รายงานการวิเคราะห์ Jellyfish Loader ตัวใหม่

นักวิจัยจาก CRIL พบไฟล์ ZIP ที่ถูกอัปโหลดมาจากประเทศโปแลนด์ โดยภายในไฟล์นี้มีไฟล์ Windows shortcut (.lnk) ซึ่งเมื่อเรียกใช้งานไฟล์ .lnk จะเปิดไฟล์ PDF ที่ไม่มีอะไรผิดปกติ จากนั้นจะดาวน์โหลด และเรียกใช้งาน shellcode loader ตัวใหม่ที่สร้างด้วย .NET ชื่อว่า JellyfishLoader

(more…)

ในโพสต์บน Telegram เมื่อวันที่ 23 มิถุนายน 2024 กลุ่ม Hacktivist "People’s Cyber Army" และ "HackNeT" ได้แชร์ภาพหน้าจอที่อ้างว่ามีการโจมตี DDoS บนเว็บไซต์หลายแห่งในประเทศฝรั่งเศส และภาพหน้าจอของเว็บไซต์ตรวจสอบการหยุดทำงานของโดเมน 'check-host.

กลุ่มแฮ็กเกอร์ MuddyWatter ที่ได้รับการสนับสนุนโดยประเทศอิหร่าน ได้ปรับเปลี่ยนบางส่วนของการโจมตีมาใช้มัลแวร์ตัวใหม่ที่สร้างขึ้นเองโดยเฉพาะ เพื่อโจรกรรมข้อมูล และรันคำสั่งบนระบบของเครื่องที่ถูกโจมตี

Backdoor ตัวใหม่ที่ชื่อว่า BugSleep กำลังถูกพัฒนาอย่างต่อเนื่อง และถูกค้นพบโดยนักวิเคราะห์ของ CheckPoint ขณะที่มัลแวร์กำลังแพร่กระจายผ่านทางฟิชชิ่งที่ถูกออกแบบมาเป็นอย่างดี

แคมเปญนี้ดำเนินการโดยแพร่กระจายมัลแวร์ผ่านทางอีเมล โดยการแอบอ้างว่าเป็นอีเมลเชิญชวนเข้าสัมนา หรือคอร์สออนไลน์ โดยอีเมลเหล่านี้จะหลอกเหยื่อให้คลิกลิ้งที่นำไปสู่การดาวน์โหลด malicious payloads ที่เตรียมไว้บนแพลตฟอร์มไฟล์แชร์ Egnyte secure

ซึ่งในบางเวอร์ชันที่พบทั่วไปยังมาพร้อมกับ malware loader ที่ถูกออกแบบมาโดยเฉพาะสำหรับการ inject เข้าไปใน process ที่กำลังถูกใช้งานอยู่ในหลาย ๆ แอปฯ ซึ่งรวมไปถึง Microsoft Edge, Google Chrome, AnyDesk, Microsoft OneDrive, PowerShell และ Opera

CheckPoint ระบุว่า ได้ค้นพบมัลแวร์หลากหลายเวอร์ชันกำลังแพร่กระจายอย่างรวดเร็ว ซึ่งความแตกต่างของแต่ละเวอร์ชันคือการที่ได้รับการปรับปรุง และพัฒนา (ในบางครั้งก็กลายเป็นมัลแวร์ตัวใหม่เลย) โดยการอัปเดตหลายครั้งที่เกิดขึ้นภายในช่วงระยะเวลาสั้น ๆ ระหว่างตัวอย่างที่ทดสอบเหล่านี้ เรียกได้ว่าเป็นการทดลองแบบ Trial-and-error

ซึ่งในการปรับมาใช้ BugSleep กลุ่ม MuddyWater ได้ปรับปรุงตัวอย่างมาจาก Remote Management Tools (RMM) เช่น Atera agent และ Screen Connect เพื่อให้สามารถเข้าถึงระบบเครือข่ายของเหยื่อได้

การโจมตีโดยใช้งานมัลแวร์ตัวใหม่นี้มีกลุ่มเป้าหมายทั่วโลกซึ่งถือว่าค่อนข้างกว้าง ตั้งแต่องค์กรรัฐบาลต่าง ๆ ไปจนถึงสายการบิน และ สื่อต่าง ๆ โดยปัจจุบันมีการกำหนดเป้าหมายไปที่อิสราเอล และบางส่วนในทูร์เคีย ซาอุดิอารเบีย อินเดีย และ โปรตุเกส

หน่วยข่าวกรองอิหร่านถูกเปิดเผยว่าเป็นผู้อยู่เบื้องหลังของเหตุการณ์นี้

MuddyWater (หรืออีกชื่อคือ Earth Vetala, MERCURY, Static Kitten, และ Seedworm) ถูกพบมาตั้งแต่ปี 2017 ซึ่งเป็นที่รู้กันว่าเป้าหมายหลักของกลุ่มคือ องค์กรในตะวันออกกลาง (เน้นไปที่อิสราเอล) และได้มีการพัฒนาการโจมตีอยู่ตลอดมา

ถึงแม้ว่ากลุ่มแฮ็กเกอร์นี้ค่อนข้างใหม่หากเปรียบเทียบกับกลุ่มแฮ็กเกอร์ที่ได้รับการสนับสนุนโดยรัฐบาล แต่กลุ่มนี้ก็มีข่าวเรื่องของปฏิบัติการอยู่ตลอดเวลา โดยโจมตีกลุ่มเป้าหมายในหลายอุตสาหกรรม ทั้งองค์กรโทรคมนาคม, องค์กรรัฐบาล (ที่ให้บริการด้าน IT) และองค์กรอุตสาหกรรมปิโตรเลียม

นับตั้งแต่เปิดตัว ทางกลุ่มได้มีการขยายปฏิบัติการโจมตีอย่างช้า ๆ ด้วยแคมเปญการจารกรรมทางไซเบอร์ต่อรัฐบาล และหน่วยงานที่เกี่ยวข้องกับการป้องกัน และความมั่นคงของประเทศในแถบเอเชียกลาง และเอเชียตะวันตกเฉียงใต้ ซึ่งรวมไปถึงองค์กรจากอเมริกาเหนือ ยุโรป และเอเชีย [1|https://www.

สถาบันทางการเงินรายย่อยในสิงคโปร์มีเวลา 3 เดือนในการยกเลิกการใช้รหัสผ่านแบบใช้ครั้งเดียว (OTP) สำหรับการยืนยันตัวตนเมื่อเข้าสู่ระบบออนไลน์ เพื่อลดความเสี่ยงจากการโจมตีแบบฟิชชิ่ง

การตัดสินใจในครั้งนี้ถูกประกาศโดยธนาคารกลางสิงคโปร์ (MAS) และสมาคมธนาคารในสิงคโปร์ (ABS) เมื่อวันที่ 9 กรกฎาคม 2024

โดย MAS ระบุว่า ลูกค้าที่เปิดใช้งาน digital token บนอุปกรณ์เคลื่อนที่ของตน จะต้องใช้ digital token สำหรับการเข้าสู่ระบบบัญชีธนาคารผ่านเบราว์เซอร์ หรือแอปธนาคารบนมือถือ

Digital token จะยืนยันตัวตนของลูกค้าในการเข้าสู่ระบบโดยไม่ต้องใช้ OTP ที่ผู้โจมตีสามารถขโมย หรือหลอกลวงให้ลูกค้าเปิดเผยได้

ธนาคารกลางสิงคโปร์ยังแนะนำให้ลูกค้าเปิดใช้งาน digital token ของตนเพื่อป้องกันการโจมตีที่ออกแบบมาเพื่อขโมยข้อมูล credential และยึดบัญชีเพื่อดำเนินการทุจริตทางการเงิน

Ong-Ang Ai Boon, ผู้อำนวยการของ ABS ระบุว่า มาตรการนี้ออกมาเพื่อให้การป้องกันเพิ่มเติมแก่ลูกค้าจากการเข้าถึงบัญชีธนาคารโดยไม่ได้รับอนุญาต แม้ว่ามาตรการเหล่านี้อาจทำให้เกิดความไม่สะดวกบ้าง แต่ก็จำเป็นเพื่อช่วยป้องกันการฉ้อโกง และปกป้องลูกค้า

แม้ว่า OTP จะถูกนำมาใช้เป็นรูปแบบของ second-factor authentication (2FA) เพื่อเสริมความปลอดภัยของบัญชี แต่ผู้โจมตีทางไซเบอร์ได้คิดค้น trojan สำหรับขโมยข้อมูลธนาคาร, OTP bots และ phishing kits ที่สามารถเก็บรวบรวมรหัสเหล่านี้ได้โดยใช้เว็บไซต์ที่ดูคล้ายกัน

OTP bots สามารถเข้าถึงได้โดยผ่านทาง Telegram และถูกโฆษณาขายด้วยราคาที่อยู่ระหว่าง $100 ถึง $420 โดยยกระดับวิธีการ social engineering ไปอีกขั้น ด้วยการโทรหาผู้ใช้ และโน้มน้าวให้พวกเขาใส่รหัส 2FA บนโทรศัพท์เพื่อช่วยข้าม หรือหลีกเลี่ยงการป้องกันบัญชี

สิ่งสำคัญคือ bots เหล่านี้ได้รับการออกแบบมาเพื่อขโมยรหัส OTP ของเหยื่อ ซึ่งจำเป็นที่ผู้โจมตีจะต้องได้รับข้อมูล credential ที่ถูกต้องผ่านวิธีการอื่นก่อน เช่น การละเมิดข้อมูล, ข้อมูลที่มีขายใน Dark web และหน้าเว็บสำหรับหลอกเอาข้อมูล credential

Olga Svistunova นักวิจัยด้านภัยคุกคามของ Kaspersky ระบุในรายงานล่าสุดว่า หน้าที่หลักของ OTP bots คือการโทรหาเหยื่อ การโทรเป็นสิ่งที่ผู้โจมตีต้องการเป็นอย่างมาก เนื่องจากรหัสการยืนยันมีอายุการใช้งานเพียงช่วงเวลาจำกัด

ในขณะที่การใช้ข้อความอาจจะไม่มีการตอบกลับเป็นเวลานาน แต่การโทรหาผู้ใช้จะเพิ่มโอกาสในการได้รับรหัส การสื่อสารผ่านทางโทรศัพท์ยังเป็นโอกาสที่ผู้โจมตีจะพยายามสร้างผลกระทบที่ต้องการกับเหยื่อผ่านทางเสียง

เมื่อสัปดาห์ที่แล้ว SlashNext เปิดเผยรายละเอียดของ "end-to-end" phishing toolkit ที่ชื่อว่า FishXProxy ซึ่งแม้จะถูกระบุว่านำไปใช้เพื่อวัตถุประสงค์ทางการศึกษาเท่านั้น แต่กลับลดระดับความยากทางเทคนิคลงสำหรับกลุ่มผู้โจมตีที่ต้องการทำแคมเปญฟิชชิ่งขนาดใหญ่ ซึ่งต้องหาวิธีหลีกเลี่ยงการป้องกันด้วย

FishXProxy จัดเตรียมเครื่องมือให้แก่ผู้โจมตีสำหรับการโจมตีด้วยอีเมลฟิชชิ่ง โดยเริ่มต้นด้วยลิงก์ที่สร้างขึ้นโดยเฉพาะ หรือไฟล์แนบที่เป็นแบบไดนามิก ซึ่งสามารถ Bypass การตรวจสอบในเบื้องต้นได้

ผู้ที่ตกเป็นเหยื่อจะต้องเจอกับระบบ antibot ที่ใช้ CAPTCHA ของ Cloudflare ซึ่งมีสามารถในการตรวจสอบเครื่องมือด้านความปลอดภัย และมีระบบการเปลี่ยนเส้นทางที่สามารถซ่อนปลายทางที่แท้จริงได้ ในขณะที่การตั้งค่าการหมดอายุของหน้าเว็บไซต์จะเป็นอุปสรรคต่อการวิเคราะห์ และช่วยในการจัดการแคมเปญนี้ได้

สิ่งที่น่าสนใจเพิ่มเติมอีกอย่างของ FishXProxy คือการใช้ระบบติดตามด้วยคุกกี้ที่ช่วยให้ผู้โจมตีสามารถระบุ และติดตามผู้ใช้ในแคมเปญฟิชชิ่งต่าง ๆ ได้ นอกจากนี้ยังสามารถสร้างไฟล์แนบที่เป็นอันตรายโดยใช้เทคนิคการ HTML smuggling ที่ทำให้สามารถหลีกเลี่ยงการตรวจจับได้

Cisco Talos ระบุว่า การใช้ HTML smuggling ค่อนข้างมีประสิทธิภาพในการหลีกเลี่ยงการตรวจจับจากอุปกรณ์ด้านความปลอดภัย เช่น email gateway และ web proxy

เมื่อเดือนที่ผ่านมา บริษัทรักษาความปลอดภัยทางไซเบอร์ Resecurity รายงานว่า อาชญากรไซเบอร์กำลังมีการโปรโมต phishing kit ใหม่ชื่อ V3B บน Telegram และ dark web ที่สามารถโจมตีลูกค้าของธนาคารรายใหญ่ในไอร์แลนด์, เนเธอร์แลนด์, ฟินแลนด์, ออสเตรีย, เยอรมนี, ฝรั่งเศส, เบลเยียม, กรีซ, ลักเซมเบิร์ก และอิตาลี

ในรายงานยังระบุอีกว่า phishing kit (V3B) ได้รับการสนับสนุนจากสถาบันทางการเงินมากกว่า 54 แห่ง โดยใช้ template ที่สามารถกำหนดเองเพื่อเลียนแบบกระบวนการยืนยันตัวตน และการตรวจสอบของระบบธนาคารออนไลน์ และอีคอมเมิร์ซในสหภาพยุโรป โดยราคาของ phishing kit นี้แตกต่างกันระหว่าง $130-$450 ต่อเดือน

การเพิ่มขึ้นของมัลแวร์บนมือถือในช่วงหลายปีที่ผ่านมาได้กระตุ้นให้ทาง Google เปิดตัวแอปใหม่ในสิงคโปร์ที่มีเป้าหมายเพื่อป้องกันไม่ให้ผู้ใช้ติดตั้งแอปบางตัวที่สามารถละเมิดสิทธิ์การใช้งานแอป Android เพื่ออ่าน OTP และรวบรวมข้อมูลที่มีความสำคัญได้

ที่มา : THEHACKERNEWS

นักวิจัยด้านความปลอดภัยทางไซเบอร์เปิดเผยข้อมูลเกี่ยวกับเวอร์ชันใหม่ของ ransomware ที่ชื่อว่า HardBit ซึ่งมาพร้อมกับเทคนิคการซ่อนตัวรูปแบบใหม่เพื่อขัดขวางความพยายามในการวิเคราะห์

Kotaro Ogino และ Koshi Oyama นักวิจัยจาก Cybereason ระบุในรายงานการวิเคราะห์ว่า "ความแตกต่างจากเวอร์ชันก่อนหน้าคือ กลุ่ม HardBit Ransomware ได้ทำการในปรับปรุงเวอร์ชัน 4.0 ด้วยการเพิ่มการป้องกันด้วยรหัสผ่าน"

"จำเป็นจะต้องมีการกรอกรหัสผ่านในระหว่างการทำงานเพื่อให้ ransomware ทำงานได้อย่างถูกต้อง รวมถึงวิธีการซ่อนตัวเพิ่มเติมยังเป็นอุปสรรคต่อนักวิจัยในการวิเคราะห์มัลแวร์"

HardBit ถูกพบครั้งแรกในเดือนตุลาคม 2022 โดยเป็นกลุ่มแฮ็กเกอร์ที่มีแรงจูงใจทางการเงินเช่นเดียวกับกลุ่ม ransomware อื่น ๆ ที่ดำเนินการโดยมีเป้าหมายเพื่อสร้างรายได้ที่ผิดกฎหมายผ่านการขู่เรียกค่าไถ่

สิ่งที่ทำให้กลุ่มนี้แตกต่างออกไปคือ พวกเขาไม่ได้ดำเนินการเผยแพร่ข้อมูลรั่วไหลบนเว็บไซต์ แต่จะใช้วิธีกดดันเหยื่อให้จ่ายเงินโดยขู่ว่าจะโจมตีเพิ่มเติมในอนาคต โดยจะใช้วิธีการสื่อสารกับเหยื่อผ่านทาง Tox instant messaging

ยังไม่ชัดเจนว่ามีการใช้วิธีการใดในการเข้าถึงระบบของเหยื่อในเบื้องต้น แต่คาดว่าน่าจะเป็นการโจมตีในลักษณะ brute force ในบริการ RDP และ SMB

โดยขั้นตอนต่อไปจะเป็นการขโมยข้อมูล credential โดยใช้เครื่องมือ เช่น Mimikatz และ NLBrute และการสแกนเครือข่ายด้วย Advanced Port Scanner ทำให้ผู้โจมตีสามารถโจมตีต่อไปยังภายในเครือข่ายได้โดยใช้ RDP

Varonis ระบุในบทวิเคราะห์ทางเทคนิคเกี่ยวกับ HardBit 2.0 เมื่อปีที่แล้วว่า "เมื่อเข้าถึง host ของเหยื่อได้แล้ว HardBit ransomware จะถูกเรียกใช้ และดำเนินการหลายขั้นตอนที่ลดระดับความปลอดภัยของเครื่องเหยื่อก่อนที่ข้อมูลจะถูกเข้ารหัส"

การเข้ารหัสเครื่องของเหยื่อจะดำเนินการโดยใช้ HardBit ที่ถูกส่งผ่านมัลแวร์ที่รู้จักกันในชื่อ Neshta ซึ่ง Neshta เคยถูกใช้โดยกลุ่มแฮ็กเกอร์ในอดีตเพื่อแพร่กระจาย Big Head ransomware อีกด้วย

HardBit ยังถูกออกแบบมาให้ปิดการทำงานของ Microsoft Defender Antivirus และหยุด processes และ services ต่าง ๆ เพื่อหลีกเลี่ยงการตรวจจับ activities ที่เกิดขึ้น และขัดขวางการกู้คืนระบบ จากนั้นจะเข้ารหัสไฟล์ที่น่าสนใจ, เปลี่ยนไอคอน, เปลี่ยนวอลเปเปอร์เดสก์ท็อป และเปลี่ยนชื่อระบบด้วย string "Locked by HardBit"

นอกจากจะสามารถดำเนินการได้ทั้งในรูปแบบของ command-line หรือ GUI แล้ว ransomware ยังต้องมีการกรอก authorization ID เพื่อให้สามารถทำงานได้สมบูรณ์ รวมถึง GUI ยังรองรับโหมดลบข้อมูล (wiper mode) เพื่อลบไฟล์ และข้อมูลบนฮาร์ดดิสก์อย่างถาวรอีกด้วย

Cybereason ระบุว่า "เมื่อแฮ็กเกอร์ที่นำไปใช้สามารถกรอกรหัส authorization ID ได้ถูกต้อง HardBit จะแจ้งให้ใส่คีย์เข้ารหัสเพื่อเข้ารหัสไฟล์บนเครื่องเป้าหมาย และดำเนินการตามขั้นตอนของ ransomware"

"ฟีเจอร์โหมดลบข้อมูลจำเป็นต้องถูกเปิดใช้งานโดยกลุ่ม HardBit Ransomware และฟีเจอร์นี้น่าจะเป็นฟีเจอร์เพิ่มเติมที่แฮ็กเกอร์ที่นำไปใช้ต้องซื้อเพิ่มหากต้องการโหมดลบข้อมูล โดยจะต้องนำไฟล์ hard.

กลุ่มอาชญากรทางไซเบอร์ที่ได้โจมตีระบบของศูนย์ข้อมูลแห่งชาติอินโดนีเซียในเดือนมิถุนายน สร้างผลกระทบต่อหลายร้อยบริการของรัฐบาล ได้ส่งมอบเครื่องมือถอดรหัสให้โดยไม่คิดค่าใช้จ่าย รวมทั้งระบุถึงคำขอโทษต่อเหตุการณ์ดังกล่าว แต่มีการแนบลิ้งสำหรับการบริจาค เพื่อให้ประชาชน และรัฐบาลสามารถแสดงความขอบคุณต่อความมีน้ำใจของทางกลุ่มได้

“Brain Cipher” เป็นกลุ่มก่ออาชญากรรมทางไซเบอร์ค่อนข้างใหม่ที่ใช้งาน LockBit 3.0 ในเวอร์ชันของกลุ่มเอง โดยสร้าง และดัดแปลงจากเวอร์ชันที่ถูกปล่อยออกมาจากผู้พัฒนาเก่าของทาง LockBit ในปี 2023 ซึ่งถูกนำมาใช้เรียกค่าไถ่กว่า $8 ล้านเหรียญจากประเทศอินโดนีเซีย ก่อนจะเปลี่ยนเป็นการรับบริจาคในครั้งนี้

ศูนย์ข้อมูลแห่งชาติกำลังกลับมาให้บริการอย่างช้า ๆ

ประเทศอินโดนีเซียมีศูนย์ข้อมูลแห่งชาติกว่า 4 แห่ง ซึ่งมีการบริหารจัดการภายใต้มาตรฐานความปลอดภัยสูงสุดของประเทศ และเป็นแหล่งข้อมูลที่เปรียบเสมือนกระดูกสันหลังของการดำเนินงานของรัฐบาลเลยทีเดียว โดยเหตุการณ์ที่เกิดขึ้นคือทางกลุ่มแฮ็กเกอร์ได้เข้าโจมตีศูนย์ข้อมูลแห่งชาติแห่งใหม่ (ชั่วคราว) ซึ่งกำลังดำเนินการก่อสร้างตามมาตรฐานความปลอดภัยสูงสุดของประเทศ พร้อมทั้งติดตั้งแรนซัมแวร์ที่ทำให้ส่งผลกระทบเป็นวงกว้าง ซึ่งกลุ่มผู้ที่ได้รับผลกระทบอย่างรุนแรงทันทีนั้นคือกลุ่มนักท่องเที่ยว กลุ่มผู้สมัครเป็นผู้อพยพ อันเนื่องมาจากระบบของทางสนามบินได้ล่มลงไป แต่ความเสียหายที่เกิดขึ้นไม่ได้เกิดเพียงแค่กับ 2 กลุ่มนี้เท่านั้น ยังส่งผลกระทบไปทุกด้าน ตั้งแต่การอนุญาตด้านการศึกษาไปจนถึงการอนุญาตทางธุรกิจ ซึ่งทั้งหมดนี้คาดว่าต้องใช้เวลาในการกู้ระบบคืนตั้งแต่หลายสัปดาห์ไปจนถึงหลายเดือน

ในวันที่ 4 กรกฎาคม 2024 ที่ผ่านมา กระทรวงการคมนาคม และสารสนเทศ (Ministry of Communications and Informatics - Kominfo) ได้ออกมายืนยันว่าได้รับชุดเครื่องมือถอดรหัสจาก Brain Cipher แล้ว ซึ่งถูกใช้ในการกู้คืน 6 ชุดข้อมูลที่ได้รับผลกระทบของศูนย์ข้อมูลแห่งชาติแล้ว อย่างไรก็ตาม ยังไม่มีประกาศอย่างเป็นทางการว่าชุดเครื่องมือถอดรหัสจะสามารถใช้งานกับระบบ และข้อมูลที่ได้รับผลกระทบได้ทั้งหมด และเป็นที่แน่นอนว่าต้องใช้เวลาในการกู้คืนระบบ และข้อมูลหลายสัปดาห์ กว่า 230 หน่วยงานของรัฐจะสามารถให้บริการได้อย่างเต็มรูปแบบอีกครั้ง ถึงแม้ว่าชุดเครื่องมือจะสามารถใช้งานได้กับทุกระบบ และข้อมูลก็ตาม

Brain Cipher ได้ส่งมอบชุดเครื่องมือถอดรหัสให้ในวันที่ 3 กรกฎาคม 2024 แต่ในโพสต์บน Dark web ยังมีรายละเอียดระบุคำเตือนถึงข้อกำหนด และเงื่อนไขถึง Kominfo ว่าให้รัฐบาลใช้ชุดเครื่องมือในการกู้คืนข้อมูลเพียงเท่านั้น ห้ามขอความช่วยเหลือจากหน่วยงานภายนอก มิเช่นนั้นจะดำเนินการเปิดเผยข้อมูลที่นำออกมาได้แก่สาธารณะ และยังระบุเพิ่มเติมว่านี่จะเป็นครั้งแรก และครั้งสุดท้าย ในการที่กลุ่มนี้จะมอบชุดเครื่องมือถอดรหัสให้โดยไม่มีค่าใช้จ่ายแก่เหยื่อ และยังอวดอ้างถึงความมีน้ำใจของทางกลุ่ม และเชิญชวนให้ทำการบริจาคคริปโตแก่ทางกลุ่ม เพื่อแสดงถึงคำขอบคุณที่ทางกลุ่มมอบชุดเครื่องมือให้

จากเหตุกาณ์ดังกล่าว ยังไม่มีเหตุผลที่ชัดเจนว่าทำไมทางกลุ่มก่ออาชญากรรมทางไซเบอร์ถึงมอบชุดเครื่องมือถอดรหัสให้ เนื่องจากก่อนหน้านี้ทาง Kominfo ไม่ได้มีการติดต่อกับกลุ่ม Brain Cipher เลย ซึ่งเป็นไปได้ว่าเกิดจากการยืนยันปฏิเสธการจ่ายเงินให้แก่กลุ่มแฮ็กเกอร์ และทางกลุ่มแฮ็กเกอร์ก็มองว่าเป็นอีกช่องทางในการหาชื่อเสียงของทางกลุ่มได้พร้อม ๆ กันกับหลีกเลี่ยงกลไกของหน่วยงานบังคับใช้กฏหมายระหว่างประเทศได้ ซึ่งเป็นสาเหตุของการล่มสลายในหลายกลุ่มแรนซัมแวร์ใหญ่ ๆ ในช่วงไม่กี่ปีที่ผ่านมา

รัฐมนตรีช่วยด้านการเมือง กฏหมาย และความมั่นคงของอินโดนีเซีย (Purn) Hadi Tjahjanto ได้ออกแถลงการณ์เมื่อวันที่ 1 กรกฎาคม 2024 ระบุว่าศูนย์ข้อมูลแห่งชาติถูกยึดไปเนื่องจากพนักงานใช้งานรหัสผ่านร่วมกัน และพนักงานคนดังกล่าวคาดว่าจะตกเป็นเป้าหมายในการดำเนินคดีอีกด้วย และจากเหตุการณ์ความเสียหายดังกล่าวได้นำไปสู่การบังคับใช้ระเบียบตามมาตรฐานความมั่นคงแห่งชาติที่เข้มงวดมากยิ่งขึ้นโดยทันที ซึ่งรวมไปถึงการใช้งานระบบเฝ้าระวัง และติดตามความปลอดภัยทางไซเบอร์ของพนักงานรัฐทั้งหมด โดยใช้งานระบบ PDN ที่ได้รับผลกระทบชั่วคราว และขยายระบบสำหรับสำรองข้อมูลของรัฐบาลให้ใหญ่ยิ่งขึ้น ทั้งนี้อธิบดีกรมสารสนเทศประยุกต์ “Samuel Abrijani Pangerapan” ได้ลาออกจากตำแหน่งภายหลังการโจมตีศูนย์ข้อมูลแห่งชาติแล้ว

ระยะเวลาใช้งานชุดเครื่องมือถอดรหัสแรนซัมแวร์ อาจต้องใช้เวลานานพอสมควรเนื่องจากต้องยกระดับความปลอดภัยขององกรค์ไปพร้อม ๆ กันด้วย

เหตุการณ์ความเสียหายที่เกิดขึ้นครั้งนี้ ได้กระตุ้นให้เกิดการทบทวนด้านความมั่นคงปลอดภัยทางไซเบอร์ระดับชาติ ซึ่งนำไปสู่การวิพากษ์วิจารณ์ถึงความหละหลวมมากเกินไปของการดูแลระบบมาระยะหนึ่งแล้ว และประกอบกับอินโดนีเซียได้พบการโจมตีที่เพิ่มขึ้นกว่า 30 ล้านครั้งในช่วงไม่กี่ปีที่ผ่านมา โดยส่วนใหญ่เกิดจาก Phishing หรือการพยายามขโมยข้อมูล credentials ต่าง ๆ ซึ่งผู้ดำรงตำแหน่งทางการเมืองก็ได้รับการวิพากษ์วิจารณ์ในส่วนของการคัดเลือกนักการเมืองที่ไม่มีประสบการณ์ด้าน IT มาทำหน้าที่ พร้อมทั้งความเข้าใจที่ล้าสมัยถึงความอันตรายของการโจรกรรมข้อมูล และอินโดนีเซียยังต้องประสบปัญหาในการสำรองข้อมูลที่ไม่เพียงพอ เนื่องจากไม่มีกฏหมายบังคับหน่วยงานของรัฐให้ดำเนินการเตรียมพร้อมรับมือตามมาตรฐานความปลอดภัยทางไซเบอร์

Brain Cipher ได้เริ่มปฏิบัติการมาตั้งแต่มิถุนายน และการโจมตีศูนย์ข้อมูลแห่งชาตินี้ถือเป็นก้าวสำคัญที่สำเร็จของกลุ่มเลยก็ว่าได้ โดยทางกลุ่มพยายามสร้างชื่อเสียงด้วยการส่งมอบชุดเครื่องมือถอดรหัสให้เหยื่อไปโดยไม่คิดค่าใช้จ่าย เนื่องจากกลุ่มแรนซัมแวร์รายใหญ่ ที่รวมไปถึง LockBit เองด้วย กำลังตกเป็นเป้าหมายหลักของหน่วยงานผู้บังคับใช้กฏหมาย ซึ่งปัจจุบันยังไม่มีข้อมูลเกี่ยวกับกลุ่มนี้มากนัก แต่ดูเหมือนว่าจะมีข้อกำหนด และเงื่อนไขไม่ให้เหยื่อขอความช่วยเหลือจากตำรวจ และนำผู้เจรจาบุคคลที่สามเข้ามามีส่วนร่วม

ที่มา : Cpomagazine

บริษัทนวัตกรรมการเงินทางด้านการแพทย์ HealthEquity ออกมาแจ้งเตือนถึงความเสียหายจากการที่ข้อมูลรั่วไหล หลังบัญชีของพาร์ทเนอทางธุรกิจถูกแฮ็ก และนำมาใช้งานเพื่อเข้าระบบของทางบริษัท และขโมยข้อมูลสุขภาพที่ถูกป้องกันไว้

(more…)

The Zero Day Initiative (ZDI) พบแคมเปญการโจมตีของ DarkGate ในช่วงกลางเดือนมกราคม 2024 ซึ่งใช้ประโยชน์จากช่องโหว่ CVE-2024-21412 ผ่านตัวติดตั้งซอฟต์แวร์ปลอม โดยในวันที่ 13 กุมภาพันธ์ 2024 Microsoft ได้แก้ไขช่องโหว่ Microsoft Defender SmartScreen ซึ่งเกี่ยวกับ internet shortcuts ในภายหลัง หลังจากนั้นกลุ่ม APT ที่รู้จักกันในชื่อ Water Hydra ก็ใช้ช่องโหว่ CVE-2024-21412 เพื่อโจมตีในแคมเปญที่มุ่งเป้าหมายทางด้านการเงิน โดย Bypass Microsoft SmartScreen เพื่อติดตั้ง DarkMe remote access trojan (RAT)

เมื่อไม่นานมานี้ CRIL ได้พบแคมเปญที่กำลังดำเนินการอยู่ซึ่งใช้ประโยชน์จาก internet shortcuts (URL) โดยในแคมเปญนี้ ผู้โจมตีใช้ช่องโหว่ CVE-2024-21412 เพื่อ Bypass Microsoft Defender SmartScreen และติดตั้ง payloads บนระบบของเหยื่อ

การติดมัลแวร์เริ่มต้นด้วยอีเมลสแปมที่ดูเหมือนจะมาจากแหล่งที่เชื่อถือได้ อีเมลนี้ถูกออกแบบมาเพื่อหลอกให้ผู้รับคลิกที่ลิงก์ ซึ่งจะเป็นการเปิดไฟล์ internet shortcut ที่อยู่บน WebDAV share จากภายนอก เมื่อผู้ใช้ดับเบิลคลิกที่ไฟล์ internet shortcut ไฟล์นั้นจะใช้ประโยชน์จากช่องโหว่ CVE-2024-21412 และเรียกใช้ไฟล์ LNK อีกตัวที่อยู่บน WebDAV share เดียวกัน เพื่อเริ่มต้นกระบวนการแพร่กระจายมัลแวร์

การโจมตีนี้ใช้วิธีการที่หลากหลาย โดยใช้ไฟล์สคริปต์ต่าง ๆ เช่น PowerShell และ JavaScript เพื่อส่ง payload ในขั้นตอนสุดท้าย กระบวนการนี้จะนำไปสู่การติดตั้ง payload ที่เป็นอันตรายอย่าง Lumma และ Meduza Stealer ซึ่งเน้นในการเก็บรวบรวมข้อมูลที่มีความสำคัญจากเครื่องของเหยื่อ

เป้าหมายการโจมตี

ผู้โจมตีมีเป้าหมายทั้งบุคคล และองค์กรในภูมิภาค และอุตสาหกรรมต่าง ๆ โดยจากเอกสารปลอมที่พบในแคมเปญนี้ ผู้โจมตีจะมุ่งเป้าหมายไปที่ผู้เสียภาษีในสเปน, บริษัทขนส่ง ด้วยอีเมลที่อ้างว่ามาจากกรมขนส่งสหรัฐฯ และบุคคลในออสเตรเลียโดยการเลียนแบบแบบฟอร์มลงทะเบียน Medicare อย่างเป็นทางการ

การวิเคราะห์ทางเทคนิค

ในแคมเปญนี้ผู้โจมตีจะหลอกให้ผู้ใช้คลิกที่ลิงก์อันตรายที่อยู่ในอีเมลสแปม ลิงก์นี้มีโปรโตคอลการค้นหาที่นำผู้ใช้ไปยัง WebDAV share ซึ่งโฮสต์ไฟล์ Internet Shortcut (.url)

เมื่อผู้ใช้เปิดไฟล์ internet shortcut แล้ว ไฟล์จะใช้ประโยชน์จากช่องโหว่ CVE-2024-21412 เพื่อหลีกเลี่ยง Microsoft Defender SmartScreen และเรียกใช้ไฟล์ LNK ที่โฮสต์อยู่บน WebDAV share เดียวกัน

เมื่อไฟล์ LNK ถูกเรียกใช้งาน มันจะทริกเกอร์ utility forfiles ซึ่งเป็นโปรแกรม Windows ที่ถูกออกแบบมาเพื่อประมวลผลไฟล์เป็นกลุ่ม โดย utility จะค้นหาไฟล์ "win.

ช่องโหว่ Security Bypass ใน Exim Mail Servers ส่งผลกระทบกับระบบกว่า 1.5 ล้านรายการ

Censys แจ้งเตือนการพบ Exim mail transfer agent (MTA) instances กว่า 1.5 ล้านรายการที่มีช่องโหว่ ซึ่งทำให้ Hacker สามารถ bypass security filter ได้

(more…)

Microsoft ออกอัปเดต Patch Tuesday ประจำเดือนกรกฎาคม 2024 แก้ไขช่องโหว่ 142 รายการ เป็น Zero-Days 4 รายการ

Microsoft ออกอัปเดต Patch Tuesday ประจำเดือนกรกฎาคม 2024 โดยได้แก้ไขช่องโหว่ 142 รายการ รวมถึงช่องโหว่ Zero-Days ที่กำลังถูกใช้ในการโจมตี 2 รายการ และพึ่งเปิดเผย 2 รายการ
โดย Patch Tuesday ประจำเดือนกรกฎาคม 2024 มีช่องโหว่ระดับ Critical 5 รายการ

(more…)