นักวิจัยของ Certitude พบช่องโหว่บน Cloudflare Firewall และ DDoS prevention ที่ทำให้ bypass การตรวจสอบได้โดยการใช้ช่องโหว่ cross-tenant security controls ซึ่งข้อจำกัดเพียงอย่างเดียวสำหรับการโจมตีคือแฮ็กเกอร์ต้องมีการสร้างบัญชี Cloudflare ฟรี เพื่อใช้เป็นส่วนหนึ่งของการโจมตี รวมถึงผู้โจมตีต้องรู้ที่อยู่ IP ของเว็บเซิร์ฟเวอร์เป้าหมายเพื่อใช้ช่องโหว่นี้ในการโจมตี

การโจมตี Cloudflare โดยใช้ Cloudflare account

Stefan Proksch นักวิจัยของ Certitude ระบุว่าสาเหตของปัญหาคือการที่ Cloudflare ใช้โครงสร้างพื้นฐานร่วมกันในการรับการเชื่อมต่อจาก tenants ทั้งหมด โดยช่องโหว่ที่ส่งผลกระทบต่อระบบคือ "Authenticated Origin Pulls" และ "Allowlist Cloudflare IP Addresses" ของ Cloudflare

Authenticated Origin Pulls เป็นคุณสมบัติด้านความปลอดภัยที่ Cloudflare ใช้เพื่อให้แน่ใจว่า HTTP(s) request ที่ส่งไปยังเซิร์ฟเวอร์ต้นทางนั้น ถูกส่งผ่าน Cloudflare และไม่ได้มาจาก Hacker

โดยเมื่อทำการกำหนดค่าฟีเจอร์ดังกล่าว ลูกค้าสามารถอัปโหลด certificates ของตนโดยใช้ API หรือสร้างใบรับรองผ่าน Cloudflare ซึ่งเป็นวิธีการเริ่มต้น และง่ายที่สุด เมื่อทำการกำหนดค่าแล้ว Cloudflare จะใช้ SSL/TLS certificate เพื่อตรวจสอบ HTTP(S) requests ใด ๆ ระหว่าง reverse proxy ของบริการ และเซิร์ฟเวอร์ต้นทางของลูกค้า เพื่อป้องกัน HTTP(S) requests ที่ไม่ได้รับอนุญาตเข้าถึงเว็บไซต์ได้

(more…)

ผู้พัฒนา Exim ได้เผยแพร่แพตช์แก้ไขช่องโหว่ Zero-day ที่ถูกเปิดเผยเมื่อสัปดาห์ที่ผ่านมาจาก Zero Day Initiative (ZDI) ของ Trend Micro ซึ่งหนึ่งในนั้นสามารถทำให้ผู้โจมตีที่ไม่ผ่านการตรวจสอบสิทธิ์สามารถเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกลได้

ช่องโหว่ด้านความปลอดภัย (CVE-2023-42115) ถูกพบโดยนักวิจัยด้านความปลอดภัยที่ไม่ถูกระบุชื่อ โดยเป็นช่องโหว่ Out-of-bounds ที่พบใน SMTP service และสามารถถูกโจมตีโดยผู้โจมตีที่ไม่ผ่านการตรวจสอบสิทธิ์เพื่อสั่งรันโค้ดด้วยสิทธิ์ของ service account ได้

ZDI อธิบายเพิ่มเติมว่า "ช่องโหว่ภายใน SMTP service ซึ่งจะใช้พอร์ต TCP 25 โดยค่าเริ่มต้น เป็นผลมาจากการขาดการตรวจสอบความถูกต้องของข้อมูลที่ผู้ใช้ระบุ ซึ่งอาจส่งผลให้มีการ write past the end of a buffer"

ปัจจุบันทีมงาน Exim ยังได้ออกแพตซ์แก้ไขช่องโหว่ RCE (CVE-2023-42114) และช่องโหว่ information disclosure (CVE-2023-42116)

(more…)

Google ได้กำหนด CVE ID ใหม่ (CVE-2023-5129) ให้กับช่องโหว่ด้านความปลอดภัย libwebp ที่ถูกใช้ในการโจมตีแบบ Zero-day และพึ่งมีแพตช์แก้ไขออกมาเมื่อสองสัปดาห์ก่อน

ในตอนแรก Google ได้เปิดเผยช่องโหว่ดังกล่าวว่าเป็นช่องโหว่ใน Chrome ที่มีหมายเลข CVE-2023-4863 มากกว่าที่จะกำหนดให้เป็นช่องโหว่ใน open-source ไลบรารี libwebp ที่ใช้สำหรับการ encode และ decode ภาพในรูปแบบ WebP (more…)

พบช่องโหว่ Zero-day ในซอฟต์แวร์ Exim Mail Transfer Agent (MTA) ที่ทำให้ Hacker สามารถหลีกเลี่ยงการตรวจสอบสิทธิ์ และเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกล Remote Code Execution (RCE) บน Exim mail server ที่เข้าถึงได้จากอินเทอร์เน็ต (more…)

GitHub ได้เปิดให้บริการ passkeys ในปัจจุบัน เพื่อป้องกันการโจมตีแบบฟิชชิ่ง และอนุญาตให้ผู้ใช้งานทุกคนสามารถเข้าสู่ระบบได้โดยไม่ต้องใช้รหัสผ่าน

Passkeys จะเชื่อมต่อกับอุปกรณ์เฉพาะ เช่น คอมพิวเตอร์ แท็บเล็ต หรือสมาร์ทโฟน และมีหน้าที่ในการลดความเสี่ยงจากการโจมตีแบบฟิชชิ่ง และป้องกันการเข้าถึงโดยไม่ได้รับอนุญาต

โดย Passkeys จะช่วยให้สามารถเข้าถึงแอพพลิเคชัน และบริการออนไลน์ผ่านวิธีการระบุตัวตน เช่น PIN หรือการตรวจสอบความถูกต้องแบบ biometric ซึ่งรวมถึงลายนิ้วมือ และการจดจำใบหน้า

นอกจากนี้ Passkeys ยังปรับปรุงความปลอดภัยให้กับผู้ใช้งาน โดยไม่จำเป็นต้องจำ และจัดการรหัสผ่านที่แตกต่างกันสำหรับแต่ละเว็บไซต์ และแอพพลิเคชัน

GitHub เริ่ม support การใช้งาน Passkeys ในเดือนกรกฎาคม 2023 โดยเป็นส่วนหนึ่งของ public beta passwordless authentication push

(more…)

PoC ของการโจมตีช่องโหว่การยกระดับสิทธิ์ของ Microsoft SharePoint Server ถูกปล่อยออกมาแล้ว

ชุดสาธิตการโจมตีหรือ Proof-of-concept exploit code (PoC) ของช่องโหว่การหลีกเลี่ยงการตรวจสอบสิทธิ์ของ Microsoft SharePoint Server ที่ทำให้สามารถยกระดับสิทธิ์ได้ (privilege escalation) ถูกปล่อยออกมาบน GitHub แล้ว
**

CVE-2023-29357 (คะแนน CVSS 9.8/10 ความรุนแรงระดับ Critical) เป็นช่องโหว่ที่ทำให้ Hacker สามารถหลีกเลี่ยงการตรวจสอบสิทธิ์ของ Microsoft SharePoint Server และสามารถยกระดับสิทธิ์เป็นผู้ดูแลระบบได้โดยไม่ต้องมีการโต้ตอบจากผู้ใช้งาน

โดย Hacker สามารถเข้าถึง JWT authentication token ที่ถูกปลอมแปลงขึ้น และใช้ token เหล่านี้เพื่อดำเนินการโจมตีเครือข่าย ซึ่งจะข้ามการตรวจสอบสิทธิ์ และอนุญาตให้เข้าถึงสิทธิ์ของผู้ใช้ที่ได้รับการตรวจสอบสิทธิ์ รวมถึงสิทธิ์ของผู้ดูแลระบบ ปัจจุบันช่องโหว่ดังกล่าว ทาง Microsoft ได้ออกแพตซ์อัปเดตด้านความปลอดภัยเพื่อแก้ไขไปแล้ว (more…)

NSFocus รายงานว่ากลุ่มแฮกเกอร์ AtlasCross แตกต่างจากกลุ่มแฮกเกอร์อื่นๆ ในเรื่องขั้นตอนการโจมตี , เครื่องมือที่ใช้โจมตี , วัตถุประสงค์การโจมตี , แนวโน้มพฤติกรรม และอื่นๆ โดยพบโทรจันใหม่สองตัว DangerAds และ AtlasAgent ที่เกี่ยวข้องกับการโจมตี

การโจมตีเริ่มต้นด้วยข้อความ Phishing ที่อ้างว่ามาจากสภากาชาดอเมริกัน โดยขอให้ผู้รับเข้าร่วมในการบริจาคเลือดเดือนกันยายน 2023 โดยในอีเมลมีไฟล์แนบเอกสาร Word ที่เปิดใช้งานมาโคร (.docm) ซึ่งต้องการให้ผู้รับคลิกเปิดใช้งานเนื้อหา เพื่อดูเนื้อหาที่ซ่อนอยู่

เมื่อผู้รับกดเปิดใช้งาน มาโครจะแยกไฟล์ ZIP บนอุปกรณ์ Windows และวางไฟล์ชื่อ KB4495667.pkg ซึ่งเป็นตัวสร้างโทรจัน DangerAds และเป็นตัวโหลดมัลแวร์ โดยจะสร้าง Scheduled task ชื่อ Microsoft Office Updates เพื่อเปิดใช้ DangerAds ทุกวันเป็นเวลาสามวัน

DangerAds ทำหน้าที่เป็นตัวโหลดมัลแวร์ , ประเมินข้อมูลของระบบ และเรียกใช้ Shellcode หากพบ Strings ที่กำหนดไว้ในชื่อผู้ใช้หรือชื่อโดเมนของระบบ ซึ่งเป็นการกำหนดขอบเขตเป้าหมายที่แคบของกลุ่มแฮกเกอร์ AtlasCross

หากพบ Strings ที่กำหนดไว้ DangerAds จะโหลด x64.dll ซึ่งเป็นโทรจัน AtlasAgent เป็นโทรจันภาษา C++ แบบ Custom ฟังก์ชันหลักประกอบด้วยการแยกโฮสต์และรายละเอียด Process , ป้องกันการเปิดโปรแกรมหลายโปรแกรม , เรียกใช้ Shellcode และการดาวน์โหลดไฟล์จากเซิร์ฟเวอร์ C2 ของผู้โจมตี

เมื่อทำงานครั้งแรกมัลแวร์จะส่งข้อมูลไปยังเซิร์ฟเวอร์ของผู้โจมตี เช่น ชื่อเครื่อง , IP เครื่อง , ข้อมูล Network adapter , ข้อมูล Network card , เวอร์ชันของระบบปฏิบัติการ และ Process ที่รันอยู่ จากนั้นเซิร์ฟเวอร์ของผู้โจมตีจะตอบกลับคำสั่งให้ AtlasAgent ทำงานต่างๆ ซึ่งสามารถทำได้โดยใช้ Threads ใหม่ หรือกระบวนที่มีอยู่ ทำให้เครื่องมือรักษาความปลอดภัยตรวจจับและหยุดได้ยากขึ้น

AtlasAgent รองรับคำสั่งต่อไปนี้

รับข้อมูลระบบคอมพิวเตอร์
Reverse Shell
รับข้อมูลจาก CnC และจัดเก็บไว้ในไฟล์ที่ระบุ
Debugging field
หยุดโปรแกรมชั่วคราวเป็นระยะเวลาหนึ่งโดยใช้ฟังก์ชัน Sleep
รับข้อมูลของ Process
แทรก Shellcode หรือคำสั่งลงใน Threads ของกระบวนการที่ระบุ
ใช้งานพารามิเตอร์ฟังก์ชัน
เรียกใช้ Shellcode โดยตรง หรือสร้าง Threads เพื่อรัน Shellcode
สร้าง Mutex (Mutually exclusive)

ที่มา : bleepingcomputer

The Better Outcomes Registry & Network (BORN) องค์กรด้านการดูแลสุขภาพที่ได้รับทุนจากรัฐ Ontario ประเทศแคนาดา เป็นองค์กรที่รวบรวม ตีความ แบ่งปัน ปกป้องข้อมูลที่สำคัญเกี่ยวกับการตั้งครรภ์ การเกิดของเด็ก รวมถึงดูแลสุขภาพของผู้ตั้งครรภ์

ได้ประกาศว่าตนเป็นหนึ่งในผู้เสียหายจากการโดนโจมตีด้วยช่องโหว่ Zero-day MOVEit Transfer (CVE-2023-34362) จากกลุ่ม Clop ransomware ซึ่งเป็นช่องโหว่ SQL injection ที่สามารถยกระดับสิทธิ์ และทำให้สามารถเข้าถึงฐานข้อมูลโดยไม่ได้รับอนุญาตได้

BORN ทราบว่าโดนเข้าถึงข้อมูลเมื่อวันที่ 31 พฤษภาคม และได้โพสต์ประกาศสาธารณะบนเว็บไซต์ พร้อมทั้งแจ้งให้หน่วยงานที่เกี่ยวข้องทราบ (Privacy Commissioner of Ontario) และได้ร่วมกับผู้เชี่ยวชาญด้านความปลอดภัยเพื่อแยกเซิร์ฟเวอร์ที่ได้รับผลกระทบ และควบคุมความเสียหาย ทำให้องค์กรยังดำเนินงานต่อไปได้

จากการตรวจสอบพบว่าผู้โจมตีได้คัดลอกไฟล์ข้อมูลของคนประมาณ 3.4 ล้านคน ส่วนใหญ่เป็นทารกแรกเกิดและผู้ป่วยที่ได้รับการดูแลระหว่างตั้งครรภ์ ระหว่างเดือนมกราคม 2010 ถึงพฤษภาคม 2023

ข้อมูลที่ถูกคัดลอกออกไป ประกอบด้วย

ชื่อเต็ม
ที่อยู่
รหัสไปรษณีย์
วันเกิด
หมายเลขบัตรสุขภาพ
และอาจมีข้อมูลอื่นๆเพิ่มเติม ขึ้นอยู่กับบริการที่ได้รับจาก BORN

วันที่เข้ารับบริการ/ดูแล
ผลการทดสอบใน Lab
ปัจจัยเสี่ยงในการตั้งครรภ์
ประเภทการเกิด
ขั้นตอน
ผลการตั้งครรภ์และการคลอดบุตร
BORN กล่าวว่า แม้จะยืนยันการโจมตีแล้ว แต่ยังไม่มีหลักฐานว่าข้อมูลที่ถูกขโมยได้ถูกเผยแพร่บน Dark Web ถูกเสนอขาย หรือถูกใช้ในทางที่ผิด และจะยังตรวจสอบต่อไปสำหรับกิจกรรมใดๆ ที่อาจเกี่ยวข้องกับเหตุการณ์นี้ และไม่แนะนำให้บุคคลที่อาจได้รับผลกระทบดำเนินการใดๆในเวลานี้ นอกจากระวังการติดต่อเข้ามาที่น่าสงสัย โดยเฉพาะการขอข้อมูลส่วนตัว

ที่มา : bleepingcomputer

ผู้ไม่หวังดีใช้ Google Ads เป็นช่องทางในการหลอกผู้ใช้งานที่ค้นหาซอฟต์แวร์ Webex โดยสร้างโฆษณาที่ดูน่าเชื่อถือ ซึ่งเมื่อทำการดาวน์โหลด จะถูกเปลี่ยนเส้นทางไปยังเว็บไซต์ที่มีมัลแวร์ BatLoader โดย Webex คือโปรแกรมการประชุมทางวิดีโอ และการติดต่อสื่อสาร ซึ่งเป็นส่วนหนึ่งของกลุ่มผลิตภัณฑ์ของ Cisco และใช้โดยองค์กร และธุรกิจต่าง ๆ ทั่วโลก

Malwarebytes รายงานว่าแคมเปญ Malvertising ถูกฝังอยู่ใน Google Search เป็นเวลากว่า 1 สัปดาห์ โดยกลุ่มผู้โจมตีที่คาดว่ามาจากเม็กซิโก

แคมเปญมัลแวร์ที่แฝงใน Google Ad

Malwarebytes รายงานว่าพอร์ทัลดาวน์โหลด Webex ปลอมใน Google Ads อยู่อันดับสูงสุดของผลการค้นหาคำว่า "webex" ซึ่งสิ่งที่ทำให้ดูน่าเชื่อถือคือการใช้โลโก้ Webex จริง และแสดง URL ที่ถูกต้อง "webex.

กลุ่มผู้โจมตีที่มีเป้าหมายทางการเงินเปิดเผยว่าได้ขายช่องทางการเข้าถึงระบบขององค์กรที่ถูกโจมตี ให้กับกลุ่มผู้โจมตีรายอื่นเพื่อดำเนินการต่อ เช่น การติดตั้งแรนซัมแวร์

หน่วยงาน SecureWorks Counter Threat Unit (CTU) ตั้งชื่อกลุ่มอาชญากรไซเบอร์นี้ว่า Gold Melody ซึ่งยังเป็นที่รู้จักในชื่อ Prophet Spider (ถูกเรียกโดย CrowdStrike) และ UNC961 (ถูกเรียกโดย Mandiant)

บริษัทด้านความปลอดภัยทางไซเบอร์ระบุว่า "กลุ่มที่มีเป้าหมายทางการเงินกลุ่มนี้ ได้ดำเนินการมาอย่างน้อยตั้งเเต่ปี 2017 ได้ทำการโจมตีองค์กรโดยใช้ประโยชน์จากช่องโหว่ในเซิร์ฟเวอร์ที่เชื่อมต่อกับอินเทอร์เน็ตที่ยังไม่ได้รับการอัปเดตแพตช์"

ลักษณะของเหยื่อชี้ให้เห็นว่าเป็นการโจมตีแบบ opportunistic เพื่อเป้าหมายทางการเงิน มากกว่าจะเป็นแคมเปญที่กำหนดเป้าหมายที่ดำเนินการโดยกลุ่มผู้โจมตีที่ได้รับการสนับสนุนจากรัฐ เพื่อการสอดแนม การทำลาย หรือการก่อความวุ่นวาย

Gold Melody เคยถูกเชื่อมโยงกับการโจมตีที่ใช้ช่องโหว่ด้านความปลอดภัยใน JBoss Messaging (CVE-2017-7504), Citrix ADC (CVE-2019-19781), Oracle WebLogic (CVE-2020-14750 และ CVE-2020-14882), GitLab (CVE-2021-22205), Citrix ShareFile Storage Zones Controller (CVE-2021-22941), Atlassian Confluence (CVE-2021-26084), ForgeRock AM (CVE-2021-35464), และ Apache Log4j (CVE-2021-44228) servers.