Breaking News
AMR | Sophos Webinar

พบมัลแวร์ ตัวใหม่ ‘EvilGnome’ มุ่งโจมตีผู้ใช้งานลีนุกซ์

นักวิจัยด้านความมั่นคงปลอดภัยจาก Intezer ได้ออกมาเปิดเผยการค้นพบ Backdoor ตัวใหม่ชื่อว่า ‘EvilGnome’ ซึ่งปลอมตัวเป็น Gnome Extension ทั้งนี้ยังมีความสามารถหลากหลาย เช่น ถ่ายภาพหน้าจอ ขโมยไฟล์ แอบบันทึกเสียงจากไมโครโฟน หรือเรียกดาวน์โหลดโมดูลอื่นเพิ่มเติม

โดยจากหลักฐานชี้ว่ามัลแวร์น่าจะอยู่ในเวอร์ชันพัฒนาเพราะยังทิ้งคอมเม้นต์ประกอบไว้มากมายจึงคาดว่าตัวที่พบบน VirusTotal นั้นอาจถูกอัปโหลดขึ้นมาโดยไม่ได้ตั้งใจ ทั้งนี้เริ่มแรกมัลแวร์จะมาในรูปแบบของ Self-extracting Archive ที่ถูกสร้างด้วย makeself ซึ่งการติดมัลแวร์สามารถเกิดขึ้นได้อย่างอัตโนมัติจาก Argument ใน Payload ที่จะไปออกคำสั่งให้รัน setup.sh ซึ่งนำไปสู่การติดตั้งมัลแวร์ไว้ที่ Path ‘ ~/.cache/gnome-software/gnome-shell-extensions/’ นั่นเอง ดังนั้นจะเห็นได้ว่ามัลแวร์ปฏิบัติตัวเหมือนเป็น Gnome Extension นั่นเอง

ขั้นตอนถัดมามัลแวร์จะรันสคิร์ปต์ที่ชื่อ gnome-shell-ext.sh เพื่อเข้าแทรกซึม Crontab ให้เช็คทุกนาทีว่า Spyware Agent ยังรันอยู่หรือไม่ จากนั้นจะมีการเรียก Agent ตัวหลักที่ชื่อ gnome-shell-ext ที่ถูกพัฒนาขึ้นด้วย C++ สไตล์ Object Oriented ด้วย ซึ่งภายใน Agent จะประกอบด้วย 5 โมดูลที่มีความสามารถต่างๆ คือ แสกนระบบเพื่อหาไฟล์ใหม่ ดักจับเสียงของไมโครโฟน บันทึกภาพหน้าจอ รับคำสั่งจากเซิร์ฟเวอร์ควบคุม และดักจับการกดคีย์บอร์ด(ยังไม่สมบูรณ์) นอกจากนี้แต่ละโมดูลจะมีการรัน Thread แยกกันและป้องกัน Race condition ด้วย Mutex ยังไม่เพียงเท่านั้นยังมีการใช้การเข้ารหัสและถอดรหัสระหว่างสื่อสารกับเซิร์ฟเวอร์ควบคุมด้วย RC5 โดยใช้คีย์คือ ‘sdg62_AS.sa$die3’

ทั้งนี้นักวิจัยได้ตั้งข้อสันนิษฐานว่าพฤติกรรมของมัลแวร์นั้นดูคล้ายกับกลุ่มคนร้ายรัสเซียที่มีนามแฝงว่า ‘Gamaredon’ สาเหตุเพราะใช้บริการโฮสต์ที่เดียวกันและพอร์ต 3436 เหมือนกันด้วย รวมถึงเทคนิคและโมดูลที่ใช้ก็คล้ายกับประวัติการโจมตีในฝั่ง Windows ของกลุ่มนี้

ผู้สนใจสามารถศึกษารายละเอียดเพิ่มเติมได้จากบล็อกของ Intezer (มี IOCs แจกไว้ด้วย)

ที่มา :  https://www.securityweek.com/evilgnome-malware-helps-hackers-spy-linux-users และ  https://www.bleepingcomputer.com/news/security/new-evilgnome-backdoor-spies-on-linux-users-steals-their-files/



About nattakon

จบการศึกษา ปริญญาตรีและโท สาขาวิศวกรรมคอมพิวเตอร์ KMITL เคยทำงานด้าน Engineer/Presale ดูแลผลิตภัณฑ์ด้าน Network Security และ Public Cloud ในประเทศ ปัจจุบันเป็นนักเขียน Full-time ที่ TechTalkThai

Check Also

จัดการอุปกรณ์ BYOD อย่างมั่นคงปลอดภัยและง่ายดาย ด้วย CommScope Ruckus Cloud Wi-Fi และ Cloudpath

ทุกวันนี้ผู้ดูแลระบบเครือข่ายของธุรกิจองค์กรต่างต้องเผชิญกับอุปกรณ์ที่ผู้ใช้งานนำมาใช้เองหรือที่เรียกว่า Bring Your Own Device (BYOD) กันอย่างมากมาย ซึ่งโจทย์สำคัญที่ฝ่าย IT ต้องตอบให้ได้นั้นก็คือจะจัดการกับอุปกรณ์เหล่านี้อย่างไรให้มั่นคงปลอดภัยโดยที่ผู้ดูแลระบบเครือข่ายไม่ต้องเสียเวลามากนัก และหนึ่งในคำตอบที่น่าสนใจนั้นก็คือการใช้ CommScope Ruckus Cloud Wi-Fi ร่วมกับ Cloudpath นั่นเอง

Microsoft Defender ATP Web Content Filtering เปิดให้ใช้งานได้ฟรีแล้วสำหรับลูกค้าองค์กร

ความสามารถของ Microsoft Defender Advanced Threat Protection (ATP) Web Content Filtering นั้นจะกลายเป็นความสามารถที่ลูกค้ากลุ่มธุรกิจองค์กรสามารถใช้งานได้ฟรีโดยไม่ต้องมีค่าใช้จ่ายใดๆ เพิ่มเติม