กลุ่มผู้โจมตีใช้เครื่องมือ PowerShell ที่ถูกดัดแปลงเพื่อดึงและถอดรหัสข้อมูลรับรองจากเซิร์ฟเวอร์ Veeam backup จำนวนสามแห่ง รวมถึงคัดลอกฐานข้อมูล Chrome ที่มีข้อมูลรับรอง และติดตั้งเครื่องมือ Mimikatz กับ LSASS memory-dumping
ผู้โจมตีได้ทำการแมปความสัมพันธ์ของโดเมน และค้นหาในโฟลเดอร์ logon-script เพื่อหาข้อมูลอ้างอิงถึงโรงเรียนอื่น ก่อนจะสร้างบัญชีผู้ดูแลโดเมนหลังบ้านสองบัญชี คือ ‘library’ และ ‘svc_bkpmon’
หลังจากขโมยข้อมูลทางการเงินจากเครื่องที่ถูกบุกรุก ผู้โจมตีได้ตั้งค่าความเชื่อถือแบบสองทางระหว่างโดเมน Active Directory สามแห่ง เพื่อขยายขอบเขตการโจมตี ก่อนจะติดตั้งตัวเข้ารหัสที่ใช้ Rust ของ 3AM ในขั้นตอนสุดท้าย
นักวิจัยเชื่อมโยงปฏิบัติการนี้กับกลุ่ม Ransomware Conti และ Royal โดยพบว่ากลุ่มเหล่านี้มักใช้การโจมตีด้วยอีเมลและการโทรหลอกลวงฝ่ายสนับสนุนด้านไอทีเพื่อเข้าถึงเครือข่ายองค์กร
ล่าสุด NCSC ในสหราชอาณาจักรได้เผยแพร่รายงาน ‘The State of the Cyber Nation’ ปีนี้ พร้อมเตือนโครงสร้างพื้นฐานสำคัญให้เตรียมพร้อมรับมือการโจมตีด้วย Ransomware ที่ขับเคลื่อนด้วย AI ภายในปี 2028
ศัพท์ที่ควรรู้
- Ransomware – มัลแวร์ที่เข้ารหัสข้อมูลและเรียกค่าไถ่เพื่อแลกกับการกู้คืนข้อมูล
- AI-assisted attack – การโจมตีที่คาดว่ามีการใช้ปัญญาประดิษฐ์เข้ามาช่วยในการดำเนินการโจมตี
- PowerShell – เครื่องมือบรรทัดคำสั่งที่ถูกดัดแปลงเพื่อใช้ในการโจมตีทางไซเบอร์
- Mimikatz – เครื่องมือที่ใช้ในการดึงข้อมูลรับรองที่ถูกเก็บไว้ในหน่วยความจำของระบบ
- Active Directory – บริการของ Microsoft ที่ใช้ในการจัดการและควบคุมเครือข่ายคอมพิวเตอร์
ที่มา: bleepingcomputer.com