Qbot Malware กลับมาอีกครั้ง โดยมุ่งเป้าไปที่อุตสาหกรรมการบริการ

พบ Qbot Malware กลับมาอีกครั้ง ภายหลังจากที่ถูกระงับปฏิบัติการไปในเดือนสิงหาคม 2023 โดยหน่วยงานบังคับใช้กฎหมายนานาชาติที่เรียกว่า Operation Duck Hunt โดยได้เข้าถึงเซิร์ฟเวอร์ของผู้ดูแลระบบของ QakBot และโครงสร้างพื้นฐานของ Botnet ซึ่งภายหลังจากสามารถเข้าถึง encryption key ของ Botnet ที่ใช้สำหรับการสื่อสารระหว่าง C2 Server กับ Botnet เพื่อส่ง custom Windows DLL ไปยังอุปกรณ์ที่ถูกโจมตี ทาง FBI ก็ได้ปิดระบบของ Qbot ลง ตั้งแต่นั้นมาก็ไม่พบรายงานการโจมตีของ Qbot อีกเลย จนกระทั่งพบการกลับมาของแคมเปญ Qbot ใหม่อีกครั้งในวันที่ 11 ธันวาคม 2023

การกลับมาของ Qbot

Microsoft แจ้งเตือนว่าได้พบการโจมตี phishing campaign ของ QakBot กลับมาอีกครั้ง โดยได้ปลอมเป็นอีเมลจากพนักงาน IRS ซึ่งพบการโจมตีของแคมเปญดังกล่าวตั้งแต่วันที่ 12 ธันวาคม ทั้งนี้ Microsoft พบว่าแคมเปญการโจมตีของ Qbot ได้มุ่งเป้าหมายไปยังอุตสาหกรรมทางด้านการบริการ

โดยสิ่งที่ถูกแนบมากับอีเมลคือไฟล์ PDF ที่เป็นอันตราย ที่ปลอมแปลงเป็นรายชื่อที่ระบุว่า "Document preview is not available," และแจ้งให้เป้าหมายดาวน์โหลดไฟล์ PDF เพื่อเปิดดูเอกสาร ทั้งนี้เมื่อเป้าหมายทำการดาวน์โหลด ไฟล์ MSI จะถูกติดตั้ง เมื่อติดตั้งเสร็จสิ้นก็จะทำการเรียกใช้งาน Qakbot malware DLL ลงใน memory

รวมถึง Microsoft ได้พบว่า DLL ดังกล่าวถูกสร้างขึ้นมาในวันที่ 11 ธันวาคม 2023 ซึ่งเป็นวันเดียวกับที่เริ่มพบ phishing campaign โดยใช้ชื่อแคมเปญว่า “tchk06” และมี C2 Server ดังนี้ : 45[.]138[.]74[.]191:443 และ 65[.]108[.]218[.]24:443 รวมถึงยังพบว่าเพย์โหลดของ Qakbot ยังได้ถูกตั้งค่าด้วยเวอร์ชัน 0x500 ซึ่งไม่เคยถูกพบมาก่อน แสดงถึงการพัฒนาของ Qakbot

ทั้งนี้นักวิจัยด้านความปลอดภัย Pim Trouerbach และ Tommy Madjar ยังได้ยืนยันว่าเพย์โหลดของ Qakbot ที่กำลังถูกใช้ในการโจมตีอยู่นั้นเป็นเวอร์ชันใหม่ที่มีการเปลี่ยนแปลงอัปเดตเพิ่มขึ้นเล็กน้อยใน QakBot DLL ใหม่ รวมถึงการใช้ AES เพื่อถอดรหัสสตริงแทนที่จะเป็น XOR แบบในเวอร์ชันก่อนหน้านี้ แต่นักวิจัยยังพบว่าเวอร์ชันใหม่ยังอยู่ระหว่างการพัฒนา เนื่องจากยังมีข้อผิดพลาดบางประการอยู่ สิ่งเหล่านี้แสดงให้เห็นถึงความพยายามในการกลับมาของ Qbot ดังนั้นผู้ดูแลระบบจึงควรเฝ้าระวังการโจมตีจาก phishing email อย่างสม่ำเสมอ

Qbot malware คืออะไร

QakBot หรือที่รู้จักในชื่อ Qbot เริ่มต้นจากการเป็น banking trojan ในปี 2021 โดยกลุ่ม Hacker ได้พัฒนามัลแวร์ดังกล่าวเพื่อขโมยข้อมูล credentials ของธนาคาร คุกกี้ของเว็บไซต์ และข้อมูลบัตรเครดิต เพื่อการฉ้อโกงทางการเงิน ต่อมา Qbot ได้ถูกพัฒนาเป็น malware-as-a-Service โดยร่วมมือกับ Hacker กลุ่มอื่น ๆ เพื่อนำมาใช้ในการเข้าถึงเครือข่ายในเบื้องต้นสำหรับการโจมตีด้วยแรนซัมแวร์ การจารกรรม หรือการขโมยข้อมูล

QakBot ใช้การโจมตีแบบ phishing campaign ที่ใช้เหยื่อล่อหลากหลายรูปแบบ รวมถึงการโจมตีด้วยอีเมลตอบกลับ โดยใช้อีเมลที่ถูกแฮ็กในการโจมตี แล้วตอบกลับด้วยข้อความของตนเอง และแนบเอกสารที่เป็นอันตราย หรือลิงก์เพื่อดาวน์โหลดไฟล์ที่เป็นอันตรายซึ่งจะติดตั้งมัลแวร์ Qakbot บนอุปกรณ์ของเป้าหมาย เช่น เอกสาร Word หรือ Excel ที่มี macro อันตราย, OneNote ไฟล์ที่มีไฟล์ฝังอยู่, ไฟล์แนบ ISO พร้อมไฟล์ปฏิบัติการ และ Windows shortcut บางส่วนยังได้รับการออกแบบให้สามารถโจมตีผ่านช่องโหว่ Zero-day ใน Windows ได้อีกด้วย

เมื่อเป้าหมายทำการติดตั้งไฟล์อันตรายแล้ว มัลแวร์จะแทรก DLL เข้าไปใน Process ของ Windows ปกติ เช่น wermgr.

Kinsta ผู้ให้บริการ WordPress hosting แจ้งเตือนลูกค้าว่ามีผู้พบเห็นโฆษณาบน Google ในการโปรโมตเว็บไซต์ฟิชชิ่ง เพื่อขโมย hosting credentials

Kinsta ระบุว่า การโจมตีแบบฟิชชิ่งมีจุดมุ่งหมายเพื่อขโมยข้อมูล credentials การเข้าสู่ระบบของ MyKinsta ซึ่งเป็นบริการที่สำคัญของบริษัทในการจัดการ WordPress และแอปพลิเคชันบนคลาวด์อื่น ๆ (more…)

มัลแวร์ภาษา Go-based multi-platform ตัวใหม่ "NKAbuse" ซึ่งเป็นมัลแวร์ตัวแรกที่ใช้เทคโนโลยี NKN (New Kind of Network) ในการรับส่งข้อมูล ทำให้เป็นภัยคุกคามที่ยากต่อการตรวจจับ

NKN เป็นโปรโตคอลเครือข่ายแบบ peer-to-peer แบบ decentralized ที่ค่อนข้างใหม่ ซึ่งมีการใช้เทคโนโลยี blockchain เพื่อจัดการทรัพยากร และรักษาความปลอดภัยของการทำงานบนเครือข่าย
(more…)

กลุ่มแฮ็กเกอร์ที่ปรากฏตัวขึ้นใหม่ภายใต้ชื่อ "GambleForce" กำลังโจมตีบริษัทต่างๆ ในภูมิภาคเอเชียแปซิฟิก (APAC) ด้วยวิธี SQL Injection ตั้งแต่เดือนกันยายน 2023

บริษัท Group-IB จากประเทศสิงคโปร์ ระบุไว้ในรายงานที่แชร์กับ The Hacker News ว่า "GambleForce ใช้ชุดเทคนิคพื้นฐาน แต่มีประสิทธิภาพสูง รวมถึงการโจมตีแบบ SQL injection และการใช้ประโยชน์จากช่องโหว่ใน website content management systems (CMS) เพื่อขโมยข้อมูลสำคัญ เช่น ข้อมูล credentials ของผู้ใช้"
(more…)

กลุ่ม Hacker ที่ได้รับการสนับสนุนจากรัฐบาลจีน (APT) ที่รู้จักกันในชื่อ Volt Typhoon (Bronze Silhouette) ได้ถูกเชื่อมโยงเข้ากับ Botnet ที่มีความสามารถขั้นสูงในชื่อ 'KV-botnet' ซึ่งถูกใช้ในการโจมตีเราเตอร์ SOHO ในเป้าหมายที่มีมูลค่าสูงมาตั้งแต่ปี 2022

Volt Typhoon จะกำหนดเป้าหมายการโจมตีไปยังเราเตอร์, ไฟร์วอลล์ และอุปกรณ์ VPN โดยเชื่อมต่อไปยัง proxy traffic ที่เป็นอันตราย และผสมผสานกับการรับส่งข้อมูลที่เป็นปกติเพื่อไม่ให้ถูกตรวจพบ
(more…)

Microsoft ออกแพตซ์อัปเดต Patch Tuesday ประจำเดือนธันวาคม ซึ่งได้อัปเดตช่องโหว่ด้านความปลอดภัยทั้งหมด 34 รายการ และช่องโหว่ Zero-Day ของ CPU AMD 1 รายการ

โดยช่องโหว่การเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกล Remote Code Execution (RCE) 8 รายการที่ได้รับการแก้ไขนั้น มีเพียง 3 รายการที่ Microsoft จัดว่าอยู่ในระดับ Critical แต่รวมแล้วในเดือนนี้มีช่องโหว่ที่มีระดับความรุนแรง Critical ทั้งหมด 4 รายการ ได้แก่ ช่องโหว่ใน Power Platform (Spoofing) 1 รายการ, ช่องโหว่ ใน Internet Connection Sharing (RCE) 2 รายการ และช่องโหว่ใน Windows MSHTML Platform (RCE) 1 รายการ
(more…)

นักวิจัยจาก Vrije Universiteit Amsterdam ได้เปิดเผยการโจมตีแบบ side-channel attack รูปแบบใหม่ ที่เรียกว่า SLAM ซึ่งสามารถถูกใช้เพื่อขโมยข้อมูลสำคัญจาก kernel memory บน CPU รุ่นปัจจุบัน และรุ่นต่อไปของ Intel, AMD และ Arm ได้

การโจมตีนี้เป็นการโจมตีแบบ end-to-end สำหรับ Spectre based โดยอาศัยฟีเจอร์ใหม่ใน CPU Intel ที่เรียกว่า Linear Address Masking (LAM) รวมถึงคุณลักษณะที่คล้ายกันจาก AMD ที่เรียกว่า Upper Address Ignore (UAI) และ Arm ที่เรียกว่า Top Byte Ignore (TBI)

(more…)

U.S. Cybersecurity and Infrastructure Security Agency หรือ หน่วยงานรักษาความปลอดภัยทางไซเบอร์ และโครงสร้างพื้นฐานของสหรัฐอเมริกา (CISA) ได้ออกมาเรียกร้องให้ผู้ผลิตเลิกใช้ Default Password

เนื่องจากมีความเสี่ยงที่ Hacker จะใช้ Default Password ดังกล่าวในการโจมตีเพื่อติดตั้ง Backdoor เพื่อใช้ในการเข้าถึงอุปกรณ์ที่มีช่องโหว่ที่เข้าถึงได้จากอินเทอร์เน็ต โดยทั่วไปแล้ว Default Password จะถูกใช้เพื่อปรับปรุงกระบวนการผลิต หรือช่วยให้ผู้ดูแลระบบสามารถดำเนินการกับอุปกรณ์จำนวนมากภายในสภาพแวดล้อมขององค์กรได้ง่ายขึ้น แต่หากไม่ได้เปลี่ยน Default Password ก็อาจเป็นความเสี่ยงด้านความปลอดภัยที่ Hacker สามารถใช้เพื่อหลีกเลี่ยงมาตรการตรวจสอบสิทธิ์ ซึ่งอาจส่งผลต่อความปลอดภัยของเครือข่ายทั้งหมดขององค์กรได้เช่นเดียวกัน

(more…)

นักวิจัยด้านความปลอดภัยได้พัฒนาเทคนิคการโจมตีใหม่ที่เรียกว่า AutoSpill เพื่อขโมยข้อมูล Credential ของบัญชีผู้ใช้งานบนระบบปฏิบัติการ Android ในระหว่างการทำงานของ Autofill

ในการนำเสนอที่งานประชุมด้านความปลอดภัย Black Hat Europe นักวิจัยจากสถาบันเทคโนโลยีสารสนเทศระดับนานาชาติ (IIIT) ที่เมืองไฮเดอราบัด เปิดเผยผลการทดสอบว่าโปรแกรมจัดการรหัสผ่านส่วนใหญ่สำหรับระบบปฏิบัติการ Android มีช่องโหว่ต่อการโจมตีแบบ AutoSpill แม้ว่าจะไม่ต้องมีการทำ JavaScript injection ก็ตาม

(more…)

Microsoft's Digital Crimes Unit ได้ยึดโดเมนหลายโดเมนที่ถูกใช้โดยกลุ่มอาชญากรทางไซเบอร์จากเวียดนาม (Storm-1152) ซึ่งได้ลงทะเบียนบัญชีปลอมกว่า 750 ล้านบัญชี และทำรายได้หลายล้านดอลลาร์จากการขายบัญชีปลอมเหล่านี้ให้กับอาชญากรทางไซเบอร์รายอื่น ๆ บนโลกออนไลน์

Storm-1152 เป็นผู้ให้บริการอาชญากรรมทางไซเบอร์แบบครบวงจร (cybercrime-as-a-service) ชั้นนำ และเป็นผู้ขายบัญชี Outlook ปลอมอันดับหนึ่ง รวมถึงการบริการที่ผิดกฎหมายอื่น ๆ เช่น บริการแก้ไข CAPTCHA อัตโนมัติเพื่อเลี่ยงการตรวจสอบการใช้งานของ Microsoft (CAPTCHA) และลงทะเบียนบัญชีอีเมล Microsoft ปลอมจำนวนมาก

(more…)