Apple ออกอัปเดตเพื่อแก้ไขช่องโหว่ Zero-Day แรกของปี 2024 หลังจากที่พบว่ากำลังถูกใช้ในการโจมตี ซึ่งอาจส่งผลกระทบต่อ iPhone, Mac และ Apple TV

CVE -2024-23222 เป็นช่องโหว่ที่อยู่ใน WebKit ที่ทำให้ผู้โจมตีสามารถเรียกใช้คำสั่งที่เป็นอันตรายจากระยะไกลบนอุปกรณ์เป้าหมายได้ เช่น iOS, macOS และ tvOS หลังจากที่เป้าหมายเปิดหน้าเว็บที่เป็นอันตราย (more…)

นักวิจัยด้านความปลอดภัยทางไซเบอร์จาก Huntress ได้ออกมาแจ้งเตือนเกี่ยวกับการโจมตีทางไซเบอร์ที่กำลังถูกพบเพิ่มมากขึ้นเมื่อเร็ว ๆ นี้ โดยการใช้เทคนิคใหม่จากผู้ไม่หวังดีที่ใช้ TeamViewer เพื่อนำ LockBit ransomware มาติดตั้งบนระบบ

TeamViewer มีประวัติการถูกโจมตีในวงกว้างมาก่อนหน้านี้ โดยเมื่อล่าสุดผู้เชี่ยวชาญด้านความปลอดภัยทางไซเบอร์พบว่า มีการโจมตีโดยผู้ไม่หวังดีเพิ่มขึ้นจากการใช้ TeamViewer ซึ่งเป็นเครื่องมือในการเข้าถึงจากระยะไกล เพื่อนำ LockBit ransomware มาใช้ในการโจมตี ซึ่งอาจทำให้ผู้ใช้งานตกเป็นเป้าหมายของการเข้ารหัสข้อมูล และการเรียกค่าไถ่ (more…)

นักวิจัยจาก Proofpoint ระบุการกลับมาของกลุ่ม TA866 ในแคมเปญภัยคุกคามทางด้านอีเมล หลังจากที่หายไปเป็นเวลาเกือบ 9 เดือน

ในวันที่ 11 มกราคมที่ผ่านมา Proofpoint ได้ Block แคมเปญการโจมตีด้วยอีเมลขนาดใหญ่ ที่ประกอบไปด้วยอีเมลจำนวนหลายพันฉบับ ที่มุ่งเป้าหมายไปที่ประเทศในอเมริกาเหนือ ซึ่งเป็นอีเมลเกี่ยวกับใบแจ้งหนี้ที่มีการแนบไฟล์ PDF เช่น "Document_[10 digits].pdf" และหัวข้อต่าง ๆ เช่น "Project achievements" โดย PDF เหล่านี้จะมี OneDrive URLs ที่เมื่อเหยื่อทำการคลิก จะทำให้เกิดกระบวนการของมัลแวร์หลายขั้นตอน และท้ายที่สุดจะถูกติดตั้ง payload ซึ่งเป็นชุดเครื่องมือรูปแบบหนึ่งของ WasabiSeed และ Screenshotter

หากผู้ใช้คลิกที่ OneDrive URL ภายในไฟล์ PDF จะเกิดการดำเนินการดังนี้

ดาวน์โหลดไฟล์ JavaScript ที่โฮสต์อยู่บน OneDrive
ไฟล์ JavaScript หากถูกรันโดยผู้ใช้งาน จะทำการดาวน์โหลด และรันไฟล์ MSI
ไฟล์ MSI จะทำการ execute WasabiSeed VBS script ที่ฝังอยู่
จากนั้น WasabiSeed VBS script จะทำการดาวน์โหลด และเรียกใช้ไฟล์ MSI ไฟล์ที่สอง และทำการตรวจสอบโค้ดสำหรับดาวน์โหลด payload เพิ่มเติม
สุดท้าย ไฟล์ MSI ที่สองมีส่วนประกอบของ Screenshotter screenshot utility ที่จะถ่ายภาพหน้าจอ desktop และส่งกลับไปยัง C2 Server

Attack chain summary: Email > PDF > OneDrive URL > JavaScript > MSI / VBS (WasabiSeed) > MSI (Screenshotter)

โดยเทคนิคการโจมตีลักษณะดังกล่าวจะคล้ายกับแคมเปญการโจมตีด้วยอีเมลที่ถูกบันทึกไว้โดย Proofpoint เมื่อวันที่ 20 มีนาคม 2023 ความคล้ายคลึงกันนี้ช่วยในการระบุแหล่งที่มา โดยเฉพาะอย่างยิ่งเมื่อมีการใช้ spam service เหมือนกับกลุ่ม TA571 ในทำนองเดียวกัน WasabiSeed ยังคงเหมือนเดิมเกือบทั้งหมด และสคริปต์ และส่วนประกอบของ Screenshotter ยังคงเหมือนเดิมเกือบทั้งหมด แม้ว่า Proofpoint ไม่ได้เชื่อมโยงเทคนิคการโจมตีของกลุ่ม TA866 ** ว่าเกี่ยวข้องกับกลุ่ม TA571 ในตอนแรก การวิเคราะห์ในเวลาต่อมาก็เชื่อมโยงความเกี่ยวข้องกันในภายหลัง

หนึ่งในการเปลี่ยนแปลงที่ใหญ่ที่สุดในแคมเปญนี้ คือการใช้ไฟล์ PDF ที่มีลิงก์ OneDrive ซึ่งเป็นรูปแบบใหม่ แคมเปญก่อนหน้านี้โดยทั่วไปใช้ไฟล์แนบ Publisher ที่เปิดใช้งาน macro หรือ URL 404 TDS โดยตรงในตัวเนื้อหาอีเมล

Indicators of compromise (IOCs)

ที่มา : proofpoint

CISA และ FBI แจ้งเตือนการพบกลุ่ม Hacker ใช้ Androxgh0st botnet ในการโจมตี เพื่อขโมยข้อมูล credential บนคลาวด์ และใช้ข้อมูลที่ขโมยมาในการส่งเพย์โหลดที่เป็นอันตรายเพิ่มเติมไปยังเป้าหมาย

Androxgh0st botnet ถูกพบครั้งแรกโดย Lacework Labs ในปี 2022 และเข้าควบคุมอุปกรณ์ไปมากกว่า 40,000 เครื่อง ตามข้อมูลของ Fortiguard Labs โดยมันจะทำการสแกนหาเว็บไซต์ และเซิร์ฟเวอร์ที่มีช่องโหว่การเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกล (RCE) CVE-2017-9841 (ช่องโหว่ PHPUnit unit testing framework), CVE-2021-41773 (ช่องโหว่ Apache HTTP Server) และ CVE-2018-15133 (ช่องโหว่ Laravel PHP web framework)

โดย Androxgh0st เป็น Python-scripted malware ซึ่งกำหนดเป้าหมายการโจมตีไปยังไฟล์ .env ที่มีข้อมูลที่เป็นความลับ เช่น ข้อมูล confidential สำหรับแอปพลิเคชันที่มีความสำคัญต่าง ๆ (เช่น Amazon Web Services [AWS], Microsoft Office 365, SendGrid และ Twilio จาก Laravel web application framework) รวมถึงยังสนับสนุนฟีเจอร์การโจมตีมากมายที่สามารถใช้ Simple Mail Transfer Protocol (SMTP) ในการโจมตี เช่น การสแกน และการใช้ประโยชน์จากข้อมูล credentials ที่ถูกเปิดเผย, Application Programming Interfaces (API) และการใช้ Web Shell

ซึ่งเมื่อ Androxgh0st สามารถขโมยข้อมูล credentials ได้แล้วก็จะดำเนินการในขั้นต่อไป โดยหนึ่งในสองฟังก์ชันหลักที่ใช้กับข้อมูล credentials ที่ขโมยมาที่พบบ่อยที่สุดคือการตรวจสอบขีดจำกัดการส่งอีเมลสำหรับบัญชี เพื่อประเมินว่าสามารถใช้ประโยชน์จากการสแปมได้หรือไม่ รวมถึงยังพบว่า Hacker จะสร้างเพจปลอมบนเว็บไซต์ที่ถูกโจมตี โดยใช้ backdoor เพื่อเข้าถึงฐานข้อมูลที่มีข้อมูลที่มีความสำคัญ และติดตั้งเครื่องมือที่เป็นอันตราย รวมถึงเมื่อสามารถขโมยข้อมูล credentials ของ AWS บนเว็บไซต์ที่มีช่องโหว่ได้สำเร็จแล้ว ก็จะลองสร้างผู้ใช้ และ Policy ของผู้ใช้งานใหม่อีกด้วย นอกจากนี้ Andoxgh0st ยังใช้ข้อมูล credentials ที่ขโมยมาเพื่อค้นหา AWS instance ใหม่สำหรับการสแกนเป้าหมายที่มีช่องโหว่เพิ่มเติมผ่านอินเทอร์เน็ต

FBI และ CISA ได้แนะนำให้ผู้ดูแลระบบทำการปกป้องเครือข่ายด้วยมาตรการเหล่านี้ เพื่อจำกัดผลกระทบของการโจมตีจาก Androxgh0st และลดความเสี่ยงในการถูกควบคุมระบบ:

อัปเดตระบบปฏิบัติการ ซอฟต์แวร์ และเฟิร์มแวร์ทั้งหมดให้ทันสมัยอยู่เสมอ ตรวจสอบให้แน่ใจว่าเซิร์ฟเวอร์ Apache ไม่ได้ใช้เวอร์ชัน 2.4.49 หรือ 2.4.50
ตรวจสอบว่าการกำหนดค่าเริ่มต้นสำหรับ all URIs คือ deny all requests ทั้งหมด เว้นแต่จะมีความจำเป็นเฉพาะที่สามารถเข้าถึงได้
ตรวจสอบให้แน่ใจว่า Laravel application ที่ใช้งาน ไม่อยู่ใน “debug” หรือโหมดการทดสอบ หากมี ให้ทำการลบข้อมูล credentials ระบบคลาวด์ทั้งหมดออกจากไฟล์ .env และยกเลิกการใช้งานทั้งหมด
ใช้ one-time basis สำหรับข้อมูล credentials ระบบคลาวด์ที่เก็บไว้ก่อนหน้านี้ และข้อมูล credentials ประเภทอื่น ๆ ที่ไม่สามารถลบออกได้อย่างต่อเนื่อง ให้ตรวจสอบแพลตฟอร์ม หรือบริการใด ๆ ที่มีข้อมูล credentials อยู่ในไฟล์ .env สำหรับการเข้าถึง หรือใช้งานโดยไม่ได้รับอนุญาต
สแกนระบบไฟล์ของเซิร์ฟเวอร์เพื่อหาไฟล์ PHP ที่ไม่รู้จัก โดยเฉพาะใน root directory หรือโฟลเดอร์ /vendor/phpunit/phpunit/src/Util/PHP
ตรวจสอบ GET requests (via cURL command) ขาออก ไปยังเว็บไซต์โฮสต์ไฟล์ เช่น GitHub, Pastebin ฯลฯ โดยเฉพาะอย่างยิ่งเมื่อมี request เพื่อเข้าถึงไฟล์ .php

รวมถึง FBI ยังได้ขอข้อมูลเกี่ยวกับมัลแวร์ Androxgh0st จากองค์กรที่ตรวจจับพฤติกรรมที่น่าสงสัย หรืออาชญากรรมที่เชื่อมโยงกับการโจมตีดังกล่าว

ทั้งนี้ทาง CISA ได้เพิ่ม CVE-2018-15133 (Laravel deserialization of untrusted data vulnerability) ไปใน Known Exploited Vulnerabilities Catalog หรือช่องโหว่ที่ถูกใช้ในการโจมตีแล้ว อิงตามหลักฐานของการโจมตีที่พบในปัจจุบัน และได้สั่งให้หน่วยงานรัฐบาลกลางทำการแก้ไขช่องโหว่ดังกล่าวภายในวันที่ 6 กุมภาพันธ์ 2024

รวมถึงช่องโหว่ CVE-2021-41773 (Apache HTTP Server path traversal) และ CVE-2017-9841 (PHPUnit command injection) ได้ถูกเพิ่มลง KEV แล้วเช่นกันตั้งแต่เดือนพฤศจิกายน 2021 และกุมภาพันธ์ 2022 ตามลำดับ

ที่มา : bleepingcomputer

นักวิจัยจาก Cisco Talos ที่ทำงานร่วมกับตำรวจเนเธอร์แลนด์ได้รับเครื่องมือถอดรหัสของ Tortilla เวอร์ชันหนึ่งของตระกูล Babuk ransomware จนนำไปสู่การจับกุมกลุ่มแฮ็กเกอร์ที่ทำการโจมตี

Tortilla เป็นเวอร์ชันหนึ่งของตระกูล Babuk ransomware ที่แพร่กระจายอย่างรวดเร็วหลังจากซอร์สโค้ดของมัลแวร์ต้นฉบับถูกปล่อยใน Hacker forum (more…)

VMware ออกมาแจ้งเตือนการพบการโจมตีโดยใช้ช่องโหว่การเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกล (RCE) ความรุนแรงระดับ Critical บน vCenter Server ที่ปัจจุบันได้รับการแก้ไขไปแล้วในในเดือนตุลาคม 2023 ซึ่งพบว่าปัจจุบันกลุ่ม Hacker กำลังนำมาใช้ในการโจมตีอย่างกว้างขวาง

vCenter Server เป็น management platform สำหรับระบบของ VMware vSphere ที่ช่วยให้ผู้ดูแลระบบสามารถจัดการ ESX and ESXi servers และ virtual machines (VMs) ได้ (more…)

Citrix แจ้งเตือนผู้ใช้งานให้ดำเนินการอัปเดตแพตซ์เพื่อแก้ไขช่องโหว่ Zero-day ที่กำลังถูกใช้ในการโจมตี 2 รายการ CVE-2023-6548 และ CVE-2023-6549 ซึ่งมีผลกระทบต่ออุปกรณ์ Netscaler ADC และ Gateway appliances

โดยผู้โจมตีสามารถใช้ช่องโหว่เพื่อเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกล หรือทำให้เกิดเงื่อนไขการปฏิเสธการให้บริการ (DoS) ได้ (more…)

Google ออกอัปเดตความปลอดภัยเพื่อแก้ไขช่องโหว่ Zero-day แรกของ Chrome ในปีนี้ โดยช่องโหว่ CVE-2024-0519 กำลังถูกใช้ในการโจมตีอย่างแพร่หลายมาตั้งแต่ต้นปี 2024 (more…)

เว็บไซต์ WordPress ประมาณ 6,700 แห่งติดมัลแวร์ Balada Injector หลังจากมีการใช้งาน plug-in 'Popup Builder' ที่มีช่องโหว่ cross-site scripting (XSS) หมายเลข CVE-2023-6000

แคมเปญ Balada Injector ถูกพบมาตั้งแต่ปี 2017 และถูกใช้โจมตีเว็บไซต์ WordPress มากกว่า 1 ล้านเว็บไซต์ในช่วงหกปีที่ผ่านมา โดยในการโจมตีจะมีการฝัง backdoor เพื่อเปลี่ยนเส้นทางจากเว็บไซต์ WordPress ที่ถูกต้อง ไปยังเว็บไซต์ปลอม หรือไปยังเว็บไซต์ที่ถูกควบคุมโดยผู้โจมตี (more…)

นักวิจัยด้านความปลอดภัยพบ Firewall ของ SonicWall (Next-Generation Firewalls) มากกว่า 178,000 เครื่อง ที่เปิดให้เข้าถึง management interface ได้จากอินเทอร์เน็ต ซึ่งทำให้มีความเสี่ยงที่จะถูกโจมตีในรูปแบบ Denial-of-Service (DoS) และการเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกล (Remote Code Execution) (more…)