Google รายงานการพบช่องโหว่ด้านความปลอดภัยที่มีระดับความรุนแรงสูงในชิป Exynos ของ Samsung ซึ่งสามารถถูกนำไปใช้ในการโจมตีจากภายนอก เพื่อให้สามารถควบคุมเครื่องได้โดยสมบูรณ์ โดยไม่ต้องมีการดำเนินการใด ๆ จากผู้ใช้งาน

ช่องโหว่ zero-day ทั้ง 18 รายการมีผลกระทบต่อ Android หลายรุ่น เช่น Samsung, Vivo, Google, รวมถึงอุปกรณ์ และ smart watch ที่ใช้ชิปเซ็ต Exynos W920 รวมถึงรถยนต์ที่ใช้ชิปเซ็ต Exynos Auto T5123 ด้วยเช่นเดียวกัน

โดยช่องโหว่ 4 รายการ สามารถทำให้ผู้ไม่หวังดีสามารถเข้าถึงอุปกรณ์ Samsung, Vivo, และ Google ผ่านทางอินเทอร์เน็ตได้ รวมถึงอุปกรณ์ และ smart watch ที่ใช้ชิปเซ็ต Exynos W920 และรถยนต์ที่ใช้ชิปดังกล่าวในช่วงปลายปี 2022 ถึงต้นปี 2023 (more…)

Kaspersky เผยแพร่เครื่องมือถอดรหัสสำหรับแรนซัมแวร์ Conti เวอร์ชันแก้ไข ที่ทำให้เหยื่อหลายร้อยรายสามารถกู้คืนไฟล์ได้ฟรี

โดย Kaspersky พบ cache private key ของ Conti ransomware ในฟอรัมของกลุ่มแฮ็กเกอร์ ซึ่งเคยถูกนำมาใช้ในการโจมตีองค์กรทั้งภาครัฐ และเอกชนหลายแห่งในช่วงปีที่ผ่านมา โดยกลุ่มแรนซัมแวร์ที่ชื่อว่า ‘MeowCorp’

นักวิจัยผู้เชี่ยวชาญเกี่ยวกับแรนซัมแวร์ Amigo-A ระบุว่าผู้โจมตีได้เผยแพร่ข้อมูลในฟอรัมภาษารัสเซียเมื่อเดือนกุมภาพันธ์ 2022 ซึ่งมีลิงก์ไปยัง Key ถอดรหัส, โปรแกรมถอดรหัส, และรหัสต้นฉบับ

Kaspersky วิเคราะห์ Key และพบว่าเกี่ยวข้องกับสายพันธุ์หนึ่งของ Conti ransomware ที่ถูกพบเมื่อเดือนธันวาคม 2022 โดยสายพันธุ์นี้มีการแพร่กระจายมาตั้งแต่เดือนสิงหาคม โดย private key อยู่ในโฟลเดอร์ทั้งหมด 257 โฟลเดอร์ (มี 1โฟลเดอร์ที่มีสองคีย์) และมีการกำหนดเป้าหมายไปที่องค์กรในรัสเซียเป็นส่วนใหญ่

บางโฟลเดอร์มีตัวถอดรหัสที่สร้างขึ้นก่อนหน้านี้พร้อมกับไฟล์อื่น ๆ เช่น รูปภาพ และเอกสาร เพื่อแสดงให้เหยื่อเห็นว่าการถอดรหัสใช้งานได้

34 โฟลเดอร์มีชื่อที่ชัดเจนของเหยื่อภาครัฐในประเทศต่าง ๆ ในยุโรป และเอเชีย

Fedor Sinitsyn หัวหน้านักวิเคราะห์มัลแวร์ของ Kaspersky ให้ข้อมูลกับ BleepingComputer ว่า ชื่อในโฟลเดอร์ที่เหลือถูก hash หรือเข้ารหัสไว้

จากข้อมูลดังกล่าว และจำนวนตัวถอดรหัสที่พบ Kaspersky สันนิษฐานได้ว่า Conti เวอร์ชันดังกล่าวถูกใช้เพื่อเข้ารหัสเหยื่อ 257 ราย และ 14 ราย ยอมจ่ายเงินให้กับผู้โจมตีเพื่อกู้คืนข้อมูลที่ถูกเข้ารหัส

private key ถูกสร้างขึ้นวันที่ 13 พฤศจิกายน 2022 ถึง 5 กุมภาพันธ์ 2023 ซึ่งเป็นข้อมูลบ่งชี้ถึงไทม์ไลน์ของการโจมตีได้เป็นอย่างดี โดยนักวิจัยระบุว่าเหยื่อที่ทำการติดต่อ Kaspersky เพื่อขอให้ช่วยในการถอดรหัส ก็อยู่ในช่วงเวลานั้นเช่นเดียวกัน

Kaspersky เพิ่มตัวถอดรหัส และ private key 258 Key ลงใน RakhniDecryptor ซึ่งเป็นเครื่องมือที่สามารถใช้กู้คืนไฟล์ที่เข้ารหัสโดยแรนซัมแวร์ได้หลายสายพันธ์ุ

ตัวถอดรหัสสามารถกู้คืนไฟล์ที่เข้ารหัสโดย Conti ซึ่งใช้รูปแบบชื่อ และนามสกุลต่อไปนี้:

<file_name>.KREMLIN
<file_name>.RUSSIA
<file_name>.PUTIN

เป็นเวลากว่าสามปีที่ Conti ดำเนินการในลักษณะ ransomware-as-a-service ที่สร้างรายได้จำนวนมาก โดยส่วนใหญ่มีการกำหนดเป้าหมายไปที่องค์กรขนาดใหญ่ และเรียกค่าไถ่จำนวนมากเพื่อถอดรหัสข้อมูลที่ถูกเข้ารหัสไว้ โดย Conti ถือเป็นตัวตายตัวแทนของ Ryuk ransomware ซึ่งถูกพบในเดือนธันวาคม 2019

Conti สร้างความเสียหายอย่างต่อเนื่อง และมีการใช้วิธีการใหม่ ๆ เช่น การขโมยข้อมูล การปล่อยข้อมูลของเหยื่อบนเว็บไซต์ เพื่อบังคับให้เหยื่อจ่ายค่าไถ่

การรุกรานยูเครนของรัสเซียในเดือนกุมภาพันธ์ปีที่ผ่านมา สร้างความขัดแย้งภายในมากขึ้นเนื่องจากสมาชิกหลักเข้าข้างรัสเซีย ทำให้นักวิจัยที่ติดตามการดำเนินการของทางกลุ่ม Conti อยู่ ได้ข้อมูลของข้อความนับพันที่มีการแลกเปลี่ยนกันระหว่างกลุ่ม Conti และกลุ่มพันธมิตร รวมไปถึงการรั่วไหลของซอร์สโค้ดสำหรับตัวเข้ารหัส, ตัวถอดรหัส และตัวสร้างแรนซัมแวร์ รวมทั้งการเข้าถึง administrative panels

ในเดือนพฤษภาคม 2022 หัวหน้ากลุ่ม Conti ได้ประกาศปิดตัวกลุ่มลง โดยผู้นำของกลุ่ม Conti ได้ย้ายไปร่วมมือกับกลุ่มอื่น ๆ ส่วนสมาชิกก็ย้ายไปร่วมมือกับกลุ่มแรนซัมแวร์อื่น ๆ เช่นเดียวกัน

รัฐบาลสหรัฐฯ ประเมินว่า Conti เป็นหนึ่งในปฏิบัติการเรียกค่าไถ่ที่มีรายได้สูงที่สุด มีเหยื่อทั้งหมดหลายพันราย และสามารถรวบรวมเงินค่าไถ่ได้มากกว่า 150 ล้านดอลลาร์

ความเสียหายที่เกิดกับบริษัทของสหรัฐฯ ทำให้กระทรวงการต่างประเทศสหรัฐฯ เสนอรางวัลสูงถึง 15 ล้านดอลลาร์ สำหรับข้อมูลที่ระบุตำแหน่งของหัวหน้ากลุ่ม Conti กลุ่มผู้นำ และองค์กรพันธมิตรของ Conti ได้

 

ที่มา : bleepingcomputer

 

Microsoft เผยแพร่สคริปต์ที่ช่วยแก้ไขช่องโหว่จากการ bypass BitLocker ใน Windows Recovery Environment (WinRE) ซึ่งสคริปต์ PowerShell ดังกล่าว ช่วยลดความเสี่ยงของ WinRE จากการถูกโจมตีโดยใช้ช่องโหว่ CVE-2022-41099 ซึ่งจะทำให้ผู้โจมตีสามารถ bypass ฟีเจอร์ BitLocker Device Encryption ใน storage devices

โดย Microsoft ระบุว่า หากผู้ใช้งานเปิดใช้งานการป้องกัน BitLocker TPM + PIN จะทำให้ผู้โจมตีไม่สามารถใช้ประโยชน์จากช่องโหว่นี้ได้ ซึ่งสคริปต์ PowerShell ดังกล่าวได้รับการพัฒนาโดยทีมงาน Microsoft เพื่อช่วยในการอัปเดต WinRE images อัตโนมัติบนอุปกรณ์ Windows 10 และ Windows 11

สคริปต์ที่ใช้ในการรัน คือ PatchWinREScript_2004plus.

นักวิจัยจาก MDSec บริษัทที่ปรึกษาด้านความปลอดภัย ออกมาเปิดเผยเทคนิคสำหรับการโจมตี Proof of Concept (PoC) ช่องโหว่ของ Microsoft Outlook ที่มีความรุนแรงระดับ Critical (CVE-2023-23397) ซึ่งทำให้ Hacker สามารถขโมย Hash Password ได้ เพียงแค่เหยื่อทำการเปิดอีเมล

CVE-2023-23397: Microsoft Outlook Elevation of Privilege Vulnerability Exploiting (คะแนน CVSS 9.8/10 ความรุนแรงระดับ Critical) โดยเป็นช่องโหว่ใน Windows NTLM ทำให้ Hacker สามารถยกระดับสิทธิ และขโมย NTLM credential ได้ เพียงแค่ส่งอีเมลที่เป็นอันตรายไปยังเป้าหมาย ขณะที่เป้าหมายใช้งาน Microsoft Outlook อยู่ก็สามารถทำการโจมตีได้ทันที ซึ่งช่องโหว่นี้ได้ส่งผลกระทบต่อ Microsoft Outlook ทุกเวอร์ชันบน Windows

Windows New technology LAN Manager (NTLM) เป็นวิธีการตรวจสอบความถูกต้องที่ใช้ในการเข้าสู่ระบบโดเมน Windows โดยใช้การเข้าสู่ระบบแบบ Hash credentials

ขณะนี้ Microsoft ได้ออกอัปเดตเพื่อแก้ไขช่องโหว่ดังกล่าวแล้ว แต่พบว่าช่องโหว่ดังกล่าวได้ถูกใช้ในการโจมตีแบบ Zero Day NTLM-relay มาตั้งแต่เดือนเมษายน 2022

การโจมตีโดยใช้ NTLM

Microsoft อธิบายว่า Hacker สามารถใช้ CVE-2023-23397 เพื่อขโมย NTLM hash ของเป้าหมาย ด้วยการส่ง MAPI property และ UNC path ไปยัง SMB (TCP 445) เพื่อเชื่อมต่อกลับไปยัง Server ของ Hacker โดยการเชื่อมต่อผ่าน SMB ออกไปยังเซิร์ฟเวอร์ภายนอกจะส่งข้อมูล NTLM negotiation message ของผู้ใช้งานออกไป ซึ่งจะสามารถทำให้ผู้โจมตีสามารถส่งต่อการ authentication กับระบบอื่น ๆ ที่รองรับการใช้งาน NTLM

ทาง Microsoft และ MDSec ได้ทำการตรวจสอบรายการข้อความใน Exchange เพื่อค้นหาร่องรอยการโจมตี โดยได้พบกับสคริปต์ “PidLidReminderFileParameter” ภายในรายการจดหมายที่ได้รับใน Exchange ซึ่งมีความสามารถในการทำให้ Microsoft Outlook เรียกไปยัง UNC path ที่อันตราย ทำให้สามารถสร้างอีเมล Outlook (.MSG) ที่เป็นอันตรายพร้อมการนัดหมายในปฏิทิน รวมไปถึงใช้ Microsoft Outlook Tasks และ Notes เพื่อโจมตีช่องโหว่ และส่ง NTLM hash ของเป้าหมาย ไปยัง Server ของ Hacker หลังจากนั้น Hacker จะนำ NTLM hash ดังกล่าวที่ขโมยมา ไปใช้ในการเข้าถึงระบบของเป้าหมายอีกครั้งหนึ่ง เมื่อเข้าถึงระบบได้แล้วก็จะทำการใช้ Impacket และ PowerShell Empire open-source framework เพื่อแพร่กระจายไปในระบบของเป้าหมายเพื่อรวบรวมข้อมูล

นอกจากนี้ยังพบว่า Hacker ได้ใช้ช่องโหว่ CVE-2023-23397 เพื่อหลีกเลี่ยงการตรวจสอบสิทธิเพื่อเชื่อมต่อออกไปยัง IP address ที่อยู่นอก Intranet Zone หรือ Trust Site อีกด้วย

การโจมตีแบบ Zero-day ที่เกี่ยวข้องกับ Hacker ชาวรัสเซีย

ช่องโหว่ CVE-2023-23397 ถูกค้นพบ และรายงานไปยัง Microsoft โดย Computer Emergency Response Team (CERT-UA) ของยูเครน โดยได้ค้นพบหลังจากการถูก Hacker ชาวรัสเซีย โจมตีด้วยช่องโหว่ดังกล่าว โดยพบว่า Hacker ได้มุ่งเป้าหมายการโจมตีไปยังองค์กรในยุโรปหลายแห่งในภาครัฐบาล การขนส่ง พลังงาน และการทหาร

โดยทาง CERT-UA เชื่อว่ากลุ่ม Hacker ที่อยู่เบื้องหลังการโจมตีในครั้งนี้ คือกลุ่ม APT28 (ในชื่อ Strontium, Fancy Bear, Sednit, Sofacy) ซึ่งมีความเชื่อมโยงกับหน่วยงาน General Staff of the Armed Forces of the Russian Federation (GRU) ซึ่งได้คาดการณ์ว่ามีองค์กรมากถึง 15 แห่งที่ตกเป็นเป้าหมายการโจมตีโดยใช้ CVE-2023-23397 โดยพบการโจมตีครั้งล่าสุดในเดือนธันวาคม 2023

Microsoft ได้แจ้งเตือนให้ผู้ดูแลระบบให้เร่งทำการอัปเดตเพื่อป้องกันช่องโหว่ดังกล่าว รวมไปถึงทำการตรวจสอบรายการข้อความใน Exchange ว่ามาพร้อมกับ UNC path ผ่าน SMB (TCP 445) หรือไม่ เพื่อค้นหาร่องรอยการถูกโจมตี

 

ที่มา : bleepingcomputer

US Cybersecurity & Infrastructure Security Agency (CISA) หน่วยงานด้านความมั่นคงทางไซเบอร์ของสหรัฐ ได้เพิ่มช่องโหว่ที่ส่งผลกระทบต่อ Adobe ColdFusion เวอร์ชัน 2021 และ 2018 ไปยังแคตตาล็อกของช่องโหว่ที่กำลังถูกใช้ในการโจมตี Known Exploited Vulnerabilities (KEV) (more…)

กลุ่มผู้โจมตีทางไซเบอร์ที่รู้จักกันในชื่อ Tick ทำการโจมตีไปยังบริษัทที่ให้บริการซอฟแวร์ Data-Loss Prevention(DLP)  ในเอเชียตะวันออก ที่ให้บริการกับหน่วยงานรัฐบาล และกองทัพ

นักวิจัยจาก ESET Facundo Muñoz ระบุว่า "ผู้โจมตีทำการโจมตีเซิร์ฟเวอร์สำหรับอัปเดตภายในของบริษัท DLP เพื่อส่งมัลแวร์เข้าไปภายในเครื่อข่ายของนักพัฒนา software และติดตั้ง trojan บนตัวติดตั้งของระบบ DLP ของทางบริษัท โดยอาจมีเป้าหมายเพื่อติดตั้งมัลแวร์ลงบนระบบของลูกค้าของบริษัทดังกล่าว" (more…)

Asher Malhotra และ Vitor Ventura นักวิจัยจาก Cisco Talos ได้รายงานถึงผลการวิเคราะห์การโจมตีของกลุ่มแฮ็กเกอร์ YoroTrooper ว่า พบข้อมูลที่ถูกขโมยออกไปจากการโจมตีนั้นเป็นข้อมูล credentials ที่มาจากการใช้งานแอปพลิเคชันต่าง ๆ, ประวัติการเข้าใช้งานบนเบราว์เซอร์ และคุกกี้, ข้อมูลของระบบ, รวมไปถึงข้อมูลการจับภาพหน้าจอ (screenshot)

โดย YoroTrooper มีเป้าหมายการโจมตีเป็นหน่วยงานรัฐบาล, องค์กรด้านพลังงาน และองค์กรระหว่างประเทศทั่วยุโรป ซึ่งเป็นส่วนหนึ่งของภัยคุกคามทางไซเบอร์ที่ดำเนินการมาตั้งแต่เดือนมิถุนายน 2022 ต่อมาประเทศที่เป็นเป้าหมายของแฮ็กเกอร์กลุ่มนี้ ได้แก่ อาเซอร์ไบจาน, ทาจิกิสถาน, คีร์กีซสถาน, เติร์กเมนิสถาน และประเทศในเครือรัฐเอกราช (CIS) อื่น ๆ ซึ่งเป็นกลุ่มประเทศในเอเชียกลาง เชื่อกันว่าแฮ็กเกอร์สามารถสื่อสารภาษารัสเซียได้ เนื่องจากมีการใช้เครื่องมือในการโจมตีเหยื่อเป็นอักษรซีริลลิก (อักษรที่ใช้เขียนของภาษารัสเซีย)

กลุ่ม YoroTrooper ถูกพบว่ามีการใช้ชุดคำสั่งร่วมกับ PoetRAT ที่มีการบันทึกไว้ในปี 2020 ว่าเป็นการโจมตีหน่วยงานรัฐบาล และองค์กรด้านพลังงานของอาเซอร์ไบจานโดยการใช้ประโยชน์จากโคโรนาไวรัสเป็นหัวข้อในการหลอกล่อเหยื่อ

การขโมยข้อมูลของ YoroTrooper เริ่มต้นด้วยการใช้มัลแวร์ เช่น Ave Maria (หรือที่รู้จักในชื่อ Warzone RAT), LodaRAT, Meterpreter และ Stink ทำหน้าที่เป็นส่วนหนึ่งในการแพร่กระจายมัลแวร์ผ่านทาง shortcut files (LNKs) ในไฟล์ ZIP หรือ RAR ผ่านการโจมตีแบบ spear-phishing

โดยไฟล์ LNK ทำหน้าที่เป็นตัวดาวน์โหลดเพื่อเรียกใช้งานไฟล์ HTA ที่สามารถดึงข้อมูลจากเซิร์ฟเวอร์ภายนอก (remote server) ได้ ส่วนไฟล์เอกสาร PDF จะถูกใช้เพื่อเป็นช่องทางในการติดตั้งมัลแวร์สำหรับขโมยข้อมูล และส่งข้อมูลออกไปผ่านทาง Telegram

การใช้งาน LodaRAT เป็นที่น่าสนใจ เนื่องจากมัลแวร์ตัวนี้ถูกใช้งานในการขโมยข้อมูลจากกลุ่มผู้โจมตีอีกหลายราย เช่น Kasablanka ซึ่งพบว่ามีการใช้งาน Ave Maria (หรือที่รู้จักในชื่อ Warzone RAT) ในแคมเปญล่าสุดที่กำหนดเป้าหมายการโจมตีไปที่รัสเซีย

YoroTrooper ยังมีการปรับใช้เครื่องมือเสริมอื่น ๆ ได้แก่ Backshell และ Keylogger ที่สร้างขึ้นมาเองโดยใช้ภาษา C ซึ่งสามารถบันทึกการกดแป้นพิมพ์ และบันทึกลงในไฟล์บนฮาร์ดดิสก์ได้

 

ที่มา : thehackernews

Independent Living Systems (ILS) ซึ่งเป็นผู้ให้บริการด้านการดูแลสุขภาพในไมอามี่ ยืนยันการรั่วไหลของข้อมูลส่วนบุคคลของผู้ใช้งานกว่า 4,226,508 ราย

จำนวนผู้ใช้งานที่ได้รับผลกระทบถือว่าเป็นจำนวนมากที่สุดในภาคการดูแลสุขภาพที่มีการเปิดเผยออกมาในปีนี้จากการแจ้งเตือนที่ถูกส่งไปยังสำนักงานอัยการสูงสุด โดยบริษัทพบว่าเครือข่ายถูกโจมตีในวันที่ 5 กรกฎาคม 2022

ในระหว่างการตรวจสอบ บริษัทพบว่าผู้โจมตีสามารถเข้าถึงระบบ ILS ได้ระหว่างวันที่ 30 มิถุนายนถึง 5 กรกฎาคม 2022 และสามารถเข้าถึงข้อมูลในช่วงเวลาดังกล่าวได้ โดยจากการตรวจสอบของ ILS พบว่าผู้โจมตีสามารถเข้าถึงระบบ ILS ได้บางระบบ (more…)

พบ Hacker ในชื่อ 9Near ได้ประกาศขายข้อมูลส่วนบุคคล Personally identifiable information (PII) ของประเทศไทยกว่า 55 ล้านรายการใน data leak forum แห่งหนึ่ง โดย Hacker ได้ระบุว่าข้อมูลดังกล่าวได้มาจากหน่วยงานรัฐ แต่ไม่ได้มีการะบุหน่วยงานเอาไว้ พร้อมทั้งแนบข้อมูลตัวอย่างเอาไว้อีกด้วย

โดยข้อมูลตัวอย่างที่ถูกปล่อยประกอบไปด้วย เลขบัตรประชาชน ชื่อ ที่อยู่ วันเกิด และเบอร์โทรศัพท์

ทั้งนี้ Hacker ได้ทิ้งช่องทางในการติดต่อซื้อขายข้อมูลรวมถึงช่องทางการจ่ายเงินในโพสต์ดังกล่าวอีกด้วย

โดยขณะนี้ยังไม่ได้มีการเปิดเผยข้อมูลเพิ่มเติมจากหน่วยงานที่เกี่ยวข้อง หากมีความคืบหน้าเพิ่มเติม ทาง i-secure จะแจ้งให้ทราบต่อไป

 

ที่มา : breached forums

นักวิจัยด้านความปลอดภัยทางไซเบอร์ได้พบแคมเปญการโจมตีเพื่อขุดเหรียญ cryptocurrency สำหรับเหรียญ Dero เป็นครั้งแรกตั้งแต่เดือนกุมภาพันธ์ 2023

CrowdStrike รายงานว่า "การดำเนินการ Cryptojacking ของเหรียญ Dero นี้มุ้งเน้นไปที่การค้นหา Kubernetes clusters ที่มีการเปิดใช้งานแบบไม่ระบุตัวตน ที่เปิดใช้งานบน Kubernetes API และเปิดใช้งานพอร์ตที่ไม่ได้มาตรฐานที่สามารถเข้าถึงได้จากอินเทอร์เน็ต"

การพัฒนานี้เป็นการเปลี่ยนแปลงที่สำคัญจาก Monero ซึ่งเป็นสกุลเงินดิจิทัลที่พบบ่อยในแคมเปญการโจมตีเพื่อขุดเหรียญ cryptocurrency มีความเป็นไปได้ว่าสาเหตุเนื่องมาจาก Dero มีผลตอบแทนที่สูง และมีฟีเจอร์ที่ไม่ระบุตัวตนที่เหมือนกัน หรือดีกว่า Monero

การโจมตีนี้มาจากผู้ไม่หวังดีที่มีแรงจูงใจทางด้านการเงิน โดยการโจมตีจะเริ่มต้นด้วยการสแกนหา Kubernetes clusters ที่ตั้งค่าการตรวจสอบสิทธิ์เป็น '--anonymous-auth=true' ซึ่งอนุญาตให้ส่งคำขอแบบไม่ระบุตัวตนไปยังเซิร์ฟเวอร์ เพื่อฝัง payloads ที่เป็นอันตราย โดยมีต้นทางเป็น IP Address จาก 3 แห่งในสหรัฐฯ

การโจมตีนี้รวมถึงการติดตั้ง Kubernetes DaemonSet ชื่อ 'proxy-api' ซึ่งจะถูกใช้ในการฝัง pod ที่เป็นโปรแกรมควบคุมทุก ๆ Node ของ Kubernetes cluster เพื่อเริ่มต้นการขุดเหรียญ cryptocurrency

เพื่อให้เกิดผลเช่นนั้น ไฟล์ YAML ของ DaemonSet จะถูกสั่งให้รัน Docker image ที่มีไฟล์ไบนารีชื่อ 'pause' ซึ่งเป็นโปรแกรมสำหรับขุดเหรียญ Dero

ในการติดตั้ง Kubernetes ที่ถูกต้อง 'pause' containers จะถูกใช้โดย Kubernetes เพื่อทำการบูต pod โดยทางบริษัทระบุว่า "ผู้ไม่หวังดีอาจจะใช้ชื่อนี้เพื่อแฝงตัวเข้ากับระบบ และหลีกเลี่ยงการตรวจจับ

CrowdStrike ระบุว่าตรวจพบการโจมตีที่เหมือนกันนี้ในการขุดเหรียญ Morero ด้วยการโจมตี Kubernetes clusters โดยพยายามลบ "proxy-api" DaemonSet ที่เกี่ยวข้องกับการโจมตีเพื่อขุดเหรียญ Dero

โดยเป็นสัญญาณให้เห็นถึงการโจมตีเพื่อแย่งชิงระหว่างกลุ่มที่มีเจตนาสำหรับการ Cryptojacking ซึ่งแข่งขันกันเพื่อใช้ทรัพยากรบนคลาวด์ในการเข้าควบคุมเครื่อง และใช้ทรัพยากรของเครื่องทั้งหมด

นักวิจัยจาก CrowdStrike คาดว่า "ทั้ง 2 แคมเปญ พยายามค้นหาเพื่อโจมตี Kubernetes ที่ยังไม่ถูกโจมตี และกำลังแข่งขันกัน"

 

ที่มา : thehackernews