นักวิจัยของ Symantec บริษัทด้านความปลอดภัยทางไซเบอร์ รายงานว่ากลุ่ม Black Basta ransomware มีความเกี่ยวข้องกับการโจมตีช่องโหว่ Zero-Day ซึ่งเป็นช่องโหว่การยกระดับสิทธิ์บน Windows

CVE-2024-26169 (คะแนน CVSS 7.8/10 ความรุนแรงระดับ High) เป็นช่องโหว่ใน Windows Error Reporting Service ที่ทำให้ Hacker สามารถยกระดับสิทธิ์เป็น SYSTEM ได้ โดยช่องโหว่นี้ได้ถูกแก้ไขไปแล้วใน Patch Tuesday update ประจำเดือนมีนาคม 2024

โดยทาง Symantec ระบุว่าช่องโหว่ CVE-2024-26169 กำลังถูกใช้ในการโจมตีอย่างแพร่หลายจากกลุ่ม Cardinal (Storm-1811, UNC4394) ซึ่งเป็นปฏิบัติการของกลุ่ม Black Basta

Black Basta เป็นกลุ่ม ransomware ที่มีความเชื่อมโยงกับกลุ่ม Conti ransomware ที่ปิดตัวลงไปก่อนหน้านี้ ซึ่งการโจมตีแสดงให้เห็นถึงความเชี่ยวชาญในการโจมตีโดยใช้ Windows tools และความเข้าใจเชิงลึกเกี่ยวกับแพลตฟอร์ม Windows

การโจมตีช่องโหว่ CVE-2024-26169

Symantec ตรวจสอบการโจมตีด้วยแรนซัมแวร์โดยใช้ exploit tool สำหรับ CVE-2024-26169 หลังจากการโจมตีครั้งแรกก็จะทำการติดตั้ง DarkGate loader ซึ่งทาง Black Basta ได้นำมาใช้งานแทนที่ QakBot

นักวิจัยเชื่อว่าผู้โจมตีช่องโหว่มีความเชื่อมโยงกับกลุ่ม Black Basta เพราะพบการใช้สคริปต์ที่ปลอมแปลงเป็น software updates ที่ออกแบบมาเพื่อเรียกใช้คำสั่งที่เป็นอันตราย และฝังตัวอยู่ในระบบที่ถูกโจมตี ซึ่งเป็นกลยุทธ์ทั่วไปสำหรับกลุ่มผู้โจมตีกลุ่มนี้

สามารถตรวจสอบการใช้ exploit tool ได้โดยการตรวจสอบจาก Windows file werkernel.

เมื่อวันที่ 7 พฤษภาคม 2024 นักวิจัยด้านความปลอดภัยของ Devcore ชื่อ Orange Tsai ได้ค้นพบ และรายงานช่องโหว่การเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกล (RCE) หมายเลข CVE-2024-4577 ให้กับทีมงาน PHP อย่างเป็นทางการ โดยช่องโหว่นี้เกิดจากข้อผิดพลาดในการแปลงรหัสตัวอักษร โดยเฉพาะอย่างยิ่งในฟีเจอร์ “Best Fit” บนระบบปฏิบัติการ Windows

การโจมตีโดยใช้ช่องโหว่นี้อาจทำให้ผู้ไม่หวังดีสามารถเรียกใช้โค้ดใด ๆ ได้จากระยะไกล ซึ่งเป็นความเสี่ยงด้านความปลอดภัยที่สำคัญต่อการติดตั้ง PHP ทุกเวอร์ชันที่ทำงานบนแพลตฟอร์ม Windows เมื่อเห็นถึงความร้ายแรงของปัญหานี้ ทีมพัฒนา PHP ได้แก้ไขช่องโหว่ CVE-2024-4577 อย่างรวดเร็ว โดยการปล่อยแพตช์อัปเดตอย่างเป็นทางการเมื่อวันที่ 6 มิถุนายน 2024

เมื่อวันที่ 8 มิถุนายน 2024 นักวิจัยด้านความปลอดภัยไซเบอร์จาก Imperva ได้รายงานกรณีแรกที่ผู้โจมตีใช้ประโยชน์จากช่องโหว่นี้ โดยผู้โจมตีใช้ช่องโหว่นี้ในการแพร่กระจายแรนซัมแวร์บนระบบที่มีช่องโหว่ โดยปฏิบัติการนี้ถูกระบุว่าเป็นส่วนหนึ่งของแคมเปญแรนซัมแวร์ 'TellYouThePass'

Cyble Global Sensor Intelligence (CGSI) ตรวจพบการพยายามสแกนหลายครั้งที่เกี่ยวข้องกับช่องโหว่ CVE-2024-4577 จากหลาย IP ที่น่าสนใจคือการพยายามสแกนจาก IP 51[.]79[.]19[.]53 ซึ่งเกี่ยวข้องกับแคมเปญของมัลแวร์ Muhstik ที่ถูกระบุโดย Aqua Nautilus เมื่อเร็ว ๆ นี้ การพยายามโจมตีจากที่อยู่ IP นี้ แสดงให้เห็นถึงความเกี่ยวข้องกับผู้โจมตีที่เคยใช้ช่องโหว่ RocketMQ และอาจกำลังพยายามใช้ประโยชน์จากช่องโหว่ CVE-2024-4577 เพื่อเรียกใช้งานเพย์โหลดที่เป็นอันตราย

Muhstik ถูกระบุว่าเป็นภัยคุกคามที่มีเป้าหมายเป็นอุปกรณ์ IoT และเซิร์ฟเวอร์ที่ใช้ระบบปฏิบัติการ Linux โดยมีชื่อเสียงในเรื่องความสามารถในการแพร่กระจายมัลแวร์สู่อุปกรณ์ และใช้อุปกรณ์ที่ติดมัลแวร์ในการดำเนินการต่าง ๆ เช่น การขุด cryptocurrency และการโจมตีแบบ Distributed Denial of Service (DDoS)

Cyble Global Sensor Intelligence (CGSI) findings

WatchTowr Labs ได้เผยแพร่ PoC สำหรับการโจมตี CVE-2024-4577 หนึ่งวันหลังจากที่แพตช์ถูกปล่อยออกมา โดยในวันถัดมา Cyble Global Sensor Intelligence (CGSI) ได้ตรวจพบความพยายามในการใช้ช่องโหว่นี้ โดยเริ่มตั้งแต่วันที่ 8 มิถุนายน 2024

Vulnerability Summary

CVE-2024-4577: Command injection vulnerability
CVSS:3.1: 9.8
Severity: Critical
Vulnerable Versions:

ช่องโหว่นี้ส่งผลกระทบต่อ PHP ทุกเวอร์ชันที่ทำงานในโหมด CGI (Common Gateway Interface) บนระบบปฏิบัติการ Windows หรือเปิด PHP binary ในเวอร์ชันดังต่อไปนี้

PHP 8.3 < 8.3.8
PHP 8.2 < 8.2.20
PHP 8.1 < 8.1.29

ใน PHP เวอร์ชัน 8.1.* ก่อน 8.1.29, 8.2.* ก่อน 8.2.20, และ 8.3.* ก่อน 8.3.8 เมื่อใช้ Apache และ PHP-CGI บน Windows หากระบบถูกตั้งค่าให้ใช้ code pages บางประเภท Windows อาจใช้ "Best-Fit" เพื่อแทนที่ตัวอักษรใน command line ที่ให้กับฟังก์ชัน Win32 API ซึ่ง โมดูล PHP CGI อาจตีความตัวอักษรเหล่านั้นผิดเป็น PHP options ซึ่งช่วยให้ผู้โจมตีสามารถส่ง options ไปยังไบนารีของ PHP ที่กำลังทำงานอยู่ ทำให้สามารถเรียกใช้งานสคริปต์ หรือรันโค้ด PHP ใด ๆ บนเซิร์ฟเวอร์ได้ เป็นต้น

Vulnerability Details

ช่องโหว่นี้ส่งผลกระทบต่อโหมด CGI ของ PHP ซึ่งเว็บเซิร์ฟเวอร์จะตีความ HTTP request และส่งต่อไปยังสคริปต์ PHP เพื่อประมวลผล ยกตัวอย่างเช่น query strings จะถูกแยก และส่งไปยัง PHP interpreter ผ่านทาง command line เช่น การรัน "php.

SolarWinds เผยแพร่อัปเดตการแก้ไขช่องโหว่ที่มีระดับความรุนแรงสูงหลายรายการใน Serv-U และ SolarWinds Platform รวมถึงช่องโหว่ที่ถูกรายงานจาก NATO Pentester

SolarWinds ออกแพตซ์อัปเดต SolarWinds Platform เวอร์ชัน 2024.2 ที่ได้แก้ไขช่องโหว่ใหม่ 3 รายการ และช่องโหว่จาก third-party components

ช่องโหว่แรกมีหมายเลข CVE-2024-28996 (คะแนน CVSS 7.5/10 ความรุนแรงระดับ High) ช่องโหว่ SWQL injection ซึ่งเป็น subset ที่เป็นสิทธิ์ read-only ของ SQL, SWQL ที่อนุญาตให้ผู้ใช้งาน query ฐานข้อมูล SolarWinds สำหรับข้อมูลเครือข่าย ซึ่งถูกรายงานโดย Pentester Nils Putnins ของ NATO Communications and Information Agency

ช่องโหว่อีก 2 รายการที่ส่งผลกระทบต่อ web console ได้แก่ CVE-2024-28999 (คะแนน CVSS 6.4/10 ความรุนแรงระดับ Medium) ช่องโหว่ race condition และ CVE-2024-29004 (คะแนน CVSS 7.1/10 ความรุนแรงระดับ High) ช่องโหว่ cross-site scripting (XSS) ที่จำเป็นต้องใช้สิทธิ์สูง และการโต้ตอบของผู้ใช้จึงจะทำให้สามารถโจมตีได้สำเร็จ โดยส่งผลกระทบต่อแพลตฟอร์ม SolarWinds 2024.1 SR 1 และเวอร์ชันก่อนหน้า

และช่องโหว่ที่พึ่งถูกเปิดเผยล่าสุด CVE-2024-28995 (คะแนน CVSS 8.6/10 ความรุนแรงระดับ High) ช่องโหว่ directory traversal ใน Serv-U ที่อาจทำ Hacker สามารถอ่านไฟล์ที่มีความสำคัญบนเครื่องโฮสต์ได้ โดยส่งผลต่อ Serv-U 15.4.2 hotfix 1 และเวอร์ชันก่อนหน้า รวมถึง Serv-U FTP Server, Serv-U Gateway และ Serv-U MFT Server.

ในเดือนเมษายน 2017 นักวิจัยจาก CrowdStrike Falcon Intelligence รายงานถึงกลุ่มแฮ็กเกอร์ที่ไม่เคยถูกพบมาก่อน ซึ่งกำลังโจมตีกลุ่มผู้เชี่ยวชาญในสายงานต่าง ๆ ในสหรัฐฯ ที่มีความสัมพันธ์กับจีน การสืบสวนเพิ่มเติมทำให้พบแคมเปญการโจมตีที่ใหญ่กว่านั้น โดยแสดงให้เห็นถึงเทคนิคการโจมตีที่โดดเด่น ซึ่งกลุ่มดังกล่าวเป็นที่รู้จักจากการโจมตีองค์กรภาค NGOs อย่างกว้างขวาง

Mustang Panda เป็นกลุ่มอาชญากรทางไซเบอร์ที่มีฐานอยู่ในประเทศจีน ถูกพบครั้งแรกในปี 2017 แต่มีแนวโน้มว่าได้ปฏิบัติการมาตั้งแต่ปี 2014 โดยกลุ่มนี้ได้ทำการโจมตีหน่วยงานที่หลากหลาย เช่น องค์กรรัฐบาล, องค์กรไม่แสวงผลกำไร, สถาบันศาสนา และองค์กรนอกภาครัฐอื่น ๆ ในสหรัฐอเมริกา, ยุโรป, มองโกเลีย, เมียนมา, ปากีสถาน, เวียดนาม และภูมิภาคอื่น ๆ

ในแคมเปญที่ดำเนินการในเดือนพฤษภาคม 2024 กลุ่ม Mastang Panda ได้โจมตีหน่วยงานในประเทศเวียดนามโดยใช้เอกสารที่เกี่ยวกับ tax compliance โดยเมื่อสังเกตจากโครงสร้างพื้นฐานที่ใช้ในแคมเปญเดือนพฤษภาคม 2024 นักวิจัยได้ระบุแคมเปญอีกหนึ่งแคมเปญของเดือนเมษายน 2024 ซึ่งเป็นการโจมตีหน่วยงานด้านการศึกษา

ในทั้งสองแคมเปญ การติดมัลแวร์เริ่มต้นจากอีเมลสแปมที่มีไฟล์แนบ ซึ่งไฟล์แนบจะประกอบไปด้วยไฟล์ ZIP และ RAR ที่มีไฟล์ Windows shortcut (LNK) ที่เป็นอันตราย เพื่อเรียกใช้งานไฟล์ PowerShell, Mshta และ batch (bat) หลายไฟล์ ผลลัพธ์สุดท้ายคือไฟล์โหลด DLL ที่เป็นอันตราย ซึ่งจะทำการรัน shellcode ซึ่งสามารถดาวน์โหลด และรันไฟล์ที่อันตรายอื่น ๆ ลงในระบบได้เพิ่มเติม

รายละเอียดทางเทคนิค

CRIL พบหนึ่งแคมเปญในเดือนพฤษภาคม 2024 ที่ใช้ไฟล์ LNK ที่อันตรายชื่อ “Vanban_8647_cuong_che_thi_hanh_quyet_dinh.

Microsoft ได้เผยแพร่ Patch Tuesday ประจำเดือนมิถุนายน 2024 ซึ่งประกอบด้วยการอัปเดตแพตซ์ความปลอดภัยสำหรับช่องโหว่ 51 รายการ ซึ่งในจำนวนนี้เป็นช่องโหว่การเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกล (RCE) 18 รายการ และเป็นช่องโหว่ Zero-day 1 รายการ คือช่องโหว่การเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกล (RCE) ใน Microsoft Message Queuing (MSMQ)

จำนวนช่องโหว่ในแต่ละหมวดหมู่มีดังต่อไปนี้ :

ช่องโหว่การยกระดับสิทธิ์ (privilege escalation) 25 รายการ
ช่องโหว่การเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกล (Remote Code Execution) 18 รายการ
ช่องโหว่ในการเปิดเผยข้อมูล (Information Disclosure) 3 รายการ
ช่องโหว่การปฏิเสธการให้บริการ (Denial of Service) 5 รายการ

ทั้งนี้ช่องโหว่ทั้ง 51 รายการ ยังไม่รวมช่องโหว่ของ Microsoft Edge 7 รายการที่ได้รับแก้ไขไปแล้วเมื่อวันที่ 3 มิถุนายน 2024

ช่องโหว่ Zero-day

ทั้งนี้ Patch Tuesday ประจำเดือนมิถุนายน 2024 มีช่องโหว่ Zero-day หนึ่งรายการหมายเลข CVE-2023-50868 NSEC3 closest encloser proof can exhaust CPU ซึ่งเป็นช่องโหว่ในการตรวจสอบความถูกต้องของ DNSSEC ซึ่งทำให้ Hacker สามารถใช้ประโยชน์จาก standard DNSSEC protocol ที่มีจุดประสงค์เพื่อความสมบูรณ์ของ DNS โดยการใช้ resources ที่มากเกินไปบน resolver ทำให้เกิด denial of service(DoS) กับผู้ใช้งาน

โดยช่องโหว่ดังกล่าวถูกเปิดเผยมาก่อนหน้านี้ในเดือนกุมภาพันธ์ 2024 และได้รับการแก้ไขไปแล้วใน DNS อื่น ๆ เช่น BIND, PowerDNS, Unbound, Knot Resolver และ Dnsmasq

นอกจากนี้ Patch Tuesday ประจำเดือนมิถุนายน 2024 ยังมีการแก้ไขช่องโหว่อื่น ๆ ที่น่าสนใจ ได้แก่ ช่องโหว่การเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกลของ Microsoft Office หลายรายการ รวมถึง Microsoft Outlook RCEs ที่สามารถใช้ประโยชน์ได้จากช่องโหว่ใน preview pane รวมถึงช่องโหว่ในการยกระดับสิทธิ์ Windows Kernel 7 รายการที่อาจทำให้ Hacker ที่เข้าถึงเครื่องได้ ได้รับสิทธิ์ SYSTEM

การแก้ไขช่องโหว่ของบริษัทอื่น ๆ

นอกจากนี้ยังมีการออกแพตซ์แก้ไขช่องโหว่ของบริษัทอื่น ๆ ในเดือนมิถุนายน 2024 ได้แก่ :

Apple แก้ไขช่องโหว่ด้านความปลอดภัย 21 รายการในรุ่น VisionOS 1.2
ARM แก้ไขช่องโหว่ที่ถูกโจมตีอย่างต่อเนื่องใน Mali GPU kernel drivers
Cisco แก้ไขช่องโหว่ความปลอดภัยสำหรับ Cisco Finesse และ Webex
Cox แก้ไขช่องโหว่ API auth bypass ที่ส่งผลกระทบต่อ modem หลายล้านอุปกรณ์
F5 อัปเดตความปลอดภัยสำหรับช่องโหว่ BIG-IP Next Central Manager API ที่มีระดับความรุนแรงสูง 2 รายการ
PHP แก้ไขช่องโหว่ RCE ระดับ Critical ซึ่งกำลังถูกใช้ในการโจมตีด้วยแรนซัมแวร์
TikTok แก้ไขช่องโหว่ Zero-day และ Zero-Click ที่ถูกโจมตีในฟีเจอร์ Direct Message
VMware แก้ไขช่องโหว่ Zero-day 3 รายการ ที่ถูกโจมตีที่ Pwn2Own 2024
Zyxel ออกอัปเดตแก้ไขช่องโหว่ RCE ฉุกเฉินสำหรับอุปกรณ์ NAS ที่หมดอายุการใช้งานไปแล้ว (EoL)

ที่มา : www.

ชุดสาธิตการโจมตีหรือ Proof-of-Concept (PoC) ของช่องโหว่ Authentication Bypass ของ Veeam Backup Enterprise Manager (CVE-2024-29849) ถูกปล่อยออกสู่สาธารณะเรียบร้อยแล้ว ผู้ดูแลระบบควรรีบทำการอัปเดตเพื่อป้องกันการถูกโจมตีจากช่องโหว่โดยด่วน

Veeam Backup Enterprise Manager (VBEM) เป็น web-based platform สำหรับจัดการการติดตั้ง Veeam Backup & Replication ผ่านทาง web console ช่วยควบคุมงานสำรองข้อมูล และการกู้คืนข้อมูลใน backup infrastructure ขององค์กร

Veeam ได้เผยแพร่ช่องโหว่ดังกล่าวเมื่อวันที่ 21 พฤษภาคม 2024 โดยช่องโหว่ดังกล่าวทำให้ Hacker ที่ไม่ต้องผ่านการยืนยันตัวตน สามารถเข้าสู่ VBEM web interface ในฐานะผู้ใช้งานคนใดก็ได้ ซึ่งปัจจุบันสามารถแก้ไขได้โดยการอัปเดตเป็น VBEM เวอร์ชัน 12.1.2.172

รายละเอียดการโจมตี

Sina Kheirkha นักวิจัยด้านความปลอดภัยทางไซเบอร์ระบุว่า ช่องโหว่ดังกล่าวอยู่ใน 'Veeam.

นักวิจัยพบ TargetCompany ransomware เวอร์ชัน Linux ตัวใหม่ ที่กำลังกำหนดเป้าหมายการโจมตีไปที่ VMware ESXi environments โดยใช้ custom shell script เพื่อส่ง และเรียกใช้เพย์โหลดที่เป็นอันตราย

TargetCompany หรือในชื่อ Mallox, FARGO และ Tohnichi ซึ่งเริ่มพบการโจมตีมาตั้งแต่เดือนมิถุนายน 2021 โดยมีเป้าหมายการโจมตีไปยัง database (MySQL, Oracle, SQL Server) ขององค์กรส่วนใหญ่ในไต้หวัน เกาหลีใต้ ไทย และอินเดีย

ในเดือนกุมภาพันธ์ 2022 ทาง Avast บริษัทแอนตี้ไวรัส ได้เผยแพร่เครื่องมือถอดรหัส ransomware ฟรี ที่สามารถถอดรหัสเวอร์ชันต่าง ๆ ของ TargetCompany ได้ ซึ่งต่อมาในเดือนกันยายน 2022 กลุ่ม TargetCompany ransomware ได้กลับมาปฏิบัติการอีกครั้ง โดยมุ่งเป้าหมายการโจมตีไปที่ Microsoft SQL ที่มีช่องโหว่ และข่มขู่เหยื่อด้วยการเผยแพร่ข้อมูลที่ถูกขโมยออกมาผ่านทาง Telegram

TargetCompany ransomware เวอร์ชัน Linux ตัวใหม่

Trend Micro บริษัทรักษาความปลอดภัยทางไซเบอร์รายงานว่า TargetCompany ransomware เวอร์ชัน Linux ตัวใหม่ สามารถตรวจสอบได้ว่ามีสิทธิ์ระดับผู้ดูแลระบบก่อนที่จะดำเนินการโจมตีหรือไม่

ในการดาวน์โหลด และการเรียกใช้งานเพย์โหลดของแรนซัมแวร์ Hacker จะใช้ custom shell script ที่สามารถขโมยข้อมูลไปเก็บไว้ยังเซิร์ฟเวอร์ที่อยู่คนละที่กันสองเซิร์ฟเวอร์ได้ เผื่อในกรณีที่เกิดปัญหาทางเทคนิคกับเครื่องเหยื่อ โดยเพย์โหลดจะตรวจสอบว่ากำลังทำงานในสภาพแวดล้อม VMware ESXi หรือไม่ โดยการรันคำสั่ง 'uname' และค้นหา 'vmkernel'

จากนั้น ไฟล์ “TargetInfo.

PHP ออกอัปเดตเพื่อแก้ไขช่องโหว่การเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกล (Remote Code Execution (RCE)) บน Windows ซึ่งส่งผลกระทบตั้งแต่เวอร์ชัน 5.x และอาจส่งผลกระทบต่อเซิร์ฟเวอร์จำนวนมากทั่วโลก

PHP เป็น open-source scripting language ที่ใช้กันอย่างแพร่หลาย โดยถูกออกแบบมาเพื่อการพัฒนาเว็บ และใช้กันทั่วไปบนเซิร์ฟเวอร์ทั้งบน Windows และ Linux

CVE-2024-4577 (คะแนน CVSS 9.8/10 ความรุนแรงระดับ Critical) เป็นช่องโหว่การเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกล (RCE) ที่เกิดจากการจัดการ character encoding โดยเฉพาะฟีเจอร์ 'Best-Fit' บน Windows เมื่อใช้ PHP ในโหมด CGI

ทำให้ Hacker ที่ไม่ต้องผ่านการยืนยันตัวตนสามารถ bypass การป้องกันของช่องโหว่ CVE-2012-1823 ก่อนหน้านี้ ด้วย character ที่เฉพาะเจาะจง ทำให้สามารถดำเนินการได้บน PHP servers ผ่านการโจมตีแบบ argument injection attack ซึ่งช่องโหว่ถูกค้นพบโดย Orange Tsai นักวิจัยด้านความปลอดภัยของ Devcore Principal เมื่อวันที่ 7 พฤษภาคม 2024 และได้รายงานช่องโหว่ให้แก่นักพัฒนา PHP ในเวลาต่อมา

ช่องโหว่ CVE-2024-4577 ส่งผลกระทบต่อ PHP ทุกเวอร์ชันบน Windows หากผู้ใช้งานใช้ PHP 8.0 (End of Life), PHP 7.x (End of Life) หรือ PHP 5.x (End of Life) ควรอัปเดตให้เป็นเวอร์ชันที่ใหม่กว่า หรือใช้วิธีการลดผลกระทบของช่องโหว่

นักวิจัยระบุว่า แม้ว่า PHP จะไม่ได้ใช้งาน CGI mode แต่ช่องโหว่ CVE-2024-4577 ก็อาจยังคงสามารถถูกโจมตีได้ ตราบใดที่ไฟล์ปฏิบัติการ PHP (เช่น php.

Mandiant Threat Intelligence เปิดเผยปฏิบัติการที่ชื่อว่า “Ghostwriter/UNC1151” ซึ่งเป็นส่วนหนึ่งของแคมเปญใหญ่ที่สนับสนุนการดำเนินการทางทหารของรัสเซีย และนโยบายต่อต้าน NATO แคมเปญนี้มีความเคลื่อนไหวมาตั้งแต่เดือนมีนาคม 2017 โดยมุ่งเป้าหมายหลักไปยังผู้ใช้งานในยูเครน, ลิทัวเนีย, ลัตเวีย และโปแลนด์ และแพร่กระจายข้อมูลปลอมผ่านเว็บไซต์ที่ถูกโจมตี และบัญชีอีเมลปลอม โดยคาดกันว่า UNC1151 มีความเกี่ยวข้องกับรัฐบาลเบลารุส

CRIL พบแคมเปญที่ใช้เอกสาร XLS ที่เป็นอันตรายเมื่อไม่นานมานี้ โดยจากการวิเคราะห์เพิ่มเติมแสดงให้เห็นว่าแคมเปญนี้มีความเชื่อมโยงกับแคมเปญมัลแวร์ที่มุ่งเป้าไปที่ยูเครน และกลุ่ม UNC1151 ซึ่งบ่งบอกถึงความเกี่ยวข้องกับรัฐบาลเบลารุส และเป็นส่วนหนึ่งของปฏิบัติการ GhostWriter

จากเอกสารปลอมที่พบ กลุ่มผู้ไม่หวังดีมุ่งเป้าหมายไปยังองค์กรทางทหารของยูเครน (กระทรวงกลาโหมยูเครน ฐานทัพทหาร A0000) ผ่านทาง Excel worksheets ปลอม โดยการโจมตีเริ่มต้นจากการส่งอีเมลสแปมที่มีไฟล์แนบที่ถูก compressed ไว้ ซึ่งภายในมี Excel worksheet ที่เป็นอันตราย เมื่อเปิดเอกสาร Excel จะรัน VBA Macro ที่ถูกฝังไว้ ซึ่งจะทำการ drops ไฟล์ LNK และ DLL จากนั้นเมื่อไฟล์ LNK ถูกเรียกใช้งานจะทำให้ DLL loader ทำงาน ซึ่งนำไปสู่การติดมัลแวร์ในระบบเป้าหมายในที่สุด

การเปลี่ยนแปลง TTP (Tactics, Techniques and Procedures) ใหม่ในแคมเปญนี้เกี่ยวข้องกับการเปลี่ยนแปลงจากวิธีการก่อนหน้านี้ ในแคมเปญก่อนหน้า กลุ่ม UNC1151 จะดาวน์โหลดไฟล์ JPG ที่เข้ารหัสโดยใช้ DLL loader ซึ่งไฟล์นั้นจะถูกถอดรหัสเพื่อใช้งาน final payload executable ส่วนในแคมเปญล่าสุด กลุ่ม UNC1151 จะดาวน์โหลดไฟล์ SVG ที่เข้ารหัส ซึ่งจะถูกถอดรหัสเพื่อเรียกใช้งานไฟล์ DLL payload อื่น ๆ

ในระหว่างการวิเคราะห์ นักวิจัยไม่สามารถกู้คืนไฟล์ final payload ได้ อย่างไรก็ตาม final payload อาจจะประกอบด้วย AgentTesla, Cobalt Strike beacons และ njRAT ซึ่งเคยพบในแคมเปญของกลุ่ม UNC1151 ก่อนหน้านี้

การวิเคราะห์แคมเปญ

แคมเปญก่อนหน้า (2023)

เมื่อปีที่แล้ว มีชุดของแคมเปญการโจมตีทางไซเบอร์ที่มุ่งเป้าหมายไปยังรัฐบาลยูเครน และโปแลนด์, ผู้ใช้งานในกองทัพ และผู้ใช้งานที่เป็นพลเรือน โดยใช้ไฟล์ Excel และ PowerPoint ที่เป็นอันตราย ไฟล์เหล่านี้ถูกออกแบบให้ดูเหมือนเอกสารทางการ เพื่อหลอกให้ผู้ใช้เปิดใช้งาน macro ที่รันโค้ด VBA ที่เป็นอันตราย แคมเปญเหล่านี้มีการพัฒนาโดยใช้โค้ดที่ซับซ้อนเพื่อที่จะ drop และรัน DLLs หรือ downloaders ในขั้นตอนหลังจะถูกซ่อนใน blobs ที่เข้ารหัส และต่อท้ายในไฟล์รูปภาพ “.jpg” final payload ประกอบด้วย njRAT, AgentTesla และ Cobalt Strike ซึ่งมุ่งเน้นไปที่การขโมยข้อมูล และการควบคุมระบบจากระยะไกล

แคมเปญล่าสุด (2024)

แคมเปญที่ 1

แคมเปญแรกพบในเดือนเมษายน 2024 มุ่งเป้าไปที่กองทัพยูเครน (กระทรวงกลาโหมยูเครน, ฐานทัพทหาร A0000) โดยใช้การผสมผสานระหว่างไฟล์ภาพจากโดรน และไฟล์สเปรดชีต Microsoft Excel ที่เป็นอันตราย เทคนิคนี้เกี่ยวข้องกับการใช้ไฟล์ Excel ที่ใช้ล่อลวงด้วยวิธีการ Social Engineer ผ่านทางอีเมลสแปม เพื่อหลอกล่อให้ผู้ใช้เปิดใช้งาน macro ซึ่งทำให้เกิด execution chain

เมื่อเปิดไฟล์ .xls โดยการดับเบิลคลิก จะปรากฏปุ่มที่มีข้อความว่า ‘Enable Content’ การคลิกที่ปุ่มนี้จะเป็นการเริ่มต้นการรัน VBA Macro ที่ฝังอยู่ในเอกสาร

เมื่อ VBA Macro ถูกเรียกใช้งาน จะทำการสร้างไฟล์ shortcut ชื่อ “CybereasonActiveProbe.

Microsoft ประกาศเลิกใช้การ authentication ผ่าน NTLM บน Windows server อย่างเป็นทางการ โดยระบุว่าจะเปลี่ยนไปใช้การ authentication ผ่าน Kerberos หรือ Negotiation แทน เพื่อแก้ไขปัญหาการโจมตีผ่าน NTLM

New Technology LAN Manager หรือที่รู้จักกันดีในชื่อ NTLM เป็น authentication protocol ที่เปิดตัวครั้งแรกในปี 1993 โดยเป็นส่วนหนึ่งของ Windows NT 3.1 และเป็นตัวแทนของ LAN Manager (LM) protocol

โดย NTLM ได้ถูกใช้งานอย่างแพร่หลายจนถึงปัจจุบัน ซึ่ง Microsoft ประกาศว่า NTLM จะไม่ได้รับการพัฒนาอีกต่อไปในเดือนมิถุนายน 2024 และจะค่อย ๆ ยุติการใช้งานลง เพื่อรองรับทางเลือกอื่น ๆ ที่มีความปลอดภัยยิ่งขึ้น ภายในเดือนตุลาคม 2024 ซึ่ง Microsoft แนะนำให้ผู้ดูแลระบบทำการย้ายไปใช้ Kerberos authentication และระบบการ authentication อื่น ๆ เช่น Negotiate

เนื่องจาก NTLM มักถูก Hacker นำไปใช้ในการโจมตีที่เรียกว่า 'NTLM Relay Attacks' ซึ่งจะทำให้ Windows domain controller ถูกเข้าควบคุม โดยการบังคับให้ทำการ authentication กับเซิร์ฟเวอร์ที่เป็นอันตราย แม้ว่า Microsoft จะมีการเปิดตัวมาตรการใหม่เพื่อป้องกันการโจมตีเหล่านั้น เช่น SMB security signing แต่การโจมตี NTLM ก็ยังคงเกิดขึ้น

ตัวอย่างการโจมตี เช่น การขโมย password hash และนำมาใช้ในการโจมตีแบบ "pass-the-hash", การโจมตีแบบฟิชชิ่ง และการดึงข้อมูลโดยตรงจาก Active Directory database หรือหน่วยความจำของเซิร์ฟเวอร์ รวมไปถึง Hacker ยังสามารถ crack password hash เพื่อทำให้ได้รหัสผ่านแบบ plaintext ของผู้ใช้ได้ เนื่องจากวิธีการเข้ารหัสที่ไม่ดีพอ

Microsoft จึงได้แนะนำให้เปลี่ยนไปใช้ protocol ที่มีความปลอดภัยกว่า เช่น Kerberos ที่มีการเข้ารหัสที่ดีกว่า

การเลิกใช้งาน NTLM

ทั้งนี้ NTLM จะยังคงมีการใช้งานใน Windows Server รุ่นถัดไป อย่างไรก็ตามผู้ใช้ และนักพัฒนาแอปพลิเคชันควรเปลี่ยนไปใช้ 'Negotiate' ซึ่งจะพยายามตรวจสอบสิทธิ์กับ Kerberos ก่อน และกลับไปใช้ NTLM เมื่อจำเป็นเท่านั้น

Microsoft แนะนำให้ผู้ดูแลระบบใช้เครื่องมือตรวจสอบการใช้งาน NTLM บนระบบของตน และระบุ instance ทั้งหมดที่ต้องพิจารณาในการกำหนดแผนการเปลี่ยนแปลงดังกล่าว

สำหรับแอปพลิเคชันส่วนใหญ่ การเปลี่ยนจาก NTLM เป็น Negotiate สามารถทำได้โดยการเปลี่ยนแปลงค่าใน 'AcquireCredentialsHandle' request ที่ไปยัง Security Support Provider Interface (SSPI) อย่างไรก็ตาม อาจมีข้อยกเว้นที่จำเป็นต้องทำการเปลี่ยนแปลงค่าเพิ่มเติม

โดย Negotiate มี built-in fallback สำหรับ NTLM ในตัว เพื่อลดปัญหา compatibility ในช่วงการเปลี่ยนแปลง ซึ่งผู้ดูแลระบบที่ติดปัญหาการ authentication สามารถดูวิธีแก้ปัญหาจากคู่มือการแก้ไขปัญหา Kerberos ของ Microsoft

ที่มา : bleepingcomputer.