จากการติดมัลแวร์สู่การเข้าถึงระบบ : ไทม์ไลน์ 24 ชั่วโมงของแคมเปญ Stealer ในปัจจุบัน

ปัจจุบันมัลแวร์ Stealer ไม่เพียงขโมยรหัสผ่านอีกต่อไป ปัจจุบันมัลแวร์สามารถขโมยเซสชันที่กำลังใช้งานอยู่ และผู้โจมตีสามารถดำเนินการได้อย่างรวดเร็ว และมีประสิทธิภาพมากขึ้น

การวิจัยล่าสุดของ Flare ที่ชื่อว่า The Account and Session Takeover Economy ได้วิเคราะห์ Log จากมัลแวร์ Stealer กว่า 20 ล้านรายการ และติดตามพฤติกรรมของผู้ไม่หวังดีผ่าน channels Telegram และบน Dark Web ผลการวิเคราะห์เปิดเผยว่าผู้ไม่หวังดีใช้เครื่องของพนักงานที่ติดมัลแวร์เป็นช่องทางเข้ายึดเซสชันขององค์กรได้ภายในไม่ถึง 24 ชั่วโมงหลังการติดมัลแวร์

(more…)

เว็บไซต์แอป Zenmap และ WinMTR ปลอมที่แฝงมัลแวร์ Bumblebee มุ่งเป้าการโจมตีไปยังพนักงานฝ่าย IT

พบแคมเปญการโจมตีแบบ SEO poisoning ของมัลแวร์ Bumblebee ที่ปลอมแปลงเป็น open-source ยอดนิยม แล้วทำการโฆษณาแบบ SEO เพื่อหลอกให้พนักงานฝ่ายไอทีโหลดไปใช้

BleepingComputer พบว่าแคมเปญการโจมตีดังกล่าวมี open-source ยอดนิยมที่ถูกใช้ในการโจมตีได้แก่ Zenmap ซึ่งเป็นเครื่องมือ Nmap network scanning แบบ GUI และ WinMTR เครื่องมือ tracerout utility (more…)

มัลแวร์ Horabot มุ่งเป้าโจมตี 6 ประเทศในละตินอเมริกา โดยใช้การโจมตีแบบอีเมลฟิชชิ่งในรูปแบบของใบแจ้งหนี้

นักวิจัยด้านความปลอดภัยทางไซเบอร์ พบแคมเปญฟิชชิงรูปแบบใหม่ที่ใช้ในการแพร่กระจายมัลแวร์ที่ชื่อว่า Horabot โดยมีเป้าหมายโจมตีผู้ใช้ระบบปฏิบัติการ Windows ในประเทศแถบละตินอเมริกา เช่น เม็กซิโก, กัวเตมาลา, โคลอมเบีย, เปรู, ชิลี และอาร์เจนตินา

Cara Lin นักวิจัยจาก Fortinet FortiGuard Labs ระบุว่า แคมเปญนี้ "ใช้การสร้างอีเมลปลอมที่แอบอ้างว่าเป็นใบแจ้งหนี้ หรือเอกสารทางการเงิน เพื่อหลอกล่อให้เหยื่อเปิดไฟล์แนบที่เป็นอันตราย ซึ่งสามารถขโมยข้อมูล credentials ของอีเมล, รายชื่อผู้ติดต่อ และติดตั้ง banking trojans ได้"

(more…)

มัลแวร์ SuperCard X บน Android ใช้บัตรที่ถูกขโมยในการโจมตีแบบ NFC Relay

พบแพลตฟอร์ม malware-as-a-service (MaaS) ใหม่ที่ชื่อว่า 'SuperCard X' โดยมีเป้าหมายโจมตีอุปกรณ์ Android ผ่านการโจมตีแบบ NFC Relay ซึ่งช่วยให้สามารถทำธุรกรรมที่ point-of-sale และตู้ ATM โดยใช้ข้อมูลบัตรที่ถูกขโมยมา

SuperCard X เชื่อมโยงกับกลุ่มแฮ็กเกอร์ที่ใช้ภาษาจีน และมีลักษณะโค้ดที่คล้ายคลึงกับโปรเจกต์โอเพ่นซอร์ส NFCGate รวมถึงเวอร์ชันที่พัฒนาจากโปรเจกต์ดังกล่าวอย่าง NGate ซึ่งมีส่วนในการโจมตีในยุโรปตั้งแต่ปีที่แล้ว

แพลตฟอร์ม malware-as-a-service นี้ถูกโปรโมตผ่านช่องทาง Telegram ซึ่งยังมีการเสนอการสนับสนุนโดยตรงแก่ลูกค้า

SuperCard X ถูกพบโดยบริษัทด้านความปลอดภัยบนมือถือ Cleafy ซึ่งรายงานว่าได้พบการโจมตีที่ใช้มัลแวร์ Android นี้ในอิตาลี การโจมตีเหล่านี้ประกอบด้วยตัวอย่างมัลแวร์หลายตัวที่มีความแตกต่างกันเล็กน้อย ซึ่งแสดงให้เห็นว่าผู้ร่วมงานสามารถเลือกสร้างเวอร์ชันที่ปรับแต่งตามความต้องการเฉพาะของภูมิภาค หรือความต้องการอื่น ๆ ได้

การโจมตีของ SuperCard X ดำเนินไปอย่างไร

การโจมตีเริ่มต้นจากเหยื่อได้รับข้อความ SMS หรือ WhatsApp ปลอม ที่แอบอ้างว่าเป็นธนาคารของตน โดยอ้างว่ามีธุรกรรมที่น่าสงสัยเกิดขึ้น และขอให้เหยื่อติดต่อกลับผ่านหมายเลขโทรศัพท์เพื่อแก้ไขปัญหา

เมื่อเหยื่อติดต่อไปตามหมายเลขดังกล่าว จะมีมิจฉาชีพรับสายโดยแสร้งทำตัวเป็นเจ้าหน้าที่ฝ่ายสนับสนุนของธนาคาร จากนั้นจะใช้วิธีการ social engineering เพื่อหลอกให้เหยื่อยืนยันหมายเลขบัตร และรหัส PIN หลังจากนั้นจะพยายามโน้มน้าวให้ผู้ใช้ยกเลิกการจำกัดวงเงินใช้จ่ายผ่านแอปธนาคารของตน

ในขั้นตอนสุดท้าย ผู้ไม่หวังดีจะหลอกให้เหยื่อติดตั้งแอปอันตรายที่ชื่อว่า "Reader" ซึ่งถูกปลอมแปลงให้ดูเหมือนเป็นเครื่องมือด้านความปลอดภัย หรือการยืนยันตัวตน โดยภายในแอปนั้นแฝงมัลแวร์ SuperCard X เอาไว้

เมื่อผู้ใช้ติดตั้งแอป Reader แอปจะร้องขอสิทธิ์การเข้าถึงเพียงเล็กน้อย โดยส่วนใหญ่จะขอสิทธิ์ในการเข้าถึงโมดูล NFC ซึ่งเพียงพอสำหรับการขโมยข้อมูล

มิจฉาชีพจะสั่งให้เหยื่อนำบัตรชำระเงินมาแตะกับโทรศัพท์ของตนเองเพื่อยืนยันบัตร ซึ่งทำให้มัลแวร์สามารถอ่านข้อมูลจากชิปบนบัตร และส่งข้อมูลนั้นไปยังผู้โจมตี

จากนั้นผู้โจมตีจะรับข้อมูลดังกล่าวไว้ในอุปกรณ์ Android ของตน โดยใช้งานแอปอีกตัวที่ชื่อว่า Tapper ซึ่งทำหน้าที่จำลองการทำงานของบัตรเหยื่อด้วยข้อมูลที่ถูกขโมยมา

บัตรที่ถูกจำลองโดยผู้โจมตีสามารถใช้ชำระเงินแบบ contactless ตามร้านค้า หรือถอนเงินจากตู้ ATM ได้ แม้จะมีข้อจำกัดด้านวงเงิน โดยธุรกรรมเหล่านี้มักมีมูลค่าไม่สูง และดำเนินการได้ทันที ทำให้ดูเหมือนเป็นธุรกรรมปกติ จึงยากต่อการตรวจจับ และยกเลิกโดยธนาคาร

มัลแวร์หลบเลี่ยงการตรวจจับได้

Cleafy ระบุว่า ปัจจุบัน SuperCard X ยังไม่ถูกตรวจพบโดยเครื่องมือป้องกันไวรัสใด ๆ บน VirusTotal และการที่แอปไม่มีการขอสิทธิ์ที่เสี่ยง หรือฟีเจอร์ที่เป็นการโจมตีที่ชัดเจน เช่น การทับซ้อนหน้าจอ (screen overlaying) ทำให้มันสามารถหลบเลี่ยงการตรวจจับจากการสแกนพฤติกรรม (heuristic scans) ได้อย่างมีประสิทธิภาพ

การจำลองบัตรนั้นใช้เทคโนโลยี ATR-based (Answer to Reset) ซึ่งทำให้บัตรดูเหมือนจริง และสามารถทำงานร่วมกับเครื่องชำระเงินได้ นอกจากนี้ยังสะท้อนให้เห็นถึงความชำนาญทางเทคนิค และความเข้าใจในโปรโตคอลของสมาร์ตการ์ดอีกด้วย

อีกหนึ่งแง่มุมทางเทคนิคที่สำคัญคือการใช้ mutual TLS (mTLS) สำหรับการยืนยันตัวตนระหว่างไคลเอนต์ และเซิร์ฟเวอร์ที่ใช้ certificate-based ซึ่งช่วยป้องกันการเชื่อมต่อกับ C2 จากการ interception และการวิเคราะห์จากนักวิจัย หรือเจ้าหน้าที่ทางกฎหมาย

BleepingComputer ได้ติดต่อไปยัง Google เพื่อขอความคิดเห็นเกี่ยวกับกิจกรรมของ SuperCard X และโฆษกของ Google ได้ระบุคำแถลงการณ์ดังนี้:

“จากการตรวจสอบปัจจุบันของเรา ยังไม่พบแอปพลิเคชันที่มีมัลแวร์นี้อยู่บน Google Play ผู้ใช้ Android จะได้รับการปกป้องโดยอัตโนมัติจาก Google Play Protect ซึ่งเปิดใช้งานโดยค่าเริ่มต้นบนอุปกรณ์ Android ที่มี Google Play Services โดย Google Play Protect สามารถเตือนผู้ใช้หรือบล็อกแอปที่มีพฤติกรรมเป็นอันตราย แม้ว่าแอปเหล่านั้นจะมาจากแหล่งภายนอก Google Play ก็ตาม”

ที่มา : bleepingcomputer

ผู้ไม่หวังดีใช้ช่องโหว่ใน SimpleHelp RMM เพื่อแพร่กระจายมัลแวร์ Sliver

ผู้ไม่หวังดีกำลังโจมตี SimpleHelp RMM เวอร์ชันที่มีช่องโหว่เพื่อสร้างบัญชีผู้ดูแลระบบ, วาง backdoor และอาจเตรียมการสำหรับการโจมตีด้วยแรนซัมแวร์ (more…)

แฮ็กเกอร์แฝงตัวเพื่อขโมยข้อมูลผ่านทางความคิดเห็นบน YouTube และผลการค้นหาของ Google

แฮ็กเกอร์กำลังมุ่งเป้าไปยังผู้ที่สนใจดาวน์โหลดซอฟต์แวร์เถื่อน และไฟล์แคร็ก โดยใช้ YouTube และผลการค้นหาบน Google (more…)

แฮ็กเกอร์ใช้ประโยชน์จากเกม Godot ที่กำลังเป็นที่นิยม เพื่อแพร่กระจายมัลแวร์ไปยัง PCs นับพันเครื่อง

แฮ็กเกอร์ใช้มัลแวร์ GodLoader ตัวใหม่ ที่ใช้ประโยชน์จากความสามารถของเกม Godot ที่ได้รับความนิยมอย่างแพร่หลายเพื่อหลีกเลี่ยงการตรวจจับ และแพร่กระจายไปมากกว่า 17,000 ระบบในเวลาเพียง 3 เดือน

(more…)

แฮ็กเกอร์ใช้ anti-rootkit driver ของ Avast เพื่อปิดการใช้งานระบบป้องกัน

แคมเปญการโจมตีแบบใหม่กำลังใช้ประโยชน์จาก Anti-Rootkit driver ของ Avast ซึ่งมีช่องโหว่ และค่อนข้างล้าสมัย เพื่อหลบเลี่ยงการตรวจจับ และเข้าควบคุมระบบเป้าหมายโดยปิดการทำงานของผลิตภัณฑ์ด้านความปลอดภัยบนระบบ

มัลแวร์นี้เป็นมัลแวร์ประเภท AV Killer ที่ไม่ได้อยู่ในกลุ่มมัลแวร์ใดโดยเฉพาะ โดยมันจะมาพร้อมกับ hardcoded list ที่มีรายการ security processes 142 รายการจากผู้พัฒนาหลายราย

เนื่องจาก driver สามารถทำงานในระดับ kernel ได้ มันจึงสามารถเข้าถึงส่วนสำคัญของระบบปฏิบัติการ และอนุญาตให้มัลแวร์ทำการ terminate processes ได้

นักวิจัยจากบริษัทด้านความปลอดภัยทางไซเบอร์อย่าง Trellix ได้ค้นพบการโจมตีรูปแบบใหม่ที่ใช้ bring-your-own-vulnerable-driver (BYOVD) ร่วมกับ anti-rootkit driver รุ่นเก่า ในการปิดการทำงานของผลิตภัณฑ์ด้านความปลอดภัยในระบบเป้าหมาย

นักวิจัยอธิบายว่ามัลแวร์ตัวหนึ่งที่มีไฟล์ชื่อ kill-floor.

เจ้าหน้าที่ตำรวจหยุดยั้งปฏิบัติการมัลแวร์เรดไลน์ และเมต้าอินโฟสตีลเลอร์

ตำรวจแห่งชาติของเนเธอร์แลนด์ได้ยึดโครงสร้างพื้นฐานเครือข่ายสำหรับปฏิบัติการของมัลแวร์เรดไลน์ และเมต้าอินโฟสตีลเลอร์ ในชื่อ"ปฏิบัติการแม็กนัส" โดยเตือนอาชญากรไซเบอร์ว่าขณะนี้ข้อมูลของพวกเขาอยู่ในมือของเจ้าหน้าที่แล้ว (more…)

มัลแวร์ Bumblebee กลับมาอีกครั้งหลังจากถูกขัดขวางจากการบังคับใช้กฎหมายเมื่อไม่นานมานี้

มีการตรวจพบมัลแวร์ Bumblebee ในการโจมตีเมื่อไม่นานมานี้ หลังจากผ่านไปกว่าสี่เดือนที่ Europol ได้มีการขัดขวางการทำงานในปฏิบัติการ Operation Endgame เมื่อเดือนพฤษภาคม (more…)