พบการโจมตีใหม่ ซ่อน Backdoor และ Cryptominer ในไฟล์เสียง .WAV

นักวิจัยจาก BlackBerry Cylance ได้ออกมาประกาศถึงการค้นพบการโจมตีแบบใหม่ที่อาศัยไฟล์เสียงนามสกุล .WAV ในการซ่อม Backdoor และ Monero Cryptominer เพื่อใช้ในการโจมตี

Credit: ShutterStock

ก่อนหน้านี้การซ่อม Payload สำหรับใช้ในการโจมตีนั้นมักนิยมทำกับไฟล์ภาพนามสกุล .JPEG หรือ .PNG ด้วยการอาศัยเทคนิค Steganography กันเป็นหลักเพื่อหลบการตรวจจับจากเทคโนโลยี Anti-Malware แต่สำหรับการซ่อน Payload ในไฟล์เสียงนั้น นี่ถือเป็นครั้งที่สองเท่านั้น โดยครั้งแรกนั้นคือการที่ Symantec ตรวจพบกลุ่ม Turla ว่ามีการฝัง Metasploit Meterpreter Backdoor มาใน .WAV

การค้นพบในครั้งนี้ ทีม Cylance ได้พบการทำ Steganography เพื่อโจมตีเหยื่อด้วย XMRig Monero Cryptominer หรือใช้ Metasploit เพื่อเปิด Reverse Shell โดยตัวไฟล์เสียงเหล่านั้นหากเปิดฟังแล้วก็จะพบว่าเป็นไฟล์เสียงตามปกติที่ไม่ได้มีปัญหาในเชิงคุณภาพใดๆ หรือเป็นเสียงนิ่งๆ แบบ White Noise เท่านั้น ซึ่งตัวไฟล์เสียงเหล่นี้จะมาพร้อมกับ Loader ที่ทำการ Decode และ Execute คำสั่งต่างๆ ที่ถูกซ่อนอยู่ในไฟล์เสียงเหล่านั้นด้วย โดยมีวิธีการในการ Decode และ Execute ที่แตกต่างกันออกไปถึง 3 แบบด้วยกัน

สำหรับรายงานฉบับเต็มจาก Cylance สามารถอ่านได้ที่ https://threatvector.cylance.com/en_us/home/malicious-payloads-hiding-beneath-the-wav.html ครับ

ที่มา: https://www.bleepingcomputer.com/news/security/attackers-hide-backdoors-and-cryptominers-in-wav-audio-files/



About techtalkthai

ทีมงาน TechTalkThai เป็นกลุ่มบุคคลที่ทำงานในสาย Enterprise IT ที่มีความเชี่ยวชาญทางด้าน Network, Security, Server, Storage, Operating System และ Virtualization มารวมตัวกันเพื่ออัพเดตข่าวสารทางด้าน Enterprise IT ให้แก่ชาว IT ในไทยโดยเฉพาะ

Check Also

พบ 25 แอปพลิเคชันบน Android แอบเก็บเงินค่าบริการหลังพ้นช่วงทดลองใช้

เมื่อหลายวันก่อน Sophos ได้รายงานเกี่ยวกับการค้นพบ 25 แอปพลิเคชันที่แอบเก็บค่าบริการผู้ใช้งานเมื่อไม่ทำการกดยกเลิกช่วงทดลอง โดยจากตัวเลขสถิติมีผู้ดาวน์โหลดรวมกันกว่า 600 ล้านครั้ง

Citrix ประกาศออกแพตช์ช่องโหว่ร้ายแรงให้ ADC แล้ว แนะผู้ใช้เร่งอัปเดต

หลังจากตกเป็นข่าวมาระยะหนึ่งสำหรับช่องโหว่ร้ายแรงของ Citrix ADC และ Gateway ล่าสุดมีการประกาศออกแพตช์แล้ว จึงแนะนำให้ผู้ใช้เร่งอัปเดตครับ