จากรายงานล่าสุดพบว่าอุปกรณ์ Clevo หลายรุ่น มีช่องโหว่ที่อาจทำให้เกิดการรั่วไหลของ Private Key ของ Boot Guard ซึ่งเป็นเทคโนโลยีความปลอดภัยของ Intel ที่ใช้ตรวจสอบในระหว่างการบูตระบบ ที่จะมีเพียงเฟิร์มแวร์ที่ได้รับอนุญาตเท่านั้นที่สามารถทำงานได้ เพื่อป้องกันโค้ดที่ไม่ได้รับอนุญาต

ช่องโหว่นี้ถูกเปิดเผยครั้งแรกบนฟอรัม Win-Raid โดยพบว่ามี Private Key ของ Boot Guard Key Manifest (KM) และ Boot Policy Manifest (BPM) ฝังอยู่ในไฟล์ Firmware Update

ซึ่งหาก Private Key นี้รั่วไหล ผู้โจมตีสามารถใช้ Key เหล่านั้นในการ sign เฟิร์มแวร์ที่เป็นอันตราย ซึ่งสามารถผ่านการตรวจสอบความปลอดภัยของ Boot Guard ได้

รายละเอียดการตรวจสอบ

ทีมวิจัยจาก Binarly ซึ่งมีชื่อเสียงในการค้นหาช่องโหว่ในระบบ UEFI ได้รับการแจ้งเตือนเกี่ยวกับช่องโหว่นี้จากโพสต์ในฟอรัม Win-Raid ซึ่งเปิดเผยการพบ Boot Guard key ในการอัปเดตเฟิร์มแวร์ของอุปกรณ์ Clevo ที่มีการฝัง Private Key ไว้

หลังจากการตรวจสอบ ทีมวิจัยยืนยันว่ามี Private Key สองชุดที่ถูกฝังอยู่ในไฟล์ BootGuardKey.

พบเหตุการณ์การโจมตีที่มุ่งเป้าไปยังพอร์ทัล Palo Alto Networks PAN-OS GlobalProtect โดยมี IP ที่ไม่ซ้ำกันเกือบ 24,000 รายการ ที่พยายามเข้าถึงโดยไม่ได้รับอนุญาตในช่วง 30 วันที่ผ่านมา

การโจมตีนี้ได้รับการแจ้งเตือนโดยบริษัทด้านความปลอดภัยทางไซเบอร์ GreyNoise ซึ่งแสดงให้เห็นถึงความซับซ้อนที่เพิ่มขึ้นของผู้ไม่หวังดีในการตรวจสอบการป้องกันของเครือข่ายเพื่อเตรียมการโจมตีในอนาคต

GreyNoise ตรวจพบเหตุการณ์ที่เพิ่มสูงขึ้นมาตั้งแต่วันที่ 17 มีนาคม 2025 โดยสูงสุดเกือบถึง 20,000 IP ที่ไม่ซ้ำกันต่อวัน

แม้ว่าเหตุการณ์จะลดลงภายในวันที่ 26 มีนาคม แต่ก็ยังแสดงให้เห็นถึงรูปแบบที่สอดคล้องกัน โดยส่วนใหญ่ของ IP ที่ถูกตรวจสอบมีลักษณะเป็น Suspicious (23,800) และ Outright Malicious (154)

Bob Rudis รองประธานฝ่าย Data Science ของ GreyNoise ระบุว่า การโจมตีครั้งนี้สอดคล้องกับแนวโน้มในอดีตที่มักจะเกิดขึ้นหลังจากการค้นพบช่องโหว่ใหม่ ๆ

"ในช่วง 18-24 เดือนที่ผ่านมา เราได้พบการโจมตีที่มุ่งเป้าไปยังช่องโหว่เก่า ๆ ซึ่งมักจะตามมาด้วยการค้นพบช่องโหว่ใหม่ ๆ ภายในไม่กี่สัปดาห์"

องค์กรที่ใช้ผลิตภัณฑ์ของ Palo Alto Networks ถูกแนะนำให้เสริมความปลอดภัยในพอร์ทัลการเข้าสู่ระบบของตนทันที เนื่องจากผู้ไม่หวังดีอาจกำลังเตรียมการโจมตีในอนาคต

ข้อสังเกตที่สำคัญ

GreyNoise พบหลายปัจจัยที่สำคัญในการพยายามโจมตีนี้

การวิเคราะห์แหล่งที่มา และประเทศปลายทาง

ประเทศต้นทาง : ส่วนใหญ่ของการโจมตีมาจากสหรัฐอเมริกา (16,249) และแคนาดา (5,823) โดยมีเหตุการณ์เพิ่มเติมมาจากฟินแลนด์, เนเธอร์แลนด์ และรัสเซีย
ประเทศปลายทาง : ส่วนใหญ่เป้าหมายคือระบบในสหรัฐอเมริกา (23,768) ตามด้วยสหราชอาณาจักร, ไอร์แลนด์, รัสเซีย และสิงคโปร์
เหตุการณ์ทั่วโลกนี้แสดงให้เห็นถึงการดำเนินการที่ประสานกันในหลายภูมิภาค

ผู้โจมตีที่มีส่วนร่วมหลัก และเครื่องมือที่ใช้

ผู้โจมตีที่มีส่วนร่วมหลักสามารถติดตามกลับได้ โดยมีการรับส่งข้อมูลไปยัง 3xK Tech GmbH ซึ่งรับผิดชอบ 20,010 IP ภายใต้ ASN200373

ผู้ที่มีส่วนร่วมอื่น ๆ ได้แก่ PureVoltage Hosting Inc.

พบช่องโหว่ด้านความปลอดภัยหมายเลข CVE-2025-1268 ใน Driver Printer ของ Canon บางรุ่น ซึ่งทำให้ให้ผู้ไม่หวังดีสามารถรันโค้ดตามที่ต้องการได้

ช่องโหว่นี้ถูกจัดประเภทเป็น Out-of-Bounds vulnerability และมีผลกระทบกับ Driver ของ Printer มัลติฟังก์ชันสำหรับสำนักงาน, Printer สำหรับสำนักงานขนาดเล็ก, Printer สำหรับการผลิต และ Printer เลเซอร์

Canon ได้รับทราบถึงปัญหานี้แล้ว และแนะนำให้ผู้ใช้งานดำเนินการอัปเดต Driver Printer โดยทันที

รายละเอียดของช่องโหว่

ช่องโหว่นี้เกิดขึ้นในกระบวนการ EMF Recode ของ Driver Printer ที่ได้รับผลกระทบ ซึ่งมีข้อผิดพลาดในการจัดการบางกระบวนการ ทำให้ผู้ไม่หวังดีสามารถใช้ช่องโหว่นี้เพื่อรันโค้ดตามที่ต้องการ และเข้าควบคุมระบบได้

การโจมตีประเภทนี้สามารถเกิดขึ้นได้เมื่อมีการประมวลผลงานพิมพ์ผ่านแอปพลิเคชันที่เป็นอันตราย หากถูกโจมตีสำเร็จ อาจส่งผลกระทบต่อ ความลับ (Confidentiality), ความถูกต้อง (Integrity), และความพร้อมใช้งาน (Availability) ของระบบที่ได้รับผลกระทบ

ตามการประเมินโดย Common Vulnerability Scoring System (CVSS) v3.1 ช่องโหว่นี้ได้รับคะแนน Base Score 9.4 ซึ่งอยู่ในระดับ Critical โดยมีรายละเอียดดังนี้

Attack Vector (AV): Network
Attack Complexity (AC): Low
Privileges Required (PR): None
User Interaction (UI): None
Scope (S): Unchanged
Confidentiality (C): High
Integrity (I): High
Availability (A): Low

CVSS นี้แสดงให้เห็นถึงความง่ายในการใช้ประโยชน์จากช่องโหว่ และผลกระทบที่ร้ายแรงต่อระบบที่ใช้งาน Driver Printer ที่ได้รับผลกระทบ

Driver Printer ที่ได้รับผลกระทบ

ช่องโหว่นี้มีผลกระทบกับ Driver Printer ของ Canon เวอร์ชันต่อไปนี้

Generic Plus PCL6 Printer Driver – V3.12 และเวอร์ชันเก่ากว่า
Generic Plus UFR II Printer Driver – V3.12 และเวอร์ชันเก่ากว่า
Generic Plus LIPS4 Printer Driver – V3.12 และเวอร์ชันเก่ากว่า
Generic Plus LIPSLX Printer Driver – V3.12 และเวอร์ชันเก่ากว่า
Generic Plus PS Printer Driver – V3.12 และเวอร์ชันเก่ากว่า

Driver เหล่านี้มักถูกติดตั้งบนอุปกรณ์ตั้งแต่ Printer สำหรับสำนักงานขนาดเล็กไปจนถึงระบบการพิมพ์สำหรับการผลิต ซึ่งหมายความว่าขอบเขตของช่องโหว่นี้อาจส่งผลกระทบต่อธุรกิจทั่วโลก

การแก้ไข และบรรเทาผลกระทบ

Canon ได้ประกาศว่าการอัปเดต Driver Printer ที่แก้ไขช่องโหว่นี้จะพร้อมให้ดาวน์โหลดผ่านเว็บไซต์ของตัวแทนจำหน่ายในแต่ละพื้นที่

ผู้ใช้งานควรตรวจสอบ และติดตั้ง Driver เวอร์ชันล่าสุดโดยเร็วที่สุด เพื่อป้องกันความเสี่ยงจากการถูกโจมตี

คำแนะนำในการป้องกัน

ดาวน์โหลด และติดตั้ง Driver Printer เวอร์ชันล่าสุดจากแหล่งที่เป็นทางการทันที
ตรวจสอบพฤติกรรมผิดปกติในอุปกรณ์ที่เชื่อมต่อกับ Printer ที่ได้รับผลกระทบ
ป้องกันการเข้าถึง Printer โดยไม่ได้รับอนุญาตด้วย Firewall และมาตรการรักษาความปลอดภัยของเครือข่าย

ช่องโหว่เช่น CVE-2025-1268 แสดงให้เห็นถึงความเสี่ยงของซอฟต์แวร์ที่ล้าสมัย เหตุการณ์นี้จึงเน้นย้ำถึงความสำคัญของแนวทางปฏิบัติด้านความปลอดภัยในการปกป้อง IT environments

 

ที่มา : gbhackers.

นักวิจัยพบกลุ่ม phishing-as-a-service (PhaaS) ชื่อว่า Morphing Meerkat ได้ใช้ protocol DNS over HTTPS (DoH) เพื่อหลีกเลี่ยงการตรวจจับ

รวมถึงยังพบการใช้ประโยชน์จาก DNS email exchange (MX) records เพื่อระบุผู้ให้บริการอีเมลของเหยื่อ และเพื่อให้บริการหน้าเข้าสู่ระบบปลอมแบบไดนามิกสำหรับแบรนด์ต่าง ๆ มากกว่า 114 แบรนด์

Morphing Meerkat ได้เริ่มทำการโจมตีมาตั้งแต่ปี 2020 เป็นอย่างน้อย ซึ่งนักวิจัยด้านความปลอดภัยจาก Infoblox เป็นผู้ค้นพบกลุ่มดังกล่าว แม้ว่าจะมีการบันทึกการดำเนินการของกลุ่มนี้ไว้บางส่วนแล้ว แต่ส่วนใหญ่ก็ไม่ค่อยมีการตรวจพบมานานหลายปี

แคมเปญ Phishing ขนาดใหญ่

Morphing Meerkat คือ PhaaS platform ที่มีชุดเครื่องมือสำหรับการโจมตี phishing ที่มีประสิทธิภาพ ปรับรูปแบบได้ และหลบเลี่ยงการตรวจจับได้ โดยไม่จำเป็นต้องมีความรู้ทางเทคนิคในการโจมตีขั้นสูงก็สามารถใช้งานได้

ตัวระบบมี SMTP infrastructure แบบรวมศูนย์เพื่อแพร่กระจาย spam อีเมล โดยอีเมลที่ติดตามได้ 50% มีต้นทางมาจากบริการอินเทอร์เน็ตที่ให้บริการโดย iomart (สหราชอาณาจักร) และ HostPapa (สหรัฐอเมริกา)

แคมเปญ Phishing นี้สามารถปลอมแปลงเป็นผู้ให้บริการอีเมล และบริการอื่น ๆ มากกว่า 114 ราย รวมถึง Gmail, Outlook, Yahoo, DHL, Maersk และ RakBank โดยส่งข้อความที่มี subject ที่ได้รับการออกแบบมาเพื่อกระตุ้นให้ผู้รับดำเนินการอย่างเร่งด่วน เช่น “ต้องดำเนินการ: ปิดใช้งานบัญชี” โดยอีเมลจะถูกส่งในหลายภาษา รวมถึงภาษาอังกฤษ สเปน รัสเซีย และแม้แต่จีน และสามารถปลอมแปลงชื่อและที่อยู่ของผู้ส่งได้

หากเหยื่อคลิกลิงก์ที่เป็นอันตรายในข้อความ ก็จะเข้าสู่กระบวนการโจมตีแบบ open redirect exploits บนแพลตฟอร์มเทคโนโลยีโฆษณา เช่น Google DoubleClick ซึ่งหลายครั้งจะมาจาก WordPress sites ที่ถูกโจมตี โดเมนปลอม และบริการโฮสติ้งฟรี

เมื่อเหยื่อไปถึงเว็บไซต์ปลายทางแล้ว เครื่องมือ phishing จะโหลด และตรวจสอบ MX record ของโดเมนอีเมลของเหยื่อโดยใช้ DoH ผ่านทาง Google หรือ Cloudflare และต่อมาก็จะโหลดหน้าล็อกอินปลอมโดยกรอกอีเมลของเหยื่อโดยอัตโนมัติ

เมื่อเหยื่อกรอกข้อมูล credentials แล้ว ข้อมูลดังกล่าวจะถูกส่งต่อไปยัง Hacker ผ่าน AJAX requests ไปยังเซิร์ฟเวอร์ภายนอก และ PHP scripts ที่โฮสต์บนหน้าฟิชชิ่ง นอกจากนี้ยังสามารถส่งต่อแบบ Real-time โดยใช้ Telegram bot webhooks ได้อีกด้วย

เมื่อทำการกรอกข้อมูลเป็นครั้งแรก จะมีข้อความแจ้งข้อผิดพลาดว่า “รหัสผ่านไม่ถูกต้อง กรุณากรอกอีเมล รหัสผ่านที่ถูกต้อง” เพื่อให้เหยื่อกรอกรหัสผ่านใหม่อีกครั้ง เพื่อให้แน่ใจว่าข้อมูลถูกต้อง เมื่อเหยื่อทำเช่นนั้นแล้ว จะถูกส่งต่อไปยังหน้าการยืนยันตัวตนที่ถูกต้องเพื่อลดความน่าสงสัย

DoH และ DNS MX

การใช้ DoH และ DNS MX ทำให้ Morphing Meerkat โดดเด่นจากเครื่องมืออื่น ๆ ที่คล้ายกัน เนื่องจากเป็นเทคนิคขั้นสูงที่ช่วยในด้านการโจมตีได้เป็นอย่างดี

DNS over HTTPS (DoH) เป็นโปรโตคอลที่ดำเนินการ DNS resolution โดยใช้ HTTPS requests ที่เข้ารหัส แทน DNS queries ที่ใช้ UDP แบบ plaintext ดั้งเดิม

MX (Mail Exchange) record เป็น type หนึ่งของ DNS record ที่แจ้งให้อินเทอร์เน็ตทราบว่าเซิร์ฟเวอร์ใดจัดการอีเมลสำหรับโดเมนที่กำหนด

เมื่อเหยื่อคลิกลิงก์ใน phishing เครื่องมือ phishing kit จะถูกโหลดลงในเบราว์เซอร์ และส่ง DNS request ไปยัง Google หรือ Cloudflare เพื่อค้นหา MX records ของ domain อีเมลของพวกเขา วิธีการดังกล่าวช่วยหลีกเลี่ยงการตรวจจับได้ เนื่องจาก query เกิดขึ้นในฝั่งไคลเอนต์ และการใช้ DoH จะช่วยหลีกเลี่ยงจากการตรวจสอบ DNS

เมื่อระบุผู้ให้บริการอีเมลจาก MX record แล้ว phishing kit จะสามารถส่งแคมเปญ Phishing ที่ตรงกันให้กับเหยื่อได้

Infoblox เสริมว่า แนวทางป้องกันที่แนะนำในการรับมือกับ Phishing ประเภทนี้ก็คือ "การใช้ DNS control ที่เข้มงวดยิ่งขึ้น เพื่อไม่ให้ผู้ใช้สามารถเชื่อมต่อกับ DoH servers หรือการบล็อกการเข้าถึงของผู้ใช้ใน adtech หรือ file sharing infrastructure ที่ไม่สำคัญต่อธุรกิจ"

 

ที่มา : bleepingcomputer.

Check Point บริษัทด้านความปลอดภัยทางไซเบอร์ชื่อดัง ยืนยันว่าข้อมูลที่ถูกอ้างว่าถูกแฮ็กออกมาจากบริษัท และนำไปเสนอขายบน BreachForums ซึ่งเป็นฟอรัมใต้ดินชื่อดังนั้นเกี่ยวข้องกับเหตุการณ์เก่า และได้รับการจัดการเรียบร้อยแล้ว

(more…)

การวิเคราะห์ล่าสุดโดย Rhino Security Labs พบช่องโหว่ระดับ critical ใน Appsmith developer tool ซึ่งเป็นแพลตฟอร์มที่ใช้ในการสร้างแอปพลิเคชันภายใน เช่น dashboards และ customer support

ช่องโหว่ระดับ critical ที่พบ มีหมายเลข CVE-2024-55963 ซึ่งทำให้สามารถเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกลได้โดยไม่ต้องผ่านการยืนยันตัวตน เนื่องจากการตั้งค่าฐานข้อมูล PostgreSQL ไม่ถูกต้อง

(more…)

ผู้โจมตีเริ่มมุ่งเป้าไปที่การใช้งาน Cisco Smart Licensing Utility (CSLU) ที่ไม่ได้รับการอัปเดตแพตช์จากช่องโหว่ที่ส่งผลให้มีการเปิดเผยบัญชีผู้ดูแลระบบที่เป็นลักษณะ backdoor

แอปพลิเคชัน CSLU สำหรับ Windows ช่วยให้ผู้ดูแลระบบสามารถจัดการ licenses และผลิตภัณฑ์ที่เชื่อมโยงภายในองค์กรโดยไม่ต้องเชื่อมต่อกับโซลูชัน Smart Software Manager บน Cloud ของ Cisco

Cisco ได้แก้ไขช่องโหว่ด้านความปลอดภัยนี้ (CVE-2024-20439) ในเดือนกันยายน โดยอธิบายว่าเป็นช่องโหว่ที่เกิดจาก "ข้อมูล credential ของบัญชีผู้ใช้ระดับผู้ดูแลระบบแบบ static ที่ไม่ได้ถูกบันทึกไว้" ซึ่งอาจทำให้ผู้โจมตีที่ไม่ได้ผ่านการยืนยัน สามารถเข้าสู่ระบบที่ยังไม่ได้รับการอัปเดตแพตช์จากระยะไกลด้วยสิทธิ์ผู้ดูแลระบบผ่าน API ของแอปพลิเคชัน CSLU

บริษัทยังได้แก้ไขช่องโหว่การเปิดเผยข้อมูล CSLU ระดับ Critical อีกหนึ่งรายการ (CVE-2024-20440) ซึ่งผู้โจมตีที่ไม่ได้ผ่านการยืนยันสามารถใช้เพื่อเข้าถึง log files ที่มีข้อมูลที่มีความสำคัญ (รวมถึงข้อมูล API credentials) โดยการส่ง HTTP request ที่ถูกสร้างขึ้นมาเป็นพิเศษไปยังอุปกรณ์ที่มีช่องโหว่

ช่องโหว่ทั้งสองรายการนี้ส่งผลกระทบกับระบบที่ใช้งานเวอร์ชัน Cisco Smart Licensing Utility ที่มีช่องโหว่เท่านั้น และสามารถถูกโจมตีได้เฉพาะเมื่อผู้ใช้งานเปิดใช้งานแอปพลิเคชัน CSLU ซึ่งไม่ได้ออกแบบให้ทำงานใน background โดยค่าเริ่มต้น

Nicholas Starke นักวิจัยด้านภัยคุกคามจาก Aruba ได้ทำ reverse-engineered กับช่องโหว่นี้ และเผยแพร่บทความที่มีรายละเอียดทางเทคนิค (รวมถึงรหัสผ่าน static ที่ถูกเข้ารหัส) ประมาณสองสัปดาห์หลังจากที่ Cisco ปล่อยแพตช์ความปลอดภัย

เป้าหมายในการโจมตี

Johannes Ullrich คณบดีฝ่ายวิจัยของสถาบันเทคโนโลยี SANS รายงานว่า กลุ่มผู้โจมตีกำลังเชื่อมโยงช่องโหว่ทั้งสองรายการในความพยายามโจมตีที่มุ่งเป้าไปที่การใช้งาน CSLU ที่เปิดเผยอยู่บนอินเทอร์เน็ต

Ullrich ระบุว่า "การค้นหาคร่าว ๆ ไม่พบการใช้ช่องโหว่ในการโจมตี (ในขณะนั้น) แต่รายละเอียดต่าง ๆ รวมถึงข้อมูล backdoor credentials ถูกเผยแพร่ในบล็อกของ Nicholas Starke หลังจาก Cisco ออกคำแนะนำด้านความปลอดภัย ดังนั้นจึงไม่น่าแปลกใจที่อาจจะเห็นพฤติกรรมการโจมตีหลังจากนี้"

แม้ว่าจะยังไม่ทราบเป้าหมายของการโจมตีด้วยช่องโหว่เหล่านี้ แต่กลุ่มผู้โจมตียังพยายามใช้ประโยชน์จากช่องโหว่ความปลอดภัยอื่น ๆ รวมถึงช่องโหว่การเปิดเผยข้อมูลที่ดูเหมือนจะเป็นช่องโหว่ที่มีการโจมตีโดยใช้ proof-of-concept (POC) ที่ถูกเผยแพร่ออกสู่สาธารณะ (CVE-2024-0305) ซึ่งส่งผลกระทบต่อเครื่องบันทึกวิดีโอดิจิตอล (DVR) ของ Guangzhou Yingke Electronic

คำแนะนำความปลอดภัยของ Cisco สำหรับ CVE-2024-20439 และ CVE-2024-20440 ยังคงระบุว่า ทีมตอบสนองเหตุการณ์ความปลอดภัยของผลิตภัณฑ์ (PSIRT) ยังไม่พบหลักฐานว่าผู้โจมตีกำลังใช้ประโยชน์จากช่องโหว่ทั้งสองรายการ

CVE-2024-20439 ไม่ใช่บัญชี backdoor ตัวแรกที่ Cisco ลบออกจากผลิตภัณฑ์ในช่วงไม่กี่ปีที่ผ่านมา โดยพบข้อมูล credentials ที่ฝังอยู่ในซอฟต์แวร์ต่าง ๆ ของบริษัท เช่น Digital Network Architecture (DNA) Center, IOS XE, Wide Area Application Services (WAAS) และ Emergency Responder

ที่มา : bleepingcomputer

Mozilla ออกอัปเดต Firefox 136.0.4 เพื่อแก้ไขช่องโหว่ความปลอดภัยระดับ Critical ที่ทำให้ผู้ไม่หวังดีสามารถ escape จาก Sandbox ของเว็บเบราว์เซอร์บนระบบ Windows ได้ (more…)

Broadcom ออกแพตซ์อัปเดตด้านความปลอดภัยเพื่อแก้ไขช่องโหว่การข้ามการยืนยันตัวตน ที่มีความรุนแรงระดับ High ใน VMware Tools for Windows

VMware Tools เป็นชุด drivers และ utilities ที่ออกแบบมาเพื่อปรับปรุงประสิทธิภาพ กราฟิก และการทำงานร่วมกัน สำหรับระบบปฏิบัติการที่ทำงานใน VMware virtual machines

โดยช่องโหว่นี้ (CVE-2025-22230) เกิดจากช่องโหว่ improper access control และถูกรายงานโดย Sergey Bliznyuk จากบริษัท Positive Technologies (บริษัทความปลอดภัยทางไซเบอร์ของรัสเซียที่ถูกคว่ำบาตร และถูกกล่าวหาว่าขาย hacking tools)

โดยช่องโหว่นี้ทำให้ผู้โจมตีที่เข้าถึงระบบได้ในระดับ Local ด้วยสิทธิ์ระดับต่ำก็สามารถใช้ช่องโหว่นี้ในการโจมตีได้ ด้วยการโจมตีที่มีความซับซ้อนต่ำ และไม่จำเป็นต้องมีการโต้ตอบจากผู้ใช้เพื่อยกระดับสิทธิ์เป็นสิทธิ์สูงบน VM ที่มีช่องโหว่

VMware ระบุใน Security Advisory ที่เผยแพร่เมื่อวันอังคารที่ 25 มีนาคมว่า "ผู้ไม่หวังดีที่มีสิทธิ์ระดับต่ำบน Windows Guest VM อาจสามารถดำเนินการบางอย่างที่ต้องใช้สิทธิ์ระดับสูงภายใน VM นั้นได้"

เมื่อต้นเดือนที่ผ่านมา Broadcom ยังได้แก้ไขช่องโหว่ zero days ของ VMware จำนวน 3 รายการ (CVE-2025-22224, CVE-2025-22225 และ CVE-2025-22226) ซึ่งถูกระบุว่า กำลังถูกใช้ในการโจมตีจริง และได้รับรายงานจาก Microsoft Threat Intelligence Center

ตามที่บริษัทได้อธิบายไว้ในขณะนั้น ผู้โจมตีที่มีสิทธิ์ระดับ Administrator หรือ Root สามารถใช้ช่องโหว่เหล่านี้ เพื่อ escape ออกจาก sandbox ของ virtual machine ได้

หลังจากมีการออกแพตช์แก้ไขไม่กี่วัน แพลตฟอร์มการตรวจสอบภัยคุกคาม Shadowserver พบว่า มีเซิร์ฟเวอร์ VMware ESXi ที่เปิดให้เข้าถึงได้บนอินเทอร์เน็ตมากกว่า 37,000 เครื่องที่มีความเสี่ยงต่อการถูกโจมตีจาก CVE-2025-22224

โดยกลุ่มแรนซัมแวร์ และแฮ็กเกอร์ที่ได้รับการสนับสนุนจากรัฐ มักมุ่งเป้าโจมตีช่องโหว่ของ VMware เนื่องจากผลิตภัณฑ์ของ VMware ถูกใช้กันอย่างแพร่หลายในองค์กรต่าง ๆ สำหรับจัดเก็บ หรือถ่ายโอนข้อมูลสำคัญของบริษัท

ตัวอย่างเช่น ในเดือนพฤศจิกายน Broadcom ได้เตือนว่าผู้โจมตีได้ใช้ประโยชน์จากช่องโหว่ VMware vCenter Server สองรายการ ได้แก่ ช่องโหว่การยกระดับสิทธิ์เป็น Root (CVE-2024-38813) และช่องโหว่ระดับ Critical ที่ทำให้สามารถรันโค้ดที่เป็นอันตรายจากระยะไกลได้ (CVE-2024-38812) ซึ่งช่องโหว่ดังกล่าวถูกค้นพบระหว่างการแข่งขันโจมตี Matrix Cup 2024 ของประเทศจีน

ในเดือนมกราคม 2024 Broadcom ยังเปิดเผยอีกว่าผู้โจมตีที่ได้รับการสนับสนุนจากรัฐบาลจีนได้ใช้ช่องโหว่ zero-day ระดับ Critical ของ vCenter Server (CVE-2023-34048) ตั้งแต่ปลายปี 2021 เพื่อติดตั้ง Backdoor "VirtualPita" และ "VirtualPie" บนระบบ ESXi ที่มีช่องโหว่

ที่มา : bleepingcomputer.

พบการโจมตีของ ransomware-as-a-service (RaaS) ตัวใหม่ที่ชื่อ VanHelsing โดยกำหนดเป้าหมายไปที่ระบบ Windows, Linux, BSD, ARM และ ESXi

โดย VanHelsing ได้รับการโปรโมตบนแพลตฟอร์มใต้ดินของอาชญากรรมไซเบอร์เป็นครั้งแรกเมื่อวันที่ 7 มีนาคม 2025 โดยเปิดให้ผู้โจมตีที่มีประสบการณ์เข้าร่วมฟรี ในขณะที่ผู้โจมตีที่มีประสบการณ์น้อยกว่าต้องวางเงินมัดจำ 5,000 ดอลลาร์

การทำงานของแรนซัมแวร์ตัวใหม่นี้ถูกรายงานครั้งแรกโดย CYFIRMA เมื่อสัปดาห์ที่แล้ว ในขณะที่ Check Point Research ได้เผยแพร่การวิเคราะห์เชิงลึกเพิ่มเติมเมื่อวันที่ 23 มีนาคม 2025

ภายในแรนซัมแวร์ VanHelsing

นักวิเคราะห์จาก Check Point รายงานว่า VanHelsing เป็นโครงการอาชญากรรมไซเบอร์จากรัสเซียที่ห้ามไม่ให้โจมตีระบบภายในประเทศ CIS (Commonwealth of Independent States)

โดยในส่วนของกลุ่มพันธมิตรที่นำ ransomware-as-a-service (RaaS) ไปใช้ จะได้รับอนุญาตให้เก็บเงินค่าไถ่ได้ 80% ในขณะที่ผู้ดำเนินการจะได้รับส่วนแบ่ง 20% และการชำระเงินจะถูกจัดการผ่าน escrow system ในรูปแบบอัตโนมัติที่ใช้ two blockchain confirmations เพื่อความปลอดภัย

กลุ่มพันธมิตรที่ได้รับการยอมรับจะได้รับสิทธิ์ในการเข้าถึง panel ที่มีการทำงานในรูปแบบอัตโนมัติ และยังได้รับการสนับสนุนโดยตรงจากทีมพัฒนา

ไฟล์ที่ถูกขโมยจากเครือข่ายของเหยื่อจะถูกจัดเก็บไว้บน VanHelsing operation servers ซึ่งทีมพัฒนาหลักอ้างว่าพวกเขาทำการทดสอบการเจาะระบบเป็นประจำเพื่อให้แน่ใจถึงความปลอดภัยระดับสูง และความน่าเชื่อถือของระบบ

ปัจจุบัน extortion portal ของ VanHelsing บน Dark Web ซึ่งระบุว่ามีเป้าหมาย 3 ราย โดยสองรายอยู่ในสหรัฐอเมริกา และอีกหนึ่งรายในฝรั่งเศส โดยหนึ่งในเป้าหมายคือ เมืองในรัฐเท็กซัส ส่วนอีกสองรายคือ บริษัทเทคโนโลยี

ตัวอย่างข้อมูลที่กลุ่มแรนซัมแวร์ขู่จะปล่อยไฟล์ที่ขโมยมาในไม่กี่วันข้างหน้าหากไม่เป็นไปตามข้อเรียกร้องในการเรียกค่าไถ่ ซึ่งจากการตรวจสอบของ Check Point การเรียกค่าไถ่อยู่ที่ 500,000 ดอลลาร์

Stealth mode

แรนซัมแวร์ VanHelsing เขียนด้วยภาษา C++ และมีหลักฐานที่แสดงให้เห็นว่ามีการโจมตีครั้งแรกเมื่อ 16 มีนาคม 2025

VanHelsing ใช้อัลกอริธึม ChaCha20 สำหรับการเข้ารหัสไฟล์ โดยสร้าง 32-byte (256-bit) symmetric key และ 12-byte nonce สำหรับแต่ละไฟล์

จากนั้นค่านี้จะถูกเข้ารหัสด้วย Curve25519 public key ที่ฝังไว้ และในส่วนของคู่ encrypted key/nonce จะถูกเก็บไว้ในไฟล์ที่ถูกเข้ารหัส

VanHelsing เข้ารหัสไฟล์ที่มีขนาดใหญ่กว่า 1GB เพียงบางส่วน แต่จะดำเนินการเข้ารหัสทั้งหมดในไฟล์ที่มีขนาดเล็กกว่า

มัลแวร์นี้รองรับการปรับแต่ง CLI ที่หลากหลายเพื่อปรับแต่งการโจมตีให้สอดคล้องกับแต่ละเป้าหมาย เช่น การโจมตีไดรฟ์ และโฟลเดอร์เฉพาะ, การจำกัดขอบเขตของการเข้ารหัส, การแพร่กระจายผ่าน SMB, การ skipping การลบ Shadow Copies และการเปิดใช้งาน two-phase stealth mode

ในโหมดการเข้ารหัสแบบปกติ VanHelsing จะทำการตรวจสอบไฟล์ และโฟลเดอร์ รวมถึงทำการเข้ารหัสเนื้อหาของไฟล์ และทำการเปลี่ยนชื่อไฟล์ที่เข้ารหัสโดยการเพิ่มนามสกุล ".vanhelsing"

โดย Stealth mode แรนซัมแวร์จะแยกการเข้ารหัสออกจากการเปลี่ยนชื่อไฟล์ ซึ่งมีแนวโน้มที่จะทำให้เกิดการแจ้งเตือนน้อยลง เนื่องจากรูปแบบ I/O ของไฟล์เลียนแบบพฤติกรรมปกติของระบบ

แม้ว่า security tools จะตอบสนองในช่วงเริ่มต้นของขั้นตอนการเปลี่ยนชื่อ แต่ในครั้งถัดไป ชุดข้อมูลที่ถูกโจมตีทั้งหมดจะถูกเข้ารหัสไปแล้ว

แม้ว่า VanHelsing จะดูเหมือนเป็นแรนซัมแวร์ที่มีความซับซ้อน และพัฒนาอย่างรวดเร็ว แต่ Check Point ก็สังเกตเห็นช่องโหว่บางอย่างที่แสดงให้เห็นถึงความไม่สมบูรณ์ของโค้ด

ช่องโหว่อาทิ เช่น ข้อมูลไม่ตรงกันของนามสกุลไฟล์, ช่องโหว่ใน logic ของรายการที่มีการยกเว้น ซึ่งอาจทำให้เกิดการเข้ารหัสซ้ำ และบางคำสั่งที่ยังไม่ได้ implement

แม้ว่าจะมีช่องโหว่เหล่านี้เกิดขึ้น แต่ VanHelsing ยังคงเป็นภัยคุกคามที่น่ากังวล และดูเหมือนว่าจะเริ่มได้รับความสนใจในเร็ว ๆ นี้

ที่มา : bleepingcomputer.