🔍 กลุ่มแฮกเกอร์ Fog ใช้ซอฟต์แวร์ติดตามพนักงานโจมตีองค์กรการเงิน กลุ่มแฮกเกอร์ Fog ransomware ซึ่งเคยโจมตีสถาบันการศึกษาในสหรัฐฯ ได้เปลี่ยนกลยุทธ์ โดยใช้ ซอฟต์แวร์ติดตามพนักงาน Syteca และ เครื่องมือทดสอบเจาะระบบแบบโอเพ่นซอร์ส เพื่อเจาะระบบของสถาบันการเงินในเอเชีย 📌 วิธีการโจมตีของ Fog ransomware ✅ ใช้ซอฟต์แวร์ติดตามพนักงานเพื่อขโมยข้อมูล - Syteca (เดิมชื่อ Ekran) ถูกใช้เป็นเครื่องมือสอดแนม โดยมีฟีเจอร์ บันทึกหน้าจอและบันทึกการกดแป้นพิมพ์ - แฮกเกอร์ใช้ Stowaway เพื่อส่งไฟล์ Syteca ไปยังระบบเป้าหมาย ✅ ใช้เครื่องมือเจาะระบบโอเพ่นซอร์สเพื่อควบคุมระบบ - GC2 ใช้ Google Sheets และ Google Drive เป็นโครงสร้างควบคุม (C2) - Adaptix C2 ทำหน้าที่คล้าย Cobalt Strike beacon ในการรันคำสั่งและโหลด shellcode ✅ รักษาการเข้าถึงระบบแม้หลังจากเข้ารหัสข้อมูลแล้ว - Fog ransomware ไม่ออกจากระบบหลังจากเข้ารหัสไฟล์ แต่ยังคงอยู่เพื่อสอดแนมต่อ - ใช้บริการ SecurityHealthIron เพื่อเปิดใช้งานเครื่องมือควบคุมระยะไกล ⚠️ ความเสี่ยงและข้อควรระวัง ‼️ ซอฟต์แวร์ที่ใช้ในองค์กรอาจกลายเป็นเครื่องมือสอดแนม - Syteca เป็นซอฟต์แวร์ที่องค์กรใช้เพื่อติดตามพนักงาน แต่สามารถถูกใช้เป็นเครื่องมือสอดแนมได้ ‼️ การใช้เครื่องมือเจาะระบบโอเพ่นซอร์สทำให้การตรวจจับยากขึ้น - GC2 และ Adaptix C2 ใช้แพลตฟอร์มที่พบได้ทั่วไป เช่น Google Sheets ทำให้การตรวจจับทำได้ยาก ‼️ แฮกเกอร์อาจมีเป้าหมายที่ลึกกว่าการเรียกค่าไถ่ - การรักษาการเข้าถึงระบบหลังจากเข้ารหัสไฟล์ อาจบ่งบอกถึงเจตนาสอดแนมมากกว่าการโจมตีเพื่อเรียกค่าไถ่ 🚀 แนวทางป้องกันและอนาคตของภัยคุกคาม ✅ องค์กรควรตรวจสอบซอฟต์แวร์ติดตามพนักงานอย่างเข้มงวด - ควรมีระบบตรวจสอบว่าซอฟต์แวร์เหล่านี้ถูกใช้ในที่ที่เหมาะสม ✅ เพิ่มมาตรการป้องกันการโจมตีแบบเจาะระบบ - ใช้ระบบตรวจจับพฤติกรรมที่ผิดปกติ เช่น การใช้ Google Sheets เป็นโครงสร้างควบคุม ✅ ติดตามแนวโน้มของแฮกเกอร์ที่ใช้เครื่องมือองค์กรเป็นอาวุธ - แนวโน้มการใช้ซอฟต์แวร์องค์กรเป็นเครื่องมือโจมตีอาจเพิ่มขึ้นในอนาคต https://www.csoonline.com/article/4006743/fog-ransomware-gang-abuses-employee-monitoring-tool-in-unusual-multi-stage-attack.html