“Flax Typhoon ฝัง Web Shell ใน ArcGIS SOE” — แฮกเกอร์จีนเข้าถึงระบบนานกว่า 1 ปีโดยใช้ซอฟต์แวร์ที่เชื่อถือได้เป็นช่องทางลับ
กลุ่มแฮกเกอร์ที่ได้รับการสนับสนุนจากรัฐบาลจีนชื่อ “Flax Typhoon” หรือ “Ethereal Panda” ถูกเปิดโปงว่าใช้เทคนิคใหม่ในการแทรกซึมระบบองค์กรผ่าน ArcGIS โดยเปลี่ยน Java Server Object Extension (SOE) ที่ถูกต้องตามมาตรฐานให้กลายเป็น Web Shell แบบลับ ซึ่งสามารถควบคุมระบบได้โดยไม่ถูกตรวจจับ
การโจมตีนี้กินเวลานานกว่า 12 เดือน โดยแฮกเกอร์ฝัง SOE ที่มี access key แบบ hardcoded ลงในระบบ และฝังไว้ในไฟล์ backup เพื่อให้กลับมาได้แม้ระบบจะถูกกู้คืนแล้วก็ตาม
หลังจากเข้าถึงระบบผ่านบัญชีผู้ดูแล ArcGIS ที่ถูกขโมย พวกเขาใช้คำสั่ง base64 ที่ดูเหมือนคำสั่งปกติของ ArcGIS เพื่อหลบเลี่ยงการตรวจสอบ และใช้ API ของ ArcGIS ในการรันคำสั่ง PowerShell สร้าง VPN bridge ลับผ่านไฟล์ “bridge.exe” ที่ถูกแปลงชื่อจาก SoftEther VPN
สุดท้าย Flax Typhoon พยายามเข้าถึง workstation ของ IT เพื่อขโมยข้อมูลจาก SAM และ LSA โดยใช้ RemoteRegistry และสร้างไฟล์ pass.txt.lnk เพื่อเก็บรหัสผ่าน
ReliaQuest ซึ่งเป็นผู้เปิดเผยการโจมตีนี้ ระบุว่า Flax Typhoon มีแนวโน้มจะยังคงแฝงตัวอยู่ในเครือข่ายอื่น ๆ และมักทำงานในช่วงเวลาตรงกับเวลาทำการของจีน (00:00–06:00 UTC)
ข้อมูลในข่าว
Flax Typhoon เป็นกลุ่ม APT ที่ได้รับการสนับสนุนจากรัฐบาลจีน
ใช้ ArcGIS SOE ที่ถูกต้องตามมาตรฐานแปลงเป็น Web Shell
Web Shell มี access key แบบ hardcoded และฝังใน backup เพื่อความคงอยู่
เข้าถึงระบบผ่านบัญชีผู้ดูแล ArcGIS ที่ถูกขโมย
ใช้คำสั่ง base64 ผ่าน API เพื่อหลบเลี่ยงการตรวจจับ
สร้าง VPN bridge ลับผ่านไฟล์ bridge.exe ที่แปลงชื่อจาก SoftEther VPN
พยายามเข้าถึง workstation ของ IT เพื่อขโมย SAM และ LSA secrets
สร้างไฟล์ pass.txt.lnk เพื่อเก็บรหัสผ่าน
ReliaQuest ระบุว่า Flax Typhoon มีแนวโน้มยังแฝงตัวในเครือข่ายอื่น
เวลาทำงานของกลุ่มตรงกับเวลาทำการของจีน (00:00–06:00 UTC)
https://securityonline.info/china-backed-flax-typhoon-apt-maintained-year-long-access-by-turning-arcgis-soe-into-web-shell-backdoor/
กลุ่มแฮกเกอร์ที่ได้รับการสนับสนุนจากรัฐบาลจีนชื่อ “Flax Typhoon” หรือ “Ethereal Panda” ถูกเปิดโปงว่าใช้เทคนิคใหม่ในการแทรกซึมระบบองค์กรผ่าน ArcGIS โดยเปลี่ยน Java Server Object Extension (SOE) ที่ถูกต้องตามมาตรฐานให้กลายเป็น Web Shell แบบลับ ซึ่งสามารถควบคุมระบบได้โดยไม่ถูกตรวจจับ
การโจมตีนี้กินเวลานานกว่า 12 เดือน โดยแฮกเกอร์ฝัง SOE ที่มี access key แบบ hardcoded ลงในระบบ และฝังไว้ในไฟล์ backup เพื่อให้กลับมาได้แม้ระบบจะถูกกู้คืนแล้วก็ตาม
หลังจากเข้าถึงระบบผ่านบัญชีผู้ดูแล ArcGIS ที่ถูกขโมย พวกเขาใช้คำสั่ง base64 ที่ดูเหมือนคำสั่งปกติของ ArcGIS เพื่อหลบเลี่ยงการตรวจสอบ และใช้ API ของ ArcGIS ในการรันคำสั่ง PowerShell สร้าง VPN bridge ลับผ่านไฟล์ “bridge.exe” ที่ถูกแปลงชื่อจาก SoftEther VPN
สุดท้าย Flax Typhoon พยายามเข้าถึง workstation ของ IT เพื่อขโมยข้อมูลจาก SAM และ LSA โดยใช้ RemoteRegistry และสร้างไฟล์ pass.txt.lnk เพื่อเก็บรหัสผ่าน
ReliaQuest ซึ่งเป็นผู้เปิดเผยการโจมตีนี้ ระบุว่า Flax Typhoon มีแนวโน้มจะยังคงแฝงตัวอยู่ในเครือข่ายอื่น ๆ และมักทำงานในช่วงเวลาตรงกับเวลาทำการของจีน (00:00–06:00 UTC)
ข้อมูลในข่าว
Flax Typhoon เป็นกลุ่ม APT ที่ได้รับการสนับสนุนจากรัฐบาลจีน
ใช้ ArcGIS SOE ที่ถูกต้องตามมาตรฐานแปลงเป็น Web Shell
Web Shell มี access key แบบ hardcoded และฝังใน backup เพื่อความคงอยู่
เข้าถึงระบบผ่านบัญชีผู้ดูแล ArcGIS ที่ถูกขโมย
ใช้คำสั่ง base64 ผ่าน API เพื่อหลบเลี่ยงการตรวจจับ
สร้าง VPN bridge ลับผ่านไฟล์ bridge.exe ที่แปลงชื่อจาก SoftEther VPN
พยายามเข้าถึง workstation ของ IT เพื่อขโมย SAM และ LSA secrets
สร้างไฟล์ pass.txt.lnk เพื่อเก็บรหัสผ่าน
ReliaQuest ระบุว่า Flax Typhoon มีแนวโน้มยังแฝงตัวในเครือข่ายอื่น
เวลาทำงานของกลุ่มตรงกับเวลาทำการของจีน (00:00–06:00 UTC)
https://securityonline.info/china-backed-flax-typhoon-apt-maintained-year-long-access-by-turning-arcgis-soe-into-web-shell-backdoor/
🌪️ “Flax Typhoon ฝัง Web Shell ใน ArcGIS SOE” — แฮกเกอร์จีนเข้าถึงระบบนานกว่า 1 ปีโดยใช้ซอฟต์แวร์ที่เชื่อถือได้เป็นช่องทางลับ
กลุ่มแฮกเกอร์ที่ได้รับการสนับสนุนจากรัฐบาลจีนชื่อ “Flax Typhoon” หรือ “Ethereal Panda” ถูกเปิดโปงว่าใช้เทคนิคใหม่ในการแทรกซึมระบบองค์กรผ่าน ArcGIS โดยเปลี่ยน Java Server Object Extension (SOE) ที่ถูกต้องตามมาตรฐานให้กลายเป็น Web Shell แบบลับ ซึ่งสามารถควบคุมระบบได้โดยไม่ถูกตรวจจับ
การโจมตีนี้กินเวลานานกว่า 12 เดือน โดยแฮกเกอร์ฝัง SOE ที่มี access key แบบ hardcoded ลงในระบบ และฝังไว้ในไฟล์ backup เพื่อให้กลับมาได้แม้ระบบจะถูกกู้คืนแล้วก็ตาม
หลังจากเข้าถึงระบบผ่านบัญชีผู้ดูแล ArcGIS ที่ถูกขโมย พวกเขาใช้คำสั่ง base64 ที่ดูเหมือนคำสั่งปกติของ ArcGIS เพื่อหลบเลี่ยงการตรวจสอบ และใช้ API ของ ArcGIS ในการรันคำสั่ง PowerShell สร้าง VPN bridge ลับผ่านไฟล์ “bridge.exe” ที่ถูกแปลงชื่อจาก SoftEther VPN
สุดท้าย Flax Typhoon พยายามเข้าถึง workstation ของ IT เพื่อขโมยข้อมูลจาก SAM และ LSA โดยใช้ RemoteRegistry และสร้างไฟล์ pass.txt.lnk เพื่อเก็บรหัสผ่าน
ReliaQuest ซึ่งเป็นผู้เปิดเผยการโจมตีนี้ ระบุว่า Flax Typhoon มีแนวโน้มจะยังคงแฝงตัวอยู่ในเครือข่ายอื่น ๆ และมักทำงานในช่วงเวลาตรงกับเวลาทำการของจีน (00:00–06:00 UTC)
✅ ข้อมูลในข่าว
➡️ Flax Typhoon เป็นกลุ่ม APT ที่ได้รับการสนับสนุนจากรัฐบาลจีน
➡️ ใช้ ArcGIS SOE ที่ถูกต้องตามมาตรฐานแปลงเป็น Web Shell
➡️ Web Shell มี access key แบบ hardcoded และฝังใน backup เพื่อความคงอยู่
➡️ เข้าถึงระบบผ่านบัญชีผู้ดูแล ArcGIS ที่ถูกขโมย
➡️ ใช้คำสั่ง base64 ผ่าน API เพื่อหลบเลี่ยงการตรวจจับ
➡️ สร้าง VPN bridge ลับผ่านไฟล์ bridge.exe ที่แปลงชื่อจาก SoftEther VPN
➡️ พยายามเข้าถึง workstation ของ IT เพื่อขโมย SAM และ LSA secrets
➡️ สร้างไฟล์ pass.txt.lnk เพื่อเก็บรหัสผ่าน
➡️ ReliaQuest ระบุว่า Flax Typhoon มีแนวโน้มยังแฝงตัวในเครือข่ายอื่น
➡️ เวลาทำงานของกลุ่มตรงกับเวลาทำการของจีน (00:00–06:00 UTC)
https://securityonline.info/china-backed-flax-typhoon-apt-maintained-year-long-access-by-turning-arcgis-soe-into-web-shell-backdoor/
0 Comments
0 Shares
13 Views
0 Reviews