กลุ่ม APT37 หรือที่รู้จักกันในชื่อ Red Eye หรือ ScarCruft ซึ่งเป็นกลุ่มแฮกเกอร์จากเกาหลีเหนือ กำลังใช้มัลแวร์ในลักษณะ steganography ที่ชื่อ 'M2RAT' ในการโจมตีเพื่อรวบรวมข้อมูลข่าวกรองที่สำคัญต่อรัฐบาลเกาหลีเหนือ

ตัวอย่างเช่น การใช้ backdoor บนโทรศัพท์ที่ชื่อว่า 'Dolphin' ในการติดตั้ง remote access trojan (RAT) อย่าง 'Konni' เพื่อมุ่งเป้าในการขโมยข้อมูลจากองค์กรในสหภาพยุโรป และใช้มัลแวร์ที่ชื่อว่า 'Goldbackdoor' เพื่อขโมยข้อมูลจากผู้สื่อข่าวในสหรัฐอเมริกา เป็นต้น

โดยในรายงานล่าสุดจาก AhnLab Security Emergency response Center (ASEC) นักวิจัยระบุว่า APT37 ใช้มัลแวร์สายพันธุ์ใหม่ที่เรียกว่า 'M2RAT' แบ่งการใช้งาน memory ร่วมกันระหว่างการสั่งการ และการขโมยข้อมูล โดยจะทิ้งร่องรอยการทำงานไว้น้อยมากบนเครื่องของเหยื่อ

ลักษณะการทำงาน

การโจมตีล่าสุดที่ตรวจพบโดย ASEC ถูกพบในเดือนมกราคม 2566 โดยกลุ่มแฮกเกอร์จะใช้การส่งอีเมลฟิชชิ่งที่มีไฟล์แนบที่เป็นอันตรายไปยังเป้าหมาย

เมื่อมีการเปิดไฟล์แนบจะทำให้เกิดการโจมตีโดยใช้ประโยชน์จากช่องโหว่ EPS (CVE-2017-8291) ในโปรแกรม Hangul word processor ซึ่งนิยมใช้กันทั่วไปในเกาหลีใต้ ซึ่งช่องโหว่นี้จะทำให้ shellcode เริ่มทำงานบนคอมพิวเตอร์ของเหยื่อ และทำการดาวน์โหลด และเรียกใช้โปรแกรมที่เป็นอันตรายซึ่งถูกเก็บไว้ภายในไฟล์ภาพ JPEG

โดยไฟล์ภาพ JPG จะใช้เทคนิค steganography ซึ่งทำให้สามารถซ่อนโค้ดภายในไฟล์ได้ เพื่อทำให้ M2RAT ("lskdjfei.

FireEye ได้มีการออกประกาศเพิ่มเติมวันนี้หลังจากมีกการตรวจพบการใช้ช่องโหว่ Adobe Flash Player (CVE-2018-4847) ในการโจมตีระบบเพื่อแพร่กระจายมัลแวร์ ในเบื้องต้นคาดว่าเป็นกลุ่มแฮกเกอร์จากเกาหลีเหนือที่มีจุดประสงค์เพื่อจารกรรรมและขโมยข้อมูล

APT37 หรือ Reaper ซึ่งเป็นชื่อเรียกของกลุ่มแฮกเกอร์โดย FireEye พุ่งเป้าโจมตีไปที่เกาหลีใต้ ญี่ปุ่น เวียดนามรวมไปถึงประเทศในกลุ่มตะวันออกกลาง โดยเน้นไปที่องค์กรหรือบรรษัทขนาดใหญ่ กระบวนการโจมตีเริ่มต้นจากการใช้เทคนิค social engineering แบบเจาะจงบุคคลรวมไปถึงโจมตีเว็บไซต์ที่เกี่ยวข้องกับเป้าหมายเพื่อแพร่กระจายมัลแวร์ ในส่วนของเทคโนโลยีนั้น APT37 มีการใช้ช่องโหว่ Adobe Flash Player (CVE-2018-4847) และช่องโหว่ของ Hangul Word Processor (HWP) เพื่อลักลอบรันโค้ดที่เป็นอันตรายหรือมัลแวร์ซึ่งจะฝังตัวอยู่ในระบบเป็นเวลานานเพื่อทยอยขโมยข้อมูลออกจากระบบ
Recommendation ในขณะนี้ยังไม่พบการโจมตีหรือการแพร่กระจายของมัลแวร์ในไทย แต่ทางไอ-ซีเคียวก็ขอแนะนำให้ผู้ใช้งานดำเนินการป้องกันการโดยการตรวจสอบความทันสมัยของโปรแกรมและแพตช์ด้านความปลอดภัยอย่างสม่ำเสมอ โดยควรมีการติดตามอัปเดตทุกครั้งเมื่อมีการประกาศจากผู้ผลิตซอฟต์แวร์

ที่มา : FireEye