Palo Alto ผู้ให้บริการโซลูชัน Next-generation Firewall ชั้นนำของโลก ค้นพบโทรจันตัวใหม่ที่สามารถแอบขโมยข้อความที่พิมพ์ผ่านคีย์บอร์ดและข้อมูลที่คัดลอกไว้บนคลิปบอร์ดได้ Palo Alto เรียกโทรจันนี้ว่า หนอนหนังสือ (Bookworm) ซึ่งมีเป้าหมายโจมตีหลัก คือ ประเทศไทย
ทำความรู้จักกับ Bookworm

Bookworm เป็นโทรจันที่มีลักษณะคล้ายกับ PlugX RAT มัลแวร์ชื่อกระฉ่อนสัญชาติจีนที่ให้โจมตีแบบ Advanced Persistent Threat (APT) แต่มีโครงสร้างสถาปัตยกรรมที่ต่างกัน คือ เป็นแบบแยกส่วนเป็นองค์ประกอบย่อยๆ แล้วนำมาประกอบกันเป็นมัลแวร์ (Modular Architecture) ซึ่ง Bookworm ถูกออกแบบมาเพื่อตรวจจับข้อความที่ผู้ใช้พิมพ์ลงบนคีย์บอร์ด และขโมยข้อมูลที่คัดลอกไว้บนคลิปบอร์ด นอกจากนี้ Bookworm ยังสามารถโหลดโมดูลเพิ่มเติมจาก C&C Server เพื่อเพิ่มความสามารถในการโจมตีระบบอีกด้วย

ผลการตรวจตรวจสอบ Indicators of Compromise (IoC) ของ Palo Alto พบว่า โทรจันดังกล่าวเริ่มปรากฎโฉมอย่างน้อยก็ตั้งแต่เดือนสิงหาคมที่ผ่านมา
สรุปการทำงานของ Bookworm

แฮ็คเกอร์เริ่มต้นโดยใช้โปรแกรม Smart Installer Maker ในการสร้างไฟล์ Installer ที่แฝงมัลแวร์ขึ้นมา ไฟล์ดังกล่าวจะอยู่ในรูปของไฟล์ Self-Extracting RAR, ไฟล์ Flash Slideshow หรือ Installer เป็นต้น ไฟล์เหล่านี้ เมื่อถูกดับเบิ้ลคลิ๊กเปิดออกมา จะทำการสร้างไฟล์ EXE, ไฟล์ DDL ที่ชื่อว่า “Loader.dll” และไฟล์ “readme.txt” บนเครื่องของเหยื่อทันที ไฟล์เหล่านี้นับว่าเป็นไฟล์ที่โปรแกรมสร้างขึ้นอย่างถูกต้องตามกฏ จึงสามารถรันบนเครื่องของเหยื่อได้โดยไม่ถูกตรวจจับ



ไฟล์ EXE ที่ถูกสร้างขึ้น เป็นส่วนหนึ่งของแอนตี้ไวรัส Kaspersky (ushata.exe) หรือ Microsoft Security Essentials (MsMpEng.exe) ไฟล์ EXE พวกนี้จะถูกใช้เพื่อโหลดไฟล์ Loader.dll มาติดตั้งลงบนเครื่องของเหยื่อ หลังจากนั้น Loader.dll จะถอดรหัสข้อมูลไฟล์ “readme.txt” เพื่อรัน Shellcode ซึ่งจะถอดรหัสไฟล์ readme.txt ส่วนที่เหลือทั้งหมดออกมาเป็นโทรจัน Bookworm ซึ่งประกอบด้วยไฟล์ DDL หลายๆโมดูล โดยโมดูลหลักที่ทำหน้าที่สั่งการ คือ Leader.dll และโมดูลอื่นๆจะเสมือนเป็น API ให้ Leader.dll เรียกใช้งานได้ โมดูลเหล่านี้จะไม่ถูกเขียนลงดิสก์ แต่จะทำงานอยู่บนเมโมรี่แทนทั้งหมด



ผลกระทบจาก Bookworm

โมดูลของ Bookworm จะให้บริการ API แก่โมดูลหลัก (Leader.dll) ซึ่งแต่ละโมดูลจะทำหน้าที่แตกต่างกันไป เช่น เข้ารหัสและถอดรหัสข้อมูล รวมทั้งเชื่อมต่อและรับส่งข้อมูลกับ C&C Server หนึ่งในโมดูลสำคัญ คือ KBLogger.dll ซึ่งทำหน้าที่บันทึกข้อมูลการพิมพ์ (Key Logging) ของผู้ใช้และข้อมูลที่คัดลอกอยู่ในคลิปบอร์ดเมื่อมีการกด Ctrl+C หรือ Ctrl+X แล้วเซฟส่งออกกลับไปให้แฮ็คเกอร์

นอกจากนี้ Bookworm ยังมีความสามารถในการดาวน์โหลดโมดูลอื่นๆจาก C&C Server มาติดตั้งบนเครื่องของเหยื่อเพื่อเพิ่มความสามารถของตนเองได้อีกด้วย อย่างไรก็ตาม Palo Alto ยังไม่พบว่ามีโมดูลใดๆถูกดาวน์โหลดมาติดตั้งจนถึงตอนนี้

“แฮ็คเกอร์ที่พัฒนา Bookworm นับว่ามีฝีมือฉกาจที่สามารถสร้างมัลแวร์แบบแยกส่วนเป็นองค์ประกอบย่อยๆแล้วนำมาเชื่อมต่อกันเป็นมัลแวร์โดยสมบูรณ์ได้ ถือว่าเป็นวิธีที่มีความยืดหยุ่นสูงและสามารถรันโมดูลอื่นๆโดยตรงจาก C&C Server ได้ ไม่เพียงแค่ Bookworm จะมีศักยภาพสูงเท่านั้น ยังต้องให้การวิเคราะห์ชั้นสูงในการตรวจจับโครงสร้างแบบแยกส่วนองค์ประกอบเหล่านี้อีกด้วย เราเชื่อว่าแฮ็คเกอร์จะต้องพัฒนา Bookworm ให้มีประสิทธิภาพมากกว่านี้ และใช้มันโจมตีเป้าหมายรายอื่นในอนาคตอันใกล้อย่างแน่นอน” — ทีมวิจัยจาก Palo Alto ให้ความเห็น

รายละเอียดเพิ่มเติม: http://researchcenter.paloaltonetworks.com/2015/11/bookworm-trojan-a-model-of-modular-architecture/

ที่มา : https://www.techtalkthai.com/bookworm-trojan-is-found-in-thailand/

ปล. ระวังกันดีดีนะครับ ประเทศไทยนี่แหละ อ่อนที่สุดแล้วในเรื่องการระวังภัยคุกคามในโลกไซเบอร์ หลายคนมักจะเชื่อคำแนะนำบางคนที่มักบอกเสมอๆ ว่า
1.ไม่ลงแอนตี้ไวรัสก็ไม่เห็นเป็นอะไร
ขอตอบนะครับ : เวลาวินโดวส์หรือคอมคุณติดพวก แอดแวร์ , มัลแวร์ , โทรจันต่างๆ หรือเอาง่ายๆ แค่ไวรัสซ่อนไฟล์ในโฟลเดอร์ คุณจะรู้หรอครับว่ามันคือไวรัส ทั้งๆ ที่ไวรัสแค่ไวรัสซ่อนไฟล์ ซ่อนโฟลเดอร์ในแฟลชไดร์ฟแล้วสร้างช็อตคัตรูปไดร์ฟมา ถ้าลงแอนตี้ไวรัสและอัพเดต ลงตัวที่น่าเชื่อถือ ป่านนี้มันก็ป้องกัน ไม่ให้มาติดคอมคุณได้แล้วละครับ อย่าให้บอกเลย ร้านคอมที่รับพิมพ์งาน , สถานศึกษา , บริษัทบางแห่ง ที่หละหลวมตรงนี้กันมาก เห็นหลายคนโดนไวรัสที่เรียกได้ว่า มันไม่น่าจะหลุดได้ง่ายๆ ทั้งที่เป็นแค่ไวรัสสายพันธุ์บ้านๆ ธรรมดาๆ มาก ชนิดที่ว่าแค่ฟรีแอนตี้ไวรัสชื่อเสียงดีดีอัพเดตดีดี มันก็กำจัดออกไปได้ง่ายๆ และป้องกันก่อนจะเข้าถึงเครื่องได้ละ

2.อย่าไปคิดแนะนำอะไรแบบนี้กับคนอื่นๆ นะครับ ผมรู้ว่าคุณนะ พอวินโดวส์มีปัญหาไม่ว่าจะปัญหาอะไรก็ตาม พวกคุณแค่ลงวินโดวส์ใหม่ มันก็จบ
แต่คนอื่นๆ ที่เค้าไม่ได้มีแผ่นลงวินโดวส์ และไม่รู้วิธีลงวินโดวส์ หรือแม้แต่ไม่ได้ใช้พวกโปรแกรมแช่แข็งทั้งหลายแหล่นะ
เค้าไม่ได้เก่งเหมือนคุณ หรือ ไม่ได้ใช้งานเหมือนคุณกันหมดทุกคนนะครับ
ผมเห็นหลายคนที่แนะนำอะไรแย่ๆ ไปกับการไม่ยอมลงแอนตี้ไวรัส แล้วสุดท้าย ใครครับที่ต้องมาตามแก้ปัญหาไวรัส ???
ขอตำหนิเลยนะครับ ถ้าคุณไม่ลงแอนตี้ไวรัส ก็อย่าเที่ยวไปแนะนำใครต่อใครอื่นเขาทั่ว เพราะถ้าเขาเสียหายหรือมีปัญหาขึ้นมา พวกคุณจะสามารถรีโมตทีมวิวเวอร์ไปแก้ปัญหาคนที่เขามีปัญหาได้รึเปล่า ???

3. หากได้อ่านบทความแล้ว ถ้ายังไม่คิดจะลงแอนตี้ไวรัสอีก อันนี้ก็สุดแท้แต่เจ้าของเครื่องคอมเองเลยครับ ไม่ได้บังคับ เพราะถ้าเกิดปัญหาอะไรขึ้นมา เจ้าของเครื่องก็คงจะ สามารถแก้ปัญหาเองได้อยู่แล้วละครับ ยกเว้นซะแต่ อย่าให้เกิดกรณีถึงขั้นล็อคอินเข้าเว็บ เข้าเมล์ หรือเข้าเฟสกันไม่ได้ นะครับ เพราะแบบนั้นคือ ไม่มีใครช่วยอะไรได้ครับ


ลองหาอ่านดูกับภัยคุกคามโลกไซเบอร์ มันมีมากกว่าแค่ที่คุณคิดว่า "ไม่เข้าเว็บแปลกๆ ไม่ดาวน์โหลดโปรแกรมแปลกๆ ก็จะไม่ติดอะไรมากแล้ว"  คิดใหม่เลยครับ มันมีหลายอย่าง ที่แม้แต่กระทั่งแค่คุณเข้าเว็บปกติ มันก็ยังมีแอบแฝงติดมาได้เช่นกัน
อย่าลืมว่าสมัยนี้ มันหมดยุคแล้ว ที่พวกไวรัส หรือ โทรจัน หรือบ็อตเน็ตหรืออื่นๆ มันจะเล่นงานทำให้วินโดวส์ล่มวินโดวส์พัง สมัยนี้ส่วนใหญ่ เค้าจะเอาคอมเหล่านั้นแหละ ที่อาจเคยติดไว้ แล้วหลงเหลือซากบางอย่าง ไว้รอคอยการรับคำสั่ง เพื่อใช้ในการโจมตีประเภทยิง DDoS หรือ DoS หรือแม้แต่กระทั่งว่า ใช้คอมเหล่านั้นเป็นเครื่องแพร่กระจาย Ransomware , CryptoLocker หรือแม้แต่ CryptoWall 4.0 ก็ได้เช่นกัน หรืออาจกลายเป็นเครือข่ายบ็อตเน็ตไปได้ โดยที่แม้แต่ผู้ใช้คอมที่ไม่ลงแอนตี้ไวรัส ก็ยังไม่รู้ตัวเลยด้วยซ้ำว่า "เบื้องหลังคอมพิวเตอร์ของคุณกำลังทำอะไรกันอยู่บ้าง !!??"

ลองไปศึกษาความหมายดูถึงภัยคุกคามต่างๆ ของโลกไซเบอร์ดู แล้วจะเข้าใจมากขึ้น จะได้รู้จักระวังป้องกันตัว ถ้าหากมีปัญหาอย่างน้อยจะช่วยผ่อนหนักให้เป็นเบาได้ ดีกว่า ไม่ลงอะไรเลย แล้วมาลงแอนตี้ไวรัสภายหลัง ถึงตอนนี้ก็ไม่มีแอนตี้ไวรัสไม่ว่าจะฟรี หรือแบบเสียเงิน แม้แต่ Kaspersky หรือ BitDefender ก็ช่วยอะไรไม่ได้แล้วละครับ

APT คืออะไร https://www.thaicert.or.th/papers/technical/2011/pa2011te002.html
                  http://fireeye.mindterra.com/what-is-apt/
บ็อตเน็ต คืออะไร http://www.panda-thailand.com/newpanda/tip&trick/april55/week4.php
                       http://www.thaihosttalk.com/showthread.php/72474-วันนี้ผมโดน-Bot-Net-ยิงครับมาดูวิธีแก้ไข-ที่ได้ผล-เลยเอามาเล่าสู่กันฟัง
โทรจัน คืออะไร http://faq.porar.com/topicdetail.aspx?tid=58
                     https://th.wikipedia.org/wiki/ม้าโทรจัน_(คอมพิวเตอร์)
เวิร์ม คืออะไร http://www.needformen.com/computer/virus2infect.html
                  http://faq.porar.com/topicdetail.aspx?tid=59
                  https://th.wikipedia.org/wiki/เวิร์ม
                  https://th.wikipedia.org/wiki/หนอนคอมพิวเตอร์
                  http://computer.thepbodint.ac.th/topmenu.php?c=listknowledge&q_id=37