IxMetro Powerhost ผู้ให้บริการศูนย์ข้อมูล และโฮสติ้งจากประเทศชิลี ได้ตกเป็นเหยื่อของการโจมตีทางไซเบอร์จากกลุ่ม Ransomware ใหม่ที่รู้จักกันในชื่อ SEXi ซึ่งมีความสามารถในการเข้ารหัสเซิร์ฟเวอร์ VMware ESXi และการสำรองข้อมูลของบริษัท

PowerHost คือบริษัทที่ทำธุรกิจทางด้านด้าน Data center, โฮสติ้ง และ interconnectivity ซึ่งมีสถานที่ตั้งในสหรัฐอเมริกา อเมริกาใต้ และยุโรป

เมื่อวันจันทร์ที่ผ่านมา (1 เมษายน 2024) IxMetro แจ้งให้ลูกค้าทราบว่าได้ถูกโจมตีด้วย Ransomware เมื่อวันเสาร์ที่ 30 มีนาคม 2024 โดยได้ถูกเข้ารหัสเซิร์ฟเวอร์ VMware ESXi ของบริษัทบางส่วนที่ใช้เป็น virtual private servers สำหรับลูกค้า ทำให้ลูกค้าที่โฮสต์เว็บไซต์ หรือบริการของตนบนเซิร์ฟเวอร์เหล่านี้ประสบปัญหา ขณะที่บริษัท PowerHost กำลังพยายามกู้คืนข้อมูลขนาดหลาย terabytes จากการสำรองข้อมูล (more…)

กลุ่ม LockBit ransomware ได้กลับมาเริ่มโจมตีอีกครั้ง พร้อมตัวเข้ารหัสที่ได้รับการอัปเดต และ server ตัวใหม่ หลังจากที่ทาง NCA, FBI และ Europol ได้ทำการประสานงานเพื่อปิดบริการการดำเนินการของ LockBit ransomware ในชื่อ “Operation Cronos”

ในการดำเนินการครั้งนี้ หน่วยงานบังคับใช้กฎหมายได้เข้ายึดระบบโครงสร้างพื้นฐาน, ตัวเข้ารหัส รวมถึงได้แก้ไขหน้าเว็บไซต์ของ data leak ให้กลายหน้าเว็บไซต์ของ FBI แทน

ต่อมากลุ่ม LockBit ransomware ได้ทำการแก้ไขหน้าเว็บไซต์ของ data leak คืน พร้อมทั้งฝากข้อความไปยัง FBI โดยอ้างว่าทาง FBI ได้ทำการโจมตี server โดยใช้ช่องโหว่ของ PHP ทั้งนี้กลุ่ม LockBit ransomware ได้ประกาศว่าจะกลับมาพร้อมกับโครงสร้างพื้นฐานที่ได้รับการอัปเดตความปลอดภัยใหม่ เพื่อป้องกันไม่ให้หน่วยงานรัฐสามารถทำการโจมตีระบบปฏิบัติการ และเข้าถึงตัวถอดรหัสได้อีกครั้ง

การอัปเดต LockBit encryptor ที่ใช้ในการโจมตี

ต่อมาได้พบว่ากลุ่ม LockBit ransomware ได้กลับมาเริ่มโจมตีอีกครั้งด้วยการเข้ารหัสใหม่ รวมถึงการตั้งค่าโครงสร้างพื้นฐานสำหรับเว็บไซต์ data leak และเว็บไซต์การเจรจาต่อรองในรูปแบบใหม่

Zscaler รายงานว่ากลุ่ม LockBit ได้อัปเดตบันทึกค่าไถ่ของตัวเข้ารหัสด้วย URL ของ Tor สำหรับโครงสร้างพื้นฐานใหม่ของกลุ่ม ต่อมา BleepingComputer พบตัวอย่างของตัวเข้ารหัสตัวใหม่ที่ถูกอัปโหลดไปยัง VirusTotal โดย MalwareHunterTeam

รวมถึง BleepingComputer ได้ยืนยันว่า server ที่ใช้ในการเจรจาต่อรองค่าไถ่กลับมาใช้งานได้อีกครั้ง แต่ใช้งานได้เฉพาะกับเหยื่อของการโจมตีครั้งใหม่เท่านั้น

โดยกลุ่ม LockBit ransomware มีพันธมิตรในเครือข่ายประมาณ 180 ราย ที่ทำงานร่วมกันเพื่อทำการโจมตีเป้าหมายต่าง ๆ รวมถึงยังมีการรับสมัคร Pentester ที่มีประสบการณ์เพื่อเข้าร่วมปฏิบัติการโจมตี ซึ่งอาจนำไปสู่การโจมตีที่เพิ่มขึ้นในอนาคต

ดังนั้นการติดตามความเคลื่อนไหวของกลุ่ม LockBit ransomware ยังคงมีต่อไปเนื่องจากเป็นกลุ่ม Hacker ที่มีความสามารถ และมีเครือข่ายที่ขว้างขวาง ที่สามารถสร้างผลกระทบเป็นวงกว้างได้

ที่มา : bleepingcomputer

 

กลุ่ม LockBit กำลังกลับมาดำเนินการโจมตีด้วยแรนซัมแวร์อีกครั้ง ภายในระยะเวลาไม่ถึง 1 อาทิตย์ หลังจากที่เจ้าหน้าที่สามารถเจาะเข้าไปยังเซิร์ฟเวอร์ของพวกเขา โดยกลุ่มนี้ได้ย้ายไปยังระบบใหม่ และยังคงข่มขู่ว่าจะมุ่งเน้นโจมตีหน่วยงานรัฐบาลมากขึ้น (more…)

นักวิจัยด้านความปลอดภัยทางไซเบอร์ตรวจพบ Ransomware ตระกูล Phobos อีกรูปแบบหนึ่งที่รู้จักกันในชื่อของ Faust

Fortinet FortiGuard Labs ซึ่งให้รายละเอียดเกี่ยวกับพฤติกรรมครั้งล่าสุดของ Ransomware โดยระบุว่ามันสามารถแพร่กระจายได้ด้วยการส่งไฟล์เอกสาร Microsoft Excel (.XLAM) ที่มีการแนบสคริปต์ของ VBA

Schneider Electric บริษัทชั้นนำด้านพลังงานถูกโจมตีจาก Cactus ransomware โจมตี

Schneider Electric บริษัทชั้นนำด้านพลังงาน และระบบอัตโนมัติ ได้เปิดเผยว่าถูกโจมตีจาก Cactus ransomware และขโมยข้อมูลออกไป

(more…)

Exploit สำหรับโจมตีช่องโหว่การตรวจสอบสิทธิ์ของ GoAnywhere MFT ถูกปล่อยออกมาแล้ว

ล่าสุด Exploit code สำหรับโจมตีช่องโหว่ authentication bypass ระดับ Critical ในซอฟต์แวร์ GoAnywhere MFT (Managed File Transfer) ของ Fortra ซึ่งจะทำให้ผู้โจมตีสามารถสร้างชื่อผู้ใช้ที่เป็นผู้ดูแลระบบบนอินสแตนซ์ที่มีช่องโหว่ผ่านทางพอร์ทัลของผู้ดูแลระบบได้ (more…)

loanDepot ถูกโจมตีทางไซเบอร์ ส่งผลให้ข้อมูลลูกค้ากว่า 16.6 ล้านรายรั่วไหล

loanDepot เป็นหนึ่งในสถาบันสินเชื่อรายย่อยที่ไม่ใช่ธนาคารที่ใหญ่ที่สุดในสหรัฐอเมริกา มีพนักงานประมาณ 6,000 ราย และให้บริการสินเชื่อกว่า 140,000 ล้านเหรียญสหรัฐ ได้ออกมาประกาศเรื่องการถูกโจมตีด้วยแรนซัมแวร์เมื่อต้นเดือนที่ผ่านมา ส่งผลกระทบต่อข้อมูลส่วนบุคคลของลูกค้ากว่า 16.6 ล้านรายรั่วไหลออกสู่สาธารณะ (more…)

นักวิจัยด้านความปลอดภัยทางไซเบอร์จาก Huntress ได้ออกมาแจ้งเตือนเกี่ยวกับการโจมตีทางไซเบอร์ที่กำลังถูกพบเพิ่มมากขึ้นเมื่อเร็ว ๆ นี้ โดยการใช้เทคนิคใหม่จากผู้ไม่หวังดีที่ใช้ TeamViewer เพื่อนำ LockBit ransomware มาติดตั้งบนระบบ

TeamViewer มีประวัติการถูกโจมตีในวงกว้างมาก่อนหน้านี้ โดยเมื่อล่าสุดผู้เชี่ยวชาญด้านความปลอดภัยทางไซเบอร์พบว่า มีการโจมตีโดยผู้ไม่หวังดีเพิ่มขึ้นจากการใช้ TeamViewer ซึ่งเป็นเครื่องมือในการเข้าถึงจากระยะไกล เพื่อนำ LockBit ransomware มาใช้ในการโจมตี ซึ่งอาจทำให้ผู้ใช้งานตกเป็นเป้าหมายของการเข้ารหัสข้อมูล และการเรียกค่าไถ่ (more…)

Microsoft ยกเลิกการใช้งาน MSIX ms-appinstaller protocol handler อีกครั้ง หลังพบความเกี่ยวข้องกับหลายกลุ่ม hacker ที่นำไปใช้ในทางที่ผิด โดยการแพร่กระจายมัลแวร์ลงบนเครื่องของผู้ใช้งาน Windows

(more…)

นักวิจัยพบการแพร่กระจายของแรนซัมแวร์สายพันธุ์หนึ่งที่รู้จักกันในชื่อ DJVU ในรูปแบบของไฟล์ Crack ของซอฟแวร์ผิดลิขสิทธิ์

Ralph Villanueva นักวิจัยด้านความปลอดภัยของ ระบุว่า “แม้ว่ารูปแบบการโจมตีลักษณะนี้จะไม่ใช่เรื่องใหม่ แต่ DJVU สายพันธุ์นี้จะต่อท้ายนามสกุลไฟล์ด้วย .xaro ไปยังไฟล์ที่ถูกโจมตี เพื่อเรียกค่าไถ่สำหรับตัวถอดรหัส ถูกพบว่ากำลังแพร่กระจายในระบบควบคู่ไปกับมัลแวร์สำหรับขโมยข้อมูลต่าง ๆ”

โดยแรนซัมแวร์สายพันธุ์ใหม่นี้ได้รับรหัสชื่อ Xaro จาก Cybereason

DJVU ซึ่งเป็นแรนซัมแวร์สายพันธุ์หนึ่งของ STOP ransomware โดยปกติจะมาในรูปแบบที่ปลอมเป็นบริการ หรือแอปพลิเคชันที่ดูถูกต้องตามปกติ นอกจากนี้ยังเคยถูกใช้เป็นเพย์โหลดของ SmokeLoader อีกด้วย

จุดสังเกตที่สำคัญของการโจมตีจาก DJVU คือการใช้มัลแวร์อื่น ๆ ร่วมด้วยเพิ่มเติม เช่น มัลแวร์สำหรับขโมยข้อมูล (เช่น RedLine Stealer และ Vidar) ซึ่งมักจะทำให้เกิดความเสียหายมากขึ้น

ในการโจมตีครั้งล่าสุดที่บันทึกไว้โดย Cybereason มัลแวร์ Xaro จะเป็นไฟล์ archive ที่ถูกดาวน์โหลดมาจากแหล่งที่น่าสงสัย ซึ่งเป็นเว็บไซต์ปลอมที่ให้สามารถดาวน์โหลดฟรีซอฟแวร์ที่ดูเหมือนถูกต้องตามกฎหมาย การเปิดไฟล์ archive จะนำไปสู่การรันไบนารีติดตั้งซอฟต์แวร์ PDF writing ที่ชื่อว่า CutePDF ซึ่งในความเป็นจริงเป็นการติดตั้งมัลแวร์ที่รู้จักกันในชื่อ PrivateLoader

โดย PrivateLoader นอกเหนือจากการนำไปสู่การติดตั้ง Xaro แล้ว มันจะทำการเชื่อมต่อกับ C2 Server เพื่อดาวน์โหลดมัลแวร์อื่น ๆ อีกจำนวนมาก เช่น RedLine Stealer, Vidar, Lumma Stealer, Amadey, SmokeLoader, Nymaim, GCleaner, XMRig และ Fabookie

นักวิจัยอธิบายเพิ่มเติมว่า "แนวทางการแพร่กระจายลักษณะนี้มักจะมาจากการดาวน์โหลด และติดตั้งมัลแวร์ PrivateLoader ที่เกิดจากเว็บไซต์ฟรีซอฟแวร์ หรือไฟล์ Crack ของซอฟแวร์ผิดลิขสิทธิ์"

เป้าหมายของมัลแวร์ดูเหมือนจะเป็นการรวบรวมข้อมูลที่มีความสำคัญเพื่อการเรียกค่าไถ่ ตลอดจนเพื่อให้แน่ใจว่าการโจมตีจะประสบความสำเร็จ แม้ว่าจะมีเพย์โหลดใดเพย์โหลดหนึ่งถูกบล็อกโดยซอฟต์แวร์รักษาความปลอดภัย

มัลแวร์ Xaro นอกเหนือจากการสร้างอินสแตนซ์ของ Vidar infostealer ยังสามารถเข้ารหัสไฟล์ในโฮสต์ที่ติดมัลแวร์ ก่อนที่จะทิ้งไฟล์เพื่อเรียกค่าไถ่ โดยจะขู่ให้เหยื่อติดต่อกลับในการจ่ายค่าไถ่เพื่อรับคีย์สำหรับถอดรหัสในราคา $980 ซึ่งจะลดลง 50% เป็น $490 หากติดต่อกลับภายใน 72 ชั่วโมง

เหตุการณ์นี้แสดงให้เห็นถึงความเสี่ยงของการดาวน์โหลดฟรีซอฟแวร์จากแหล่งที่มาที่ไม่น่าเชื่อถือ เช่น แคมเปญของ FakeUpdateRU ที่ใช้การแจ้งเตือนการอัปเดตเบราว์เซอร์ปลอมเพื่อติดตั้ง RedLine Stealer

โดยผู้โจมตีมักใช้ฟรีซอฟแวร์ปลอม เพื่อเป็นช่องทางในการแพร่กระจายมัลแวร์อย่างลับ ๆ และองค์กรควรเข้าใจถึงผลกระทบที่อาจเกิดขึ้นอย่างรวดเร็ว และกว้างขวางจากการติดมัลแวร์ และการปกป้องข้อมูล

ที่มา: thehackernews