NccTrojan
ការគំរាមកំហែង nccTrojan ត្រូវបានប្រើនៅក្នុងការវាយប្រហារជាបន្តបន្ទាប់ដែលគេជឿថាធ្វើឡើងដោយក្រុម APT (Advanced Persistent Threat) ដែលគាំទ្រដោយចិនដែលត្រូវបានគេស្គាល់ថា TA428។ ឧក្រិដ្ឋជនតាមអ៊ីនធឺណិតកំពុងកំណត់គោលដៅលើសហគ្រាស និងស្ថាប័នសាធារណៈដែលពាក់ព័ន្ធនឹងយោធា ដែលមានទីតាំងនៅប្រទេសមួយចំនួននៅអឺរ៉ុបខាងកើត និងអាហ្វហ្គានីស្ថាន។ គោលដៅនៃយុទ្ធនាការគំរាមកំហែងនេះហាក់ដូចជាការប្រមូលទិន្នន័យ និងចារកម្មតាមអ៊ីនធឺណិត ដោយអ្នកគំរាមកំហែងបានទម្លាក់ការគំរាមកំហែងមេរោគចំនួនប្រាំមួយផ្សេងគ្នានៅលើម៉ាស៊ីនដែលបំពាន។
ការចូលប្រើឧបករណ៍ដំបូងត្រូវបានសម្រេចតាមរយៈយុទ្ធនាការបន្លំលំពែងដែលមានគោលដៅខ្ពស់។ ពួក Hacker TA428 បង្កើតអ៊ីមែលទាក់ទាញផ្ទាល់ខ្លួន ដើម្បីប្រើប្រឆាំងនឹងអង្គការជាក់លាក់។ អ៊ីមែលបន្លំមួយចំនួន ថែមទាំងមានព័ត៌មានសម្ងាត់ ឬឯកជន ដែលមិនមានជាសាធារណៈ។ នៅពេលដែលជនរងគ្រោះប្រតិបត្តិឯកសារ Word ដែលត្រូវបានបំពាក់ដោយអាវុធដែលភ្ជាប់ទៅនឹងអ៊ីមែលទាក់ទាញ វាបង្កឱ្យកូដខូចដែលទាញយកភាពងាយរងគ្រោះ CVE-2017-11882 ។ ព័ត៌មានលម្អិតអំពីការវាយប្រហារ និងឃ្លាំងអាវុធដ៏ឈឺចាប់របស់ពួក Hacker ត្រូវបានចេញផ្សាយនៅក្នុងរបាយការណ៍មួយរបស់ អ្នកស្រាវជ្រាវសន្តិសុខ។
ការវិភាគ NccTrojan
មេរោគ nccTrojan ត្រូវបានកំណត់គុណលក្ខណៈ TA428 រួចហើយ។ តាមពិត ការគំរាមកំហែងនេះហាក់ដូចជាត្រូវបានអភិវឌ្ឍយ៉ាងសកម្មដោយអ្នកវាយប្រហារ។ ការដំឡើងការគំរាមកំហែងលើឧបករណ៍ដែលបានបំពានចាប់ផ្ដើមដោយការទាញយកឯកសារមួយចំនួនពីម៉ាស៊ីនមេ Command-and-Control (C2, C&C)។ ឯកសារដែលអាចប្រតិបត្តិបានត្រូវបានបញ្ជូនជាទម្រង់ឯកសារ .cab ដែលមានឈ្មោះតាមអំពើចិត្ត។ ឧបករណ៍ប្រើប្រាស់ប្រព័ន្ធពង្រីកគឺត្រូវការដើម្បីស្រាយឯកសារដែលបានបញ្ជូនទៅក្នុងថតដែលមានស្រាប់ដែលជាកម្មសិទ្ធិរបស់ផលិតផលកម្មវិធីស្របច្បាប់។ លើសពីនេះទៀត ពួក Hacker ក៏ទម្លាក់សមាសភាគកម្មវិធីដំឡើងពិសេសដែលមានភារកិច្ចចុះឈ្មោះ NccTrojan's DLL ជាសេវាកម្មមួយ។ ការធ្វើដូច្នេះធានាថាការគំរាមកំហែងនឹងត្រូវបានផ្ទុកដោយស្វ័យប្រវត្តិនៅពេលចាប់ផ្តើមប្រព័ន្ធនីមួយៗ។
បន្ទាប់ពីក្លាយជាសកម្ម ម៉ូឌុលសំខាន់របស់ nccTrojan នឹងព្យាយាមបង្កើតទំនាក់ទំនងជាមួយបញ្ជីអាសយដ្ឋាន C2 រឹង។ ការទំនាក់ទំនងជាបន្តបន្ទាប់ទាំងអស់នឹងត្រូវបានបញ្ជូនទៅម៉ាស៊ីនមេដែលឆ្លើយតបជាមុន។ ក្នុងអំឡុងពេលទំនាក់ទំនងដំបូង ការគំរាមកំហែងក៏ផ្ញើព័ត៌មានទូទៅជាច្រើនអំពីប្រព័ន្ធដែលបំពាន ដូចជាឈ្មោះកុំព្យូទ័រ អាសយដ្ឋាន IP ឈ្មោះអ្នកប្រើប្រាស់ កំណែមេរោគ ទិន្នន័យមូលដ្ឋានីយកម្មប្រព័ន្ធ និងច្រើនទៀត។ nccTrojan ក៏ផ្តល់ឱ្យអ្នកវាយប្រហារនូវមុខងារ backdoor សមត្ថភាពក្នុងការប្រតិបត្តិពាក្យបញ្ជា បើកដំណើរការឯកសារដែលអាចប្រតិបត្តិបាន សម្លាប់ដំណើរការជ្រើសរើស រៀបចំប្រព័ន្ធឯកសារ ទាញយកបន្ទុកបន្ថែមពី C2 និងច្រើនទៀត។
