មេរោគ DroxiDat

តួសម្តែងពាក់ព័ន្ធនឹងការក្លែងបន្លំដែលមិនស្គាល់អត្តសញ្ញាណត្រូវបានផ្សារភ្ជាប់ជាមួយនឹងការវាយប្រហារតាមអ៊ីនធឺណិតលើក្រុមហ៊ុនផលិតថាមពលដែលមានទីតាំងនៅភាគខាងត្បូងអាហ្វ្រិក។ ការវាយប្រហារបានប្រើប្រាស់ការគំរាមកំហែងមេរោគប្រលោមលោកដែលត្រូវបានតាមដានជា DroxiDat ។ មេរោគនេះត្រូវបានបញ្ជាក់ថាជាការកើតឡើងម្តងទៀតនៃ SystemBC ដែលបានរកឃើញពីមុន ហើយត្រូវបានគេសន្មត់ថាត្រូវបានដាក់ពង្រាយជាជំហានដំបូងសម្រាប់ការវាយប្រហារ ransomware ដែលរំពឹងទុក។

ការដាក់ពង្រាយ DroxiDat ដែលជា backdoor បំពាក់ដោយសមត្ថភាពប្រូកស៊ី បានកើតឡើងក្នុងពេលដំណាលគ្នាជាមួយនឹងការប្រើប្រាស់ Cobalt Strike Beacons នៅក្នុងហេដ្ឋារចនាសម្ព័ន្ធសំខាន់ៗ។ អ្នកស្រាវជ្រាវបានកំណត់ថាឧប្បត្តិហេតុនេះបានផ្ទុះឡើងនៅចុងខែមីនា ឆ្នាំ 2023។ ក្នុងអំឡុងពេលនេះ គេជឿថាប្រតិបត្តិការវាយប្រហារគឺស្ថិតនៅក្នុងដំណាក់កាលដំបូងរបស់វា ដោយផ្តោតលើការកំណត់ទម្រង់ប្រព័ន្ធ និងការបង្កើតបណ្តាញប្រូកស៊ីដោយប្រើប្រាស់ពិធីការ SOCKS5 ដើម្បីជួយសម្រួលដល់ការទំនាក់ទំនងជាមួយបញ្ជា។ -and-Control (C2) ហេដ្ឋារចនាសម្ព័ន្ធ។

អ្នកបង្កើត DroxiDat បានប្រើ SystemBC Malware ជាមូលដ្ឋាន

SystemBC គឺជាមេរោគទំនិញ និងឧបករណ៍រដ្ឋបាលពីចម្ងាយដែលត្រូវបានសរសេរកូដនៅក្នុង C/C++ ។ ការគំរាមកំហែងដំបូងបានកើតឡើងនៅឆ្នាំ 2019 ។ មុខងារចម្បងរបស់វាពាក់ព័ន្ធនឹងការបង្កើតប្រូកស៊ី SOCKS5 នៅលើម៉ាស៊ីនដែលត្រូវបានសម្របសម្រួល។ ប្រូកស៊ីទាំងនេះបម្រើជាបំពង់សម្រាប់ចរាចរក្លែងក្លាយដែលភ្ជាប់ទៅនឹងទម្រង់មេរោគផ្សេងទៀត។ ការធ្វើឡើងវិញនាពេលថ្មីៗនេះនៃមេរោគពិសេសនេះ បានពង្រីកសមត្ថភាព ដែលអាចឱ្យការទាញយក និងដំណើរការបន្ទុកគំរាមកំហែងបន្ថែម។

ការដាក់ពង្រាយជាប្រវត្តិសាស្ត្ររបស់ SystemBC ជាឧបករណ៍សម្រាប់ការវាយប្រហារ ransomware ត្រូវបានចងក្រងយ៉ាងល្អ។ នៅក្នុងខែធ្នូ ឆ្នាំ 2020 អ្នកស្រាវជ្រាវបានបង្ហាញករណីនៃប្រតិបត្តិករ ransomware ដែលងាកទៅរក SystemBC ជា Backdoor ដែលមានមូលដ្ឋានលើ Tor ដែលអាចរកបានសម្រាប់អនុវត្តការឆ្លងមេរោគ Ryuk និង Egregor Ransomware ។

ការអំពាវនាវរបស់ SystemBC ស្ថិតនៅក្នុងប្រសិទ្ធភាពរបស់វានៅក្នុងប្រតិបត្តិការបែបនេះ ដែលអនុញ្ញាតឱ្យមានការចូលរួមក្នុងពេលដំណាលគ្នាជាមួយនឹងគោលដៅជាច្រើនតាមរយៈនីតិវិធីស្វ័យប្រវត្តិ។ ផ្ទុយទៅវិញ វាជួយសម្រួលដល់ការដាក់ពង្រាយ ransomware តាមរយៈឧបករណ៍ Windows ដើម ប្រសិនបើអ្នកវាយប្រហារអាចទទួលបានព័ត៌មានសម្ងាត់សមស្រប។

DroxiDat អាច​ត្រូវ​បាន​គេ​ប្រើ​ជា​មុន​គេ​នៃ​ការ​វាយ​ប្រហារ Ransomware

ការតភ្ជាប់របស់ DroxiDat ទៅនឹងការដាក់ពង្រាយ ransomware មានប្រភពមកពីការកើតឡើងទាក់ទងនឹងការថែទាំសុខភាព ដែល DroxiDat ត្រូវបានចូលរួម។ ព្រឹត្តិការណ៍​នេះ​បាន​លាតត្រដាង​ក្នុង​អំឡុង​ពេល​វេលា​ស្រដៀង​គ្នា​ដែល​ Nokoyawa Ransomware ត្រូវ​បាន​គេ​ជឿ​ថា​ត្រូវ​បាន​ចែកចាយ​រួម​ជាមួយ​នឹង Cobalt Strike ។

មេរោគដែលប្រើប្រាស់ក្នុងការវាយលុកនេះមានលក្ខណៈងាយស្រួល និងមានប្រសិទ្ធភាព ផ្ទុយពី SystemBC ដើម។ អ្នកអភិវឌ្ឍន៍របស់ខ្លួនបានដកមុខងាររបស់វាចេញ ដោយកាត់បន្ថយមុខងារភាគច្រើនដែលមាននៅក្នុង SystemBC ដើម្បីធ្វើឯកទេសមុខងាររបស់វាជាទម្រង់ប្រព័ន្ធមូលដ្ឋាន។ តួនាទីរបស់វាពាក់ព័ន្ធនឹងការទាញយកព័ត៌មាន និងបញ្ជូនវាទៅម៉ាស៊ីនមេពីចម្ងាយ។

ជាលទ្ធផល DroxiDat ខ្វះសមត្ថភាពក្នុងការទាញយក និងប្រតិបត្តិកម្មវិធីផ្ទុកមេរោគបន្ថែម។ ទោះយ៉ាងណាក៏ដោយ វាអាចបង្កើតតំណភ្ជាប់ជាមួយអ្នកស្តាប់ពីចម្ងាយ សម្របសម្រួលការផ្ទេរទិន្នន័យទ្វេទិស និងមានសមត្ថភាពរៀបចំការចុះបញ្ជីប្រព័ន្ធនៃឧបករណ៍ដែលមានមេរោគ។

ការ​កំណត់​អត្តសញ្ញាណ​អ្នក​គំរាម​កំហែង​ដែល​ទទួល​ខុស​ត្រូវ​ចំពោះ​ការ​វាយ​ប្រហារ​នៅ​មិន​ទាន់​ដឹង​នៅ​ឡើយ​ទេ។ ទោះជាយ៉ាងណាក៏ដោយ សូចនាករដែលមានស្រាប់បង្ហាញយ៉ាងមុតមាំថាមានការចូលរួមពីក្រុមហេគឃ័ររុស្ស៊ី ជាពិសេស FIN12 (ត្រូវបានគេស្គាល់ផងដែរថាជា Pistachio Tempest)។ ក្រុមនេះត្រូវបានគេស្គាល់ថាសម្រាប់ការដាក់ពង្រាយ SystemBC រួមជាមួយ Cobalt Strike Beacons ដែលជាផ្នែកមួយនៃយុទ្ធសាស្រ្តរបស់ពួកគេសម្រាប់ការចែកចាយ ransomware ។