เป็นเหตุการณ์ที่เกิดขึ้นจากลูกค้าที่ใช้อุปกรณ์ SRAN จึงขอนำมาเป็นบทวิเคราะห์ เพื่อเป็นกรณีศึกษาต่อไป
ทางบริษัทได้ติดตั้งอุปกรณ์ SRAN มาใช้เป็นระยะหนึ่งแล้ว พบเหตุการณ์ดังนี้
“รบกวนช่วยตรวจสอบให้ด้วย ว่าทำไมอยู่ดีๆ จึงมีข้อความจาก msn ส่งมาให้ว่า “http://aun_117.very.c0o0lthing.info”
จากคนที่เราไม่ได้ chat ด้วย และเจ้าของ user ก็ไม่ได้ส่งมา”
รูปที่ 1 อุปกรณ์ SRAN Security Center ที่ติดตั้งใน Site ลูกค้าที่ติดต่อเรื่องนี้มาซึ่งเป็นอุปกรณ์ในรุ่นเล็ก SR-S
เมื่อทีมงาน SRAN ได้เข้าไปดู Log จากอุปกรณ์ ซึ่งสามารถดูผ่าน HTTPS ได้ จึงพบว่า
ในกรณีที่ว่าเกิดขึ้นกับ MSN User ตาม Payload ที่โชว์ใน RAW Data บนอุปกรณ์ SRAN อาจมีความเสี่ยงที่ติด Malware ที่มากับเว็บไซด์ http://very.c0o0lthing.info/ ซึ่งเป็นการหลอกถาม Password ของ MSN ที่ตนเองใช้อยู่ ทำให้ msn ส่งข้อความมาตาม contact list ให้หลอกไปเข้าเว็บ http://very.c0o0lthing.info/ เพื่อที่ขยายโปรแกรม Malware ต่อไป
เป็นปัญหา MSN Malware ทั่วไปที่เจอในขณะนี้
จึงขอนำ Data Payload มาไว้ในการวิเคราะห์ดังนี้
รูปที่ 2 เป็นหน้าจอในการวิเคราะห์ข้อมูลบนตัวอุปกรณ์ SRAN ส่วนบนสุดพบว่าเหตุการณ์การสนทนา MSN (Chat MSN Signature) ซึ่งอยู่ในหมวดหมู Policy Violation เป็นค่าตั้งต้นที่สามารถปรับแต่งได้ ซึ่งในที่นี้การเล่น MSN ในองค์กรเป็นเรื่องที่ทางผู้ดูแลระบบดูแล และออกกฏ (Policy) ห้ามเล่นในเวลาทำงาน
จากรูปที่ 2 เราพบว่าเครื่องลูกข่าย และเครื่องปลายทางติดต่อ
ตามห่วงโซ่เหตุการณ์ (Chain of Event) นั้นคือ Who
IP : 192.168.0.135 ที่ Port 57782 กำลังติดต่อไปที่ MSN Server ที่ IP 207.46.27.168 ที่ Port 1863
และ When คือเวลาที่แสดงพบเหตุการณ์นี้ ในวันที่ 30 เดือน เมษายน ปี 2551 เวลา 12:08
และ Why (How) เป็นการใช้งาน MSN เพื่อสนทนา ดูจาก Chat MSN Signature
รูปที่ 3 เป็นค่า Payload ซึ่งจะทำให้รู้ลักษณะการใช้งาน ตามห่วงโซ่เหตุการณ์ (Chain of Event) นั้นคือค่า What ทำให้เราทราบลักษณะการใช้งาน มี Massage จาก User MSN ให้เปิด URL ที่มี Malware ฝั่งอยู่
ภัยคุกคามสมัยใหม่ มักจะเล่นงานที่ User เป็นหลัก จึงควรพิจารณาให้ดีก่อนจะรับ files ใดๆ หรือ Link URL ใดจากบุคคลอื่น แม้กระทั้งเพื่อนที่เรารู้จัก
ข้อมูลที่เกี่ยวข้อง
ข้อมูลเพิ่มเติม การใช้ SRAN Security Center อย่างถูกต้อง
ความหมายของ Malware
“Malware คือความไม่ปกติทางโปรแกรมมิ่ง ที่สูญเสีย C (Confidentiality) I (Integrity) และ A (Availability) อย่างใดอย่างหนึ่ง หรือ ทั้งหมด จนทำให้เกิดเป็น Virus , Worm , Trojan , Spyware , Backdoor และ Rootkit”
ความหมายของ IM (Instant Messaging)
