Mallox ransomware เวอร์ชัน Linux ใหม่ ที่สร้างจาก code ของ Kryptina

    TargetCompany ซึ่งเป็นหนึ่งในบริษัทที่ถูกโจมตีจาก Mallox ransomware ได้พบว่ามีการใช้ Kryptina ransomware ที่ได้รับการปรับปรุง ในการโจมตีระบบ Linux ของพวกเขา

    ตามที่ SentinelLabs รายงาน เวอร์ชันดังกล่าวนั้นแตกต่างจากเวอร์ชันอื่น ๆ ของ Mallox ที่มุ่งเป้าไปที่ Linux เช่น เวอร์ชันที่นักวิจัยของ Trend Micro ได้เผยแพร่เมื่อเดือนมิถุนายน 2024 ที่ผ่านมา แสดงให้เห็นถึงการเปลี่ยนแปลงที่สำคัญของ Mallox ransomware ซึ่งเคยเป็นมัลแวร์ที่มีเฉพาะใน Windows เท่านั้น ที่ปัจจุบันกำลังมุ่งเป้าหมายไปยังระบบปฏิบัติการ Linux และ VMWare ESXi ซึ่งถือเป็นวิวัฒนาการครั้งสำคัญของกลุ่มดังกล่าว

Kryptina ransomware สู่ Mallox ransomware

    Kryptina เปิดตัวในฐานะ ransomware-as-a-service (RaaS) platform ที่ราคาไม่สูงมาก ($500-$800) แต่มีความสามารถในการโจมตีระบบ Linux ในช่วงปลายปี 2023 แต่ยังไม่ได้รับความนิยมในกลุ่ม Hacker มากนัก

    ในเดือนกุมภาพันธ์ 2024 มีผู้ใช้ชื่อว่า "Corlys" ที่อ้างว่าเป็นผู้ดูแลระบบ ได้เผยแพร่โค้ดต้นฉบับของ Kryptina ลงบน hacking forums ฟรี ทำให้คาดว่าโค้ดดังกล่าวจึงถูกนำไปใช้โดยกลุ่ม Hacker ที่ต้องการโจมตีระบบ Linux ของเป้าหมาย

    ภายหลังที่กลุ่ม Mallox ransomware ได้ประสบปัญหาในการปฏิบัติงาน และถูกเปิดเผยเครื่องมือในการโจมตี ทาง SentinelLabs พบว่า Kryptina ได้ถูกนำมาปรับใช้เพื่อสร้างเพย์โหลดของ Mallox payloads ตัวใหม่

    โปรแกรมเข้ารหัสที่เปลี่ยนชื่อใหม่ และมีชื่อว่า "Mallox Linux 1.0" ได้ใช้โค้ดต้นฉบับหลักของ Kryptina คือกลไก AES-256-CBC encryption และ decryption routines รวมไปถึง command-line และ configuration parameters แบบเดียวกัน

    แสดงให้เห็นถึง Mallox ได้ปรับเปลี่ยนเพียงแค่ลักษณะที่ปรากฏ และชื่อเท่านั้น รวมถึงลบการอ้างอิงถึง Kryptina บนบันทึกเรียกค่าไถ่ สคริปต์ และไฟล์ และย้ายเอกสารที่มีอยู่ให้เป็นรูปแบบ "lite" โดยไม่เปลี่ยนแปลงส่วนอื่น ๆ

รวมถึงยังพบเครื่องมืออื่น ๆ มากมายบนเซิร์ฟเวอร์ของ Hacker รวมถึง :

• เครื่องมือรีเซ็ตรหัสผ่าน Kaspersky ที่ถูกกฎหมาย (BAT)
• ช่องโหว่ CVE-2024-21338 ซึ่งเป็นช่องโหว่การยกระดับสิทธิ์บน Windows 10 และ 11
• PowerShell scripts สำหรับการยกระดับสิทธิ์
• Mallox payload droppers ที่ใช้ Java
• Disk image files ที่มี Mallox payloads
• Data folders ของเหยื่อ 14 ราย

    ขณะนี้ ยังไม่ชัดเจนว่า Mallox Linux เวอร์ชัน 1.0 ถูกใช้โดยกลุ่ม Hacker กลุ่มเดียว หรือหลายกลุ่ม หรือผู้ให้บริการ Mallox ransomware ทั้งหมด ควบคู่ไปกับเวอร์ชัน Linux ที่เคยรายงานไปก่อนหน้านี้

Ref : bleepingcomputer

JPCERT เผยแพร่เทคนิคการตรวจจับการโจมตีของ Ransomware ด้วย Windows Event Log

    ศูนย์ตอบสนองเหตุภัยคุกคามด้านคอมพิวเตอร์ของญี่ปุ่น (JPCERT/CC) ได้เผยแพร่เทคนิคในการตรวจจับการโจมตีของกลุ่ม Ransomware ต่าง ๆ โดยใช้รายการใน Windows Event Logs ที่ช่วยให้สามารถตรวจจับการโจมตีที่เกิดขึ้นได้ทันท่วงที ก่อนที่การโจมตีเหล่านั้นจะแพร่กระจายไปในเครือข่าย

    JPCERT/CC ระบุว่าเทคนิคดังกล่าวสามารถตรวจจับการโจมตีจาก ransomware และระบุ attack vector ที่จะได้รับผลกระทบจากการโจมตี ทำให้สามารถรับมือ และลดผลกระทบได้อย่างทันท่วงที

การตรวจจับการโจมตี Ransomware ด้วย Event Logs

เทคนิคการตรวจจับที่เผยแพร่โดย JPCERT/CC ครอบคลุม Logs 4 ประเภทดังนี้ :

• Application logs
• Security logs
• System logs
• Setup logs

    logs เหล่านี้มักประกอบด้วยร่องรอยที่ทิ้งไว้จากการโจมตีด้วย ransomware ซึ่งสามารถเปิดเผยจุดที่ใช้โจมตี และ "digital identity" ของพวกเขา

ตัวอย่างร่องรอยของแรนซัมแวร์บางส่วน

    Conti : สามารถระบุโดยใช้ logs จำนวนมากที่เกี่ยวข้องกับ Windows Restart Manager (event Ids : 10000, 10001) ร่องรอยดังกล่าวคล้ายคลึงกับการโจมตีของกลุ่ม Akira, Lockbit3.0, HelloKitty, Abysslocker, Avaddon, Bablock และมัลแวร์อื่น ๆ ที่สร้างจาก Lockbit และ Conti

    Phobos : ทิ้งร่องรอยไว้เมื่อลบ system backups (event IDs: 612, 524, 753) โดย logs ลักษณะคล้ายกันนี้เกิดขึ้นกับ 8base และ Elbie ด้วย

    Midas : จะทำการ Changes network settings เพื่อแพร่กระจายตัวเองในระบบ โดยทำให้เกิด event ID 7040 ใน logs

    BadRabbit : event ID 7045 เมื่อมีการติดตั้ง encryption component

    Bisamware : Logs ของ Windows Installer transaction start (1040) และ end (1042)

    รวมถึง JPCERT/CC ยังระบุอีกว่า ransomware ที่ดูเหมือนไม่เกี่ยวข้องกัน เช่น Shade, GandCrab, AKO, AvosLocker, BLACKBASTA และ Vice Society ได้ทิ้งร่องรอยที่เหมือนกันคือ (event IDs: 13, 10016)

    ทั้ง 2 รายการเกิดจากการขาด permissions เมื่อเข้าถึง COM applications เพื่อลบ Volume Shadow Copies ทำให้กู้คืนไฟล์ที่เข้ารหัสได้ยากขึ้น

    ทั้งนี้เทคนิคที่กล่าวมาไม่สามารถที่จะใช้เพื่อยืนยันการโจมตี ransomware ได้อย่าง 100% แต่สามารถใช้เพื่อประกอบกับข้อมูลอื่น ๆ เพื่อตรวจจับการโจมตีก่อนที่จะแพร่กระจายไปในเครือข่าย

    JPCERT/CC ระบุว่า ransomware สายพันธุ์เก่าเช่น WannaCry และ Petya ไม่ได้ทิ้งร่องรอยไว้ใน Windows logs แต่เมื่อสถานการณ์ของ ransomware สมัยใหม่เปลี่ยนไป เทคนิคดังกล่าวจึงมีประสิทธิภาพในปัจจุบัน

Ref : bleepingcomputer

กลุ่ม Mad Liberator ใช้หน้าจออัปเดต Windows ปลอมเพื่อซ่อนการโจรกรรมข้อมูล

    กลุ่มผู้ไม่ประสงค์ดีใหม่ที่ชื่อว่า Mad Liberator กำลังกำหนดเป้าหมายไปยังผู้ใช้งาน Anydesk และใช้หน้าจออัปเดต Microsoft Windows ปลอม เพื่อเบี่ยงเบนความสนใจในขณะขโมยข้อมูลจากอุปกรณ์เป้าหมาย

    การโจมตีดังกล่าวเริ่มขึ้นในเดือนกรกฎาคม และแม้ว่าผู้เชี่ยวชาญด้านความปลอดภัยตรวจสอบปฏิบัติการดังกล่าวจะไม่พบเหตุการณ์ที่เกี่ยวข้องกับการเข้ารหัสข้อมูล แต่กลุ่มนี้ระบุในเว็บไซต์เผยแพร่ข้อมูลรั่วไหลว่าพวกเขาใช้การเข้ารหัสแบบ AES/RSA เพื่อล็อกไฟล์

เป้าหมายผู้ใช้งาน Anydesk

    ในรายงานจากบริษัทด้านความปลอดภัยไซเบอร์ Sophos นักวิจัยระบุว่าการโจมตีของ Mad Liberator เริ่มต้นด้วยการเชื่อมต่อที่ไม่พึงประสงค์ไปยังคอมพิวเตอร์ผ่านแอปพลิเคชันการเข้าถึงระยะไกล AnyDesk ซึ่งเป็นที่นิยมใน IT teams ที่ใช้จัดการระบบในองค์กร

    ยังไม่ชัดเจนว่าผู้โจมตีเลือกเป้าหมายอย่างไร แต่หนึ่งในทฤษฎีที่ยังไม่ได้รับการยืนยันคือ Mad Liberator จะลองค้นหา addresses ที่เป็นไปได้ (AnyDesk connection IDs) จนกว่าจะมีคนยอมรับคำขอการเชื่อมต่อ

    เมื่อคำขอการเชื่อมต่อได้รับการอนุมัติ ผู้โจมตีจะวางไฟล์ไบนารีชื่อ Microsoft Windows Update ลงในระบบที่ถูกโจมตี ซึ่งจะแสดงหน้าจอ Windows Update ปลอม

    วัตถุประสงค์เดียวของวิธีการนี้คือการเบี่ยงเบนความสนใจของเหยื่อในขณะที่ผู้โจมตีใช้เครื่องมือสำหรับการถ่ายโอนไฟล์ของ AnyDesk เพื่อขโมยข้อมูลจากบัญชี OneDrive, Network shares และพื้นที่จัดเก็บข้อมูลในเครื่อง

    ในระหว่างการแสดงหน้าจออัปเดตปลอม แป้นพิมพ์ของเหยื่อจะถูกปิดการใช้งาน เพื่อป้องกันการรบกวนกระบวนการขโมยข้อมูล

    ในการโจมตีที่ Sophos พบ ใช้เวลาประมาณ 4 ชั่วโมง ซึ่ง Mad Liberator ไม่ได้เข้ารหัสข้อมูลใด ๆ ในขั้นตอนหลังการขโมยข้อมูล อย่างไรก็ตาม พวกเขายังทิ้งบันทึกเรียกค่าไถ่ใน shared network directories เพื่อให้มั่นใจว่าจะมีคนเห็นข้อความดังกล่าว

    Sophos ระบุว่าไม่พบว่า Mad Liberator มีการติดต่อกับเป้าหมายก่อนที่จะมีการขอเชื่อมต่อ AnyDesk และไม่มีการบันทึกความพยายามในการ Phishing ที่สนับสนุนการโจมตีนี้ ในเรื่องกระบวนการข่มขู่เรียกค่าไถ่ของ Mad Liberator ผู้โจมตีจะประกาศบนเว็บไซต์เผยแพร่ข้อมูลรั่วไหลว่า พวกเขาจะติดต่อกับบริษัทที่ถูกเจาะระบบก่อน โดยเสนอที่จะช่วยเหลือให้แก้ไขปัญหาความปลอดภัย และกู้คืนไฟล์ที่เข้ารหัสหากได้รับการตอบสนองความต้องการทางการเงินของพวกเขา

    หากบริษัทที่ตกเป็นเหยื่อไม่ตอบสนองภายใน 24 ชั่วโมง ชื่อของบริษัทจะถูกเผยแพร่ใน portal เรียกค่าไถ่ และจะให้เวลา 7 วันในการติดต่อกับผู้โจมตี

    หลังจากยื่นคำขาดผ่านไปอีก 5 วันโดยไม่มีการชำระเงินค่าไถ่ ไฟล์ทั้งหมดที่ถูกขโมยจะถูกเผยแพร่ในเว็บไซต์ Mad Liberator ซึ่งปัจจุบันมีรายชื่อเหยื่ออยู่ทั้งหมด 9 ราย

Ref : bleepingcomputer

Ransomware DJVU สายพันธุ์ใหม่ ‘Xaro’ แฝงตัวเป็นไฟล์ Crack ของซอฟแวร์ผิดลิขสิทธิ์

    พบการแพร่กระจายของแรนซัมแวร์สายพันธุ์หนึ่งที่รู้จักกันในชื่อ DJVU ในรูปแบบของไฟล์ Crack ที่ใช้สำหรับซอฟแวร์ที่ผิดลิขสิทธิ์

    Ralph Villanueva ผู้เชี่ยวชาญด้านความปลอดภัยของ ระบุว่า “แม้ว่ารูปแบบการโจมตีลักษณะนี้จะไม่ใช่เรื่องใหม่ แต่ DJVU สายพันธุ์นี้จะต่อท้ายนามสกุลไฟล์ด้วย .xaro ไปยังไฟล์ที่ถูกโจมตี เพื่อเรียกค่าไถ่สำหรับตัวถอดรหัส ถูกพบว่ากำลังแพร่กระจายในระบบควบคู่ไปกับมัลแวร์สำหรับขโมยข้อมูลต่าง ๆ”

โดยแรนซัมแวร์สายพันธุ์ใหม่นี้ได้รับรหัสชื่อ Xaro จาก Cybereason

   DJVU ซึ่งเป็นแรนซัมแวร์สายพันธุ์หนึ่งของ STOP ransomware โดยปกติจะมาในรูปแบบที่ปลอมเป็นบริการ หรือแอปพลิเคชันที่ดูถูกต้องตามปกติ นอกจากนี้ยังเคยถูกใช้เป็นเพย์โหลดของ SmokeLoader อีกด้วย

จุดสังเกตที่สำคัญของการโจมตีจาก DJVU 

    คือการใช้มัลแวร์อื่น ๆ ร่วมด้วยเพิ่มเติม เช่น มัลแวร์สำหรับขโมยข้อมูล (เช่น RedLine Stealer และ Vidar) ซึ่งมักจะทำให้เกิดความเสียหายมากขึ้น ในการโจมตีครั้งล่าสุดที่บันทึกไว้โดย Cybereason มัลแวร์ Xaro จะเป็นไฟล์ archive ที่ถูกดาวน์โหลดมาจากแหล่งที่น่าสงสัย ซึ่งเป็นเว็บไซต์ปลอมที่ให้สามารถดาวน์โหลดฟรีซอฟแวร์ที่ดูเหมือนถูกต้องตามกฎหมาย การเปิดไฟล์ archive จะนำไปสู่การรันไบนารีติดตั้งซอฟต์แวร์ PDF writing ที่ชื่อว่า CutePDF ซึ่งในความเป็นจริงเป็นการติดตั้งมัลแวร์ที่รู้จักกันในชื่อ PrivateLoader

    โดย PrivateLoader นอกเหนือจากการนำไปสู่การติดตั้ง Xaro แล้ว มันจะทำการเชื่อมต่อกับ C2 Server เพื่อดาวน์โหลดมัลแวร์อื่น ๆ อีกจำนวนมาก เช่น RedLine Stealer, Vidar, Lumma Stealer, Amadey, SmokeLoader, Nymaim, GCleaner, XMRig และ Fabookie ผู้เชี่ยวชาญด้านความปลอดภัยยังอธิบายเพิ่มเติมว่า "แนวทางการแพร่กระจายลักษณะนี้มักจะมาจากการดาวน์โหลด และติดตั้งมัลแวร์ PrivateLoader ที่เกิดจากเว็บไซต์ฟรีซอฟแวร์ หรือไฟล์ Crack ของซอฟแวร์ผิดลิขสิทธิ์"

    เป้าหมายของมัลแวร์ดูเหมือนจะเป็นการรวบรวมข้อมูลที่มีความสำคัญเพื่อการเรียกค่าไถ่ ตลอดจนเพื่อให้แน่ใจว่าการโจมตีจะประสบความสำเร็จ แม้ว่าจะมีเพย์โหลดใดเพย์โหลดหนึ่งถูกบล็อกโดยซอฟต์แวร์รักษาความปลอดภัย

    มัลแวร์ Xaro นอกเหนือจากการสร้างอินสแตนซ์ของ Vidar infostealer ยังสามารถเข้ารหัสไฟล์ในโฮสต์ที่ติดมัลแวร์ ก่อนที่จะทิ้งไฟล์เพื่อเรียกค่าไถ่ โดยจะขู่ให้เหยื่อติดต่อกลับในการจ่ายค่าไถ่เพื่อรับคีย์สำหรับถอดรหัสในราคา $980 ซึ่งจะลดลง 50% เป็น $490 หากติดต่อกลับภายใน 72 ชั่วโมง

    เหตุการณ์นี้แสดงให้เห็นถึงความเสี่ยงของการดาวน์โหลดฟรีซอฟแวร์จากแหล่งที่มาที่ไม่น่าเชื่อถือ เช่น แคมเปญของ FakeUpdateRU ที่ใช้การแจ้งเตือนการอัปเดตเบราว์เซอร์ปลอมเพื่อติดตั้ง RedLine Stealer

โดยผู้โจมตีมักใช้ฟรีซอฟแวร์ปลอม เพื่อเป็นช่องทางในการแพร่กระจายมัลแวร์อย่างลับ ๆ และองค์กรควรเข้าใจถึงผลกระทบที่อาจเกิดขึ้นอย่างรวดเร็ว และกว้างขวางจากการติดมัลแวร์ และการปกป้องข้อมูล

Ref : thehackernews

QBot ใช้การโจมตีทางอีเมลรูปแบบใหม่โดยใช้ PDF และ WSF เพื่อติดตั้ง Malware (โจมตีฝั่งผู้ใช้งาน)

  Qbot (หรือที่รู้จักกันในชื่อ QakBot) ซึ่งในอดีตถูกใช้เป็น Banking Trojan แต่ต่อมาได้พัฒนาเป็น Malware ที่สามารถใช้เพื่อเข้าถึงเครือข่ายขององค์กร การเข้าถึงทำได้โดยการ dropping payloads เช่น Cobalt Strike, Brute Ratel และ Malware อื่น ๆ ที่ใช้เพื่อให้ผู้ไม่ประสงค์ดีสามารถเข้าถึงอุปกรณ์ได้

   โดย QBot มีการแพร่กระจายโดยผ่านฟิชชิงด้วยการใช้ไฟล์ PDF และ Windows Script Files (WSF) เพื่อทำการติดตั้ง Malware บน Windows เมื่อสามารถเข้าถึงเครื่องเป้าหมายได้ ผู้ไม่ประสงค์ดีจะทำการโจมตีต่อไปยังระบบอื่น ๆ ในเครือข่ายของเป้าหมายเพื่อขโมยข้อมูล และติดตั้ง Ransomware ในที่สุด

    ทาง กลุ่ม ProxyLife และกลุ่ม Cryptolaemus ได้เริ่มบันทึกวิธีการแพร่กระจายผ่านทางอีเมลของ Qbot ซึ่งเป็นการใช้ไฟล์แนบ PDF ที่จะดาวน์โหลดไฟล์ Windows Script เพื่อติดตั้ง Qbot บนอุปกรณ์ของเป้าหมาย

    ถูกเผยแพร่ผ่านอีเมลฟิชชิ่งในลักษณะ reply-chain เมื่อผู้ไม่ประสงค์ดีเข้าถึงอีเมลของเป้าหมายรายใดรายหนึ่งได้ จะใช้วิธีการตอบกลับอีเมลด้วยการแนบลิงก์ หรือไฟล์แนบที่เป็นอันตราย การใช้การตอบกลับอีเมล เป็นการพยายามทำให้อีเมลฟิชชิ่งน่าสงสัยน้อยลง เนื่องจากเป็นการตอบกลับที่ทำให้ดูเป็นอีเมลที่กำลังอยู่ในการสนทนาอยู่ โดยอีเมลฟิชชิงสามารถใช้ภาษาที่หลากหลาย แสดงให้เห็นว่าเป็นสำหรับการกระจาย Malware ได้ทั่วโลก

    โดยสิ่งที่แนบมากับอีเมลเหล่านี้คือไฟล์ PDF ชื่อ 'CancelationLetter-[number].pdf ' ซึ่งเมื่อเปิดแล้วจะแสดงข้อความว่า "เอกสารนี้มีไฟล์ที่มีการป้องกัน หากต้องการแสดง ให้คลิกที่ปุ่ม "Open"

   อย่างไรก็ตามเมื่อเป้าหมายคลิกปุ่มเปิดแล้ว ไฟล์ ZIP ที่ภายในมีไฟล์ Windows Script (wsf) จะถูกดาวน์โหลดมาแทน

    นอกจากไฟล์สคริปต์ของ Windows ที่ลงท้ายด้วยนามสกุล .wsf ยังมี JScript และ VBScript ซึ่งจะถูกเรียกใช้งานเมื่อไฟล์ถูกดับเบิลคลิกอีกด้วย โดยไฟล์ WSF ที่ใช้ในการกระจาย Malware QBot มีความซับซ้อนเป็นอย่างมาก โดยมีเป้าหมายในการเรียกใช้สคริปต์ PowerShell บนเครื่องของเป้าหมาย

    PowerShell สคริปต์ที่จะดำเนินการผ่านไฟล์ WSF จะดาวน์โหลดไฟล์ DLL จาก URL ซึ่งแต่ละ URL จะถูกลองใช้จนกว่าไฟล์จะถูกดาวน์โหลดไปยังโฟลเดอร์ %TEMP% ได้สำเร็จ

   เมื่อ QBot DLL ถูกประมวลผลแล้ว จะเรียกใช้คำสั่ง PING เพื่อตรวจสอบว่ามีการเชื่อมต่ออินเทอร์เน็ตหรือไม่ จากนั้น Malware จะ inject ตัวเองเข้าไปในโปรแกรม Windows wermgr.exe (Windows error Manager) และทำงานอย่างเงียบ ๆ

    การติด Malware QBot สามารถนำไปสู่การโจมตีเพื่อสร้างความเสียหายบนเครือข่ายขององค์กร ดังนั้นจึงเป็นเรื่องสำคัญที่จะต้องเข้าใจว่า Malware ถูกแพร่กระจายได้อย่างไร

    ปัจจุบันพบว่า Ransomware as a service (RaaS) หลายแห่ง รวมถึง BlackBasta, REvil, PwnLocker, Egregor, ProLock และ MegaCortex ใช้ Malware Qbot เพื่อเข้าถึงเครือข่ายขององค์กรของเป้าหมาย

    นักวิจัยจาก The DFIR Report ระบุว่า QBot ใช้เวลาเพียงประมาณ 30 นาทีในการขโมยข้อมูลที่มีความสำคัญ ภายหลังจากการติด Malware ได้ในครั้งแรก ที่แย่ไปกว่านั้นคือ Malware นี้ใช้เวลาเพียง 1 ชม. ในการแพร่กระจายไปยัง workstation อื่น ๆ ที่อยู่ใกล้เคียงกันได้

  ดังนั้นหากองค์กรติด Malware QBot สิ่งสำคัญคือต้องทำการต้องออฟไลน์ระบบโดยเร็วที่สุด และรีบทำการประเมินเพื่อหาพฤติกรรมที่ผิดปกติอื่น ๆ บนเครือข่าย

Ref : bleepingcomputer

BlackCat Ransomware สร้างเว็ปไซต์เลียนแบบเว็ปของเหยื่อที่ถูกโจมตีเพื่อเผยแพร่ข้อมูลที่ขโมยออกมา

    BlackCat ransomware หรือในอีกชื่อที่เรียกว่า ALPHV ransomware ได้ปรับเปลี่ยนกลยุทธ์ในการขู่เรียกค่าไถ่เพื่อให้เหยื่อยอมที่จะจ่ายเงินเรียกค่าไถ่ โดยการสร้างเว็ปไซต์เลียนแบบเว็ปของเหยื่อที่ถูกโจมตีเพื่อเผยแพร่ข้อมูลที่ถูกขโมยออกมา ส่งผลให้ผู้ที่ตกเป็นเหยื่อของการโจมตีต้องหาวิธีในการยับยั้งการเผยแพร่ข้อมูล

    BlackCat ransomware หรือ ALPHV ransomware เป็นกลุ่ม Hackers ที่มีแรงจูงใจในการโจมตี คือ เงินเรียกค่าไถ่ โดยมุ่งเป้าหมายไปยังกลุ่มสถาบันทางการเงินฝั่งสหรัฐอเมริกา ยุโรป และเอเชีย อีกทั้งยังพบว่าประเทศไทยเป็นหนึ่งในประเทศที่ตกเป็นเป้าหมายของการโจมตีเช่นกัน

วิธีการเผยแพร่ข้อมูล

    เมื่อวันที่ 26 ธันวาคม 2022 กลุ่ม BlackCat ได้เผยแพร่ตัวอย่างข้อมูลที่ขโมยออกมาจากการโจมตีบริษัทที่ให้บริการทางการเงินรายหนึ่งบนเว็ปไซต์ที่อยู่บน Tor network เพื่อเรียกค่าไถ่ แต่เนื่องจากเหยื่อไม่ตอบสนองกลับมา กลุ่ม BlackCat จึงเผยแพร่ไฟล์ที่ถูกขโมยทั้งหมดเพื่อเป็นบทลงโทษสำหรับเหยื่อที่ไม่ยอมจ่ายค่าไถ่ ซึ่งเป็นขั้นตอนตามมาตรฐานสำหรับกลุ่มแรนซัมแวร์ แต่ด้วยวิธีการใหม่นั่นคือการสร้างเว็ปไซต์เลียนแบบเว็ปของเหยื่อเพื่อเผยแพร่ไฟล์ที่ขโมยมา

    โดยเว็บไซต์เลียนแบบนี้มีข้อมูลที่ถูกขโมยออกมาจำนวนมาก ตั้งแต่บันทึกพนักงาน, แบบฟอร์มการชำระเงิน, ข้อมูลพนักงาน, ข้อมูลเกี่ยวกับทรัพย์สินและค่าใช้จ่าย, ข้อมูลทางการเงินสำหรับคู่ค้าและการสแกนหนังสือเดินทาง โดยมีขนาดประมาณ 3.5 GB สามารถดาวน์โหลดได้จากบริการไฟล์แชร์ที่ไม่ระบุตัวตนและเว็ปไซต์บน Tor network

    โดยตอนนี้ยังไม่ทราบแน่ชัดว่าวิธีการนี้จะประสบความสำเร็จเพียงใด ซึ่งพบว่ามีจำนวนผู้เข้าถึงจำนวนมากขึ้นเรื่อย ๆ เนื่องจากข้อมูลไม่มีข้อจำกัดในการเข้าถึงใด ๆ ทั้งสิ้น แต่คาดว่าวิธีการและกลยุทธ์ในการขู่กรรโชกนี้ จะถูกนำไปใช้โดยกลุ่ม Hackers อื่น ๆ ต่อไปในอนาคต

Ref : bleepingcomputer

Hive Ransomware ขู่เรียกค่าไถ่กว่า 100 ล้านดอลลาร์จากบริษัททั่วโลกกว่า 1,300 แห่ง

   Hive Ransomware ขู่เรียกค่าไถ่กว่า 100 ล้านดอลลาร์จากบริษัทกว่า 1,300 แห่ง ทั่วโลกในเดือนพฤศจิกายน 2565 จากการรายงานของหน่วยงานความมั่นคงทางไซเบอร์ และข่าวกรองของสหรัฐ ทางการรายงานว่าตั้งแต่เดือนมิถุนายน 2564 ถึงเดือน พฤศจิกายน 2565 

    ผู้ไม่ประสงค์ดีใช้ Hive Ransomware ในการโจมตีที่มุ่งเป้าไปที่ธุรกิจและ ภาคส่วนโครงสร้างพื้นฐานที่สำคัญ รวมถึงสถานที่ราชการ การสื่อสาร การผลิตที่สำคัญ เทคโนโลยีสารสนเทศ และโดยเฉพาะอย่างยิ่งการดูแลสุขภาพและสาธารณะ สุขภาพ (HPH)

    สำนักงานสืบสวนกลางแห่งสหรัฐอเมริกา (FBI) ได้เผยแพร่การแจ้งเตือนเกี่ยวกับการโจมตีของ Hive ransomware ซึ่งประกอบไปด้วยรายละเอียดทางเทคนิคและสัญญาน ที่บ่งบอกถึงการโจมตีที่เกี่ยวข้องกับปฏิบัติการของแก๊งดังกล่าว ตามรายงานที่เผยแพร่ โดย Chainalysis ซึ่งเป็นบริษัทวิเคราะห์บล็อกเชน โดย Hive ransomware เป็นหนึ่งใน 10 อันดับ สายพันธุ์ ransomware ที่มีรายได้สูงสุดในปี 2564 ทางกลุ่มได้ใช้วิธีการโจมตี ที่หลากหลาย รวมถึงการสแปมมัลแวร์ผ่านอีเมลล์เซิร์ฟเวอร์ RDP ที่มีช่องโหว่ และโจมตีข้อมูลรับรอง VPN และโปรโตคอลการเชื่อมต่อเครือข่ายระยะไกลอื่น ๆ ในการโจมตีบางครั้ง สามารถข้ามการยืนยันตัวตนแบบหลายปัจจัย (MFA) และเข้าถึงเซิร์ฟเวอร์ FortiOS ได้โดยใช้ช่องโหว่ CVE-2020-12812 ผู้ไม่ประสงค์ดียังได้รับการเข้าถึงเบื้องต้นไปยังเครือข่ายของเป้าหมายผ่านการโจมตีแบบฟิชชิ่งซึ่งส่งเอกสารเพื่อหลอกลวง โดยการใช้ประโยชน์จากข้อบกพร่องต่อไปนี้ในเซิร์ฟเวอร์ Microsoft Exchange:

• CVE-2021-31207  – Microsoft Exchange Server Security Feature Bypass Vulnerability
• CVE-2021-34473  – ช่องโหว่ Microsoft Exchange Server Remote Code Execution
• CVE-2021-34523  – ช่องโหว่เพิ่มสิทธิ์ Microsoft Exchange Server

    ผู้เชี่ยวชาญของรัฐบาลยังเตือนด้วยว่า เป็นที่ทราบกันดีว่าผู้ให้บริการ Hive ทำให้เครือข่ายของเป้าหมายติดไวรัสด้วย Hive ransomware หรือ ransomware อื่น ๆ

Ref : securityaffairs

Microsoft SQL servers hacked in TargetCompany ransomware attacks

Microsoft SQL Server ตกเป็นเป้าการโจมตีจาก TargetCompany ransomware

    ผู้เชี่ยวชาญด้านความปลอดภัยแจ้งเตือน Microsoft SQL Server ที่มีช่องโหว่ กำลังตกเป็นเป้าหมายในการโจมตีจากกลุ่ม FARGO Ransomware MS-SQL เซิร์ฟเวอร์ เป็นระบบจัดการฐานข้อมูลที่เก็บข้อมูลสำหรับบริการบนอินเทอร์เน็ต และแอพ การถูกโจมตีจากผู้ไม่ประสงค์ดีอาจทำให้เกิดผลกระทบทางธุรกิจที่รุนแรงได้โดยที่การโจมตีนี้มีเป้าหมายเพื่อการแบล็คเมล์ของเจ้าของฐานข้อมูลเป็นหลัก FARGO ransomware หรือที่รู้จักในชื่อ TargetCompany

    ผู้เชี่ยวชาญด้านความปลอดภัยที่ AhnLab Security Emergency Response Center (ASEC) กล่าวว่า FARGO เป็นหนึ่งใน Ransomware ที่โดดเด่นที่สุดที่มุ่งเน้นการโจมตีไปที่เซิร์ฟเวอร์ MS-SQL เช่นเดียวกันกับ GlobeImposte Malware ประเภทนี้เคยถูกเรียกว่า “Mallox” เพราะมันจะต่อท้ายนามสกุลของไฟล์ที่เข้ารหัสด้วย “.mallox”

    นอกจากนี้ Malware ประเภทนี้ยังคือตัวเดียวกับที่นักวิจัยจาก Avast ตั้งชื่อว่า “TargetCompany” ในรายงานเมื่อเดือนกุมภาพันธ์ โดยพบว่าไฟล์ที่เข้ารหัสอาจกู้คืนได้เป็นบางกรณี ข้อมูลทางสถิติเกี่ยวกับการโจมตีของ ransomware บนแพลตฟอร์ม ID Ransomware บ่งชี้ว่า FARGO มีการตรวจจับได้จำนวนมาก

    ผู้เชี่ยวชาญระบุว่าการโจมตีของ Ransomware จะเริ่มจากการที่ MS-SQL process บนเครื่องที่ถูกโจมตี ทำการดาวน์โหลดไฟล์ .NET โดยใช้ cmd.exe และ powershell.exe ระหว่างการโจมตีอาจมีการใช้งาน Malware ที่เป็นอันตรายอื่น ๆ รวมถึงการเรียกใช้ไฟล์ BAT เพื่อหยุดการทำงานบาง process หรือ services จากนั้น Ransomware Payload จะถูกแทรกเข้าไปใน AppLaunch.exe ซึ่งเป็น process ของ Windows ที่ถูกต้อง และจะพยายามลบ registry key ของ open-source ที่ใช้ป้องกัน Ransomware ที่ชื่อว่า Raccine นอกจากนี้ยังสามารถรันคำสั่งปิดการใช้งานการ recovery และหยุดการทำงานที่เกี่ยวข้องกับฐานข้อมูล และยังทำการเข้ารหัสฐานข้อมูลได้

   ARGO จะแยกซอฟต์แวร์ และไดเร็กทอรีบางส่วนออกจากการเข้ารหัสเพื่อป้องกันไม่ให้ระบบที่ถูกโจมตีใช้งานไม่ได้ เช่น หลาย ๆ ไฟล์ใน Microsoft Windows system ไดเร็กทอรี, ไฟล์สำหรับบู๊ตระบบ, Tor Browser, Internet Explorer, การปรับแต่ง และการตั้งค่าของผู้ใช้, ไฟล์บันทึกการดีบัก หรือ thumbnail database หลังจากการเข้ารหัสเสร็จสิ้น ไฟล์ที่ถูกเข้ารหัสจะถูกเปลี่ยนชื่อโดยใช้นามสกุล ".Fargo3" และมัลแวร์จะสร้างไฟล์เรียกค่าไถ่ที่ชื่อว่า “RECOVERY FILES.txt”

  เป้าหมายจะถูกขู่ว่าจะเปิดเผยข้อมูลที่ถูกขโมยมา ยกเว้นแต่ว่าเหยื่อจะยอมจ่ายค่าไถ่ Database servers มักโจมตีในรูปแบบ brute-force และ dictionary attacks ซึ่งเกิดจากการตั้งค่าบัญชีผู้ใช้งานที่ไม่ปลอดภัย แต่ก็มีบางกรณีที่เกิดจากการโจมตีด้วยช่องโหว่ที่ยังไม่ได้รับการอัปเดตแพตซ์ ผู้ดูแลระบบ MS-SQL เซิร์ฟเวอร์ควรตรวจสอบว่ามีการใช้รหัสผ่านที่รัดกุมเพียงพอ และไม่ซ้ำกัน นอกจากนี้การอัปเดตแพตซ์ช่องโหว่อยู่อย่างสม่ำเสมอก็จะช่วยลดความเสี่ยงจากการถูกโจมตีได้

Microsoft SQL servers hacked in TargetCompany ransomware attacks