ตามรายงานของผู้เชี่ยวชาญจาก Cyble มีการค้นพบ Ransomware ตัวใหม่ ที่มีการเปิดตัวภายใต้ชื่อ 'Lilith' ซึ่งเป็น Ransomware ที่ถูกพัฒนาโดยภาษา C/C++ เป้าหมายคือระบบปฏิบัติการ Windows 64 Bit ซึ่งคล้ายกับ Ransomware ที่เคยถูกพบก่อนหน้านี้อย่าง RedAlert และ 0mega โดย Lilith จะทำการโจมตีแบบ double-extortions คือจะทำการขโมยข้อมูลก่อนที่จะเข้ารหัสอุปกรณ์

(more…)

รายละเอียดการโจมตี

เมื่อช่วงปลายมีนาคมที่ผ่านมา แพลตฟอร์ม Ronin Bridge ที่ใช้สำหรับโอนเหรียญของเกมส์ Axie Infinity ถูกแฮ็ก ส่งผลให้เกิดความเสียหาย 540 ล้านดอลลาร์

ส่วนสาเหตุทั้งหมดตามรายงานของ The Block เกิดจากอดีตพนักงานคนหนึ่งของบริษัทที่ถูกหลอกผ่านข้อเสนองานปลอมบน LinkedIn ซึ่งอ้างว่าเป็นการสัมภาษณ์หลายรอบ โดยมีค่าตอบแทนที่สูงมาก จากนั้นจึงให้พนักงานคนดังกล่าวทำการโหลดเอกสารสมัครงานที่เป็นไฟล์ .PDF ที่แฝงสคริปอันตรายมาด้วย ทำให้ผู้ไม่หวังดีเข้าถึงเครือข่ายได้ในที่สุด ซึ่งข้อมูลต่างๆของพนักงานที่เป็นเป้าหมายนั้น ถูกหามาจากช่องทาง Social Media ต่างๆ หลังจากเหตุการณ์ดังกล่าวส่งผลให้พนักงานคนนี้ถูกไล่ออก

ในรายงานภัยคุกคาม T1 ของ ESET ประจำปี 2565 ได้ระบุว่ากลุ่มแฮกเกอร์ Lazarus ได้ใช้ข้อเสนองานปลอมผ่านโซเชียลมีเดีย เช่น LinkedIn มากขึ้น นอกจากนี้ กลุ่ม Lazarus ก็ถูกสงสัยว่าอยู่เบื้องหลังการขโมย altcoin มูลค่า 100 ล้านดอลลาร์จาก Harmony Horizon Bridge เช่นกัน

แนวทางการป้องกัน

ตรวจสอบไฟล์ที่ได้รับมาทุกครั้งก่อนทำการดาวน์โหลด หรือเปิดใช้งาน
หลีกเลี่ยงการโพสต์ข้อมูลส่วนตัวลงในพื้นที่สาธารณะ เช่น Social Media

ที่มา : thehackernews

Ransomware ตัวใหม่ 0mega มุ่งเป้าโจมตีธุรกิจต่างๆทั่วโลก

แรนซัมแวร์ตัวใหม่ชื่อ '0mega' กำลังปฏิบัติการโจมตีองค์กรต่างๆทั่วโลก และเรียกค่าไถ่เป็นเงินหลายล้านดอลลาร์

0mega คือ แรนซัมแวร์ตัวใหม่ที่พึ่งเปิดตัวในเดือนพฤษภาคม พ.ศ. 2565 และได้เริ่มปฏิบัติการโจมตีเหยื่อเป็นจำนวนมาก

ข้อมูลเกี่ยวกับ 0mega

(more…)

รายละเอียดเบื้องต้น

สัปดาห์ที่ผ่านมา บริการแจ้งเตือนการละเมิดข้อมูล Have I Been Pwned (HIBP) ได้เพิ่มบัญชีกว่า 23 ล้านบัญชีของ Mangatoon ซึ่งเป็นแอปบน iOS และ Android ยอดนิยมที่ผู้ใช้หลายล้านคนใช้เพื่ออ่านการ์ตูนมังงะออนไลน์

โดยการเพิ่มฐานข้อมูล Mangatoon เกิดขึ้นหลังจากที่ Troy Hunt เจ้าของ HIBP พยายามติดต่อ Mangatoon แต่ไม่ได้รับการตอบกลับ

ส่วนการโจมตีนั้นเกิดจากกลุ่มแฮ็กเกอร์ที่รู้จักกันในชื่อ pompompurin ทำการโจมตีไปยังเซิร์ฟเวอร์ Elasticsearch ที่เป็น Database ของ Mangatoon ได้สำเร็จเนื่องจากระบบมีการป้องกันได้ไม่ดีพอ จากนั้น pompompurin ได้แชร์ตัวอย่างข้อมูลที่ได้มากับ BleepingComputer และได้รับการยืนยันหลังจากนั้นว่าข้อมูลทั้งหมดเป็นข้อมูลจริง ซึ่งประกอบไปด้วย ชื่อ ที่อยู่อีเมล เพศ บัญชีโซเชียลมีเดีย โทเค็นการตรวจสอบสิทธิ์จากการเข้าสู่ระบบโซเชียล และแฮชรหัสผ่าน MD5 นอกจากนี้จะมีการเผยแพร่ข้อมูลบางส่วนออกสู่สาธารณะเนื่องจากทาง Mangatoon ไม่มีการตอบกลับเรื่องการจ่ายค่าไถ่

pompompurin มีส่วนเกี่ยวข้องกับการโจมตีอื่น ๆ เช่น การส่งอีเมลปลอมเกี่ยวกับเหตุการณ์การโจมตีทางไซเบอร์ผ่าน Portal ของ FBI (LEEP) และการขโมยข้อมูลลูกค้าจาก Robinhood

ที่มา : bleepingcomputer.

QNAP ผู้จำหน่าย Network-attached storage (NAS) เตือนผู้ใช้งานให้เฝ้าระวังอุปกรณ์จากการถูกโจมตีโดย Checkmate ransomware

QNAP กล่าวว่าการโจมตีมุ่งเป้าไปที่อุปกรณ์ QNAP ที่เข้าถึงได้จากอินเทอร์เน็ต โดยมีการเปิดใช้งาน SMB และมีรหัสผ่านที่ไม่รัดกุม ซึ่งอาจทำให้สามารถถูกเดารหัสผ่านได้อย่างง่ายดาย

จากการตรวจสอบเบื้องต้นพบว่า *Checkmate ransomware* สามารถโจมตีผ่านโปรโตคอล SMB ที่เปิดให้เข้าถึงได้จากอินเทอร์เน็ต และใช้การโจมตีแบบ dictionary attack เพื่อโจมตีบัญชีที่มีรหัสผ่านที่ไม่รัดกุม

Checkmate เป็นแรนซัมแวร์ตัวใหม่ที่ถูกค้นพบเมื่อเร็วๆ นี้ ซึ่งถูกใช้ในการโจมตีเมื่อประมาณวันที่ 28 พฤษภาคม ซึ่งจะต่อท้ายนามสกุลไฟล์ที่ถูกเข้ารหัสด้วย .checkmate และทิ้งข้อความเรียกค่าไถ่ชื่อ !CHECKMATE_DECRYPTION_README

จากบันทึกเรียกค่าไถ่ที่ BleepingComputer ตรวจพบ ผู้โจมตีบังคับให้เหยื่อจ่ายเงิน Bitcoin มูลค่า 15,000 ดอลลาร์เพื่อแลกกับการถอดรหัส และคีย์ถอดรหัส

จากข้อมูลของ QNAP ผู้โจมตีที่อยู่เบื้องหลังแคมเปญนี้จะ remote เข้าสู่ระบบในอุปกรณ์ด้วยบัญชีที่ถูกโจมตี หลังจากเข้าถึงได้พวกเขาจะเริ่มเข้ารหัสไฟล์ในโฟลเดอร์

วิธีป้องกันการโจมตีจาก Checkmate ransomware

QNAP เตือนผู้ใช้งานไม่ควรเปิดให้เข้าถึง NAS ของตนได้จากอินเทอร์เน็ต และใช้ VPN ในการเข้าถึงแทน นอกจากนี้ผู้ใช้งาน QNAP ควรใช้รหัสผ่านที่มีความรัดกุม และทำการตรวจสอบบัญชี NAS ทั้งหมดในปัจจุบันของตน และทำการสำรองไฟล์ไว้อย่างสม่ำเสมอ

ควรปิดการใช้งาน SMB 1 โดยผู้ที่ใช้ QTS, QuTS hero หรือ QuTScloud ให้ไปที่ Control Panel > Network & File > Win/Mac/NFS/WebDAV > Microsoft Networking, เลือก "SMB 2 or higher" หลังจากคลิก Advanced Options.

เมื่อวันที่ 6 กรกฎาคมที่ผ่านมา โฆษกของโรงแรม Marriott ได้รายงานว่าถูกแฮ็กเกอร์ขโมยข้อมูลออกไปเป็นจำนวนกว่า 20GB โดยอ้างว่าเป็นข้อมูลของโรงแรม BWI Airport Marriott เพียงแห่งเดียว ไม่รวมข้อมูลของสาขาหลัก และสาขาอื่น นอกจากนี้ยังยืนยันว่าแฮ็กเกอร์สามารถเข้าถึงเครือข่ายได้เพียงระยะเวลาสั้นๆเท่านั้น

สาเหตุทั้งหมดเกิดจากแฮ็กเกอร์ใช้วิธีการ Social Engineering เพื่อหลอกพนักงานคนหนึ่งเพื่อเข้าถึงคอมพิวเตอร์ของพนักงานได้เป็นเวลา 6 ชั่วโมง ทำให้ได้ข้อมูลประจำตัวของบุคคลออกไปประมาณ 300-400 ราย ซึ่งรายละเอียดของข้อมูลทางโรงแรมยังไม่ได้ประกาศว่าเป็นข้อมูลของพนักงาน หรือของลูกค้า แต่ระบุว่ามีข้อมูลของธุรกิจภายใน รวมไปถึงข้อมูลบัตรเครดิตบางส่วน

โดยแฮ็กเกอร์พยายามเรียกค่าไถ่เพื่อแลกกับไฟล์ที่ถูกขโมยออกมา แต่ทาง Marriott ยังไม่มีการจ่ายเงิน หรือตอบรับการสื่อสารใดๆกับแฮ็กเกอร์ แต่ได้แจ้ง FBI เพื่อทำการตรวจสอบเหตุการณ์ดังกล่าวแล้ว

BleepingComputer พบว่าเป็นครั้งที่สามแล้วที่โรงแรม Marriott ถูกโจมตีทางไซเบอร์

ครั้งแรกเกิดขึ้นในปี 2557 ตรวจพบการเข้าถึงข้อมูลโดยไม่ได้รับอนุญาต ทำให้ข้อมูลรั่วไหลกว่า 339 ล้านรายการ
ครั้งที่สอง เกิดขึ้นในปี 2561 ซึ่งพบว่าข้อมูลผู้ใช้บริการกว่า 5.3 ล้านคน ถูกขโมยออกไป มีทั้งข้อมูลชื่อ, ข้อมูลส่วนตัว, ที่อยู่, หมายเลขหนังสือเดินทาง, และข้อมูลการชำระเงินได้ถูกขโมยในเหตุการณ์ครั้งนั้น โดยไฟล์ที่โดนขโมยทั้งหมดถูกเข้ารหัสแบบ AES-128
จากเหตุการณ์ทั้งหมด ทำให้ The UK Information Commissioner's Office (ICO) ปรับเงินกับ Marriott เป็นจำนวนเงินถึง 14.4 ล้านปอนด์ (ประมาณ 24 ล้านดอลลาร์) ข้อหาละเมิดกฎระเบียบให้ความคุ้มครองข้อมูลส่วนบุคคลของผู้บริโภค (GDPR)

แนวทางการป้องกัน

Update Endpoint รวมถึงอุปกรณ์ Security ให้เป็นเวอร์ชันล่าสุดอยู่เสมอ
จำกัดสิทธิ์ในการเข้าถึงระบบต่างๆ ให้ตรงกับลักษณะงาน และการใช้งานเท่านั้น ไม่ควรให้สิทธิ์มากเกินความจำเป็น
ติดตามข่าวสารอย่างสม่ำเสมอ

ที่มา: www.

มัลแวร์ตัวใหม่ที่พึ่งถูกบนระบบปฏิบัติการ Linux กำลังถูกใช้เพื่อขโมยข้อมูลจากระบบ และแพร่กระจายไปยัง process ต่างๆที่ทำงานอยู่บนเครื่อง

นักวิจัยด้านความปลอดภัยของ Intezer Labs ซึ่งเป็นผู้ค้นพบ ตั้งชื่อมัลแวร์ว่า OrBit โดยมัลแวร์จะทำการ hijack shared libraries เพื่อดักจับการเรียกใช้ฟังก์ชัน โดยการแก้ไขตัวแปร LD_PRELOAD บนอุปกรณ์ที่ถูกโจมตี

นอกจากนี้มันยังสามารถเชื่อมโยงฟังก์ชันต่างๆ เพื่อหลบเลี่ยงการตรวจจับ, ควบคุมพฤติกรรมของ process, แอบแฝงตัวอยู่บนระบบโดยการแพร่กระจายไปยัง process ใหม่ และซ่อนพฤติกรรมการเชื่อมต่อบนเครือข่าย ตัวอย่างเช่น เมื่อมัลแวร์แฝงตัวเข้าไปใน process ที่ทำงานอยู่ มัลแวร์ OrBit สามารถเลือกที่จะแสดงผลลัพธ์ของการทำงาน เพื่อซ่อนร่องรอยของการมีอยู่ของมันไม่ให้ถูกพบบน Log

Nicole Fishbein นักวิจัยด้านความปลอดภัยของ Intezer Labs อธิบายว่า "มัลแวร์ใช้เทคนิคการหลีกเลี่ยงการตรวจจับขั้นสูง ทำให้มันสามารถแอบแฝงตัวอยู่บนระบบได้ และทำให้ผู้โจมตีสามารถเข้าถึงเครื่องเหยื่อด้วยการ Remote ผ่าน SSH เพื่อค้นหาข้อมูล credentials บนระบบ"

"เมื่อมัลแวร์ถูกติดตั้งแล้ว มันจะแพร่กระจายไปยัง process ต่างๆที่กำลังทำงานอยู่บนเครื่องทั้งหมด รวมถึง process ใหม่ๆที่จะถูกใช้งานในภายหลังด้วย"

แม้ว่าในช่วงแรกส่วนประกอบของ dropper และ payload ของ OrBit จะยังไม่ถูกตรวจจับได้โดย Antivirus engine แต่ในปัจจุบันผู้ให้บริการ Antivirus หลายรายก็เริ่มอัปเดต และแจ้งเตือนผู้ใช้งานเมื่อมีการตรวจพบ OrBit ได้แล้ว

OrBit ไม่ใช่มัลแวร์บน Linux ที่มีความสามารถในการหลีกเลี่ยงการตรวจจับตัวแรกที่ถูกตรวจพบ โดยก่อนหน้านี้มัลแวร์ Symbiote ที่ใช้คำสั่ง LD_PRELOAD เพื่อโหลดตัวเองเข้าสู่ process ต่างๆที่กำลังทำงานอยู่บนเครื่อง และไม่ทิ้งร่องรอยของการทำงานของมันไว้ และ BPFDoor มัลแวร์อีกตัวหนึ่งที่ตรวจพบเมื่อเร็ว ๆ นี้ที่ปลอมตัวโดยใช้ชื่อของ Linux daemons ทั่วๆไป ซึ่งก็ช่วยทำให้มันไม่เคยถูกตรวจจับได้มานานกว่าห้าปี

มัลแวร์ทั้งสองตัวนี้ใช้ฟังก์ชัน BPF (Berkeley Packet Filter) เพื่อตรวจสอบ และจัดการการรับส่งข้อมูลบนเครือข่าย ซึ่งช่วยซ่อนช่องทางการสื่อสารจากการตรวจจับโดยอุปกรณ์ด้านความปลอดภัย

มัลแวร์ Linux อีกตัวซึ่งเป็น rootkit ภายใต้การพัฒนาในชื่อ Syslogk และถูกเปิดเผยโดยนักวิจัยของ Avast เมื่อเดือนที่แล้ว ก็สามารถบังคับโหลดโมดูลของตัวเองลงใน Linux kernel, เปิด backdoor บนเครื่องเหยื่อ และซ่อน directory และการเชื่อมต่อบนเครือข่ายเพื่อหลบเลี่ยงการตรวจจับได้

แม้ว่าจะไม่ใช่มัลแวร์ตัวแรกๆที่มุ่งเป้าไปที่ Linux แต่ OrBit ก็ถือว่ามาพร้อมกับความสามารถที่แตกต่างจากมัลแวร์ตัวอื่น ๆ เนื่องจากมันสามารถขโมยข้อมูลจากขโมยข้อมูลจากคำสั่ง และยูทิลิตี้ต่างๆ และจัดเก็บไว้ในไฟล์เฉพาะที่ถูกสร้างขึ้นบนเครื่อง นอกจากนี้ยังมีการใช้ไฟล์จำนวนมากเพื่อจัดเก็บข้อมูล ซึ่งเป็นสิ่งที่ไม่เคยเห็นมาก่อนในมัลแวร์ตัวอื่นๆ" Fishbein กล่าวเสริม

อีกสิ่งที่ทำให้มัลแวร์ตัวนี้มีความน่าสนใจเป็นพิเศษก็คือการเชื่อมต่อกับไลบรารี่บนเครื่องของเหยื่อจำนวนมาก ซึ่งทำให้มันสามารถแอบแฝงตัว และหลบเลี่ยงการตรวจจับในขณะที่กำลังขโมยข้อมูล และตั้งค่า SSH backdoor

ที่มา: www.

ทีมวิจัยจาก Orca Security พบช่องโหว่ร้ายแรงใน AWS Glue service ทำให้ผู้โจมตีสามารถสร้าง resource และเข้าถึง AWS Glue ของผู้ใช้รายอื่นได้ โดยขั้นตอนการโจมตีค่อนข้างชับซ้อน แต่ว่ามีความเป็นไปได้ เนื่องจาก internal misconfiguration บางอย่างในตัว AWS Glue
AWS Glue คือ serverless data integration service (Extract, transform, load) ซึ่งช่วยทำให้การ discover, prepare, และ combine ข้อมูลสำหรับการทำ analytics หรือ machine learning

โดยนักวิจัยพบว่า feature หนึ่งตัวใน AWS Glue มีช่องโหว่ที่สามารถดึง role credentials ภายในของ AWS Glue service account ชึ่งมีสิทธ์ full access ไปที่ internal service API ได้ และ misconfiguration บางอย่างใน Glue internal service API ก็ทำให้นักวิจัยสามารถยกระดับสิทธิ์เป็น full administrative ได้
นักวิจัยสามารถเข้าถึง AWS Glue ของผู้ใช้งานรายอื่นโดยการ Assume Role ไปที่ AWSGlueServiceRoleDefault ที่จะมีอยู่ในทุก account ที่มีการใช้งาน AWS Glue service และยังสามารถ Query และแก้ไข AWS Glue resources ได้อีกด้วย

Account ที่ใช้ทดสอบช่องโหว่ทั้งหมดเป็นของ Orca security เองโดย Orca security ยื่นยันว่าไม่ได้มีการเข้าถึงข้อมูลของลูกค้าที่ใช้งาน AWS Glue
AWS team response

ทาง AWS ได้ทำการรีวิวช่องโหว่ และทำการแก้ไขเรียบร้อยแล้วโดยที่ผู้ใช้งานไม่ต้องดำเนินการใดๆด้วยตนเอง และ AWS ยังทำการวิเคราะห์ log ของ AWS Glue service เพือยืนยันว่าไม่มีผู้ใช้งานรายใดได้รับผลกระทบจากช่องโหว่นี้

ที่มา:
orca.

แฮ็กเกอร์รายหนึ่งกำลังประกาศขายข้อมูล โดยอ้างว่ามีข้อมูลที่ขโมยมามากกว่า 22 เทราไบต์ เป็นข้อมูลส่วนตัวพลเมืองจีนประมาณ 1 พันล้านคนในราคา 10 bitcoins (ประมาณ 195,000 ดอลลาร์)

ประกาศดังกล่าวถูกโพสต์ในเว็บบอร์ดของกลุ่มแฮ็กเกอร์ที่ชื่อว่า Breach Forums โดยผู้ใช้ชื่อนามแฝง 'ChinaDan' อ้างว่าเขาได้ขโมยข้อมูลพลเมืองจีนหลายพันล้านคนมาจากฐานข้อมูลของตำรวจเซี่ยงไฮ้ (SHGA)

จากข้อมูลที่เผยแพร่ประกอบไปด้วย ชื่อพลเมืองของจีน, ที่อยู่, หมายเลขบัตรประจำตัวประชาชน, หมายเลขข้อมูลติดต่อ และประวัติอาชญากรรมหลายพันล้านรายการ

ChinaDan ยังเผยแพร่ตัวอย่างข้อมูล 750,000 รายการ มีข้อมูลประจำตัว และบันทึกการโทรของตำรวจ บันทึกเหล่านี้จะช่วยให้ผู้ที่สนใจซื้อสามารถตรวจสอบว่าข้อมูลที่ขายไม่ใช่ข้อมูลปลอม

“ในปี 2022 ฐานข้อมูลของสำนักงานตำรวจแห่งชาติเซี่ยงไฮ้ (SHGA) มีการรั่วไหลออกไป ฐานข้อมูลนี้มีข้อมูลหลายเทราไบต์ และข้อมูลเกี่ยวกับพลเมืองจีนหลายพันล้านคน” แฮ็กเกอร์ระบุในโพสต์เมื่อสัปดาห์ที่ผ่านมา

"ฐานข้อมูลประกอบด้วยข้อมูลเกี่ยวกับพลเมืองจีน 1 พันล้านคน และบันทึกคดีหลายพันล้านเรื่อง รวมถึง: ชื่อ, ที่อยู่, สถานที่เกิด, หมายเลขประจำตัวประชาชน, หมายเลขโทรศัพท์มือถือ, รายละเอียดอาชญากรรม/คดีทั้งหมด"

แฮ็กเกอร์ยืนยันว่าข้อมูลถูกดึงออกมาจากคลาวด์ที่ให้บริการโดย Aliyun (Alibaba Cloud) ซึ่งเป็นส่วนหนึ่งของเครือข่ายตำรวจจีน (หรือที่รู้จักในนามเครือข่ายความปลอดภัยสาธารณะ)

เมื่อวันอาทิตย์ Zhao Changpeng ซีอีโอของ Binance ยืนยันว่าผู้เชี่ยวชาญด้าน Threat Intelligence ของบริษัท เห็นข้อมูลของ ChinaDan แล้ว และคาดว่าการรั่วไหลน่าจะเกิดจากฐานข้อมูล ElasticSearch ที่หน่วยงานรัฐบาลจีนเปิดเผยทางออนไลน์โดยไม่ได้ตั้งใจ

"Threat Intelligence Team ของเราพบข้อมูลกว่า 1 พันล้านรายการที่ถูกขายบน dark web รวมถึงชื่อ, ที่อยู่, หมายเลขประจำตัวประชาชน, หมายเลขโทรศัพท์มือถือ, ข้อมูลของตำรวจ และเวชระเบียนจากประเทศในเอเชียแห่งหนึ่ง น่าจะเป็นเพราะช่องโหว่จากการใช้ Elastic Search โดยหน่วยงานของรัฐ " Zhao กล่าว

Zhao กล่าวเสริมว่า "การโจมตีนี้เกิดขึ้นเพราะผู้พัฒนาระบบของทางรัฐบาลเขียน tech blog บน CSDN และพลาดใส่ข้อมูล credentials โดยไม่ได้ตั้งใจ"

Karen Hao นักข่าวของ Wall Street Journal ได้ติดต่อกับบุคคลหลายสิบคนที่มีข้อมูลอยู่ในรายชื่อที่ถูกขโมยมา และได้รับการยืนยันจากบางคนแล้วว่าข้อมูลดังกล่าวเป็นข้อมูลของพวกเขาจริงๆ

“เป็นไปได้ยากที่จะสามารถบอกได้ว่าจริงๆแล้วมีข้อมูลที่ถูกขโมยมามากน้อยแค่ไหน แต่จากการตรวจสอบรายละเอียดจากบุคคล 5 รายที่มีชื่ออยู่ในรายการข้อมูลที่ถูกขโมยมา พบว่ามีรายละเอียดคดีทั้งหมดของพวกเขาอยู่จริงๆ และข้อมูลเหล่านี้ต้องได้มาจากเจ้าหน้าที่ตำรวจเท่านั้น” Hao กล่าว

หากคำกล่าวอ้างของ ChinaDan ได้รับการพิสูจน์แล้วว่าถูกต้อง นี่จะเป็นเหตุการณ์ข้อมูลรั่วไหลครั้งสำคัญที่ส่งผลกระทบกับประเทศจีน และเป็นหนึ่งในกรณีที่ใหญ่ที่สุดในประวัติศาสตร์

ที่มา: bleepingcomputer

ผู้เชี่ยวชาญจาก MalwareHunterTeam ค้นพบ Ransomware ตัวใหม่ชื่อ RedAlert หรือมีอีกชื่อคือ N13V ถูกสร้างขึ้นโดยมีเป้าหมายไปที่ VMware EXSI Server ทั้งระบบปฏิบัติการ Windows และ Linux

โดยในตัว Linux encryptor มีตัวเลือกที่เป็น Command-Line ต่างๆ ให้ผู้โจมตีสามารถดำเนินการกับ VM ก่อนเข้ารหัสไฟล์ได้โดยคำสั่งดังนี้

-w คำสั่งสำหรับหยุดการทำงาน vm ทั้งหมดที่ทำงานอยู่
-p Path ที่จะ encrypt (ซึ่งค่า default มันจะทำการ encrypt ไฟล์ทั้งหมดใน directory เท่านั้น ไม่รวมไฟล์ใน subdirectories)
-f File ที่จะ encrypt
-r เรียกซ้ำ โดยใช้กับ Command -p (search และ encryption จะทำงานบน directory และ subdirectories ทั้งหมด)
-t ตรวจสอบเวลาในการ Encryption (เฉพาะการเข้ารหัสโดยไม่มี Key)
-n ค้นหาไฟล์โดยไม่มีการเข้ารหัส (show ffiles and folders with some info)
-x การทดสอบ Asymmetric cryptography และ DEBUG
-h แสดง Message

ลักษณะการโจมตี

เมื่อผู้โจมตีรัน Command -w Linux Encryptor จะปิด VM ทั้งหมดที่ใช้งานโดยใช้คำสั่ง ESXCLI ต่อไปนี้
esxcli --formatter=csv --format-param=fields=="WorldID,DisplayName" vm process list | tail -n +2 | awk -F $',' '{system("esxcli vm process kill --type=force --world-id=" $1)}'
ในการเข้ารหัสไฟล์ Ransomware จะใช้อัลกอริทึมการเข้ารหัส NTRUENCRYPT ซึ่งรองรับ Parameter Sets
เมื่อเข้ารหัสไฟล์ ransomware จะกำหนดเป้าหมายไปยังไฟล์ที่เชื่อมโยงกับ VMware ESXI Virtual Machines รวมไปถึง log files, swap files, virtual disks, และ memory files ที่มีนามสกุลดังนี้
.log
.vmdk
.vmem
.vswp
.vmsn
และจะผนวกไฟล์นามสกุล .crypt658 กับไฟล์ที่โดนเข้ารหัส
หลังจากเข้ารหัสแล้ว ransomware จะสร้างโน้ตที่ชื่อ How_To_Restore ซึ่งมีคำอธิบายข้อมูลที่ถูกขโมย และลิงก์ไปยังไซต์ชำระเงินค่าไถ่บน TOR Browser
หากเหยื่อไม่จ่ายค่าไถ่ แฮ็กเกอร์จะเผยแพร่ข้อมูลที่ถูกขโมยในลงบนเว็บไซต์ที่ทุกคนสามารถเข้าไปดาวน์โหลดได้

ปัจจุบัน เว็บไซต์ของ Redalert ที่เผยแพร่ข้อมูลเป้าหมาย มีข้อมูลเพียงองค์กรเดียวเท่านั้น ซึ่งระบุว่าเป็นกลุ่มที่ใหม่มาก แต่ก็เป็นพฤติกรรมที่จะต้องจับตาดูอย่างใกล้ชิด เนื่องจากฟังก์ชั่นที่ซับซ้อนของการ Encrypt ไฟล์ และรองรับทั้ง Linux และ Windows

ที่มา : bleepingcomputer