Hive Ransomware กำลังมุ่งเป้าโจมตี Microsoft Exchange Server ผ่านช่องโหว่ ProxyShell
26 เมษายน 2565
Hive Ransomware กำลังมุ่งเป้าโจมตี Microsoft Exchange Server ผ่านช่องโหว่ ProxyShell เพื่อ Deploy บรรดาแบ็คดอร์ต่างๆ รวมถึง Cobalt Strike ด้วย โดยผู้บุกรุกจะเริ่มต้นจากการตรวจสอบข้อมูลเบื้องต้นภายในเครือข่าย จารกรรมข้อมูลของบัญชีผู้ดูแลระบบ เปิดเผยข้อมูลที่มีความสำคัญ ตลอดจนการรหัสไฟล์ข้อมูลต่างๆ 
ProxyShell ประกอบด้วยช่องโหว่ที่สำคัญของ Microsoft Exchange Server ถึง 3 รายการ ได้แก่ CVE-2021-34473 ( CVSS 9.8 ) ช่องโหว่การเรียกใช้โค้ดจากระยะไกลของ Microsoft Exchange Server CVE-2021-34523 ( CVSS 9.8 ) ช่องโหว่การใช้สิทธิพิเศษของผู้ดูแลระบบในการเข้าถึงข้อมูล และ CVE-2021-31207 ( CVSS 7.2 ) ช่องโหว่การเข้าใช้งานโดยไม่ต้อง ตรวจสอบสิทธิ์ หรือระบุตัวตนผู้ใช้งาน ซึ่งได้ถูกนำไปใช้โดยแรนซั่มแวร์หลายตัว ได้แก่ Conti, BlackByte, Babuk, Cuba, และ LockFile 
อย่างไรก็ตาม ช่องโหว่เหล่านี้ได้รับการแพตซ์แล้วตั้งแต่พฤษภาคม 2564 ในขณะที่ข้อมูลเชิงเทคนิคได้รับการเผยแพร่ออกมาในเดือนสิงหาคม 2564 
กรณีตัวอย่างของซอฟต์แวร์ที่ใช้แสกนภายในเครือข่าย คือ SoftPerfect ซึ่งเป็นเครื่องมือขนาดเล็กที่ใช้ในการ Enum Host ที่กำลังเปิดให้บริการด้วยการ Ping และบันทึกผลลงเป็น Text Fileท้ายที่สุด Payload ของแรนซั่มแวร์ที่ชื่อ Windows.exe จะได้ถูกเรียกใช้งานบนอุปกรณ์ต่างๆ ก่อนที่บรรดาแฟ้มข้อมูลจะถูกนำไปเปิดเผยทั้งนี้ ก่อนที่จะเริ่มเข้ารหัสข้อมูล Golang จะลบ Shadow Copies, ปิดการทำงานของ Windows Defender, ลบข้อมูล Windows Event Log, ยุติการทำงานของ File-Binding Processes และ Security Accounts Manager เพื่อไม่ให้สามารถแจ้งเตือนได้
ขั้นตอนการโจมตี 
ProxyShell and WebShell
Cobalt Strike
Mimikatz and Pass-The-Hash
Scanning for sensitive information
Ransomware deploymentเกี่ยวกับไซเบอร์ตรอน
ผู้ให้บริการ #CyberResilience ศูนย์เฝ้าระวังภัยคุกคามด้านความมั่นคงปลอดภัยไซเบอร์รูปแบบใหม่ พร้อมโซลูชั่นเพื่อการพัฒนาความสามารถด้วยแพลตฟอร์มการจำลองยุทธ์ด้านความมั่นคงปลอดภัยไซเบอร์ อีกทั้งยังเป็นผู้นำการให้บริการนวัตกรรมด้านความมั่นคงปลอดภัยไซเบอร์ที่ล้ำสมัยในระดับสากล
บริการของเรา
