พบ AxLocker Ransomware มีความสามารถในการขโมยบัญชี Discord ของเหยื่อ !! 

พบ Ransomware ใหม่ ที่เรียกว่า “AxLocker Ransomware”

นักวิจัยพบ Ransomware ใหม่ ที่เรียกว่า “AxLocker Ransomware” มีความสามารถในการเข้ารหัสไฟล์ของเหยื่อและเรียกค่าไถ่ รวมถึงการขโมยบัญชี Discord ของเครื่องผู้ใช้ที่ติดไวรัสอีกด้วย  
เมื่อผู้ใช้ทำการเข้าสู่ระบบ Discord แพลตฟอร์มจะส่ง Token การตรวจสอบสิทธิ์ผู้ใช้ เนื่องจาก Token นี้ 
ใช้ในการเข้าสู่ระบบของฐานะผู้ใช้หรือเรียกคำขอ API เพื่อทำการดึงข้อมูลที่เกี่ยวข้องกับบัญชีผู้ใช้  
ซึ่งผู้ไม่ประสงค์ดีมักจะขโมย Token ดังกล่าวเพราะทำให้สามารถเข้าควบคุมบัญชีของผู้ใช้ได้หรือใช้ในการโจมตีรูปแบบอื่นๆ 

เมื่อเริ่มการโจมตีผู้ไม่ประสงค์ดีจะกำหนดเป้าหมายไปยังนามสกุลไฟล์บางไฟล์ ซึ่งไม่รวมโฟลเดอร์เฉพาะ 
ที่แสดงในภาพด้านล่าง 

ไฟล์เป้าหมาย (ซ้าย) และไดเร็กทอรีที่ยกเว้น (ขวา) 

AXLocker ได้ใช้อัลกอริทึม AES เพื่อเข้ารหัสไฟล์ของเหยื่อ จากนั้นจะทำการส่ง ID ของเหยื่อ, รายละเอียดระบบ (System Details), ข้อมูลที่เก็บไว้ในเบราว์เซอร์ และ Tokens ของ Discord ไปยัง Discord ของผู้ไม่ประสงค์ดี โดยใช้ Webhook URL  

ในการขโมย Token ผู้ไม่ประสงค์ดีได้กำหนดเป้าหมายไปยังไดเร็กทอรีต่อไปนี้ : 

• Discord\Local Storage\leveldb 
• discordcanary\Local Storage\leveldb 
• discordptb\leveldb 
• Opera Software\Opera Stable\Local Storage\leveldb 
• Google\Chrome\User Data\\Default\Local Storage\leveldb 

• BraveSoftware\Brave-Browser\User Data\Default\Local Storage\leveldb 
• Yandex\YandexBrowser\User Data\Default\Local Storage\leveldb 

ฟังก์ชัน Grab ของ AxLocker Ransomware 

AXLocker จะแสดงหน้าต่างป๊อปอัปที่มีข้อความเรียกค่าไถ่ โดยให้คำแนะนำกับเหยื่อในการติดต่อ 
ผู้ไม่ประสงค์ดี เพื่อกู้คืนไฟล์ที่เข้ารหัส ซึ่งมีเวลา 48 ชั่วโมงในการติดต่อและไม่มีการระบุจำนวนเงินค่าไถ่ 

ไฟล์เรียกค่าไถ่ของ AXLocker Ransomware 

IOCs 

คำแนะนำ 

• หากพบการโจมตีจาก AXLocker Ransomware ควรเปลี่ยนรหัสผ่าน Discord ทันที เนื่องจากจะทำให้ Token ที่ขโมยไปไม่สามารถใช้ได้ 
• ติดตั้ง Endpoint และ Update Signature ก่อนทำการ Full-Scan อย่างน้อย 1 ครั้งต่อสัปดาห์ 
• หมั่นทำการตรวจสอบเวอร์ชันอยู่เสมอ และรีบทำการอัปเดตแพตซ์ให้เป็นเวอร์ชันล่าสุด 

• ทำการสำรองข้อมูล (Backup) เป็นประจำ 

Ref : https://www.bleepingcomputer.com/news/security/new-axlocker-ransomware-encrypts-files-then-steals-your-discord-account/ 

Ref IOCs : https://blog.cyble.com/2022/11/18/axlocker-octocrypt-and-alice-leading-a-new-wave-of-ransomware-campaigns/