เซิร์ฟเวอร์ Relay ของ MS Teams แคมเปญแรนซัมแวร์
ตรวจพบการนำเอาเซิร์ฟเวอร์ Relay ของ MS Teams มาใช้ในบนแคมเปญแรนซัมแวร์ DragonForce
จากรายงานโดยเว็บไซต์ Security Week ได้กล่าวถึงการกลับมาอีกครั้งของแรนซัมแวร์ DragonForce ซึ่งในคราวนี้ได้มีการใช้งานเซิร์ฟเวอร์ถ่ายทอด (Relay Server) ของระบบ Microsoft Teams มาใช้งานเพื่อติดต่อกับเซิร์ฟเวอร์ควบคุมมัลแวร์ (C2 หรือ Command and Control) ผ่านการใช้งานมัลแวร์ประเภทเปิดประตูหลังของระบบ หรือ Backdoor ที่มีชื่อว่า Backdoor.Turn ซึ่งเป็นมัลแวร์ที่ถูกสร้างขึ้นด้วยภาษา Go พร้อมความสามารถในการซ่อนการติดต่อระหว่างมัลแวร์กับเซิร์ฟเวอร์ C2 โดยมัลแวร์ดังกล่าวนั้นจะทำการขโมยโทเคนสำหรับผู้เข้าใช้งาน หรือ Visitor Token นำมาใช้งานกับเครื่องมือถ่ายทอด (Relay) เพื่อสร้างการติดต่อกับ Relay Server ด้วย Microsoft TURN แล้วจึงใช้งานเซสชัน (Session) QUIC ในการติดต่อกับเซิร์ฟเวอร์ C2 แล้วจึงทำการปล่อยแรนซัมแวร์ DragonForce ลงมาบนระบบของเหยื่อ ซึ่งวิธีการดังกล่าวนั้น ทางทีมวิจัยจาก Symantec บริษัทผู้พัฒนาเครื่องมือรักษาความปลอดภัยไซเบอร์ ได้กล่าวว่าเป็นวิธีการที่ลึกล้ำ (Sophisticated) มาก
สำหรับมัลแวร์ Backdoor ตัวดังกล่าวนั้นนอกจากความสามารถอันลึกล้ำดังกล่าวแล้ว ยังทำหน้าที่สร้างความคงทน (Persistence) ในการเข้าถึงระบบของเหยื่อให้กับแฮกเกอร์ ทั้งยังใช้เป็นตัวกลางในการให้แฮกเกอร์สามารถรันคำสั่ง (Execute Command), ขโมยรหัสผ่านที่ถูกบันทึกไว้บนเว็บเบราว์เซอร์ของเหยื่อ, สร้าง Process, สแกนเครือข่ายของเหยื่อ, และทำผัง (Mapping) LDAP/AD, รวมทั้งแพร่กระจายแรนซัมแวร์ไปยังระบบที่เชื่อมต่ออยู่ (Lateral Movement) ด้วยรหัสผ่านที่ถูกขโมยมาได้ อีกด้วย
จากประสบการณ์การติดตามข่าวสารด้านความปลอดภัยไซเบอร์และทำงานร่วมกับผู้เชี่ยวชาญหลายท่าน พบว่าการที่แรนซัมแวร์ DragonForce ใช้เซิร์ฟเวอร์ Relay ของ MS Teams ในการโจมตีเป็นการพัฒนารูปแบบที่ซับซ้อนและยากต่อการตรวจจับอย่างมาก ซึ่ง Relay Server หรือเซิร์ฟเวอร์ถ่ายทอดที่ MS Teams ใช้เป็นช่องทางในการสื่อสารทำให้แฮกเกอร์สามารถซ่อนกิจกรรมของมัลแวร์ภายใต้การเชื่อมต่อปกติได้ ความน่าสนใจคือมัลแวร์ Backdoor.Turn ซึ่งพัฒนาด้วยภาษา Go มีฟีเจอร์ล้ำสมัยในการขโมย Visitor Token เพื่อนำไปใช้สร้างช่องทางเชื่อมต่อกับ Relay Server ผ่านโปรโตคอล Microsoft TURN และเซสชัน QUIC ซึ่งส่วนนี้ทำให้การติดต่อกับเซิร์ฟเวอร์ Command and Control (C2) ดูเหมือนเป็นทราฟฟิกปกติ นอกจากนี้ ความสามารถในการสร้างความคงทนต่อระบบ (Persistence) ของมัลแวร์นี้ ช่วยให้แฮกเกอร์สามารถรันคำสั่ง, ขโมยรหัสผ่านจากเว็บเบราว์เซอร์, สร้าง Process ใหม่ ไปจนถึงการสแกนและทำแผนผัง LDAP/AD ของระบบเครือข่ายเพื่อแพร่กระจายแรนซัมแวร์ ด้วยเทคนิค Lateral Movement ที่ใช้รหัสผ่านที่ขโมยมาทำให้การโจมตีนั้นแพร่หลายและรวดเร็วขึ้น จากการที่หลายองค์กรใช้งาน Microsoft Teams อย่างแพร่หลาย การโจมตีช่องทางนี้จึงเป็นภัยที่องค์กรไอทีควรให้ความสำคัญในการป้องกัน เช่น การอัปเดตแพตช์เครื่องเซิร์ฟเวอร์อย่างสม่ำเสมอ, การตรวจสอบพฤติกรรมการใช้งานที่ผิดปกติ, และการใช้งานโซลูชันด้านความปลอดภัยขั้นสูงที่สามารถระบุการเชื่อมต่อ Relay Server ในการโจมตีได้ นอกจากนี้ แนะนำให้ผู้ดูแลระบบเพิ่มการฝึกอบรม เช่น การยกระดับความรู้เรื่องการโจมตีผ่านมัลแวร์และแรนซัมแวร์ เพื่อเพิ่มความตระหนักรู้และตอบสนองได้รวดเร็วทันเหตุการณ์ ความรู้และการตรวจจับเชิงลึกนี้จะช่วยลดความเสี่ยงจากเทคนิคใหม่ ๆ ที่มีความซับซ้อนเหมือนที่แรนซัมแวร์ DragonForce ใช้ในครั้งนี้