มัลแวร์ที่สามารถทำงานข้ามแพลตฟอร์มที่ชื่อว่า StripedFly ได้หลบเลี่ยงการตรวจจับของนักวิจัยด้านความปลอดภัยทางไซเบอร์มาเป็นเวลาห้าปี โดยโจมตีระบบ Windows และ Linux มากกว่าหนึ่งล้านเครื่องในช่วงเวลานั้น

Kaspersky ค้นพบลักษณะของโครงสร้างของมัลแวร์เมื่อปีที่แล้ว โดยพบหลักฐานว่ามัลแวร์ทำการโจมตีมาตั้งแต่ปี 2017 โดยมัลแวร์ถูกจัดประเภทผิดพลาดว่าเป็นเพียงโปรแกรมขุดเหรียญสกุลเงินดิจิทัล Monero

นักวิเคราะห์ระบุว่า StripedFly ว่าเป็นมัลแวร์ที่น่าประทับใจ โดยมีกลไกการซ่อนการรับส่งข้อมูลผ่าน TOR ที่ดูซับซ้อน, การอัปเดตอัตโนมัติจากแพลตฟอร์มที่เชื่อถือได้, ความสามารถในการแพร่กระจายแบบ worm, และการใช้ช่องโหว่ EternalBlue SMBv1 แบบกำหนดเองที่สร้างขึ้นก่อนการเปิดเผยช่องโหว่ต่อสาธารณะ

ถึงแม้ว่าจะยังไม่ชัดเจนว่า framework ของมัลแวร์นี้ถูกใช้เพื่อสร้างรายได้ หรือเพื่อการจารกรรมทางไซเบอร์ แต่ Kaspersky ระบุว่าความซับซ้อนของมันบ่งชี้ว่านี่คือมัลแวร์ในรูปแบบของ APT (advanced persistent threat)

จากเวลาที่บันทึก compiler ของมัลแวร์ รุ่นแรกสุดของ StripedFly ที่มีการใช้ช่องโหว่ EternalBlue เกิดขึ้นในเดือนเมษายน 2016 ในขณะที่การเปิดเผยข้อมูลสู่สาธารณะโดยกลุ่ม Shadow Brokers เกิดขึ้นในเดือนสิงหาคม 2016

StripedFly แพร่กระจายไปยังอุปกรณ์มากกว่าหนึ่งล้านเครื่อง

โครงสร้างของมัลแวร์ StripedFly ถูกพบครั้งแรกหลังจากที่ Kaspersky พบการฝัง shellcode ของแพลตฟอร์มใน process WININIT.EXE ซึ่งเป็น process ของ Windows OS ที่ถูกต้อง และใช้สำหรับจัดการการเริ่มต้นใช้งานของระบบย่อยต่าง ๆ

หลังจากตรวจสอบ injected code พบว่าโค้ดนี้จะดาวน์โหลด และเรียกใช้ไฟล์เพิ่มเติม เช่น สคริปต์ PowerShell จากบริการโฮสติ้งที่ถูกต้อง เช่น Bitbucket, GitHub และ GitLab รวมถึงสคริปต์ PowerShell

การสืบสวนเพิ่มเติมแสดงให้เห็นว่าอุปกรณ์ที่ติดมัลแวร์มีแนวโน้มว่าจะถูกโจมตีครั้งแรกด้วยช่องโหว่ SMBv1 ด้วยการใช้เครื่องมือ EternalBlue ที่มุ่งเป้าไปที่คอมพิวเตอร์ที่เชื่อมต่อกับอินเทอร์เน็ต

เซิร์ฟเวอร์ควบคุม และสั่งการ (C2) ของมัลแวร์ตั้งอยู่บนเครือข่าย TOR และการสื่อสารกับเซิร์ฟเวอร์นี้จะประกอบด้วย ID ที่สร้างมาเฉพาะตัวสำหรับเหยื่อแต่ละราย

เพื่อแฝงตัวอยู่บนระบบ Windows มัลแวร์ StripedFly ปรับปรุงพฤติกรรมของมัน ตามระดับสิทธิ์ที่ทำงาน และการมีอยู่ของ PowerShell

หากไม่มี PowerShell StripedFly จะสร้างไฟล์ที่ซ่อนอยู่ไดเร็กทอรี %APPDATA% หากมี PowerShell มัลแวร์ StripedFly จะเรียกใช้สคริปต์เพื่อสร้าง scheduled tasks ที่กำหนดเวลาไว้ หรือแก้ไขคีย์ Windows Registry

บน Linux มัลแวร์จะใช้ชื่อ 'sd-pam' มัลแวร์จะแฝงตัวอยู่โดยใช้ systemd services ไฟล์ .desktop ที่เริ่มต้นทำงานเองโดยอัตโนมัติ หรือโดยการปรับแต่งไฟล์โปรไฟล์ และ startup files ต่าง ๆ เช่นไฟล์ /etc/rc*, profile, bashrc, หรือ inittab files

จากข้อมูลของ Bitbucket repository เพย์โหลดขั้นสุดท้ายบนระบบ Windows ระบุว่าระหว่างเดือนเมษายนถึงกันยายน 2023 มีการติดมัลแวร์บนระบบเกือบ 60,000 ครั้ง

StripedFly ได้แพร่กระจายไปยังระบบ Windows มากกว่า 220,000 เครื่องทั่วโลกตั้งแต่เดือนกุมภาพันธ์ 2022 โดยประมาณ แต่สถิติจากก่อนหน้านั้นไม่สามารถระบุได้ เนื่องจากการเก็บข้อมูลถูกสร้างขึ้นในปี 2018

โดย Kaspersky ประมาณการณ์ว่าอุปกรณ์มากกว่า 1 ล้านเครื่องติดมัลแวร์ StripedFly framework

โมดูลมัลแวร์

มัลแวร์ทำงานเป็นไฟล์ปฏิบัติการแบบไบนารีขนาดใหญ่ที่มีโมดูลแบบ pluggable ทำให้มีความคล่องตัวในการปฏิบัติงานซึ่งเป็นลักษณะเดียวกับการทำงานของ APT

โมดูลของ StripedFly จากรายงานของ Kaspersky:

Configuration storage: จัดเก็บการกำหนดค่าของมัลแวร์ในรูปแบบที่เข้ารหัส
Upgrade/Uninstall: จัดการการอัปเดต หรือถอนการติดตั้งตามคำสั่งจากเซิร์ฟเวอร์ C2
Reverse proxy: อนุญาตให้มีการดำเนินการจากระยะไกลบนเครือข่ายของเหยื่อ
Miscellaneous command handler: รันคำสั่งต่าง ๆ เช่น การจับภาพหน้าจอ และการเรียกใช้ shellcode
Credential harvester: สแกน และรวบรวมข้อมูลผู้ใช้งานที่มีความสำคัญ เช่น รหัสผ่าน และชื่อผู้ใช้งาน
Repeatable tasks: ดำเนินการงานเฉพาะภายใต้เงื่อนไขบางประการ เช่น การบันทึกไมโครโฟน
Recon module: ส่งข้อมูลระบบโดยละเอียดไปยังเซิร์ฟเวอร์ C2
SSH infector: ใช้ข้อมูล credentials ของ SSH ที่ถูกเก็บรวบรวมเพื่อเข้าถึงระบบอื่น ๆ
SMBv1 infector: แพร่กระจายไปยังระบบ Windows อื่น ๆ โดยใช้ช่องโหว่ EternalBlue แบบกำหนดเอง
Monero mining module: ขุดเหรียญ Monero ในขณะที่ปลอมตัวเป็น process "chrome.

VMware ออกแพตซ์อัปเดตด้านความปลอดภัยเพื่อแก้ไขช่องโหว่ระดับความรุนแรง Critical บน vCenter Server ซึ่งสามารถนำไปใช้ในการโจมตีเพื่อเรียกใช้คำสั่งที่เป็นอันตรายจากระยะไกล (RCE) บน vCenter Server ที่มีช่องโหว่ได้

vCenter Server เป็น central management hub สำหรับ vSphere suite ของ VMware และช่วยให้ผู้ดูแลระบบ สามารถจัดการ และตรวจสอบ virtualized infrastructure (more…)

บริษัท Grupo GTD จากชิลีแจ้งเตือนเหตุการณ์การโจมตีทางไซเบอร์ที่ส่งผลกระทบต่อแพลตฟอร์ม Infrastructure as a Service (IaaS) ซึ่งส่งผลกระทบต่อการให้บริการ

Grupo GTD เป็นบริษัทโทรคมนาคมที่ให้บริการทั่วละตินอเมริกา โดยมีสำนักงานหลักอยู่ที่ชิลี สเปน โคลัมเบีย และเปรู โดยบริษัทให้บริการด้านไอทีหลากหลายประเภท รวมถึงการเข้าถึงอินเทอร์เน็ต โทรศัพท์เคลื่อนที่ และโทรศัพท์บ้าน และบริการ Data Center และบริการจัดการทางด้านไอที (more…)

Cloudflare รายงานการพบจำนวนการโจมตี HTTP DDoS (distributed denial of service) ในปริมาณมาก ซึ่งถูกบันทึกไว้ในไตรมาสที่สามของปี 2023 โดยมีจำนวนมากกว่าทุกปีก่อนหน้า แสดงให้เห็นว่าภาพรวมภัยคุกคามทางไซเบอร์ได้เข้าสู่ระดับใหม่แล้ว

DDoS attacks เป็นการโจมตีทางไซเบอร์ประเภทหนึ่งที่เกี่ยวข้องกับการควบคุมการรับส่งข้อมูลปริมาณมาก หรือส่ง bogus requests จำนวนมากไปยังเซิร์ฟเวอร์เป้าหมายที่เป็นเว็บแอปพลิเคชัน เว็บไซต์ และบริการออนไลน์ เพื่อทำให้ผู้ใช้งานไม่สามารถเข้าใช้งานได้ (more…)

นักวิจัยทดสอบการโจมตีแบบ speculative side-channel รูปแบบใหม่ที่เรียกว่า iLeakage ซึ่งสามารถทำงานบนอุปกรณ์ Apple เวอร์ชันล่าสุดได้ทุกเครื่อง และสามารถดึงข้อมูลที่มีความสำคัญออกจากเบราว์เซอร์ Safari ได้

iLeakage เป็นการสาธิตครั้งแรกของการโจมตีแบบ speculative execution บน Apple Silicon CPU และเบราว์เซอร์ Safari โดยสามารถใช้ดึงข้อมูลจาก Safari ได้ด้วยความแม่นยำสูงมาก รวมไปถึง Firefox, Tor และ Edge บน iOS อีกด้วย

โดยวิธีการหลักคือ timerless Spectre attack ซึ่งจะ bypass การป้องกัน standard side-channel ที่เบราว์เซอร์ทั้งหมดใช้

การขโมยข้อมูลจาก Safari

iLeakage ได้รับการพัฒนาโดยทีมนักวิชาการจาก Georgia Tech, University of Michigan และ Ruhr University Bochum ซึ่งได้ตรวจสอบวิธีการป้องกัน side-channel ของ Safari และสามารถหลีกเลี่ยงมาตรการป้องกันที่มีอยู่ได้โดยใช้เทคนิคแบบ timerless และ architecture-agnostic โดยอาศัย race conditions

นักวิจัยมุ่งเน้นไปที่การอ่านข้อมูลที่มีความสำคัญจาก Safari และสามารถขโมยข้อมูลได้โดยสร้าง primitive ที่สามารถอ่าน และดึงข้อมูลของทุก ๆ 64-bit pointer ในพื้นที่ที่เบราว์เซอร์ของ Apple ใช้สำหรับกระบวนการเรนเดอร์

โดยนักวิจัยทำได้โดยการเอาชนะการป้องกัน side-channel ที่ Apple นำไปใช้ในเบราว์เซอร์ของตน เช่น low-resolution timer, compressed 35-bit addressing และวิธีการ value poisoning

นักวิจัยยังสามารถ bypass site isolation ใน Safari ซึ่งแยกเว็บไซต์ออกเป็นพื้นที่ที่อยู่ที่แตกต่างกันตาม top-level domain (eTLD) พร้อมกับโดเมนย่อยหนึ่งโดเมน

โดยการใช้เทคนิคใหม่ที่ใช้ JavaScript window.

กลุ่มแฮ็กเกอร์ใหม่ที่ถูกติดตามในชื่อ ‘TetrisPhantom’ ได้ใช้ secure USB drives เพื่อโจมตีระบบของรัฐบาลในภูมิภาคเอเชียแปซิฟิก

Secure USB drives จะใช้จัดเก็บข้อมูลไว้ในส่วนที่เข้ารหัสของอุปกรณ์ และใช้เพื่อถ่ายโอนข้อมูลอย่างปลอดภัยระหว่างระบบต่าง ๆ รวมถึงระบบที่ถูกแยกออกมาจากเครือข่าย

การเข้าถึงพาร์ติชันที่ได้รับการป้องกันนั้น จะต้องใช้งานผ่านทางซอฟต์แวร์ที่ถูกกำหนดขึ้น ซึ่งจะทำการถอดรหัสเนื้อหาด้วยรหัสผ่านที่ผู้ใช้ระบุ หนึ่งในซอฟต์แวร์เหล่านั้นคือ UTetris.

นักวิจัยพบว่าจำนวนอุปกรณ์ Cisco IOS XE ที่ถูกโจมตี โดย backdoor ได้ลดลงอย่างลึกลับ โดยพบว่าอุปกรณ์ที่ได้รับผลกระทบจากช่องโหว่มากกว่า 50,000 เครื่อง ได้ลดลงเหลือเพียงไม่กี่ร้อยเครื่อง โดยนักวิจัยยังไม่สามารถบอกได้ว่าอะไรเป็นสาเหตุของการลดลงอย่างรวดเร็วนี้

โดยในเดือนตุลาคม 2023 ทาง Cisco ได้แจ้งเตือนการพบ Hacker ได้ใช้ช่องโหว่ Zero-day สองช่องโหว่ได้แก่ CVE-2023-20198 และ CVE-2023-20273 ในการโจมตีอุปกรณ์ Cisco IOS XE มากกว่า 50,000 เครื่องเพื่อสร้าง privileged user accounts และติดตั้ง LUA backdoor ที่เป็นอันตรายบนเครื่องที่ถูกโจมตี ซึ่งการฝัง LUA backdoor ไปในระบบทำให้ Hacker สามารถเรียกใช้คำสั่งจากระยะไกล ด้วยสิทธิ์ privilege level 15 ซึ่งเป็นระดับสิทธิ์สูงสุดบนอุปกรณ์

แต่การฝัง LUA backdoor ไว้ในเครื่อง ไม่สามารถทำให้ LUA อยู่ตลอดไปได้ เนื่องจากการรีบูตจะทำให้ backdoor ถูกลบออกไป แต่อย่างไรก็ตาม privileged user accounts ที่ถูกสร้างขึ้นในการโจมตีจะยังคงอยู่

นับตั้งแต่มีการเปิดเผยช่องโหว่ Zero-day บริษัท และนักวิจัยด้านความปลอดภัยทางไซเบอร์พบว่าอุปกรณ์ Cisco ISO XE ประมาณ 60,000 เครื่องจากทั้งหมด 80,000 เครื่องที่เข้าถึงได้จากอินเทอร์เน็ตถูกโจมตีไปแล้วด้วยช่องโหว่ดังกล่าว

การลดลงอย่างแปลกประหลาดของ Cisco IOS XE ที่ถูกโจมตี

ในวันที่ 21 ตุลาคม 2023 บริษัทด้านความปลอดภัยทางไซเบอร์หลายแห่งรายงานว่าจำนวนอุปกรณ์ Cisco IOS XE ที่มีการฝัง backdoor จากช่องโหว่ ได้ลดลงอย่างอย่างแปลกประหลาดจากที่พบประมาณ 60,000 เครื่อง ลดเหลือเพียง 100-1,200 เครื่อง โดยขึ้นอยู่กับพฤติกรรมการสแกนที่แตกต่างกัน

Patrice Auffret ผู้ก่อตั้ง และ CTO ของ Onyphe ให้ข้อมูลกับ BleepingComputer ว่า เขาเชื่อว่า Hacker ที่อยู่เบื้องหลังการโจมตีกำลังทำการอัปเดตบางอย่าง เพื่อซ่อนการโจมตี ส่งผลให้ไม่เห็นพฤติกรรมของการติดมัลแวร์ในการสแกนอีกต่อไป

"เป็นวันที่สองติดต่อกันแล้ว ที่พบว่าจำนวนเครื่องที่มีการติดมัลแวร์ลดลงอย่างมากในช่วงเวลาสั้น ๆ โดยอาจจะเกิดจากการรีบูต (เนื่องจากพบว่าก่อนหน้านี้การรีบูตจะทำให้ backdoor ถูกลบออกไป) หรือมัลแวร์อาจได้รับการปรับปรุงแล้ว แต่พวกเขาเชื่อว่าเป็นการกระทำจากผู้โจมตีที่พยายามแก้ไขปัญหาที่ไม่ควรเกิดขึ้นตั้งแต่แรก ที่เครื่องที่มีการติดมัลแวร์นั้นตรวจพบได้ง่ายจากการสแกน ซึ่งคาดว่าเป็นความผิดพลาดจากฝั่งของผู้โจมตีเอง ทำให้ปัจจุบันผู้โจมตีอาจมีการอัปเดตเพื่อซ่อนสถานะการติดมัลแวร์มากกว่า”

สอดคล้องกับ Piotr Kijewski CEO ของ The Shadowserver Foundation ที่ให้ข้อมูลกับ BleepingComputer ว่า พบว่าเครื่องที่ถูกโจมตีจากช่องโหว่ได้ลดลงอย่างมากนับตั้งแต่วันที่ 21 ตุลาคม 2023 โดยการสแกนพบอุปกรณ์เพียง 107 เครื่องที่ถูกโจมตีจากช่องโหว่ ซึ่งเป็นไปได้ว่าอุปกรณ์ที่ถูกโจมตีจะถูกลบมัลแวร์ออก หรือได้รับการอัปเดตเช่นเดียวกัน

รวมไปถึงยังมีอีกทฤษฎีหนึ่งก็คือ Grey-Hat Hacker กำลังรีบูตอุปกรณ์ Cisco IOS XE ที่ถูกโจมตีเพื่อลบมัลแวร์ในอุปกรณ์โดยอัตโนมัติ โดยแคมเปญที่คล้ายกันเคยเกิดขึ้นในปี 2018 เมื่อ Hacker ได้อ้างว่าได้ทำการอัปเดต MikroTik routers กว่า 100,000 ตัว เพื่อให้ไม่สามารถถูกนำไปใช้ในการโจมตีแบบ cryptojacking และ DDoS ได้

แต่อย่างไรก็ตาม Orange Cyberdefense CERT ได้ให้ข้อมูลกับ BleepingComputer ว่า พวกเขาไม่เชื่อว่า Grey-Hat Hacker จะเป็นผู้อยู่เบื้องหลังการลดจำนวนของเครื่องที่ถูกโจมตีในครั้งนี้ แต่นี่อาจเป็นการแก้ไข และเริ่มทำการโจมตีครั้งใหม่ หรือซ่อนเป้าหมายจากการโจมตีที่แท้จริง

โดย Orange Cyberdefense CERT ได้แจ้งเตือนให้ผู้ดูและระบบดำเนินการตรวจสอบเพื่อให้แน่ใจว่าไม่มีการเพิ่มชื่อผู้ใช้ที่เป็นอันตราย และไม่ได้ถูกแก้ไข Configuration ถึงแม้ว่าจะทำการปิดการใช้งาน WebUI ของ Cisco IOS XE แล้วก็ตาม

เช่นเดียวกับ Daniel Card นักวิจัยด้านความปลอดภัยที่คาดว่า อุปกรณ์จำนวนมากที่ถูกโจมตีด้วยช่องโหว่นั้นเป็นเพียงตัวล่อเพื่อซ่อนเป้าหมายที่แท้จริงในการโจมตี
ซึ่งขณะนี้ยังไม่มีหลักฐาน หรือข้อมูลเพิ่มเติมจากนักวิจัย และ Cisco ที่จะสามารถตรวจสอบอุปกรณ์ Cisco IOS XE ที่ถูกโจมตีก่อนหน้านี้ เพื่อดูว่าอุปกรณ์ดังกล่าวเพิ่งทำการรีบูต หรือมีการเปลี่ยนแปลงใหม่หรือไม่

อัปเดต 23/10/23

บริษัทรักษาความปลอดภัยทางไซเบอร์ Fox-IT อธิบายว่าสาเหตุของการลดลงอย่างกะทันหันของการติดมัลแวร์ที่ตรวจพบนั้นเกิดจากการที่ผู้โจมตีอัปเดตแบ็คดอร์เวอร์ชันใหม่บนอุปกรณ์ Cisco IOS XE

โดยจากข้อมูลของ Fox-IT มัลแวร์เวอร์ชันใหม่จะตรวจสอบ Authorization HTTP header ก่อนที่จะมีการตอบสนอง อ้างอิงจาก LinkedIn post เนื่องจากวิธีการสแกนก่อนหน้านี้ไม่ได้ใช้ Authorization header จึงไม่มีการตอบสนองจากเครื่องที่ติดมัลแวร์ ทำให้ดูเหมือนว่ามันถูกลบออกไปแล้ว

Cisco Talos ยืนยันการเปลี่ยนแปลงในคำแนะนำที่อัปเดต 1, 2 ซึ่งแชร์คำสั่ง curl ใหม่ที่สามารถตรวจจับการติดมัลแวร์บนอุปกรณ์ Cisco ISO XE โดยคำสั่งนี้เหมือนกับวิธีที่แชร์ก่อนหน้า แต่ตอนนี้มีส่วน 'Authorization' header เพื่อทำให้อุปกรณ์ที่ติดมัลแวร์ตอบสนองต่อ Request
curl -k -H "Authorization: 0ff4fbf0ecffa77ce8d3852a29263e263838e9bb" -X POST "https[:]//DEVICEIP/webui/logoutconfirm.

Cisco เปิดเผยการพบช่องโหว่ zero-day ระดับความรุนแรงสูง (CVE-2023-20273) ซึ่งคาดว่ากำลังถูกนำไปใช้ในการฝังมัลแวร์บนอุปกรณ์ IOS XE ที่มีช่องโหว่ ซึ่งถูกโจมตีด้วยช่องโหว่ zero-day (CVE-2023-20198) ที่ถูกพบไปก่อนหน้านี้

โดยทาง Cisco จะทำการออกแพตซ์อัปเดตเพื่อแก้ไขช่องโหว่ zero-day ทั้ง 2 รายการนี้ในช่วงสุดสัปดาห์ โดยจะเริ่มตั้งแต่วันที่ 22 ตุลาคม 2023 ให้กับลูกค้าผ่านทางศูนย์ดาวน์โหลดซอฟต์แวร์ของ Cisco

ทั้งนี้เมื่อวันที่ 16 ตุลาคม 2023 Cisco ได้เผยแพร่รายงานการค้นพบ Hacker ใช้ช่องโหว่ zero-day (CVE-2023-20198) ในการ bypass authentication เพื่อเข้าสู่อุปกรณ์ IOS XE และสร้าง local user account ด้วยชื่อ "cisco_tac_admin" และ "cisco_support" โดยคาดว่า Hacker ได้เริ่มโจมตีมาตั้งแต่วันที่ 18 กันยายน 2023
**

CVE-2023-20273 (คะแนน CVSS 10/10 ความรุนแรงระดับ Critical ) เป็นช่องโหว่การยกระดับสิทธิ์ (privilege escalation) เพื่อเข้าถึงสิทธิ์ Root และเข้าควบคุมอุปกรณ์ Cisco IOS XE ได้อย่างสมบูรณ์ รวมถึงทำการติดตั้งมัลแวร์ที่ทำให้สามารถเรียกใช้คำสั่งบนระบบได้

Censys และ LeakIX พบว่ามีอุปกรณ์ Cisco ที่ใช้ซอฟต์แวร์ IOS XE ซึ่งถูกโจมตีด้วยช่องโหว่ zero-day 2 รายการนี้ไปแล้วกว่า 40,000 เครื่อง

โดยอุปกรณ์เครือข่ายที่ใช้ Cisco IOS XE ประกอบไปด้วย enterprise switches, access points, industrial wireless controllers และ branch routers

แม้ว่าการหาตัวเลขที่แน่นอนของจำนวนอุปกรณ์ Cisco IOS XE ที่สามารถเข้าถึงจากอินเทอร์เน็ตได้นั้นเป็นเรื่องยาก แต่จากการค้นหาของ Shodan พบว่ามีระบบ Cisco IOS XE ที่มีช่องโหว่มากกว่า 146,000 รายการ ที่เสี่ยงต่อการถูกโจมตีด้วยช่องโหว่ zero-day ดังกล่าว

โดย Cisco ประกาศว่าในขณะที่กำลังรอแพตซ์อัปเดตเพื่อแก้ไขช่องโหว่ zero-day ดังกล่าว แนะนำให้ผู้ใช้งานปิดการใช้งานฟีเจอร์ HTTP server ที่มีช่องโหว่ บนระบบที่เชื่อมต่อกับอินเทอร์เน็ตทั้งหมด

รวมถึงทำการตรวจสอบอุปกรณ์ Cisco IOS XE ที่มีช่องโหว่ของตน ว่าถูกฝังมัลแวร์ไปแล้วหรือยัง โดยใช้เรียกใช้คำสั่งต่อไปนี้บนอุปกรณ์ โดยที่ "DEVICEIP" แสดงถึง IP address ที่อยู่ภายใต้การตรวจสอบ :
curl -k -X POST "https[:]//DEVICEIP/webui/logoutconfirm.

นักวิจัยด้านความปลอดภัยพบช่องโหว่การเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกลระดับ Critical 3 รายการในผลิตภัณฑ์ SolarWinds Access Rights Manager (ARM) ที่ทำให้ Hacker สามารถเรียกใช้คำสั่งด้วยสิทธิ์ SYSTEM ได้

SolarWinds Access Rights Manager (ARM) เป็นเครื่องมือที่ช่วยให้องค์กรสามารถจัดการ และตรวจสอบสิทธิ์การเข้าถึงของผู้ใช้งานใน IT environment ของตน รวมถึงสามารถทำงานร่วมกับระบบอื่น ๆ ได้ เช่น Microsoft Active Directory, Role-based access control, Visual feedback และอื่น ๆ อีกมากมาย

นักวิจัยได้รายงานช่องโหว่ที่พบ 8 รายการในโซลูชัน SolarWinds เมื่อวันที่ 22 มิถุนายน 2023 ผ่าน Zero Day Initiative (ZDI) ของ Trend Micro โดยมีช่องโหว่ 3 รายการที่มีความรุนแรงระดับ Critical ซึ่งเป็นช่องโหว่การเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกล remote code execution (RCE)

CVE-2023-3518 (คะแนน CVSS 9.8 ความรุนแรงระดับ Critical) เป็นช่องโหว่ที่ทำให้ผู้โจมตีที่ไม่ผ่านการตรวจสอบสิทธิ์ สามารถเรียกใช้คำสั่งด้วยสิทธิ์ SYSTEM ผ่าน deserialization data ที่ไม่น่าเชื่อถือด้วย ‘createGlobalServerChannelInternal’ method

CVE-2023-35185 (คะแนน CVSS 9.8 ความรุนแรงระดับ Critical) เป็นช่องโหว่ที่ทำให้ผู้โจมตีที่ไม่ผ่านการตรวจสอบสิทธิ์ สามารถเรียกใช้คำสั่งด้วยสิทธิ์ SYSTEM เนื่องจากความบกพร่องจากการตรวจสอบ user-supplied paths ใน ‘OpenFile’ method

CVE-2023-35187 (คะแนน CVSS 9.8 ความรุนแรงระดับ Critical) เป็นช่องโหว่ที่ทำให้ผู้โจมตีที่ไม่ผ่านการตรวจสอบสิทธิ์ สามารถเรียกใช้คำสั่งด้วยสิทธิ์ SYSTEM เนื่องจากความบกพร่องจากการตรวจสอบ user-supplied paths ใน ‘OpenClientUpdateFile’ method

การเรียกใช้คำสั่งด้วย “SYSTEM” บน Windows computer หมายความว่าคำสั่งนั้นจะทำงานด้วยสิทธิ์สูงสุดบนเครื่อง โดย SYSTEM เป็นบัญชีภายในที่สงวนไว้สำหรับระบบปฏิบัติการ และบริการต่าง ๆ โดย Hacker ที่ได้รับสิทธิ์ในระดับ SYSTEM จะสามารถควบคุมไฟล์ทั้งหมดในเครื่องของเหยื่อได้อย่างสมบูรณ์

รวมไปถึงยังพบว่าช่องโหว่ที่เหลือที่ SolarWinds ที่ถูกระบุใน Access Right Manager นั้นมีระดับความรุนแรงสูง ซึ่ง Hacker สามารถโจมตีช่องโหว่เพื่อเพิ่ม permissions หรือเรียกใช้คำสั่งอันตรายบนโฮสต์ภายหลังจากการผ่านการตรวจสอบสิทธิ์

SolarWinds ออกแพตซ์อัปเดตเพื่อแก้ช่องโหว่ดังกล่าวแล้ว ในวันที่ 18 ตุลาคม 2023 ในเวอร์ชัน 2023.2.1 ของ Access Rights Manager จึงแจ้งเตือนไปยังผู้ดูแลระบบให้ทำการอัปเดตแพตซ์เพื่อแก้ไขช่องโหว่โดยด่วน

ที่มา : bleepingcomputer

Air Europa เป็นสายการบินที่ใหญ่เป็นอันดับ 3 ของสเปน และเป็นสมาชิกของ SkyTeam ออกมาแจ้งเตือนลูกค้าเมื่อวันจันทร์ที่ 9 ตุลาคม 2566 ที่ผ่านมา ให้ยกเลิกการใช้งานบัตรเครดิตที่ใช้กับสายการบิน ภายหลังจากพบว่าผู้โจมตีสามารถเข้าถึงข้อมูลบัตรเครดิตจากการรั่วไหลของข้อมูลครั้งล่าสุด

เหตุการณ์นี้เกิดจากภายหลังที่ Europa ถูกเข้าถึงระบบคอมพิวเตอร์โดยไม่ได้รับอนุญาต รวมทั้งถูกเข้าถึงข้อมูลบัตรของธนาคาร ส่งผลให้ข้อมูลบัตรเครดิตของลูกค้าถูกขโมยออกไป ประกอบด้วยข้อมูลหมายเลขบัตร, วันหมดอายุ และรหัส CVV 3 หลักด้านหลังของบัตรชำระเงิน โดย Europa ได้รักษาความปลอดภัยระบบแล้ว และรับประกันการทำงานที่ถูกต้องของบริการ นอกจากนี้ ยังได้ทำการแจ้งเตือนไปยังหน่วยงานผู้มีอำนาจ และหน่วยงานที่จำเป็น (AEPD, INCIBE, ธนาคาร ฯลฯ)

Air Europa ได้แจ้งให้ผู้ที่ได้รับผลกระทบทราบถึงเหตุการณ์ดังกล่าวแล้ว และขอให้ธนาคารยกเลิกบัตรที่ใช้บนเว็บไซต์ของสายการบิน เนื่องจากมีความเสี่ยงต่อการถูกปลอมแปลงบัตร และเพื่อป้องกันการใช้บัตรในการทำธุรกรรมที่อาจเกิดขึ้น และยังได้ให้คำแนะนำต่อผู้ที่ได้รับผลกระทบว่าไม่ควรให้ข้อมูลส่วนตัวหรือ PIN ของบัตรกับผู้ใดก็ตามที่ติดต่อมาทั้งทางโทรศัพท์ หรือทางอีเมล และอย่าเปิดลิงก์ใด ๆ ในอีเมลหรือข้อความที่แจ้งเตือนถึงการดำเนินการทางธุรกรรมที่เกี่ยวข้องกับบัตรของตนเอง

(more…)