แพทช์ Patch Tuesday ประจำเดือนพฤศจิกายน 2021 ของ Microsoft มีการแก้ไข 6 ช่องโหว่ zero-days และช่องโหว่อื่นๆรวม 55 รายการ โดยช่องโหว่ที่ถูกพบว่ามีการใช้ในการโจมตีอยู่ในปัจจุบันคือช่องโหว่ของ Microsoft Exchange และ Excel โดยที่ช่องโหว่ Zero-day ของ Exchange คือช่องโหว่ที่มีแฮ็กเกอร์ใช้ในงาน Tianfu hacking contest

Microsoft ได้แก้ไขช่องโหว่ทั้งหมด 55 รายการด้วยการอัปเดตในวันนี้ โดยมี 6 รายการจัดอยู่ในประเภท Critical และ 49 รายการเป็นระดับ Important จำนวนช่องโหว่แต่ละประเภทมีดังต่อไปนี้:

20 ช่องโหว่ Elevation of Privilege
2 ช่องโหว่ Security Feature Bypass
15 ช่องโหว่ Remote Code Execution
10 ช่องโหว่ Information Disclosure
3 ช่องโหว่ Denial of Service
4 ช่องโหว่ Spoofing

แก้ไข 6 ช่องโหว่ Zero-days โดยมี 2 ช่องโหว่ที่ถูกพบว่ามีการใช้ในการโจมตีอยู่ในปัจจุบัน

Patch Tuesday ของเดือนพฤศจิกายนมีการแก้ไขช่องโหว่ Zero-day 6 ช่องโหว่ โดยมี 2 ช่องโหว่สำคัญใน Microsoft Exchange และ Microsoft Excel

ช่องโหว่ที่พบว่ามีการใช้ในการโจมตีที่ได้รับการแก้ไขในเดือนนี้ ได้แก่:

CVE-2021-42292 - Microsoft Excel Security Feature Bypass Vulnerability
CVE-2021-42321 - Microsoft Exchange Server Remote Code Execution Vulnerability

ช่องโหว่ของ Microsoft Exchange CVE-2021-42321 เป็นช่องโหว่ Remote code execution ซึ่งถูกใช้เป็นส่วนหนึ่งของการแฮ็กในงาน Tianfu Cup เมื่อเดือนที่แล้ว

ส่วนช่องโหว่ Microsoft Excel CVE-2021-42292 ถูกค้นพบโดย Microsoft Threat Intelligence Center และถูกใช้ในการโจมตีเพื่อติดตั้งมัลแวร์

ส่วนการอัปเดตความปลอดภัยของ Microsoft Office สำหรับ Mac ยังไม่ได้รับการอัพเดทในครั้งนี้ Microsoft ยังแก้ไขช่องโหว่อื่นๆ ที่มีการเปิดเผยต่อสาธารณะอีก 4 ช่องโหว่ แต่ยังไม่มีข้อมูลว่าถูกใช้ในการโจมตีแล้วหรือไม่

CVE-2021-38631 - ช่องโหว่ Windows Remote Desktop Protocol (RDP) Information Disclosure
CVE-2021-41371 - ช่องโหว่ Windows Remote Desktop Protocol (RDP) Information Disclosure
CVE-2021-43208 - ช่องโหว่ 3D Viewer Remote Code Execution
CVE-2021-43209 - ช่องโหว่ 3D Viewer Remote Code Execution

อัปเดตช่องโหว่ล่าสุดจากบริษัทอื่นๆ

Vendor รายอื่นที่เผยแพร่การอัปเดตในเดือนพฤศจิกายน ได้แก่:

การอัปเดตความปลอดภัยเดือนพฤศจิกายนของ Adobe สำหรับแอปพลิเคชันต่างๆ
การอัปเดตความปลอดภัยเดือนพฤศจิกายนของ Android เมื่อสัปดาห์ที่แล้ว
Cisco ออกอัปเดตความปลอดภัยสำหรับผลิตภัณฑ์จำนวนมากในเดือนนี้ ซึ่งรวมถึงช่องโหว่ hard-coded password and SSH keys
SAP ออกอัปเดตความปลอดภัยในเดือนพฤศจิกายน
การอัปเดตความปลอดภัย Patch Tuesday ประจำเดือนพฤศจิกายน 2564

หากต้องการคำอธิบายแบบเต็มของช่องโหว่ในแต่ละระบบ และระบบที่ได้รับผลกระทบ สามารถดูรายงานฉบับเต็มได้ที่นี่ bleepingcomputer

ที่มา: bleepingcomputer

Philips Tasy EMR เป็นโซลูชันด้านการดูแลสุขภาพแบบบูรณาการที่จะช่วยให้สามารถจัดการกระบวนการทางคลินิก องค์กร และการบริหาแบบรวมศูนย์ ซึ่งรวมถึงการวิเคราะห์ การเรียกเก็บเงิน การจัดการสินค้าคงคลัง และความต้องการสำหรับใบสั่งยา และมีการใช้งานโดยสถาบันด้านสุขภาพมากกว่า 950 แห่ง ซึ่งส่วนใหญ่อยู่ในแถบละตินอเมริกา

สำนักงานความปลอดภัยทางไซเบอร์ และโครงสร้างพื้นฐานของสหรัฐอเมริกา (CISA) ได้เตือนถึงช่องโหว่ที่สำคัญที่จะส่งผลกระทบต่อระบบเวชระเบียนอิเล็กทรอนิกส์ (EMR) ของ Philips Tasy ที่อาจถูกใช้ในการโจมตีจากแฮกเกอร์ เพื่อดึงข้อมูลที่ความสำคัญของผู้ป่วยออกจากฐานข้อมูลได้

CISA ได้กล่าวในการแถลงการณ์ทางการแพทย์ที่เผยแพร่ออกมาเมื่อวันที่ 4 พฤศจิกายน 2564 ว่าการใช้ประโยชน์จากช่องโหว่เหล่านี้ หากสำเร็จอาจส่งผลให้ข้อมูลที่เป็นความลับของผู้ป่วยถูกเปิดเผย หรือดึงออกจากฐานข้อมูลของ Tasy และถูกเข้าถึงโดยไม่ได้รับอนุญาต หรือถูกโจมตีทำให้ระบบไม่สามารถให้บริการได้

ช่องโหว่ SQL Injection CVE-2021-39375 และ CVE-2021-39376 จะส่งผลกระทบต่อ Tasy EMR HTML5 3.06.1803 และเวอร์ชั่นก่อนหน้า และอาจจะอนุญาตให้แฮกเกอร์แก้ไขคำสั่งบนฐานข้อมูล SQL จนส่งผลให้เกิดการเข้าถึงได้โดยไม่ได้รับอนุญาต การเปิดเผยข้อมูลที่มีความสำคัญ และแม้แต่การถูกสั่งรันคำสั่งที่เป็นอันตรายได้

CVE-2021-39375 (CVSS:8.8) มีผลกระทบโดยจะมีการอนุญาตให้มีการทำ SQL Injection ผ่าน WAdvanceFilter/getDimensionItemsByCode FilterValue parameter

CVE-2021-39376 (CVSS:8.8) มีผลกระทบโดยจะมีการอนุญาตให้มีการทำ SQL Injection ผ่าน CorCad_F2/executaConsultaEspecifico IE_CORPO_ASSIST or CD_USUARIO_CONVENIO parameter

อย่างไรก็ตาม เป็นที่น่าจับตามองว่าก่อนที่จะใช้ประโยชน์จากช่องโหว่เหล่านี้ ผู้โจมตีจะต้องมีข้อมูลประจำตัวที่อนุญาตให้เข้าถึงระบบที่ได้รับผลกระทบอยู่แล้ว และทาง Philips เอง ได้บอกว่าในเวลานี้ยังไม่ได้รับรายงานเกี่ยวกับการใช้ประโยชน์จากช่องโหว่เหล่านี้

คำแนะนำ

ผู้ให้บริการด้านการดูแลสุขภาพทั้งหมดที่ใช้ระบบ EMR ที่มีช่องโหว่ควรรีบทำการอัพเดทเป็นเวอร์ชั่น 3.06.1804 หรือสูงกว่านั้นโดยเร็วที่สุด เพื่อป้องกันการถูกโจมตีจากช่องโหว่ดังกล่าว

ที่มา: thehackernews

Robinhood Markets Inc. Financial Service สัญชาติอเมริกา แจ้งว่ามีข้อมูลส่วนบุคคลของผู้ใช้งานประมาณ 7 ล้านคน หรือประมาณหนึ่งในสามของลูกค้าของบริษัท ถูกขโมยออกไปจากการถูกโจมตีเมื่อสัปดาห์ที่แล้ว และผู้โจมตีเรียกร้องให้มีการจ่ายเงินค่าไถ่สำหรับข้อมูล

ผู้โจมตีได้ข้อมูลอีเมลของผู้ใช้งานประมาณ 5 ล้านคน รวมถึงชื่อเต็มประมาณ 2 ล้านคน Robinhood กล่าวเมื่อวันจันทร์ในแถลงการณ์ สำหรับลูกค้าบางรายอาจจะมีข้อมูลส่วนอื่นด้วยเช่นชื่อ วันเกิด และรหัสไปรษณีย์ ประมาณ 310 คน และข้อมูลที่มากกว่านี้ประมาณ 10 คน

Robinhood Markets Inc.

กระทรวงยุติธรรมสหรัฐฯ ประกาศการจับกุมตัวผู้มีส่วนเกี่ยวข้องกับ REvil ransomware ที่มีส่วนในการโจมตีบริษัท Kaseya เมื่อวันที่ 2 กรกฎาคม และยึดเงินคืนได้กว่า 6 ล้านดอลลาร์

ผู้ต้องสงสัยคือ Yaroslav Vasinskyi สัญชาติยูเครน วัย 22 ปี ถูกจับกุมเมื่อวันที่ 8 ตุลาคมในข้อหาก่ออาชญากรรมทางไซเบอร์ตามคำสั่งของสหรัฐอเมริกาเมื่อพบว่าผู้ต้องสงสัยพยายามเข้าประเทศโปแลนด์จากประเทศบ้านเกิดของเขา(ยูเครน)

Vasinskyi เป็นที่รู้จักในนามแฝง (Profcomserv, Rabotnik, Rabotnik_New, Yarik45, Yaraslav2468 และ Affiliate 22) เป็นหนึ่งในผู้ที่มีส่วนเกี่ยวข้องกับ REvil ransomware ซึ่งโดนจับกุมด้วยความร่วมมือระหว่างประเทศในการต่อสู้กับภัยคุกคามจากแรนซัมแวร์

การเรียกค่าไถ่จำนวนมากกว่า 760 ล้าน

ข่าวการจับกุม Vasinskyi ไม่ได้รับความสนใจเท่าใดนัก จนกระทั่งมีคำสั่งฟ้อง และหมายจับถูกเปิดเผยเมื่อวันที่ 5 พฤศจิกายน

ในการแถลงข่าวในวันนี้กระทรวงยุติธรรมสหรัฐฯ ได้ประกาศข้อกล่าวหาต่อ Vasinskyi โดยเน้นย้ำถึงการมีส่วนร่วมในการโจมตี Kaseya ซึ่งส่งผลกระทบต่อธุรกิจประมาณ 1,500 แห่งทั่วโลก

REvil ransomware หรือที่เรียกว่า Sodinokibi ที่มาจากกลุ่ม GandCrab ได้มีการโจมตีด้วยการใช้ประโยชน์จากช่องโหว่ใน WebLogic Server ในเดือนเมษายน 2019

ตามคำฟ้อง Vasinskyi เป็นผู้ที่มีส่วนเกี่ยวข้อง REvil ransomware มาเป็นเวลานาน โดยเป็นส่วนหนึ่งที่ร่วมกันทำการโจมตีประมาณ 2,500 ครั้งกับธุรกิจทั่วโลก ตั้งแต่วันที่ 1 มีนาคม 2019

การสอบสวนเปิดเผยว่าการเรียกค่าไถ่ของ Vasinskyi มีมูลค่าทั้งหมด 767 ล้านดอลลาร์ แต่มีเหยื่อยอมจ่ายเงินเพียง 2.3 ล้านดอลลาร์ เชื่อกันว่า Vasinskyi มีส่วนเกี่ยวข้องกับการโจมตีบริษัทอย่างน้อยเก้าแห่งในสหรัฐอเมริกา

ในทางกลับกันการเรียกค่าไถ่ทั้งหมดที่เกิดขึ้นจาก REvil ransomware ได้รับเงินไปมากกว่า 200 ล้านดอลลาร์ นับตั้งแต่เริ่มดำเนินการ และเข้ารหัสคอมพิวเตอร์มาแล้วอย่างน้อย 175,000 เครื่อง

ในบรรดาบริษัททั้งหมดที่ถูกโจมตี บริษัท Kaseya Managed Service Provider (MSP) เป็นบริษัทที่ใหญ่ที่สุด โดยถูกเรียกค่าไถ่เป็นเงิน 70 ล้านดอลลาร์เพื่อเป็นค่าถอดรหัสของระบบทั้งหมด

เหตุการณ์นี้ส่งผลให้สหรัฐฯ ต้องเร่งดำเนินการเพื่อต่อต้านกับภัยคุกคามแรนซัมแวร์ โดยมีการร่วมมือกับหน่วยงานบังคับใช้กฎหมายทั่วโลก ซึ่งสหรัฐฯ ร้องขอให้มีการส่งตัวผู้ร้ายข้ามแดน เพื่อทำการประกาศข้อกล่าวหา และดำเนินคดีกับ Vasinskyi

การยึดเงินคืนจาก Ransomware

กระทรวงยุติธรรมสหรัฐฯ ยังประกาศด้วยว่าหน่วยงานบังคับใช้กฎหมายได้ยึดเงินจำนวน 6.1 ล้านดอลลาร์ จาก Yevgeniy Polyanin สัญชาติรัสเซียซึ่งมีส่วนเกี่ยวข้องกับ REvil ransomware เช่นเดียวกัน

ก่อนหน้านี้สหรัฐฯ ได้เงินเรียกค่าไถ่คืนจำนวน 4.4 ล้านดอลลาร์ ที่ Colonial Pipeline จ่ายให้กับกลุ่ม DarkSide Ransomware หลังจากการโจมตีที่ทำให้การจ่ายเชื้อเพลิงหยุดชะงักลง

Polyanin ที่รู้จักกันในนามแฝง (LK4D4, Damnating, damn2Life, Noolleds, Antunpitre, Affiliate 23) เชื่อว่ามีส่วนในการโจมตีองค์กรต่าง ๆ รวมถึงหน่วยงานรัฐบาลของสหรัฐฯ และบริษัทเอกชนหลายแห่งประมาณ 3,000 ครั้ง โดยมีการเรียกค่าไถ่เงินจากเหยื่อไปประมาณ 13 ล้านดอลลาร์

ตามคำฟ้อง Polyanin ได้มีการเข้าถึง และเข้ารหัสเครือข่ายของหน่วยงานรัฐบาล 13 แห่งในเท็กซัส ซึ่งเป็นช่วงเดียวกันกับที่รัฐบาลท้องถิ่น 22 แห่งถูกโจมตีจาก REvil ransomware ที่ใช้ประโยชน์จากช่องโหว่ของซอฟต์แวร์จาก MSP เมื่อประมาณวันที่ 16 สิงหาคม 2019

ในขณะที่แฮกเกอร์เรียกค่าไถ่รวมเป็นเงิน 2.5 ล้านดอลลาร์ ถือเป็นจำนวนที่เยอะที่สุดในขณะนั้น แต่แฮกเกอร์ไม่ได้อะไรจากการเรียกค่าไถ่ในครั้งนี้ เนื่องจากการประสานงานของรัฐ และรัฐบาลกลางในการช่วยกู้ระบบกลับคืนมา

ส่วนหนึ่งของกลยุทธ์ในการตอบโต้ภัยคุกคามแรนซัมแวร์ กระทรวงการคลังสหรัฐฯ ประกาศคว่ำบาตรทั้ง Polyanin และ Vasinskyi โดยอายัติทรัพย์สิน และผลประโยชน์ทั้งหมดที่อยู่ภายใต้เขตอำนาจศาลของสหรัฐอเมริกา

"นอกจากนี้มากกว่า 50 เปอร์เซ็นต์ของหน่วยงาน หรือบุคคล ที่มีส่วนร่วมในการทำธุรกรรมบางอย่าง อาจมีความเสี่ยงต่อการโดนคว่ำบาตร หรือถูกดำเนินคดีตามกฎหมายด้วยเช่นกัน" - กระทรวงการคลังสหรัฐฯ

ข้อกล่าวหาของ Polyanin ที่เหมือนกับ Vasinskyi:

สมรู้ร่วมคิดในการฉ้อโกงที่เกี่ยวข้องกับคอมพิวเตอร์
สร้างความเสียหายต่อคอมพิวเตอร์ที่มีการป้องกันโดยเจตนา
สมรู้ร่วมคิดในการฟอกเงิน

กระทรวงยุติธรรมสหรัฐฯ ใช้ความพยายามเป็นระยะเวลากว่า 5 เดือน ส่งผลให้มีการจับกุมผู้ที่มีส่วนเกี่ยวข้องกับการเรียกค่าไถ่ของ REvil ransomware ไปทั้งหมด 7 ราย

เมื่อวันที่ 4 พฤศจิกายน เจ้าหน้าที่ในโรมาเนียได้จับกุมผู้ต้องหาที่มีส่วนเกี่ยวข้องกับ REvil ransomware สองราย ผู้ที่มีส่วนเกี่ยวข้องกับ GandCrab ถูกจับกุมในวันเดียวกันในคูเวต และอีกสามคนถูกจับกุมในเดือนกุมภาพันธ์ เมษายน และตุลาคม

"การจับกุม Yaroslav Vasinskyi กับผู้ต้องหา Yevgeniy Polyanin และการยึดทรัพย์สินมูลค่า 6.1 ล้านดอลลาร์ รวมถึงการจับกุมตัวผู้ที่ใช้ Sodinokibi/REvil อีกสองคนในโรมาเนียถือเป็นสุดยอดของความร่วมมืออย่างใกล้ชิดของรัฐบาลระหว่างประเทศ รัฐบาลสหรัฐฯ และโดยเฉพาะอย่างยิ่งกลุ่มหุ้นส่วนภาคเอกชนของเรา ” - ผู้อำนวยการ FBI คริสโตเฟอร์ เรย์กล่าว

การจับกุมบริษัทในเครือ REvil ครั้งนี้ประสบความสำเร็จเนื่องจากความพยายามของพนักงานสอบสวน และอัยการจากเขตอํานาจศาลหลายแห่ง:

ตำรวจแห่งชาติของโรมาเนีย และผู้อำนวยการสอบสวนกลุ่มอาชญากร และการก่อการร้าย
ตำรวจม้าของประเทศแคนาดา(RCMP)
ศาลปารีสของประเทศฝรั่งเศส และ BL2C (ตำรวจหน่วยต่อต้านอาชญากรรมไซเบอร์)
กองตำรวจแห่งชาติ (เนเธอร์แลนด์)
สำนักงานอัยการแห่งชาติของประเทศโปแลนด์, กองกำลังรักษาชายแดน, สำนักงานความมั่นคงภายในประเทศ และกระทรวงยุติธรรม
รัฐบาลของนอร์เวย์ และออสเตรเลีย

ที่มา : bleepingcomputer

เมื่อวันพฤหัสที่ 4 พฤศจิกายน 2564 ที่ผ่านมา ทางรัฐบาลสหรัฐได้ประกาศว่าจะให้เงินรางวัล 10 ล้านดอลลาห์สำหรับผู้ที่ให้ข้อมูลที่นำไปสู่การระบุตัวตน หรือตำแหน่งของบุคคลสำคัญของกลุ่ม DarkSide Ransomware หรือกลุ่มที่รีแบรนด์มาจากกลุ่มดังกล่าว

นอกจากนี้ กระทรวงการต่างประเทศของอเมริกาเองก็ยังได้เสนอเงินรางวัลสูงถึง 5 ล้านดอลลาร์สำหรับข้อมูลข่าวสารต่าง ๆ ที่จะส่งผลให้มีการจับกุม หรือการตัดสินให้มีการลงโทษในประเทศใด ๆ ของบุคคลที่เกี่ยวข้อง หรือพยายามที่จะมีส่วนร่วมในการโจมตีต่าง ๆ ที่เกี่ยวข้องกับองค์กรอาชญากรรมข้ามชาติ

ซึ่งทางกระทรวงต่างประเทศสหรัฐฯได้กล่าวว่า การเสนอเงินรางวัลนี้สหรัฐอเมริกาได้แสดงให้เห็นถึงความตั้งใจในการปกป้องเหยื่อของ Ransomware ทั่วโลกจากการหาผลประโยชน์จากกลุ่มอาชญากรไซเบอร์ และสหรัฐกำลังมองหามิตรประเทศที่ถูกโจมตีจากกลุ่ม Ransomware และเต็มใจที่จะร่วมมือกับสหรัฐฯในการให้ความยุติธรรมกับองค์กรที่ตกเป็นเหยื่อซึ่งได้รับผลกระทบจาก Ransomware

การเสนอเงินรางวัลดังกล่าวนั้นเป็นการตอบสนองต่อการโจมตีจากกรณี Colonial Pipeline จากกลุ่ม DarkSide Ransomware เมื่อเดือนพฤษภาคม 2564 ที่ได้ทำลายระบบท่อส่งน้ำมันที่ใหญ่ที่สุดในสหรัฐอเมริกา และทำให้การจ่ายเชื้อเพลิงไปยังชายฝั่งตะวันออกหยุดชะงักลงเป็นเวลากว่าหนึ่งสัปดาห์ และข้อมูลภายในองค์กรก็ได้ถูกนำไปเผยแพร่ใน Darkweb

จากการตรวจสอบอย่างละเอียดที่ตามมาภายหลังจากการโจมตีนี้ทำให้กลุ่ม DarkSide ปิดตัวลงไปเมื่อวันที่ 17 พฤษภาคม และตั้งแต่นั้นมาก็ได้มีกลุ่ม BlackMatter เกิดขึ้นมาโดยมีโครงสร้างในลักษณะเดียวกันกับกลุ่ม DarkSide และก็ได้ปิดตัวลงไปเช่นกันเมื่อเดือนที่แล้วจากการกดดันจากหน่วยงานท้องถิ่น และการวางมือจากสมาชิกภายในกลุ่มเอง

ถึงแม้ว่า Ransomware gang จะมีการจัดตั้งกลุ่มขึ้นมาใหม่ ซึ่งส่วนใหญ่จะมีการรีแบรนด์ไปใช้ชื่อใหม่ แต่หน่วยงานบังคับใช้กฎหมายในสหรัฐอเมริกา ยุโรป และเอเชีย ก็ได้พยายามกดดันกลุ่มอาชญากรเหล่านี้ในรูปแบบต่าง ๆ ซึ่งเป็นการบังคับให้อาชญากรไซเบอร์เหล่านี้ต้องหยุดปฏิบัติการ เพราะกลัวว่าจะถูกตามจับได้ในที่สุด

ที่มา: thehackernews

ผู้ที่อยู่เบื้องหลัง Mekotio Banking Trojan ได้ปรากฎตัวขึ้นอีกครั้งพร้อมกับการเทคนิคใหม่ที่จะหลบเลี่ยงการตรวจสอบของ Security software ในขณะที่มีการโจมมากกว่า 100 ครั้งในช่วง 3 เดือนที่ผ่านมานี้ โดยเป้าหมายจะถูกมุ่งเป้าไปที่ประเทศบราซิล ชิลี เม็กซิโก เปรู และสเปน

โดยการพัฒนาเทคนิคดังกล่าวนี้เกิดขึ้นหลังจากที่ในเดือนกรกฎาคม ปี 2564 หน่วยงานบังคับใช้กฎหมายของประเทศสเปนได้มีการจับกุมบุคคล 16 รายที่อยู่ในเครือข่ายอาชญากรที่เกี่ยวข้องกับการใช้ Mekotio และ banking malware อื่น ๆ ที่มีชื่อเรียกว่า Grandoreiro ซึ่งเป็นส่วนหนึ่งของ Social engineering campaign ที่มุ่งเป้าโจมตีไปยังสถาบันการเงินในยุโรป

Mekotio Malware ที่พัฒนาแล้วจะได้รับการออกแบบมาเพื่อเข้าควบคุมเครื่องด้วยการโจมตีแบบต่อเนื่อง เริ่มจากการส่ง Phishing mail ที่ปลอมแปลงเป็นใบเสร็จภาษีที่รอดำเนินการ และมีลิงค์ไปยังไฟล์ ZIP หรือแนบไฟล์ ZIP ที่เมื่อกดเปิดไฟล์จะเป็นการเรียกใช้งาน batch script ซึ่งจะมีการเรียก PowerShell script เพื่อดาวน์โหลดไฟล์ ZIP อีกไฟล์ ซึ่งในไฟล์ ZIP ที่สองนี้จะมีไฟล์อยู่ทั้งหมด 3 ไฟล์ คือ AutoHotkey (AHK) interpreter, AHK script และ Mekotio DLL payload โดยหาก Powershell Script จาก ZIP file บน Phishing mail ทำงานตัว Powershell script จะทำการเรียก AHK interpreter เพื่อรัน AHK Script ซึ่งจะรัน DLL Payload เพื่อขโมยรหัสผ่านจาก online banking portal และขโมยข้อมูลส่งกลับไปยัง remote server

ซึ่งตัว Malicious modules ของ Mekotio นั้นจะมีลักษณะเฉพาะโดยใช้เทคนิคการหลีกเลี่ยงการตรวจจับ เช่น การเข้ารหัสแบบแทนที่ หรือการทำให้ Malware ปรับปรุงความสามารถในการขโมยข้อมูล และทำให้ไม่สามารถตรวจจับได้โดย Security solution ต่าง ๆ

Kobi Eisenkraft จาก Check Point ได้กล่าวว่า Mekotio นั้น อันตรายอย่างมาก เนื่องจากตัว Mekotio นั้นจะขโมยข้อมูลผู้ใช้ และรหัสผ่านเพื่อเข้าสู่สถาบันการเงิน ซึ่งหลังจากมีการจับกุมแก๊งชาวสเปนจึงหยุดกิจกรรมดังกล่าวลงได้ แต่กลุ่มดังกล่าวยังไม่ใช่กลุ่มอาชญากรไซเบอร์หลักที่อยู่เบื้องหลัง Mekotio

ที่มา: thehackernews

อีกกรณีหนึ่งของการโจมตีในรูปแบบ Supply chain attack ที่มุ่งเป้ายังพื้นที่เก็บซอฟต์แวร์ Open-source โดยมีการพบว่าแพ็คเกจ NPM สองแพ็คเกจที่มีการดาวน์โหลดสะสมรายสัปดาห์มากกว่า 22 ล้านครั้ง ถูกซ่อนไว้ด้วยโค้ดที่เป็นอันตราย ซึ่งทำให้สามารถเข้าถึงบัญชีของนักพัฒนาได้ ซึ่งพบว่ามี 2 libraries ที่เป็นปัญหาคือ “coa” เป็น Parser สำหรับ Command-line และ “rc” เป็น configuration loader ซึ่งทั้งสอง library ถูกแก้ไขดัดแปลงโดยผู้ไม่หวังดีที่ไม่ได้ระบุชื่อ เพื่อฝังมัลแวร์ที่ใช้ขโมยรหัสผ่านเข้าไปด้วย

เวอร์ชั่นของ coa ที่ได้รับผลกระทบจะมีตั้งแต่เวอร์ชั่น 2.0.3 ขึ้นไป และขอแนะนำให้ผู้ที่ใช้เวอร์ชั่นดังกล่าวปรับลดเป็นเวอร์ชั่น 2.0.2 โดยเร็วที่สุด และตรวจสอบระบบว่ามีพฤติกรรมที่น่าสงสัยหรือไม่ ตามคำแนะนำของ Github ที่เผยแพร่ออกมาเมื่อวันที่ 4 พฤศจิกายน 2564 และในเหตุการณ์เดียวกันนี้ “rc” เวอร์ชั่น 1.2.9, 1.3.9 และ 2.3.9 ก็ถูกพบว่ามีมัลแวร์แฝงอยู่เช่นเดียวกัน และได้แจ้งเตือนให้ผู้ใช้ดาวน์เกรดเป็นเวอร์ชั่น 1.2.8 แล้ว

การวิเคราะห์เพิ่มเติมของตัวอย่างมัลแวร์ ทำให้พบว่าเป็นมัลแวร์ตระกูล DanaBot ซึ่งเป็นมัลแวร์บน Windows ที่ใช้สำหรับการขโมยข้อมูลประจำตัว และรหัสผ่าน โดยมีเหตุการณ์ที่คล้ายกันก่อนหน้านี้สองเหตุการณ์จากเดือนที่แล้วที่มัลแวร์ดังกล่าวจะส่งผลให้ UAParser.

กลุ่มผู้ไม่หวังดีรายใหม่กำลังเริ่มโจมตีเซิร์ฟเวอร์ Microsoft Exchange และเครือข่ายองค์กรโดยใช้ช่องโหว่ ProxyShell เพื่อติดตั้ง Babuk Ransomware

ช่องโหว่ ProxyShell ของเซิร์ฟเวอร์ Microsoft Exchange ถูกพบเมื่อหลายเดือนก่อน โดยกลุ่ม LockFile และ Conti เป็นหนึ่งในกลุ่มแรนซัมแวร์กลุ่มแรกๆที่ใช้ประโยชน์จากช่องโหว่นี้

ตามรายงานของนักวิจัยจาก Cisco Talos กลุ่มแฮกเกอร์ซึ่งคาดว่าเป็นพันธมิตรของ Babuk ransomware ที่รู้จักกันในชื่อ 'Tortilla' ได้เข้าร่วมการโจมตีด้วยช่องโหว่นี้ในเดือนตุลาคม เมื่อแฮกเกอร์เริ่มใช้เว็บเชลล์ 'China Chopper' บนเซิร์ฟเวอร์ Exchange ที่ถูกโจมตี

การโจมตีของ Babuk ransomware เริ่มต้นด้วย DLL หรือ .NET executable บนเซิร์ฟเวอร์ Exchange โดยใช้ช่องโหว่ ProxyShell กระบวนการของแฮกเกอร์ที่ใช้ Exchange IIS w3wp.

แฮกเกอร์ได้ขโมยเงินสกุลเงินดิจิทัลมูลค่าประมาณ 55 ล้านดอลลาร์จาก bZx ซึ่งเป็นแพลตฟอร์มการเงินแบบ Decentralized finance (DeFi) ที่อนุญาตให้ผู้ใช้ ยืม และเก็งกำไรจากการเปลี่ยนแปลงของราคาสกุลเงินดิจิทัล

"นักพัฒนาของ bZx ได้รับอีเมลฟิชชิ่งซึ่งถูกส่งมายังคอมพิวเตอร์ส่วนตัวของเขา และถูกโจมตีด้วยการใช้มาโครที่เป็นอันตรายในเอกสาร Word ซึ่งปลอมแปลงเป็นไฟล์แนบจากอีเมลที่ดูเหมือนเป็นอีเมลปกติ” บริษัทกล่าว หลังการพิสูจน์หลักฐานเบื้องต้นของการโจมตีที่ถูกเผยแพร่ในคืนวันศุกร์

bZx กล่าวว่าไฟล์แนบอีเมลรันสคริปต์บนคอมพิวเตอร์ และบุกรุก mnemonic wallet ของพนักงาน จากนั้นผู้โจมตีก็ดำเนินการล้าง Wallet ส่วนตัวของนักพัฒนา จากนั้นได้ขโมย two private keys จากคอมพิวเตอร์ของพนักงานที่ใช้โดยแพลตฟอร์ม bZx เพื่อรวมเข้ากับบล็อกเชน Polygon และ Binance Smart Chain (BSC)

จากนั้นแฮ็กเกอร์ได้ใช้คีย์เหล่านี้เพื่อขโมยเงิน Polygon และ BSC ของแพลตฟอร์ม พร้อมกับเงินจากผู้ใช้จำนวนน้อยที่อนุมัติการดำเนินการใช้จ่ายแบบไม่จำกัดสำหรับทั้งสองโทเค็นในบัญชีของตน

ในขณะที่ bZx กล่าวว่ากำลังตรวจสอบจำนวนเงินที่แน่นอนของเงินที่ถูกขโมยไป แต่บริษัทรักษาความปลอดภัยบล็อคเชน SlowMist ได้ประเมินจำนวนเงินที่ถูกขโมยไปไว้ที่มากกว่า 55 ล้านดอลลาร์ โดยอิงจากธุรกรรมที่เป็นอันตรายที่ตรวจพบ

ภายหลังการโจมตี bZx กล่าวว่าได้ปิดการใช้งาน UI ของเว็บไซต์เพื่อป้องกันไม่ให้ผู้ใช้ฝากเงินใหม่ และกำลังทำงานร่วมกับบริษัทแลกเปลี่ยนสกุลเงินดิจิทัลต่างๆ เพื่อติดตามผู้โจมตี และหยุดการทำงานเพื่อพยายามกู้คืนเงินที่ถูกขโมยไป

bZx ขอเงินคืนจากแฮกเกอร์ สัญญาว่าจะมีการให้รางวัล

bZx หวังว่าจะเกิดเหตุการณ์แบบ PolyNetwork อีกครั้ง ซึ่งผู้โจมตีคืนเงินที่ขโมยไปทั้งหมด 600 ล้านดอลลาร์ให้กับบริษัทหลังจากการเจรจาในลักษณะเดียวกัน

เหตุการณ์ bZx ในปัจจุบันได้ติดอันดับที่ 5 ในการโจรกรรม cryptocurrency ที่ใหญ่ที่สุดที่เกิดขึ้นในปีนี้

ที่มา: therecord

นักวิจัยด้านภัยคุกคามของ Group-IB, Andrei Zhdanov ได้กล่าวในรายงานว่า BlackMatter ได้ปรากฎตัวครั้งแรกเมื่อเดือนกรกฎาคม 2564 ด้วยการผสมผสานคุณสมบัติที่ดีที่สุดของ Ransomware ตัวอื่น ๆ เช่น DarkSide, REvil และ LockBit เข้าด้วยกัน และถือว่าเป็นผู้ดำเนินการต่อจาก DarkSide ซึ่งได้ปิดตัวลงพร้อมกับ REvil หลังจากที่ถูกอเมริกาและหลาย ๆ ประเทศบังคับใช้กฎหมาย โดย BlackMatter เป็น ransomware-as-a-service (RaaS) ที่ได้มีการโจมตีบริษัทไปมากกว่า 50 แห่งในอเมริกา ออสเตรีย อิตาลี ฝรั่งเศส บราซิล และอื่น ๆ รวมถึงบริษัทไอทีชั้นนำในประเทศไทยและบริษัทอื่น ๆ ในไทยอีกด้วย

นอกจากนี้นักวิจัยยังได้พบว่ากลุ่มดังกล่าวมีการเปลี่ยนแปลงการใช้งานอัลกอริทึมการเข้ารหัส ChaCha20 ที่ใช้งานการเข้ารหัสเนื้อหาของไฟล์ด้วย

และยิ่งไปกว่านั้น ผู้โจมตียังได้สร้าง TOR chat room สำหรับสื่อสารกับเหยื่อแต่ละราย ที่ได้ส่งเป็น Link แนบไปกับไฟล์ข้อความเรียกค่าไถ่ และ BlackMatter นั้นยังเป็นที่รู้จักกันในเรื่องการเพิ่มเงินค่าไถ่เป็น 2 เท่า หากเหยื่อไม่ยอมจ่ายเงิน

ตามที่นักวิจัยด้านความปลอดภัยจากหน่วยต่อต้าน Ransomware ของ Microsoft ได้ระบุว่า DarkSide และการเปลี่ยนแปลงของ BlackMatter เป็นฝีมือของกลุ่มแฮกเกอร์ที่ชื่อว่า FIN7 และได้เปิดเผยว่ามีบริษัทชื่อ Bastion Secure หลอกล่อผู้เชี่ยวชาญด้านเทคโนโลยีโดยมีเป้าหมายในการเปิดตัวจากการโจมตี Ransomware

แต่ว่ายังไม่ชัดเจนเท่าไรเกี่ยวกับคำว่า “latest news” ว่ามันหมายถึงอะไร แต่บ่งบอกถึงการเชื่อมโยงไปยังปฏิบัติการบังคับใช้กฎหมายระหว่างประเทศที่ประสานงานกันเมื่อปลายเดือนที่แล้ว ซึ่งได้จับกุมผู้กระทำผิด 12 รายในข้อหาเตรียมการโจมตี Ransomware กับเหยื่อกว่า 1800 ราย ใน 71 ประเทศตั้งแต่ปี 2562

และทาง CISA, FBI และ NSA ได้ออกมาเตือนเมื่อวันที่ 18 ตุลาคม 2564 ที่ผ่านมานี้ว่ากลุ่ม BlackMatter Ransomware มีเป้าหมายเป็นหลาย ๆ องค์กร ที่มีโครงสร้างพื้นฐานที่สำคัญ ซึ่งรวมถึงสองหน่วยงานในภาคอาหารและเกษตรของสหรัฐฯ

ที่มา: thehackernews