นักวิจัยเตือน มัลแวร์ ResolverRAT กำลังมุ่งเข้าโจมตีอุตสาหกรรมยา และสุขภาพทั่วโลก

การโจมตีด้วยมัลแวร์นั้น ในปัจจุบันมักจะมุ่งเน้นไปยังกลุ่มเหยื่อในระดับอุตสาหกรรมเสียมาก เนื่องจากสามารถได้ข้อมูลที่มีมูลค่าสูง ทั้งยังสามารถทำประโยชน์กับกลุ่มแฮกเกอร์ได้มากมาย เช่น การนำข้อมูลมาใช้กรรโชกทรัพย์เป็นต้น โดยเฉพาะธุรกิจที่เต็มไปด้วยความลับ และมูลค่าในตลาดสูง เช่น ด้านยา และสุขภาพ

จากรายงานโดยเว็บไซต์ Bleeping Computer ได้กล่าวถึงการตรวจพบการระบาดของมัลแวร์ประเภทเข้าควบคุมเครื่องของเหยื่อจากทางไกล หรือ RAT (Remote Access Trojan) ที่มีชื่อว่า ResolverRAT โดยผลการงานค้นพบดังกล่าวนั้นเป็นของทีมวิจัยจาก Morphisec บริษัทผู้เชี่ยวชาญด้านการจัดการโซลูชันความปลอดภัยไซเบอร์ของเครื่องมือปลายทาง (Endpoints) ซึ่งทางทีมวิจัยได้ออกมาเปิดเผยว่า มัลแวร์ดังกล่าวในปัจจุบันกำลังทำการมุ่งโจมตีอุตสาหกรรมที่มีมูลค่าสูงอย่าง อุตสาหกรรมยา และอุตสาหกรรมด้านสุขภาพ เป็นเป้าหมายหลัก

สำหรับมัลแวร์ ResolverRAT นั้น ทางทีมวิจัยระบุว่า แฮกเกอร์ทำการกระจายมัลแวร์ดังกล่าวผ่านทางอีเมลหลอกลวงในรูปแบบ Phishing โดยอ้างว่าองค์กรของเหยื่อนั้นทำการละเมิดลิขสิทธิ์ ซึ่งภาษาบนอีเมลนั้นจะถูกปรับเปลี่ยนไปตามภาษาหลักของประเทศนั้น ๆ โดยภาษาที่ทางทีมวิจัยพบว่ามัลแวร์ได้มีการใช้งานในปัจจุบัน นั้นประกอบด้วย อิตาเลียน, เชค, ฮินดู, ตุรกี, โปรตุเกส, และ อินโดนีเซีย เป็นต้น หลังจากที่เหยื่อทำการคลิกลิงก์ปลอมที่แนบมาเป็นที่เรียบร้อยแล้ว ก็จะเป็นการทำการดาวน์โหลดไฟล์ 'hpreader.exe' ซึ่งจะทำหน้าที่ในการยิงตัวมัลแวร์ลงไปสู่ส่วนของหน่วยความจำโดยการอาศัยตัวไฟล์ DLL ของมัลแวร์ดังกล่าว ทั้งยังใช้ฟังก์ชัน 'ResourceResolve' ของ .NET เพื่อดาวน์โหลดองค์ประกอบต่าง ๆ ของมัลแวร์โดยที่ไม่จำเป็นต้องพึ่งพาฟังก์ชัน API Call

ภาพจาก : https://www.bleepingcomputer.com/news/security/new-resolverrat-malware-targets-pharma-and-healthcare-orgs-worldwide/

หลังจากนั้น ตัวมัลแวร์จะทำการสร้างการคงทนในระบบ (Persistence) เพื่อให้มั่นใจว่าตัวมัลแวร์จะทำการรันอยู่บนระบบได้ตลอดเวลาในส่วนของ 'Startup,' 'Program Files,' และ 'LocalAppData' และใช้คีย์ XOR ที่มีการเข้ารหัสด้วยโค้ดตีรวนระบบ (Obfuscation) แทรกไว้บนระบบ Windows Registry ร่วม 20 แห่งอีกด้วย และยังมีระบบป้องกันการค้างถ้ามัลแวร์ทำงานผิดพลาดด้วยระบบการทำงานแบบเจาะจง (Dedicated Thread) พร้อมระบบการทำงานแบบคู่ขนาน ที่ตัวมัลแวร์สามารถดึงมาใช้งานทดแทนได้ทันที

นอกจากนั้นตัวมัลแวร์ยังมีระบบต่อต้านการตรวจจับ และการวิเคราะห์ที่หลากหลาย ไม่ว่าจะเป็นการหั่นไฟล์ที่มัลแวร์ลักลอบขโมยออกจากเครื่องของเหยื่อที่มาขนาดเกินกว่า 1MB เป็นไฟล์เล็ก ๆ ย่อย ๆ ขนาดเพียง 16KB เพื่อตีรวนระบบไม่ให้ตรวจจับได้ระหว่างการส่งกลับไปยังเซิร์ฟเวอร์ควบคุม (C2 หรือ Command and Control) และเพื่อให้การส่งไฟล์เป็นได้อย่างราบรื่น ตัวมัลแวร์ยังมีระบบการกู้ไฟล์และเริ่มต้นใหม่ ณ จุดที่ผิดพลาดระหว่างการส่งไฟล์อีกด้วย