นักวิจัยเชื่อมโยงการโจมตี CryptoCore ในการแลกเปลี่ยน Cryptocurrency กับ เกาหลีเหนือ

มีการเปิดเผยหลักฐานใหม่ ที่เกี่ยวข้องกับการโจมตีการแลกเปลี่ยนสกุลเงินดิจิทัลในช่วง 3 ปีที่ผ่านมา โดยคาดกันว่าแฮกเกอร์ได้รับการสนับสนุนจากประเทศเกาหลีเหนือ ซึ่งการโจมตีดังกล่าวมีความเป็นไปได้ที่จะเกี่ยวข้องกับกลุ่ม Lazarus (aka APT38 or Hidden Cobra)

นักวิจัยด้านความปลอดภัยทางไซเบอร์ของอิสราเอล ClearSky กล่าวว่าแคมเปญนี้มีชื่อว่า "CryptoCore" ซึ่งกำหนดเป้าหมายการโจมตีเป็นการแลกเปลี่ยนคริปโตในอิสราเอล, ญี่ปุ่น, ยุโรปและสหรัฐอเมริกา ส่งผลให้มีการขโมยสกุลเงิน มูลค่าหลายล้านดอลลาร์ การค้นพบนี้เป็นผลมาจากการปะติดปะต่อจากรายงานที่คล้ายคลึงกันซึ่งมีรายละเอียดจากทาง F-Secure, CERT JPCERT / CC และ NTT Security ในช่วงไม่กี่เดือนที่ผ่านมา

นับตั้งแต่ปี 2552 กลุ่ม Hidden Cobra ได้ดำเนินการจารกรรมสกุลเงินดิจิทัล โดยมีการกำหนดเป้าหมายให้สอดคล้องกับผลประโยชน์ทางเศรษฐกิจและภูมิรัฐศาสตร์ของเกาหลีเหนือ ซึ่งส่วนใหญ่เน้นไปทางการเงินเพื่อหลีกเลี่ยงการคว่ำบาตรระหว่างประเทศ ซึ่งไม่กี่ปีที่ผ่านมาได้ขยายการโจมตีเพิ่มเติมไปที่อุตสาหกรรมการป้องกันและการบินและอวกาศ

CyptoCore หรือ CryptoMimic, Dangerous Password, CageyChameleon, และ Leery Turtle, ไม่ได้มีความแตกต่างกันมาก โดยกลุ่ม Lazarus ซึ่งมุ่งเน้นไปที่การขโมยสกุลเงินดิจิทัลเป็นหลักเช่นกัน ในปี 2018 มีการใช้ประโยชน์จาก spear-phishing เพื่อเป็นการขโมยรหัสผ่านและบัญชีของเหยื่อเพื่อทำการโอนเงินไปยังบัญชีของผู้โจมตี

ปัจจุบันกลุ่ม Lazarus มีการขโมยเงินไปแล้วประมาณ 200 ล้านดอลลาร์ตามรายงานของ ClearSky ที่เผยแพร่ในเดือนมิถุนายน 2020 ซึ่งเชื่อมโยง CryptoCore กับเหยื่อ 5 รายที่อยู่ในสหรัฐอเมริกา ญี่ปุ่น เมื่อรวมกับงานวิจัยล่าสุดแสดงให้เห็นว่าการดำเนินการดังกล่าวส่งผลกระทบเป็นวงกว้างมากกว่าที่บันทึกไว้ก่อนหน้านี้ รวมถึงมีการพัฒนาการโจมตีหลายส่วนไปพร้อม ๆ กันอีกด้วยในปัจจุบัน

ที่มา : thehackernews

กลุ่มเเฮกเกอร์ Lazarus กำหนดเป้าหมายการโจมตีในบริษัท Cryptocurrency โดยทำการโจมตีผ่านข้อความ LinkedIn

กลุ่มเเฮกเกอร์ Lazarus กำหนดเป้าหมายการโจมตีในบริษัท Cryptocurrency โดยทำการโจมตีผ่านข้อความ LinkedIn

นักวิจัยด้านความปลอดภัยจาก F-Secure Labs ได้เปิดเผยถึงแคมเปญใหม่จากกลุ่มแฮกเกอร์เกาหลีเหนือ “Lazarus” หรือที่รู้จักในชื่อ HIDDEN COBRA ทำการใช้ LinkedIn ในทำแคมเปญการโจมตีด้วย Spear phishing โดยเป้าหมายของแคมเปญครั้งนี้คือกลุ่มบริษัทที่ทำธุรกรรมประเภท Cryptocurrency และสกุลเงินดิจิทัลที่อยู่ในประเทศสหรัฐอเมริกา, สหราชอาณาจักร, เยอรมนี, สิงคโปร์, เนเธอร์แลนด์, ญี่ปุ่นและประเทศอื่น ๆ

นักวิจัยด้านความปลอดภัยกล่าวว่าแคมเปญการโจมตีของกลุ่ม Lazarus นั้นได้พุ่งเป้าโจมตีบริษัท Cryptocurrency โดยการแนบ Microsoft Word ที่ฝังโค้ดมาโครไว้ จากนั้นส่งผ่านบริการ LinkedIn ไปยังเป้าหมาย เมื่อเป้าหมายเปิดเอกสาร ลิงค์ของ bit[.]ly ที่ฝังอยุ่จะทำงานและทำการดาวน์โหลดมัลแวร์และทำการติดต่อ C&C เพื่อใช้ในการควมคุมเหยื่อ ซึ่งเมื่อสามารถเข้าควบคุมเครื่องของเหยื่อได้แล้ว กลุ่มเเฮกเกอร์จะทำการปิด Credential Guard จากนั้นจะใช้ Mimikatz เพื่อรวบรวม Credential ของผู้ใช้และทำการใช้ข้อมูลดังกล่าวเพื่อเข้าสู่ระบบและหาประโยชน์ต่อไป

ทั้งนี้ผู้ใช้งานควรทำการตรวจสอบไฟล์ที่เเนบมากับลิงค์หรืออีเมลทุกครั้งที่ทำการเปิดเพื่อป้องกันการตกเป็นเหยื่อของผู้ประสงค์ร้าย ซึ่งอาจจะทำให้เกิดความเสียหายต่อระบบและอาจต้องสูญเสียทรัพย์สิน

ที่มา:

bleepingcomputer.

Lazarus hackers deploy ransomware, steal data using MATA malware

กลุ่มแฮกเกอร์ Lazarus ปล่อย Ransomware ขโมยข้อมูลโดยใช้ MATA Malware
เฟรมเวิร์กมัลแวร์ที่ถูกค้นพบเมื่อเร็ว ๆ นี้ที่รู้จักกันในชื่อ MATA เชื่อมโยงกับกลุ่มแฮกเกอร์จากเกาหลีเหนือที่รู้จักกันในชื่อ Lazarus โดยนำ MATA มาใช้ในการโจมตีเป้าหมายหลายๆองค์กรตั้งแต่เดือนเมษายน 2018

MATA คือโมดูลเฟรมเวิร์กที่ประกอบไปด้วยหลายๆอย่าง อย่างเช่น Loader, orchestrator และ Plugin อีกหลายๆตัว สามารถใช้แพร่กระจายมัลแวร์ได้ทั้ง Windows, Linux และ macOS

ระหว่างการโจมตี แฮกเกอร์สามารถใช้ MATA เพื่อทำการโหลดพวกปลั๊กอินเพื่อเรียกใช้ Command จากเครื่องที่ติดเชื้อผ่าน หน่วยความจำของระบบ, จัดการกับไฟล์และโปรเซสต่างๆ Inject DDLs ไฟล์ลงไป แล้วทำการสร้าง HTTP proxies ไว้เป็นช่องทางในการเข้าออกบนเครื่อง

MATA ยังช่วยให้แฮกเกอร์สามารถสแกนหาเป้าหมายใหม่บนเครื่อง macOS และ Linux (เราเตอร์ไฟร์วอลล์หรืออุปกรณ์ IoT) นอกจากนี้บนแพลตฟอร์ม macOS MATA ยังสามารถโหลดโมดูล plugin_socks ที่สามารถใช้เพื่อกำหนดค่า Proxy server ได้อีกด้วย และเมื่อ MATA ถูกแพร่ไปยังเครื่องเหยื่อสำเร็จ มันจะทำการค้นหาข้อมูลสำคัญๆ อย่างข้อมูลลูกค้า หรือข้อมูลทางธุรกิจแล้วขโมยออกมาได้ รวมถึงอาจมีการใช้เพื่อแพร่ Ransomware โดยสามารถอ่านรายงานโดยละเอียดและศึกษา IOC ได้จาก https://securelist.

Adobe เพิ่มระบบ 2FA ในผลิตภัณฑ์ Magento เพื่อป้องกันการโจมตี Card Skimming Attack

Adobe ได้ประกาศเพิ่มการรับรองการใช้ Two-factor authentication (2FA) ในผลิตภัณฑ์ Magento เพื่อตอบสนองต่อการโจมตีที่มีจำนวนมากขึ้น ซึ่งการใช้ 2FA จะช่วยป้องกันผู้โจมตีที่พยายามทำการเข้าสู่ระบบโดยไม่ได้รับอนุญาต

ทีม Security Operation ของ Adobe ได้เปิดเผยว่าการโจมตีกว่า 75% ในผลิตภัณฑ์ Magento นั้นเกิดขึ้นในลักษณะ Web Skimming (หรือที่รู้จักคือ Magecart หรือ e-skimming) โดยหลังจากการบุกรุกแล้ว ผู้โจมตีจะพยายามใช้สคริปต์ในการลักลอบบันทึกข้อมูลบัตรเครดิตและการทำธุรกรรมบนเว็บไซต์ซึ่งใช้ Magento เพื่อพยายามขโมยข้อมูลการใช้บัตรเครดิตของลูกค้าซึ่งเมื่อเร็วๆ นี้บริษัท Sansec ได้เปิดเผยถึงโจมตีรูปแบบนี้ผ่านกลุ่มแฮกเกอร์สัญชาติเกาหลีเหนือ Lazarus หรือ Hidden Cobra ที่ได้ทำการขโมยข้อมูลการชำระเงินของลูกค้าผ่านทางเว็บไซต์ Magento

ทีม Security Operation ของ Adobe ยังกล่าวอีกว่าการใช้งาน 2FA ก่อนเข้าสู่ระบบพอร์ทัลของผู้ดูแลระบบ Magento จะช่วยตรวจสอบความถูกต้องและลดการโจมตี ซึ่งจะช่วยป้องกันผู้ที่ทำการบุกรกไม่ให้เข้าถึงพอร์ทัลของผู้ดูแลระบบด้วยบัญชีที่ถูกบุกรุก สำหรับส่วนขยายการใช้งาน 2FA นั้นจะติดตั้งเป็น Core Bundled Extension (CBE) โดยอัตโนมัติเมื่อติดตั้งหรืออัพเกรดเป็น Magento Open Source หรือ Commerce 2.4.X

ทั้งนี้ผู้ดูแลระบบหรือผู้ดูแลเว็บไซต์ควรทำการอัพเกรดระบบเพื่อใช้งาน 2FA ในป้องกันผู้ประสงค์ร้ายเข้าถึงระบบของผู้ดูแลระบบ

ที่มา: bleepingcomputer

Lazarus Hackers มีเป้าหมายที่ Linux และ Windows ด้วยมัลแวร์ Dacls ตัวใหม่

กลุ่ม Lazarus มีมัลแวร์ตัวใหม่ Dacls โจมตีทั้ง Linux และ Windows
Qihoo 360 Netlab พบมัลแวร์ Remote Access Trojan (RAT) ตัวใหม่ชื่อ Dacls ทำงานทั้งบน Windows และ Linux ซึ่งมัลแวร์ตัวนี้มีความเชื่อมโยงกับกลุ่ม Lazarus ที่ถูกสนับสนุนโดยรัฐบาลเกาหลีเหนือ กลุ่มนี้เป็นรู้จักในการแฮก Sony Films ในปี 2014 และเป็นเบื้องหลังในการระบาด WannaCry ไปทั่วโลกในปี 2017 อีกด้วย
นี่เป็นครั้งแรกที่พบมัลแวร์ที่ทำงาน Linux จากกลุ่ม Lazarus โดย Qihoo 360 Netlab เชื่อมโยงความเกี่ยวข้องระหว่าง Dacls กับกลุ่ม Lazarus จากการใช้งาน thevagabondsatchel[.]com ซึ่งเคยมีประวัติว่าถูกใช้งานโดยกลุ่ม Lazarus ในอดีต
Dacls ใช้ TLS และ RC4 ในการเข้ารหัสสองชั้นเพื่อรักษาความปลอดภัยในการสื่อสารกับ command and control (C2) รวมถึงใช้ AES encryption ในการเข้ารหัสไฟล์ตั้งค่า
นักวิจัยพบ Dacls สำหรับ Windows และ Linux พร้อมทั้งโค้ดสำหรับโจมตีช่องโหว่ CVE-2019-3396 ใน Atlassian Confluence บนเซิร์ฟเวอร์ บ่งชี้ถึงความเป็นไปได้ว่ากลุ่ม Lazarus จะใช้ช่องโหว่ดังกล่าวติดตั้ง Dacls นักวิจัยจึงแนะนำให้ผู้ใช้ Confluence ทำการแพตช์ระบบให้เร็วที่สุดเท่าที่จะทำได้
สามารถอ่านรายงานวิเคราะห์ Dacls และดูข้อมูล IOC ได้จาก https://blog.

Latest Microsoft Update Patches New Windows 0-Day Under Active Attack

 

ไมโครซอฟท์อัปเดตแพตช์ใหม่แก้ช่องโหว่ Zero day ที่กำลังถูกโจมตี

ด้วยแพตช์ล่าสุดมีการอัปเดตในวันที่ 10 ธันวาคม 2019 ไมโครซอฟท์ได้เตือนผู้ใช้หลายพันล้านคนเกี่ยวกับช่องโหว่ใหม่ใน Windows ที่ผู้โจมตีใช้ประโยชน์จากการทำงานร่วมกันกับ Chrome exploit เพื่อควบคุมคอมพิวเตอร์จากระยะไกล

การอัปเดตด้านความปลอดภัยของ Microsoft ในเดือนธันวาคมนั้นมีการอัปเดตแพตช์เพื่อแก้ไขช่องโหว่ทั้งหมด 36 ช่องโหว่ มีช่องโหว่ที่มีความรุนแรงมากที่สุดอยู่ 7 ช่องโหว่ มีช่องโหว่ที่มีความรุนแรงสำคัญอยู่ 27 ช่องโหว่ มีช่องโหว่ที่มีความรุนแรงระดับปานกลางอยู่ 1 ช่องโหว่และมี 1 ช่องโหว่ที่มีความรุนแรงต่ำ

CVE-2019-1458 ซึ่งเป็นช่องโหว่ที่กำลังถูกโจมตี เป็นช่องโหว่ที่มีความรุนแรงสำคัญ เป็นช่องโหว่การเพิ่มระดับสิทธิการใช้งาน Win32k ซึ่ง Kaspersky พบว่ากำลังใช้โจมตีในการโจมตีที่ถูกตั้งชื่อว่า Operation WizardOpium ซึ่งผู้โจมตีใช้ช่องโหว่นี้ร่วมกับการหลีกเลี่ยงการตรวจจับจาก Chrome sandbox เพื่อยึดสิทธิ

แม้ว่า Google จะแก้ไขช่องโหว่ใน Chrome sandbox ที่ถูกใช้ร่วมกับ CVE-2019-1458 แล้ว แต่แฮกเกอร์มุ่งโจมตีเป้าหมายเป็นผู้ใช้งานเบราว์เซอร์เวอร์ชันที่มีช่องโหว่

ดังที่ The Hacker News รายงานเมื่อเดือนที่แล้ว Operation WizardOpium เกี่ยวข้องกับการโจมตีเว็บข่าวภาษาเกาหลี ที่ถูกบุกรุกแล้ววางโค้ดโจมตีเพื่อทำการแฮกคอมพิวเตอร์ของผู้ที่เข้าไปเยี่ยมชม โดยโค้ดโจมตีดังกล่าวจะโจมตี Chrome ตามด้วย CVE-2019-1458 ซึ่งโค้ดโจมตีนี้ทำงานบน Windows 7 และแม้แต่ใน Windows 10 บางรุ่น หากโจมตีสำเร็จ ผู้โจมตีสามารถเรียกใช้โค้ดอันตรายได้ใน kernel mode

ขณะนี้นักวิจัยไม่สามารถระบุว่า Operation WizardOpium คือผู้โจมตีหรือกลุ่มแฮกเกอร์ใด แต่พวกเขาพบความคล้ายคลึงกันบางอย่างคือโค้ดที่ใช้โจมตีคล้ายกับโค้ดของกลุ่มแฮกเกอร์เกาหลีเหนือ Lazarus

แนะนำผู้ใช้ Windows และผู้ดูแลระบบให้อัปเดตแพตช์ความปลอดภัยล่าสุดเพื่อป้องกันการโจมตี โดยสามารถอ่านรายละเอียดช่องโหว่ทั้งหมดที่อัปเดในแพตช์นี้ได้จาก https://msrc-blog.

Ryuk Ransomware Involved in Cyberattack Stopping Newspaper Distribution

มีรายงานถึงการโจมตีของ Ryuk ransomware ส่งผลกระทบต่อบริษัทที่ให้บริการพิมพ์และส่งหนังสือพิมพ์รายใหญ่ Tribune Publishing และ Los Angeles Times ในสหรัฐอเมริกา ซึ่งได้ให้บริการแก่ Wall Street Journal, New York Times, Los Angeles Times, Chicago Tribune, Baltimore Sun, Lake County News-Sun, Post-Tribune, Hartford Courant, Capital Gazette, และ Carroll County Times ส่งผลให้การส่งหนังสือพิมพ์ล่าช้าเมื่อวันเสาร์ที่ผ่านมา

Ryuk ransomware เป็นที่รู้จักในเดือน สิงหาคม 2018 สามารถเรียกค่าไถ่ได้มากกว่า $640,000 ลักษณะการทำงานของ Ryuk ransomware มีความคล้ายคลึงกับ ransomware ที่ถูกสร้างโดยกลุ่ม Lazarus ที่เชื่อว่ามีรัฐบาลเกาหลีเหนืออยู่เบื้องหลัง อย่างไรก็ตามยังเร็วไปที่จะยืนยันได้ว่า ransomware ดังกล่าวเกี่ยวข้องกับเกาหลีเหนือ โดยผู้ไม่หวังดีจะโจมตีเหยื่อโดยการทำ phishing หรืออาจจะผ่านทาง remote desktop

ทางสำนักพิมพ์ประกาศว่า จากการโจมตีดังกล่าวไม่พบว่ามีข้อมูลส่วนบุคคลของสมาชิกออนไลน์และลูกค้าโฆษณาได้รับผลกระทบจากการถูกโจมตีในครั้งนี้แต่อย่างใด

ที่มา: bleepingcomputer

North Korea-linked group Lazarus targets Latin American banks

อ้างอิงจากบริษัทวิจัยด้านความปลอดภัย Trend Micro กลุ่ม Lazarus ซึ่งเป็น APT ที่เชื่อมโยงกับเกาหลีเหนือได้เล็งเป้าหมายไปที่กลุ่มธนาคารในละตินอเมริกา

กิจกรรมของกลุ่ม Lazarus เพิ่มขึ้นในปี 2014 และ 2015 ส่วนใหญ่สมาชิกของกลุ่มจะใช้มัลแวร์ที่ปรับแต่งเองในการโจมตี โดยกลุ่มนี้มีกิจกรรมย้อนกลับไปตั้งแต่ปี 2009 หรืออาจเป็นช่วงต้นปี 2007 และมีส่วนเกี่ยวข้องกับแคมเปญการสอดแนมทางไซเบอร์และกิจกรรมก่อวินาศกรรมที่มุ่งทำลายข้อมูลและทำลายระบบ กลุ่มนี้ถูกระบุว่าเป็นผู้รับผิดชอบการโจมตี WannaCry ransomware, การโจมตี SWIFT ในปี 2016 และการแฮกบริษัท Sony Pictures

เมื่อไม่นานมานี้กลุ่ม Lazarus เกี่ยวข้องกับการโจมตีตู้ ATM ในเอเชียและแอฟริกา โดยใช้โทรจันชื่อ FastCash โดยใช้มาอย่างน้อยตั้งแต่ปี 2016

ตอนนี้ผู้เชี่ยวชาญจากบริษัท Trend Micro ได้ค้นพบ backdoor ที่น่าจะเป็นของกลุ่ม Lazarus ในเครื่อง ATM ของสถาบันการเงินทั่วละตินอเมริกา โดยถูกติดตั้งตั้งแต่ 19 กันยายนที่ผ่านมา

ไฟล์ Backdoor ประกอบด้วย 3 ส่วน คือ
1 AuditCred.

US-CERT แจ้งเตือนแคมเปญโจมตี FASTCash มุ่งโจมตี ATM จากกลุ่ม HIDDEN COBRA (Lazarus Group)

สรุปย่อ
วันที่ 2 ตุลาคม 2018 US-CERT ได้ออกประกาศแจ้งเตือนแคมเปญการโจมตีใหม่จากกลุ่ม HIDDEN COBRA หรือกลุ่ม Lazarus Group จากเกาหลีเหนือ แคมเปญดังกล่าวถูกตั้งชื่อว่า FASTCash เป็นการมุ่งโจมตีเพื่อทำการนำเงินออกจากเครื่อง ATM โดยหน่วยงานต่างๆ ของรัฐบาลสหรัฐฯ ได้แก่ กระทรวงความมั่นคงแห่งมาตุภูมิ กระทรวงการคลังสหรัฐฯ และสำนักงานสอบสวนกลาง (FBI) ได้ร่วมกันระบุมัลแวร์และ indicators of compromise (IOCs) ที่ถูกใช้ในแคมเปญ FASTCash ดังกล่าว และได้ระบุ IOCs ไว้ในประกาศแจ้งเตือน ซึ่ง FBI มีความมั่นใจอย่างมากว่ากลุ่ม HIDDEN COBRA กำลังใช้ IOCs เหล่านั้นเพื่อฝังตัวเข้าไปในระบบเน็ตเวิร์คของเหยื่อและโจมตีระบบเน็ตเวิร์คอยู่ในขณะนี้

รายละเอียด
กลุ่ม HIDDEN COBRA ที่เป็นที่รู้จักในชื่อ Lazarus Group และ Guardians of Peace เป็นกลุ่มที่เชื่อว่าได้รับการสนับสนุนจากรัฐบาลเกาหลีเหนือ กลุ่ม HIDDEN COBRA เป็นต้นเหตุของการปล่อย WannaCry ransomware ในปี 2017 และการโจมตีบริษัท Sony Pictures ในปี 2014

US-CERT กล่าวว่ากลุ่ม HIDDEN COBRA ได้ใช้แคมเปญ FASTCash ในการโจมตีธนาคารในทวีปแอฟริกาและเอเชียมาตั้งแต่ปี 2016 โดยในปี 2017 HIDDEN COBRA ได้โจมตีเพื่อถอนเงินจาก ATM กว่า 30 ประเทศ และในปี 2018 HIDDEN COBRA ได้โจมตีเพื่อถอนเงินจาก ATM แบบเดียวกันไปกว่า 23 ประเทศ จากการคาดการกลุ่ม HIDDEN COBRA ได้เงินไปแล้วกว่าสิบล้านดอลลาร์สหรัฐฯ และในเวลาที่ออกประกาศฉบับนี้ (2 ตุลาคม 2018) ทางการสหรัฐฯยังไม่พบการโจมตี FASTCash ในประเทศสหรัฐอเมริกา

FASTCash เป็นการโจมตีจากระยะไกลโดยมุ่งโจมตีเพื่อยึดครอง payment switch application server ภายในธนาคารเพื่อทำธุรกรรมปลอม ทางการสหรัฐประเมินว่า HIDDEN COBRA จะใช้ FASTCash โจมตีระบบการชำระเงินรายย่อย (Retail Payment Systems) ถัดไปจากการโจมตีธนาคาร

วิธีการโจมตีของ HIDDEN COBRA จะเริ่มจากการยึด switch application server และส่งคำสั่งที่เหมือนคำสั่งปกติทั่วไปเพื่อตอบกลับคำสั่งร้องขอต่างๆ ด้วยข้อความตอบรับปลอม ขณะนี้ยังไม่ทราบวิธีที่กลุ่ม HIDDEN COBRA ใช้แพร่มัลแวร์เพื่อยึดเครื่อง payment switch application server แต่เครื่องที่เคยถูกยึดทั้งหมดใช้ระบบปฏิบัติการ IBM Advanced Interactive eXecutive (AIX) รุ่นที่ยกเลิกการ support แล้ว แต่ทั้งนี้ยังไม่มีหลักฐานว่า HIDDEN COBRA ใช้การโจมตีผ่านช่องโหว่ในระบบปฏิบัติการ AIX กลุ่ม HIDDEN COBRA มีความรู้ด้าน ISO 8583 ซึ่งเป็นมาตราฐานการรับส่งธุรกรรมการเงิน โดยมีการใช้ความรู้รวมถึง library ที่เกี่ยวกับ ISO 8583 ในการโจมตี
รายละเอียดทางเทคนิค
จากการวิเคราะห์ log และระบบที่ถูกโจมตีพบว่ากลุ่ม HIDDEN COBRA มักจะใช้มัลแวร์ที่ทำงานบน Windows ในการโจมตี ขณะนี้ยังไม่ทราบชัดเจนว่ากลุ่ม HIDDEN COBRA แพร่มัลแวร์ดังกล่าวอย่างไร แต่นักวิเคราะห์คาดว่าน่าจะเป็นการใช้ spear-phishing อีเมลไปยังพนักงานของธนาคาร เมื่อพนักงานหลงเชื่อและติดมัลแวร์ กลุ่ม HIDDEN COBRA จะทำการค้นหา switch application server และยึดเครื่องดังกล่าว

นอกจากการใช้มัลแวร์แล้ว กลุ่ม HIDDEN COBRA ยังใช้ไฟล์ AIX executable ที่เป็นไฟล์ปกติทั่วไปในระบบในการส่งคำสั่งไปยัง switch application server ที่ถูกโจมตีอีกด้วย

หลังจากยึดเครื่อง switch application server สำเร็จแล้ว กลุ่่ม HIDDEN COBRA จะส่งคำสั่งที่เหมือนคำสั่งปกติทั่วไปผ่าน command-line เพื่อปลอมแปลงพฤติกรรม เมื่อ server พบคำสั่งร้องขอต่างๆ ที่มี primary account numbers (PANs) ของกลุ่ม HIDDEN COBRA แล้วจะเกิดคำสั่งตอบสนองพิเศษเฉพาะคำสั่งร้องขอที่มีเลข PAN นั้นๆ ซึ่งแสดงในรูปที่ 1 ทำให้สร้างคำสั่งธุรกรรมปลอมเพื่อเบิกเงินออกจากเครื่อง ATM ได้

ทั้งนี้ผู้ที่สนใจสามารถอ่านรายงานการวิเคราะห์ไฟล์มัลแวร์ที่กลุ่ม HIDDEN COBRA ใช้อย่างละเอียดได้จาก MAR-10201537 – HIDDEN COBRA FASTCash-Related Malware
ผลกระทบที่อาจเกิดขึ้น
การโจมตีระบบเน็ตเวิร์คสำเร็จจะทำให้เกิดผลกระทบร้ายแรงโดยเฉพาะเมื่อระบบที่ถูกโจมตีเผยแพร่ต่อสาธารณะ องค์กรอาจจะได้รับผลกระทบดังนี้

ถูกขโมยข้อมูลที่เป็นความลับ
การดำเนินการหยุดชะงัก
เสียงบประมาณในการฟื้นฟูความเสียหาย
สูญเสียชื่อเสียงขององค์กร

วิธีตรวจจับรับมือและคำแนะนำเพิ่มเติม

แนะนำให้ผู้ดูแลระบบตรวจสอบ bash history log ของผู้ใช้งานระบบที่มีสิทธิ root ทั้งหมด ซึ่งสามารถใช้บอกได้หากมีการใช้คำสั่งใดๆ บน switch application server ผู้ดูแลระบบควรเก็บ log และตรวจสอบคำสั่งทั้งหมด
ผู้ดูแลระบบเน็ตเวิร์คควรศึกษารายงาน MAR-10201537 และตรวจสอบ IOCs ที่เกี่ยวข้องกับแคมเปญ FASTCash ของกลุ่ม HIDDEN COBRA ในระบบเน็ตเวิร์ค
มีการตรวจสอบความถูกต้องของรหัสชิปและ PIN บนบัตรเดบิต
มีการตรวจสอบว่าบัตรเดบิตนั้นออกอย่างถูกต้องหรือไม่ก่อนทำธุรกรรม
มีการใช้ระบบการยืนยันตัวสองชั้นในการเข้าถึง switch application server
ป้องกันไม่ให้เครื่องที่มีการต่ออินเตอร์เน็ตภายนอกเข้าถึงระบบเน็ตเวิร์คภายในที่มี switch application server
ป้องกันไม่ให้เครื่องที่ไม่ได้รับอนุญาตเข้าถึงระบบ
ใช้ไฟร์วอล
ใช้ Access Control Lists (ACLs) เพื่อควบคุม traffic
เข้ารหัสข้อมูลเมื่อส่งข้อมูล
คอยตรวจสอบพฤติกรรมที่ไม่ปกติ มีการ audit ธุรกรรมและ log ของระบบ สร้าง baseline ของจำนวนธุรกรรม ความถี่ของธุรกรรม เวลาในการทำธุรกรรมและคอยตรวจสอบในกรณีที่มีความผิดจาก baseline

Indicator of Compromise

IP

75.99.63.27

SHA256
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References

https://www.

US-CERT warns of more North Korean malware

US-CERT ประกาศแจ้งเตือนล่าสุดเกี่ยวกับมัลแวร์ "Typeframe" ซึ่งเชื่อกันว่ามีส่วนเกี่ยวข้องกับกลุ่มแฮกเกอร์สัญชาติเกาหลีเหนือ HIDDEN COBRA หรือ Lazarus Group
ในประกาศของ US-CERT เกี่ยวกับมัลแวร์ Typeframe มีการเผยแพร่ตัวอย่างของมัลแวร์มาทั้งหมด 11 รายการ ซึ่งประกอบมัลแวร์ทั้งในรูปแบบ 32 บิตและ 64 บิต จากลักษณะเบื้องต้นของมัลแวร์นั้นทำให้สามารถสันนิษฐานว่าเป็นมัลแวร์ที่ช่วยให้ผู้โจมตีสามารถควบคุมเป้าหมายได้จากระยะไกลได้ พร้อมฟังก์ชัน backdoor

Recommendation
ผู้ดูแลระบบควรดำเนินการตรวจสอบทราฟิกรวมไปถึงบล็อคทราฟิกที่มีปลายทางไปยังหมายเลขไอพีแอดเดรสซึ่งเป็นเซิร์ฟเวอร์สำหรับออกคำสั่งและควบคุม ทั้งนี้แนะนำให้ผู้ดูแลระบบตรวจสอบประกาศของ US-CERT และดำเนินการเพิ่มเติมตามขั้นตอนที่มีระบุไว้ในประกาศด้วย
รายการเซิร์ฟเวอร์ที่ใช้ออกคำสั่งและควบคุม:
- 111.207.78[.]204
- 181.119.19[.]56
- 184.107.209[.]2
- 59.90.93[.]97
- 80.91.118[.]45
- 81.0.213[.]173
- 98.101.211[.]162
ที่มา: theregister