ในวันอังคารที่ผ่านมา VMware ออกแพตซ์อัปเดตเพื่อแก้ไขช่องโหว่ 10 รายการ ที่ส่งผลกระทบต่อผลิตภัณฑ์ต่าง ๆ ของVMware โดยผู้โจมตีที่ไม่ต้องผ่านการตรวจสอบสิทธิ์

ช่องโหว่มีหมายเลข CVE-2022-31656 ถึง CVE-2022-31665 (คะแนน CVSS: 4.7 - 9.8) ส่งผลกระทบต่อ VMware Workspace ONE Access, Workspace ONE Access Connector, Identity Manager, Identity Manager Connector, vRealize Automation, Cloud Foundation และ vRealize Suite Lifecycle Manager

ช่องโหว่ร้ายแรงที่สุดคือ CVE-2022-31656 (คะแนน CVSS: 9.8) ซึ่งเป็นช่องโหว่ authentication bypass ที่ส่งผลกระทบต่อ local domain users ซึ่งทำให้ผู้โจมตีสามารถเข้าถึงเครือข่าย และเข้าถึงสิทธิ์ของผู้ดูแลระบบได้

นอกจากนี้ VMware ยังได้แก้ไขช่องโหว่ remote code execution สามช่องโหว่ (CVE-2022-31658, CVE-2022-31659 และ CVE-2022-31665) ที่เกี่ยวข้องกับ JDBC และ SQL injection

นอกจากนี้ยังแก้ไขช่องโหว่ cross-site scripting (XSS) (CVE-2022-31663) ที่ระบุว่าเป็นผลกระทบจากการจัดการรายชื่อผู้ใช้ที่ไม่เหมาะสม ซึ่งอาจนำไปสู่การใช้งานโค้ด JavaScript ที่เป็นอันตราย

รวมไปถึง 3 ช่องโหว่ (CVE-2022-31660, CVE-2022-31661 และ CVE-2022-31664) ที่เกี่ยวกับการยกระดับสิทธิ์ local privilege ที่สามารถทำให้ผู้โจมตียกระดับเป็นสิทธิ์ root ได้, ช่องโหว่ URL Injection ( CVE-2022-31657) และช่องโหว่ path traversal (CVE-2022-31662)

โดยที่หากการโจมตีช่องโหว่ CVE-2022-31657 สามารถทำได้สำเร็จ จะสามารถเปลี่ยนเส้นทางผู้ใช้งานไปยังโดเมนตามที่ต้องการได้ ส่วนช่องโหว่ CVE-2022-31662 ก็ทำให้ผู้โจมตีสามารถเข้าถึงไฟล์โดยไม่ได้รับอนุญาตได้

VMware ระบุว่ายังไม่พบรายงานการโจมตีจากช่องโหว่เหล่านี้เกิดขึ้นจริง แต่แนะนำให้ผู้ใช้งานอัปเดตแพตช์ในทันทีเพื่อลดความเสี่ยงภัยจากคุกคามที่อาจเกิดขึ้น

ที่มา: thehackernews

แอปพลิเคชันที่มีลักษณะเป็น adware กำลังพยายามทำการโปรโมตอย่างจริงจังบน Facebook ในฐานะแอปพลิเคชัน system cleaners และสามารถใช้เพื่อเพิ่มประสิทธิภาพบนอุปกรณ์ Android ได้ ซึ่งปัจจุบันมีการติดตั้งไปแล้วหลายล้านครั้งบน Google Play Store

แอปพลิเคชันประเภทนี้ไม่ได้ทำงานได้จริงอย่างที่ได้โฆษณาไว้ แต่จะพยายามที่จะอยู่บนเครื่องให้ได้นานที่สุด และเพื่อหลบเลี่ยงการถูกลบออกจากเครื่อง แอปพลิเคชันประเภทนี้จะซ่อนอยู่โดยการเปลี่ยนภาพของไอคอน และชื่อของแอปพลิเคชัน โดยปลอมแปลงเป็นไอคอน Setting หรือ Play Store

รวมไปถึง adware ในแอปพลิเคชันประเภทนี้จะถูกแสดงขึ้นมาทุกครั้งที่ผู้ใช้งานติดตั้งแอปพลิเคชันใหม่ๆ จึงทำให้ผู้ใช้งานคิดว่าโฆษณาที่ถูกโชว์ขึ้นมานั้นมาจากแอปพลิเคชันที่พึ่งติดตั้งไป ไม่ใช่จาก adware ในแอปพลิเคชันประเภทนี้

นักวิจัยจาก McAfee ผู้ค้นพบแอปพลิเคชันประเภทนี้ระบุว่า ผู้ใช้ไม่ต้องเปิดแอปพลิเคชันหลังจากการติดตั้งเพื่อทำให้โฆษณาถูกเปิดขึ้นมา เนื่องจากแอปพลิเคชันประเภทนี้สามารถเริ่มต้นทำงานได้ด้วยตัวเองโดยอัตโนมัติ หากมีการหยุดการทำงานของ process แอปพลิเคชันก็จะสั่งการให้กลับขึ้นมาทำงานเองอีกครั้งทันที

จากรายงานของ McAfee สาเหตุที่ผู้ใช้งานเชื่อว่าแอปพลิเคชันประเภทนี้มีความน่าเชื่อถือ เนื่องจากเพราะเห็นลิงก์ของแอปพลิเคชันบน Facebook จึงส่งผลให้จำนวนการดาวน์โหลดสูงผิดปกติสำหรับแอปพลิเคชันบางประเภทดังนี้

Junk Cleaner, cn.

ผู้เชี่ยวชาญจาก CloudSEK พบ Mobile Application กว่า 3,207 แอพพลิเคชันที่มีการเปิดเผย API Key ของ Twitter ออกสู่สาธารณะ ส่งผลให้ผู้ใช้งานมีความเสี่ยงถูกเข้าถึงบัญชี Twitter

รายละเอียดของเหตุการณ์

โดยปกติเมื่อผู้พัฒนาทำการ Integrate Mobile Application เข้ากับบัญชี Twitter ผู้พัฒนาจะได้รับ Key หรือ Token สำหรับใช้เชื่อมต่อกับ API ของ Twitter
เมื่อผู้ใช้งานแอพพลิเคชันทำการเชื่อมโยง Mobile Application เข้ากับบัญชี Twitter ของตน API Key จะช่วยให้แอพพลิเคชันสามารถดำเนินการต่าง ๆ ในนามของผู้ใช้งานได้ เช่น การเข้าสู่ระบบผ่านทาง Twitter การสร้างทวีต การส่ง DM เป็นต้น
ซึ่งปกติ ข้อมูลประจำตัวจะถูกเก็บไว้ในแอปพลิเคชันบนมือถือที่ตำแหน่งต่อไปนี้
1. resources/res/values/strings.

สำนักงานความมั่นคงปลอดภัยทางไซเบอร์ และโครงสร้างพื้นฐานของอเมริกา (CISA) ได้เพิ่มช่องโหว่ด้านความปลอดภัยของ Atlassian ที่มีหมายเลข CVE-2022-26138 มี CVSS: 8.6 เข้าสู่ Known Exploited Vulnerabilities Catalog (KEV) เนื่องจากพบว่าช่องโหว่ดังกล่าวกำลังถูกใช้ในการโจมตีเป็นวงกว้างอยู่ในปัจจุบัน

โดยช่องโหว่นี้จะทำให้ผู้โจมตีได้ข้อมูล hardcoded credentials ของระบบ จากการโจมตีผ่านทาง Questions For Confluence app ที่ถูกเปิดใช้งานบน Confluence Server และ Data Center instances

ลักษณะของช่องโหว่

เมื่อมีการเปิดใช้งาน Questions for Confluence App บน Confluence Server หรือ Data Center ตัว App จะสร้างบัญชีผู้ใช้ Confluence ด้วย Username: disabledsystemuser และจะถูกเพิ่มลงไปใน Confluence-User group ซึ่งบัญชีนี้มีวัตถุประสงค์เพื่อช่วยให้ผู้ดูแลระบบสามารถย้ายข้อมูลไปที่ Confluence Cloud

โดย User นี้ถูกสร้างขึ้นด้วยรหัสผ่านแบบ Hard-Code หรือก็คือเป็นรหัสผ่านที่มีค่าตายตัวของมันอยู่แล้ว ซึ่งทำให้ผู้โจมตีที่มีความรู้เกี่ยวกับ Hard-Code สามารถใช้ประโยชน์จากช่องโหว่นี้เพื่อเข้าสู่ระบบ Confluence ได้ทันที

วิธีตรวจสอบว่าระบบได้รับผลกระทบจากช่องโหว่นี้หรือไม่
ให้ตรวจสอบว่า Confluence Server หรือ Data Center มีบัญชีผู้ใช้ตามรายการด้านล่างนี้หรือไม่

Username: disabledsystemuser
Email: dontdeletethisuser@email.

สถิติ Ransomware จากไตรมาสที่สองของปีแสดงให้เห็นว่าค่าไถ่ที่จ่ายให้กับกลุ่มแรนซัมแวร์มีมูลค่าลดลง ซึ่งเป็นแนวโน้มที่ดำเนินต่อไปตั้งแต่ไตรมาสสุดท้ายของปี 2564

บริษัท Coveware ได้เผยแพร่รายงานในวันนี้โดยมีข้อมูล Ransomware จากไตรมาสที่สองของปี 2565 ที่แสดงให้เห็นว่าแม้ว่าการยอมจ่ายค่าไถ่โดยเฉลี่ยจะเพิ่มขึ้น แต่จำนวนค่าไถ่กลับลดลงอย่างมีนัยสำคัญ

Payments down

ในไตรมาสที่ 2 ปี 2565 การจ่ายค่าไถ่เฉลี่ยอยู่ที่ 228,125 ดอลลาร์ (เพิ่มขึ้น 8% จากไตรมาสที่ 1 ปี 2565) อย่างไรก็ตาม จำนวนค่าไถ่เฉลี่ยอยู่ที่ 36,360 ดอลลาร์ ซึ่งลดลงอย่างมากถึง 51% เมื่อเทียบกับไตรมาสก่อนหน้า

เป็นแนวโน้มขาลงตั้งแต่ไตรมาสที่ 4 ปี 2564 ซึ่งแสดงถึงยอดการชำระเงิน Ransomware ทั้งโดยเฉลี่ย (332,168 ดอลลาร์) และค่ามัธยฐาน (117,116 ดอลลาร์)

แนวโน้มนี้สะท้อนถึงการเปลี่ยนแปลงของกลุ่มผู้โจมตีแบบ RaaS เปลี่ยนเป้าหมายไปสู่ตลาดระดับกลาง ซึ่งการโจมตีนั้นมีโอกาสสำเร็จมากกว่า และมีความเสี่ยงน้อยกว่าการโจมตีเป้าหมายระดับสูง Coveware ระบุในรายงาน

“เราได้เห็นแนวโน้มที่น่าสนใจ เมื่อกลุ่มผู้โจมตีเรียกค่าไถ่ด้วยจำนวนเงินที่สูงมาก และองค์กรขนาดใหญ่ปฏิเสธที่จะต่อรองในการจ่ายค่าไถ่”

ในขณะที่กลุ่ม ransomware ที่ถูกพบมากที่สุดในไตรมาสที่ผ่านมา สถิติที่ Coveware รวบรวมไว้แสดงให้เห็นว่า BlackCat อยู่ในอันดับต้น ๆ ของรายการด้วยสถิติ 16.9% ของการโจมตี ตามด้วย LockBit ซึ่งคิดเป็น 13.1%

Data exfiltration

วิธีข่มขู่เรียกค่าไถ่เหยื่อด้วยการขโมยข้อมูลที่สำคัญออกมาก่อนที่เข้ารหัสข้อมูล ยังคงมีการดำเนินการต่อไปในไตรมาสนี้ ซึ่งพบว่าเป็น 86% ของการโจมตีด้วยแรนซัมแวร์ทั้งหมด

Coveware ย้ำว่าในหลายกรณี แม้ว่าจะได้รับเงินค่าไถ่ ผู้คุกคามยังคงข่มขู่ หรือทำให้ไฟล์ที่ถูกขโมยออกมารั่วไหลอยู่ดี

ในหลายกรณี การขโมยข้อมูลเป็นวิธีการข่มขู่เรียกค่าไถ่หลักสำหรับผู้โจมตีจำนวนมาก ซึ่งหมายความว่าหลายเหตุการณ์ก็ไม่มีการเข้ารหัสไฟล์ที่อยู่บนเครื่องของเหยื่อ

ส่งผลให้เวลา down time โดยเฉลี่ยจากการถูกโจมตีด้วย ransomware ลดลงเหลือ 24 วัน น้อยลง 8% เมื่อเทียบกับไตรมาส 1 ปี 2565

ที่มา : bleepingcomputer

นักวิจัยของ Volexity พบแคมเปญที่มีการ extension ** ที่ชื่อว่า SHARPEXT ซึ่งมีอยู่บน Web Browser ที่ใช้ Chromium-base ทั้ง 3 ตัว ได้แก่ Chrome, Edge และ Whale ซึ่ง extension ดังกล่าวสามารถใช้ขโมยอีเมลจากบัญชี Gmail และ AOL ได้ และตั้งแต่ค้นพบ extension นี้ก็ได้รับการพัฒนาขึ้นอย่างต่อเนื่อง จนล่าสุดเป็นเวอร์ชั่น 3.0 โดยแคมเปญครั้งนี้เชื่อมโยงกับการโจมตีของกลุ่ม Kimsuky (กลุ่ม APT ที่ได้รับการสนับสนุนจากเกาหลีเหนือ)

ลักษณะการโจมตี

ผู้โจมตีติดตั้ง malicious extension หลังจากควบคุมเครื่องเหยื่อด้วยการใช้ VBS Script ที่สร้างขึ้นมาแทนไฟล์ Preferences และ Secure Preferences ซึ่งจะถูกดาวน์โหลดมาจาก C2 Server
เมื่อดาวน์โหลด Preferences file ที่สร้างขึ้นโดยแฮ็กเกอร์ไว้บนอุปกรณ์ของเหยือแล้ว ตัว Web Browser จะทำการโหลด SHARPEXT extension โดยอัตโนมัติ
Malware จะทำการตรวจสอบ และขโมยข้อมูลจาก Webmail account บน Browser ของเหยื่อในขณะที่ใช้งาน และส่งกลับไปให้ผู้โจมตี

นอกจากนี้ผู้โจมตียังสามารถใช้ SHARPEXT เพื่อรวบรวมข้อมูลโดยใช้คำสั่งเหล่านี้

ระบุอีเมลที่รวบรวมไว้ก่อนหน้านี้จากเหยื่อเพื่อให้แน่ใจว่าไม่มีการอัปโหลดที่ซ้ำกัน โดยรายการนี้จะมีการอัปเดตอย่างต่อเนื่องเมื่อ SHARPEXT ถูก executes ขึ้นมา
ระบุโดเมนอีเมลที่เหยื่อใช้ในการติดต่อสื่อสาร โดยรายการนี้จะมีการอัปเดตอย่างต่อเนื่องเมื่อ SHARPEXT ถูก executes ขึ้นมา
รวบรวม Blacklist ของผู้ส่งอีเมลที่ควรละเว้นเมื่อรวบรวมอีเมลจากเหยื่อ
เพิ่มโดเมนในรายการโดเมนทั้งหมดที่เหยื่อใช้งาน
อัปโหลดไฟล์แนบใหม่ไปยัง remote server
อัปโหลดข้อมูล Gmail ไปยัง remote server
รับรายการไฟล์แนบที่ต้องการขโมย
อัปโหลดข้อมูล AOL ไปยัง remote server
อย่างไรก็ตามนี่ไม่ใช่ครั้งแรกที่กลุ่ม APT ของเกาหลีเหนือใช้ extension ของ Browser เพื่อรวบรวม และขโมยข้อมูลสำคัญออกไปจากระบบของเป้าหมาย

คำแนะนำ

ไม่เปิดอีเมลล์หรือไฟล์แนบจากผู้ส่งที่ไม่รู้จักหรือดูน่าสงสัย
ไม่ทำการติดตั้ง Extension ที่ไม่น่าเชื่อถือ หรือไม่รู้จัก
อัปเดต Web Browser ให้เป็นเวอร์ชั่นปัจจุบันอย่างสม่ำเสมอ

ที่มา: bleepingcomputer

Platform Phishing as a service (PhaaS) ใหม่ที่มีชื่อว่า 'Robin Banks' ได้เปิดตัวโดยนำเสนอการ Phishing แบบสำเร็จรูปที่สามารถกำหนดเป้าหมายไปยังลูกค้าของธนาคารที่มีชื่อเสียง และบริการออนไลน์ อย่าง Citibank, Bank of America, Capital One, Wells Fargo, PNC, U.S. Bank, Lloyds Bank, Commonwealth Bank ในออสเตรเลีย และ Santander นอกจาก PhaaS แล้ว Robin Banks ยังเสนอแพลตฟอร์มสำหรับการขโมยบัญชีของ Microsoft, Google, Netflix และ T-Mobile

จากรายงานของ IronNet นักวิจัยพบว่า PhaaS ใหม่อย่าง Robin Banks ได้ถูกนำไปใช้ในแคมเปญขนาดใหญ่ที่เริ่มต้นในช่วงกลางเดือนมิถุนายน โดยกำหนดเป้าหมายไปที่เหยื่อผ่านทาง SMS และ Email

Robin Banks เป็นเครื่องมือใหม่ของกลุ่มอาชญากรไซเบอร์ที่มีความเคลื่อนไหวมาตั้งแต่เดือนมีนาคม 2565 โดยถูกสร้างขึ้นมาเพื่อจัดทำหน้า phishing คุณภาพสูงอย่างรวดเร็วเพื่อกำหนดเป้าหมายลูกค้าขององค์กรทางการเงินขนาดใหญ่

โดยมีขาย 2 ราคาคือ $50 ต่อเดือน สำหรับ single pages และ $200 ต่อเดือน สำหรับ All templates และการ support 24/7 ทั้งสองแบบ

เมื่อลงทะเบียนใช้งานเรียบร้อยแล้ว ผู้ใช้งานจะได้รับ Dashboard ที่มีรายงานเกี่ยวกับการดำเนินงาน การสร้างเพจอย่างง่าย การจัดการ wallet และตัวเลือกในการสร้างเว็บไซต์ Phishing แบบกำหนดเอง

แพลตฟอร์มนี้ยังสามารถกำหนดตัวเลือกต่างๆเพิ่มได้ เช่น การเพิ่ม reCAPTCHA เพื่อตรวจสอบผู้ใช้งาน หรือตรวจสอบ user agent strings เพื่อบล็อกการเข้าถึงของเหยื่อรายใดรายหนึ่งในกรณีที่เป็นแคมเปญที่เป็นเป้าหมายระดับสูง

"Robin Banks มี webGUI ที่ซับซ้อน แต่ใช้งานง่ายกว่า 16Shop และ BulletProftLink ซึ่งเป็น Phishing แพลตฟอร์มที่เป็นที่รู้จักกันเป็นอย่างดี ซึ่งมีราคาแพงกว่า Robin Banks ด้วยเช่นกัน" IronNet ระบุในรายงาน

นอกจากนี้มันยังเพิ่ม Templates รูปแบบใหม่ๆ และอัปเดต Templates รูปแบบเก่าอย่างต่อเนื่อง เพื่อให้เป็นไปตามรูปแบบปัจจุบันของเว็ปไซต์ที่เป็นเป้าหมาย ข้อได้เปรียบเหล่านี้จึงทำให้ Robin Banks เป็นที่นิยมในวงการการโจมตีทางไซเบอร์เป็นจำนวนมาก ทำให้มันถูกนำมาใช้ในช่วง 2-3 เดือนที่ผ่านมา

แคมเปญที่กำลังดำเนินการอยู่

หนึ่งในแคมเปญที่ IronNet ตรวจพบเมื่อเดือนที่แล้ว ผู้โจมตีกำหนดเป้าหมายเป็นลูกค้าของ Citibank ผ่านทาง SMS ที่แจ้งเตือนเกี่ยวกับ "การใช้งานที่ผิดปกติ" ของบัตรเดบิตของลูกค้า Citibank

โดยลิงก์ที่แนบไว้จะนำเหยื่อไปยังหน้า Phishing ซึ่งจะถูกขอให้กรอกรายละเอียดข้อมูลส่วนบุคคล

เมื่อเข้าสู่เว็บไซต์ Phishing เบราว์เซอร์ของเหยื่อจะถูกตรวจสอบ เพื่อระบุว่าเหยื่อใช้งานบนเดสก์ท็อป หรือโทรศัพท์มือถือ เพื่อเลือกแสดงผลหน้าเว็ปไซต์ในเวอร์ชันที่เหมาะสม

เมื่อเหยื่อป้อนรายละเอียดที่จำเป็นทั้งหมดในฟิลด์แบบฟอร์มของเว็บไซต์ Phishing ข้อมูลจะถูกส่งผ่านไปยัง Robin Banks API ไปยังปลายทาง 2 แห่งคือให้กับผู้โจมตี และ platform administrator

เว็บไซต์ Phishing จะส่ง POST request ออกไปทุกครั้ง ในทุกๆเพจที่เหยื่อกรอกข้อมูล ซึ่งเป็นความพยายามในการขโมยข้อมูลให้ได้มากที่สุดเท่าที่จะเป็นไปได้ เนื่องจากเหยื่ออาจหยุดดำเนินการต่อเนื่องจากความสงสัย หรือเหตุผลอื่นๆ

โดยข้อมูลทั้งหมดที่ส่งไปยัง Robin Banks API สามารถดูได้จาก webGUI ของแพลตฟอร์มสำหรับทั้งผู้ใช้งาน และผู้ดูแลแพลตฟอร์ม Robin Banks ยังให้ตัวเลือกในการส่งต่อรายละเอียดที่ถูกขโมยมาไปยังช่องทางส่วนตัวของผู้ใช้งานเพื่อความสะดวกอีกด้วย

การเกิดขึ้นของ PhaaS คุณภาพสูงนั้นเป็นอันตรายต่อผู้ใช้งานอินเทอร์เน็ต เนื่องจากเป็นการส่งเสริมการทำ Phishing ให้กับผู้โจมตีที่อาจมีทักษะไม่มากนัก สามารถโจมตีเหยื่อได้ง่ายขึ้น

เพื่อป้องกันตัวเองให้ปลอดภัยจากการโจมตีเหล่านี้ ไม่ควรคลิกลิงก์ที่ส่งมาทาง SMS หรืออีเมล และยืนยันให้แน่ใจว่าเว็บไซต์ที่คุณเข้าชมนั้น เป็นเว็บไซต์ที่ถูกต้อง และต้องเปิดใช้งาน MFA ในทุกระบบที่ใช้งาน

ที่มา: bleepingcomputer

Microsoft ออกมาแจ้งเตือนเรื่องการพบผู้ไม่หวังดีได้หันมาใช้ Malicious IIS Extension สำหรับสร้าง Backdoor บน Exchange Server มากขึ้นเรื่อย ๆ เนื่องจากมีโอกาสในการถูกตรวจจับได้น้อยกว่าแบบ Web Shells สาเหตุหลัก ๆ คือ IIS เป็นฟีเจอร์ที่มีอยู่บน Server อยู่แล้ว ทำให้ผู้โจมตีสามารถแฝงตัวอยู่บนระบบได้อย่างสมบูรณ์แบบ

ลักษณะการทำงาน

หลังจาก IIS Extension ถูกติดตั้งลงไปแล้ว ผู้โจมตีจะใช้มันเป็นช่องทางสำหรับการหาช่องโหว่ด้านความปลอดภัยต่าง ๆ บนระบบเครือข่ายของเหยื่อ
IIS Extension จะทำงานหลังจาก web shell ถูกใช้งานเป็นเพย์โหลดแรกในการโจมตี โมดูล IIS จะถูกปรับค่าให้สามารถเข้าควบคุมเซิร์ฟเวอร์ที่ถูกแฮ็กได้มากขึ้น และแฝงตัวอยู่บนระบบให้ผู้โจมตีสามารถกลับมาควบคุมเครื่องเหยื่อได้อย่างต่อเนื่อง
หลังจากโมดูล IIS ถูกปรับค่าใหม่ มันจะช่วยให้ผู้โจมตีสามารถเก็บรวบรวมข้อมูลสำคัญจากหน่วยความจำของระบบ รวบรวมข้อมูลจากเครือข่ายของเป้าหมาย และเซิร์ฟเวอร์ที่ถูกโจมตี
หลังจากรวบรวมข้อมูลส่วนตัว และเปิดช่องทางการเข้าถึงจากภายนอกแล้ว ผู้โจมตีจะทำการติดตั้ง Backdoor IIS ที่ชื่อว่า FinanceSvcModel.

Microsoft ได้ตัดสินใจที่จะดำเนินการบล็อกมาโคร Excel 4.0 (XLM หรือ XL4) และ Visual Basic for Applications (VBA) เป็นค่าเริ่มต้นในแอป Office ต่าง ๆ ทำให้ผู้โจมตีอาจจะต้องปรับเปลี่ยนวิธีการ และเทคนิคขั้นตอนที่ใช้ในการโจมตี (TTP) ใหม่ ซึ่งทำให้ปริมาณการใช้มาโคร VBA และ XL4 ลดลงถึง 66% จากเดือนตุลาคม 2564 จนถึงมิถุนายน 2565

นักวิจัยจาก Proofpoint ระบุว่า ผู้โจมตีอาจจะเปลี่ยนวิธีการจากการฝังมาโครไว้ในไฟล์เอกสารไปยังทางเลือกอื่นมากขึ้น เช่น ไฟล์ ISO และ RAR รวมถึงไฟล์ Windows Shortcut (LNK) ในการแพร่กระจายมัลแวร์

ถึงแม้ว่าอีเมลฟิชชิ่งที่มีการใช้มาโคร VBA ในเอกสาร Office เป็นรูปแบบการโจมตีที่มีประสิทธิภาพสูง ซึ่งทำให้ผู้โจมตีสามารถสั่งรันโค้ดที่เป็นอันตรายบนเครื่องของผู้ใช้งานได้ทันทีหลังจากหลอกให้ผู้รับเปิดใช้งานไฟล์เอกสารที่เป็นอันตราย

แต่จากการที่ Microsoft ตัดสินใจที่จะบล็อกมาโครในไฟล์เอกสารเป็นค่าเริ่มต้น ทำให้การโจมตีด้วยการใช้ไฟล์แนบ ISO, RAR และ LNK เพิ่มขึ้นเกือบ 175% จากช่วงเวลาเดียวกัน โดยผู้โจมตีอย่างน้อย 10 ราย เริ่มใช้ไฟล์ LNK ตั้งแต่เดือนกุมภาพันธ์ พ.ศ. 2565

โดยมัลแวร์ที่เป็นที่รู้จักที่เริ่มเปลี่ยนวิธีการโจมตีดังกล่าว เช่น Emotet, IceID, Qakbot และ Bumblebee

ที่มา : thehackernews

มัลแวร์ QBot ใช้ Calculator ใน Windows 7 เพื่อโจมตีในรูปแบบ DLL side-loading เพื่อติดตั้ง payload ที่เป็นอันตรายบนเครื่องของเหยื่อ  DLL side-loading เป็นการโจมตีโดยใช้ประโยชน์จากการทำงานของ Dynamic Link Libraries (DLLs) ใน Windows โดยการปลอมแปลง DLL และนำไปวางไว้ในโฟลเดอร์ที่จะทำให้ระบบปฏิบัติการโหลด DLL ของมัลแวร์ แทนที่จะเป็นไฟล์ DLL ที่ถูกต้อง
QBot หรือที่รู้จักในชื่อ Qakbot เป็นมัลแวร์ที่พัฒนามาจาก banking trojan สู่การเป็นมัลแวร์ malware dropper และมักถูกใช้โดยกลุ่มแรนซัมแวร์เพื่อติดตั้ง Cobalt Strike beacons  นักวิจัยด้านความปลอดภัย ProxyLife พบว่า Qakbot ใช้โปรแกรม Calculator ใน Windows7 ในการโจมตีแบบ DLL side-loading ตั้งแต่วันที่ 17 กรกฎาคม และวิธีนี้ยังคงถูกใช้ในแคมเปญการโจมตีอื่น ๆ จากรายงานของ ProxyLife และนักวิจัยจาก Cyble พบว่า อีเมลที่ใช้ในแคมเปญล่าสุดมีไฟล์แนบ HTML ที่จะดาวน์โหลดไฟล์ ZIP ที่เข้ารหัส ซึ่งภายในมีไฟล์ ISO  รหัสผ่านสำหรับเปิดไฟล์ ZIP จะแสดงในไฟล์ HTML ไฟล์ โดยสาเหตุของการใส่รหัสในไฟล์ archive ก็เพื่อหลีกเลี่ยงการตรวจจับจากอุปกรณ์ทางด้านความปลอดภัย

(more…)