มัลแวร์ MixShell

นักวิจัยด้านความปลอดภัยไซเบอร์ได้ค้นพบปฏิบัติการทางวิศวกรรมสังคมที่ซับซ้อน ชื่อรหัสว่า ZipLine ซึ่งใช้ประโยชน์จากมัลแวร์แฝงในหน่วยความจำที่รู้จักกันในชื่อ MixShell แคมเปญนี้มุ่งเป้าไปที่บริษัทผู้ผลิตที่มีความสำคัญต่อห่วงโซ่อุปทานเป็นหลัก และแสดงให้เห็นถึงแนวโน้มที่เพิ่มขึ้นของผู้โจมตีที่ใช้ประโยชน์จากเวิร์กโฟลว์ทางธุรกิจที่เชื่อถือได้ แทนที่จะใช้วิธีฟิชชิ่งแบบเดิม

จากแบบฟอร์มการติดต่อไปจนถึงการประนีประนอม

ต่างจากการโจมตีแบบฟิชชิ่งทั่วไปที่ส่งผ่านอีเมลไม่พึงประสงค์ ผู้ให้บริการ ZipLine เริ่มต้นการโจมตีผ่านแบบฟอร์ม "ติดต่อเรา" ของบริษัท วิธีการอันแยบยลนี้สร้างความน่าเชื่อถือตั้งแต่เริ่มต้น ต่อมาคือการแลกเปลี่ยนการสื่อสารอย่างมืออาชีพและน่าเชื่อถือเป็นเวลาหลายสัปดาห์ ซึ่งมักเสริมด้วยข้อตกลงการไม่เปิดเผยข้อมูล (NDA) ที่ถูกกุขึ้น ก่อนที่ผู้โจมตีจะส่งไฟล์ ZIP อันตรายที่บรรจุ MixShell ไว้

กลยุทธ์การสร้างความไว้วางใจอย่างอดทนนี้ทำให้ ZipLine แตกต่างจากแคมเปญที่เน้นแต่การขู่กรรโชก ในบางกรณี ผู้โจมตียังวางกรอบแนวทางของตนโดยอิงกับโครงการริเริ่มที่ขับเคลื่อนด้วย AI โดยแสดงตนเป็นพันธมิตรที่สามารถช่วยลดต้นทุนและเพิ่มประสิทธิภาพได้

ใครอยู่ในจุดเล็ง?

ZipLine มีเป้าหมายครอบคลุมหลากหลาย แต่มุ่งเน้นไปที่องค์กรในสหรัฐอเมริกาที่อยู่ในอุตสาหกรรมที่สำคัญต่อห่วงโซ่อุปทาน ภูมิภาคอื่นๆ ที่ได้รับผลกระทบ ได้แก่ สิงคโปร์ ญี่ปุ่น และสวิตเซอร์แลนด์

กลุ่มอุตสาหกรรมเป้าหมายที่สำคัญ ได้แก่:

• การผลิตภาคอุตสาหกรรม (เครื่องจักร โลหะ ส่วนประกอบ ระบบวิศวกรรม)
• ฮาร์ดแวร์และเซมิคอนดักเตอร์
• เทคโนโลยีชีวภาพและเภสัชภัณฑ์
• การผลิตสินค้าอุปโภคบริโภค

ผู้โจมตียังใช้โดเมนที่เลียนแบบบริษัทจำกัด (LLC) ที่จดทะเบียนในสหรัฐอเมริกา โดยบางครั้งนำโดเมนของธุรกิจที่ถูกกฎหมายแต่ไม่ได้ใช้งานมาดัดแปลง เว็บไซต์ที่โคลนเหล่านี้ชี้ไปที่การดำเนินงานขนาดใหญ่ที่มีโครงสร้างซับซ้อน

กายวิภาคของห่วงโซ่การโจมตี

ความสำเร็จของ ZipLine อยู่ที่กระบวนการติดไวรัสหลายขั้นตอนที่ออกแบบมาเพื่อการซ่อนตัวและคงอยู่ถาวร โดยทั่วไปแล้วไฟล์ ZIP ที่ถูกติดอาวุธจะถูกโฮสต์ไว้บน Herokuapp.com ซึ่งเป็นบริการคลาวด์ที่ถูกต้องตามกฎหมาย ซึ่งช่วยให้มัลแวร์สามารถผสานเข้ากับกิจกรรมเครือข่ายปกติได้

กระบวนการติดเชื้อประกอบด้วย:

• ทางลัด Windows (LNK) ภายใน ZIP จะเรียกใช้งานตัวโหลด PowerShell

ลิงก์ไปยังกิจกรรมคุกคามก่อนหน้านี้

นักวิจัยพบความซ้ำซ้อนระหว่างใบรับรองดิจิทัลที่ใช้ในโครงสร้างพื้นฐานของ ZipLine และใบรับรองที่เชื่อมโยงกับการโจมตี TransferLoader ซึ่งเชื่อมโยงกับกลุ่มภัยคุกคามที่มีชื่อว่า UNK_GreenSec แม้ว่าการระบุแหล่งที่มาจะยังไม่ชัดเจน แต่ความเชื่อมโยงนี้บ่งชี้ถึงผู้กระทำที่มีการจัดการที่ดีและมีไหวพริบ ซึ่งมีประสบการณ์ในแคมเปญขนาดใหญ่มาก่อน

ความเสี่ยงของแคมเปญ ZipLine

ผลที่ตามมาจากการติดไวรัส MixShell ที่ประสบความสำเร็จอาจร้ายแรง ตั้งแต่การโจรกรรมทรัพย์สินทางปัญญา การบุกรุกอีเมลธุรกิจ ไปจนถึงเหตุการณ์แรนซัมแวร์และการหยุดชะงักของห่วงโซ่อุปทาน เมื่อพิจารณาจากลักษณะของอุตสาหกรรมเป้าหมาย ผลกระทบอาจขยายวงกว้างจากบริษัทแต่ละแห่งไปสู่ระบบนิเวศการผลิตทั้งหมด

มาตรการป้องกัน: การก้าวไปข้างหน้าจากภัยคุกคามที่ถูกออกแบบทางสังคม

แคมเปญ ZipLine เน้นย้ำถึงวิธีการที่อาชญากรทางไซเบอร์สร้างสรรค์นวัตกรรม โดยใช้ประโยชน์จากจิตวิทยาของมนุษย์ ช่องทางการสื่อสารที่เชื่อถือได้ และธีมที่เกี่ยวข้องกับ AI เพื่อแสวงหาประโยชน์จากความไว้วางใจ

เพื่อรับมือกับภัยคุกคามดังกล่าว องค์กรต่างๆ จะต้อง:

• ใช้การป้องกันก่อนเป็นอันดับแรก ซึ่งสามารถตรวจจับพฤติกรรมที่ผิดปกติได้
• ฝึกอบรมพนักงานให้ตอบคำถามทุกข้อด้วยความสงสัย ไม่ว่าจะใช้ช่องทางใดก็ตาม
• บังคับใช้กฎการจัดการไฟล์อย่างเคร่งครัด โดยเฉพาะอย่างยิ่งเกี่ยวกับไฟล์เก็บถาวร ZIP และไฟล์ทางลัด
• เสริมสร้างการตรวจสอบความผิดปกติในการสื่อสารที่ใช้ DNS ซึ่งอาจบ่งชี้ถึงการสร้างอุโมงค์

การสร้างวัฒนธรรมแห่งความระมัดระวังเป็นสิ่งสำคัญยิ่ง ความไว้วางใจเมื่อถูกนำไปใช้เป็นอาวุธจะกลายเป็นหนึ่งในเครื่องมือที่มีประสิทธิภาพที่สุดของผู้โจมตี