Threat hunters ได้ค้นพบปลั๊กอิน WordPress ที่ผิดปกติซึ่งสามารถสร้าง administrator users ปลอม และ injecting JavaScript ที่เป็นอันตรายเพื่อขโมยข้อมูลบัตรเครดิตได้

การ skimming นี้เป็นส่วนหนึ่งของแคมเปญ Magecart ที่ใช้โจมตีเว็บไซต์ e-commerce (more…)

Google ออกแพตซ์อัปเดตฉุกเฉินเพื่อแก้ไขช่องโหว่ Zero-day ใน Chrome ที่กำลังถูกใช้ในการโจมตี โดยการออกอัพเดทครั้งนี้เป็นการออกอัพเดทเป็นครั้งที่ 8 ของปี 2023

CVE-2023-7024 เป็นช่องโหว่ Zero-day จาก heap buffer overflow ใน open-source WebRTC framework ในเว็บเบราว์เซอร์อื่น ๆ มากมาย เช่น Mozilla Firefox, Safari และ Microsoft Edge เพื่อเพิ่มความสามารถด้านการเชื่อมต่อแบบเรียลไทม์ (RTC) (เช่น การสตรีมวิดีโอ การแชร์ไฟล์ และระบบโทรศัพท์ VoIP) ผ่าน JavaScript API โดยทาง Google ได้ออกอัปเดตสำหรับผู้ใช้ในเวอร์ชั่น Windows (120.0.6099.129/130) และผู้ใช้ Mac และ Linux (120.0.6099.129) หลังจากรายงานช่องโหว่ 1 วัน (more…)

Mint Mobile ผู้ให้บริการเครือข่ายเสมือนบนมือถือ (MVNO) เป็นบริการแบบเติมเงิน เน้นความประหยัด โดยถูก T-Mobile ซึ่งเป็นหนึ่งในผู้ให้บริการเครือข่ายไร้สายรายใหญ่ที่สุดในสหรัฐฯ ซื้อไปด้วยมูลค่า 1.3 พันล้านดอลลาร์ ได้ออกมาประกาศเรื่องข้อมูลของลูกค้ารั่วไหลออกสู่สาธารณะ ส่งผลกระทบต่อข้อมูลส่วนบุคคล และข้อมูลที่สามารถใช้เพื่อโจมตีด้วยวิธีการ SIM swap attacks

เมื่อวันศุกร์ที่ 22 ธันวาคมที่ผ่านมา Mint Mobile ได้แจ้งให้ลูกค้าทราบถึงเหตุการณ์ดังกล่าวผ่านทางอีเมลชื่อ "ข้อมูลสำคัญเกี่ยวกับบัญชีของคุณ" โดยระบุว่าบริษัทประสบปัญหาด้านความปลอดภัย ส่งผลให้ข้อมูลของลูกค้าจำนวนหนึ่งถูกขโมยออกไป ประกอบด้วยข้อมูลดังต่อไปนี้

ชื่อ
หมายเลขโทรศัพท์
อีเมล
หมายเลขซีเรียล SIM และหมายเลข IMEI (ตัวระบุอุปกรณ์คล้ายกับหมายเลขซีเรียล)
ข้อมูลสรุปแผนการซื้อบริการ

Mint ยืนยันว่าผู้โจมตีไม่ได้ข้อมูลหมายเลขบัตรเครดิต เนื่องจากไม่ได้มีการเก็บข้อมูลไว้ในระบบ รวมถึงรหัสผ่านมีการใช้เทคโนโลยีการเข้ารหัสที่แข็งแกร่ง ดังนั้นจึงไม่ถูกขโมยออกไป อย่างไรก็ตามบริษัทไม่ได้ชี้แจงชัดเจนว่าผู้โจมตีสามารถเข้าถึงรหัสผ่านที่ถูก Hashed ไว้หรือไม่

โดยข้อมูลที่ถูกขโมยไปเพียงพอสำหรับการโจมตีด้วยวิธีการ SIM swap attacks โดยผู้โจมตีสามารถโอนหมายเลขของบุคคลไปยังอุปกรณ์ของตนได้ และเมื่อเข้าถึงหมายเลขดังกล่าวแล้ว ผู้โจมตีจะสามารถเข้าถึงบัญชีออนไลน์ของผู้ใช้งานได้ โดยการรีเซ็ตรหัสผ่าน และรับรหัส OTP เพื่อผ่านการตรวจสอบสิทธิ์แบบ multi-factor authentication ซึ่งผู้โจมตีมักใช้เทคนิคนี้เพื่อแฮ็กบัญชีของการแลกเปลี่ยนสกุลเงินดิจิทัล เพื่อขโมยทรัพย์สินทั้งหมดที่เก็บไว้ในกระเป๋าเงินออนไลน์
อย่างไรก็ตาม Mint ได้ดำเนินการแก้ไขสถานการณ์ และทำงานร่วมกับผู้เชี่ยวชาญด้านความปลอดภัยทางไซเบอร์ เพื่อเพิ่มความปลอดภัยของระบบ และแจ้งกับลูกค้าว่าไม่จำเป็นต้องดำเนินการใด ๆ และสามารถโทรติดต่อฝ่ายสนับสนุนลูกค้าที่หมายเลข 949- 704-1162 หากมีคำถามเพิ่มเติม ซึ่ง Moderator ของ Mint บน Reddit ยืนยันว่าหมายเลขนี้ถูกสร้างขึ้นโดยเฉพาะเพื่อจัดการกับคำถามเกี่ยวกับการละเมิดข้อมูล และหากได้รับการแจ้งเตือนทางอีเมลจาก no-reply@account.

ESO Solutions ผู้ให้บริการผลิตภัณฑ์ซอฟต์แวร์สำหรับองค์กรด้านการดูแลสุขภาพ และบริการดับเพลิง ได้ออกมาประกาศเรื่องข้อมูลของผู้ป่วยกว่า 2.7 ล้านรายรั่วไหลออกไป หลังจากเกิดเหตุการณ์การโจมตีจากกลุ่มแรนซัมแวร์

เหตุการณ์นี้เกิดขึ้นเมื่อวันพฤหัสบดีที่ 28 กันยายนที่ผ่านมา ESO Solutions ถูกผู้โจมตีเข้าถึงเครื่องที่มีข้อมูลส่วนบุคคลที่มีความสำคัญส่งผลให้ข้อมูลรั่วไหล ก่อนที่ผู้โจมตีจะเข้ารหัสระบบของบริษัทจำนวนหนึ่ง ซึ่งในวันจันทร์ที่ 23 ตุลาคม 2023 บริษัทออกมายืนยันว่าข้อมูลรั่วไหลที่เกิดจากการโจมตีด้วยแรนซัมแวร์ ส่งผลให้ข้อมูลของผู้ป่วย โรงพยาบาล และคลินิกในสหรัฐอเมริกาจำนวนหนึ่งถูกขโมยออกไป ประกอบด้วยข้อมูลดังต่อไปนี้

ชื่อ
วันเดือนปีเกิด
หมายเลขโทรศัพท์
หมายเลขบัญชีผู้ป่วย และหมายเลขเวชระเบียน
ประเภท และวันที่ได้รับบาดเจ็บ
ข้อมูลการวินิจฉัย
ประเภทของการรักษา และวันที่
ข้อมูลโปรแกรม
หมายเลขประกันสังคม (SSN)

ข้อมูลที่เปิดเผยจะแตกต่างกันไปตามแต่ละบุคคล ขึ้นอยู่กับบริการที่ได้รับ และรายละเอียดที่ผู้ป่วยให้ไว้กับองค์กรด้านการดูแลสุขภาพ โดยผู้ให้บริการซอฟต์แวร์ได้แจ้งให้สำนักงานสืบสวนกลางแห่งสหรัฐอเมริกา(FBI) และหน่วยงานของรัฐทราบถึงเหตุการณ์ดังกล่าวแล้ว รวมถึงได้แจ้งให้ผู้ที่ได้รับผลกระทบทราบถึงเหตุการณ์ที่เกิดขึ้นในวันอังคารที่ 12 ธันวาคมที่ผ่านมา นอกจากนี้โรงพยาบาลที่ได้รับผลกระทบก็ได้เริ่มออกมาประกาศเตือนเรื่องข้อมูลรั่วไหลไปยังผู้ป่วยในวันถัดไป อย่างไรก็ตาม ESO Solutions ยืนยันว่ายังไม่มีหลักฐานว่าข้อมูลของผู้ป่วยถูกนำไปใช้ในทางที่ผิดแต่อย่างใด และเพื่อลดความเสี่ยงจากการที่ข้อมูลรั่วไหล ESO จะให้บริการตรวจสอบข้อมูลประจําตัว 12 เดือน ผ่านบริการของ Kroll แก่ผู้ที่ได้รับผลกระทบจากเหตุการณ์ในครั้งนี้

ผู้ให้บริการด้านการแพทย์ต่อไปนี้ได้รับการยืนยันว่าได้รับผลกระทบจากการโจมตีของแรนซัมแวร์ ซึ่งประกอบด้วยผู้ให้บริการด้านการแพทย์ดังต่อไปนี้

Mississippi Baptist Medical Center
Community Health Systems Merit Health Biloxi
Merit Health River Oaks
ESO EMS Agency
Forrest Health Forrest General Hospital
HCA Healthcare Alaska Regional Hospital
Memorial Hospital at Gulfport Health System
Providence St Joseph Health (Providence Kodiak Island Medical Center)
Providence Alaska Medical Center
Universal Health Services (UHS) Manatee Memorial Hospital
Desert View Hospital
Ascension Providence Hospital in Waco
Tallahassee Memorial
Manatee Memorial Hospital
CaroMont Health

BleepingComputer พบว่าไม่มีแรนซัมแวร์ใดที่อ้างความรับผิดชอบต่อการโจมตีกับ ESO อย่างไรก็ตาม การโจมตีที่เกิดขึ้นส่งผลกระทบอย่างมากในด้านการดูแลสุขภาพ ความปลอดภัยของข้อมูลผู้ป่วย ความมั่นคงในการดำเนินงาน และการเงินของสถาบันทางการแพทย์ ดังนั้นจึงควรระมัดระวังความผิดปกติที่อาจจะเกิดขึ้น

ที่มา: bleepingcomputer

Chrome extensions ที่เป็นอันตราย 3 รายการที่ปลอมเป็น VPN (Virtual Private Networks) ได้รับการดาวน์โหลดไปแล้วกว่า 1.5 ล้านครั้ง โดยจะทำหน้าที่เป็น Browser hijackers, Cashback hack tools และ Data stealers

ข้อมูลจาก ReasonLabs พบว่า extensions ที่เป็นอันตรายเหล่านี้ถูกส่งผ่านโปรแกรมติดตั้งที่ซ่อนอยู่ในการละเมิดลิขสิทธิ์เกมยอดนิยม เช่น Grand Theft Auto, Assassin Creed และ The Sims 4 ซึ่งทั้งหมดถูกแจกจ่ายผ่านเว็บไซต์ torrent

ReasonLabs แจ้งให้ Google ทราบเกี่ยวกับการค้นพบครั้งนี้แล้ว โดย Google ได้ลบ extensions เหล่านี้ออกจาก Chrome Web Store เรียบร้อยแล้ว แต่พบว่า extensions เหล่านี้ได้รับการดาวน์โหลดไปแล้วกว่า 1.5ล้านครั้ง โดย extensions ที่เป็นอันตราย ได้แก่ netPlus (การติดตั้ง 1 ล้านครั้ง), netSave และ netWin (การติดตั้ง 500,000 ครั้ง)

การติดมัลแวร์นี้ส่วนใหญ่จะอยู่ในรัสเซีย และประเทศใกล้เคียงต่าง ๆ เช่น ยูเครน, คาซัคสถาน และเบลารุส ดังนั้นแคมเปญนี้ดูเหมือนจะมุ่งเป้าไปที่ประเทศที่ใช้ภาษารัสเซีย

การสร้าง Extensions VPN ปลอม

ReasonLabs ค้นพบไฟล์ torrent กว่าพันไฟล์ที่ส่งไฟล์ตัวติดตั้งที่เป็นอันตราย ซึ่งเป็นแอปที่มีขนาดระหว่าง 60MB ถึง 100MB การติดตั้ง extensions VPN จะเกิดขึ้นโดยอัตโนมัติ และบังคับใช้ในระดับรีจิสทรีโดยไม่ต้องการการโต้ตอบจากผู้ใช้ และไม่จำเป็นต้องมีการดำเนินการใด ๆ จากเครื่องเหยื่อ

จากนั้นตัวติดตั้งจะตรวจสอบโปรแกรมป้องกันมัลแวร์บนเครื่อง แล้วลบ netSave บน Google Chrome และ netPlus บน Microsoft Edge ซึ่งครอบคลุมกรณีการใช้งานทั้งสองกรณี

การวิเคราะห์โค้ดแสดงให้เห็นว่า extensions ยังสามารถเข้าถึง "tabs," "storage," "proxy," "webRequest," "webRequestBlocking," "declarativeNetRequest," "scripting," "alarms," "cookies," "activeTab," "management" และ "offscreen"

ReasonLabs ชี้ให้เห็นว่าการใช้สิทธิ์ 'offscreen' ทำให้มัลแวร์สามารถเรียกใช้สคริปต์ผ่าน Offscreen API และโต้ตอบอย่างลับ ๆ กับ DOM ปัจจุบันของหน้าเว็บ (Document Object Model) การเข้าถึง DOM อย่างครอบคลุมนี้ช่วยให้ extensions สามารถขโมยข้อมูลผู้ใช้ที่มีความสำคัญ ทำการ browsing hijacks, ควบคุมจัดการ web requests และแม้แต่ปิดการใช้งาน extensions อื่น ๆ ที่ติดตั้งบนเบราว์เซอร์

คุณลักษณะเพิ่มเติมของ extensions นี้คือการปิดใช้งาน extensions แคชแบ็คและคูปองอื่น ๆ เพื่อหยุดการทำงานบนอุปกรณ์ที่ติดมัลแวร์ และเปลี่ยนเส้นทางไปยังผู้โจมตี

ReasonLabs รายงานว่ามัลแวร์นี้มีเป้าหมายมากกว่า 100 Cashback extensions รวมถึง Avast SafePrice, AVG SafePrice, Honey: Automatic Coupons & Rewards, LetyShops, Megabonus, AliRadar Shopping Assistant, Yandex.

ผู้เชี่ยวชาญเผยรายละเอียดใหม่ของช่องโหว่ Zero-Click Outlook RCE

ข้อมูลทางเทคนิคเกี่ยวกับช่องโหว่ด้านความปลอดภัยสองรายการที่ได้รับการแก้ไขแล้วใน Microsoft Windows ซึ่งอาจถูกใช้ร่วมกันจากผู้โจมตีเพื่อเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกลบนอีเมล Outlook โดยไม่ต้องมีการโต้ตอบจากผู้ใช้

Ben Barnea นักวิจัยด้านความปลอดภัยจาก Akamai ผู้ค้นพบช่องโหว่ ยืนยันในรายงานที่แชร์กับ The Hacker News ว่า "ผู้โจมตีจากอินเทอร์เน็ตสามารถเชื่อมโยงช่องโหว่ทั้งสองเข้าด้วยกันเพื่อสร้างช่องโหว่ Remote Code Execution (RCE) แบบ zero-click ที่สมบูรณ์บนไคลเอ็นต์ Outlook ได้"

รายการช่องโหว่ด้านความปลอดภัย ซึ่ง Microsoft ได้แก้ไขไปเมื่อเดือนสิงหาคม และตุลาคม 2023 ตามลำดับ

CVE-2023-35384 (CVSS score: 5.4) - ช่องโหว่ Windows HTML Platforms Security Feature Bypass
CVE-2023-36710 (CVSS score: 7.8) - ช่องโหว่ Windows Media Foundation Core Remote Code Execution

นักวิจัยจาก Akamai ระบุว่า CVE-2023-35384 เป็นการ bypass ช่องโหว่ด้านความปลอดระดับ Critical ที่ Microsoft แก้ไขไปในเดือนมีนาคม 2023 ช่องโหว่นั้นคือ CVE-2023-23397 (CVSS score: 9.8) ซึ่งเกี่ยวข้องกับการยกระดับสิทธิ์ ซึ่งอาจนำไปสู่การขโมยข้อมูล NTLM credentials และช่วยให้ผู้โจมตีสามารถใช้เพื่อโจมตีต่อได้

ช่วงต้นเดือนนี้ Microsoft, Proofpoint และ Palo Alto Networks Unit 42 ได้เปิดเผยว่า กลุ่มแฮ็กเกอร์ชาวรัสเซียที่รู้จักกันในชื่อ APT28 (หรือ Forest Blizzard) กำลังโจมตีโดยใช้ช่องโหว่ดังกล่าวหลายครั้ง เพื่อเข้าถึงบัญชีผู้ใช้บนเซิร์ฟเวอร์ Exchange โดยไม่ได้รับอนุญาต

น่าสังเกตว่า CVE-2023-35384 เป็นการ bypass แพตช์ครั้งที่สองต่อจาก CVE-2023-29324 ซึ่งถูกค้นพบโดย Barnea และถูกแก้ไขโดย Microsoft ในอัปเดตความปลอดภัยเดือนพฤษภาคม 2023

Barnea ระบุว่า "เราพบวิธีการ bypass การแก้ไขช่องโหว่เดิมของ Outlook ซึ่งทำให้เราสามารถบังคับให้ไคลเอ็นต์เชื่อมต่อกับเซิร์ฟเวอร์ที่ผู้โจมตีควบคุม และดาวน์โหลดไฟล์ที่เป็นอันตราย"

CVE-2023-35384 เช่นเดียวกับ CVE-2023-29324 มีต้นตอมาจากปัญหาการวิเคราะห์เส้นทางโดยฟังก์ชัน MapUrlToZone ซึ่งสามารถถูกโจมตีได้โดยการส่งอีเมลที่มีไฟล์อันตรายหรือ URL ไปยังไคลเอ็นต์ Outlook

Microsoft ระบุในประกาศเตือนว่า "มีช่องโหว่ที่ทำการ bypass ความปลอดภัยเกิดขึ้นเมื่อแพลตฟอร์ม MSHTML ไม่สามารถตรวจสอบ Security Zone ที่ถูกต้องของ request สำหรับ URL ที่เจาะจงได้ ซึ่งอาจทำให้ผู้โจมตีสามารถหลอกให้ผู้ใช้เข้าถึง URL ใน Internet Security Zone ที่มีข้อจำกัดน้อยกว่าที่ตั้งใจไว้"

ด้วยวิธีนี้ ช่องโหว่ดังกล่าวไม่เพียงแต่ใช้เพื่อขโมยข้อมูล NTLM credentials เท่านั้น แต่ยังสามารถเชื่อมโยงกับช่องโหว่ CVE-2023-36710 เพื่อดาวน์โหลดไฟล์เสียงที่ปรับแต่งพิเศษ ซึ่งเมื่อเล่นอัตโนมัติผ่านฟีเจอร์เสียงเตือนของ Outlook จะสามารถทำให้เกิดการเรียกใช้โค้ด zero-click บนเครื่องของเหยื่อได้

โดย CVE-2023-36710 ส่งผลกระทบต่อ Audio Compression Manager (ACM) component ซึ่งเป็นเฟรมเวิร์กมัลติมีเดียของ Windows รุ่นเก่าที่ใช้สำหรับจัดการตัวแปลงสัญญาณเสียง (audio codecs) ช่องโหว่นี้เกิดจาก integer overflow ที่เกิดขึ้นเมื่อเล่นไฟล์ WAV

เพื่อลดความเสี่ยง แนะนำให้องค์กรควรดำเนินการดังนี้

ควรใช้วิธีการ Microsegmentation เพื่อบล็อกการเชื่อมต่อ SMB ออกไปยัง public IP
ปิดการใช้งาน NTLM
เพิ่มผู้ใช้เข้าไปในกลุ่มความปลอดภัย Protected Users ซึ่งจะป้องกันการใช้ NTLM เป็นกลไกลการยืนยันตัวตน

ที่อยู่ : thehackernews

Microsoft ได้แก้ไขปัญหาซึ่งทำให้เกิดปัญหาการเชื่อมต่อเครือข่าย Wi-Fi บนวินโดวส์ 11 ที่เกิดจากการอัปเดตล่าสุด

เมื่อวันอังคารที่ผ่านมา บริษัทได้ยืนยันปัญหานี้หลังจากมีรายงานผู้ใช้งานจำนวนมากบน Reddit, Twitter และแพลตฟอร์มชุมชนของ Microsoft รวมถึงมหาวิทยาลัยหลายแห่งที่แนะนำให้นักศึกษา และพนักงานถอนการติดตั้งการอัปเดต KB5033375 และ KB50532288

Microsoft ได้รับรายงานปัญหาที่อแด็ปเตอร์ Wi-Fi บางตัวอาจไม่สามารถเชื่อมต่อกับเครือข่ายหลังจากติดตั้งอัปเดต KB5032288 โดยได้รับการยืนยันว่าปัญหานี้เกิดจาก KB5032288 และ KB5033375 ตามรายงานมีแนวโน้มที่จะได้รับผลกระทบจากปัญหานี้มากขึ้นหากมีการพยายามเชื่อมต่อกับองค์กร การศึกษา หรือเครือข่าย Wi-Fi สาธารณะโดยใช้ 802.1x authentication โดยปัญหานี้ไม่น่าจะเกิดขึ้นกับเครือข่ายภายในบ้าน

ปัญหาที่พบส่งผลกระทบเฉพาะแพลตฟอร์มไคลเอนต์ เช่น Windows 11 23H2 และ Windows 11 22H2 โดยอุปกรณ์ Windows10 จะไม่ได้รับผลกระทบจากปัญหาการเชื่อมต่อ Wi-Fi เหล่านี้

แก้ไขด้วยการ Rollback

Microsoft ได้แก้ไขปัญหานี้ผ่านทาง Known Issue Rollback (KIR) ซึ่งเป็นฟีเจอร์ของ Windows ที่ช่วย Rollback การอัปเดตที่ไม่ใช่อัปเดตด้านความปลอดภัยที่มีปัญหาที่อัปเดตผ่านทาง Windows Update

การแก้ไขนี้อาจใช้เวลาประมาณ 24 ชั่วโมงจึงจะสามารถอัปเดตไปยังอุปกรณ์สำหรับผู้ใช้งาน และธุรกิจที่ได้รับผลกระทบทั้งหมด เพื่อการแก้ไขปัญหาที่รวดเร็วยิ่งขึ้น แนะนำให้ผู้ใช้งานรีบูตอุปกรณ์ Windows 11 ที่ได้รับผลกระทบด้วย

Microsoft ยังจัดทำ KIR Group Policy เพื่อแก้ไขปัญหาการเชื่อมต่อ Wi-Fi บนอุปกรณ์ Windows ที่จัดการโดยองค์กรที่ได้รับผลกระทบ

สำหรับผู้ที่ต้องการวิธีแก้ปัญหาชั่วคราว สามารถถอนการติดตั้ง KB5033375 และ KB50532288 ได้โดยใช้ขั้นตอนต่อไปนี้

1. เปิด Windows start menu ค้นหา "Windows Update" จากนั้นไปที่ประวัติการอัปเดต > ถอนการติดตั้งการอัปเดต

2. ในรายการการอัปเดตที่ติดตั้ง ให้เลือก KB5033375 (หรือ KB50532288) จากนั้นคลิกปุ่มถอนการติดตั้ง

3. ใช้ 'Show or Hide Updates' troubleshooter เพื่อป้องกันไม่ให้การอัปเดตปรากฏขึ้นอีกครั้งจาก Windows Update

4. หลังจากถอนการติดตั้งการอัปเดตแล้ว ให้รีสตาร์ทคอมพิวเตอร์

โดยสัปดาห์นี้ Microsoft ยังได้เผยแพร่เครื่องมือแก้ปัญหาเพื่อลบ HP Smart app หลังจากติดตั้งบน Windows โดยอัตโนมัติ และเปลี่ยนชื่อ printers ทั้งหมดเป็น HP LaserJet M101-M106 บนอุปกรณ์ที่ได้รับผลกระทบอีกด้วย

ที่มา : https://www.

MongoDB ออกมายอมรับว่าระบบขององค์กรถูกละเมิด และข้อมูลของลูกค้ารั่วไหลออกไปจากการถูกโจมตีทางไซเบอร์ที่บริษัทตรวจพบเมื่อต้นสัปดาห์นี้

ในอีเมลที่ส่งโดย CISO Lena smart ไปยังลูกค้า MongoDB ระบุว่า บริษัทตรวจพบว่าระบบถูกแฮ็กเมื่อคืนวันพุธ (13 ธันวาคม 2023) และเริ่มดำเนินการตรวจสอบเหตุการณ์ที่เกิดขึ้น

ข้อความในอีเมลจาก MongoDB ระบุว่า "MongoDB กำลังตรวจสอบเหตุการณ์ด้านความปลอดภัยที่เกี่ยวข้องกับการเข้าถึงระบบองค์กร MongoDB บางแห่งโดยไม่ได้รับอนุญาต รวมถึงข้อมูลบัญชีลูกค้า และข้อมูลการติดต่อ แต่ยังไม่พบว่ามีข้อมูลที่ลูกค้าเก็บไว้ใน MongoDB Atlas รั่วไหล"

บริษัทคาดว่าแฮ็กเกอร์ยังไม่สามารถเข้าถึงข้อมูลลูกค้าใด ๆ ที่จัดเก็บไว้ใน MongoDB Atlas อย่างไรก็ตาม MongoDB ระบุว่า บริษัทยังคงดําเนินการสืบสวน และเชื่อว่าผู้โจมตีสามารถเข้าถึงระบบได้ระยะหนึ่งก่อนที่จะถูกตรวจพบ

ด้วยการรั่วไหลของข้อมูล metadata ของลูกค้า MongoDB แนะนำให้ลูกค้าทุกคนเปิดใช้งาน multi-factor authentication, เปลี่ยนรหัสผ่าน, ระมัดระวังการโจมตีแบบฟิชชิง และ Social Engineering ที่อาจเกิดขึ้น

ในส่วนของคำถามเกี่ยวกับช่องโหว่ที่ถูกใช้ในการโจมตีครั้งนี้ MongoDB ระบุว่ายังคงดำเนินการตรวจสอบเหตุการณ์ด้านความปลอดภัยนี้ และยังไม่มีอัปเดตอะไรเพิ่มเติม โดยบริษัทระบุว่าจะทำการเผยแพร่การอัปเดตเกี่ยวกับช่องโหว่บนหน้าเว็บ MongoDB Alerts ซึ่งใช้เพื่อเผยแพร่การอัปเดตเกี่ยวกับการหยุดทํางาน และเหตุการณ์อื่น ๆ

Indicators of Compromise (IOCs)

107[.]150[.]22[.]47
138[.]199[.]6[.]199
146[.]70[.]187[.]157
179[.]43[.]189[.]85
185[.]156[.]46[.]165
198[.]44[.]136[.]69
198[.]44[.]136[.]71
198[.]44[.]140[.]133
198[.]44[.]140[.]199
199[.]116[.]118[.]207
206[.]217[.]205[.]88
66[.]63[.]167[.]152
66[.]63[.]167[.]154
87[.]249[.]134[.]10
96[.]44[.]191[.]132

ที่มา : https://www.

กลุ่มแฮ็กเกอร์ชาวเกาหลีเหนือชื่อดังที่รู้จักกันในชื่อ Lazarus ยังคงใช้ประโยชน์จากช่องโหว่ CVE-2021-44228 หรือที่รู้จักในชื่อ "Log4Shell" โดยในครั้งนี้เป็นการใช้มัลแวร์ซึ่งเขียนด้วยภาษา D (D Programming Language: DLang) สามตัวที่ไม่เคยถูกพบมาก่อน

(more…)

พบแพ็กเกจมัลแวร์ 116 แพ็กเกจบน PyPI สามารถใช้เพื่อโจมตีระบบ Windows และ Linux ได้

นักวิจัยด้านความปลอดภัยทางไซเบอร์พบชุดแพ็กเกจมัลแวร์จำนวน 116 รายการบน Python Package Index (PyPI) ซึ่งออกแบบมาเพื่อโจมตีระบบ Windows และ Linux ด้วย custom backdoor

Marc-Etienne M.Léveillé และ Rene Holt นักวิจัยจาก ESET ระบุในรายงานที่เผยแพร่ในต้นสัปดาห์ที่ผ่านมาว่าในบางกรณี โปรแกรมที่ถูกดาวน์โหลดมาได้นั้นอาจเป็นรูปแบบต่าง ๆ ของ "W4SP Stealer" ซึ่งมีชื่อเสียงด้านการขโมยข้อมูล หรือ clipboard monitor เพื่อใช้ในการขโมย cryptocurrency หรือทั้งสองอย่าง

แพ็กเกจเหล่านี้คาดว่าถูกดาวน์โหลดไปแล้วกว่า 10,000 ครั้ง ตั้งแต่เดือนพฤษภาคม 2023

โดยผู้โจมตีที่อยู่เบื้องหลังพฤติกรรมนี้ ถูกพบว่าใช้เทคนิคสามวิธีในการรวมโค้ดอันตรายลงในแพ็กเกจ Python ได้แก่ ผ่านสคริปต์ test.