New GwisinLocker ransomware encrypts Windows and Linux ESXi servers

 

GwisinLocker Ransomware สามารถเข้ารหัสได้ทั้ง Windows, Linux และ ESXi Server

    ผู้เชี่ยวชาญจาก Ahnlab และ ReversingLabs ได้ค้นพบ Ransomware ตระกูลใหม่ที่ชื่อว่า 'GwisinLocker' ซึ่งในครั้งนี้เป้าหมายคือระบบปฏิบัติการ Windows, Linux และ ESXi Serverจากการตรวจสอบเพิ่มเติม พบว่ามัลแวร์ตัวใหม่นี้เป็นผลงานของกลุ่มแฮ็กเกอร์ที่มีชื่อว่าว่า Gwisin ซึ่งแปลว่า "ผี" ในภาษาเกาหลี โดยปัจจุบันยังไม่มีข้อมูลเกี่ยวกับแฮ็กเกอร์กลุ่มนี้มากนัก

ลักษณะการทำงาน

  บนระบบปฏิบัติการ Windows การทำงานของ GwisinLocker เริ่มจากไฟล์ MSI ที่ถูกติดตั้ง จะทำการดาวน์โหลดไฟล์ DLL ผ่าน Command Line ซึ่งสาเหตุที่เป็น Command Line เนื่องจากยากต่อการตรวจสอบ

และวิเคราะห์ข้อมูล ซึ่งภายหลัง ไฟล์ DLL ที่ดาวน์โหลดมาจะทำหน้าที่เป็นตัวเข้ารหัสของ Ransomware หลังจากระบุพารามิเตอร์บน Command Line เรียบร้อบ ไฟล์ DLL จะถูกติดตั้งเข้าไปใน Process

ของ Windows เพื่อหลบเลี่ยงการตรวจจับจาก AntiVirus และทำการเข้ารหัสเครื่องเป้าหมายในบางครั้ง GwisinLocker จะทำงานใน Safe Mode โดยจะคัดลอกตัวมันเองลงใน ProgramData และสร้าง Services

ขึ้นมาสำหรับ Reboot เครื่องเป้าหมายไปยัง Safe Mode สำหรับระบบปฏิบัติการ Linux การเข้ารหัสจะเน้นไปที่ระบบ VMware ESXi Server โดยมี Command Line ดังต่อไปนี้

Usage: Usage

-h, --help แสดงข้อความช่วยเหลือ

Options

-p, --vp Path ที่จะทำการเข้ารหัส

-m, --vm ใช้สำหรับหยุดการทำงานของ VM โดยมีตัวเลือกให้ STOP หรือ KILL ทิ้ง

-s, --vs กำหนดเวลาที่จะเข้าสู่โหมด Sleep ก่อนทำการเข้ารหัส

-z, --sf ข้ามการเข้ารหัสไฟล์ที่เกี่ยวข้องกับ ESXi

-d, --sd คำสั่งลบตัวเองหลังติดตั้งเสร็จ

-y, --pd สร้าง text message ลงบนไฟล์ที่เข้ารหัส

-t, --tb เข้าสู่ Loop การทำงานใหม่ หาก Unix Epoch Time น้อยกว่า 4 ชั่วโมง

   ซึ่งการเข้ารหัสจะเริ่มหลังจากมีการระบุพารามิเตอร์ต่าง ๆ บน Command Line สำเร็จเมื่อเข้ารหัสไฟล์ ตัวเข้ารหัสจะใช้การเข้ารหัสแบบ AES symmetric-key โดยค่า Hash คือ SHA256 อย่างไรก็ตาม ตัวเข้ารหัสทั้งหมดได้รับการปรับแต่งให้รวมกับชื่อบริษัทเป้าหมายในไฟล์เรียกค่าไถ่ และมีการใช้นามสกุลเฉพาะสำหรับไฟล์ที่เข้ารหัส ทำให้ผู้เชี่ยวชาญเข้าใจว่ากลุ่มแฮ็กเกอร์เองก็เป็นชาวเกาหลี หรือผู้ที่มีความรู้เกี่ยวกับบริษัทในเกาหลีเป็นอย่างมากไฟล์ที่ระบุสำหรับเรียกค่าไถ่ ใช้ชื่อว่า '!!Unable to render embedded object: File (_HOW_TO_UNLOCK_[company_name]_FILES_) not found.!!.TXT' มีการเขียนเป็นภาษาอังกฤษและมีคำเตือนให้เป้าหมายห้ามติดต่อหน่วยงานบังคับใช้กฎหมายของเกาหลีใต้หรือ KISA (Korea Internet and Security Agency) ซึ่งข้างในมี URL และบัญชีสำหรับเข้า Tor Browser เพื่อให้เป้าหมายปฏิบัติตามคำแนะนำในการจ่ายค่าไถ่ และกู้คืนไฟล์

New GwisinLocker ransomware encrypts Windows and Linux ESXi servers

Microsoft August 2022 Patch Tuesday fixes exploited zero-day, 121 flaws

 

Microsoft ออกแพตช์ประจำเดือนสิงหาคม 2022 อุดช่องโหว่กว่า 121 ตัว รวมถึงช่องโหว่ ‘DogWalk’ zero-day ที่กำลังมีการโจมตี

Credit: alexmillos/ShutterStock, techtalkthai

ในช่องโหว่กว่า 121 ตัวที่ได้รับการแพตช์ในรอบนี้ มีช่องโหว่กว่า 17 ตัวที่อยู่ในระดับ Critical โดยช่องโหว่ DogWalk ซึ่งเป็นช่องโหว่ชนิด Zero-day

ก็ได้รับการแพตช์ในรอบนี้ด้วย DogWalk มีรหัส CVE-2022-34713 เกิดขึ้นใน Microsoft Windows Support Diagnostic Tool (MSDT)

อยู่ในหมวดหมู่ Remote Code Execution Vulnerability ถูกค้นพบโดย Imre Rad ผู้เชี่ยวชาญทางด้านความมั่นคงปลอดภัยตั้งแต่เดือนมกราคม 2020

แต่ยังไม่ได้รับการแพตช์ เพราะขณะนั้นไม่จัดว่าเป็นช่องโหว่ทางด้านความปลอดภัยอย่างไรก็ตามหลังจากเกิดการโจมตีด้วยช่องโหว่ Follina บน MSDT 

ทำให้ DogWalk ได้รับการแพตช์ ส่วนช่องโหว่ Zero-day ในผลิตภัณฑ์อื่นๆนอกจาก Windows ก็ได้รับการแพตช์เช่นเดียวกัน เช่น ช่องโหว่ CVE-2022-30134

ที่เกิดขึ้นบน Microsoft Exchange ซึ่งทำให้ผู้โจมตีสามารถอ่านอีเมลของเป้าหมายได้

Microsoft CVE Summary

Microsoft August 2022 Patch Tuesday fixes exploited zero-day, 121 flaws

LockBit Ransomware Abuses Windows Defender to Deploy Cobalt Strike Payload

 

พบ LockBit Ransomware ใช้เครื่องมือบน Microsoft Defender ในการติดตั้ง Payload ที่เป็นอันตราย

ผู้เชี่ยวชาญจาก SentinelOne ได้ค้นพบข้อมูลใหม่เกี่ยวกับกลุ่ม ransomware-as-a-service (RaaS) อย่าง LockBit 3.0 ซึ่งพบว่ามีการใช้งาน Command-Line ของ Windows Defender

สำหรับการติดตั้ง Cobalt Strike หลังจากที่เข้าถึงเครื่อง VMware Horizon Server ของเป้าหมายโดยผ่านช่องโหว่ Log4Shell

รายละเอียดการโจมตี

เมื่อ LockBit 3.0 เข้าถึงเครื่องเป้าหมายได้แล้ว มันจะทำการรัน Tools ต่างๆ เพิ่มเติม เช่น Meterpreter, PowerShell Empire นอกจากนี้ยังใช้วิธีการใหม่ในการติดตั้ง Cobalt Strike

จริง ๆ แล้วเทคนิคนี้มีชื่อว่า living-off-the-land (LotL) คือการใช้ซอร์ฟแวร์ที่มีอยู่แล้วบนระบบมาใช้ประโยชน์ในการโจมตี ซึ่งก่อนหน้ามีการใช้ VMwareXferlogs.exe

ซึ่งเป็นซอร์ฟแวร์ของ VMware Horizon เพื่อติดตั้ง Cobalt Strike แต่ในครั้งนี้ จะใช้ MpCmdRun.exe ในการติดตั้งแทน ซึ่ง MpCmdRun.exe เป็นเครื่องมือรัน Command-Line

สำหรับใช้งานฟังก์ชันต่างๆ ใน ​​Microsoft Defender Antivirus นอกจากนี้ยังใช้สำหรับการสแกนหาไฟล์อันตราย, รวบรวมข้อมูลต่าง ๆ บนเครื่อง และยังสามารถ Restore Services ต่าง ๆ ไปยังเวอร์ชันก่อนหน้าได้

การทำงานเริ่มขึ้นหลังจากที่ LockBit 3.0 เข้าถึงเครื่องเหยื่อได้แล้ว มันจะทำการ ดาวน์โหลด Payload Cobalt Strike จากเซิร์ฟเวอร์ภายนอก จากนั้น payload ของ Cobalt Strike จะถูกถอดรหัส แล้วติดตั้งผ่านทาง Windows Defender utility ทันที

จะสังเกตได้ว่าผลิตภัณฑ์อย่าง VMware และ Windows Defender มีการใช้งานเป็นจำนวนมากในหลายองค์กร ซึ่งจะเป็นประโยชน์แก่ผู้ไม่หวังดี

หากผลิตภัณฑ์เหล่านี้สามารถทำงานได้เหนือกว่าการควบคุมของระบบ Security เช่นมีการ Exception VMwareXferlogs.exe หรือ MpCmdRun.exe ไว้ นอกจากนี้ ยังพบว่าผู้ให้บริการอย่าง

Initial access brokers (IABs) และ Managed service providers (MSPs) มักจะตกเป็นเป้าหมายหลักของ Ransomware เนื่องจากสามารถเข้าถึงอุปกรณ์ของลูกค้าอื่น ๆ ได้เป็นจำนวนมาก

LockBit Ransomware Abuses Windows Defender to Deploy Cobalt Strike Payload

New Linux malware brute-forces SSH servers to breach networks

 

มัลแวร์ตัวใหม่ภัยร้ายของผู้ใช้งาน Linux!!!

    มีการเผยถึง Malware ตัวใหม่ที่ถูกใช้งานตั้งแต่กลางเดือนมิถุนายน 2022 ด้วยวิธีการ brute-forces SSH servers to breach networksผู้เชี่ยวชาญพบว่ามันมีความคล้ายคลึงกับ Mirai Trojan แต่เปลี่ยนไปจากเดิมและไม่สามารถควบคุมการแพร่กระจายได้ Rapper Bot นั้นมีความสามารถในการใช้DDoS ที่จำกัดและการทำงานของมันดูเหมือนมุ่งไปที่การเข้าถึงเซิร์ฟเวอร์เริ่มต้นอย่างไรก็ตาม เป้าหมายของ RapperBot นั้นไม่ปรากฏชัดนอกจากนี้การลบการแพร่กระจายตนเองและการเพิ่มกลไกการคงอยู่และการหลีกเลี่ยงการตรวจจับบ่งชี้ว่าผู้ปฏิบัติงานของบ็อตเน็ตอาจสนใจในการเข้าถึงการขายเบื้องต้นสำหรับผู้เผยแพร่แรนซัมแวร์

New Linux malware brute-forces SSH servers to breach networks

Microsoft Exchange servers increasingly hacked with IIS backdoors

Exchange Server ถูกแฮ็กมากขึ้นด้วย IIS Backdoor

Microsoft ออกมาแจ้งเตือนเรื่องการพบผู้ไม่หวังดีได้หันมาใช้ Malicious IIS Extension สำหรับสร้าง Backdoor บน Exchange Server มากขึ้นเรื่อย ๆ เนื่องจากมีโอกาสในการถูกตรวจจับได้น้อยกว่าแบบ Web Shells สาเหตุหลัก ๆ คือ IIS เป็นฟีเจอร์ที่มีอยู่บน Server อยู่แล้วทำให้ผู้โจมตีสามารถแฝงตัวอยู่บนระบบได้อย่างสมบูรณ์แบบ

• ลักษณะการทำงาน

1. หลังจาก IIS Extension ถูกติดตั้งลงไปแล้ว ผู้โจมตีจะใช้มันเป็นช่องทางสำหรับการหาช่องโหว่ด้านความปลอดภัยต่าง ๆ บนระบบเครือข่ายของเหยื่อ
2. IIS Extension จะทำงานหลังจาก web shell ถูกใช้งานเป็นเพย์โหลดแรกในการโจมตี โมดูล IIS จะถูกปรับค่าให้สามารถเข้าควบคุมเซิร์ฟเวอร์ที่ถูกแฮ็กได้มากขึ้น และแฝงตัวอยู่บนระบบให้ผู้โจมตีสามารถกลับมาควบคุมเครื่องเหยื่อได้อย่างต่อเนื่อง
3. หลังจากโมดูล IIS ถูกปรับค่าใหม่ มันจะช่วยให้ผู้โจมตีสามารถเก็บรวบรวมข้อมูลสำคัญจากหน่วยความจำของระบบ รวบรวมข้อมูลจากเครือข่ายของเป้าหมาย และเซิร์ฟเวอร์ที่ถูกโจมตี
4. หลังจากรวบรวมข้อมูลส่วนตัว และเปิดช่องทางการเข้าถึงจากภายนอกแล้ว ผู้โจมตีจะทำการติดตั้ง Backdoor IIS ที่ชื่อว่า FinanceSvcModel.dll ในโฟลเดอร์ C:\inetpub\wwwroot\bin\ ซึ่ง Backdoor มีความสามารถในการจัดการ Exchange Server เช่น การจัดการ และ Export Mailbox ต่าง ๆ
   
   
   
   
   

• แนวทางการป้องกัน

1. อัปเดตแพตซ์เซิร์ฟเวอร์ Exchange ให้เป็นปัจจุบัน
2. เปิดใช้งาน Anti-Malware และ Security Solution
3. รีวิวสิทธิ์ของผู้ใช้งานอยู่เสมอ
4. จำกัดการเข้าถึงไดเรกทอรีของ IIS
   
   Microsoft Exchange servers increasingly hacked with IIS backdoors