Silver เป็น command-and-control framework ที่ถูกสร้างขึ้นเพื่อใช้ทำ penetration testers (ทดสอบเจาะระบบ) ที่กำลังได้รับความสนใจจากกลุ่มผู่ไม่หวังดีมากขึ้น เพื่อใช้เป็นเครื่องมือทางเลือกแทน Cobalt Strike และ Metasploit ซึ่งเหตุการณ์นี้ถูกพบโดย Cybereason เมื่อสัปดาห์ที่ผ่านมา

(more…)

พบมัลแวร์ตัวใหม่บน Android ที่มีชื่อว่า 'Hook' สามารถ remote เพื่อควบคุมอุปกรณ์มือถือจากระยะไกลได้แบบเรียลไทม์โดยการใช้ VNC (virtual network computing)

โดยตัวมัลแวร์ถูกสร้างโดยผู้สร้าง Ermac ซึ่งเป็นโทรจันสำหรับขโมยข้อมูลธนาคารบน Android ที่จะช่วยให้ผู้โจมตีสามารถขโมยข้อมูล credentials จากแอปธนาคาร และ crypto แอปพลิเคชันกว่า 467 รายการผ่านหน้า login ปลอม

คุณสมบัติของ Hook เมื่อเทียบกับ Ermac คือการเปิด WebSocket ที่นอกเหนือจากการรับส่งข้อมูล HTTP ที่ Ermac ใช้ โดยเฉพาะการรับส่งข้อมูลเครือข่ายยังคงถูก encrypt โดยการใช้คีย์ AES-256-CBC

จุดเด่นเพิ่มเติมคือ module 'VNC' ที่ช่วยให้ผู้โจมตีสามารถควบคุมอุปกรณ์ที่ถูกบุกรุกได้แบบ real-time

Hook ติดอันดับต้นๆ ของกลุ่มมัลแวร์ที่สามารถดำเนินการโจมตีแบบ Device Take-Over (DTO) ได้เต็มรูปแบบ เนื่องจากระบบใหม่นี้ช่วยให้ผู้โจมตีที่ใช้งาน Hook สามารถดำเนินการใดๆก็ได้บนอุปกรณ์ ตั้งแต่ขโมยข้อมูลส่วนตัว ไปจนถึงข้อมูลการทำธุรกรรมทางการเงิน ซึ่งการดำเนินการลักษณะนี้ตรวจจับได้ยากกว่า ทำให้ถือเป็นจุดขายหลักสำหรับมัลแวร์ประเภทนี้

แต่มีประเด็นสำคัญอีกอย่างหนึ่งคือ VNC ของ Hook ต้องการการเข้าถึงบริการ Accessibility Service ซึ่งอาจทำได้ยากขึ้นบนอุปกรณ์ที่ใช้ Android 11 หรือใหม่กว่า

คำสั่งใหม่ของ Hook (นอกเหนือจาก Ermac)

Start/stop RAT
ถ่ายภาพหน้าจอ
จำลองการคลิกที่รายการข้อความที่กำหนด
Simulate การกดปุ่ม (HOME/BACK/RECENTS/LOCK/POWERDIALOG)
Unlock อุปกรณ์
Scroll up/down
Simulate การกดแบบค้าง
Simulate การคลิกที่กำหนดเฉพาะ
ตั้งค่า clipboard UI ด้วยค่าเฉพาะเจาะจง
Simulate การคลิก UI ด้วยข้อความเฉพาะ
ตั้งค่าองค์ประกอบ UI เป็นข้อความเฉพาะ

นอกเหนือจากข้างต้น คำสั่ง "File Manager" จะเปลี่ยนมัลแวร์ให้เป็นตัวจัดการไฟล์ ทำให้ผู้โจมตีสามารถเข้าถึงรายการไฟล์ทั้งหมดที่จัดเก็บไว้ในอุปกรณ์ และดาวน์โหลดไฟล์ที่ต้องการได้

คำสั่งสำคัญอีกคำสั่งที่ ThreatFabric พบเกี่ยวข้องกับ WhatsApp ที่ทำให้ Hook สามารถบันทึกข้อความทั้งหมดในแอพ IM (Instant Messaging) ที่ได้รับความนิยมและยังช่วยให้ผู้โจมตีสามารถส่งข้อความผ่านบัญชีของเหยื่อได้ ในส่วนระบบการติดตามตำแหน่งใหม่ก็ช่วยให้ Hook สามารถติดตามตำแหน่งที่แม่นยำของเหยื่อได้โดยใช้สิทธิ์ "Access Fine Location"

การกำหนดเป้าหมายทั่วโลก

เป้าหมายของ Hook คือแอปพลิเคชันธนาคารต่างๆ ซึ่งคาดว่าจะส่งผลกระทบต่อผู้ใช้ในสหรัฐอเมริกา สเปน ออสเตรเลีย โปแลนด์ แคนาดา ตุรกี สหราชอาณาจักร ฝรั่งเศส อิตาลี และโปรตุเกส

ปัจจุบัน Hook มีการแพร่กระจายผ่านทาง Google Chrome APK ภายใต้ชื่อแพ็คเกจดังนี้

"com.

Censys บริษัทด้านความปลอดภัยไซเบอร์ ได้เปิดเผยรายงานการพบเซิร์ฟเวอร์ Cacti ที่เชื่อมต่อกับอินเทอร์เน็ตส่วนใหญ่ไม่ได้รับการอัปเดตช่องโหว่ด้านความปลอดภัยที่มีหมายเลข CVE-2022-46169 ซึ่งพึ่งถูกค้นพบในเดือนธันวาคม 2022 ที่ผ่านมา ทำให้ตกเป็นเป้าหมายในการโจมตีของกลุ่ม Hackers

CVE-2022-46169 (คะแนน CVSS: 9.8 ระดับความรุนแรงสูงมาก) เป็นช่องโหว่ใน Cacti Servers ที่สามารถ bypass การตรวจสอบสิทธิ์และเรียกใช้งานคำสั่งที่เป็นอันตรายบนเวอร์ชันที่เป็น open-source, web-based monitoring solution

จากการตรวจของ Censys สอบพบว่ามีเซิร์ฟเวอร์ Cacti เพียง 26 เซิร์ฟเวอร์ จากทั้งหมด 6,427 เซิร์ฟเวอร์ ที่มีการอัปเดตเวอร์ชันเพื่อปิดช่องโหว่ (version 1.2.23 และ 1.3.0) อีกทั้งนักวิจัยของ SonarSource บริษัทด้านความปลอดภัยไซเบอร์ยังได้ให้ข้อมูลเพิ่มเติมว่า พบเซิร์ฟเวอร์ Cacti ที่ยังไม่ได้อัปเดตเพื่อป้องกันช่องโหว่ถึง 1,320 เซิร์ฟเวอร์ โดยมาจากประเทศต่าง ๆ ได้แก่ บราซิล อินโดนีเซีย สหรัฐอเมริกา จีน บังคลาเทศ รัสเซีย ยูเครน ฟิลิปปินส์ อังกฤษ และประเทศไทย อีกทั้งยังพบการโจมตีช่องโหว่ดังกล่าวแล้ว ซึ่งพบว่า IP ที่โจมตีมานั้นส่วนใหญ่มาจากประเทศยูเครน

Cacti Server ที่ได้รับผลกระทบ

Cacti Server เวอร์ชัน 1.2.22 และต่ำกว่า

วิธีการแก้ไข

ทำการอัปเดต Cacti Server เป็นเวอร์ชัน 1.2.23 และ 1.3.0 เพื่อปิดช่องโหว่โดยเร็วที่สุด

ที่มา : thehackernews

BlackCat ransomware หรือในอีกชื่อที่เรียกว่า ALPHV ransomware ได้ปรับเปลี่ยนกลยุทธ์ในการขู่เรียกค่าไถ่เพื่อให้เหยื่อยอมที่จะจ่ายเงินเรียกค่าไถ่ โดยการสร้างเว็ปไซต์เลียนแบบเว็ปของเหยื่อที่ถูกโจมตีเพื่อเผยแพร่ข้อมูลที่ถูกขโมยออกมา ส่งผลให้ผู้ที่ตกเป็นเหยื่อของการโจมตีต้องหาวิธีในการยับยั้งการเผยแพร่ข้อมูล

BlackCat ransomware หรือ ALPHV ransomware เป็นกลุ่ม Hackers ที่มีแรงจูงใจในการโจมตี คือ เงินเรียกค่าไถ่ โดยมุ่งเป้าหมายไปยังกลุ่มสถาบันทางการเงินฝั่งสหรัฐอเมริกา ยุโรป และเอเชีย อีกทั้งยังพบว่าประเทศไทยเป็นหนึ่งในประเทศที่ตกเป็นเป้าหมายของการโจมตีเช่นกัน

วิธีการเผยแพร่ข้อมูล

เมื่อวันที่ 26 ธันวาคม 2022 กลุ่ม BlackCat ได้เผยแพร่ตัวอย่างข้อมูลที่ขโมยออกมาจากการโจมตีบริษัทที่ให้บริการทางการเงินรายหนึ่งบนเว็ปไซต์ที่อยู่บน Tor network เพื่อเรียกค่าไถ่ แต่เนื่องจากเหยื่อไม่ตอบสนองกลับมา กลุ่ม BlackCat จึงเผยแพร่ไฟล์ที่ถูกขโมยทั้งหมดเพื่อเป็นบทลงโทษสำหรับเหยื่อที่ไม่ยอมจ่ายค่าไถ่ ซึ่งเป็นขั้นตอนตามมาตรฐานสำหรับกลุ่มแรนซัมแวร์ แต่ด้วยวิธีการใหม่นั่นคือการสร้างเว็ปไซต์เลียนแบบเว็ปของเหยื่อเพื่อเผยแพร่ไฟล์ที่ขโมยมา

โดยเว็บไซต์เลียนแบบนี้มีข้อมูลที่ถูกขโมยออกมาจำนวนมาก ตั้งแต่บันทึกพนักงาน, แบบฟอร์มการชำระเงิน, ข้อมูลพนักงาน, ข้อมูลเกี่ยวกับทรัพย์สินและค่าใช้จ่าย, ข้อมูลทางการเงินสำหรับคู่ค้าและการสแกนหนังสือเดินทาง โดยมีขนาดประมาณ 3.5 GB สามารถดาวน์โหลดได้จากบริการไฟล์แชร์ที่ไม่ระบุตัวตนและเว็ปไซต์บน Tor network

โดยตอนนี้ยังไม่ทราบแน่ชัดว่าวิธีการนี้จะประสบความสำเร็จเพียงใด ซึ่งพบว่ามีจำนวนผู้เข้าถึงจำนวนมากขึ้นเรื่อย ๆ เนื่องจากข้อมูลไม่มีข้อจำกัดในการเข้าถึงใด ๆ ทั้งสิ้น แต่คาดว่าวิธีการและกลยุทธ์ในการขู่กรรโชกนี้ จะถูกนำไปใช้โดยกลุ่ม Hackers อื่น ๆ ต่อไปในอนาคต

ที่มา : bleepingcomputer

Guardio Labs และ Trend Micro บริษัทด้านความปลอดภัยได้เผยแพร่ข้อมูลเทคนิคการโจมตีของกลุ่ม Hackers ที่เริ่มหันมาใช้ Google Ads ในการหลอกล่อเป้าหมายที่กำลังค้นหาซอฟต์แวร์ เพื่อให้เหยื่อทำการดาวน์โหลดซอฟต์แวร์อันตรายที่ถูกฝังมัลแวร์ไว้โดยที่ไม่รู้ตัว

Google Ads เป็นแพลตฟอร์มช่วยโปรโมตโฆษณาบนหน้าเว็ปในการค้นหาของ Google เพื่อให้อยู่ในอันดับต้น ๆ ของรายการค้นหา ซึ่งมักจะถูกนำเสนอก่อนเว็ปไซต์ของคำค้นหา

วิธีการโจมตี

Guardio Labs และ Trend Micro ได้ค้นพบแคมเปญ typosquatting ซึ่งเป็นแคมเปญการโจมตีโดยใช้การจดโดนเมนปลอมใกล้เคียง เพื่อเลียนแบบหน้าเว็ปไซต์ของซอฟต์แวร์ยอดนิยมกว่า 200 โดเมน เช่น Grammarly, MSI Afterburner, Slack, Dashlane, Malwarebytes, Audacity, μTorrent, OBS, Ring, AnyDesk, Libre Office, Teamviewer, Thunderbird และ Brave

รวมทั้งยังได้ใช้ Google Ads ในการโปรโมตโฆษณาหน้าเว็ปปลอมบนหน้าการค้นหาของ Google และให้ขึ้นมาอยู่ในอันดับต้น ๆ ของคำค้นหานั้น เมื่อเป้าหมายกดคลิกหน้าเว็ปไซต์ปลอมเพื่อทำการดาวน์โหลดซอฟต์แวร์ ก็จะเป็นการดาวน์โหลดซอฟต์แวร์ที่ถูกฝังเพย์โหลดที่เป็นอันตราย

โดยเพย์โหลดที่ฝังมากับซอฟต์แวร์จะทำการดาวน์โหลดมัลแวร์ซึ่งประกอบไปด้วย Raccoon Stealer, Vidar Stealer และ IcedID malware loader ซึ่งเพย์โหลดที่มาในรูปแบบ .ZIP หรือ .MSI จะถูกดาวน์โหลดจากบริการแชร์ไฟล์ต่าง ๆ เช่น GitHub, Dropbox หรือ Discord เพื่อหลีกเลี่ยงการตรวจจับของโปรแกรมป้องกันไวรัสบนเครื่องเป้าหมาย

รวมถึงเมื่อ Google ตรวจพบว่าเว็ปไซต์ที่ Google Ads เชื่อมโยงไว้นั้นเป็นอันตราย โฆษณานั้นจะถูกบล็อกและลบออก ดังนั้น Hackers จึงใช้เทคนิคเลี่ยงการตรวจสอบของ Google Ads ด้วยการหลอกล่อให้เป้าหมายคลิกโฆษณาไปยังเว็ปไซต์ที่ไม่มีอันตรายที่สร้างโดย Hackers ก่อน จากนั้นก็จะทำการปลี่ยนเส้นทางไปยังเว็ปไซต์ดาวน์โหลดซอฟต์แวร์อันตรายอีกครั้งหนึ่ง

วิธีการป้องกัน

ระมัดระวังการคลิกชมโฆษณาบน Google Ads / ตรวจสอบ URL ของลิงค์เว็ปไซต์ที่ต้องการค้นหา
เปิดใช้งานตัวบล็อกโฆษณาบนเว็บเบราว์เซอร์

ที่มา : bleepingcomputer

หน่วยงานทางด้านความปลอดภัยทางไซเบอร์ของยูเครน (CERT-UA) ประกาศแจ้งเตือนการแพร่กระจายของแรนซัมแวร์สายพันธุ์ใหม่ที่ชื่อว่า Somnia โดยระบุว่าเป็นปฏิบัติการภายใต้ชื่อว่า 'From Russia with Love' (FRwL) โดยกลุ่ม Z-Team หรืออีกชื่อหนึ่งคือ UAC-0118 โดยการฝังมัลแวร์ไว้บนเว็บไซต์ปลอมเพื่อใช้สำหรับขโมยข้อมูล และเพื่อขัดขวางการทำงานขององค์กรต่าง ๆ ในยูเครน

โดยกลุ่มแฮ็กเกอร์ได้ใช้เว็บไซต์ปลอมที่เลียนแบบซอฟต์แวร์ "Advanced IP Scanner" เพื่อหลอกให้พนักงานขององค์กรต่าง ๆ ในยูเครนให้ดาวน์โหลดโปรแกรมมาติดตั้ง ซึ่งจริง ๆ แล้วโปรแกรมดังกล่าวคือมัลแวร์ Vidar stealer ซึ่งจะถูกใช้เพื่อขโมย Telegram session เพื่อเข้าควบคุมบัญชี Telegram ของเหยื่อ

โดย **CERT-UA ระบุว่าแฮ็กเกอร์จะใช้บัญชี Telegram ของเหยื่อเพื่อขโมยข้อมูลการเชื่อมต่อ VPN (authentication และ certificates) โดยถ้าบัญชี VPN ไม่ได้มีการเปิดใช้งาน multi-factor authentication แฮ็กเกอร์จะใช้บัญชีดังกล่าวเพื่อเข้าถึงเครือข่ายขององค์กรของเหยื่อ

จากนั้นแฮ็กเกอร์จะติดตั้ง Cobalt Strike beacon, Netscan, Rclone, Anydesk, และ Ngrok เพื่อปฏิบัติการรูปแบบอื่นๆ บนเครือข่ายของเหยื่อต่อไป

CERT-UA ระบุว่าตั้งแต่ฤดูใบไม้ผลิปี 2022 เป็นต้นมา ปฏิบัติการ FRwL ได้ทำการโจมตีคอมพิวเตอร์ขององค์กรยูเครนไปแล้วหลายครั้ง โดยประเภทไฟล์ที่เป็นเป้าหมายในการโจมตีของ Somnia ประกอบไปด้วย ไฟล์เอกสาร, รูปภาพ, ฐานข้อมูล, ไฟล์วิดีโอ และอื่น ๆ

โดย Somnia จะต่อท้ายนามสกุลไฟล์ที่ถูกเข้ารหัสด้วย .somnia แต่จะไม่มีการเรียกเงินค่าไถ่จากเหยื่อในกรณีที่เหยื่อต้องการจ่ายเงินสำหรับตัวถอดรหัสของไฟล์ที่ถูกเข้ารหัสไว้ เนื่องจากเป้าหมายของ Somnia คือการขัดขวางกระบวนการทำงานของเป้าหมายมากกว่าที่จะเป็นการสร้างรายได้จากการโจมตี ดังนั้นมัลแวร์ดังกล่าวน่าจะถูกสร้างมาเพื่อทำลายล้างมากกว่าการเรียกค่าไถ่แบบเดียวกับแรนซัมแวร์อื่นๆ

แนวทางการป้องกัน

ตรวจสอบแหล่งที่มาของไฟล์ก่อนดาวน์โหลด
เปิดใช้งาน Multi-Factor Authentication

ที่มา : bleepingcomputer

MyDeal เป็นบริษัทในเครือของ Woolworths ซึ่งเป็นตลาดค้าปลีกออนไลน์ของออสเตรเลีย ได้ออกมาประกาศเรื่องข้อมูลของลูกค้ากว่า 2.2 ล้านรายรั่วไหลออกสู่สาธารณะ และถูกนำไปประกาศขายบนฟอรัมต่าง ๆ

เหตุการณ์นี้เกิดขึ้นเมื่อวันศุกร์ที่ 14 ตุลาคมที่ผ่านมา ซึ่ง MyDeal ถูกโจมตีในระบบการจัดการข้อมูลส่วนบุคคล (CRM) ส่งผลให้ข้อมูลของผู้ใช้งานจำนวนหนึ่งถูกขโมยออกไป ประกอบด้วยข้อมูลดังต่อไปนี้

ชื่อ
อีเมล
หมายเลขโทรศัพท์
ที่อยู่ในการจัดส่งสินค้า
วัน เดือน ปี เกิดของผู้ใช้งาน

MyDeal ยืนยันว่าอีเมลของลูกค้าหลุดออกไปเพียง 1.2 ล้านราย และผู้โจมตีไม่ได้ข้อมูลเกี่ยวกับการชำระเงิน และรหัสผ่านของลูกค้าแต่อย่างใด อย่างไรก็ตาม MyDeal ยังคงแนะนำให้ผู้ใช้งานรีเซ็ตรหัสผ่านเพื่อความปลอดภัยโดยการแจ้งเตือนไปยังลูกค้าทุกรายที่ได้รับผลกระทบดังกล่าวโดยทันที

สองวันหลังจาก MyDeal ประกาศถึงการถูกขโมยข้อมูล กลุ่มแฮ็กเกอร์ได้เริ่มขายข้อมูลที่ขโมยมาในราคา $600 โดยอ้างว่าเป็นข้อมูลลูกค้ากว่า 1 ล้านราย และจะเพิ่มขึ้นอีกเมื่อพวกเขาทำการวิเคราะห์ข้อมูลเสร็จสิ้น

เพื่อเพิ่มหลักฐานว่าสามารถโจมตีได้สำเร็จ กลุ่มแฮ็กเกอร์ได้ทำการเผยแพร่ภาพหน้าจอ Confluence server และการลงชื่อใช้งานบัญชี Amazon Web Services (AWS) แบบ Single Sign-on (SSO) ของบริษัท

แม้ว่ากลุ่มแฮ็กเกอร์อาจไม่ได้ข้อมูลเกี่ยวกับการชำระเงิน และรหัสผ่านของลูกค้า แต่ก็ยังมีข้อมูลผู้ใช้งานในส่วนต่าง ๆ ที่เพียงพอสำหรับการขโมย หรือการโจมตีแบบฟิชชิ่ง ดังนั้น ผู้ใช้จึงควรระมัดระวัง

แนวทางป้องกัน

ไม่ควรใช้รหัสผ่านเดี่ยวกันบนหลาย Platform
เปิดใช้งาน Multi-Factor Authentication
ควรตั้งรหัสผ่านให้มีความยากในการคาดเดา

ที่มา : bleepingcomputer

Samsung ออกมายอมรับว่ามีข้อมูลรายละเอียดของลูกค้างบางรายในสหรัฐอเมริกาถูกขโมย โดยเมื่อวันศุกร์ที่ 2 ก.ย. 2565 ที่ผ่านมา ทางบริษัท Samsung ยอมรับว่าพบข้อผิดพลาดทางด้านความปลอดภัยทางไซเบอร์ ที่ส่งผลให้สามารถมีการเข้าถึงข้อมูลของลูกค้าโดยไม่ได้รับอนุญาต ซึ่งถือเป็นครั้งที่สองของปีนี้

โดยเหตุการณ์เกิดขึ้นในช่วงปลายเดือนกรกฎาคม Samsung พบการเข้าถึงข้อมูลบนระบบของ Samsung ในสหรัฐอเมริกาโดยไม่ได้รับอนุญาตจาก Third-party จากนั้นในวันที่ 4 สิงหาคม 2022 จึงยืนยันได้ว่ามีข้อมูลส่วนบุคคลของลูกค้าบางรายได้รับผลกระทบ และทางบริษัทได้ให้บริษัทผู้เชี่ยวชาญด้านความปลอดภัยทางไซเบอร์เข้าตรวจสอบเพิ่มเติม และได้ประสานงานไปยังหน่วยงานบังคับใช้กฏหมายเรียบร้อยแล้ว

โดยข้อมูลที่ถูก Hacker ขโมยจะประกอบด้วย

ชื่อ
ข้อมูลการติดต่อ
ข้อมูลประชากร
วันเกิด
รายละเอียดการลงทะเบียนผลิตภัณฑ์

ซึ่งจากข้อมูลที่ทาง Samsung ระบุ จะพบว่าไม่มีข้อมูลเลขบัตรประกันสังคมและข้อมูลบัตรเครดิต โดยข้อมูลที่หลุดออกไปนั้นจะแตกต่างกันในลูกค้าแต่ละราย

ซึ่งจากรายงานล่าสุด บริษัทก็ยังไม่สามารถตอบได้ชัดเจนว่ามีข้อมูลของลูกค้าโดนแฮ็คไปเท่าไหร่ และใครอยู่เบื้องหลังการโจมตีนี้ และเหตุใดต้องใช้เวลาเกือบเดือนในการเปิดเผยถึงเหตุการณ์ที่เกิดขึ้น โดยทาง Samsung ระบุว่า นอกจากการแจ้งถึงสถานการณ์ล่าสุดให้ลูกค้าได้ทราบแล้ว Samsung ได้มีการดำเนินการตามขั้นตอนในการรักษาความปลอดภัยของระบบที่ได้รับผลกระทบ และได้มีการว่าจ้างบริษัทภายนอกเข้ามาช่วยรักษาความปลอดภัย และเฝ้าระวังการโจมตีครั้งใหม่ ๆ อีกทั้งยังได้มีการแจ้งเตือนให้ผู้ใช้งานมีการใช้งานอย่างระมัดระวังมากขึ้น หลีกเลี่ยงการกด Link หรือเปิดไฟล์ที่ไม่รู้จัก รวมไปถึงตรวจสอบกิจกรรมที่น่าสงสัย

โดยการแจ้งเตือนข้อมูลรั่วไหลของลูกค้าในครั้งนี้จะมีความคล้ายกับเหตุการณ์ที่เกิดขึ้นในช่วงเดือนมีนาคมที่ผ่านมา ที่มีการเปิดเผยข้อมูลภายใน และ Source code ของสมาร์ทโฟนตระกูล Galaxy จากการโจมตีโดยกลุ่ม LAPSUS$

ที่มา : thehackernews

เมื่อวันศุกร์ที่ผ่านมา (2 กันยายน 2565) กลุ่มแฮ็กเกอร์ที่ใช้ชื่อว่า ‘AgainstTheWest’ ได้อ้างว่าทำการขโมยข้อมูลของทั้ง TikTok และ WeChat มาจาก Cloud instance ของ Alibaba โดยมีข้อมูลผู้ใช้งานของทั้ง 2 แพลตฟอร์ม อยู่กว่า 2.05 พันล้านรายการในฐานข้อมูลขนาด 790 GB ประกอบไปด้วย ข้อมูลของผู้ใช้, สถิติการใช้งานของแพลตฟอร์ม, source code ** ของ Software, auth tokens, ข้อมูลของเซิร์ฟเวอร์ และอื่น ๆ อีกมากมาย

แม้ว่าชื่อ ‘AgainstTheWest’ จะดูเหมือนเป็นกลุ่มแฮ็กเกอร์ที่มุ่งเป้าโจมตีไปยังประเทศแถบตะวันตก แต่เป้าหมายจริง ๆ ของทางกลุ่มกลับเป็นประเทศที่เป็นภัยคุกคามต่อประเทศทางฝั่งตะวันตกมากกว่า โดยกลุ่มดังกล่าวจะมุ่งเป้าโจมตีไปที่จีน และรัสเซีย อีกทั้งยังมีแผนที่จะเพิ่มเป้าหมายไปยังเกาหลีเหนือ เบลารุส และอิหร่านในอนาคต

หลังจากนั้น TikTok ได้ออกมาปฏิเสธข่าวการรั่วไหลของ Source Code และข้อมูลผู้ใช้งานที่แฮ็กเกอร์อ้างว่าได้ขโมยไปจากบริษัท ซึ่งทาง TikTok ให้ข้อมูลกับ BleepingComputer ว่าข้อมูลนั้นไม่มีความเกี่ยวข้องกับทางบริษัท และข้อมูล Source Code ที่แชร์อยู่บนแพลตฟอร์มข้อมูลรั่วไหลก็ไม่ได้เป็นส่วนหนึ่งของ TikTok ซึ่ง TikTok ยืนยันว่ามีการป้องกันระบบที่เพียงพอ และมีการป้องกันการใช้สคริปต์สำหรับการเก็บรวบรวมข้อมูลของผู้ใช้งาน

แม้ว่า WeChat และ TikTok เป็นบริษัทจากประเทศจีนเหมือนกัน แต่ก็ไม่ได้อยู่ภายใต้บริษัทแม่บริษัทเดียวกัน โดย WeChat นั้นเป็นของ Tencent ส่วน TikTok เป็นของ ByteDance ดังนั้นหากมีข้อมูลรั่วไหลของทั้งสองบริษัทจากฐานข้อมูลเดียวกัน จึงมีความเป็นไปได้ว่าไม่ใช่การรั่วไหลจากแพลตฟอร์มโดยตรง ซึ่งอาจเป็นไปได้ว่าฐานข้อมูลที่เผยแพร่ออกมานั้นมาจากบุคคลที่ 3 หรือโบรกเกอร์ที่มีการคัดลอกข้อมูลจากทั้งสองแพลตฟอร์มลงไปในฐานข้อมูลเดียวกัน

อีกทั้ง Troy Hunt ผู้สร้าง HaveIBeenPwned และ Bob Diachenko, Database hunter ได้ให้ความเห็นใกล้เคียงกันว่าข้อมูลผู้ใช้งานนั้นเป็นของจริง แต่ไม่พบหลักฐานที่พิสูจน์ได้ว่าได้มาจาก TikTok ซึ่งไม่สามารถสรุปที่มาของข้อมูลให้เป็นรูปธรรมได้

หากมีการวิเคราะห์เพิ่มเติม และพบว่าข้อมูลทั้งหมดนั้นถูกต้อง TikTok จะถูกบังคับให้ดำเนินการลดผลกระทบของการรั่วไหลของข้อมูล ถึงแม้ว่าเหตุการณ์ข้อมูลรั่วไหลจะไม่ได้เกิดจาก TikTok เองก็ตาม

ที่มา : bleepingcomputer

กลุ่มแฮ็กเกอร์ TA558 เพิ่มวิธีการโจมตีรูปแบบใหม่ในปีนี้ โดยการใช้แคมเปญฟิชชิ่งที่กำหนดเป้าหมายเป็นกลุ่มธุรกิจโรงแรม และบริษัทหลายแห่งในด้านการบริการ และการท่องเที่ยว

แฮ็กเกอร์ใช้ remote access trojans (RATs) ในการเข้าถึงระบบเป้าหมาย เพื่อขโมยข้อมูลสำคัญ และขโมยเงินจากเหยื่อ โดยกลุ่ม TA558 ถูกพบพฤติกรรมครั้งแรกตั้งแต่ปี 2018 แต่เมื่อเร็วๆ Proofpoint พบว่ากลุ่มดังกล่าวมีปริมาณการโจมตีที่สูงขึ้น ซึ่งอาจเชื่อมโยงกับการฟื้นตัวของการท่องเที่ยวหลังจาก COVID-19

แคมเปญของกลุ่ม TA558 ล่าสุด
ในปี 2022 กลุ่ม TA558 ได้เปลี่ยนจากการใช้มาโครในไฟล์เอกสารอีเมลฟิชชิ่ง มาเป็นใช้ไฟล์แนบในรูปแบบ RAR และ ISO หรือ URL ที่ฝังอยู่ในข้อความ

แฮ็กเกอร์รายอื่นๆ ก็มีการเปลี่ยนมาใช้รูปแบบดังกล่าวมากขึ้นเช่นเดียวกัน เนื่องจาก Microsoft มีการบล็อก block VBA และ XL4 macros ใน Office เป็นค่าเริ่มต้น

อีเมลฟิชชิ่งที่ถูกใช้ในการโจมตีจะมีข้อความเป็นภาษาอังกฤษ, สเปน และ โปรตุเกส โดยจะกำหนดเป้าหมายไปยังบริษัทในอเมริกาเหนือ, ยุโรปตะวันตก และละตินอเมริกา

หัวข้ออีเมลจะเกี่ยวกับการจองโรงแรม และบริการกับบริษัทท่องเที่ยว โดยอ้างว่ามาจากผู้จัดประชุม, ตัวแทนสำนักงานท่องเที่ยว และอื่นๆ ที่ผู้รับอาจให้ความสนใจ เมื่อเหยื่อคลิก URL ในเนื้อหาข้อความซึ่งระบุว่าเป็นลิงก์การจอง มันจะทำการดาวน์โหลดไฟล์ ISO มาจากเซิร์ฟเวอร์ภายนอก

ภายในไฟล์ ISO จะมีไฟล์แบตช์ที่จะเรียกใช้สคริปต์ PowerShell เพื่อโหลด RAT ลงมาติดตั้งบนคอมพิวเตอร์ของเหยื่อ และสร้าง scheduled task เพื่อให้มีนสามารถแฝงตัวอยู่บนระบบได้อย่างต่อเนื่อง

หลังจากติดตั้ง RAT แล้ว กลุ่ม TA558 จะเจาะเข้าไปในเครือข่ายของเหยื่อเพื่อขโมยข้อมูลลูกค้า, ข้อมูลบัตรเครดิต และเปลี่ยนแปลงเว็บไซต์ที่เกี่ยวข้องกับการชำระเงิน

ในเดือนกรกฎาคม พ.ศ. 2565 The Marino Boutique Hotel ในเมืองลิสบอน ประเทศโปรตุเกส ถูกแฮ็กบัญชี Booking.