อุปกรณ์ขยายสัญญาณ WiFi 6 ยอดนิยมอย่าง D-Link DAP-X1860 มีช่องโหว่ที่ทำให้เกิดการโจมตีแบบ DoS (denial of service) และการโจมตีแบบ command injection ได้

โดยอุปกรณ์ขยายสัญญาณ WiFi 6 รุ่น D-Link DAP-X1860 เป็นอุปกรณ์ที่ได้รับความนิยมอย่างมากจากผู้ใช้งาน เนื่องจากเป็นอุปกรณ์ที่มีราคาไม่แพง และใช้งานง่าย รวมถึงยังได้รับคะแนนรีวิวที่ดีเยี่ยมจากผู้ใช้งานบนเว็บไซต์ Amazon อีกด้วย

ทีมนักวิจัยจากประเทศเยอรมนี (RedTeam) ที่เป็นผู้ค้นพบช่องโหว่นี้ ซึ่งมีหมายเลข CVE-2023-45208 ระบุว่า แม้จะพยายามแจ้งเตือนไปยัง D-Link หลายครั้ง แต่ยังไม่ได้รับการตอบกลับ และไม่มีการเผยแพร่แพตซ์สำหรับแก้ไข

รายละเอียดช่องโหว่

ปัญหาอยู่ที่ฟังก์ชันการสแกนเครือข่ายของ D-Link DAP-X1860 โดยเฉพาะการที่ไม่สามารถวิเคราะห์ SSID ที่มีเครื่องหมาย (') ในชื่อได้ โดยทำให้มีการอ่านความหมายผิดว่าเป็นการสิ้นสุดคำสั่ง

ในทางเทคนิคแล้วปัญหานี้มาจากฟังก์ชัน parsing_xml_stasurvey ในไลบรารี libcgifunc.

พบช่องโหว่ information disclosure ระดับ Critical ใน Citrix NetScaler ADC และ Citrix NetScaler Gateway ซึ่งอาจส่งผลให้มีการเปิดเผยข้อมูลที่มีความสำคัญ จากอุปกรณ์ที่มีช่องโหว่ได้

ช่องโหว่นี้มีหมายเลข CVE-2023-4966 และได้รับคะแนน CVSS ที่ระดับ 9.4 โดยช่องโหว่นี้สามารถถูกโจมตีจากภายนอกได้โดยไม่จำเป็นต้องใช้ User ที่มีสิทธิ์สูง การโต้ตอบจากผู้ใช้ และง่ายต่อการโจมตี

อย่างไรก็ตาม ช่องโหว่นี้จะส่งผลกระทบต่ออุปกรณ์ Citrix NetScaler ADC และ Citrix NetScaler Gateway ที่ถูกกำหนดค่าให้เป็น Gateway (VPN virtual server, ICA Proxy, CVPN, RDP Proxy) หรือ AAA virtual server เท่านั้น

แม้ว่าช่องโหว่นี้อาจทำให้มีการเปิดเผยข้อมูลที่มีความสำคัญ แต่ Citrix ยังไม่ได้ให้รายละเอียดใด ๆ เกี่ยวกับช่องโหว่ดังกล่าว

อีกช่องโหว่ที่ถูกเปิดเผยคือ CVE-2023-4967 ซึ่งเป็นช่องโหว่ที่มีระดับความรุนแรงสูง (คะแนน CVSS: 8.2) ที่มีเงื่อนไขในลักษณะเดียวกัน ซึ่งอาจทำให้เกิดการโจมตีแบบ denial of service (DoS) บนอุปกรณ์ที่มีช่องโหว่ได้

เวอร์ชันของ Citrix ได้รับผลกระทบมีดังนี้:

NetScaler ADC and NetScaler Gateway 14.1 before 14.1-8.50
NetScaler ADC and NetScaler Gateway 13.1 before 13.1-49.15
NetScaler ADC and NetScaler Gateway 13.0 before 13.0-92.19
NetScaler ADC 13.1-FIPS before 13.1-37.164
NetScaler ADC 12.1-FIPS before 12.1-55.300
NetScaler ADC 12.1-NDcPP before 12.1-55.300
โดยแนะนำให้ผู้ใช้งานอัปเกรดเป็นเวอร์ชันที่ได้รับการแก้ไขทั้ง 2 ช่องโหว่แล้ว โดยทาง Citrix ไม่ได้ให้คำแนะนำในการลดความเสี่ยง หรือวิธีแก้ไขปัญหาชั่วคราวสำหรับช่องโหว่ครั้งนี้

ประกาศด้านความปลอดภัยของ Citrix ระบุว่า "แนะนำให้ลูกค้าที่ได้รับผลกระทบของ NetScaler ADC และ NetScaler Gateway ติดตั้งเวอร์ชันอัปเดตล่าสุดของ NetScaler ADC และ NetScaler Gateway โดยเร็วที่สุด"

เวอร์ชันเป้าหมายที่จะมีการอัปเกรดมีดังนี้:

NetScaler ADC and NetScaler Gateway 14.1-8.50 and later
NetScaler ADC and NetScaler Gateway 13.1-49.15 and later releases of 13.1
NetScaler ADC and NetScaler Gateway 13.0-92.19 and later releases of 13.0
NetScaler ADC 13.1-FIPS 13.1-37.164 and later releases of 13.1-FIPS
NetScaler ADC 12.1-FIPS 12.1-55.300 and later releases of 12.1-FIPS
NetScaler ADC 12.1-NDcPP 12.1-55.300 and later releases of 12.1-NDcPP
เวอร์ชัน 12.1 ของ Citrix NetScaler ADC และ Citrix NetScaler Gateway ได้ถึงวันที่สิ้นสุดการสนับสนุน (EOL) และจะไม่ได้รับการสนับสนุนจาก Citrix อีกต่อไป ดังนั้นผู้ใช้งานควรอัปเกรดเป็นเวอร์ชันที่ใหม่กว่า เพื่อให้ได้รับการสนับสนุนอย่างต่อเนื่อง

ช่องโหว่ที่มีระดับความรุนแรงสูงในผลิตภัณฑ์ของ Citrix เป็นสิ่งที่แฮ็กเกอร์ต้องการอย่างมาก เนื่องจากองค์กรขนาดใหญ่มักใช้อุปกรณ์เหล่านี้

ที่มา : bleepingcomputer.

กลุ่มผู้โจมตีทางไซเบอร์ที่คาดว่าอยู่ในกาซา ถูกเชื่อมโยงเข้ากับการโจมตีทางไซเบอร์หลายครั้ง ที่มุ่งเป้าไปที่องค์กรพลังงาน, การป้องกัน และการสื่อสารโทรคมนาคมของภาคเอกชนของอิสราเอล

Microsoft เปิดเผยรายละเอียดของการโจมตีในรายงาน Digital Defense ประจำปีฉบับที่สี่ และติดตามแคมเปญนี้ภายใต้ชื่อ Storm-1133

Microsoft ประเมินว่ากลุ่มผู้โจมตีกลุ่มนี้ทำงานเพื่อส่งเสริมผลประโยชน์ของกลุ่มฮามาส ซึ่งเป็นกลุ่มติดอาวุธนิกายซุนนีที่เป็นหน่วยงานที่เป็นผู้ปกครองในฉนวนกาซา เนื่องจากพฤติกรรมที่เชื่อมโยงกับการโจมตีกลุ่มนี้ ได้ส่งผลกระทบต่อองค์กรต่าง ๆ ที่ถูกมองว่าเป็นศัตรูของฮามาสเป็นส่วนใหญ่

เป้าหมายของแคมเปญนี้เป็นองค์กรในภาคพลังงาน และกลุ่มป้องกัน และรักษาความมั่นคงของอิสราเอล และหน่วยงานที่จงรักภักดีต่อกลุ่มฟาตาห์ ซึ่งเป็นพรรคชาตินิยมปาเลสไตน์ และมีสำนักงานใหญ่อยู่ในภูมิภาคเวสต์แบงก์

การโจมตีได้ใช้เทคนิคการผสมผสานระหว่าง social engineering และบัญชีปลอมบน LinkedIn ที่ปลอมตัวเป็นผู้จัดการฝ่ายทรัพยากรบุคคล ผู้ควบคุมโครงการ และนักพัฒนาซอฟต์แวร์ชาวอิสราเอล เพื่อติดต่อ และส่งข้อความฟิชชิ่ง ทำการสอดแนม และส่งมัลแวร์ให้กับพนักงานองค์กรในอิสราเอล

Microsoft ยังพบว่ากลุ่ม Storm-1133 พยายามแทรกซึมองค์กร third-party ที่มีความสัมพันธ์กับอิสราเอล

การโจมตีเหล่านี้ถูกออกแบบมาเพื่อติดตั้ง backdoor ควบคู่ไปกับการกำหนดค่าที่ทำให้ผู้โจมตีสามารถอัปเดตการสั่งการจาก C2 ที่อยู่บน Google Drive

รายงานนี้มาพร้อมกับการยกระดับความขัดแย้งระหว่างอิสราเอลกับปาเลสไตน์ ซึ่งสอดคล้องกับการเพิ่มขึ้นของการดำเนินการของกลุ่มแฮ็กเกอร์จากปาเลสไตน์ เช่น Ghosts of Palestine ซึ่งมีเป้าหมายเพื่อปิดเว็บไซต์รัฐบาล และระบบไอทีในอิสราเอล สหรัฐอเมริกา และอินเดีย

"Falconfeeds.

ช่องโหว่ใหม่ในระบบปฏิบัติการ Linux ที่ชื่อว่า 'Looney Tunables' และมีหมายเลข CVE-2023-4911 ทำให้ผู้โจมตีสามารถเข้าถึงสิทธิ์ root ได้โดยการใช้ประโยชน์จากช่องโหว่ buffer overflow ใน dynamic loader ของ GNU C Library

GNU C Library (glibc) คือไลบรารี C ของระบบ GNU และอยู่ในระบบที่ใช้เคอร์เนล Linux โดยส่วนใหญ่ โดยมีฟังก์ชันการทำงานที่จำเป็น รวมถึง system calls ของระบบ เช่น open, malloc, printf, exit และอื่น ๆ ที่จำเป็นสำหรับการทำงานของโปรแกรมทั่วไป

Dynamic loader ใน glibc มีความสำคัญ เนื่องจากทำหน้าที่ในการเตรียมในการเตรียม และการทำงานของโปรแกรมบนระบบ Linux ที่ใช้ glibc

ช่องโหว่นี้ถูกพบโดยนักวิจัยภัยคุกคามทางไซเบอร์จาก Qualys และถูกเปิดเผยออกมาในเดือนเมษายน 2021 ผ่านการเปิดตัว glibc 2.34 ผ่านคำสั่งที่ถูกอธิบายว่าเป็นการแก้ไขพฤติกรรม SXID_ERASE ในโปรแกรม setuid

Saeed Abbasi - Product Manager จาก Qualys ระบุว่า การโจมตีโดยใช้ช่องโหว่นี้ได้สำเร็จจะทำให้ผู้โจมตีได้สิทธิ์ root อย่างเต็มรูปแบบบน distro ที่สำคัญ เช่น Fedora, Ubuntu และ Debian ซึ่งแสดงให้เห็นถึงระดับความรุนแรง และลักษณะที่แพร่หลายของช่องโหว่นี้

แม้ว่าขณะนี้จะยังไม่มีการเปิดเผยโค้ดการโจมตี แต่ความง่ายจากการเปลี่ยน buffer overflow ให้เป็นการโจมตีแบบ data-only ทำให้มีความเป็นไปได้ที่ทีมวิจัยอื่น ๆ อาจจะสามารถสร้าง และเผยแพร่โค้ดของการโจมตีได้ในเร็ว ๆ นี้ จึงทำให้ระบบจำนวนมากตกอยู่ในความเสี่ยง โดยเฉพาะอย่างยิ่งเมื่อมีการใช้งาน glibc อย่างกว้างขวางบน Linux distributions ต่าง ๆ

ผู้ดูแลระบบควรให้ความสำคัญกับการอัปเดตแพตซ์

ช่องโหว่นี้เกิดขึ้นเมื่อมีการประมวลผล GLIBC_TUNABLES environment variable ในการติดตั้งเริ่มต้นของ Debian 12 และ 13, Ubuntu 22.04 และ 23.04 และ Fedora 37 และ 38 (Alpine Linux ซึ่งใช้ musl libc จะไม่ได้รับผลกระทบ)

Red Hat ระบุว่า พบ Buffer Overflow ใน dynamic loader ld.

นักวิจัยด้านความปลอดภัยพบ Malware-as-a-Service (MaaS) ตัวใหม่ชื่อ 'BunnyLoader' ซึ่งมีการโฆษณาขายบนฟอรัมของแฮ็กเกอร์หลายแห่ง โดยระบุว่าเป็น fileless loader ที่สามารถขโมย และแทนที่เนื้อหาของคลิปบอร์ดบนระบบได้

โดยมัลแวร์ตัวนี้กำลังอยู่ระหว่างการพัฒนาอย่างรวดเร็ว โดยมีการอัปเดตเพิ่มฟีเจอร์ใหม่ ๆ และแก้ไขข้อผิดพลาดอย่างต่อเนื่อง ซึ่งปัจจุบันสามารถดาวน์โหลด และเรียกใช้เพย์โหลด บันทึกคีย์ ขโมยข้อมูลสำคัญ และสกุลเงินดิจิทัล และรันคำสั่งจากระยะไกลได้

BunnyLoader เวอร์ชันแรกถูกพบเมื่อวันที่ 4 กันยายน หลังจากนั้นได้มีการเพิ่มฟังก์ชันใหม่ ๆ เช่น กลไกป้องกันการตรวจจับหลายแบบ และความสามารถในการขโมยข้อมูลเพิ่มเติม และมีการปล่อยเวอร์ชันที่สองในช่วงปลายเดือนนี้

นักวิจัยจากบริษัทรักษาความปลอดภัยบนคลาวด์ Zscaler ระบุว่า BunnyLoader กำลังได้รับความนิยมอย่างรวดเร็วในหมู่อาชญากรไซเบอร์ในฐานะมัลแวร์ที่มีฟีเจอร์ที่หลากหลาย และมีราคาถูก

ภาพรวมของ BunnyLoader

แผงควบคุมคำสั่งของ BunnyLoader ช่วยให้แม้แต่อาชญากรไซเบอร์ที่มีทักษะต่ำก็สามารถตั้งค่าเพย์โหลด second-stage เปิดใช้งานการบันทึกคีย์ ขโมยข้อมูล credential การจัดการข้อมูลบนคลิปบอร์ด (เพื่อขโมยสกุลเงินดิจิทัล) และรันคำสั่งระยะไกลบนอุปกรณ์ที่ถูกโจมตีได้

ในรายงานล่าสุด นักวิจัยระบุว่าหลังจากถูกเรียกใช้บนอุปกรณ์ที่ถูกโจมตี BunnyLoader จะสร้างค่าใหม่ใน Windows Registry เพื่อให้สามารถทำงานได้อย่างต่อเนื่อง ซ่อนหน้าต่างตัวเอง ตั้งค่า mutex เพื่อป้องกันการเข้าถึงข้อมูลพร้อมกัน และลงทะเบียนชื่อเหยื่อในแผงควบคุม

มัลแวร์ดำเนินการตรวจสอบหลายรายการเพื่อระบุว่ามันกำลังทำงานบน sandbox หรือ simulated environment อยู่หรือไม่ หากใช่ มัลแวร์จะแสดงข้อผิดพลาดเกี่ยวกับ incompatibility กับระบบ

นอกเหนือจากฟังก์ชันดังกล่าวแล้ว มัลแวร์ยังมีโมดูลสำหรับขโมยข้อมูลที่เก็บไว้ในเว็บเบราว์เซอร์ (รหัสผ่าน บัตรเครดิต ประวัติการเรียกดู) กระเป๋าสกุลเงินดิจิทัล VPNs แอปส่งข้อความ และอื่น ๆ ซึ่งทำหน้าที่เป็นโปรแกรมขโมยข้อมูลทั่วไป

ข้อมูลที่ขโมยมาทั้งหมดจะถูกบีบอัดเป็นไฟล์ ZIP ก่อนที่จะถูกส่งออกไปยังเซิร์ฟเวอร์สั่งการ และควบคุม (C2) ของผู้โจมตี

จากรายงานของนักวิจัย BunnyLoader รองรับการเขียนเพย์โหลดไปยังดิสก์ก่อนที่จะทำการเรียกใช้ และสามารถรันเพย์โหลดจากหน่วยความจำบนระบบ (fileless) โดยใช้เทคนิค process hollowing

การพัฒนาอย่างรวดเร็ว

Zscaler ได้ติดตามการพัฒนา และประกาศต่าง ๆ ของมัลแวร์บนฟอรัมแฮ็กเกอร์หลายแห่ง และพบว่ามัลแวร์นี้ได้รับการอัปเดตหลายครั้งตั้งแต่เปิดตัวครั้งแรก

ไทม์ไลน์ในการพัฒนาของ BunnyLoader

v1.0 (Sept 4): เปิดตัวครั้งแรก
v1.1 (Sept 5): แก้ไขข้อผิดพลาดของไคลเอนต์, เพิ่มการบีบอัดบันทึกข้อมูลก่อนอัปโหลด และเพิ่มคำสั่ง "pwd" สำหรับ reverse shell
v1.2 (Sept 6): ปรับปรุงความสามารถในการขโมยข้อมูลด้วยการกู้คืนประวัติเบราว์เซอร์, การกู้คืนโทเค็นการรับรองความถูกต้องของ NGRok และการรองรับเส้นทางเบราว์เซอร์ Chromium เพิ่มเติม
v1.3 (Sept 9): เพิ่มการกู้คืนข้อมูลบัตรเครดิตสำหรับ 16 ประเภทบัตร และแก้ไขข้อผิดพลาดบน C2
v1.4 (Sept 10): ดำเนินการหลบเลี่ยงโปรแกรมป้องกันไวรัส
v1.5 (Sept 11): เพิ่มความสามารถในการกู้คืน VPN ในการขโมยข้อมูล แก้ไขข้อผิดพลาดของตัวโหลด fileless และเพิ่มประสิทธิภาพในการโหลดบันทึกข้อมูล
v1.6 (Sept 12): เพิ่มเครื่องมือดูประวัติการดาวน์โหลด และเทคนิคป้องกันของ sandbox
v1.7 (Sept 15): ปรับปรุงการหลบเลี่ยงโปรแกรมป้องกันไวรัส
v1.8 (Sept 15): เพิ่มฟังก์ชันการทำงานของ keylogger และแก้ไขข้อผิดพลาดต่าง ๆ
v1.9 (Sept 17): ปรับปรุงโปรแกรมขโมยข้อมูลด้วยความสามารถในการกู้คืนข้อมูลเกม เส้นทางเบราว์เซอร์ Chromium เพิ่มเติม และการกู้คืนเดสก์ทอปวอลเล็ต
v2.0 (Sept 27): อัปเดต GUI ของ C2 แก้ไขช่องโหว่ที่สำคัญ รวมถึง SQL injection และ XSS เพิ่มการตรวจจับการพยายามโจมตีช่องโหว่ และเพิ่มประสิทธิภาพของโปรแกรมขโมยข้อมูล และตัวโหลด fileless ให้ดียิ่งขึ้น

ในปัจจุบัน BunnyLoader ขายในราคา $250 ในขณะที่รุ่น "private stub" ซึ่งมีฟีเจอร์ป้องกันการวิเคราะห์ที่แข็งแกร่งกว่า การฝังตัวในหน่วยความจำ การหลบเลี่ยงโปรแกรมป้องกันไวรัส และกลไกการคงอยู่เพิ่มเติม ขายในราคา $350

ในราคาที่ค่อนข้างต่ำนี้ เมื่อรวมกับการพัฒนาที่รวดเร็ว ทำให้ BunnyLoader เป็นตัวเลือกที่น่าสนใจสำหรับอาชญากรไซเบอร์ ที่กำลังมองหาข้อเสนอพิเศษในระยะแรกสำหรับมัลแวร์รุ่นใหม่ ๆ ก่อนที่จะเป็นที่รู้จัก และมีการเพิ่มราคา

ที่มา : bleepingcomputer.

LOOSE NEXUS กลุ่มไซเบอร์ในประเทศจีน หรือที่รู้จักกันในชื่อ APT41 ที่มีการโจมตีในการแพร่กระจายมัลแวร์หรือมุ่งเน้นการโจมตีไปในเรื่องของการเงิน โดยปัจจุบันการโจมตีของกลุ่มนี้มีแนวโน้มที่จะมุ่งเป้าไปที่ โรงงานไฟฟ้า

ทีม Threat Hunter ของ Symantec เปิดเผยว่ากลุ่มแฮ็กเกอร์ชาวจีนที่เชื่อมต่อกับ APT41 ซึ่ง Symantec เรียกกลุ่มนี้ว่า RedFly ได้ทำการโจมตีเครือข่ายคอมพิวเตอร์ของระบบส่งไฟฟ้าระดับชาติในแถบประเทศในเอเชีย ซึ่งยังไม่สามารถระบุชื่อประเทศที่เป็นเป้าหมายเกิดขึ้นในเดือนกุมภาพันธ์ของปีนี้และต่อเนื่องมาเป็นระยะเวลา 6 เดือนได้ โดยนักวิจัยจาก Mandiant ชี้ให้เห็นเบาะแสว่าเหตุการณ์ในครั้งนี้ แฮกเกอร์อาจเป็นกลุ่มเดียวกับที่เคยก่อเหตุก่อนหน้านี้โดยมุ่งเป้าไปที่ระบบสาธารณูปโภคด้านไฟฟ้าในอินเดีย การค้นพบของ Symantec เกิดขึ้นหลังจากคำเตือนจากหน่วยงาน Microsoft และหน่วยงานของสหรัฐอเมริกา รวมถึงหน่วยงานรักษาความปลอดภัยทางไซเบอร์และโครงสร้างพื้นฐาน (CISA) และหน่วยงานความมั่นคงแห่งชาติ (NSA) ว่ากลุ่มแฮ็กเกอร์กลุ่มอื่นที่ได้รับการสนับสนุนจากรัฐจีน ซึ่งรู้จักกันในชื่อ Volt Typhoon ได้เจาะระบบสาธารณูปโภคด้านไฟฟ้าของสหรัฐฯ รวมถึง Guam ของสหรัฐอเมริกา ซึ่งอาจเป็นการเตรียมการสำหรับการโจมตีทางไซเบอร์ในกรณีที่เกิดข้อขัดแย้ง เช่น การเผชิญหน้าทางทหารในไต้หวัน

หลักฐานบางอย่างบ่งชี้ว่าการโจมตีที่เน้นไปที่อินเดียในปี 2021 และการโจมตี โรงงานไฟฟ้าใหม่ที่ค้นพบโดย Symantec นั้นดำเนินการโดยแฮ็กเกอร์กลุ่มเดียวกันซึ่งมีลิงก์ไปยังกลุ่มสายลับที่รัฐจีนสนับสนุนซึ่งรู้จักกันในชื่อ APT41 ซึ่งบางครั้งเรียกว่า Wicked Panda หรือ Barium, Symantec ตั้งข้อสังเกตว่าแฮกเกอร์ใช้มัลแวร์ตัวหนึ่งที่เรียกว่า ShadowPad ซึ่งถูกใช้งานโดยกลุ่มย่อย APT41 ในปี 2017 เพื่อติดตั้งคีย์ล็อกเกอร์ ซึ่งจะซ่อนอยู่ในระบบที่ติดไวรัสภายใต้ชื่อไฟล์ต่างๆ เช่น winlogon.

Atlassian บริษัทซอฟต์แวร์ของออสเตรเลีย ได้ออกแพตซ์อัปเดตด้านความปลอดภัยฉุกเฉิน เพื่อแก้ไขช่องโหว่ Zero-day ใน Confluence Data Center and Server software ซึ่งกำลังถูกใช้ในการโจมตีอยู่ในปัจจุบัน โดยช่องโหว่ดังกล่าวมีคะแนน CVSS สูงสุดถึง 10/10

CVE-2023-22515 (คะแนน CVSS 10/10 ความรุนแรงระดับ Critical) เป็นช่องโหว่ในการยกระดับสิทธิ์บน Confluence Data Center and Server ซึ่งสามารถโจมตีได้จากภายนอก และไม่จำเป็น (more…)

สำนักงานความมั่นคงแห่งชาติ (NSA) และหน่วยงานรักษาความปลอดภัยทางไซเบอร์ และโครงสร้างพื้นฐาน (CISA) ได้เปิดเผยรายงานการค้นพบการตั้งค่าที่ไม่ปลอดภัยที่พบบ่อยที่สุด 10 อันดับ ซึ่งถูกพบโดย Red และ Blue Team ของบริษัทชั้นนำในโลก และหน่วยงานของรัฐบาล

รวมไปถึงรายงานดังกล่าวยังให้ข้อมูลเกี่ยวกับ กลยุทธ์ เทคนิค และขั้นตอน (TTP) ที่ Hacker นำการตั้งค่าที่ไม่ปลอดภัยไปใช้ร่วมกับการโจมตีอย่างหลากหลาย เช่น การเข้าถึงระบบ (Initial Access), การแพร่กระจายไปในระบบ (Lateral Movement) และการขโมยข้อมูลที่สำคัญ (Exfiltration) โดยข้อมูลเหล่านี้ได้มาจากผลการวิเคราะห์ในระหว่างการตอบสนองต่อเหตุการณ์ หรือ Incident Response

(more…)

Lyca Mobile เป็นผู้ให้บริการโทรคมนาคม และ Voice IP (VoIP) ของอังกฤษที่ดำเนินงานใน 60 ประเทศ รวมถึงสหรัฐอเมริกา สหราชอาณาจักร เยอรมนี ออสเตรเลีย ฝรั่งเศส อิตาลี และเนเธอร์แลนด์ ได้ออกมาประกาศเรื่องระบบเครือข่ายหยุดทำงาน ภายหลังจากเกิดเหตุการณ์การโจมตีทางไซเบอร์ ซึ่งอาจส่งผลให้ข้อมูลของลูกค้ารั่วไหลออกสู่สาธารณะ

เหตุการณ์นี้เกิดขึ้นเมื่อช่วงสุดสัปดาห์ที่ผ่านมา ทำให้บริการในทุกประเทศหยุดทำงานลง ยกเว้น 4 ประเทศ ส่งผลให้ร้านค้าปลีกไม่สามารถเข้าถึงพอร์ทัลเติมเงินของบริษัทได้ รวมถึงการให้บริการโทรศัพท์ทั้งใน และต่างประเทศก็ได้รับผลกระทบจากเหตุการณ์ดังกล่าว

(more…)

National Student Clearinghouse (NSC) องค์กรที่ไม่แสวงหากำไรด้านการศึกษาของสหรัฐฯ เปิดเผยการถูกเข้าถึงข้อมูลที่ทำให้ส่งผลกระทบต่อโรงเรียนกว่า 890 แห่งที่ใช้บริการต่าง ๆ ทั่วทั้งสหรัฐอเมริกา

ในจดหมายแจ้งเตือนที่ยื่นต่อสำนักงานอัยการสูงสุดของแคลิฟอร์เนีย Clearinghouse ระบุว่าผู้โจมตีสามารถเข้าถึงเซิร์ฟเวอร์ MOVEit managed file transfer (MFT) เมื่อวันที่ 30 พฤษภาคม และขโมยไฟล์ที่มีข้อมูลส่วนบุคคลจำนวนมากออกไป

"เมื่อวันที่ 31 พฤษภาคม 2023 Clearinghouse ได้รับแจ้งจากผู้ให้บริการซอฟต์แวร์ third-party ของเราเกี่ยวกับปัญหาด้านความปลอดภัยทางไซเบอร์ที่เกี่ยวข้องกับโซลูชัน MOVEit Transfer ของผู้ให้บริการ"

“หลังจากทราบปัญหานี้แล้ว องค์กรได้เริ่มการสอบสวนทันทีโดยได้รับการสนับสนุนจากผู้เชี่ยวชาญด้านความปลอดภัยทางไซเบอร์ชั้นนำ นอกจากนี้ยังได้ประสานงานกับหน่วยงานบังคับใช้กฎหมายด้วย”

ข้อมูลส่วนบุคคลที่ถูกขโมยออกไปนั้น ประกอบด้วยชื่อ วันเกิด ข้อมูลติดต่อ หมายเลขประกันสังคม หมายเลขประจำตัวนักเรียน และบันทึกที่เกี่ยวข้องกับโรงเรียนบางส่วน เช่น บันทึกการลงทะเบียน บันทึกการศึกษาระดับปริญญา และข้อมูลระดับหลักสูตร

NSC ให้บริการการรายงานทางการศึกษา การแลกเปลี่ยนข้อมูล การตรวจสอบ และการวิจัยแก่โรงเรียนมัธยมประมาณ 22,000 แห่ง วิทยาลัย และมหาวิทยาลัยประมาณ 3,600 แห่ง และพบว่ามีผู้เข้าร่วมลงทะเบียนประมาณ 97% ของนักเรียนในสถาบันของรัฐ และเอกชน โดยในเดือนสิงหาคม NSC เปิดเผยในการยื่นเรื่องการละเมิดข้อมูลกับอัยการสูงสุดของรัฐเมน ว่ามีผู้ใช้งานมากกว่า 51,500 คนได้รับผลกระทบจากเหตุการณ์ดังกล่าว

กลุ่มแรนซัมแวร์ Clop ที่อยู่เบื้องหลังการแฮ็ก MoveIT

กลุ่ม Clop ransomware เป็นผู้ที่ออกมายอมรับการอยู่เบื้องหลังการโจมตีเพื่อขโมยข้อมูลจำนวนมาก ซึ่งเริ่มตั้งแต่เมื่อวันที่ 27 พฤษภาคม 2023 โดยใช้ประโยชน์จากช่องโหว่ zero-day ในแพลตฟอร์มสำหรับถ่ายโอนไฟล์ที่มีความปลอดภัยอย่าง MOVEit Transfer

โดยตั้งแต่วันที่ 15 มิถุนายน อาชญากรไซเบอร์เริ่มขู่กรรโชกองค์กรที่ตกเป็นเหยื่อของการโจมตี โดยเปิดเผยรายชื่อขององค์กรที่ถูกโจมตีไวับนไซต์ที่ใช้สำหรับโพสต์ข้อมูลรั่วไหลบน Dark Web ซึ่งคาดว่าจะส่งผลกระทบต่อองค์กรหลายร้อยแห่งทั่วโลก โดยหลายแห่งได้แจ้งให้ลูกค้าที่ได้รับผลกระทบทราบแล้วในช่วงสี่เดือนที่ผ่านมา

อย่างไรก็ตาม คาดว่ากลุ่ม Clop ransomware จะเรียกเก็บเงินประมาณ 75-100 ล้านดอลลาร์ เนื่องจากจำนวนเงินค่าไถ่ที่สูงเกินไปที่เหยื่อจะยอมจ่าย แม้จะมีเหยื่อจากการโจมตีจำนวนมาก แต่ที่จาก Coveware ประมาณการ ชี้ให้เห็นว่ามีเพียงเหยื่อเฉพาะบางกลุ่มเท่านั้นที่มีแนวโน้มว่าจะยอมจ่ายเงินค่าไถ่ตามการเรียกร้องของ Clop

จากรายงานยังเผยให้เห็นด้วยว่าหน่วยงานรัฐบาลกลางของสหรัฐอเมริกาหลายแห่ง และหน่วยงานกระทรวงพลังงานของสหรัฐอเมริกา (DOE) สองแห่งตกเป็นเหยื่อของการโจรกรรมข้อมูล และการโจมตีเพื่อกรรโชกทรัพย์ในคร้งนี้

ที่มา : bleepingcomputer