Cisco เตือนผู้ใช้งานว่าช่องโหว่ด้านความปลอดภัย ใน Cisco AnyConnect Secure Mobility Client สำหรับ Windows กำลังถูกนำมาใช้โจมตีอยู่ในปัจจุบัน

AnyConnect Secure Mobility Client ช่วยลดความยุ่งยากในการเข้าถึง Endpoint ขององค์กร และช่วยให้พนักงานสามารถทำงานได้จากทุกที่ที่เชื่อมต่อกับ Virtual Private Network (VPN) ที่ปลอดภัยผ่าน Secure Sockets Layer (SSL) และ IPsec IKEv2

ช่องโหว่ดังกล่าวมีหมายเลข CVE-2020-3433 และ CVE-2020-3153 โดยจะสามารถทำให้ผู้โจมตีสามารถทำการโจมตีแบบ DLL hijacking และคัดลอกไฟล์ไปยังไดเร็กทอรีระบบด้วยการยกระดับสิทธิ์ หากสามารถโจมตีได้สําเร็จผู้โจมตีจะสามารถสั่งรันโค้ดที่เป็นอันตรายบนระบบของเป้าหมายด้วยสิทธิ์ของ SYSTEM

ถือว่าเป็นความโชคดีที่ช่องโหว่ทั้งสองช่องโหว่ยังต้องผ่านการตรวจสอบสิทธิ์ โดยผู้โจมตีจำเป็นต้องมีข้อมูลการเข้าใช้งานที่ถูกต้องในระบบก่อน แต่อย่างไรก็ตามผู้โจมตีก็อาจจะนำช่องโหว่ดังกล่าวไปใช้ร่วมกับช่องโหว่อื่น ๆ บน Windows เพื่อใช้ในการโจมตีได้

แม้จะผ่านมาแล้วถึง 2 ปีหลังจากที่มีแพตซ์ออกมา Cisco ได้อัปเดตคำแนะนำด้านความปลอดภัย เพื่อย้ำเตือนให้ผู้ดูแลระบบอัปเดตซอฟต์แวร์ที่มีช่องโหว่ และบล็อกการโจมตีอย่างต่อเนื่อง

"ในเดือนตุลาคม 2565 Cisco PSIRT พบรายงานว่าช่องโหว่ดังกล่าวกำลังถูกนำมาใช้โจมตีอยู่ในปัจจุบัน"

"Cisco ยังคงแนะนำอย่างยิ่งให้ผู้ใช้งานอัปเกรดซอฟต์แวร์เป็นเวอร์ชันปัจจุบันเพื่อแก้ไขช่องโหว่นี้"

คำเตือนนี้เป็นการยืนยันการประกาศจาก Cybersecurity and Infrastructure Security Agency (CISA) เมื่อวันจันทร์ว่า ช่องโหว่ด้านความปลอดภัยทั้งสอง CVE ได้ถูกเพิ่มลงในรายการ Known Exploited Vulnerabilities เรียบร้อยแล้ว

เมื่อเพิ่มในรายการช่องโหว่ของ CISA ที่ถูกโจมตีแล้ว หน่วยงาน Federal Civilian Executive Branch Agencies (FCEB) ทั้งหมดจะต้องดำเนินการแก้ไขช่องโหว่ภายในเดือนพฤศจิกายน 2021 หรือใช้มาตรการอื่นเพื่อบรรเทาผลกระทบที่อาจจะเกิดขึ้น

 

หน่วยงานความปลอดภัยทางไซเบอร์ของสหรัฐฯ ยังเรียกร้องให้ทุกองค์กรทั่วโลกจัดลำดับความสำคัญในการแก้ไขช่องโหว่ด้านความปลอดภัยเหล่านี้ แม้ว่าปกติแล้วคำสั่งดังกล่าวจะมีผลกับหน่วยงาน FCEB ของสหรัฐฯ เท่านั้น

ที่มา : https://www.

บริษัท DHL, Microsoft และ LinkedIn ได้ถูกจัดอันดับให้เป็นบริษัทที่ถูกนำมาแอบอ้างเพื่อโจมตีในรูปแบบ Phising มากที่สุด โดยคำนวนจากการพยายามโจมตีในรูปแบบ Phishing ทั่วโลก ในไตรมาสที่ 3 (กรกฏาคม - กันยายน) ของปีนี้ ซึ่ง DHL มีค่าเฉลี่ยถูกนำมาใช้กว่า 22% รองลงมาเป็น Microsoft 16% และ LinkedIn 11% ตามลำดับ

ซึ่งในปีที่แล้วการโจมตีแบบ Phishing เป็นอาชญากรรมทางอินเทอร์เน็ตที่มีการรายงานบ่อยที่สุด โดยพบว่ามีการรายงานต่อ FBI กว่า 323,972 รายงาน และทำให้เหยื่อเสียหายกว่า 44.2 ล้านดอลลาร์

ลักษณะการโจมตี

ในการโจมตี Phishing นั้น ผู้ไม่หวังดีส่วนใหญ่จะมีการใช้ชื่อหัวข้ออีเมล เช่น Urgent requests, Change a password และ Delivery or Payment ซึ่งมีประสิทธิภาพอย่างมากในการหลอกให้เหยื่อเชื่อถือ และขโมยข้อมูลของเหยื่อ

ในการโจมตี ผู้ไม่หวังดีจะอ้างว่าเป็น DHL และจะส่งอีเมลจาก “info@lincssourcing[.]com” แต่ตั้งชื่อผู้ส่งให้เป็น DHL Express โดยตั้งชื่ออีเมลว่า “Undelivered DHL (Parcel/Shipment)”

และมีการพยายามเขียนข้อความหลอกล่อให้เยื่อคลิกลิงค์ที่เป็นอันตราย “https[:]//bafybeig4warxkemgy6mdzooxeeuglstk6idtz5dinm7yayeazximd3azai[.]ipfs[.]w3s[.]link/dshby[.]html/” โดยอ้างว่าให้ไปอัปเดตที่อยู่จัดส่งพัสดุ เพื่อรับพัสดุ ซึ่ง URL นั้นเป็นเว็บไซต์ปลอมของทางผู้ไม่หวังดีที่ต้องการให้เหยื่อกรอกข้อมูล ชื่อ และรหัสผ่าน

ซึ่งหากผู้ไม่หวังดีสามารถโจมตีสำเร็จ ก็อาจจะถูกนำข้อมูลประจำตัวที่ถูกขโมยเหล่านี้ไปใช้เพื่อดึงข้อมูลบัญชีอื่น ๆ เช่น รายละเอียดการชำระเงิน หรือนำไปขายบน Darkweb เป็นต้น

แนวทางการป้องกัน

ในการโจมตี Phishing ส่วนใหญ่จะเป็นการโจมตีโดยใช้ Email ดังนั้นองค์การส่วนใหญ่ควรมีการ Awareness Training ให้กับพนักงานภายในองค์กร
พิจารณาการใช้งาน mail gateway เพื่อป้องกันการส่งไฟล์ หรือลิงค์ที่เป็นอันตรายได้ในระดับหนึ่ง
พิจารณาใช้งาน Multi factor authentication เพื่อป้องกันหากมีข้อมูลบัญชีรั่วไหลออกไป

Ref: https://www.

ช่องโหว่ Zero-day ตัวใหม่บน Windows ช่วยให้ผู้โจมตีสามารถใช้ไฟล์ JavaScript ที่เป็นอันตราย เพื่อ bypass คำเตือนด้านความปลอดภัยของ Windows ที่เรียกว่า Mark-of-the-Web ได้ ซึ่งผู้โจมตีสามารถใช้ช่องโหว่ดังกล่าวในการโจมตีด้วยแรนซัมแวร์ได้

ฟีเจอร์ที่เรียกว่า Mark-of-the-Web (MoTW) ของ Windows จะทำการระบุค่าสถานะของไฟล์ว่าถูกดาวน์โหลดมาจากอินเทอร์เน็ต ดังนั้นควรระมัดระวัง เนื่องจากอาจเป็นอันตรายได้

MoTW จะถูกเพิ่มลงในไฟล์ที่ถูกดาวน์โหลดมาจากอินเทอร์เน็ต หรือจากไฟล์แนบในอีเมล ที่เรียกว่า 'Zone.

กลุ่ม Hive ransomware-as-a-service (RaaS) ได้อ้างความรับผิดชอบในการโจมตีต่อ Tata Power ซึ่งเป็นบริษัทพลังงานแบบบูรณาการที่ใหญ่ที่สุดของอินเดีย เหตุการณ์ดังกล่าวเกิดขึ้นเมื่อวันที่ 3 ตุลาคม 2565 ที่ผ่านมา โดยผู้โจมตีได้ทำการขโมยข้อมูลก่อนที่จะทำการเข้ารหัสเป้าหมายตามแผนการโจมตีแบบ Double extortion ซึ่งข้อมูลเบื้องต้นที่ถูกเผยแพร่ได้แก่สัญญาลูกค้าที่ลงนาม เอกสารข้อตกลง ตลอดจนข้อมูลที่ละเอียดอ่อนอื่นๆ เช่น อีเมล ที่อยู่ หมายเลขโทรศัพท์ หมายเลขหนังสือเดินทาง ข้อมูลผู้เสียภาษี เป็นต้น นอกจากนี้ในข้อมูลที่ถูกเผยแพร่ออกมาบางส่วนยังพบว่ามีแบบแปลนทางวิศวกรรม บันทึกทางการเงิน และการธนาคาร รวมถึงข้อมูลลูกค้าด้วย

จากเหตุการณ์ครั้งนี้ TATA ได้ชี้แจงว่าบริษัทได้ดำเนินการตามขั้นตอนเพื่อกู้คืนระบบ และระบบที่สำคัญทั้งหมดสามารถกลับมาทำงานต่อได้ จึงมีแนวโน้มที่จะปฏิเสธที่จะจ่ายค่าไถ่ ทำให้ผู้โจมตีเตรียมเผยแพร่ข้อมูลบน Dark Web อย่าง HiveLeaks

จากสถิติที่เผยแพร่โดยผู้เชี่ยวชาญจาก Digital Shadows และ Intel 471 พบว่า Hive เป็นตระกูล ransomware ที่แพร่หลายมากเป็นอันดับสามที่พบในไตรมาสที่ 3 ปี 2565 รองจาก LockBit 3.0 และ Black Basta นอกจากนี้ยังมีความสามารถเหนือกว่า AvosLocker, BlackByte, BlackCat และ Vice Society อีกด้วย เนื่องจากมีการใช้กลวิธี เทคนิค และขั้นตอนที่หลากหลาย ทำให้ยากสำหรับองค์กรที่จะป้องกันการโจมตี

ที่มา : thehackernews

นักวิจัยด้านความปลอดภัยทางไซเบอร์พบการโจมตีรูปแบบใหม่ และเฟรมเวิร์ก C2 ที่ชื่อว่า "Alchimist" ซึ่งดูเหมือนจะถูกใช้ในการโจมตีที่มุ่งเป้าไปยังระบบปฏิบัติการ Windows, Linux และ Mac OS

เฟรมเวิร์ก และไฟล์ทั้งหมดถูกเขียนขึ้นด้วยภาษาโปรแกรมมิ่งที่ชื่อว่า GoLang ซึ่งเป็นภาษาที่ทำให้ความเข้ากันได้ของโปรแกรมในแต่ละระบบปฏิบัติการต่าง ๆ ทำได้ง่ายขึ้นมาก

Alchimist มี web-based interface ที่ใช้ภาษาจีน ซึ่งคล้ายกันกับ Manjusaka ที่เป็นเฟรมเวิร์กที่ถูกใช้หลังการโจมตี (post-exploitation) ที่พึ่งถูกพบเมื่อเร็ว ๆ นี้ ซึ่งกำลังเป็นที่นิยมในกลุ่มแฮ็กเกอร์ชาวจีน

นักวิจัยของ Cisco Talos พบว่าทั้ง 2 เฟรมเวิร์คนั้นมีความคล้ายกัน แต่ก็มีความแตกต่างทางเทคนิคมากพอที่จะสรุปได้ว่าผู้เขียนเฟรมเวิร์คทั้งสองตัวต่างคนต่างพัฒนาเฟรมเวิร์กเหล่านี้

วิธีการสร้างการโจมตี

Alchimist ช่วยให้ผู้โจมตีมีเฟรมเวิร์กที่ใช้งานได้ง่าย ซึ่งช่วยให้สามารถสร้าง และกำหนดค่าเพย์โหลดที่ติดตั้งบนอุปกรณ์ที่ถูกโจมตี เพื่อบันทึกภาพหน้าจอจากระยะไกล สั่งรัน commands ต่าง ๆ และดำเนินการเรียกใช้ shellcode จากระยะไกลได้

เฟรมเวิร์กนี้ยังสนับสนุนการสร้าง mechanisms เพื่อติดตั้ง 'Insekt' (RAT) บนอุปกรณ์ของเหยื่อ และช่วยในการสร้าง PowerShell (สำหรับ Windows) และ wget (สำหรับ Linux) สำหรับการปรับใช้ RAT

 

เพย์โหลดของ Insekt สามารถกำหนดค่าได้บนอินเทอร์เฟซของ Alchimist โดยใช้พารามิเตอร์ต่าง ๆ เช่น C2 IP/URL แพลตฟอร์ม (Windows หรือ Linux) โปรโตคอล (TLS, SNI, WSS/WS)

 

C2 Address จะถูกกำหนดไว้ในฮาร์ดโค้ด และมี self-signed certificate ซึ่งสร้างขึ้นในระหว่างการคอมไพล์ โดย C2 จะส่งคำสั่ง Ping 10 ครั้งทุกวินาที และหากความพยายามในการเชื่อมต่อทั้งหมดไม่สำเร็จ มัลแวร์จะลองใหม่อีกครั้งหลังจากผ่านไปหนึ่งชั่วโมง

Insekt RAT

เซิร์ฟเวอร์ Alchemist C2 จะส่งคำสั่งเพื่อดำเนินการ ซึ่งเป็นการฝัง Insekt ที่ใช้ดำเนินการบนระบบ Windows และ Linux ที่ถูกโจมตี

พฤติกรรมที่เป็นอันตรายที่ Insekt สามารถทำได้:

รับข้อมูลขนาดไฟล์
รับข้อมูลระบบปฏิบัติการ
เรียกใช้คำสั่งโดยผ่าน cmd.

ทีมรับมือเหตุฉุกเฉินทางคอมพิวเตอร์ของประเทศยูเครน (CERT-UA) ได้แจ้งเตือนเกี่ยวกับการโจมตีของ Cuba Ransomware ที่อาจเกิดขึ้นกับระบบที่สำคัญในประเทศ

ตั้งแต่วันที่ 21 ตุลาคม CERT-UA สังเกตเห็นการโจมตีรูปแบบใหม่ของอีเมลฟิชชิ่งที่แอบอ้างเป็นบริการของกองทัพยูเครน เพื่อหลอกให้ผู้ใช้งานคลิก Link เพื่อติดตั้งมัลแวร์

อีเมลที่แพร่กระจายไปทั่วยูเครน (CERT-UA)

จากอีเมล์ที่ส่งมาจะมี Link ที่หลอกให้ผู้ใช้งานคลิกเพื่อดาวน์โหลดเอกสารชื่อ "Наказ_309.pdf" โดยจะแสดงการแจ้งเตือนปลอมที่ระบุว่าจำเป็นต้องอัปเดตซอฟต์แวร์สำหรับเปิดอ่าน PDF ก่อน

เว็บไซต์จะหลอกให้ผู้ใช้คลิกที่ปุ่ม "ดาวน์โหลด" ซึ่งจะนำไปสู่การดาวน์โหลดไฟล์ปฏิบัติการ ("AcroRdrDCx642200120169_uk_UA.exe") ที่คล้ายกับโปรแกรมติดตั้ง Acrobat Reader

โดยไฟล์ติดตั้ง และเรียกใช้ไฟล์ DLL "rmtpak.

Apple ออกอัปเดต Patch iOS 16.1 และ iPadOS 16 เพื่อแก้ไขช่องโหว่ที่กำลังถูกนำมาใช้ในการโจมตีขณะนี้ ซึ่งเป็นช่องโหว่บน iOS และ iPadOS

โดยช่องโหว่หลักที่กำลังถูกนำไปใช้ในการโจมตีอยู่ในปัจจุบัน เป็นช่องโหว่หมายเลข CVE-2022-42827 ซึ่งเป็นช่องโหว่ที่เกิดจาก Out-of-bounds write บน Kernel ซึ่งเป็นช่องโหว่ที่อาจถูกใช้โดยแอปพลิเคชั่นที่เป็นอันตรายเพื่อสั่งรันโค้ดที่เป็นอันตรายได้

อุปกรณ์ที่ได้รับผลกระทบจะมีตั้งแต่ iPhone 8 หรือสูงกว่า, iPad Pro ทุกรุ่น, iPad Air 3 หรือสูงกว่า, iPad 5 หรือสูงกว่า, และ iPad mini 5 หรือสูงกว่า

และในการออกอัปเดต Patch ยังมีการแก้ไขช่องโหว่ Zero-Day ที่เกิดขึ้นตั้งแต่ต้นปีที่ผ่านมาอีก 8 รายการ

CVE-2022-22587 (IOMobileFrameBuffer) – เป็นช่องโหว่ที่ทำให้แอปพลิเคชันที่เป็นอันตรายสามารถรันโค้ดที่เป็นอันตรายได้โดย Kernel privileges
CVE-2022-22594 (WebKit Storage) – เว็บไซต์อาจสามารถเข้าถึงข้อมูลที่มีความสำคัญของผู้ใช้งานได้
CVE-2022-22620 (WebKit) – การประมวลผลเนื้อหาของเว็ปไซต์ที่ออกแบบมาเพื่อประสงค์ร้าย อาจทำให้เกิดการรันโค้ดที่เป็นอันตรายได้
CVE-2022-22674 (Intel Graphics Driver) – ทำให้แอปพลิเคชันสามารถอ่านหน่วยความจำ Kernel ได้
CVE-2022-22675 (AppleAVD) – แอปพลิเคชันอาจสามารถรันโค้ดได้ตามที่ต้องการด้วย Kernel privileges
CVE-2022-32893 (WebKit) – การประมวลผลเนื้อหาของเว็ปไซต์ที่ออกแบบมาเพื่อประสงค์ร้าย อาจทำให้เกิดการรันโค้ดที่เป็นอันตรายได้
CVE-2022-32894 (Kernel) – แอปพลิเคชันอาจสามารถรันโค้ดได้ตามที่ต้องการด้วย Kernel privileges
CVE-2022-32917 (Kernel) – แอปพลิเคชันอาจสามารถรันโค้ดได้ตามที่ต้องการด้วย Kernel privileges

ที่มา: thehackernews

MyDeal เป็นบริษัทในเครือของ Woolworths ซึ่งเป็นตลาดค้าปลีกออนไลน์ของออสเตรเลีย ได้ออกมาประกาศเรื่องข้อมูลของลูกค้ากว่า 2.2 ล้านรายรั่วไหลออกสู่สาธารณะ และถูกนำไปประกาศขายบนฟอรัมต่าง ๆ

เหตุการณ์นี้เกิดขึ้นเมื่อวันศุกร์ที่ 14 ตุลาคมที่ผ่านมา ซึ่ง MyDeal ถูกโจมตีในระบบการจัดการข้อมูลส่วนบุคคล (CRM) ส่งผลให้ข้อมูลของผู้ใช้งานจำนวนหนึ่งถูกขโมยออกไป ประกอบด้วยข้อมูลดังต่อไปนี้

ชื่อ
อีเมล
หมายเลขโทรศัพท์
ที่อยู่ในการจัดส่งสินค้า
วัน เดือน ปี เกิดของผู้ใช้งาน

MyDeal ยืนยันว่าอีเมลของลูกค้าหลุดออกไปเพียง 1.2 ล้านราย และผู้โจมตีไม่ได้ข้อมูลเกี่ยวกับการชำระเงิน และรหัสผ่านของลูกค้าแต่อย่างใด อย่างไรก็ตาม MyDeal ยังคงแนะนำให้ผู้ใช้งานรีเซ็ตรหัสผ่านเพื่อความปลอดภัยโดยการแจ้งเตือนไปยังลูกค้าทุกรายที่ได้รับผลกระทบดังกล่าวโดยทันที

สองวันหลังจาก MyDeal ประกาศถึงการถูกขโมยข้อมูล กลุ่มแฮ็กเกอร์ได้เริ่มขายข้อมูลที่ขโมยมาในราคา $600 โดยอ้างว่าเป็นข้อมูลลูกค้ากว่า 1 ล้านราย และจะเพิ่มขึ้นอีกเมื่อพวกเขาทำการวิเคราะห์ข้อมูลเสร็จสิ้น

เพื่อเพิ่มหลักฐานว่าสามารถโจมตีได้สำเร็จ กลุ่มแฮ็กเกอร์ได้ทำการเผยแพร่ภาพหน้าจอ Confluence server และการลงชื่อใช้งานบัญชี Amazon Web Services (AWS) แบบ Single Sign-on (SSO) ของบริษัท

แม้ว่ากลุ่มแฮ็กเกอร์อาจไม่ได้ข้อมูลเกี่ยวกับการชำระเงิน และรหัสผ่านของลูกค้า แต่ก็ยังมีข้อมูลผู้ใช้งานในส่วนต่าง ๆ ที่เพียงพอสำหรับการขโมย หรือการโจมตีแบบฟิชชิ่ง ดังนั้น ผู้ใช้จึงควรระมัดระวัง

แนวทางป้องกัน

ไม่ควรใช้รหัสผ่านเดี่ยวกันบนหลาย Platform
เปิดใช้งาน Multi-Factor Authentication
ควรตั้งรหัสผ่านให้มีความยากในการคาดเดา

ที่มา : bleepingcomputer

ช่องโหว่ VMware Workspace ONE Access ที่ปัจจุบันได้รับการแก้ไขไปแล้ว พบว่ากำลังถูกใช้ในการโจมตีเพื่อติดตั้ง cryptocurrency miners และ Ransomware บนเครื่องที่ถูกโจมตี

Cara Lin นักวิจัยของ Fortinet FortiGuard Labs ระบุในรายงานว่า ผู้โจมตีตั้งใจที่จะใช้ทรัพยากรของเหยื่อให้มากที่สุดไม่เพียงแค่ติดตั้ง RAR1Ransom เท่านั้น แต่ยังเพื่อแพร่กระจาย GuardMiner เพื่อทำการขุดเหรียญคริปโตเคอเรนซี

ช่องโหว่นี้มีหมายเลข CVE-2022-22954 (คะแนน CVSS: 9.8) ซึ่งเป็นช่องโหว่ในการเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกล ซึ่งเกิดจาก server-side template injection แม้ว่าช่องโหว่ดังกล่าวจะได้รับการแก้ไขไปแล้วโดย VMware ในเดือนเมษายน พ.ศ. 2565 แต่ก็ยังมีการพยายามโจมตีอยู่อย่างต่อเนื่อง

Fortinet ระบุว่าตรวจพบการโจมตีในเดือนสิงหาคม พ.ศ. 2565 ที่เป็นการพยายามโจมตีเพื่อติดตั้ง Mirai botnet บน Linux รวมถึง RAR1Ransom และ GuardMiner ซึ่งเป็นเวอร์ชันหนึ่งของ XMRig Monero miner

Mirai ถูกออกแบบมาเพื่อเปิดใช้การโจมตีแบบ DoS และ brute-force attacks โดยมุ่งเป้าไปที่อุปกรณ์ประเภท IoT

การแพร่กระจายของ RAR1Ransom และ GuardMiner โดยใช้ PowerShell หรือเชลล์สคริปต์ขึ้นอยู่กับระบบปฏิบัติการ RAR1ransom จะใช้ประโยชน์จาก WinRAR เพื่อล็อคไฟล์โดยการใส่รหัสผ่าน

นอกจากนี้ GuardMiner ยังมีความสามารถในการเผยแพร่ไปยังโฮสต์อื่น ๆ โดยใช้ช่องโหว่ในการเรียกใช้โค้ดจากระยะไกลในซอฟต์แวร์อื่น ๆ รวมถึงช่องโหว่ใน Apache Struts, Atlassian Confluence และ Spring Cloud Gateway

ที่มา: thehackernews

มัลแวร์ Ursnif เวอร์ชันใหม่ (หรือที่รู้จักในชื่อ Gozi) ปรับตัวเองกลายเป็น backdoor ธรรมดา หลังจากถอดฟังก์ชันโทรจันสำหรับขโมยข้อมูลของธนาคารออกไป

การเปลี่ยนแปลงนี้แสดงให้เห็นว่า Ursnif เวอร์ชันใหม่กำลังมุ่งเน้นไปที่การแพร่กระจายแรนซัมแวร์ โดยเวอร์ชันใหม่นี้มีชื่อว่า “LDR4” ซึ่งถูกพบเมื่อวันที่ 23 มิถุนายน 2022 ที่ผ่านมา

โดยนักวิจัยจากบริษัท Mandiant ที่เป็นผู้วิเคราะห์ตัวมัลแวร์ เชื่อว่าตัวมัลแวร์ถูกปล่อยโดยกลุ่มเดียวกันกับมัลแวร์เวอร์ชัน RM3 ในช่วงหลายปีที่ผ่านมา

แคมเปญใหม่ของ Ursnif
มัลแวร์ Ursnif LDR4 ถูกส่งผ่านอีเมลเสนองานจากบริษัทจัดหางานปลอมที่มีลิงก์ไปยังเว็บไซต์ที่แอบอ้างเป็นบริษัทที่ถูกต้อง

โดยวิธีนี้กลุ่ม Ursnif เคยใช้มาก่อนแล้วในอดีต เมื่อเข้าไปยังเว็บไซต์ดังกล่าว จะต้องผ่านหน้า CAPTCHA ก่อน จึงจะสามารถดาวน์โหลดเอกสาร Excel ซึ่งภายในมีมาโครที่ใช้ดาวน์โหลดมัลแวร์จากเซิร์ฟเวอร์ภายนอกมาอีกครั้งหนึ่ง

 

LDR4 มาในรูปแบบ DLL (“loader.