แฮ็กเกอร์กำลังเริ่มโจมตีโดยใช้ช่องโหว่ zero-day ระดับ Critical ** ของ Atlassian Confluence ที่มีหมายเลข CVE-2022-26134 เพื่อติดตั้งเว็บเชลล์ โดยปัจจุบันยังไม่มีวิธีการแก้ไขออกมาจาก Atlassian

วันนี้ (2 มิ.ย. 2565) Atlassian ได้ออกคำแนะนำด้านความปลอดภัยที่เปิดเผยว่าช่องโหว่ CVE-2022-26134 เป็นช่องโหว่การเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกล ที่ไม่ต้องผ่านการตรวจสอบสิทธิ์ ซึ่งพบทั้งใน Confluence Server และ Data Center

Atlassian ยืนยันว่ามีช่องโหว่ใน Confluence Server 7.18.0 และเชื่อว่า Confluence Server และ Data Center 7.4.0 ก็มีความเสี่ยงเช่นกัน โดยคำแนะนำยังเตือนว่าผู้โจมตีกำลังเริ่มโจมตีโดยใช้ประโยชน์จากช่องโหว่ดังกล่าวบน Confluence Server 7.18.0 และยังไม่มีแพตซ์ในปัจจุบัน

Atlassian จึงแนะนำให้ผู้ใช้งานปิดการเชื่อมต่อไปยัง Confluence Server และ Data Center จากอินเทอร์เน็ต หรือปิดการใช้งานไปเลยเป็นการชั่วคราว เนื่องจากยังไม่มีวิธีอื่นในการลดผลกระทบ  ส่วนองค์กรที่ใช้ Atlassian Cloud (เข้าถึงได้ทาง atlassian.

ช่องโหว่ที่ค้นพบนี้ สาเหตุเกิดจาก URI Protocol ที่มีชื่อว่า search-ms ซึ่งทำหน้าที่ให้ Application ต่างๆ และ HTML Link สามารถใช้งานการฟีเจอร์ Windows Search ได้ตามที่ต้องการ

แม้ว่าการค้นหาของ Windows ส่วนใหญ่จะทำการค้นหาจาก Index บนเครื่อง แต่ด้วยลักษณะการทำงานของ search-ms จึงมีความเป็นไปได้ที่ผู้ไม่หวังดีจะบังคับให้ Windows Search ทำการค้นหาไฟล์จากที่อื่น เพียงแค่ระบุชื่อไปยังโฮสต์ดังกล่าว

ลักษณะการทำงาน

ยกตัวอย่างโปรแกรมยอดนิยมอย่าง Sysinternals ที่เป็นฟรีแวร์สำหรับช่วยแก้ปัญหาต่างๆบนระบบ โดยโปรแกรมนี้ระบุให้ผู้ใช้งานเปิด Network Share ไปยัง live.

กลุ่มแรนซัมแวร์กำลังพัฒนาการโจมตีเพิ่มขึ้นอีกระดับด้วยการแฮ็คเว็บไซต์ของบริษัท เพื่อที่จะแสดงข้อมูลการเรียกค่าไถ่ออกสู่สาธารณะ กลยุทธ์การโจมตีครั้งใหม่นี้ดำเนินการโดย Industrial Spy เป็นกลุ่มที่เพิ่งเริ่มใช้แรนซัมแวร์ในการโจมตี

ส่วนหนึ่งของการโจมตีของ Industrial Spy จะโจมตีเครือข่าย, ขโมยข้อมูล และติดตั้งแรนซัมแวร์บนอุปกรณ์ต่างๆ จากนั้นจะทำการขู่เหยื่อว่าจะขายข้อมูลที่ขโมยมาได้ใน Tor marketplace หากเหยื่อไม่ยอมจ่ายค่าไถ่

ทาง Industrial Spy เริ่มขายข้อมูลที่พวกเขาอ้างว่าได้ขโมยมาจาก SATT Sud-Est ซึ่งเป็นบริษัทจากฝรั่งเศส ในราคา 500,000 ดอลลาร์

นักวิจัยด้านความปลอดภัย MalwareHunterTeam พบว่าการโจมตีครั้งนี้ค่อนข้างแปลกจากที่ผ่านมา เพราะผู้โจมตียังมีการแฮ็คเว็บไซต์ของบริษัท เพื่อแสดงข้อความเตือนว่าข้อมูล 200GB ถูกขโมยไป และในไม่ช้าจะถูกขายหากเหยื่อไม่ยอมจ่ายค่าไถ่

(more…)

​เซิร์ฟเวอร์ MySQL มากกว่า 3.6 ล้านเครื่อง สามารถเข้าถึงได้โดยตรงบนอินเทอร์เน็ต ทำให้เซิร์ฟเวอร์เหล่านี้เป็นเป้าหมายที่น่าสนใจสำหรับแฮ็กเกอร์ โดยมีเซิร์ฟเวอร์ MySQL ที่สามารถเข้าถึงได้ 2.3 ล้านเครื่องเชื่อมต่อผ่าน IPv4 และ 1.3 ล้านเครื่องผ่าน IPv6

แม้ว่าปกติ Web services และ Application จะเชื่อมต่อกับ database โดยอยู่คนละ Instance กัน แต่ที่จริงแล้ว database ควรถูกจำกัดให้มีเพียงอุปกรณ์ที่ได้รับอนุญาตเท่านั้นที่สามารถเชื่อมต่อได้

นอกจากนี้ การที่เปิดให้ database สามารถเชื่อมต่อได้โดยตรงบนอินเทอร์เน็ต ควรมีการตั้งค่าการเข้าถึงของผู้ใช้งานอย่างเข้มงวด เช่น การเปลี่ยน Default port ที่ใช้ในการเข้าถึง (3306), เปิดใช้งานการเก็บ log, มอนิเตอร์การ queries ข้อมูลทั้งหมด รวมถึงต้องมีการใช้งาน encryption ด้วย

เซิร์ฟเวอร์ MySQL 3.6 ล้านเครื่องอยู่ในความเสี่ยง

เมื่อสัปดาห์ที่แล้วจากการสแกนที่ดำเนินการโดยกลุ่มนักวิจัยความปลอดภัยทางไซเบอร์ The Shadowserver Foundation พบว่าเซิร์ฟเวอร์ MySQL สามารถเข้าถึงได้โดยตรงบนอินเทอร์เน็ต 3.6 ล้านเครื่อง ซึ่งมีการเปิดใช้งาน Default port คือ port TCP 3306

โดยประเทศที่มีเซิร์ฟเวอร์ MySQL ที่เข้าถึงได้มากที่สุดคือสหรัฐอเมริกา ซึ่งมีจำนวนเกิน 1.2 ล้านเซิร์ฟเวอร์ และประเทศอื่นๆ ที่มีจำนวนมาก ได้แก่ จีน เยอรมนี สิงคโปร์ เนเธอร์แลนด์ และโปแลนด์

ผลการสแกนโดยละเอียดมีดังนี้:

จำนวนเซิร์ฟเวอร์ที่มี IPv4: 3,957,457
จำนวนเซิร์ฟเวอร์ที่มี IPv6: 1,421,010
จำนวนเซิร์ฟเวอร์ที่มีการตอบกลับการพยายามเชื่อมต่อ ทั้งหมดบน IPv4: 2,279,908
จำนวนเซิร์ฟเวอร์ที่มีการตอบกลับการพยายามเชื่อมต่อ ทั้งหมดบน IPv6: 1,343,993
เซิร์ฟเวอร์ที่มีการตอบกลับการพยายามเชื่อมต่อนับเป็นประมาณ 67% ของ MySQL เซิร์ฟเวอร์ทั้งหมดที่พบ
กลุ่มแฮ็กเกอร์ที่ขายข้อมูลที่ถูกขโมยมา เคยบอกกับ BleepingComputer ว่า หนึ่งในสาเหตุที่ทำให้ถูกขโมยข้อมูลที่พบบ่อยที่สุดคือ การตั้งค่าด้านความปลอดภัยของ databases ไว้อย่างไม่เหมาะสม ซึ่งผู้ดูแลระบบควรปิดการเข้าถึงโดยตรงจากอินเทอร์เน็ตเพื่อลดความเสี่ยงจากการถูกโจมตี

การตั้งค่าความปลอดภัยของเซิร์ฟเวอร์ MySQL ไว้อย่างไม่เหมาะสม อาจส่งผลให้เกิดข้อมูลรั่วไหล, การถูกลบ หรือทำลายข้อมูล, การถูกขู่เรียกค่าไถ่จากแรนซัมแวร์, การติดโทรจัน หรือแม้แต่ถูกยึดครองโดยผู้โจมตี

ที่มา: bleepingcomputer

ผู้เชี่ยวชาญจากบริษัท Safety Detectives ได้รายงานการพบข้อมูลส่วนบุคคลของพนักงานของสายการบินแห่งหนึ่งในประเทศตุรกีรั่วไหล รวมไปถึงซอร์สโค้ด และข้อมูลเที่ยวบินจำนวนมาก โดยพบไฟล์เกือบ 23 ล้านไฟล์ และมีข้อมูลรั่วไหลกว่า 6.5TB

รายละเอียดข้อมูล

รายงานดังกล่าวเกิดจากผู้เชี่ยวชาญของ Safety Detectives มีโปรเจกต์การทำ Web Mapping ขนาดใหญ่ จึงได้ทำการสแกนเว็บเพื่อค้นหาการเก็บข้อมูลบน Data Store ในลักษณะที่ไม่ปลอดภัย

จากนั้นจึงทำให้พบข้อมูลบน AWS S3 Bucket ของสายการบินแห่งหนึ่งในตุรกี ที่สามารถเข้าถึงได้โดยทั่วไปเนื่องจากไม่ได้มีการตั้งรหัสผ่านไว้ ซึ่งใน Bucket ดังกล่าวมีไฟล์กว่า 23 ล้านไฟล์ ที่มีทั้งข้อมูลสำคัญรวมไปถึง plain-text passwords และ secret keys ที่ใช้ในการเข้าถึงข้อมูลที่สำคัญขององค์กร นอกจากนี้ยังพบว่า Bucket ดังกล่าว มีข้อมูลที่เชื่อมต่อกับซอร์ฟแวร์ Electronic Flight Bag (EFB) ที่เป็นซอร์ฟแวร์ที่นักบินใช้สำหรับการนำทางเครื่องบิน การขึ้น/ลงจอด การเติมเชื้อเพลิง ขั้นตอนความปลอดภัยบนเครื่องบินอีกด้วย

ผู้เชียวชาญได้กล่าวเพิ่มเติมว่าไฟล์ทั้งหมดถูกตั้งค่าแบบสาธารณะให้ทุกคนสามารถลบ แก้ไข หรืออัปโหลดข้อมูลไปยังฐานข้อมูลได้

ซึ่งไฟล์สำคัญที่มีความเสี่ยงได้แก่

แบบฟอร์มระบุรายละเอียดปัญหาเล็กน้อยที่พบในระหว่างการตรวจสอบก่อนเที่ยวบิน
แผนภูมิการบินที่ใช้เพื่อในการนำทาง และลงจอด
สเปรดชีตที่มีข้อมูลเกี่ยวกับสนามบิน เที่ยวบิน และกะลูกเรือ
เอกสาร และบันทึก รวมทั้งเอกสารประกันภัย และใบอนุญาต

หลังจากมีการค้นพบข้อมูลรั่วไหลดังกล่าว ทาง Safety Detectives ได้ทำการแจ้งไปยังสายการบินทันที ซึ่งมีการแก้ไขใน 3 สัปดาห์ต่อมา
จากเหตุการณ์ดังกล่าว ผู้เชี่ยวชาญไม่สามารถระบุได้ว่าข้อมูลทั้งหมดถูกพบโดยผู้ไม่หวังดีก่อนที่ทาง Safety Detectives จะตรวจพบหรือไม่

ที่มา : bankinfosecurity

 

ในวันจันทร์ที่ 30 พฤษภาคม 2022 ที่ผ่านมา มีการพบช่องโหว่หมายเลข CVE-2022-30190 ใน Microsoft Support Diagnostic Tool (MSDT) บน Windows ซึ่งเป็นช่องโหว่ในลักษณะการเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกล เมื่อ MSDT ถูกเรียกใช้งานผ่าน URL จากแอปพลิเคชัน เช่น Microsoft Word

โดยหากสามารถโจมตีได้สำเร็จ ผู้โจมตีจะสามารถสั่งรันโค้ดได้ตามที่ต้องการด้วยสิทธิ์ของแอปพลิเคชันนั้นๆ เช่นการสั่งติดตั้งโปรแกรม ดู เปลี่ยนแปลง หรือลบข้อมูล รวมถึงสามารถสร้างบัญชีผู้ใช้ใหม่บนเครื่องเหยื่อได้

วิธีการลดผลกระทบจากช่องโหว่

ปิดการทำงานของ MSDT URL Protocol

การปิดการทำงานของ MSDT URL จะช่วยป้องกันไม่ให้ฟังก์ชันตัวแก้ไขปัญหาของ Microsoft ที่มีช่องโหว่ดังกล่าวถูกเปิดขึ้นมาใช้งานผ่านลิ้ง แต่ฟังก์ชันตัวแก้ไขปัญหาดังกล่าวยังทำงานได้อยู่ผ่านทาง Get Help application และใน system setting โดยสามารถปิดการทำงานของ MSDT ได้ดังนี้

เปิด Command Prompt ด้วยสิทธิ์ Administrator.

แฮ็กเกอร์สัญชาติจีนเริ่มการโจมตีโดยใช้ประโยชน์จากช่องโหว่ zero-day ของ Microsoft Office (หรือที่รู้จักในชื่อ 'Follina')

ช่องโหว่ RCE ดังกล่าวเกิดจาก Microsoft Windows Support Diagnostic Tool (MSDT) (CVE-2022-30190) ซึ่งส่งผลกระทบต่อทั้ง Windows client และ server ทั้งหมด

กลุ่ม Shadow Chaser ซึ่งเป็นนักวิจัยที่รายงาน zero-day นี้ครั้งแรกในเดือนเมษายนกล่าวว่า ในช่วงแรก Microsoft ประเมินว่าช่องโหว่นี้ไม่ถือว่าเป็น "ปัญหาด้านความปลอดภัย" แต่อย่างไรก็ตาม ในภายหลังกลับปิดเคส(ระบบสำหรับการแจ้งช่องโหว่กับ Microsoft) ว่าเป็นช่องโหว่ที่มีผลกระทบในแบบ Remote Code Execution

เริ่มพบการโจมตีเป็นวงกว้าง

เมื่อวันที่ 30 พ.ค. ที่ผ่านมา นักวิจัยด้านความปลอดภัยของ Proofpoint พบว่ากลุ่ม TA413 APT ซึ่งเป็นกลุ่มที่คาดว่าได้รับการสนับสนุนจากรัฐบาลจีนเริ่มโจมตีโดยใช้ประโยชน์จากช่องโหว่ดังกล่าว โดยการส่งไฟล์ Word ที่ถูก ZIP ไว้ผ่านแคมเปญชื่อ 'Women Empowerments Desk’ ของ Central Tibetan Administration และใช้โดเมน tibet-gov.

นักวิจัยด้านความปลอดภัยทางไซเบอร์แจ้งเตือนให้เฝ้าระวังช่องโหว่ Zero-Day ใหม่ใน Microsoft Office ที่ทำให้ผู้โจมตีสามารถสั่งรันโค้ดที่เป็นอันตรายจากระยะไกลได้บนระบบ Windows ที่ได้รับผลกระทบ

ช่องโหว่ถูกพบหลังจากทีมวิจัยความปลอดภัยทางไซเบอร์อิสระที่รู้จักกันในชื่อ nao_sec อัปโหลดเอกสาร "05-2022-0438.doc" ไปยัง VirusTotal จากที่อยู่ IP ในเบลารุส โดยนักวิจัยเรียกช่องโหว่นี้ว่า Follina เนื่องจากไฟล์ตัวอย่างที่เป็นอันตรายใช้ชื่อ 0438 ซึ่งเป็นรหัสพื้นที่ของ Follina ในเมือง Treviso ของอิตาลี

ช่องโหว่นี้ใช้ประโยชน์จาก Remote template feature ของเอกสารเพื่อเรียกใช้ไฟล์ HTML จากเซิร์ฟเวอร์ภายนอก ซึ่งมีรูปแบบ URI "ms-msdt://" เพื่อสั่งรัน PowerShell เพื่อเรียกใช้เพย์โหลดที่เป็นอันตราย เนื่องจาก Microsoft Word รันโค้ดผ่าน MSDT แม้ว่าจะปิดใช้งานมาโคร และที่สำคัญยังสามารถทำงานได้โดยที่ยังไม่ได้เปิดไฟล์เอกสารผ่านทางแท็บแสดงตัวอย่างใน Explorer

MSDT ย่อมาจาก Microsoft Support Diagnostics Tool ซึ่งเป็น Utility ที่ใช้ในการแก้ไขปัญหา รวบรวมข้อมูลบนระบบเพื่อใช้ในการแก้ไขปัญหาของระบบ support

Microsoft Office หลายเวอร์ชัน รวมถึง Office 2016 และ Office 2021 ได้รับผลกระทบจากช่องโหว่ดังกล่าว และคาดว่าเวอร์ชันอื่นๆก็มีช่องโหว่เช่นกัน

Richard Warren จาก NCC Group ได้ลองทดสอบช่องโหว่ดังกล่าวบน Office ProfessionalPro ด้วยแพตช์ล่าสุดเดือนเมษายน 2022 ที่ทำงานบนเครื่อง Windows 11 เวอร์ชันล่าสุด โดยเปิดใช้งานบนหน้าต่างแสดงตัวอย่าง

โดยนักวิจัยได้ติดต่อไปยัง Microsoft เพื่อขอความคิดเห็นเกี่ยวกับช่องโหว่ดังกล่าวเรียบร้อยแล้ว ซึ่งคาดว่า Microsoft น่าจะต้องออกแพตซ์อัปเดตช่องโหว่ดังกล่าวในเร็วๆนี้

วิดิโอตัวอย่าง คลิก

ที่มา : thehackernews

 

EnemyBot เป็นบ็อตเน็ตที่ใช้โค้ดจากมัลแวร์หลายตัว โดยปัจจุบันกำลังขยายการโจมตีโดยใช้ช่องโหว่ความรุนแรงระดับ Critical บน Web servers, CMS, IoT และอุปกรณ์ Android

บ็อตเน็ตถูกพบครั้งแรกในเดือนมีนาคมโดยนักวิจัยจาก Securonix และในเดือนเมษายนเมื่อมีการวิเคราะห์ตัวอย่างตัวใหม่ที่ตรวจพบจากทาง Fortinet พบว่ามัลแวร์ EnemyBot ได้รวมช่องโหว่ต่างๆของ Processor architectures ไว้เป็นจำนวนมาก ซึ่งวัตถุประสงค์หลักของมัลแวร์คือการโจมตีแบบ distributed denial-of-service (DDoS) และมัลแวร์ยังมีโมดูลสำหรับการสแกนหาอุปกรณ์เป้าหมาย และการแพร่กระจายมัลแวร์

EnemyBot เวอร์ชันใหม่

จากรายงานใหม่ของ AT&T Alien Labs ระบุว่ามัลแวร์ EnemyBot เวอร์ชันล่าสุดมีการรวมเอาช่องโหว่กว่า 24 รายการ ซึ่งส่วนใหญ่มีระดับความรุนแรง Critical แต่มีหลายช่องโหว่ที่ยังไม่มีหมายเลข CVE ซึ่งทำให้ผู้ดูแลระบบป้องกันได้ยากขึ้น

เมื่อเดือนเมษายน ช่องโหว่ส่วนใหญ่จะเกี่ยวข้องกับ Router และอุปกรณ์ IoT โดยมีหมายเลขช่องโหว่เป็น CVE-2022-27226 (iRZ) และ CVE-2022-25075 (TOTOLINK) ซึ่งเป็นช่องโหว่ล่าสุด และส่วนใหญ่จะเป็นช่องโหว่เกี่ยวกับ Log4Shell

โดยเวอร์ชันใหม่ที่ถูกวิเคราะห์โดย AT&T Alien Labs ได้รวมข้อมูลช่องโหว่ที่ตัวมัลแวร์จะใช้ในการโจมตีไว้ดังต่อไปนี้:

CVE-2022-22954: Critical (CVSS: 9.8) ช่องโหว่การเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกลที่ส่งผลต่อ VMware Workspace ONE Access และ VMware Identity Manager ซึ่งมี PoC (proof of concept) exploit ที่มีการเผยแพร่ในเดือนเมษายน พ.ศ. 2565
CVE-2022-22947: ช่องโหว่ในการเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกลใน Spring โดยเป็นช่องโหว่ Zero-day ที่มีการแก้ไขในเดือนมีนาคม 2022 และเดือนเมษายน 2022
CVE-2022-1388: Critical (CVSS: 9.8) ช่องโหว่ในการเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกล ส่งผลกระทบต่อ F5 BIG-IP ซึ่งมี PoC ออกมาในช่วงเดือนพฤษภาคม พ.ศ. 2565 และได้ถูกนำมาใช้ในการโจมตีทันที

กลุ่ม Keksec ที่อยู่เบื้องหลังมัลแวร์ EnemyBot กำลังพัฒนามัลแวร์ และมีโปรเจ็กต์ที่เกี่ยวกับการโจมตีอื่น ๆ เช่น: Tsunami, Gafgyt, DarkHTTP, DarkIRC และ Necro และดูเหมือนว่ากลุ่มดังกล่าวจะมีนักพัฒนามัลแวร์ที่มีประสบการณ์ ซึ่งมีความมุ่งมั่นเป็นพิเศษสำหรับโปรเจ็กต์ใหม่ๆ โดยมีการเพิ่มการโจมตีโดยใช้ช่องโหว่ใหม่ๆ หลังจากที่มีการเผยแพร่ในทันที ซึ่งทำให้กลุ่มดังกล่าวสามารถนำช่องโหว่มาใช้ในการโจมตีได้ก่อนที่ผู้ดูแลระบบจะทำการแก้ไข

คำแนะนำในการป้องกัน

อัปเดตแพตช์ผลิตภัณฑ์ และซอฟต์แวร์ทันทีที่มีการอัปเดต และควรตรวจสอบการรับส่งข้อมูลภายใน และภายนอกเครือข่ายอย่างสม่ำเสมอ

ที่มา : bleepingcomputer

 

 

รัฐคารินเทียในประเทศออสเตรีย ถูกกลุ่มแรนซัมแวร์ BlackCat หรือที่รู้จักในชื่อ ALPHV เรียกค่าไถ่เป็นจำนวนเงิน 5 ล้านดอลลาร์เพื่อปลดล็อกระบบคอมพิวเตอร์ที่ถูกโจมตี

การโจมตีเกิดขึ้นในวันอังคารที่ผ่านมา ทำให้การปฏิบัติงานของบริการภาครัฐต้องหยุดชะงัก เนื่องจากคอมพิวเตอร์หลายพันเครื่องถูกล็อกโดยแรนซัมแวร์

เว็บไซต์ และบริการอีเมลของรัฐคารินเทียยังออฟไลน์อยู่ ทำให้ไม่สามารถให้บริการออกหนังสือเดินทาง หรือชําระค่าปรับทางจราจรได้

นอกจากนี้การโจมตีทางไซเบอร์ยังส่งผลกระทบต่อระบบรายงานผลการตรวจ COVID-19 และการติดตามผู้ใกล้ชิด

แฮ็กเกอร์เรียกค่าไถ่สำหรับการถอดรหัสในราคา 5 ล้านดอลลาร์ โดยโฆษกของรัฐ Gerd Kurath กล่าวกับ Euractiv ว่าจะไม่ทำตามข้อเรียกร้องของแฮ็กเกอร์

Kurath กล่าวเพิ่มเติมว่าขณะนี้ยังไม่มีหลักฐานว่า BlackCat สามารถขโมยข้อมูลจากระบบของภาครัฐออกไปได้ และแผนการของรัฐคือการกู้ข้อมูลคืนจากระบบสำรองข้อมูล

Kurath กล่าวว่าจาก 3,000 ระบบที่ได้รับผลกระทบ ระบบแรกคาดว่าจะสามารถเปิดให้บริการได้อีกครั้งภายในวันนี้

บนเว็บไซต์ของ BlackCat ซึ่งปกติจะมีการเผยแพร่ไฟล์ที่ขโมยมาได้จากเหยื่อที่ไม่ยอมจ่ายค่าไถ่ แต่พบว่ายังไม่มีการเผยแพร่ข้อมูลใดๆ ที่มาจากรัฐคารินเทีย ซึ่งอาจบ่งบอกได้ว่าการเจรจาอาจยังไม่สิ้นสุด

ALPHV/BlackCat

กลุ่มแรนซัมแวร์ ALPHV/BlackCat ถูกพบครั้งแรกในเดือนพฤศจิกายน 2564 โดยเป็นหนึ่งในกลุ่มที่มีการปฏิบัติการการโจมตีที่ค่อนข้างซับซ้อน โดยคาดกันว่ากลุ่มดังกล่าวเป็นการรีแบรนด์มาจาก DarkSide/BlackMatter ที่เป็นกลุ่มผู้โจมตี Colonial Pipeline เมื่อปีที่แล้ว

ในช่วงต้นปี 2022 กลุ่มแรนซัมแวร์ในเครือของ BlackCat ได้โจมตีหน่วยงาน และแบรนด์แฟชันสุดหรูที่มีชื่อเสียงอย่าง Moncler และ ผู้ให้บริการจัดการสินค้าของสายการบิน Swissport

ภายในสิ้นไตรมาสแรกของปี FBI ได้ประกาศแจ้งเตือนว่ากลุ่มแรนซัมแวร์ BlackCat ได้มีการโจมตีหน่วยงานต่างๆ อย่างน้อย 60 แห่งทั่วโลก

จากการโจมตีรัฐคารินเทีย และการเรียกค่าไถ่จำนวนมากนี้แสดงให้เห็นว่าผู้โจมตีมุ่งเน้นการโจมตีไปยังองค์กรที่สามารถจ่ายเงินจำนวนมากเพื่อถอดรหัสระบบ และอาจยอมจ่ายเงินเพื่อป้องกันความเสียหายเพิ่มเติม อันเป็นผลมาจากการหยุดชะงักในการปฏิบัติงานเป็นเวลานาน

ที่มา : bleepingcomputer

เพิ่มเติม IOCs : ข้อมูลการโจมตีโดย BlackCat/ALPHV ช่วงกลางเดือนกุมภาพันธ์ 2022