ระวังทีม IT Support ปลอม หลอกให้ติดตั้งมัลแวร์ EtherRAT

จากรายงานโดยเว็บไซต์ Bleeping Computer ได้กล่าวถึงการตรวจพบแคมเปญในการปล่อยมัลแวร์ประเภทเข้าควบคุมระบบจากระยะไกล หรือ RAT (Remote Access Trojan) ที่มีชื่อว่า EtherRAT เพื่อเข้าแทรกซึมตามระบบของบริษัท และองค์กรต่าง ๆ ด้วยการสมอ้างตัวเองเป็นทีม IT Support เข้าหลอกลวงพนักงานในองค์กรเป้าหมายเพื่อติดตั้งมัลแวร์ โดยทีมวิจัย UNIT 42 จากบริษัทผู้เชี่ยวชาญด้านระบบเครือข่ายชื่อดัง Palo Alto ได้เปิดเผยว่า แคมเปญดังกล่าวจะเริ่มต้นจากการใช้งานการหลอกลวงแบบ Phishing ผ่านทางอีเมล โดยภายในจะมีแบบสอบถามพนักงาน หรือ "Employee Survey" กับไฟล์สกุล PDF ที่ภายในนั้นมีมัลแวร์อยู่

ซึ่งหลังจากที่เหยื่อเปิดไฟล์ดังกล่าว ทางเหยื่อก็จะได้รับการติดต่อในรูปแบบ Voice Call ผ่านทาง Microsoft Teams จากบัญชีภายนอก (External Account) ที่อ้างว่าตัวเองคือผู้ดูแลระบบ หรือ "System Administrator" ซึ่งมักจะใช้ที่อยู่อีเมล (Emal Address) เช่น helpdesk@Progressive936.onmicrosoft[.]com เป็นต้น โดยแฮกเกอร์จะหลอกให้เหยื่อเปิดทางเข้าถึงเครื่องเหยื่อผ่านทางฟีเจอร์ Share Screen ของ Microsoft Teams เพื่อติดตั้งเครื่องมือสำหรับการควบคุมเดสก์ท็อปจากระยะไกล (Remote Desktop) อย่าง HopToDesk และ AnyDesk ซึ่งหลังจากแฮกเกอร์เข้าถึงเครื่องของเหยื่อจากระยะไกลได้แล้ว แฮกเกอร์ก็จะทำการดาวน์โหลดไฟล์ติดตั้งมัลแวร์ในรูปแบบแพ็คเกจ MSI ชื่อ v7.msi ลงมาจากโดเมน camorreado[.]click โดยมัลแวร์ตัวดังกล่าวนั้นจะยังไม่ใช่มัลแวร์ EtherRAT ตัวจริง แต่เป็นเพียงมัลแวร์นกต่อ (Loader) ที่จะดาวน์โหลดไฟล์มัลแวร์ตัวจริง (Payload) ในรูปแบบไฟล์ JavaScript ชื่อ Node.js ลงมาเพื่อติดตั้งผ่านทาง Runtime

มัลแวร์ EtherRAT นั้นเรียกได้ว่ามีความร้ายกาจจากการนำเอาฟีเจอร์สัญญาอัจฉริยะ หรือ SmartContract ของเครือข่ายบล็อกเชน (Blockchain) ของ Ethereum ลงมาใช้งานเพื่อรับคำสั่งจากเซิร์ฟเวอร์ควบคุม (C2 หรือ Command and Control) ลงมาใช้งาน ซึ่งมัลแวร์ตัวนี้ยังมีความสามารถอีกมากมาย เช่น ขโมยไฟล์, ควบคุมไฟล์ (File Manipulation), และ สร้างความคงทนบนระบบ (Persistence) เป็นต้น