พบแฮกเกอร์ซ่อนมัลแวร์ไว้ในตัวติดตั้ง 7-Zip ด้วยเทคนิคเลี่ยงการตรวจจับแบบใหม่เอี่ยม

การแฝงมัลแวร์ไว้ในตัวติดตั้งซอฟต์แวร์ หรือ Installer นั้นเป็นวิธีการที่เห็นได้กันทั่วไป ดังนั้น การจะอยู่ ๆ แฝงสอดไส้แบบเดิม ๆ เหล่าเครื่องมือต่อต้านมัลแวร์ก็จะสามารถตรวจจับได้อย่างง่ายดาย ดังนั้นแฮกเกอร์จึงได้พัฒนาวิธีการมากมายเพื่อให้มัลแวร์ในตัวติดตั้งสามารถเลี่ยงการถูกตรวจจับได้ อย่างเช่นกรณีนี้

จากรายงานโดยเว็บไซต์ Cyber Security News ได้กล่าวถึงการตรวจพบเทคนิคการซ่อนไฟล์มัลแวร์นกต่อ (Loader) ไว้ในไฟล์ติดตั้งเครื่องมือบีบอัดไฟล์ชื่อดัง 7-Zip ในแบบที่สามารถหลบเลี่ยงการถูกตรวจจับได้ด้วยการซ่อนโค้ดแบบคลายตัวเองได้ หรือ Self-Extraction ที่คล้ายคลึงกับเทคนิคของมัลแวร์ OpenSUpdater ที่มีการซ่อนตัวติดตั้งซอฟต์แวร์ฟังเพลงชื่อดัง foobar2000 installer ไว้ภายในแพ็กเกจแบบคลายไฟล์ได้เอง เพื่อล่อลวงให้ผู้ใช้งานคิดว่าเป็นแพ็กเกจทั่วไปที่มีประโยชน์จากการใช้งานใบอนุญาต (Certificate) แต่ในรูปแบบล่าสุดนี้ร้ายกาจกว่าเพราะอันตรายนั้นอยู่ภายในโค้ดที่ใช้คลายไฟล์โดยตรง (Extraction Code)

ภาพจาก : https://cybersecuritynews.com/malware-inside-7-zip-installers/

โดยในแคมเปญนี้นั้น ตัวติดตั้งแบบแยกไฟล์ได้เอง (Self-Extracting Installer) ของ 7-Zip จะทำการแตกไฟล์และรันไฟล์ที่ถูกเลือกไว้ตามการตั้งค่า (Configuration) ของตัวไฟล์ติดตั้ง ซึ่งกลไกดังกล่าวนั้นถูกนำมาใช้ในแคมเปญนี้ด้วยการทำการสร้างตัวติดตั้ง (Installer) ขึ้นมาใหม่พร้อมแทรกโค้ดให้ตัวสั่งการทำการเรียกใช้งานมัลแวร์ Loader ก่อนที่จะแสดงความคืบหน้าในการติดตั้ง (Installation Progress Bar) ของตัวซอฟต์แวร์ปกติที่ถูกนำมาใช้บังหน้า โดยจุดเริ่มต้น (Starting Point), ข้อความ (Text) และฟังก์ชันที่ถูกอิมพอร์ต (Imported Functions) จะคล้ายคลึงกับองค์ประกอบ (Component) ตามปกติ ซึ่งการแทรกโค้ดคลายไฟล์มัลแวร์นั้นจะเป็นการแทรกไว้กลางโค้ดของรูทีนคลายไฟล์ (Extraction Routine) แทนที่จะแทรกไว้ที่จุดเริ่มต้น (Entry Point) ทำให้สังเกตได้ยาก

ตัวโค้ดมัลแวร์ที่ถูกคลายออกมาจะทำการดึงข้อมูลสำหรับการติดต่อกับเซิร์ฟเวอร์ควบคุม (C2 หรือ Command and Control) ซึ่งถูกพรางไว้และลงทะเบียนด้วยลำดับของไบต์ (Byte Sequence) แบบเฉพาะตัว แล้วไลบรารีเครือข่าย (Network Library) จะทำการติดต่อกับเซิร์ฟเวอร์ดังกล่าวเพื่อดาวน์โหลดไฟล์ DLL ของมัลแวร์ และ Data Blob แบบเข้ารหัส (Encrypted) ซึ่งจะเปิดทางให้แฮกเกอร์ที่อยู่เบื้องหลังสามารถทยอยส่งโค้ดเพิ่มเติมเข้ามาได้โดยง่าย จากนั้นตัว Loader ก็จะค่อย ๆ ทยอยดาวน์โหลดมัลแวร์ตัวจริง (Payload) ลงมา โดยเริ่มจากองค์ประกอบ (Component) และตามมาด้วยฟังก์ชัน เพื่อใช้ถอดรหัสตัว Blob ข้อมูลดังกล่าว หลังจากนั้นตัว Loader ก็จะทำการโหลดไฟล์ DLL ลงไปยังหน่วยความจำ (Memory) และเรียกใช้ฟังก์ชันอื่นซึ่งทางทีมวิจัยคาดว่าเป็นการใช้งานเพื่อเริ่มใช้งาน Payload ตัวสุดท้าย

ทว่าทางทีมวิจัยไม่สามารถกู้คืน Component ที่ถูกระบุไว้ข้างต้นขึ้นมาได้ ทำให้ไม่สามารถยืนยันพฤติกรรมการทำงานของ Payload ที่ชัดเจนได้อย่างชัดเจนนักว่ามีการทำงานอย่างไร