By: mk 
on 15 June 2023 - 13:26
Tags:
Topics:
บริษัทความปลอดภัย Doctor Web รายงานข่าวการระบาดของไฟล์ ISO เถื่อนของ Windows 10 ที่แจกตามเว็บไซต์ torrent ต่างๆ แอบฝังมัลแวร์ในพาร์ทิชัน Extensible Firmware Interface (EFI)
พาร์ทิชัน EPI เป็นพาร์ทิชันขนาดเล็กบนดิสก์ ที่มีไฟล์สำหรับ bootloader ใช้ในการบูท OS ขึ้นมาอีกที พาร์ทิชันนี้เป็นส่วนหนึ่งของระบบบูท UEFI ในภาพรวม ที่นำมาใช้แทนระบบ BIOS เดิม
ไฟล์ ISO เถื่อนอาศัยว่าผู้ใช้ดาวน์โหลดไฟล์เพื่อไปติดตั้ง OS ใหม่ ได้สิทธิการเข้าถึงขั้นสูงสุดตั้งแต่แรกอยู่แล้ว จึงแอบฝังมัลแวร์-โทรจันเข้ามาในตัวติดตั้งด้วย เท่าที่ตรวจพบมี 3 ไฟล์ทำงานร่วมกัน
- \Windows\Installer\iscsicli.exe (Trojan.MulDrop22.7578)
- \Windows\Installer\recovery.exe (Trojan.Inject4.57873)
- \Windows\Installer\kd_08_5e78.dll (Trojan.Clipper.231)
Doctor Web อธิบายว่าพฤติกรรมของมัลแวร์ตัวแรกจะเมาท์พาร์ทิชัน EFI ขึ้นมาเป็นไดรฟ์ M: จากนั้นฝังมัลแวร์อีกสองตัวลงไป ยกเลิกการเมาท์ จากนั้นมัลแวร์ตัวที่สองที่รันขึ้นมา จะหาวิธีฝังมัลแวร์ตัวที่สามลงในโพรเซส Lsaiso.exe ของระบบเพื่อเข้าถึงข้อมูลในคลิปบอร์ด และแทรกตำแหน่งที่อยู่คริปโตของคนร้ายลงไป หากเครื่องนั้นมีคำสั่งโอนเงินคริปโต (เช่น Bitcoin หรือ Ethereum) ก็จะเป็นการโอนไปยังกระเป๋าเงินคริปโตของคนร้ายแทน
Doctor Web ตรวจสอบจากที่อยู่คริปโตเหล่านี้ พบว่าคนร้ายได้เงินคริปโตไปแล้ว 0.73406362 BTC และ 0.07964773 ETH เทียบเท่าเงินจริง 18,976.29 ดอลลาร์ หรือราว 6.6 แสนบาท ถึงแม้ความเสียหายไม่เยอะ แต่ในแง่เทคนิควิธีการถือว่าน่าสนใจมากทีเดียวในหมู่นักวิจัยความปลอดภัย
ชื่อไฟล์ ISO เถื่อนที่แอบฝังมัลแวร์ เท่าที่ตรวจพบตามเว็บไซต์ torrent คือ
- Windows 10 Pro 22H2 19045.2728 + Office 2021 x64 by BoJlIIIebnik RU.iso
- Windows 10 Pro 22H2 19045.2846 + Office 2021 x64 by BoJlIIIebnik RU.iso
- Windows 10 Pro 22H2 19045.2846 x64 by BoJlIIIebnik RU.iso
- Windows 10 Pro 22H2 19045.2913 + Office 2021 x64 by BoJlIIIebnik [RU, EN].iso
- Windows 10 Pro 22H2 19045.2913 x64 by BoJlIIIebnik [RU, EN].iso
ตัวอย่างหน้าดาวน์โหลดไฟล์ Windows 10 เถื่อน
ที่มา - Dr.Web, BleepingComputer
Get latest news from Blognone
Follow @twitterapi
Blognone Jobs Premium
Cloudnone
- Kubernetes คืออะไร [Part 1] เกิดขึ้นมาอย่างไร? ทำไมต้องใช้มัน? | Cloudnone EP.14
- CI/CD ยังไงดี ตั้งเซิร์ฟเวอร์เอง vs เช่าคลาวด์ | Cloudnone EP.13
- รู้จักโน้ตบุ๊กบนคลาวด์ เช่าใช้งาน Jupyter Notebook ที่ไหนดี | Cloudnone Ep.12
- สรุปข่าวใหญ่ปี 23 และคาดการณ์เทรนด์ปี 24 ในวงการ Cloud | Cloudnone EP.11
- สรุปของใหม่และสาระสำคัญจาก AWS re:Invent 2023 | Cloudnone Special EP
Comments
ร้ายมาก
หมู่
รัสเซียเจ้าเก่า ใจคอจะไมเปลี่ยนประเทศให้เนียนหน่อยเหรอ
เอาจริงๆพวกเครื่องรุ่นเก่า(XP,7)ต้องลงวินโดว์ใหม่ ยังไงก็ต้องจำใจหาเถื่อนมาลงอยู่ดี (รู้ว่าหัวข่าวรุ่น10)
มีชื่อ RU ในไฟล์อาจจะเนียนกว่าก็ได้ครับคือคนโหลดเถื่อนมาน่าจะคุ้นกับการที่ crack เถื่อนมาจากรัสเซียเป็นหลักหากไม่ใช่อาจจะระแวงมากกว่าเดิมก็ได้นะครับ
เถือนนี้ที่โหลดตามเว็ปใช้ไหมครับ
แล้ว mircosoft ได้อะไรจากตรงนี้
Microsoft ไม่ทีส่วนได้ส่วนเสียอะไรเลยครับ
สงสัยจะไปโหลดเถื่อนทำไมหว่า ms โหลดตรงก็ได้
เพราะบางคนไม่รู้ว่ามีแหล่งโหลดของแท้ (ที่โคตรง่าย) จริงๆ ครับ
อาจจะเป็นตัวเถื่อนที่ลง Crack ไว้แล้ว ลงแล้วใช้ได้เลยไม่ต้องมาหา Crack อีก ดูจากชื่อไฟล์ เหมือนจะลงปุ๊บมี Office ให้เลยด้วย ถ้าจำไม่ผิดเหมือนจะฮิต ๆ กันมาตั้งแต่สมัย Windows XP นะ ที่ลงแล้วไม่ต้องแครก ใช้ได้เลย
ตัว Official ถ้าไม่ Activate มันมีข้อจำกัดอะไรบ้างครับ นอกจาก Personalize Settings
มีลายน้ำครับ ถ้าใช้งานทั่วไปไม่ค่อยมีปัญหา แค่รำคาญตากับลายน้ำ
ดีเลย อยากให้มีแบบนี้เยอะๆ
ไม่น่าเชื่อว่ายังมีคนโหลด ISO เถื่อนอยู่ // ตั้งกะ XP Service pack 3 sKz edition ก็ไม่เคยโหลด iso เถื่อนอีกเลย
สงสัยตลอดว่าคนทำ crack แจกได้อะไร
ตอนนี้ได้คำตอบแล้ว คิดว่าซอฟแวร์เถื่อนส่วนใหญ่น่าจะมาจากรัสเซียเกือบทั้งหมด
ทำไมคอมเมนท์ยังมีคนถามอีกว่าทำไมไม่โหลดจาก Microsoft ดูจากภาพก็ crack มาให้แล้ว กับแถม office มาให้
ยังมีคนไม่รู้อีกเยอะว่า MS ปล่อยให้ใช้งาน Windows แบบไม่ต้อง Activate มาตั้งแต่ Windows 8 แล้ว
ปรกติจะต้องมี exe 2 ตัว ในการ Crack
ตัวแรกเป็นไฟล์ Setup ตัวสองเป็น เป็นไฟล์ Crack
แต่พวกรัสเซีย มักรวมทั้ง 2 เป็น 1
exe มีแค่ตัวเดียว พร้อมของแถมนะ ตอนนั้นก็โดนเข้าไป พวกขุดเหรียญ
เพิ่งรู้ว่ามีโหลดฟรี T^T
นี่นึกย้อนกลับไปถึงยุคคอมพีซีตั้งโต๊ะประกอบเลยมั้ง ที่ใช้เถื่อน หลังจากเรียนจบมาก็ใช้ Windows กับซอร์ฟแวร์แท้มาตลาดละ
แถมหลังๆ แทบจะใช้แต่พวก Opensource หรือไม่ก็เวอร์ชั่น community อีกต่างหาก 55
..: เรื่อยไป