหรือไม่ โดย  Daniel Meli ได้เริ่มแพร่กระจายตั้งแต่ปี 2012 เมื่ออายุ 15 โดยขาย ebooks เกี่ยวกับการ Hack และ แพร่กระจาย Malware Pegasus RAT ในนามแฝง Skynet-Corporation

        Daniel Meli รับโทษจำคุกรวม 15 ปี และติดตามเมื่อมีการปล่อยตัวเป็นเวลา 3 ปี ปรับ 500,000 ดอลลาร์ หรือสองเท่าของกำไรหรือขาดทุนในการจำหน่าย สำหรับข้อกล่าวหาทางจอร์เจียกำลังขอให้ส่งตัว Daniel Meli จากมอลตาไปยังสหรัฐอเมริกาเพื่อส่งตัว Daniel Meli ผู้ร้ายข้ามแดน

 

Ref : bleepingcomputer

 

 

พบ Malware ชื่อว่า Ov3r_Stealer บนโฆษณาของ Facebook

 

        malware ใหม่ที่ชื่อว่า Ov3r_Stealer กำลังแพร่กระจายผ่านโฆษณางานปลอมบน Facebook โดยมีเป้าหมายที่จะขโมยข้อมูลเข้าสู่บัญชีและเงินสกุลดิจิตอล

        โฆษณางานปลอม จะเป็นรูปแบบโฆษณาตำแหน่งงานที่เป็นตำแหน่ง management positions and lead users เมื่อคลิกที่โฆษณาจะลิงก์ผู้ใช้งานไปยัง URL ใน Discord ที่มีสคริปต์ PowerShell ที่ดาวน์โหลดโหลด malware จาก GitHub

        โดยที่นักวิเคราะห์จาก Trustwave บอกถึงการทำงาน malware ไม่ใช่รูปแบบเทคนิคใหม่ ๆ แต่ก็ยังเป็นภัยอันตรายต่อผู้ใช้งานมากมายเนื่องจากอยู่บน platform social network (facebook)

รูปแบบโฆษณาของ malware Ov3r_Stealer ที่ใช้งาน

        เหยื่อจะถูกดึงดูดผ่านโฆษณางานบน Facebook ที่เชิญชวนให้พวกเขาสมัครงานเป็นตำแหน่งผู้จัดการบัญชีในโฆษณา

        โฆษณาจะลิงก์ไปยังไฟล์ PDF ที่ Host บน OneDrive ที่เหมาะสมกับรายละเอียดงาน แต่การคลิกที่มันจะเรียกใช้การเปลี่ยนเส้นทาง Content delivery network (CDN) ของ Discord ที่ดาวน์โหลดไฟล์ชื่อ pdf2.cpl

        ไฟล์จะถูกปลอมให้ดูเหมือนเอกสาร DocumentSign แต่ในความเป็นจริงเป็นไฟล์ PowerShell ที่จะทำการ รัน Script เพื่อแฝงตัวฝังไว้ที่อุปกรณ์

    รูปแบบไฟล์ของ malware มี 4 รูปแบบ ได้แก่

        ไฟล์ Control Panel (CPL) ที่สามารถรัน Script PowerShell เพื่อ Remote จากระยะไกล
        ไฟล์ HTML ที่ถูกใส่รหัส base64 สำหรับ ZIP ที่มี malware หรือ ไฟล์ที่เป็นอันตรายอยู่ข้างใน
        ไฟล์ LNK ที่ถูกปลอมให้ดูเหมือนไฟล์ข้อความแต่ในความเป็นจริงมันเป็นลิงก์ดาวน์โหลด
        ไฟล์ SVG ที่มีการใส่ .RAR มีอยู่แล้ว (SVG smuggling)

        นอกจากนี้ยังมีไฟล์ WerFaultSecure.exe ที่ใช้ติดตั้ง ไฟล์ DLL ที่ใช้สำหรับโหลด DLL ชื่อ Wer.dll เอกสารที่มีการเขารหัสที่เป็นอันตรายชื่อ Secure.pdf

        Trustwave ได้แจ้งว่าหลังจากถูกโจมตีจาก malware   จะทำการรันคำสั่งเพิ่มไฟล์ที่ใช้ในการโจมตีชื่อว่า Licensing2 ไฟล์ถูกกำหนดให้ทำงานในเครื่องทุก ๆ 90 นาที           

การขโมยข้อมูลจากแหล่งข้อมูลอื่น ๆ

        Ov3r_Stealer พยายามขโมยข้อมูลจากแอปต่าง ๆ รวมถึงแอปกระเป๋าเงินดิจิตอล, บราวเซอร์เว็บ, ส่วนขยายบราวเซอร์, Discord, Filezilla และอื่น ๆ

        นอกจากนี้ malware ยังรวมถึงข้อมูลจากการตั้งค่าต่าง ๆ บน windows และด้านล่างนี้คือรายการแบบเต็มของแอปพลิเคชันและไดเรกทอรีที่ Ov3r_Stealer ตรวจสอบเพื่อรายการที่มีค่าที่สามารถนำออกได้

        

        malware นี้จะเก็บข้อมูลที่พบบนคอมพิวเตอร์ที่ถูกฝังตัวไว้ทุก ๆ 90 นาทีและส่งข้อมูลไปยังบอทของ Telegram ซึ่งรวมถึงข้อมูลตำแหน่งของเหยื่อ

ต้นกำเนิดของ Ov3r_Stealer

        Trustwave พบลิงก์ที่ส่งผ่านทาง Telegram ส่งไปยังชื่อผู้ใช้งานเฉพาะที่ปรากฏในฟอรัมที่เกี่ยวข้องกับการsoftware cracking และช่องทางที่เกี่ยวข้อง

        นอกจากนี้ นักวิจัยพบความคล้ายคลึงในรหัสระหว่าง Ov3r_Stealer และ Phemedrone, ซึ่งเป็นเครื่องมือสำหรับการเรียกขโมยข้อมูลที่เขียนด้วยภาษา C#

        Trustwave รายงานว่าพวกเขาได้ค้นพบวิดีโอสาธารณะที่แสดงการทำงานของ Malware   ซึ่งน่าจะเป็นการพยายามในการดึงดูดผู้ใช้งานที่ตามความสนใจ วิดีโอเถูกโพสต์โดยบัญชีที่ใช้ภาษาเวียดนามและรัสเซีย พร้อมกับการใช้ธงประจำชาติของฝรั่งเศส ดังนั้นสัญชาติของผู้โพสต์ยังระบุไม่ได้

Ref : bleepingcomputer

ผู้ไม่ประสงค์ดีใช้ MSIX App Packages โจมตี Windows PCs ด้วยมัลแวร์ GHOSTPULSE

   ตรวจพบการโจมตีทางไซเบอร์ครั้งใหม่ ด้วยการใช้ MSIX Windows App Packages ใน Application ยอดนิยม อย่าง Google Chrome, Microsoft Edge, Brave, Grammarly และ Cisco Webex เพื่อแพร่กระจายมัลแวร์ตัวใหม่ที่มีชื่อว่า GHOSTPULSE

    โดย Joe Desimone นักวิจัยของ Elastic Security Labs ระบุในรายงานทางเทคนิคที่เผยแพร่เมื่อสัปดาห์ที่ผ่านมาว่า MSIX เป็น Windows app package format ที่กลุ่มผู้ไม่ประสงค์ดีสามารถใช้ประโยชน์จากแพ็คเกจเพื่อแจกจ่าย และติดตั้งแอปพลิเคชันของตนให้กับผู้ใช้ Windows อย่างไรก็ตาม MSIX ต้องการการเข้าถึง signing certificates ที่ซื้อ หรือถูกขโมยมา ซึ่งทำให้สามารถใช้งานได้กับหลายกลุ่ม

วิธีการคือผู้ไม่ประสงค์ดีจะหลอกให้ผู้ใช้ติดตั้งโปรแกรมปลอม โดยหลอกว่าเป็นโปรแกรมที่ปลอดภัย ด้วยการทำให้เว็บไซต์ติดอันดับบน Search Engine หรือการฝังมัลแวร์ในลิงค์โฆษณา โดยเริ่มจากการให้ผู้ใช้รันไฟล์ MSIX บน Windows เพื่อติดตั้ง ซึ่งจะส่งผลให้มีการดาวน์โหลด GHOSTPULSE อย่างลับ ๆ บนโฮสต์จากเซิร์ฟเวอร์ภายนอก ("manojsinghnegi[.]com") ผ่านสคริปต์ PowerShell

    กระบวนการนี้มีหลายขั้นตอน โดยเพย์โหลดแรกจะเป็นไฟล์ TAR ที่มีไฟล์ที่ปลอมแปลงเป็น Oracle VM VirtualBox (VBoxSVC.exe) แต่ในความเป็นจริงแล้วเป็นไบนารีที่ถูกต้องที่มาพร้อมกับ Notepad++ (gup.exe) โดยภายในไฟล์ TAR ยังมี handoff.wav และ libcurl.dll เวอร์ชันโทรจันที่ถูกโหลดไว้ เพื่อนำไปสู่กระบวนการต่อไป โดยอาศัย gup.exe ซึ่งใช้ในการโจมตีแบบ DLL Side-Loading

Desimone ระบุว่า PowerShell จะแยก VBoxSVC.exe ที่โหลดจากไดเร็กทอรีปัจจุบันซึ่งเป็น DLL libcurl.dll ที่เป็นอันตราย ด้วยการลดขนาดของโค้ดมัลแวร์ ทำให้สามารถหลบเลี่ยงการสแกน AV และ ML แบบไฟล์ได้

  ต่อมาไฟล์ DLL จะมีการแยกวิเคราะห์ handoff.wav ซึ่งจะมีเพย์โหลดที่เข้ารหัส และดำเนินการผ่าน mshtml.dll ซึ่งเป็นวิธีการที่เรียกว่า module stomping เพื่อโหลด GHOSTPULSE ในท้ายที่สุด

GHOSTPULSE จะทำหน้าที่เป็น loader โดยใช้ process doppelgänging เพื่อเริ่มต้นการดำเนินการในขั้นสุดท้าย ซึ่งรวมถึง SectopRAT, Rhadamanthys, Vidar, Lumma และ NetSupport RAT

Ref : thehackernews

LOOSE NEXUS กลุ่มไซเบอร์ในประเทศจีน หรือที่รู้จักกันในชื่อ APT41 มุ่งเป้าไปที่การโจมตีไปโรงงานไฟฟ้าในเอเชีย

    LOOSE NEXUS กลุ่มผู้ไม่ประสงค์ดีในประเทศจีน หรือที่รู้จักกันในชื่อ APT41 ที่มีการโจมตีด้วยมัลแวร์หรือมุ่งเน้นการโจมตีไปในเรื่องของการเงิน โดยปัจจุบันการโจมตีของกลุ่มนี้มีแนวโน้มที่จะมุ่งเป้าไปที่ โรงงานไฟฟ้า ในทวีปเอเชีย

    ทีม Threat Hunter ของ Symantec เปิดเผยว่ากลุ่มผู้ไม่ประสงค์ดีชาวจีนที่เชื่อมต่อกับ APT41 ซึ่ง Symantec เรียกกลุ่มนี้ว่า RedFly ได้ทำการโจมตีเครือข่ายคอมพิวเตอร์ของระบบส่งไฟฟ้าระดับชาติในแถบประเทศในเอเชีย ซึ่งยังไม่สามารถระบุชื่อประเทศที่เป็นเป้าหมายเกิดขึ้นในเดือนกุมภาพันธ์ของปีนี้และต่อเนื่องมาเป็นระยะเวลา 6 เดือนได้ โดยนักวิจัยจาก Mandiant ชี้ให้เห็นเบาะแสว่าเหตุการณ์ในครั้งนี้ แฮกเกอร์อาจเป็นกลุ่มเดียวกับที่เคยก่อเหตุก่อนหน้านี้โดยมุ่งเป้าไปที่ระบบสาธารณูปโภคด้านไฟฟ้าในอินเดีย การค้นพบของ Symantec เกิดขึ้นหลังจากคำเตือนจากหน่วยงาน Microsoft และหน่วยงานของสหรัฐอเมริกา รวมถึงหน่วยงานรักษาความปลอดภัยทางไซเบอร์และโครงสร้างพื้นฐาน (CISA) และหน่วยงานความมั่นคงแห่งชาติ (NSA) ว่ากลุ่มผู้ไม่ประสงค์ดีกลุ่มอื่นที่ได้รับการสนับสนุนจากรัฐจีน ซึ่งรู้จักกันในชื่อ Volt Typhoon ได้เจาะระบบสาธารณูปโภคด้านไฟฟ้าของสหรัฐฯ รวมถึง Guam ของสหรัฐอเมริกา ซึ่งอาจเป็นการเตรียมการสำหรับการโจมตีทางไซเบอร์ในกรณีที่เกิดข้อขัดแย้ง เช่น การเผชิญหน้าทางทหารในไต้หวัน

    หลักฐานบางอย่างบ่งชี้ว่าการโจมตีที่เน้นไปที่อินเดียในปี 2021 และการโจมตี โรงงานไฟฟ้าใหม่ที่ค้นพบโดย Symantec นั้นดำเนินการโดยผู้ไม่ประสงค์ดีกลุ่มเดียวกันซึ่งมีลิงก์ไปยังกลุ่มสายลับที่รัฐจีนสนับสนุนซึ่งรู้จักกันในชื่อ APT41 ซึ่งบางครั้งเรียกว่า Wicked Panda หรือ Barium, Symantec ตั้งข้อสังเกตว่าแฮกเกอร์ใช้มัลแวร์ตัวหนึ่งที่เรียกว่า ShadowPad ซึ่งถูกใช้งานโดยกลุ่มย่อย APT41 ในปี 2017 เพื่อติดตั้งคีย์ล็อกเกอร์ ซึ่งจะซ่อนอยู่ในระบบที่ติดไวรัสภายใต้ชื่อไฟล์ต่างๆ เช่น winlogon.exe และ hphelper.exe เพื่อแพร่เครื่องในการโจมตี เผยแพร่โดยบริษัทซอฟต์แวร์ NetSarang และในหลาย ๆ เหตุการณ์ที่เกิดขึ้นตั้งแต่นั้นมา ในปี 2020 สมาชิกที่ถูกกล่าวหา 5 คนของ APT41 ถูกฟ้องและระบุว่าทำงานให้กับกระทรวงความมั่นคงแห่งรัฐของจีนที่รู้จักกันในชื่อเฉิงตู 404 แต่แม้กระทั่งเมื่อปีที่แล้ว หน่วยสืบราชการลับของสหรัฐฯ ก็เตือนว่าแฮกเกอร์ภายใน APT41 ได้ขโมยเงินหลายล้านในสหรัฐจากกองทุนบรรเทาทุกข์ โควิด19 ซึ่งเป็นกรณีอาชญากรรมทางไซเบอร์ที่รัฐสนับสนุนซึ่งมุ่งเป้าไปที่รัฐบาลอื่น ซึ่งเกิดขึ้นไม่บ่อยนัก

    แม้ว่า Symantec จะไม่เชื่อมโยงกลุ่ม RedFly กับกลุ่มย่อยเฉพาะของ APT41 นักวิจัยจากบริษัทรักษาความปลอดภัยทางไซเบอร์ Mandiant ก็ชี้ให้เห็นว่า RedFly และแคมเปญแฮ็กโรงงานไฟฟ้าของอินเดียเมื่อหลายปีก่อนใช้โดเมนเดียวกันเป็นคำสั่ง และควบคุมเซิร์ฟเวอร์สำหรับมัลแวร์: Websencl.com นั่นแสดงให้เห็นว่ากลุ่ม RedFly อาจเชื่อมโยงกับเหตุการณ์ทั้งสองกรณีได้

Ref : wired

Deadglyph: Advanced Backdoor New Malware

    ผู้เชี่ยวชาญด้านความปลอดภัยทางไซเบอร์พบ Advanced Backdoor ที่ยังไม่เคยมีการบันทึกไว้มาก่อนที่ถูกเรียกว่า "Deadglyph" ซึ่งถูกใช้โดยผู้ไม่ประสงค์ดีที่รู้จักกันในชื่อ "Stealth Falcon"

ESET ระบุในรายงานใหม่ที่แชร์กับ The Hacker News ว่า "โครงสร้างของ Deadglyph เป็นโครงสร้างที่ค่อนข้างผิดปกติ เนื่องจากประกอบด้วยส่วนประกอบที่ทำงานร่วมกัน - ส่วนหนึ่งเป็น x64 binary และอีกส่วนหนึ่งคือ .NET assembly"

    การรวมกันลักษณะนี้เป็นเรื่องผิดปกติ เนื่องจากมัลแวร์โดยทั่วไปจะใช้เพียงภาษาโปรแกรมเดียวสำหรับส่วนประกอบต่าง ๆ ความแตกต่างนี้อาจเป็นการบ่งชี้ถึงการพัฒนาส่วนประกอบทั้งสองนี้แยกกัน ในขณะเดียวกันก็ใช้ประโยชน์จากคุณสมบัติเฉพาะของภาษาโปรแกรมที่แตกต่างกัน

การใช้ภาษาโปรแกรมที่แตกต่างกันยังถูกสงสัยว่าเป็นกลยุทธ์ที่จงใจเพื่อป้องกันการวิเคราะห์ ทำให้มีความยากลำบากมากขึ้นในการตรวจสอบ และแก้ไขช่องโหว่

ต่างจาก Backdoor แบบดั้งเดิมที่มีลักษณะคล้ายกัน Backdoor Deadglyph จะรับคำสั่งจากเซิร์ฟเวอร์ที่ผู้ไม่ประสงค์ดีควบคุมในรูปแบบของโมดูลเพิ่มเติมที่ช่วยให้สร้าง process ใหม่ อ่านไฟล์ และรวบรวมข้อมูลจากระบบที่ถูกบุกรุก

    Stealth Falcon (aka FruityArmor) เป็นกลุ่มอาชญากรทางไซเบอร์ที่เชื่อว่ามีรัฐบาลสนับสนุน กลุ่มนี้ถูกพบครั้งแรกโดย Citizen Lab ในปี 2016 โดยเชื่อมโยงกับสปายแวร์แบบที่มุ่งเป้าหมายไปยังประเทศในตะวันออกกลาง โดยมีเป้าหมายเป็นนักข่าว นักเคลื่อนไหว และผู้เห็นต่างในสหรัฐอาหรับเอมิเรตส์

การสืบสวนครั้งต่อมาที่ดำเนินการโดย Reuters ในปี 2019 ได้เปิดเผยการปฏิบัติการลับชื่อ Project Raven ซึ่งเกี่ยวข้องกับกลุ่มอดีตเจ้าหน้าที่ข่าวกรองสหรัฐฯ ที่ได้รับการว่าจ้างจากบริษัทด้านความปลอดภัยไซเบอร์ชื่อ DarkMatter เพื่อสอดแนมเป้าหมายที่วิจารณ์สถาบันกษัตริย์อาหรับ

    Stealth Falcon และ Project Raven ถูกเชื่อว่าเป็นกลุ่มเดียวกัน เนื่องจากมีความเชื่อมโยงกันในด้านเทคนิคการโจมตี และเป้าหมาย กลุ่ม Stealth Falcon ได้ถูกเชื่อมโยงกับการใช้ประโยชน์จากช่องโหว่แบบ zero-day ใน Windows เช่น CVE-2018-8611 และ CVE-2019-0797 โดย Mandiant ระบุในเดือนเมษายน 2020 ว่ากลุ่มผู้ไม่ประสงค์ดีนี้ "ใช้ช่องโหว่แบบ zero-day ในการโจมตีมากกว่ากลุ่มอื่น ๆ" ในช่วงปี 2016 ถึง 2019 ในช่วงเวลาเดียวกัน ESET ได้อธิบายถึงการใช้ Backdoor ที่มีชื่อว่า Win32/StealthFalcon ซึ่งพบว่าใช้ Windows Background Intelligent Transfer Service (BITS) สำหรับการสื่อสารกับ C2 server และเพื่อให้ได้สิทธิ์ควบคุมอุปกรณ์ปลายทางอย่างสมบูรณ์ ตามรายงานระบุว่า Deadglyph เป็น Backdoor ล่าสุดที่กลุ่ม Stealth Falcon ใช้ โดยได้วิเคราะห์จากการโจมตีหน่วยงานรัฐบาลที่ไม่ระบุชื่อในตะวันออกกลาง

    วิธีที่ใช้ในการฝังมัลแวร์ไปยังเป้าหมาย ยังไม่เป็นที่ทราบแน่ชัด แต่ส่วนประกอบเริ่มต้นที่ใช้ในการเริ่มการดำเนินงานของมันคือโปรแกรม loader ของ shellcode ที่ถูกแยก และโหลด shellcode จาก Registry Windows ซึ่งจากนั้นจะเรียกใช้งาน Deadglyph's native x64 module ที่เรียกว่า Executor ของ Deadglyph

จากนั้น Executor จะดำเนินการโหลดส่วนประกอบ .NET ที่เรียกว่า Orchestrator ซึ่งจะสื่อสาร C2 server เพื่อรอรับคำสั่งเพิ่มเติม มัลแวร์ยังมีวิธีการเพื่อหลีกเลี่ยงการตรวจจับ ซึ่งรวมถึงความสามารถในการถอนการติดตั้งตัวเอง

 คำสั่งที่ได้รับจากเซิร์ฟเวอร์จะถูกเรียงลำดับไว้เพื่อรอการดำเนินการ และสามารถแบ่งออกเป็นสามประเภท ได้แก่ Orchestrator tasks, Executor tasks และ Upload tasks ESET รายงานว่า Executor tasks ช่วยให้สามารถจัดการกับ backdoor และเรียกใช้โมดูลเพิ่มเติมได้, Orchestrator tasks ช่วยให้สามารถจัดการการกำหนดค่าของโมดูล Network และ Timer และยังสามารถยกเลิก tasks ที่ค้างอยู่ได้ Executor tasks บางส่วนที่ระบุไว้ประกอบด้วยการสร้าง process การเข้าถึงไฟล์ และการรวบรวม metadata ของระบบ, โมดูล Timer ถูกใช้ในการตรวจสอบเซิร์ฟเวอร์ C2 โดยใช้ร่วมกับโมดูล Network ซึ่งใช้การสื่อสาร C2 โดยใช้การ request ผ่าน HTTPS POST ส่วน Upload tasks คือการให้สิทธิ์ให้ backdoor สามารถอัปโหลดผลลัพธ์จากคำสั่ง และข้อผิดพลาดได้

    ESET รายงานว่าสามารถระบุหน้าจอควบคุม (Control Panel, CPL) ที่ถูกอัปโหลดไปยัง VirusTotal จากประเทศกาตาร์ ซึ่งรายงานว่ามันเป็นจุดเริ่มต้นของการโจมตี multi-stage chain ซึ่งนำไปสู่การดาวน์โหลด shellcode ที่มีความคล้ายกับ Deadglyph แม้ลักษณะของ shellcode ที่ดึงมาจากเซิร์ฟเวอร์ C2 ยังคงไม่ชัดเจน แต่มีการสรุปว่าอาจจะใช้เป็นตัวติดตั้งสำหรับมัลแวร์ Deadglyph

 "Deadglyph ได้รับชื่อมาจากข้อมูลที่พบในตัว backdoor (hexadecimal IDs 0xDEADB001 และ 0xDEADB101 สำหรับโมดูล Timer และการกำหนดค่า) ร่วมกับการใช้การโจมตี homoglyph ที่ปลอมตัวเป็น Microsoft ("Microsoft Corporation") ใน Registry shellcode loader's VERSIONINFO resource."

  Deadglyph มีกลไกการป้องกันการตรวจจับที่หลากหลาย รวมถึงการตรวจสอบขั้นตอนการทำงานของระบบอย่างต่อเนื่อง และการใช้รูปแบบเครือข่ายแบบสุ่ม นอกจากนี้ Backdoor ยังสามารถถอนการติดตั้งตัวเองได้เพื่อลดความเสี่ยงในการถูกตรวจพบในบางกรณี

Ref : thehackernews