นักวิจัยด้านความปลอดภัยทางไซเบอร์ พบแคมเปญฟิชชิงรูปแบบใหม่ที่ใช้ในการแพร่กระจายมัลแวร์ที่ชื่อว่า Horabot โดยมีเป้าหมายโจมตีผู้ใช้ระบบปฏิบัติการ Windows ในประเทศแถบละตินอเมริกา เช่น เม็กซิโก, กัวเตมาลา, โคลอมเบีย, เปรู, ชิลี และอาร์เจนตินา

Cara Lin นักวิจัยจาก Fortinet FortiGuard Labs ระบุว่า แคมเปญนี้ "ใช้การสร้างอีเมลปลอมที่แอบอ้างว่าเป็นใบแจ้งหนี้ หรือเอกสารทางการเงิน เพื่อหลอกล่อให้เหยื่อเปิดไฟล์แนบที่เป็นอันตราย ซึ่งสามารถขโมยข้อมูล credentials ของอีเมล, รายชื่อผู้ติดต่อ และติดตั้ง banking trojans ได้"

(more…)

กลุ่มผู้ไม่หวังดีที่รู้จักกันในชื่อ Earth Ammit ซึ่งเชื่อว่ามีความเกี่ยวข้องกับกลุ่ม APT ที่ใช้ภาษาจีน กำลังกลายเป็นภัยคุกคามที่สำคัญต่อภาคทางการทหาร และอุตสาหกรรมในเอเชียตะวันออก

กลุ่มนี้ได้วางแผนการโจมตีสองครั้งที่แตกต่างกัน คือ VENOM และ TIDRONE โดยมุ่งเป้าไปที่ประเทศไต้หวัน และเกาหลีใต้เป็นหลัก

โดยมุ่งเน้นไปที่การแทรกซึมเข้าสู่ระบบ โดยเฉพาะอย่างยิ่งในอุตสาหกรรมโดรน และการทหาร แสดงให้เห็นถึงเจตนาเชิงกลยุทธ์ในการโจมตีเป้าหมายที่มีมูลค่าสูง

(more…)

หน่วยงานความมั่นคงทางไซเบอร์ CISA กำลังให้ความสนใจต่อช่องโหว่ที่ค้นพบใน TeleMessage ซึ่งเป็นแอปพลิเคชันการส่งข้อความที่เพิ่งถูกใช้โดยอดีตที่ปรึกษาด้านความมั่นคงแห่งชาติของทรัมป์, Mike Waltz

ในช่วงเวลาสั้น ๆ ของ Waltz ในฐานะที่ปรึกษาด้านความมั่นคงแห่งชาติ มีเหตุการณ์ที่เกี่ยวข้องกับการใช้แอปพลิเคชันส่งข้อความถึง 2 ครั้ง ครั้งแรกคือ เหตุการณ์ที่รู้จักกันในชื่อ ‘Signalgate’ เมื่อเขาเพิ่มนักข่าวเข้าไปในกลุ่มแชท Signal โดยไม่ได้ตั้งใจที่มีบรรดาผู้นำด้านความมั่นคงแห่งชาติกำลังพูดคุยเกี่ยวกับการปฏิบัติการทางทหารที่กำลังจะเกิดขึ้นในเยเมน

หลังจากนั้น Waltz ถูกพบเห็นใช้แอปพลิเคชันที่ชื่อว่า TeleMessage Signal บนโทรศัพท์ของเขา ซึ่งทำให้เกิดข้อกังวลด้านความปลอดภัยอีกครั้ง

(more…)

Ivanti เมื่อวันอังคารที่ผ่านมาประกาศการปล่อยแพตช์สำหรับช่องโหว่ 3 รายการในผลิตภัณฑ์ของตน รวมถึงช่องโหว่ 2 รายการใน Endpoint Manager Mobile (EPMM) ที่ถูกโจมตีอย่างต่อเนื่อง

(more…)

ช่องโหว่ระดับ Critical ในระบบ SAP NetWeaver ที่เพิ่งถูกเปิดเผย กำลังถูกกลุ่มแฮ็กเกอร์ที่เกี่ยวข้องกับรัฐบาลจีนหลายกลุ่มใช้ในการโจมตีเครือข่ายของโครงสร้างพื้นฐานสำคัญในหลายประเทศ

(more…)

Twilio ปฏิเสธว่าระบบของบริษัทถูกเจาะ หลังมีแฮ็กเกอร์รายหนึ่งอ้างว่าครอบครองข้อมูลผู้ใช้ Steam กว่า 89 ล้านรายการ พร้อมรหัสยืนยันตัวตนแบบใช้ครั้งเดียว (One-Time Access Codes)

แฮ็กเกอร์ที่ใช้ชื่อ Machine1337 หรือ EnergyWeaponsUser เปิดเผยว่าได้ข้อมูลดังกล่าวมาจาก Steam และนำออกมาประกาศขายในราคา 5,000 ดอลลาร์

BleepingComputer ตรวจสอบไฟล์ที่รั่วออกมา ซึ่งมีประมาณ 3,000 รายการ พบว่าเป็นข้อความ SMS เก่าที่มีรหัสผ่านแบบใช้ครั้งเดียวของ Steam รวมถึงหมายเลขโทรศัพท์ของผู้ใช้งานที่เกี่ยวข้อง

(more…)

เมื่อวันอังคารที่ผ่านมา Microsoft ได้ปล่อยแพตช์ด้านความปลอดภัยที่ครอบคลุมช่องโหว่อย่างน้อย 70 รายการในระบบปฏิบัติการ Windows และ software stack และมีช่องโหว่ zero-days จำนวน 5 รายการที่ถูกจัดอยู่ในหมวดกำลังถูกใช้ในการโจมตี

(more…)

Apple ออกอัปเดตด้านความปลอดภัยระดับ Critical สำหรับ macOS Sequoia 15.5 เมื่อวันที่ 12 พฤษภาคม 2025 เพื่อแก้ไขช่องโหว่มากกว่า 40 รายการ ในส่วนประกอบต่าง ๆ ของระบบ ตั้งแต่ความเสี่ยงของการเสียหายของหน่วยความจำใน kernel-level ไปจนถึงการหลุดออกจากระบบ sandbox ของแอปพลิเคชัน

การออกแพตช์แก้ไขเหล่านี้ มุ่งเป้าไปที่ช่องโหว่ที่อาจทำให้ผู้โจมตีสามารถเข้าถึงข้อมูลที่สำคัญของผู้ใช้, ทำให้ระบบล่ม หรือเรียกใช้โค้ดตามที่ต้องการได้

นักวิจัยจากสถาบันการศึกษา และบริษัทด้านความปลอดภัยทางไซเบอร์ รวมถึง MIT CSAIL, Trend Micro Zero Day Initiative และ Google Project Zero เป็นผู้ค้นพบช่องโหว่เหล่านี้

มีช่องโหว่หลายรายการที่อาจทำให้สามารถเข้าถึงข้อมูลที่สำคัญโดยไม่ได้รับอนุญาตผ่านบริการพื้นฐานของ macOS

TCC framework ซึ่งจัดการสิทธิ์การเข้าถึงของแอปพลิเคชันต่อทรัพยากรต่าง ๆ เช่น ตำแหน่งที่ตั้ง และรายชื่อติดต่อ มีช่องโหว่ information disclosure (CVE-2025-31250) ที่อาจทำให้การตั้งค่าความเป็นส่วนตัวของผู้ใช้ถูกเปิดเผย

ในขณะเดียวกัน CoreGraphics subsystem พบช่องโหว่ had an out-of-bounds read (CVE-2025-31209) ที่อาจทำให้ผู้โจมตีสามารถดึงข้อมูลกราฟิกที่ได้รับการป้องกันออกมาได้ในระหว่างกระบวนการประมวลผลไฟล์

แอป Notes มีความเสี่ยงจากช่องโหว่ cache-handling oversight (CVE-2025-31256) ที่อาจทำให้โน้ตที่ถูกลบไปแล้วถูกเปิดเผยผ่านฟีเจอร์ Hot Corner

แอป StoreKit มีช่องโหว่ logged unredacted user data (CVE-2025-31242) ที่อาจทำให้ประวัติการซื้อ และรายละเอียดของการสมัครสมาชิกรั่วไหลได้

แอป Weather ของ Apple ก็มีช่องโหว่ contained a location privacy (CVE-2025-31220) ที่อนุญาตให้แอปที่เป็นอันตรายสามารถ Bypass geolocation restrictions ได้

นักวิจัยยังแสดงให้เห็นถึงความเสี่ยงของระบบที่เกิดขึ้นใน AppleJPEG (CVE-2025-31251) และ CoreMedia (CVE-2025-31233) ซึ่งไฟล์มีเดียที่ถูกสร้างขึ้นมาโดยเฉพาะสามารถทำให้ process memory เสียหาย และนำไปสู่การเปิดเผยข้อมูลของผู้ใช้ได้

ช่องโหว่เหล่านี้แสดงให้เห็นถึงความท้าทายในการรักษาความปลอดภัยของระบบการประมวลผลสื่อมัลติมีเดียที่มีความซับซ้อน

ความสมบูรณ์ของระบบที่ผ่านการโจมตีจากช่องโหว่ในหน่วยความจำ

ช่องโหว่ Kernel-level เป็นส่วนสำคัญของการแก้ไขช่องโหว่ที่มีระดับความรุนแรงสูง โดยมีช่องโหว่แบบ double-free ใน Audio subsystems (CVE-2025-31235) ที่อนุญาตให้แอปสามารถทำให้ระบบขัดข้องได้ ในขณะที่โปรโตคอล AFP file-sharing ก็มีช่องโหว่ระดับ Critical 2 รายการ ได้แก่ :

CVE-2025-31246 ที่อาจทำให้เซิร์ฟเวอร์ที่เป็นอันตรายสามารถทำให้หน่วยความจำของเคอร์เนลเสียหายได้
CVE-2025-31240 ที่อาจทำให้ผู้โจมตีสามารถทำให้ระบบขัดข้องได้ผ่าน network shares ที่มีรูปแบบผิดปกติ

WebKit engine พบช่องโหว่ memory corruption ถึง 7 รายการ รวมถึงช่องโหว่ CVE-2025-24213 ซึ่งเป็นช่องโหว่แบบ type confusion ที่สามารถถูกโจมตีผ่านเนื้อหาเว็บที่เป็นอันตรายได้

ทีม V8 ของ Google พบว่าช่องโหว่นี้สามารถใช้เพื่อ Bypass การตรวจสอบด้านความปลอดภัยของ Safari ได้

ส่วนของ Kernel ช่องโหว่ CVE-2025-31219 ที่ทำให้ผู้โจมตีสามารถทำให้เกิด corrupt memory ผ่าน Race Conditions ซึ่งอาจนำไปสู่การยกระดับสิทธิ์เป็นผู้ดูแลระบบได้ (root)

Apple ยังได้แก้ไขช่องโหว่ใน libexpat (CVE-2024-8176) ที่เป็นตัวแปลง XML แบบ open-source โดยมีรายงานจากบุคคลภายนอกว่าอาจถูกนำไปใช้เพื่อเรียกใช้โค้ดที่เป็นอันตรายได้

การแก้ไขช่องโหว่เหล่านี้จำเป็นต้องปรับโครงสร้างของส่วนประกอบ low-level ที่เกี่ยวข้องกับเครือข่าย และการจัดการไฟล์ใหม่ทั้งหมด เพื่อป้องกันความเสียหายแบบต่อเนื่อง (cascading failures)

การหลุดออกจาก Sandbox และการ Bypass การป้องกันความเป็นส่วนตัว

ระบบ sandbox ของ Apple ถูกออกแบบมาเพื่อแยกกระบวนการที่ไม่น่าเชื่อถือออกจากระบบหลัก และมีความล้มเหลวหลายจุดในการควบคุม

ระบบ quarantine ไฟล์ มีช่องโหว่ CVE-2025-31244 ที่ทำให้แอปที่เป็นอันตรายสามารถ Bypass ข้อจำกัดในการดาวน์โหลดได้ ในขณะที่ RemoteViewServices (CVE-2025-31258) อาจเปิดโอกาสให้ผู้โจมตีสามารถหลุดออกจาก sandbox ได้ โดยอาศัยการโจมตีของบริการ IPC mechanisms

ในส่วนของ NetworkExtension ช่องโหว่ CVE-2025-31218 ทำให้ชื่อโฮสต์ที่มีการเชื่อมต่อเครือข่ายรั่วไหล และอาจช่วยให้ผู้โจมตีรวบรวมข้อมูลเบื้องต้นได้ง่ายขึ้น

Sandbox subsystem เองก็มีช่องโหว่สองรายการ ได้แก่ CVE-2025-31249 ที่ทำให้สามรถเข้าถึงไฟล์โดยไม่ได้รับอนุญาต และ CVE-2025-31224 ทำให้แอปสามารถ Bypass การตั้งค่าความเป็นส่วนตัวของผู้ใช้ได้ โดยอาศัยการดัดแปลงกระบวนการตรวจสอบสถานะ

ที่สำคัญคือ Mobile Device Service มีช่องโหว่ CVE-2025-24274 ที่เกิดจากการตรวจสอบข้อมูลนำเข้าไม่เพียงพอ ทำให้สามารถยกระดับสิทธิ์เป็น root ได้ ขณะที่ SoftwareUpdate (CVE-2025-31259) ทำให้ผู้ใช้ในเครื่องสามารถยกระดับสิทธิ์เป็นผู้ดูแลระบบได้จากการกรองข้อมูลที่ไม่เหมาะสม

การอัปเดตแพตช์แก้ไขของ Apple ในครั้งนี้ สะท้อนถึงความซับซ้อนที่เพิ่มขึ้นในการรักษาความปลอดภัยของระบบปฏิบัติการสมัยใหม่ จากทั้งการโจมตีแบบเจาะจงเป้าหมาย และการโจมตีแบบฉวยโอกาส

ทั้งองค์กร และผู้ใช้ทั่วไปควรให้ความสำคัญกับการอัปเดตระบบทันที เนื่องจากระบบที่ยังไม่ได้รับการแก้ไขจะยังคงเสี่ยงต่อการถูกขโมยข้อมูล และการโจมตีด้วย Ransomware

ขอบเขตของการแก้ไขในครั้งนี้ ครอบคลุมถึง 28 subsystems และมีนักวิจัยถึง 47 คนที่มีส่วนร่วมในการแก้ไข สะท้อนให้เห็นถึงภัยคุกคามของ macOS ที่มีการเปลี่ยนแปลงอยู่ตลอดเวลา

การอัปเดตในอนาคตอาจจำเป็นต้องใช้การตรวจจับความผิดปกติด้วย machine learning-based ในระดับเชิงลึก เพื่อให้สามารถระบุรูปแบบการโจมตีแบบ zero-day ล่วงหน้าได้

ที่มา : gbhackers

Fortinet ออกแพตซ์อัปเดตด้านความปลอดภัย เพื่อแก้ไขช่องโหว่ระดับ Critical ที่ทำให้สามารถเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกล (remote code execution) ซึ่งกำลังถูกใช้ในการโจมตีแบบ zero-day ต่อระบบโทรศัพท์องค์กร FortiVoice โดยช่องโหว่นี้เป็นช่องโหว่แบบ stack-based overflow ที่มีหมายเลข CVE-2025-32756 และส่งผลกระทบต่อผลิตภัณฑ์อื่น ๆ ของ Fortinet เช่น FortiMail, FortiNDR, FortiRecorder และ FortiCamera ด้วย

จากการแจ้งเตือนด้านความปลอดภัยเมื่อวันอังคารที่ผ่านมา บริษัทระบุว่า การโจมตีที่สำเร็จอาจเปิดโอกาสให้ผู้โจมตีที่ไม่ผ่านการยืนยันตัวตน สามารถสั่งให้ระบบประมวลผลคำสั่ง หรือโค้ดตามที่ผู้โจมตีต้องการผ่าน HTTP request ที่ออกแบบมาโดยเฉพาะ

ทีมความปลอดภัยผลิตภัณฑ์ของ Fortinet พบช่องโหว่ CVE-2025-32756 จากการตรวจสอบการดำเนินการของผู้โจมตี ซึ่งรวมถึงการสแกนเครือข่าย, การลบไฟล์ crashlog ของระบบเพื่อลบหลักฐาน และการเปิดฟังก์ชัน 'fcgi debugging' เพื่อบันทึกข้อมูล credentials จากระบบ หรือการพยายามเข้าสู่ระบบผ่าน SSH

จากรายงานคำแนะนำด้านความปลอดภัย ผู้โจมตีใช้ IP address ต่าง ๆ ในการโจมตี รวมถึง 198.105.127[.]124, 43.228.217[.]173, 43.228.217[.]82, 156.236.76[.]90, 218.187.69[.]244 และ 218.187.69[.]59

ระหว่างการวิเคราะห์การโจมตี FortiVoice, Fortinet พบ IoCs (Indicators of compromise) ซึ่งรวมถึงการเปิดใช้งานฟังก์ชัน 'fcgi debugging' บนระบบที่ถูกแฮ็ก (โดยปกติฟังก์ชันนี้จะไม่ได้เปิดใช้งาน) หากต้องการตรวจสอบว่าระบบของคุณเปิดใช้งานอยู่หรือไม่ ให้รันคำสั่ง: `diag debug application fcgi` และสังเกตข้อความ `"general to-file ENABLED"`

จากการตรวจสอบการโจมตี Fortinet พบว่าผู้โจมตีได้ดำเนินการโดย ติดตั้งมัลแวร์บนอุปกรณ์ที่ถูกเจาะ, เพิ่ม cron jobs เพื่อขโมยข้อมูล credentials และปล่อยสคริปต์เพื่อสแกนเครือข่ายของเหยื่อ

บริษัทยังได้ให้คำแนะนำเกี่ยวกับการลดความเสี่ยงสำหรับลูกค้าที่ไม่สามารถติดตั้งอัปเดตแพตซ์ด้านความปลอดภัยในวันนี้ได้ทันที โดยแนะนำให้ปิดการใช้งาน HTTP/HTTPS administrative interface บนอุปกรณ์ที่มีช่องโหว่

เมื่อเดือนที่ผ่านมา Shadowserver Foundation พบอุปกรณ์ Fortinet กว่า 16,000 เครื่อง ที่เชื่อมต่ออินเทอร์เน็ตถูกโจมตีโดยใช้ backdoor แบบ symlink ซึ่งยังคงเข้าถึงไฟล์สำคัญได้ แม้อุปกรณ์จะได้รับการแพตช์แล้วจากเหตุการณ์ก่อนหน้า

ในช่วงต้นเดือนเมษายน ยังมีการแจ้งเตือนช่องโหว่ใน FortiSwitch ซึ่งอาจถูกใช้เพื่อเปลี่ยนรหัสผ่านผู้ดูแลระบบจากระยะไกลได้เช่นกัน

ที่มา : bleepingcomputer

นักวิจัยด้านความปลอดภัยไซเบอร์พบแพ็กเกจอันตรายบน PyPI ที่แอบอ้างว่าเป็นแอปพลิเคชันที่เกี่ยวข้องกับบล็อกเชน Solana แต่จริง ๆ แล้วมันมีฟังก์ชันที่ออกแบบมาเพื่อขโมยซอร์สโค้ด และข้อมูลที่เป็นความลับของนักพัฒนา แพ็กเกจนี้ชื่อว่า solana-token ซึ่งปัจจุบันไม่สามารถดาวน์โหลดได้จาก PyPI แล้ว แต่แพ็กเกจนี้ถูกดาวน์โหลดไปแล้วถึง 761 ครั้ง โดยพบว่าแพ็กเกจนี้ถูกเผยแพร่ครั้งแรกในเดือนเมษายน 2024 โดยใช้ระบบการตั้งเวอร์ชันที่แตกต่างจากมาตรฐานทั่วไป

เมื่อถูกติดตั้ง แพ็กเกจอันตรายจะพยายามขโมยซอร์สโค้ด และข้อมูลที่เป็นความลับของนักพัฒนาจากเครื่องของนักพัฒนาไปยัง IP Address ที่กำหนดไว้ล่วงหน้า โดยเฉพาะแพ็กเกจนี้จะคัดลอก และขโมยซอร์สโค้ดจากไฟล์ทั้งหมดในสแต็กของการประมวลผล Python โดยอ้างว่าเป็นฟังก์ชันบล็อกเชนที่ชื่อ "register_node()" พฤติกรรมที่ผิดปกตินี้แสดงให้เห็นว่าผู้โจมตีอาจมุ่งเป้าไปที่การขโมยข้อมูลลับที่เกี่ยวข้องกับคริปโต ซึ่งอาจถูกตั้งค่าไว้ล่วงหน้าในระหว่างการพัฒนาโปรแกรมที่มีฟังก์ชันอันตรายนี้อยู่

นักพัฒนาที่ต้องการสร้างบล็อกเชนของตัวเองน่าจะเป็นกลุ่มเป้าหมายของผู้โจมตีที่อยู่เบื้องหลังแพ็กเกจนี้ ซึ่งการประเมินนี้อ้างอิงจากชื่อแพ็กเกจ และฟังก์ชันที่ถูกสร้างไว้ภายใน.

วิธีการที่แพ็กเกจนี้ถูกเผยแพร่ไปยังผู้ใช้งานยังไม่เป็นที่แน่ชัด แต่มีความเป็นไปได้ว่าแพ็กเกจนี้อาจถูกโปรโมทในแพลตฟอร์มที่มุ่งเน้นไปยังนักพัฒนา

การค้นพบนี้แสดงให้เห็นว่า สกุลเงินดิจิทัลยังคงเป็นเป้าหมายหลักของผู้โจมตี ซึ่งทำให้การตรวจสอบแพ็กเกจทุกตัวอย่างละเอียดก่อนใช้งานเป็นสิ่งที่นักพัฒนาควรให้ความสำคัญ

Zanki ระบุว่า ทีมพัฒนาควรเฝ้าระวังการดำเนินการที่น่าสงสัย หรือการเปลี่ยนแปลงที่ไม่สามารถอธิบายได้ทั้งในซอฟต์แวร์โอเพนซอร์ส และซอฟต์แวร์เชิงพาณิชย์ของ third-party เพื่อป้องกันการโจมตีแบบ supply chain การหยุดโค้ดที่เป็นอันตรายก่อนที่จะเข้าสู่ระบบ, การพัฒนาระบบอย่างปลอดภัย จะช่วยให้ทีมสามารถป้องกันความเสียหายได้

ที่มา : thehackernews