Slim CD ผู้ให้บริการ Payment Gateway เปิดเผยถึงกรณีข้อมูลรั่วไหลซึ่งเกี่ยวข้องกับบัตรเครดิต และข้อมูลส่วนบุคคลของลูกค้าเกือบ 1.7 ล้านคนที่ได้รับผลกระทบ (more…)

เริ่มตั้งแต่วันที่ 1 ตุลาคมนี้เป็นต้นไป บัญชีของ WordPress.org ที่สามารถส่งอัปเดต และเปลี่ยนแปลงปลั๊กอิน และธีมได้ จะต้องเปิดใช้ระบบการยืนยันตัวตนแบบสองขั้นตอน (2FA) บนบัญชี (more…)

GitLab ได้ออกแพตช์แก้ไขช่องโหว่หลายรายการ โดยช่องโหว่ที่ร้ายแรงที่สุดหมายเลข CVE-2024-6678 เป็นช่องโหว่ที่อนุญาตให้ผู้โจมตีเรียกใช้ pipelines ตามที่ต้องการภายใต้เงื่อนไขบางประการได้ (more…)

นักวิจัยความปลอดภัยทางไซเบอร์แนะนำให้ผู้ใช้ทำการอัปเกรด Adobe Acrobat Reader หลังจากเมื่อวันที่ 10 กันยายน 2024 มีการออกแพตช์แก้ไขช่องโหว่ zero-day ในการเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกล พร้อมกันกับการพบ proof-of-concept exploit (POC)

ช่องโหว่ดังกล่าวมีหมายเลข CVE-2024-41869 ระดับ Critical โดยเป็นช่องโหว่ที่ทำให้สามารถเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกลได้ เมื่อเปิดไฟล์ PDF ที่ถูกสร้างขึ้นมาเป็นพิเศษ

หลังจากเปิดไฟล์แล้ว อาจจะเกิด bug "use after free" บางอย่าง เมื่อโปรแกรมพยายามเข้าถึงข้อมูลภายในหน่วยความจำที่ไม่ได้มีการตรวจสอบ ซึ่งทำให้เกิดพฤติกรรมผิดปกติ เช่น โปรแกรมหยุดทำงาน หรือค้าง

อย่างไรก็ตาม หากผู้โจมตีสามารถทำการจัดเก็บโค้ดที่เป็นอันตรายไว้ในตำแหน่งหน่วยความจำนั้น และโปรแกรมเข้าถึงโค้ดนั้นในภายหลัง ก็สามารถใช้เพื่อรันโค้ดที่เป็นอันตรายบนอุปกรณ์เป้าหมายได้

ช่องโหว่หมายเลข CVE-2024-41869 ได้รับการแก้ไขแล้วใน Acrobat Reader และ Adobe Acrobat เวอร์ชันล่าสุด

PoC exploit ถูกพบในเดือนมิถุนายน

ช่องโหว่ Zero-day ของ Acrobat Reader ถูกค้นพบโดย EXPMON ในเดือนมิถุนายนผ่านมา ซึ่งเป็นแพลตฟอร์มในรูปแบบ sandbox ที่สร้างขึ้นโดยนักวิจัยความปลอดภัยทางไซเบอร์ Haifei Li เพื่อตรวจจับช่องโหว่ที่มีระดับความรุนแรงสูง เช่น zero-day หรือช่องโหว่ที่อาจตรวจจับได้ยาก

โดย Haifei Li ระบุกับ BleepingComputer ว่าได้สร้าง EXPMON ขึ้นมาเพราะสังเกตเห็นว่าไม่มีระบบการตรวจจับ และวิเคราะห์โดยใช้ sandbox-based ที่มุ่งเน้นการตรวจจับภัยคุกคามจากมุมมองของช่องโหว่ หรือช่องโหว่โดยเฉพาะ

ระบบอื่น ๆ จะตรวจจับจากรูปแบบของมัลแวร์ ซึ่งการตรวจจับแบบ exploit หรือ vulnerability perspective มีความจำเป็นอย่างยิ่งหากต้องการตรวจจับการโจมตีในระดับสูง (หรือในระยะเริ่มต้น)

ตัวอย่างเช่น หากไม่มีมัลแวร์ที่ถูก dropped หรือถูกเรียกใช้เนื่องจากเงื่อนไขบางอย่าง และการโจมตีไม่ได้มีการใช้มัลแวร์เลย ระบบเหล่านั้นจะไม่สามารถตรวจจับการโจมตีเหล่านี้ได้ ซึ่งช่องโหว่มีการทำงานที่ต่างจากมัลแวร์มาก ดังนั้นจึงต้องใช้วิธีอื่นในการตรวจจับช่องโหว่เหล่านี้

ช่องโหว่แบบ Zero-day ถูกค้นพบหลังจากมีการส่งตัวอย่างจำนวนมากจากแหล่งข้อมูลสาธารณะไปยัง EXPMON เพื่อทำการวิเคราะห์ ตัวอย่างเหล่านี้ รวมถึง PDF proof-of-concept ซึ่งส่งผลทำให้ระบบหยุดทำงานดังกล่าว

แม้ว่าการโจมตีอาจจะยังอยู่ในระหว่างการทดสอบ และยังไม่มี malicious payloads ที่เป็นอันตราย แต่ก็มีการยืนยันออกมาว่าสามารถใช้ประโยชน์จากช่องโหว่นี้ในการโจมตีได้ ซึ่งอาจเป็นการโจมตีแบบการเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกล

หลังจากที่ Haifei Li เปิดเผยช่องโหว่ดังกล่าวกับทาง Adobe ก็ได้มีการการอัปเดตแก้ไขช่องโหว่ในเดือนสิงหาคม อย่างไรก็ตามการอัปเดตไม่ได้แก้ไขช่องโหว่ดังกล่าว และยังคงสามารถเรียกใช้งานได้อยู่หลังจากมีการปิด dialogs ต่าง ๆ

บัญชี EXPMON ใน X ระบุว่าได้มีการทดสอบตัวอย่าง (ที่เหมือนกันทุกประการ) บน Adobe Reader เวอร์ชันที่แก้ไขแล้ว โดยยังพบ dialogs อื่น ๆ เพิ่มเติม แต่ถ้าผู้ใช้มีการคลิก หรือปิด dialogs เหล่านั้น แอปก็ยังคงหยุดการทำงานเหมือนเดิม

เมื่อวันที่ 10 กันยายน 2024 ทาง Adobe ได้ออกแพตช์แก้ไขช่องโหว่หมายเลข CVE-2024-41869 อีกครั้ง

Haifei Li จะเปิดเผยรายละเอียดเกี่ยวกับวิธีการตรวจจับช่องโหว่บน EXPMON blog และข้อมูลทางเทคนิคเพิ่มเติมในรายงานการวิจัยของ Check Point ที่จะออกในเร็ว ๆ นี้

ที่มา : www.

GitHub กำลังถูกใช้งานเพื่อเผยแพร่มัลแวร์ Lumma Stealer ที่มีความสามารถในการขโมยข้อมูล ผ่านการโพสต์วิธีการแก้ไขปัญหาปลอมในความคิดเห็นของโปรเจกต์ต่าง ๆ

การโจมตีนี้ถูกรายงานครั้งแรกโดย contributor ในไลบรารี Rust ของ Teloxide ซึ่งได้ระบุไว้บน Reddit ว่า พวกเขาได้รับความคิดเห็นที่ดูเหมือนจะเป็นการแก้ไขปัญหา แต่แท้จริงแล้วกลับเป็นการเผยแพร่มัลแวร์

การตรวจสอบเพิ่มเติมโดย BleepingComputer พบว่า มีความคิดเห็นที่คล้ายกันหลายพันรายการที่โพสต์ลงในโปรเจ็กต์ต่าง ๆ มากมายบน GitHub ซึ่งทั้งหมดล้วนเสนอการแก้ไขปัญหาปลอม ๆ ให้กับคำถามของผู้อื่น

วิธีแก้ปัญหานี้ คือ จะหลอกให้ดาวน์โหลดไฟล์ archive ที่ใส่รหัสผ่านไว้จาก mediafire.

Microsoft ออกอัปเดต Patch Tuesday ประจำเดือนกันยายน 2024 โดยได้แก้ไขช่องโหว่ 79 รายการ รวมถึงช่องโหว่ที่กำลังถูกใช้ในการโจมตี 3 รายการ และช่องโหว่ Zero-day ที่ถูกเปิดเผยต่อสาธารณะ 1 รายการ

Patch Tuesday ประจำเดือนกันยายน 2024 ได้แก้ไขช่องโหว่ระดับ Critical จำนวน 7 รายการ ซึ่งเป็นช่องโหว่การเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกล (remote code execution)

ช่องโหว่ในแต่ละประเภทมีดังต่อไปนี้ :

ช่องโหว่การยกระดับสิทธิ์ (Privilege Escalation) 30 รายการ
ช่องโหว่การ Bypass คุณลักษณะด้านความปลอดภัย (Security Feature Bypass) 4 รายการ
ช่องโหว่การเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกล (Remote Code Execution) 23 รายการ
ช่องโหว่ในการเปิดเผยข้อมูล (Information Disclosure) 11 รายการ
ช่องโหว่ที่ทำให้เกิด DoS (Denial of Service) 8 รายการ
ช่องโหว่ของการปลอมแปลง (Spoofing) 3 รายการ

ช่องโหว่ Zero-Days 4 รายการที่ถูกแก้ไข

Patch Tuesday ประจำเดือนกันยายน 2024 ได้แก้ไขช่องโหว่ zero-day ที่กำลังถูกใช้ในการโจมตี 3 รายการ และช่องโหว่ zero-day ที่ถูกเปิดเผยต่อสาธารณะอีก 1 รายการ

Microsoft จัดประเภทช่องโหว่ zero-day เป็นช่องโหว่ที่ถูกเปิดเผยต่อสาธารณะ หรือกำลังถูกใช้ในการโจมตีในขณะที่ยังไม่มีการแก้ไขอย่างเป็นทางการ

ช่องโหว่ zero-day ที่กำลังถูกใช้ในการโจมตี 3 รายการใน Patch Tuesday ประจำเดือนกันยายน 2024 :

CVE-2024-38014 - Windows Installer Elevation of Privilege Vulnerability

ช่องโหว่นี้ทำให้สามารถได้รับสิทธิ์ SYSTEM บนระบบ Windows ได้ ทั้งนี้ Microsoft ยังไม่ได้เปิดเผยรายละเอียดใด ๆ ว่าถูกนำไปใช้ในการโจมตีได้อย่างไร ช่องโหว่ดังกล่าวถูกค้นพบโดย Michael Baer จาก SEC Consult Vulnerability Lab

CVE-2024-38217 - Windows Mark of the Web Security Feature Bypass Vulnerability

ช่องโหว่นี้ได้รับการเปิดเผยต่อสาธารณะเมื่อเดือนที่แล้วโดย Joe Desimone แห่ง Elastic Security และเชื่อว่าช่องโหว่ถูกใช้ในการโจมตีมาตั้งแต่ปี 2018

ในรายงาน Desimone ได้สรุปเทคนิคที่เรียกว่า LNK stomping ซึ่งช่วยให้ LNK files ที่สร้างขึ้นมาเป็นพิเศษ ซึ่งมีเส้นทางเป้าหมาย หรือโครงสร้างภายในที่ไม่เป็นมาตรฐาน สามารถทำให้ไฟล์ถูกเปิดได้ โดยหลีกเลี่ยง (Bypass) Smart App Control และคำเตือน Mark of the Web security ซึ่งส่งผลกระทบต่อความสมบูรณ์ และความพร้อมใช้งานของฟีเจอร์ความปลอดภัย เช่น SmartScreen Application Reputation security check หรือ legacy Windows Attachment Services security prompt เมื่อโจมตีสำเร็จ จะทำให้คำสั่งใน LNK file ถูกเรียกใช้งานได้โดยไม่มีคำเตือน

CVE-2024-38226 - Microsoft Publisher Security Feature Bypass Vulnerability

ช่องโหว่ของ Microsoft Publisher ที่สามารถหลีกเลี่ยง (Bypass) การป้องกันความปลอดภัยต่อ macros ที่แนบใน downloaded documents

นอกจากนี้ Microsoft ยังได้แก้ไขช่องโหว่ zero-day ที่ถูกเปิดเผยต่อสาธารณะอีกหนึ่งช่องโหว่คือ

CVE-2024-43491 - Microsoft Windows Update Remote Code Execution Vulnerability

ช่องโหว่ของ servicing stack ที่ถูกระบุว่าเป็นการเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกล (RCE) แต่จริง ๆ แล้วได้สร้างช่องโหว่ต่าง ๆ ขึ้นมาในระบบที่ได้รับการแก้ไขช่องโหว่ไปแล้วก่อนหน้านี้ ซึ่งส่งผลกระทบต่อ Optional Components บน Windows 10 เวอร์ชัน 1507

Hacker สามารถใช้ช่องโหว่ที่ได้รับการแก้ไขก่อนหน้านี้บนระบบ Windows 10 เวอร์ชัน 1507 (Windows 10 Enterprise 2015 LTSB และ Windows 10 IoT Enterprise 2015 LTSB) ที่ติดตั้งการอัปเดตความปลอดภัยของ Windows ที่เผยแพร่เมื่อวันที่ 12 มีนาคม 2024—KB5035858 (OS Build 10240.20526) หรือการอัปเดตอื่น ๆ ที่เผยแพร่จนถึงเดือนสิงหาคม 2024 ทั้งนี้ Windows 10 เวอร์ชันใหม่กว่าทั้งหมดจะไม่ได้รับผลกระทบจากช่องโหว่ดังกล่าว

ช่องโหว่นี้มีผลเฉพาะกับ Windows 10 เวอร์ชัน 1507 เท่านั้น ซึ่งจะสิ้นสุดการสนับสนุน (EoL) ในปี 2017 อย่างไรก็ตามช่องโหว่นี้ยังส่งผลต่อ Windows 10 Enterprise 2015 LTSB และ Windows 10 IoT Enterprise 2015 LTSB ซึ่งยังอยู่ภายใต้การสนับสนุนอีกด้วย

รวมถึงช่องโหว่นี้มีความน่าสนใจเนื่องจากทำให้ Optional Components เช่น Active Directory Lightweight Directory Services, XPS Viewer, Internet Explorer 11, LPD Print Service, IIS และ Windows Media Player สามารถย้อนกลับไปเป็นเวอร์ชัน RTM เดิมได้ ทำให้ Hacker สามารถนำช่องโหว่ CVE เก่า กลับมาใช้ในการโจมตีได้

การอัปเดตด้านความปลอดภัยจากบริษัทอื่น ๆ

นอกจาก Microsoft ได้ออกแพตซ์อัปเดต Patch Tuesday ประจำเดือนกันยายน 2024 แล้ว ยังมีบริษัทอื่น ๆ ที่ออกแพตซ์อัปเดตด้านความปลอดภัยเช่นกัน ได้แก่ :

Apache แก้ไขช่องโหว่การเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกลระดับ Critical ของ OFBiz ซึ่งเป็นการแก้ไขสำหรับช่องโหว่ที่แก้ไขก่อนหน้านี้
Cisco ได้แก้ไขช่องโหว่หลายรายการ รวมทั้ง backdoor admin account ใน Smart Licensing Utility และช่องโหว่ command injection ใน ISE
การโจมตี extracts ECDSA secret key เพื่อโคลนอุปกรณ์ YubiKey FIDO
Fortinet เปิดตัวแพตซ์อัปเดตด้านความปลอดภัยสำหรับช่องโหว่ใน Fortisandbox และ FortiAnalyzer และ FortiManager
Google แก้ไขช่องโหว่การยกระดับสิทธิ์ของ Pixel ที่ถูกใช้ในการโจมตีไปยังอุปกรณ์ Android อื่นๆ
Ivanti ออกแพตซ์อัปเดตความปลอดภัยสำหรับ vTM auth bypass ที่พบว่ามี Public Exploit
การแก้ไข LiteSpeed Cache plugin สำหรับ WordPress ที่เกิดปัญหาการขโมยบัญชีโดยไม่ได้รับอนุญาต
ช่องโหว่ access control ของ SonicWall ที่ได้รับการแก้ไขเมื่อเดือนที่แล้ว ซึ่งถูกนำไปใช้ในการโจมตีแบบ ransomware แล้ว
Veeam แก้ไขช่องโหว่ RCE ระดับ Critical ในซอฟต์แวร์ Backup & Replication
Zyxel แจ้งเตือนช่องโหว่ OS command injection ระดับ Critical ใน router

ที่มา : https://www.

GitHub กำลังถูกใช้งานเพื่อเผยแพร่มัลแวร์ Lumma Stealer ที่มีความสามารถในการขโมยข้อมูล ผ่านการโพสต์วิธีการแก้ไขปัญหาปลอมในความคิดเห็นของโปรเจกต์ต่าง ๆ

การโจมตีนี้ถูกรายงานครั้งแรกโดย contributor ในไลบรารี Rust ของ Teloxide ซึ่งได้ระบุไว้บน Reddit ว่า พวกเขาได้รับความคิดเห็นที่ดูเหมือนจะเป็นการแก้ไขปัญหา แต่แท้จริงแล้วกลับเป็นการเผยแพร่มัลแวร์

การตรวจสอบเพิ่มเติมโดย BleepingComputer พบว่า มีความคิดเห็นที่คล้ายกันหลายพันรายการที่โพสต์ลงในโปรเจ็กต์ต่าง ๆ มากมายบน GitHub ซึ่งทั้งหมดล้วนเสนอการแก้ไขปัญหาปลอม ๆ ให้กับคำถามของผู้อื่น

วิธีแก้ปัญหานี้ คือ จะหลอกให้ดาวน์โหลดไฟล์ archive ที่ใส่รหัสผ่านไว้จาก mediafire.

นักวิจัยความปลอดภัยทางไซเบอร์แนะนำให้ผู้ใช้ทำการอัปเกรด Adobe Acrobat Reader หลังจากเมื่อวันที่ 10 กันยายน 2024 มีการออกแพตช์แก้ไขช่องโหว่ zero-day ในการเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกล พร้อมกันกับการพบ proof-of-concept exploit (POC)

ช่องโหว่ดังกล่าวมีหมายเลข CVE-2024-41869 ระดับ Critical โดยเป็นช่องโหว่ที่ทำให้สามารถเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกลได้ เมื่อเปิดไฟล์ PDF ที่ถูกสร้างขึ้นมาเป็นพิเศษ

หลังจากเปิดไฟล์แล้ว อาจจะเกิด bug "use after free" บางอย่าง เมื่อโปรแกรมพยายามเข้าถึงข้อมูลภายในหน่วยความจำที่ไม่ได้มีการตรวจสอบ ซึ่งทำให้เกิดพฤติกรรมผิดปกติ เช่น โปรแกรมหยุดทำงาน หรือค้าง

อย่างไรก็ตาม หากผู้โจมตีสามารถทำการจัดเก็บโค้ดที่เป็นอันตรายไว้ในตำแหน่งหน่วยความจำนั้น และโปรแกรมเข้าถึงโค้ดนั้นในภายหลัง ก็สามารถใช้เพื่อรันโค้ดที่เป็นอันตรายบนอุปกรณ์เป้าหมายได้

ช่องโหว่หมายเลข CVE-2024-41869 ได้รับการแก้ไขแล้วใน Acrobat Reader และ Adobe Acrobat เวอร์ชันล่าสุด

PoC exploit ถูกพบในเดือนมิถุนายน

ช่องโหว่ Zero-day ของ Acrobat Reader ถูกค้นพบโดย EXPMON ในเดือนมิถุนายนผ่านมา ซึ่งเป็นแพลตฟอร์มในรูปแบบ sandbox ที่สร้างขึ้นโดยนักวิจัยความปลอดภัยทางไซเบอร์ Haifei Li เพื่อตรวจจับช่องโหว่ที่มีระดับความรุนแรงสูง เช่น zero-day หรือช่องโหว่ที่อาจตรวจจับได้ยาก

โดย Haifei Li ระบุกับ BleepingComputer ว่าได้สร้าง EXPMON ขึ้นมาเพราะสังเกตเห็นว่าไม่มีระบบการตรวจจับ และวิเคราะห์โดยใช้ sandbox-based ที่มุ่งเน้นการตรวจจับภัยคุกคามจากมุมมองของช่องโหว่ หรือช่องโหว่โดยเฉพาะ

ระบบอื่น ๆ จะตรวจจับจากรูปแบบของมัลแวร์ ซึ่งการตรวจจับแบบ exploit หรือ vulnerability perspective มีความจำเป็นอย่างยิ่งหากต้องการตรวจจับการโจมตีในระดับสูง (หรือในระยะเริ่มต้น)

ตัวอย่างเช่น หากไม่มีมัลแวร์ที่ถูก dropped หรือถูกเรียกใช้เนื่องจากเงื่อนไขบางอย่าง และการโจมตีไม่ได้มีการใช้มัลแวร์เลย ระบบเหล่านั้นจะไม่สามารถตรวจจับการโจมตีเหล่านี้ได้ ซึ่งช่องโหว่มีการทำงานที่ต่างจากมัลแวร์มาก ดังนั้นจึงต้องใช้วิธีอื่นในการตรวจจับช่องโหว่เหล่านี้

ช่องโหว่แบบ Zero-day ถูกค้นพบหลังจากมีการส่งตัวอย่างจำนวนมากจากแหล่งข้อมูลสาธารณะไปยัง EXPMON เพื่อทำการวิเคราะห์ ตัวอย่างเหล่านี้ รวมถึง PDF proof-of-concept ซึ่งส่งผลทำให้ระบบหยุดทำงานดังกล่าว

แม้ว่าการโจมตีอาจจะยังอยู่ในระหว่างการทดสอบ และยังไม่มี malicious payloads ที่เป็นอันตราย แต่ก็มีการยืนยันออกมาว่าสามารถใช้ประโยชน์จากช่องโหว่นี้ในการโจมตีได้ ซึ่งอาจเป็นการโจมตีแบบการเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกล

หลังจากที่ Haifei Li เปิดเผยช่องโหว่ดังกล่าวกับทาง Adobe ก็ได้มีการการอัปเดตแก้ไขช่องโหว่ในเดือนสิงหาคม อย่างไรก็ตามการอัปเดตไม่ได้แก้ไขช่องโหว่ดังกล่าว และยังคงสามารถเรียกใช้งานได้อยู่หลังจากมีการปิด dialogs ต่าง ๆ

บัญชี EXPMON ใน X ระบุว่าได้มีการทดสอบตัวอย่าง (ที่เหมือนกันทุกประการ) บน Adobe Reader เวอร์ชันที่แก้ไขแล้ว โดยยังพบ dialogs อื่น ๆ เพิ่มเติม แต่ถ้าผู้ใช้มีการคลิก หรือปิด dialogs เหล่านั้น แอปก็ยังคงหยุดการทำงานเหมือนเดิม

เมื่อวันที่ 10 กันยายน 2024 ทาง Adobe ได้ออกแพตช์แก้ไขช่องโหว่หมายเลข CVE-2024-41869 อีกครั้ง

Haifei Li จะเปิดเผยรายละเอียดเกี่ยวกับวิธีการตรวจจับช่องโหว่บน EXPMON blog และข้อมูลทางเทคนิคเพิ่มเติมในรายงานการวิจัยของ Check Point ที่จะออกในเร็ว ๆ นี้

ที่มา : https://www.

กลุ่ม Mustang Panda ซึ่งเป็นกลุ่มผู้โจมตีแบบ advanced persistent threat (APT) ที่มีความเชื่อมโยงกับรัฐบาลจีน มีการนำซอฟต์แวร์ Visual Studio Code มาใช้ในการโจมตีเพื่อขโมยข้อมูล โดยมีเป้าหมายคือ หน่วยงานของรัฐบาลในทวีปในเอเชียตะวันออกเฉียงใต้

Tom Fakterman นักวิจัยจาก Palo Alto Networks Unit 42 ระบุว่า "ผู้โจมตีรายนี้ใช้ฟีเจอร์ Reverse Shell ที่อยู่ใน Visual Studio Code เพื่อเข้าถึงในเครือข่ายเป้าหมาย โดยถือว่าเป็นเทคนิคที่ค่อนข้างใหม่ ที่ได้รับการสาธิตครั้งแรกในเดือนกันยายน 2023 โดย ทรูวิส ธอร์นตัน"

แคมเปญนี้ได้รับการประเมินว่าเป็นการสานต่อการโจมตีที่เคยมีก่อนหน้านี้ในช่วงปลายเดือนกันยายน 2023 ซึ่งมีเป้าหมายไปยังหน่วยงานรัฐในเอเชียตะวันออกเฉียงใต้ และไม่ได้มีการระบุชื่อหน่วยงาน

กลุ่ม Mustang Panda ที่รู้จักกันในชื่อ BASIN, Bronze President, Camaro Dragon, Earth Preta, HoneyMyte, RedDelta และ Red Lich ได้ปฏิบัติการมาตั้งแต่ปี 2012 โดยมักจะโจมตีไปยังเป้าหมายที่เป็นหน่วยงานของรัฐ และองค์กรศาสนาทั่วทั้งยุโรป และเอเชีย โดยเฉพาะหน่วยงานที่ตั้งอยู่ในประเทศแถบทะเลจีนใต้

จากการตรวจสอบการโจมตีล่าสุด พบว่ามีการใช้ reverse shell ของ Visual Studio Code เพื่อเรียกใช้โค้ดที่ต้องการ และมีการส่ง additional payloads ในการโจมตี

Fakterman ระบุว่า หากมีการใช้ Visual Studio Code ในการโจมตี ผู้โจมตีจะทำการใช้ code.

ผู้ใช้อุปกรณ์ Android ในประเทศเกาหลีใต้กลายเป็นเป้าหมายของแคมเปญมัลแวร์บนมือถือ ที่จะทำการแพร่กระจายมัลแวร์ชนิดใหม่ที่เรียกว่า SpyAgent

SangRyol Ryu นักวิจัยของ McAfee Labs ระบุว่า มัลแวร์ตัวนี้ "จะมุ่งเป้าไปที่ mnemonic keys โดยการสแกนหาภาพบนอุปกรณ์ของเหยื่อที่อาจมีคีย์เหล่านี้อยู่" และยังระบุอีกว่าการโจมตีนี้ได้ทำการขยายไปถึงยังสหราชอาณาจักร (UK) แล้วอีกด้วย

แฮ็กเกอร์จะโจมตีโดยใช้แอปบน Android ปลอม ที่ถูกปลอมแปลงให้ดูเหมือนเป็นแอปที่ถูกต้อง เช่น แอปธนาคาร, แอปหน่วยงานรัฐบาล, แอปสตรีมมิง และแอปบริการต่าง ๆ เพื่อหลอกล่อให้ผู้ใช้ติดตั้งแอปเหล่านี้ โดยมีการตรวจพบแอปปลอมแล้วถึง 280 แอป นับตั้งแต่ต้นปีที่ผ่านมา

การโจมตีเริ่มต้นด้วยการส่งข้อความ SMS ที่มีลิงก์อันตรายแนบมาด้วย เมื่อผู้ใช้ดาวน์โหลดแอปเหล่านี้ในรูปแบบของไฟล์ APK ที่อยู่บนเว็บไซต์หลอกลวง เมื่อมีการติดตั้งแอปเหล่านี้เข้าไปแล้ว จะมีการขอสิทธิ์การอนุญาตต่าง ๆ บนอุปกรณ์ เพื่อที่จะเก็บรวบรวมข้อมูลจากอุปกรณ์ที่ถูกโจมตี

ข้อมูลที่ถูกขโมยมาจะประกอบด้วย รายชื่อผู้ติดต่อ, ข้อความ SMS, รูปภาพ และข้อมูลอื่น ๆ ของอุปกรณ์ ซึ่งทั้งหมดนี้จะถูกส่งออกไปยังเซิร์ฟเวอร์ภายนอกที่อยู่ภายใต้การควบคุมของผู้โจมตี

คุณสมบัติที่โดดเด่นของ OCR คือความสามารถในการใช้เทคโนโลยีการตรวจสอบอักขระ เพื่อขโมย mnemonic keys ซึ่งคือรหัสการกู้คืน หรือ seed phrase ที่จะช่วยให้ผู้ใช้สามารถเข้าถึงกระเป๋าเงินดิจิทัล (cryptocurrency wallets) ของตนเองได้อีกครั้ง

ดังนั้นการสามารถเข้าถึง mnemonic keys โดยไม่ได้รับอนุญาต อาจทำให้ผู้โจมตีสามารถเข้าควบคุมกระเป๋าเงิน (wallets) ของเหยื่อ และขโมยเงินทั้งหมดที่เก็บไว้ในนั้นออกไปได้

McAfee Labs ระบุว่าโครงสร้างพื้นฐานของ command-and-control (C2) ของผู้โจมตี มีช่องโหว่ด้านความปลอดภัยอย่างร้ายแรง ซึ่งไม่เพียงแต่จะทำให้สามารถเข้าถึงไดเรกทอรีหลักของเว็บไซต์ได้โดยไม่ต้องผ่านการตรวจสอบสิทธิ์เท่านั้น แต่ยังทำให้ข้อมูลที่รวบรวมมาจากเหยื่อถูกเปิดเผยอีกด้วย

นอกจากนี้ เซิร์ฟเวอร์ยังมี administrator panel ที่ทำหน้าที่เป็นศูนย์กลางในการควบคุมอุปกรณ์ที่ถูกควบคุมจากระยะไกล และการพบว่ามีอุปกรณ์ Apple iPhone ที่ใช้ iOS 15.8.2 ที่มีการตั้งค่าภาษาของระบบเป็นภาษาจีนตัวย่อ ("zh") ใน panel อาจเป็นสัญญาณให้เห็นว่าผู้โจมตีกำลังเล็งเป้าหมายไปยังผู้ใช้ iOS ด้วยเช่นกัน

Ryu ระบุว่า "เดิมทีมัลแวร์จะสื่อสารกับเซิร์ฟเวอร์ command-and-control (C2) ผ่าน HTTP request แบบง่าย ๆ แม้ว่าวิธีนี้จะได้ผล แต่เครื่องมือรักษาความปลอดภัยก็สามารถติดตาม และบล็อกได้ค่อนข้างง่าย"

"ในการเปลี่ยนแปลงวิธีการที่สำคัญ มัลแวร์ตัวนี้จะเปลี่ยนมาใช้การเชื่อมต่อแบบ WebSocket สำหรับการสื่อสาร การอัปเกรดนี้จะช่วยทำให้สามารถสื่อสารสองทางแบบเรียลไทม์กับเซิร์ฟเวอร์ C2 ได้อย่างมีประสิทธิภาพมากขึ้น และยังช่วยให้หลีกเลี่ยงการตรวจจับจากเครื่องมือตรวจสอบเครือข่ายที่ใช้ HTTP แบบดั้งเดิมได้อีกด้วย"

การพัฒนาดังกล่าวเกิดขึ้นเพียงหนึ่งเดือนหลังจากที่ Group-IB เปิดเผย trojan บน Android ที่สามารถควบคุมจากระยะไกลได้ (RAT) อีกตัวหนึ่งที่เรียกว่า CraxsRAT ซึ่งมีเป้าหมายเป็นผู้ใช้บริการธนาคารในมาเลเซียตั้งแต่เดือนกุมภาพันธ์ 2024 ที่ผ่านมา โดยใช้เว็บไซต์ phishing นอกจากนี้ยังมีการระบุว่าแคมเปญ CraxsRAT เคยถูกพบว่ามีเป้าหมายเป็นประเทศสิงคโปร์มาแล้วเมื่อเดือนเมษายน 2023

บริษัทในสิงคโปร์ ระบุว่า "CraxsRAT เป็นตระกูลมัลแวร์ที่มีชื่อเสียงในกลุ่ม Android Remote Administration Tools (RAT) ที่มีคุณสมบัติในการควบคุมอุปกรณ์จากระยะไกล และมีความสามารถในการสอดแนม รวมถึงการบันทึกการกดแป้นพิมพ์, การแสดงท่าทาง, การบันทึกกล้อง, หน้าจอ และการโทรอีกด้วย

ที่มา : thehackernews