Trezor แจ้งเตือนแคมเปญฟิชชิ่งที่ปลอมเป็นการแจ้งเตือนการละเมิดข้อมูลของ Trezor โดยมีเป้าหมายเพื่อขโมยกระเป๋าเงินดิจิทัล และทรัพย์สินของเป้าหมาย

โดย Trezor เป็นฮาร์ดแวร์วอลเล็ต (Hardware Wallet) ที่ผู้ใช้งานสามารถจัดเก็บเงินดิจิทัลแบบออฟไลน์ได้ แทนที่จะเก็บในกระเป๋าเงินบนคลาวด์ หรือกระเป๋าเงินที่จัดเก็บไว้ในอุปกรณ์ของตน การใช้กระเป๋าเงินแบบฮาร์ดแวร์ เช่น Trezor จัดเป็นกระเป๋าเงินดิจิทัลประเภทหนึ่งที่มีความปลอดภัยจากมัลแวร์ และจากการถูกโจมตีอุปกรณ์ของผู้ใช้งาน เนื่องจากกระเป๋าเงินไม่ได้ออกแบบมาเพื่อเชื่อมต่อกับอุปกรณ์ของผู้ใช้งาน

โดยหากมีการตั้งค่า Trezor wallet ใหม่ ผู้ใช้จะได้รับ word recovery seed สำหรับการกู้คืน 12 หรือ 24 คำ ที่สามารถใช้เพื่อกู้คืน wallet ได้ หากอุปกรณ์ถูกขโมย สูญหาย หรือทำงานผิดปกติ ทำให้ใครก็ตามที่สามารถเข้าถึง recovery seed ก็จะสามารถกู้คืนกระเป๋าเงินในอุปกรณ์ของตนเองได้ ทำให้เหตุการณ์นี้จึงตกเป็นเป้าหมายของผู้โจมตี (more…)

Reddit ถูกโจมตี ซึ่งทำให้ hacker สามารถเข้าถึงระบบภายใน และขโมยข้อมูล รวมไปถึง source code ออกมาได้

โดยบริษัทระบุว่า hacker ใช้การโจมตีแบบ phishing ในการหลอกให้พนักงานของ Reddit เชื่อว่าเป็นหน้า intranet site ของตนเอง และพยายามขโมยข้อมูลประจำตัวของพนักงาน และ two-factor authentication tokens ซึ่งหลังจากมีพนักงานตกเป็นเหยื่อในการ phishing ทำให้ hacker สามารถเข้าถึงข้อมูลของระบบภายใน เพื่อขโมยข้อมูล และ source code ได้ (more…)

แคมเปญ phishing รูปแบบใหม่ที่มุ่งเป้าหมายไปหน้า login ของ Amazon Web Services (AWS) โดยการใช้ Google ads เพื่อดันหน้าเว็บไซต์ phishing ขึ้นมาติดอันดับใน Google Search เพื่อขโมยข้อมูลการ login ของเหยื่อที่ไม่ระมัดระวัง

ในช่วงแรกผู้โจมตีจะใช้วิธี link โฆษณาไปยังหน้าเพจ phishing โดยตรง แต่ในภายหลังได้ใช้วิธีการเปลี่ยนเส้นทางไปยังหน้าเพจ phishing แทน เพื่อหลีกเลี่ยงการตรวจจับโดยระบบตรวจจับ fraud ของ Google ads (more…)

Microsoft ได้เปิดเผยการดำเนินการปิดใช้งานของบัญชี Microsoft Partner Network (MPN) ปลอม ที่ใช้สำหรับสร้างแอปพลิเคชัน OAuth ที่เป็นอันตราย ซึ่งถูกใช้ในแคมเปญ Phishing ที่มุ่งเป้าไปยังระบบคลาวด์ขององค์กรเพื่อขโมยอีเมล โดยการลอกเลียนแบบแอปยอดนิยมและหลอกให้เหยื่อกดยินยอมอนุญาตให้เข้าถึงสิทธิต่าง ๆ ซึ่งแอปปลอมเหล่านี้ได้ลงทะเบียนกับ OAuth ที่สร้างขึ้นใน Azure AD (more…)

มัลแวร์สำหรับขโมยข้อมูลตัวใหม่ที่ใช้ภาษา Golang ชื่อว่า Titan Stealer กำลังถูกโฆษณาโดยผู้โจมตีผ่านช่องทาง Telegram

Karthickkumar Kathiresan และ Shilpesh Trivedi นักวิจัยด้านความปลอดภัยของ Uptycs ระบุในรายงานว่า “ผู้โจมตีสามารถขโมยข้อมูลที่หลากหลายจากเครื่อง Windows ที่ถูกโจมตี เช่น ข้อมูล credential บนเบราว์เซอร์, กระเป๋าเงินคริปโต, ข้อมูล FTP client, ข้อมูลบันทึกภาพหน้าจอ และรายละเอียดข้อมูลบนระบบของเหยื่อ”

ไททันถูกพัฒนามาในลักษณะการเป็น builder เพื่อช่วยให้ผู้โจมตีที่นำไปใช้สามารถปรับแต่งไบนารีของมัลแวร์เพื่อปรับเปลี่ยนฟังก์ชันการทำงาน รวมถึงข้อมูลที่ต้องการจะขโมยออกไปจากเครื่องของเหยื่อ

เมื่อเริ่มดำเนินการมัลแวร์จะใช้เทคนิคที่เรียกว่า process hollowing เพื่อ inject เพย์โหลดที่เป็นอันตรายลงในหน่วยความจำของ process ที่ทำงานอยู่ตามปกติเรียกว่า AppLaunch.

Bitwarden และผู้ให้บริการแอปพลิเคชันจัดการรหัสผ่านอื่น ๆ กำลังตกเป็นเป้าหมายในแคมเปญฟิชชิงผ่านโฆษณาของ Google เพื่อขโมยข้อมูลส่วนตัวของผู้ใช้งาน

เนื่องจากปัจจุบันองค์กรต่าง ๆ ต้องมีการใช้รหัสผ่านจำนวนมากบนระบบ จึงทำให้มีความจำเป็นต้องใช้โปรแกรมจัดการรหัสผ่าน โดยนอกจาก KeePass ที่มีการเก็บข้อมูลแบบ Local แล้ว โปรแกรมจัดการรหัสผ่านส่วนใหญ่จะใช้ระบบคลาวด์ ซึ่งทำให้ผู้ใช้งานสามารถเข้าถึงรหัสผ่านผ่านเว็ปไซต์ และแอปพลิเคชันบนมือถือได้ (more…)

Silver เป็น command-and-control framework ที่ถูกสร้างขึ้นเพื่อใช้ทำ penetration testers (ทดสอบเจาะระบบ) ที่กำลังได้รับความสนใจจากกลุ่มผู่ไม่หวังดีมากขึ้น เพื่อใช้เป็นเครื่องมือทางเลือกแทน Cobalt Strike และ Metasploit ซึ่งเหตุการณ์นี้ถูกพบโดย Cybereason เมื่อสัปดาห์ที่ผ่านมา

(more…)

Qualys บริษัทด้านความปลอดภัยทางไซเบอร์รายงานการพบ BitRAT malware ได้นำข้อมูลที่ขโมยมาของลูกค้าธนาคารในโคลอมเบียมาใช้ในการโจมตีด้วย Email Phishing เพื่อทำการติดตั้ง BitRAT malware ซึ่งเป็นโทรจันที่ใช้ในการควบคุม และสั่งการจากระยะไกล (Remote Access Trojan) รวมไปถึงยังมีความสามารถในการโจมตีเป้าหมายได้หลากหลายวิธี เช่น การบันทึกวิดีโอ และเสียง, การโจรกรรมข้อมูล, การโจมตีแบบ DDoS, การขุด cryptocurrency และการส่ง payload ของการโจมตีอื่น ๆ เพิ่มเติม

การโจมตีของ BitRAT

BitRAT malware จะถูกส่งไปยังคอมพิวเตอร์ของเหยื่อผ่านทางไฟล์ Excel ซึ่งฝัง macro ที่เป็นอันตรายไว้ภายใน เมื่อเหยื่อเปิดไฟล์ขึ้นมา มันจะเรียกใช้ไฟล์ INF ที่ถูกเข้ารหัสไว้ และทำการดาวน์โหลด payload จาก GitHub repository โดยใช้ไลบรารี WinHTTP บนเครื่องที่ถูกโจมตี และดำเนินการด้วยฟังก์ชัน WinExec รวมถึงการย้ายตัวดาวน์โหลดไปยัง Windows startup โฟลเดอร์ เพื่อให้มันสามารถแฝงตัวอยู่บนเครื่องเหยื่อ และทำงานได้อีกครั้งโดยอัตโนมัติหากมีการรีบูตระบบ (Persistence)

โดย BitRAT malware ถูกพบตั้งแต่เดือนสิงหาคม 2020 และได้ถูกนำมาประกาศขายบน dark web ในราคาเพียง $20 ซึ่งสามารถใช้งานได้ตลอดไป โดยพบว่ามีกลุ่ม Hackers นำมัลแวร์ดังกล่าวมาประยุกต์ใช้ร่วมกับวิธีการโจมตีของตัวเอง เช่น phishing, watering holes และ Remote Access Trojan

 

ที่มา : bleepingcomputer

นักวิจัยจาก Trend Micro ได้เปิดเผยข้อมูลการพบกลุ่ม Agenda Ransomware เปลี่ยนมาใช้ภาษา Rust ในการโจมตีเป้าหมายในลักษณะ Cross-Platform Malware โดยก่อนหน้านี้ ได้พบการโจมตีด้วยวิธีเดียวกันนี้จากกลุ่ม BlackCat, Hive, Luna, และ RansomExx.

Emotet เป็น Trojan Banking ที่เคยประสบความสำเร็จ และได้รับความนิยมอย่างมากมาก่อน ซึ่งในช่วงต้นปี 2021 นั้น มีการรณรงค์ให้มีการป้องกัน Malware ดังกล่าว ทำให้ Campaign ของการโจมตีหยุดชะงักไปช่วงหนึ่ง แต่ Emotet ก็กลับมาอีกครั้งในปีเดียวกัน พร้อมกับเทคนิคหลาย ๆ อย่างแบบเดิม รวมถึงเทคนิคการใช้ Auto_Open Macros ภายใน XLS document ที่พบมากขึ้นในช่วงต้นเดือนพฤศจิกายน 2022 ที่ผ่านมานี้ ซึ่งกำลังถูกแพร่กระจายไปยังหลาย ๆ ประเทศทั่วโลก

เทคนิคการโจมตี

ในช่วงเริ่มต้นการโจมตี Emotet จะมีการส่งไฟล์ MS Office ที่เป็นอันตราย (maldocs) ผ่านทาง Phishing Email โดยในการส่ง Malware จะมีการแนบไฟล์ XLS มากับอีเมลโดยตรง หรือมาในรูปแบบ file Zip ซึ่งภายใน Phishing Email นั้นจะไม่ค่อยมีเนื้อหาอะไร โดยส่วนใหญ่ที่พบจะมีเพียงชื่อไฟล์ และรหัสผ่านเท่านั้น
โดยในการส่ง Phishing เข้ามา มักจะมาในรูปแบบของผู้ส่งใหม่ หรืออาจจะมาในรูปแบบ Reply email จากเหยื่อที่ถูกโจมตีสำเร็จก่อนหน้า ตามภาพด้านล่าง

จากนั้น Emotet จะโน้มน้าวให้เหยื่อคัดลอกตัว maldoc นี้ ไปยังโฟลเดอร์ที่ได้รับอนุญาตเป็นพิเศษ ที่ไม่ได้มีการเปิดใช้งานการป้องกัน Macro ไว้ เพื่อหลีกเลี่ยงการตรวจจับจาก Microsoft’s protection ดังรูปด้านล่าง ที่จะมีการแนะนำให้ย้ายไฟล์ดังกล่าวไปโฟลเดอร์ที่ Emotet ได้ระบุไว้

และหากเหยื่อหลงเชื่อเอาไฟล์ดังกล่าวไปไว้ตามคำแนะนำของ Emotet แล้ว หลังจากเปิดไฟล์ขึ้นมา จะไม่มีข้อความเกี่ยวกับ Macro ที่ถูกบล็อคอยู่อีกต่อไป ซึ่งหลังจากนี้ไฟล์ที่เปิดขึ้นมาจะไม่มีข้อจำกัดใด ๆ ในการรัน Macro

หลังจากเปิดเอกสารขึ้นมาแล้วอาจจะดูเหมือนว่าภายในเอกสารนั้นไม่มีอะไร แต่ว่าเบื้องหลังนั้นมี VBA macro ซ่อนอยู่ ซึ่งจะมีที่อยู่ของ C2 Server ของ Emotet อยู่ ซึ่งสามารถตรวจสอบได้โดยการยกเลิกการซ่อน sheets (Un-hiding) และคัดลอกข้อความไปวางบน Text Editor เราก็จะเห็นเนื้อหาที่ซ่อนอยู่บน sheets นั้น ๆ ได้ตามภาพด้านล่าง

หลังจากที่เปิดไฟล์เอกสารขึ้นมา จะมีการ request ไปยัง 1 ใน URL จากรูปด้านบน ซึ่งจะเห็นว่าวิธีการดังกล่าวจะเหมือนกับวิธีของ Malware ตัวอื่น ๆ ที่ใช้ในอดีต เช่น Qakbot ซึ่งจะใช้ไฟล์ XLSB และเมื่อมีการเชื่อมต่อไปยังปลายทางข้างต้นแล้ว มันจะทำการดาวน์โหลดไฟล์ตามชื่อในภาพด้านบน ไปวางไว้บน C:\\Window\System32

จาก TimeStamp จะพบว่าไฟล์เอกสารพวกนี้ถูกสร้างขึ้นในช่วงต้นเดือนพฤศจิการยน 2022 ที่ผ่านมา ดังเช่นตัวอย่างของ maldoc ด้านล่างที่ได้จัดกลุ่มตามช่วงเวลาที่สร้างขึ้นมา

แนวทางการป้องกัน

พิจารณาการเพิ่ม IOC บนอุปกรณ์ Firewall
ติดตั้ง Anti-Virus หรือ Endpoint Protection บนเครื่องคอมพิวเตอร์ภายในองค์กรเพื่อป้องกันการเปิดไฟล์ที่เป็นอันตราย
พิจารณาการจัด Awareness Training ให้กับพนักงานภายในองค์กร

ที่มา : blog.