Cruciferra Crypter ใช้ BYOVD และ Process Ghosting ซ่อนมัลแวร์ Windows

กลุ่มอาชญากรรมไซเบอร์ที่มีความเชื่อมโยงกับจีน ซึ่งตกเป็นเป้าหมายผู้เสียภาษี เจ้าหน้าที่ภาษี และทีมการเงินขององค์กรในอินเดียด้วยการใช้เหยื่อล่อแบบฟิชชิงที่เกี่ยวกับภาษีเงินได้ ถูกพบว่ากำลังใช้บริการ Crypter ขั้นสูงที่ชื่อว่า Cruciferra

จากการวิเคราะห์ใหม่ของ Proofpoint ระบุว่า Cruciferra ถูกใช้โดยกลุ่มอาชญากรรมไซเบอร์หลายกลุ่มที่ไม่เกี่ยวข้องกันเพื่อส่งมัลแวร์ระยะไกลหลากหลายชนิด

เทคนิค BYOVD และ Process Ghosting

Cruciferra ใช้เทคนิค BYOVD ซึ่งย่อมาจาก Bring Your Own Vulnerable Driver โดยนักโจมตีจะนำไดรเวอร์ที่มีช่องโหว่มาติดตั้งในระบบ เพื่อให้สามารถเข้าถึงสิทธิ์ระดับเคอร์เนลและหลบเลี่ยงการตรวจจับจากซอฟต์แวร์รักษาความปลอดภัย

นอกจากนี้ยังใช้ Process Ghosting ซึ่งเป็นเทคนิคที่สร้างกระบวนการปลอมขึ้นในหน่วยความจำ โดยซ่อนไฟล์มัลแวร์ไม่ให้ถูกสแกนหรือตรวจพบโดยเครื่องมือป้องกันภัยคุกคาม

เป้าหมายของ Cruciferra

มัลแวร์ที่ถูกส่งผ่าน Cruciferra มักเป็น Remote Access Trojan หรือ RAT ที่ให้ผู้โจมตีสามารถควบคุมเครื่องเหยื่อได้อย่างสมบูรณ์ ข้อมูลที่ถูกขโมยรวมถึงข้อมูลส่วนตัว ข้อมูลทางการเงิน และเอกสารสำคัญขององค์กร

กลุ่มอาชญากรใช้วิธีการฟิชชิงที่ปลอมแปลงเป็นเอกสารภาษีเงินได้ของอินเดียเพื่อหลอกให้เหยื่อดาวน์โหลดไฟล์มัลแวร์ ซึ่งเป็นกลยุทธ์ที่อาศัยความเร่งด่วนและความน่าเชื่อถือของหน่วยงานรัฐ

บทบาทของ Proofpoint ในการตรวจจับ

ทีมวิจัยของ Proofpoint สามารถติดตามและวิเคราะห์รูปแบบการทำงานของ Cruciferra ได้ผ่านการเฝ้าระวังเครือข่ายและพฤติกรรมของมัลแวร์ การค้นพบนี้ช่วยให้องค์กรต่างๆ สามารถปรับปรุงมาตรการรักษาความปลอดภัยเพื่อป้องกันภัยคุกคามดังกล่าว

Proofpoint เตือนว่าการใช้ BYOVD และ Process Ghosting ทำให้มัลแวร์ตรวจจับได้ยากเป็นพิเศษ และแนะนำให้องค์กรใช้โซลูชันที่สามารถตรวจจับพฤติกรรมที่ผิดปกติในระดับเคอร์เนลและกระบวนการ

ผลกระทบต่อความปลอดภัยทางไซเบอร์

การโจมตีนี้แสดงให้เห็นถึงวิวัฒนาการของภัยคุกคามที่ซับซ้อนมากขึ้น โดยมุ่งเป้าไปที่กลุ่มอาชีพที่มีข้อมูลสำคัญ องค์กรควรให้ความสำคัญกับการฝึกอบรมพนักงานให้รู้เท่าทันฟิชชิง และใช้เครื่องมือป้องกันขั้นสูงที่สามารถวิเคราะห์พฤติกรรมของมัลแวร์ได้

การอัปเดตระบบและซอฟต์แวร์อย่างสม่ำเสมอ รวมถึงการจำกัดสิทธิ์การเข้าถึงไดรเวอร์และกระบวนการในระบบปฏิบัติการ จะช่วยลดความเสี่ยงจากการถูกโจมตีด้วยเทคนิคดังกล่าว

Reference

หากสนใจสินค้า หรือต้องการคำปรึกษาเพิ่มเติม

Line @monsteronline

Tel 02-026-6664

Email [email protected]

ดูสินค้าเพิ่มเติม mon.co.th