พบ Mirai-base Botnet ในชื่อ “InfectedSlurs” กำลังโจมตีโดยใช้ช่องโหว่การเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกล Remote Code Execution (RCE) ในอุปกรณ์ QNAP VioStor NVR (Network Video Recorder) เพื่อยึดเครื่องเป้าหมาย และนำไปใช้ในการโจมตีแบบ DDoS (distributed denial of service) ต่อไป

(more…)

Microsoft แจ้งเตือนการพบกลุ่มผู้โจมตีที่มีเป้าหมายทางด้านการเงิน กำลังใช้งานระบบยืนยันตัวตน และตรวจสอบสิทธิ์มาตรฐาน (Open Authorization - OAuth) ในการโจมตีผ่านทางอีเมลในรูปแบบ Business Email Compromised - BEC และทำการฟิชชิ่ง สแปม รวมไปถึงสร้าง Virtual Machines สำหรับขุดคริปโตแบบอัตโนมัติ

โดย OAuth คือระบบยืนยันตัวตน (Authentication) และตรวจสอบสิทธิ์ (Authorization) เพื่อให้ผู้ใช้งานสามารถอนุญาตให้แอปพลิเคชันเข้าถึงข้อมูลผู้ใช้งานที่มีอยู่บนฐานข้อมูลอีกเว็บไซต์ หรือแอปพลิเคชันอีกหลายแห่ง ผ่านรูปแบบโทเคนโดยไม่ต้องเปิดเผยรหัสผ่าน

หลังจากการตรวจสอบเหตุการณ์ที่เกิดขึ้น ทีมผู้เชี่ยวชาญภัยคุกคามทางไซเบอร์ของ Microsoft (Microsoft Threat Intelligence) เปิดเผยว่า กลุ่มผู้โจมตีมุ่งเป้าไปที่ผู้ใช้งานที่มีความหละหลวมในการใช้งานระบบยืนยันตัวตนในการป้องกันการฟิชชิ่ง หรือ password-spraying เช่น ไม่ได้เปิดระบบการยืนยันตัวตนหลายขั้นตอน (Multifactor Authentication - MFA) เป็นต้น และโดยเฉพาะอย่างยิ่งเป้าหมายที่มีสิทธิ์ในการสร้าง หรือแก้ไข OAuth ในแอปพลิเคชันได้

แอคเคาท์ที่ถูกยึดโดยกลุ่มผู้โจมตีได้แล้วนั้น จะถูกนำมาใช้ในการสร้าง OAuth แอปพลิเคชันใหม่ เพื่อให้สามารถยกระดับสิทธิ์ที่สูงขึ้นให้แก่กลุ่มผู้โจมตีได้ ซึ่งจะสามารถทำให้การกระทำต่าง ๆ ของกลุ่มผู้โจมตีนี้ไม่ถูกพบว่าเป็นการกระทำที่ต้องสงสัย ถึงขนาดที่ว่าแอคเคาน์ที่ถูกยึดนั้นถูกลบไป ก็จะไม่ส่งผลต่อ OAuth ที่สร้างขึ้นใหม่เช่นกัน ซึ่งระบบ OAuth ที่มีสิทธิ์ระดับสูงนี้ สามารถนำมาใช้งานได้อย่างหลากหลายมาก ตั้งแต่สร้าง Virtual Machines เพื่อขุดคริปโตโดยเฉพาะ ทำให้ผู้โจมตีสามารถเข้าระบบได้ตลอดเวลาเพื่อดำเนินการโจมตีผ่านทางอีเมลในรูปแบบ BEC ไปจนถึงการสร้างสแปมแคมเปญเพื่อโจมตีโดเมนขององค์กรที่ถูกผู้โจมตีบุกรุกเข้ามาแล้วได้

มีรายงานเหตุการณ์สำคัญที่ระบุว่าเกี่ยวข้องกับกลุ่มผู้โจมตีที่ชื่อ Storm-1283 ซึ่งเป็นผู้สร้าง OAuth แอปพลิเคชัน สำหรับการขุดคริปโตผ่าน Virtual Machines ส่งผลให้องค์กรได้รับความเสียหายตั้งแต่ $10,000 ไปจนถึง $1.5M ทั้งนี้ขึ้นอยู่กับระยะเวลาที่องค์กรถูกโจมตี โดยมีรายละเอียดการโจมตีดังภาพด้านล่าง

อีกหนึ่งเหตุการณ์คือผู้โจมตีใช้ประโยชน์จาก OAuth แอปพลิเคชัน โดยใช้บัญชีที่ถูกบุกรุกเพื่อแฝงตัวอยู่ในระบบ และดำเนินการส่งฟิชชิ่ง โดยใช้วิธีการ adversary in the middle

ผู้โจมตีกลุ่มเดียวกันนี้ยังใช้แอคเคาท์ที่ถูกบุกรุกในการเก็บรวบรวมข้อมูล (reconnaissance) เพื่อเตรียมโจมตีผ่านทางอีเมลในรูปแบบ BEC โดยใช้ Microsoft Outlook Web Application - OWA ในการค้นหาข้อมูลที่เกี่ยวข้องกับการชำระเงิน และใบแจ้งหนี้ต่าง ๆ

ในบางกรณี ผู้โจมตีได้สามารถสร้างอีกหลายโปรไฟล์ของ OAuth เพื่อให้สามารถดำเนินการต่อไปได้ยาวนานขึ้นก่อนที่จะถูกตรวจพบ โดยการเพิ่มแอคเคาท์ ชื่อผู้ใช้งาน และรหัสผ่าน รวมไปถึงการอ่านอีเมล และส่งอีเมลฟิชชิ่งผ่าน Microsoft Graph API

Microsoft ยังระบุเพิ่มเติมอีกว่า ขณะที่ทำการตรวจสอบ และวิเคราะห์หาข้อมูลเพิ่มเติมนั้น พบว่ากลุ่มผู้โจมตีได้สร้าง tenant OAuth แอปพลิเคชันออกมากว่า 17,000 multitenant ครอบคลุม tenant หลายแบบที่แตกต่างกัน โดยใช้แอคเคาท์จำนวนมากที่ยึดมาได้ และจากข้อมูลอีเมลทั่วโลกของ Microsoft ที่ได้รวบรวมมานั้น พบว่า OAuth แอปพลิเคชันที่ต้องสงสัย ส่งอีเมลฟิชชิ่งไปแล้วกว่า 927,000 อีเมล ทั้งนี้ทางไมโครซอฟท์ได้มีการกำจัด OAuth แอปพลิเคชันที่ต้องสงสัยที่เกี่ยวข้องกับแคมเปญนี้ในช่วงระยะเวลาตั้งแต่กรกฏาคม ถึง พฤศจิกายน 2023 ทั้งหมดแล้ว

1 ใน 3 ของเหตุการณ์ที่เกิดขึ้นพบว่าเป็นฝีมือของกลุ่ม Storm-1286 ที่บุกรุกบัญชีผู้ใช้งานที่ไม่ได้มีการเปิดการป้องกันด้วยระบบยืนยันตัวตนหลายขั้นตอน ซึ่งเกี่ยวข้องกับแคมเปญการโจมตีในรูปแบบ password-spraying โดยที่แอคเคาท์ที่ถูกยึดไปได้นั้น จะถูกนำไปใช้ในการสร้าง OAuth แอปพลิเคชันใหม่ในองค์กรที่เป็นเป้าหมาย ซึงจะทำให้ผู้ที่โจมตีเข้ามานั้น สามารถส่งสแปมอีเมลได้ตลอดเวลาตั้งแต่ไม่กี่วัน ไปถึงขั้นหลักเดือนเลยทีเดียว

ในการป้องกันกลุ่มผู้โจมตีที่ใช้ช่องโหว่ OAuth แอปพลิเคชันนี้นั้น ทาง Microsoft แนะนำให้ใช้งานระบบ MFA เพื่อขัดขวางการการโจมตีแบบฟิชชิ่ง และการโจมตีที่ขโมยข้อมูลสำคัญมาแล้วนำไปใช้งานในระบบอื่น ๆ ด้วยวิธีการ Credential stuffing

คำแนะนำ

Security teams ควรเปิดใช้งาน conditional access policies เพื่อป้องกันการโจมตีที่ใช้ประโยชน์จากข้อมูลประจำตัวที่ถูกขโมย
ทำการตรวจสอบเงื่อนไขในการเข้าถึงข้อมูลอย่างสม่ำเสมอ เพื่อเพิกถอนการเข้าถึงของผู้ใช้โดยอัตโนมัติ หากตรงกับเงื่อนไขที่มีความเสี่ยงที่อาจเกิดขึ้น
ทำการตั้งค่า Azure Active Directory Security ให้มีการเปิดการใช้งานระบบ MFA เป็นค่าเริ่มต้น รวมไปถึงป้องกันการกระทำต่าง ๆ ที่ต้องใช้สิทธิ์ระดับสูง

ที่มา : bleepingcomputer

Toyota Financial Services (TFS) เป็นบริษัทในเครือของ Toyota Motor Corporation ซึ่งเป็นองค์กรระดับโลกที่ดำเนินธุรกิจในตลาดการขายรถยนต์ของ Toyota กว่า 90% เพื่อให้บริการสินเชื่อรถยนต์ ออกมาประกาศแจ้งเตือนลูกค้าเรื่องข้อมูลรั่วไหล ซึ่งส่งผลกระทบต่อข้อมูลส่วนบุคคล และข้อมูลทางการเงิน

เหตุการณ์นี้เกิดขึ้นเมื่อเดือนที่ผ่านมา โดยบริษัทถูกเข้าถึงระบบบางส่วนในยุโรป และแอฟริกาโดยไม่ได้รับอนุญาต ภายหลังจากที่ Medusa ransomware อ้างว่าโจมตีแผนกผู้ผลิตรถยนต์ของญี่ปุ่นสําเร็จ โดยผู้โจมตีได้เรียกค่าไถ่จำนวน 8,000,000 ดอลลาร์ เพื่อลบข้อมูลที่ขโมยมา และให้เวลา Toyota 10 วันในการติดต่อกลับ

โดย Toyota ให้ข้อมูลกับ BleepingComputer เพิ่มเติมว่า เมื่อทราบถึงเหตุการณ์ดังกล่าว บริษัทได้ทำการออฟไลน์ระบบบางระบบเพื่อปิดช่องโหว่ ทำให้ส่งผลกระทบต่อการบริการลูกค้า

ทั้งนี้ สันนิษฐานว่า Toyota ยังไม่ได้มีการเจรจาการจ่ายค่าไถ่กับผู้โจมตี ทำให้ขณะนี้ข้อมูลทั้งหมดถูกปล่อยออกมาบนพอร์ทัลของ Medusa บนดาร์กเว็บ

เมื่อต้นเดือนที่ผ่านมา Toyota Kreditbank GmbH ในเยอรมนี ซึ่งเป็นหนึ่งในหน่วยงานที่ได้รับผลกระทบจากเหตุการณ์ในครั้งนี้ ได้ออกมายอมรับว่าแฮ็กเกอร์สามารถเข้าถึงข้อมูลส่วนบุคคลของลูกค้า ส่งผลให้ข้อมูลของลูกค้าจำนวนหนึ่งถูกขโมยออกไป โดยสำนักข่าว Heise ของเยอรมนี ได้รับตัวอย่างแถลงการณ์ที่ Toyota ส่งถึงลูกค้าชาวเยอรมัน แจ้งว่าข้อมูลรั่วไหลประกอบด้วยข้อมูลดังต่อไปนี้

ชื่อ
ที่อยู่
ข้อมูลสัญญา
รายละเอียดการเช่าซื้อ
IBAN (หมายเลขบัญชีธนาคารระหว่างประเทศ)

โดยข้อมูลที่ถูกขโมยไปเพียงพอสำหรับการนำมาใช้โจมตีแบบฟิชชิ่ง การหลอกลวง และการทำธุรกรรมทางการเงิน รวมถึงการขโมยข้อมูลส่วนบุคคล ดังนั้นจึงควรระมัดระวังความผิดปกติที่อาจจะเกิดขึ้น

อย่างไรก็ตามการตรวจสอบยังไม่เสร็จสิ้น และยังมีความเป็นไปได้ที่ผู้โจมตีจะสามารถเข้าถึงข้อมูลเพิ่มเติม โดยทาง Toyota กำลังดำเนินการตรวจสอบอย่างละเอียด และหากพบว่ามีการเปิดเผยข้อมูลเพิ่มเติม คาดว่าบริษัทจะรีบแจ้งให้ผู้ที่ได้รับผลกระทบทราบโดยทันที

BleepingComputer ได้ติดต่อ Toyota เพื่อขอข้อมูลเพิ่มเติม เช่น จำนวนลูกค้าที่ถูกเปิดเผย แต่ยังไม่ได้รับการตอบกลับแต่อย่างใด

ที่มา: bleepingcomputer

Norton Healthcare ระบบสุขภาพของรัฐเคนทักกี ให้บริการผู้ป่วยทั้งผู้ใหญ่ และเด็กในคลินิก และโรงพยาบาลกว่า 40 แห่งในเกรทเทอร์หลุยส์วิลล์ อินเดียนาตอนใต้ และรัฐเคนทักกี ซึ่งเป็นนายจ้างรายใหญ่อันดับ 2 ของรัฐหลุยส์วิลล์ มีพนักงานกว่า 20,000 ราย ผู้ให้บริการทางการแพทย์กว่า 1,750 ราย บุคลากรทางการแพทย์กว่า 3,000 ราย และมีสำนักงานมากกว่า 140 แห่งทั่วเกรทเทอร์หลุยส์วิลล์ และอินเดียนาตอนใต้ ออกมายืนยันว่าการถูกโจมตีด้วยแรนซัมแวร์เมื่อเดือนพฤษภาคมที่ผ่านมา ส่งผลกระทบต่อข้อมูลส่วนบุคคลของผู้ป่วย พนักงาน และครอบครัว

เหตุการณ์นี้เกิดขึ้นเมื่อวันที่ 7 พฤษภาคม ถึง 9 พฤษภาคม 2023 Norton Healthcare ถูกเข้าถึงอุปกรณ์จัดเก็บข้อมูลเครือข่ายโดยไม่ได้รับอนุญาต ส่งผลให้ข้อมูลจำนวนหนึ่งถูกขโมยออกไป โดยประกอบด้วยข้อมูลดังต่อไปนี้

ข้อมูลการติดต่อ
หมายเลขประกันสังคม
วันเดือนปีเกิด
ข้อมูลสุขภาพ
ข้อมูลประกัน
หมายเลขบัตรประจําตัวทางการแพทย์

ทั้งนี้ ผู้โจมตีไม่ได้เข้าถึงระบบบันทึกทางการแพทย์ของ Norton Healthcare หรือ Norton MyChart แต่อย่างใด อย่างไรก็ตาม Norton Healthcare ได้แจ้งหน่วยงานบังคับใช้กฎหมายของรัฐบาลกลาง และเริ่มทำงานร่วมกับผู้ให้บริการรักษาความปลอดภัย เพื่อดำเนินการตรวจสอบ และหยุดการเข้าถึงที่ไม่ได้รับอนุญาต

นอกจากนี้ Norton Healthcare ระบุว่า สําหรับบางคน(อาจเป็นพนักงาน) ข้อมูลที่เปิดเผยอาจรวมถึงหมายเลขบัญชีทางการเงิน ใบขับขี่ หมายเลขประจําตัวของรัฐบาลอื่น ๆ และลายเซ็นดิจิทัล ซึ่งผู้ที่ได้รับผลกระทบจะได้รับบริการคุ้มครองเครดิตฟรีสองปี และข้อมูลเพิ่มเติมผ่านการแจ้งเตือนการละเมิด

การโจมตีด้วยแรนซัมแวร์จากกลุ่ม BlackCat/ALPHV

แม้ว่า Norton Healthcare จะไม่ระบุกลุ่มแรนซัมแวร์ที่เฉพาะเจาะจง แต่การโจมตีดังกล่าวถูกอ้างสิทธิ์ในปลายเดือนพฤษภาคมโดยกลุ่ม ALPHV (BlackCat)

ตามรายงานของ DataBreaches ผู้โจมตีอ้างในรายการที่เพิ่มบนเว็บไซต์เผยแพร่ข้อมูลรั่วไหลบนดาร์กเว็บว่า พวกเขาได้ขโมยข้อมูล 4.7TB จากระบบการดูแลสุขภาพ และยังเผยแพร่ไฟล์หลายสิบไฟล์เพื่อเป็นหลักฐานยืนยันการขโมยข้อมูล โดยประกอบด้วยข้อมูล หมายเลขประกันสังคมของผู้ป่วย Norton Healthcare ใบแจ้งยอดธนาคาร และอื่น ๆ

BleepingComputer รายงานในวันนี้ (8 ธันวาคม 2023) ว่า การหยุดทำงานอย่างต่อเนื่องของเว็บไซต์ของทางกลุ่ม ALPHV อาจมาจากการดำเนินการบังคับใช้กฎหมาย

Norton Healthcare เป็นเพียงหนึ่งในรายชื่อองค์กรด้านสุขภาพที่ตกเป็นเหยื่อของแรนซัมแวร์ในสหรัฐอเมริกา ตัวอย่างเช่น Ardent Health Services ผู้ให้บริการด้านการดูแลสุขภาพที่ดําเนินงานโรงพยาบาล 30 แห่งใน 6 รัฐของสหรัฐอเมริกาก็เปิดเผยเมื่อเดือนที่ผ่านมาว่าถูกโจมตีด้วยแรนซัมแวร์

ตั้งแต่ปีที่แล้ว รัฐบาลสหรัฐฯ ได้ออกคำแนะนำเกี่ยวกับการโจมตีด้วยแรนซัมแวร์ที่มุ่งเป้าไปที่สถาบันด้านการดูแลสุขภาพทั่วประเทศ โดยคำแนะนำมาจากทีมรักษาความปลอดภัยที่กระทรวงสาธารณสุข และบริการประชาชน (HHS) ของสหรัฐอเมริกาเกี่ยวกับการดำเนินการของกลุ่มแรนซัมแวร์ เช่น Royal, Venus, Maui และ Zeppelin ที่กำหนดเป้าหมายไปที่องค์กรด้านการดูแลสุขภาพ และสาธารณสุข (HPH) และในเดือนตุลาคม 2022 หน่วยงานรักษาความปลอดภัยทางไซเบอร์ และโครงสร้างพื้นฐาน (CISA), สำนักงานสืบสวนกลางแห่งสหรัฐอเมริกา (FBI) และ HHS แจ้งโรงพยาบาลเกี่ยวกับการโจมตีของกลุ่มแรนซัมแวร์ Daixin Team ที่ศูนย์ดูแลสุขภาพ

ที่มา: bleepingcomputer

WordPress ออกแพตซ์อัปเดตเวอร์ชัน 6.4.2 ที่ระบุถึงช่องโหว่การเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกล (RCE) ซึ่งอาจใช้ร่วมกับช่องโหว่อื่นที่ทำให้ผู้โจมตีสามารถเรียกใช้ PHP code ที่เป็นอันตรายบนเว็บไซต์ได้

WordPress เป็นระบบการจัดการเนื้อหา Content Management System (CMS) ซึ่งเป็นซอฟต์แวร์แบบโอเพนซอร์สที่ได้รับความนิยมอย่างมากในการสร้าง และจัดการเว็บไซต์ ซึ่งปัจจุบันมีการใช้งานมากกว่า 800 ล้านเว็บไซต์ หรือประมาณ 45% ของเว็บไซต์ทั้งหมดบนอินเทอร์เน็ต

โดยทีมรักษาความปลอดภัยพบช่องโหว่ของ Property Oriented Programming (POP) ที่ถูกนำมาใช้ใน WordPress 6.4 ซึ่งอาจทำให้มีการเรียกใช้ PHP code ที่เป็นอันตรายได้

การโจมตีช่องโหว่ POP ผู้โจมตีต้องควบคุมคุณสมบัติทั้งหมดของ deserialize object ซึ่งสามารถทำได้ผ่านฟังก์ชัน unserialize () ของ PHP โดยการควบคุมค่าที่ส่งไปยัง magic method เช่น '_wakeup()'

โดยเว็บไซต์เป้าหมายต้องมีช่องโหว่ PHP object injection ซึ่งอาจอยู่บนปลั๊กอิน หรือส่วนต่าง ๆ ของธีม จึงจะส่งผลกระทบทำให้ช่องโหว่มีระดับความรุนแรงสูงขึ้นเป็นระดับ Critical

WordPress ระบุว่าช่องโหว่การเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกลไม่สามารถโจมตีได้โดยตรง แต่ทีมรักษาความปลอดภัยเชื่อว่าเมื่อใช้ร่วมกับปลั๊กอินบางตัว โดยเฉพาะที่มีการติดตั้งในหลายเว็บไซต์ยิ่งอาจทำให้มีระดับความรุนแรงสูงขึ้น

ผู้เชี่ยวชาญด้านความปลอดภัยของ Wordfence ให้รายละเอียดเพิ่มเติมเกี่ยวกับช่องโหว่นี้โดยอธิบายว่า ช่องโหว่อยู่ในประเภท 'WP_HTML_Token' ซึ่งอยู่ใน WordPress 6.4 เพื่อปรับปรุงการการวิเคราะห์แบบ HTML ใน block editor โดยประกอบด้วย magic method '__destruct' ซึ่งใช้ 'call_user_func' เพื่อดำเนินการฟังก์ชันที่กำหนดไว้ในคุณสมบัติ 'on_destroy' และ 'bookmark_name'

นักวิจัยระบุว่าผู้โจมตีที่ใช้ประโยชน์จากช่องโหว่ object injection สามารถควบคุมคุณสมบัติเหล่านี้เพื่อสั่งรันโค้ดได้ตามที่ต้องการ

แม้ว่าช่องโหว่นี้จะไม่รุนแรงด้วยตัวมันเอง เนื่องจากความจำเป็นในการใช้ประโยชน์จาก object injection ในปลั๊กอิน หรือธีมที่ติดตั้ง และใช้งานอยู่ แต่การมี POP ที่สามารถใช้ประโยชน์ได้ใน WordPress สามารถเพิ่มความเสี่ยงของเว็บไซต์ WordPress ขึ้นได้

การแจ้งเตือนอื่นจากแพลตฟอร์มความปลอดภัย Patchstack สำหรับ WordPress และปลั๊กอินระบุว่า ช่องโหว่นี้ถูกอัปโหลดเมื่อหลายสัปดาห์ก่อนบน GitHub และต่อมาได้เพิ่มลงในไลบรารี PHPGGC ซึ่งใช้ในการทดสอบความปลอดภัยของแอปพลิเคชัน PHP

ถึงแม้ช่องโหว่อาจมีความรุนแรง และสามารถโจมตีได้แค่ในบางกรณี อย่างไรก็ตามนักวิจัยแนะนำให้ผู้ดูแลระบบอัปเดต WordPress ให้เป็นเวอร์ชันล่าสุด และแม้ว่าการอัปเดตส่วนใหญ่จะติดตั้งเวอร์ชันใหม่ให้โดยอัตโนมัติ แต่ยังคงแนะนำให้ตรวจสอบด้วยตนเองว่าการอัปเดตเสร็จสมบูรณ์หรือไม่

ที่มา: bleepingcomputer

Austal USA บริษัทต่อเรือ และผู้รับเหมาของกระทรวงกลาโหมสหรัฐฯ (DoD) และกระทรวงความมั่นคงแห่งมาตุภูมิ (DHS) ออกมายืนยันการถูกโจมตีทางไซเบอร์ และกำลังอยู่ระหว่างการตรวจสอบผลกระทบของเหตุการณ์ที่เกิดขึ้น

Austal เป็นบริษัทที่มีสำนักงานใหญ่อยู่ในออสเตรเลีย และมีความเชี่ยวชาญในการผลิตวัสดุอลูมิเนียมประสิทธิภาพสูง ซึ่งมีสัญญากับทางการสหรัฐฯหลายโครงการ รวมถึงการสร้างเรือรบชายฝั่งชั้น Littoral Combat Ship (LCS) สำหรับกองทัพเรือสหรัฐฯ ซึ่งเป็นเรือยาว 127 เมตร มูลค่า 360 ล้านดอลลาร์ และยังมีสัญญามูลค่า 3.3 พันล้านดอลลาร์ ในการสร้างเรือตรวจการณ์ 11 ลำให้กับหน่วยยามฝั่งสหรัฐฯ

โดยก่อนหน้านี้กลุ่มแรนซัมแวร์ Hunters International และกลุ่มโจรกรรมข้อมูลอ้างว่าได้เผยแพร่ข้อมูลบางส่วนที่ขโมยมาจาก Austal เพื่อเป็นหลักฐานการโจมตี

โดยแถลงการณ์จาก Austal ระบุว่า "เมื่อบริษัททราบถึงปัญหาดังกล่าว จึงเร่งทำการป้องกันเหตุการณ์อย่างทันที และทำให้ไม่ส่งผลกระทบต่อการดำเนินงาน โดยหน่วยงานกำกับดูแล สำนักงานสืบสวนกลางแห่งสหรัฐอเมริกา (FBI) และหน่วยสืบสวนอาชญากรรมทหารเรือ (NCIS) ได้รับแจ้งถึงเหตุการณ์ทันที และมีส่วนร่วมในการตรวจสอบสาเหตุของสถานการณ์ และขอบเขตของข้อมูลที่ถูกเข้าถึง ซึ่งผู้โจมตีไม่มีการเข้าถึงข้อมูลส่วนบุคคล หรือข้อมูลที่เป็นความลับแต่อย่างใด อย่างไรก็ตาม Austal ตระหนักถึงความรุนแรงของเหตุการณ์นี้ และแสดงถึงความรับผิดชอบในฐานะผู้รับเหมาของกระทรวงกลาโหม และกระทรวงความมั่นคงแห่งมาตุภูมิ ซึ่งขณะนี้อยู่ระหว่างการประเมินเพื่อรับทราบถึงเหตุการณ์ที่เกิดขึ้นอย่างละเอียด เพื่อป้องกันไม่ให้เกิดเหตุการณ์ดังกล่าวอีก และจะแจ้งให้ผู้ที่ได้รับผลกระทบจากเหตุการณ์ในครั้งนี้ทราบต่อไป"

Hunters International ขู่ว่าจะเปิดเผยข้อมูลที่ขโมยมาจากระบบของ Austal รวมทั้งเอกสารการปฏิบัติตามกฎระเบียบ ข้อมูลการจ้างงาน รายละเอียดทางการเงิน ใบรับรอง และข้อมูลด้านวิศวกรรม อย่างไรก็ตาม Austal ไม่ได้เปิดเผยว่าผู้โจมตีสามารถเข้าถึงข้อมูลเกี่ยวกับแผนงานวิศวกรรม หรือเทคโนโลยีอื่น ๆ ที่เป็นกรรมสิทธิ์ของกองทัพเรือสหรัฐฯ ได้แต่อย่างใด

Hunters International มีการดำเนินการในรูปแบบ Ransomware as a Service (RaaS) และนักวิจัยเชื่อว่าเป็นการรีแบรนด์มาจากกลุ่ม Hive ransomware ซึ่งมาจากการพบโค้ดของมัลแวร์ที่มีบางส่วนที่เหมือนกัน อย่างไรก็ตามกลุ่ม Hunters International ปฏิเสธในเรื่องดังกล่าว โดยอ้างว่าพวกเขาเป็นกลุ่มใหม่ที่ซื้อซอร์สโค้ดตัวเข้ารหัสจากนักพัฒนา Hive ransomware และอ้างว่าโค้ดของ Hive มีข้อผิดพลาดมากที่ทำให้ไม่สามารถถอดรหัสได้ในบางกรณี ซึ่งพวกเขาได้นำมาแก้ไขแล้ว นอกจากนี้ยังอ้างว่าการเข้ารหัสไม่ใช่เป้าหมายหลักของการดำเนินการของพวกเขา แต่จะมุ่งเน้นไปที่การขโมยข้อมูลเพื่อใช้ประโยชน์ในการเรียกค่าไถ่เท่านั้น ซึ่งปัจจุบันเว็บไซต์ที่ใช้เผยแพร่ข้อมูลรั่วไหลของกลุ่มนี้ได้แสดงรายการเหยื่อกว่า 10 ราย จากภูมิภาคต่าง ๆ ของโลก

ที่มา: bleepingcomputer

นักวิจัยพบการแพร่กระจายของแรนซัมแวร์สายพันธุ์หนึ่งที่รู้จักกันในชื่อ DJVU ในรูปแบบของไฟล์ Crack ของซอฟแวร์ผิดลิขสิทธิ์

Ralph Villanueva นักวิจัยด้านความปลอดภัยของ ระบุว่า “แม้ว่ารูปแบบการโจมตีลักษณะนี้จะไม่ใช่เรื่องใหม่ แต่ DJVU สายพันธุ์นี้จะต่อท้ายนามสกุลไฟล์ด้วย .xaro ไปยังไฟล์ที่ถูกโจมตี เพื่อเรียกค่าไถ่สำหรับตัวถอดรหัส ถูกพบว่ากำลังแพร่กระจายในระบบควบคู่ไปกับมัลแวร์สำหรับขโมยข้อมูลต่าง ๆ”

โดยแรนซัมแวร์สายพันธุ์ใหม่นี้ได้รับรหัสชื่อ Xaro จาก Cybereason

DJVU ซึ่งเป็นแรนซัมแวร์สายพันธุ์หนึ่งของ STOP ransomware โดยปกติจะมาในรูปแบบที่ปลอมเป็นบริการ หรือแอปพลิเคชันที่ดูถูกต้องตามปกติ นอกจากนี้ยังเคยถูกใช้เป็นเพย์โหลดของ SmokeLoader อีกด้วย

จุดสังเกตที่สำคัญของการโจมตีจาก DJVU คือการใช้มัลแวร์อื่น ๆ ร่วมด้วยเพิ่มเติม เช่น มัลแวร์สำหรับขโมยข้อมูล (เช่น RedLine Stealer และ Vidar) ซึ่งมักจะทำให้เกิดความเสียหายมากขึ้น

ในการโจมตีครั้งล่าสุดที่บันทึกไว้โดย Cybereason มัลแวร์ Xaro จะเป็นไฟล์ archive ที่ถูกดาวน์โหลดมาจากแหล่งที่น่าสงสัย ซึ่งเป็นเว็บไซต์ปลอมที่ให้สามารถดาวน์โหลดฟรีซอฟแวร์ที่ดูเหมือนถูกต้องตามกฎหมาย การเปิดไฟล์ archive จะนำไปสู่การรันไบนารีติดตั้งซอฟต์แวร์ PDF writing ที่ชื่อว่า CutePDF ซึ่งในความเป็นจริงเป็นการติดตั้งมัลแวร์ที่รู้จักกันในชื่อ PrivateLoader

โดย PrivateLoader นอกเหนือจากการนำไปสู่การติดตั้ง Xaro แล้ว มันจะทำการเชื่อมต่อกับ C2 Server เพื่อดาวน์โหลดมัลแวร์อื่น ๆ อีกจำนวนมาก เช่น RedLine Stealer, Vidar, Lumma Stealer, Amadey, SmokeLoader, Nymaim, GCleaner, XMRig และ Fabookie

นักวิจัยอธิบายเพิ่มเติมว่า "แนวทางการแพร่กระจายลักษณะนี้มักจะมาจากการดาวน์โหลด และติดตั้งมัลแวร์ PrivateLoader ที่เกิดจากเว็บไซต์ฟรีซอฟแวร์ หรือไฟล์ Crack ของซอฟแวร์ผิดลิขสิทธิ์"

เป้าหมายของมัลแวร์ดูเหมือนจะเป็นการรวบรวมข้อมูลที่มีความสำคัญเพื่อการเรียกค่าไถ่ ตลอดจนเพื่อให้แน่ใจว่าการโจมตีจะประสบความสำเร็จ แม้ว่าจะมีเพย์โหลดใดเพย์โหลดหนึ่งถูกบล็อกโดยซอฟต์แวร์รักษาความปลอดภัย

มัลแวร์ Xaro นอกเหนือจากการสร้างอินสแตนซ์ของ Vidar infostealer ยังสามารถเข้ารหัสไฟล์ในโฮสต์ที่ติดมัลแวร์ ก่อนที่จะทิ้งไฟล์เพื่อเรียกค่าไถ่ โดยจะขู่ให้เหยื่อติดต่อกลับในการจ่ายค่าไถ่เพื่อรับคีย์สำหรับถอดรหัสในราคา $980 ซึ่งจะลดลง 50% เป็น $490 หากติดต่อกลับภายใน 72 ชั่วโมง

เหตุการณ์นี้แสดงให้เห็นถึงความเสี่ยงของการดาวน์โหลดฟรีซอฟแวร์จากแหล่งที่มาที่ไม่น่าเชื่อถือ เช่น แคมเปญของ FakeUpdateRU ที่ใช้การแจ้งเตือนการอัปเดตเบราว์เซอร์ปลอมเพื่อติดตั้ง RedLine Stealer

โดยผู้โจมตีมักใช้ฟรีซอฟแวร์ปลอม เพื่อเป็นช่องทางในการแพร่กระจายมัลแวร์อย่างลับ ๆ และองค์กรควรเข้าใจถึงผลกระทบที่อาจเกิดขึ้นอย่างรวดเร็ว และกว้างขวางจากการติดมัลแวร์ และการปกป้องข้อมูล

ที่มา: thehackernews

การโจมตีจากช่องโหว่การยกระดับสิทธิ์มากกว่า 50% มากจาก Insider Threat

ช่องโหว่การยกระดับสิทธิ์ (Privilege Escalation) เป็นช่องโหว่ที่พบบ่อยที่สุด ที่บุคคลภายในองค์กรใช้เพื่อให้สามารถเข้าใช้งานบนเครือข่ายที่ไม่ได้รับอนุญาต ไม่ว่าจะเพื่อจุดประสงค์ที่เป็นอันตราย หรือโดยการดาวน์โหลดเครื่องมือที่มีความเสี่ยงในลักษณะที่เป็นอันตราย
(more…)

ผู้ให้บริการซอฟต์แวร์โอเพ่นซอร์ส file-sharing อย่าง ownCloud ออกมาแจ้งเตือนถึงช่องโหว่ระดับ Critical 3 รายการ ที่อาจนำไปใช้ในการเปิดเผยข้อมูลที่สำคัญ และทำให้ผู้โจมตีสามารถแก้ไขไฟล์ได้

คำอธิบายของช่องโหว่มีดังนี้

CVE-2023-49103 (CVSS score: 10.0) ช่องโหว่การเปิดเผยข้อมูล credentials และช่องโหว่การกำหนดค่าใน containerized deployments ที่ส่งผลกระทบต่อ graphapi เวอร์ชันตั้งแต่ 0.2.0 ถึง 0.3.0
CVE-2023-49105 (CVSS score: 9.8) ช่องโหว่ Authentication Bypass ใน WebDAV Api โดยใช้ Pre-Signed URLs ซึ่งส่งผลกระทบต่อเวอร์ชันหลัก ตั้งแต่ 10.6.0 ถึง 10.13.0
CVE-2023-49104 (CVSS score: 9.0) ช่องโหว่การ Bypass การตรวจสอบ Subdomain ที่ส่งผลกระทบต่อ oauth2 ก่อนเวอร์ชัน 0.6.1
ช่องโหว่แรกเกิดจาก แอป 'graphapi' จะใช้ไลบรารีของ third-party ที่จะ provide URL ให้ ซึ่งเมื่อเข้าถึง URL นี้ จะทำให้มีการเปิดเผยข้อมูล configuration ของ PHP (phpinfo) ซึ่งข้อมูลนี้รวมถึง environment ทั้งหมดใน containerized deployments ซึ่งอาจอาจรวมถึงข้อมูลที่มีความสำคัญ เช่น รหัสผ่านผู้ดูแลระบบ ownCloud, ข้อมูล Credentials ของเซิร์ฟเวอร์เมล และ license key

ช่องโหว่รายการที่สอง คือทำให้สามารถเข้าถึง แก้ไข หรือลบไฟล์ใด ๆ ก็ตามที่ไม่มีการยืนยันตัวตน หากทราบชื่อผู้ใช้ของเหยื่อ และเหยื่อไม่ได้กำหนดค่า signing-key เป็นค่าเริ่มต้น ซึ่งเป็นพฤติกรรมโดยปกติของผู้ใช้งานส่วนใหญ่

ช่องโหว่รายการที่สาม เป็นช่องโหว่ที่เกี่ยวข้องกับการควบคุมการเข้าถึงที่ไม่เหมาะสม ซึ่งทำให้ผู้โจมตีสามารถส่ง URL เพื่อเปลี่ยนเส้นทางที่ถูกสร้างขึ้นมาเป็นพิเศษ โดยข้ามขั้นตอนการตรวจสอบสิทธิ์ และทำให้ผู้โจมตีเปลี่ยนเส้นทางการเรียกกลับไปยัง TLD ที่ควบคุมโดยผู้โจมตีได้

นอกเหนือจากการเพิ่มมาตรการรักษาความปลอดภัยให้กับการตรวจสอบความถูกต้องในแอป oauth2 แล้ว ownCloud ยังแนะนำให้ผู้ใช้ปิดการใช้งานตัวเลือก "Allow Subdomains" เพื่อแก้ปัญหาอีกด้วย

การแจ้งเตือนดังกล่าวเกิดขึ้นภายหลังจากที่มีการเผยแพร่ Proof-of-Concept (PoC) สำหรับโจมตีช่องโหว่การเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกลในโซลูชัน CrushFTP (CVE-2023-43177) ที่อาจทำให้ผู้โจมตีที่ไม่ผ่านการยืนยันตัวตนสามารถเข้าถึงไฟล์ หรือเรียกใช้โปรแกรมโดยไม่ได้รับอนุญาตบนโฮสต์ และเข้าถึงรหัสผ่านที่เป็น plain-text ได้ ซึ่งช่องโหว่นี้ได้รับการแก้ไขแล้วใน CrushFTP เวอร์ชัน 10.5.2 ซึ่งเผยแพร่เมื่อวันที่ 10 สิงหาคม 2023

แนวทางแก้ไขจาก ownCloud

แนะนำให้ลบไฟล์ "owncloud/apps/graphapi/vendor/microsoft/microsoft-graph/tests/GetPhpInfo.

พบ App Log4J กว่า 30% ใช้ library version ที่มีช่องโหว่

นักวิจัยพบว่าประมาณ 38% ของแอปพลิเคชันที่ใช้ไลบรารี Apache Log4j กำลังใช้เวอร์ชันที่มีช่องโหว่ด้านความปลอดภัย ซึ่งรวมถึง Log4Shell (CVE-2021-44228) ซึ่งเป็นช่องโหว่ทีมีระดับ Critical แม้ว่าช่องโหว่ดังกล่าวจะมีการอัปเดตเพื่อแก้ไขไปแล้วนานกว่าสองปีก็ตาม

Log4Shell CVE-2021-44228 (คะแนน CVSS 10/10 ความรุนแรงระดับ Critical) เป็นช่องโหว่การเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกล (RCE) ที่จำเป็นต้องผ่านการยืนยันตัวตน ที่ทำให้ผู้โจมตีสามารถเข้าควบคุมระบบได้อย่างสมบูรณ์ซึ่งส่งผลกระทบต่อ Log4j 2.0-beta9 จนถึง 2.15.0

โดยช่องโหว่ดังกล่าวเป็นช่องโหว่ Zero-day ที่ถูกนำไปใช้ในการโจมตีมาตั้งแต่วันที่ 10 ธันวาคม 2021 ซึ่งความง่ายในการโจมตี ผลกระทบด้านความปลอดภัยที่รุนแรง และส่งผลกระทบเป็นวงกว้างได้ทำให้กลายเป็นที่นิยมของเหล่า Hacker ที่นำช่องโหว่ดังกล่าวไปใช้ในการโจมตีเป้าหมาย

(more…)