นักวิจัยด้านความปลอดภัยตรวจพบกลุ่มแรนซัมแวร์กำลังใช้ประโยชน์จากช่องโหว่ในผลิตภัณฑ์ VMWare ESXi เพื่อเข้ายึดครองและเข้ารหัสฮาร์ดไดรฟ์ของ Virtual Machine (VM) ที่ถูกใช้งานในองค์กร

ตามรายงานจากนักวิจัยด้านความปลอดภัยที่ให้ข้อมูลกับ ZDNet พบว่ากลุ่มแรมซัมแวร์กำลังใช้ประโยชน์จากช่องโหว่ CVE-2019-5544 และ CVE-2020-3992 ซึ่งเป็นช่องโหว่ในไฮเปอร์ไวเซอร์โซลูชันที่จะอนุญาตให้เครื่อง VM หลาย ๆ เครื่องแชร์ที่เก็บข้อมูลฮาร์ดไดรฟ์เดียวกันผ่าน Service Location Protocol (SLP) ช่องโหว่ดังกล่าวจะทำให้ผู้โจมตีที่อยู่ภายในเครือข่ายเดียวกันสามารถส่งคำขอ SLP ที่เป็นอันตรายไปยังอุปกรณ์ ESXi และเข้าควบคุมได้

ตามรายงานจากนักวิจัยด้านความปลอดภัยระบุอีกว่ากลุ่ม RansomExx ได้เริ่มต้นใช้ประโยชน์จากช่องโหว่ดังกล่าวในการโจมตีอินสแตนซ์ ESXi และเข้ารหัสฮาร์ดดิสก์ของเครื่อง VM ที่อยู่ภายในเครือข่าย โดยหลังจากเหตุการณ์ นักวิจัยได้พบข้อมูลการประกาศการโจมตีในลักษณะเดียวกันโดยกลุ่ม Babuk Locker ransomware ในฟอรั่มใต้ดิน

ทั้งนี้ผู้ดูแลระบบ VMWare ESXi ควรรีบอัปเดตแพตช์ความปลอดภัยให้เป็นเวอร์ชันล่าสุดโดยด่วนเพื่อป้องกันการตกเป็นเป้าหมายของกลุ่มปฏิบัติการโจมตีด้วยแรมซัมแวร์

ที่มา: zdnet

ศาลยุติธรรมในบราซิลถูก Ransomware "RansomExx" โจมตี

เมื่ออาทิตย์ที่ผ่านมาศาลยุติธรรมในประเทศบราซิลประกาศว่าระบบและเครือข่ายภายในได้รับผลกระทบจากการโจมตี และหลักฐานซึ่งบ่งชี้ว่าการโจมตีดังกล่าวเกิดขึ้นโดยกลุ่ม Ransomware "RansomExx" ซึ่งส่งผลให้ระบบต้องหยุดให้บริการเพื่อจำกัดความเสียหายและฟื้นฟูระบบ

ฝ่ายเทคนิคของศาลออกมาให้ข้อมูลเพิ่้มเติมในภายหลังว่า กลุ่ม Ransomware ประสบความสำเร็จในการยึดครองบัญชี Domain admin และใช้ปัญชีดังกล่าวในการเข้าถึงระบบ virtual environment ที่ทางศาลใช้งาน ก่อนจะเริ่มการเข้ารหัสระบบซึ่งเป็น virtual machine ทั้งหมด

Kaspersky ได้มีการเผยแพร่การวิเคราะห์ทางเทคนิคของ RansomExx และพบว่า Ransomware ดังกล่าวถูกตรวจพบว่ามีเวอร์ชันที่พุ่งเป้าโจมตีกลุ่มระบบที่ใช้ระบบปฏิบัติการลินุกซ์ด้วย มัลแวร์ไม่มีการติดต่อ C&C, ไม่มีการปิดตัวเองลงหลังจากทำงานเสร็จสิ้นและไม่มีส่วนโค้ดซึ่งต่อต้านการวิเคราะห์แต่อย่างใด ไฟล์ถูกเข้ารหัสด้วย AES-ECB และคีย์ AES ถูกเข้ารหัสด้วย RSA ขนาด 4096 บิตที่ฝังมากับมัลแวร์

ยังไม่มีการระบุอย่างชัดเจนถึงวิธีที่กลุ่มมัลแวร์ใช้ในการเข้าถึงเหยื่อและเป้าหมาย

ที่มา: theregister | bleepingcomputer | securelist | zdnet