ระวังทีม IT Support ปลอม หลอกให้ติดตั้งมัลแวร์
เตือนภัย ระวังทีม IT Support ปลอม หลอกให้ติดตั้งมัลแวร์ EtherRAT
จากรายงานโดยเว็บไซต์ Bleeping Computer ได้กล่าวถึงการตรวจพบแคมเปญในการปล่อยมัลแวร์ประเภทเข้าควบคุมระบบจากระยะไกล หรือ RAT (Remote Access Trojan) ที่มีชื่อว่า EtherRAT เพื่อเข้าแทรกซึมตามระบบของบริษัท และองค์กรต่าง ๆ ด้วยการสมอ้างตัวเองเป็นทีม IT Support เข้าหลอกลวงพนักงานในองค์กรเป้าหมายเพื่อติดตั้งมัลแวร์ โดยทีมวิจัย UNIT 42 จากบริษัทผู้เชี่ยวชาญด้านระบบเครือข่ายชื่อดัง Palo Alto ได้เปิดเผยว่า แคมเปญดังกล่าวจะเริ่มต้นจากการใช้งานการหลอกลวงแบบ Phishing ผ่านทางอีเมล โดยภายในจะมีแบบสอบถามพนักงาน หรือ "Employee Survey" กับไฟล์สกุล PDF ที่ภายในนั้นมีมัลแวร์อยู่
ซึ่งหลังจากที่เหยื่อเปิดไฟล์ดังกล่าว ทางเหยื่อก็จะได้รับการติดต่อในรูปแบบ Voice Call ผ่านทาง Microsoft Teams จากบัญชีภายนอก (External Account) ที่อ้างว่าตัวเองคือผู้ดูแลระบบ หรือ "System Administrator" ซึ่งมักจะใช้ที่อยู่อีเมล (Emal Address) เช่น helpdesk@Progressive936.onmicrosoft[.]com เป็นต้น โดยแฮกเกอร์จะหลอกให้เหยื่อเปิดทางเข้าถึงเครื่องเหยื่อผ่านทางฟีเจอร์ Share Screen ของ Microsoft Teams เพื่อติดตั้งเครื่องมือสำหรับการควบคุมเดสก์ท็อปจากระยะไกล (Remote Desktop) อย่าง HopToDesk และ AnyDesk ซึ่งหลังจากแฮกเกอร์เข้าถึงเครื่องของเหยื่อจากระยะไกลได้แล้ว แฮกเกอร์ก็จะท ำการดาวน์โหลดไฟล์ติดตั้งมัลแวร์ในรูปแบบแพ็คเกจ MSI ชื่อ v7.msi ลงมาจากโดเมน camorreado[.]click โดยมัลแวร์ตัวดังกล่าวนั้นจะยังไม่ใช่มัลแวร์ EtherRAT ตัวจริง แต่เป็นเพียงมัลแวร์นกต่อ (Loader) ที่จะดาวน์โหลดไฟล์มัลแวร์ตัวจริง (Payload) ในรูปแบบไฟล์ JavaScript ชื่อ Node.js ลงมาเพื่อติดตั้งผ่านทาง Runtime
มัลแวร์ EtherRAT นั้นเรียกได้ว่ามีความร้ายกาจจากการนำเอาฟีเจอร์สัญญาอัจฉริยะ หรือ SmartContract ของเครือข่ายบล็อกเชน (Blockchain) ของ Ethereum ลงมาใช้งานเพื่อรับคำสั่งจากเซิร์ฟเวอร์ควบคุม (C2 หรือ Command and Control) ลงมาใช้งาน ซึ่งมัลแวร์ตัวนี้ยังมีความสามารถอีกมากมาย เช่น ขโมยไฟล์, ควบคุมไฟล์ (File Manipulation), และ สร้างความคงทนบนระบบ (Persistence) เป็นต้น
#microsoft #ติดเทรนด์ #lemon8ไดอารี่ #itsupport #freedomhack
การระบาดของมัลแวร์ EtherRAT ที่ปลอมแปลงเป็นทีม IT Support เพื่อหลอกลวงพนักงานในองค์กร ไม่ใช่เรื่องที่เกิดขึ้นบ่อยครั้งเพียงครั้งเดียว แต่เป็นการโจมตีที่น่าสนใจด้วยวิธีการที่แยบยล เนื่องจากแฮกเกอร์ใช้ช่องทางการสื่อสารที่พนักงานคุ้นเคยและเชื่อถือได้ เช่น Microsoft Teams ซึ่งเป็นแพลตฟอร์มที่หลายบริษัทใช้ประจำ เมื่อติดต่อผ่านฟีเจอร์ Share Screen เพื่อขออนุญาตเข้าควบคุมเครื่องและติดตั้งโปรแกรม ทำให้เหยื่อรู้สึกว่าเป็นกระบวนการจริงจากฝ่าย IT Support ประสบการณ์ส่วนตัวที่ผมเคยเจอคือ เมื่อได้รับโทรศัพท์หรือข้อความจากหน่วยงานที่อ้างว่าเป็น IT Support ส่วนใหญ่จะมีความสุภาพและเร่งเร้าเล็กน้อยเพื่อให้เปิดไฟล์หรืออนุญาตเข้าถึงซอฟต์แวร์ควบคุมระยะไกล เช่น AnyDesk หรือ HopToDesk ซึ่งถ้าไม่ระวังจะทำให้เครื่องคอมพิวเตอร์ติดตั้งมัลแวร์ที่ไม่รู้จักและมีผลกระทบต่อความปลอดภัยของข้อมูลอย่างร้ายแรง นอกจากนี้การใช้มัลแวร์ EtherRAT ที่ผสมผสานกับเทคโนโลยีบล็อกเชน Ethereum และฟีเจอร์ SmartContract ทำให้แฮกเกอร์สามารถรับคำสั่งจากเซิร์ฟเวอร์ควบคุมเพื่อสั่งการระบบได้อย่างต่อเนื่องและทำให้มัลแวร์มีความคงทนต่อการตรวจจับและลบออก ทำให้องค์กรที่ถูกโจมตีต้องใช้เวลานานและทรัพยากรมากขึ้นในการฟื้นฟูระบบ การป้องกันที่ดีที่สุด คือ การอบรมพนักงานในองค์กรให้รับรู้ถึงวิธีการหลอกลวงแบบ Phishing และการติดต่อที่ผิดปกติจากบุคคลที่ไม่ได้รู้จัก รวมถึงการใช้มาตรการรักษาความปลอดภัยระบบอย่างเข้มงวด ไม่อนุญาตให้ติดตั้งซอฟต์แวร์จากแหล่งที่ไม่แน่ใจ และการตรวจสอบที่อยู่อีเมลอย่างละเอียดก่อนเปิดไฟล์แนบหรืออนุญาตเข้าถึงเครื่อง สุดท้าย ขอแนะนำว่าองค์กรควรมีระบบเวอร์ไฟร์ยืนยันตัวตนของทีม IT Support อย่างชัดเจน หากต้องติดต่อกับพนักงานควรใช้ช่องทางที่เป็นทางการและตรวจสอบได้ เพื่อป้องกันการแอบอ้างของมิจฉาชีพ และช่วยลดความเสี่ยงจากการโจมตีด้วยมัลแวร์ประเภทนี้ได้อย่างมีประสิทธิภาพ
