ผู้เชี่ยวชาญจาก Kaspersky พบ Ransomware ชนิดใหม่จากระบบ Darknet Threat Intelligence ที่มีชื่อว่า Luna ซึ่ง Luna Ransomware นี้สามารถเข้ารหัสระบบปฏิบัติการได้หลายระบบไม่ว่าจะเป็น Windows, Linux และ ESXi

รายละเอียดการโจมตี

จากการตรวจสอบของทีม Kasperky พบว่า Ransomware Luna มาจากผู้พัฒนาชาวรัสเซีย เนื่องจากภาษาอังกฤษที่ใช้ในสคริปเรียกค่าไถ่ยังมีการใช้คำผิดอยู่ รวมไปถึงฟีเจอร์ในการเข้ารหัส ซึ่งเข้ารหัสได้ตามคำสังที่มีให้เลือกเท่านั้น ทำให้นักวิจัยคาดว่ามันกำลังอยู่ระหว่างการพัฒนา

รูปแบบการเข้ารหัสของ Luna นั้นซับซ้อนมาก มีการแลกเปลี่ยนคีย์โดยใช้ Diffie-Hellman ร่วมกับการเข้ารหัสแบบ Curve25519 ด้วยอัลกอริทึม Advanced Encryption Standard (AES) ทำให้ยากมากในการถอดรหัส
ภาษาที่ใช้ในการพัฒนา Ransomware เป็นภาษาที่ใช้ข้าม Platform ได้ ทำให้การโจมตีบน OS อื่นๆ นอกจาก Windows ไม่จำเป็นต้องมีการเปลี่ยนแปลงใหญ่ๆบน source code เดิม

ในปัจจุบัน มีข้อมูลน้อยมากเกี่ยวกับเหยื่อ รวมไปถึงตัว Luna ransomware เอง เนื่องจากกลุ่มเพิ่งถูกค้นพบ และกิจกรรมของกลุ่มนั้นยังอยู่ในระหว่างการตรวจสอบที่มา

ที่มา : bleepingcomputer

 

แฮ็กเกอร์ขโมยข้อมูลบัตรเครดิตกว่า 50,000 ใบ จากร้านอาหาร 300 แห่งในสหรัฐฯ

ข้อมูลการชำระเงินจากบัตรเครดิตของลูกค้าร้านอาหารมากกว่า 300 แห่งถูกขโมย จากการโจมตีด้วย web-skimming ที่มุ่งเป้าไปยังแพลตฟอร์มการสั่งซื้อออนไลน์ 3 แพลตฟอร์ม

Web-skimmers ที่ถูกใช้ในครั้งนี้คือมัลแวร์ Magecart โดยมัลแวร์จะใช้ JavaScript เพื่อเก็บรวบรวมข้อมูลบัตรเครดิตของผู้ซื้อออนไลน์ ที่พิมพ์ลงบนหน้าชำระเงิน

เมื่อเร็วๆ นี้ เครื่องมือตรวจจับภัยคุกคามของ Recorded Future ตรวจพบแคมเปญการโจมตีของ Magecart 2 แคมเปญ โดยมันจะทำการแทรกโค้ดที่เป็นอันตรายลงในแพลตฟอร์มการสั่งซื้อออนไลน์ของ MenuDrive, Harbortouch และ InTouchPOS ทำให้สามารถขโมยข้อมูลบัตรเครดิตออกไปได้กว่า 50,000 ใบ และมีการนำไปเสนอขายบนดาร์กเว็บเรียบร้อยแล้ว

รายละเอียดแคมเปญ

แคมเปญแรกเริ่มต้นเมื่อวันที่ 18 มกราคม พ.ศ. 2565 ด้วยการโจมตีร้านอาหารกว่า 80 แห่งที่ใช้แพลตฟอร์มของ MenuDrive และ 74 แห่งที่ใช้แพลตฟอร์มของ Harbortouch

ร้านอาหารเหล่านี้ส่วนใหญ่เป็นสถานประกอบการขนาดเล็กทั่วสหรัฐอเมริกามีการใช้แพลตฟอร์มจาก outsource ในกระบวนการสั่งซื้อออนไลน์ โดย Skimmer จะถูกแทรกเข้าไปในหน้าเว็บของร้านอาหารบนแพลตฟอร์มของบริการชำระเงินออนไลน์

มัลแวร์ที่ใช้กับ MenuDrive ใช้สคริปต์ 2 ตัว สคริปต์หนึ่งใช้สำหรับดึงข้อมูลบัตรชำระเงิน และอีกรายการสำหรับรวบรวมชื่อผู้ถือบัตร ที่อยู่อีเมล และหมายเลขโทรศัพท์

ส่วนบนแพลตฟอร์มของ Harbortouch จะใช้สคริปต์ตัวเดียวเพื่อขโมยข้อมูลส่วนบุคคลที่สามารถระบุตัวตนได้ (PII) และข้อมูลบัตรชำระเงินทั้งหมด

แคมเปญที่สองมุ่งเป้าไปที่ InTouchPOS เริ่มต้นเมื่อวันที่ 12 พฤศจิกายน พ.ศ. 2564 แต่การ injected skimmer บนหน้าเว็ปไซต์เกิดขึ้นในเดือนมกราคม พ.ศ. 2565

จากลักษณะ และพฤติกรรมของ skimmer (การตั้งชื่อตัวแปร, โครงสร้าง, การหลีกเลี่ยงการตรวจจับ และรูปแบบการเข้ารหัส) นักวิจัยจาก Recorded Future คาดว่ามีความเชื่อมโยงกับแคมเปญอื่นๆ ก่อนหน้านี้ และที่ยังดำเนินการอยู่ในปัจจุบัน

ในกรณีของ InTouchPOS skimmer จะไม่ขโมยข้อมูลจากเว็บไซต์ แต่จะสร้างแบบฟอร์มการชำระเงินปลอม พร้อมกระบวนการชำระเงินโดยใช้บัตรเครดิต

สถานะปัจจุบัน

จากรายงานของ Recorded Future ทั้งสองแคมเปญยังคงดำเนินอยู่ และโดเมนที่ใช้สำหรับรับข้อมูลที่ถูกขโมยมายังคงออนไลน์ และใช้งานได้

Recorded Future ได้แจ้งเตือนไปยังหน่วยงานที่ได้รับผลกระทบจากการโจมตีทั้งหมด รวมไปถึงหน่วยงานบังคับใช้กฏหมาย และแพลตฟอร์มการชำระเงินทั้งหมดเรียบร้อยแล้วเช่นเดียวกัน

 

ที่มา :www.

บริษัทผลิตวัสดุก่อสร้างขนาดใหญ่ 'Knauf' ถูกโจมตีจาก Black Basta Ransomware

Knauf Group บริษัทผู้ผลิตวัสดุก่อสร้างขนาดใหญ่ในเยอรมนี ได้ประกาศว่าถูกโจมตีด้วย Ransomware ส่งผลให้บริษัทที่มีสาขากว่า 150 แห่งทั่วโลกต้องปิดระบบทั้งหมดเพื่อควบคุมเหตุการณ์ที่เกิดขึ้น

รายละเอียดเหตุการณ์

การโจมตีเกิดขึ้นในคืนวันที่ 29 มิถุนายนที่ผ่านมาโดยกลุ่มแฮกเกอร์ที่มีชื่อว่า Black Basta จากนั้นได้มีการเผยแพร่ข้อมูลออกมาประมาณ 20% เมื่อวันที่ 16 กรกฎาคม โดยมีผู้เข้าถึงข้อมูลดังกล่าวแล้วกว่า 350 คน ซึ่งข้อมูลดังกล่าวประกอบไปด้วย ข้อมูลอีเมล, ข้อมูล credentials ของผู้ใช้งาน, ข้อมูลติดต่อของพนักงาน เอกสารการผลิต และ ID scans

อย่างไรก็ตามไฟล์ที่ถูกเผยแพร่ออกมาไม่ใช่ข้อมูลทั้งหมด จึงเป็นไปได้ที่ Knauf อาจมีการยอมชำระค่าไถ่ นอกจากนี้ Knauf ไม่ได้ประกาศว่าตนถูกโจมตีโดย Ransomware ชนิดใด และช่องทางไหน บอกเพียงกำลังทำงานอย่างหนักเพื่อลดผลกระทบต่อลูกค้า และพันธมิตรทางธุรกิจ พร้อมกับกำลังกู้คืนไฟล์ และขออภัยในความไม่สะดวกหรือความล่าช้าในกระบวนการจัดส่งที่อาจเกิดขึ้น

ข้อมูลเพิ่มเติม

กลุ่ม Black Basta ได้เริ่มปฏิบัติการ Ransomware as a services (RaaS) ในเดือนเมษายน 2022 และได้ขึ้นมามีชื่อเสียงอย่างรวดเร็วเนื่องจากการโจมตีเป้าหมายที่มีชื่อเสียงได้สำเร็จ

จากการวิเคราะห์ของผู้เชี่ยวชาญ ความสามารถของกลุ่มแฮ็กเกอร์กลุ่มนี้ และการเจรจาเรียกค่าไถ่ พบว่ามีความคล้ายคลึงกับกลุ่ม Conti Ransomware ในก่อนหน้านี้มาก โดยในเดือนมิถุนายน Black Basta ได้ร่วมมือกับกลุ่มแฮ็กเกอร์กลุ่มอื่นในการจัดส่งเพย์โหลดการโจมตีผ่านทาง Qbot (QuakBot) ซึ่งยังถูกใช้เป็นช่องทางในการติดตั้ง Cobalt Strike เพื่อโจมตีไปยังระบบอื่นๆของเหยื่อได้อีกด้วย

ที่มา : www.

มัลแวร์ OpenDocument ถูกใช้โจมตีโรงแรมใน Latin American

ในปลายเดือนมิถุนายน 2565 HP Wolf Security ได้ตรวจสอบแคมเปญการโจมตีจากมัลแวร์โดยใช้ไฟล์ OpenDocument (.odt) ในการแฝงตัวเพื่อแพร่กระจายมัลแวร์ โดย OpenDocument เป็นรูปแบบไฟล์ที่สามารถใช้ได้กับทั้ง Microsoft Office, LibreOffice และ Apache OpenOffice โดยแคมเปญนี้มุ่งเป้าไปที่อุตสาหกรรมโรงแรมในละตินอเมริกา ซึ่งโรงแรมเป้าหมายจะได้รับการติดต่อทางอีเมลพร้อมคำขอจองห้องพัก โดยจะมีเอกสารที่แนบมาเป็นเอกสารการลงทะเบียนของแขกที่จะเข้าพัก ซึ่งเป็นอีเมลปลอม

เอกสารดังกล่าวจะถูกส่งเป็นไฟล์แนบมากับอีเมล หากเหยื่อเปิดเอกสาร มันจะแสดงข้อความแจ้งว่ามีข้อมูลบางอย่างในเอกสารที่ต้องได้รับการอัปเดตให้เป็นข้อมูลล่าสุดจากไฟล์อื่นๆที่เกี่ยวข้อง ซึ่งหากเหยื่อกด 'Yes' จะมีการเปิดไฟล์ Excel อีกไฟล์หนึ่งขึ้นมา

หลังจากนั้น เหยื่อจะได้รับข้อความแจ้งเตือนอีกครั้งเพื่อถามว่าจะเปิดการใช้งานมาโครบนเอกสารหรือไม่ หากเหยื่ออนุญาตให้ใช้งานมาโคร ก็จะทำให้มัลแวร์ทำงานทันที ซึ่งจะนำไปสู่การติดตั้งเพย์โหลดของมัลแวร์ AsyncRAT ในที่สุด

การใช้ไฟล์ OpenDocument เพื่อแพร่กระจายมัลแวร์นั้นเป็นที่น่าสนใจ เนื่องจากไม่ค่อยพบการโจมตีด้วยมัลแวร์จากไฟล์ลักษณะนี้ และเอกสารที่ใช้ในแคมเปญครั้งนี้ยังไม่มี Antivirus Vendor รายใดสามารถตรวจจับได้ (ข้อมูลจาก VirusTotal ณ วันที่ 7 กรกฎาคม)

ไม่เหมือนกับเอกสารที่เป็นอันตรายประเภทอื่นๆ การวิเคราะห์ไฟล์ OpenDocument กลับไม่พบมาโครที่ซ่อนอยู่ อย่างไรก็ตาม Object Linking and Embedding (OLE) ที่อยู่ภายในเอกสารตามที่แสดงในไฟล์ styles.

มัลแวร์เรียกค่าไถ่ตัวใหม่ H0lyGh0st เชื่อมโยงกับแฮ็กเกอร์ชาวเกาหลีเหนือ

นักวิจัยได้เชื่อมโยงแรนซัมแวร์ตัวใหม่ที่ถูกพบกับกลุ่มผู้โจมตีที่ได้รับการสนับสนุนจากรัฐบาลเกาหลีเหนือ ซึ่งมีแรงจูงใจทางด้านการเงิน โดยเริ่มปฏิบัติการมาตั้งแต่ปีที่ผ่านมา

กลุ่ม H0lyGh0st ถูกติดตามโดยนักวิจัยจาก Microsoft Threat Intelligence Center (MSTIC) ในชื่อ DEV-0530 โดยกลุ่มดังกล่าวได้พัฒนา และใช้แรนซัมแวร์ในการโจมตีมาตั้งแต่เดือนมิถุนายน 2564 โดยประสบความสำเร็จในการโจมตีธุรกิจขนาดเล็กถึงขนาดกลางในหลายประเทศมาตั้งแต่เดือนกันยายน 2564

นักวิจัยพบว่า H0lyGh0st มีความเชื่อมโยงกับกลุ่มแฮ็กเกอร์ในเกาหลีเหนือที่ชื่อ PLUTONIUM หรือที่เรียกว่า DarkSeoul หรือ Andariel โดยสังเกตได้จากการสื่อสารระหว่างทั้งสองกลุ่ม และ H0lyGh0st มีการใช้เครื่องมือที่สร้างขึ้นโดยกลุ่ม PLUTONIUM

กลุ่ม H0lyGh0st โจมตีโดยใช้แรนซัมแวร์เข้ารหัสไฟล์ทั้งหมดบนอุปกรณ์เป้าหมาย โดยใช้นามสกุลไฟล์ .h0lyenc จากนั้นจะส่งตัวอย่างไฟล์ไปให้เหยื่อเพื่อเป็นหลักฐาน โดยปกติกลุ่มจะเรียกร้องการชำระเงินเป็น Bitcoin เพื่อแลกกับการกู้คืนไฟล์ และมีการขู่ว่าจะเผยแพร่ข้อมูลที่ขโมยมาบนโซเชียลมีเดีย หรือส่งไปยังลูกค้าของเหยื่อหากพวกเขาไม่ยอมจ่ายค่าไถ่

นักวิจัยระบุมัลแวร์ 4 ตัวที่เชื่อมโยงกับกลุ่มนี้คือ BTLC_C.exe, HolyRS.exe, HolyLock.

ระบบ Elastix VoIP ถูกแฮ็กเพื่อติดตั้ง PHP web shells

นักวิเคราะห์ภัยคุกคามได้เปิดเผยแคมเปญการโจมตีที่มุ่งเป้าไปยังเซิร์ฟเวอร์ Elastix VoIP telephony ด้วยมัลแวร์มากกว่า 500,000 ตัวในช่วงสามเดือนที่ผ่านมา

Elastix เป็นซอฟต์แวร์ที่ใช้กับเซิร์ฟเวอร์สำหรับการสื่อสารแบบ unified communications (Internet Protocol Private Branch Exchange [IP PBX], อีเมล, instant messaging, แฟกซ์) ที่สามารถใช้กับ Digium phones module สำหรับ FreePBX

โดยคาดว่าผู้โจมตีอาจใช้ช่องโหว่ Remote Code Execution (RCE) หมายเลข CVE-2021-45461 ซึ่งมีระดับความรุนแรง 9.8 โดยพบว่ามีการโจมตีด้วยช่องโหว่นี้ตั้งแต่เดือนธันวาคม 2021 และดูเหมือนว่าแคมเปญล่าสุดก็ดูจะมีความเกี่ยวข้องกับช่องโหว่ดังกล่าว

นักวิจัยด้านความปลอดภัย Unit42 ของ Palo Alto Networks ระบุว่าเป้าหมายของผู้โจมตีคือการสร้าง PHP web shells ที่สามารถเรียกใช้คำสั่งบนเซิร์ฟเวอร์ที่ถูกโจมตีได้ จากรายงานเมื่อวันศุกร์ที่ 15 กรกฎาคมที่ผ่านมา นักวิจัยกล่าวว่าผู้โจมตีได้ใช้มัลแวร์ที่ไม่ซ้ำกันมากกว่า 500,000 ตัวอย่าง ระหว่างเดือนธันวาคม 2564 ถึงมีนาคม 2565 แคมเปญนี้ยังคงพบอยู่ และคล้ายกับการโจมตีที่ถูกรายงานโดยนักวิจัยจาก Check Point ในปี 2020

รายละเอียดการโจมตี

นักวิจัยพบว่ากลุ่มผู้โจมตีสองกลุ่มที่ใช้สคริปต์ในการโจมตีที่แตกต่างกันเพื่อติดตั้ง shell script ขนาดเล็ก โดยสคริปต์จะติดตั้งแบ็คดอร์ PHP บนระบบเป้าหมาย และสร้างบัญชีที่มีสิทธิ์ root และสร้าง scheduled tasks เพื่อทำให้สามารถแฝงตัวอยู่บนระบบได้เป็นเวลานาน

ที่อยู่ IP ของผู้โจมตีจากทั้งสองกลุ่มอยู่ใน เนเธอร์แลนด์ ในขณะที่ DNS records เชื่อมโยงไปยังเว็ปไซต์สำหรับผู้ใหญ่จากรัสเซีย ปัจจุบันการรับส่งเพย์โหลดบางส่วนยังคงออนไลน์ และใช้งานได้อยู่

scheduled task ที่ถูกสร้างจะรันทุกนาทีเพื่อดึง PHP web shell ที่เข้ารหัส base64 และสามารถรับคำสั่งพารามิเตอร์ต่อไปนี้ได้:

md5 – MD5 authentication hash for remote login and web shell interaction.

พบช่องโหว่ ELB HTTP header smuggling บน AWS

นักวิจัย Andrea Brancaleoni จาก Brave Software พบช่องโหว่ HTTP header smuggling ใน AWS ELB เมื่อมีการเปิดใช้งาน ‘Legacy cache settings’ ซึ่งทำให้ผู้โจมตีสามารถ Overwrite Header ใดก็ได้ที่จะถูกส่งไปยัง Web server ด้านหลังของ Load balancer

รายละเอียดของช่องโหว่

เมื่อผู้โจมตีส่ง request เป็น HTTP/1 และเพิ่ม space หลัง header ‘X-Forwarded-For’ จะสามารถทำให้ inject header ใดๆก็ได้ลงใน ‘X-Forwarded-For’ จากนั้น AWS ELB จะนำค่าใน ‘X-Forwarded-For’ ที่ถูก inject มาแปลงเป็น header และส่งไปให้กับ Web server

ผลกระทบ

ผู้โจมตีสามารถจะปลอมแปลง IP address, CloudFront enhanced header ใดๆก็ได้

วิธีการแก้ไข

ปัจจุบัน AWS ได้ทำการอัปเดต Patch ของ ELB เรียบร้อยแล้วโดยที่ผู้ใช้งานไม่ต้องดำเนินการใดๆ

ที่มา: twitter.

SAP บริษัทซอฟต์แวร์สัญชาติเยอรมัน ประกาศอัปเดตแพตซ์ช่องโหว่ด้านความปลอดภัย 20 รายการ และอีก 3 รายการที่เป็นส่วนหนึ่งของช่องโหว่ในรอบที่ผ่านมา โดยการอัปเดตครั้งนี้เป็นรอบการอัปเดตในเดือนกรกฎาคม 2022 ซึ่งในการอัปเดตแพตซ์ดังกล่าวจะมีช่องโหว่ 4 รายการที่มีระดับความรุนแรงสูง โดยเป็นช่องโหว่ที่ส่งผลกระทบต่อ SAP BusinessObjects 1 รายการ และช่องโหว่ที่ส่งผลกระทบต่อ Business One อีก 3 รายการ

ช่องโหว่ที่มีความรุนแรงที่สุดคือ CVE-2022-35228 (คะแนน CVSS 8.3) ซึ่งเป็นช่องโหว่ information disclosure ใน central management console ที่ส่งผลกระทบต่อ SAP BusinessObjects Business Intelligence Platform

(more…)

นักวิจัยจาก Lightspin พบช่องโหว่ AWS IAM Authenticator for Kubernetes (CVE-2022-2385) ซึ่งสามารถทำให้ผู้โจมตีสามารถแก้ไข authentication token เพื่อยกระดับสิทธิ์ใน Kubernetes cluster ได้

AWS IAM Authenticator for Kubernetes คืออะไร?

AWS IAM Authenticator เป็น plugin ที่ช่วย map user/group ใน Kubernetes กับ AWS IAM ทำให้ผู้ใช้งานที่ใช้ AWS อยู่แล้วไม่ต้องบริหารจัดการสิทธ์ที่ Kubernetes โดยการเพิ่มหรือลดสิทธิ์ของ user ก็สามารถทำที่ AWS IAM ได้เลย โดยที่ AWS IAM Authenticator จะถูกติดตั้งอยู่ใน AWS EKS cluster ตั้งแต่เริ่มต้น

AWS IAM Authenticator ทำงานอย่างไร?

เมื่อ user จะยืนตัวตน kubectl จะส่ง token ที่เป็นการ request API GetCallerIdentity ไปที่ AWS IAM Authenticator server จากนั้น Server จะส่ง token ไปให้ AWS STS อีกครั้งเพื่อเป็นการยืนตัวตน AWS IAM กับ User/Group ใน Cluster

สาเหตุของช่องโหว่

Authenticator server จะดึงค่าจาก API GetCallerIdentity parameter มา verify และนำมาใช้ในการยื่นยันตัวตน แต่มี code บางส่วนที่จะทำหน้าที่ lower case ตัว key ของ parameter แต่กลับไม่มีการตรวจสอบว่าชื่อ key นั้นซ้ำกันหรือไม่ เช่น key ‘Action’ กับ ‘action’ เมื่อถูกแปลงเป็น lowercase แล้วจะมีชื่อเดียวกันเป็น ‘action’ ซึ่งทำให้อาจมีโอกาสที่จะถูก Overwrite ค่าของ parameter ได้

วิธีการโจมตี

aws-iam-authenticator สามารถ map user โดยใช้ AWS AccessKeyID

ผู้โจมตีสามารถแก้ไข Access Key ที่ใช้โดย aws-iam-authenticator โดยการส่ง request overwrite parameter ‘X-Amz-Credentials’

https[:]//sts[.]us-east-1[.]amazonaws[.]com/?X-Amz-Credentials=AKIAXXXXXXXXXXXXXXXX&x-amz-credentials=AKIABBBBBBBBBBBBBBBB

authenticator server จะเอา AccessKeyID มาจาก query parameter ที่โดน overwrite แล้วนำมาเขียนลง AccessKeyID template value  ซึ่งอาจนำไปสู่การยกระดับสิทธิ์ในคลัสเตอร์ EKS เกิดขึ้นได้

วิธีการแก้ไข :

AWS อัปเดตแพตซ์เพื่อแก้ไขช่องโหว่ดังกล่าวเรียบร้อยแล้ว ซึ่งผู้ใช้งานไม่ต้องดำเนินการใดๆ
Self host Kubernetes clusters อัปเดต aws-iam-authenticator เป็น v0.5.9
ไม่ควรใช้ AccessKeyID template value ในการ map user/group

ที่มา : blog.

นักวิจัยด้านความปลอดภัยทางไซเบอร์พบมัลแวร์ ChromeLoader รูปแบบใหม่ ที่ส่วนใหญ่มันถูกใช้เพื่อขโมยข้อมูลบนเบราว์เซอร์ของเหยื่อ

ChromeLoader ถูกพบครั้งแรกในเดือนมกราคม 2565 โดยแพร่กระจายผ่านทางรูปแบบของไฟล์ ISO หรือ DMG จากการดาวน์โหลดไฟล์ผ่าน QR code บน Twitter และเว็บไซต์แจกเกมฟรีต่างๆ

ChromeLoader มีชื่อเรียกอีกอย่างหนึ่งว่า Choziosi Loader และ ChromeBack สิ่งที่แตกต่างคือ ChromeLoader จะอยู่ในรูปแบบของ browser extension แทนที่จะเป็นรูปแบบไฟล์ Windows (.exe) หรือ Dynamic Link Library (.dll)

ChromeLoader จะหลอกให้ผู้ใช้งานดาวน์โหลดไฟล์ torrents ภาพยนตร์ หรือไฟล์ cracked ของเกม ผ่านทางแคมเปญโฆษณาบนเว็บไซต์ต่างๆ รวมไปถึงโซเชียลมีเดีย

นอกจากการเข้าถึงข้อมูลเบราว์เซอร์ของผู้ใช้งาน และการเข้าใช้งานเว็ปไซต์ต่างๆแล้ว มันยังออกแบบมาเพื่อดักจับคำค้นหาของของผู้ใช้งานบน Google, Yahoo และ Bing ซึ่งทำให้ผู้โจมตีสามารถเก็บข้อมูลการใช้งานอินเทอร์เน็ตของเหยื่อได้อย่างมีประสิทธิภาพ

ในขณะที่มัลแวร์ ChromeLoader รุ่นแรกบน Windows ถูกพบในเดือนมกราคม มัลแวร์เวอร์ชัน macOS ถูกพบในเดือนมีนาคมในรูปแบบ extension ปลอมบน Chrome (เวอร์ชัน 6.0) ผ่านทาง disk image (DMG) files

การวิเคราะห์ล่าสุดจาก Palo Alto Networks Unit 42 ระบุว่าการโจมตีจาก **ChromeLoader น่าจะเกิดขึ้นครั้งแรกในเดือนธันวาคม 2564 โดยใช้ไฟล์ AutoHotKey แทนที่จะเป็นไฟล์ ISO แบบในภายหลัง

"มัลแวร์จะใช้รูปแบบ AutoHotKey (AHK) ซึ่งเป็นเฟรมเวิร์กที่ใช้สำหรับการเขียนสคริปต์อัตโนมัติ ซึ่งจะถูกใช้เพื่อดร็อป browser extension ของเวอร์ชันแรกๆ" นาดาฟ บารัค นักวิจัยจาก Unit 42 กล่าว

มัลแวร์ในเวอร์ชันแรกยังไม่มีความสามารถในการหลีกเลี่ยงการตรวจจับ ซึ่งเป็นคุณลักษณะที่มัลแวร์นำมาใช้เพื่อปกปิดวัตถุประสงค์ของการทำงานของโค้ดที่เป็นอันตราย

"ในช่วงเวลาสั้นๆ ChromeLoader ได้มีการอัปเดตหลายครั้ง ใช้เฟรมเวิร์กการเขียนโปรแกรมหลายแบบ มีการหลบเลี่ยงการตรวจจับได้ดีขึ้น และแม้แต่การทำงานข้ามแพลตฟอร์มได้ทั้งบน Windows และ macOS” Barak กล่าว

ที่มา : thehackernews