មេរោគ RokRAT
ក្រុមគំរាមកំហែងកូរ៉េខាងជើង APT37 (ដែលត្រូវបានគេស្គាល់ផងដែរថាជា ScarCruft) ត្រូវបានភ្ជាប់ទៅនឹងយុទ្ធនាការតាមអ៊ីនធឺណិតច្រើនដំណាក់កាលដ៏ស្មុគស្មាញ ដែលប្រើប្រាស់វិស្វកម្មសង្គមតាមរយៈហ្វេសប៊ុក។ អ្នកវាយប្រហារចាប់ផ្តើមទំនាក់ទំនងដោយការផ្ញើសំណើសុំធ្វើជាមិត្តភ័ក្តិ ដោយកសាងទំនុកចិត្តបន្តិចម្តងៗ មុនពេលបំលែងអន្តរកម្មទៅជាបណ្តាញចែកចាយមេរោគ។ ការរៀបចំដែលបានគណនានេះ នៅទីបំផុតអាចឱ្យមានការពង្រាយមេរោគ RokRAT ដែលអាចចូលប្រើពីចម្ងាយបាន។
តារាងមាតិកា
អាវុធដែលត្រូវជ្រើសរើស៖ ការវិវត្តន៍របស់ RokRAT
RokRAT នៅតែជាមេរោគចម្បងដែលក្រុមនេះប្រើប្រាស់ ហើយបានវិវត្តន៍គួរឱ្យកត់សម្គាល់តាមពេលវេលា ជាមួយនឹងការសម្របខ្លួនសម្រាប់វេទិកាដូចជា macOS និង Android។ ការអភិវឌ្ឍជាបន្តបន្ទាប់របស់វាបង្ហាញពីការវិនិយោគប្រតិបត្តិការប្រកបដោយចីរភាព។
មេរោគនេះអាចអនុវត្តសកម្មភាពព្យាបាទជាច្រើនប្រភេទ រួមមាន៖
- ការប្រមូលផលព័ត៌មានសម្ងាត់ និងការលួចយកទិន្នន័យរសើប
- ការថតរូបភាពអេក្រង់ និងការស៊ើបការណ៍សម្ងាត់ប្រព័ន្ធ
- ការប្រតិបត្តិពាក្យបញ្ជា និង shellcode
- ការគ្រប់គ្រងឯកសារ និងថតឯកសារ
ដើម្បីបិទបាំងប្រតិបត្តិការរបស់វា វ៉ារ្យ៉ង់មុនៗរក្សាទុកទិន្នន័យដែលត្រូវបានគេលួចក្នុងទម្រង់ឯកសារ MP3។ លើសពីនេះ RokRAT ក្លែងបន្លំការទំនាក់ទំនងបញ្ជា និងត្រួតពិនិត្យ (C2) របស់វាដោយការបញ្ជូនទិន្នន័យតាមរយៈវេទិកា cloud ស្របច្បាប់ដូចជា Dropbox, Microsoft OneDrive, pCloud និង Yandex Cloud។
ទំនុកចិត្តជាវ៉ិចទ័រវាយប្រហារ៖ ការរៀបចំប្រព័ន្ធផ្សព្វផ្សាយសង្គម
យុទ្ធនាការនេះចាប់ផ្តើមជាមួយនឹងការបង្កើតបុគ្គលក្លែងក្លាយនៅលើហ្វេសប៊ុក ដែលត្រូវបានគេរាយការណ៍ថាមានមូលដ្ឋាននៅទីក្រុងព្យុងយ៉ាង និងព្យុងសុង។ គណនីទាំងនេះត្រូវបានប្រើដើម្បីកំណត់អត្តសញ្ញាណ និងវាយតម្លៃជនរងគ្រោះដែលមានសក្តានុពល។ នៅពេលដែលការតភ្ជាប់ត្រូវបានបង្កើតឡើង ការសន្ទនានឹងប្តូរទៅ Messenger ជាកន្លែងដែលប្រធានបទដែលបានជ្រើសរើសយ៉ាងប្រុងប្រយ័ត្នត្រូវបានណែនាំដើម្បីបង្កើនទំនុកចិត្ត និងការចូលរួម។
យុទ្ធសាស្ត្រសំខាន់មួយដែលប្រើគឺការបន្លំ បញ្ចុះបញ្ចូលគោលដៅឱ្យដំឡើងកម្មវិធីមើល PDF ឯកទេស ក្រោមសម្មតិកម្មមិនពិតថាវាត្រូវបានទាមទារដើម្បីចូលប្រើឯកសារយោធាដែលបានអ៊ិនគ្រីប។ កម្មវិធីដែលផ្តល់ជូនគឺជាកំណែដែលបានកែប្រែរបស់ Wondershare PDFelement ដែលបង្កប់ជាមួយ shellcode ព្យាបាទ។ នៅពេលប្រតិបត្តិ កម្មវិធីដំឡើងនេះចាប់ផ្តើមការសម្របសម្រួលដោយផ្តល់សិទ្ធិចូលប្រើប្រព័ន្ធដំបូងដល់អ្នកវាយប្រហារ។
ការបោកបញ្ឆោតជាស្រទាប់ៗ៖ បច្ចេកទេសបញ្ជូន និងការគេចវេសកម្រិតខ្ពស់
ខ្សែសង្វាក់វាយប្រហារបង្ហាញពីកម្រិតខ្ពស់នៃភាពស្មុគស្មាញតាមរយៈការរួមបញ្ចូលគ្នានៃយុទ្ធសាស្ត្រគេចវេះច្រើន៖
- ការប្រើប្រាស់កម្មវិធីស្របច្បាប់ដែលមានមេរោគ Trojan ដើម្បីជៀសវាងការសង្ស័យ
- ការកេងប្រវ័ញ្ចហេដ្ឋារចនាសម្ព័ន្ធគេហទំព័រដែលរងការគំរាមកំហែង ប៉ុន្តែគួរឱ្យទុកចិត្តសម្រាប់ប្រតិបត្តិការ C2
- ការក្លែងបន្លំ payloads ដែលមានគំនិតអាក្រក់ជាឯកសារដែលមិនបង្កគ្រោះថ្នាក់ ដូចជារូបភាព JPG
ជាពិសេស អ្នកវាយប្រហារបានទាញយកប្រយោជន៍ពីគេហទំព័រដែលរងការសម្របសម្រួលដែលភ្ជាប់ទៅនឹងសាខាសេអ៊ូលរបស់សេវាកម្មអចលនទ្រព្យជប៉ុន ដើម្បីចែកចាយពាក្យបញ្ជា និងបន្ទុកទិន្នន័យ។ បន្ទុកទិន្នន័យដំណាក់កាលទីពីរលេចឡើងជាឯកសាររូបភាពដែលគ្មានគ្រោះថ្នាក់ ដោយលាក់បាំងការដាក់ពង្រាយ RokRAT ចុងក្រោយ។
ការអនុវត្តពហុដំណាក់កាល៖ ពីទំនាក់ទំនងសង្គមរហូតដល់ការសម្របសម្រួលពេញលេញ
លំដាប់នៃការវាយប្រហារដំណើរការឆ្លងកាត់ដំណាក់កាលសម្របសម្រួលជាច្រើន។ ជនគំរាមកំហែងបានបង្កើតគណនីហ្វេសប៊ុកដែលមានឈ្មោះថា 'richardmichael0828' និង 'johnsonsophia0414' នៅថ្ងៃទី 10 ខែវិច្ឆិកា ឆ្នាំ 2025។ បន្ទាប់ពីបង្កើតទំនាក់ទំនង ការទំនាក់ទំនងត្រូវបានបញ្ជូនបន្តទៅ Telegram ដែលជនរងគ្រោះទទួលបានបណ្ណសារ ZIP ដែលមានកម្មវិធីមើល PDF ព្យាបាទ ឯកសារក្លែងក្លាយ និងការណែនាំអំពីការដំឡើង។
ការប្រតិបត្តិកម្មវិធីដំឡើងដែលរងការសម្របសម្រួលនឹងបង្កឱ្យមានលេខកូដសែលដែលបានអ៊ិនគ្រីប ដែលភ្ជាប់ទៅដែន C2 ហើយទាញយកបន្ទុកបន្ទាប់បន្សំដែលក្លែងបន្លំជាឯកសាររូបភាព JPG។ ឯកសារនេះនៅទីបំផុតផ្តល់នូវមេរោគ RokRAT ពេញលេញ។
ការបញ្ជា និងការគ្រប់គ្រងផ្អែកលើពពក៖ លាយបញ្ចូលគ្នាទៅក្នុងចរាចរណ៍ស្របច្បាប់
RokRAT បង្កើនការលួចលាក់របស់ខ្លួនបន្ថែមទៀតដោយរំលោភបំពាន Zoho WorkDrive ជាផ្នែកមួយនៃហេដ្ឋារចនាសម្ព័ន្ធ C2 របស់ខ្លួន ដែលជាវិធីសាស្ត្រមួយដែលក៏ត្រូវបានគេសង្កេតឃើញនៅក្នុងយុទ្ធនាការ 'Ruby Jumper' ដែលត្រូវបានកំណត់អត្តសញ្ញាណនៅដើមឆ្នាំ 2026។ តាមរយៈវិធីសាស្រ្តនេះ មេរោគអនុវត្តមុខងារដូចជាការចាប់យករូបថតអេក្រង់ ការប្រតិបត្តិពាក្យបញ្ជាពីចម្ងាយតាមរយៈសែលប្រព័ន្ធ ការប្រមូលទិន្នន័យម៉ាស៊ីន និងការគេចវេសសុវត្ថិភាព។
ការផ្តោតជាយុទ្ធសាស្ត្រ៖ ស្ថេរភាពក្នុងមុខងារ នវានុវត្តន៍ក្នុងការដឹកជញ្ជូន
ខណៈពេលដែលសមត្ថភាពស្នូលរបស់ RokRAT នៅតែស្ថិតស្ថេរយ៉ាងទូលំទូលាយនៅទូទាំងប្រតិបត្តិការ យន្តការចែកចាយ និងយុទ្ធសាស្ត្រគេចវេសរបស់វានៅតែបន្តវិវឌ្ឍ។ ការសង្កត់ធ្ងន់ជាយុទ្ធសាស្ត្រនេះបង្ហាញពីការផ្តោតអារម្មណ៍ដោយចេតនាលើការកែលម្អវ៉ិចទ័រឆ្លង និងបច្ចេកទេសលាក់បាំងជាជាងការផ្លាស់ប្តូរមុខងារជាមូលដ្ឋានរបស់មេរោគ។
