เมื่อเร็วๆ นี้ ทหารผ่านศึกสหรัฐถูกทำให้กังวลโดยเว็บไซต์ปลอมหนึ่งที่แปลงรูปเป็นองค์กรเสนองานให้พวกเขา โชคดีที่หลายคนพบความจริงและรู้ว่ามันถูกสร้างขึ้นเพื่อวัตถุประสงค์เดียว คือ แจกจ่ายมัลแวร์ที่ให้โจมตีควบคุมคอมพิวเตอร์เหยื่ออย่างเต็มที่
ตามนักวิจัยจาก Cisco Talos Group องค์กรนี้เรียกตัวเองว่า Hire Military Heroes (HMH) เมื่อทหารผ่านศึกเข้าเว็บ จะโน้มน้าวให้ดาวน์โหลด Desktop Application ที่โฆษณาช่วยหางาน
Cisco Talos Group เน้นว่า ผู้สร้างและโจมตีเบื้องหลังเว็บไซต์นี้คือ Tortoiseshell กลุ่มโจมตีที่ระบุตัวตนใหม่ ซึ่งเคยโจมตีบริษัท IT หลายแห่งเพื่อดึงฐานข้อมูลลูกค้า
กลุ่มเพิ่มเติมว่า "นี่คือการกระทำล่าสุดของ Tortoiseshell การวิจัยก่อนหน้าระบุว่า Actor นี้อยู่เบื้องหลังการโจมตีผู้ให้บริการ IT ใน Arab Saudi สำหรับแคมเปญนี้ Talos ติดตาม Tortoiseshell ใช้ Backdoor เดียวกับที่เคยใช้ แสดงว่าพวกเขาพึ่งพา Tactics, Techniques และ Procedures (TTPs) เดิม"
เว็บไซต์หางานปลอมสำหรับทหารผ่านศึกนี้แพร่มัลแวร์อย่างไร?
ชัดเจนว่า มัลแวร์มุ่งเป้าทหารผ่านศึกสหรัฐ ดังนั้น หากพวกเขาไม่ชำนาญเทคโนโลยี หรือไม่รู้ว่าเว็บไซต์หางานปลอมนี้มีมัลแวร์ พวกเขาจะถูกล่อลวงง่ายๆ
นี่คือวิธีการทำงาน: เมื่อเข้าเว็บ จะถูกแจ้งให้ดาวน์โหลดโปรแกรมสำหรับอุปกรณ์ สำหรับ Windows มัลแวร์มาใน Zip File ที่มีโปรแกรมชื่อ win10.exe
เมื่อเปิดโปรแกรม หน้าจอ Loading เล็กๆ จะโผล่ บอกว่า "Hire Military Heroes is a new resource for hiring armed forces" พยายามโน้มน้าวเหยื่อว่ากำลังเชื่อมต่อฐานข้อมูล
ความจริงคือ ขณะหน้าจอแสดงอยู่ มัลแวร์กำลังดาวน์โหลดมัลแวร์อีก 2 ตัวและบันทึกลงคอมพิวเตอร์
ภายหลัง Alert จะโผล่บนหน้าจอ บอกว่า "Your security solution is terminating connections to our servers" Alert ปลอมนี้แสดงเพื่อทำให้โปรแกรมดูปลอดภัยและถูกต้อง
ในจุดนี้ มัลแวร์ 2 ตัวถูกดาวน์โหลดและรันในพื้นหลังแล้ว ตัวแรกเก็บข้อมูลเกี่ยวกับเหยื่อและคอมพิวเตอร์ ตัวที่สอง Execute คำสั่งทั้งหมดที่โจมตีให้
มัลแวร์เก็บข้อมูลผู้ใช้อย่างไร?
เอนทิตีมัลแวร์ตัวแรกที่ดาวน์โหลด จะรันคำสั่งทั้งหมด 111 คำสั่ง ทั้งหมดมีจุดประสงค์เก็บข้อมูลทุกรายละเอียดเกี่ยวกับเหยื่อและคอมพิวเตอร์
เมื่อ Execute คำสั่งจะ List ไฟล์ทั้งหมดบนคอมพิวเตอร์ ข้อมูลเกี่ยวกับ Drive กระบวนการ Active ทั้งหมด ข้อมูล Networking ที่มีประโยชน์ Network Shares ทั้งหมด Firewall Data บัญชีผู้ใช้ที่มีอยู่บนอุปกรณ์ และรายละเอียดอื่นๆ
หลังเก็บข้อมูลครบ ทุกอย่างจะบันทึกลงไฟล์ชื่อ %Temp%\si.cab แล้วส่งกลับไปหาผู้โจมตีโดยใช้ Credentials Gmail ของเหยื่อ
มัลแวร์ Execute คำสั่งจากโจมตีอย่างไร?
เหมือนที่กล่าว มีมัลแวร์ 2 ตัวดาวน์โหลด ตัวแรกเก็บข้อมูล ตัวที่สอง Execute คำสั่งจากโจมตี
เอนทิตีมัลแวร์ตัวที่สอง เป็น Remote Access Trojan จะติดตั้งเป็น Windows Service ชื่อ dllhost เนื่องจากตั้งค่า Start Automatically ควรทำงานทุกครั้งที่ Windows เริ่มต้น
เมื่อ Active Trojan จะสื่อสารกลับไปยัง Creator และ Control Servers ผ่านเซิร์ฟเวอร์เหล่านี้ มัลแวร์รับคำสั่ง Upload Files, Terminate Services หรือ Execute คำสั่งอื่นๆ
จนถึงตอนนี้ ไม่ทราบว่ามัลแวร์กระจายอย่างไร นักวิจัยกล่าวว่า "ในขณะเผยแพร่ เรายังไม่มี Method of Distribution ที่ใช้ และไม่มีหลักฐานว่ามันมีอยู่ในธรรมชาติ ระดับ Sophistication ต่ำ เพราะ .NET Binary ที่ใช้มี OPSEC Capabilities แย่ เช่น Hard-coded Credentials แต่ใช้เทคนิคขั้นสูงมากขึ้นโดยทำให้มัลแวร์เป็น Modular และรู้ว่าเหยื่อรันมันแล้ว"
พวกเขาเพิ่มว่า "มีโอกาสที่ทีมหลายทีมจาก APT ทำงานบนองค์ประกอบหลายอย่างของมัลแวร์นี้ เนื่องจากเราเห็นระดับ Sophistication บางระดับมีอยู่ และ Victimology หลายระดับ"
เคล็ดลับป้องกันมัลแวร์
หากคุณต้องการคอมพิวเตอร์ปลอดภัยจากเอนทิตีมัลแวร์ ควรดำเนินมาตรการป้องกัน นี่คือเคล็ดลับ:
เคล็ดลับ #1: ติดตั้งซอฟต์แวร์ Anti-Malware
เคล็ดลับนี้อาจดูชัดเจน แตหลายคนเลือกไม่สนใจ ใช่ คอมพิวเตอร์อาจมี Built-in Anti-malware Protection อยู่แล้ว แต่คุณไม่มีทางแน่ใจ เราแนะนำให้ติดตั้ง Anti-malware ภายนอกที่น่าเชื่อถือ เพื่อเพิ่มระดับความปลอดภัย หลังติดตั้ง Anti-malware ขั้นตอนต่อไปคือ ให้แน่ใจว่า OS ทันสมัย
เคล็ดลับ #2: ทำให้ Operating System ทันสมัย
ไม่ว่าคุณจะรัน macOS, Linux หรือ Windows มันเป็นหน้าที่ของคุณให้มันทันสมัยเสมอ นักพัฒนา OS ทำงานเพื่อปล่อย Security Patches ที่แก้ Bugs และ Issues ที่รายงานก่อนหน้า
เคล็ดลับ #3: ให้แน่ใจว่าเครือข่ายของคุณปลอดภัย
เราทุกคนใช้คอมพิวเตอร์เชื่อมต่อ Printer, คอมพิวเตอร์อื่นๆ และ อินเทอร์เน็ต การให้แน่ใจว่าการเชื่อมต่อทั้งหมดปลอดภัย ต้องใช้รหัสผ่านแข็งแกร่ง
นอกจากนี้ หากเป็นไปได้ อย่า Broadcast Open WiFi Network ควรใช้ WPA หรือ WPA2 Encryption เพราะ WEP ล้าสมัยแล้ว ในไม่กี่นาที แฮกเกอร์ข้าม WEP Encryption ได้
เป็นไอเดียดีที่หลีกเลี่ยงการ Broadcast SSID หรือชื่อเครือข่าย WiFi ของคุณ แม้จะหมายความว่าคุณต้องตั้งค่าเครือข่ายด้วยตนเองบนอุปกรณ์ แต่ก็บ่งชี้เครือข่ายที่ปลอดภัยกว่า
เคล็ดลับ #4: คิดก่อนคลิก (Think Before You Click)
เคล็ดลับนี้ต้องใช้ Common Sense หากคุณไม่รู้ผู้ส่งอีเมล หลีกเลี่ยงคลิกอะไรเลย ทำเป็นนิสัย Hover Over ลิงก์ก่อน เพื่อรู้ว่าจะพาไปไหน นอกจากนี้ หากต้องดาวน์โหลดไฟล์จากเว็บ ให้สแกนก่อนรัน
เคล็ดลับ #5: หลีกเลี่ยงการเชื่อมต่อ Open WiFi Networks
เมื่อคุณอยู่สาธารณะ เช่น ห้องสมุด ร้านกาแฟ หรือสนามบิน หลีกเลี่ยงเชื่อมต่อ Open WiFi Network ให้แน่ใจว่าทำอย่างนี้ โดยเฉพาะหากเข้าถึงแอปธนาคารหรือเอกสารลับ มีโอกาสโจมตีอยู่บนเครือข่ายเดียวกัน รอเหยื่อต่อไปตกกับเหยื่อ
เคล็ดลับ #6: มี Backup ไฟล์สำคัญ
เมื่อสถานการณ์แย่ที่สุด สิ่งที่ดีที่สุดคือ มี Backup ไฟล์สำคัญ ควรเก็บ Backup บน Storage Device แยกต่างหาก ทำให้เมื่อไม่สามารถเปิดคอมพิวเตอร์ได้ คุณกู้คืน Backup และมีไฟล์/เอกสารพร้อมบนอุปกรณ์อื่น
เคล็ดลับ #7: ดำเนินการ (Take Action)
เคล็ดลับและข้อมูลทั้งหมดที่แชร์ที่นี่จะไร้ประโยชน์ หากคุณไม่ทำอะไร เหตุผลคือ คุณต้อง Identify และทำทุกอย่างที่ทำได้เพื่อป้องกันการโจมตีมัลแวร์ หากคุณไม่ติดตั้ง Anti-malware Software จะมาถึงเวลาที่ภัยคุกคามจะหาทางทำลายระบบ
重點在於採取行動 只是坐在電腦前不會對惡意軟體實體產生任何作用
สรุป
เหมือนที่พวกเขาพูดเสมอ "ถ้าดีเกินจริง น่าจะไม่ใช่จริง" คิดดูสิ คุณต้องทำงานเพื่อได้งาน คุณไม่สามารถได้งานง่ายๆ โดยแค่ดาวน์โหลดโปรแกรมหรือแอป หากคุณเจอเว็บไซต์บอกให้ดาวน์โหลดโปรแกรมช่วยหางาน ปิดมันทันที คุณหางานดีได้จากเว็บไซต์ถูกต้องเยอะมาก
ฉลาดขึ้น อย่าปลอมให้หลอกลวงด้วย tactic การฉ้อโกงเหล่านี้ นำมาตรการป้องกันไปใช้ เพื่อแฮกเกอร์ไม่หาทางขโมยข้อมูลสำคัญจากคุณ
คุณเคยเจอมัลแวร์คล้ายๆ นี้มาก่อนไหม? จัดการยังไง? บอกเราในความคิดเห็นได้เลย
