Trend Micro ເປີດເຜຍການຄົ້ນພົບແຄມເປນ (Campaign) ການໂຈມຕີໃໝ່ຂອງມັນແວ (Malware) RomCom ທີ່ໄດ້ປອມແປງເປັນເວັບໄຊຂອງຊ໋ອບແວຍອດນິຍົມ ເພື່ອຫຼອກໃຫ້ເຫຍື່ອດາວໂຫຼດ ແລະ ຕິດຕັ້ງໂປຣແກຣມທີ່ເປັນອັນຕະລາຍ.
ແຄມເປນຫຼ້າສຸດຂອງ RomCom ຖືກຄົ້ນພົບຕັ້ງແຕ່ປີ 2022 ໂດຍນັກວິໄຈພົບວ່າ Hacker ໄດ້ເພີ່ມການຫຼີກລ້ຽງການກວດຈັບໂດຍໃຊ້ການເຂົ້າລະຫັດເພໂຫຼດ (Payload) ລວມເຖິງມີການເພີ່ມປະສິດທິພາບຂອງເຄື່ອງມື ດ້ວຍການເພີ່ມຄຳສັ່ງໃໝ່ໆ, ຊຶ່ງເວັບໄຊທີ່ RomCom ປອມແປງແມ່ນຈະກ່ຽວຂອງກັບໂປຣແກຣມ Remote Desktop Management Application ເພື່ອເພີ່ມໂອກາດທີ່ Hacker ຈະໃຊ້ການໂຈມຕີແບບ Phishing ຫຼື Social Engineering ໃນການເຂົ້າເຖິງເປົ້າໝາຍ.
ແຄມເປນການໂຈມຕີໃໝ່ຂອງ RomCom
Trend Micro ເຜີຍແຜ່ລາຍງານແຄມເປນການໂຈມຕີໃໝ່ຂອງ RomCom ທີ່ໄດ້ພົບການໂຈມຕີມາຕັ້ງແຕ່ ເດືອນ ທັນວາ ປີ 2022 ຫາ ເມສາ ປີ 2023 ຊຶ່ງໄດ້ປອມແປງເປັນເວັບໄຊຂອງຊ໋ອບແວຍອດນິຍົມ ເຊັ່ນ: Gimp, Go To Meeting, ChatGPT, WinDirStat, AstraChat, System Ninja, Devolutions’ Remote Desktop Manager ແລະ ອື່ນໆ.
ຊຶ່ງໄດ້ພົບເວັບໄຊ ທີ່ເປັນອັນຕະລາຍບາງສ່ວນທີ່ຖືກໃຊ້ໃນໄລຍະເວລາດັ່ງກ່າວຄື:
com (ອອບລາຍ) – ຮຽນແບບໂປຣແກຣມແກ້ໄຂຮູບພາບຟຣີ ແລະ Open Source
us (ອອບລາຍ) – ຮຽນແບບແອັບການປະຊຸມທາງວິດີໂອເທິງຄລາວ (Cloud Computing) ແລະ ແອັບການປະຊຸມ
org (ອອບລາຍ) – ຮຽນແບບເຄື່ອງມືເຮັດຄວາມສະອາດຂໍ້ມູນເທິງພີຊີ (PC)
chatgpt4com (ອອນລາຍ) – ຮຽນແບບແພັດຟອມແຊັດບອດ (Chatbot Platform) ທີ່ຂັບເຄື່ອນດ້ວຍ AI
com (ອອບລາຍ) – ຮຽນແບບຊ໋ອບແວແຊັດ
com (ອອນໄລນ໌) – ຮຽນແບບເຄື່ອງມືການຈັດການ Desktop ຈາກໄລຍະໄກ
cosy-sofware.com (ອອບລາຍ) – ຮຽນແບບເຄື່ອງມືການຈັດການ Desktop ຈາກໄລຍະໄກ
com (ອອນລາຍ) – ຮຽນແບບເຄື່ອງມືການຈັດການ Desktop ຈາກໄລຍະໄກ
com (ອອນລາຍ) – ຮຽນແບບເຄື່ອງມືການຈັດການ Desktop ຈາກໄລຍະໄກ
com (ອອນລາຍ) – ປອມຕົວເປັນແອັບກວດສອບການໃຊ້ດິສ (Disk) ແລະ ເຄື່ອງມືສຳລັບລ້າງຂໍ້ມູນ
ເວັບໄຊທີ່ເປັນອັນຕະລາຍເຫຼົ່ານີ້ຖືກເຜີຍແຜ່ຜ່ານໂຄສະນາຂອງ Google Ads ແລະ ອີເມວຫຼອກລວງ (Phishing Email) ຊຶ່ງເຫຍື່ອສ່ວນຫຼາຍຢູ່ໃນຢູໂຣບຕະເວັນອອກ (Eastern Europe).
ຕົວຢ່າງການໂຈມຕີທີ່ທາງ Trend Micro ໄດ້ວິເຄາະ ເຊັ່ນ: ເວັບໄຊແຈກຈ່າຍໂປຣແກຣມຕິດຕັ້ງ MSI ທີ່ປອມຕົວເປັນແອັບຂ້າງເທິງ ແຕ່ຖືກຝັງໂທຈັນ (Trojan) ດ້ວຍຟາຍ DLL ທີ່ເປັນອັນຕະລາຍ (“InstallA.dll”) ຊຶ່ງຟາຍນີ້ຈະແຕກຟາຍ DLLs ອີກສາມລາຍການໄປທີ່ໂຟນເດີ (Folder) %PUBLIC%Libraries ຂອງເຫຍື່ອ ເພື່ອເອີ້ນໃຊ້ຄຳສັ່ງ ແລະ ເຊື່ອມຕໍ່ໄປຫາ command and control (C2) server ຂອງ Hacker ລວມເຖິງພົບວ່າ Hacker ໄດ້ພະຍາຍາມໃຊ້ຄຳສັ່ງທີ່ເປັນອັນຕະລາຍເພີ່ມຕື່ມ ຊຶ່ງຈຳນວນຄຳສັ່ງເພີ່ມຂຶ້ນຈາກ 20 ເປັນ 42.
ຄຳສັ່ງບາງສ່ວນທີ່ສາມາດສົ່ງໄປທີ່ອຸປະກອນທີ່ຖືກຄວບຄຸມຈາກ RomCom ແລ້ວ ໄດ້ແກ່:
ການເລີ່ມເຮັດວຽກ exe
ການວາງຟາຍລົງໃນຄອມພິວເຕີຂອງເຫຍື່ອ ເພື່ອດຳເນີນການເພໂຫຼດເພີ່ມຕື່ມ
ການປອມ process ດ້ວຍການປອມແປງ PID ເພື່ອເຮັດໃຫ້ເບິ່ງຄືກັບ process ທີ່ປົກກະຕິ
ການສົ່ງອອກຂໍ້ມູນຈາກລະບົບທີ່ຖືກໂຈມຕີ
ການຕັ້ງຄ່າ Proxy ຜ່ານ SSH
ການອັບເດດມັນແວບເທິງອຸປະກອນ
ການເອີ້ນໃຊ້ AnyDesk ເທິງໜ້າຕ່າງທີ່ເຊື່ອງຢູ່
ການບີບອັດໂຟນເດີທີ່ກຳນົດ ແລະ ສົ່ງກັບໄປຫາເຊີເວີຂອງຜູ້ໂຈມຕີ
ລວມເຖິງຍັງພົບວ່າມີການຕິດຕັ້ງເພໂຫຼດມັນແວອື່ນເພິ່ມຕື່ຜ່ານ RomCom ຊຶ່ງ ມັນແວ Stealer ແລະ downloader ທີ່ຕິດຕັ້ງເພິ່ມຕື່ມມີດັ່ງນີ້:
dll – ເຄື່ອງມືຈັບພາບໜ້າຈໍທີ່ບີບອັດຮູບພາບໃນຟາຍ ZIP ສຳລັບຕຽມການສົ່ງຂໍ້ມູນອອກໄປ
dll – ເຄື່ອງມືລັກຄຸກກີ້ເທິງເວັບບຣາວເຊີ (Browser) (Chrome, Firefox, Edge)
exe – ເຄື່ອງມືລັກຂໍ້ມູນກະເປົາເງyນ cryptocurrency
dll – ເຄື່ອງມືລັກຂໍ້ມູນໃນຂໍ້ຄວາມສົນທະນາ
dll – ເຄື່ອງມືລັກຂໍ້ມູນ FTP credentials ທີ່ອັບໂຫຼດຂໍ້ມູນໄປທີ່ເຊີເວີ FTP
ນອກຈາກນີ້ນັກວິໄຈຍັງພົບວ່າ RomCom ໄດ້ມີການໃຊ້ຊ໋ອບແວ VMProtect ສຳລັບການປ້ອງກັນການກວດສອບ ແລະ ວິເຄາະຜ່ານ VM ນອກຈາກນີ້ຍັງໃຊ້ການເຂົ້າລະຫັດສຳລັບເພໂຫຼດ ຊຶ່ງເປັນຄີ (Key) ທີ່ບໍ່ໄດ້ hard coded ໄວ້ ແຕ່ໃຊ້ການດຶງຂໍ້ມູນຈາກພາຍນອກ ຊຶ່ງມັນແວຈະໃຊ້ null bytes ໃນການເຊື່ອມຕໍ່ກັບ C2 server ເພື່ອຫຼີກລ້ຽງການກວດຈັບຈາກອຸປະກອນດ້ານຄວາມປອດໄພ.
ຄວາມກ່ຽວຂ້ອງກັບ Cuba ransomware
ມີລາຍງານການໃຊ້ງານ RomCom ເທື່ອທໍາອິດໃນເດືອນ ສິງຫາ 2022 ໂດຍ Palo Alto Networks ທີ່ພົບວ່າ Cuba ransomware ໄດ້ໃຊ້ເຄື່ອງມືໂຈມຕີເຊັ່ນດຽວກັບ RomCom ລວມເຖິງມີການລາຍງານວ່າໃນເດືອນ ຕຸລາ 2022 ທາງ CERT-UA ຂອ ງຢູເຄນ ລາຍງານວ່າມີການໃຊ້ມັນແວ RomCom ໃນການໂຈມຕີເຄືອຂ່າຍທີ່ສຳຄັນໃນປະເທດ ໃນຂະນະທີ່ທາງ BlackBerry ອ້າງວ່າການໂຈມຕີດັ່ງກ່າວມີຄວາມກ່ຽວຂ້ອງກັບ Cuba ransomware ແລະ ມີເຫຍື່ອທີ່ຖືກໂຈມຕີໃນສະຫະລັດອາເມລິກາ, ບາຊິນ ແລະ ຟິລິບປິນ ອີກດ້ວຍ ຕໍ່ມາໃນເດືອນ ພະຈິກ 2022 ທາງ BlackBerry ພົບວ່າ RomCom ໄດ້ໃຊ້ໂປຣແກຣມ SolarWinds Network Performance Monitor (NPM), KeePass password manager ແລະ PDF Reader Pro ປອມໃນການໂຈມຕີເປົ້າໝາຍ.
ເອກະສານອ້າງອີງ:
https://www.bleepingcomputer.com/news/security/romcom-malware-spread-via-google-ads-for-chatgpt-gimp-more/
https://www.trendmicro.com/content/dam/trendmicro/global/en/research/23/e/void-rabisu%E2%80%99s-use-of-romcom-backdoor-shows-a-growing-shift-in-threat-actors%E2%80%99-goals-/ioc-list-void-rabisus-use-of-romcom-backdoor-shows-a-growing-shift-in-threat-actors-goals.txt
https://www.i-secure.co.th/2023/06/romcom-malware-%e0%b9%81%e0%b8%9e%e0%b8%a3%e0%b9%88%e0%b8%81%e0%b8%a3%e0%b8%b0%e0%b8%88%e0%b8%b2%e0%b8%a2%e0%b8%9c%e0%b9%88%e0%b8%b2%e0%b8%99-google-ads-%e0%b9%82%e0%b8%94%e0%b8%a2%e0%b8%9b%e0%b8%a5/