พบ Ransomware ตัวใหม่ประเภท “ไร้ไฟล์” พร้อมยิงโค้ดเข้ารหัสตรงใส่โปรเซส

Trend Micro ผู้ให้บริการโซลูชันด้านความมั่นคงปลอดภัยแบบครบวงจร ออกมาแจ้งเตือนถึง Ransomware ตัวใหม่ ชื่อว่า “Sorebrect” ที่กำลังแพร่ระบาดอยู๋ในขณะนี้ โดยมีจุดเด่นที่เป็นมัลแวร์ประเภท Fileless คือ ไม่มีการเขียนตัวเองลงบนฮาร์ดดิสก์แต่ใช้วิธียิงโค้ดเข้าไปเข้ารหัสไฟล์ข้อมูลใส่โปรเซสโดยตรง เพื่อหลีกเลี่ยงการตรวจจับจากระบบรักษาความมั่นคงปลอดภัยต่างๆ

Trend Micro ระบุว่า Sorebrect ต่างจาก Ransomware ทั่วไปตรงที่ไม่ได้พุ่งเป้าไปยังบุคคลทั่วไป แต่ถูกออกแบบมาเพื่อโจมตีเครื่องเซิร์ฟเวอร์และคอมพิวเตอร์ภายในองค์กรโดยเฉพาะ โดยตอนแรก Sorebrect จะทำการแฮ็คชื่อบัญชี Admin ก่อน โดยอาศัยการโจมตีแบบ Brute Force หรือเทคนิคอื่นๆ จากนั้นใช้ Sysinternals PsExec Command-line Utility ของ Microsoft ในการรีโมตเข้าไปยิงโค้ดใส่โปรเซส svchost.exe เพื่อเริ่มกระบวนการเข้ารหัสไฟล์ข้อมูล

“PsExec ช่วยให้แฮ็คเกอร์สามารถรันโค้ดคำสั่งจากระยะไกลได้โดยไม่ต้องใช้ Interactive Login Session หรือลอบส่งมัลแวร์เข้าไปยังเครื่องเป้าหมายเหมือน RDP” — Trend Micro ระบุ

นอกจากเข้ารหัสไฟล์ข้อมูลบนเครื่องแล้ว Sorebrect ยังสแกนระบบเครือข่ายภายในเพื่อเข้ารหัสไฟล์ข้อมูลที่แชร์ระหว่างคอมพิวเตอร์อีกด้วย รวมไปถึงทำการลบ Event Log (โดยใช้ wevtutil.exe) และ Shadow Copies (โดยใช้ vssadmin) เพื่อทำลายหลักฐานต่างๆ ส่งผลให้ผู้ดูแลระบบทำ Digital Forensics ได้ยากยิ่งขึ้น และเช่นเดียวกับ Ransomware ทั่วไป Sorebrect ติดต่อกับ C&C Server ผ่านเครือข่าย Tor เพื่อให้ตามจับได้ยาก

เป้าหมายหลักของ Sorebrect ตอนนี้คือ อุตสาหกรรมการผลิต บริษัทเทคโนโลยี และโทรคมนาคม ในประเทศแถบตะวันออกกลาง ได้แก่ คูเวตและเลบานอน อย่างไรก็ตาม พบว่าเดือนที่ผ่านมา Sorebrect ได้แพร่กระจายไปทั่วโลกแล้ว ไม่ว่าจะเป็นแคนาดา จีน โครเอเชีย อิตาลี ญี่ปุ่น เม็กซิโก รัสเซีย ไต้หวัน และสหรัฐฯ

อ่านรายละเอียดเชิงเทคนิคได้ที่: http://blog.trendmicro.com/trendlabs-security-intelligence/analyzing-fileless-code-injecting-sorebrect-ransomware/

ที่มา: http://thehackernews.com/2017/06/fileless-ransomware-code-injection.html


About techtalkthai

ทีมงาน TechTalkThai เป็นกลุ่มบุคคลที่ทำงานในสาย Enterprise IT ที่มีความเชี่ยวชาญทางด้าน Network, Security, Server, Storage, Operating System และ Virtualization มารวมตัวกันเพื่ออัพเดตข่าวสารทางด้าน Enterprise IT ให้แก่ชาว IT ในไทยโดยเฉพาะ

Check Also

AWS เปิดตัว AWS Private 5G ให้องค์กรตั้งเครือข่าย 5G ได้เองในสหรัฐ

AWS เปิดตัว AWS Private 5G ให้องค์กรตั้งเครือข่าย 5G ส่วนตัวได้เองในสหรัฐ

Broadcom เปิดตัว Tomahawk 5 ชิปประมวลผลสำหรับอุปกรณ์เครือข่าย รองรับ 51.2 Tb/s

Broadcom เปิดตัว Tomahawk 5 ชิปประมวลผลสำหรับอุปกรณ์เครือข่าย รองรับ Switching Capacity 51.2 Tb/s