เมื่อวันพุธที่ผ่านมา Threat Intelligence ของ Microsoft ออกมาแจ้งเตือนถึงกลุ่มผู้โจมตีด้วย ransomware ซึ่งคาดว่ามาจากประเทศอิหร่าน ที่ใช้ชื่อว่า "Phosphorus"

โดย Microsoft กำลังติดตามข้อมูลของกลุ่ม DEV-0270 (หรือที่รู้จักในชื่อ Nemesis Kitten) ซึ่งกำลังดำเนินการภายใต้บริษัทนามแฝงที่ชื่อว่า Secnerd และ Lifeweb โดยพบข้อมูลของระบบ และเครื่องมือที่ใช้ในการโจมตีของทางกลุ่ม และทั้งสององค์กรมีลักษณะเดียวกัน

DEV-0270 ใช้ประโยชน์จากช่องโหว่ที่มีระดับความรุนแรงสูง เพื่อเข้าถึงอุปกรณ์ต่าง ๆ และยังเป็นที่รู้จักจากการใช้ช่องโหว่ใหม่ ๆ รูปแบบอื่นในการโจมตี และกลุ่ม DEV-0270 ยังมีการใช้วิธีการอย่าง living off the land binaries(LOLBINs) ในการค้นหา และเข้าถึงข้อมูลที่สำคัญ จนไปถึงการใช้เครื่องมืออย่าง BitLocker เพื่อเข้ารหัสไฟล์บนเครื่องของเหยื่อที่ถูกโจมตี

การใช้ BitLocker และ DiskCryptor ransomware โดยกลุ่มผู้โจมตีจากอิหร่าน เริ่มปรากฏให้เห็นเมื่อต้นเดือนพฤษภาคม จากรายงานของ Secureworks ที่เปิดเผยการโจมตีโดยกลุ่มที่มีชื่อว่า Cobalt Mirage (หรือที่รู้จักในชื่อ Cobalt Illusion) และ TunnelVision ซึ่งคาดว่าก็มีความเกี่ยวข้องกับกลุ่ม Phosphorus

โดย DEV-0270 จะใช้วิธีการสแกนช่องโหว่จากอินเทอร์เน็ต เพื่อค้นหาเซิร์ฟเวอร์ และอุปกรณ์ที่มีความเสี่ยงที่จะถูกโจมตีได้จากช่องโหว่ของ Microsoft Exchange Server, Fortinet FortiGate SSL-VPN และ Apache Log4j จากนั้นจึงจะทำการสำรวจข้อมูลของเครือข่ายของเหยื่อเพิ่มเติม รวมไปถึงขโมยข้อมูล credential

เมื่อสามารถเข้าถึงเครือข่ายของเหยื่อที่ถูกโจมตี มันจะพยายามแฝงตัวอยู่บนระบบให้ได้นานที่สุดด้วยการแอบสร้าง scheduled task สำหรับสั่งการทำงานบนเครื่องของเหยื่อ

จากนั้น DEV-0270 จะใช้วิธีการโจมตีเพื่อยกระดับสิทธิ์เป็น System เพื่อให้สามารถปิดการทำงานของ Microsoft Defender Antivirus จากนั้นจึงทำการโจมตีต่อไปยังเครื่องอื่น ๆ บนเครือข่ายของเหยื่อ และใช้ BitLocker เข้ารหัสไฟล์บนเครื่องเหยื่อ

เครื่องมือที่ผู้โจมตีใช้ส่วนมากจะเป็น WMI, net, CMD, PowerShell commands และเข้าไปกำหนดค่า Registry อีกทั้งผู้โจมตียังมีการติดตั้ง และปลอมแปลง binaries ที่สร้างขึ้นเพื่อปลอมเป็น Process ที่ดูปกติ เพื่อแฝงตัวอยู่บนเครื่องเหยื่ออีกด้วย

แนะนำให้ผู้ใช้งานอัปเดตแพตช์เซิร์ฟเวอร์ Exchange ที่เชื่อมต่อกับอินเทอร์เน็ตโดยด่วน เพื่อลดความเสี่ยงจากการถูกโจมตี รวมไปถึงจำกัดการเข้าถึงอุปกรณ์เครือข่ายของ Fortinet SSL-VPN และตั้งรหัสผ่านให้รัดกุม และทำการสำรองข้อมูลอย่างสม่ำเสมอ

ที่มา : thehackernews

Baker & Taylor บริษัทเอกชนที่จัดตั้งขึ้นมานานกว่า 190 ปี ในสหรัฐอเมริกา และเป็นผู้จัดจำหน่ายหนังสือรายใหญ่ที่สุดในโลก ซึ่งปัจจุบันกำลังพยายามกู้คืนระบบ หลังจากถูกโจมตีโดย Ransomware เมื่อสัปดาห์ก่อน

เมื่อวันที่ 23 สิงหาคมที่ผ่านมา บริษัทระบุว่าเซิร์ฟเวอร์ของบริษัทหยุดทำงาน หลังจากเกิดไฟฟ้าขัดข้อง ซึ่งส่งผลกระทบต่อระบบโทรศัพท์ ระบบสำนักงาน และศูนย์บริการของบริษัท หลังจากนั้น 1 วัน บริษัทระบุถึงเหตุการณ์ภัยคุกคามที่เกิดขึ้นกับระบบที่สำคัญ ซึ่งปัจจุบันทีมที่เกี่ยวข้องกำลังดำเนินการกู้คืนข้อมูลบน Server ที่ได้รับผลกระทบ

ซึ่งล่าสุดทาง Baker & Taylor ได้ออกมายอมรับว่าถูกโจมตีจาก Ransomware และอยู่ระหว่างดำเนินการแก้ไขโดยทีมไอที และผู้เชี่ยวชาญภายนอก เพื่อพยายามกู้คืนระบบให้กลับมาทำงานได้โดยเร็วที่สุด

ปัจจุบันยังไม่มีข้อมูลว่ากลุ่ม Ransomware กลุ่มไหน หรือองค์กรใดอยู่เบื้องหลังการโจมตีในครั้งนี้ แต่ Baker & Taylor ยืนยันว่าจะไม่มีการจ่ายเงินให้กับกลุ่มผู้โจมตี

ที่มา : bleepingcomputer

ทีม Cyber Security Incident Response (CSIRT) ของชิลีได้ออกมารายงานว่าถูกโจมตีด้วยแรนซัมแวร์ ส่งผลกระทบต่อการดำเนินงาน และบริการออนไลน์ของหน่วยงานรัฐบาลในประเทศ

รายละเอียดการโจมตี

การโจมตีเกิดขึ้นในวันพฤหัสบดีที่ 25 สิงหาคม 2565 โดยมีเป้าหมายคือ Microsoft Server และ VMware ESXi Server
บน ESXi Server แรนซัมแวร์เริ่มต้นโดยหยุดการทำงานของระบบที่เป็น VM ทั้งหมด จากนั้นใช้อัลกอริทึม NTRUEncrypt public key ในการเข้ารหัส โดยเป้าหมายคือไฟล์ประเภท log files (.log), executable files (.exe), dynamic library files (.dll), swap files (.vswp), virtual disks (. vmdk), snapshot (.vmsn) files, และ virtual machine memory (.vmem) files
เมื่อเข้ารหัสเรียบร้อยแล้ว ไฟล์นามสกุลจะถูกต่อท้ายด้วย ".crypt"
จากนั้นผู้โจมตีได้เสนอช่องทางให้รัฐบาลชิลีเพื่อชำระเงินค่าไถ่ โดยกำหนดเวลาไว้ที่ 3 วัน ก่อนมีการขายข้อมูลสู่ DarkWeb
ส่วนระบบปฏิบัติการ Windows มัลแวร์จะใช้ชื่อว่า SecurityUpdate โดยทำการเพิ่ม Reistry เพื่อให้ตัวมันทำงานทันทีหลังมีการเปิดเครื่อง

จากเหตุการณ์ดังกล่าว CSIRT ไม่ได้ชี้แจงว่าถูกมัลแวร์ชนิดใดโจมตี เพียงระบุว่ามัลแวร์ที่พบครั้งนี้มีฟังก์ชันสำหรับขโมยข้อมูลประจำตัวจากเว็บเบราว์เซอร์, แสดงรายการ Removable devices ที่สามารถเข้ารหัส และหลบเลี่ยงการตรวจจับการป้องกันไวรัสโดยใช้การตั้ง Time Out ในการ Execute File

แต่จากพฤติกรรมของมัลแวร์ พบว่าตรงกับแรนซัมแวร์ 'RedAlert' (หรือที่รู้จักว่า "N13V") ที่เปิดตัวไปเมื่อเดือนกรกฎาคม พ.ศ. 2565 ซึ่งปกติ RedAlert จะใช้ extension ".crypt" ในการโจมตี เป้าหมายหลักๆของแรนซัมแวร์ชนิดนี้คือ Windows และ VMWare ESXi Server ส่วนลักษณะการทำงานก็ตรงกับที่รัฐบาลชิลีพบ คือจะหยุดการทำงานของระบบ VM ทั้งหมดก่อนที่จะเข้ารหัส นอกจากนี้ยังใช้อัลกอริทึม NTRUEncrypt public key ในการเข้ารหัส

อย่างไรก็ตามผู้เชี่ยวชาญจาก BleepingComputer ได้ยืนยันจากข้อมูลที่ได้รับว่า Ransomware นี้ไม่มีการสร้างไฟล์เรียกค่าไถ่ขณะเข้ารหัส แต่ใช้การวางไฟล์ก่อนเข้ารหัสแทน คาดว่าเป็นวิธีการหนึ่งที่ใช้ในการปกปิดตัวตนของผู้โจมตี นอกจากนี้ยังใช้วิธีสร้างลิงก์ไปยังเว็บไซต์ที่ไม่ซ้ำกันในเครือข่าย Tor Browser และต้องระบุรหัสผ่านเพื่อเข้าสู่ระบบด้วย

แนวทางการป้องกัน

ตั้งค่า Policy บน Firewall และ Antivirus ให้เหมาะสม
Update Patch VMware และ Microsoft ให้เป็นเวอร์ชันล่าสุด
Backup ข้อมูลอยู่สม่ำเสมอ
สร้าง Awareness ให้กับพนักงาน
จำกัดการเข้าถึงเครือข่าย และกำหนดสิทธิ์การเข้าถึงระบบต่างๆ
ติดตามข่าวสารอย่างสม่ำเสมอ

IOC

ที่มา : bleepingcomputer

กลุ่ม LockBit Ransomware ได้ออกมาประกาศเรื่องการปรับปรุงเว็บไซต์ของทางกลุ่ม หลังจากที่ถูกโจมตีแบบปฏิเสธการให้บริการ (DDoS) และเตรียมยกระดับการโจมตีของกลุ่มให้เป็นแบบ Triple Extortion

รายละเอียดเหตุการณ์

เหตุการณ์ครั้งนี้เกิดขึ้นจากเมื่อวันที่ 18 มิถุนายน 2565 ที่ผ่านมา LockBit ได้ขโมยข้อมูลจำนวนกว่า 300 GB ของ Entrust บริษัทด้านความปลอดภัยทางดิจิทัล โดยเหตุการณ์ครั้งนี้ Entrust ยืนยันที่จะไม่ยอมจ่ายค่าไถ่ ทำให้ LockBit เริ่มประกาศจะเผยแพร่ข้อมูลของ Entrust ออกมาในวันที่ 19 สิงหาคม 2565 แต่ก็ไม่สามารถเผยแพร่ข้อมูลได้อย่างต่อเนื่อง เนื่องจาก LockBit อ้างว่าเว็บไซต์ของทางกลุ่มถูกบริษัท Entrust โจมตีด้วย DDoS attack เพื่อป้องกันไม่ให้มีการเข้าถึงข้อมูลที่ LockBit อ้างว่าได้ขโมยออกมา

จากเหตุการณ์ดังกล่าว LockBit ใช้บทเรียนครั้งนี้เป็นโอกาสที่จะเพิ่มผู้เชี่ยวชาญในการโจมตีด้วย DDoS เข้าสู่ทีม เพื่อยกระดับการโจมตีของตนให้เป็นแบบ Triple Extortion ซึ่งประกอบไปด้วย

การเข้ารหัสไฟล์บนเครื่องเป้าหมาย
การเผยแพร่ข้อมูลของเป้าหมาย
การโจมตีแบบปฏิเสธการให้บริการ (DDoS) ไปยังเป้าหมาย

นอกจากนี้โฆษาของ LockBit ยังยืนยันว่าจะแชร์ข้อมูลกว่า 300GB ที่ขโมยมาจาก Entrust ให้ได้ โดยเริ่มจากการส่งข้อมูลไปให้กับผู้ที่สนใจที่ติดต่อเข้ามาทาง Direct Message ผ่านทางไฟล์ Torrent

ส่วนวิธีที่ LockBit นำมาใช้เพื่อป้องกันการโจมตีจาก DDoS คือการใช้ลิงก์ที่แตกต่างกันในไฟล์บันทึกค่าไถ่ของเหยื่อแต่ละราย จากนั้นจะเพิ่มจำนวนมิเรอร์ และเซิร์ฟเวอร์สำหรับเผยแพร่ข้อมูลที่แฮ็กมา และในอนาคตมีแผนที่จะเพิ่มความพร้อมใช้งานของข้อมูลที่ถูกขโมยโดยทำให้สามารถเข้าถึงได้ผ่าน clearnet ผ่านบริการจัดเก็บข้อมูลแบบ bulletproof

ข้อมูลเพิ่มเติมเกี่ยวกับ LockBit

การดำเนินการของ LockBit ถูกพบมาตั้งแต่เดือนกันยายน 2562 โดยมีผู้ตกเป็นเหยื่อมากกว่า 700 รายและ Entrust ก็ถือเป็นหนึ่งในนั้น

ที่มา : bleepingcomputer

 

Centre Hospitalier Sud Francilien (CHSF) ซึ่งเป็นโรงพยาบาลขนาด 1,000 เตียง โดยอยู่ห่างจากกรุงปารีสเพียง 28 กม. และให้บริการในพื้นที่ที่มีประชากรราวๆ 600,000 คน
เมื่อวันอาทิตย์ที่ผ่านมาโรงพยาบาลถูกโจมตีด้วยแรนซัมแวร์ ทำให้เกิดการขัดข้องในการดำเนินการรักษา ซึ่งอาจเป็นอันตรายต่อสุขภาพ และชีวิตของผู้ป่วยในภาวะฉุกเฉินทางการแพทย์ จึงทำให้ทางโรงพยาบาลจำเป็นต้องส่งผู้ป่วยต่อไปยังโรงพยาบาลอื่น และต้องเลื่อนนัดสำหรับผู้ป่วยที่ต้องทำการผ่าตัด
ประกาศของทางโรงพยาบาลระบุว่า “การโจมตีเครือข่ายคอมพิวเตอร์ทำให้ซอฟต์แวร์ ระบบจัดเก็บข้อมูล (โดยเฉพาะภาพทางการแพทย์) และระบบข้อมูลที่เกี่ยวข้องกับการรับผู้ป่วยของโรงพยาบาลไม่สามารถเข้าถึงได้ในขณะนี้ ”

เจ้าหน้าที่โรงพยาบาลยังไม่ได้ให้ข้อมูลเพิ่มเติมเกี่ยวกับสถานการณ์ระบบไอทีที่ยังขัดข้อง และยังคงส่งผลอันตรายต่อผู้ป่วยของโรงพยาบาล ในส่วนคนไข้ที่ต้องดูแลฉุกเฉินจะได้รับการประเมินโดยแพทย์ของโรงพยาบาล หากคนไข้อยู่ในภาวะที่ต้องมีการถ่ายภาพทางการแพทย์เพื่อการรักษา ผู้ป่วยจะถูกย้ายไปยังโรงพยาบาลอื่น
รายงานของหนังสือพิมพ์ Le Monde ซึ่งมีข้อมูลจากหน่วยงานบังคับใช้กฎหมายของประเทศได้ระบุว่า กลุ่มผู้โจมตีเรียกค่าไถ่เป็นเงินจำนวน 10,000,000 ดอลลาร์ เพื่อแลกกับคีย์สำหรับถอดรหัส เจ้าหน้าที่ตำรวจกล่าวกับหนังสือพิมพ์ Le Monde โดยระบุว่า "การสอบสวนกำลังดำเนินการโดยศูนย์ต่อต้านอาชญากรรมทางดิจิทัล (C3N) และสำนักงานอัยการปารีส เพื่อตรวจสอบรายละเอียดของการโจมตี และกลุ่มที่พยายามเรียกค่าไถ่”

สันนิษฐานว่าเป็นการโจมตีจาก Lockbit 3.0

Valéry Riess-Marchive นักข่าวด้านความปลอดภัยทางไซเบอร์ชาวฝรั่งเศสระบุถึงสัญญาณของ LockBit 3.0 โดยกล่าวถึงวิธีการจัดการโดยหน่วยงานที่กำลังดำเนินการตรวจสอบ มีแนวโน้มว่าน่าจะเกี่ยวข้องกับการโจมตีจาก Rangar Locker และ LockBit
Riess-Marchive ระบุใน LegMagIT ว่า Ragnar Locker ไม่น่าจะอยู่เบื้องหลังการโจมตีครั้งนี้ เนื่องจากมักจะมุ่งเน้นไปที่ขนาดของธุรกิจของเหยื่อที่แตกต่างจากที่นี่ ในขณะที่ LockBit 3.0 มีขอบเขตของเป้าหมายในการโจมตีที่กว้างกว่า หาก Lockbit 3.0 เกี่ยวข้องกับการโจมตีโรงพยาบาล CHSF ครั้งนี้จริง ก็ถือว่าเป็นการละเมิดกฎของบริการ RaaS ซึ่งจะห้ามไม่ให้กลุ่มผู้โจมตีที่นำ Ransomware ไปใช้โจมตีระบบของผู้ให้บริการด้านการดูแลสุขภาพ
ปัจจุบันกลุ่มผู้โจมตีในครั้งนี้นั้นยังไม่ได้รับการยืนยัน และเว็บไซต์ LockBit 3.0 ก็ยังไม่มีรายชื่อของโรงพยาบาล ดังนั้นจึงยังเป็นแค่การสันนิษฐานจากผู้สื่อข่าวเท่านั้น

ที่มา : bleepingcomputer

Entrust บริษัทยักษ์ใหญ่ด้านความมั่นคงปลอดภัยดิจิทัล ยืนยันว่าได้รับความเสียหายจากการโจมตีทางไซเบอร์ โดยผู้โจมตีได้เจาะเครือข่าย และขโมยข้อมูลจากระบบภายในออกไป Entrust เป็นบริษัทรักษาความปลอดภัยทางด้าน identity management, บริการเข้ารหัสสำหรับการสื่อสาร, ความปลอดภัยทางด้าน digital payments และ ID issuance solutions การโจมตีครั้งนี้อาจส่งผลกระทบต่อองค์กรต่างๆจำนวนมากที่ใช้งาน Entrust สำหรับการจัดการข้อมูลประจำตัว และการตรวจสอบสิทธิ์ ซึ่งขึ้นอยู่กับว่ามีข้อมูลประเภทใดบ้างที่ถูกขโมยออกไป รวมไปถึงหน่วยงานต่างๆของรัฐบาลสหรัฐฯ เช่น กระทรวงพลังงาน กระทรวงความมั่นคงแห่งมาตุภูมิ กระทรวงการคลัง กระทรวงสาธารณสุขและบริการมนุษย์ กรมกิจการทหารผ่านศึก กรมวิชาการเกษตร และองค์กรอื่นๆ อีกมากมาย แฮ็กเกอร์เจาะเครือข่ายของ Entrust ได้ในเดือนมิถุนายน เมื่อประมาณสองสัปดาห์ก่อน BleepingComputer ได้รับข้อมูลว่า Entrust ถูกโจมตีเมื่อวันที่ 18 มิถุนายน และแฮ็กเกอร์ขโมยข้อมูลของบริษัทออกไปด้วยระหว่างการโจมตี อย่างไรก็ตาม จนกระทั่งเมื่อวานนี้ (21 กรกฎาคม 2565 ) การโจมตีดังกล่าวถึงได้รับการยืนยันว่าเกิดขึ้นจริง เมื่อนักวิจัยด้านความปลอดภัย Dominic Alvieri ได้ทวีตรูปการแจ้งเตือนถึงการถูกโจมตีที่ส่งไปยังลูกค้าของ Entrust เมื่อวันที่ 6 กรกฎาคมจาก Entrust CEO Todd Wilkinson ข้อความระบุว่า “เมื่อวันที่ 18 มิถุนายน บริษัทได้พบว่ามีบุคคลที่ไม่ได้รับอนุญาตสามารถเข้าถึงระบบบางระบบของเราที่ใช้สำหรับการดำเนินงานภายใน เราพยายามทำงานอย่างหนักเพื่อแก้ไขสถานการณ์นี้มาโดยตลอด”
“ปัจจุบันบริษัทกำลังทำการตรวจสอบอย่างต่อเนื่อง มีเอกสารบางอย่างถูกนำออกไปจากระบบของเรา บริษัทจะติดต่อกับลูกค้าโดยตรงหากมีข้อมูลที่เชื่อได้ว่าจะส่งผลต่อความปลอดภัยของผลิตภัณฑ์ และบริการที่ให้กับองค์กรของลูกค้า"
Entrust ให้ข้อมูลกับ BleepingComputer ว่าพวกเขากำลังทำงานร่วมกับ บริษัทรักษาความปลอดภัยทางไซเบอร์ชั้นนำ และหน่วยงานบังคับใช้กฎหมายเพื่อตรวจสอบการโจมตี
"แม้ว่าการสืบสวนจะยังคงดำเนินอยู่ แต่จนถึงขณะนี้ยังไม่พบหลักฐานว่ามีปัญหาที่จะส่งผลกระทบต่อผลิตภัณฑ์ และการรักษาความปลอดภัยของเรา ผลิตภัณฑ์ และบริการเหล่านี้จะทำงานอยู่แยกจากระบบภายในของบริษัท ซึ่งยังสามารถให้บริการได้ตามปกติ” Entrust ให้ข้อมูลกับ BleepingComputer

กลุ่ม Ransomware
แม้ว่าประกาศ และคำกล่าวของ Entrust กับ BleepingComputer ไม่ได้บอกรายละเอียดเพิ่มเติมเกี่ยวกับการโจมตีดังกล่าว แต่ BleepingComputer คาดว่ากลุ่มผู้โจมตีน่าจะเป็นกลุ่มแรนซัมแวร์ที่รู้จักกันดี เป็นผู้อยู่เบื้องหลังการโจมตีครั้งนี้

ที่มา : bleepingcomputer

 

 

 

 

ผู้เชี่ยวชาญจาก Kaspersky พบ Ransomware ชนิดใหม่จากระบบ Darknet Threat Intelligence ที่มีชื่อว่า Luna ซึ่ง Luna Ransomware นี้สามารถเข้ารหัสระบบปฏิบัติการได้หลายระบบไม่ว่าจะเป็น Windows, Linux และ ESXi

รายละเอียดการโจมตี

จากการตรวจสอบของทีม Kasperky พบว่า Ransomware Luna มาจากผู้พัฒนาชาวรัสเซีย เนื่องจากภาษาอังกฤษที่ใช้ในสคริปเรียกค่าไถ่ยังมีการใช้คำผิดอยู่ รวมไปถึงฟีเจอร์ในการเข้ารหัส ซึ่งเข้ารหัสได้ตามคำสังที่มีให้เลือกเท่านั้น ทำให้นักวิจัยคาดว่ามันกำลังอยู่ระหว่างการพัฒนา

รูปแบบการเข้ารหัสของ Luna นั้นซับซ้อนมาก มีการแลกเปลี่ยนคีย์โดยใช้ Diffie-Hellman ร่วมกับการเข้ารหัสแบบ Curve25519 ด้วยอัลกอริทึม Advanced Encryption Standard (AES) ทำให้ยากมากในการถอดรหัส
ภาษาที่ใช้ในการพัฒนา Ransomware เป็นภาษาที่ใช้ข้าม Platform ได้ ทำให้การโจมตีบน OS อื่นๆ นอกจาก Windows ไม่จำเป็นต้องมีการเปลี่ยนแปลงใหญ่ๆบน source code เดิม

ในปัจจุบัน มีข้อมูลน้อยมากเกี่ยวกับเหยื่อ รวมไปถึงตัว Luna ransomware เอง เนื่องจากกลุ่มเพิ่งถูกค้นพบ และกิจกรรมของกลุ่มนั้นยังอยู่ในระหว่างการตรวจสอบที่มา

ที่มา : bleepingcomputer

 

ตามรายงานของผู้เชี่ยวชาญจาก Cyble มีการค้นพบ Ransomware ตัวใหม่ ที่มีการเปิดตัวภายใต้ชื่อ 'Lilith' ซึ่งเป็น Ransomware ที่ถูกพัฒนาโดยภาษา C/C++ เป้าหมายคือระบบปฏิบัติการ Windows 64 Bit ซึ่งคล้ายกับ Ransomware ที่เคยถูกพบก่อนหน้านี้อย่าง RedAlert และ 0mega โดย Lilith จะทำการโจมตีแบบ double-extortions คือจะทำการขโมยข้อมูลก่อนที่จะเข้ารหัสอุปกรณ์

(more…)

ผู้เชี่ยวชาญจาก MalwareHunterTeam ค้นพบ Ransomware ตัวใหม่ชื่อ RedAlert หรือมีอีกชื่อคือ N13V ถูกสร้างขึ้นโดยมีเป้าหมายไปที่ VMware EXSI Server ทั้งระบบปฏิบัติการ Windows และ Linux

โดยในตัว Linux encryptor มีตัวเลือกที่เป็น Command-Line ต่างๆ ให้ผู้โจมตีสามารถดำเนินการกับ VM ก่อนเข้ารหัสไฟล์ได้โดยคำสั่งดังนี้

-w คำสั่งสำหรับหยุดการทำงาน vm ทั้งหมดที่ทำงานอยู่
-p Path ที่จะ encrypt (ซึ่งค่า default มันจะทำการ encrypt ไฟล์ทั้งหมดใน directory เท่านั้น ไม่รวมไฟล์ใน subdirectories)
-f File ที่จะ encrypt
-r เรียกซ้ำ โดยใช้กับ Command -p (search และ encryption จะทำงานบน directory และ subdirectories ทั้งหมด)
-t ตรวจสอบเวลาในการ Encryption (เฉพาะการเข้ารหัสโดยไม่มี Key)
-n ค้นหาไฟล์โดยไม่มีการเข้ารหัส (show ffiles and folders with some info)
-x การทดสอบ Asymmetric cryptography และ DEBUG
-h แสดง Message

ลักษณะการโจมตี

เมื่อผู้โจมตีรัน Command -w Linux Encryptor จะปิด VM ทั้งหมดที่ใช้งานโดยใช้คำสั่ง ESXCLI ต่อไปนี้
esxcli --formatter=csv --format-param=fields=="WorldID,DisplayName" vm process list | tail -n +2 | awk -F $',' '{system("esxcli vm process kill --type=force --world-id=" $1)}'
ในการเข้ารหัสไฟล์ Ransomware จะใช้อัลกอริทึมการเข้ารหัส NTRUENCRYPT ซึ่งรองรับ Parameter Sets
เมื่อเข้ารหัสไฟล์ ransomware จะกำหนดเป้าหมายไปยังไฟล์ที่เชื่อมโยงกับ VMware ESXI Virtual Machines รวมไปถึง log files, swap files, virtual disks, และ memory files ที่มีนามสกุลดังนี้
.log
.vmdk
.vmem
.vswp
.vmsn
และจะผนวกไฟล์นามสกุล .crypt658 กับไฟล์ที่โดนเข้ารหัส
หลังจากเข้ารหัสแล้ว ransomware จะสร้างโน้ตที่ชื่อ How_To_Restore ซึ่งมีคำอธิบายข้อมูลที่ถูกขโมย และลิงก์ไปยังไซต์ชำระเงินค่าไถ่บน TOR Browser
หากเหยื่อไม่จ่ายค่าไถ่ แฮ็กเกอร์จะเผยแพร่ข้อมูลที่ถูกขโมยในลงบนเว็บไซต์ที่ทุกคนสามารถเข้าไปดาวน์โหลดได้

ปัจจุบัน เว็บไซต์ของ Redalert ที่เผยแพร่ข้อมูลเป้าหมาย มีข้อมูลเพียงองค์กรเดียวเท่านั้น ซึ่งระบุว่าเป็นกลุ่มที่ใหม่มาก แต่ก็เป็นพฤติกรรมที่จะต้องจับตาดูอย่างใกล้ชิด เนื่องจากฟังก์ชั่นที่ซับซ้อนของการ Encrypt ไฟล์ และรองรับทั้ง Linux และ Windows

ที่มา : bleepingcomputer

เมื่อวันเสาร์ที่ผ่านมา เว็บไซต์ DataBreaches.net ได้เผยแพร่ข้อมูลเกี่ยวกับโรงพยาบาล Fitzgibbon ในรัฐมิสซูรีที่ถูก Ransomware โจมตีจากกลุ่มที่แฮ็กเกอร์ที่มีชื่อว่า Daixin Team พวกเขาอ้างว่าได้ขโมยข้อมูลขนาด 40 GB ออกมา และเผยแพร่ไฟล์ที่ได้มาบางส่วนผ่าน Dark Web หนึ่งในไฟล์ที่ถูกเผยแพร่เป็นบัญชีอีเมลจากโรงพยาบาล Fitzgibbon ในช่วงปี 2552-2557

นอกจากนี้ยังพบไฟล์จำนวนมากที่มีข้อมูลด้านสุขภาพของผู้ป่วย เช่น ชื่อผู้ป่วย ข้อมูลการวินิจฉัยหรือการรักษา วันที่ให้บริการ ข้อมูลการประกันสุขภาพ และข้อมูลการเรียกเก็บเงิน

ไฟล์บางไฟล์มีบันทึกเกี่ยวกับผู้ป่วยที่กระทำผิด และกำลังถูกพิจารณาสำหรับการดำเนินการทางกฎหมาย นอกจากข้อมูลเกี่ยวกับผู้ป่วยแล้ว ยังมีไฟล์เกี่ยวกับพนักงานอีกด้วย เช่นไฟล์เงินเดือนของพนักงาน

แต่สิ่งที่น่าเป็นห่วงสุดในการโจมตีครั้งนี้คือ มีไฟล์จำนวนมากที่เกี่ยวข้องกับความปลอดภัยทางไซเบอร์ของโรงพยาบาล เช่น ไฟล์ประเมินระบบที่มีจุดอ่อน และต้องทำการแก้ไข, ไฟล์ Incident Report เป็นต้น

รายละเอียดเพิ่มเติม

หลังจากทราบข่าว ทีมจาก DataBreaches ได้ส่งอีเมลสอบถามไปยังโรงยาบาล แต่ไม่ได้รับการตอบกลับ และไม่มีประกาศบนเว็บไซต์เพื่อแจ้งเตือนผู้ป่วยเกี่ยวกับการละเมิด หรือการรั่วไหลของข้อมูลแต่อย่างใด ต่อมาทาง DataBreaches จึงมีการสอบถามไปยัง Daixin Team เพื่อขอรายละเอียดเพิ่มเติมแทน ได้รับคำตอบว่ามีการเข้ารหัสบนเซิร์ฟเวอร์ และระบบ Backup จริง ส่วนจำนวนเงินไม่ได้มีการเปิดเผยว่าเรียกไปเป็นจำนวนเท่าไหร่ นอกจากนี้ ทางโรงพยาบาลมีการ Backup ข้อมูลแบบ Offline อยู่จำนวนหนึ่ง จึงสามารถกู้คืนเองได้บางส่วน และจากเหตุการณ์ทั้งหมด โรงพยาบาล Fitzgibbon อ้างว่าจะจ่ายเงินเพื่อกู้คืนข้อมูล แต่ก็ไม่ได้มีการติดต่อไปยังกลุ่มแฮ็กเกอร์แต่อย่างใด ส่วนข้อมูลเกี่ยวกับตัวแฮ็กเกอร์ โฆษกของ Daixin ไม่เต็มใจที่จะให้ข้อมูล โดยบอกว่าพวกเขาต้องการอยู่ในความมืด และทุกการโจมตีจะไม่ก่อให้เกิดความเสียหายต่อชีวิตมนุษย์ เช่น จะไม่โจมตีระบบการแพทย์ให้หยุดทำงาน ส่วนเป้าหมายที่โจมตีนั้น พวกเขาได้อ้างว่าเคยโจมตีรัสเซีย และกลุ่มประเทศใน CIS แต่ประเทศเหล่านี้ไม่สนใจข้อมูลที่รั่วไหล และไม่มีการจ่ายเงิน จึงไม่ใช่เป้าหมายหลัก เป้าหมายหลักจะมุ่งเน้นไปที่บริษัทหรือองค์กรที่พร้อมจ่ายเงินให้แก่พวกเขา

แนวทางการป้องกัน

อัพเดตแพตช์บนระบบปฏิบัติการให้ล่าสุดเสมอ
อัพเดท Signature หรือเวอร์ชันของ Endpoint ให้เป็นปัจจุบัน
Backup ข้อมูลอย่างสม่ำเสมอ เพื่อป้องกันเหตุการณ์ที่เกิดขึ้นได้ในอนาคต
ติดตามข่าวสารอย่างใกล้ชิด

ที่มา : databreaches