มัลแวร์ DarkGate
แคมเปญมัลแวร์ที่ใช้มัลแวร์ที่พร้อมใช้งานซึ่งรู้จักกันในชื่อ DarkGate ได้ถูกเปิดเผยแล้ว นักวิจัยด้านความปลอดภัยทางไซเบอร์แนะนำว่ากิจกรรมมัลแวร์ DarkGate ที่เพิ่มขึ้นน่าจะเนื่องมาจากการตัดสินใจล่าสุดของผู้พัฒนามัลแวร์ที่จะเสนอให้เช่าให้กับกลุ่มพันธมิตรอาชญากรไซเบอร์ที่ได้รับการคัดเลือก การใช้งานภัยคุกคามนี้ยังเชื่อมโยงกับแคมเปญขนาดใหญ่ที่ใช้ประโยชน์จากเธรดอีเมลที่ถูกบุกรุกเพื่อหลอกลวงผู้รับให้ดาวน์โหลดมัลแวร์โดยไม่รู้ตัว
สารบัญ
มัลแวร์ DarkGate ถูกส่งผ่านกระบวนการโจมตีแบบหลายขั้นตอน
การโจมตีเริ่มต้นโดยการล่อเหยื่อไปยัง URL ฟิชชิ่ง ซึ่งเมื่อถูกคลิก จะผ่านระบบกำหนดทิศทางการรับส่งข้อมูล (TDS) เป้าหมายคือการนำเหยื่อที่ไม่สงสัยไปยังเพย์โหลดของ MSI ภายใต้เงื่อนไขเฉพาะบางประการ หนึ่งในเงื่อนไขเหล่านี้คือการมีส่วนหัวรีเฟรชในการตอบกลับ HTTP
เมื่อเปิดไฟล์ MSI กระบวนการแบบหลายขั้นตอนจะถูกทริกเกอร์ กระบวนการนี้เกี่ยวข้องกับการใช้สคริปต์ AutoIt เพื่อรันเชลล์โค้ด ซึ่งทำหน้าที่เป็นวิธีการถอดรหัสและเรียกใช้ภัยคุกคาม DarkGate ผ่านทางตัวเข้ารหัสหรือตัวโหลด เพื่อให้แม่นยำยิ่งขึ้น ตัวโหลดจะถูกตั้งโปรแกรมให้วิเคราะห์สคริปต์ AutoIt และดึงข้อมูลเพย์โหลดที่เข้ารหัสออกมา
นอกจากนี้ยังมีการสังเกตการโจมตีรูปแบบอื่นอีกด้วย แทนที่จะเป็นไฟล์ MSI จะใช้สคริปต์ Visual Basic ซึ่งใช้ cURL เพื่อดึงข้อมูลทั้งไฟล์ปฏิบัติการ AutoIt และไฟล์สคริปต์ วิธีการที่แน่นอนที่ใช้ในการส่งสคริปต์ VB ยังไม่ทราบแน่ชัด
DarkGate สามารถดำเนินการที่เป็นอันตรายมากมายบนอุปกรณ์ที่ถูกละเมิดได้
DarkGate มีความสามารถมากมายที่ช่วยให้สามารถหลบเลี่ยงการตรวจจับโดยซอฟต์แวร์รักษาความปลอดภัย สร้างความคงอยู่ผ่านการแก้ไขรีจิสทรีของ Windows ยกระดับสิทธิ์ และขโมยข้อมูลจากเว็บเบราว์เซอร์และแพลตฟอร์มซอฟต์แวร์ เช่น Discord และ FileZilla
นอกจากนี้ ยังสร้างการสื่อสารกับเซิร์ฟเวอร์ Command-and-Control (C2) ซึ่งเปิดใช้งานการดำเนินการต่างๆ เช่น การแจงนับไฟล์ การแยกข้อมูล การเริ่มต้นการดำเนินการขุดเหมืองสกุลเงินดิจิทัล การจับภาพหน้าจอระยะไกล และการดำเนินการคำสั่งต่างๆ
ภัยคุกคามนี้วางตลาดบนฟอรัมใต้ดินเป็นหลักภายใต้รูปแบบการสมัครสมาชิก คะแนนราคาที่เสนอแตกต่างกันไป ตั้งแต่ 1,000 ดอลลาร์ต่อวันไปจนถึง 15,000 ดอลลาร์ต่อเดือน และสูงถึง 100,000 ดอลลาร์ต่อปี ผู้สร้างมัลแวร์ส่งเสริมให้เป็น "เครื่องมือที่ดีที่สุดสำหรับผู้ทดสอบปากกา/ทีมแดง" โดยเน้นคุณลักษณะพิเศษที่คาดคะเนว่าไม่พบที่อื่น สิ่งที่น่าสนใจคือนักวิจัยด้านความปลอดภัยทางไซเบอร์ได้ค้นพบการทำซ้ำ DarkGate ก่อนหน้านี้ซึ่งรวมถึงโมดูลแรนซัมแวร์ด้วย
อย่าหลงเชื่อเทคนิคที่ใช้ในการโจมตีแบบฟิชชิ่ง
การโจมตีแบบฟิชชิ่งเป็นช่องทางหลักสำหรับภัยคุกคามมัลแวร์ต่างๆ รวมถึงผู้ขโมย โทรจัน และตัวโหลดมัลแวร์ การตระหนักถึงความพยายามในการฟิชชิ่งดังกล่าวถือเป็นสิ่งสำคัญในการรักษาความปลอดภัยและไม่ทำให้อุปกรณ์ของคุณเสี่ยงต่อความปลอดภัยหรือความเป็นส่วนตัวที่เป็นอันตราย ต่อไปนี้เป็นธงสีแดงทั่วไปที่ควรทราบ:
- ที่อยู่ผู้ส่งที่น่าสงสัย : ตรวจสอบที่อยู่อีเมลของผู้ส่งอย่างระมัดระวัง โปรดใช้ความระมัดระวังหากมีการสะกดผิด มีอักขระพิเศษ หรือไม่ตรงกับโดเมนอย่างเป็นทางการขององค์กรที่อ้างว่ามาจาก
- คำทักทายที่ไม่ได้ระบุ : อีเมลฟิชชิ่งมักใช้คำทักทายทั่วไป เช่น 'เรียนผู้ใช้' แทนที่จะเรียกคุณด้วยชื่อของคุณ องค์กรที่ถูกกฎหมายมักจะปรับแต่งการสื่อสารให้เหมาะกับตนเอง
- ภาษาที่เร่งด่วนหรือเป็นการคุกคาม : อีเมลฟิชชิ่งมีแนวโน้มที่จะสร้างความรู้สึกเร่งด่วนหรือความกลัวที่จะต้องดำเนินการทันที พวกเขาอาจอ้างว่าบัญชีของคุณถูกระงับ หรือคุณจะต้องเผชิญกับผลที่ตามมา เว้นแต่คุณจะดำเนินการอย่างรวดเร็ว
- คำขอข้อมูลส่วนบุคคลที่ผิดปกติ : โปรดระมัดระวังอีเมลที่ขอข้อมูลที่ละเอียดอ่อน เช่น รหัสผ่าน หมายเลขประกันสังคม หรือรายละเอียดบัตรเครดิต องค์กรที่ถูกต้องตามกฎหมายจะไม่ขอข้อมูลดังกล่าวทางอีเมล
- ไฟล์แนบที่ผิดปกติ : อย่าเปิดไฟล์แนบจากผู้ส่งที่ไม่รู้จัก อาจมีมัลแวร์ แม้ว่าไฟล์แนบจะดูคุ้นเคย แต่ให้ระมัดระวังหากเป็นสิ่งที่ไม่คาดคิดหรือกระตุ้นให้คุณดำเนินการทันที
- ข้อเสนอที่ดีเกินกว่าจะเป็นจริง : อีเมลฟิชชิ่งอาจสัญญาว่าจะให้รางวัล รางวัล หรือข้อเสนอที่ไม่น่าเชื่อซึ่งมีจุดประสงค์เพื่อหลอกให้คุณคลิกลิงก์ที่เป็นอันตรายหรือให้ข้อมูลส่วนบุคคล
- ลิงก์ที่ไม่คาดคิด : โปรดระวังอีเมลที่มีลิงก์โดยไม่คาดคิด แทนที่จะคลิก ให้พิมพ์ที่อยู่ของเว็บไซต์อย่างเป็นทางการลงในเบราว์เซอร์ด้วยตนเอง
- การจัดการทางอารมณ์ : อีเมลฟิชชิ่งอาจพยายามกระตุ้นอารมณ์ เช่น ความอยากรู้อยากเห็น ความเห็นอกเห็นใจ หรือความตื่นเต้น เพื่อให้คุณเข้าถึงลิงก์หรือดาวน์โหลดไฟล์แนบ
- การขาดข้อมูลการติดต่อ : องค์กรที่ถูกกฎหมายมักจะให้ข้อมูลการติดต่อ หากอีเมลขาดข้อมูลนี้หรือให้เฉพาะที่อยู่อีเมลทั่วไป โปรดใช้ความระมัดระวัง
การระมัดระวังและให้ความรู้แก่ตนเองเกี่ยวกับธงสีแดงเหล่านี้สามารถช่วยปกป้องตนเองจากการพยายามฟิชชิ่งได้อย่างมาก หากคุณได้รับอีเมลที่ทำให้เกิดข้อสงสัย ควรตรวจสอบความถูกต้องตามกฎหมายผ่านช่องทางอย่างเป็นทางการก่อนดำเนินการใดๆ จะดีกว่า
