Starbucks ร้านกาแฟยอดนิยมจากอเมริกาสาขาในประเทศสิงคโปร์ ได้ออกมายอมรับว่าเกิดเหตุการณ์ข้อมูลรั่วไหล ซึ่งกระทบกับข้อมูลของลูกค้ามากกว่า 219,000 ราย

หลักฐานที่ทำให้เชื่อว่ามีข้อมูลรั่วไหลถูกพบครั้งแรกเมื่อวันที่ 10 กันยายน เมื่อผู้ไม่ประสงค์ดีได้ทำการเสนอขายข้อมูลที่ประกอบด้วยรายละเอียดต่าง ๆ ของลูกค้าจำนวน 219,675 ราย บนฟอรั่มยอดนิยมสำหรับแฮ็กเกอร์

แฮ็กเกอร์โพสต์ขายข้อมูล Starbucks Singapore

จ้าของฟอรั่ม “pompompurin” ได้เข้ามาให้ความเห็นเพื่อช่วยยืนยันว่าข้อมูลที่ถูกขโมยมานั้นเป็นของจริง โดยกล่าวว่าตัวอย่างข้อมูลที่นำมาแสดงนั้น มีหลักฐานสำคัญที่ยืนยันความถูกต้องของข้อมูลได้

Starbucks สิงคโปร์ ได้ส่งจดหมายแจ้งเตือนเรื่องข้อมูลรั่วไหลถึงลูกค้า โดยแจ้งว่าแฮ็กเกอร์ได้ขโมยข้อมูลต่าง ๆ ดังนี้

ชื่อ
เพศ
วันเกิด
หมายเลขโทรศัพท์
อีเมลแอดเดรส
ที่อยู่

เหตุการณ์ข้อมูลรั่วไหลครั้งนี้กระทบกับลูกค้าที่ใช้งาน Starbucks mobile app เพื่อสั่งเครื่องดื่ม หรือสั่งซื้อสินค้าออนไลน์จาก Starbucks ทั้ง 125 สาขาที่เปิดให้บริการในสิงคโปร์เท่านั้น โดยข้อมูลนี้ได้รับการชี้แจงกับสื่อท้องถิ่นอีกครั้ง โดยโฆษกของ Starbucks

Starbucks ได้ระบุเพิ่มเติมอีกว่า ไม่มีข้อมูลทางการเงิน เช่น ข้อมูลบัตรเครดิต รั่วไหลออกไปเนื่องจาก Starbucks ไม่ได้มีการเก็บข้อมูลเหล่านั้นอยู่แล้ว

จดหมายจาก Starbucks ถึงลูกค้าที่ได้รับผลกระทบ

ถึงแม้ว่า รหัสผ่าน รางวัลสำหรับสมาชิก หรือข้อมูลบัตรเครดิต จะไม่ได้รับผลกระทบ แต่ทาง Starbucks สิงคโปร์ ได้ขอให้ลูกค้าทำการตั้งค่ารหัสผ่านใหม่ และให้เฝ้าระวังการติดต่อจากบุคคลที่น่าสงสัย

ผู้ขายข้อมูลบนฟอรั่มได้ยืนยันว่าเขาได้ขายข้อมูลที่ขโมยมาไปแล้ว 1 ชุด ในราคา 3,500 ดอลลาร์ และยินดีที่จะขายอีกอย่างน้อย 4 ชุดให้กับผู้ที่สนใจจะซื้อ

เหตุผลสำหรับการจำกัดจำนวนนั้นก็เพื่อเป็นการรักษามูลค่าของข้อมูลให้มีราคาสูง เนื่องจากการขายข้อมูลให้คนจำนวนมากจะทำให้ข้อมูลมีมูลค่าลดลงเพราะข้อมูลจะถูกนำไปใช้ในการโจมตีพร้อม ๆ กัน

เหตุการณ์นี้เพิ่มความเสี่ยงสำหรับลูกค้าของ Starbucks สิงคโปร์ในการตกเป็นเป้าของการโจมตีแบบ Phishing การหลอกให้เปิดเผยข้อมูล (Social Engineering) และหลอกลวงทำให้เสียทรัพย์

นอกจากนี้สิ่งที่ยังเป็นที่น่าสังเกตอีกอย่างก็คือแฮ็กเกอร์นั้นได้เสนอขายช่องทางการเข้าถึงหน้าต่างของผู้ดูแลระบบ ในราคา 25,000 ดอลลาร์ ซึ่งทำให้ผู้ที่เข้าถึงสามารถเปลี่ยนแปลงรหัสโปรโมชั่น (Promo codes) เลื่อนระดับสมาชิก และกระทำการอื่น ๆ ได้

อย่างไรก็ตามการเข้าถึงหน้าต่างของผู้ดูแลระบบนั้นถูกปิดการเข้าถึงไปแล้ว ทำให้ข้อเสนอขายนั้นจึงถูกยกเลิก และเหลือเพียงการขายข้อมูลลูกค้าเท่านั้น

โฆษกของ Starbucks ได้ให้ความเห็นกับ BleepingComputer ดังนี้

“เราทราบถึงพฤติกรรมการโจมตีที่ส่งผลกระทบกับลูกค้าจำนวนหนึ่งในสิงคโปร์ และกำลังประสานงานกับผู้ประกอบการที่ได้รับอนุญาตเพื่อปกป้องข้อมูลของลูกค้า”

“เช่นเดียวกันกับผู้ค้ารายใหญ่รายอื่น ๆ Starbucks มีระบบป้องกันภัยสำหรับเฝ้าสังเกตพฤติกรรมที่ผิดปกติ ซึ่งในครั้งนี้ทำให้สามารถตรวจพบพฤติกรรมที่ไม่ได้รับอนุญาตได้ตั้งแต่เนิ่น ๆ”

“เราขอแนะนำให้ลูกค้าใช้ ชื่อผู้ใช้งาน และรหัสผ่านที่แตกต่างกันในแต่ละเว็บไซต์ โดยเฉพาะเว็บไซต์ที่มีการเก็บข้อมูลทางการเงินเพื่อปกป้องความปลอดภัยของข้อมูล”

ที่มา: bleepingcomputer

BlackCat ransomware (หรือ ALPHV) ได้ชื่อว่าเป็นผู้สืบทอดการดำเนินการต่อจากกลุ่ม Darkside และ BlackMatter เนื่องจากมีการดำเนินการในรูปแบบ Ransomware -as-a-service (RaaS) ที่ล้ำสมัยที่สุด

นักวิจัยด้านความปลอดภัยของ Symantec ที่ติดตามปฏิบัติการของ BlackCat ในชื่อว่า "Noberus" รายงานว่ากลุ่มผู้พัฒนา BlackCat Ransomware ถือเป็นกลุ่มแรก ๆ ที่ใช้ภาษา Rust (ทำให้สามารถทำงานได้ในหลายแพลตฟอร์ม) ได้มีการปรับปรุงมัลแวร์ และเพิ่มคุณสมบัติใหม่ต่าง ๆ ออกมาอย่างต่อเนื่อง

เมื่อเร็ว ๆ นี้ เครื่องมือที่ใช้ในการขโมยข้อมูลออกจากระบบของเหยื่อที่มีชื่อว่า "Exmatter" ซึ่งเปิดตัวมาพร้อมกับ BlackCat ในเดือนพฤศจิกายน 2564 ซึ่งปัจจุบันได้รับการอัปเดตครั้งใหญ่ไปแล้วในเดือนสิงหาคม 2565 โดยมีการเปลี่ยนแปลงดังต่อไปนี้ :

จำกัดประเภทของไฟล์ที่จะขโมยออกมา โดยแยกออกเป็น PDF, DOC, DOCX, XLS, PNG, JPG, JPEG, TXT, BMP, RDP, SQL, MSG, PST, ZIP, RTF, IPT และ DWG
เพิ่ม FTP เป็นตัวเลือกการขโมยข้อมูลเพิ่มเติมจาก SFTP และ WebDav
เพิ่มตัวเลือกในการสร้างรายงานที่แสดงไฟล์ที่สามารถประมวลผลได้ทั้งหมด
เพิ่มคุณสมบัติ “Eraser” ที่ช่วยให้ทางเลือกในการจัดการกับไฟล์ที่เสียหาย
เพิ่มตัวเลือกการกำหนดค่า "Self-destruct" เพื่อปิด และลบตัวเองหากมีการดำเนินการที่ไม่ถูกต้อง
ลบการสนับสนุนสำหรับ Socks5
เพิ่มตัวเลือกสำหรับการปรับใช้ GPO

นอกเหนือจากการขยายฟังก์ชัน Exmatter รุ่นล่าสุดยังได้ผ่านการเปลี่ยนแปลงโค้ดจำนวนมากเพื่อใช้หลีกเลี่ยงการตรวจสอบ

อีกสิ่งที่เพิ่มความสามารถในการขโมยข้อมูลของ BlackCat เมื่อเร็ว ๆ นี้คือการใช้มัลแวร์ตัวใหม่ที่เรียกว่า "Eamfo" ซึ่งกำหนดเป้าหมายเป็นข้อมูลประจำตัวที่เก็บไว้ในระบบสำรองข้อมูลของ Veeam

นักวิจัยสังเกตว่ามัลแวร์ตัวดังกล่าวยังถูกใช้โดยกลุ่ม ransomware อื่น ๆ ในอดีต รวมไปถึง Monti, Yanluowang และ LockBit

ทำให้เห็นได้ชัดว่า BlackCat มีการพัฒนาอย่างต่อเนื่องด้วยเครื่องมือใหม่ การปรับปรุง และกลยุทธ์การขู่กรรโชกเพื่อทำให้การทำงานของ RaaS มีประสิทธิภาพมากขึ้น

นักวิจัยยังพบนักพัฒนาบางส่วนจากกลุ่ม Conti มีการย้ายเข้าไปร่วมกลุ่มกับ BlackCat/ALPHV หลังจากที่กลุ่ม Conti ransomware ยุติการดำเนินการ

การยุติการดำเนินการของกลุ่ม Conti ได้นำไปสู่การหลั่งไหลของผู้โจมตีที่มีประสบการณ์สูง ซึ่งสามารถปฏิบัติการ การโจมตีครั้งใหม่ได้อย่างรวดเร็วภายใต้การดำเนินการในชื่อกลุ่มใหม่

ที่มา : bleepingcomputer

 

Azure Cloud Shell เป็น interactive shell ใช้สำหรับจัดการ resources บน azure โดยจะเป็น url iframe “ux.console.azure.com” ที่ถูกฝังอยู่ใน Console azure

ทุกครั้งที่มีการเรียกใช้งาน Azure cloud shell จะมีการตรวจสอบ trustedAuthority domain ว่าตรงกับ whitelist domain หรือไม่ แต่ว่ามีหนึ่ง domain ใน whitelist ที่ยังไม่ได้ถูก register นั้นก็คือ “cloudshell-df.

VMware และ Microsoft ออกมาแจ้งเตือนถึงแคมเปญมัลแวร์ Chromeloader ที่กำลังถูกใช้เพื่อแพร่กระจายมัลแวร์

ChromeLoader เป็น extension ของ Chrome browser ที่เป็นอันตราย ซึ่งจัดอยู่ในประเภท pervasive browser hijacker ที่จะปรับเปลี่ยนการตั้งค่าของเบราว์เซอร์เพื่อเปลี่ยนเส้นทางการรับส่งข้อมูลของผู้ใช้

มัลแวร์สามารถเปลี่ยนเส้นทางการรับส่งข้อมูลของผู้ใช้ และดักจับคำค้นหาของผู้ใช้ใน search engines ยอดนิยม ไม่ว่าจะเป็น Google, Yahoo และ Bing โดยโค้ดที่เป็นอันตรายนั้นยังสามารถใช้ PowerShell เพื่อแทรกตัวเองลงในเบราว์เซอร์ และเพิ่ม extension ลงในเบราว์เซอร์ได้ด้วย

ในเดือนพฤษภาคม นักวิจัยจาก Red Canary สังเกตเห็นแคมเปญโฆษณาที่ใช้แพร่กระจายมัลแวร์ ChromeLoader ที่จะทำการดักจับเบราว์เซอร์ของเหยื่อ โดยในสัปดาห์นี้ VMware และ Microsoft ได้ออกมาเตือนถึงแคมเปญมัลแวร์ Chromeloader ที่กำลังถูกใช้ในการโจมตี ซึ่งจะติดตั้ง extension บนเบราว์เซอร์ที่เป็นอันตราย, มัลแวร์ node-WebKit และแรนซัมแวร์

Microsoft มองว่าแคมเปญนี้มาจากผู้โจมตีที่ชื่อว่า DEV-0796 ซึ่งผู้โจมตีนั้นพยายามสร้างรายได้จากการคลิกที่สร้างโดย browser node-webkit หรือ extension บนเบราว์เซอร์ที่เป็นอันตราย ซึ่งจะแอบติดตั้งไว้บนอุปกรณ์ของเหยื่อ

แคมเปญนี้จะเริ่มต้นการโจมตีด้วยไฟล์ ISO ที่จะถูกดาวน์โหลดเมื่อผู้ใช้คลิกโฆษณาที่เป็นอันตรายหรือ YouTube comments เมื่อทำการเปิดไฟล์ ISO เบราว์เซอร์ node-webkit (NW.js) หรือ extension ของเบราว์เซอร์จะถูกติดตั้ง ซึ่งผู้เชี่ยวชาญยังสังเกตเห็นว่าผู้โจมตีใช้ไฟล์ DMG เพื่อกำหนดเป้าหมายบนระบบ macOS อีกด้วย

VMware ได้เผยแพร่รายงานที่ให้รายละเอียดทางเทคนิคเกี่ยวกับ Chromeloader หลายตัวที่บริษัทสังเกตเห็นตั้งแต่เดือนสิงหาคม และล่าสุดเมื่อปลายเดือนสิงหาคม ChromeLoader ถูกใช้เพื่อติดตั้ง ZipBombs ลงบนระบบที่ถูกโจมตี มัลแวร์นี้ถูกใช้เพื่อทำลายระบบของผู้ใช้ด้วยการโหลดข้อมูลที่มากจนเกินไป

ผู้เชี่ยวชาญยังสังเกตเห็นการใช้ ChromeLoader เพื่อดาวน์โหลด Enigma Ransomware ซึ่งส่งออกเป็นไฟล์แนบ HTML ที่พบในไฟล์ ISO โดยเมื่อเปิดไฟล์แนบ ก็จะมีการเปิดเบราว์เซอร์ และเรียกใช้จาวาสคริปต์ที่ฝังอยู่

เทคนิคการโจมตีอื่น ๆ ที่โดดเด่น คือ OpenSubtitles ในเวอร์ชันปลอม ซึ่งเป็นโปรแกรมที่ช่วยให้ผู้ใช้ค้นหาคำบรรยายสำหรับภาพยนตร์ และรายการทีวีที่เป็นที่นิยม และ Flbmusic.

พบการโจมตีทางไซเบอร์แบบหลายขั้นตอนที่ไม่ค่อยได้พบเห็นมาก่อน ซึ่งจะมีการพยายามหลอกให้ผู้ใช้เล่น Malicious Video และหลังจากนั้นก็จะนำผู้ใช้งานไปยังหน้า Microsoft ที่ปลอมขึ้นมาเพื่อใช้ในการขโมย credentials

บริษัท Perception Point ได้เผยแพร่รายงานเกี่ยวกับแคมเปญ Phishing ให้เห็นว่าการโจมตีจะเริ่มต้นจากอีเมลใบแจ้งหนี้จากบริษัทรักษาความปลอดภัยทางด้านการสื่อสารของอังกฤษ (Egress) โดยอีเมลนั้นมาจากผู้ส่งที่ถูกต้องของ Egress ซึ่งอาจเป็นไปได้ว่าพนักงานรายนั้นโดนแฮ็กเกอร์ Take over Email ไปเรียบร้อยแล้ว และนำมาใช้ในการโจมตีแบบ Phishing email

สรุปรายละเอียดการโจมตี

แฮ็กเกอร์ได้มีการเข้าควบคุมอีเมลของหนึ่งในพนักงานของบริษัทรักษาความปลอดภัยทางด้านการสื่อสารของอังกฤษ (Egress)
จากนั้นจะทำการส่งอีเมลโดยมีใจความว่าเป็นใบ invoice จาก Egress
เมื่อเหยื่อทำการคลิกที่ไฟล์นั้นจะถูก Redirect ไปที่ Powtoon ที่เป็น Video-Platform เพื่อเล่น Video ที่เป็นอันตราย
เมื่อ Video เล่นเสร็จจะนำไปยังหน้า Microsoft ที่มีการปลอมแปลงขึ้นมาเพื่อขโมยข้อมูลของเหยื่อ

ค่อนข้างเป็นที่แน่ชัดว่าเป็น account takeover แน่นอน เนื่องจากว่าอีเมลมีลายเซ็นของพนักงานจาก Egress ที่ถูกต้อง และอีเมลนั้นผ่านการตรวจสอบสิทธิ์อีเมลตามมาตรฐาน (SPF: Sender Policy Framework) และถูกส่งมาจาก Microsoft Outlook ทำให้มีความน่าเชื่อถือสูง และการโจมตีนี้จะเป็นอันตรายมากขึ้น หากผู้รับนั้นรู้จักผู้ส่ง ซึ่งจะทำให้ผู้รับนั้นเกิดความไว้วางใจ และไม่เกิดความสงสัย

แนวทางการป้องกัน

ไม่ควรใช้อีเมลของบริษัทไปทำการสมัครบริการต่าง ๆ ที่นอกเหนือจากการใช้งานของบริษัท
สร้าง Awareness ให้กับพนักงาน
ติดตามข่าวสารอยู่อย่างสม่ำเสมอ

ที่มา : darkreading

นักวิเคราะห์ด้านความปลอดภัยได้พบช่องโหว่ใน Microsoft Teams Application ที่ใช้งานกับ Desktop ทำให้ผู้โจมตีสามารถเข้าถึง Authentication Token และบัญชีที่เปิดใช้งาน Multi-Factor (MFA) ได้

Microsoft Teams เป็นแพลตฟอร์มการสื่อสารที่อยู่ในตระกูลผลิตภัณฑ์ 365 ซึ่งมีผู้ใช้งานมากกว่า 270 ล้านคนในการประชุมทางวิดีโอ และการจัดเก็บไฟล์

ปัญหานี้มีผลกระทบต่อ Application version ที่ใช้บน Windows, Linux และ Mac เนื่องจาก Authentication Token ของผู้ใช้งานใน Microsoft Teams จะถูกจัดเก็บเป็น clear text โดยไม่มีการป้องกันการเข้าถึง เพราะเหตุนี้จึงทำให้ผู้โจมตีสามารถขโมย Tokens แล้วใช้เพื่อเข้าสู่ระบบของเหยื่อได้

นักวิจัยระบุว่า "การเข้าควบคุมบัญชีที่สำคัญขององค์กร เช่น หัวหน้าฝ่ายวิศวกรรม CEO หรือ CFO" อาจส่งผลให้เกิดความเสียหายต่อองค์กรได้

นักวิจัยของ Vectra พบปัญหานี้ในเดือนสิงหาคม 2022 และรายงานไปยัง Microsoft แต่ Microsoft ไม่เห็นด้วย และยังระบุว่าไม่ตรงตามเกณฑ์ที่จำเป็นต้องทำการแก้ไข

รายละเอียดปัญหา

Microsoft Teams เป็นแอปในลักษณะ Electron ที่ทำงานในเบราว์เซอร์ พร้อมด้วยองค์ประกอบที่จำเป็นสำหรับหน้าเว็บปกติ (cookies, session strings, logs อื่นๆ)

ซึ่ง Electron ไม่รองรับการเข้ารหัส หรือการป้องกันการเข้าถึงไฟล์ ดังนั้นแม้ว่าเฟรมเวิร์กซอฟต์แวร์จะใช้งานได้หลากหลาย และใช้งานได้ง่าย แต่ก็ถือว่าความปลอดภัยไม่เพียงพอสำหรับการพัฒนาผลิตภัณฑ์ที่มีความสำคัญ เว้นแต่จะมีการปรับแต่งให้ครอบคลุมมากยิ่งขึ้น

Vectra ระบุว่า ขณะที่พยายามหาวิธีลบบัญชีที่ไม่มีการใช้งานออกจากแอปบนไคลเอ็นต์ เค้าพบไฟล์ ldb ที่มี access tokens เป็น clear text "เมื่อตรวจสอบก็พบว่า access tokens เหล่านี้ยังสามารถใช้งานได้ และไม่ใช่การ Dump error โดยไม่ได้ตั้งใจ และ Tokens เหล่านี้จะสามารถใช้เพื่อเข้าถึง Outlook และ Skype APIs" - Vectra

นอกจากนี้ นักวิเคราะห์พบว่าโฟลเดอร์ "Cookie" ยังมี Authentication Tokens ที่ใช้งานได้ พร้อมด้วยข้อมูลบัญชี ข้อมูลเซสชัน และข้อมูลการใช้งานต่าง ๆ

สุดท้าย Vectra ได้พัฒนาเครื่องมือที่ใช้สำหรับทดสอบช่องโหว่ผ่านทางการเรียกใช้ API ซึ่งอนุญาตให้ส่งข้อความถึงตัวเองได้ โดยการใช้ engine SQLite เพื่ออ่านฐานข้อมูลใน Cookies ซึ่งปรากฏว่าได้รับ Authentication Tokens เป็นข้อความใน chat window ตามภาพ

ช่องโหว่นี้สามารถถูกโจมตีด้วยมัลแวร์สำหรับขโมยข้อมูลซึ่งเป็นหนึ่งใน Paylods ที่นิยมมากที่สุดในแคมเปญฟิชชิ่ง

การใช้มัลแวร์ประเภทนี้ ผู้โจมตีจะสามารถขโมย Authentication Tokens ของ Microsoft Teams และเข้าสู่ระบบจากระยะไกลในฐานะผู้ใช้ bypass MFA และเข้าถึงบัญชีได้อย่างสมบูรณ์

ซึ่งผู้โจมตีมีการโจมตีลักษณะนี้กับแอปพลิเคชันอื่น ๆ อยู่แล้ว เช่น Google Chrome, Microsoft Edge, Mozilla Firefox, Discord และอื่น ๆ อีกมากมาย

การลดความเสี่ยง

ด้วยเหตุที่ยังไม่มีแพตช์สำหรับแก้ไข คำแนะนำของ Vectra คือให้ผู้ใช้สลับไปใช้ Microsoft Teams ที่เป็น Browser version แทน ผ่านทาง Microsoft Edge ซึ่งผู้ใช้จะได้รับการป้องกันเพิ่มเติมเพื่อป้องกันการรั่วไหลของ Tokens

นักวิจัยแนะนำผู้ใช้งาน Linux ให้ย้ายไปใช้โปรแกรมสำหรับ Online meeting อื่น ๆ โดยเฉพาะอย่างยิ่งเมื่อ Microsoft ประกาศแผนการที่จะหยุดสนับสนุนแอปสำหรับแพลตฟอร์ม Linux ภายในเดือนธันวาคม

สำหรับผู้ที่ไม่สามารถย้ายไปยังโซลูชันอื่นได้ในทันที สามารถเฝ้าระวังการที่เข้าถึงไดเร็กทอรีต่อไปนี้:

[Windows] %AppData%\Microsoft\Teams\Cookies
[Windows] %AppData%\Microsoft\Teams\Local Storage\leveldb
[macOS] ~/Library/Application Support/Microsoft/Teams/Cookies
[macOS] ~/Library/Application Support/Microsoft/Teams/Local Storage/leveldb
[Linux] ~/.config/Microsoft/Microsoft Teams/Cookies
[Linux] ~/.config/Microsoft/Microsoft Teams/Local Storage/leveldb

BleepingComputer ได้ติดต่อ Microsoft เกี่ยวกับแผนที่จะแก้ไขปัญหาดังกล่าว โดยเมื่อวันที่ 14 กันยายน 2565 โฆษกของ Microsoft ระบุว่า

"เทคนิคที่ใช้ ยังไม่ตรงกับมาตรฐานที่ต้องรีบดำเนินการแก้ไข เนื่องจากผู้โจมตีต้องสามารถเข้าถึงเครือข่ายเป้าหมายให้ได้ก่อน

ขอขอบคุณ Vectra Protect ในการระบุ และเปิดเผยปัญหานี้อย่างมีความรับผิดชอบ และจะพิจารณาแก้ไขดังกล่าวต่อไปในอนาคต"

ที่มา : bleepingcomputer

มัลแวร์ Emotet กำลังถูกนำมาใช้โดยกลุ่ม ransomware-as-a-service (RaaS) ซึ่งรวมไปถึงกลุ่ม Quantum และ BlackCat หลังจากที่ Conti ยกเลิกปฏิบัติการไปในปีนี้

Emotet เริ่มจากการเป็นโทรจันเพื่อใช้โจมตีธนาคารในปี 2557 แต่การอัปเดตครั้งล่าสุดทำให้มันกลายเป็นภัยคุกคามที่มีความรุนแรงสูงซึ่งสามารถใช้เพื่อดาวน์โหลดเพย์โหลดอื่น ๆ ลงในเครื่องของเหยื่อ ซึ่งจะทำให้ผู้โจมตีสามารถควบคุมเครื่องของเหยื่อจากระยะไกลได้

AdvIntel รายงานว่า ตั้งแต่เดือนพฤศจิกายน พ.ศ. 2564 จนถึงมิถุนายน พ.ศ. 2565 Emotet ถือเป็นเครื่องมือโดยเฉพาะของกลุ่ม Conti ransomware แต่หลังจากการยุติปฏิบัติการไป Emotet ก็ถูกใช้เป็นเครื่องมือจากกลุ่ม Quantum และ BlackCat ransomware ในการโจมตีแทน

การโจมตีที่เกี่ยวข้องกับการใช้ Emotet หรือที่เรียกว่า SpmTools ถูกใช้เป็นจุดเริ่มต้นเพื่อติดตั้ง Cobalt Strike ซึ่งจะถูกใช้เป็นเครื่องมือสำหรับการโจมตีของแรนซัมแวร์

Quantum เป็นกลุ่มย่อยของ Conti ซึ่งในช่วงหลายเดือนที่ผ่านมาได้ใช้ call-back phishing ที่เรียกว่า BazaCall หรือ BazarCall เพื่อโจมตีเครือข่ายเป้าหมาย

AdvIntel ระบุว่าตรวจพบการแพร่กระจายของ Emotet มากกว่า 1,267,000 รายทั่วโลกตั้งแต่ต้นปีซึ่งสอดคล้องกับการรุกรานยูเครนของรัสเซีย

การแพร่กระจายเพิ่มขึ้นเป็นครั้งที่สองระหว่างเดือนมิถุนายนถึงกรกฎาคม เนื่องจากมีการใช้งานโดยกลุ่มแรนซัมแวร์ Quantum และ BlackCat รายงานโดยบริษัทรักษาความปลอดภัยในโลกไซเบอร์แสดงให้เห็นว่าประเทศที่เป็นเป้าหมายของ Emotet มากที่สุดคือสหรัฐอเมริกา, รองลงมาคือฟินแลนด์, บราซิล, เนเธอร์แลนด์ และฝรั่งเศส

ก่อนหน้านี้ ESET รายงานการตรวจพบ Emotet เพิ่มขึ้น 100 เท่าในช่วงสี่เดือนแรกของปี 2565 เมื่อเทียบกับปีก่อน Check Point บริษัทรักษาความปลอดภัยทางไซเบอร์ของอิสราเอลระบุว่า Emotet จัดอยู่ในลำดับที่ 5 ในรายการมัลแวร์ที่แพร่กระจายมากที่สุดในเดือนสิงหาคม 2565 โดยอันดับแรกจะเป็น FormBook, Agent Tesla, XMRig และ GuLoade ตามลำดับ

ที่มา: thehackernews.

ผู้เชี่ยวชาญจาก Mandiant ตรวจพบกลุ่มแฮ็กเกอร์ชาวเกาหลีเหนือใช้งาน PuTTY SSH ในการติดตั้งแบ็คเดอร์ที่มีชื่อว่า AIRDRY.V2 บนเครื่องเป้าหมาย ผ่านการส่งอีเมลสมัครงานที่แอบอ้างว่ามาจาก Amazon

เหตุการณ์ในครั้งนี้เกิดจากกลุ่มที่มีชื่อว่า "UNC4034" (หรือที่รู้จักกันในชื่อว่า "Temp.

นักวิจัยด้านความปลอดภัยได้พัฒนาการใช้งาน PsExec utility ที่อยู่ในเครื่องมือ Sysinternals ของ Microsoft ให้สามารถเชื่อมต่อไปภายในเครือข่ายได้โดยการใช้พอร์ต TCP/135 ที่ปกติแล้วจะถูกตรวจสอบน้อยกว่าพอร์ตอื่น ๆ

โดย PsExec ได้รับการออกแบบมาเพื่อช่วยให้ผู้ดูแลระบบสั่งการทำงานเครื่องจากระยะไกลในเครือข่ายได้โดยไม่จำเป็นต้องติดตั้งไคลแอนท์ ทำให้ผู้โจมตีมักใช้เครื่องมือนี้ หลังจากการโจมตีระบบของเหยื่อได้สำเร็จ เพื่อทำการแพร่กระจาย มัลแวร์ หรือส่งคำสั่งไปยังระบบต่าง ๆ ในเครือข่าย

TCP Port ที่ใช้โดย PsExec

แม้ว่า PsExec ปกติแล้วจะมีอยู่ใน Sysinternals แต่ก็มีการนำไปใช้งานใน Impacket บน Python ซึ่งรองรับการทำงานกับโปรโตคอล SMB และโปรโตคอลอื่นๆ เช่น IP, UDP, TCP ที่เปิดใช้งานเพื่อเชื่อมต่อสำหรับ HTTP LDAP (Lightweight Directory Access Protocol) และ Microsoft SQL Server (MSSQL) แต่เวอร์ชันดั้งเดิม และ Impacket จะทำงานในลักษณะเดียวกัน คือจำเป็นต้องเปิดพอร์ต 445 เพื่อเชื่อมต่อผ่านโปรโตคอล SMB และยังสามารถใช้บริหารจัดการ Windows services เช่น create, execute, start stop ผ่าน Remote Procedure Calls (RPC) ซึ่งเป็นโปรโตคอลที่ใช้สำหรับสื่อสารกับระบบปฏิบัติการได้

สำหรับฟังก์ชันอื่น ๆ อาจจำเป็นต้องใช้พอร์ต 135 เพิ่มเติม และด้วยสาเหตุที่พอร์ต 445 จำเป็นมากกว่าต่อการใช้งาน PsExec จึงทำให้การป้องกันจึงมุ่งเน้นไปที่การบล็อกพอร์ต 445 ซึ่งจำเป็นสำหรับ PsExec ในการดำเนินการรันคำสั่ง หรือเรียกใช้ไฟล์

PsExec ที่ถูกพัฒนาขึ้นใหม่

จากไลบรารี Impacket นักวิจัยจาก Pentera ได้นำเครื่องมือ PsExec ไปใช้ทำงานบนพอร์ต 135 เท่านั้นได้สำเร็จ ซึ่งทำให้การบล็อกเพียงพอร์ต 445 เพื่อป้องกันการทำงานจาก PsExec นั้นไม่พออีกต่อไป

Yuval Lazar นักวิจัยด้านความปลอดภัยอาวุโสของ Pentera ระบุในรายงานที่ส่งให้กับ BleepingComputer ว่า คำสั่งต่างๆ จะดำเนินการผ่าน Distributed Computing Environment / Remote Procedure Calls (DCE/RPC)

การใช้งาน PsExec จาก Pentera จะใช้การเชื่อมต่อผ่าน RPC ที่ทำให้นักวิจัยสามารถเรียกใช้คำสั่งตามที่ต้องการโดยไม่ต้องเชื่อมต่อผ่านพอร์ต SMB 445

 

Lazar ระบุกับ BleepingComputer ว่า PsExec ตัวใหม่จะมีโอกาสสูงที่ไม่ถูกตรวจจับได้ในเครือข่าย เนื่องจากหลายองค์กรจับตาดูเพียงพอร์ต 445 และ SMB protocol

อีกจุดหนึ่งที่ Lazar นำเสนอคือการใช้งาน PsExec ปกติต้องใช้ SMB protocol เนื่องจากเป็นลักษณะ file-based แต่ของ Pentera จะเป็นลักษณะ fileless ซึ่งจะทำให้ตรวจจับได้ยากขึ้น

การวิจัยของ Lazar เกี่ยวกับ PsExec เกิดขึ้นในขณะที่ช่องโหว่ด้านความปลอดภัย เช่น PetitPotam และ DFSCoerce ได้แสดงให้เห็นถึงความเสี่ยงจาก RPC ซึ่งการป้องกันช่องโหว่ดังกล่าวไม่ได้เน้นที่การตรวจสอบ DCE/RPC แต่เป็นการป้องกันที่ NTLM relay

ซึ่ง Pentera สังเกตว่าปกติแล้วการรับส่งข้อมูลบน RPC ไม่ค่อยมีการตรวจสอบจากองค์กรต่าง ๆ ซึ่งอาจเกิดจากการที่ระบบป้องกันต่าง ๆ ไม่คิดว่า RPC จะสามารถทำให้เกิดความเสี่ยงด้านความปลอดภัยกับเครือข่ายได้

Will Dormann นักวิเคราะห์ช่องโหว่ของ CERT/CC ยืนยันว่าการบล็อกพอร์ต TCP 445 เพียงอย่างเดียวไม่เพียงพอ

PsExec ใช้การเชื่อมต่อผ่าน SMB และ RPC ซึ่งต้องใช้พอร์ต 445, 139 และ 135 อย่างไรก็ตาม Lazar กล่าวเสริมว่ามีการใช้งาน RPC บน HTTP ด้วย ซึ่งหมายความว่า PsExec ก็อาจทำงานบนพอร์ต 80 ได้เช่นกัน

PsExec เป็นที่นิยมในกลุ่มแรนซัมแวร์

แฮ็กเกอร์ใช้ PsExec ในการโจมตีมาเป็นเวลานาน โดยเฉพาะกลุ่มแรนซัมแวร์ ด้วยการโจมตีที่กินเวลาเพียงหนึ่งชั่วโมง NetWalker ransomware ใช้ PsExec เพื่อเรียกใช้เพย์โหลดได้บนทุกระบบในโดเมน

ตัวอย่างการโจมตีโดยใช้ PsExec

กลุ่ม Quantum ransomware อาศัย PsExec และ WMI ใช้เวลาเพียงสองชั่วโมงในการเข้ารหัสทั้งระบบของเหยื่อ หลังจากเข้าถึงผ่านมัลแวร์ IcedID
รายงานจาก Microsoft ในเดือนมิถุนายน BlackCat ransomware ใช้ PsExec เพื่อแพร่กระจายเพย์โหลดของแรนซัมแวร์
การถูกโจมตีของ Cisco ที่เปิดเผยเมื่อเร็วๆ นี้ ซึ่งกลุ่ม Yanluowang ใช้ PsExec เพื่อเพิ่มค่า Registry จากภายนอก

ที่มา: bleepingcomputer

แฮ็กเกอร์ฝังมัลแวร์ลงใน FishPig ซึ่งเป็น extensions ยอดนิยมสำหรับใช้งานกับ Magento-WordPress โดยปัจจุบันมีการดาวน์โหลดไปแล้วมากกว่า 200,000 ครั้ง

Magento เป็น open-source สำหรับแพลตฟอร์ม eCommerce ยอดนิยม ที่ใช้สำหรับสร้างร้านค้าออนไลน์ ซึ่งสร้างยอดขายสินค้ามากกว่าหนึ่งหมื่นล้านดอลลาร์ต่อปี

โดยพบว่าแฮ็กเกอร์ได้เข้าควบคุม Server ของ FishPig และได้เพิ่มโค้ดที่เป็นอันตรายลงไปในซอฟต์แวร์ และสามารถเข้าถึงเว็บไซต์สำหรับใช้งานซอฟต์แวร์ดังกล่าว ทำให้เกิดการโจมตีกับผู้ใช้งานในลักษณะ supply-chain attack ได้

นักวิจัยด้านความปลอดภัยจาก Sansec บริษัทที่ให้บริการตรวจสอบช่องโหว่ และมัลแวร์บนระบบ eCommerce ได้ยืนยันว่า FishPig Magento Security Suite และ FishPig WordPress Multisite นั้นถูกฝังมัลแวร์ไว้โดยแฮ็กเกอร์แล้ว

พวกเขาคาดว่า extensions แบบเสียเงินตัวอื่น ๆ จากผู้จัดจำหน่ายรายเดียวกันนั้นก็อาจจะถูกฝังมัลแวร์ไว้เช่นเดียวกัน แต่ extensions แบบฟรีที่อยู่บน GitHub นั้นยังปลอดภัยอยู่

การทำงานของมัลแวร์

แฮ็กเกอร์ได้ฝังโค้ดที่เป็นอันตรายลงในไฟล์ License.