ไมโครซอฟต์เอ็กซ์เชนจ์เพิ่มคำเตือนในอีเมลที่มีการใช้ช่องโหว่การสวมรอย

    ไมโครซอฟต์ได้เปิดเผยช่องโหว่ระดับรุนแรงสูงใน Exchange Server ที่ช่วยให้ผู้โจมตีสามารถปลอมแปลงผู้ส่งที่ถูกต้องในอีเมลที่เข้ามาได้ ทำให้ข้อความที่เป็นอันตรายมีความน่าเชื่อถือมากยิ่งขึ้น

    ช่องโหว่ด้านความปลอดภัยนี้ (CVE-2024-49040) ส่งผลกระทบต่อ Exchange Server รุ่น 2016 และ 2019 โดยถูกค้นพบโดย Vsevolod Kokorin นักวิจัยด้านความปลอดภัยจาก Solidlab ซึ่งได้รายงานให้ไมโครซอฟต์ทราบเมื่อต้นปีนี้

    “ปัญหาคือเซิร์ฟเวอร์ SMTP จะวิเคราะห์ที่อยู่ของผู้รับต่างกัน ซึ่งนำไปสู่การปลอมแปลงอีเมลได้” Kokorin กล่าวในรายงานเมื่อเดือนพฤษภาคม “อีกปัญหาหนึ่งที่ผมค้นพบคือผู้ให้บริการอีเมลบางรายอนุญาตให้ใช้สัญลักษณ์ < และ > ในชื่อกลุ่ม ซึ่งไม่สอดคล้องกับมาตรฐาน RFC”

“ระหว่างการวิจัย ผมไม่พบผู้ให้บริการอีเมลรายใดที่วิเคราะห์ฟิลด์ 'From' ได้อย่างถูกต้องตามมาตรฐาน RFC” เขาเสริม

    ไมโครซอฟต์ยังเตือนในวันนี้ว่าช่องโหว่นี้สามารถถูกใช้ในการโจมตีปลอมแปลงตัวตนที่มุ่งเป้าไปที่เซิร์ฟเวอร์ Exchange และได้ปล่อยอัปเดตหลายตัวในช่วง Patch Tuesday ของเดือนนี้เพื่อเพิ่มการตรวจจับการใช้ประโยชน์จากช่องโหว่และเพิ่มป้ายเตือน

    "ช่องโหว่นี้เกิดจากการดำเนินการปัจจุบันในการตรวจสอบส่วนหัว P2 FROM ซึ่งเกิดขึ้นในกระบวนการขนส่ง" ไมโครซอฟต์อธิบาย "การดำเนินการปัจจุบันทำให้ส่วนหัว P2 FROM ที่ไม่สอดคล้องกับ RFC 5322 บางตัวสามารถผ่านไปได้ ซึ่งอาจทำให้ไคลเอนต์อีเมล (เช่น Microsoft Outlook) แสดงผู้ส่งปลอมให้เหมือนกับผู้ส่งที่ถูกต้อง"

เซิร์ฟเวอร์ Exchange จะแจ้งเตือนการใช้ประโยชน์จากช่องโหว่

    แม้ว่าไมโครซอฟต์จะยังไม่ได้แก้ไขช่องโหว่นี้และจะยอมรับอีเมลที่มีส่วนหัวที่ผิดรูปแบบ แต่บริษัทกล่าวว่าเซิร์ฟเวอร์ Exchange จะสามารถตรวจจับและเพิ่มคำเตือนในอีเมลที่มีการปลอมแปลงผู้ส่งหลังจากติดตั้งอัปเดตความปลอดภัยของ Exchange Server ประจำเดือนพฤศจิกายน 2024 (SU)

การตรวจจับการใช้ประโยชน์จากช่องโหว่ CVE-2024-49040 และคำเตือนในอีเมลจะเปิดใช้งานโดยอัตโนมัติในระบบที่ผู้ดูแลระบบเปิดใช้งานการตั้งค่าความปลอดภัยโดยเริ่มต้น

    เซิร์ฟเวอร์ Exchange ที่อัปเดตจะเพิ่มคำเตือนในเนื้อหาของอีเมลใดๆ ที่ตรวจพบว่าเป็นอีเมลที่มีผู้ส่งปลอมและเพิ่มส่วนหัว X-MS-Exchange-P2FromRegexMatch เพื่อให้ผู้ดูแลระบบสามารถปฏิเสธอีเมลฟิชชิงที่พยายามใช้ประโยชน์จากช่องโหว่นี้โดยใช้กฎการไหลของอีเมลที่กำหนดเอง

"คำเตือน: อีเมลนี้ดูเหมือนจะน่าสงสัย กรุณาอย่าหลงเชื่อข้อมูล ลิงก์ หรือไฟล์แนบในอีเมลนี้โดยไม่ได้ตรวจสอบแหล่งที่มาผ่านวิธีที่เชื่อถือได้" คำเตือนระบุ

    ถึงแม้ว่าจะไม่แนะนำให้ทำเช่นนั้น แต่บริษัทได้ให้คำสั่ง PowerShell ต่อไปนี้สำหรับผู้ที่ยังต้องการปิดคุณสมบัติความปลอดภัยใหม่นี้ (ให้รันคำสั่งจาก Exchange Management Shell ที่มีสิทธิ์สูง):

New-SettingOverride -Name "DisableNonCompliantP2FromProtection" -Component "Transport" -Section "NonCompliantSenderSettings" -Parameters @("AddDisclaimerforRegexMatch=false") -Reason "Disabled For Troubleshooting"

Get-ExchangeDiagnosticInfo -Process Microsoft.Exchange.Directory.TopologyService -Component VariantConfiguration -Argument Refresh

"ถึงแม้ว่าจะสามารถปิดคุณสมบัตินี้ได้โดยใช้คำสั่ง New-SettingOverride แต่เราขอแนะนำอย่างยิ่งให้คุณเปิดใช้งานคุณสมบัตินี้ไว้ เนื่องจากการปิดคุณสมบัตินี้จะทำให้มิจฉาชีพสามารถดำเนินการโจมตีฟิชชิงต่อองค์กรของคุณได้ง่ายขึ้น" ไมโครซอฟต์จากเรดมอนด์เตือน

ref : bleepingcomputer.com

พบช่องโหว่ RCE ระดับ Critical ของ Veeam กำลังถูกกลุ่ม Frag Ransomware นำไปใช้โจมตีเป้าหมาย

    Florian Hauser ผู้เชี่ยวชาญด้านความปลอดภัยของ Code White พบช่องโหว่ CVE-2024-40711 บน Veeam Backup & Replication (VBR) ซึ่งถูกกลุ่ม Frag Ransomware นำไปใช้ในการโจมตีหลังจากที่ก่อนหน้านี้ได้พบว่ากลุ่ม Akira และ Fog Ransomware ได้โจมตีช่องโหว่ดังกล่าวเช่นเดียวกัน

    CVE-2024-40711 (คะแนน CVSS 9.8/10 ความรุนแรงระดับ Critical) เป็นช่องโหว่ Deserialization ของข้อมูลที่ไม่น่าเชื่อถือ ซึ่งทำให้ผู้ไม่ประสงค์ดีที่ไม่ผ่านการยืนยันตัวตน สามารถเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกล (RCE) บน Veeam VBR servers ได้

    watchTowr Labs ซึ่งเผยแพร่รายงานการวิเคราะห์ทางเทคนิคเกี่ยวกับช่องโหว่ CVE-2024-40711 เมื่อวันที่ 9 กันยายน 2024 ได้เลื่อนการเผยแพร่ชุดสาธิตการโจมตีช่องโหว่ (Proof-of-Concept (PoC)) ออกไปจนถึงวันที่ 15 กันยายน 2024 เพื่อให้ผู้ดูแลระบบมีเวลาเพียงพอในการอัปเดตแพตซ์ด้านความปลอดภัยที่ออกโดย Veeam เมื่อวันที่ 4 กันยายน 2024

    การเลื่อนเวลาเผยแพร่ข้อมูลช่องโหว่ออกไป เกิดจากซอฟต์แวร์ VBR ของ Veeam เป็นเป้าหมายยอดนิยมของผู้ไม่ประสงค์ดีที่ต้องการเข้าถึงข้อมูลสำรองของบริษัทอย่างรวดเร็ว เนื่องจากธุรกิจหลายแห่งใช้ซอฟต์แวร์นี้เป็นโซลูชันการกู้คืนระบบจากเหตุฉุกเฉิน และการปกป้องข้อมูลเพื่อสำรองข้อมูล, กู้คืน และจำลองเครื่องเสมือน, เครื่องจริง และคลาวด์

    ทั้งนี้ทีม Sophos X-Ops incident responder ระบุว่า การเลื่อนการเผยแพร่ชุดสาธิตการโจมตีช่องโหว่ ลดผลกระทบได้เพียงเล็กน้อยเท่านั้น โดยพบว่ากลุ่ม Akira และ Fog Ransomware ได้เริ่มโจมตีเป้าหมายด้วยช่องโหว่ RCE ร่วมกับข้อมูล VPN gateway credentials ที่ขโมยมาเพื่อเพิ่มบัญชีปลอมในกลุ่ม local Administrators และกลุ่ม Remote Desktop Users บนเซิร์ฟเวอร์ที่ยังไม่ได้อัปเดตแพตซ์ และเปิดให้เข้าถึงได้จากอินเทอร์เน็ต

    ล่าสุด Sophos X-Ops incident responder ยังค้นพบอีกว่ามีกลุ่มผู้ไม่ประสงค์ดี"STAC 5881" ได้ใช้ช่องโหว่ CVE-2024-40711 ในการโจมตีเป้าหมาย ซึ่งนำไปสู่การเรียกใช้ Frag Ransomware บนเครือข่ายที่ถูกโจมตี

    บริษัท Agger Labs ซึ่งเป็นบริษัทด้านการรักษาความปลอดภัยไซเบอร์ของอังกฤษระบุว่า กลุ่ม Frag Ransomware ที่เพิ่งถูกเปิดเผยเมื่อไม่นานมานี้ ได้ใช้ไฟล์ไบนารี Living Off The Land (LOLBins) ในการโจมตี ซึ่งเป็นซอฟต์แวร์ปกติที่มีให้ใช้อยู่แล้วในระบบที่ถูกโจมตี ทำให้มีความท้าทายมากยิ่งขึ้นในการตรวจจับการโจมตี

    รวมถึงยังมีวิธีการโจมตีที่คล้ายกับกลุ่ม Akira และ Fog Ransomware โดยมุ่งเป้าไปที่ช่องโหว่ที่ยังไม่ได้รับการแก้ไข และการกำหนดค่าที่ไม่ถูกต้องในโซลูชันการสำรองข้อมูล และการจัดเก็บข้อมูลระหว่างการโจมตี

    ในเดือนมีนาคม 2023 Veeam ได้แก้ไขช่องโหว่ VBR ที่มีระดับความรุนแรงสูงอีกช่องโหว่หนึ่ง (CVE-2023-27532) ที่ทำให้ผู้ไม่ประสงค์ดีสามารถเจาะระบบโครงสร้างพื้นฐานการสำรองข้อมูลได้ ต่อมาช่องโหว่ดังกล่าว ก็ได้ถูกใช้ในการโจมตีที่เชื่อมโยงกับกลุ่ม FIN7 รวมถึงได้ถูกนำไปใช้ในการโจมตีด้วย Cuba ransomware ที่กำหนดเป้าหมายไปยังองค์กรโครงสร้างพื้นฐานที่สำคัญของสหรัฐอเมริกา

Ref : bleepingcomputer.com

Sophos เปิดเผยรายงานการป้องกันการโจมตีอุปกรณ์เครือข่ายจากกลุ่มผู้ไม่ประสงค์ดีชาวจีนมานานกว่า 5 ปี

    Sophos เปิดเผยรายงานที่เรียกว่า "Pacific Rim" ซึ่งให้รายละเอียดว่า Sophos ได้ติดตาม และป้องกันการโจมตีของกลุ่มผู้ไม่ประสงค์ดีชาวจีน มาเป็นเวลากว่า 5 ปีแล้ว โดยกลุ่มผู้ไม่ประสงค์ดีได้กำหนดเป้าหมายการโจมตีไปยังอุปกรณ์เครือข่ายทั่วโลกเพิ่มมากขึ้น รวมถึงอุปกรณ์จาก Sophos ด้วย

    ทั้งนี้ Sophos ได้แจ้งเตือนบริษัทต่าง ๆ ว่า กลุ่มผู้ไม่ประสงค์ดีชาวจีน ได้ใช้ช่องโหว่ในอุปกรณ์เครือข่าย เพื่อติดตั้งมัลแวร์ที่ปรับแต่งมาโดยเฉพาะ ซึ่งทำให้สามารถติดตามการสื่อสารบนเครือข่าย, ขโมยข้อมูล credentials หรือทำหน้าที่เป็น proxy server สำหรับการโจมตีแบบ Relay Attack

    การโจมตีเหล่านี้ได้มุ่งเป้าหมายไปยังผู้ให้บริการที่มีชื่อเสียง เช่น Fortinet, Barracuda, SonicWall, Check Point, D-Link, Cisco, Juniper, NetGear, Sophos และอื่น ๆ อีกมากมาย

Sophos ระบุว่า กลุ่มผู้ไม่ประสงค์ดีชาวจีนหลายรายที่รู้จักกันในชื่อ Volt Typhoon, APT31 และ APT41/Winnti ซึ่งกลุ่มผู้ไม่ประสงค์ดีเหล่านี้เคยโจมตีอุปกรณ์เครือข่ายจำนวนมากมาแล้วในอดีต

Sophos ได้อธิบายในรายงานว่า "เป็นเวลากว่า 5 ปีแล้วที่ Sophos ได้ทำการสืบสวนกลุ่มผู้ไม่ประสงค์ดีต่าง ๆ มากมายในประเทศจีนที่โจมตี Firewall ของ Sophos ด้วย Botnet รวมถึงช่องโหว่ใหม่ ๆ และมัลแวร์แบบเฉพาะทาง"

    Sophos ระบุว่า พวกเขาได้เริ่มติดตาม และป้องกันกลุ่มผู้ไม่ประสงค์ดีมาตั้งแต่ปี 2018 ในเหตุการณ์การโจมตีสำนักงานใหญ่ของ Cyberoam ซึ่งเป็นบริษัทในเครือ Sophos ที่ตั้งอยู่ในอินเดีย ซึ่งนักวิจัยเชื่อว่าเป็นช่วงเวลาที่กลุ่มผู้ไม่ประสงค์ดีอยู่ในช่วงเริ่มต้นค้นคว้าเกี่ยวกับการโจมตีอุปกรณ์เครือข่าย

หลังจากนั้นกลุ่มผู้ไม่ประสงค์ดีก็ได้ใช้ช่องโหว่แบบ zero-day และช่องโหว่ที่ถูกเปิดเผยในการโจมตีอุปกรณ์เครือข่าย

    Sophos เชื่อว่าช่องโหว่ zero-day จำนวนมากที่ใช้โจมตี ได้รับการพัฒนาโดยนักวิจัยชาวจีน ซึ่งไม่เพียงแต่แบ่งปันช่องโหว่เหล่านี้ไปยังผู้ให้บริการเท่านั้น แต่ยังรวมถึงรัฐบาลจีน และกลุ่มผู้ไม่ประสงค์ดีที่ได้รับการสนับสนุนจากรัฐบาลด้วย

    ในช่วงหลายปีที่ผ่านมา กลุ่มผู้ไม่ประสงค์ดีชาวจีนได้พัฒนากลยุทธ์ของตนเพื่อใช้ memory-only malware รวมถึงเทคนิคการแฝงตัว (persistence) และการใช้อุปกรณ์เครือข่ายที่ถูกโจมตีเป็น operational relay box (ORBs) proxy networks เพื่อหลีกเลี่ยงการตรวจจับ

หากต้องการอ่านรายงานเพิ่มเติมสามารถอ่านได้จาก ที่นี่

Ref : bleepingcomputer.com

QNAP ออกแพตช์แก้ไขช่องโหว่ zero-day ตัวที่ 2 ในปี 2567 ซึ่งถูกนำมาใช้ในการโจมตีในงาน Pwn2Own เพื่อยกระดับสิทธิ์เป็น root

    QNAP ได้ออกแพตช์เพื่อแก้ไขช่องโหว่ zero-day ที่ 2 ซึ่งถูกนักวิจัยด้านความปลอดภัยนำไปใช้โจมตีในการแข่งขันแฮ็ก Pwn2Own เมื่อสัปดาห์ที่ผ่านมา

    ช่องโหว่ระดับ Critical นี้เป็นช่องโหว่ SQL injection (SQLi) ที่มีหมายเลข CVE-2024-50387 เป็นช่องโหว่ใน SMB service ของ QNAP และได้รับการแก้ไขแล้วในเวอร์ชัน 4.15.002 ขึ้นไป และ h4.15.002 ขึ้นไป

    ช่องโหว่ zero-day นี้ได้รับการแก้ไขไปแล้วหนึ่งสัปดาห์หลังจากที่ YingMuo (ซึ่งทำงานร่วมกับโครงการฝึกงาน DEVCORE) สามารถเข้าถึงสิทธิ์ root และควบคุมอุปกรณ์ QNAP TS-464 NAS ได้ในงาน Pwn2Own Ireland 2024

    เมื่อวันอังคารที่ 29 ตุลาคม 2024 บริษัท QNAP ได้แก้ไขช่องโหว่ zero-day อีกรายการใน HBS 3 Hybrid Backup Sync ซึ่งเป็นโซลูชันสำหรับการกู้คืน และสำรองข้อมูล โดยช่องโหว่นี้ถูกทีม Viettel Cyber Security นำไปใช้โจมตีในงาน Pwn2Own เพื่อเรียกใช้คำสั่งตามที่ต้องการ และโจมตีอุปกรณ์ QNAP TS-464 NAS

    ทีม Viettel ชนะการแข่งขัน Pwn2Own Ireland 2024 หลังจากการแข่ง 4 วัน โดยมีการมอบรางวัลมูลค่ารวมกว่า 1 ล้านดอลลาร์ให้กับผู้เข้าร่วมการแข่งขันที่สามารถโจมตีด้วยช่องโหว่ zero-day ได้มากกว่า 70 รายการ

    แม้ว่า QNAP จะออกแพตช์สำหรับช่องโหว่ทั้ง 2 รายการภายในหนึ่งสัปดาห์ แต่โดยทั่วไปแล้วผู้ให้บริการมักใช้เวลานานกว่านั้นในการปล่อยแพตช์ความปลอดภัยหลังงาน Pwn2Own เนื่องจากมีเวลา 90 วันก่อนที่ Zero Day Initiative ของ Trend Micro จะเปิดเผยรายละเอียดของช่องโหว่ที่ถูกเปิดเผยในการแข่งขัน

    หากต้องการอัปเดตซอฟต์แวร์บนอุปกรณ์ NAS ให้เข้าสู่ระบบ QuTS hero หรือ QTS ในฐานะผู้ดูแลระบบ และไปที่ App Center ค้นหา "SMB Service" แล้วคลิก "Update" โดยปุ่มนี้จะไม่สามารถใช้งานได้หากซอฟต์แวร์เป็นเวอร์ชันล่าสุดแล้ว

    แนะนำให้อัปเดตแพตช์โดยเร็วที่สุด เนื่องจากอุปกรณ์ QNAP เป็นเป้าหมายที่นิยมของผู้โจมตี เพราะมักถูกใช้ในการสำรอง และเก็บข้อมูลส่วนบุคคลที่สำคัญ ซึ่งทำให้อุปกรณ์เหล่านี้ตกเป็นเป้าหมายในการติดตั้งมัลแวร์ขโมยข้อมูล และยังเป็นช่องทางในการบังคับให้เหยื่อจ่ายค่าไถ่เพื่อกู้คืนข้อมูล

    ตัวอย่างเช่น ในเดือนมิถุนายน 2020 QNAP ได้แจ้งเตือนเกี่ยวกับการโจมตีของแรนซัมแวร์ eCh0raix ซึ่งใช้ช่องโหว่ของแอป Photo Station ในการโจมตี และเข้ารหัสอุปกรณ์ QNAP NAS

    ในเดือนกันยายน 2020 QNAP ได้แจ้งเตือนลูกค้าเกี่ยวกับการโจมตีของแรนซัมแวร์ AgeLocker ซึ่งมุ่งเป้าไปที่อุปกรณ์ NAS ที่เข้าถึงได้จากอินเทอร์เน็ต ที่มีการใช้งาน Photo Station เวอร์ชันเก่า และมีช่องโหว่ โดยในเดือนมิถุนายน 2021 eCh0raix (หรือ QNAPCrypt) ได้กลับมาโจมตีอีกครั้งโดยใช้ช่องโหว่ที่รู้จัก และใช้การเดารหัสผ่านของบัญชี NAS ที่ใช้รหัสผ่านที่คาดเดาได้ง่าย

    การโจมตีอื่น ๆ ที่มีเป้าหมายการโจมตีไปยังอุปกรณ์ QNAP เช่น DeadBolt, Checkmate และ eCh0raix   ransomware ซึ่งจะใช้ประโยชน์จากช่องโหว่เพื่อเข้ารหัสข้อมูลในอุปกรณ์ NAS ที่เข้าถึงได้จากอินเทอร์เน็ต

Ref : bleepingcomputer.com

ช่องโหว่ CVE-2024-38094 : ผู้ไม่ประสงค์ดีสามารถเข้าถึง Domain ผ่าน Microsoft SharePoint Server

    รายงานล่าสุดจากทีม Incident Response ของ Rapid7 เปิดเผยถึงการโจมตีที่ร้ายแรงใน Microsoft SharePoint server ซึ่งทำให้ผู้ไม่ประสงค์ดีสามารถเข้าถึง domain ทั้งหมด และส่งผลกระทบต่อระบบที่สำคัญผ่านการใช้เทคนิคผสมอย่างซับซ้อน ซึ่งเกิดจากการใช้ประโยชน์จากช่องโหว่ CVE-2024-38094 แสดงให้เห็นถึงความสำคัญของการตรวจจับ และตอบสนองต่อช่องโหว่ใน SharePoint servers ที่ติดตั้งในองค์กรอย่างรวดเร็ว

    การตรวจสอบเริ่มจากการที่ Rapid7 พบพฤติกรรมที่น่าสงสัยที่เกี่ยวข้องกับบัญชี Microsoft Exchange service ที่มีสิทธิ์ domain administrator โดย Rapid7 ระบุว่า ช่องทางการโจมตีเป็นช่องโหว่ที่เป็นที่รู้จักใน SharePoint server คือ CVE-2024-38094 โดยอธิบายว่า “การใช้ช่องโหว่เพื่อเข้าถึงในเบื้องต้นเป็นรูปแบบที่พบได้บ่อยในปี 2024 ซึ่งมักต้องการเครื่องมือรักษาความปลอดภัย และขั้นตอนการตอบสนองที่มีประสิทธิภาพเพื่อหลีกเลี่ยงผลกระทบที่เกิดขึ้น" ช่องโหว่นี้ทำให้ผู้ไม่ประสงค์ดีสามารถเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกลได้ ทำให้ผู้ไม่ประสงค์ดีสามารถแฝงตัวเข้าสู่ระบบ และโจมตีต่อไปภายในเครือข่ายได้อย่างอิสระโดยไม่ถูกตรวจจับเป็นเวลานานถึงสองสัปดาห์

    เมื่อเจาะระบบเข้ามาได้แล้ว ผู้ไม่ประสงค์ดีได้ใช้บัญชี Microsoft Exchange service ที่ถูกโจมตีเพื่อติดตั้ง Horoung Antivirus (AV) ซึ่งเป็นผลิตภัณฑ์แอนตี้ไวรัสจากจีนที่จะรบกวนการทำงานของระบบรักษาความปลอดภัยที่ทำงานอยู่ การแทรกแซงนี้ทำให้ระบบรักษาความปลอดภัยที่มีอยู่หยุดทำงาน ซึ่งเปิดโอกาสให้ผู้ไม่ประสงค์ดีสามารถดำเนินการตามเป้าหมายได้โดยไม่มีข้อจำกัด ซึ่งเป็นการใช้เทคนิค Impairing Defenses (T1562) การหยุดทำงานที่เกิดขึ้นโดยตั้งใจนี้ทำให้ผู้ไม่ประสงค์ดีสามารถติดตั้ง และเรียกใช้เครื่องมือที่เป็นอันตราย รวมถึง Impacket เพื่อใช้ในการโจมตีต่อไปภายในเครือข่าย

    SharePoint server ที่ถูกโจมตี ผู้ไม่ประสงค์ดีจะเรียกใช้ Mimikatz เพื่อดึงข้อมูล credentials และแก้ไข Log ของระบบเพื่อปกปิดร่องรอย โดยมีหลักฐานตามที่รายงานระบุว่า "ระบบ log ส่วนใหญ่ถูกปิดการทำงาน" ทำให้การตรวจจับเป็นไปได้ยาก นอกจากนี้ผู้ไม่ประสงค์ดีได้ใช้ webshell ที่ชื่อ "ghostfile93.aspx" เพื่อสร้างการเข้าถึงอย่างต่อเนื่อง โดยมีการสร้าง HTTP POST request จำนวนมากจาก IP ภายนอก การดำเนินการของ webshell นี้รวมถึงไฟล์ที่เป็นอันตรายอื่น ๆ เช่น Fast Reverse Proxy (FRP) ซึ่งจะช่วยให้ผู้ไม่ประสงค์ดีสามารถแมปเครือข่าย, เก็บข้อมูล credentials และสร้างการเชื่อมต่อกับภายนอกได้

    Rapid7 พบไบนารีหลายตัวที่ผู้ไม่ประสงค์ดีใช้ ซึ่งแต่ละตัวออกแบบมาเพื่อขยายการควบคุมภายใน domain ผู้ไม่ประสงค์ดีจะเรียกใช้ "everything.exe" เพื่อสร้าง index ในระบบไฟล์ NTFS และใช้ "Certify.exe" เพื่อสร้าง Active Directory Federation Services (ADFS) certificates ที่มีสิทธิ์ระดับสูง นอกจากนี้ยังใช้ Kerbrute ซึ่งเป็นเครื่องมือ brute-force สำหรับ Kerberos tickets เพื่อเจาะเข้ากลไกการยืนยันตัวตนในเครือข่าย แสดงให้เห็นถึงวิธีการที่มุ่งเป้าไปยังการเจาะระบบการยืนยันตัวตน รายงานระบุว่า "TTPs เหล่านี้มีการใช้ไบนารีหลายตัว เช่น everything.exe, kerbrute_windows_amd64.exe, 66.exe, Certify.exe และมีความพยายามในการทำลายข้อมูลสำรองจากผู้ให้บริการภายนอก"

    การวิเคราะห์ของ Rapid7 เน้นย้ำถึงความจำเป็นในการมีระบบ log ที่มีประสิทธิภาพ และมาตรการตรวจจับตั้งแต่เนิ่น ๆ คำแนะนำระบุว่า “การวิเคราะห์ log ของเหตุการณ์การยืนยันตัวตนจาก domain controllers” เป็นสิ่งสำคัญในการตรวจจับพฤติกรรมที่ผิดปกติ โดยเฉพาะที่เกี่ยวข้องกับบัญชีที่มีสิทธิ์สูง แนะนำให้ตรวจสอบนโยบายด้านความปลอดภัย, เสริมการเฝ้าระวังจาก log และติดตั้งแพตช์ล่าสุด โดยเฉพาะในบริการที่มีความเสี่ยงสูง เช่น SharePoint เพื่อป้องกันการเจาะระบบในลักษณะเดียวกัน

Ref : securityonline