พบมัลแวร์ที่ใช้โจมตี Linux ชื่อว่า 'BPFDoor' เวอร์ชันใหม่ ที่มีความสามารถในการซ่อนเร้นตัวเองดีกว่าเดิม ซึ่งมีการเข้ารหัสที่มีประสิทธิภาพมากขึ้น รวมถึงมีการใช้งาน reverse shell ที่มีประสิทธิภาพมากขึ้นเช่นเดียวกัน

BPFDoor เป็นมัลแวร์ที่มีความสามารถในการการแฝงตัวทำงานมาตั้งแต่ปี 2017 เป็นอย่างน้อย โดยพึ่งถูกค้นพบจากนักวิจัยด้านความปลอดภัยเมื่อประมาณ 12 เดือนที่ผ่านมาเท่านั้น

มัลแวร์ได้ชื่อมาจากการใช้ 'Berkley Packet Filter' (BPF) สำหรับรับคำสั่ง ในขณะเดียวกันกับที่ Bypass ไฟร์วอลล์ที่ใช้ป้องกันการเข้าถึงจากภายนอก

โดยนักวิจัยคาดว่า BPFDoor ได้รับการออกแบบมาเพื่อให้ผู้ไม่หวังดีสามารถแฝงตัวอยู่ในระบบ Linux ได้นานโดยไม่ถูกตรวจพบ

BPFDoor เวอร์ชันใหม่

จนถึงปี 2022 มัลแวร์ใช้การเข้ารหัส RC4, bind shell และ iptables สำหรับการสื่อสาร, ขณะที่คำสั่ง และชื่อไฟล์เป็นแบบ hardcoded แต่เวอร์ชันใหม่ที่ถูกวิเคราะห์โดย Deep Instinct มีคุณสมบัติการเข้ารหัสแบบ static library, การสื่อสารผ่าน reverse shell และคำสั่งทั้งหมดจะถูกส่งมาจาก C2 เซิร์ฟเวอร์

ด้วยการเข้ารหัสแบบ static library นักพัฒนามัลแวร์ได้ใส่ความสามารถในการซ่อนตัว และการหลีกเลี่ยงการตรวจจับ โดยการนำฟีเจอร์ไลบรารี่การเข้ารหัสแบบ RC4 ออกไป

ส่วนข้อได้เปรียบหลักของ Reverse Shell เมื่อเทียบกับ Bind Shell คือจะมีการสร้างการเชื่อมต่อจากโฮสต์ที่ติดมัลแวร์ไปยังเซิร์ฟเวอร์ C2 ของผู้ไม่หวังดี ทำให้สามารถสื่อสารกับเซิร์ฟเวอร์ของผู้ไม่หวงดีได้แม้ว่าจะมีการใช้งานไฟร์วอลล์ก็ตาม

สุดท้ายการลบคำสั่ง hardcoded ออกไป ทำให้ซอฟต์แวร์ป้องกันไวรัสมีโอกาสน้อยลงในการตรวจจับมัลแวร์โดยใช้การวิเคราะห์แบบ static เช่น การตรวจจับด้วย signature-based และในทางทฤษฎีวิธีนี้ยังมีความยืดหยุ่นมาก ทำให้สามารถรองรับชุดคำสั่งที่หลากหลายได้

Deep Instinct รายงานว่า BPFDoor เวอร์ชันล่าสุดไม่ได้มีการรายงานว่าเป็นอันตรายจากเครื่องมือ AV ใด ๆ ที่มีอยู่ใน VirusTotal แม้ว่าจะมีการอัปโหลดขึ้นไปตรวจสอบครั้งแรกบนแพลตฟอร์ม VirusTotal เมื่อเดือนกุมภาพันธ์ 2023

ชั้นตอนการทำงาน

เมื่อทำงานครั้งแรก BPFDoor จะสร้าง และล็อคไฟล์รันไทม์ที่ "/var/run/initd.

กลุ่มอาชญากรทางไซเบอร์ขนาดใหญ่ที่ถูกติดตามในชื่อ "Lemon Group" ถูกรายงานว่ามีการติดตั้งมัลแวร์ล่วงหน้าที่รู้จักกันในชื่อ "Guerilla" บนสมาร์ทโฟน นาฬิกา ทีวี และกล่องทีวีที่ใช้ระบบปฏิบัติการ Android เกือบ 9 ล้านเครื่อง

กลุ่มผู้ไม่หวังดีใช้ Guerilla เพื่อดาวน์โหลดเพย์โหลดที่ใช้ดักจับ OTP (One Time Password) ทาง SMS, ตั้งค่า Reverse Proxy จากอุปกรณ์ที่ติด Malware รวมไปถึงการขโมยเซสชั่น WhatApp และอื่น ๆ

จากรายงานของ Trend Micro ซึ่งนักวิเคราะห์ค้นพบองค์กรอาชญากรทางไซเบอร์ขนาดใหญ่ และนำเสนอรายละเอียดเกี่ยวกับปฏิบัติการของกลุ่มดังกล่าวในการประชุม BlackHat Asia เมื่อเร็ว ๆ นี้

Trend Micro พบว่ามีโทรจัน Triada ซึ่งเป็นโทรจันที่มุ่งเป้าโจมตีธนาคาร ได้ถูกติดตั้งไว้ล่วงหน้าในสมาร์ทโฟน Android 42 รุ่นจากแบรนด์จีนต้นทุนต่ำที่มีการจัดจำหน่ายผลิตภัณฑ์เหล่านั้นไปทั่วโลก

Trend Micro รายงานว่าพวกเขาพบปฏิบัติการของกลุ่ม Lemon Group ครั้งแรกในเดือนกุมภาพันธ์ พ.ศ. 2565 และไม่นานหลังจากนั้น กลุ่มดังกล่าวก็เปลี่ยนชื่อใหม่เป็น "Durian Cloud SMS" อย่างไรก็ตาม โครงสร้างพื้นฐาน และกลยุทธ์การโจมตียังคงไม่เปลี่ยนแปลง

การฝังมัลแวร์

Trend Micro ยังไม่ได้อธิบายเกี่ยวกับรายละเอียดวิธีการของ Lemon Group ที่ใช้ในการติดตั้งเฟิร์มแวร์ที่เป็นอันตรายรวมไปถึง Guerilla แต่ระบุว่าอุปกรณ์ที่นักวิเคราะห์ของพวกเขาได้ตรวจสอบนั้นพบว่าได้รับการเขียนระบบเปิดใช้งานใหม่ (re-flashed) ลงบน ROM ของอุปกรณ์เหล่านั้น

นักวิเคราะห์ระบุว่ามี ROM มากกว่า 50 รายการนั้นมีการติด Malware loader หรือตัวโหลดมัลแวร์ โดยเป้าหมายเป็นผู้ผลิตอุปกรณ์ Android ต่าง ๆ

นักวิจัยเปิดเผยข้อมูลภายในงาน Black Hat talk ของ Trend Micro ว่า "กลุ่มอาชญากรทางไซเบอร์ได้ติดตั้งมัลแวร์ไปยังอุปกรณ์ Android หลายล้านเครื่อง ซึ่งส่วนใหญ่เป็นโทรศัพท์มือถือ แต่ยังรวมถึงนาฬิกาอัจฉริยะ สมาร์ททีวี และอื่น ๆ" คำอธิบาย

"ปฏิบัติการดังกล่าว ทำให้อุปกรณ์เหล่านี้กลายเป็นพร็อกซีบนมือถือ, เครื่องมือสำหรับการขโมย และขายข้อความ SMS, โซเชียลมีเดีย, บัญชีการส่งข้อความออนไลน์, การสร้างรายได้ผ่านโฆษณา และ click fraud"

วิธีที่เป็นไปได้ในการโจมตีนี้คือ supply chain attacks ด้วยการโจมตีไปที่ซอฟต์แวร์ของ third-party, โจมตีกระบวนการอัปเดตเฟิร์มแวร์ หรือใช้บุคลากรภายในของผู้ผลิต หรือ ผู้จัดจำหน่ายสินค้าเอง

Trend Micro ระบุว่าในตอนแรกพวกเขาซื้อโทรศัพท์ Android และแยก "ROM image" ออกมาเพื่อค้นหาเฟิร์มแวร์ที่ถูกแก้ไขโดย Lemon Group

อุปกรณ์ดังกล่าวมีการปรับแต่งในไลบรารีระบบ 'libandroid_runtime.

โปรแกรมจัดการรหัสผ่านยอดนิยม KeePass มีช่องโหว่ที่ทำให้สามารถดึง master password ออกจากหน่วยความจำของแอปพลิเคชันได้ ซึ่งทำให้ผู้โจมตีที่เข้าถึงอุปกรณ์สามารถเรียกดู master password โดยไม่สนว่าฐานข้อมูลจะถูกล็อกอยู่หรือไม่ก็ตาม

ช่องโหว่นี้ถูกพบจากนักวิจัยด้านความปลอดภัยชื่อ 'vdohney' ซึ่งเป็นผู้เผยแพร่ proof-of-concept (PoC) ที่ทำให้ผู้โจมตีสามารถดึงข้อมูล master password ของ KeePass จากหน่วยความจำได้

โปรแกรมจัดการรหัสผ่านจะช่วยให้ผู้ใช้งานสามารถสร้างรหัสผ่านที่ไม่ซ้ำกันสำหรับแต่ละบัญชีออนไลน์ และเก็บข้อมูลแบบเข้ารหัสไว้ในฐานข้อมูลที่ง่ายต่อการค้นหา หรือที่เรียกว่า "password vault" ซึ่งจะช่วยให้ผู้ใช้งานไม่ต้องจำรหัสผ่านแต่ละอัน อย่างไรก็ตามเพื่อรักษาความปลอดภัยของ "password vault" ผู้ใช้ต้องจำเป็นต้องจำ master password ที่ใช้ในการปลดล็อกเพื่อเข้าถึงข้อมูลรหัสผ่านอื่น ๆ

master password จะถูกใช้เพื่อเข้าไปในฐานข้อมูลของ KeePass ต่าง ๆ ได้ เพื่อป้องกันไม่ให้มีการเปิด หรืออ่านข้อมูลได้โดยไม่ต้องป้อนรหัสผ่านก่อน อย่างไรก็ตาม เมื่อ master password ถูกขโมย จึงทำให้ผู้โจมตีสามารถเข้าถึงข้อมูลรหัสผ่านทั้งหมดที่เก็บในฐานข้อมูลได้

ดังนั้นเพื่อให้โปรแกรมจัดการรหัสผ่านมีความปลอดภัยอย่างเหมาะสม สิ่งสำคัญคือผู้ใช้งานจะต้องรักษา master password ไว้เป็นความลับ และไม่แชร์กับผู้อื่น

โดยช่องโหว่ใหม่ของ KeePass ที่มีหมายเลข CVE-2023-3278 ทำให้สามารถดึงข้อมูล master password ของ KeePass ในรูปแบบของข้อความ (cleartext) ยกเว้นตัวอักษรแรก หรือสองตัวอักษรแรก โดยไม่สนว่าการทำงานของ KeePass จะถูกล็อก หรือโปรแกรมจะปิดการทำงานไปแล้ว

"KeePass Master Password Dumper" เป็นเครื่องมือ POC ที่ใช้สำหรับดัมพ์ master password จากหน่วยความจำของ KeePass โดยนักวิจัยด้านความปลอดภัยเตือนว่านอกเหนือจากตัวอักษรแรกของรหัสผ่าน มีความเป็นไปได้สูงที่จะสามารถดึงรหัสผ่านในรูปแบบข้อความออกมาได้

"ไม่จำเป็นต้องมีการประมวลผลโค้ดบนระบบเป้าหมาย เพียงแค่การดัมพ์หน่วยความจำเท่านั้น ไม่ว่าจะเป็นการดัมพ์กระบวนการ (process dump), swap file (pagefile.

PharMerica ผู้ให้บริการด้านเภสัชกรรม ยืนยันการถูกละเมิดข้อมูลจำนวนมากที่ส่งผลกระทบต่อผู้ป่วยกว่า 5.8 ล้านคน

โดย PharMarica เป็นผู้ให้บริการร้านขายยาใน 50 รัฐของสหรัฐอเมริกา ดำเนินการร้านขายยาในพื้นที่ 180 แห่ง และร้านขายยาสำรอง 70,000 แห่ง และให้บริการสถานพยาบาล 3,100 แห่งทั่วประเทศ (more…)

นักวิจัยจาก Cisco Talos เปิดเผยการค้นพบกลุ่ม Hacker Phishing-as-a-Service (PhaaS) ในชื่อ 'Greatness' ที่พบการโจมตีเป็นจำนวนมากไปยังองค์กรเป้าหมายที่ใช้ Microsoft 365 ในสหรัฐอเมริกา แคนาดา สหราชอาณาจักร ออสเตรเลีย และแอฟริกาใต้ (more…)

Microsoft เผยแพร่การอัปเดตด้านความปลอดภัยเพื่อแก้ไขช่องโหว่ Secure Boot zero-day ที่กำลังถูกนำมาใช้ในการโจมตีจาก BlackLotus UEFI malware ซึ่งกำลังแพร่กระจายบนระบบ Windows

Secure Boot เป็นคุณลักษณะด้านความปลอดภัยที่จะ blocks bootloader ที่ไม่น่าเชื่อถือโดย OEM บนคอมพิวเตอร์ที่มีเฟิร์มแวร์ Unified Extensible Firmware Interface (UEFI) และชิป Trusted Platform Module (TPM) เพื่อป้องกัน rootkit ระหว่างกระบวนการ startup process (more…)

นักวิจัยจาก Kroll บริษัทที่ปรึกษาด้านความเสี่ยง พบ Cactus Ransomware ซึ่งเป็น Ransomware กลุ่มใหม่ที่ทำการโจมตีหน่วยงานเชิงพาณิชย์ขนาดใหญ่ โดยใช้ช่องโหว่ในอุปกรณ์ VPN เพื่อการเข้าถึงเครือข่ายเป้าหมาย

Cactus Ransomware เริ่มการโจมตีตั้งแต่เดือนมีนาคม 2023 เป็นอย่างน้อย โดยเป้าหมายคือการเรียกค่าไถ่กลุ่มองค์กรขนาดใหญ่ รวมไปถึงพบว่ากลุ่ม Cactus ยังได้ใช้วิธีการเข้ารหัสตัวเองเพื่อหลบเลี่ยงการตรวจจับจาก Antivirus อีกด้วย (more…)

Dragos บริษัทด้านความปลอดภัยทางไซเบอร์ ออกมาเปิดเผยการค้นพบเหตุการณ์การโจมตีทางไซเบอร์ โดยพบว่ากลุ่ม Hacker พยายามโจมตีเข้ามาในระบบเครือข่าย หลบเลี่ยงการตรวจจับ เพื่อเข้ารหัสข้อมูลอุปกรณ์ในองค์กรในวันที่ 8 พฤษภาคม 2023

โดย Dragos ระบุว่า Hacker ไม่สามารถโจมตีเข้ามาในเครือข่าย หรือแพลตฟอร์มความปลอดภัยทางไซเบอร์ได้ ที่เข้าถึงได้มีแค่ SharePoint cloud service และ contract management system เท่านั้น ซึ่งไม่ได้มีข้อมูลที่เกี่ยวข้องกับ Dragos Platform ถูกขโมยออกไป (more…)

Microsoft จะเริ่มบังคับใช้ฟังก์ชัน number matching ใน Microsoft Authenticator เพื่อป้องกันการโจมตีแบบ multi-factor authentication (MFA) fatigue attacks

ในการโจมตีดังกล่าว ซึ่งถูกเรียกอีกแบบว่า Push Bombing หรือ MFA push spam ผู้โจมตีจะหลอกเหยื่อด้วยการทำให้เกิดการแจ้งเตือนแบบ push notifications เพื่อให้ผู้ใช้งานอนุมัติการเข้าสู่ระบบบัญชีขององค์กรจำนวนมาก โดยใช้ข้อมูล credentials ที่ขโมยมา (more…)

Microsoft ออกแพตซ์อัปเดตเพื่อแก้ไขช่องโหว่ด้านความปลอดภัย Outlook zero-click เพิ่มเติม เนื่องจากพบว่า Hacker สามารถ bypass แพตซ์อัปเดตของช่องโหว่ Microsoft Outlook Elevation of Privilege Vulnerability (CVE-2023-23397) ได้

โดยช่องโหว่ zero-click bypass มีชื่อว่า Windows MSHTML Platform Security Feature Bypass Vulnerability หรือ CVE-2023-29324 (คะแนนCVSS 6.5/10 ระดับความรุนแรงปานกลาง) โดยส่งผลกระทบต่อ Outlook client ใน Windows รุ่นที่รองรับทั้งหมด (more…)