Lazarus Group กลับมาพร้อม กับมัลแวร์ RemotePE
Lazarus Group กลับมาพร้อม กับมัลแวร์ RemotePE เล็งเข้าโจมตีบรรษัทการเงินทั่วโลก
จากรายงานโดยเว็บไซต์ SCWorld ได้กล่าวถึงการตรวจพบการกลับมาของกลุ่มแฮกเกอร์จากประเทศเกาหลีเหนือ Lazarus Group พร้อมกับมัลแวร์ตัวใหม่ RemotePE ซึ่งเป็นมัลแวร์ประเภทเข้าควบคุมเครื่องจากระยะไกล หรือ RAT (Remote Access Trojan) โดยทีมวิจัย Fox-IT ซึ่งเป็นส่วนหนึ่งของบริษัทด้านความปลอดภัยไซเบอร์ระดับชั้นนำ NCC Group ทางทีมวิจัยได้ระบุว่า แคมเปญของกลุ่ม Lazarus Group ในครั้งนี้นั้นได้มุ่งเน้นการโจมตีไปยังธุรกิจกลุ่มบรรษัทการเงิน และ กลุ่มบริษัทด้านคริปโตเคอร์เรนซีเป็นพิเศษ
สำหรับในขั้นตอนการแพร่กระจายตัวมัลแวร์เข้าสู่ระบบนั้น จะใช้วิธีการฝังตัวแบบหลากชั้น (Multi-Stages Infection) ด้วยการใช้งานมัลแวร์นกต่อ (Loader) ถึง 2 ตัว นั่นคือ DPAPILoader และ RemotePELoader โดยตัว DPAPILoader นั้น จะใช้ในการถอดรหัส (Decryption) และ โหลดตัวมัลแวร์ RemotePELoader อีกทีด้วยการใช้งาน Windows Data Protection API ซึ่งหลังจากที่มัลแวร์ RemotePELoader ได้ถูกโหลดขึ้นมาแล้ว ตัวมัลแวร์ก็จะติดต่อกับเซิร์ฟเวอร์ควบคุม (C2 หรือ Command and Control) เพื่อดาวน์โหลดมัลแวร์ตัวจริง RemotePE ลงมารันบนหน่วยความจำโดยตรง (In-Memory Execution)
ความสามารถของตัวมัลแวร์ตัวนี้นั้นเรียกได้ว่าหลากหลายมาก เพราะสามารถรับคำสั่ง (Command) หลากประเภทจากเซิร์ฟเวอร์ C2 โดยครอบคลุมตั้งแต ่ การจัดการไฟล์บนเครื่องของเหยื่อ (File Operation), การเข้าครอบงำ Process (Process Manipulation), และ การจัดการตัวเอง (Self-Management) ไม่เพียงเท่านั้นตัวมัลแวร์ยังมีฟีเจอร์ในการใช้วิธีการลบไฟล์หลากหลายรูปแบบ เช่น การเขียนทับไฟล์เดิมหลาย ๆ ครั้งก่อนที่จะลบไฟล์ อีกด้วย นอกจากนั้นตัวมัลแวร์ยังใช้หลากเทคนิคในการหลบเลี่ยงการตรวจจับ เช่น การแพทช์ฟีเจอร์ติดตามเหตุการณ์ของตัว Windows หรือ Event Tracing for Windows (ETW) ทำให้ไม่สามารถติดตามความเคลื่อนไหวของมัลแวร์บนระบบได้ และ การใช้เทคนิค Hell's Gate เพื่อหลบเลี่ยงระบบการตรวจจับบนเครื่องมือปลายทาง (EDR หรือ Endpoint Detection and Response) อีกด้วย
#ติดเทรนด์ #Lemon8ฮาวทู #lemon8ไดอารี่ #lazarusgroup #freedomhack
จากประสบการณ์ส่วนตัวในการติดตามข่าวสารและพฤติกรรมของกลุ่มแฮกเกอร์อย่าง Lazarus Group พบว่าความเฉียบคมของมัลแวร์ RemotePE ในครั้งนี้สะท้อนถึงความพัฒนาอย่างรวดเร็วในเทคนิควิธีการโจมตีทางไซเบอร์ ซึ่งใช้วิธีการฝังมัลแวร์แบบหลากชั้น (Multi-Stages Infection) โดยผ่านตัว Loader สองชั้น คือ DPAPILoader และ RemotePELoader ซึ่งช่วยให้มัลแวร์สามารถถูกดาวน์โหลดและรันในหน่วยความจำโดยตรงได้ โดยไม่ต้องเขียนไฟล์ลงดิสก์แบบทั่วไป ถือเป็นเทคนิคที่ทำให้ฝ่ายป้องกันตรวจจับได้ยากมาก นอกจากนี้ ฟีเจอร์ที่น่ากลัวของ RemotePE คือความสามารถในการรับคำสั่งที่หลากหลายจากเซิร์ฟเวอร์ C2 ตั้งแต่การจัดการไฟล์ การควบคุมโปรเซส รวมถึงฟีเจอร์ลบไฟล์แบบเขียนทับหลายครั้งก่อนลบจริง ช่วยปิดร่องรอยหลังการโจมตี ทำให้การสืบสวนสอบสวนความเสียหายทำได้ยากขึ้นมาก ในมุมของการป้องกันองค์กรการเงินและบริษัทคริปโตที่มีความเสี่ยงสูง แนะนำให้เสริมความเข้มงวดด้านการรักษาความปลอดภัยไซเบอร์ เช่น การใช้ EDR ที่มีความสามารถตรวจจับเทคนิคขั้นสูง การตั้งค่าระบบให้จำกัดสิทธิ์เข้าถึงไฟล์ที่สำคัญอย่างเคร่งครัด รวมถึงการอัปเดตซอฟต์แวร์และระบบปฏิบัติการอย่างสม่ำเสมอ เพราะถ้าเกิดมัลแวร์มีเทคนิคหลบเลี่ยงการตรวจจับ เหล่านี้อาจช่วยลดความเสี่ยงเบื้องต้นได้อย่างมีประสิทธิภาพ สุดท้ายนี้ ผู้ใช้งานทั่วไปเองก็ควรมีความรู้และตระหนักถึงภัยคุกคามไซเบอร์เหล่านี้ หลีกเลี่ยงการเปิดไฟล์แนบหรือคลิกลิงก์ที่ไม่น่าเชื่อถือ และลงทะเบียนข่าวสารจากผู้ให้บริการความปลอดภัยไซเบอร์เพื่อรับข้อมูลอัปเดตเร็วที่สุด เพราะอย่างที่เห็นว่าแฮกเกอร์สามารถพัฒนาเทคนิคและมัลแวร์ใหม่ๆ ที่ท้าทายระบบรักษาความปลอดภัยอยู่ตลอดเวลา การเตรียมตัวและระมัดระวังถือเป็นด่านแรกที่สำคัญที่สุดในการป้องกันความเสียหายที่จะเกิดขึ้น
