on
บริษัทความปลอดภัย Doctor Web รายงานข่าวการระบาดของไฟล์ ISO เถื่อนของ Windows 10 ที่แจกตามเว็บไซต์ torrent ต่างๆ แอบฝังมัลแวร์ในพาร์ทิชัน Extensible Firmware Interface (EFI)
พาร์ทิชัน EPI เป็นพาร์ทิชันขนาดเล็กบนดิสก์ ที่มีไฟล์สำหรับ bootloader ใช้ในการบูท OS ขึ้นมาอีกที พาร์ทิชันนี้เป็นส่วนหนึ่งของระบบบูท UEFI ในภาพรวม ที่นำมาใช้แทนระบบ BIOS เดิม
ไฟล์ ISO เถื่อนอาศัยว่าผู้ใช้ดาวน์โหลดไฟล์เพื่อไปติดตั้ง OS ใหม่ ได้สิทธิการเข้าถึงขั้นสูงสุดตั้งแต่แรกอยู่แล้ว จึงแอบฝังมัลแวร์-โทรจันเข้ามาในตัวติดตั้งด้วย เท่าที่ตรวจพบมี 3 ไฟล์ทำงานร่วมกัน
- \Windows\Installer\iscsicli.exe (Trojan.MulDrop22.7578)
- \Windows\Installer\recovery.exe (Trojan.Inject4.57873)
- \Windows\Installer\kd_08_5e78.dll (Trojan.Clipper.231)
Doctor Web อธิบายว่าพฤติกรรมของมัลแวร์ตัวแรกจะเมาท์พาร์ทิชัน EFI ขึ้นมาเป็นไดรฟ์ M: จากนั้นฝังมัลแวร์อีกสองตัวลงไป ยกเลิกการเมาท์ จากนั้นมัลแวร์ตัวที่สองที่รันขึ้นมา จะหาวิธีฝังมัลแวร์ตัวที่สามลงในโพรเซส Lsaiso.exe ของระบบเพื่อเข้าถึงข้อมูลในคลิปบอร์ด และแทรกตำแหน่งที่อยู่คริปโตของคนร้ายลงไป หากเครื่องนั้นมีคำสั่งโอนเงินคริปโต (เช่น Bitcoin หรือ Ethereum) ก็จะเป็นการโอนไปยังกระเป๋าเงินคริปโตของคนร้ายแทน
Doctor Web ตรวจสอบจากที่อยู่คริปโตเหล่านี้ พบว่าคนร้ายได้เงินคริปโตไปแล้ว 0.73406362 BTC และ 0.07964773 ETH เทียบเท่าเงินจริง 18,976.29 ดอลลาร์ หรือราว 6.6 แสนบาท ถึงแม้ความเสียหายไม่เยอะ แต่ในแง่เทคนิควิธีการถือว่าน่าสนใจมากทีเดียวในหมู่นักวิจัยความปลอดภัย
ชื่อไฟล์ ISO เถื่อนที่แอบฝังมัลแวร์ เท่าที่ตรวจพบตามเว็บไซต์ torrent คือ
- Windows 10 Pro 22H2 19045.2728 + Office 2021 x64 by BoJlIIIebnik RU.iso
- Windows 10 Pro 22H2 19045.2846 + Office 2021 x64 by BoJlIIIebnik RU.iso
- Windows 10 Pro 22H2 19045.2846 x64 by BoJlIIIebnik RU.iso
- Windows 10 Pro 22H2 19045.2913 + Office 2021 x64 by BoJlIIIebnik [RU, EN].iso
- Windows 10 Pro 22H2 19045.2913 x64 by BoJlIIIebnik [RU, EN].iso
ตัวอย่างหน้าดาวน์โหลดไฟล์ Windows 10 เถื่อน
ที่มา - Dr.Web, BleepingComputer
ร้ายมาก
tom789 Thu, 15/06/2023 - 13:50
ร้ายมาก
หมุ่ หมู่
Mediumrare Thu, 15/06/2023 - 13:54
หมู่
รัสเซียเจ้าเก่า
api Thu, 15/06/2023 - 15:08
รัสเซียเจ้าเก่า ใจคอจะไมเปลี่ยนประเทศให้เนียนหน่อยเหรอ
เอาจริงๆพวกเครื่องรุ่นเก่า(XP,7)ต้องลงวินโดว์ใหม่ ยังไงก็ต้องจำใจหาเถื่อนมาลงอยู่ดี (รู้ว่าหัวข่าวรุ่น10)
มีชื่อ RU
blue111 Fri, 16/06/2023 - 17:20
In reply to รัสเซียเจ้าเก่า by api
มีชื่อ RU ในไฟล์อาจจะเนียนกว่าก็ได้ครับคือคนโหลดเถื่อนมาน่าจะคุ้นกับการที่ crack เถื่อนมาจากรัสเซียเป็นหลักหากไม่ใช่อาจจะระแวงมากกว่าเดิมก็ได้นะครับ
เถือนนี้ที่โหลดตามเว็ปใช้ไหมค
N Pack Thu, 15/06/2023 - 15:15
เถือนนี้ที่โหลดตามเว็ปใช้ไหมครับ
แล้ว mircosoft ได้อะไรจากตรงนี้
Microsoft
arth Thu, 15/06/2023 - 16:11
In reply to เถือนนี้ที่โหลดตามเว็ปใช้ไหมค by N Pack
Microsoft ไม่ทีส่วนได้ส่วนเสียอะไรเลยครับ
สงสัยจะไปโหลดเถื่อนทำไมหว่า
deaknaew Thu, 15/06/2023 - 15:32
สงสัยจะไปโหลดเถื่อนทำไมหว่า ms โหลดตรงก็ได้
เพราะบางคนไม่รู้ว่ามีแหล่งโหล
KuLiKo Fri, 16/06/2023 - 03:19
In reply to สงสัยจะไปโหลดเถื่อนทำไมหว่า by deaknaew
เพราะบางคนไม่รู้ว่ามีแหล่งโหลดของแท้ (ที่โคตรง่าย) จริงๆ ครับ
อาจจะเป็นตัวเถื่อนที่ลง Crack
nessuchan Fri, 16/06/2023 - 09:16
In reply to สงสัยจะไปโหลดเถื่อนทำไมหว่า by deaknaew
อาจจะเป็นตัวเถื่อนที่ลง Crack ไว้แล้ว ลงแล้วใช้ได้เลยไม่ต้องมาหา Crack อีก ดูจากชื่อไฟล์ เหมือนจะลงปุ๊บมี Office ให้เลยด้วย ถ้าจำไม่ผิดเหมือนจะฮิต ๆ กันมาตั้งแต่สมัย Windows XP นะ ที่ลงแล้วไม่ต้องแครก ใช้ได้เลย
ตัว Official ถ้าไม่ Activate
dreamsfrag Fri, 16/06/2023 - 17:31
In reply to สงสัยจะไปโหลดเถื่อนทำไมหว่า by deaknaew
ตัว Official ถ้าไม่ Activate มันมีข้อจำกัดอะไรบ้างครับ นอกจาก Personalize Settings
มีลายน้ำครับ
petersticker Sat, 17/06/2023 - 01:29
In reply to ตัว Official ถ้าไม่ Activate by dreamsfrag
มีลายน้ำครับ ถ้าใช้งานทั่วไปไม่ค่อยมีปัญหา แค่รำคาญตากับลายน้ำ
ดีเลย
macxide Thu, 15/06/2023 - 15:33
ดีเลย อยากให้มีแบบนี้เยอะๆ
ไม่น่าเชื่อว่ายังมีคนโหลด ISO
EGFriday Thu, 15/06/2023 - 16:22
ไม่น่าเชื่อว่ายังมีคนโหลด ISO เถื่อนอยู่ // ตั้งกะ XP Service pack 3 sKz edition ก็ไม่เคยโหลด iso เถื่อนอีกเลย
สงสัยตลอดว่าคนทำ crack
LasPersonas Thu, 15/06/2023 - 17:10
สงสัยตลอดว่าคนทำ crack แจกได้อะไร
ตอนนี้ได้คำตอบแล้ว คิดว่าซอฟแวร์เถื่อนส่วนใหญ่น่าจะมาจากรัสเซียเกือบทั้งหมด
ทำไมคอมเมนท์ยังมีคนถามอีกว่าทำไมไม่โหลดจาก Microsoft ดูจากภาพก็ crack มาให้แล้ว กับแถม office มาให้
ยังมีคนไม่รู้อีกเยอะว่า MS
big50000 Thu, 15/06/2023 - 17:32
ยังมีคนไม่รู้อีกเยอะว่า MS ปล่อยให้ใช้งาน Windows แบบไม่ต้อง Activate มาตั้งแต่ Windows 8 แล้ว
ปรกติจะต้องมี exe 2 ตัว ในการ
gjkllb01 Fri, 16/06/2023 - 01:05
ปรกติจะต้องมี exe 2 ตัว ในการ Crack
ตัวแรกเป็นไฟล์ Setup ตัวสองเป็น เป็นไฟล์ Crack
แต่พวกรัสเซีย มักรวมทั้ง 2 เป็น 1
exe มีแค่ตัวเดียว พร้อมของแถมนะ ตอนนั้นก็โดนเข้าไป พวกขุดเหรียญ
เพิ่งรู้ว่ามีโหลดฟรี T^T
JPorsh Fri, 16/06/2023 - 09:20
เพิ่งรู้ว่ามีโหลดฟรี T^T
นี่นึกย้อนกลับไปถึงยุคคอมพีซี
btoy Fri, 16/06/2023 - 09:29
นี่นึกย้อนกลับไปถึงยุคคอมพีซีตั้งโต๊ะประกอบเลยมั้ง ที่ใช้เถื่อน หลังจากเรียนจบมาก็ใช้ Windows กับซอร์ฟแวร์แท้มาตลาดละ
แถมหลังๆ แทบจะใช้แต่พวก Opensource หรือไม่ก็เวอร์ชั่น community อีกต่างหาก 55