อวสานสิงห์พนัน ! แฮกเกอร์แฝงมัลแวร์ WrnRAT ในเกมพนัน เพื่อขโมยข้อมูลของเหยื่อ

สำหรับผู้ใช้งานหลายราย การได้พบเจอโฆษณาเกมการพนันที่โอ้อวดว่า แตกง่าย แตกไว หลายคนอาจจะมีความรู้สึกอยากรวยทางลัด ดาวน์โหลดมาเล่น แต่ในท้ายที่สุดแล้ว ที่อาจจะต้องแตกอาจจะเป็นตัวระบบ และคลังข้อมูลของคุณเสียเอง

จากรายงานโดยเว็บไซต์ Cyber Security News ได้อ้างอิงถึงการตรวจพบพฤติกรรมการแพร่กระจายตัวของมัลแวร์ประเภทเข้าควบคุมเครื่องจากระยะไกล (Remote Access Trojan หรือ RAT) โดยทีมนักวิเคราะห์จาก ASEC บริษัทผู้เชี่ยวชาญด้านความปลอดภัยไซเบอร์ ซึ่งมัลแวร์ดังกล่าวมีชื่อว่า WrnRAT มีพฤติกรรมการกระจายตัวด้วยการปลอมแปลงตัวมัลแวร์เป็นซอฟต์แวร์เกมการพนันที่มีชื่อคล้ายคลึงกับเกมการพนันที่เป็นที่นิยมในประเทศเกาหลีใต้

โดยชื่อของวิดีโอเกมส์ประเภทดังกล่าวที่มัลแวร์ได้ทำการสวมรอยนั้น มีตัวอย่างเช่น “badugi,” “2-player go-stop,” และ “hold’em” เป็นต้น โดยในทางเทคนิคนั้น ทางทีมวิจัยได้เปิดเผยว่า มัลแวร์ WrnRAT นั้นถูกพัฒนาขึ้นด้วยภาษา Python และถูกรวบรวมสคริปท์ และเครื่องมือทั้งหมด ในรูปแบบไฟล์สำหรับการรันด้วยเครื่องมือที่มีชื่อว่า “PyInstaller”

ภาพจาก : https://cybersecuritynews.com/wrnrat-delivered-gambling-games/

สำหรับการแพร่กระจายมัลแวร์ใส่เหยื่อนั้นจะเป็นในรูปแบบการแพร่กระจายอย่างหลายชั้นหลากขั้นตอน (Multi-Stage Infection Process) โดยเริ่มต้นขึ้นด้วยการที่แฮกเกอร์ได้ทำการสร้างเว็บไซต์หลอกลวง เพื่อล่อให้เหยื่อทำการดาวน์โหลดไฟล์ Batch ที่แฮกเกอร์หลอกว่าเป็นไฟล์สำหรับติดตั้งวิดีโอเกมส์ดังกล่าว โดยหลังจากที่เหยื่อได้ทำกันรันแล้ว ตัวสคริปท์บนไฟล์ก็จะทำการดาวน์โหลดและรันไฟล์มัลแวร์นกต่อในรูปแบบ .NET Dropper Malware โดยไฟล์มัลแวร์นั้นมักจะใช้ชื่อที่ทำให้เหยื่อรู้สึกตายใจ เช่น “Installer2.exe”, “Installer3.exe”, และ “installerABAB.exe” เป็นต้น ซึ่งมีความคล้ายคลึงกับไฟล์สำหรับติดตั้งวิดีโอเกมส์ หรือซอฟต์แวร์ทั่วไป หลังจากที่ไฟล์ได้ทำการรันไปแล้ว ตัวมัลแวร์ก็จะทำการติดต่อกับเซิร์ฟเวอร์ควบคุม (C2 หรือ Command and Control) เพื่อปล่อยมัลแวร์ WrnRAT ตัวจริงลงมาพร้อมกับไฟล์สำหรับการรัน ที่มาในรูปแบบเดียวกับไฟล์สำหรับ Launch เกมส์ (Laucnher) ซึ่งถ้าเหยื่อทำการ Launch ตัวมัลแวร์ก็จะทำการรันพร้อมกับลบตัวเองในทันทีเพื่ออำพรางที่มาของตนเอง และหลังจากที่มัลแวร์ได้ฝังตัวเองลงในระบบแล้ว ก็จะทำการซ่อนตัวจากการตรวจจับด้วยการปลอมตัวเป็น Internet Explorer ภายใต้ชื่อไฟล์ “iexplorer.exe”

ภาพจาก : https://cybersecuritynews.com/wrnrat-delivered-gambling-games/

มัลแวร์ตัวดังกล่าวนี้เมื่อซ่อนตัวในระบบสำเร็จ ก็จะเริ่มต้นปฏิบัติการในการเปิดทางให้แฮกเกอร์เข้าทำการควบคุมระบบ และขโมยข้อมูลสำคัญ เช่น ข้อมูลตัวระบบของเครื่องที่ติดเชื้อ และบันทึกหน้าจอเครื่องของเหยื่อ รวมไปถึงสั่งปิด Process บางตัวบนเครื่อง และปรับแต่งการตั้งค่าของ Firewall เพื่อหลบเลี่ยงการตรวจจับ ซึ่งความสามารถดังกล่าวนั้นทางทีมวิจัย ASEC ได้กล่าวว่า ถูกออกแบบมาเพื่อจุดประสงค์ในการตบทรัพย์เหยื่อในรูปแบบของการโกงพนัน ซึ่งทางทีมวิจัยได้ยกตัวอย่างว่า แฮกเกอร์จะเห็นไพ่ในมือทุกใบของเหยื่อ ทำให้แฮกเกอร์ชนะตลอดจนเหยื่อต้องเติมเงินเรื่อย ๆ จนหมดเงินในที่สุด

สิงห์พนันที่อยากแตกง่าย แตกไว รับทรัพย์เนื้อ ๆ ท้ายสุดแล้วอาจจะต้องเสียทรัพย์แทนจากการที่ทุกแอปฯ และเกมส์การพนันนั้นล้วนแต่มาจากธุรกิจผิดกฎหมายที่ไม่มีความน่าเชื่อถือ ดังนั้น ขอให้ระวังตัวกันไว้ให้ดี และเป็นไปได้ให้ลด ละ เลิก เสียก่อนที่จะเสียทรัพย์จากการเสียรู้ไปจนหมด