CDIC 2023

พบแคมเปญ Mongo Lock ลบฐานข้อมูลเพื่อเรียกค่าไถ่

Bob Diachenko นักวิจัยด้านความมั่นคงปลอดภัยได้ไปพบกับแคมเปญ Mongo Lock หรือการที่แฮ็กเกอร์ค้นหาเซิร์ฟเวอร์ MongoDB ที่ไม่มีมาตรการป้องกันการเข้าถึงจากภายนอก โดยใช้แพลตฟอร์มอย่าง Shodan.io หรือสแกนหาเป้าหมายผ่านอินเทอร์เน็ต จากนั้นก็เข้าไปลบ Database พร้อมกับทิ้งข้อความเรียกค่าไถ่นั่นเอง

Credit: MongoDB

หลักการง่ายมากคือแฮ็กเกอร์ใช้แพลตฟอร์มการค้นหาที่มีประสิทธิภาพสูงอย่าง Shodan.io หรือการสแกนผ่านอินเทอร์เน็ตเพื่อค้นหาเซิร์ฟเวอร์ MongoDB จากนั้นเข้าไป Export ฐานข้อมูลออกมาก่อนและลบฐานข้อมูล พร้อมกับทิ้งข้อความเรียกค่าไถ่ไว้ในไฟล์ Readme ภายใต้โฟลเดอร์ Warning นอกจากนี้มีการโจมตีเกิดขึ้นหลายครั้งซึ่งข้อความเรียกค่าไถ่มีหลายรูปแบบ เช่น ทิ้ง Bitcoin address หรือที่อยู่อีเมล โดยบ้างก็อ้างว่า Database ถูกนำออกมาแล้ว ถ้าจ่ายเงินค่าไถ่จะได้คืนหรือบางครั้งก็บอกว่า Database ถูกเข้ารหัสไว้เป็นต้น

อย่างไรก็ตามดูเหมือนว่า Script ของคนร้ายบางครั้งก็ไม่สามารถทำงานได้สมบูรณ์เพราะเกิดความผิดพลาดบางอย่าง สาเหตุที่แคมเปญการโจมตีนี้เกิดขึ้นเพราะฐานข้อมูล MongoDB สามารถเข้าถึงได้จากทางไกลและไม่ได้รับการปกป้องที่ดีพอ แต่การป้องกันนั้นก็ทำได้ไม่ยากเลยเพราะทาง MongoDB ได้ให้แนะนำไว้อย่างดีสามารถติดตามได้ที่นี่ ดังนั้นอย่าลืมป้องกันไว้ก่อนดีกว่ารอเกิดเหตุค่อยแก้ทีหลังครับ

ที่มา : https://www.bleepingcomputer.com/news/security/mongo-lock-attack-ransoming-deleted-mongodb-databases/


About nattakon

จบการศึกษา ปริญญาตรีและโท สาขาวิศวกรรมคอมพิวเตอร์ KMITL เคยทำงานด้าน Engineer/Presale ดูแลผลิตภัณฑ์ด้าน Network Security และ Public Cloud ในประเทศ ปัจจุบันเป็นนักเขียน Full-time ที่ TechTalkThai

Check Also

[โปรพิเศษรอบ Early Bird] คอร์สเรียน ‘Incident Response’ จาก Sosecure เรียนออนไลน์ เน้นลงมือจริง 3 วันเต็ม

Incident Response เป็นหนึ่งในหัวข้อหลักของแผนการที่ทุกองค์กรควรมือ คำถามคือทุกวันนี้องค์กรหรือบริษัทที่ท่านมีส่วนรวมมีแผนรับมือเหล่านี้ได้ดีเพียงใด ครอบคลุมความเสี่ยงและเคยผ่านสถานการณ์จริงมาได้ดีแค่ไหน ซึ่งหากปฏิบัติตามแผนได้ดีก็อาจจะช่วยลดผลกระทบของความเสียหายได้อย่างมีนัยสำคัญ ด้วยเหตุนี้เองจึงอยากขอเชิญชวนผู้สนใจทุกท่านมาเพิ่มพูนความรู้ในคอร์สสุดพิเศษจาก Sosecure โดยเนื้อหาจะกล่าวถึง Framework, Incident Response และ Incident Handling …

[โปรพิเศษรอบ Early Bird] คอร์สเรียน ‘Threat Hunting’ จาก Sosecure เรียนออนไลน์ เน้นลงมือจริง 3 วันเต็ม

การต่อกรกับภัยคุกคามทางไซเบอร์ไม่จำเป็นที่จะต้องเป็นฝ่ายตั้งรับเท่านั้น และหากทำได้ดีเราก็สามารถลงมือตอบสนองก่อนเกิดเหตุได้เช่นกัน ยิ่งทำได้เร็วเท่าไหร่ยิ่งดี ซึ่งทีม Threat Hunting มีบทบาทอย่างมากในการทำงานร่วมกับระบบ SoC ซึ่งสามารถใช้ข้อมูลภัยคุกคามจากทั่วทุกมุมโลกมาช่วยตรวจจับการโจมตีที่เกิดขึ้นได้  คำถามคือแล้วในงานเหล่านี้ควรมีทักษะเกี่ยวข้องในด้านไหนบ้าง Sosecure ขอชวนผู้สนใจในสายงานด้าน Cybersecurity ที่ต้องการรู้ลึก ทำได้จริง …