กลุ่มผู้อยู่เบื้องหลังมัลแวร์เรียกค่าไถ่หันมาขโมยข้อมูลก่อนที่จะปล่อยมัลแวร์เข้ารหัสไฟล์มากขึ้นเพื่อข่มขู่เหยื่อให้ยอมจ่ายค่าไถ่ ไม่อย่างนั้นจะปล่อยข้อมูลที่ขโมยมา โดยเทคนิคข่มขู่นี้เริ่มมาจาก Maze ransomware ในเดือนธันวาคม 2019 และมีกลุ่มที่ดำเนินรอยตามอีกมาก รวมไปถึงมัลแวร์เรียกค่าไถ่ตัวใหม่ Conti

มัลแวร์เรียกค่าไถ่ Conti พบครั้งแรกในช่วงเดือนมิถุนายน 2020 จากการวิเคราะห์พบว่ามัลแวร์นี้น่าจะมาจากกลุ่มทีเคยอยู่เบื้องหลังมัลแวร์เรียกค่าไถ่ Ryuk มาก่อน โดย Conti แพร่กระจายผ่าน TrickBot และมีโค้ดแบบเดียวกับ Ryuk ในวันที่ 25 สิงหาคม 2020 ที่ผ่านมามีนักวิจัยรายงานการค้นพบเว็บไซต์สำหรับปล่อยข้อมูลผู้ที่ตกเป็นเหยื่อ Conti ซึ่งมีข้อมูลของเหยื่อแล้วกว่า 26 ราย

ZDNet ระบุว่าเทรนด์การขโมยข้อมูลก่อนเรียกค่าไถ่นี้ทำให้องค์กรต้องเพิ่มความสามารถในการรับมือตรวจสอบภัยคุกคามมากขึ้นกว่าแค่กู้คืนระบบ ต้องมีการตรวจสอบหากมี backdoor หลงเหลืออยู่ในระบบ รวมถึงต้องมีการประกาศข้อมูลรั่วไหลหากพบว่าข้อมูลผู้ใช้งานหรือพนักงานถูกขโมยออกไป

ที่มา

bleepingcomputer.

บริษัท Coveware, Emsisoft และ Recorded Future ได้ออกรายงานการจัดอันดับภัยคุกคามและช่องทางที่ถูกใช้โจมตีจากกลุ่ม Ransomware ซึ่งรายงานครึ่งปี 2020 ที่ผ่านมานั้นพบว่าช่องทางการโจมตีด้วย Remote Desktop Protocol (RDP), VPN และ Email phishing ยังได้รับความนิยมและถูกใช้อย่างเเพร่หลายและเป็นจุดเริ่มต้นของปฏิบัติการ Ransomware เพื่อใช้ในการโจมตีและหาประโยชน์ต่างๆ จากองค์กรที่ถูกบุกรุก

จากรายงานและการเก็บสถิติจาก Coveware และ Emsisoft พบว่า Remote Desktop Protocol (RDP) ถูกจัดให้เป็นอันดับหนึ่งในการใช้เป็นช่องทางการบุกรุกของกลุ่มปฏิบัติการ Ransomware เนื่องจากการใช้งาน RDP นั้นถูกใช้งานอย่างกว้างขวางและเป็นช่องทางในการเข้าถึงคอมพิวเตอร์ของผู้ใช้โดยตรงและยังสามารถติดตั้ง Ransomware และมัลแวร์อื่น ๆ ได้อีกด้วย

อันดับที่สองที่พบว่าถูกใช้ในการบุกรุกนั้นคือการใช้งานช่องโหว่ต่างๆ ของ VPN นับตั้งแต่กลางปี 2019 ที่ผ่านมาพบว่ามีการเปิดเผยช่องโหว่ที่รุนแรงหลายอย่างในอุปกรณ์ VPN จากบริษัทชั้นนำในปัจจุบัน ได้แก่ Pulse Secure, Palo Alto Networks, Fortinet, Citrix, Secureworks และ F5 ซึ่งการที่ช่องโหว่ถูกทำการเปิดเผยและผู้ใช้งานไม่ทำการเเพตซ์ช่องโหว่ในอุปกรณ์ VPN นั้นทำให้กลุ่มปฏิบัติการ Ransomware ที่ตั้งเป้าหมายเพื่อทำการบุกรุกองค์กรต่างๆ เช่นกลุ่ม REvil (Sodinokibi), Black Kingdom, Ragnarok, DoppelPaymer, Maze, CLOP และ Nefilim นั้นได้ใช้มองว่าช่องโหว่เช่น CVE-2019-19781 (Citrix), CVE-2019-11510 (Pulse Secure VPN) ที่ไม่ได้รับการเเพตซ์เป็นจุดเริ่มต้นในการบุกรุกองค์กรต่างๆ เมื่อสามารถเข้าถึงภายในเครือข่ายที่บุกรุกแล้วกลุ่มปฏิบัติการ Ransomware จะทำการติดตั้ง Ransomware และมัลแวร์อื่น ๆ ที่ใช้ในการเข้ารหัสไฟล์ เพื่อใช้ในการข่มขู่องค์กรที่ตกเป็นเหยื่อต่อไป

ทั้งนี้ผู้เชี่ยวชาญด้านความปลอดภัยทางไซเบอร์ได้เเนะนำให้ผู้ดูแลระบบตรวจเช็คการใช้งานเชื่อมต่อด้วย RDP และอุปกรณ์ VPN ว่าทำการเเพตซ์ซอฟต์แวร์เป็นเวอร์ชันล่าสุดหรือยังหรือถ้าต้องการใช้งาน RDP ควรใช้งานผ่าน VPN หรือหาซอฟต์แวร์ third party มาใช้งานเชื่อมต่อเเทนการเชื่อมต่อด้วย RDP โดยตรงผ่านระบบอินเตอร์เน็ตและเพื่อเป็นการป้องกันผู้ประสงค์ร้ายทำการโจมตีระบบซึ่งจะเป็นการป้องกันความเสียหายจากการโจมตีและทรัพย์สินขององค์กร

ที่มา: zdnet.

Garmin บริษัทผู้ผลิตสมาร์ทวอทช์และอุปกรณ์สวมใส่ชื่อดังได้เเจ้งการหยุดให้บริการชั่วคราวในหลายๆระบบของ Garmin เช่น เว็บไซต์ Garmin.

บริษัท Telecom Argentina ผู้ให้บริการ ISP รายใหญ่ของประเทศอาเจนติน่าได้เปิดเผยถึงกลุ่ม REVIL Ransomware หรือ Sodinokibi ได้ทำการโจมตีบริษัทและทำการเรียกร้องค่าไถ่เป็นเงินจำนวน $7.5 ล้านเหรียญเพื่อเป็นค่าไถ่สำหรับการปลดล็อกไฟล์ที่ถูกเข้ารหัส

เหตุการณ์เกิดในวันเสาร์ที่ 18 กรกฎาคม 2020 โดยกลุ่ม REVIL Ransomware ได้ทำการโจมตีเครือข่ายของบริษัทหลังจากที่พนักงานคนหนึ่งของบริษัทเปิดไฟล์ที่เเนบมากับอีเมลที่เป็นอันตรายของกลุ่ม REVIL Ransomware จึงทำให้กลุ่ม REVIL Ransomware สามารถเข้าควบคุม Domain Admin ภายในเครือข่ายบริษัทและทำแพร่กระจาย Ransomware ภายในเครือข่าย ซึ่งในช่วงเวลาที่ถูกบุกรุกนั้นทาง ISP ได้ทำการตรวจจับการบุกรุกในทันทีและได้แจ้งเตือนพนักงานผ่านการแจ้งเตือนภายใน เพื่อจำกัดการเชื่อมภายในเครือข่ายขององค์กรกับเครือข่าย VPN ภายในและยังสั่งห้ามพนักงานไม่ให้ทำการเปิดอีเมลที่มีไฟล์แนบ

ผู้ให้บริการ ISP กล่าวว่าอีกว่าเหตุการณ์ครั้งนี้ไม่ส่งผลกระทบต่อบริการโทรศัพท์พื้นฐานหรือเคเบิลทีวีและไม่ได้ทำให้การเชื่อมต่ออินเทอร์เน็ตสำหรับลูกค้าของ ISP มีปัญหา หลังจากเกิดเหตุการณ์ภายในเว็บพอร์ทัลของ REVIL Ransomware มีข้อความแสดงความต้องการค่าไถ่จำนวน 109,345.35 เหรียญ Monero หรือประมาณ 7.5 ล้านเหรียญและถ้าหากไม่ทำการจ่ายภายใน 3 วันจำนวนเงินเรียกค่าไถ่จะเพิ่มเป็น 2 เท่า

ทั้งนี้ผู้สื่อข่าวของ ZDNet ให้ความเห็นว่าการโจมตีผ่านอีเมลของกลุ่ม REVIL ในครั้งนี้แตกต่างจากพฤติกรรมในอดีตที่มักโจมตีผ่านช่องโหว่ในผลิตภัณฑ์ระดับองค์กรอย่างที่เคยมีประวัติโจมตีด้วยช่องโหว่ Pulse Secure และ Citrix VPN ซึ่งนักวิจัยด้านความปลอดภัยจากบริษัท Bad Packets พบว่าบริษัท Telecom Argentina นั้นมีการใช้ Citrix VPN และใช้ Citrix ที่มีช่องโหว่ CVE-2019-19781 อีกด้วย

ทั้งนี้ผู้ใช้งานควรทำการตรวจสอบเเหล่งที่มาของอีเมลและทำการตรวจสอบไฟล์ที่แนบมากับอีเมลทุกครั้งที่เปิดเพื่อป้องกันการโจมตีด้วย Ransomware ซึ่งอาจจะทำให้ระบบของผู้ใช้งานได้รับผลกระทบและเสียหาย รวมถึงผู้ดูแลระบบควรอัพเดตแพตช์ความปลอดภัยของผลิตภัณฑ์ระดับองค์กรเพื่อลดความเสี่ยงจากการโจมตี

ที่มา: zdnet.

บริษัทด้านความปลอดภัย SentinelOne ได้มีการตรวจพบปัญหาในการกระบวนการเข้ารหัสของ ThiefQuest ซึ่งนำไปสู่การพัฒนาเครื่องมือสำหรับถอดรหัสไฟล์ที่ถูกเข้ารหัสโดยมัลแวร์ ThiefQuest สำหรับผู้ตกเป็นเหยื่อได้โดยที่ไม่ต้องจ่ายค่าไถ่

ThiefQuest Ransomware หรือชื่อเดิมคือ EvilQuest Ransomware เป็นมัลแวร์เรียกค่าไถ่ที่มุ่งเป้าหมายไปยังผู้ใช้ macOS โดยเมื่อเข้าไปในเครื่องผู้ใช้ได้แล้ว มันจะทำการติดตั้ง Keylogger ,Backdoor เพื่อทำการค้นหาการมีอยู่ของ digital wallet ของ cryptocurrency เพื่อขโมยข้อมูล รวมไปถึงเข้ารหัสไฟล์ในระบบ ในปัจจุบันการแพร่กระจายโดยส่วนใหญ่ของมัลแวร์ TheifQuest นั้นแอบแฝงมากับซอร์ฟแวร์เถื่อน

วีดีโอสอนวิธีการใช้งานเครื่องมือถอดรหัส รวมไปถึงโปรแกรมสำหรับถอดรหัสสามารถดาวน์โหลดได้ที่: https://labs.

กลุ่ม Maze Ransomware ซึ่งมีผลงานล่าสุดกับการโจมตีระบบของการไฟฟ้าส่วนภูมิภาคและระบบของบริษัทชั้นนำอย่าง ST Engineering มีการอัปเดตกฎใหม่ผ่าน Official press ของทางกลุ่ม โดยเราอาจมองได้ว่านี่คือ Service Level Agreement (SLA) ที่ Maze นำเสนอมาใหม่

ภายใต้ประกาศใหม่นั้น Maze จะปล่อยข้อมูลภายในของเหยื่อเพื่อยืนยันการโจมตีภายใน 3 วัน โดยกลุ่มสนับสนุนให้มีการพูดคุยกันเพื่อหาข้อตกลงที่เหมาะสมที่สุดในการจ่ายค่าไถ่ พร้อมคำขู่ใหม่ว่าจะมีการปล่อยข้อมูลทั้งหมดหากเหยื่อไม่ยอมเข้ามาพูดคุยเรื่องข้อตกลงภายใน 10 วัน โดยเมื่อมีการปล่อยข้อมูลแล้ว ทาง Maze จะมีการติดต่อไปยังลูกค้าและคู่ค้าของเหยื่อ รวมไปถึงหน่วยงานกำกับดูแลเพื่อกดดันและประจานด้วย

การออกมาของกฎใหม่นี้กระทบกับกรณีของการโจมตีการไฟฟ้าส่วนภูมิภาค เนื่องจากกลุ่มได้มีการระบุอย่างชัดเจนว่าทางกลุ่ม Maze Ransomware กำลังจะดำเนินการปล่อยข้อมูลทั้งหมดของเหยื่อซึ่งรวมไปถึงการไฟฟ้าส่วนภูมิภาคในเร็ววันนี้

ที่มา: twitter

“EvilQuest” แรนซัมแวร์ชนิดใหม่ซึ่งถูกค้นพบโดย Dinesh Devadoss นักวิจัยมัลแวร์จาก K7 Lab, Thomas Reed จาก Malwarebytes และ Patrick Wardle จาก Jamf Principal รายงานของนักวิจัยได้เปิดเผยว่าแรนซัมแวร์ชนิดใหม่นี้มุ่งเป้าหมายไปยังผู้ใช้งาน macOS ซึ่งแรนซัมแวร์ชนิดนี้จะทำการเเพร่กระจายไปสู่ผู้ใช้งาน โดยการปลอมเเปลงเป็นโปรเเกรม Google Software Update และแฝงไปกับซอฟต์เเวร์ที่ทำการดาวน์โหลดแบบละเมิดลิขสิทธิ์ยอดนิยมเช่น Little Snitch, Ableton Live และ Mixed in Key ใน Bit Torrent

Devadoss กล่าวว่า EvilQuest แรนซัมแวร์นั้นถูกพบครั้งเเรกปลายเดือนมิถุนายนที่ผ่านมา โดย EvilQuest นั้นนอกจากจะมีคุณสมบัติในการเข้ารหัสข้อมูลของเหยื่อแลัว EvilQuest ยังมีคุณสมบัติในการใช้งานและติดตั้ง keylogger, reverse shell และจะทำการขโมยไฟล์ต่างๆ ที่เกี่ยงข้องกับ cryptocurrency wallet เป็นต้น

เมื่อผู้ใช้งานเหยื่อของ EvilQuest และถูกเข้ารหัสข้อมูลเสร็จแล้ว จะพบว่ามีไฟล์ที่ชื่อว่า READ_ME_NOW.txt พร้อมคำเเนะนำในการจ่ายค่าไถ่ โดยผู้ที่ตกเป็นเหยื่อจะถูกขอให้จ่ายเงินค่าไถ่เป็นจำนวนเงิน $50 หรือประมาณ 1500 บาท ในสกุลเงิน bitcoin ภายในเวลา 72 ชั่วโมง เพื่อกู้คืนไฟล์ที่ถูกเข้ารหัส

ข้อเเนะนำ
ผู้ใช้งาน macOS ควรระมัดทำการติดตั้งซอฟต์เเวร์ที่มีลิขสิทธิ์ ไม่ควรทำการติดตั้งซอฟต์เเวร์ที่ละเมิดลิขสิทธิ์และควรระวังในการดาวน์โหลดซอฟต์เเวร์หรือไฟล์จากเเหล่งที่ไม่รู้จัก เพื่อป้องกันการตกเป็นเหยื่อของแรนซัมแวร์ชนิดใหม่นี้

ที่มา:

bleepingcomputer
helpnetsecurity

ผู้ใช้ทวิตเตอร์ที่ชื่อ Shadow Intelligence ซึ่งคอยรายงานข้อมูลการรั่วไหลของข้อมูลที่ถูกแฮก ได้ทำการทวีตเอกสารที่อ้างว่าเป็นข้อมูลที่รั่วไหลจากเว็บไซต์ mitsubishi-paper[.]com

จากการตรวจสอบ mitsubishi-paper[.]com นั้นพบว่าเป็นบริษัทที่ทำการผลิตกระดาษ, หมึกพิมพ์และ เครื่องพิมพ์ที่ทำการจัดจำหน่ายในทวีปยุโรป ข้อมูลที่ถูกทวิตนั้นประกอบไปด้วยชื่อเครื่องที่ติด Ransomware และเอกสารตัวอย่างที่ทำการนำออกมาจาก mitsubishi-paper[.]com ในขณะนี้มีการคาดการณ์ว่าการโจมตีดังกล่าวเกิดขึ้นจาก DoppelPaymer Ransomware

ล่าสุดผู้ใช้ทวิตเตอร์ที่ชื่อ Shadow Intelligence ได้ทำการทวีตอีกครั้งและยังกล่าวว่าเอกสารที่ถูกขโมยออกมานั้นไม่มีส่วนเกี่ยวข้องกับผลิตภัณฑ์รถยนต์ของมิตซูบิชิ

ที่มา: twitter.

บริษัทผู้ให้บริการรักษาความปลอดภัยบนไซเบอร์ REDTEAM.PL จากประเทศโปแลนด์ ได้เปิดเผยถึงมัลแวร์ตัวใหม่จากกลุ่มผู้พัฒนา Black Kingdom Ransomware ซึ่งทำมีเป้าหมายการโจมตีเครือข่ายขององค์กรต่างๆ ด้วยช่องโหว่จาก Pulse Secure VPN (CVE-2019-11510) ที่ยังไม่ได้ทำการเเพตซ์ความปลอดภัยบนซอฟต์แวร์ Pulse Secure VPN

Black Kingdom Ransomware ถูกพบครั้งแรกในปลายเดือนกุมภาพันธ์โดยนักวิจัยด้านความปลอดภัย GrujaRS
โดยมัลแวร์จะเข้ารหัสไฟล์และเปลี่ยนนามสกุลของไฟล์เป็น .DEMON หลังจากเข้ารหัสไฟล์แล้วจะทิ้งโน๊ตหมายเหตุเรียกค่าไถ่การเข้ารหัสไฟล์ ซึ่งเป้นเงินจำนวน $10,000 หรือ 312,000 บาท

ข้อเเนะนำ
ผู้ใช้งานหรือผู้ดูแลระบบขององค์กรควรทำการตรวจสอบซอฟต์แวร์ Pulse Secure VPN และทำการอัปเดตเเพตซ์ความปลอดภัยเป็นเวอร์ชั่นล่าสุดและควรระมัดระวังในการเปิดเอกสารหรือดาวน์โหลดไฟล์จากเเหล่งที่มาที่ไม่รู้จัก เพื่อป้องกันการถูกโจมตีด้วย Ransomware

ทั้งนี้นักวิจัยได้ทำการวิเคราะห์ Black Kingdom Ransomware และ IOCs ผู้ที่สนใจสามารถเข้าไปดูได้ที่: any.

ทีมนักวิจัยด้านความปลอดภัยจาก Recorded Fiuture ได้มีการเปิดเผยถึง Ransomware-as-a-service (RaaS) ชนิดใหม่ที่ถูกเรียกว่า Thanos ซึ่งปัจจุบันกำลังได้รับความนิยมเพิ่มขึ้นในฟอรัมใต้ดินหลายแห่ง โดยมัลแวร์เรียกค่าไถ่ Thanos นี้มีฟีเจอร์ในการแพร่กระจายและการขโมยข้อมูลอยู่ในตัวเองได้

หนึ่งในความน่าสนใจที่ทำให้มัลแวร์เรียกค่าไถ่ Thanos ได้รับความนิยมสูงขึ้นนั้นคือการที่มัลแวร์มีการใช้เทคนิค RIPlace ในการหลบหลีกการตรวจจับในระหว่างการเข้ารหัสไฟล์ เทคนิค RIPace นี้ใช้การฟังก์ชัน DefineDosService() ในการช่วยสร้างและจัดการไฟล์ที่ถูกเข้ารหัส ส่งผลให้โปรแกรมป้องกันมัลแวร์ไม่สามารถตรวจจับได้

Thanos ถูกพบครั้งแรกในเดือนตุลาคม 2019 และได้รับการพัฒนาอย่างต่อเนื่อง โดยนอกจากการเข้ารหัสไฟล์เพื่อเรียกค่าไถ่ปกติแล้ว Thanos ยังมีฟังก์ชั่น ftp_file_exfil() ซึงฟังก์ชั่นนี้จะทำให้สามารถคัดลอกไฟล์และทำการส่งกลับไปยังเซิร์ฟเวอร์ FTP ของผู้โจมตี รวมไปถึงการใช้เครื่องมือในการทดสอบเจาะระบบ SharpExec ซึ่งเป็นเวอร์ชัน C# ของโปรแกรม PsExec ในการเเพร่กระจายตัวไปยังอุปกรณ์ที่อยู่ในเครือข่ายด้วย

ผู้ใช้ควรทำการระมัดระวังในการใช้งานเช่น การเปิดอีเมลจากผู้ใช้งานที่ไม่รู้จักหรือการดาวน์โหลดไฟล์จากเว็บไซต์ที่ไม่รู้จัก เพื่อป้องกันการถูกโจมตีจากแรนซัมแวร์

ที่มา:

threatpost
bleepingcomputer