ผู้เชี่ยวชาญจาก Cluster25 รายงานถึงการโจมตีจากกลุ่ม APT28 (หรือ 'Fancy Bear') ซึ่งเป็นกลุ่มแฮ็กเกอร์จาก Russian GRU (Main Intelligence Directorate of the Russian General Staff) ใช้เทคนิคการรันโค้ดแบบใหม่โดยอาศัยการเคลื่อนไหวของเมาส์บน Slide Present ใน Microsoft PowerPoint เพื่อเรียกใช้สคริปต์ PowerShell ในการส่งมัลแวร์ที่มีชื่อว่า Graphite ซึ่งไฟล์ Microsoft PowerPoint ที่ใช้โจมตีประกอบไปด้วยสองสไลด์ ทั้งสองสไลด์มีคำแนะนำเป็นภาษาอังกฤษ และฝรั่งเศสสำหรับใช้งานการประชุมทางวิดีโอของ Zoom โดยมีไฮเปอร์ลิงก์ที่ทำหน้าที่เป็นทริกเกอร์สำหรับการเรียกใช้สคริปต์ PowerShell ที่เป็นอันตรายผ่านยูทิลิตี้ SyncAppvPublishingServer

ลักษณะการทำงาน

เมื่อเป้าหมายเปิดเอกสาร Microsoft PowerPoint ในโหมด Presentation และวางเมาส์บนไฮเปอร์ลิงก์ สคริปต์ PowerShell ที่เป็นอันตรายจะทำงาน โดยดาวน์โหลดไฟล์ JPEG (“DSC0002.jpeg”) จากบัญชี Microsoft OneDrive

ในไฟล์ JPEG เป็นไฟล์ DLL (lmapi2.dll) ที่เข้ารหัส ในแต่ละไฟล์สตริงในที่ดึงมาต้องการคีย์ XOR ที่แตกต่างกันสำหรับการถอดรหัส เมื่อถอดรหัสแล้วจะถูกวางไว้ในไดเร็กทอรี 'C:\ProgramData\' ซึ่งจะถูก Execute ในภายหลังผ่าน rundll32.exe นอกจากนี้ยังมีการสร้าง Registry เพื่อให้ตัวมันสามารถแฝงตัวอยู่บนระบบได้อีกด้วย
ต่อมา lmapi2.dll จะดึงข้อมูล และถอดรหัสไฟล์ JPEG ไฟล์ที่สอง ซึ่งแต่ละไฟล์ที่ดึงมาต้องการคีย์ XOR ที่แตกต่างกันสำหรับการถอดรหัส เมื่อถอดรหัสแล้วมันจะถูกโหลดลงใน Memory ของระบบในส่วนของ Thread (หน่วยการทำงานย่อยที่อยู่ใน Process) ใหม่ที่ถูกสร้างโดย DLL ก่อนหน้านี้ ผลลัพธ์ที่ได้คือมัลแวร์ Graphite ในรูปแบบ portable executable (PE)
เมื่อมันแวร์ถูกติดตั้งสำเร็จ มันจะใช้ Microsoft Graph API และ OneDrive เพื่อสื่อสารกับ C2 Server นอกจากนี้ผู้โจมตียังเข้าถึง Service โดยใช้ Fix Client ID เพื่อรับโทเค็น OAuth2
ด้วยโทเค็น OAuth2 ที่ได้รับมา มัลแวร์จะทำการ Query Microsoft Graph APIs โดยวิธีการการแจกแจงไฟล์ย่อยที่อยู่ใน Subdirectory ของ OneDrive

จุดประสงค์ของมัลแวร์ Graphite คือการอนุญาตให้ผู้โจมตีโหลดมัลแวร์อื่น ๆ ลงใน Memory ของระบบ โดยใช้ประโยชน์จาก Microsoft Graph API เพื่อใช้ OneDrive เป็น C2 Server

ที่มา : bleepingcomputer

การโจมตีในรูปแบบ Credential stuffing ถูกพบเพิ่มขึ้นเป็นจำนวนมากในช่วงไตรมาสแรกของปี 2565 ซึ่งปริมาณการพยายามเข้าใช้งานบัญชีในลักษณะดังกล่าวแซงหน้าการพยายามเข้าสู่ระบบตามปกติจากผู้ใช้งานทั่วไปในบางประเทศ

การโจมตีประเภทนี้เป็นการใช้ประโยชน์จากรหัสผ่านที่รั่วไหลออกมาจากบริการต่าง ๆ ก่อนหน้านี้ เพื่อพยายามเข้าสู่ระบบในบริการอื่น ๆ ที่ผู้ใช้งานอาจใช้ login name และ password เดียวกัน

รายงานจาก FBI เมื่อเร็ว ๆ นี้พบว่า การโจมตีลักษณะนี้มีจำนวนเพิ่มขึ้นเนื่องจากปริมาณข้อมูลบัญชีผู้ใช้งานจากระบบต่าง ๆ ที่รั่วไหลมากขึ้น และเครื่องมือของแฮ็กเกอร์ที่สามารถนำบัญชีเหล่านั้นนำมาใช้ทดสอบกับเว็บไซต์ต่าง ๆ ได้ง่ายขึ้น

ความพยายามในการเข้าสู่ระบบมากกว่า 1 หมื่นล้านครั้ง

Okta รายงานว่าพบพฤติกรรมการพยายามเข้าสู่ระบบมากกว่า 1 หมื่นล้านครั้งบนแพลตฟอร์มของพวกเขาในช่วง 3 เดือนแรกของปี 2022 โดยคิดเป็นประมาณ 34% ของการเข้าใช้งานทั้งหมด ซึ่งหมายความว่าหนึ่งในสามของความพยายามเข้าสู่ระบบเป็นพฤติกรรมที่เป็นอันตราย

เนื่องจากการโจมตีส่วนใหญ่เป็นการพยายามสุ่มใช้ข้อมูลส่วนตัวจำนวนมากในระยะเวลาอันสั้น แพลตฟอร์มที่ถูกโจมตีจะมีปริมาณของการใช้งานเพิ่มขึ้นอย่างรวดเร็วถึงสิบเท่า

ตัวอย่างในรายงานของ Okta คือการโจมตีอย่างต่อเนื่องเกือบสองเดือน จนสิ้นสุดในเดือนมกราคม 2022

Okta รายงานว่าส่วนใหญ่ความพยายามจะมุ่งเป้าไปที่บัญชีของบริษัทประเภท ค้าปลีก, eCommerce นอกจากนี้ยังมีบัญชีของบริษัทที่เกี่ยวข้องกับการศึกษา พลังงาน บริการทางการเงิน และซอฟต์แวร์

ตัวอย่างล่าสุดของการโจมตีด้วยวิธี credential stuffing บนแพลตฟอร์ม e-commerce กับลูกค้าของ North Face ซึ่งทำให้ผู้โจมตีสามารถเข้าถึงบัญชีของผู้ใช้ได้ประมาณ 200,000 บัญชี

การป้องกันการโจมตีด้วยวิธี credential stuffing เป็นความรับผิดชอบหลักของแพลตฟอร์มต่าง ๆ ที่ควรใช้การตรวจสอบในเชิงรุก เช่น การแบนบัญชีผู้ใช้งานชั่วคราวสำหรับบัญชีที่น่าสงสัย

ส่วนในฝั่งของผู้ใช้งาน ควรเปิดการใช้งาน multi-factor authentication และการตั้งค่ารหัสผ่านที่รัดกุม และไม่ซ้ำกันสำหรับบัญชีออนไลน์ทั้งหมด ซึ่งส่วนใหญ่สามารถป้องกันได้เพียงพอต่อการโจมตีด้วยวิธีนี้

ที่มา : bleepingcomputer

วิศวกรจาก Wiz พบช่องโหว่บน cloud isolation บน Oracle Cloud ที่ทำให้ผู้โจมตีสามารถ attach storage volume ของลูกค้าคนใดก็ได้ที่ใช้งาน Oracle cloud กับ VM ของผู้โจมตี โดยไม่มีต้องมีสิทธิเข้าถึง tenant ของลูกค้า ขอเพียงแค่รู้ Oracle Cloud Identifier (OCID) ของ volume นั้น ๆ

เมื่อผู้โจมตี attach volume กับ VM ของตัวเองได้แล้ว ข้อมูลภายใน volume ทั้งหมดจะสามารถถูกอ่าน หรือเขียนได้โดยที่เจ้าของ volume อาจไม่รู้ตัวเลย

วิธีการแก้ไข

ภายใน 24 ชม หลังจากที่ Oracle ได้รับรายงานช่องโหว่ ทาง Oracle ได้ทำการอัปเดต patch ช่องโหว่ให้กับลูกค้าทุกราย โดยที่ลูกค้าไม่ต้องดำเนินการใด ๆ อีก

ที่มา : wiz

นักวิจัยด้านความปลอดภัยแจ้งเตือน Microsoft SQL Server ที่มีช่องโหว่ กำลังตกเป็นเป้าหมายในการโจมตีจากกลุ่ม FARGO แรนซัมแวร์

MS-SQL เซิร์ฟเวอร์ เป็นระบบจัดการฐานข้อมูลที่เก็บข้อมูลสำหรับบริการบนอินเทอร์เน็ต และแอพ การถูกโจมตีจากผู้ไม่หวังดีอาจทำให้เกิดผลกระทบทางธุรกิจที่รุนแรงได้
โดยการโจมตีนี้มีวัตถุประสงค์เพื่อการแบล็คเมล์ของเจ้าของฐานข้อมูลเป็นหลัก

FARGO ransomware หรือที่รู้จักในชื่อ TargetCompany

นักวิจัยด้านความปลอดภัยที่ AhnLab Security Emergency Response Center (ASEC) กล่าวว่า FARGO เป็นหนึ่งในแรนซัมแวร์ที่โดดเด่นที่สุดที่มุ่งเน้นการโจมตีไปที่เซิร์ฟเวอร์ MS-SQL เช่นเดียวกันกับ GlobeImposte

มัลแวร์ประเภทนี้เคยถูกเรียกว่า “Mallox” ในอดีต เพราะมันจะต่อท้ายนามสกุลของไฟล์ที่เข้ารหัสด้วย “.mallox”

นอกจากนี้มัลแวร์ประเภทนี้ยังคือตัวเดียวกับที่นักวิจัยจาก Avast ตั้งชื่อว่า “TargetCompany” ในรายงานเมื่อเดือนกุมภาพันธ์ โดยพบว่าไฟล์ที่เข้ารหัสอาจกู้คืนได้เป็นบางกรณี

ข้อมูลทางสถิติเกี่ยวกับการโจมตีของ ransomware บนแพลตฟอร์ม ID Ransomware บ่งชี้ว่า FARGO มีการถูกพบค่อนข้างมาก

นักวิจัยระบุว่าการโจมตีของแรนซัมแวร์จะเริ่มจากการที่ MS-SQL process บนเครื่องที่ถูกโจมตี ทำการดาวน์โหลดไฟล์ .NET โดยใช้ cmd.

Microsoft ตรวจพบผู้ไม่หวังดีสามารถเข้าถึง Microsoft Exchange ของผู้ใช้งานที่อยู่บนระบบคลาวด์ได้สำเร็จด้วยการโจมตีแบบ Credential Stuffing Attacks เป้าหมายในการโจมตีครั้งนี้คือ Deploy OAuth Application ที่เป็นอันตราย และส่ง Phishing Email เพื่อขโมยข้อมูลบัตรเครดิตของผู้ใช้ สาเหตุหลักๆที่ทำให้เกิดเหตุการณ์นี้คือบัญชี High Privileged บนระบบคลาวด์ไม่ได้เปิดใช้งาน Multi-factor Authentication (MFA) ทำให้ผู้ไม่หวังดีสามารถเข้าถึงระบบได้

Credential Stuffing Attack เป็นการโจมตีในรูปแบบการใช้ข้อมูลต่าง ๆ ที่เคยรั่วไหลออกมาก่อนหน้าจากเว็ปไซต์ หรือบริการต่าง ๆ เช่น อีเมล และรหัสผ่าน และนำไปลองใช้เข้าสู่ระบบบนเว็บไซต์อื่น ๆ โดยสาเหตุที่ทำให้สามารถเข้าถึงข้อมูลได้เป็นจำนวนมาก เนื่องจากผู้ใช้งานส่วนใหญ่ตั้งบัญชีผู้ใช้ และรหัสผ่านเดียวกันในเว็ปไซต์ และบริการต่างๆ

ลักษณะการโจมตี

เมื่อผู้โจมตีเข้าถึง Microsoft Exchange Server บนคลาวด์ได้สำเร็จแล้ว จะทำการสร้าง OAuth Application สำหรับเปิดการเชื่อมต่อที่เป็นอันตรายมายัง Exchange Server
เมื่อเปิดการเชื่อมต่อถึงระบบ ผู้โจมตีจะอาศัยช่องทางนี้สร้าง Transport Rule ในการส่งข้อมูลเพื่อหลบการตรวจจับจากอุปกรณ์ต่างๆ จากนั้นจะส่ง Phishing Email ไปยัง Exchange Server
เมื่อนำข้อมูลเข้า Exchange Server เรียบร้อยแล้ว มันจะทำการปิด Connection จากภายนอกทั้งหมด รวมถึงลบ Transport Rule ในการส่งข้อมูล เพื่อป้องกันไม่ให้ถูกตรวจพบ ในระหว่างนี้ OAuth Application จะไม่มีการทำงานจนกว่าจะมีการนำเข้าข้อมูลใหม่อีกครั้ง
แคมเปญอีเมลเหล่านี้มีโครงสร้างพื้นฐานของเคมเปญมาจาก Amazon SES และ Mail Chimp ที่ใช้กันทั่วไปในการส่งอีเมล

หลังจากตรวจพบการโจมตี Microsoft ได้ลบ Application ทั้งหมดที่เชื่อมโยงกับแคมเปญนี้ มีการส่งการแจ้งเตือน และแนะนำมาตรการแก้ไขให้กับลูกค้าที่ได้รับผลกระทบทั้งหมด นอกจากนี้ยังพบว่าผู้โจมตียังมีการส่งอีเมลสแปมจำนวนมากภายในระยะเวลาอันสั้นด้วยวิธีการอื่น ๆ เช่น การเชื่อมต่อ Mail Server กับ IP อันตราย หรือการส่งโดยตรงจากระบบคลาวด์ที่มีการใช้งานอย่างถูกต้อง

ที่มา : bleepingcomputer

 

บัญชี GitHub ถูกแฮ็กโดยผู้ไม่หวังดีที่แอบอ้างเป็นแพลตฟอร์ม CircleCI DevOps ผ่านทางแคมเปญฟิชชิ่งที่กำหนดเป้าหมายไปยังผู้ใช้งาน GitHub เพื่อขโมย credentials และ two-factor authentication (2FA)

ลักษณะการโจมตีของผู้โจมตี

ผู้โจมตีจะทำการส่ง email ที่ระบุว่า "ข้อกำหนดของผู้ใช้ และนโยบายความเป็นส่วนตัวมีการเปลี่ยนแปลง และพวกเขาจำเป็นต้องลงชื่อเข้าใช้บัญชี GitHub เพื่อยอมรับการแก้ไข และใช้บริการต่อไป"

โดยเป้าหมายของผู้โจมตีเพื่อขโมยข้อมูล credentials ของบัญชี GitHub และ two-factor authentication (2FA)
หลังจากผู้โจมตีสามารถขโมย credentials ได้สำเร็จ จะทำการสร้าง personal access tokens (PATs) เพื่ออนุญาตโปรแกรม OAuth และเพิ่มคีย์ SSH ให้สามารถได้รับการเข้าถึงบัญชีโดยไม่ได้รับอนุญาต

โดเมนจริงของ CircleCI คือ [circleci.

นักวิเคราะห์ภัยคุกคามจาก Palo Alto Networks พบว่ามีการโจมตีด้วยเทคนิค 'Domain shadowing' แพร่หลายมากขึ้น โดยพบว่ามีถึง 12,197 เคสขณะดำเนินการสแกนเว็ปไซต์ระหว่างเดือนเมษายนถึงมิถุนายน 2565
Domain shadowing เป็น subcategory ของการโจมตีแบบ DNS hijacking ซึ่งผู้โจมตีจะทำการเข้าโจมตีบัญชีของเจ้าของโดเมนผ่านทางฟิชชิ่ง dictionary attack หรือวิธีการอื่น ๆ จากนั้นก็แอบสร้างโดเมนย่อย ๆ จำนวนมากที่สามารถนำมาใช้สำหรับการโจมตีต่าง ๆ ได้เช่น C2 เซิร์ฟเวอร์, แพร่กระจายมัลแวร์, scams และ phishing แต่จะไม่แก้ไข DNS record ที่มีอยู่แล้ว

ความยากในการตรวจจับ
การตรวจจับ Domain shadowing จะทำได้ค่อนข้างยาก เนื่องจากการโจมตีในลักษณะนี้มีวิธีการที่ซับซ้อน ซึ่งจะต้องเข้าใจรายละเอียดของเทคนิคในการโจมตีนี้ให้ได้ก่อน นักวิเคราะห์ระบุว่า VirusTotal ระบุว่ามีเพียง 200 โดเมนที่เป็นอันตราย จาก 12,197 โดเมนที่ Palo Alto ค้นพบ
การตรวจจับจาก VirusTotal ส่วนใหญ่ 151 รายการเกี่ยวข้องกับแคมเปญฟิชชิ่งรายการเดียว โดยใช้ Domain shadowing 649 โดเมนบนเว็บไซต์ที่ถูกโจมตี 16 แห่ง (more…)

Smart Links เป็นบริการหนึ่งสำหรับ LinkedIn Sales Navigator และ Enterprise users ที่สามารถส่งเอกสารได้ถึง 15 ชุดโดยใช้ลิงก์ที่สร้างจาก LinkedIn และยังสามารถติดตามสถานะว่าใครเข้าเปิดดูลิงก์แล้วหรือยัง
Smart Link ของ LinkedIn จึงถูกนำไปใช้ประโยชน์ในการส่ง Phishing เพราะสามารถหลีกเลี่ยงการตรวจสอบจากอุปกรณ์ security ต่าง ๆ ได้ โดยทีมวิเคราะห์ภัยคุกคาม Cofense พบว่าแคมเปญนี้มุ่งเป้าไปที่ประเทศสโลวาเกีย โดยอ้างว่าเป็นบริการไปรษณีย์ของรัฐในสโลวาเกีย

(more…)

American Airlines ได้แจ้งลูกค้าเกี่ยวกับเหตุการณ์ข้อมูลรั่วไหลล่าสุดหลังจากผู้โจมตีสามารถเข้าถึงการควบคุมบัญชีอีเมลของพนักงาน และยังเข้าถึงข้อมูลส่วนบุคคลที่สำคัญได้ โดยทางสายการบินส่งจดหมายแจ้งเตือนลูกค้าเมื่อวันศุกร์ที่ 16 กันยายน 2565 โดยระบุว่ายังไม่มีหลักฐานว่าข้อมูลที่ถูกขโมยออกไปถูกนำไปใช้ในทางที่ไม่ดี โดยเหตุการณ์เกิดขึ้นในวันที่ 5 กรกฎาคม 2565 หลังจากที่ทราบถึงการเข้าควบคุมบัญชีอีเมลของพนักงาน American Airlines ได้รีบจัดการกับบัญชีอีเมลที่ได้รับผลกระทบทันที และจ้างบริษัทผู้เชี่ยวชาญด้านความปลอดภัยทางไซเบอร์ (Forensic) เพื่อตรวจสอบรายละเอียดของเหตุการณ์ที่เกิดขึ้น

ทางสายการบินแจ้งกับลูกค้าที่ได้รับผลกระทบว่า "ในเดือนกรกฎาคม 2565 เราพบว่ามีบุคคลที่ไม่ได้รับอนุญาตสามารถเข้าถึงบัญชีอีเมลของพนักงาน American Airlines ได้จำนวนหนึ่ง"
"เมื่อพบเหตุการณ์ดังกล่าว เราได้รีบจัดการกับบัญชีอีเมลที่เกี่ยวข้อง และได้ให้บริษัทผู้เชี่ยวชาญด้านความปลอดภัยทางไซเบอร์เข้าดำเนินการสืบสวนทางนิติเวชเพื่อระบุลักษณะ และขอบเขตของเหตุการณ์การโจมตีที่เกิดขึ้น”
ข้อมูลส่วนบุคคลที่ถูกเปิดเผย และถูกเข้าถึงได้โดยผู้โจมตี ประกอบไปด้วยชื่อพนักงาน และลูกค้า วันเกิด ที่อยู่ทางไปรษณีย์ หมายเลขโทรศัพท์ ที่อยู่อีเมล หมายเลขใบอนุญาตขับขี่ หมายเลขหนังสือเดินทาง และ/หรือข้อมูลทางการแพทย์บางอย่าง
สายการบินระบุว่าจะให้ลูกค้าที่ได้รับผลกระทบเป็นสมาชิก ของ Experian's IdentityWorks ฟรี 2 ปี เพื่อช่วยในการตรวจจับ และแก้ไขปัญหาการโจรกรรมข้อมูลประจำตัว

American Airlines กล่าวเพิ่มเติมว่า "แม้ว่าเราจะไม่มีหลักฐานว่าข้อมูลส่วนบุคคลของลูกค้าถูกนำไปใช้ในทางที่ผิด แต่ขอแนะนำให้คุณลงทะเบียนเพื่อรับการตรวจสอบเฝ้าระวัง"
"นอกจากนี้ลูกค้าควรระมัดระวังการถูกใช้ข้อมูลมาหลอกลวง ซึ่งรวมถึงการตรวจสอบใบแจ้งยอดบัญชีของคุณอยู่เป็นประจำ"

บุคคลที่ได้รับผลกระทบ
Andrea Koos ผู้จัดการอาวุโสฝ่ายสื่อสารองค์กรของ American Airlines ปฏิเสธที่จะเปิดเผยว่ามีข้อมูลลูกค้า และพนักงานจำนวนเท่าใดที่ได้รับผลกระทบ
Andrea Koos ยังระบุอีกว่า "อเมริกันแอร์ไลน์ตระหนักถึงแคมเปญฟิชชิ่งที่นำไปสู่การเข้าถึง Inbox ของพนักงานโดยไม่ได้รับอนุญาต แต่มีข้อมูลส่วนบุคคลของลูกค้า และพนักงานจำนวนน้อยมากที่อยู่ในบัญชีอีเมลเหล่านั้น"
"ปัจจุบันยังไม่มีหลักฐานว่าข้อมูลส่วนบุคคลใด ๆ ถูกนำไปใช้ในทางที่ไม่ถูกต้อง บริษัทถือว่าการรักษาความปลอดภัยของข้อมูลมีความสำคัญสูงสุด และเราให้การสนับสนุนลูกค้า และพนักงานให้ใช้ความระมัดระวังมากขึ้น และกำลังใช้มาตรการป้องกันทางเทคนิคเพิ่มเติมเพื่อป้องกันไม่ให้เกิดเหตุการณ์ในลักษณะนี้อีกในอนาคต
American Airlines เคยได้รับผลกระทบจากการถูกเข้าถึงข้อมูลในเดือนมีนาคม 2564 เมื่อ SITA ยักษ์ใหญ่ด้านเทคโนโลยีสารสนเทศทางอากาศระดับโลก ยืนยันว่าแฮ็กเกอร์เจาะเซิร์ฟเวอร์ และเข้าถึงระบบ Passenger Service System (PSS) ที่ใช้โดยสายการบินหลายแห่งทั่วโลก รวมถึง American Airlines

ที่มา: bleepingcomputer

ในช่วงเดือนมิถุนายน 2565 LockBit ransomware ได้ประกาศอัปเกรดตัวเองเป็นเวอร์ชัน 3.0 ซึ่งในครั้งนี้มีการเพิ่มฟีเจอร์ใหม่ ๆ เข้ามา เช่น ป้องกันการวิเคราะห์ และตรวจสอบจากอุปกรณ์ต่างๆ, เพิ่มรางวัลกับผู้ที่เจอบั๊กของโปรแกรม รวมไปถึงเพิ่มวิธีการใหม่ ๆ ในการโจมตี

อย่างไรก็ตาม ในวันที่ 21 กันยายนที่ผ่านมา 3xp0rt ผู้เชี่ยวชาญด้าน Cybersecurity ได้โพสบน Twitter ว่าพบบัญชีสร้างใหม่ที่มีชื่อว่า "Ali Qushji" ซึ่งอ้างว่าตน และทีมได้แฮ็กเซิฟเวอร์ของ LockBits ได้สำเร็จ และพบ Builder ที่เป็นตัวเข้ารหัสของ LockBit 3.0

หลังจากที่ 3xp0rt แชร์ทวีตไม่นาน ก็มีทีมงานผู้เชี่ยวชาญอีกกลุ่มที่ชื่อว่า VX-Underground ได้แชร์ทวีตในลักษณะเดียวกัน โดยระบุว่าตนได้รับการติดต่อจากผู้ที่อ้างว่ามีข้อมูล Builder ของ LockBit 3.0 เช่นกัน

ต่อมาตัวแทนของกลุ่ม LockBit ได้ออกมาชี้แจงว่าพวกเขาไม่ได้ถูกแฮ็ก ข้อมูลที่ถูกเผยแพร่มาจากทีม Developer ที่มีปัญหากันเองภายในกลุ่ม

ลักษณะการทำงาน

จากการตรวจสอบไฟล์ Builder ที่ถูกเผยแพร่ออกมา พบว่าผู้ใช้งานสามารถสร้าง Ransomware ที่ใช้ในการโจมตีขึ้นมาได้อย่างรวดเร็ว ซึ่งในไฟล์ที่ถูกสร้างนั้นประกอบไปด้วยเครื่องมือที่ใช้ในการเข้ารหัส, เครื่องมือถอดรหัส, รวมไปถึง Tools พิเศษอื่น ๆ ที่ใช้ในการถอดรหัส
เมื่อตรวจสอบ Builder พบว่าประกอบด้วย 4 ไฟล์หลัก ๆ ได้แก่

เครื่องมือ Generate Key ที่ใช้สำหรับการเข้ารหัส
Builder ที่ใช้ในการสร้าง Execute File
Configuration Files ที่ผู้ใช้งานสามารถปรับแก้ไขให้ตรงตามที่ต้องการได้
Batch File สำหรับสร้าง File ทั้งหมดที่ผู้ใช้งานกำหนดไว้

ในไฟล์ config.