มัลแวร์ TimbreStealer
ตั้งแต่เดือนพฤศจิกายน 2023 บุคคลในเม็กซิโกตกอยู่ภายใต้แผนการฟิชชิ่งที่มีธีมภาษีโดยมีเป้าหมายเพื่อเผยแพร่มัลแวร์ Windows ที่เพิ่งระบุชื่อ TimbreStealer นักวิจัยที่ค้นพบแคมเปญนี้ระบุว่าผู้กระทำผิดมีความชำนาญ โดยสังเกตว่าผู้ก่อภัยคุกคามเหล่านี้ได้ใช้กลยุทธ์ เทคนิค และขั้นตอนที่คล้ายคลึงกัน (TTP) ในเดือนกันยายน พ.ศ. 2566 เพื่อติดตั้งโทรจันธนาคารชื่อ Mispadu
สารบัญ
อาชญากรไซเบอร์กำหนดเป้าหมายผู้ใช้ในเม็กซิโกด้วย TimbreStealer
นอกเหนือจากการใช้วิธีการทำให้งงงวยขั้นสูงเพื่อหลบเลี่ยงการตรวจจับและรักษาความคงอยู่แล้ว แคมเปญฟิชชิ่งยังรวมการใช้ geofencing เพื่อกำหนดเป้าหมายผู้ใช้ในเม็กซิโกโดยเฉพาะ เมื่อมีการเข้าถึงไซต์เพย์โหลดจากสถานที่นอกเม็กซิโก แคมเปญจะส่งคืนไฟล์ PDF เปล่าที่ดูเหมือนจะไม่เป็นอันตราย แทนที่จะเป็นไฟล์ที่เป็นอันตราย
กลยุทธ์การหลีกเลี่ยงที่ใช้นั้นมีความสำคัญ โดยเกี่ยวข้องกับการใช้ตัวโหลดแบบกำหนดเองและการเรียกระบบโดยตรงเพื่อหลีกเลี่ยงการตรวจสอบ API แบบเดิมๆ นอกจากนี้ แคมเปญยังใช้ Heaven's Gate เพื่อรันโค้ด 64 บิตภายในกระบวนการ 32 บิต ซึ่งเป็นเทคนิคที่เพิ่งนำมาใช้โดย HijackLoader เช่นกัน
TimbreStealer มีชุดความสามารถคุกคามที่หลากหลาย
มัลแวร์ดังกล่าวมีโมดูลฝังตัวมากมายสำหรับการจัดการ การถอดรหัส และการปกป้องไบนารีหลักโดยเฉพาะ ในขณะเดียวกัน จะดำเนินการตรวจสอบหลายครั้งเพื่อให้แน่ใจว่าทำงานในสภาพแวดล้อมแบบแซนด์บ็อกซ์ ภาษาของระบบไม่ใช่ภาษารัสเซียหรือไม่ และเขตเวลาอยู่ภายในภูมิภาคละตินอเมริกาหรือไม่
โมดูล orchestrator ดำเนินการตรวจสอบเพิ่มเติมโดยการค้นหาไฟล์และคีย์รีจิสทรีเพื่อยืนยันว่าเครื่องไม่เคยติดไวรัสมาก่อน หลังจากนี้ ระบบจะเริ่มต้นส่วนประกอบตัวติดตั้งเพย์โหลด โดยนำเสนอไฟล์ล่อที่ไม่เป็นอันตรายแก่ผู้ใช้ อย่างไรก็ตาม เบื้องหลัง การกระทำนี้จะกระตุ้นให้เกิดการดำเนินการเพย์โหลดหลักของ TimbreStealer
เพย์โหลดหลักได้รับการออกแบบมาเพื่อรวบรวมข้อมูลที่หลากหลาย ครอบคลุมข้อมูลประจำตัวจากโฟลเดอร์ต่างๆ ข้อมูลเมตาของระบบ และ URL ที่เข้าถึง โดยจะค้นหาไฟล์ที่มีนามสกุลเฉพาะและตรวจสอบการมีอยู่ของซอฟต์แวร์เดสก์ท็อประยะไกล
มัลแวร์ Infostealer สามารถนำไปสู่ผลกระทบที่สำคัญต่อผู้ที่ตกเป็นเหยื่อ
มัลแวร์ Infostealer ก่อให้เกิดภัยคุกคามร้ายแรงต่อเหยื่อ เนื่องจากได้รับการออกแบบมาโดยเฉพาะเพื่อแทรกซึมระบบอย่างซ่อนเร้นและขโมยข้อมูลที่ละเอียดอ่อน ซึ่งนำไปสู่ผลกระทบที่สำคัญ ต่อไปนี้คือวิธีที่มัลแวร์ Infostealer อาจส่งผลเสีย:
- การโจรกรรมข้อมูล : วัตถุประสงค์หลักของมัลแวร์ Infostealer คือการรวบรวมข้อมูลที่ละเอียดอ่อน เช่น ข้อมูลการเข้าสู่ระบบ ข้อมูลส่วนบุคคล รายละเอียดทางการเงิน และทรัพย์สินทางปัญญา เมื่อข้อมูลนี้ถูกบุกรุก ก็สามารถนำไปใช้ในกิจกรรมที่เป็นอันตรายต่างๆ ได้ รวมถึงการขโมยข้อมูลส่วนตัว การฉ้อโกงทางการเงิน หรือการเข้าถึงบัญชีโดยไม่ได้รับอนุญาต
- การสูญเสียทางการเงิน : มัลแวร์ Infostealer มักจะกำหนดเป้าหมายไปที่ข้อมูลทางการเงิน ซึ่งอาจนำไปสู่การสูญเสียทางการเงินโดยตรงสำหรับบุคคลและองค์กร อาชญากรไซเบอร์อาจใช้ข้อมูลรับรองธนาคารที่รวบรวมไว้เพื่อเริ่มธุรกรรมที่ไม่มีใบอนุญาตหรือเข้าถึงบัญชีทางการเงิน
- การบุกรุกความเป็นส่วนตัว : การขโมยข้อมูลส่วนบุคคลและข้อมูลลับผ่านมัลแวร์ Infostealer อาจส่งผลให้เกิดการบุกรุกความเป็นส่วนตัวอย่างลึกซึ้ง ผู้ที่ตกเป็นเหยื่ออาจพบกับการละเมิดความไว้วางใจและเผชิญกับความท้าทายในการกู้คืนข้อมูลประจำตัวออนไลน์ของตน
- Business Disruption : ในกรณีขององค์กร มัลแวร์ Infostealer สามารถนำไปสู่การหยุดชะงักทางธุรกิจได้ การสูญเสียข้อมูลทางธุรกิจที่ละเอียดอ่อนหรือความลับทางการค้าอาจเป็นอันตรายต่อความสามารถในการแข่งขันของบริษัท และการเข้าถึงระบบที่สำคัญโดยไม่ได้รับอนุญาตอาจนำไปสู่การหยุดทำงานของการปฏิบัติงาน
- ความเสียหายต่อชื่อเสียง : การเปิดเผยข้อมูลที่ละเอียดอ่อน โดยเฉพาะอย่างยิ่งหากเกี่ยวข้องกับข้อมูลลูกค้าหรือพนักงาน อาจสร้างความเสียหายอย่างรุนแรงต่อชื่อเสียงของบุคคลหรือองค์กรได้ ความไว้วางใจและความน่าเชื่อถืออาจถูกกัดกร่อน และอาจต้องใช้เวลาและความพยายามอย่างมากในการสร้างความมั่นใจขึ้นมาใหม่
- การประนีประนอมแบบขยาย : มัลแวร์ Infostealer มักเป็นส่วนหนึ่งของการโจมตีทางไซเบอร์ในวงกว้าง เมื่อการละเมิดครั้งแรกเกิดขึ้น ผู้โจมตีอาจติดตั้งเครื่องมือที่เป็นอันตรายเพิ่มเติม สร้างการเข้าถึงอย่างต่อเนื่อง และใช้ประโยชน์จากระบบที่ถูกบุกรุกต่อไปเป็นระยะเวลานาน
โดยพื้นฐานแล้ว มัลแวร์ infostealer สามารถนำไปสู่ผลกระทบด้านลบมากมาย ตั้งแต่การสูญเสียทางการเงินและการบุกรุกความเป็นส่วนตัว ไปจนถึงความเสียหายต่อชื่อเสียงและผลกระทบทางกฎหมาย บุคคลและองค์กรต้องใช้มาตรการรักษาความปลอดภัยทางไซเบอร์ที่แข็งแกร่งเพื่อป้องกัน เปิดเผย และลดความเสี่ยงที่เกี่ยวข้องกับภัยคุกคาม Infostealer
