กลุ่มแฮกเกอร์ชาวเวียดนามโจมตี Meta Ads

สรุปข้อมูล 

กลุ่มแฮกเกอร์จากประเทศเวียดนามมุ่งเป้าโจมตีหน่วยงานที่เกี่ยวข้องกับ Digital Marketing โดยเฉพาะองค์กรที่ดูแลและจัดการโฆษณาบน Meta (Facebook และ Instagram) ในประเทศสหรัฐอเมริกา โดยกลุ่มแฮกเกอร์จะดำเนินการเผยแพร่มัลแวร์ เช่น Ducktail และ Quasar RAT ในการโจมตีผ่านวิธีการ Phishing, Sandbox Evasion และ Privilege Escalation ซึ่งช่วยให้แฮกเกอร์สามารถเข้าควบคุมระบบ ขโมยข้อมูล และดำเนินการโจมตีเพิ่มเติมได้

รายละเอียดการโจมตี

รูปที่ 1: ขั้นตอนการโจมตี

• การโจมตีเริ่มต้นจากแฮกเกอร์ใช้เทคนิค Phishing Email โดยแนบไฟล์ที่อันตราย รวมถึงไฟล์ LNK ที่ถูกปลอมแปลงให้เหมือนกับไฟล์ PDF เมื่อเหยื่อเปิดไฟล์ LNK จะทำให้เกิดการรัน PowerShell Command ที่ทำหน้าที่ดาวน์โหลด Script อันตรายเพิ่มเติมจากแหล่งภายนอก ซึ่งมักถูกเก็บไว้บน Dropbox โดยใช้ Command Invoke-Expression (IEX) และ Invoke-RestMethod (irm) ในการรัน Script จากไฟล์ LNK

รูปที่ 2: ตัวอย่างไฟล์ปลอม

รูปที่ 3: ตัวอย่างรายละเอียดในไฟล์ LNK

• เมื่อดาวน์โหลดเสร็จสิ้น ไฟล์ PDF ปลอมและไฟล์ Batch จะถูก Decode ไปอยู่ในรูปแบบไฟล์ที่ชื่อว่า PositionApplied_VoyMedia.pdf และ output.bat จากนั้นทั้งสองไฟล์จะถูกเรียกใช้งานผ่าน Start-Process Command

รูปที่ 4: รายละเอียดใน PowerShell Script

• ไฟล์ output.bat จะเรียกใช้ WMIC Command เพื่อตรวจสอบประเภทของไดรฟ์ดิสก์และชื่อผู้ผลิต เพื่อเช็กว่าระบบกำลังทำงานอยู่บน Virtual Machine หรือไม่ หากตรวจพบว่าระบบทำงานอยู่ใน Virtual Environment Script จะหยุดทำงานและออกจากโปรแกรมโดยไม่ดำเนินการใด ๆ ต่อ แต่หากไม่พบว่าเป็น VM Script จะดำเนินการรัน Obfuscated Script ต่อไป

รูปที่ 5: เนื้อหาของโค้ด PowerShell

• Script ทำการดึง String ย่อยจากไฟล์ output.bat และ Decode พร้อมทั้ง Decompress ผ่าน AES decryption ที่ถูก Encode รูปแบบ Base64 และ GZip Stream ตามลำดับ หลังจากนั้นรันด้วย Invoke-Expression Command โดย ไฟล์ที่ถูก Decrypt จะเป็นไฟล์ .NET ซึ่งภายในไฟล์จะมีมัลแวร์ Quasar RAT รวมถึงกลไก Anti-virtualization และ Anti-debugging ด้วย
• หลังจากมัลแวร์ Quasar RAT ถูกติดตั้งสำเร็จ จะเริ่มสื่อสารกับ C2 Server เพื่อรับคำสั่งจากแฮกเกอร์และส่งข้อมูลที่ถูกขโมยกลับไป

ผลกระทบจากการโจมตี 

การโจมตีโดยกลุ่มแฮกเกอร์ที่ใช้มัลแวร์ Quasar RAT ช่วยให้แฮกเกอร์สามารถเข้าถึงข้อมูลและขโมยข้อมูลสำคัญของเหยื่อได้ เช่น ข้อมูล Identity และข้อมูลเกี่ยวกับการเงินเป็นต้น นอกจากนี้แฮกเกอร์ยังสามารถเข้าควบคุมระบบของเหยื่อเพื่อดำเนินการที่เป็นอันตรายต่อเพิ่มเติม เช่น Privilege Escalation หรือการแพร่กระจายมัลแวร์ไปยังระบบอื่น ๆ ที่เชื่อมโยงกัน

สรุปการโจมตี 

การโจมตีนี้เริ่มต้นด้วยการส่งอีเมล Phishing ไปยังเหยื่อ โดยแนบไฟล์และ Script ที่อันตราย เพื่อให้เหยื่อดาวน์โหลดและติดตั้งไฟล์ดังกล่าว เมื่อมัลแวร์ถูกติดตั้งบนระบบของเหยื่อแล้ว แฮกเกอร์จะสามารถดำเนินการโจมตีในขั้นต่อ ๆ ไปได้ เช่น การขโมยข้อมูลสำคัญต่าง ๆ การ Privilege Escalation และแพร่กระจายมัลแวร์ไปส่วนอื่น ๆ ต่อไป

คำแนะนำ

1. Awareness Training ให้บุคลากรในองค์กร
2. ใช้ Mail Gateway ในการตรวจจับอีเมล หรือลิงก์อันตรายที่แนบมา
3. พิจารณาการการตั้งค่าไฟร์วอลล์และระบบตรวจจับการบุกรุกเพิ่มเติม
4. ตรวจสอบการทำงานและไฟล์ที่อยู่ในระบบเพื่อตรวจจับกิจกรรมที่ผิดปกติ
5. การ Full-scan ที่ Endpoint ทุก ๆ สัปดาห์ เพื่อป้องกันไฟล์อันตราย
6. จำกัดสิทธิ์ User ในระบบ

Indicators of Compromise (IoCs)

แหล่งอ้างอิง

https://securityonline.info/ducktail-quasar-rat-vietnamese-threat-actors-target-meta-ads-professionals/

https://cyble.com/blog/vietnamese-threat-actors-multi-layered-strategy-on-digital-marketing-professionals/