พบการโจมตีใหม่ ซ่อน Backdoor และ Cryptominer ในไฟล์เสียง .WAV

นักวิจัยจาก BlackBerry Cylance ได้ออกมาประกาศถึงการค้นพบการโจมตีแบบใหม่ที่อาศัยไฟล์เสียงนามสกุล .WAV ในการซ่อม Backdoor และ Monero Cryptominer เพื่อใช้ในการโจมตี

ก่อนหน้านี้การซ่อม Payload สำหรับใช้ในการโจมตีนั้นมักนิยมทำกับไฟล์ภาพนามสกุล .JPEG หรือ .PNG ด้วยการอาศัยเทคนิค Steganography กันเป็นหลักเพื่อหลบการตรวจจับจากเทคโนโลยี Anti-Malware แต่สำหรับการซ่อน Payload ในไฟล์เสียงนั้น นี่ถือเป็นครั้งที่สองเท่านั้น โดยครั้งแรกนั้นคือการที่ Symantec ตรวจพบกลุ่ม Turla ว่ามีการฝัง Metasploit Meterpreter Backdoor มาใน .WAV

การค้นพบในครั้งนี้ ทีม Cylance ได้พบการทำ Steganography เพื่อโจมตีเหยื่อด้วย XMRig Monero Cryptominer หรือใช้ Metasploit เพื่อเปิด Reverse Shell โดยตัวไฟล์เสียงเหล่านั้นหากเปิดฟังแล้วก็จะพบว่าเป็นไฟล์เสียงตามปกติที่ไม่ได้มีปัญหาในเชิงคุณภาพใดๆ หรือเป็นเสียงนิ่งๆ แบบ White Noise เท่านั้น ซึ่งตัวไฟล์เสียงเหล่นี้จะมาพร้อมกับ Loader ที่ทำการ Decode และ Execute คำสั่งต่างๆ ที่ถูกซ่อนอยู่ในไฟล์เสียงเหล่านั้นด้วย โดยมีวิธีการในการ Decode และ Execute ที่แตกต่างกันออกไปถึง 3 แบบด้วยกัน

สำหรับรายงานฉบับเต็มจาก Cylance สามารถอ่านได้ที่ https://threatvector.cylance.com/en_us/home/malicious-payloads-hiding-beneath-the-wav.html ครับ

ที่มา: https://www.bleepingcomputer.com/news/security/attackers-hide-backdoors-and-cryptominers-in-wav-audio-files/