พบข้อมูลของ AIS รั่วไหล และถูกเผยแพร่อยู่บน Darkweb ตั้งแต่วันที่ 16 กุมภาพันธ์ที่ผ่านมา

ทาง AIS ได้ออกแถลงการณ์เกี่ยวกับเหตุการณ์ดังกล่าวว่าแฮกเกอร์ได้ทำการบุกรุกมาที่เครื่องของพนักงานที่ปฏิบัติงานในช่วงระหว่าง Work from home ด้วย Ransomware และพบว่าข้อมูลของผู้ใช้บริการกว่า 100,000 รายการถูกขโมยไป ประกอบไปด้วย ชื่อ-นามสกุล, เลขบัตรประจำตัวประชาชน, วัน-เดือน-ปีเกิด, หมายเลขโทรศัพท์ โดยไม่มีข้อมูลเกี่ยวกับธุรกรรมทางการเงินใด ๆ

ซึ่งหลังจากพบการโจมตีดังกล่าว ทาง AIS ก็ได้ร่วมกันกับผู้เชี่ยวชาญด้านการรักษาความมั่นคงปลอดภัยทางไซเบอร์เร่งตรวจสอบหาสาเหตุอย่างเร่งด่วน พร้อมกับแจ้งไปยัง สำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ (สกมช.)และ กสทช. รวมถึงแจ้งไปยังลูกค้ากลุ่มดังกล่าวผ่านทาง SMS เพื่อให้รับทราบและระมัดระวังต่อไป โดยกรณีดังกล่าว ไม่กระทบกับระบบรักษาความปลอดภัยและการดำเนินธุรกิจของบริษัท

จากข้อมูลประกาศดังกล่าวไอ-ซีเคียวคำแนะนำให้ดำเนินการดังต่อไปนี้

1. ปัจจุบันการโจมตีของ ransomware ส่วนใหญ่ จะใช้ smb port ดังนั้นควรพิจารณา ถ้าไม่ได้ใช้งาน port ดังกล่าวไม่ควรเปิด

2. ดำเนินการเปลี่ยนรหัสผ่านของผู้ใช้งานกลุ่ม Admin และ High privilege

3. ดำเนินการปรับ Prevention policy สำหรับเครื่อง Client ให้เป็นไปตาม Best practices

4. แนะนำให้อัปเดต Antivirus หรือ ระบบปฎิบัติการให้เป็นปัจจุบัน

ปล.หากมีอัปเดตเพิ่มเติมทางไอ-ซีเคียว จะแจ้งให้ทราบอีกครั้ง

เมื่อวันที่ 15 กุมภาพันธ์ ที่ผ่านมา VMware ได้ทำการออกแพตช์แก้ไขช่องโหว่ที่มีความรุนแรงสูงหลายช่องโหว่ ซึ่งส่งผลกระทบต่อ ESXi, Workstation, Fusion, Cloud Foundation และ NSX Data Center สำหรับ vSphere ที่อาจทำให้ผู้โจมตีสามารถใช้เพื่อสั่งรันโค้ดที่เป็นอันตรายโดยไม่ได้รับอนุญาตได้ และยังสามารถทำให้เป็นสาเหตุของเหตุการณ์ Denial-of-Service (DoS) ได้

(more…)

Microsoft กำลังจะเปิดใช้งาน "Attack Surface Reduction" บน Microsoft Defender เป็นค่าเริ่มต้น เพื่อความปลอดภัยจากการโจมตีของแฮกเกอร์เพื่อขโมยข้อมูลของ Windows จาก LSASS Process

เมื่อผู้โจมตีสามารถเข้าถึงเครือข่ายได้ มักจะพยายามโจมตีไปยังอุปกรณ์อื่น ๆ ในระบบต่อโดยใช้ Credential ที่หามาได้ หรือใช้ประโยชน์จากช่องโหว่อื่น ๆ

วิธีการปกติที่มักถูกใช้ในการขโมย Credential บน Windows คือหลังจากได้สิทธิ์ผู้ดูแลระบบในอุปกรณ์ที่ทำการโจมตีได้สำเร็จ ผู้โจมตีจะทำการ dump เอาข้อมูลบน memory ของ Process LSASS (Local Security Authority Server Service) ที่ทำงานอยู่บน Windows

ข้อมูลที่ได้มาจะประกอบไปด้วย NTLM hashes ของ Windows Credentials ของผู้ใช้ที่ลงชื่อเข้าใช้คอมพิวเตอร์ที่สามารถนำไปใช้ในการโจมตีแบบ Pass-the-Hash เพื่อลงชื่อเข้าใช้อุปกรณ์อื่น

(more…)

Google ได้ออกอัพเดท Chrome เวอร์ชัน 98.0.4758.102 สำหรับ Windows, Mac และ Linux เพื่อแก้ไขช่องโหว่ Zero-day

Google แจ้งว่าการอัปเดตตามปกติของ Chrome จะมาในไม่กี่สัปดาห์ข้างหน้า แต่อย่างไรก็ตามเนื่องจากช่องโหว่ CVE-2022-0609 เริ่มถูกใช้ในการโจมตีเป็นวงกว้าง ผู้ใช้งานสามารถทำการติดตั้งการอัปเดตได้ทันทีโดยไปที่ Chrome menu > Help > About Google Chrome เบราว์เซอร์จะตรวจสอบการอัปเดตใหม่โดยอัตโนมัติ และติดตั้งในครั้งต่อไปหลังจากที่มีการปิดและเปิด Google Chrome ใหม่อีกครั้ง

(more…)

Cisco ออกแพตซ์แก้ไขช่องโหว่ด้านความปลอดภัยที่ส่งผลกระทบต่อเราเตอร์ RV Series หลายรายการ ซึ่งช่องโหว่เหล่านี้สามารถยกระดับสิทธิ์ในการเข้าถึง และสั่งรันโค้ดที่เป็นอันตรายบนระบบที่มีช่องโหว่ได้ และมีคำเตือนถึง PoC (Proof-of-Concept) Exploit ที่ถูกปล่อยออกสู่สาธารณะ ทำให้อุปกรณ์ที่มีช่องโหว่ดังกล่าวมีความเสี่ยงมากยิ่งขึ้น

CVE-2022-20699, CVE-2022-20700 และ CVE-2022-20707 เป็น 3 ช่องโหว่จากทั้งหมด 15 รายการ มีคะแนน CVSS สูงสุดอยู่ที่ 10.0 และส่งผลกระทบต่อเราเตอร์ Small Business RV160, RV260, RV340 และ RV345 Series .

Cisco ยอมรับว่า " proof-of-concept exploit code สามารถใช้ได้กับช่องโหว่หลายจุด" แต่ไม่ได้เปิดเผยรายละเอียดเพิ่มเติมใดๆ เกี่ยวกับลักษณะของการโจมตี หรือระบุตัวตนของกลุ่มผู้โจมตี

CVE-2022-20699 เกี่ยวกับการเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกล (remote code execution) ที่ผู้โจมตีสามารถใช้ประโยชน์ได้โดยส่งคำขอ HTTP ที่สร้างขึ้นเป็นพิเศษไปยังอุปกรณ์ที่ทำหน้าที่เป็นเกตเวย์ SSL VPN ในการรันโค้ดที่เป็นอันตรายด้วยสิทธิ์ root

CVE-2022-20700, CVE-2022-20701 (คะแนน CVSS: 9.0) และ CVE-2022-20702 (คะแนน CVSS: 6.0) เกิดจากช่องโหว่บนระบบ Authorization ทำให้ผู้โจมตีสามารถใช้ช่องโหว่เพื่อยกระดับสิทธิ์เป็น root และรันคำสั่งได้ตามที่ต้องการบนระบบที่มีช่องโหว่

CVE-2022-20708 (คะแนน CVSS: 10.0) เกิดจากช่องโหว่การตรวจสอบข้อมูลของอินพุตที่ผู้ใช้ระบุ ทำให้ผู้โจมตีสามารถแทรกคำสั่งที่เป็นอันตรายบนระบบปฏิบัติการ Linux ได้

ช่องโหว่อื่นๆ ที่แก้ไขโดย Cisco มีดังนี้ :

CVE-2022-20703 (CVSS score: 9.3) – Cisco Small Business RV Series Routers Digital Signature Verification Bypass Vulnerability
CVE-2022-20704 (CVSS score: 4.8) – Cisco Small Business RV Series Routers SSL Certificate Validation Vulnerability
CVE-2022-20705 (CVSS score: 5.3) – Cisco Small Business RV Series Routers Improper Session Management Vulnerability
CVE-2022-20706 (CVSS score: 8.3) – Cisco RV Series Routers Open Plug and Play Command Injection Vulnerability
CVE-2022-20707 and CVE-2022-20749 (CVSS scores: 7.3) – Cisco RV340, RV340W, RV345, and RV345P Dual WAN Gigabit VPN Routers Command Injection Vulnerabilities
CVE-2022-20709 (CVSS score: 5.3) – Cisco RV340, RV340W, RV345, and RV345P Dual WAN Gigabit VPN Routers Arbitrary File Upload Vulnerability
CVE-2022-20710 (CVSS score: 5.3) – Cisco Small Business RV Series Routers GUI Denial of Service Vulnerability
CVE-2022-20711 (CVSS score: 8.2) – Cisco RV340, RV340W, RV345, and RV345P Dual WAN Gigabit VPN Routers Arbitrary File Overwrite Vulnerability
CVE-2022-20712 (CVSS score: 7.3) – Cisco Small Business RV Series Routers Upload Module Remote Code Execution Vulnerability

Cisco แจ้งว่าไม่มีวิธีอื่น หรือ Workarounds ในการแก้ไขช่องโหว่ดังกล่าว และแนะนำให้ลูกค้าอัปเดตซอฟต์แวร์เป็นเวอร์ชันล่าสุดโดยเร็วที่สุดเพื่อป้องกันการโจมตีที่อาจจะเกิดขึ้น

ที่มา : thehackernews

มัลแวร์ RedLine ปลอมเป็นตัวติดตั้งอัปเกรด Windows 11

ผู้โจมตีได้เริ่มเผยแพร่ตัวติดตั้งอัปเกรด Windows 11 ปลอม ให้กับผู้ใช้ Windows 10 ดาวน์โหลด แต่จะเป็นการถูกติดตั้งมัลแวร์ RedLine แทน ซึ่งมัลแวร์ได้ใช้ช่วงเวลาเดียวกันกับที่ทาง Microsoft ได้ประกาศเผยแพร่การอัปเกรด Windows 11 ในการแพร่กระจายตัวติดตั้งปลอมนี้

มัลแวร์ Redline stealer
Redline stealer ** เป็นมัลแวร์ที่ถูกใช้งานอย่างแพร่หลาย มีคุณสมบัติในการขโมยข้อมูล Credentials คุกกี้ของเบราว์เซอร์ บัตรเครดิต และขโมยข้อมูลกระเป๋าเงินดิจิทัล มีความสามารถในการโหลด Payload C2 server

ขั้นตอนของการโจมตี
นักวิจัยของ HP ได้วิเคราะห์แคมเปญนี้ว่า

ผู้โจมตีใช้โดเมน "windows-upgraded[.]com" ซึ่งถูกออกแบบเว็บไซต์ให้เหมือน Windows 11 ที่ถูกต้อง
เมื่อกด "DOWNLOAD NOW" ระบบจะทำการดาวน์โหลดไฟล์
Windows11InstallationAssistant.

เมื่อวันที่ 1 กุมภาพันธ์ 2565 เวลา 16:41 ที่ผ่านมา พบว่ามีข้อมูลส่วนตัวของนักเรียนบนระบบของ mytcas ถูกเผยแพร่ และขายอยู่บนเว็บไซต์ Raidforums ซึ่งเป็นเว็บไซต์เดียวกันกับที่ได้มีการปล่อยขายข้อมูลของโรงพยาบาลที่เพชรบูรณ์ก่อนหน้านี้ด้วยเช่นกัน โดยข้อมูลที่ถูกขโมยออกมาขายอยู่บนฟอรัมน์นั้นประกอบไปด้วยข้อมูลบัตรประจำตัวประชาชน ชื่อ-นามสกุล ภาษาไทย และภาษาอังกฤษ รหัสมหาวิทยาลัย รหัสสาขา รหัส tcas รวมถึงคะแนนสอบ เป็นต้น

โดยหลังจากที่ได้มีข่าวออกมา ทางทปอ.แจ้งว่าได้ดำเนินการตรวจสอบข้อมูลทั้งหมดในไฟล์ตัวอย่างแล้ว พบว่าเป็นข้อมูลของระบบ TCAS ของปี 64 ในรอบที่ 3 และไม่ใช่ข้อมูลส่วนบุคคลทั้งหมดของผู้สมัคร โดยเป็นข้อมูลในรูปแบบ CSV ที่เจ้าหน้าที่ที่ได้รับมอบหมายของแต่ละสถาบันทำการดึงข้อมูลออกจากระบบเพื่อประมวลผลคัดเลือกของแต่ละสาขาวิชาที่เปิดรับในแต่ละสถาบัน

ที่ประชุมอธิการบดีแห่งประเทศไทย (ทปอ.) ได้ออกประกาศชี้แจงกรณี "TCAS" ข้อมูลส่วนตัวของผู้สมัครรั่วไหลและถูกขายในเว็บไซต์กว่า 23,000 รายการ ซึ่งข้อความระบุว่า

"ด้วยวันที่ 1 ก.พ. 2565 ปรากฏข้อมูลข่าวสาร การประกาศจำหน่ายข้อมูลในอินเตอร์เน็ตจำนวน 23,000 รายการ ถูกกล่าวอ้างว่า เป็นข้อมูลส่วนบุคคลของระบบการคัดเลือกกลางบุคคลเข้าศึกษาในสถาบันอุดมศึกษา (TCAS) จากเว็บไซต์ mytcas.

โดยทางเว็บไซต์ loyaltylobby.com ออกมาแจ้งเตือนว่าพบผู้ใช้งานจำนวนมากได้รับ Email ปลอมจากThailand Pass ที่แนบ QR codes ที่เป็นอันตราย ซึ่งภายในอีเมลจะแนบ QR Codes เมื่อมีเหยื่อสแกน QR codes ดังกล่าวแล้ว จะพบ Malicious website หากกดเข้าไป เว็ปไซต์จะทำการ Download malware มาติดตั้งที่เครื่อง

เมื่อเร็ว ๆ นี้มีการเปิดเผยว่าฐานข้อมูลต่อไปนี้ ถูกเข้าถึงโดยผู้ไม่ประสงค์ดี โดยเป็นข้อมูลส่วนบุคคลของบุคคลที่มีอยู่บนระบบ ได้แก่

ระบบบันทึกการฉีดวัคซีน
ฐานข้อมูลการนัดหมายตรวจคนเข้าเมือง
ฐานข้อมูลการเข้าเมืองของผู้โดยสารที่เดินทางเข้ามาในประเทศไทยเป็นเวลาหลายปี
ซึ่งเป็นไปได้ว่าผู้ที่ได้รับอีเมลจาก Thailand pass ปลอมนั้น เกิดจากผลกระทบที่ฐานข้อมูลที่เคยถูกเข้าถึงโดยผู้ไม่ประสงค์ดี ซึ่งทางเบราเซอร์อย่าง Chrome, Firefox และ Safari ได้ทำการการแจ้งเตือนจากการเข้าถึง Malicious website แล้วเมื่อมีการสแกนผ่าน QR Codes แล้วมีการพยายามเข้าถึง Malicious website

จากเหตุการณ์ดังกล่าว ทางผู้ที่เกี่ยวข้องของระบบ Thailand Pass ได้ยืนยันว่าอีเมลไม่ได้ถูกส่งมาจาก Thailand pass ซึ่งเป็นไปได้ว่าการส่งอีเมลลักษณะดังกล่าวมาจากผู้ไม่หวังดีที่ส่งข้อความโดยปลอมแปลงเป็น Thailand pass และได้ออกประกาศแจ้งเตือนดังรูปด้านล่างนี้

ที่มา : loyaltylobby

Bank Indonesia (BI) ธนาคารกลางของสาธารณรัฐอินโดนีเซีย ได้ออกมายอมรับว่าถูกมัลแวร์เรียกค่าไถ่โจมตีระบบเครือข่ายเมื่อเดือนที่ผ่านมา

โฆษกของธนาคารกลางอินโดนีเซียยังบอกกับ BleepingComputer ว่าการทำงานของธนาคารไม่ได้รับผลกระทบจากเหตุการณ์การโจมตีเมื่อเดือนที่ผ่านมา

“เราต้องการแจ้งให้ทราบถึงการถูกโจมตีจากมัลแวร์เรียกค่าไถ่เมื่อเดือนที่ผ่านมา แต่อย่างไรก็ตามทางธนาคารได้ดำเนินการประเมินเกี่ยวกับผลกระทบที่เกิดขึ้นทั้งหมดแล้ว” ธนาคารกลางอินโดนีเซียกล่าวกับ BleepingComputer

“เราเชื่อว่าการทำงานของธนาคารไม่ถูกรบกวน อยู่ภายใต้การควบคุม และยังคงสามารถให้บริการกับผู้ใช้งานต่อไปได้ตามปกติ”

จากรายงานของ CNN Indonesia กล่าวว่า ในช่วงที่ถูกโจมตี ทางกลุ่มผู้โจมตีได้ขโมยข้อมูลที่ไม่ได้สำคัญออกไป ซึ่งเป็นข้อมูลของพนักงานของธนาคารกลางอินโดนีเซีย ก่อนที่จะทำการโจมตีด้วยการปล่อยมัลแวร์เรียกค่าไถ่ลงบนระบบเครือข่ายของธนาคาร

จากคำกล่าวอ้างของธนาคารกลางอินโดนีเซีย การโจมตีนั้นถูกป้องกัน และลดความอันตรายลงก่อนที่จะส่งผลกระทบกับระบบที่ให้บริการกับผู้ใช้งานทั่วไป โดยรายงานจาก Reuters

“ธนาคารกลางอินโดนีเซียได้รับทราบถึงการโจมตีจากมัลแวร์เรียกค่าไถ่เมื่อเดือนที่ผ่านมา เรารับรู้ว่าเราถูกโจมตี เราถือว่านี่เป็นการก่อการร้าย มันเกิดขึ้นจริง และเรากำลังเผชิญหน้ากับมัน” Erwin Haryono หัวหน้าแผนกการสื่อสารของธนาคารกลางอินโดนีเซีย กล่าวกับสื่อท้องถิ่น

มัลแวร์เรียกค่าไถ่ Conti ออกมาอ้างการโจมตี และเริ่มทำการปล่อยข้อมูล

ในขณะที่ในช่วงแรกทางธนาคารกลางอินโดนีเซียไม่ได้ออกมายืนยันว่าเป็นการโจมตีของกลุ่มมัลแวร์เรียกค่าไถ่กลุ่มใด แต่ทางมัลแวร์เรียกค่าไถ่ Conti ได้มีการอ้างถึงการโจมตีในวันนี้ หลังจากมีการปล่อยข้อมูลบางส่วนที่ขโมยมาจากระบบเครือข่ายของธนาคารกลางอินโดนีเซีย
กลุ่มมัลแวร์เรียกค่าไถ่อ้างว่ามีข้อมูลสำคัญถึง 13.88 GB พร้อมที่จะปล่อยออกไปหากธนาคารกลางอินโดนีเซียไม่ยอมจ่ายเงินค่าไถ่
ซึ่งโฆษกของธนาคารกลางอินโดนีเซีย ไม่พร้อมที่จะแสดงความคิดเห็นเมื่อได้รับการติดต่อจาก BleepingComputer เมื่อเช้าวันนี้

กลุ่มมัลแวร์เรียกค่าไถ่ Conti

มัลแวร์เรียกค่าไถ่ Conti คือ Ransomware-as-a-Service (RaaS) ที่เชื่อมโยงกับกลุ่มอาชญากรไซเบอร์ของรัสเซีย Wizard Spider ซึ่งเป็นที่รู้จักในนามของมัลแวร์ที่มีชื่อเสียงในด้านลบ อีกทั้งยังมีการเชื่อมโยงกับกลุ่มมัลแวร์เรียกค่าไถ่อื่น ๆ เช่น Ryuk, TrickBot และ BazarLoader

กลุ่ม Conti มักจะใช้วิธีการเข้าไปในระบบเครือข่ายของเป้าหมาย หลังจากที่ระบบของเป้าหมายติดมัลแวร์จาก BazarLoader หรือ TrickBot ซึ่งมัลแวร์ดังกล่าวจะทำให้กลุ่มผู้โจมตีสามารถเข้าถึงระบบเครือข่ายได้จากระยะไกล

หลังจากนั้นกลุ่มปฎิบัติการของ Conti ก็จะทำการแพร่กระจายมัลแวร์ไปยังอุปกรณ์ทั้งหมดของเหยื่อผ่านระบบเครือข่าย การกระทำเช่นนี้ ทำให้พวกเขาสามารถเก็บรวบรวม และนำข้อมูลออกไป เพื่อนำไปเรียกค่าไถ่

กลุ่มมัลแวร์เรียกค่าไถ่ Conti เป็นที่รู้จักจากการโจมตีองค์กรที่มีชื่อเสียงต่างๆทั่วโลก เช่น Department of Health (DoH) และ Health Service Executive (HSE) ของไอร์แลนด์ และ RR Donnelly (RRD) ซึ่งเป็นบริษัทยักษ์ใหญ่ด้านการตลาดของไอร์แลนด์

เนื่องจากมีการเคลื่อนไหวจาก Conti เพิ่มมากขึ้น ทาง FBI, CISA และ NSA US ได้ออกมาแจ้งเตือน และให้คำแนะนําเกี่ยวกับการโจมตีจากแรนซัมแวร์กลุ่มนี้

ที่มา: bleepingcomputer

QNAP ได้ออกมาแจ้งเตือนผู้ใช้งานให้รีบป้องกันอุปกรณ์เก็บข้อมูลแบบเครือข่าย Network Attached Storage (NAS) ที่เชื่อมต่อออกอินเทอร์เน็ตทันทีจากการโจมตีทั้ง ransomware และการโจมตีแบบ brute-force

"QNAP แนะนำให้ผู้ใช้ QNAP NAS ทุกคนปฏิบัติตามคำแนะนำในการตั้งค่าความปลอดภัยด้านล่าง เพื่อความปลอดภัยของอุปกรณ์เครือข่าย QNAP" ผู้ผลิต NAS ของไต้หวันกล่าวในการแถลงข่าว

ผู้ผลิตอุปกรณ์ NAS เตือนผู้ใช้ให้เช็คว่า NAS ของตนถูกโจมตีได้หรือไม่ โดยเปิด Security Counselor ซึ่งเป็น security portal ในตัวสำหรับอุปกรณ์ QNAP NAS

"NAS ของคุณอาจถูกโจมตี และมีความเสี่ยงสูงหากมีข้อความว่า 'The System Administration service can be directly accessible from an external IP address via the following protocols: HTTP’ บน Dashboard"

QNAP แนะนำให้ลูกค้าที่มีอุปกรณ์ NAS ที่เข้าถึงได้จากอินเทอร์เน็ตให้ดำเนินการดังต่อไปนี้เพื่อป้องกันการโจมตี:

ปิดใช้งานฟังก์ชัน Port Forwarding ของเราเตอร์: เข้าไปที่ Management Interface ของ Router, ตรวจสอบการตั้งค่า Virtual Server, NAT หรือ Port forwarding และปิดใช้งาน Port Forwarding เซอร์วิสที่ใช้จัดการ NAS (พอร์ต 8080 และ 433 )
ปิดใช้งานฟังก์ชัน UPnP ของ QNAP NAS: ไปที่ myQNAPcloud บนเมนู QTS คลิก “Auto Router Configuration” และยกเลิกการเลือก "Enable UPnP Port forwarding"

ผู้ผลิตอุปกรณ์ NAS ยังให้รายละเอียดขั้นตอนในการปิดการเชื่อมต่อ SSH และ Telnet และเปลี่ยนหมายเลขพอร์ตของระบบ เปลี่ยนรหัสผ่านของอุปกรณ์ และเปิดใช้งานการป้องกัน IP และการเข้าถึงบัญชี

คำเตือนนี้มีขึ้นหลังจากการถูกโจมตีด้วยแรนซัมแวร์จำนวนมาก

แม้ว่าบริษัทจะไม่เปิดเผยรายละเอียดอื่นใดเกี่ยวกับการโจมตีเหล่านี้ แต่ BleepingComputer ได้รายงานเกี่ยวกับลูกค้า QNAP ว่าระบบของพวกเขาตกเป็นเป้าหมายของ eCh0raix ransomware (หรือที่เรียกว่า QNAPCrypt) และพบว่าเหตุการณ์เหล่านี้เพิ่มขึ้นจำนวนมากในช่วงก่อนวันคริสต์มาส และยังไม่มีการระบุถึงช่องทางที่ผู้โจมตีใช้ในการโจมตี

อย่างไรก็ตาม รายงานจากผู้ใช้บางส่วนที่ถูกโจมตีด้วย ransomware มาจากการตั้งค่าที่ไม่ปลอดภัยของ QNAP ส่วนรายงานอื่นๆอ้างว่าผู้โจมตีใช้ช่องโหว่ของ QNAP Photo Station ในการโจมตี

BleepingComputer พบการเรียกค่าไถ่ ech0raix ตั้งแต่ $1,200 ถึง $3,000 ด้วย bitcoins ในการโจมตีรอบล่าสุด ผู้โจมตีบางคนได้รับเงินเพราะเหยื่อไม่มีข้อมูลสำรองของไฟล์ที่ถูกเข้ารหัส

ก่อนหน้านี้อุปกรณ์ QNAP ตกเป็นเป้าหมายของแรนซัมแวร์ eCh0raix ในเดือนมิถุนายน 2019 และมิถุนายน 2020 โดยผู้ผลิตอุปกรณ์ NAS ยังแจ้งเตือนผู้ใช้ถึงการโจมตี eCh0raix อีกชุดหนึ่งที่พุ่งเป้าไปที่อุปกรณ์ที่ใช้รหัสผ่านที่ไม่รัดกุมในเดือนพฤษภาคม 2021

ที่มา : bleepingcomputer