กลุ่มแฮ็ก “Praying Mantis” APT ใหม่กำหนดเป้าหมายเซิร์ฟเวอร์ Microsoft IIS ด้วย ASP.NET Exploits

Praying Mantis

เมื่อวันจันทร์ที่ 2 สิงหาคม 2564 ได้มีกลุ่มแฮกเกอร์ชื่อว่า “Praying Mantis” หรือ “TG2021” ได้อาศัยประโยชน์จากช่องโหว่ของ Microsoft Internet Information Services ( IIS ) บนเครื่องเซิร์ฟเวอร์ที่เชื่อมต่อกับอินเทอร์เน็ตเพื่อแทรกซึมเครือข่ายและฝังมัลแวร์เข้าไปในระบบของหน่วยงานภาครัฐและเอกชนที่มีชื่อเสียงระดับสูงในสหรัฐอเมริกา

อ้างอิง https://thehackernews.com/

โดยทางบริษัทรักษาความปลอดภัยทางไซเบอร์ของอิสราเอล Sygnia ได้เข้ามาตรวจสอบเทคนิค วิธีการ ขั้นตอนการใช้ประโยชน์ช่องโหว่ดังกล่าว ซึ่ง TG2021 ใช้เฟรมเวิร์กมัลแวร์ที่ทำขึ้นนำมาปรับแต่งเพื่อใช้สำหรับ IIS ให้ทำการโหลดข้อมูลกลับเข้าไปในหน่วยความจำของเครื่องทั้งยังทิ้งร่องรอยไว้เพียงเล็กน้อยบนเครื่องของเป้าหมายและสามารถหลีกเลี่ยงการตรวจจับโดยการแทรกแซงกลไกการบันทึกการตรวจจับระบบ endpoint detection and response (EDR) ได้สำเร็จ

อ้างอิง https://thehackernews.com/

ช่องโหว่ที่ถูกใช้ประโยชน์:
 
• Checkbox Survey RCE Exploit – คือ ช่องโหว่ที่อนุญาตให้ผู้ไม่ประสงค์ดีสามารถส่งคำสั่งอันตรายจากระยะไกลของ Checkbox Survey ผ่านฟังก์ชัน Deserialization บน library CheckboxWeb.dll
 
• VIEWSTATE Deserialization Exploit – คือ ช่องโหว่ที่อนุญาตให้ผู้ไม่ประสงค์ดีสามารถส่งคำสั่งระยะไกลของ Microsoft SharePoint
 
• Altserialization Insecure Deserialization – คือ ช่องโหว่ที่อนุญาตให้ผู้ไม่ประสงค์ดีสามารถส่งคำสั่งอันตรายจากระยะไกลของ Altserialization นำไปสู่การโจมตีแบบ Replay Attacks, Injection Attacks และ Privilege Escalation Attacks
 
• Telerik-UI Exploit ( CVE-2019-18935 and CVE-2017-11317 ) – คือ ช่องโหว่ที่อนุญาตให้ผู้ไม่ประสงค์ดีสามารถส่งคำสั่งระยะไกลผ่าน ReadAsyncUpload ได้ในกรณีที่ทราบคีย์การเข้ารหัส
 
ที่น่าสนใจ คือการสืบสวนของ Sygnia ได้ค้นพบ “major overlaps” กับผู้ดำเนินการที่ได้รับการสนับสนุนจาก “Copy-Paste Compromises
” ตามรายละเอียดในคำแนะนำที่เผยแพร่โดย Australian Cyber Security Center ( ACSC) ในเดือนมิถุนายน 2563 ได้อธิบายถึงแคมเปญทางไซเบอร์ที่กำหนดเป้าหมายโครงสร้างพื้นฐานที่เปิดเผยต่อสาธารณะผ่านการใช้ประโยชน์จากข้อบกพร่องที่ยังไม่ได้รับการแก้ไขในเซิร์ฟเวอร์ Telerik UI และ IIS
 
 
ผู้เขียน : นาย วสุพล ไชยสง่าศิลป์
ผู้ตรวจทาน : นายเจษฏา ทองก้านเหลือง
เผยแพร่ : วันที่ 10 สิงหาคม 2564