Microsoft ได้เผยแพร่ Patch Tuesday ประจำเดือนมิถุนายน 2024 ซึ่งประกอบด้วยการอัปเดตแพตซ์ความปลอดภัยสำหรับช่องโหว่ 51 รายการ ซึ่งในจำนวนนี้เป็นช่องโหว่การเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกล (RCE) 18 รายการ และเป็นช่องโหว่ Zero-day 1 รายการ คือช่องโหว่การเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกล (RCE) ใน Microsoft Message Queuing (MSMQ)

จำนวนช่องโหว่ในแต่ละหมวดหมู่มีดังต่อไปนี้ :

ช่องโหว่การยกระดับสิทธิ์ (privilege escalation) 25 รายการ
ช่องโหว่การเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกล (Remote Code Execution) 18 รายการ
ช่องโหว่ในการเปิดเผยข้อมูล (Information Disclosure) 3 รายการ
ช่องโหว่การปฏิเสธการให้บริการ (Denial of Service) 5 รายการ

ทั้งนี้ช่องโหว่ทั้ง 51 รายการ ยังไม่รวมช่องโหว่ของ Microsoft Edge 7 รายการที่ได้รับแก้ไขไปแล้วเมื่อวันที่ 3 มิถุนายน 2024

ช่องโหว่ Zero-day

ทั้งนี้ Patch Tuesday ประจำเดือนมิถุนายน 2024 มีช่องโหว่ Zero-day หนึ่งรายการหมายเลข CVE-2023-50868 NSEC3 closest encloser proof can exhaust CPU ซึ่งเป็นช่องโหว่ในการตรวจสอบความถูกต้องของ DNSSEC ซึ่งทำให้ Hacker สามารถใช้ประโยชน์จาก standard DNSSEC protocol ที่มีจุดประสงค์เพื่อความสมบูรณ์ของ DNS โดยการใช้ resources ที่มากเกินไปบน resolver ทำให้เกิด denial of service(DoS) กับผู้ใช้งาน

โดยช่องโหว่ดังกล่าวถูกเปิดเผยมาก่อนหน้านี้ในเดือนกุมภาพันธ์ 2024 และได้รับการแก้ไขไปแล้วใน DNS อื่น ๆ เช่น BIND, PowerDNS, Unbound, Knot Resolver และ Dnsmasq

นอกจากนี้ Patch Tuesday ประจำเดือนมิถุนายน 2024 ยังมีการแก้ไขช่องโหว่อื่น ๆ ที่น่าสนใจ ได้แก่ ช่องโหว่การเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกลของ Microsoft Office หลายรายการ รวมถึง Microsoft Outlook RCEs ที่สามารถใช้ประโยชน์ได้จากช่องโหว่ใน preview pane รวมถึงช่องโหว่ในการยกระดับสิทธิ์ Windows Kernel 7 รายการที่อาจทำให้ Hacker ที่เข้าถึงเครื่องได้ ได้รับสิทธิ์ SYSTEM

การแก้ไขช่องโหว่ของบริษัทอื่น ๆ

นอกจากนี้ยังมีการออกแพตซ์แก้ไขช่องโหว่ของบริษัทอื่น ๆ ในเดือนมิถุนายน 2024 ได้แก่ :

Apple แก้ไขช่องโหว่ด้านความปลอดภัย 21 รายการในรุ่น VisionOS 1.2
ARM แก้ไขช่องโหว่ที่ถูกโจมตีอย่างต่อเนื่องใน Mali GPU kernel drivers
Cisco แก้ไขช่องโหว่ความปลอดภัยสำหรับ Cisco Finesse และ Webex
Cox แก้ไขช่องโหว่ API auth bypass ที่ส่งผลกระทบต่อ modem หลายล้านอุปกรณ์
F5 อัปเดตความปลอดภัยสำหรับช่องโหว่ BIG-IP Next Central Manager API ที่มีระดับความรุนแรงสูง 2 รายการ
PHP แก้ไขช่องโหว่ RCE ระดับ Critical ซึ่งกำลังถูกใช้ในการโจมตีด้วยแรนซัมแวร์
TikTok แก้ไขช่องโหว่ Zero-day และ Zero-Click ที่ถูกโจมตีในฟีเจอร์ Direct Message
VMware แก้ไขช่องโหว่ Zero-day 3 รายการ ที่ถูกโจมตีที่ Pwn2Own 2024
Zyxel ออกอัปเดตแก้ไขช่องโหว่ RCE ฉุกเฉินสำหรับอุปกรณ์ NAS ที่หมดอายุการใช้งานไปแล้ว (EoL)

ที่มา : www.

ชุดสาธิตการโจมตีหรือ Proof-of-Concept (PoC) ของช่องโหว่ Authentication Bypass ของ Veeam Backup Enterprise Manager (CVE-2024-29849) ถูกปล่อยออกสู่สาธารณะเรียบร้อยแล้ว ผู้ดูแลระบบควรรีบทำการอัปเดตเพื่อป้องกันการถูกโจมตีจากช่องโหว่โดยด่วน

Veeam Backup Enterprise Manager (VBEM) เป็น web-based platform สำหรับจัดการการติดตั้ง Veeam Backup & Replication ผ่านทาง web console ช่วยควบคุมงานสำรองข้อมูล และการกู้คืนข้อมูลใน backup infrastructure ขององค์กร

Veeam ได้เผยแพร่ช่องโหว่ดังกล่าวเมื่อวันที่ 21 พฤษภาคม 2024 โดยช่องโหว่ดังกล่าวทำให้ Hacker ที่ไม่ต้องผ่านการยืนยันตัวตน สามารถเข้าสู่ VBEM web interface ในฐานะผู้ใช้งานคนใดก็ได้ ซึ่งปัจจุบันสามารถแก้ไขได้โดยการอัปเดตเป็น VBEM เวอร์ชัน 12.1.2.172

รายละเอียดการโจมตี

Sina Kheirkha นักวิจัยด้านความปลอดภัยทางไซเบอร์ระบุว่า ช่องโหว่ดังกล่าวอยู่ใน 'Veeam.

นักวิจัยพบ TargetCompany ransomware เวอร์ชัน Linux ตัวใหม่ ที่กำลังกำหนดเป้าหมายการโจมตีไปที่ VMware ESXi environments โดยใช้ custom shell script เพื่อส่ง และเรียกใช้เพย์โหลดที่เป็นอันตราย

TargetCompany หรือในชื่อ Mallox, FARGO และ Tohnichi ซึ่งเริ่มพบการโจมตีมาตั้งแต่เดือนมิถุนายน 2021 โดยมีเป้าหมายการโจมตีไปยัง database (MySQL, Oracle, SQL Server) ขององค์กรส่วนใหญ่ในไต้หวัน เกาหลีใต้ ไทย และอินเดีย

ในเดือนกุมภาพันธ์ 2022 ทาง Avast บริษัทแอนตี้ไวรัส ได้เผยแพร่เครื่องมือถอดรหัส ransomware ฟรี ที่สามารถถอดรหัสเวอร์ชันต่าง ๆ ของ TargetCompany ได้ ซึ่งต่อมาในเดือนกันยายน 2022 กลุ่ม TargetCompany ransomware ได้กลับมาปฏิบัติการอีกครั้ง โดยมุ่งเป้าหมายการโจมตีไปที่ Microsoft SQL ที่มีช่องโหว่ และข่มขู่เหยื่อด้วยการเผยแพร่ข้อมูลที่ถูกขโมยออกมาผ่านทาง Telegram

TargetCompany ransomware เวอร์ชัน Linux ตัวใหม่

Trend Micro บริษัทรักษาความปลอดภัยทางไซเบอร์รายงานว่า TargetCompany ransomware เวอร์ชัน Linux ตัวใหม่ สามารถตรวจสอบได้ว่ามีสิทธิ์ระดับผู้ดูแลระบบก่อนที่จะดำเนินการโจมตีหรือไม่

ในการดาวน์โหลด และการเรียกใช้งานเพย์โหลดของแรนซัมแวร์ Hacker จะใช้ custom shell script ที่สามารถขโมยข้อมูลไปเก็บไว้ยังเซิร์ฟเวอร์ที่อยู่คนละที่กันสองเซิร์ฟเวอร์ได้ เผื่อในกรณีที่เกิดปัญหาทางเทคนิคกับเครื่องเหยื่อ โดยเพย์โหลดจะตรวจสอบว่ากำลังทำงานในสภาพแวดล้อม VMware ESXi หรือไม่ โดยการรันคำสั่ง 'uname' และค้นหา 'vmkernel'

จากนั้น ไฟล์ “TargetInfo.

PHP ออกอัปเดตเพื่อแก้ไขช่องโหว่การเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกล (Remote Code Execution (RCE)) บน Windows ซึ่งส่งผลกระทบตั้งแต่เวอร์ชัน 5.x และอาจส่งผลกระทบต่อเซิร์ฟเวอร์จำนวนมากทั่วโลก

PHP เป็น open-source scripting language ที่ใช้กันอย่างแพร่หลาย โดยถูกออกแบบมาเพื่อการพัฒนาเว็บ และใช้กันทั่วไปบนเซิร์ฟเวอร์ทั้งบน Windows และ Linux

CVE-2024-4577 (คะแนน CVSS 9.8/10 ความรุนแรงระดับ Critical) เป็นช่องโหว่การเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกล (RCE) ที่เกิดจากการจัดการ character encoding โดยเฉพาะฟีเจอร์ 'Best-Fit' บน Windows เมื่อใช้ PHP ในโหมด CGI

ทำให้ Hacker ที่ไม่ต้องผ่านการยืนยันตัวตนสามารถ bypass การป้องกันของช่องโหว่ CVE-2012-1823 ก่อนหน้านี้ ด้วย character ที่เฉพาะเจาะจง ทำให้สามารถดำเนินการได้บน PHP servers ผ่านการโจมตีแบบ argument injection attack ซึ่งช่องโหว่ถูกค้นพบโดย Orange Tsai นักวิจัยด้านความปลอดภัยของ Devcore Principal เมื่อวันที่ 7 พฤษภาคม 2024 และได้รายงานช่องโหว่ให้แก่นักพัฒนา PHP ในเวลาต่อมา

ช่องโหว่ CVE-2024-4577 ส่งผลกระทบต่อ PHP ทุกเวอร์ชันบน Windows หากผู้ใช้งานใช้ PHP 8.0 (End of Life), PHP 7.x (End of Life) หรือ PHP 5.x (End of Life) ควรอัปเดตให้เป็นเวอร์ชันที่ใหม่กว่า หรือใช้วิธีการลดผลกระทบของช่องโหว่

นักวิจัยระบุว่า แม้ว่า PHP จะไม่ได้ใช้งาน CGI mode แต่ช่องโหว่ CVE-2024-4577 ก็อาจยังคงสามารถถูกโจมตีได้ ตราบใดที่ไฟล์ปฏิบัติการ PHP (เช่น php.

Mandiant Threat Intelligence เปิดเผยปฏิบัติการที่ชื่อว่า “Ghostwriter/UNC1151” ซึ่งเป็นส่วนหนึ่งของแคมเปญใหญ่ที่สนับสนุนการดำเนินการทางทหารของรัสเซีย และนโยบายต่อต้าน NATO แคมเปญนี้มีความเคลื่อนไหวมาตั้งแต่เดือนมีนาคม 2017 โดยมุ่งเป้าหมายหลักไปยังผู้ใช้งานในยูเครน, ลิทัวเนีย, ลัตเวีย และโปแลนด์ และแพร่กระจายข้อมูลปลอมผ่านเว็บไซต์ที่ถูกโจมตี และบัญชีอีเมลปลอม โดยคาดกันว่า UNC1151 มีความเกี่ยวข้องกับรัฐบาลเบลารุส

CRIL พบแคมเปญที่ใช้เอกสาร XLS ที่เป็นอันตรายเมื่อไม่นานมานี้ โดยจากการวิเคราะห์เพิ่มเติมแสดงให้เห็นว่าแคมเปญนี้มีความเชื่อมโยงกับแคมเปญมัลแวร์ที่มุ่งเป้าไปที่ยูเครน และกลุ่ม UNC1151 ซึ่งบ่งบอกถึงความเกี่ยวข้องกับรัฐบาลเบลารุส และเป็นส่วนหนึ่งของปฏิบัติการ GhostWriter

จากเอกสารปลอมที่พบ กลุ่มผู้ไม่หวังดีมุ่งเป้าหมายไปยังองค์กรทางทหารของยูเครน (กระทรวงกลาโหมยูเครน ฐานทัพทหาร A0000) ผ่านทาง Excel worksheets ปลอม โดยการโจมตีเริ่มต้นจากการส่งอีเมลสแปมที่มีไฟล์แนบที่ถูก compressed ไว้ ซึ่งภายในมี Excel worksheet ที่เป็นอันตราย เมื่อเปิดเอกสาร Excel จะรัน VBA Macro ที่ถูกฝังไว้ ซึ่งจะทำการ drops ไฟล์ LNK และ DLL จากนั้นเมื่อไฟล์ LNK ถูกเรียกใช้งานจะทำให้ DLL loader ทำงาน ซึ่งนำไปสู่การติดมัลแวร์ในระบบเป้าหมายในที่สุด

การเปลี่ยนแปลง TTP (Tactics, Techniques and Procedures) ใหม่ในแคมเปญนี้เกี่ยวข้องกับการเปลี่ยนแปลงจากวิธีการก่อนหน้านี้ ในแคมเปญก่อนหน้า กลุ่ม UNC1151 จะดาวน์โหลดไฟล์ JPG ที่เข้ารหัสโดยใช้ DLL loader ซึ่งไฟล์นั้นจะถูกถอดรหัสเพื่อใช้งาน final payload executable ส่วนในแคมเปญล่าสุด กลุ่ม UNC1151 จะดาวน์โหลดไฟล์ SVG ที่เข้ารหัส ซึ่งจะถูกถอดรหัสเพื่อเรียกใช้งานไฟล์ DLL payload อื่น ๆ

ในระหว่างการวิเคราะห์ นักวิจัยไม่สามารถกู้คืนไฟล์ final payload ได้ อย่างไรก็ตาม final payload อาจจะประกอบด้วย AgentTesla, Cobalt Strike beacons และ njRAT ซึ่งเคยพบในแคมเปญของกลุ่ม UNC1151 ก่อนหน้านี้

การวิเคราะห์แคมเปญ

แคมเปญก่อนหน้า (2023)

เมื่อปีที่แล้ว มีชุดของแคมเปญการโจมตีทางไซเบอร์ที่มุ่งเป้าหมายไปยังรัฐบาลยูเครน และโปแลนด์, ผู้ใช้งานในกองทัพ และผู้ใช้งานที่เป็นพลเรือน โดยใช้ไฟล์ Excel และ PowerPoint ที่เป็นอันตราย ไฟล์เหล่านี้ถูกออกแบบให้ดูเหมือนเอกสารทางการ เพื่อหลอกให้ผู้ใช้เปิดใช้งาน macro ที่รันโค้ด VBA ที่เป็นอันตราย แคมเปญเหล่านี้มีการพัฒนาโดยใช้โค้ดที่ซับซ้อนเพื่อที่จะ drop และรัน DLLs หรือ downloaders ในขั้นตอนหลังจะถูกซ่อนใน blobs ที่เข้ารหัส และต่อท้ายในไฟล์รูปภาพ “.jpg” final payload ประกอบด้วย njRAT, AgentTesla และ Cobalt Strike ซึ่งมุ่งเน้นไปที่การขโมยข้อมูล และการควบคุมระบบจากระยะไกล

แคมเปญล่าสุด (2024)

แคมเปญที่ 1

แคมเปญแรกพบในเดือนเมษายน 2024 มุ่งเป้าไปที่กองทัพยูเครน (กระทรวงกลาโหมยูเครน, ฐานทัพทหาร A0000) โดยใช้การผสมผสานระหว่างไฟล์ภาพจากโดรน และไฟล์สเปรดชีต Microsoft Excel ที่เป็นอันตราย เทคนิคนี้เกี่ยวข้องกับการใช้ไฟล์ Excel ที่ใช้ล่อลวงด้วยวิธีการ Social Engineer ผ่านทางอีเมลสแปม เพื่อหลอกล่อให้ผู้ใช้เปิดใช้งาน macro ซึ่งทำให้เกิด execution chain

เมื่อเปิดไฟล์ .xls โดยการดับเบิลคลิก จะปรากฏปุ่มที่มีข้อความว่า ‘Enable Content’ การคลิกที่ปุ่มนี้จะเป็นการเริ่มต้นการรัน VBA Macro ที่ฝังอยู่ในเอกสาร

เมื่อ VBA Macro ถูกเรียกใช้งาน จะทำการสร้างไฟล์ shortcut ชื่อ “CybereasonActiveProbe.

Microsoft ประกาศเลิกใช้การ authentication ผ่าน NTLM บน Windows server อย่างเป็นทางการ โดยระบุว่าจะเปลี่ยนไปใช้การ authentication ผ่าน Kerberos หรือ Negotiation แทน เพื่อแก้ไขปัญหาการโจมตีผ่าน NTLM

New Technology LAN Manager หรือที่รู้จักกันดีในชื่อ NTLM เป็น authentication protocol ที่เปิดตัวครั้งแรกในปี 1993 โดยเป็นส่วนหนึ่งของ Windows NT 3.1 และเป็นตัวแทนของ LAN Manager (LM) protocol

โดย NTLM ได้ถูกใช้งานอย่างแพร่หลายจนถึงปัจจุบัน ซึ่ง Microsoft ประกาศว่า NTLM จะไม่ได้รับการพัฒนาอีกต่อไปในเดือนมิถุนายน 2024 และจะค่อย ๆ ยุติการใช้งานลง เพื่อรองรับทางเลือกอื่น ๆ ที่มีความปลอดภัยยิ่งขึ้น ภายในเดือนตุลาคม 2024 ซึ่ง Microsoft แนะนำให้ผู้ดูแลระบบทำการย้ายไปใช้ Kerberos authentication และระบบการ authentication อื่น ๆ เช่น Negotiate

เนื่องจาก NTLM มักถูก Hacker นำไปใช้ในการโจมตีที่เรียกว่า 'NTLM Relay Attacks' ซึ่งจะทำให้ Windows domain controller ถูกเข้าควบคุม โดยการบังคับให้ทำการ authentication กับเซิร์ฟเวอร์ที่เป็นอันตราย แม้ว่า Microsoft จะมีการเปิดตัวมาตรการใหม่เพื่อป้องกันการโจมตีเหล่านั้น เช่น SMB security signing แต่การโจมตี NTLM ก็ยังคงเกิดขึ้น

ตัวอย่างการโจมตี เช่น การขโมย password hash และนำมาใช้ในการโจมตีแบบ "pass-the-hash", การโจมตีแบบฟิชชิ่ง และการดึงข้อมูลโดยตรงจาก Active Directory database หรือหน่วยความจำของเซิร์ฟเวอร์ รวมไปถึง Hacker ยังสามารถ crack password hash เพื่อทำให้ได้รหัสผ่านแบบ plaintext ของผู้ใช้ได้ เนื่องจากวิธีการเข้ารหัสที่ไม่ดีพอ

Microsoft จึงได้แนะนำให้เปลี่ยนไปใช้ protocol ที่มีความปลอดภัยกว่า เช่น Kerberos ที่มีการเข้ารหัสที่ดีกว่า

การเลิกใช้งาน NTLM

ทั้งนี้ NTLM จะยังคงมีการใช้งานใน Windows Server รุ่นถัดไป อย่างไรก็ตามผู้ใช้ และนักพัฒนาแอปพลิเคชันควรเปลี่ยนไปใช้ 'Negotiate' ซึ่งจะพยายามตรวจสอบสิทธิ์กับ Kerberos ก่อน และกลับไปใช้ NTLM เมื่อจำเป็นเท่านั้น

Microsoft แนะนำให้ผู้ดูแลระบบใช้เครื่องมือตรวจสอบการใช้งาน NTLM บนระบบของตน และระบุ instance ทั้งหมดที่ต้องพิจารณาในการกำหนดแผนการเปลี่ยนแปลงดังกล่าว

สำหรับแอปพลิเคชันส่วนใหญ่ การเปลี่ยนจาก NTLM เป็น Negotiate สามารถทำได้โดยการเปลี่ยนแปลงค่าใน 'AcquireCredentialsHandle' request ที่ไปยัง Security Support Provider Interface (SSPI) อย่างไรก็ตาม อาจมีข้อยกเว้นที่จำเป็นต้องทำการเปลี่ยนแปลงค่าเพิ่มเติม

โดย Negotiate มี built-in fallback สำหรับ NTLM ในตัว เพื่อลดปัญหา compatibility ในช่วงการเปลี่ยนแปลง ซึ่งผู้ดูแลระบบที่ติดปัญหาการ authentication สามารถดูวิธีแก้ปัญหาจากคู่มือการแก้ไขปัญหา Kerberos ของ Microsoft

ที่มา : bleepingcomputer.

Zyxel Network ออกแพตซ์อัปเดตเพื่อแก้ไขช่องโหว่ระดับ Critical 3 รายการที่ส่งผลกระทบต่ออุปกรณ์ NAS รุ่นเก่าที่หมดอายุการใช้งานแล้ว (End-of-life)

โดยช่องโหว่ดังกล่าวส่งผลกระทบต่อ NAS326 ที่ใช้ firmware versions 5.21(AAZF.16)C0 และเก่ากว่า รวมถึง NAS542 ที่ใช้ firmware versions 5.21(ABAG.13)C0 และเก่ากว่า

โดยช่องโหว่ระดับ Critical 3 รายการ ซึ่งทำให้ Hacker สามารถแทรกคำสั่ง และเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกลได้ อย่างไรก็ตามช่องโหว่อีก 2 รายการ ซึ่งเป็นช่องโหว่การยกระดับสิทธิ์ และการเปิดเผยข้อมูลไม่ได้รับการแก้ไขในผลิตภัณฑ์หมดอายุการใช้งานแล้ว (End-of-life) ในครั้งนี้

โดย Timothy Hjort นักวิจัยด้านความปลอดภัยของ Outpost24 เป็นผู้ค้นพบ และรายงานช่องโหว่ทั้ง 5 รายการแก่ Zyxel และต่อมาก็ได้เปิดเผยชุดสาธิตการโจมตี (PoC) ออกสู่สาธารณะ

โดยช่องโหว่ 5 รายการที่ถูกแจ้งไปยัง Zyxel ซึ่งมี 3 รายการที่ได้รับการแก้ไขดังนี้ :

CVE-2024-29972 (คะแนน CVSS 9.8/10 ความรุนแรงระดับ Critical) ช่องโหว่ Command injection ในโปรแกรม CGI ('remote_help-cgi') ทำให้ Hacker ที่ไม่จำเป็นต้องผ่านการยืนยันตัวตนสามารถส่ง HTTP POST request ที่สร้างขึ้นเป็นพิเศษเพื่อรันคำสั่งบน OS โดยใช้บัญชี NsaRescueAngel backdoor ที่มีสิทธิ์รูทได้
CVE-2024-29973 (คะแนน CVSS 9.8/10 ความรุนแรงระดับ Critical) ช่องโหว่ Command injection ใน 'setCookie' parameter ทำให้ Hacker สามารถส่ง HTTP POST request ที่สร้างขึ้นเป็นพิเศษเพื่อรันคำสั่งบน OS ได้
CVE-2024-29974 (คะแนน CVSS 9.8/10 ความรุนแรงระดับ Critical) ช่องโหว่การเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกล (RCE) ในโปรแกรม CGI ('file_upload-cgi') ทำให้ Hacker ที่ไม่จำเป็นต้องผ่านการยืนยันตัวตนสามารถอัปโหลดไฟล์ configuration ที่เป็นอันตรายบนอุปกรณ์ได้
CVE-2024-29975 (คะแนน CVSS 6.7/10 ความรุนแรงระดับ Medium) ช่องโหว่การจัดการสิทธิ์ที่ไม่เหมาะสมใน SUID executable binary ทำให้ Hacker ที่ไม่จำเป็นต้องผ่านการยืนยันตัวตนสามารถรันคำสั่งบนระบบในฐานะ "root" (ไม่ได้รับการแก้ไขช่องโหว่ในครั้งนี้)
CVE-2024-29976 (คะแนน CVSS 6.5/10 ความรุนแรงระดับ Medium) ช่องโหว่การจัดการสิทธิ์ที่ไม่เหมาะสมในคำสั่ง 'show_allsessions' ทำให้ Hacker ที่ไม่จำเป็นต้องผ่านการยืนยันตัวตนสามารถรับข้อมูลเซสชัน รวมถึงคุกกี้ของผู้ดูแลระบบที่ใช้งานอยู่ (ไม่ได้รับการแก้ไขช่องโหว่ในครั้งนี้)

แม้ว่า NAS ทั้งสองรุ่นจะสิ้นสุดระยะเวลาการสนับสนุนไปแล้วตั้งแต่วันที่ 31 ธันวาคม 2566 แต่ Zyxel ก็ได้ออกแพตซ์แก้ไขช่องโหว่สำหรับช่องโหว่ระดับ Critical 3 รายการในเวอร์ชัน 5.21(AAZF.17)C0 สำหรับ NAS326 และ 5.21(ABAG.14)C0 สำหรับ NAS542 และเนื่องจากช่องโหว่ดังกล่าวได้มีการปล่อย PoC ออกมาแล้ว แม้จะยังไม่มีข้อมูลการโจมตีจากช่องโหว่ดังกล่าว แต่ผู้ดูแลระบบก็ควรทำการอัปเดตแพตซ์เพื่อแก้ไขช่องโหว่โดยเร็วที่สุด

ที่มา : bleepingcomputer.

Check Point ออกแพตซ์อัปเดตเพื่อแก้ไขช่องโหว่ Zero-Day ของ VPN ที่กำลังถูกใช้ในการโจมตีเพื่อเข้าถึงไฟร์วอลล์จากระยะไกล และพยายามเข้าถึงเครือข่ายของเป้าหมาย

โดยก่อนหน้านี้ทาง Check Point ได้แจ้งเตือนการพบการโจมตีซึ่งมุ่งเป้าหมายไปยังอุปกรณ์ VPN ที่สูงขึ้นอย่างมีนัยสำคัญ และได้เผยแพร่คำแนะนำในการป้องกัน ต่อมาทาง Check Point ได้ค้นพบสาเหตุของปัญหาดังกล่าว ซึ่งเป็นช่องโหว่ Zero-Day ที่กำลังถูกใช้โดย Hacker เพื่อโจมตีเป้าหมาย

CVE-2024-24919 (คะแนน CVSS 8.6/10 ความรุนแรงระดับ High) ช่องโหว่ information disclosure ที่ทำให้ Hacker สามารถอ่านข้อมูลบน Check Point Security Gateways ที่เข้าถึงได้จากอินเทอร์เน็ต ที่มีการเปิดใช้งาน VPN หรือ Mobile Access Software Blades ซึ่งส่งผลกระทบต่ออุปกรณ์ CloudGuard Network, Quantum Maestro, Quantum Scalable Chassis, Quantum Security Gateways, และ Quantum Spark Appliancesในเวอร์ชัน R80.20.x, R80.20SP (EOL), R80.40 (EOL), R81, R81.10, R81.10.x และ R81.20

ทั้งนี้ทาง Check Point ได้ออกอัปเดตแพตซ์เพื่อแก้ไขช่องโหว่ดังกล่าวแล้ว ในเวอร์ชันดังต่อไปนี้ :
**

Quantum Security Gateway and CloudGuard Network Security: R81.20, R81.10, R81, R80.40

Quantum Maestro and Quantum Scalable Chassis: R81.20, R81.10, R80.40, R80.30SP, R80.20SP

Quantum Spark Gateways: R81.10.x, R80.20.x, R77.20.x

หากผู้ดูแลระบบต้องการอัปเดตด้วยตนเอง สามารถเข้าไปที่ Security Gateway > Software Updates > Available Updates > Hotfix Updates และคลิก 'Install' โดยจะใช้เวลาในการดำเนินงานประมาณ 10 นาที และจำเป็นต้องทำการ reboot อุปกรณ์

หลังจากที่ทำการอัปเดตแล้ว การพยายามโจมตีเพื่อเข้าสู่ระบบโดยใช้ข้อมูล weak credentials จะถูกบล็อคโดยอัตโนมัติ และถูก logging ในระบบ ซึ่งการอัปเดตดังกล่าวครอบคลุมถึงเวอร์ชันที่ end-of-life (EOL) ไปแล้ว

ทั้งนี้ผู้ดูแลระบบที่ยังไม่สามารถทำการอัปเดตได้ ควรปรับปรุงด้านความปลอดภัยโดยการอัปเดตรหัสผ่าน Active Directory (AD) ที่ Security Gateway ใช้สำหรับการตรวจสอบสิทธิ์

รวมถึง Check Point ได้สร้างสคริปต์ สำหรับตรวจสอบการเข้าถึงระยะไกลที่สามารถอัปโหลดไปยัง 'SmartConsole' และดำเนินการเพื่อตรวจสอบผลลัพธ์ และวิธีการดำเนินการที่เหมาะสม

ที่มา : bleepingcomputer

Check Point เปิดเผยการค้นพบกลุ่ม Hacker กำลังกำหนดเป้าหมายไปยังอุปกรณ์ VPN ของ Check Point เพื่อพยายามเข้าถึงเครือข่ายจากระยะไกล

ทั้งนี้การเข้าถึงจากระยะไกลผ่าน VPN ของ Check Point สามารถทำได้ 2 วิธีคือ client-to-site VPN สำหรับการเข้าถึงเครือข่ายองค์กรผ่าน VPN client หรือการเข้าถึงเครือข่ายองค์กรผ่าน SSL VPN Portal จาก web-based

โดย Check Point พบว่ากลุ่ม Hacker ได้มุ่งเป้าโจมตีไปยัง local account ที่มีการตั้งค่าการยืนยันตัวตนที่ไม่ปลอดภัย (password-only) เพื่อป้องกันการโจมตีดังกล่าว Check Point ได้แนะนำให้ผู้ดูแลระบบตรวจสอบ local account ที่มีความเสี่ยงในลักษณะดังกล่าวใน Quantum Security Gateway และ CloudGuard Network Security product และบน Mobile Access และ Remote Access VPN software blade แล้วทำการเปลี่ยนวิธีการยืนยันตัวตนให้ปลอดภัยยิ่งขึ้น รวมถึงลบ local account ที่มีความเสี่ยงออกจาก Security Management Server database

นอกจากนี้ Check Point ยังได้ออก Security Gateway hotfix ที่จะบล็อก local account ทั้งหมดที่มีการยืนยันตัวตนแบบ password-only และจะไม่สามารถทำการ VPN เพื่อเข้าถึงเครือข่ายจากระยะไกลได้

Cisco VPN ก็ตกเป็นเป้าหมายการโจมตีด้วยเช่นกัน

ทั้งนี้ Check Point เป็นบริษัทที่สองต่อจาก Cisco ที่ได้ทำการแก้ไขช่องโหว่บน VPN หลังจากที่พบกลุ่ม Hacker มุ่งเป้าหมายในการโจมตีช่องโหว่ดังกล่าว

ในเดือนเมษายน 2024 Cisco ได้แจ้งเตือนพบการโจมตีแบบ brute-force โดยกำหนดเป้าหมายไปยัง VPN และ SSH service บนอุปกรณ์ Cisco, Check Point, SonicWall, Fortinet และ Ubiquiti ซึ่งแคมเปญการโจมตีดังกล่าว ได้เริ่มต้นตั้งแต่วันที่ 18 มีนาคม 2024 โดยมีการโจมตีที่มาจาก TOR exit node และใช้เครื่องมือต่าง ๆ รวมถึง proxy เพื่อหลีกเลี่ยงการตรวจจับ

Aaron Martin นักวิจัยด้านความปลอดภัย ได้เชื่อมโยงแคมเปญการโจมตีกับ botnet ที่พึงถูกค้นพบชื่อว่า "Brutus" ซึ่งควบคุม IP addresses กว่า 20,000 รายการใน cloud service และ residential network

นอกจากนี้ Cisco ยังได้เปิดเผยข้อมูลว่ากลุ่ม Hacker ที่ได้รับการสนันสนุนจากรัฐบาลในชื่อ UAT4356 (หรือที่เรียกว่า STORM-1849) ได้ใช้ช่องโหว่ Zero-day ในไฟร์วอลล์ Cisco Adaptive Security Appliance (ASA) และ Firepower Threat Defense (FTD) เพื่อโจมตีเครือข่ายของรัฐบาลทั่วโลกมาตั้งแต่เดือนพฤศจิกายน 2023 ในแคมเปญการโจมตีที่ถูกติดตามในชื่อ ArcaneDoor

ที่มา : bleepingcomputer

ชายชาวอินเดียถูกจับในข้อหาสมคบคิดฉ้อโกงทางโทรศัพท์ โดยทำการขโมยเงินกว่า 37 ล้านดอลลาร์ผ่านเว็บไซต์ Coinbase ปลอมที่ใช้ในการขโมยข้อมูล credentials ของเหยื่อ (more…)