SuperBlack ransomware ตัวใหม่ที่โจมตีผ่านช่องโหว่ auth bypass ของ Fortinet

กลุ่ม Ransomware ใหม่ที่ชื่อว่า 'Mora_001' กำลังใช้ประโยชน์จากช่องโหว่สองรายการใน Fortinet เพื่อเข้าถึงอุปกรณ์ Firewall โดยไม่ได้รับอนุญาต และติดตั้ง ransomware ที่ชื่อว่า SuperBlack

ช่องโหว่ทั้งสองรายการเป็นช่องโหว่ authentication bypasses มีหมายเลข CVE-2024-55591 และ CVE-2025-24472 ซึ่งทาง Fortinet ได้เปิดเผยออกมาในเดือนมกราคม และกุมภาพันธ์ที่ผ่านมา

เมื่อ Fortinet เปิดเผยช่องโหว่ CVE-2024-55591 ครั้งแรกในวันที่ 14 มกราคม 2025 โดยยืนยันว่าช่องโหว่นี้กำลังถูกใช้ในการโจมตีแบบ Zero-Day และทางบริษัท Arctic Wolf ระบุว่า ช่องโหว่นี้กำลังถูกใช้ในการโจมตี Firewall FortiGate มาตั้งแต่เดือนพฤศจิกายน 2024

เมื่อวันที่ 11 กุมภาพันธ์ 2025 Fortinet ได้เพิ่ม CVE-2025-24472 ลงใน January advisory ซึ่งทำให้หลายคนเข้าใจผิดว่าเป็นช่องโหว่ใหม่ที่กำลังถูกโจมตี อย่างไรก็ตาม Fortinet ได้ชี้แจงกับ BleepingComputer ว่า ช่องโหว่นี้ได้รับการแก้ไขไปแล้วตั้งแต่เดือนมกราคม 2024 และยังไม่เคยถูกใช้ในการโจมตี

Fortinet ให้ข้อมูลกับ BleepingComputer ในขณะนั้นว่า "ไม่พบหลักฐานว่า CVE-2025-24472 เคยถูกใช้ในการโจมตีมาก่อน"

อย่างไรก็ตาม รายงานฉบับใหม่จากนักวิจัยของ Forescout ระบุว่า พวกเขาพบการโจมตีของ SuperBlack ransomware ในช่วงปลายเดือนมกราคม 2025 โดยผู้โจมตีใช้ประโยชน์จากช่องโหว่ CVE-2025-24472 มาตั้งแต่วันที่ 2 กุมภาพันธ์ 2025 เป็นต้นมา

Forescout ให้ข้อมูลกับ BleepingComputer ว่า "แม้ว่า Forescout จะไม่ได้รายงานการโจมตีผ่านช่องโหว่ CVE-2025-24472 ไปยัง Fortinet โดยตรง แต่หนึ่งในองค์กรที่ได้รับผลกระทบ ซึ่งบริษัทได้ร่วมกันทำการตรวจสอบได้แบ่งปันข้อมูลกับทีม PSIRT ของ Fortinet แล้ว"

"ไม่นานหลังจากนั้น Fortinet ได้อัปเดตคำแนะนำด้านความปลอดภัยในวันที่ 11 กุมภาพันธ์ 2025 เพื่อยืนยันว่าช่องโหว่ CVE-2025-24472 กำลังถูกใช้ในการโจมตีจริง"

การโจมตีด้วย SuperBlack ransomware

Forescout ระบุว่า กลุ่มผู้โจมตีแรนซัมแวร์ Mora_001 ใช้กระบวนการโจมตีที่มีโครงสร้างซับซ้อน และมีรูปแบบการโจมตีผู้ใช้งานที่ไม่ค่อยแตกต่างกันมากนัก

ขั้นแรก ผู้โจมตีจะเข้าถึงสิทธิ์ 'super_admin' โดยการใช้ประโยชน์จากช่องโหว่สองรายการของ Fortinet โดยใช้การโจมตีแบบ WebSocket ผ่านทาง jsconsole interface หรือส่ง HTTPS request โดยตรงไปยัง exposed firewall interfaces

ขั้นตอนต่อไป ผู้โจมตีจะสร้างบัญชีผู้ดูแลระบบใหม่ (forticloud-tech, fortigate-firewall, administrator) และปรับแต่ง automation เพื่อสร้างบัญชีเหล่านั้นใหม่ในกรณีที่ถูกลบ

หลังจากนั้น ผู้โจมตีจะทำการเข้าถึงเครือข่าย และพยายามใช้วิธี lateral movement โดยใช้ข้อมูล VPN credentials ที่ถูกขโมยมา และบัญชี VPN ที่ถูกเพิ่มขึ้นมาใหม่ อีกทั้งยังมีการใช้ Windows Management Instrumentation (WMIC) และ SSH รวมถึงมีการ Authentication ผ่าน TACACS+/RADIUS

Mora_001 จะขโมยข้อมูลโดยใช้เครื่องมือเฉพาะ ก่อนที่จะเข้ารหัสไฟล์เพื่อเรียกค่าไถ่ โดยให้ความสำคัญกับ database servers และ domain controllers

หลังจากกระบวนการเข้ารหัสเสร็จสิ้น ข้อความการเรียกค่าไถ่จะถูกทิ้งไว้บนระบบของเหยื่อ จากนั้นผู้โจมตีจะมีการใช้เครื่องมือที่สร้างขึ้นเองที่ชื่อว่า WipeBlack ในการทำลายข้อมูลหลักฐานของแรนซัมแวร์ทั้งหมดที่สามารถค้นย้อนหลังได้ เพื่อไม่ให้ข้อมูลดังกล่าวถูกนำไป forensic analysis

ความเชื่อมโยงระหว่าง SuperBlack และ LockBit

Forescout ได้พบหลักฐานจำนวนมากที่บ่งชี้ถึงความเชื่อมโยงระหว่างกลุ่ม SuperBlack ransomware และกลุ่ม LockBit แม้ว่า SuperBlack จะดูเหมือนมีการดำเนินการอย่างอิสระก็ตาม

องค์ประกอบแรกคือ ตัวเข้ารหัสของ SuperBlack ถูกสร้างขึ้นจากเครื่องมือ LockBit's 3.0 ที่รั่วไหลออกมา โดยมีโครงสร้างเพย์โหลด และวิธีการเข้ารหัสที่เหมือนกัน แต่ได้มีการลบ original branding ของ LockBit ออกทั้งหมด

 

องค์ประกอบที่สองคือ ข้อความการเรียกค่าไถ่ของ SuperBlack มีการระบุ ID แชท TOX ที่เชื่อมโยงกับกลุ่ม LockBit operations ซึ่งแสดงให้เห็นว่า Mora_001 อาจจะเคยเป็นพันธมิตรกับกลุ่ม LockBit หรือเป็นอดีตสมาชิกในกลุ่มผู้โจมตีที่มีส่วนเกี่ยวข้องกับการเรียกค่าไถ่

องค์ประกอบที่สามคือ พบว่ามีการใช้ IP address ที่เหมือนกันกับกลุ่ม LockBit นอกจากนี้โปรแกรม WipeBlack ยังถูกใช้งานจาก BrainCipher ransomware, EstateRansomware และ SenSayQ ransomware ซึ่งทั้งหมดนี้เชื่อมโยงกับกลุ่ม LockBit

Forescout ได้แชร์ข้อมูล indicators of compromise (IoC) ที่เชื่อมโยงกับการโจมตีของ SuperBlack ransomware ไว้ดังนี้

IoCs

 

 

 

 

ที่มา : bleepingcomputer