Breaking News

Kaspersky ค้นพบแคมเปญการโจมตี เจาะ MikroTik เพื่อโจมตีต่อเนื่องโดยไม่มีใครค้นพบมาตั้งแต่ปี 2012

นักวิจัยด้าน Security จาก Kaspersky ได้ออกมาเปิดเผยถึงการค้นพบการโจมตีที่หนึ่งในวิธีการโจมตีนั้นมุ่งเป้าไปที่ MikroTik โดยตรง ซึ่งทำการโจมตีอย่างแนบเนียนมาตั้งแต่ปี 2012 โดยไม่มีใครจับได้ และมีผู้ตกเป็นเหยื่อหลายแสนราย

 

Credit: Kaspersky

 

ผู้โจมตีในครั้งนี้ใช้ส่วนหนึ่งของ Malware ที่มีชื่อว่า Slingshot ฝังเข้าไปในเครื่องคอมพิวเตอร์ของเหยื่อ โดยทาง Kaspersky ค้นพบว่าเหยื่อบางส่วนในครั้งนี้ถูกโจมตีโดยเริ่มต้นจากการโจมตีที่ Router ของ MikroTik เป็นขั้นแรก ด้วยการใช้ช่องโหว่ของ MikroTik ซึ่งเป็นช่องโหว่เดียวกับที่ WikiLeaks Vault 7 เคยเปิดเผยออกมา ก่อนจะทำการเปลี่ยนไฟล์ Dynamic Link Libraries (DDL) หนึ่งบน MikroTik Router ให้กลายเป็นไฟล์ที่จะใช้ในการโจมตีต่อเนื่อง

ไฟล์ DDL ดังกล่าวจะถูกโหลดไปทำงานผ่าน Winbox Loader ซึ่่งเป็นเครื่องมือบริหารจัดการอุปกรณ์ของ MikroTik ที่เปิดให้ใช้งานได้บน Windows และ DDL นี้ก็จะเริ่มต้นทำงานจากเครื่องของผู้ดูแลอุปกรณ์ MikroTik เพื่อทำการเชื่อมต่อไปยังคอมพิวเตอร์และ Server เครื่องอื่นๆ เพื่อทำการติดตั้ง Slingshot Malware

ทั้งนี้ทาง Kaspersky เองก็ยังระบุด้วยว่ายังมีวิธีการเริ่มต้นการโจมตีด้วยหนทางอื่นๆ ที่ยังไม่ทราบถึงวิธีการด้วยเช่นกัน

Slingshot Malware นี้ทำงานโดยอาศัย 2 โมดูลหลักๆ ได้แก่ Cahnadr และ GollumApp

Cahnadr นี้มีอีกชื่อหนึ่งว่า NDriver จะทำหน้าที่ในการหลบเลี่ยงการถูกตรวจจับ, การทำ Rootkit และการดักฟังข้อมูลต่างๆ รวมถึงยังทำการติดตั้งโมดูลอื่นๆ เพิ่มเติมและทำการเชื่อมต่อระบบเครือข่ายได้อีกด้วย

ส่วน GollumApp นี้จะทำการสอดส่องพฤติกรรมของผู้ใช้งาน, ทำการ Capture หน้าจอ, รวบรวมข้อมูลที่เกี่ยวข้องกับระบบเครือข่าย, รวบรวมรหัสผ่านที่บันทึกเอาไว้ใน Web Browser, บันทึกการพิมพ์ข้อมูลต่างๆ และเชื่อมต่อกับ Command & Control (C&C) Server เพื่อรับคำสั่งใหม่ๆ ในภายหลัง โดย GollumApp นี้ทำงานในระดับ Kernel ทำให้สามารถสร้าง Process ใหม่ๆ ภายใต้สิทธิ์ระดับ SYSTEM ได้ ทำให้ผู้โจมตีเข้ายึดครองเครื่องของเหยื่อได้โดยสมบูรณ์

Kaspersky สันนิษฐานว่าการโจมตีนี้น่าจะเป็นการสนับสนุนโดยรัฐของประเทศใดประเทศหนึ่ง และเป็นกลุ่ม Hacker จากประเทศที่ใช้ภาษาอังกฤษเป็นหลัก โดยปัจจุบันนี้มีเหยื่อเป็นองค์กรทั้งภาครัฐและเอกชนจำนวนมากในตะวันออกกลางและแอฟริกา

ผู้ที่สนใจสามารถศึกษารายละเอียดฉบับเต็มได้ที่ https://s3-eu-west-1.amazonaws.com/khub-media/wp-content/uploads/sites/43/2018/03/09133534/The-Slingshot-APT_report_ENG_final.pdf และ https://securelist.com/apt-slingshot/84312/ ครับ

 

ที่มา: https://thehackernews.com/2018/03/slingshot-router-hacking.html



About techtalkthai

ทีมงาน TechTalkThai เป็นกลุ่มบุคคลที่ทำงานในสาย Enterprise IT ที่มีความเชี่ยวชาญทางด้าน Network, Security, Server, Storage, Operating System และ Virtualization มารวมตัวกันเพื่ออัพเดตข่าวสารทางด้าน Enterprise IT ให้แก่ชาว IT ในไทยโดยเฉพาะ

Check Also

ขอเรียนเชิญเข้าร่วมฟังสัมมนาออนไลน์ Emerging Stronger Series

การแพร่ระบาดของ COVID-19 ก่อให้เกิดผลกระทบไปทั่วทุกมุมโลก การเตรียมความพร้อมและวางแผนรับมือที่ชัดเจนกับความไม่แน่นอนท่ามกลาง “ความปกติใหม่” ที่เกิดขึ้น รวมถึงกลยุทธ์ดิจิทัลทรานส์ฟอร์เมชั่นที่องค์กรตั้งรับในวันนี้ จะเป็นตัวกำหนดความสำเร็จอย่างยั่งยืนในอนาคต

Cloudflare รับมือกับ DDoS Attack ขนาด 754 ล้านแพ็กเก็ตต่อวินาที ด้วยระบบอัตโนมัติได้อย่างไร

Cloudflare ได้ออกมาเปิดเผยว่าตนถูก DDoS Attack หลายต่อหลายครั้งช่วงปลายมิถุนายนที่ผ่านมา ซึ่งความน่าประทับใจคือระบบอัตโนมัติสามารถจัดการการโจมตีขนาดสูงสุดกว่า 754 ล้านแพ็กเก็ตต่อวินาทีได้ตลอดความพยายามหลายรูปแบบกว่า 4 วันของคนร้าย โดยที่ทีมงานไม่ได้รับการเตือนจากระบบหรือเสียงบ่นจากลูกค้าว่ามีปัญหาด้วยซ้ำ