APT ប្រើប្រាស់មេរោគឆ្លងមេរោគ ដើម្បីផ្សព្វផ្សាយមេរោគ

ក្រុមនៃការគំរាមកំហែង APT ត្រូវបានរកឃើញនាពេលថ្មីៗនេះដោយប្រើ spear phishing campaigns ដើម្បីទាញយកមេរោគរាតត្បាតរាតត្បាតដើម្បីចែកចាយមេរោគរបស់ពួកគេ។

ពិភពលោកកំពុងជួបប្រទះនូវស្ថានភាពពិសេសមួយ ដោយសារជំងឺរាតត្បាត Covid-19 បច្ចុប្បន្ន។ ដើម្បីព្យាយាមបញ្ឈប់ការរីករាលដាលនៃមេរោគនេះ ក្រុមហ៊ុនមួយចំនួនធំនៅជុំវិញពិភពលោកបានដាក់ឱ្យដំណើរការនូវរបៀបថ្មីនៃការងារពីចម្ងាយ (ពីចម្ងាយ)។ នេះបានពង្រីកផ្ទៃនៃការវាយប្រហារយ៉ាងសំខាន់ ដែលបង្កបញ្ហាប្រឈមដ៏ធំមួយសម្រាប់ក្រុមហ៊ុនទាក់ទងនឹងសុវត្ថិភាពព័ត៌មាន ដោយសារឥឡូវនេះពួកគេត្រូវបង្កើតច្បាប់តឹងរ៉ឹង និងចាត់វិធានការ។ វិធានការមួយចំនួន ដើម្បីធានាបាននូវនិរន្តរភាពនៃប្រតិបត្តិការរបស់សហគ្រាស និងប្រព័ន្ធព័ត៌មានវិទ្យារបស់ខ្លួន។

ទោះជាយ៉ាងណាក៏ដោយ ផ្ទៃវាយប្រហារដែលបានពង្រីកមិនមែនជាហានិភ័យតាមអ៊ីនធឺណិតតែមួយគត់ដែលបានលេចឡើងក្នុងរយៈពេលប៉ុន្មានថ្ងៃចុងក្រោយនេះទេ៖ ឧក្រិដ្ឋជនតាមអ៊ីនធឺណិតជាច្រើនកំពុងប្រើប្រាស់យ៉ាងសកម្មនូវភាពមិនប្រាកដប្រជាជាសកលនេះដើម្បីធ្វើយុទ្ធនាការបន្លំ ចែកចាយមេរោគ និងបង្កការគំរាមកំហែងដល់សុវត្ថិភាពព័ត៌មានរបស់ក្រុមហ៊ុនជាច្រើន។

APT កេងប្រវ័ញ្ចលើជំងឺរាតត្បាត

កាលពីចុងសប្តាហ៍មុន ក្រុម Advanced Persistent Threat (APT) ហៅថា Vicious Panda ត្រូវបានរកឃើញថាកំពុងធ្វើយុទ្ធនាការប្រឆាំងនឹង ការបន្លំលំពែងដោយប្រើមេរោគឆ្លងរាតត្បាតដើម្បីផ្សព្វផ្សាយមេរោគរបស់ពួកគេ។ អ៊ីមែលបានប្រាប់អ្នកទទួលថា វាមានព័ត៌មានអំពីមេរោគឆ្លង ប៉ុន្តែតាមពិតអ៊ីមែលមានឯកសារ RTF (Rich Text Format) ព្យាបាទចំនួនពីរ។ ប្រសិនបើជនរងគ្រោះបើកឯកសារទាំងនេះ Remote Access Trojan (RAT) ត្រូវបានបើកដំណើរការ ដែលក្នុងចំណោមរបស់ផ្សេងទៀត មានសមត្ថភាពថតអេក្រង់ បង្កើតបញ្ជីឯកសារ និងថតនៅលើកុំព្យូទ័ររបស់ជនរងគ្រោះ និងទាញយកឯកសារ។

រហូតមកដល់ពេលនេះ យុទ្ធនាការនេះបានកំណត់គោលដៅលើវិស័យសាធារណៈរបស់ម៉ុងហ្គោលី ហើយបើយោងតាមអ្នកជំនាញលោកខាងលិចមួយចំនួន វាតំណាងឱ្យការវាយប្រហារចុងក្រោយបំផុតនៅក្នុងប្រតិបត្តិការរបស់ចិនដែលកំពុងបន្តប្រឆាំងនឹងរដ្ឋាភិបាល និងអង្គការនានាជុំវិញពិភពលោក។ លើកនេះ ភាពប្លែកនៃយុទ្ធនាការនេះគឺថាវាកំពុងប្រើប្រាស់ស្ថានភាពជំងឺកូវីដ១៩ជាសាកលថ្មី ដើម្បីឆ្លងយ៉ាងសកម្មបន្ថែមទៀតដល់ជនរងគ្រោះដែលមានសក្តានុពលរបស់វា។

អ៊ីមែលបន្លំហាក់ដូចជាមកពីក្រសួងការបរទេសម៉ុងហ្គោលី ហើយអះអាងថាមានព័ត៌មានអំពីចំនួនអ្នកឆ្លងមេរោគ។ ដើម្បីបង្កើតឯកសារនេះ អ្នកវាយប្រហារបានប្រើ RoyalRoad ដែលជាឧបករណ៍ដ៏ពេញនិយមក្នុងចំណោមអ្នកបង្កើតការគំរាមកំហែងរបស់ចិន ដែលអនុញ្ញាតឱ្យពួកគេបង្កើតឯកសារផ្ទាល់ខ្លួនជាមួយនឹងវត្ថុដែលបានបង្កប់ ដែលអាចទាញយកភាពងាយរងគ្រោះនៅក្នុង Equation Editor ដែលរួមបញ្ចូលទៅក្នុង MS Word ដើម្បីបង្កើតសមីការស្មុគស្មាញ។

បច្ចេកទេសរស់រានមានជីវិត

នៅពេលដែលជនរងគ្រោះបើកឯកសារ RTF ព្យាបាទ Microsoft Word ទាញយកភាពងាយរងគ្រោះដើម្បីផ្ទុកឯកសារព្យាបាទ (intel.wll) ទៅក្នុងថតឯកសារចាប់ផ្តើមកម្មវិធី Word (%APPDATA%MicrosoftWordSTARTUP)។ ការប្រើវិធីសាស្រ្តនេះមិនត្រឹមតែធ្វើឱ្យការគំរាមកំហែងមានភាពធន់ប៉ុណ្ណោះទេ ប៉ុន្តែវាក៏ការពារខ្សែសង្វាក់ការឆ្លងទាំងមូលពីការបំផ្ទុះនៅពេលដំណើរការនៅក្នុងប្រអប់ខ្សាច់ផងដែរ ចាប់តាំងពី Word ត្រូវតែចាប់ផ្តើមឡើងវិញដើម្បីដំណើរការមេរោគពេញលេញ។

បន្ទាប់មកឯកសារ intel.wll ផ្ទុកឯកសារ DLL ដែលត្រូវបានប្រើដើម្បីទាញយកមេរោគ ហើយទំនាក់ទំនងជាមួយនឹងពាក្យបញ្ជា និងម៉ាស៊ីនមេគ្រប់គ្រងរបស់ពួក Hacker ។ ម៉ាស៊ីនមេបញ្ជា និងគ្រប់គ្រងដំណើរការក្នុងរយៈពេលកំណត់យ៉ាងតឹងរ៉ឹងជារៀងរាល់ថ្ងៃ ដែលធ្វើឱ្យវាពិបាកក្នុងការវិភាគ និងចូលប្រើផ្នែកស្មុគស្មាញបំផុតនៃខ្សែសង្វាក់ឆ្លង។

ទោះបីជាយ៉ាងនេះក៏ដោយ អ្នកស្រាវជ្រាវអាចកំណត់ថានៅក្នុងដំណាក់កាលដំបូងនៃខ្សែសង្វាក់នេះ ភ្លាមៗបន្ទាប់ពីទទួលបានពាក្យបញ្ជាសមរម្យ RAT ត្រូវបានផ្ទុក និងឌិគ្រីប ហើយ DLL ត្រូវបានផ្ទុក ដែលត្រូវបានផ្ទុកទៅក្នុងអង្គចងចាំ។ ស្ថាបត្យកម្មដូចកម្មវិធីជំនួយណែនាំថាមានម៉ូឌុលផ្សេងទៀតបន្ថែមពីលើបន្ទុកដែលបានឃើញនៅក្នុងយុទ្ធនាការនេះ។

វិធានការការពារប្រឆាំងនឹង APT ថ្មី។

យុទ្ធនាការព្យាបាទនេះប្រើល្បិចជាច្រើនដើម្បីជ្រៀតចូលប្រព័ន្ធជនរងគ្រោះរបស់ខ្លួន ហើយបន្ទាប់មកធ្វើឱ្យប៉ះពាល់ដល់សុវត្ថិភាពព័ត៌មានរបស់ពួកគេ។ ដើម្បីការពារខ្លួនអ្នកពីយុទ្ធនាការបែបនេះ វាមានសារៈសំខាន់ណាស់ក្នុងការចាត់វិធានការជាច្រើន។

ទីមួយគឺមានសារៈសំខាន់ខ្លាំងណាស់៖ វាមានសារៈសំខាន់សម្រាប់បុគ្គលិកក្នុងការយកចិត្តទុកដាក់ និងប្រុងប្រយ័ត្ននៅពេលទទួលអ៊ីមែល។ អ៊ីមែលគឺជាវ៉ិចទ័រវាយប្រហារដ៏សំខាន់មួយ ប៉ុន្តែស្ទើរតែគ្មានក្រុមហ៊ុនណាអាចធ្វើដោយគ្មានអ៊ីម៉ែល។ ប្រសិនបើអ្នកទទួលបានអ៊ីមែលពីអ្នកផ្ញើដែលមិនស្គាល់ វាជាការប្រសើរជាងកុំបើកវា ហើយប្រសិនបើអ្នកបើកវា នោះកុំបើកឯកសារភ្ជាប់ណាមួយ ឬចុចលើតំណណាមួយឡើយ។

ដើម្បីសម្របសម្រួលសុវត្ថិភាពព័ត៌មានរបស់ជនរងគ្រោះ ការវាយប្រហារនេះទាញយកភាពងាយរងគ្រោះនៅក្នុង Word ។ ជាការពិត ភាពងាយរងគ្រោះដែលមិនបានជួសជុលគឺជាហេតុផល ជោគជ័យនៃការវាយប្រហារតាមអ៊ីនធឺណិតជាច្រើន។និងរួមជាមួយនឹងបញ្ហាសុវត្ថិភាពផ្សេងទៀត ពួកគេអាចនាំឱ្យមានការបំពានទិន្នន័យធំ។ នេះជាមូលហេតុដែលវាមានសារៈសំខាន់ខ្លាំងណាស់ក្នុងការអនុវត្តបំណះដែលសមស្រប ដើម្បីបិទភាពងាយរងគ្រោះឱ្យបានឆាប់តាមដែលអាចធ្វើទៅបាន។

ដើម្បីលុបបំបាត់បញ្ហាទាំងនេះ មានដំណោះស្រាយដែលត្រូវបានរចនាឡើងជាពិសេសសម្រាប់ការកំណត់អត្តសញ្ញាណ។ ការគ្រប់គ្រងនិងការដំឡើងបំណះ. ម៉ូឌុលស្វែងរកដោយស្វ័យប្រវត្តិនូវបំណះដែលចាំបាច់ដើម្បីធានាសុវត្ថិភាពនៃកុំព្យូទ័ររបស់ក្រុមហ៊ុន ដោយផ្តល់អាទិភាពដល់ការធ្វើបច្ចុប្បន្នភាពបន្ទាន់បំផុត និងកំណត់ពេលដំឡើងរបស់ពួកគេ។ ព័ត៌មានអំពីបំណះដែលទាមទារការដំឡើងត្រូវបានរាយការណ៍ទៅអ្នកគ្រប់គ្រង បើទោះបីជាការកេងប្រវ័ញ្ច និងមេរោគត្រូវបានរកឃើញក៏ដោយ។

ដំណោះស្រាយអាចចាប់ផ្តើមការដំឡើងបំណះដែលត្រូវការ និងការអាប់ដេតភ្លាមៗ ឬការដំឡើងរបស់ពួកគេអាចត្រូវបានកំណត់ពេលពីកុងសូលគ្រប់គ្រងកណ្តាលដែលមានមូលដ្ឋានលើបណ្តាញ ប្រសិនបើចាំបាច់ដោយឡែកកុំព្យូទ័រដែលមិនបានជួសជុល។ វិធីនេះ អ្នកគ្រប់គ្រងអាចគ្រប់គ្រងបំណះ និងការអាប់ដេត ដើម្បីរក្សាក្រុមហ៊ុនឱ្យដំណើរការយ៉ាងរលូន។

ជាអកុសល ការវាយប្រហារតាមអ៊ីនធឺណិតដែលចោទសួរនឹងពិតជាមិនមែនជាចុងក្រោយដើម្បីទាញយកអត្ថប្រយោជន៍ពីស្ថានភាពមេរោគឆ្លងសកលបច្ចុប្បន្នដើម្បីសម្របសម្រួលសុវត្ថិភាពព័ត៌មានរបស់អាជីវកម្មនោះទេ។

ប្រភព: www.habr.com