ข้ามไปที่เนื้อหาหลัก

พบแคมเปญมัลแวร์ใหม่ดัดแปลงการโจมตีเพื่อเลี่ยงการตรวจจับจาก Antivirus

พบแคมเปญมัลแวร์ใหม่ดัดแปลงการโจมตีเพื่อเลี่ยงการตรวจจับจาก Antivirus

      Cisco Talos ได้พบกับแคมเปญของมัลแวร์ใหม่ที่ได้ดัดแปลงขั้นตอนการใช้งานช่องโหว่บน Word เพื่อหลีกเลี่ยงการตรวจจับจาก Antivirus โดยช่องโหว่ที่ถูกใช้คือ CVE-2017-0199 และ CVE-2017-11882 ซึ่งเมื่อทำสำเร็จจะติดตั้งมัลแวร์ 3 ตัวที่มุ่งเน้นขโมยข้อมูลคือ Agent Tesla, Loki และ Gamarue
credit : BleepingComputer
ไอเดียคือการโจมตีจะเริ่มด้วยอีเมลที่แนบไฟล์ Word (DOCX) เพื่อให้เหยื่อดาวน์โหลดตามปกติแต่จะมีการเปิดไฟล์ RTF (Rich Text Format หรือรูปแบบไฟล์เอกสารเดิมของ Microsoft ถูกพัฒนาระหว่างปี 1987-2008) ซึ่งตรงนี้เองคือกุญแจในการนำส่ง Payload อันตรายเพื่อเรียกมัลแวร์เข้ามาโดยไม่ถูกจับได้ โดยข้อความเนื้อหาอันตรายจะแอบอยู่ภายในไฟล์ RTF ตามภาพด้านบนที่รองรับการฝัง Object ผ่าน OLE (Object Linking and Embedding) ประเด็นคือตัว Parser RTF มักจะละเลยข้อความที่ตัวเองไม่รู้จัก ดังนั้นจึงถูกใช้แฝงโค้ดเจาะระบบได้ อย่างไรก็ตามในเหตุการณ์นี้ผู้ใช้งานไม่ต้องเข้าไปตั้งค่า Word หรือคลิกอะไรเพิ่มเติมเพื่อทำให้กระบวนการสำเร็จเลย
นอกจากนี้เมื่อ Cisco Talos วิเคราะห์เข้าไปถึงภายในพบว่าแฮ็กเกอร์ยังได้แก้ไข Header ของ OLE (ตามรูปด้านล่าง) เพื่อให้ดูเหมือนเป็น Tag ของฟอนต์แต่อันที่จริงแล้วคือการใช้ช่องโหว่ CVE-2017-11882 ที่ทำให้เกิด Memory Corruption ใน Office อีกด้วย มัลแวร์ที่ถูกนำเข้ามาทั้ง 3 ตัวคือ Agent Tesla หรือ Trojan ที่มีฟีเจอร์แอบขโมยข้อมูลรหัสผ่านของแอปต่างๆ เช่น Browser Email หรือ FTP, Loki คอยดูรหัสผ่านและสนใจพวก Wallet ของ Cyptocurrency และสุดท้าย Gamarue เป็น Worm ที่สามารถกระจายตัวเองออกไปได้ผ่านทางช่องโหว่อย่างรวดเร็วซึ่งมีเพียง Loki เท่านั้นที่ไม่มีฟีเจอร์ให้ควบคุมจากภายนอกเข้ามาได้ อย่างไรก็ดีมี Antivirus เพียง 2 เจ้าจาก 58 รายใน VirusTotal เท่านั้นที่สามารถตรวจจับการโจมตีได้คือ AhnLab-V3 ที่พบว่าเป็นมัลแวร์ ส่วนอีกเจ้าคือ  Zoner ที่แจ้งเพียงว่าเป็น RTF เวอร์ชันไม่ปกติ ผู้สนใจสามารถดูรายงานแบบละเอียดจาก Cisco Talos ได้ ที่นี่
credit : BleepingComputer
ขอขอบคุณข้อมูลดีๆๆจาก

ความคิดเห็น

แสดงความคิดเห็น

โพสต์ยอดนิยมจากบล็อกนี้

วิธีใช้ Google Form ส่งข้อความเข้า LINE Notify

วิธีใช้ Google Form ส่งข้อความเข้า LINE Notify           ขั้นตอนต่อไปนี้จะข้ามส่วนของรายละเอียดบางอย่างไป ซึ่งก่อนจะทำตรงนี้ควรจะรู้แล้วว่า LINE Notify ใช้ทำอะไร และ Access Token จะเอามาจากไหน แต่จะพยายามอธิบายให้ครอบคลุมที่สุดก็แล้วกัน Update: 2019/06/10 ในท้ายบทความได้เพิ่มคำอธิบายเรื่องการส่งข้อมูลหลายกล่องข้อมูล (คอลั่ม) พร้อมกับ code ที่วนลูปข้อมูลทุกกล่อง เพื่อความสะดวกในการส่งข้อมูลในรูปแบบเดิม สร้าง Google Form วิธีสร้างก็ง่ายแสนง่าย เข้าไปที่  https://docs.google.com/forms  จากนั้น คลิกตรงเครื่องหมาย + ตามภาพ จะได้ form หน้าตาแบบนี้มา แก้ไขตามสะดวกเลย ตัวอย่างเอาแบบนี้แล้วกัน จะลองส่งข้อความคลิกที่รูป “ตา” พิมพ์ข้อความอะไรก็ได้ แล้ว กด Submit โลด กลับไปหน้า Form ของเราใน tab แรก มันก็จะมี RESPONSES เข้ามา เมื่อคลิกดูก็จะพบข้อความที่เราเพิ่งพิมพ์ไปเมื่อตะกี้ ใส่ code ใน Script Editor คลิกที่ จุด 3 จุด ด้านขวาบน แล้วเลือก  <> Script Editor จะพบหน้าเปล่าๆ ที่ไม่คุ้นเคย ตรงนี้แหละที่เราจะมาใส่ code ใ...
แสดงความคิดเห็น
อ่านเพิ่มเติม

ทำความเข้าใจ LM, NTLM, NTLMv2

ทำความเข้าใจ LM, NTLM, NTLMv2  วันนี้เราจะมาทำความเข้าใจเกี่ยวกับรูปแบบการเก็บ password ของ Windows โดยแต่ก่อนจนถึงปัจจุบันก็มีพัฒนาการมาเรื่อยๆครับ ซึ่งจะเริ่มจาก LM (Lan Manager) hash โดย LM นั้นเป็นรูปแบบดั้งเดิมในการเก็บ password ของ Windows ตั้งแต่ยุค 1980 ซึ่งในช่วงนั้นยังมีจำนวน charset ที่ยังจำกัดอยู่(16-bits characters) ซึ่งทำให้การ crack password นั้นทำได้ง่ายมากโดยดึงจาก SAM database บน Windows หรือว่า NTDS บน Domain Controller (Active Directory) ได้เลย โดยขั้นตอนการเปลี่ยน password อยู่ในรูปแบบ LM hash คือ เปลี่ยนอักษรทั้งหมดเป็นตัวใหญ่ หากตัวอักษรไม่ครบ 14 ตัวอักษรก็จะเติมตัวอักษรทั้งหมดให้เต็มด้วย NULL characters แบ่งเป็น 2 กลุ่ม กลุ่มละ 7 ตัวอักษร สร้าง DES key จาก character 7 ตัวทั้ง 2 กลุ่ม ก็จะได้ DES key 2 ชุด (ชุดละ 64 bit) นำ DES key ไปเข้ารหัส static string “KGS!@#$%” ด้วย DES (ECB) นำ encrypted strings ทั้ง 2 อันมาต่อกัน ก็จะได้เป็น LM Hash เช่น สมมติ password เป็น password password => password000000 PASSWORD000000 PASSWOR...
แสดงความคิดเห็น
อ่านเพิ่มเติม

The Spiral Model

The  Spiral  Model                                                 Spiral  Model  คือ   Software  Development  Process  ที่ถูกพัฒนาขึ้นโดยเอาจุดแข็งของ   Development  Model  อื่นที่ดีอยู่แล้วมาประยุกต์  ( waterfall  model )  และเพิ่มเติมส่วนของการวิเคราะห์  และตีค่าความเสี่ยงที่เกิดเพื่อจะได้ทราบว่าจุดใดมีความเสี่ยงมากน้อยขนาดไหน  จะได้หาวิธีลดความเสี่ยง  ซึ่งความเสี่ยงเป็นสาเหตุ  ที่ทำให้การพัฒนาไม่ประสบความสำเร็จ  การวิเคราะห์หรือต้นเหตุของความเสี่ยง  ก็เพื่อที่จะหาวิธีการที่จะทำให้เกิดความเสี่ยงน้อยที่สุด  รวมถึงวิธีการแก้ไขเมื่อเกิดเหตุการที่ไม่คาดคิดเกิดขึ้น  ถ้าความเสี่ยงน้อยลง  ก็ทำให้   Cost  หรือ ต้นทุนที่ใช้ก็จะลดลงต...
แสดงความคิดเห็น
อ่านเพิ่มเติม