Breaking News

มัลแวร์สุดฉลาด เลือกติด Ransomware หรือ Crypto-miner ได้ตามความเหมาะสม

Kaspersky Lab ผู้ให้บริการโซลูชัน Endpoint Security ชื่อดัง ค้นพบสายพันธุ์ย่อยของ Rakhni Ransomware ซึ่งพัฒนาตัวเองไปอีกขึ้น โดยเลือกได้ว่าจะโจมตีเหยื่อด้วย Ransomware หรือ Cryptocurrency Mining ตามความเหมาะสมของอุปกรณ์นั้นๆ

Credit: Zephyr_p/ShutterStock.com

Ransomware นับว่าเป็นภัยคุกคามอันดับต้นๆ ในปัจจุบัน อย่างไรก็ตาม ไม่มีอะไรการันตีได้ว่าเหยื่อจะยอมจ่ายค่าไถ่ ส่งผลให้แฮ็กเกอร์หลายรายเริ่มหันมาทำ Cryptocurrency Mining เพื่อสร้างรายได้ให้กับตนเองแทน ล่าสุด Kaspersky Lab ได้ค้นพบสายพันธุ์ย่อย (Variant) ของ Rakhni Ransomware ที่มีการเพิ่มฟีเจอร์ Cryptocurrency Mining ลงไป โดยมีจุดเด่นคือ มันจะทำการตรวจสอบเครื่องของเหยื่อก่อนว่า โจมตีด้วย Ransowmare หรือ Cryptocurrency Mining แล้วจะให้ผลประโยชน์มากกว่ากัน แล้วเลือกการโจมตีทางนั้นๆ

Rakhni Ransomware ถูกเขียนโดยภาษา Delphi แพร่กระจายผ่านทางการทำ Spear Phishing โดยมีไฟล์ MS Word ถูกแนบมากับอีเมล เมื่อเหยื่อเปิดไฟล์ขึ้นมาจะแสดงหน้าจอเซฟไฟล์และร้องขอการแก้ไขไฟล์ (Enable Editing) ซึ่งในตัวไฟล์เอกสารเอง จะมีไอคอน PDF ฝังอยู่ ถ้าเหยื่อเผลอคลิกไอคอนดังกล่าว ไฟล์มัลแวร์จะถูกรัน และแสดงหน้าจอเกิดความผิดพลาด (ปลอม) ขึ้น เพื่อหลอกผู้ใช้ให้คิดว่าไฟล์ระบบที่จำเป็นต่อการเปิดเอกสารนั้นหายไป

ในขณะเดียวกัน เบื้องหลังการทำงาน มัลแวร์จะทำการตรวจสอบ Anti-VM และ Anti-sandbox เพื่อดูว่าตัวเองสามารถทำงานโดยไม่ถูกจับได้หรือไม่ ถ้าได้ มัลแวร์จะเลือกต่อว่าจะโจมตีด้วย Payload ใด

  • ถ้าบนเครื่องของเหยื่อมีโฟลเดอร์ “Bitcoin” บน AppData จะทำการติดตั้ง Ransomware
  • ถ้าไม่มี และเครื่องของเหยื่อมี 2 Logical Processors ขึ้นไป ก็จะทำการติดตั้ง Crypto-miner เพื่อขุดเหรียญ Monero (XMR), Monero Original (XMO) และ Dashcoin (DSH) แทน นอกจากนี้มัลแวร์ยังรัน CertMge.exe เพื่อติดตั้ง Root Certificate ปลอมเพื่อหลอกว่าโปรเซสการขุดเหรียญเป็นโปรเซสที่เชื่อถือได้อีกด้วย
  • ถ้าไม่มีทั้งโฟลเดอร์ “Bitcoin” และมีเพียง 1 Logical Processors มัลแวร์จะทำตัวเป็น Worm แพร่กระจายตัวเองไปยังคอมพิวเตอร์เครื่องอื่นๆ ในระบบเครือข่ายภายในผ่านทาง Shared Resources

จากการตรวจสอบ Kasperksy Lab พบว่าเป้าหมายส่วนใหญ่ของ Rakhni Ransomware นี้คือประเทศรัสเซีย (95.5%) ตามด้วยคาซัคสถาน (1.36%) และยูเครน (0.57%)

รายละเอียดเชิงเทคนิค: https://securelist.com/to-crypt-or-to-mine-that-is-the-question/86307/

ที่มา: https://thehackernews.com/2018/07/cryptocurrency-mining-ransomware.html


About techtalkthai

ทีมงาน TechTalkThai เป็นกลุ่มบุคคลที่ทำงานในสาย Enterprise IT ที่มีความเชี่ยวชาญทางด้าน Network, Security, Server, Storage, Operating System และ Virtualization มารวมตัวกันเพื่ออัพเดตข่าวสารทางด้าน Enterprise IT ให้แก่ชาว IT ในไทยโดยเฉพาะ

Check Also

พบ 11 ไลบรารีบน RubyGems ถูกฝัง Backdoor แนะควรตรวจสอบ

มีการค้นพบไลบรารี 11 ตัวบน RubyGems Repository ที่ถูกฝังโค้ด Backdoor เอาไว้ ซึ่งตอนนี้ทางทีมงานได้ทำการจัดการแล้วแต่ก็มีการดาวน์โหลดไปแล้วกว่า 3,548 ครั้ง ดังนั้นจึงแนะนำให้ผู้ใช้ตรวจสอบว่าตัวเองได้ดาวน์โหลดไปใช้หรือไม่

[Cisco แกะกล่อง] EP1: รู้จักยุคใหม่ของ WAN Network กับ Cisco SD-WAN

Cisco แกะกล่อง เป็นรายการวิดีโอใหม่จากทาง Cisco ซึ่งจะนำทุกท่านมาร่วมแกะกล่องเทคโนโลยีของ Cisco ในมุมมองที่ง่ายขึ้นและเข้าใจได้มากขึ้น รวมไปถึงอัปเดตเทรนด์ทางด้านนวัตกรรม IT ล่าสุดโดทีมผู้เชี่ยวชาญจากทีม Cisco Thailand เอง