ผู้ใช้งานได้ดำเนินการฟ้องร้อง LastPass ที่ทำให้ความปลอดภัย และความเป็นส่วนตัวของพวกเขาตกอยู่ในความเสี่ยง โดยมีผู้ใช้งานรายหนึ่งสูญเสียเงินในสกุลเงินดิจิทัลมูลค่ากว่า 53,000 ดอลลาร์ โดยได้มีการยื่นฟ้องในสัปดาห์นี้ที่ศาลแขวงสหรัฐในรัฐแมสซาชูเซตส์จากผู้ใช้ LastPass ที่ไม่ระบุตัวตนชื่อว่า John Doe ซึ่งได้สมัครใช้บริการในเดือนพฤษภาคม 2559 เขาเรียกร้องให้บริษัทจ่ายค่าเสียหายหลังจากที่ LastPass ประกาศเมื่อเดือนที่แล้วว่าได้เสียสำเนารหัสผ่านของผู้ใช้ทุกคนให้กับแฮ็กเกอร์

“โจทก์ และกลุ่มบุคคลมีความกังวลเนื่องจากพวกเขามีความเสี่ยงสูงที่จะถูกโจมตีด้วย Email Phishing และการหลอกลวงรูปแบบอื่น ๆ เนื่องจากความประมาทเลินเล่อ การละเมิดสัญญา และการกระทำที่เข้าข่ายหลอกลวง"

โดย LastPass มีผู้ใช้งานมากกว่า 30 ล้านคน ยังไม่ได้มีแถลงการณ์ตอบกลับต่อเหตุการณ์นี้ ซึ่งก่อนหน้านี้ LastPass พยายามให้ข้อมูลเพื่อลดระดับความรุนแรงของเหตุการณ์นี้ โดยกล่าวว่าแฮ็กเกอร์ขโมยได้เพียงรหัสผ่านที่มีการเข้ารหัสไว้สำหรับผู้ใช้เท่านั้น ดังนั้นแฮ็กเกอร์ยังคงต้องการ master password เพื่อที่จะสามารถเข้าถึงที่เก็บรหัสผ่านส่วนบุคคลได้ ซึ่งปกติแล้วมีแต่ผู้ใช้เท่านั้นที่รู้

อย่างไรก็ตาม การฟ้องร้องแบบกลุ่มชี้ให้เห็นว่าแฮ็กเกอร์สามารถขโมยข้อมูลที่เกี่ยวข้องกับผู้ใช้ซึ่งเป็นข้อมูลที่ไม่ได้เข้ารหัส เช่น ที่อยู่สำหรับการเรียกเก็บเงิน ที่อยู่อีเมล หมายเลขโทรศัพท์ รวมถึง Link URL ของเว็บไซต์ที่นำรหัสผ่านนั้น ๆ ไปใช้ ซึ่งแฮ็กเกอร์สามารถใช้ประโยชน์จากข้อมูลเหล่านี้เพื่อออกแบบ และกำหนดเป้าหมายในการส่ง Email Phishing ไปยังผู้ใช้รายนั้นได้โดยเฉพาะ

โจทก์ที่อยู่เบื้องหลังการดำเนินการทางกฎหมายกังวลว่าในที่สุดแฮ็กเกอร์ก็จะสามารถเดารหัสผ่านหลักของพวกเขา และนำไปใช้ได้ในที่สุด นอกจากนี้ผู้ใช้งานยังสงสัยว่าการละเมิดข้อมูลของ LastPass ครั้งนี้ ทำให้แฮ็กเกอร์สามารถขโมย Bitcoin มูลค่า 53,000 ดอลลาร์จากเขาออกไปได้ในช่วงสุดสัปดาห์ของวันขอบคุณพระเจ้าที่ผ่านมา เนื่องจากคีย์ส่วนตัวสำหรับธุรกรรม cryptocurrency ของเขาก็ถูกเก็บไว้ใน LastPass ด้วย

“หาก LastPass เปิดเผยขอบเขตทั้งหมดของการละเมิดข้อมูลในเดือนสิงหาคม แทนที่จะรอหลายเดือนก่อนที่จะเปิดเผย โจทก์ และสมาชิกในกลุ่มจะได้รับการแจ้งเตือนที่เข้มงวดขึ้น และดำเนินการเปลี่ยนรหัสผ่าน ซึ่งอาจจะทำให้หลีกเลี่ยงการโจรกรรมที่เกิดขึ้นได้”

โดยคดีฟ้องร้องแบบกลุ่มยังเป็นการเรียกร้องให้ศาลบังคับให้ LastPass ใช้แนวปฏิบัติด้านความปลอดภัยที่ดีกว่าเดิม นอกเหนือจากการจ่ายค่าเสียหายให้กับผู้บริโภคที่ได้รับผลกระทบอีกด้วย

 

ที่มา : pcmag

ThreatFabric หน่วยงานด้านความปลอดภัยทางไซเบอร์ ได้เผยแพร่ข้อมูลการพบ SpyNote (หรือที่รู้จักกันในชื่อ SpyMax) ซึ่งเป็น Android malware ที่ได้รับการปรับปรุงเอาลักษณะเฉพาะของสปายแวร์ และโทรจันสำหรับขโมยข้อมูลธนาคารรวมเข้าด้วยกัน ซึ่งเริ่มถูกพบครั้งแรกเมื่อเดือนตุลาคม 2022

การโจมตี

โดย SpyNote มีความสามารถมากมาย ได้แก่ การอนุญาตให้ติดตั้งแอปพลิเคชันโดยพลการ, การรวบรวมข้อมูล, ข้อความ SMS, การโทร, วิดีโอ และการบันทึกเสียง, การติดตามตำแหน่ง GPS, การขัดขวางการถอนการติดตั้งแอปพลิเคชัน

นอกจากนี้ SpyNote ยังมีฟังก์ชันการขอสิทธิ์การเข้าถึงบริการ เพื่อให้สามารถเข้าถึงรหัสการรับรองความถูกต้องสองขั้นตอน (2FA) จาก Google Authenticator และบันทึกการกดแป้นพิมพ์เพื่อขโมยข้อมูลที่เกี่ยวข้องกับแอปพลิเคชันของธนาคาร การขโมยรหัสผ่าน Facebook และ Gmail ตลอดจนจับภาพหน้าจอโดยใช้ MediaProjection API ของ Android

ThreatFabric ได้ระบุว่า ขณะนี้ SpyNote (เรียกว่า SpyNote.

กลุ่ม Bluebottle ใช้ไดรเวอร์ที่ได้รับการรับรองจาก Windows ในการโจมตีธนาคาร

นักวิจัยจาก Symantec บริษัทด้านความปลอดภัยทางไซเบอร์ ได้เผยแพร่รายงานพฤติกรรมการโจมตีของกลุ่ม Bluebottle ที่ใช้ไดรเวอร์อันตรายที่ได้รับการรับรองจาก Windows เพื่อโจมตีธนาคารในฝรั่งเศส ซึ่งทำให้เกิดความเสียหายมูลค่ากว่า 11 ล้านดอลลาร์

โดยนักวิจัยพบว่ากลุ่ม Bluebottle มีเทคนิค และขั้นตอนในการโจมตีคล้ายคลึงกับกลุ่ม OPERA1ER โดยพบการใช้มัลแวร์ที่สร้างขึ้นมาเอง และชุดเครื่องมือสำเร็จรูปในการโจมตี (Open Source, Commodity, Frameworks) และได้ดำเนินการโจมตีเป้าหมายไปแล้วกว่า 35 ครั้งระหว่างปี 2018 ถึง 2020 รวมถึงคาดว่ากลุ่ม Bluebottle อาจเป็นชาวฝรั่งเศส แต่มีฐานปฏิบัติการอยู่ที่แอฟริกา โดยการโจมตีจะมุ่งเป้าไปยังประเทศในภูมิภาคต่างๆ เช่น แอฟริกา ฝรั่งเศส อาร์เจนตินา ปารากวัย และบังกลาเทศ

กลยุทธ์ เทคนิค และขั้นตอนในการโจมตีของ Bluebottle

นักวิจัยของ Symantec ได้ทำการวิเคราะห์การโจมตีของ Bluebottle ซึ่งโจมตีสถาบันการเงินสามแห่งในประเทศแอฟริกา พบว่ามีวิธีการที่คล้ายกับ OPERA1ER โดยอธิบายเครื่องมือการโจมตีไว้ดังนี้

- การใช้ Quser เพื่อค้นหาผู้ใช้งาน

- การใช้ Ping เพื่อตรวจสอบการเชื่อมต่ออินเทอร์เน็ต

- การใช้ Ngrok สำหรับช่องทางเชื่อมต่อเครือข่าย

- การใช้ Net localgroup /add สำหรับเพิ่มผู้ใช้งาน

- การใช้ Fortinet VPN client เป็นช่องทางสำรองในการเข้าถึงระบบ

- การใช้ Xcopy เพื่อคัดลอกไฟล์ wrapper RDP

- การใช้ Netsh เพื่อเปิดพอร์ต 3389 ใน Firewall

- การใช้ Autoupdatebat Tool เพื่อเปิดใช้งาน RDP หลายเซสชันพร้อมกันบนระบบ

- การใช้ SC privs เพื่อแก้ไข SSH agent permission

- การใช้ Mimikatz เพื่อดึงรหัสผ่านจากหน่วยความจำ

- การใช้ Reveal Keylogger เพื่อบันทึกการกดแป้นพิมพ์

- การใช้ NetwireRAT (remote access trojan) เพื่อเข้าถึงระบบจากระยะไกล

นอกจากที่จะใช้มัลแวร์ที่สร้างขึ้นมาใช้เอง และชุดเครื่องมือสำเร็จรูปในการโจมตี (Open Source, Commodity, Frameworks) แล้ว ยังพบว่ามีการใช้ GuLoader สำหรับการโหลดมัลแวร์ และไดรเวอร์ที่เป็นอันตรายที่ได้รับการรับรองจาก Windows Hardware Developer Program ของ Microsoft ที่ออกให้กับบริษัท Zhuhai Liancheng Technology Co., Ltd.

Fortinet และ Zoho ManageEngine ประกาศแจ้งเตือนช่องโหว่ใหม่ แนะนำให้รีบอัปเดตโดยด่วน

ช่องโหว่ FortiADC

Fortinet ประกาศการพบช่องโหว่ใหม่ใน FortiADC (Application Delivery Controller) หมายเลข CVE-2022-39947 (คะแนน CVSS: 8.6 ระดับความรุนแรงสูง) ซึ่งเป็นช่องโหว่ของคำสั่ง OS ใน FortiADC ที่ทำให้ผู้โจมตีที่สามารถเข้าถึง web GUI สามารถสั่งรันโค้ด หรือคำสั่งที่ไม่ได้รับอนุญาตผ่านทาง HTTP requests ที่ถูกสร้างขึ้นมาเป็นพิเศษได้โดยไม่ต้องผ่านการตรวจสอบสิทธิ

โดยมีผลกระทบต่อเวอร์ชันต่อไปนี้

FortiADC เวอร์ชัน 7.0.0 ถึง 7.0.2
FortiADC เวอร์ชัน 6.2.0 ถึง 6.2.3
FortiADC เวอร์ชัน 6.1.0 ถึง 6.1.6
FortiADC เวอร์ชัน 6.0.0 ถึง 6.0.4
FortiADC เวอร์ชัน 5.4.0 ถึง 5.4.5
ทาง Fortinet แนะนำให้ผู้ใช้อัปเกรดเป็น FortiADC เวอร์ชัน 6.2.4 และ 7.0.2 เพื่อปิดช่องโหว่โดยด่วน

ช่องโหว่ ManageEngine

Zoho ManageEngine ได้ประกาศการพบช่องโหว่ใหม่ใน Password Manager Pro, PAM360 และ Access Manager Plus หมายเลข CVE-2022-47523 (ระดับความรุนแรงสูง) ซึ่งเป็นช่องโหว่ SQL Injection ที่ทำให้ผู้โจมตีสามารถเข้าถึงฐานข้อมูลได้

โดยมีผลกระทบต่อเวอร์ชันต่อไปนี้

ManageEngine Password Manager Pro เวอร์ชัน 12200 หรือต่ำกว่า
ManageEngine PAM360 เวอร์ชัน 5800 หรือต่ำกว่า
ManageEngine Access Manager Plus เวอร์ชัน 4308หรือต่ำกว่า
โดยทาง Zoho ManageEngine แนะนำให้ผู้ใช้ซอฟต์แวร์เวอร์ชันที่มีช่องโหว่รีบอัปเดตเพื่อปิดช่องโหว่โดยด่วน

ที่มา : thehackernews.

Qualys บริษัทด้านความปลอดภัยทางไซเบอร์รายงานการพบ BitRAT malware ได้นำข้อมูลที่ขโมยมาของลูกค้าธนาคารในโคลอมเบียมาใช้ในการโจมตีด้วย Email Phishing เพื่อทำการติดตั้ง BitRAT malware ซึ่งเป็นโทรจันที่ใช้ในการควบคุม และสั่งการจากระยะไกล (Remote Access Trojan) รวมไปถึงยังมีความสามารถในการโจมตีเป้าหมายได้หลากหลายวิธี เช่น การบันทึกวิดีโอ และเสียง, การโจรกรรมข้อมูล, การโจมตีแบบ DDoS, การขุด cryptocurrency และการส่ง payload ของการโจมตีอื่น ๆ เพิ่มเติม

การโจมตีของ BitRAT

BitRAT malware จะถูกส่งไปยังคอมพิวเตอร์ของเหยื่อผ่านทางไฟล์ Excel ซึ่งฝัง macro ที่เป็นอันตรายไว้ภายใน เมื่อเหยื่อเปิดไฟล์ขึ้นมา มันจะเรียกใช้ไฟล์ INF ที่ถูกเข้ารหัสไว้ และทำการดาวน์โหลด payload จาก GitHub repository โดยใช้ไลบรารี WinHTTP บนเครื่องที่ถูกโจมตี และดำเนินการด้วยฟังก์ชัน WinExec รวมถึงการย้ายตัวดาวน์โหลดไปยัง Windows startup โฟลเดอร์ เพื่อให้มันสามารถแฝงตัวอยู่บนเครื่องเหยื่อ และทำงานได้อีกครั้งโดยอัตโนมัติหากมีการรีบูตระบบ (Persistence)

โดย BitRAT malware ถูกพบตั้งแต่เดือนสิงหาคม 2020 และได้ถูกนำมาประกาศขายบน dark web ในราคาเพียง $20 ซึ่งสามารถใช้งานได้ตลอดไป โดยพบว่ามีกลุ่ม Hackers นำมัลแวร์ดังกล่าวมาประยุกต์ใช้ร่วมกับวิธีการโจมตีของตัวเอง เช่น phishing, watering holes และ Remote Access Trojan

 

ที่มา : bleepingcomputer

นักวิจัยด้านความปลอดภัยที่ Shadowserver Foundation ออกมาเปิดเผยว่า จากการสำรวจในวันที่ 2 มกราคม 2023 พบ MS Exchange servers ที่มีช่องโหว่ 60,865 เครื่อง ที่ยังไม่ได้รับการอัปเดต โดยในรายงานพบ MS Exchange servers ที่มีช่องโหว่ตั้งอยู่ในประเทศไทยจำนวน 231 เครื่อง ซึ่งเสี่ยงต่อการโจมตีโดย ProxyNotShell โดยที่ปัจจุบันทาง Microsoft ได้ออกอัปเดตด้านความปลอดภัยเพื่อปิดช่องโหว่ดังกล่าวไปก่อนหน้านี้แล้ว

ProxyNotShell เป็นวิธีการโจมตีช่องโหว่ที่มีหมายเลข CVE-2022-41082 และ CVE-2022-41040 ซึ่งส่งผลกระทบต่อ Exchange Server 2013, 2016 และ 2019 หาก Hackers สามารถโจมตีได้สำเร็จจะทำให้สามารถยกระดับสิทธิ์ (Privileges Escalate) และสั่งรันโค้ดที่เป็นอันตรายจากระยะไกล (Remote Code Execution) บนเครื่องที่ถูกโจมตีได้

การโจมตี ProxyShell และ ProxyLogon ที่เกิดขึ้นอย่างต่อเนื่อง

BleepingComputer พบข้อมูลว่าช่องโหว่ของ MS Exchange servers ได้ถูกกลุ่ม Hackers นำมาใช้โจมตีอยู่เป็นประจำ เช่น

กลุ่ม Play ransomware ที่ใช้ ProxyNotShell ในการหลีกเลี่ยงการตรวจจับ และสั่งรันโค้ดที่เป็นอันตรายจากระยะไกลบน Outlook Web Access (OWA) ของ MS Exchange servers ที่มีช่องโหว่

กลุ่ม FIN7 ที่ได้สร้างแพลตฟอร์ม Checkmarks ที่สร้างขึ้นเพื่อใช้ในการโจมตี MS Exchange servers ที่มีช่องโหว่โดยเฉพาะ ซึ่งจะสแกนหา และใช้ประโยชน์จากช่องโหว่ในการยกระดับสิทธิ์ และสั่งรันโค้ดที่เป็นอันตรายจากระยะไกลบนเครื่องที่สามารถโจมตีได้สำเร็จ

รวมถึง Shodan search ยังได้รายงานว่าพบ MS Exchange servers จำนวนมากที่พบว่ายังออนไลน์อยู่ แต่ยังไม่ได้รับการอัปเดตเพื่อปิดช่องโหว่ ProxyShell และ ProxyLogon ซึ่งเป็นช่องโหว่ที่ถูกโจมตีสูงสุดในปี 2021

วิธีแก้ไข

ทำการอัปเดตด้านความปลอดภัยบน MS Exchange servers 2013, 2016 และ 2019 ให้เป็นเวอร์ชันล่าสุด

 

ที่มา : bleepingcomputer

Azure Cognitive Search (ACS) เป็น full-text search engine service ของ Azure โดยนักวิจัยจาก mnemonic พบช่องโหว่ในฟีเจอร์ใหม่ของหน้า ACS portal ที่ทำให้สามารถ search ข้อมูลจาก portal ได้โดยตรง โดยไม่ผ่าน Network firewall ของ ACS instance

การทำงานของฟีเจอร์ 'Allow access from Portal' จะใช้การ Whitelist portal proxy แทนที่จะเป็น IP แล้วให้ตัว portal proxy ทำการ authentication โดยใช้ Access token แต่ว่าไม่มีการตรวจสอบว่า Access token นั้นมาจาก tenant ไหน จึงทำให้ Private ACS instance สามารถถูกเข้าถึงได้จาก tenant ไหนก็ได้ขอแค่มีการเปิดใช้งานฟีเจอร์ 'Allow access from Portal'

วิธีการแก้ไข

Microsoft ได้ทำการแก้ไขช่องโหว่โดยการลบฟีเจอร์ 'Allow access from Portal' ออก และใช้การ Whitelist IP แทนการใช้ portal proxy เรียบร้อยแล้ว

ที่มา : mnemonic

สรุปรายละเอียดของช่องโหว่

Privilege escape เป็นสิทธ์ Root ได้ใน container
Container มีสิทธ์ CAP_SYS_ADMIN ซึ่งไม่เป็นไปตาม best practice จึงทำให้สามารถเข้าถึงเครื่อง Host ได้
Host เป็น single-tenant จึงทำให้สามารถเข้าถึงได้แค่ container ใน tenant

Escalating Privileges

นักวิจัยจาก Unit42 พบว่าใน container ของ Azure function จะมี service "init" ที่สามารถ Mount disk ใน container ได้ แต่ว่าตัว service มีช่องโหว่เรื่องการ validate input นักวิจัยจึงใช้ช่องโหว่นี้สร้าง shadow ไฟล์ขึ้นมาโดยใช้ password ของตัวเองแล้ว mount ไปที่ /etc/shadow ทำให้สามารถเปลี่ยน user เป็น root ได้โดยใช้ password ที่ถูกสร้างขึ้นมาใหม่

Escape to Host

เนื่องจาก container ของ Azure function มีการกำหนดสิทธิ์ Linux Capabilities มาไม่ได้ตามมาตรฐาน (Best Practice) ทำให้มีสิทธิ์หลายอย่างเข้าเงื่อนไขของ Container escape technique ที่ชื่อว่า "notify_on_release escape" ดังนี้

มีสิทธ์ root
มี SYS_ADMIN capability
สามารถใช้ mount syscall
container ต้องอ่าน และเขียน cgroup v1 virtual filesystem ได้

หลังจากที่นักวิจัยเข้าถึงเครื่อง Host ได้แล้ว พบว่าเครื่อง Host เป็น HyperV ที่จะถูกใช้งานแค่ tenant เดียว จึงทำให้ไม่มีความเสียงที่จะเข้าถึง Container ที่อยู่ใน tenant อื่นได้ นอกเหนือว่าจะมีช่องโหว่ที่ตัว HyperV นักวิจัยจึงหยุดการทดสอบ และรายงานช่องโหว่ไปที่ Microsoft

วิธีการแก้ไข 

Microsoft ได้ patch service ที่ใช้ในการ mount โดยเพิ่มการ Validate Input โดยที่ลูกค้าไม่ต้องดำเนินการใด ๆ เพิ่มเติม

ที่มา : unit42

นักวิจัยจากทีม Fox IT ของ NCC Group รายงานว่า Citrix Application Delivery Controller (ADC) และ Citrix Gateway endpoints ยังคงตกเป็นเป้าหมายในการโจมตีจาก 2 ช่องโหว่ที่มีความรุนแรงสูง ประกอบไปด้วย CVE-2022-27510 และ CVE-2022-27518 (คะแนน CVSS scores: 9.8)

ส่งผลให้ Hacker สามารถโจมตีและสั่งรันโค้ดที่เป็นอันตรายจากระยะไกล (RCE) รวมถึงการหลบหลีกการตรวจสอบสอบสิทธิ์การเข้าถึงบน Citrix servers ที่มีช่องโหว่ได้

การตรวจสอบ

โดยนักวิจัยทำการสแกนตรวจสอบในวันที่ 11 พฤศจิกายน 2022 และพบเซิร์ฟเวอร์ Citrix ทั้งหมด 28,000 เครื่องที่ออนไลน์อยู่ ซึ่งในการระบุ Citrix servers ที่มีช่องโหว่ จำเป็นต้องระบุจากหมายเลขเวอร์ชัน ซึ่งทำให้ยังอาจไม่สามารถระบุจำนวนเครื่องที่มีช่องโหว่ได้จาก HTTP response ของเซิร์ฟเวอร์ แต่นักวิจัยก็ยังพบว่ามีค่าพารามิเตอร์บางส่วนที่มีค่าคล้าย MD5 hash ที่สามารถใช้เพื่อจับคู่กับเวอร์ชันของ Citrix ADC และ Gateway ได้

ดังนั้นนักวิจัยจึงทำการตรวจสอบกับ Citrix ADC version ทั้งหมดที่สามารถหาได้จาก Citrix, Google Cloud Marketplace, AWS และ Azure บน VM เพื่อทำการจับคู่ hash กับเวอร์ชันต่างๆ

ในส่วนของค่า hash ที่ไม่สามารถจับคู่กับเวอร์ชันได้ นักวิจัยได้ใช้วิธีค้นหาวันที่สร้างและอนุมานหมายเลขเวอร์ชันตามนั้น

การค้นพบ

โดยผลลัพธ์จากการตรวจสอบซึ่งสรุปไว้ในกราฟให้ข้อมูลว่า ส่วนใหญ่ของ Citrix ADC และ Citrix Gateway จะอยู่ในเวอร์ชัน 13.0-88.14 ซึ่งเป็นเวอร์ชันที่ได้รับการอัปเดตเพื่อแก้ไขช่องโหว่แล้ว

แต่ทั้งนี้ก็ยังพบว่ามี Citrix ADC และ Citrix Gateway อีกกว่า 3,500 เครื่อง ที่ยังอยู่ในเวอร์ชัน12.1-65.21 ที่ได้รับผลกระทบจาก 2 ช่องโหว่ที่มีความรุนแรงสูง

รวมถึงจากข้อมูลที่ได้พบว่า กลุ่มประเทศที่ทำการอัปเดตช่องโหว่อย่างรวดเร็ว ได้แก่ ประเทศสหรัฐอเมริกา เยอรมนี แคนาดา ออสเตรเลีย และสวิตเซอร์แลนด์ ทั้งนี้นักวิจัยจากทีม Fox IT ได้แนะนำว่าขอให้ผู้ดูแลระบบ Citrix Server ที่มีช่องโหว่ ดำเนินการอัปเดตช่องโหว่โดยเร่งด่วน

ที่มา : bleepingcomputer

BlackCat ransomware หรือในอีกชื่อที่เรียกว่า ALPHV ransomware ได้ปรับเปลี่ยนกลยุทธ์ในการขู่เรียกค่าไถ่เพื่อให้เหยื่อยอมที่จะจ่ายเงินเรียกค่าไถ่ โดยการสร้างเว็ปไซต์เลียนแบบเว็ปของเหยื่อที่ถูกโจมตีเพื่อเผยแพร่ข้อมูลที่ถูกขโมยออกมา ส่งผลให้ผู้ที่ตกเป็นเหยื่อของการโจมตีต้องหาวิธีในการยับยั้งการเผยแพร่ข้อมูล

BlackCat ransomware หรือ ALPHV ransomware เป็นกลุ่ม Hackers ที่มีแรงจูงใจในการโจมตี คือ เงินเรียกค่าไถ่ โดยมุ่งเป้าหมายไปยังกลุ่มสถาบันทางการเงินฝั่งสหรัฐอเมริกา ยุโรป และเอเชีย อีกทั้งยังพบว่าประเทศไทยเป็นหนึ่งในประเทศที่ตกเป็นเป้าหมายของการโจมตีเช่นกัน

วิธีการเผยแพร่ข้อมูล

เมื่อวันที่ 26 ธันวาคม 2022 กลุ่ม BlackCat ได้เผยแพร่ตัวอย่างข้อมูลที่ขโมยออกมาจากการโจมตีบริษัทที่ให้บริการทางการเงินรายหนึ่งบนเว็ปไซต์ที่อยู่บน Tor network เพื่อเรียกค่าไถ่ แต่เนื่องจากเหยื่อไม่ตอบสนองกลับมา กลุ่ม BlackCat จึงเผยแพร่ไฟล์ที่ถูกขโมยทั้งหมดเพื่อเป็นบทลงโทษสำหรับเหยื่อที่ไม่ยอมจ่ายค่าไถ่ ซึ่งเป็นขั้นตอนตามมาตรฐานสำหรับกลุ่มแรนซัมแวร์ แต่ด้วยวิธีการใหม่นั่นคือการสร้างเว็ปไซต์เลียนแบบเว็ปของเหยื่อเพื่อเผยแพร่ไฟล์ที่ขโมยมา

โดยเว็บไซต์เลียนแบบนี้มีข้อมูลที่ถูกขโมยออกมาจำนวนมาก ตั้งแต่บันทึกพนักงาน, แบบฟอร์มการชำระเงิน, ข้อมูลพนักงาน, ข้อมูลเกี่ยวกับทรัพย์สินและค่าใช้จ่าย, ข้อมูลทางการเงินสำหรับคู่ค้าและการสแกนหนังสือเดินทาง โดยมีขนาดประมาณ 3.5 GB สามารถดาวน์โหลดได้จากบริการไฟล์แชร์ที่ไม่ระบุตัวตนและเว็ปไซต์บน Tor network

โดยตอนนี้ยังไม่ทราบแน่ชัดว่าวิธีการนี้จะประสบความสำเร็จเพียงใด ซึ่งพบว่ามีจำนวนผู้เข้าถึงจำนวนมากขึ้นเรื่อย ๆ เนื่องจากข้อมูลไม่มีข้อจำกัดในการเข้าถึงใด ๆ ทั้งสิ้น แต่คาดว่าวิธีการและกลยุทธ์ในการขู่กรรโชกนี้ จะถูกนำไปใช้โดยกลุ่ม Hackers อื่น ๆ ต่อไปในอนาคต

ที่มา : bleepingcomputer