คราวซวย HR ! แฮกเกอร์ใช้ "รีซูเม่ปลอม" แฝงมัลแวร์ เข้าปล้นข้อมูลบริษัท

ในการทำงานออฟฟิศนั้น หนึ่งในแผนกที่มักจะได้รับเอกสารจำนวนมาก ก็คงจะหนีไม่พ้นแผนกทรัพยากรบุคคล หรือ HR ที่จะต้องรับเอกสารต่าง ๆ จำนวนมาก ไม่ว่าจะเป็นเอกสารประกันสังคม, เอกสารด้านสวัสดิการพนักงาน, ใบลา ฯลฯ

และในช่วงวิกฤตนี้ ที่บริษัทหลายแห่งต้องปิดตัวลง มีคนตกงานเป็นจำนวนมาก ในแต่ละวัน HR น่าจะได้รับเรซูเม่สมัครงานเป็นจำนวนมาก ทำให้เกิดภาระในการพิจารณาที่หนักหนาสาหัส จนอาจทำให้มาตรการรักษาความปลอดภัยถูกละเลยไป ส่งผลให้แฮกเกอร์สามารถฉวยโอกาสจุดนี้ได้

จากรายงานโดยเว็บไซต์ The Hacker News ได้เปิดเผยการตรวจพบการแพร่กระจายของมัลแวร์ More_eggs ซึ่งเป็นมัลแวร์ประเภทเปิดประตูหลังของระบบ (Backdoor) เพื่อให้แฮกเกอร์สามารถเข้าถึงระบบของเหยื่อเพื่อทำการโจรกรรมข้อมูล หรือปล่อยมัลแวร์ตัวอื่น ๆ ตามที่แฮกเกอร์ต้องการได้

โดยมัลแวร์ตัวนี้นั้นถูกเขียนขึ้นในรูปแบบ JavaScript และมีอีกชื่อหนึ่งว่า SpicyOmelette และ SKID รวมไปถึงมีความเกี่ยวข้องกับกลุ่มแฮกเกอร์ที่มีชื่อว่า Golden Chickens (หรือรู้จักกันอีกชื่อหนึ่งในนามว่า Venom Spider)

ซึ่งสำหรับการโจมตีของมัลแวร์ More_eggs นั้นแฮกเกอร์จะใช้การสมัครงานผ่านประกาศสมัครงานที่อยู่บน Linkedin ซึ่งเป็นโซเชียลมีเดียสำหรับคนทำงานที่ใหญ่ที่สุดในโลก ซึ่งแฮกเกอร์จะทำการแนบลิงก์ปลอม ที่หาก HR หลงเชื่อคลิกเพื่อดาวน์โหลดเรซูเม่ เครื่องจะทำการดาวน์โหลดไฟล์ .LNK ซึ่งเป็นสกุลไฟล์สำหรับสร้างชอร์ทคัทบน Windows ซึ่งไฟล์ดังกล่าวนั้นจะถูกแทรกโค้ดมัลแวร์เอาไว้ในตัวไฟล์

หลังจากที่ไฟล์ถูกรันขึ้นมาแล้ว ตัวไฟล์จะทำการติดตั้ง IPScanner.exe กับดาวน์โหลด DLL (pcre.dll) ของมัลแวร์ลงมาติดตั้งบนเครื่องในเวลาเดียวกัน หลังจากนั้นตัวมัลแวร์จะใช้ Decrypt Blob เพื่อทำการถอดรหัสไฟล์ dll ออกมาเป็น CobaltStrikeBeacon พร้อมทั้งยิงโค้ดผ่าน IP Scanner เพื่อทำการติดต่อกับเซิร์ฟเวอร์ควบคุม (Command and Control หรือ C2) เพื่อเปิดทางให้แฮกเกอร์ดำเนินการในขั้นตอนถัดไป

ภาพจาก https://www.trustwave.com/en-us/resources/blogs/spiderlabs-blog/fake-advanced-ip-scanner-installer-delivers-dangerous-cobaltstrike-backdoor/

นอกจากนั้นยังมีรายงานอีกว่า แฮกเกอร์กลุ่มดังกล่าวยังเคยมีการใช้มัลแวร์ตัวเดียวกันในการโจมตีกลุ่มคนหางาน ด้วยการหลอกว่าเป็นข้อเสนองานปลอมอีกด้วย ซึ่งเป็นการโจมตีของแฮกเกอร์ที่กำลังเป็นที่นิยมในช่วงที่มี "พายุในการหางาน" จากการปิดตัวของบริษัท เลย์ออฟ และยุบแผนกมากมายเช่นทุกวันนี้

หลังจากนี้ ไม่ว่าจะเป็นฝั่ง HR หรือคนหางานเอง ก็คงจะต้องมีความระมัดระวังมากขึ้นในการรับไฟล์ต่าง ๆ โดยเฉพาะไฟล์ที่มีรูปแบบพฤติกรรมการส่งแปลก ๆ เพราะอาจนำไปสู่การติดมัลแวร์ตัวดังกล่าวได้ แต่อย่าระแวงมากเกินไปจนงานไม่เดิน หรือ กลัวจนเลิกหางานไปดื้อ ๆ แทน