กลุ่มแฮ็กเกอร์ที่ชื่อว่า Worok ใช้วิธีการซ่อนมัลแวร์ภายในรูปภาพ PNG เพื่อแพร่กระจาย และขโมยข้อมูลจากเครื่องของเหยื่อ โดยไม่ทำให้ถูกตรวจจับได้จากซอฟแวร์ด้านความปลอดภัย

เหตุการณ์ดังกล่าวได้รับการยืนยันจากนักวิจัยของ Avast ซึ่งนำข้อมูลอ้างอิงที่ได้จากการค้นพบมัลแวร์ในครั้งแรกของบริษัท ESET เมื่อต้นเดือนกันยายน 2022

โดย ESET เคยเตือนว่ากลุ่ม Worok มุ่งเป้าไปยังเหยื่อระดับสูง ซึ่งรวมถึงหน่วยงานของรัฐบาลในตะวันออกกลาง เอเชียตะวันออกเฉียงใต้ และแอฟริกาใต้

รายงานของ Avast ซึ่งอ้างอิงจากหลักฐานที่ได้จากการวิเคราะห์การโจมตีของกลุ่ม Worok ซึ่งยืนยันสมมติฐานของ ESET เกี่ยวกับพฤติกรรมของการใช้ไฟล์ PNG และข้อมูลใหม่ของมัลแวร์เพย์โหลด รวมไปถึงวิธีการในการขโมยข้อมูลออกไป

การซ่อนมัลแวร์ในไฟล์ PNG

แม้ยังไม่ทราบถึงวิธีการในการเจาะเข้าสู่เครือข่าย แต่ Avast เชื่อว่า Worok มีแนวโน้มที่จะใช้วิธีการ DLL sideloading เพื่อรัน malware CLRLoader ลงในหน่วยความจำ

อ้างอิงจากหลักฐานจากเครื่องที่ถูกโจมตี ซึ่งนักวิจัยของ Avast พบ DLL สี่ตัวที่มีรหัส CLRLoaderถัดมา CLRLoader จะทำการโหลด DLL ถัดไป (PNGLoader) ซึ่งถูกแยกส่วน และฝังอยู่ในไฟล์ PNG จากนั้นจะนำไปสู่การเรียกใช้งานไฟล์ติดตั้ง 2 ไฟล์

 

การซ่อน payload ใน PNGs

Steganography คือการซ่อนโค้ดภายในไฟล์ภาพที่ดูเหมือนปกติเมื่อถูกเปิดในโปรแกรมดูรูปภาพ

ในเคสของ Worok, Avast ระบุว่าผู้โจมตีใช้เทคนิคที่เรียกว่า "least significant bit (LSB) encoding" ซึ่งใช้การฝัง code ที่เป็นอันตรายขนาดเล็กลงในบิตที่มีความสำคัญน้อยที่สุดในพิกเซลของภาพ

Payload แรกที่แยกจากบิตเหล่านั้นโดย PNGLoader คือ PowerShell script ที่ทั้ง ESET และ Avast ไม่สามารถดึงข้อมูลออกมาได้

Payload ที่สองที่ซ่อนอยู่ในไฟล์ PNG คือ .NET C# info-stealer (DropBoxControl) ที่ถูกสร้างขึ้นเอง และใช้ DropBox เป็น C2 server, เก็บข้อมูลที่ถูกขโมยออกมา และอื่น ๆ

การโจมตีด้วย DropBox

มัลแวร์ 'DropBoxControl' จะใช้บัญชี DropBox ที่ถูกควบคุมโดยผู้โจมตีเพื่อรับข้อมูล และคำสั่ง หรืออัปโหลดไฟล์จากเครื่องที่ถูกโจมตี

คำสั่งจะถูกเก็บไว้ในไฟล์ที่เข้ารหัสบน DropBox ของผู้โจมตี และมัลแวร์จะรอรับคำสั่งเป็นระยะ ๆ เพื่อดำเนินการต่อไป

คำสั่งที่กำหนดไว้มีดังนี้:

เรียกใช้ "cmd /c" ด้วยพารามิเตอร์ที่กำหนด
ดำเนินการ หรือรันด้วยพารามิเตอร์ที่กำหนด
ดาวน์โหลดข้อมูลจาก DropBox ไปยังอุปกรณ์
อัปโหลดข้อมูลจากอุปกรณ์ไปยัง DropBox
ลบข้อมูลในระบบของเหยื่อ
เปลี่ยนชื่อข้อมูลในระบบของเหยื่อ
แยกข้อมูลไฟล์จากไดเร็กทอรีที่กำหนด
ตั้งค่าไดเร็กทอรีใหม่สำหรับแบ็คดอร์
ดึงข้อมูลระบบ
อัปเดตการตั้งค่าของแบ็คดอร์

Function เหล่านี้บ่งชี้ว่า Worok เป็นกลุ่มอาชญากรทางอินเทอร์เน็ตที่เน้นไปที่การขโมยข้อมูล และพยายามเจาะไปยังระบบอื่น ๆ บนเครือข่ายของเหยื่อ และแอบแฝงตัวอยู่บนระบบที่ถูกโจมตี

Avast ระบุว่าเครื่องมือที่ถูกใช้โดย Worok นั้นไม่ได้ถูกนำมาใช้อย่างแพร่หลาย ดังนั้นจึงมีแนวโน้มว่าเครื่องมือเหล่านี้จะถูกสร้างขึ้นมา และนำใช้ภายในกลุ่มดังกล่าวเท่านั้น

 

ที่มา : bleepingcomputer

มัลแวร์ที่มีความสามารถในการขโมยข้อมูลตัวใหม่ชื่อ 'StrelaStealer' กำลังถูกนำมาใช้เพื่อขโมยข้อมูล credential ของบัญชีอีเมลจาก Outlook และ Thunderbird อย่างแพร่หลายในปัจจุบัน โดยพฤติกรรมของมัลแวร์ตัวนี้จะพยายามขโมยข้อมูลจากแหล่งข้อมูลต่าง ๆ ทั้งเบราว์เซอร์, cryptocurrency wallet apps, แอพเกมบนคลาวด์ และคลิปบอร์ดอื่น ๆ นักวิเคราะห์จาก DCSO CyTec ซึ่งเป็นผู้ค้นพบมัลแวร์ดังกล่าวรายงานว่า พบพฤติกรรมของมัลแวร์ครั้งแรกเมื่อต้นเดือนพฤศจิกายน พ.ศ. 2565 โดยตัวมัลแวร์มีการกำหนดเป้าหมายไปยังผู้ใช้งานในประเทศสเปน

ไฟล์ที่เป็นอันตราย

StrelaStealer เข้าถึงระบบของเหยื่อผ่านทางอีเมลโดยจะแนบไฟล์ที่เป็นอันตรายมาด้วย ซึ่งส่วนใหญ่จะเป็นไฟล์ ISO และมีไฟล์ติดตั้ง 'msinfo32.exe' อยู่ภายใน หรือในบางกรณีจะมีไฟล์ LNK ('Factura.

ช่องโหว่ Repojacking บน GitHub ทำให้ผู้โจมตีสามารถเข้าถึง Repositories ของผู้ใช้รายอื่น

GitHub ได้ทำการแก้ไขช่องโหว่ระดับความรุนแรงสูง ที่อาจถูกนำไปใช้ประโยชน์เพื่อสร้าง repositories ที่เป็นอันตราย เพื่อใช้ในการโจมตีแบบ supply chain attack ได้

เทคนิคดังกล่าวถูกเรียกว่า RepoJacking ซึ่งถูกเปิดเผยโดยนักวิจัยจากบริษัท Checkmarx โดยเป็นวิธีการ bypass กลไกการป้องกันที่ช่วยป้องกันไม่ให้นักพัฒนาดึง repositories ที่ไม่ปลอดภัยที่มีชื่อแบบเดียวกัน โดยช่องโหว่นี้ได้รับการแก้ไขไปแล้วเมื่อวันที่ 19 กันยายน 2565 ที่ผ่านมา

RepoJacking จะเกิดขึ้นเมื่อ creator เดิมทำการเปลี่ยน username ซึ่งอาจทำให้ผู้โจมตีสามารถใช้ username เก่าของ creator รายนั้นเพื่อเผยแพร่ repository ปลอมในชื่อเดียวกันเพื่อที่จะหลอกลวงให้ผู้ใช้งานดาวน์โหลดได้

ถึงแม้ว่า GitHub จะมีมาตรการจัดการกับ open source project ที่มีการเปลี่ยน account หรือลบทิ้งมากกว่า 100 รายการในแต่ละสัปดาห์ แต่ Checkmarx ก็พบว่ายังมีวิธีการหลีกเลี่ยงการจัดการลักษณะนี้ได้โดยการใช้ฟีเจอร์ "repository transfer"

โดยมีวิธีการทำได้ดังนี้

ผู้โจมตีจะทำการสร้าง repository ที่มีชื่อเดียวกับ repository ที่ถูกเปลี่ยนแปลงออกไปเช่น "repo" โดยใช้ชื่อ user name ว่า "helper" ซึ่งจริง ๆ เจ้าของเดิมของ repository ดังกล่าวใช้ชื่อ user name ว่า "victim"
จากนั้น "helper" จะโอนความเป็นเจ้าของของ repository "repo" ไปยังบัญชีที่สองด้วยชื่อ user name ว่า "attacker"
จากนั้น user name "attacker" จะเปลี่ยนชื่อผู้ใช้กลับไปเป็น "victim"
ซึ่งจะทำให้ namespace ของ "victim/repo" จะกลายเป็นอยู่ภายใต้การควบคุมของผู้โจมตีทันที

โดยหากสามารถทำได้สำเร็จ อาจทำให้ผู้โจมตีสามารถใช้งาน repositories ดังกล่าวเพื่อการโจมตีแบบ supply chain attack ได้

Aviad Gershon นักวิจัยของ Checkmarx ระบุว่า "หากไม่ได้รับการแก้ไขอย่างถูกต้อง user name ที่ถูกเปลี่ยนทั้งหมดบน GitHub มีความเสี่ยงต่อการถูกนำไปใช้ในการโจมตีในลักษณะนี้ ซึ่งรวมถึงแพ็คเกจมากกว่า 10,000 แพ็คเกจบน Go, Swift และ Packagist อีกด้วย"

ที่มา : thehackernews.

ผู้เชี่ยวชาญจาก Phylum ค้นพบแพ็คเกจที่เป็นอันตรายจำนวน 29 รายการบน Python Package Index (PyPI) ที่เป็นแหล่งรวมโปรแกรม และไลบรารีเสริมของ Python โดยแพ็คเกจทั้งหมดเป็นส่วนหนึ่งของมัลแวร์ที่มีชื่อว่า W4SP Stealer

รายละเอียดการโจมตี

การโจมตีเริ่มตั้งแต่วันที่ 12 ตุลาคมที่ผ่านมา และดำเนินการมาจนถึงวันที่ 22 ตุลาคม มียอดการดาวน์โหลดแพ็คเกจทั้งหมดรวมกว่า 5,700 ครั้ง
ผู้โจมตีจะทำการฝังสคริปที่เป็นอันตรายลงในไฟล์ setup.

Microsoft รายงานถึงการเพิ่มขึ้นของการโจมตีจากการใช้ประโยชน์จากช่องโหว่ Zero-Day โดยมีเป้าหมายไปยังองค์กรต่าง ๆ ทั่วโลก และแนะนำให้องค์กรที่ได้รับผลกระทบแก้ไขช่องโหว่ดังกล่าวโดยทันที ซึ่งการโจมตีรูปแบบนี้สอดคล้องกับคำแนะนำจากหน่วยงานความมั่นคงไซเบอร์ของสหรัฐอเมริกา (CISA) ที่ได้ระบุไว้ในเดือนเมษายนที่ผ่านมา ซึ่งพบว่าผู้ไม่หวังดีมุ่งเป้าไปที่ช่องโหว่ของซอฟต์แวร์ที่ใช้กันอย่างแพร่หลายทั่วโลก เพื่อขโมยทรัพย์สินของเป้าหมาย

Microsoft พบว่ากลุ่มแฮ็กเกอร์ใช้เวลาโดยเฉลี่ย 14 วัน ในการโจมตีช่องโหว่หลังจากที่ได้มีการประกาศสู่สาธารณะ โดยปกติช่องโหว่ระดับ Zero-day จะเกิดขึ้นกับอุปกรณ์ใดอุปกรณ์หนึ่งแบบเฉพาะเจาะจง และมีแนวโน้มที่จะถูกนำไปใช้ในการโจมตีจริง เนื่องจากส่วนใหญ่จะยังไม่มีแพตช์สำหรับแก้ไขออกมา

รายละเอียดช่องโหว่ที่ถูกรายงานโดย Microsoft มีดังต่อไปนี้

CVE-2021-35211 (CVSS score: 10.0) - ช่องโหว่การเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกลของ SolarWinds Serv-U Managed File Transfer Server และ Serv-U Secure FTP software
CVE-2021-40539 (CVSS score: 9.8) - ช่องโหว่ bypass การตรวจสอบสิทธิ์ใน Zoho ManageEngine ADSelfService Plus
CVE-2021-44077 (CVSS score: 9.8) - ช่องโหว่การเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกลที่ไม่ผ่านการตรวจสอบสิทธิ์ใน Zoho ManageEngine ServiceDesk Plus
CVE-2021-42321 (CVSS score: 8.8) - ช่องโหว่การเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกลใน Microsoft Exchange Server
CVE-2022-26134 (CVSS score: 9.8) - ช่องโหว่ Object-Graph Navigation Language (OGNL) ใน Atlassian Confluence

Microsoft เตือนให้ทุกองค์กรรีบอัปเดตแพตช์เพื่อแก้ไขช่องโหว่โดยทันทีหลังจากที่ผู้ให้บริการปล่อยออกมา

 

ที่มา : thehackernews

นักวิจัยด้านความปลอดภัยจาก Sentinel Labs ได้เปิดเผยหลักฐานความเชื่อมโยงกันระหว่างกลุ่มแรนซัมแวร์ Black Basta กับกลุ่มแฮ็กเกอร์ที่มีจุดมุ่งหมายทางด้านการเงิน กลุ่ม FIN7 หรือที่รู้จักกันในชื่อ "Carbanak

เมื่อนักวิจัยทำการวิเคราะห์เครื่องมือต่าง ๆ ที่กลุ่มแรนซัมแวร์ใช้ในการโจมตี พบว่ามีสัญญาณบ่งชี้ว่าตั้งแต่เดือนมิถุนายน 2565 นักพัฒนาของกลุ่มแฮ็กเกอร์ FIN7 เป็นผู้เขียนเครื่องมือเพื่อใช้ในการหลบเลี่ยงการตรวจจับจาก EDR (Endpoint Detection and Response) ซึ่งถูกนำไปใช้โดยกลุ่ม Black Basta โดยเฉพาะอีกด้วย

หลักฐานเพิ่มเติมที่เชื่อมโยงทั้งสองกลุ่มรวมไปถึงที่อยู่ IP ที่กลุ่มแฮ็กเกอร์ FIN7 ใช้ในช่วงต้นปี 2565 และ TTP ที่เฉพาะเจาะจง (tactics, techniques, and procedures) ที่ถูกพบในการโจมตีโดย Black Basta ที่เกิดขึ้นจริงในหลายเดือนต่อมา

โดย FIN7 เป็นกลุ่มแฮ็กเกอร์ที่ใช้ภาษารัสเซีย และมีจุดมุ่งหมายทางด้านการเงิน ซึ่งถูกพบมาตั้งแต่ปี 2558 โดยการใช้มัลแวร์ POS และ spear-phishing กับบริษัทหลายร้อยแห่ง

รายงานของ Mandiant ในปี 2565 ระบุว่ากลุ่มแฮ็กเกอร์ FIN7 กำลังทำงานร่วมกับกลุ่มแรนซัมแวร์ต่าง ๆ รวมถึง Maze, Ryuk, Darkside และ BlackCat/ALPHV

Black Basta เป็นกลุ่มแรนซัมแวร์ที่เปิดตัวครั้งแรกในเดือนเมษายน พ.ศ. 2565 ด้วยการประกาศรายชื่อเหยื่อที่มีชื่อเสียงหลายรายในทันที ซึ่งนักวิเคราะห์หลายคนเชื่อว่านี่คือการรีแบรนด์ของ Conti หรืออย่างน้อยก็มีสมาชิกจากการดำเนินการของกลุ่มที่เคยปิดตัวไป

ตั้งแต่เดือนมิถุนายน 2565 มีการสังเกตว่า Black Basta ได้มีการใช้เครื่องมือสำหรับหลบเลี่ยงการตรวจจับจาก EDR ที่ถูกพัฒนาขึ้นเองเพื่อใช้ภายในกลุ่มเท่านั้น

เมื่อ Sentinel Labs เจาะลึกเข้าไปในเครื่องมือนี้จะพบ "WindefCheck.

RomCom RAT ยังคงพัฒนาแคมเปญการโจมตีอย่างต่อเนื่องด้วยซอฟต์แวร์ปลอม เช่น SolarWinds Network Performance Monitor, KeePass password manager และ PDF Reader Pro

เป้าหมายของแฮ็กเกอร์คือหน่วยงานในประเทศยูเครน และประเทศที่ใช้ภาษาอังกฤษเป็นหลักอย่างเช่น สหราชอาณาจักร

การค้นพบล่าสุดเกิดขึ้นหนึ่งสัปดาห์หลังจากที่บริษัทรักษาความปลอดภัยทางไซเบอร์ของแคนาดาเปิดเผยแคมเปญ spear-phishing ที่มุ่งเป้าไปที่หน่วยงานในประเทศยูเครนเพื่อแพร่กระจายโทรจันที่ชื่อว่า RomCom RAT นอกจากนี้ยังการใช้ซอฟต์แวร์ปลอมของ Advanced IP Scanner และ pdfFiller เพื่อแพร่กระจายโทรจันด้วยเช่นเดียวกัน

โดยแคมเปญดังกล่าวมีการตั้งชื่อเว็ปไซต์ที่มีชื่อโดเมนคล้ายกันกับซอฟต์แวร์จริง แต่ไฟล์ติดตั้งจะเป็นซอฟแวร์ที่มีมัลแวร์ฝังอยู่ ซึ่งจะถูกส่งไปพร้อมกับอีเมลฟิชชิ่งไปยังเป้าหมาย

แม้ว่าจะดาวน์โหลดรุ่นทดลองใช้ฟรีจากเว็ปไซต์ของ SolarWinds ปลอม แต่ก็จะมีแบบฟอร์มสำหรับการลงทะเบียนขอใช้งานที่ถูกต้อง ซึ่งหากกรอกข้อมูลครบถ้วนก็อาจจะมีพนักงานของ SolarWinds จริง ๆ ติดต่อเหยื่อกลับไปเพื่อติดตามการทดลองใช้ผลิตภัณฑ์ ซึ่งเทคนิคนี้จะยิ่งทำให้เหยื่อหลงเชื่อว่าแอปพลิเคชันที่เพิ่งดาวน์โหลด และติดตั้งนี้เป็นเวอร์ชันจริง

การใช้ RomCom RAT ยังเชื่อมโยงกับการโจมตีที่เกี่ยวข้องกับกลุ่ม Cuba ransomware และ Industrial Spy ตามรายงานจาก Palo Alto Networks Unit 42 ซึ่งกำลังติดตามการปฏิบัติการของกลุ่ม ransomware ภายใต้ชื่อกลุ่ม Tropical Scorpuis

Palo Alto Networks Unit 42 ระบุว่าตัวอย่างของ RomCom RAT ที่เป็นตัวติดตั้งสำหรับซอฟต์แวร์ Veeam Backup & Replication ที่โฮสต์อยู่บนโดเมนที่เป็นอันตรายชื่อ "wveeam[.]com" เช่นเดียวกับในกรณีของ SolarWinds หลังจากการดาวน์โหลดไฟล์ติดตั้ง ผู้ใช้งานจะถูกเปลี่ยนเส้นทางไปยังแบบฟอร์มที่ให้เหยื่อป้อนรายละเอียดข้อมูลสำหรับการลงทะเบียน และขนาดของไฟล์ติดตั้งที่ใหญ่ถึงกว่า 10GB ทำให้สามารถหลบเลี่ยงการตรวจสอบจากอุปกรณ์ด้านความปลอดภัยบางอย่างได้โดยอัตโนมัติ

 

ที่มา : thehackernews

Mozilla แก้ไขปัญหาซึ่งทำให้เว็บเบราว์เซอร์ Firefox หยุดการทำงานเมื่อคัดลอกข้อความบนอุปกรณ์ Windows 11 ที่เปิดใช้งาน Suggested Actions

โดยปัญหานี้ได้ส่งผลกระทบต่อผู้ใช้ Firefox ที่ใช้ระบบปฏิบัติการรุ่นล่าสุดของ Microsoft Windows 11 เวอร์ชัน 22H2 ซึ่งฟีเจอร์ใหม่นี้จะถูกเปิดใช้งานเป็นค่าเริ่มต้น โดยมีผู้ใช้งานรายหนึ่งระบุว่า เบราว์เซอร์จะหยุดทำงานชั่วขณะหนึ่ง (มากกว่า 20 วินาที) และไม่ตอบสนองต่อการสั่งการจากผู้ใช้งาน

โดย Mozilla ได้แก้ไขข้อผิดพลาดดังกล่าวใน Firefox 106.0.3 ซึ่งเป็นเวอร์ชันล่าสุดที่ถูกเผยแพร่เมื่อวันจันทร์ที่ผ่านมา

สำหรับผู้ที่ยังไม่สามารถอัปเดต Firefox ได้ แนะนำให้ผู้ใช้งานปิดใช้งาน Suggested Actions บน Windows 11 ไปก่อน เพื่อหลีกเลี่ยงปัญหาเว็บเบราว์เซอร์หยุดการทำงานในลักษณะดังกล่าว โดยทำตามขั้นตอนต่อไปนี้:

กดปุ่ม Windows บนแป้นพิมพ์ หรือเปิด เมนู Start แล้วพิมพ์ Clipboard ในช่องค้นหา
กดปุ่ม Enter หรือเลือก Clipboard Settings ซึ่งจะนำไปยังการตั้งค่าคลิปบอร์ดของระบบ
เลือกปิดสวิตช์ Suggested Actions

ที่มา : bleepingcomputer

โดยรายงานจาก Kaspersky ระบุว่า กลุ่มแฮ็กเกอร์ที่คาดว่าได้รับการสนับสนุนจากรัฐบาลจีนที่รู้จักกันในชื่อ Stone Panda กำลังมุ่งเป้าการโจมตีไปที่หน่วยงานของประเทศญี่ปุ่น โดยเป้าหมายประกอบไปด้วยองค์กรสื่อ การทูต องค์กรภาครัฐ และกลุ่มองค์กรที่ทำงานเกี่ยวกับการวิจัย

Stone Panda หรือที่รู้จักกันในชื่ออื่น ๆ ว่า APT10, Bronze Riverside, Cicada และ Potassium เป็นกลุ่มแฮ็กเกอร์ที่เป็นที่รู้จักจากการโจมตีองค์กรต่าง ๆ ที่ถูกระบุว่ามีความสำคัญเชิงกลยุทธ์ต่อประเทศจีน โดยคาดว่ากลุ่มดังกล่าวมีความเคลื่อนไหวมาตั้งแต่ปี 2552

กลุ่มดังกล่าวยังเชื่อมโยงกับการโจมตีโดยการใช้มัลแวร์ เช่น SigLoader, SodaMaster และเว็บเชลล์ที่ชื่อว่า Jackpot กับองค์กรต่าง ๆ ในประเทศญี่ปุ่นหลายแห่งตั้งแต่เดือนเมษายน 2564 โดย Trend Micro กำลังติดตามปฏิบัติการของกลุ่มดังกล่าวอยู่ภายใต้ชื่อ Earth Tengshe

การโจมตีครั้งล่าสุดถูกพบเมื่อระหว่างเดือนมีนาคม-มิถุนายน 2565 โดยเกี่ยวข้องกับการใช้ไฟล์ Microsoft Word ปลอม และไฟล์ self-extracting archive (SFX) ในรูปแบบ RAR ผ่านการโจมตีแบบ spear-phishing เพื่อทำการติดตั้ง backdoor ที่ชื่อว่า LODEINFO

โดยปกติผู้โจมตีจะต้องการให้เหยื่อเปิดใช้งาน macro บนไฟล์เอกสารที่เป็นอันตรายเนื่องจากต้องการให้มัลแวร์ทำงาน แต่พบว่าในเดือนมิถุนายน 2565 Stone Panda ได้เปลี่ยนไปใช้ไฟล์ SFX ที่เมื่อเปิดขึ้นมาแล้วจะแสดงเอกสาร Word ที่ดูปกติ เพื่อปกปิดพฤติกรรมที่เป็นอันตราย

(more…)

Dropbox ออกมายอมรับเหตุการณ์ข้อมูลรั่วไหล ซึ่งเกิดจากการที่ผู้โจมตีสามารถขโมย code repositories ของบริษัทออกไปกว่า 130 รายการ ภายหลังจากการเข้าถึงบัญชี GitHub โดยใช้ข้อมูลส่วนตัวของพนักงานที่ถูกขโมยจากการโจมตีแบบฟิชชิ่ง

บริษัทพบว่าถูกแฮ็กเมื่อวันที่ 14 ตุลาคม 2565 ที่ผ่านมา เมื่อ GitHub แจ้งว่ามีพฤติกรรมที่น่าสงสัย ซึ่งเกิดขึ้นหนึ่งวันก่อนที่จะมีการส่งการแจ้งเตือน จนถึงปัจจุบัน (1 พฤศจิกายน 2565) จากการตรวจสอบพบว่าข้อมูลที่ผู้โจมตีรายนี้เข้าถึงส่วนใหญ่เป็นคีย์ API ที่ใช้โดยนักพัฒนาของ Dropbox ซึ่งรวมไปถึง source code, ข้อมูลชื่อ และที่อยู่อีเมลกว่า 2000-3000 รายการ ทั้งของพนักงาน Dropbox ของลูกค้าปัจจุบัน และลูกค้าในอดีต ซึ่งปัจจุบัน Dropbox มีผู้ใช้งานที่ลงทะเบียนมากกว่า 700 ล้านคน

การโจมตีเริ่มมาจากอีเมลฟิชชิ่งที่ถูกส่งไปยังพนักงานของ Dropbox หลายคน โดยการใช้อีเมลปลอมที่แอบอ้างเป็นแพลตฟอร์ม CircleCI ซึ่งเมื่อคลิกลิงค์ จะถูก redirect ไปยังหน้า Landing Page ของฟิชชิ่งให้กรอกชื่อผู้ใช้ และรหัสผ่านของ GitHub รวมไปถึงการขอให้กรอก "One Time Password (OTP)” ด้วย

อีเมลฟิชชิ่งที่แอบอ้างเป็น CircleCI

หลังจากสามารถขโมยข้อมูลส่วนตัวของพนักงานของ Dropbox ได้ ผู้โจมตีจึงสามารถเข้าถึง GitHub ของ Dropbox และขโมย code repositories ออกไปกว่า 130 รายการ ซึ่งประกอบไปด้วยข้อมูลสำเนาของไลบรารีของ third-party ที่มีการปรับเปลี่ยนสำหรับการใช้งานของ Dropbox, ผลิตภัณฑ์ต้นแบบที่ใช้ภายใน, เครื่องมือ และ configuration files ที่ใช้โดย Security Team แต่ Dropbox ยืนยันว่า แฮ็กเกอร์ไม่สามารถเข้าถึง core apps หรือ infrastructure หลักได้ รวมไปถึงบัญชี รหัสผ่าน หรือข้อมูลการชําระเงินของลูกค้า เนื่องจากระบบเหล่านั้นมีการรักษาความปลอดภัยที่เข้มงวดมากกว่า

เพื่อตอบสนองต่อเหตุการณ์ที่เกิดขึ้น Dropbox กําลังดําเนินการด้านความปลอดภัยเพิ่มเติม โดยการใช้ WebAuthn และ hardware tokens หรือ biometric factors

ในเดือนกันยายนที่ผ่านมา ผู้ใช้งาน GitHub ทั่วๆ ไป ก็เคยตกเป็นเป้าหมายในการโจมตีในลักษณะคล้ายกัน โดยอีเมลฟิชชิ่งที่แอบอ้างเป็นแพลตฟอร์ม CircleCI และขอให้พวกเขาลงชื่อเข้าใช้บัญชี GitHub เพื่อยอมรับข้อกำหนดของผู้ใช้งาน และการอัปเดตนโยบายความเป็นส่วนตัวเพื่อใช้บริการต่อไป

โดย GitHub ระบุว่ามักจะพบการขโมยข้อมูลออกไปทันทีหลังจากที่บัญชีของผู้ใช้งานถูกเข้าถึงได้ โดยจากการตรวจสอบพบว่าผู้โจมตีส่วนใหญ่จะใช้ VPN หรือบริการ Proxy เพื่อทำให้ติดตามได้ยากขึ้น

ที่มา : bleepingcomputer.