มัลแวร์ตัวใหม่ที่ชื่อว่า 'LOBSHOT' ซึ่งเผยแพร่ผ่านทางโฆษณาของ Google ทำให้ผู้โจมตีสามารถเข้าควบคุมอุปกรณ์ Windows ได้โดยการใช้ hVNC
เมื่อต้นปีที่ผ่านมา BleepingComputer และนักวิจัยด้านความปลอดภัยในโลกไซเบอร์จำนวนมากรายงานว่า มีผู้โจมตีกำลังใช้โฆษณาบน Google เพื่อแพร่กระจายมัลแวร์ในผลการค้นหา โดยแคมเปญโฆษณาเหล่านี้เลียนแบบเว็บไซต์สำหรับ 7-ZIP, VLC, OBS, Notepad++, CCleaner, TradingView, Rufus และแอปพลิเคชันอื่น ๆ อีกมากมาย
โดยมัลแวร์ที่ถูกนำมาใช้ผ่านแคมเปญดังกล่าวคือ Gozi, RedLine, Vidar, Cobalt Strike, SectoRAT และ Royal Ransomware  โดยนักวิจัยจาก Elastic Security Labs เปิดเผยการพบโทรจันตัวใหม่ชื่อ LOBSHOT ซึ่งถูกเผยแพร่ผ่านทาง Google Ads ว่าเป็นซอฟแวร์สำหรับการเข้าถึงจากระยะไกล เช่น AnyDesk แต่แท้จริงแล้วเป็นการนำไปสู่ AnyDesk ปลอมที่เว็บไซต์ amydeecke[.]website

(more…)

ScarCruft กลุ่ม Hacker ชาวเกาหลีเหนือ แพร่กระจายมัลแวร์ RokRAT ผ่านทางไฟล์ LNK

กลุ่มแฮ็กเกอร์ชาวเกาหลีเหนือที่รู้จักกันในชื่อ ScarCruft ได้เริ่มทดลองใช้ไฟล์ LNK ขนาดใหญ่ เพื่อเป็นช่องทางในการติดตั้งมัลแวร์ RokRAT มาตั้งแต่เดือนกรกฎาคม 2022 ซึ่งเป็นเดือนเดียวกันกับ Microsoft ได้เริ่มตั้งค่าการบล็อกมาโครภายในเอกสาร Office เป็นค่าเริ่มต้น

Check Point ระบุในรายงานว่า ตัวมัลแวร์ RokRAT เองไม่ได้มีการเปลี่ยนแปลงอะไรอย่างมีนัยสำคัญแต่อย่างใดในหลายปีที่ผ่านมา แต่มีการพัฒนาวิธีการที่ใช้ในการแพร่กระจายอย่างต่อเนื่อง โดยปัจจุบันได้ใช้ไฟล์ archives ที่มีไฟล์ LNK อยู่ภายใน ซึ่งเป็นจุดเริ่มต้นของการโจมตีในขั้นตอนถัดไป ซึ่งเป็นแนวโน้มที่สำคัญที่กลุ่ม APT และอาชญากรทางไซเบอร์พยายามที่จะเอาชนะการบล็อกมาโครภายในเอกสารจาก Microsoft

ScarCruft หรือที่รู้จักกันในชื่อ APT37, InkySquid, Nickel Foxcroft, Reaper, RedEyes และ Ricochet Chollima เป็นกลุ่มแฮ็กเกอร์ที่มีการมุ่งเป้าไปที่บุคคล และหน่วยงานของเกาหลีใต้ ซึ่งส่วนหนึ่งของการโจมตีเป็นแบบ spear-phishing ที่ออกแบบมาโดยเฉพาะ ซึ่งแตกต่างจากกลุ่ม Lazarus หรือ Kimsuky ที่คาดว่าอยู่ภายใต้การดูแลของกระทรวงความมั่นคงแห่งรัฐ (MSS) ของเกาหลีเหนือที่มีหน้าที่ในการต่อต้านการจารกรรมทั้งใน และต่างประเทศ

มัลแวร์หลักที่ทางกลุ่มเลือกใช้ คือ RokRAT (aka DOGCALL) ซึ่งได้รับการพัฒนาให้ใช้ได้กับแพลตฟอร์มต่าง ๆ เช่น macOS (CloudMensis) และ Android (RambleOn) แสดงให้เห็นว่ามีการพัฒนาความสามารถของมัลแวร์อย่างต่อเนื่อง

RokRAT เวอร์ชันต่าง ๆ จะถูกติดตั้งเพื่อการดำเนินการที่แตกต่างกัน เช่น การขโมยข้อมูลส่วนตัว, ข้อมูลของเหยื่อ, การจับภาพหน้าจอ, รวบรวมข้อมูลระบบ, รันคำสั่งเชลล์โค้ด, รวมถึงจัดการไฟล์ และไดเร็กทอรีบนเครื่อง

ข้อมูลที่ถูกรวบรวมบางส่วนจะถูกจัดเก็บในรูปแบบของไฟล์ MP3 เพื่อปกปิดความผิดปกติ และจะถูกส่งกลับไปผ่านทางบริการคลาวด์ เช่น Dropbox, Microsoft OneDrive, pCloud และ Yandex Cloud เพื่อให้เหมือนว่าเป็นการเชื่อมต่อตามปกติ โดยมัลแวร์อื่น ๆ ที่ถูกใช้รวมไปถึง Chinotto, BLUELIGHT, GOLDBACKDOOR, Dolphin และ M2RAT นอกจากนี้ยังมีการใช้มัลแวร์ที่สามารถหาได้ทั่วไป เช่น Amadey ซึ่งเป็น downloader ที่สามารถใช้เพื่อรับคำสั่งจากผู้โจมตีให้ดาวน์โหลด payload สำหรับการโจมตีเพิ่มเติม

เมื่อสัปดาห์ที่ผ่านมา AhnLab Security Emergency Response Center (ASEC) รายงานถึงการใช้ไฟล์ LNK เป็นไฟล์ตั้งต้นของการโจมตีด้วย PowerShell command เพื่อติดตั้งมัลแวร์ RokRAT ในเดือนเมษายน 2023 แม้ว่าการเปลี่ยนแปลงจะแสดงให้เห็นถึงความพยายามของ ScarCruft ในการเปลี่ยนแปลงรูปแบบของวิธีการโจมตี แต่หลัก ๆ ก็ยังคงพบการใช้ประโยชน์จากการโจมตีด้วยมาโครในเอกสาร Word ที่เป็นอันตราย เพื่อติดตั้งมัลแวร์ ตามข้อมูลรายงานของ Malwarebytes ในเดือนมกราคม 2021

ในส่วนของการโจมตีครั้งใหม่ที่ถูกพบโดยบริษัทความปลอดภัยทางไซเบอร์ของอิสราเอลเมื่อต้นเดือนพฤศจิกายน 2022 ก็พบว่าเป็นการโจมตีโดยการใช้ไฟล์ ZIP ที่ภายในมีไฟล์ LNK เพื่อติดตั้งมัลแวร์ Amadey เช่นเดียวกัน

Check Point ระบุว่าไฟล์ LNK เป็นจุดตั้งต้นของการติดมัลแวร์ด้วยการดับเบิ้ลคลิก ซึ่งเป็นวิธีที่ง่ายกว่ามาโครของ Office ที่ต้องใช้การคลิกเพิ่มเติมจากผู้ใช้งานเพื่อเปิดใช้งาน

APT37 ยังคงเป็นภัยคุกคามอย่างต่อเนื่องในหลายแคมเปญบนหลายแพลตฟอร์ม และมีการปรับปรุงวิธีการโจมตีด้วยมัลแวร์อย่างต่อเนื่อง โดยการค้นพบครั้งนี้เกิดขึ้นภายหลังจากที่ Kaspersky มีการเปิดเผยถึงการพัฒนามัลแวร์ด้วยภาษา Go-based โดย ScarCruft ที่มีชื่อรหัส SidLevel ซึ่งใช้บริการส่งข้อความผ่านคลาวด์ Ably เป็นกลไกสำหรับการเชื่อมต่อกับ C2 Server ที่มาพร้อมกับความสามารถที่หลากหลายในการขโมยข้อมูลที่มีความสำคัญจากเหยื่อ

โดย Kaspersky ระบุในรายงานแนวโน้มการโจมตีจาก APT ในไตรมาสที่ 1 ปี 2023 ว่า “กลุ่มผู้โจมตียังคงมีเป้าหมายเป็นบุคคลที่เกี่ยวข้องกับประเทศเกาหลีเหนือ รวมถึงนักเขียนนวนิยาย นักศึกษา และนักธุรกิจที่มีการส่งเงินทุนกลับไปยังประเทศเกาหลีเหนือ”

ที่มา : thehackernews.

กลุ่ม LockBit  ประกาศการโจมตีห้างสรรพสินค้าประเภทไฮเปอร์มาร์เก็ต, ซูเปอร์มาร์เก็ต และร้านสะดวกซื้อที่มีขนาดใหญ่เป็นอันดับสองของประเทศไทย โดยมีการโพสต์การโจมตีทางไซเบอร์บนเว็บไซต์ของทางกลุ่ม ซึ่งมีการกำหนดเวลาการปล่อยข้อมูลออกสู่สาธารณะในวันที่ 27 เมษายน หากไม่มีการดำเนินการจ่ายค่าไถ่
(more…)

Microsoft เผยแก๊งแรนซัมแวร์ Clop และ LockBit อยู่เบื้องหลังการโจมตีเซิร์ฟเวอร์ PaperCut

Microsoft ระบุว่าการโจมตีเซิร์ฟเวอร์ PaperCut ล่าสุดมาจากการเรียกค่าไถ่ของแก๊ง Clop และ LockBit โดยใช้ช่องโหว่ CVE-2023–27350 และ CVE-2023–27351 ที่ถูกนำไปใช้อย่างแพร่หลาย เนื่องจากมีการปล่อย PoC สำหรับทำ Remote Code Execution (RCE) เพื่อขโมยข้อมูลขององค์กรและทำให้ผู้โจมตีรายอื่นสามารถเจาะเซิร์ฟเวอร์ได้โดยใช้ช่องโหว่เหล่านี้

เดือนที่ผ่านมา มีการพบช่องโหว่ 2 รายการได้รับการแก้ไขใน PaperCut Application Server ที่ช่วยให้ผู้โจมตีสามารถเรียกใช้โค้ดจากระยะไกลและเปิดเผยข้อมูลโดยไม่ได้รับอนุญาต

CVE-2023–27350 / ZDI-CAN-18987 / PO-1216 (คะแนน CVSS v3.1: 9.8 ระดับความรุนแรง critical): เป็นช่องโหว่ที่ทำให้สามารถเรียกใช้งานคำสั่งที่เป็นอันตรายจากระยะไกล (RCE) ไม่ผ่านการตรวจสอบสิทธิ์ส่งผลกระทบต่อ PaperCut MF หรือ NG เวอร์ชัน 8.0 หรือใหม่กว่าบนแพลตฟอร์ม OS ทั้งหมดสำหรับแอปพลิเคชันและไซต์เซิร์ฟเวอร์
CVE-2023–27351 / ZDI-CAN-19226 / PO-1219 (คะแนน CVSS v3.1: 8.2 ระดับความรุนแรง high): เป็นช่องโหว่ในการเปิดเผยข้อมูลที่ไม่ผ่านการรับรองความถูกต้องส่งผลกระทบต่อ PaperCut MF หรือ NG เวอร์ชัน 15.0 หรือใหม่กว่าบนแพลตฟอร์มระบบปฏิบัติการทั้งหมดสำหรับเซิร์ฟเวอร์แอปพลิเคชัน

PaperCut เป็นซอฟต์แวร์การจัดการการพิมพ์ที่รองรับแบรนด์และแพลตฟอร์มของเครื่องพิมพ์เกือบทั้งหมดที่ใช้งานผ่าน Windows, Linux, Mac, Chromebook, Android, iOS และ Novell เพื่อลดค่าใช้จ่ายและผลกระทบต่อสิ่งแวดล้อม ซึ่งถูกใช้โดยบริษัทขนาดใหญ่ องค์กรของรัฐ และสถาบันการศึกษา โดยเว็บไซต์ของบริษัทระบุว่ามีผู้ใช้หลายร้อยล้านคนจากกว่า 100 ประเทศ

ในวันพุธที่ 26 เมษายน 2023 Microsoft เปิดเผยว่าแก๊งแรนซัมแวร์ Clop และ LockBit อยู่เบื้องหลังการโจมตีเซิร์ฟเวอร์ PaperCut เพื่อขโมยข้อมูลองค์กร โดย Microsoft ได้ติดตามผู้โจมตีในชื่อ 'Lace Tempest' ซึ่งมีกิจกรรมคาบเกี่ยวกับ FIN11 และ TA505 ที่เชื่อมโยงกับการดำเนินการของ Clop ransomware

Clop ransomware ได้ยืนยันกับ BleepingComputer ว่าพวกเขาอยู่เบื้องหลังการโจมตีเซิร์ฟเวอร์ PaperCut โดยได้เริ่มโจมตีในวันพฤหัสบดีที่ 13 เมษายน 2023 ผ่านช่องโหว่ของ PaperCut เพื่อเข้าถึงเครือข่ายของบริษัทเป็นครั้งแรก และทำการติดตั้งมัลแวร์ TrueBot อย่างไรก็ตามผู้โจมตีกล่าวว่าได้ใช้ช่องโหว่นี้เพื่อการเข้าถึงเครือข่ายแทนที่จะทำการขโมยไฟล์เอกสารจากเซิร์ฟเวอร์ และในการตอบคำถามเกี่ยวกับการถูกโจมตีด้วย LockBit ทาง Microsoft กล่าวว่าพวกเขาไม่มีอะไรจะแบ่งปันเพิ่มเติม แต่ได้มีการพูดถึง Cobalt Strike beacon ได้ถูกนำไปใช้เพื่อแพร่กระจายผ่านเครือข่าย และขโมยข้อมูลด้วยแอปพลิเคชันแชร์ไฟล์ MegaSync โดยนอกเหนือจาก Clop แล้วยังพบว่าการบุกรุกบางอย่างได้นำไปสู่การโจมตีด้วย LockBit ransomware

เป้าหมายสำคัญสำหรับ Clop คือ การใช้ประโยชน์จากเซิร์ฟเวอร์ PaperCut ด้วยรูปแบบทั่วไปที่เราพบเห็นจากแก๊งแรนซัมแวร์ Clop ในช่วงสามปีที่ผ่านมา ซึ่งการดำเนินการของ Clop ยังคงมีการเข้ารหัสไฟล์ในการโจมตี และยังได้บอกกับทาง BleepingComputer ว่าพวกเขาต้องการขโมยข้อมูลเพื่อเรียกค่าไถ่จากเหยื่อ
โดยการเปลี่ยนแปลงกลยุทธ์นี้เกิดขึ้นครั้งแรกในปี 2020 เมื่อ Clop ได้ใช้ช่องโหว่ของ Accelion FTA Zero-day เพื่อขโมยข้อมูลจากบริษัทประมาณ 100 แห่ง และเมื่อเร็ว ๆ นี้ยังมีการใช้ช่องโหว่ Zero-day ในแพลตฟอร์มแชร์ไฟล์ที่ปลอดภัยของ GoAnywhere MFT เพื่อขโมยข้อมูลจากบริษัท 130 แห่ง

PaperCut มีฟังก์ชั่น "Print Archives" ที่บันทึกงานพิมพ์และเอกสารทั้งหมดที่ส่งผ่านเซิร์ฟเวอร์ทำให้เป็นตัวเลือกที่ดีสำหรับการโจมตีเพื่อขโมยข้อมูล แต่อย่างไรก็ยังไม่เป็นที่แน่ชัดว่าการโจมตีเหล่านี้เริ่มขึ้นหลังจากที่มีการเปิดเผยช่องโหว่ดังกล่าวต่อสาธารณะหรือไม่ โดย Microsoft ได้แนะนำให้ผู้ดูแลระบบทำการแพตช์โดยเร็วที่สุด และแนะนำทุกองค์กรที่ใช้งาน PaperCut MF หรือ NG ทำการอัปเกรดเป็นเวอร์ชั่น 20.1.7, 21.2.11 และ 22.0.9 ทันทีหรือเวอร์ชั่นที่สูงกว่าเพื่อปิดไขช่องโหว่เหล่านี้

ที่มา : bleepingcomputer

นักวิจัยของ Trellix และ Cyble labs พบมัลแวร์ขโมยข้อมูลบน macOS ตัวใหม่ชื่อ 'Atomic' (หรือที่เรียกว่า 'AMOS') กำลังถูกขายให้กับ Hacker ผ่านช่องทาง Telegram ส่วนตัว โดยมีค่าบริการ $1,000 ต่อเดือน (more…)

WithSecure บริษัทด้านความปลอดภัยทางไซเบอร์เปิดเผยว่า Veeam backup server ที่มีช่องโหว่ซึ่งเชื่อมต่อกับอินเตอร์เน็ต กำลังตกเป็นเป้าหมายในการโจมตีของกลุ่ม Hacker ที่มีชื่อเสียงหลายกลุ่ม รวมไปถึง กลุ่ม FIN7 ที่พบการโจมตีมาตั้งแต่วันที่ 28 มีนาคม 2023 ภายหลังจากการเปิดเผยช่องโหว่ใน Veeam Backup and Replication (VBR) CVE-2023-27532 ที่มีระดับความรุนแรงสูง (more…)

มัลแวร์ขโมยข้อมูล ViperSoftX เวอร์ชันใหม่ถูกค้นพบว่ามีเป้าหมายที่หลากหลายมากขึ้น รวมถึงการกำหนดเป้าหมายไปยังแอปพลิเคชัน password manager อย่าง KeePass และ 1Password

รายงานดังกล่าวมาจากนักวิจัยที่ Trend Micro ซึ่งระบุว่า ViperSoftX มุ่งเป้าไปที่กระเป๋าเงินคริปโตเคอเรนซีมากขึ้น โดยสามารถขโมยข้อมูลจากเบราว์เซอร์ต่าง ๆ นอกเหนือจาก Chrome ได้มากขึ้น และยังเริ่มกำหนดเป้าหมายไปยังแอปพลิเคชัน Password Manager

มัลแวร์ขโมยข้อมูลเวอร์ชันใหม่ล่าสุดมีการเข้ารหัสรหัสที่รัดกุมยิ่งขึ้น และมีคุณสมบัติในการหลีกเลี่ยงการตรวจจับโดยซอฟต์แวร์รักษาความปลอดภัย (more…)

Google ระบุว่าในปี 2565 ได้แบนบัญชีนักพัฒนาซอฟต์แวร์กว่า 173,000 บัญชี เพื่อบล็อกการทำงานของมัลแวร์จากอุปกรณ์ของผู้ใช้ Android ด้วยแอปพลิเคชันที่เป็นอันตราย โดย Google เปิดเผยในรายงานประจำปี ‘แอปพลิเคชันที่เป็นอันตราย’ ว่า ยังได้ทำการป้องกันแอปเกือบ 1.5 ล้านแอปที่เชื่อมโยงกับการละเมิดนโยบายด้านต่าง ๆ ไม่ให้สามารถเข้าสู่ Google Play Store ได้ (more…)

Qbot (หรือที่รู้จักกันในชื่อ QakBot) ซึ่งในอดีตถูกใช้เป็น Banking Trojan แต่ต่อมาได้พัฒนาเป็นมัลแวร์ที่สามารถใช้เพื่อเข้าถึงเครือข่ายขององค์กร การเข้าถึงทำได้โดยการ dropping payloads เช่น Cobalt Strike, Brute Ratel และมัลแวร์อื่น ๆ ที่ใช้เพื่อให้ผู้โจมตีสามารถเข้าถึงอุปกรณ์ได้

โดย QBot มีการแพร่กระจายผ่านแคมเปญฟิชชิงโดยการใช้ไฟล์ PDF และ Windows Script Files (WSF) เพื่อทำการติดตั้งมัลแวร์บน Windows เมื่อสามารถเข้าถึงเครื่องเหยื่อได้ ผู้โจมตีจะ (more…)

Cisco เปิดเผยช่องโหว่ Zero-day ในซอฟต์แวร์ Prime Collaboration Deployment (PCD) ของบริษัท ซึ่งสามารถถูกนำมาใช้ในการโจมตีแบบ cross-site scripting

โดย utility สำหรับจัดการเซิร์ฟเวอร์นี้ช่วยให้ admin สามารถดำเนินการย้ายข้อมูล หรืออัปเกรด tasks บนเซิร์ฟเวอร์ขององค์กรได้

ช่องโหว่หมายเลข CVE-2023-20060 ในอินเทอร์เฟซ web-based การจัดการเครือข่ายของ (more…)