PBI Research Services (PBI) ประสบปัญหาการละเมิดข้อมูล โดยมีข้อมูลของบริษัทลูกค้า 3 แห่ง ซึ่งมีข้อมูลผู้ใช้งานกว่า 4.75 ล้านรายรั่วไหลออกสู่สาธารณะ หลัง PBI ถูกโจมตีจากช่องโหว่ของ MOVEit Transfer

เหตุการณ์นี้เกิดขึ้นเมื่อวันเสาร์ที่ 27 พฤษภาคม 2566 กลุ่มแรนซัมแวร์ Clop ได้ใช้ประโยชน์จากช่องโหว่ของ MOVEit Transfer zero-day เพื่อขโมยข้อมูลจากหลายบริษัทในช่วงสัปดาห์ที่ผ่านมา โดยกลุ่ม Clop เริ่มขู่จะเผยแพร่ข้อมูลที่ขโมยมาจากบริษัทต่าง ๆ โดยค่อย ๆ ระบุองค์กรที่ได้รับผลกระทบในเว็บไซต์ข้อมูลรั่วไหลเพื่อเรียกค่าไถ่

โดยบริษัทลูกค้า 3 แห่ง ของ PBI ได้รับการแจ้งว่าข้อมูลที่มีความสำคัญของลูกค้าหลายล้านรายถูกเปิดเผยในการโจมตีครั้งนี้ และตัวเลขนี้อาจเพิ่มขึ้นตามการเปิดเผยเพิ่มเติมของบริษัทอื่นๆ

บริษัทแรกที่ได้รับผลกระทบคือ Genworth Financial ผู้ให้บริการประกันชีวิตในรัฐเวอร์จิเนีย ซึ่งระบุในประกาศด้านความปลอดภัยที่เผยแพร่บนเว็บไซต์ว่า "PBI แจ้งพวกเขาเกี่ยวกับการถูกโจมตีจากช่องโหว่ด้านความปลอดภัยของ MOVEit เมื่อวันจันทร์ที่ 29 พฤษภาคม 2566 และจากการตรวจสอบเมื่อวันศุกร์ที่ 16 มิถุนายน 2566 พบว่ามีข้อมูลส่วนบุคคลของลูกค้าของ Genworth รั่วไหลออกสู่สาธารณะ และส่งผลกระทบต่อผู้ใช้งานราว ๆ 2.5 ถึง 2.7 ล้านราย โดยประกอบด้วยข้อมูลดังต่อไปนี้"

ชื่อ
ที่อยู่
วันเดือนปีเกิด
หมายเลขประกันสังคม
รหัสไปรษณีย์
หมายเลขกรมธรรม์
รหัสตัวแทน (สำหรับตัวแทน)

Genworth ระบุว่าการโจมตีนี้ไม่ส่งผลกระทบต่อระบบ และเครือข่ายของตนเอง หรือส่งผลกระทบต่อการดำเนินธุรกิจ เนื่องจาก Genworth ไม่ได้ใช้ผลิตภัณฑ์ MOVEit หรือ GoAnywhere อย่างไรก็ตาม บุคคลที่ได้รับผลกระทบจะได้รับการแจ้งเตือนเกี่ยวกับการละเมิดข้อมูลในอีกไม่กี่สัปดาห์ข้างหน้า โดยจะมีคำแนะนำในการลงทะเบียนสำหรับบริการตรวจสอบเครดิตฟรี และการป้องกันการโจรกรรมข้อมูลประจำตัวฟรี

บริษัทที่สองที่ได้รับผลกระทบจากการถูกโจมตีของของ PBI คือ Wilton Insurance ผู้ให้บริการประกันภัยในนิวยอร์ก ซึ่งรายงานว่าข้อมูลของลูกค้า 1,482,490 รายถูกขโมย ตามรายงานของสํานักงานอัยการสูงสุดของรัฐเมน ข้อมูลที่ถูกเปิดเผยรวมถึงชื่อลูกค้า และหมายเลขประกันสังคม ทั้งนี้ ตัวอย่างของจดหมายแจ้งเตือนการรั่วไหลข้อมูลจะยังไม่ถูกอัปโหลดไปยังพอร์ทัลของรัฐเมน แต่ Wilton Insurance ได้แจ้งว่าจะให้บริการป้องกันการโจรกรรมข้อมูลส่วนบุคคลฟรี 12 เดือน และบริการตรวจสอบเครดิตผ่าน Kroll แก่บุคคลที่ได้รับผลกระทบ

บริษัทที่สามที่ได้รับผลกระทบจากการถูกโจมตีของ PBI คือ CalPERS (California Public Employee Retirement System) ซึ่งเป็นกองทุนบำเหน็จบำนาญภาครัฐที่ใหญ่ที่สุดในสหรัฐฯ โดยอยู่ระหว่างการแจ้งให้ผู้เกษียณอายุ และผู้รับประโยชน์ทราบถึงเหตุการณ์ที่เกิดขึ้น โดย CalPERS ระบุในประกาศบนเว็บไซต์ว่า เมื่อได้ทราบถึงการละเมิดดังกล่าวก็ตอบสนองต่อสถานการณ์ทันที และดำเนินการเพื่อรักษาผลประโยชน์ และข้อมูลของสมาชิก หน่วยงานกล่าวว่ามีสมาชิกประมาณ 769,000 ราย ได้รับผลกระทบจากเหตุการณ์นี้ โดยทั้งหมดจะได้รับจดหมายแจ้งเตือนพร้อมข้อมูลอย่างละเอียดเกี่ยวกับวิธีการเข้าถึงบริการตรวจสอบเครดิตฟรี 2 ปีผ่าน Experian

PBI Research Services ใช้แอปพลิเคชันถ่ายโอนไฟล์ที่จัดการโดย Progress Software ที่ชื่อ MOVEit Transfer ซึ่งเมื่อปลายเดือนพฤษภาคม Progress Software ตรวจพบช่องโหว่แบบ Zero-day ในซอฟต์แวร์ MOVEit ซึ่งกำลังถูกโจมตีโดยอาชญากรไซเบอร์ โดย PBI ได้แก้ไขช่องโหว่ใน MOVEit ทันที โดยการจัดตั้งทีมผู้เชี่ยวชาญด้านความปลอดภัยทางไซเบอร์ และแจ้งหน่วยงานบังคับใช้กฎหมายของรัฐบาลกลาง และติดต่อลูกค้าที่อาจได้รับผลกระทบเพื่อจัดทำแผนการแจ้งเตือน อย่างไรก็ตาม ผู้โจมตีสามารถเข้าถึงเฉพาะพอร์ทัลการจัดการ MOVEit ที่ได้รับผลกระทบจากช่องโหว่เท่านั้น

ที่มา : bleepingcomputer

กลุ่มแฮ็กเกอร์ชาวจีนที่รู้จักกันในชื่อ Camaro Dragon ถูกพบว่ากำลังแพร่กระจายมัลแวร์สายพันธุ์ใหม่ผ่านทาง USB drive

นักวิจัยจาก Check Point ระบุว่า "โดยปกติแล้วเป้าหมายหลักของกลุ่มผู้โจมตีคือประเทศในเอเชียตะวันออกเฉียงใต้ แต่การค้นพบครั้งล่าสุดนี้เผยให้เห็นถึงการโจมตีไปยังประเทศต่าง ๆ ทั่วโลก รวมไปถึงการแพร่กระจายมัลแวร์ผ่านทาง USB drive"
(more…)

Fortinet บริษัทโซลูชันด้านความปลอดภัยทางไซเบอร์ ออกแพตซ์อัปเดตช่องโหว่ในโซลูชัน Zero-Trust Access ของตนเองที่ชื่อว่า FortiNAC เพื่อแก้ไขช่องโหว่ระดับ Critical ซึ่งผู้โจมตีสามารถใช้เพื่อสั่งรันโค้ด และคำสั่งที่เป็นอันตรายได้

FortiNAC ช่วยให้องค์กรสามารถจัดการกับนโยบายการเข้าถึงเครือข่ายได้อย่างมีประสิทธิภาพ รวมถึงการควบคุมอุปกรณ์ และผู้ใช้งานภายในเครือข่าย และรักษาความปลอดภัยของเครือข่ายจากการเข้าถึงที่ไม่ได้รับอนุญาต

โดยช่องโหว่ดังกล่าวมีหมายเลข CVE-2023-33299 และได้รับคะแนนระดับความรุนแรงของช่องโหว่ที่ 9.6 จาก 10 คะแนน โดยช่องโหว่ดังกล่าวเกิดจากการ deserialization of untrusted data ซึ่งอาจนำไปสู่การเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกล (RCE) โดยไม่ต้องผ่านการตรวจสอบสิทธิ์ของผู้ใช้งาน

โดย Fortinet ระบุว่า "ช่องโหว่ deserialization of untrusted data ใน FortiNAC อาจทำให้ผู้โจมตีที่ไม่ผ่านการตรวจสอบสิทธิ์ สามารถเรียกใช้โค้ด หรือคำสั่งที่ไม่ได้รับอนุญาตผ่าน request ที่ถูกสร้างขึ้นโดยเฉพาะไปยังบริการด้วยพอร์ต TCP/1050"

ผลิตภัณฑ์ที่ได้รับผลกระทบ มีดังนี้

FortiNAC version 9.4.0 ถึง 9.4.2
FortiNAC version 9.2.0 ถึง 9.2.7
FortiNAC version 9.1.0 ถึง 9.1.9
FortiNAC version 7.2.0 ถึง 7.2.1
FortiNAC 8.8 ทุกรุ่น
FortiNAC 8.7 ทุกรุ่น
FortiNAC 8.6 ทุกรุ่น
FortiNAC 8.5 ทุกรุ่น
FortiNAC 8.3 ทุกรุ่น

เวอร์ชันที่แนะนำให้อัปเกรดเพื่อจัดการกับความเสี่ยงที่เกิดขึ้นจากช่องโหว่ มีดังนี้

FortiNAC 9.4.3 ขึ้นไป
FortiNAC 9.2.8 ขึ้นไป
FortiNAC 9.1.10 ขึ้นไป
FortiNAC 7.2.2 ขึ้นไป

เนื่องจากทาง Fortinet ไม่ได้ให้คำแนะนำเกี่ยวกับการแก้ไขปัญหาแบบชั่วคราว ดังนั้นแนะนำให้รีบอัปเดตแพตซ์เพื่อป้องกันการถูกโจมตีจากช่องโหว่ดังกล่าว

(more…)

บริษัทด้านความปลอดภัยทางไซเบอร์ Deep Instinct กำลังติดตามมัลแวร์ใหม่ที่ชื่อ PindOS ซึ่งชื่อนี้อยู่ในสตริงของ "User-Agent"

โดย Bumblebee และ IcedID ทำหน้าที่เป็น loaders เพื่อเป็น Attack Vector สำหรับมัลแวร์ตัวอื่น ๆ บนเครื่องโฮสต์ที่ถูกโจมตี รวมไปถึงการทำงานของ ransomware ด้วย โดยรายงานล่าสุดจาก Proofpoint ระบุว่า IcedID ยกเลิกคุณสมบัติการฉ้อโกงทางธนาคารเพื่อมุ่งเน้นไปที่เฉพาะการส่งมัลแวร์เพียงอย่างเดียว

(more…)

พบช่องโหว่ด้านความปลอดภัยระดับ Critical ใน WordPress ** ปลั๊กอินที่ชื่อ "Abandoned Cart Lite for WooCommerce" ซึ่งถูกติดตั้งบนเว็บไซต์มากกว่า 30,000 แห่ง

นักวิจัยจาก Wordfence ระบุว่าช่องโหว่ดังกล่าวทำให้ผู้โจมตีสามารถเข้าถึงบัญชีของผู้ใช้งานที่ไม่ดำเนินการคำสั่งซื้อให้เสร็จสิ้น และเหลือสินค้าไว้ที่รถเข็น ซึ่งโดยปกติจะเป็นลูกค้าทั่วไป แต่ยังมีบางเงื่อนไขที่สามารถโจมตีไปยังผู้ใช้งานที่มีสิทธิ์สูงได้
(more…)

ASUS ออกแพตซ์แก้ไขช่องโหว่ระดับ Critical ในเราเตอร์บางรุ่น โดยแนะนำให้ผู้ใช้งานทำการติดตั้งการอัปเดตเฟิร์มแวร์ทันที ซึ่งรุ่นที่ได้รับผลกระทบได้แก่ GT6, GT-AXE16000, GT-AX11000 PRO, GT-AX6000, GT-AX11000, GS-AX5400, GS-AX3000, XT9, XT8, XT8 V2, RT-AX86U PRO, RT-AX86U, RT-AX86S, RT-AX82U, RT-AX58U, RT-AX3000, TUF-AX6000 และ TUF-AX5400

บริษัทได้ออกอัปเดตเฟิร์มแวร์ เพื่อแก้ไขช่องโหว่ 9 รายการ ได้แก่ CVE-2023-28702, CVE-2023-28703, CVE-2023-31195, CVE-2022-46871, CVE-2022-38105, CVE-2022-35401, CVE-2018 -1160, CVE-2022-38393 และ CVE-2022-26376

และมี 2 ช่องโหวที่มีระดับ Critical (CVSS 9.8/10) รายละเอียดดังนี้

CVE-2022-26376 เป็นช่องโหว่ Memory corruption ที่อยู่ในฟังก์ชัน httpd unescape ของ Asuswrt ในเวอร์ชันก่อน 3.0.0.4.386_48706 และ Asuswrt-Merlin New Gen ในเวอร์ชันก่อน 386.7 โดยผู้โจมตีสามารถทำการโจมตีได้โดยการส่งคำขอ HTTP ที่สร้างขึ้นเป็นพิเศษ ไปยังเราเตอร์ที่ได้รับผลกระทบ ซึ่งจะทำให้เกิด Memory corruption
CVE-2018-1160 เป็นช่องโหว่ Out-Of-Bounds Write ที่อยู่ใน dsi_opensess.

เมื่อสองสัปดาห์ก่อน VMware ออกคำแนะนำด้านความปลอดภัย เพื่อเตือนผู้ใช้งานถึงช่องโหว่ Remote Code Execution (RCE) ระดับ Critical ที่มีหมายเลข CVE-2023-20887 ซึ่งได้รับการอัปเดตแพตซ์แก้ไขไปแล้วก่อนหน้านี้ เนื่องจากผู้โจมตีกำลังใช้ประโยชน์จากช่องโหว่ดังกล่าวในการโจมตีอยู่ในปัจจุบัน (more…)

นักวิจัยด้าน Cybersecurity ค้นพบ Payload ที่ไม่เคยถูกพบมาก่อน ซึ่งเกี่ยวข้องกับกลุ่มผู้โจมตีชาวโรมาเนียที่มีชื่อว่า Diicot ซึ่งสามารถนำมาใช้โจมตีในรูปแบบ Distributed Denial-of-Service (DDoS) ได้

นักวิจัยจาก Cado Security ระบุว่า "ชื่อ Diicot มาจากชื่อของหน่วยงานด้านอาชญากรรม และต่อต้านการก่อการร้ายในโรมาเนีย ซึ่งหลักฐานจากการดำเนินงานของกลุ่มนี้ประกอบไปด้วยข้อความ และภาพที่เกี่ยวข้องกับองค์กรดังกล่าว"

Diicot (née Mexals) ถูกพบครั้งแรกโดย Bitdefender ในเดือนกรกฎาคม 2021 ซึ่งผู้โจมตีใช้เครื่องมือ SSH brute-forcer ที่ใช้ภาษา Go โดยเรียกเครื่องมือนี้ว่า Diicot Brute เพื่อเจาะเข้าสู่ host ของ Linux ซึ่งเป็นส่วนหนึ่งของแคมเปญ cryptojacking

ในเดือนเมษายนที่ผ่านมา บริษัท Akamai ระบุว่าเป็นการกลับมาอีกครั้งของแคมเปญการโจมตีในปี 2021 ซึ่งเชื่อว่าเริ่มต้นขึ้นประมาณเดือนตุลาคม 2022 โดยสร้างรายได้ให้กับผู้โจมตีไปแล้วประมาณ 10,000 ดอลลาร์สหรัฐ

Stiv Kupchik นักวิจัยจาก Akamai ระบุว่า "ผู้โจมตีเคยใช้ Payload การโจมตีแบบต่อเนื่องเพื่อติดตั้ง Monero cryptominer ซึ่งความสามารถใหม่ในครั้งนี้ ได้แก่ การใช้ Secure Shell Protocol (SSH) ในรูปแบบ worm module, การปกปิดการทำงานของ Payload ที่ดีขึ้น และ LAN spreader module รูปแบบใหม่"

การวิเคราะห์ล่าสุดจาก Cado Security แสดงให้เห็นว่ากลุ่มผู้โจมตีนี้กำลังใช้งาน Botnet ชนิดที่หาได้ง่าย และพร้อมใช้งานที่ชื่อว่า Cayosin ซึ่งเป็นตระกูลมัลแวร์ที่มีลักษณะคล้ายกับ Qbot และ Mirai

โดยการพัฒนาในรูปแบบนี้เป็นสัญญาณว่ากลุ่มผู้โจมตีจะมีความสามารถในการโจมตีแบบ DDoS ได้ด้วย ซึ่งพฤติกรรมอื่น ๆ ที่กลุ่มนี้ดำเนินการได้ รวมถึงการเปิดเผยข้อมูลส่วนตัวของกลุ่ม Hacker คู่แข่ง และการใช้แอปพลิเคชัน Discord เพื่อรับส่งคำสั่ง และขโมยข้อมูลจากเครื่องของเหยื่อ

แคมเปญการโจมตีใหม่นี้มุ่งเป้าหมายที่เป็น Router ที่ใช้ระบบปฏิบัติการ Linux-based สำหรับ embedded devices ด้วยโอเพนซอร์ซอย่าง OpenWrt ซึ่งการนำ Cayosin มาใช้ แสดงให้เห็นถึงความตั้งใจของ Diicot ที่จะทำการโจมตีด้วยรูปแบบที่หลากหลาย (ไม่ใช่แค่ cryptojacking) ขึ้นอยู่กับประเภทของเป้าหมายที่พวกเขาพบ

โดยขั้นตอนในการโจมตีของ Diicot ยังคงสอดคล้องกับรูปแบบเดิม โดยมักใช้เครื่องมือ SSH brute-forcing ที่ปรับเเต่งขึ้นมาเองในการเข้าถึงระบบ และแพร่กระจาย malware เพิ่มเติม เช่น Mirai variant และ crypto miner

เครื่องมืออื่น ๆ ที่ใช้โดยผู้โจมตีมีดังนี้

Chrome - เป็นเครื่องมือสแกนจากอินเทอร์เน็ตที่ใช้เทคโนโลยี Zmap ซึ่งสามารถเขียนผลลัพธ์ของการทำงานลงในไฟล์ข้อความ ("bios.

โดยทั่วไปผู้ไม่หวังดีจะใช้เว็บไซต์ฟิชชิงปลอมในการแพร่กระจายมัลแวร์ เพราะเป็นเรื่องง่ายในการหลอกล่อเหยื่อให้คลิกลิงค์ที่อยู่ในอีเมลฟิชชิง หรือ SMS และมีหลายกรณีที่ผู้ไม่หวังดีปลอมตัวเป็นตัวแทนของผลิตภัณฑ์ หรือแบรนด์ยอดนิยมเพื่อหลอกล่อเหยื่อ สร้างความน่าเชื่อถือ และความถูกต้องเพื่อหลอกผู้ใช้ที่ไม่ได้ระมัดระวัง

Cyble Research and Intelligence Labs (CRIL) รายงานไว้ก่อนหน้านี้ว่าได้ค้นพบเว็บไซต์ฟิชชิงจำนวนมากที่มุ่งเป้าหมายไปที่แอปพลิเคชันต่าง ๆ เช่น เกม, VPN, Remote Desktop (RDP), Video conferencing, เครื่องมือ Converter ออนไลน์ และอื่น ๆ โดยในแคมเปญล่าสุดผู้โจมตีมุ่งเป้าหมายไปที่ผู้ใช้งานแอปพลิเคชัน VPN ซึ่งเป็นเทคโนโลยีที่ช่วยให้ผู้ใช้สามารถสร้างการเชื่อมต่อเครือข่ายที่ปลอดภัย และเป็นส่วนตัว ผ่านเครือข่ายสาธารณะ เช่น อินเทอร์เน็ต เมื่อผู้ใช้เชื่อมต่อกับ VPN ข้อมูลของผู้ใช้จะถูกเข้ารหัสให้เป็นความลับ และป้องกันไม่ให้ถูกดักฟัง หรือการตรวจสอบการเชื่อมต่อได้

เมื่อเร็ว ๆ นี้ CRIL พบการมีอยู่ของเว็บไซต์ของ LetsVPN ปลอมจำนวนมาก ในระหว่างการตรวจสอบหาความเสี่ยง ซึ่งเว็บไซต์ปลอมเหล่านี้มีอินเตอร์เฟซผู้ใช้ร่วมกัน และถูกออกแบบมาเพื่อแพร่กระจายมัลแวร์โดยเฉพาะ โดยปลอมเป็นแอปพลิเคชัน LetsVPN

LetsVPN เป็นแอปพลิเคชัน VPN ที่พัฒนาโดย LetsGo Network ซึ่งมีจุดประสงค์เพื่อเสริมสร้างประสบการณ์ในการใช้งานอินเทอร์เน็ต โดยจะให้การเชื่อมต่อความเร็วสูงพร้อมกับการรักษาความปลอดภัยของอุปกรณ์ผู้ใช้ โดย LetsVPN มีฟังก์ชันที่หลากหลาย เช่น ฟังก์ชันการเชื่อมต่อแบบ Peer-to-Peer, รองรับโปรโตคอลหลายรูปแบบ, ความสามารถในการเรียกดูเว็บไซต์ในภาษาต่าง ๆ, ฟังก์ชันการตัดการเชื่อมต่อ (kill switch) เพื่อเพิ่มความปลอดภัย, ตัวเลือกการจัดการนโยบาย (policy management options) และอื่น ๆ

โดยเว็บไซต์ฟิชชิงมีลักษณะคล้ายกับเว็บไซต์ LetsVPN ทั้งในด้านการดีไซน์ และลักษณะภายนอก ดังที่แสดงในรูปด้านล่าง

รูปด้านล่างแสดงข้อมูล "Whois" ของโดเมนฟิชชิง ซึ่งแสดงให้เห็นว่าโดเมนนี้ถูกลงทะเบียนเมื่อเร็ว ๆ นี้ และมุ่งเป้าหมายไปที่ผู้ใช้ LetsVPN

การวิเคราะห์

มีการระบุว่ามีเว็บไซต์ฟิชชิงหลายแห่งที่ปลอมเป็นเว็บไซต์ LetsVPN ซึ่งเว็บไซต์ฟิชชิงเหล่านี้ถูกออกแบบมาเพื่อหลอกล่อเหยื่อ และล่อลวงให้เหยื่อดาวน์โหลดมัลแวร์ที่เป็นอันตราย

Payload: BlackMoon

เว็บไซต์ LetsVPN ปลอมที่ใช้งานอยู่ในปัจจุบัน

letsvpn[.]club
letsvpn[.]cyou

เว็บไซต์ปลอมเหล่านี้ใช้ในการแพร่กระจายเพย์โหลด BlackMoon banking trojan ซึ่งปลอมตัวเป็นแอปพลิเคชัน VPN ที่ถูกต้อง และสามารถดาวน์โหลดได้ผ่าน URL ต่อไปนี้

hxxps[:]//letsvpn[.]club/kuaiVPN[.]rar
hxxps[:]//letsvpn[.]cyou/down/kuaiVPN[.]rar

BlackMoon หรือที่รู้จักกันในชื่อ KRBanker เป็น banking trojan ที่เน้นการขโมยข้อมูลสำคัญที่เกี่ยวข้องกับการทำธุรกรรมทางการเงิน และธนาคารออนไลน์ ซึ่งถูกพบครั้งแรกในช่วงต้นปี 2014 โดย BlackMoon มีการพัฒนาอยู่ตลอดเวลา โดยใช้วิธีการ และเทคนิคหลายอย่างในการแพร่กระจาย และดักจับข้อมูลประจำตัว กลุ่มเป้าหมายหลักของมัลแวร์ตัวนี้คือบุคคล และองค์กรที่ใช้บริการธนาคารออนไลน์

เพื่อทำให้คอมพิวเตอร์ หรืออุปกรณ์ของเหยื่อติดมัลแวร์นั้น BlackMoon ใช้วิธีการต่าง ๆ รวมถึงการแนบไฟล์ที่เป็นอันตรายในอีเมล, เครื่องมือ Exploit หรือเว็บไซต์ที่ถูกโจมตี เมื่อทำการติดตั้งสำเร็จ โทรจันจะทำงานอย่างลับ ๆ ในเบื้องหลัง โดยซ่อนการทำงานไม่ให้ผู้ใช้งานสังเกตเห็น

มัลแวร์ BlackMoon มีความสามารถต่าง ๆ ที่ช่วยให้สามารถดำเนินกิจกรรมที่เป็นอันตรายได้ ดังนี้

การบันทึกแป้นพิมพ์ (Keylogging) : BlackMoon จะดักจับแป้นพิมพ์ที่เหยื่อป้อนเข้ามา รวมถึงชื่อผู้ใช้, รหัสผ่าน และข้อมูลสำคัญอื่น ๆ ข้อมูลที่ถูกขโมยมาจะถูกส่งไปยัง C2 Server ของผู้โจมตี
การแทรกสคริปต์เว็บ (Web Injection) : BlackMoon สามารถแก้ไขเนื้อหาที่แสดงโดยเว็บเบราว์เซอร์ของเหยื่อ ทำให้สามารถแก้ไข หรือเพิ่มเติมเนื้อหาของหน้าเว็บที่เกี่ยวข้องกับธนาคารออนไลน์ ทำให้ผู้โจมตีสามารถเข้าถึงข้อมูลเพิ่มเติม เช่น รหัสความปลอดภัย หรือรายละเอียดการทำธุรกรรม
การเข้าถึงระยะไกล (Remote Access) : โทรจันจะให้การเข้าถึงระยะไกลแก่ผู้โจมตี ทำให้สามารถควบคุมระบบที่โดนโจมตี และนำข้อมูลออกไป หรือดำเนินกิจกรรมที่อันตรายอื่น ๆ
การยึดบัญชี (Account Hijacking) : BlackMoon อาจพยายามเข้าควบคุมบัญชีธนาคารออนไลน์ของเหยื่อ ทำให้ผู้โจมตีสามารถทำธุรกรรมที่ไม่ถูกต้อง หรือเข้าถึงข้อมูลการเงินที่สำคัญได้โดยไม่ได้รับอนุญาต

Payload: Backdoor.

หน่วยงานรัฐบาลในภูมิภาคตะวันออกกลาง และแอฟริกา ตกเป็นเป้าหมายการโจมตีทางไซเบอร์อย่างต่อเนื่อง โดยผู้โจมตีใช้เทคนิคการขโมยข้อมูลของผู้ใช้งาน และเทคนิคการขโมยข้อมูลออกจากระบบ Exchange email ที่มีลักษณะที่ไม่เคยถูกพบมาก่อน และหาได้ยาก

Lior Rochberger นักวิจัยจาก Palo Alto Networks ระบุในรายงานการศึกษาเจาะลึกทางเทคนิคที่เผยแพร่ในสัปดาห์ที่ผ่านมาว่า "เป้าหมายหลักของการโจมตี คือการได้รับข้อมูลที่เป็นความลับ และมีความสำคัญสูง โดยเฉพาะเกี่ยวกับนักการเมือง กิจกรรมทางทหาร และกระทรวงการต่างประเทศ"

ทีมวิจัยภัยคุกคามของ Cortex ติดตามพฤติกรรมภายใต้ชื่อชั่วคราวว่า CL-STA-0043 (คำว่า CL หมายถึงคลัสเตอร์ (Cluster) และคำว่า STA หมายถึงกลุ่มที่ได้รับการสนับสนุนจากภาครัฐ (State-Backed Motivation))

กระบวนการโจมตีเริ่มต้นจากการใช้ช่องโหว่ในระบบ Internet Information Services (IIS) และ Microsoft Exchange สำหรับการเจาะระบบเครือข่ายของเป้าหมาย

Palo Alto Networks รายงานว่า ตรวจพบการพยายามที่ไม่สำเร็จในการเรียกใช้ China Chopper web shell ในการโจมตีหนึ่งครั้ง ซึ่งทำให้ผู้โจมตีเปลี่ยนกลยุทธ์ไปใช้การโจมตีจาก Visual Basic Script บน Exchange Server แทน

เมื่อทำการโจมตีได้สำเร็จ ผู้โจมตีจะทำการสำรวจข้อมูลบนเครือข่าย และเลือกเฉพาะเซิร์ฟเวอร์ที่เก็บข้อมูลสำคัญ รวมถึง Domain Controllers, web servers, Exchange servers, FTP servers, และ SQL databases

CL-STA-0043 ยังมีการใช้ประโยชน์จากเครื่องมือภายในของ Windows เพื่อเพิ่มสิทธิ์การเข้าถึง ทำให้สามารถสร้างบัญชีผู้ดูแลระบบ และเรียกใช้โปรแกรมอื่น ๆ ด้วยสิทธิ์ที่สูงขึ้นได้

วิธีการเพิ่มสิทธิ์การเข้าถึงอีกวิธีหนึ่งคือการใช้งานคุณลักษณะในการเข้าถึงใน Windows ซึ่งเรียกว่า "sticky keys" utility (sethc.