Google ติดตามการเคลื่อนไหวของผู้ใช้งานได้ตลอดเวลาจากฟีเจอร์ Location

ในทุกครั้งที่มีการใช้งานแอปพลิเคชั่นยอดนิยมอย่าง Google Maps ผู้ใช้จำเป็นต้องเปิดฟีเจอร์ค้นหาตำแหน่งหรือ Location เพื่อระบุตำแหน่ง ซึ่งในการเปิดใช้งานฟีเจอร์ Location ทุกครั้งจำเป็นต้องได้รับความยินยอมจากผู้ใช้งานเพื่อค้นหาเส้นทางและเมื่อสิ้นสุดการใช้งานผู้ใช้ส่วนใหญ่จะทำการปิดฟีเจอร์ Location ไว้ชั่วคราวเพื่อความเป็นส่วนตัวของผู้ใช้ในการใช้งาน แต่จากการตรวจสอบล่าสุดแสดงให้เห็นว่าทาง Google ยังมีการติดตามผู้ใช้งานอยู่ตลอดเวลา

Associated Press เปิดเผยว่าบริการของ Google จำนวนมากบนอุปกรณ์ Android และ iPhone ทำการเก็บข้อมูล Location ของผู้ใช้ไว้ใน "Location History" บนโทรศัพท์มือถือของผู้ใช้แม้ว่าจะมีคำสั่งหยุดการทำงาน Location ชั่วคราวก็ตาม ปัญหาดังกล่าวส่งผลกระทบกับผู้ใช้งาน Android ประมาณสองพันล้านรายและผู้ใช้งาน iPhone นับร้อยล้านคนทั่วโลกที่ใช้งานแอพพลิเคชั่น Google Map ในการค้นหาเส้นทาง

หากผู้ใช้งานไม่ต้องการให้ Google ติดตามการเคลื่อนไหวได้ตลอดเวลา ผู้ใช้สามารถตั้งค่าให้ปิดการใช้งาน "Location History" ได้

ที่มา : thehackernews

Reddit ถูกแฮกจากการดักรับ SMS ที่เป็น 2FA ของพนักงาน ข้อมูลทั้งหมดตั้งแต่ปี 2007 หลุดรวมถึงข้อมูลผู้ใช้งาน

Reddit เว็บบอร์ดขนาดใหญ่ที่ก่อตั้งตั้งแต่ปี 2005 ออกประกาศข่าวการถูกแฮก โดยผู้โจมตีได้ข้อมูลของผู้ใช้งาน Reddit ปัจจุบันไปบางส่วน และฐานข้อมูลสำรองของปี 2007 ทั้งหมด ซึ่งมีข้อมูลทั้งหมดของเว็บไซต์ตั้งแต่ก่อตั้งจนถึงเดือนพฤษภาคม ปี 2007 ซึ่งการถูกแฮกครั้งนี้เกิดจากผู้โจมตีสามารถเข้าถึง SMS ซึ่งเป็น two factor authentication (2FA) ของพนักงาน Reddit ได้และใช้เข้าถึงข้อมูลดังกล่าว

Reddit พบว่าในวันที่ 19 มิถุนายน 2018 ที่ผ่านมา ผู้โจมตีสามารถทำการโจมตีบัญชีของพนักงาน Reddit ที่เป็นผู้ดูแลระบบทำให้สามารถเข้าถึงข้อมูลและ infrastructure ของ Reddit ได้ ถึงแม้ว่าข้อมูลและ infrastructure จะมีการป้องกันโดยการใช้ two factor authentication (2FA) ในการเข้าถึงก็ตาม โดยต้องยืนยันตนสองขั้นโดยใช้สองวิธียืนยันตัวตนที่แตกต่างกันร่วมกันเช่น ใช้สิ่งที่ผู้ใช้ทราบ (เช่น รหัสผ่านหรือ PIN) ร่วมกับสิ่งที่ผู้ใช้มี (เช่น SMS หรือ authenticator app หรือ usb token) ก็ตาม แต่เนื่องจากบัญชีพนักงานดังกล่าวใช้ SMS เพิ่มจากรหัสผ่านในการยืนยันตัวตน ทำให้สามารถถูกโจมตีด้วยการดักรับ SMS ดังกล่าวและใช้เข้าสู่ระบบได้

Reddit แจ้งว่าข้อมูลที่ผู้โจมตีได้ไปคือ ข้อมูลทั้งหมดของ Reddit ตั้งแต่ก่อตั้งเว็บจนถึงเดือนพฤษภาคม ปี 2007, รายชื่อ email ของผู้ใช้งานปัจจุบันสำหรับส่ง email เสนอแนะหัวข้อที่น่าสนใจในบอร์ดและ source code ของระบบ ซึ่งข้อมูลหลุดที่กระทบกับผู้ใช้งานคือส่วนที่เป็นข้อมูลทั้งหมดของ Reddit ตั้งแต่ก่อตั้งเว็บจนถึงเดือนพฤษภาคม ปี 2007 โดย Reddit ได้แจ้งเตือนผู้ใช้ที่ได้รับผลกระทบในสองส่วนดังกล่าวแล้ว และได้แจ้งหน่วยงานทางกฏหมายให้ทราบถึงเหตุการณ์นี้แล้ว

ทั้งนี้ Reddit ได้แนะนำผู้ใช้เพิ่มเติมดังนี้

1. ตรวจสอบว่าตัวเองได้รับผลกระทบหรือไม่ ด้วยการตรวจสอบว่าเป็นผู้ใช้ที่สมัคร Reddit ตั้งแต่ก่อนปี2007 หรือ เป็นผู้ใช้ที่ได้รับ email จาก noreply@redditmail.

พบช่องโหว่บลูทูธใหม่ กระทบอุปกรณ์จำนวนมากนับล้าน

พบช่องโหว่ตัวใหม่ในบลูทูธ CVE-2018-5383 เกิดจากการดำเนินการเข้ารหัสที่ไม่สมบูรณ์ในระดับ Firmware โดยกระทบอุปกรณ์จำนวนมากจากบริษัทรายใหญ่ ไม่ว่าจะเป็น Apple Broadcom Intel และ Qualcomm โดยกระทบทั้งมือถือ เครื่องคอมพิวเตอร์ และอุปกรณ์อื่นๆที่มีความสามารถในการรับส่งบลูทูธ

เมื่อวันที่23 กรกฏาคม 2018 ที่ผ่านมามีประกาศเตือนถึงช่องโหว่ตัวใหม่ในบลูทูธ ซึ่งเกิดจากการดำเนินการเข้ารหัสที่ไม่สมบูรณ์ในบลูทูธ บลูทูธเป็นมาตรฐานในการส่งข้อมูลแบบไร้สายโดยอาศัยคลื่นวิทยุและมีระยะทางในการส่งไม่เกิน 10 เมตรโดยใช้กระบวนการเข้ารหัส Elliptic curve Diffie–Hellman หรือ ECDH ในการส่งข้อมูลระหว่างอุปกรณ์ ทั้งนี้ในกระบวนการ ECDH ดังกล่าว ต้องมีการตรวจสอบ elliptic curve parameters เพื่อยีนยันความถูกต้อง
ซึ่งช่องโหว่ของบลูทูธที่ค้นพบใหม่นี้ เกิดจากไม่มีการตรวจสอบ elliptic curve parameters ดังกล่าว ซึ่งทำให้ผู้โจมตีในระยะสัญญาณบลูทูธสามารถทำการโจมตีแบบ man-in-the-middle โดยดักจับ key ที่ใช้ในการเข้ารหัส ดักจับข้อมูลที่ส่งผ่านบลูทูธ และนำมาถอดรหัสข้อมูลดังกล่าวได้ ดัดแปลงข้อมูลที่ถูกรับส่งระหว่างทาง หรือแม้กระทั่งฝังมัลแวร์ได้

ช่องโหว่ดังกล่าวกระทบอุปกรณ์จำนวนมากที่มีความสามารถในการรับส่งบลูทูธจากหลายบริษัท ไม่ว่าจะเป็น Apple Broadcom Intel และ Qualcomm ซึ่งบริษัทบางส่วนได้ออกอัปเดตเพื่อแก้ไขบ้างแล้ว เช่น
- Apple ได้แก้ไขช่องโหว่ดังกล่าวไปใน macOS Excessive Sierra 10.13.5, iOS 11.4, watchOS 4.3.1, และ tvOS 11.4
- Intel ออกไดรว์เวอร์ให้กับอุปกรณ์ที่มีผลกระทบ โดยสามารถดูรายละเอียดอุปกรณ์ที่ได้รับผลกระทบได้ที่ https://www.

วันนี้ธนาคารแห่งประเทศไทย(ธปท.)ได้มีการออกข่าวประชาสัมพันธ์ให้สถาบันการเงินในประเทศยกระดับมาตรการป้องกันภัยทางไซเบอร์

สืบเนื่องจาก นายรณดล นุ่มนนท์ ผู้ช่วยผู้ว่าการ สายกำกับสถาบันการเงิน ธนาคารแห่งประเทศไทย ได้มีการเปิดเผยว่า มีข้อมูลบางส่วนซึ่งไม่เกี่ยวข้องกับธุรกรรมการเงินจากธนาคาร 2 แห่ง ได้แก่ ธนาคารกสิกรไทย จำกัด (มหาชน) และธนาคารกรุงไทย จำกัด (มหาชน) หลุดออกไป โดยจากรายงานข้อมูลที่หลุดออกไปของธนาคารกสิกรไทยเป็นข้อมูลลูกค้านิติบุคคลที่เป็นข้อมูลสาธารณะ ส่วนของธนาคารกรุงไทย เป็นข้อมูลคำขอสินเชื่อของลูกค้ารายย่อยและนิติบุคคลบางส่วน หลังจากธนาคารทั้ง 2 แห่งทราบปัญหาดังกล่าวได้มีการตรวจสอบทันที และพบว่ายังไม่มีลูกค้าที่ได้ผลกระทบจากกรณีข้อมูลรั่วไหลดังกล่าวนี้ พร้อมทั้งได้ดำเนินการปิดช่องโหว่ดังกล่าวโดยทันที ทั้งนี้ ธปท. ได้สั่งการ และกำชับให้ธนาคารทั้ง 2 แห่งยกระดับมาตราป้องกันภัยทางไซเบอร์อย่างเข้มงวดโดยทันที

ล่าสุดนี้ทางธนาคารทั้ง 2 แห่ง ได้แก่ธนาคารกรุงไทย จำกัด (มหาชน) และธนาคารกสิกรไทย จำกัด (มหาชน) ได้มีการชี้แจงกรณีดังกล่าวออกมาแล้ว นายผยง ศรีวณิช กรรมการผู้จัดการใหญ่ ธนาคารกรุงไทย เปิดเผยว่าจากการตรวจสอบระบบพบว่า ในช่วงก่อนวันหยุดยาวที่ผ่านมาข้อมูลเบื้องต้นที่ส่วนใหญ่เป็นข้อมูลคำขอสินเชื่อพื้นฐานของลูกค้ารายย่อยที่สมัครสินเชื่อทางออนไลน์ทั้งสิ้น 1.2 แสนราย แบ่งเป็นนิติบุคคล 3 พันรายได้ถูกแฮกด้วยเทคนิคชั้นสูงจากระบบของธนาคาร และธนาคารยืนยันว่ายังไม่พบว่าความเสียหายเกิดขึ้นกับบัญชีของกลุ่มลูกค้าที่ได้รับผลกระทบดังกล่าว

ทั้งนี้ธนาคารได้มีการติดต่อกับกลุ่มลูกค้าดังกล่าว เพื่อแจ้งให้ทราบถึงเหตุการณ์ และให้คำแนะนำเพื่อป้องกันความเสี่ยงแล้ว ในส่วนของธนาคารกสิกรไทย นายพิพิธ เอนกนิธิ กรรมการผู้จัดการ ธนาคารกสิกรไทย เปิดเผยว่า เมื่อวันที่ 25 กรกฎาคมที่ผ่านมา ธนาคารตรวจพบว่าอาจมีข้อมูลรายชื่อลูกค้าองค์กรของธนาคารประมาณ 3 พันรายที่ใช้เว็บให้บริการหนังสือค้ำประกันหลุดออกไปสู่สาธารณะ ซึ่งข้อมูลที่หลุดออกไปไม่เกี่ยวข้องกับข้อมูลสำคัญด้านธุรกรรมการเงินของลูกค้า และยังไม่พบว่ามีลูกค้าที่ได้รับผลกระทบดังกล่าวได้รับความเสียหายใดๆ โดยคาดว่าเกิดจากการแฮกเช่นเดียวกัน ทั้งนี้ธนาคารได้มีแผนที่จะแจ้งให้ทางลูกค้าที่ได้รับผลกระทบทราบเป็นรายองค์กรแล้ว

อย่างไรก็ตามขณะนี้กลุ่มผู้เชี่ยวชาญด้านความปลอดภัยทางไซเบอร์จากสถาบันการเงินต่างๆในประเทศ ได้ร่วมมือกับทาง TB-CERT และผู้เชี่ยวชาญท่านอื่นๆ ช่วยกันสืบสวนหาสาเหตุที่แท้จริงอยู่ คาดว่าหากมีความคืบหน้าเพิ่มเติมน่าจะมีการแจ้งให้ทราบต่อไป

ที่มา : การเงินธนาคาร , ธปท.

Diebold ประกาศแจ้งเตือนการโจมตี Jackpotting และมัลแวร์ในเอทีเอ็ม พร้อม Fraud แบบใหม่จาก NCR

Diebold และ NCR บริษัทผู้ผลิตและจัดจำหน่ายระบบเอทีเอ็มและ POS รายใหญ่ออกประกาศด้านความปลอดภัยในระยะเวลาไล่เลี่ยกันเมื่อวานที่ผ่านมา โดยในประกาศของ Diebold นั้นโฟกัสไปที่การโจมตีด้วยวิธีการ Jackpotting และการค้นพบมัลแวร์ในเอทีเอ็ม สว่นประกาศจาก NCR นั้นเน้นไปที่เรื่องของเทคนิคการ Fraud "Transaction Reversal Fraud (TRF)" และวิธีการป้องกัน

Diebold ประกาศหลังจากตรวจพบเพิ่มขึ้นของการโจมตีในรูปแบบ Jackpotting กับระบบเอทีเอ็มซึ่งอยู่ในยุโรปและละตินอเมริกาโดยพุ่งเป้าไปที่ตู้รุ่น Opteva ที่มีการใช้งานตัวจ่ายเงินรุ่น Advacned Function Dispenser (AFD) 1.x ผู้โจมตีอาศัยทั้งการเข้าถึงทางกายภาพและทางซอฟต์แวร์เพื่อข้ามผ่านการตรวจสอบและยืนยันอุปกรณ์ โดยมีจุดมุ่งหมายเพื่อทำให้เกิดการเชื่อมต่อกับอุปกรณ์ภายนอกที่สามารถใช้เพื่อควบคุมระบบของเอทีเอ็มให้สามารถสั่งจ่ายเงินได้ อย่างไรก็ตามการโจมตีส่วนมากที่ตรวจพบนั้นไม่ประสบความสำเร็จด้วยเหตุผลทางด้านเทคนิค Diebold แนะนำให้ผู้ใช้งานทำการอัปเดตซอฟต์แวร์ให้เป็นรุ่นล่าสุดเพื่อป้องกันการโจมตีนี้

ในขณะเดียวกัน Diebold ได้ประกาศการค้นพบมัลแวร์ที่พุ่งเป้าโจมตีระบบเอทีเอ็มภายใต้ชื่อ "Peralta" โดยมัลแวร์ชนิดดังกล่าวนั้นถูกออกแบบมาเพื่อสร้างการโจมตีแบบ Jackpotting โดยใช้ซอฟต์แวร์แทนที่จะเป็นการโจมตีทางกายภาพกับระบบเอทีเอ็ม ในการโจมตีนั้น ผู้โจมตีใช้วิธีการถอดฮาร์ดดิสก์ของเอทีเอ็มที่อยู่บริเวณด้านบนของตู้ออกก่อนจะทำการแก้ไขข้อมูลในฮาร์ดดิสก์เพื่อสอดแทรกมัลแวร์ โดยมัลแวร์จะทำการโจมตีช่องโหว่รหัส MS16-032 ซึ่งมีการแพตช์ไปแล้วเพื่อยกระดับสิทธิ์ด้วยสคริปต์ PowerShell หลังจากนั้นจึงทำการเริ่มการทำงานของส่วนหลักของมัลแวร์ที่จะเริ่มการทำงานโดยอัตโนมัติเมื่อระบบของเอทีเอ็มถูกเปิด และคอยรอรับคำสั่งที่เป็นชุดของการกดแป้นพิมพ์ต่อ

สำหรับประกาศจากทาง NCR นั้น ได้มีการแจ้งเตือนความถีที่เพิ่มขึ้นของรูปแบบการโจมตีที่มีชื่อเรียกว่า Transaction Reversal Fraud (TRF) ซึ่งเป็นการโจมตีเพื่อขโมยเงินจากเอทีเอ็มออกโดยอาศัยการทำให้เกิด "ข้อผิดพลาด" ในกระบวนการถอนเงินที่เกือบสำเร็จ ซึ่งส่งผลให้บริเวณของส่วนจ่ายเงินยังเปิดอยู่และชิงเอาเงินออกมาก่อนที่เงินจะถูกส่งคืนกลับเซฟได้

กระบวนการป้องกันการโจมตีและภัยคุกคามทั้งหมดสามารถตรวจสอบเพิ่มเติมได้จากลิงค์แหล่งที่มาส่วนท้ายบทความ

ที่มา : response

PHP ประกาศแพตช์ช่องโหว่ด้านความปลอดภัย 7 รายการในรุ่น 7.1.19 และ 7.2.7 วันนี้โดยช่องโหว่ที่ร้ายแรงสูงสุดใน 7 รายการนั้นสามารถทำให้ผู้โจมตีรันโค้ดที่เป็นอันตรายเพื่อโจมตีระบบที่มีช่องโหว่ได้จากระยะไกล ยังไม่พบการใช้ช่องโหว่ดังกล่าวในการโจมตีจริงในตอนนี้
ผู้ใช้งานสามารถทำการอัปเดต PHP เพื่อรับแพตช์ช่องโหว่ด้านความปลอดภัยดังกล่าวได้โดยสำหรับรุ่น 7.2 นั้นให้ผู้ใช้งานอัปเดตไปยังรุ่น 7.2.7 ส่วนในรุ่น 7.1 นั้นให้ผู้ใช้งานอัปเดตไปยังรุ่น 7.1.19 PHP รุ่น 7.2 ก่อนหน้ารุ่น 7.2.7 และ PHP รุ่น 7.1. ก่อนหน้ารุ่น 7.1.19

ที่มา : Center for Internet Security

ทีมนักวิจัยนานาชาติได้เปิดเผยว่าอุปกรณ์ Android ที่เปิดตัวตั้งแต่ปี 2012 เกือบทุกเครื่อง เสี่ยงต่อช่องโหว่ในหน่วยความจำตัวใหม่ชื่อว่า "RAMpage"

ย้อนกลับไปก่อนหน้านี้ได้มีการค้นพบช่องโหว่ CVE-2018-9442 เป็นรูปแบบของการโจมตีที่เรียกว่า "Rowhammer" ซึ่งเป็นช่องโหว่ของฮาร์ดแวร์ในการ์ดหน่วยความจำรุ่นใหม่ เมื่อมีคนส่งคำสั่ง write/read เข้าไปยัง memory cell เดียวกันซ้ำๆ จะทำให้เกิดสนามไฟฟ้าที่จะสามารถเปลี่ยนแปลงข้อมูลที่เก็บอยู่ในหน่วยความจำใกล้เคียง และพบว่าสามารถโจมตีโดยใช้ Rowhammer ผ่านทาง JavaScript, GPU card และ network packet ได้

RAMpage เป็นช่องโหว่จำพวกเดียวกับ Rowhammer โดยช่องโหว่นี้สามารถทำลายขอบเขตการป้องกันความปลอดภัยระหว่างแอพพลิเคชั่น และระบบปฏิบัติการที่ได้ออกแบบมาบนอุปกรณ์มือถือ ซึ่งช่วยป้องกันไม่ให้แอพพลิเคชั่นใดๆที่ลงบนอุปกรณ์สามารถอ่านข้อมูลจากแอพพลิเคชั่นอื่นๆที่ลงบนเครื่องได้ แต่แอพพลิเคชั่นที่ถูกดัดแปลงให้ใช้ช่องโหว่นี้ จะสามารถโจมตีเพื่อเพิ่มสิทธิ์ตนเองให้สามารถควบคุมเครื่อง และทำการอ่านข้อมูลสำคัญๆที่ถูกเก็บอยู่บนเครื่องได้ เช่น พาสเวิร์ดที่อยู่ใน password manager หรือบน browser, รูปถ่าย, email, chat และเอกสารสำคัญทางธุรกิจต่างๆที่อยู่บนเครื่อง

โดยความแตกต่างระหว่างช่องโหว่ก่อนหน้านี้(Drammer Rowhammer) และ RAMpage Rowhammer เวอร์ชันใหม่คือ RAMpage มุ่งเป้าหมายไปที่ระบบหน่วยความจำ Android ที่เรียกว่า ION ซึ่งเป็นส่วนหนึ่งของระบบ Android ที่ใช้จัดการหน่วยความจำระหว่างแอพพลิเคชั่นและระบบปฏิบัติการ ทั้งนี้ Google ได้มีการเปิดตัว ION ใน Android 4.0 (Ice Cream Sandwich) ตั้งแต่วันที่ 18 ตุลาคม 2554

ที่มา : BLEEPINGCOMPUTER

กลุ่มแฮกเกอร์ที่เรียกตัวเองว่า "Tick" ได้มุ่งเป้าหมายไปที่การโจมตีผ่าน USB drive เพื่อเข้าสู่ระบบที่มีมาตรการรักษาความปลอดภัยเครือข่ายคอมพิวเตอร์ที่แยกตัวจากเครือข่ายที่มีความเสี่ยง หรือที่เรียกว่า Air-Gapped system และสามารถทำงานบนระบบปฏิบัติการ Microsoft Windows XP หรือ Windows Server 2003 ได้

นักวิจัยจาก Palo Alto Networks ค้นพบว่า Malware ที่ถูกใช้ในการโจมตีครั้งนี้ไม่ต้องใช้การเชื่อมต่อเพื่อเข้าถึง Command-and-Control Server ของแฮกเกอร์เพื่อรับคำสั่งเหมือนอย่าง Malware ทั่วๆไปที่เคยถูกใช้โดยแฮกเกอร์กลุ่มนี้มาก่อน แต่กลับใช้วิธีการรันตัวเองจาก USB drive ที่เสียบบนเครื่อง ซึ่งเป็นเทคนิคที่ไม่ค่อยได้พบเห็นบ่อยนัก อย่างไรก็ตามนักวิจัยเองก็ไม่สามารถวิเคราะห์ข้อมูลใดๆเพิ่มเติมมากกว่านี้ได้ หากไม่ได้ทำการวิเคราะห์ USB drive ที่ถูกใช้ และ ไฟล์ต้องสงสัยที่ถูกวางบนเครื่องเหยื่อ

ที่มา : cyberscoop

กลุ่มแฮกเกอร์เกาหลีเหนือ Lazarus Group อาจเป็นผู้อยู่เบื้องหลังการโจมตีตลาดแลกเปลี่ยน Cryptocurrency สัญชาติเกาหลีใต้ "Bithumb"

บริษัทด้านความปลอดภัย AlienVault เปิดเผยรายงานการวิเคราะห์ไฟล์เอกสารซึ่งเชื่อกันว่าเป็นไฟล์เอกสารที่ถูกใช้ในการโจมตีเว็บไซต์ตลาดแลกเปลี่ยน Cryptocurrency สัญชาติเกาหลีใต้ "Bithumb" ส่งผลให้มีเงินสูญหายกว่า 30 ล้านดอลลาร์สหรัฐฯ

ไฟล์เอกสารนี้เป็นไฟล์เอกสารที่ถูกจัดทำโดยโปรแกรม Hangul Word Processor ซึ่งเป็นโปรแกรมแก้ไขเอกสารจากเกาหลีใต้ ไฟล์เอกสารถูกระบุชื่อแตกต่างกันออกไป อาทิ "국제금융체제 실무그룹 회의결과.hwp หรือ Results of the international financial system working group meeting, "금융안정 컨퍼런스 개최결과.hwp หรือ 금융안정 컨퍼런스 개최결과.hwp" เมื่อไฟล์เอกสารถูกเปิดออก มัลแวร์ Manuscrypt จะถูกดาวโหลดมาติดตั้งในระบบ

อ้างอิงจากรายงานข่าวของสำนักข่าว KBS ซึ่งรายงานรายละเอียดตรงกันว่าการโจมตี Bithumb นั้นมีจุดเริ่มต้นในลักษณะที่คล้ายกันคือการได้รับไฟล์เอกสาร HWP ก่อนที่การโจมตีจะเกิดขึ้นและพบตัวอย่างมัลแวร์ที่ลักษณะคล้ายคลึงกันอีกด้วย

ที่มา: darkreading

จากเหตุการณ์ที่ธนาคาร Bamcomext และธนาคาร Bank of Chile ถูกโจมตีทั้งในรูปแบบของการใช้มัลแวร์ KillDisk เพื่อแพร่ระบาดในเครือข่ายของธนาคารและรูปแบบของการเข้ายึดและสั่งการระบบ SWIFT ของธนาคารให้มีการโอนเงินออกมา อ้างอิงจากแหล่งข่าวของ Cyberscoop คนในสามคนที่เข้าตรวจสอบเหตุการณ์นี้ได้ออกมายืนยันแล้วว่าเป็นการโจมตีที่มีความเกี่ยวข้องกับกลุ่มแฮกเกอร์ของเกาหลีเหนือ

กลุ่มแฮกเกอร์เกาหลีเหนือตกเป็นผู้ต้องสงสัยในการโจมตีระบบของธนาคารเพื่อขโมยเงินหลายครั้ง โดยหนึ่งในกลุ่มแฮกเกอร์ซึ่งเป็นที่รู้จักกันว่ามีแรงจูงใจในการโจมตีเพื่อการแสวงหาเงินนั้นคือกลุ่ม Lazarus Group (ชื่ออื่น HIDDEN COBRA, Unit 121)

แม้ว่ากลุ่มผู้โจมตีจะมีการใช้มัลแวร์ KillDisk หรือ MBR Killer ในการสร้างความเสียหายและดึงความสนใจ การปรากฎตัวของมัลแวร์ดังกล่าวก็ไม่ได้เป็นหลักฐานในการยืนยันที่ดีมากนักแม้ว่ามัลแวร์ในลักษณะเดียวกันจะเคยปรากฎในครั้งที้ธนาคารสัญชาติไต้หวันถูกโจมตีมาแล้ว เนื่องจากซอร์สโค้ดของมัลแวร์ทั้งสองประเภทนี้นั้นถูกปล่อยขายอยู่ในตลาดมืดออนไลน์โดยทั่วไป

อย่างไรก็ตามนอกเหนือจากการปรากฎตัวของมัลแวร์ KillDisk หรือ MBR Killer และความคลุมเครือของมัน อ้างอิงจากรายงานการวิเคราะห์ของ Flashpoint (TLP: Amber) Flashpoint ยังคงยืนยันว่าโมดูลของ MBR Killer, RAT และ TTP ของผู้โจมตีนั้นมีความเกี่ยวข้องกับกรณีการโจมตีสถาบันทางการเงินอื่นๆ และยังสามาถเชื่อมโยงกลับไปยังเกาหลีเหนือได้

Lazarus Group หรือ HIDDEN Cobra มักใช้เทคนิค Spear Phishing เพื่อให้สามารถเข้าถึงเครือข่ายภายในของธนาคารได้ ก่อนจะทำการติดตั้งและดาวโหลดมัลแวร์ต่างๆ ที่ทำให้ผู้โจมตีสามารถควบคุมระบบภายได้ ท้ายที่สุดผู้โจมตีจะมีการทำ Lateral Movement เพื่อค้นหาระบบที่เกี่ยวข้องกับระบบ SWIFT ก่อนที่จะดำเนินสั่งโอนเงินออกมา

ที่มา : Security Affairs