Defense-Evasion

Forescout Vedere Labs เปิดเผย ROMULUS แพลตฟอร์มหลังบ้านที่ใช้ส่งมัลแวร์ผ่านกับดัก ClickFix และเชื่อมโยงกับแคมเปญที่ใช้ Custom GPTs ของ ChatGPT นักวิจัยพบ 6 IP ที่เปิดหน้าล็อกอินเดียวกันและวิเคราะห์ 2 เส้นทางการติดเชื้อ เส้นทางแรกติดตั้ง MSI ปลอมเป็นเครื่องมือ Stardock แล้วใช้ DLL sideloading โหลดตัวโหลดอันตราย เส้นทางที่สองดึงไฟล์บีบอัดเข้ารหัสซ้อนกันที่แตกออกมาเป็นไฟล์ขนาด 882 MB เพื่อหลบการสแกนก่อนโหลด LegionLoader เข้าหน่วยความจำ ยังไม่ทราบตัวตนผู้ควบคุม

บริษัท Flashpoint เผยแพร่งานวิจัยเกี่ยวกับ process parameter poisoning เทคนิคหลบเลี่ยง EDR บน Windows ที่ inject โค้ดเข้าไปในโครงสร้างเริ่มต้นของโปรเซสโดยไม่ใช้ Windows API ที่ EDR มักจับตา นักวิจัยพบว่าเมื่อนำเทคนิคนี้มารวมกับ DLL unhooking และการบล็อก DLL ที่ไม่ใช่ของ Microsoft จะทำให้เครื่องมือ EDR และ XDR ตรวจจับไม่ได้เลย แม้ยังไม่พบการใช้ในมัลแวร์จริง แต่ก็ไม่มีอะไรขวางผู้ก่อภัยไม่ให้นำไปใช้ Flashpoint แนะนำให้เฝ้าระวังพฤติกรรมของโปรเซสแทนการพึ่ง API call เพียงอย่างเดียว

นักวิจัยจาก PolySwarm เปิดโปงมัลแวร์ loader ตัวใหม่ชื่อ SharkLoader ที่ซ่อนในตัวติดตั้งปลอมของ Cisco AnyConnect และ Google Update เพื่อส่ง Cobalt Strike Beacon กลุ่ม StrikeShark ใช้ทั้งเจาะช่องโหว่ Exchange, SharePoint, Fortinet, Cisco IOS XE และ dropper ปลอม อาศัย DLL side loading ผ่าน SystemSettings.exe รันในหน่วยความจำเพื่อหลบการตรวจจับ พบเหยื่อในหน่วยงานรัฐและคณะทูตหลายประเทศรวมถึงในเอเชีย

บริษัท Huntress เปิดเผยการบุกรุกที่แฮ็กเกอร์ทยอยปิด Microsoft Defender, Sysmon และ ModSecurity WAF ก่อนใช้ Mimikatz ดูดรหัสผ่าน เริ่มจากเว็บเชลล์ที่ซ่อนด้วยเทคนิค steganography บนเซิร์ฟเวอร์ IIS ผู้โจมตีใช้สคริปต์ i.bat ปิดล็อกและเครื่องมือความปลอดภัยกว่าสิบเทคนิค แล้วแก้ WDigest ให้ Windows เก็บรหัสผ่านเป็นข้อความธรรมดา โชคดีที่ SOC จับได้ก่อนข้อมูลรั่ว