🧨 เมื่อเครื่องมือดูแลระบบกลายเป็นประตูหลัง: แฮกเกอร์ RaaS เจาะ MSP ผ่าน SimpleHelp รายงานล่าสุดจาก Zensec เผยให้เห็นการโจมตีที่น่ากังวลในโลกไซเบอร์ โดยกลุ่ม Ransomware-as-a-Service (RaaS) อย่าง Medusa และ DragonForce ได้ใช้ช่องโหว่ในแพลตฟอร์ม Remote Monitoring and Management (RMM) ชื่อ SimpleHelp เพื่อเข้าถึงระบบของ Managed Service Providers (MSPs) และเจาะเข้าไปยังเครือข่ายของลูกค้าแบบ SYSTEM-level การโจมตีนี้ใช้ช่องโหว่ 3 รายการ ได้แก่ CVE-2024-57726, CVE-2024-57727, และ CVE-2024-57728 ซึ่งช่วยให้แฮกเกอร์สามารถเจาะเข้าเซิร์ฟเวอร์ RMM และกระจายการโจมตีไปยังระบบลูกค้าได้อย่างง่ายดาย 🧠 เทคนิคการโจมตีของ Medusa และ DragonForce 🎗️ Medusa ใช้เครื่องมือ PDQ Inventory และ PDQ Deploy เพื่อกระจาย ransomware เช่น Gaze.exe 🎗️ ใช้ PowerShell ที่เข้ารหัสแบบ base64 เพื่อปิดการทำงานของ Microsoft Defender และเพิ่ม exclusion 🎗️ ข้อมูลถูกขโมยผ่าน RClone ที่ถูกเปลี่ยนชื่อเป็น lsp.exe เพื่อหลบการตรวจจับ 🎗️ สร้างภาพลักษณ์ปลอมเป็นสื่อข่าวด้านความปลอดภัยเพื่อเผยแพร่ข้อมูลเหยื่อ 🎗️ DragonForce ใช้เทคนิคคล้ายกัน โดยเจาะ SimpleHelp แล้วสร้างบัญชีแอดมินใหม่และติดตั้ง AnyDesk 🎗️ ใช้ Restic (เครื่องมือ backup แบบโอเพ่นซอร์ส) เพื่อขโมยข้อมูลไปยังคลาวด์ Wasabi 🎗️ ไฟล์ที่ถูกเข้ารหัสจะมีนามสกุล “.dragonforce_encrypted” และมี ransom note ชื่อ “readme.txt” ✅ ช่องโหว่ที่ถูกใช้ ➡️ CVE-2024-57726, CVE-2024-57727, CVE-2024-57728 ➡️ เป็นช่องโหว่ใน SimpleHelp RMM ที่ยังไม่ได้รับการแพตช์ในหลายระบบ ✅ เทคนิคของ Medusa ➡️ ใช้ PDQ Deploy เพื่อรัน PowerShell ที่ปิด Defender ➡️ ใช้ RClone (ปลอมชื่อเป็น lsp.exe) เพื่อขโมยข้อมูล ➡️ ใช้ Telegram และ dark web leak site เพื่อเผยแพร่ข้อมูลเหยื่อ ✅ เทคนิคของ DragonForce ➡️ ใช้ AnyDesk และบัญชีแอดมินใหม่เพื่อคงอยู่ในระบบ ➡️ ใช้ Restic เพื่อ backup ข้อมูลไปยังคลาวด์ของผู้โจมตี ➡️ ใช้ TOX ID เป็นช่องทางสื่อสารกับเหยื่อ ‼️ ความเสี่ยงต่อ MSP และลูกค้า ⛔ ช่องโหว่ใน RMM ทำให้แฮกเกอร์สามารถเจาะเข้าระบบลูกค้าได้แบบลึก ⛔ การใช้เครื่องมือที่ดูปลอดภัย เช่น PDQ และ Restic ทำให้การตรวจจับยากขึ้น ⛔ การปลอมตัวเป็นสื่อข่าวสร้างความน่าเชื่อถือให้กับแฮกเกอร์ ‼️ คำแนะนำด้านความปลอดภัย ⛔ MSP ควรอัปเดต SimpleHelp ทันทีและตรวจสอบการตั้งค่า access control ⛔ ควรตรวจสอบ PowerShell logs และการส่งข้อมูลออกไปยังคลาวด์ ⛔ ใช้ระบบตรวจจับพฤติกรรมที่สามารถมองเห็นการใช้เครื่องมืออย่าง PDQ และ Restic https://securityonline.info/msp-nightmare-medusa-dragonforce-exploit-simplehelp-rmm-flaws-for-system-access/