มีการแสดงให้เห็นถึงช่องโหว่การยกระดับสิทธิ์ใน Windows Server 2025 ที่ทำให้ผู้โจมตีสามารถเข้าควบคุมบัญชีของผู้ใช้ใด ๆ ก็ได้ใน Active Directory (AD) (more…)

รัฐบาลสหรัฐฯ ได้ฟ้อง Rustam Rafailevich Gallyamov ชาวรัสเซีย ซึ่งเป็นหัวหน้ากลุ่มปฏิบัติการ Qakbot botnet ซึ่งโจมตีคอมพิวเตอร์กว่า 700,000 เครื่อง และเป็นช่องทางให้เกิดการโจมตีด้วยแรนซัมแวร์

Gallyamov เริ่มพัฒนา Qakbot ตั้งแต่ปี 2008 และได้สร้างเครือข่ายคอมพิวเตอร์ที่ติดมัลแวร์จำนวนมาก ต่อมาได้มีการจัดตั้งทีมพัฒนาขึ้นเพื่อดูแล Qakbot โดยภายใต้การนำของเขา ยังมีการสร้างมัลแวร์ประเภทอื่น ๆ เพิ่มเติม

ตลอดเวลากว่า 10 ปี Gallyamov ใช้ Qakbot เป็น banking trojan ที่สามารถแพร่กระจายแบบ worm ได้, มี malware dropper หรือ backdoor ซึ่งสามารถบันทึกการกดแป้นพิมพ์ของผู้ใช้งานได้อีกด้วย

ตั้งแต่ปี 2019 Qakbot กลายเป็นช่องทางติดมัลแวร์ในเบื้องต้นของการโจมตีด้วยแรนซัมแวร์ของกลุ่มอาชญากรรมไซเบอร์ชื่อดังอย่าง Conti, REvil, Egregor, Doppelpaymer และอื่น ๆ โดย Gallyamov ถูกกล่าวหาว่าได้รับส่วนแบ่งจากค่าไถ่ที่เหยื่อจ่าย ซึ่งขึ้นอยู่กับข้อตกลงกับแต่ละกลุ่มแรนซัมแวร์

(more…)

พบ browser extensions อันตรายกว่า 100 รายการบน Google Chrome Web Store ซึ่งปลอมแปลงเป็น VPNs, AI assistants และ crypto utilities เพื่อขโมย browser cookies และเรียกใช้ scripts จากระยะไกล

(more…)

นักวิจัยด้านความปลอดภัยทางไซเบอร์ได้ค้นพบแพ็กเกจอันตรายซึ่งถูกอัปโหลดขึ้นไปยัง Python Package Index (PyPI) repository ซึ่งทำหน้าที่เป็นเครื่องมือตรวจสอบ เพื่อยืนยันความถูกต้องของ email addresses ที่ถูกขโมยมาว่าสามารถใช้งานกับ API ของ TikTok และ Instagram ได้หรือไม่

ปัจจุบันแพ็กเกจทั้งสามรายการนี้ ไม่สามารถดาวน์โหลดได้บน PyPI แล้ว โดยชื่อของแพ็กเกจ Python มีดังต่อไปนี้ :

checker-SaGaF (ดาวน์โหลด 2,605 ครั้ง)
steinlurks (ดาวน์โหลด 1,049 ครั้ง)
sinnercore (ดาวน์โหลด 3,300 ครั้ง)

Olivia Brown นักวิจัยของ Socket ระบุว่า "แพ็กเกจ 'checker-SaGaF' จะทำหน้าที่ในการตรวจสอบว่าอีเมลนั้นมีการเชื่อมโยงกับบัญชีของ TikTok และ Instagram หรือไม่"

โดยเฉพาะ แพ็กเกจนี้ถูกออกแบบมาเพื่อส่ง HTTP POST request ไปยัง API การกู้คืนรหัสผ่านของ TikTok และการเข้าสู่ระบบของ Instagram เพื่อตรวจสอบว่าอีเมลที่กรอกเข้าไปนั้นถูกต้องหรือไม่ ซึ่งหมายความว่ามีบัญชีที่ผูกกับอีเมลดังกล่าวนั้นอยู่จริง

Brown ระบุว่า "เมื่อแฮ็กเกอร์ได้ข้อมูลอีเมลมาแล้ว พวกเขาสามารถข่มขู่เหยื่อด้วยการเปิดเผยข้อมูลส่วนตัว หรือส่งสแปมโจมตีด้วย fake report เพื่อทำให้บัญชีถูกระงับ หรือแค่ยืนยันเป้าหมายก่อนที่จะเริ่มดำเนินการโจมตีด้วยเทคนิค credential stuffing หรือ password spraying"

"รายชื่อผู้ใช้งานที่ผ่านการตรวจสอบแล้วก็มักถูกนำไปขายต่อบน dark web เพื่อทำกำไรอีกด้วย แม้การรวบรวมรายชื่ออีเมลที่ยังใช้งานอยู่จะดูเหมือนไม่เป็นอันตราย แต่ข้อมูลเหล่านี้สามารถนำไปใช้ และเร่งกระบวนการโจมตีทั้งหมด อีกทั้งยังช่วยหลีกเลี่ยงการตรวจจับได้ ด้วยการมุ่งเป้าไปที่บัญชีที่ยืนยันแล้วว่ามีการใช้งานจริงเท่านั้น"

สำหรับแพ็กเกจที่สองชื่อว่า "steinlurks" ก็ใช้วิธีคล้ายกัน โดยมุ่งเป้าไปที่บัญชี Instagram ผ่านการส่ง HTTP POST request ปลอม โดยเลียนแบบแอป Instagram บน Android เพื่อหลบเลี่ยงการตรวจจับ ซึ่งแพ็กเกจนี้ใช้วิธีการเข้าถึง API ที่แตกต่างออกไป

i.instagram[.]com/api/v1/users/lookup/
i.instagram[.]com/api/v1/bloks/apps/com.

Mozilla ออกแพตซ์อัปเดตด้านความปลอดภัยเพื่อแก้ไขช่องโหว่ระดับ Critical 2 รายการ ในเบราว์เซอร์ของ Firefox ที่อาจถูกใช้ในการเข้าถึงข้อมูลสำคัญ หรือเรียกใช้โค้ดที่เป็นอันตรายบนระบบของเหยื่อได้

ช่องโหว่ทั้งสองรายการนี้ ถูกใช้ในการโจมตีแบบ Zero-Day ในงาน Pwn2Own Berlin โดยมีรายละเอียดดังนี้ :

CVE-2025-4918 – ช่องโหว่ Out-of-bounds access ขณะประมวลผล Promise objects ที่อาจทำให้ผู้โจมตีสามารถอ่าน หรือเขียนข้อมูลบน JavaScript Promise object ได้
CVE-2025-4919 – ช่องโหว่ Out-of-bounds access ในขณะที่ทำการปรับปรุงประสิทธิภาพของ Optimizing linear sums ที่อาจทำให้ผู้โจมตีสามารถอ่าน หรือเขียนข้อมูลบน JavaScript object ได้ โดยการทำให้ Array index sizes เกิดความสับสน

การโจมตีที่ประสบความสำเร็จโดยอาศัยช่องโหว่ใดช่องโหว่หนึ่ง อาจทำให้ผู้ไม่หวังดีสามารถอ่าน หรือเขียนข้อมูล Out-of-bounds ของหน่วยความจำได้ ซึ่งสามารถนำไปใช้ในการเข้าถึงข้อมูลสำคัญที่ปกติไม่สามารถเข้าถึงได้ หรือทำให้เกิดการเสียหายของหน่วยความจำ (memory corruption) ที่อาจนำไปสู่การเรียกใช้โค้ดที่เป็นอันตรายบนระบบได้

ช่องโหว่ดังกล่าว ส่งผลกระทบต่อเบราว์เซอร์ Firefox ในเวอร์ชันดังต่อไปนี้ :

Firefox ทุกเวอร์ชันก่อนหน้า 138.0.4 (รวมถึง Firefox สำหรับ Android ด้วย)
Firefox Extended Support Release (ESR) ทุกเวอร์ชันก่อนหน้า 128.10.1
Firefox ESR ทุกเวอร์ชันก่อนหน้า 115.23.1

Edouard Bochin และ Tao Yan จากบริษัท Palo Alto Networks ได้รับเครดิตในการค้นพบ และรายงานช่องโหว่ CVE-2025-4918 ส่วนการค้นพบช่องโหว่ CVE-2025-4919 นั้นเป็นผลงานของ Manfred Paul

ช่องโหว่ทั้งสองรายการนี้ ได้ถูกนำมาสาธิตการโจมตีในงานแข่งแฮ็กเกอร์ Pwn2Own Berlin เมื่อสัปดาห์ที่ผ่านมา ซึ่งผู้ค้นพบช่องโหว่แต่ละคนจะได้รับเงินรางวัล 50,000 ดอลลาร์สหรัฐ

เนื่องจากเว็บเบราว์เซอร์ยังคงเป็นช่องทางยอดนิยมในการแพร่กระจายมัลแวร์ ผู้ใช้งานจึงควรอัปเดตเบราว์เซอร์ให้เป็นเวอร์ชันล่าสุด เพื่อป้องกันภัยคุกคามที่อาจเกิดขึ้นได้

Mozilla ระบุว่า “ไม่มีการโจมตีใดสามารถ break out ออกจาก sandbox ได้ ซึ่งเป็นสิ่งสำคัญในการควบคุมระบบของผู้ใช้ ถึงแม้ว่าผลกระทบจากการโจมตีครั้งนี้จะถูกจำกัด แต่ Mozilla ก็แนะนำให้ผู้ใช้งาน และผู้ดูแลระบบทุกคนให้ทำการอัปเดต Firefox โดยเร็วที่สุด"

ที่มา : thehackernews.

Google ได้ประกาศเปิดตัวฟีเจอร์ใหม่ในเบราว์เซอร์ Chrome ซึ่งช่วยให้ built-in Password Manager สามารถเปลี่ยนรหัสผ่านของผู้ใช้ได้โดยอัตโนมัติเมื่อตรวจพบว่าข้อมูล credentials ถูก compromised

Ashima Arora, Chirag Desai และ Eiji Kitamura จาก Google รายงานว่า "เมื่อ Chrome ตรวจพบรหัสผ่านที่ถูกละเมิด ถูกนำมาใช้ในระหว่างการลงชื่อเข้าใช้ Google Password Manager จะมีการแจ้งให้ผู้ใช้ให้เลือกวิธีแก้ไขโดยอัตโนมัติ รวมถึงสามารถสร้างรหัสผ่านใหม่ที่คาดเดาได้ยาก และอัปเดตรหัสผ่านให้กับผู้ใช้โดยอัตโนมัติบนเว็บไซต์ที่รองรับบน Chrome

ฟีเจอร์นี้พัฒนาขึ้นจากความสามารถเดิมของ Password Manager เพื่อสร้างรหัสผ่านที่ปลอดภัยระหว่างการลงทะเบียน และทำการแจ้งเตือนผู้ใช้เมื่อตรวจสอบพบว่ารหัสผ่าน หรือข้อมูลถูกละเมิด

Google ระบุว่า เป้าหมายของฟีเจอร์การเปลี่ยนรหัสผ่านโดยอัตโนมัติ เพื่อช่วยลดความยุ่งยาก และช่วยให้ผู้ใช้สามารถรักษาความปลอดภัยของบัญชีได้โดยไม่ต้องค้นหาการตั้งค่าบัญชีที่เกี่ยวข้อง หรือหยุดไประหว่างดำเนินการ

เจ้าของบัญชีสามารถดำเนินการเพื่อใช้ฟีเจอร์ได้โดยวิธีดังต่อไปนี้

ใช้ autocomplete="current-password" และ autocomplete="new-password" เพื่อเรียกใช้ autofill และ storage
ตั้งค่าเปลี่ยนเส้นทาง จาก <your-website-domain>/.well-known/change-password ไปยังหน้าฟอร์มเปลี่ยนรหัสผ่านของเว็บไซต์

Kitamura ระบุเพิ่มเติมว่า มันจะง่ายกว่ามากหากระบบจัดการรหัสผ่านสามารถนำทางผู้ใช้ไปยังหน้าสำหรับ change-password URL ซึ่งเป็นเหตุผลว่าทำไมการมี well-known URL สำหรับการเปลี่ยนรหัสผ่านจึงเป็นประโยชน์

การกำหนด well-known URL สำหรับเปลี่ยนเส้นทางผู้ใช้ไปที่หน้าสำหรับเปลี่ยนรหัสผ่าน เว็บไซต์จึงสามารถเปลี่ยนเส้นทางผู้ใช้ไปยังระบบที่ถูกต้องสำหรับการเปลี่ยนรหัสผ่านได้อย่างง่ายดาย

ฟีเจอร์นี้เปิดตัวในขณะที่หลายบริษัทกำลังเปลี่ยนไปใช้ Passkeys มากขึ้น ซึ่งเป็นทางเลือกที่ปลอดภัยกว่าการป้องกันบัญชีจากการโจมตีที่อาจเข้าควบคุมบัญชีได้ โดย Microsoft ระบุเมื่อต้นเดือนนี้ว่าได้ทำให้ Passkey เป็นวิธีเริ่มต้นสำหรับการสมัครบัญชีผู้ใช้ใหม่

 

ที่มา : thehackernews.

กลุ่มผู้โจมตีได้ดำเนินการแพร่กระจายโปรแกรม KeePass เวอร์ชันที่ถูกฝังมัลแวร์ (Trojanized versions) มาแล้วอย่างน้อย 8 เดือน โดยมีเป้าหมายเพื่อติดตั้ง Cobalt Strike beacons, โจรกรรมข้อมูล Credentials และในท้ายที่สุดคือการติดตั้งแรนซัมแวร์ลงในระบบเครือข่ายที่เข้าถึงได้

ทีมข่าวกรองภัยภัยคุกคาม (Threat Intelligence) จาก WithSecure ได้ตรวจพบแคมเปญนี้ระหว่างการสืบสวนการโจมตีด้วยแรนซัมแวร์ โดยพบว่าการโจมตีเริ่มต้นจากโปรแกรมติดตั้ง KeePass ที่ถูกฝังมัลแวร์ผ่านการโฆษณาจาก Bing (Search Engine) ที่นำผู้ใช้งานไปยังเว็บไซต์ปลอม

เนื่องจาก KeePass เป็นซอฟท์แวร์แบบ Open-Source ผู้โจมตีจึงสามารถแก้ไข Source code และสร้างเวอร์ชันที่ฝังมัลแวร์เอาไว้ได้ ชื่อว่า KeeLoader ซึ่งมีฟังก์ชันการใช้งานตามรูปแบบปกติของโปรแกรมจัดการรหัสผ่าน แต่จะมี Cobalt Strike beacon ที่คอยดึงข้อมูลรหัสผ่านจากฐานข้อมูลในรูปแบบข้อความ (Cleartext) ก่อนจะส่งผ่านออกมาทาง Beacon

WithSecure ระบุว่า Cobalt Strike beacon ที่ถูกใช้ในแคมเปญนี้มีลักษณะรูปแบบการโจมตีเฉพาะ (Watermark) ที่เชื่อมโยงกับกลุ่ม Initial Access Broker (IAB) ที่เชื่อกันว่ามีความเกี่ยวข้องกับการโจมตีของกลุ่มแรนซัมแวร์ Black Basta ในอดีต

Cobalt Strike watermark คือรหัสเฉพาะที่ฝังอยู่ใน Beacon เพื่อตรวจสอบการสร้าง Payload

รายงานจาก WithSecure ระบุว่า "Watermark นี้จะถูกระบุในบริบทของ Beacons และ โดนเมนที่เกี่ยวข้องกับกลุ่มแรนซัมแวร์ Black Basta อยู่บ่อยครั้ง โดยมีความเป็นไปได้ว่าถูกใช้โดยกลุ่มผู้โจมตีในลักษณะ IAB ที่มีความร่วมมือใกล้ชิดกับกลุ่ม Black Basta"

"ถึงแม้ว่ายังไม่เคยพบเหตุการณ์ความเสียหาย (แรนซัมแวร์ หรืออื่น ๆ) ที่ใช้งาน Cobalt Strike beacon watermark นี้ ก็ไม่ได้หมายความว่าเหตุการณ์ดังกล่าวจะยังไม่เคยเกิดขึ้น"

นักวิจัยได้ค้นพบว่ามี KeeLoader หลายเวอร์ชันถูก signed ด้วย ceritficate ที่ถูกต้อง (Signed with Legitimate Certificates) และถูกเผยแพร่ผ่านโดเมนปลอมที่อาศัยช่องโหว่จากการพิมพ์ผิดบางตัวอักษร (Typo-Squatting) เช่น keeppaswrd[.]com, keegass[.]com และ KeePass[.]me

BleepingComputer ได้มีการยืนยันแล้วว่า เว็บไซต์ปลอม keeppaswrd[.]com ยังคงเปิดให้บริการดาวน์โหลดโปรแกรมติดตั้ง KeePass ที่ฝังมัลแวร์ไว้จนถึงปัจจุบัน อ้างอิง [VirusTotal]

โปรแกรม KeePass ปลอมนี้ ไม่ได้ถูกฝังเพียงมัลแวร์ Cobalt Strike beacons เท่านั้น แต่ยังติดตั้งโปรแกรมโจรกรรมรหัสผ่าน ซึ่งทำให้ผู้โจมตีสามารถโจรกรรมข้อมูล Credentials ที่ถูกกรอกเข้าสู่โปรแกรมได้อีกด้วย

จาก Report ของ WithSecure ยังระบุอีกว่า "KeeLoader ไม่ได้ถูกดัดแปลงให้ทำหน้าที่เป็นโปรแกรมตัวกลางสำหรับดาวน์โหลดมัลแวร์ (Malware Loader) เท่านั้น แต่ยังมีความสามารถในการโจรกรรม นำข้อมูลออกจากฐานของมูลของ KeePass ได้ด้วย"

"ซึ่งเมื่อผู้ใช้งานดำเนินการเข้าถึงฐานข้อมูลบน KeePass ข้อมูลชื่อบัญชี, ชื่อผู้ใช้งาน, รหัสผ่าน, เว็บไซต์ และข้อความที่บันทึกไว้ (Comment) จะถูกบันทึกออกมาเป็นไฟล์รูปแบบ CSV ซึ่งจะถูกเก็บไว้ชั่วคราวที่ %localappdata% นามสกุล .kp โดยมีตัวเลขที่สุ่มขึ้นในช่วงของ 100-999 กำกับไว้"

ในท้ายที่สุดแล้วนั้น จากการสืบสวนสอบสวนโดย WithSecure พบว่า แรนซัมแวร์สามารถเข้ารหัสเซิร์ฟเวอร์ VMware ESXi ของบริษัทได้

และจากข้อมูลการสืบสวนสอบสวนเพิ่มเติมในแคมเปญ ยังพบว่ามีการสร้างโครงสร้างพื้นฐานขนาดใหญ่ (Extensive Infrastructure) เพื่อใช้ในการปลอมแปลง และแพร่กระจายโปรแกรมที่ฝังมัลแวร์เหล่านี้ ผ่านเครื่องมือต่าง ๆ รวมทั้งหน้าเว็บไซต์ฟิชชิ่ง (Phishing) ที่ออกแบบมาเพื่อโจรกรรมข้อมูล Credentials อีกด้วย

ซึ่งหนึ่งในโดเมนที่ถูกใช้งานคือ anys[.]com ที่ถูกใช้เป็นโฮสต์สำหรับโดเมนย่อย (Subdomains) ในการปลอมเป็นเว็บไซต์ของบริษัทหรือบริการที่น่าเชื่อถือต่าง ๆ เช่น WinSCP, PumpFun, Phantom Wallet, Sallie Mae, Woodforest Bank และ DEX Screener

โดยแต่ละโดเมนย่อยนั้นจะถูกใช้เพื่อแพร่กระจายมัลแวร์หลากหลายชนิด หรือเพื่อโจรกรรมข้อมูล Credentials จากเหยื่อ

WithSecure ได้ระบุว่า กิจกรรมนี้มีความเชื่อมโยงกับกลุ่มผู้โจมตี UNC4696 ซึ่งเคยถูกระบุว่ามีส่วนเกี่ยวข้องกับการโจมตีผ่านหลายแคมเปญ Nitrogen Loader มาก่อน และแคมเปญของ Nitrogen ก็ยังมีความเชื่อมโยงกับกลุ่มแรนซัมแวร์ BlackCat/ALPHV อีกด้วย

คำแนะนำ

ดาวน์โหลดซอฟต์แวร์จากเว็บไซต์ที่เป็นทางการ หรือแหล่งที่น่าเชื่อถือเท่านั้น โดยเฉพาะอย่างยิ่งซอฟต์แวร์ที่เกี่ยวข้องกับข้อมูลที่มีความสำคัญ เช่น Password Manager
หลีกเลี่ยงการคลิกลิงก์จากโฆษณา ถึงแม้ว่าโฆษณาดูเหมือนจะแสดง URL ที่ถูกต้องก็ตาม เนื่องจากผู้โจมตีสามารถหลบเลี่ยงนโยบายของแพลตฟอร์มโฆษณา และเปลี่ยนปลายทาง (Redirect) ไปยังเว็บไซต์ปลอมได้

 

ที่มา: bleepingcomputer.

เครื่องมือใหม่ที่ชื่อว่า 'Defendnot' สามารถปิดการทำงานของ Microsoft Defender บนอุปกรณ์ Windows ได้ โดยการลงทะเบียนโปรแกรม Antivirus ปลอม แม้ว่าจะไม่มี Antivirus จริงติดตั้งอยู่ก็ตาม

เทคนิคนี้ใช้ประโยชน์จาก API ของ Windows Security Center (WSC) ที่ไม่ได้มีการเปิดเผยทางเอกสาร โดยปกติแล้ว Antivirus จะใช้เพื่อแจ้งให้ Windows ทราบว่ามีการติดตั้งแล้ว และกำลังจัดการการป้องกันแบบ Real-time สำหรับอุปกรณ์นั้น

เมื่อมีการลงทะเบียนโปรแกรม Antivirus ปลอมแล้ว ระบบของ Windows จะปิดการทำงานของ Microsoft Defender โดยอัตโนมัติ เพื่อหลีกเลี่ยงความขัดแย้งจากการที่มีแอปพลิเคชันรักษาความปลอดภัยหลายตัวบนอุปกรณ์เดียวกัน

เครื่องมือ Defendnot ที่ถูกสร้างโดยนักวิจัยที่ชื่อว่า es3n1n ใช้ช่องโหว่ของ API ดังกล่าว โดยทำการลงทะเบียนผลิตภัณฑ์ Antivirus ปลอมที่ผ่านการตรวจสอบความถูกต้องของ Windows ได้ทั้งหมด

เครื่องมือนี้มีพื้นฐานมาจากโปรเจกต์ก่อนหน้านี้ที่ชื่อว่า no-defender ซึ่งใช้โค้ดจากโปรแกรม Antivirus ของ third-party อื่น เพื่อปลอมแปลงการลงทะเบียนกับ WSC (Windows Security Center) อย่างไรก็ตาม เครื่องมือเวอร์ชั่นก่อนหน้านั้นถูกลบออกจาก GitHub หลังจากที่ผู้พัฒนา Antivirus รายนั้น ได้ยื่นคำร้องขอลบตามกฎหมาย DMCA (แจ้งให้ลบเนื้อหาเนื่องจากละเมิดลิขสิทธิ์)

นักพัฒนา ระบุไว้ใน blog post ว่า "หลังจากเปิดตัวไปไม่กี่สัปดาห์ โปรเจกต์นี้ก็ได้รับความสนใจอย่างมาก และได้รับดาว (stars) บน GitHub ไปประมาณ 1,500 ดวง หลังจากนั้น นักพัฒนาโปรแกรม Antivirus ที่ถูกใช้ ได้ยื่นคำร้องขอลบตามกฎหมาย DMCA และตัวเขาก็ไม่อยากจะไปยุ่งเกี่ยวกับเรื่องนั้นอีก ก็เลยลบทุกอย่างทิ้งแล้วก็จบเรื่องไป"

Defendnot หลีกเลี่ยงปัญหาลิขสิทธิ์ด้วยการสร้างฟังก์ชันการทำงานขึ้นมาใหม่ทั้งหมดผ่านไฟล์ DLL ของโปรแกรม Antivirus ปลอม

โดยปกติแล้ว WSC API จะได้รับการป้องกันผ่านระบบ Protected Process Light (PPL), digital signatures ที่ถูกต้อง และคุณสมบัติอื่น ๆ

เพื่อหลีกเลี่ยงข้อกำหนดเหล่านี้ Defendnot จะทำการแทรกไฟล์ DLL ของตนเองเข้าไปยังโปรเซสของระบบที่ชื่อว่า Taskmgr.

นักวิจัยด้านความปลอดภัยทางไซเบอร์ได้ออกมาเตือนถึงมัลแวร์ botnet ตัวใหม่ที่ชื่อ HTTPBot ซึ่งถูกใช้เพื่อมุ่งเป้าโจมตีไปที่อุตสาหกรรมเกม รวมถึงบริษัทเทคโนโลยี และสถาบันการศึกษาในประเทศจีน

NSFOCUS ระบุว่า “ในช่วงหลายเดือนที่ผ่านมา HTTPBot ได้ขยายตัวอย่างรวดเร็ว โดยใช้อุปกรณ์ที่ติดมัลแวร์เป็นฐานในการโจมตีระบบภายนอกอย่างต่อเนื่อง และใช้การโจมตีแบบ simulated HTTP Flood ที่มาพร้อมกับเทคนิคการ obfuscation ทำให้สามารถหลบหลีกระบบตรวจจับแบบ rule-based ได้”

HTTPBot ถูกพบครั้งแรกในเดือนสิงหาคม 2024 โดยได้รับชื่อจากการใช้โปรโตคอล HTTP ในการโจมตีแบบ DDoS (Distributed Denial-of-Service) โดยมัลแวร์ตัวนี้ถูกเขียนด้วยภาษา Golang ซึ่งถือเป็นเรื่องที่ค่อนข้างผิดปกติ เนื่องจากเป้าหมายหลักเป็นระบบปฏิบัติการ Windows

Botnet trojan ที่ทำงานบนระบบ Windows ตัวนี้ ถูกใช้ในการโจมตีเป้าหมายแบบเฉพาะเจาะจงอย่างแม่นยำ โดยมุ่งเป้าไปที่ business interfaces ที่มีมูลค่าสูง เช่น ระบบการล็อกอินเกม และระบบการชำระเงิน

บริษัทที่มีสำนักงานใหญ่ในปักกิ่ง ระบุว่า “การโจมตีที่มีความแม่นยำสูงนี้ ก่อให้เกิดภัยคุกคามต่ออุตสาหกรรมที่ต้องพึ่งพาการโต้ตอบแบบเรียลไทม์ นอกจากนี้ HTTPBot ถือเป็นจุดเปลี่ยนแนวทางของการโจมตีแบบ DDoS โดยจากเดิมที่จะเน้นการใช้ทราฟฟิกโจมตีแบบไม่ระบุเป้าหมาย (indiscriminate traffic suppression) ไปสู่การโจมตีจุดสำคัญของธุรกิจอย่างแม่นยำ (high-precision business strangulation)”

มีการคาดการณ์ว่า HTTPBot ถูกใช้ในการโจมตีไปแล้วไม่น้อยกว่า 200 ครั้ง นับตั้งแต่ต้นเดือนเมษายน 2025 ที่ผ่านมา โดยการโจมตีเหล่านี้มุ่งเป้าไปที่ อุตสาหกรรมเกม, บริษัทเทคโนโลยี, สถาบันการศึกษา และเว็บไซต์ด้านการท่องเที่ยวในประเทศจีน

เมื่อมัลแวร์ถูกติดตั้ง และเริ่มทำงาน มัลแวร์จะซ่อน graphical user interface (GUI) ของตัวเอง เพื่อหลีกเลี่ยงการถูกตรวจสอบจากทั้งผู้ใช้งาน และเครื่องมือรักษาความปลอดภัย โดยมีเป้าหมายเพื่อเพิ่มความสามารถในการแอบแฝงเพื่อการโจมตี นอกจากนี้มัลแวร์ยังใช้วิธีการปรับแต่ง Windows Registry โดยไม่ได้รับอนุญาต เพื่อให้สามารถทำงานได้โดยอัตโนมัติทุกครั้งที่ระบบเริ่มทำงาน

จากนั้น botnet ตัวนี้จะดำเนินการเชื่อมต่อกับเซิร์ฟเวอร์ command-and-control (C2) เพื่อรอรับคำสั่งเพิ่มเติมในการดำเนินการโจมตีแบบ HTTP flood ซึ่งจะทำโดยการส่ง HTTP request ปริมาณมหาศาลไปยังเป้าหมายที่กำหนดไว้ นอกจากนี้ HTTPBot ยังรองรับโมดูลการโจมตีหลากหลายรูปแบบ โดยมีรายละเอียดดังต่อไปนี้ :

BrowserAttack: เป็นการโจมตีที่ใช้ instances ของ Google Chrome ที่ซ่อนอยู่ เพื่อเลียนแบบ traffic ให้ดูเหมือนถูกต้องตามปกติ ขณะเดียวกันก็จะดึงทรัพยากรของเซิร์ฟเวอร์ไปใช้ทั้งหมด
HttpAutoAttack: เป็นการโจมตีที่ใช้ คุกกี้ (Cookies-based) เพื่อจำลองเซสชันให้ดูเหมือนเป็นของผู้ใช้จริงมากที่สุด
HttpFpDlAttack: เป็นการโจมตีที่ใช้โปรโตคอล HTTP/2 ที่มีประสิทธิภาพสูงกว่ารุ่นเก่า (HTTP/1.1) ที่พยายามมุ่งเน้นในการเพิ่มภาระของ CPU loader บนเซิร์ฟเวอร์ โดยบังคับให้เซิร์ฟเวอร์ตอบสนองด้วยข้อมูลขนาดใหญ่กลับมา
WebSocketAttack: เป็นการโจมตีที่ใช้โปรโตคอล "ws://" และ "wss://" เพื่อสร้างการเชื่อมต่อแบบ WebSocket กับเป้าหมาย
PostAttack: เป็นการโจมตีที่ใช้ HTTP POST request อย่างต่อเนื่องเพื่อส่งข้อมูลเข้าสู่เซิร์ฟเวอร์เป้าหมาย
CookieAttack: เป็นการโจมตีที่เพิ่ม cookie processing flow เข้าไปในวิธีการโจมตีแบบ BrowserAttack เพื่อเพิ่มความซับซ้อน และความสมจริงในการจำลอง traffic

NSFOCUS ระบุเพิ่มเติมว่า "โดยทั่วไปแล้ว ตระกูล DDoS Botnet มักจะรวมกลุ่มกันอยู่บนแพลตฟอร์ม Linux และอุปกรณ์ IoT อย่างไรก็ตาม ตระกูล HTTPBot Botnet กลับมุ่งเป้าไปที่ระบบปฏิบัติการ Windows โดยเฉพาะ"

"ด้วยการจำลอง protocol layers อย่างลึกซึ้ง และเลียนแบบพฤติกรรมของเบราว์เซอร์จริง HTTPBot จึงสามารถหลบเลี่ยงระบบป้องกันที่อาศัย protocol integrity ได้ นอกจากนี้มันยังเข้าควบคุมทรัพยากรเซสชันของเซิร์ฟเวอร์อย่างต่อเนื่อง ผ่าน URL paths ที่สุ่มขึ้นมา และกลไก cookie replenishment แทนที่จะอาศัยแค่ปริมาณทราฟฟิกจำนวนมากเพียงอย่างเดียว"

ที่มา : thehackernews.

ในวันแรกของการแข่งขัน Pwn2Own Berlin 2025 นักวิจัยด้านความปลอดภัยได้รับรางวัล 260,000 เหรียญสหรัฐ หลังจากประสบความสำเร็จในการสาธิตการโจมตีช่องโหว่แบบ zero-day สำหรับ Windows 11, Red Hat Linux และ Oracle VirtualBox

Red Hat Enterprise Linux สำหรับ Workstations เป็นระบบแรกที่ถูกโจมตีสำเร็จในหมวดการยกระดับสิทธิ์บนเครื่อง โดยทีมวิจัย DEVCORE ที่ใช้ชื่อว่า Pumpkin ได้ใช้ช่องโหว่ประเภท integer overflow เพื่อโจมตี และรับเงินรางวัล 20,000 ดอลลาร์

โดย Hyunwoo Kim และ Wongi Lee ก็สามารถเข้าถึงสิทธิ์ root บนอุปกรณ์ Red Hat Linux ได้เช่นกัน ซึ่งใช้การโจมตีแบบ use-after-free ร่วมกับช่องโหว่ information leak แต่หนึ่งในช่องโหว่ที่ใช้ในการโจมตีนั้นเป็นช่องโหว่ N-day

จากนั้น Chen Le Qi จาก STARLabs SG ได้รับรางวัล 30,000 ดอลลาร์สหรัฐ จากการนำเสนอการโจมตีแบบผสมผสาน โดยใช้ช่องโหว่ use-after-free ร่วมกับ integer overflow เพื่อยกระดับสิทธิ์เป็น SYSTEM บนระบบ Windows 11

Windows 11 ถูกโจมตีอีกสองครั้งเพื่อให้ได้สิทธิ์ระดับ SYSTEM โดย Marcin Wiązowski ใช้ช่องโหว่ out-of-bounds write และในส่วนของ Hyeonjin Choi ได้สาธิตช่องโหว่ type confusion แบบ zero-day

ทีม Prison Break ได้รับเงินรางวัล 40,000 ดอลลาร์ หลังจากสาธิตการโจมตีที่ใช้ช่องโหว่ integer overflow เพื่อ escape ออกจาก Oracle VirtualBox และรันโค้ดบนระบบปฏิบัติการได้สำเร็จ

Sina Kheirkhah จาก Summoning Team ได้รับรางวัลอีก 35,000 ดอลลาร์สหรัฐ จากการโจมตีแบบ zero-day บน Chroma ร่วมกับการใช้ช่องโหว่ที่เป็นที่รู้จักอยู่แล้วใน Triton Inference Server ของ Nvidia ในขณะที่ Billy และ Ramdhan จาก STARLabs SG ได้รับเงินรางวัล 60,000 ดอลลาร์ หลังจากสามารถโจมตีผ่าน Docker Desktop และรันโค้ดบนระบบปฏิบัติการได้ โดยใช้ช่องโหว่ use-after-free แบบ zero-day

การแข่งขันแฮ็กในงาน Pwn2Own Berlin 2025 มุ่งเน้นไปที่เทคโนโลยีระดับองค์กร และหมวดหมู่ AI จัดขึ้นที่กรุงเบอร์ลินระหว่างวันที่ 15 ถึง 17 พฤษภาคม ภายในงานประชุม OffensiveCon

ในวันที่สองของการแข่งขัน นักวิจัยด้านความปลอดภัยจะพยายามเจาะระบบด้วยช่องโหว่แบบ zero-day บน Microsoft SharePoint, VMware ESXi, Mozilla Firefox, Red Hat Enterprise Linux for Workstations และ Oracle VirtualBox

หลังจากมีการสาธิต และเปิดเผยช่องโหว่ zero-day ภายในงาน Pwn2Own แล้ว vendors มีเวลา 90 วันในการออกแพตช์ หรืออัปเดตความปลอดภัยเพื่อแก้ไขช่องโหว่ใน products ซอฟต์แวร์ และฮาร์ดแวร์ของตน

ผู้เข้าแข่งขัน Pwn2Own จะมุ่งเป้าโจมตีไปที่ products ที่มีการอัปเดตแบบ fully patched ในหมวดต่าง ๆ เช่น AI, web browser, virtualization, local privilege escalation, servers, enterprise applications, cloud-native/container และ automotive categories ซึ่งจะมีเงินรางวัลมูลค่ากว่า 1,000,000 ดอลลาร์สหรัฐ

อย่างไรก็ตาม ในขณะที่ Tesla Model 3 ปี 2024 และ Tesla Model Y ปี 2025 (เวอร์ชั่น bench-top) ถูกกำหนดไว้เป็นเป้าหมายในการแข่งขันด้วย แต่จนถึงเริ่มการแข่งขันยังไม่มีผู้ใดที่มาลงทะเบียนโจมตีเป้าหมายเหล่านี้เลย

 

ที่มา : bleepingcomputer.