Breaking News

Kaspersky ค้นพบแคมเปญการโจมตี เจาะ MikroTik เพื่อโจมตีต่อเนื่องโดยไม่มีใครค้นพบมาตั้งแต่ปี 2012

นักวิจัยด้าน Security จาก Kaspersky ได้ออกมาเปิดเผยถึงการค้นพบการโจมตีที่หนึ่งในวิธีการโจมตีนั้นมุ่งเป้าไปที่ MikroTik โดยตรง ซึ่งทำการโจมตีอย่างแนบเนียนมาตั้งแต่ปี 2012 โดยไม่มีใครจับได้ และมีผู้ตกเป็นเหยื่อหลายแสนราย

 

Credit: Kaspersky

 

ผู้โจมตีในครั้งนี้ใช้ส่วนหนึ่งของ Malware ที่มีชื่อว่า Slingshot ฝังเข้าไปในเครื่องคอมพิวเตอร์ของเหยื่อ โดยทาง Kaspersky ค้นพบว่าเหยื่อบางส่วนในครั้งนี้ถูกโจมตีโดยเริ่มต้นจากการโจมตีที่ Router ของ MikroTik เป็นขั้นแรก ด้วยการใช้ช่องโหว่ของ MikroTik ซึ่งเป็นช่องโหว่เดียวกับที่ WikiLeaks Vault 7 เคยเปิดเผยออกมา ก่อนจะทำการเปลี่ยนไฟล์ Dynamic Link Libraries (DDL) หนึ่งบน MikroTik Router ให้กลายเป็นไฟล์ที่จะใช้ในการโจมตีต่อเนื่อง

ไฟล์ DDL ดังกล่าวจะถูกโหลดไปทำงานผ่าน Winbox Loader ซึ่่งเป็นเครื่องมือบริหารจัดการอุปกรณ์ของ MikroTik ที่เปิดให้ใช้งานได้บน Windows และ DDL นี้ก็จะเริ่มต้นทำงานจากเครื่องของผู้ดูแลอุปกรณ์ MikroTik เพื่อทำการเชื่อมต่อไปยังคอมพิวเตอร์และ Server เครื่องอื่นๆ เพื่อทำการติดตั้ง Slingshot Malware

ทั้งนี้ทาง Kaspersky เองก็ยังระบุด้วยว่ายังมีวิธีการเริ่มต้นการโจมตีด้วยหนทางอื่นๆ ที่ยังไม่ทราบถึงวิธีการด้วยเช่นกัน

Slingshot Malware นี้ทำงานโดยอาศัย 2 โมดูลหลักๆ ได้แก่ Cahnadr และ GollumApp

Cahnadr นี้มีอีกชื่อหนึ่งว่า NDriver จะทำหน้าที่ในการหลบเลี่ยงการถูกตรวจจับ, การทำ Rootkit และการดักฟังข้อมูลต่างๆ รวมถึงยังทำการติดตั้งโมดูลอื่นๆ เพิ่มเติมและทำการเชื่อมต่อระบบเครือข่ายได้อีกด้วย

ส่วน GollumApp นี้จะทำการสอดส่องพฤติกรรมของผู้ใช้งาน, ทำการ Capture หน้าจอ, รวบรวมข้อมูลที่เกี่ยวข้องกับระบบเครือข่าย, รวบรวมรหัสผ่านที่บันทึกเอาไว้ใน Web Browser, บันทึกการพิมพ์ข้อมูลต่างๆ และเชื่อมต่อกับ Command & Control (C&C) Server เพื่อรับคำสั่งใหม่ๆ ในภายหลัง โดย GollumApp นี้ทำงานในระดับ Kernel ทำให้สามารถสร้าง Process ใหม่ๆ ภายใต้สิทธิ์ระดับ SYSTEM ได้ ทำให้ผู้โจมตีเข้ายึดครองเครื่องของเหยื่อได้โดยสมบูรณ์

Kaspersky สันนิษฐานว่าการโจมตีนี้น่าจะเป็นการสนับสนุนโดยรัฐของประเทศใดประเทศหนึ่ง และเป็นกลุ่ม Hacker จากประเทศที่ใช้ภาษาอังกฤษเป็นหลัก โดยปัจจุบันนี้มีเหยื่อเป็นองค์กรทั้งภาครัฐและเอกชนจำนวนมากในตะวันออกกลางและแอฟริกา

ผู้ที่สนใจสามารถศึกษารายละเอียดฉบับเต็มได้ที่ https://s3-eu-west-1.amazonaws.com/khub-media/wp-content/uploads/sites/43/2018/03/09133534/The-Slingshot-APT_report_ENG_final.pdf และ https://securelist.com/apt-slingshot/84312/ ครับ

 

ที่มา: https://thehackernews.com/2018/03/slingshot-router-hacking.html



About techtalkthai

ทีมงาน TechTalkThai เป็นกลุ่มบุคคลที่ทำงานในสาย Enterprise IT ที่มีความเชี่ยวชาญทางด้าน Network, Security, Server, Storage, Operating System และ Virtualization มารวมตัวกันเพื่ออัพเดตข่าวสารทางด้าน Enterprise IT ให้แก่ชาว IT ในไทยโดยเฉพาะ

Check Also

ชี้แจงประเด็นด้านความมั่นคงปลอดภัยในการใช้ Zoom จัด Webinar โดย TechTalkThai

หลังจากที่มีข่าวประเด็นปัญหาด้านความมั่นคงปลอดภัยของ Zoom ถูกเปิดเผยออกมาเป็นจำนวนมากในช่วงสัปดาห์ที่ผ่านมา TechTalkThai ในฐานะผู้ใช้บริการ Zoom ในการจัดทำ Webinar ก็ได้ติดตาม ตรวจสอบ และทำการประเมินประเด็นต่างๆ ที่เกี่ยวข้องอย่างใกล้ชิด และขอชี้แจงเพื่อให้ผู้อ่านทุกท่านสบายใจในการเข้าร่วม Webinar ที่จัดขึ้นโดย …

TechTalk Webinar: สร้าง Active-Active Metro Cluster สำหรับ SAP, Oracle และ VMware ที่ดูแลรักษาได้อย่างง่ายดาย โดย Pure Storage

TechTalkThai ขอเรียนเชิญ CTO, IT Manager, Data Center Engineer, Virtualization Engineer, Database Engineer, ผู้ดูแลระบบ IT, และผู้ที่สนใจทุกท่าน เข้าร่วมฟัง TechTalk Webinar ในหัวข้อเรื่อง "สร้าง Active-Active Metro Cluster สำหรับ Oracle และ VMware ที่ดูแลรักษาได้อย่างง่ายดาย โดย Pure Storage" เพื่อเรียนรู้ถึงแนวทางการออกแบบ Metro Cluster Data Center ที่ทำงานได้ในแบบ Active-Active สำหรับรองรับ Application สำคัญสำหรับธุรกิจองค์กรอย่างเช่น Oracle, SAP, VMware พร้อมทำความรู้จักกับโซลูชัน ActiveCluster จาก Pure Storage ในวันศุกร์ที่ 10 เมษายน 2020 เวลา 10.30 – 12.00 น. โดยมีกำหนดการและวิธีการลงทะเบียนดังนี้