กลุ่มผู้โจมตีได้ดำเนินการแพร่กระจายโปรแกรม KeePass เวอร์ชันที่ถูกฝังมัลแวร์ (Trojanized versions) มาแล้วอย่างน้อย 8 เดือน โดยมีเป้าหมายเพื่อติดตั้ง Cobalt Strike beacons, โจรกรรมข้อมูล Credentials และในท้ายที่สุดคือการติดตั้งแรนซัมแวร์ลงในระบบเครือข่ายที่เข้าถึงได้

ทีมข่าวกรองภัยภัยคุกคาม (Threat Intelligence) จาก WithSecure ได้ตรวจพบแคมเปญนี้ระหว่างการสืบสวนการโจมตีด้วยแรนซัมแวร์ โดยพบว่าการโจมตีเริ่มต้นจากโปรแกรมติดตั้ง KeePass ที่ถูกฝังมัลแวร์ผ่านการโฆษณาจาก Bing (Search Engine) ที่นำผู้ใช้งานไปยังเว็บไซต์ปลอม

เนื่องจาก KeePass เป็นซอฟท์แวร์แบบ Open-Source ผู้โจมตีจึงสามารถแก้ไข Source code และสร้างเวอร์ชันที่ฝังมัลแวร์เอาไว้ได้ ชื่อว่า KeeLoader ซึ่งมีฟังก์ชันการใช้งานตามรูปแบบปกติของโปรแกรมจัดการรหัสผ่าน แต่จะมี Cobalt Strike beacon ที่คอยดึงข้อมูลรหัสผ่านจากฐานข้อมูลในรูปแบบข้อความ (Cleartext) ก่อนจะส่งผ่านออกมาทาง Beacon

WithSecure ระบุว่า Cobalt Strike beacon ที่ถูกใช้ในแคมเปญนี้มีลักษณะรูปแบบการโจมตีเฉพาะ (Watermark) ที่เชื่อมโยงกับกลุ่ม Initial Access Broker (IAB) ที่เชื่อกันว่ามีความเกี่ยวข้องกับการโจมตีของกลุ่มแรนซัมแวร์ Black Basta ในอดีต

Cobalt Strike watermark คือรหัสเฉพาะที่ฝังอยู่ใน Beacon เพื่อตรวจสอบการสร้าง Payload

รายงานจาก WithSecure ระบุว่า "Watermark นี้จะถูกระบุในบริบทของ Beacons และ โดนเมนที่เกี่ยวข้องกับกลุ่มแรนซัมแวร์ Black Basta อยู่บ่อยครั้ง โดยมีความเป็นไปได้ว่าถูกใช้โดยกลุ่มผู้โจมตีในลักษณะ IAB ที่มีความร่วมมือใกล้ชิดกับกลุ่ม Black Basta"

"ถึงแม้ว่ายังไม่เคยพบเหตุการณ์ความเสียหาย (แรนซัมแวร์ หรืออื่น ๆ) ที่ใช้งาน Cobalt Strike beacon watermark นี้ ก็ไม่ได้หมายความว่าเหตุการณ์ดังกล่าวจะยังไม่เคยเกิดขึ้น"

นักวิจัยได้ค้นพบว่ามี KeeLoader หลายเวอร์ชันถูก signed ด้วย ceritficate ที่ถูกต้อง (Signed with Legitimate Certificates) และถูกเผยแพร่ผ่านโดเมนปลอมที่อาศัยช่องโหว่จากการพิมพ์ผิดบางตัวอักษร (Typo-Squatting) เช่น keeppaswrd[.]com, keegass[.]com และ KeePass[.]me

BleepingComputer ได้มีการยืนยันแล้วว่า เว็บไซต์ปลอม keeppaswrd[.]com ยังคงเปิดให้บริการดาวน์โหลดโปรแกรมติดตั้ง KeePass ที่ฝังมัลแวร์ไว้จนถึงปัจจุบัน อ้างอิง [VirusTotal]

โปรแกรม KeePass ปลอมนี้ ไม่ได้ถูกฝังเพียงมัลแวร์ Cobalt Strike beacons เท่านั้น แต่ยังติดตั้งโปรแกรมโจรกรรมรหัสผ่าน ซึ่งทำให้ผู้โจมตีสามารถโจรกรรมข้อมูล Credentials ที่ถูกกรอกเข้าสู่โปรแกรมได้อีกด้วย

จาก Report ของ WithSecure ยังระบุอีกว่า "KeeLoader ไม่ได้ถูกดัดแปลงให้ทำหน้าที่เป็นโปรแกรมตัวกลางสำหรับดาวน์โหลดมัลแวร์ (Malware Loader) เท่านั้น แต่ยังมีความสามารถในการโจรกรรม นำข้อมูลออกจากฐานของมูลของ KeePass ได้ด้วย"

"ซึ่งเมื่อผู้ใช้งานดำเนินการเข้าถึงฐานข้อมูลบน KeePass ข้อมูลชื่อบัญชี, ชื่อผู้ใช้งาน, รหัสผ่าน, เว็บไซต์ และข้อความที่บันทึกไว้ (Comment) จะถูกบันทึกออกมาเป็นไฟล์รูปแบบ CSV ซึ่งจะถูกเก็บไว้ชั่วคราวที่ %localappdata% นามสกุล .kp โดยมีตัวเลขที่สุ่มขึ้นในช่วงของ 100-999 กำกับไว้"

ในท้ายที่สุดแล้วนั้น จากการสืบสวนสอบสวนโดย WithSecure พบว่า แรนซัมแวร์สามารถเข้ารหัสเซิร์ฟเวอร์ VMware ESXi ของบริษัทได้

และจากข้อมูลการสืบสวนสอบสวนเพิ่มเติมในแคมเปญ ยังพบว่ามีการสร้างโครงสร้างพื้นฐานขนาดใหญ่ (Extensive Infrastructure) เพื่อใช้ในการปลอมแปลง และแพร่กระจายโปรแกรมที่ฝังมัลแวร์เหล่านี้ ผ่านเครื่องมือต่าง ๆ รวมทั้งหน้าเว็บไซต์ฟิชชิ่ง (Phishing) ที่ออกแบบมาเพื่อโจรกรรมข้อมูล Credentials อีกด้วย

ซึ่งหนึ่งในโดเมนที่ถูกใช้งานคือ anys[.]com ที่ถูกใช้เป็นโฮสต์สำหรับโดเมนย่อย (Subdomains) ในการปลอมเป็นเว็บไซต์ของบริษัทหรือบริการที่น่าเชื่อถือต่าง ๆ เช่น WinSCP, PumpFun, Phantom Wallet, Sallie Mae, Woodforest Bank และ DEX Screener

โดยแต่ละโดเมนย่อยนั้นจะถูกใช้เพื่อแพร่กระจายมัลแวร์หลากหลายชนิด หรือเพื่อโจรกรรมข้อมูล Credentials จากเหยื่อ

WithSecure ได้ระบุว่า กิจกรรมนี้มีความเชื่อมโยงกับกลุ่มผู้โจมตี UNC4696 ซึ่งเคยถูกระบุว่ามีส่วนเกี่ยวข้องกับการโจมตีผ่านหลายแคมเปญ Nitrogen Loader มาก่อน และแคมเปญของ Nitrogen ก็ยังมีความเชื่อมโยงกับกลุ่มแรนซัมแวร์ BlackCat/ALPHV อีกด้วย

คำแนะนำ

ดาวน์โหลดซอฟต์แวร์จากเว็บไซต์ที่เป็นทางการ หรือแหล่งที่น่าเชื่อถือเท่านั้น โดยเฉพาะอย่างยิ่งซอฟต์แวร์ที่เกี่ยวข้องกับข้อมูลที่มีความสำคัญ เช่น Password Manager
หลีกเลี่ยงการคลิกลิงก์จากโฆษณา ถึงแม้ว่าโฆษณาดูเหมือนจะแสดง URL ที่ถูกต้องก็ตาม เนื่องจากผู้โจมตีสามารถหลบเลี่ยงนโยบายของแพลตฟอร์มโฆษณา และเปลี่ยนปลายทาง (Redirect) ไปยังเว็บไซต์ปลอมได้

 

ที่มา: bleepingcomputer.

KeePass ได้ออกแพตซ์อัปเดต v2.54 เพื่อแก้ไขช่องโหว่ CVE-2023-32784 ที่ทำให้ผู้โจมตีสามารถขโมย master password ในรูปแบบ cleartext ออกจากหน่วยความจำของแอปพลิเคชันได้ (more…)

ในช่วงเดือนมกราคม 2565 มีการค้นพบช่องโหว่ใหม่ของ KeePass ซึ่งเป็นตัวจัดการรหัสผ่านแบบ Open-Source ที่ใช้กันอย่างแพร่หลาย ช่องโหว่นี้มีหมายเลข CVE-2023-24055 โดยทำให้ผู้โจมตีสามารถเข้าถึงระบบของเป้าหมาย เพื่อแก้ไขไฟล์ KeePass XML configuration ได้ นอกจากนี้ยังสามารถ inject โค้ดที่เป็นอันตรายเพื่อทำให้สามารถ Export Database รวมถึง Username และ Password ทั้งหมดในรูปแบบของ plain text ได้อีกด้วย (more…)

RomCom RAT ยังคงพัฒนาแคมเปญการโจมตีอย่างต่อเนื่องด้วยซอฟต์แวร์ปลอม เช่น SolarWinds Network Performance Monitor, KeePass password manager และ PDF Reader Pro

เป้าหมายของแฮ็กเกอร์คือหน่วยงานในประเทศยูเครน และประเทศที่ใช้ภาษาอังกฤษเป็นหลักอย่างเช่น สหราชอาณาจักร

การค้นพบล่าสุดเกิดขึ้นหนึ่งสัปดาห์หลังจากที่บริษัทรักษาความปลอดภัยทางไซเบอร์ของแคนาดาเปิดเผยแคมเปญ spear-phishing ที่มุ่งเป้าไปที่หน่วยงานในประเทศยูเครนเพื่อแพร่กระจายโทรจันที่ชื่อว่า RomCom RAT นอกจากนี้ยังการใช้ซอฟต์แวร์ปลอมของ Advanced IP Scanner และ pdfFiller เพื่อแพร่กระจายโทรจันด้วยเช่นเดียวกัน

โดยแคมเปญดังกล่าวมีการตั้งชื่อเว็ปไซต์ที่มีชื่อโดเมนคล้ายกันกับซอฟต์แวร์จริง แต่ไฟล์ติดตั้งจะเป็นซอฟแวร์ที่มีมัลแวร์ฝังอยู่ ซึ่งจะถูกส่งไปพร้อมกับอีเมลฟิชชิ่งไปยังเป้าหมาย

แม้ว่าจะดาวน์โหลดรุ่นทดลองใช้ฟรีจากเว็ปไซต์ของ SolarWinds ปลอม แต่ก็จะมีแบบฟอร์มสำหรับการลงทะเบียนขอใช้งานที่ถูกต้อง ซึ่งหากกรอกข้อมูลครบถ้วนก็อาจจะมีพนักงานของ SolarWinds จริง ๆ ติดต่อเหยื่อกลับไปเพื่อติดตามการทดลองใช้ผลิตภัณฑ์ ซึ่งเทคนิคนี้จะยิ่งทำให้เหยื่อหลงเชื่อว่าแอปพลิเคชันที่เพิ่งดาวน์โหลด และติดตั้งนี้เป็นเวอร์ชันจริง

การใช้ RomCom RAT ยังเชื่อมโยงกับการโจมตีที่เกี่ยวข้องกับกลุ่ม Cuba ransomware และ Industrial Spy ตามรายงานจาก Palo Alto Networks Unit 42 ซึ่งกำลังติดตามการปฏิบัติการของกลุ่ม ransomware ภายใต้ชื่อกลุ่ม Tropical Scorpuis

Palo Alto Networks Unit 42 ระบุว่าตัวอย่างของ RomCom RAT ที่เป็นตัวติดตั้งสำหรับซอฟต์แวร์ Veeam Backup & Replication ที่โฮสต์อยู่บนโดเมนที่เป็นอันตรายชื่อ "wveeam[.]com" เช่นเดียวกับในกรณีของ SolarWinds หลังจากการดาวน์โหลดไฟล์ติดตั้ง ผู้ใช้งานจะถูกเปลี่ยนเส้นทางไปยังแบบฟอร์มที่ให้เหยื่อป้อนรายละเอียดข้อมูลสำหรับการลงทะเบียน และขนาดของไฟล์ติดตั้งที่ใหญ่ถึงกว่า 10GB ทำให้สามารถหลบเลี่ยงการตรวจสอบจากอุปกรณ์ด้านความปลอดภัยบางอย่างได้โดยอัตโนมัติ

 

ที่มา : thehackernews

KeePass ได้แนะนำให้ผู้ใช้งาน Update โปรแกรมให้เป็น KeePass 2.37 ที่มีความเสถียร และเพิ่มเติมคุณลักษณะใหม่ ๆ โดยมีสิ่งที่เพิ่มเติม และปรับปรุงให้ดีขึ้น เช่น

- เมื่อสร้าง Database ใหม่แล้ว KeePass จะทำการสร้าง Emergency Sheet ขึ้นมาให้ และทำการเก็บไว้ในตำแหน่งที่ปลอดภัย และจำกัดให้บาง User สามารถเข้าถึงได้เท่านั้น รวมทั้งจะมี Dialog สำหรับแจ้งข้อมูลของ Database เพิ่มเติมขึ้นมาให้
- เพิ่มฟังก์ชันเพื่อค้นหากลุ่มของรหัสผ่านที่คล้ายกัน
- ปรับปรุงสคริปต์ PrepMonoDev.

การตรวจสอบโค้ดเพื่อหาช่องโหว่ความปลอดภัยเป็นระยะเพื่อป้องกันแฮกเกอร์พบช่องโหว่เหล่านี้ก่อนเป็นแนวทางที่เอกชนเริ่มให้ความใส่ใจมากขึ้นในช่วงหลัง เช่น Core Infrastructure Initiative หรือ Secure Open Source ตอนนี้ภาครัฐอย่างสหภาพยุโรปก็เริ่มเข้ามามีบทบาทโดยจัดสรรงบประมาณมาตรวจสอบโค้ดโครงการโอเพนซอร์ส

ทางสหภาพยุโรปได้ทำแบบสำรวจเป็นเวลาประมาณสามสัปดาห์เพื่อหาว่าซอฟต์แวร์ใดควรได้รับการตรวจสอบโค้ด ได้รับคำตอบกว่า 3,200 ชุด สองอันดับแรก คือ KeePass (23.1%) และ Apache HTTP Server (18.7%) ได้รับเลือกให้เข้าโครงการ อันดับถัดๆ ไปที่ไม่ได้รับเลือก เช่น VLC (8.8%), MySQL (4.3%), 7-zip (4.2%), Git (4.1%)

กระบวนการตรวจสอบโค้ดจะเริ่มในอีกไม่กี่สัปดาห์ข้างหน้า ถ้าไม่มีอะไรผิดพลาดเราน่าจะได้อ่านรายงานกันฟรีๆ อีกครั้ง

ที่มา: blognone, joinup

Denis Andzakovic นักวิจัยด้านความปลอดภัยจากบริษัท Security-Assessment ได้ปล่อยเครื่องมือ KeeFarce ที่พัฒนาด้วยภาษา C# ใช้สำหรับดึงข้อมูลต่างๆ ออกจากโปรแกรมเก็บรหัสผ่าน KeePass

โปรแกรม KeeFarce สามารถดึงข้อมูลรหัสผ่านออกจากหน่วยความจำหรือ Memory ออกมาเป็น cleartext ได้โดยข้อมูลนั้นประกอบไปด้วย username, password, note รวมไปถึง URL ที่เก็บไว้ในโปรแกรม KeePass ออกมาใส่ในไฟล์ CSV ได้โดยจะเก็บไว้ในโฟลเดอร์ %AppData%

ซึ่งโปรแกรม KeeFarce ใช้เทคนิคที่เรียกว่า DLL Injection สั่งรันโค้ดเข้าไปในโปรเซสของ KeePass ที่กำลังทำงานอยู่, อย่างไรก็ตาม Denis Andzakovic ได้ทดสอบ KeeFarce กับ KeePass เวอร์ชั่น 2.28, 2.29 และ 2.30 ที่ทำงานอยู่บน Windows 8.1 แบบ 32bit และ 64bit

ที่มา : blackmoreops