ผู้เชี่ยวชาญจาก Cyble พบแรนซัมแวร์ตัวใหม่ 'AXLocker' ซึ่งนอกจากจะเข้ารหัสไฟล์บนเครื่องเหยื่อแล้ว ยังขโมยข้อมูล Discord accounts ของเหยื่อออกไปเพื่อเรียกค่าไถ่ด้วย

โดยปกติแล้วเมื่อผู้ใช้งาน Login เข้าสู่ระบบ Discord ด้วยข้อมูลประจำตัว แพลตฟอร์มจะทำการส่งโทเค็นเพื่อตรวจสอบสิทธิ์ผู้ใช้งาน ซึ่งจะถูกเก็บไว้บนเครื่องคอมพิวเตอร์ โดยโทเค็นนี้สามารถใช้ยืนยันตัวตนเพื่อเข้าสู่ระบบในฐานะของผู้ใช้งาน ซึ่งทำให้หากผู้โจมตีได้โทเค็นดังกล่าวไป อาจทำให้สามารถควบคุมบัญชี และยังใช้ส่งคำขอ API ในการดึงข้อมูลเกี่ยวกับบัญชีที่เกี่ยวข้องได้

เนื่องจาก Discord เป็นทางเลือกสำหรับแพลตฟอร์ม NFT และกลุ่มสกุลเงินดิจิตอล ทำให้การขโมยโทเค็นของผู้ใช้งานเป็นเป้าหมายหลักของผู้โจมตี เพื่อใช้ในการขโมยเงิน และหลอกลวงการทำธุรกรรมต่าง ๆ ในส่วนของการเข้ารหัส แรนซั่มแวร์จะกำหนดเป้าหมายไฟล์บางนามสกุล และ exclude บาง folder

เมื่อทำการเข้ารหัสไฟล์ AXLocker จะไม่เพิ่มนามสกุลใด ๆ ต่อท้ายไฟล์ ซึ่งทำให้ผู้ใช้งานมองเห็นชื่อไฟล์เป็นชื่อไฟล์ปกติ จากนั้น AXLocker จะส่งรหัสของเหยื่อ รวมถึงรายละเอียดข้อมูลที่เก็บไว้บนเบราว์เซอร์ และโทเค็น Discord ไปยัง Discord ของผู้โจมตีโดยการใช้ webhook URL ซึ่งการขโมยโทเค็นจะใช้การสแกนไดเร็กทอรีดังต่อไปนี้เพื่อค้นหาโทเค็น

Discord\Local Storage\leveldb
discordcanary\Local Storage\leveldb
discordptb\leveldb
Opera Software\Opera Stable\Local Storage\leveldb
Google\Chrome\User Data\\Default\Local Storage\leveldb
BraveSoftware\Brave-Browser\User Data\Default\Local Storage\leveldb
Yandex\YandexBrowser\User Data\Default\Local Storage\leveldb

จากนั้นเหยื่อที่ถูกโจมตีจะได้รับป๊อปอัปที่มีข้อความเรียกค่าไถ่แจ้งว่าข้อมูลถูกเข้ารหัส และวิธีติดต่อผู้โจมตี โดยในข้อความไม่มีการระบุจำนวนเงินค่าไถ่ไว้ เหยื่อมีเวลาเพียง 48 ชั่วโมงในการติดต่อกลับผู้โจมตี เพื่อถอดรหัส หรือปลดล็อคไฟล์ข้อมูล ดังนั้นหากพบว่า AXLocker เข้ารหัสคอมพิวเตอร์ของคุณ ให้รีบเปลี่ยนรหัสผ่าน Discord โดยทันที เพราะจะทำให้โทเค็นที่ถูกขโมยไปไม่สามารถใช้งานได้

ที่มา: bleepingcompute

พบการโจมตีแบบ phishing รูปแบบใหม่ โดยการใช้ช่องโหว่ Zero-day บน Windows เพื่อแพร่กระจายมัลแวร์ Qbot โดยทำให้ Windows ไม่แสดงคำเตือนด้านความปลอดภัย (Mark of the Web) เมื่อผู้ใช้งานพยายามเปิดไฟล์ ซึ่งโดยปกติ Windows จะแสดงคำเตือนลักษณะดังกล่าวเมื่อมีการเปิดไฟล์ที่ต้องสงสัยที่ถูกดาวน์โหลดมาจากอินเทอร์เน็ต หรือจากไฟล์แนบในอีเมล ซึ่งจะถูกเรียกว่า Mark of the Web (MoTW)

เมื่อเดือนที่ผ่านมา ทีมข่าวกรองด้านภัยคุกคามของ HP รายงานว่ามีการโจมตีแบบ phishing ที่ใช้แพร่กระจายมัลแวร์เรียกค่าไถ่ Magniber โดยการใช้ไฟล์ JavaScript

โดยไฟล์ JavaScript เหล่านี้ไม่ใช่ไฟล์ในลักษณะที่ใช้กันทั่วไปในเว็บไซต์ แต่ไฟล์ .JS ที่ถูกใช้โดยผู้โจมตีเป็นไฟล์แบบสแตนด์อโลนที่มีนามสกุล '.JS' ที่จะถูกเรียกใช้งานโดย Windows Script Host (wscript.

เมื่อสัปดาห์ที่ผ่านมาพบสายการบินที่ให้บริการในประเทศไทย 2 สายการบินถูกโจมตี และถูกขโมยข้อมูลภายในออกไปได้ โดยทั้ง 2 สายการบินถูกโจมตีโดย Ransomware คนละกลุ่มในเวลาไล่เรี่ยกัน

โดยการโจมตีครั้งแรกพบเมื่อวันที่ 11 พฤศจิกายน 2565 จากกลุ่ม Daixin ransomware ได้โจมตีสายการบิน AirAsia ซึ่งทำให้ได้ข้อมูลผู้โดยสารของสายการบินออกไปได้กว่า 5 ล้านรายการ รวมถึงข้อมูลพนักงานทั้งหมด ซึ่งจากการตรวจสอบบนไฟล์ CSV 2 ไฟล์ที่ถูกเผยแพร่ไว้บนเว็ปไซต์ของทางกลุ่ม พบว่าข้อมูลไฟล์ในไฟล์ส่วนของผู้โดยสารประกอบไปด้วย รหัสผู้โดยสาร ชื่อ รหัสการจอง ค่าตั๋วโดยสาร เป็นต้น และในส่วนของพนักงานสายการบินจะประกอบไปด้วย รูปถ่าย คำถามลับต่าง ๆ ข้อมูลการเกิด และสัญชาติ เป็นต้น

ทั้งนี้ทางกลุ่มยังได้ระบุว่า พวกเขาได้หลีกเลี่ยงการเข้ารหัสข้อมูลสำคัญที่เชื่อมต่อกับอุปกรณ์การบิน เพื่อหลีกเลี่ยงผลกระทบที่อาจทำให้เกิดอันตรายถึงชีวิตไว้ด้วย

ต่อมาเมื่อวันที่ 20 พฤศจิกายน 2565 ที่ผ่านมา พบว่ามีการเผยแพร่ข้อมูลของสายการบิน Nok Air อยู่บนเว็ปไซต์ของกลุ่ม ALPHV ซึ่งทางกลุ่มระบุว่าได้ทำการโจมตี และได้ข้อมูลออกมาแล้วกว่า 500 GB โดยข้อมูลที่ได้ออกมานั้น จะประกอบไปด้วยโฟลเดอร์ ไฟล์ และข้อมูลที่เก็บอยู่ในหลายโฟลเดอร์ ไฟล์เอกสาร สเปรดชีต และอื่นๆ โดยจากรูปที่กลุ่มผู้โจมตีเผยแพร่ออกมาจะพบว่าไฟล์บางไฟล์ที่ชื่อว่า refund to customers.

AWS AppSync เป็น serverless GraphQL ที่สามารถเชื่อมต่อกับ Lambda functions, DynamoDB, RDS, external APIs และยังสามารถเรียกใช้งาน AWS APIs ได้โดยตรง

การ assume role กับ Role ที่ผูกอยู่กับ AppSync

ในการที่จะผูก Role กับ AppSync ได้ ปกติแล้ว Role นั้นต้องใน Account เดียวกันกับ AppSync เท่านั้น แต่ว่านักวิจัยสามารถ Bypass การตรวจสอบ parameter 'serviceRoleArn' ด้วยการเปลียน parameter เป็นตัวพิมพ์เล็กทั้งหมด 'servicerolearn' ซึ่งทำให้นักวิจัยสามารถผูก Role จาก account ใดก็ได้ขอเพียงแค่รู้ชื่อ Role และมี Trust policy ให้ service AppSync assume role ได้

เมือนักวิจัยสามารถผูก AppSync กับ Role ของ account เป้าหมายได้แล้ว นักวิจัยจะสามารถเข้าถึงหรือแก้ไข AWS resource ของ Account เป้าหมายได้

การแก้ไข

AWS ได้ทำการวิเคราะห์ Service Log ตั้งแต่เริ่มการ Launch service AppSync ซึ่งไม่พบว่ามีการโจมตีด้วยช่องโหว่ดังกล่าว และได้ทำการแก้ไขช่องโหว่เรียบร้อยแล้วโดยที่ผู้ใช้งานไม่ต้องดำเนินการใด ๆ เพิ่มเติม

ที่มา : securitylabs.

FBI และ CISA เปิดเผยข้อมูลของกลุ่มแฮ็กเกอร์ที่คาดว่าได้รับการสนับสนุนจากรัฐบาลอิหร่าน ในเหตุการณ์การโจมตีองค์กร Federal Civilian Executive Branch (FCEB) เพื่อติดตั้งมัลแวร์ XMRig cryptomining ซึ่งในครั้งนี้ผู้โจมตีเข้าสู่เครือข่ายผ่านเซิร์ฟเวอร์ VMware Horizon ที่ไม่ได้แพตช์ ผ่านช่องโหว่ Log4Shell (CVE-2021-44228)

ลักษณะการโจมตี

ผู้โจมตีใช้ประโยชน์จากช่องโหว่ Log 4Shell ในการเข้าไปยังเซิร์ฟเวอร์ VMware Horizon ที่ไม่ได้แพตช์
เมื่อเข้าสู่ VMware Horizon ได้แล้ว มันจะทำการติดตั้ง XMRig cryptomining
หลังจากติดตั้ง Cryptocurrency แล้ว ผู้โจมตีได้ใช้เทคนิค lateral Movement ไปยัง Domain Controller (DC) เพื่อทำการขโมย Credential
เมื่อได้ Credential ที่ต้องการแล้ว ผู้โจมตีจะทำการตั้งค่า Reverse Proxy บนเซิร์ฟเวอร์ที่ถูกโจมตีเพื่อให้มัลแวร์สามารถแฝงตัวอยู่ภายในเครือข่าย

จากเหตุการณ์ทั้งหมด หน่วยงานรัฐบาลกลางของสหรัฐอเมริกาทั้งสองแห่งระบุว่าองค์กรใดที่ยังไม่ได้อัปเดตแพตช์ Log4Shell บนระบบ VMware ให้คาดหมายว่าองค์กรนั้นถูกโจมตีไปเรียบร้อยแล้ว ปละแนะนำให้เริ่มตรวจสอบพฤติกรรมที่ผิดปกติภายในเครือข่ายทันที

Log4Shell สามารถถูกใช้ในการโจมตีจากระยะไกลเพื่อเข้าถึงเซิร์ฟเวอร์ที่มีช่องโหว่ จากนั้นมันจะทำการ lateral Movement เพื่อเข้าถึงระบบอื่น ๆ ในองค์กรเพื่อขโมยข้อมูลที่สำคัญ ซึ่งหลังจากที่มีการเปิดเผยข้อมูลของช่องโหว่ดังกล่าวออกมาในเดือนธันวาคม 2021 ผู้โจมตีหลายรายก็เริ่มมีการสแกนหา และใช้ประโยชน์จากช่องโหว่นี้ในทันที โดยตั้งแต่เดือนมกราคมที่ผ่านมา มีผู้ที่ใช้ช่องโหว่นี้โจมตีเป็นจำนวนมาก เช่น กลุ่มแฮ็กเกอร์ชาวจีนใช้สำหรับNight Sky ransomware, กลุ่ม Lazarus จากเกาหลีเหนือสำหรับการติดตั้ง information stealers, กลุ่มแฮ็กเกอร์ TunnelVision ใช้ช่องโหว่เพื่อติดตั้ง Backdoors เป็นต้น

แนวทางการป้องกัน

อัปเดตระบบ VMware Horizon และ Unified access gateway (UAG) ที่ได้รับผลกระทบเป็นเวอร์ชันล่าสุด
ลดจำนวนระบบที่เป็น Internet-facing ให้เหลือน้อยที่สุด
ดำเนินการทดสอบและตรวจสอบ Security Program ขององค์กรให้สามารถตรวจจับภัยคุกคามได้โดยอ้างอิงกับ MITER ATT&CK for Enterprise framework
ดำเนินการทดสอบความปลอดภัยที่มีอยู่ขององค์กรโดยใช้เทคนิค ATT&CK โดยทดสอบดังนี้ hxxps://www[.]cisa[.]gov/uscert/ncas/alerts/aa22-320a#:~:text=fbi[.]gov[.]-,Mitigations,-CISA%20and%20FBI

 

ที่มา : bleepingcomputer

หน่วยงานทางด้านความปลอดภัยทางไซเบอร์ของยูเครน (CERT-UA) ประกาศแจ้งเตือนการแพร่กระจายของแรนซัมแวร์สายพันธุ์ใหม่ที่ชื่อว่า Somnia โดยระบุว่าเป็นปฏิบัติการภายใต้ชื่อว่า 'From Russia with Love' (FRwL) โดยกลุ่ม Z-Team หรืออีกชื่อหนึ่งคือ UAC-0118 โดยการฝังมัลแวร์ไว้บนเว็บไซต์ปลอมเพื่อใช้สำหรับขโมยข้อมูล และเพื่อขัดขวางการทำงานขององค์กรต่าง ๆ ในยูเครน

โดยกลุ่มแฮ็กเกอร์ได้ใช้เว็บไซต์ปลอมที่เลียนแบบซอฟต์แวร์ "Advanced IP Scanner" เพื่อหลอกให้พนักงานขององค์กรต่าง ๆ ในยูเครนให้ดาวน์โหลดโปรแกรมมาติดตั้ง ซึ่งจริง ๆ แล้วโปรแกรมดังกล่าวคือมัลแวร์ Vidar stealer ซึ่งจะถูกใช้เพื่อขโมย Telegram session เพื่อเข้าควบคุมบัญชี Telegram ของเหยื่อ

โดย **CERT-UA ระบุว่าแฮ็กเกอร์จะใช้บัญชี Telegram ของเหยื่อเพื่อขโมยข้อมูลการเชื่อมต่อ VPN (authentication และ certificates) โดยถ้าบัญชี VPN ไม่ได้มีการเปิดใช้งาน multi-factor authentication แฮ็กเกอร์จะใช้บัญชีดังกล่าวเพื่อเข้าถึงเครือข่ายขององค์กรของเหยื่อ

จากนั้นแฮ็กเกอร์จะติดตั้ง Cobalt Strike beacon, Netscan, Rclone, Anydesk, และ Ngrok เพื่อปฏิบัติการรูปแบบอื่นๆ บนเครือข่ายของเหยื่อต่อไป

CERT-UA ระบุว่าตั้งแต่ฤดูใบไม้ผลิปี 2022 เป็นต้นมา ปฏิบัติการ FRwL ได้ทำการโจมตีคอมพิวเตอร์ขององค์กรยูเครนไปแล้วหลายครั้ง โดยประเภทไฟล์ที่เป็นเป้าหมายในการโจมตีของ Somnia ประกอบไปด้วย ไฟล์เอกสาร, รูปภาพ, ฐานข้อมูล, ไฟล์วิดีโอ และอื่น ๆ

โดย Somnia จะต่อท้ายนามสกุลไฟล์ที่ถูกเข้ารหัสด้วย .somnia แต่จะไม่มีการเรียกเงินค่าไถ่จากเหยื่อในกรณีที่เหยื่อต้องการจ่ายเงินสำหรับตัวถอดรหัสของไฟล์ที่ถูกเข้ารหัสไว้ เนื่องจากเป้าหมายของ Somnia คือการขัดขวางกระบวนการทำงานของเป้าหมายมากกว่าที่จะเป็นการสร้างรายได้จากการโจมตี ดังนั้นมัลแวร์ดังกล่าวน่าจะถูกสร้างมาเพื่อทำลายล้างมากกว่าการเรียกค่าไถ่แบบเดียวกับแรนซัมแวร์อื่นๆ

แนวทางการป้องกัน

ตรวจสอบแหล่งที่มาของไฟล์ก่อนดาวน์โหลด
เปิดใช้งาน Multi-Factor Authentication

ที่มา : bleepingcomputer

มัลแวร์ที่ได้รับการค้นพบครั้งนี้จะใช้ประโยชน์จากโปรโตคอล Secure Shell (SSH) เพื่อเข้าสู่ระบบเป้าหมายโดยมีเป้าหมายในการ mining cryptocurrency และทำการโจมตีแบบ Distributed Denial-of-Service (DDoS)

KmsdBot ถูกพบโดยนักวิจัยจาก Akamai Security Intelligence Response Team (SIRT) ซึ่งเป็นมัลแวร์ที่ใช้ภาษา Golang โดยกำหนดเป้าหมายไปยังบริษัทต่าง ๆ ตั้งแต่บริษัทเกมไปจนถึงแบรนด์รถหรู และบริษัทรักษาความปลอดภัย

มัลแวร์ได้รับชื่อจากไฟล์ติดตั้งที่ชื่อว่า "kmsd.

บริษัทประกันสุขภาพ Medibank ของออสเตรเลียได้ออกมายืนยันว่าข้อมูลลูกค้าปัจจุบัน และลูกค้าเก่าประมาณ 9.7 ล้านราย รั่วไหลออกไปหลังจากเกิดเหตุการณ์โจมตีจากกลุ่มแรนซัมแวร์

โดยกลุ่มแรนซัมแวร์ REvil ได้ขู่จะเผยแพร่ข้อมูลที่ขโมยมาจาก Medibank ภายใน 24 ชั่วโมง Medibank จึงออกมาประกาศขอปฏิเสธการจ่ายค่าไถ่ที่ถูกเรียกจากผู้โจมตี โดยให้เหตุผลว่าการจ่ายเงินจะยิ่งเป็นการกระตุ้นให้ผู้โจมตีดำเนินการอีก ซึ่งมีโอกาสสูงที่การจ่ายเงินจะทำให้ผู้คนจำนวนมากตกอยู่ในอันตราย และทำให้ออสเตรเลียเป็นเป้าหมายที่ใหญ่ขึ้น โดยข้อมูลของลูกค้าจำนวนหนึ่งที่ถูกขโมยออกไป ประกอบด้วยข้อมูลดังต่อไปนี้

ข้อมูลส่วนตัวของลูกค้าปัจจุบัน Medibank ประมาณ 5.1 ล้านราย เช่น ชื่อ วันเดือนปีเกิด ที่อยู่ หมายเลขโทรศัพท์ และอีเมล รวมถึงหมายเลข Medicare
ข้อมูลส่วนตัวของลูกค้า ahm ประมาณ 2.8 ล้านราย เช่น หมายเลขบัตรประกันสุขภาพ
ข้อมูลลูกค้าต่างชาติ ประมาณ 1.8 ล้านราย เช่น หมายเลขหนังสือเดินทางและรายละเอียดวีซ่า
ข้อมูลการเรียกร้องค่ารักษาพยาบาลสำหรับลูกค้า Medibank ahm และลูกค้าต่างชาติ ประมาณ 480,000 ราย
ข้อมูลผู้ให้บริการด้านสุขภาพ เช่น ชื่อ หมายเลขผู้ให้บริการ และที่อยู่

Medibank ยืนยันว่าผู้โจมตีไม่ได้ข้อมูลที่เกี่ยวกับการเงิน และเอกสารระบุตัวตนแต่อย่างใด อย่างไรก็ตาม Medibank ยังคงแนะนำให้ลูกค้าระมัดระวังการสื่อสาร และการทำธุรกรรมทางออนไลน์ทั้งหมด เนื่องจากกลุ่มแฮ็กเกอร์อาจเผยแพร่ข้อมูล หรือพยายามติดต่อลูกค้าโดยตรง

ทั้งนี้ Medibank จะคอยให้ความช่วยเหลือในด้านสุขภาพ และสุขอนามัย และจะมีมาตรการช่วยเหลือทางการเงินแก่ลูกค้าที่ได้รับผลกระทบ รวมถึงจะให้มีการตรวจสอบความปลอดภัย และเสริมความเข้มแข็งให้กับลูกค้ายิ่งขึ้นเพื่อไม่ให้เกิดเหตุการณ์ดังกล่าวอีก

 

ที่มา : bleepingcomputer

แพลตฟอร์ม Phishing-as-a-service (PhaaS) Robin Banks กลับมาให้บริการอีกครั้งโดยบริษัทจากรัสเซีย ซึ่งเสนอมาตรการป้องกันการโจมตีแบบ Distributed Denial-of-Service (DDoS) ให้อีกด้วย

Robin Banks หยุดให้บริการไปในเดือนกรกฎาคม 2022 หลังจากที่นักวิจัยของบริษัทรักษาความปลอดภัยทางไซเบอร์ IronNet เปิดเผยว่าแพลตฟอร์มดังกล่าวเป็นบริการสำหรับการโจมตีแบบฟิชชิ่งที่กำลังได้รับความนิยมเป็นอย่างมาก และจะกำหนดเป้าหมายไปยังธนาคารต่าง ๆ เช่น Citibank, Bank of America, Capital One, Wells Fargo, PNC, US Bank, Santander, Lloyds Bank และ Commonwealth Bank จึงทำให้ Cloudflare จัดการขึ้นบัญชีดำระบบดังกล่าวทันที ซึ่งทำให้สามารถหยุดการดำเนินการของบริการ PhaaS ในครั้งนั้นได้

แต่จากรายงานครั้งใหม่จาก IronNet ระบุว่าพบการกลับมาของ Robin Banks อีกครั้ง รวมไปถึงมีมาตรการปกปิด และปกป้องแพลตฟอร์มจากการวิเคราะห์ของนักวิจัยได้ดียิ่งขึ้น โดยมีฟีเจอร์ใหม่ที่เพิ่มเข้ามาได้แก่ การ bypass multi-factor authentication (MFA) และการเปลี่ยนเส้นทางเว็ปไซต์เพื่อช่วยหลีกเลี่ยงการตรวจจับ

ในการกลับมาออนไลน์ครั้งนี้ ผู้ให้บริการของ Robin Banks หันไปหา DDoS-Guard ผู้ให้บริการอินเทอร์เน็ตของรัสเซียที่มีประวัติไม่ค่อยดี และมีลูกค้าอย่างกลุ่ม Hamas, Parler, HKLeaks และล่าสุดคือ Kiwi Farms เพื่อป้องกันไม่ให้บุคคลภายนอกสามารถเข้าไปควบคุมการดำเนินการของระบบได้ และ Robin Banks ได้เพิ่มฟีเจอร์ two-factor authentication สำหรับบัญชีของลูกค้า นอกจากนี้ช่องทางการสนทนาทั้งหมดระหว่างผู้ดูแลระบบจะทำผ่านช่องทาง Telegram

หนึ่งในฟีเจอร์ใหม่ที่นักวิเคราะห์ของ IronNet ค้นพบใน Robin Banks คือการใช้ 'Adspect' ซึ่งใช้เป็น third-party cloaker, bot filter, และ ad tracker

แพลตฟอร์ม PhaaS ใช้เครื่องมืออย่าง Adspect ในการกำหนดให้เป้าหมายถูกพาไปยังเว็บไซต์ฟิชชิ่ง ในขณะเดียวกันก็เปลี่ยนเส้นทางเครื่องมือการสแกนเพื่อใช้ตรวจสอบ และการรับส่งข้อมูลที่ไม่จำเป็นไปยังเว็บไซต์ที่ไม่เป็นอันตราย เพื่อช่วยหลีกเลี่ยงการตรวจจับ

MFA bypass

Robin Banks ใช้วิธีการติดตั้ง reverse proxy 'Evilginx2' สำหรับการโจมตีแบบ 'adversary-in-the-middle' (AiTM) เพื่อใช้ขโมยคุกกี้ที่มี authentication tokens

Evilginx2 เป็นเครื่องมือ reverse-proxy ที่สร้างการสื่อสารระหว่างเหยื่อกับเซิร์ฟเวอร์ของบริการจริง เมื่อมีการส่งคำขอเข้าสู่ระบบ และดักจับคุกกี้เซสชันระหว่างการรับ-ส่ง วิธีนี้จะช่วยให้การโจมตีแบบฟิชชิ่งสามารถ bypass MFA ได้ เนื่องจากสามารถใช้คุกกี้ที่ได้รับมาจากการล็อกอินเข้าสู่บัญชีเสมือนว่าเป็นเจ้าของจริง ๆ

Robin Banks ขายฟีเจอร์ MFA-bypass ใหม่นี้แยกต่างหาก และโฆษณาว่าใช้งานได้กับ Google, Yahoo และ Outlook 'phislets'

 

ที่มา : bleepingcomputer

Sobeys เป็นหนึ่งในสองร้านค้าปลีกขนาดใหญ่ในแคนาดา มีพนักงานถึง 134,000 คน ให้บริการเครือข่ายร้านค้า 1,500 แห่งใน 10 เมือง ภายใต้ชื่อร้านค้าปลีกหลายแห่ง รวมถึง Safeway, IGA, Foodland, FreshCo, Thrifty Foods และ Lawtons Drugs

ในการแถลงข่าวเมื่อ 7 พฤศจิกายน 2022 บริษัท Empire ซึ่งเป็นบริษัทแม่ของ Sobeys เปิดเผยว่าในขณะที่ร้านขายของยังคงเปิดอยู่ บริการบางอย่างได้รับผลกระทบจากปัญหาด้านไอทีทั่วทั้งบริษัท และยังเสริมว่ากำลังดำเนินการแก้ไขปัญหาที่ส่งผลกระทบต่อระบบไอทีเพื่อลดการหยุดชะงักของร้านค้า

ในขณะที่บริษัทยังไม่เปิดเผยข้อมูลใดๆ ที่เชื่อมโยงกับการโจมตีทางไซเบอร์ สื่อท้องถิ่นรายงานว่าหน่วยงานเฝ้าระวังข้อมูลส่วนบุคคลระดับท้องถิ่นของแคนาดาจาก Quebec และ Alberta ยืนยันว่าได้รับการแจ้งเตือน "confidentiality incident" จากผู้ค้าปลีก ซึ่งการแจ้งเตือนดังกล่าวจะถูกส่งเฉพาะหลังจากเกิดเหตุการณ์ที่มีการละเมิดเข้าถึงข้อมูลส่วนบุคคล

ตามรายงานของพนักงาน คอมพิวเตอร์ในร้านค้าที่ได้รับผลกระทบทุกเครื่องถูกล็อก โดยที่เครื่อง POS และระบบการชำระเงินยังคงออนไลน์ และทำงานได้อยู่เนื่องจากได้รับการตั้งค่าให้ทำงานบนเครือข่ายที่แยกจากกัน

จากข้อความเรียกค่าไถ่ และการเจรจาต่อรองที่ BleepingComputer ได้รับข้อมูลมาพบว่า ผู้โจมตีใช้เพย์โหลดของแรนซัมแวร์ Black Basta เพื่อเข้ารหัสระบบเครือข่ายของ Sobeys โดย BleepingComputer ได้รับแจ้งจากหลายแหล่งข่าวว่าการโจมตีเกิดขึ้นเมื่อช่วงดึกของวันที่ 4 ถึงเช้าวันที่ 5 พฤศจิกายน 2022

Ransomware Black Basta ถูกพบครั้งแรกจากการโจมตีในช่วงกลางเดือนเมษายน 2022 และหลังจากนั้นได้โจมตีบริษัททั่วโลกในอีกไม่กี่เดือนถัดมา โดยความต้องการค่าไถ่ของกลุ่มอาจแตกต่างกันไปตามขนาดของเหยื่อ แต่ BleepingComputer ทราบว่ามีเหตุการณ์อย่างน้อยหนึ่งเหตุการณ์ที่เหยื่อได้รับการเรียกค่าไถ่กว่า 2 ล้านดอลลาร์สำหรับตัวถอดรหัสเพื่อหลีกเลี่ยงไม่ให้ข้อมูลที่ถูกขโมยรั่วไหลออกไป

ภายในเดือนมิถุนายน 2022 Black Basta ได้ปรับใช้เพย์โหลดร่วมกับ QBot (QuakBot) Malware แม้จะไม่ค่อยมีรายละเอียดเกี่ยวกับกลุ่มแรนซัมแวร์นี้ แต่กลุ่มดังกล่าวอาจไม่ใช่กลุ่มใหม่ แต่เป็นแค่การรีแบรนด์ใหม่เท่านั้น เนื่องจากมีรูปแบบการเจรจาเรียกค่าไถ่ และมีความสามารถในการเจาะระบบของเหยื่อรายใหม่ได้อย่างรวดเร็ว นักวิจัยบางคนเชื่อว่า Black Basta น่าจะเชื่อมโยงกับ Conti ransomware แต่ BleepingComputer ยังไม่สามารถยืนยันข้อมูลดังกล่าวได้

นอกจากนั้นเมื่อไม่นานมานี้ Sentinel Labs ยังพบหลักฐานที่เชื่อมโยง Black Basta กับกลุ่มแฮ็คเกอร์ FIN7 ที่ใช้ภาษารัสเซีย และมีเป้าหมายแรงจูงใจทางด้านการเงิน ซึ่งทำการโจมตีเพื่อติดตั้งมัลแวร์บนระบบ POS และกำหนดเป้าหมายเป็นบริษัทหลายร้อยแห่งทั่วโลกในการโจมตีแบบสเปียร์ฟิชชิ่ง

 

ที่มา : bleepingcomputer