ระวัง แจ้งเตือนไมโครซอฟต์ปลอม
ผู้ใช้งานระวัง แจ้งเตือนไมโครซอฟต์ปลอม หลงเชื่ออาจติดมัลแวร์อิมพอร์ตจากเกาหลีเหนือได้
จากรายงานโดยเว็บไซต์ The Hacker News ได้กล่าวถึงการตรวจพบแคมเปญใหม่ของกลุ่มแฮกเกอร์ที่ได้รับการสนับสนุนจากรัฐบาลเกาหลีเหนือ ScarCruft ที่มีการใช้งานแคมเปญหลอกลวงแบบเฉพาะเจาะจง (Spear-Phishing) ด้วยการส่งข้อความแจ้งเตือนที่ตีเนียนเป็นแจ้งเตือนความปลอดภัยของบัญชีจาก Microsoft Account เพื่อหลอกให้เหยื่อติดตั้งมัลแวร์ประเภทเข้าความคุมระบบของเหยื่อจากระยะไกล (RAT หรือ Remote Access Trojan) ชื่อ NarwhalRAT ซึ่งมัลแวร์ตัวนี้มีความสามารถในการลักลอบขโมยข้อมูลที่หลากหลาย ไม่ว่าจะเป็น การดักจับการพิมพ์ (Keylogging), การลักลอบบันทึกภาพหน้าจอ (Screenshot), เก็บข้อมูลจากไดร์ฟ USB, อัปโหลดโฟลเดอร์, แอบเก็บข้อมูลต่าง ๆ ของ Windows และ รันคำสั่งต่าง ๆ (Instruction) ที่ถูกส่งมาจากเซิร์ฟเวอร์ควบคุม (C2 หรือ Command and Control) โดยชื่อของมัลแวร์นั้นมาจากโฟลเดอร์ลับที่มีชื่อว่า "%APPDATA%naverwhale" ที่ตัวมัลแวร์ใช้งานในการรวบรวมข้อมูลเพื่อแอบส่งออก (Exfiltration) ไปให้แฮกเกอร์ ซึ่งชื่อนี้ก็เป็นการตั้งเลียนแบบมาจากแอปพลิเคชันเว็บเบราว์เซอร์ของทางบริษัท Naver (บริษัทแม่ของ LINE) ที่มีชื่อว่า Naver Whale
ในส่วนของการหลอกลวงนั้น แฮกเกอร์จะทำการส่งอีเมลที่ตีเนียนว่ามาจาก Microsoft Account ทำทีแจ้งเตือนเหยื่อว่ามีกิจกรรมผิดปกติในการเข้าใช้งานบัญชีจากการสร้างรหัสใช้งานครั้งเดียว (OTP หรือ One-Time Password) แบบซ้ำ ๆ พร้อมกับไฟล์แนบที่อ้างว่าเป็นคู่มือแนะนำในการจัดการกับปัญหาที่เกิดขึ้น แต่ความจริงแล้วเป็นไฟล์บีบอัดสกุล .Zip ที่มีไฟล์แบบ Internet Shortcut สกุล LNK ซ่อนอยู่ภายใน ซึ่งถ้าเหยื่อกดเปิดขึ้นมา ก็จะนำไปสู่การติดตั้งมัลแวร์แบบหลากขั้นตอน (Multi-Stages Infection) ในขณะเดียวกันก็ทำการดาวน์โหลดไฟล์เครื่องมือสำหรับการรัน Python ลงมาจากเว็บไซต์อย่างเป็นทางการของ พร้อมกับไฟล์ CAT (Windows security catalog) ที่ทำหน้าที่ในการดึง (Fetch) ไฟล์มัลแวร์ (Payload) ลงมาจากเซิร์ฟเวอร์ C2 และใช้เครื่องมือดังกล่าวรัน โดยหลังจากที่มัลแวร์ติดตั้งตัวเองลงเครื่องเสร็จเรียบร้อยแล้ว ก็จะทำการสร้างความคงทนบนระบบด้วยการตั้งเวลาทำงาน (Task Scheduling) ในชื่อว่า "MicrosoftUserInterfacePicturesUpdateTackMachine" และ"MicrosoftMusicLibrariesPackageTaskMachine” โดย Task เหล่านี้จะเป็นการใช้งานไฟล์ CAT ดังกล่าวเพื่อดึง Payload ลงมาบนเครื่องอีกครั้งหนึ่ง
จากประสบการณ์การใช้งานคอมพิวเตอร์และอินเทอร์เน็ตในปัจจุบัน ผมได้เห็นมากขึ้นเรื่อยๆกับแคมเปญฟิชชิ่งที่มีความซับซ้อนและแฝงมากับข้อความแจ้งเตือนที่ดูน่าเชื่อถืออย่างมาก เช่น การแจ้งเตือนจากไมโครซอฟต์ปลอมที่ส่งมาในรูปแบบอีเมลแจ้งว่ามีความผิดปกติในการเข้าสู่ระบบบัญชีผู้ใช้ ซึ่งโดยปกติเรามักจะไม่สงสัยและรีบคลิกเปิดไฟล์แนบที่อยู่ในเมลเหล่านี้เพื่อแก้ไขปัญหาโดยทันที แต่อย่าลืมว่านี่คือวิธีที่แฮกเกอร์ใช้หลอกล่อให้เราติดตั้งมัลแวร์อย่าง NarwhalRAT ที่มีความอันตรายมาก เพราะมันสามารถควบคุมเครื่องของเราได้จากระยะไกล ทำให้ข้อมูลส่วนตัว เช่น พาสเวิร์ด รูปภาพ หรือไฟล์สำคัญถูกขโมยได้โดยไม่รู้ตัว สิ่งที่ผมพบในเคสนี้คือมัลแวร์ใช้ไฟล์ LNK ที่ซ่อนไว้ในไฟล์ ZIP ซึ่งหากเราคลิกเปิด จะเป็นการเริ่มชุดติดตั้งมัลแวร์แบบหลายขั้นตอน และยังใช้ตัวเครื่องมือ Python จากเว็บไซต์ทางการมารันคำสั่งต่าง ๆ เพื่อโหลด malware payload จากเซิร์ฟเวอร์ควบคุมอีกด้วย นอกจากนี้มันยังตั้ง task scheduling ในวินโดวส์ของเราเพื่อให้มัลแวร์ยังคงทำงานได้อย่างต่อเนื่องแม้จะรีสตาร์ทเครื่องแล้วก็ตาม ในฐานะผู้ใช้งานทั่วไป ผมแนะนำให้ทุกคนระมัดระวังกับอีเมลแจ้งเตือนที่ขอให้ดาวน์โหลดไฟล์หรือเปิดลิงก์ที่ไม่น่าเชื่อถือ และตรวจสอบที่อยู่อีเมลผู้ส่งให้แน่ใจว่าเป็นของทางการจริงๆ รวมถึงไม่ควรเปิดไฟล์แนบที่มีนามสกุลและประเภทที่ไม่คุ้นเคย เช่น .lnk หรือ .zip จากแหล่งที่ไม่น่าเชื่อถือ เพื่อป้องกันความเสียหายที่อาจเกิดขึ้นกับเครื่องและข้อมูลของเรา ท้ายที่สุดแล้ว การอัปเดตระบบปฏิบัติการและซอฟต์แวร์ความปลอดภัยให้เป็นเวอร์ชันล่าสุด รวมทั้งสำรองข้อมูลสำคัญเป็นประจำ จะช่วยให้เราป้องกันและลดความเสี่ยงจากมัลแวร์ได้ดีขึ้นมาก หากคุณเคยได้รับอีเมลแจ้งเตือนจากไมโครซอฟต์หรือแหล่งอื่นๆ แบบที่น่าสงสัย อย่าลืมตรวจสอบรายละเอียดอย่างรอบคอบก่อนดำเนินการใดๆ เพราะการคลิกผิดพลาดเพียงครั้งเดียวอาจนำมาสู่ปัญหาความปลอดภัยขั้นรุนแรงในอนาคตได้
