เซิร์ฟเวอร์กว่า 3.400 แห่งติดมัลแวร์ PoeLLM

พบเซิร์ฟเวอร์กว่า 3.400 แห่งติดมัลแวร์ PoeLLM

ถูกแฮกเกอร์ใช้เป็นฐานปล่อยมัลแวร์ Crypto Mining

จากรายงานโดยเว็บไซต์ The Hacker News ได้กล่าวถึงการตรวจพบมัลแวร์ประเภทแปลงเครื่องของเหยื่อที่ติดมัลแวร์ให้เป็นหนึ่งในเครือข่าย หรือที่ถูกเรียกว่า Botnet ที่มีชื่อว่า PoeLLM ซึ่งจะเริ่มจากการฝังตัวลงบนเครื่องระดับเซิร์ฟเวอร์เพื่อใช้งานเป็นตัวค้นหา (Scanner) ช่องโหว่ของระบบอื่น ๆ แล้วทำการส่ง HTTP Post Request ไปยังพอร์ตของเครื่องเป้าหมายที่เปิดอยู่ เพื่อให้ดาวน์โหลดมัลแวร์ PoeLLM ลงมาฝังบนเครื่อง โดยเครื่องเซิร์ฟเวอร์ที่ยึดมาได้เหล่านี้จะถูกนำมาใช้งานเพื่อปล่อยมัลแวร์ประเภทขุดเหรียญคริปโตเคอร์เรนซี หรือ Crypto Miner หลากชนิด เช่น XMRig และ Iron โดยมัลแวร์เหล่านี้จะเชื่อมต่อเครื่องของเหยื่อกับ Kryptex ซึ่งเป็นบริการสำหรับการขุดเหรียญคริปโตของรัสเซีย 

แคมเปญนี้ได้เริ่มทำงานมาตั้งแต่ในเดือนเมษายนที่ผ่านมา และมีเครื่องเซิร์ฟเวอร์ที่ติดมัลแวร์ดังกล่าวไปแล้วไม่ต่ำกว่า 3,400 เครื่อง โดยตัวแคมเปญนั้นทำงานได้พีคสุดในช่วงกลางเดือนมิถุนายน ซึ่งมีเครื่องเซิร์ฟเวอร์ติดมัลแวร์ไปมากถึง 2,200 เครื่อง เฉลี่ยมากถึง 800 เครื่องต่อวัน ณ เวลาดังกล่าว โดยแคมเปญนี้ถูกตั้งชื่อว่า Canto Incognito โดยทีมวิจัยจาก Lumen Black Lotus Labs บริษัทผู้เชี่ยวชาญด้านการพัฒนาโซลูชันเพื่อปกป้องธุรกิจจากภัยไซเบอร์ ที่ได้เป็นผู้ตรวจพบแคมเปญดังกล่าว

สิ่งที่ทำให้แคมเปญดังกล่าวดูเหนือเมฆมากขึ้นไปกว่าแคมเปญอื่น ก็เนื่องมาจากตัวมัลแวร์ PoeLLM นั้นได้มีการซ่อนที่อยู่ของเซิร์ฟเวอร์ควบคุม (C2 หรือ Command and Control) ไว้ภายใน “บทกวี” (Poem) ที่ถูกบันทึกไว้ในคลังดิจิทัล (Repo หรือ Repository) อย่าง Github (github[.]com/ejejejdfbbebe) ซึ่งจะถูกนำมาประมวลผลโดยยืมมือ AI โมเดล LLM ชื่อดังอย่าง LiteLLM และ Gotenberg หรือผ่านเครื่องมือ AI เช่น Gitea และ Ivanti Sentry เพื่อประมวลบทกวีดังกล่าวออกมาเป็นที่อยู่ของเซิร์ฟเวอร์ C2 ให้มัลแวร์ได้ติดต่อเพื่อรับคำสั่งทำงานต่อไป แต่ถึงแม้วิธีการจะดูเหนือเมฆก็ตามก็สามารถถูกขัดขวางได้ง่าย เนื่องจากหลังจากที่ทีมวิจัยได้รายงานแคมเปญนี้ให้กับทาง Github ทาง Github ก็ได้ทำ