พบมัลแวร์สำหรับขโมยข้อมูลตัวใหม่ชื่อ 'MetaStealer' ที่มีเป้าหมายในการขโมยข้อมูลที่มีความสำคัญจากคอมพิวเตอร์ macOS ที่ใช้โพรเซสเซอร์ Intel (more…)

Google เผยแพร่แพตซ์อัปเดตความปลอดภัยฉุกเฉินเพื่อแก้ไขช่องโหว่ Zero-day บน Chrome ครั้งที่สี่นับตั้งแต่ต้นปี 2023 (more…)

พบ Mirai Botnet สายพันธุ์ใหม่ที่ชื่อ "Pandora" เข้าควบคุมทีวี Android ราคาถูก และกล่องทีวี เพื่อใช้ในการโจมตีแบบ distributed denial-of-service (DDoS)

Doctor Web ระบุว่าการโจมตีอาจเกิดขึ้นได้ระหว่างการอัปเดตเฟิร์มแวร์ที่เป็นอันตราย หรือเมื่อติดตั้งแอปพลิเคชันสำหรับดูเนื้อหาวิดีโอที่ละเมิดลิขสิทธิ์

โดยนักวิจัยระบุในการวิเคราะห์ที่เผยแพร่เมื่อวันพุธว่า "เป็นไปได้ว่าการโจมตีนี้มาจากการดาวน์โหลดจากเว็บไซต์ต่าง ๆ เนื่องจากมีการใช้งานด้วยคีย์ทดสอบ Android Open Source Project"

โดย service ที่เรียกใช้งาน backdoor นั้นอยู่ใน boot.

แฮ็กเกอร์ที่รู้จักกันในชื่อ W3LL ได้พัฒนาชุดเครื่องมือฟิชชิงที่สามารถ bypass multi-factor authentication พร้อมกับเครื่องมืออื่น ๆ ที่ทำให้สามารถโจมตีบัญชี Microsoft 365 ขององค์กรมากกว่า 8,000 บัญชี

ในระยะเวลา 10 เดือน นักวิจัยด้านความปลอดภัยพบว่าเครื่องมือ และโครงสร้างพื้นฐานของ W3LL ถูกใช้ในการสร้างฟิชชิงประมาณ 850 ครั้ง ซึ่งกำหนดเป้าหมายไปที่ข้อมูลส่วนบุลคลของบัญชี Microsoft 365 มากกว่า 56,000 บัญชี

การเติบโตของธุรกิจ

ผู้โจมตีอย่างน้อย 500 รายได้ใช้เครื่องมือฟิชชิ่งแบบ custom ของ W3LL ในการโจมตีแบบ Business Email Compromise (BEC) ทำให้เกิดความสูญเสียทางการเงินหลายล้านดอลลาร์สหรัฐฯ

นักวิจัยระบุว่า W3LL ครอบคลุมเกือบทั้งหมดสำหรับการโจมตีแบบ BEC และสามารถใช้งานได้โดย "ผู้โจมตีที่มีทักษะทางเทคนิคในทุกระดับ"

ในรายงานจากบริษัทรักษาความปลอดภัยทางไซเบอร์ Group-IB ได้ให้รายละเอียดเกี่ยวกับ W3LL ที่กลายมาเป็นหนึ่งในนักพัฒนามัลแวร์ขั้นสูงสำหรับกลุ่มผู้โจมตีที่มักใช้วิธี BEC

หลักฐานแรกในการดำเนินการของ W3LL ถูกพบครั้งแรกในปี 2017 เมื่อผู้พัฒนาเริ่มใช้เครื่องมือ custom สำหรับการส่งอีเมลจำนวนมากที่ชื่อว่า "W3LL SMTP Sender" ซึ่งถูกใช้สำหรับการส่งสแปม

ความนิยม และธุรกิจของกลุ่มแฮ็กเกอร์เริ่มเติบโตขึ้นเมื่อเริ่มมีการขายชุดเครื่องมือฟิชชิงแบบ custom ที่มุ่งเน้นไปที่บัญชีองค์กรของ Microsoft 365

นักวิจัยระบุว่า ในปี 2018 W3LL ได้เปิดตัว W3LL Store ซึ่งเป็นตลาดภาษาอังกฤษที่สามารถโปรโมต และขายเครื่องมือของตนให้กับ community ของอาชญากรทางไซเบอร์

"เครื่องมือหลักของ W3LL คือ W3LL Panel ซึ่งอาจถือเป็นหนึ่งในชุดเครื่องมือสำหรับการโจมตีแบบฟิชชิงที่ล้ำสมัยที่สุดในระดับเดียวกัน โดยมีฟังก์ชันการทำงานแบบ adversary-in-the-middle, API, การป้องกันซอร์สโค้ด และความสามารถเฉพาะทางอื่น ๆ"

ชุดเครื่องมือของ W3LL สำหรับการโจมตีแบบ BEC

นอกจาก W3LL Panel ซึ่งถูกออกแบบเพื่อ bypass multi-factor authentication (MFA) ผู้โจมตียังมีเครื่องมืออีก 16 รายการที่เตรียมไว้สำหรับการโจมตี BEC (Business Email Compromise) รวมถึง:

SMTP senders PunnySender และ W3LL Sender
เครื่องมือ link stager ที่เป็นอันตรายชื่อ W3LL Redirect
เครื่องมือสแกนช่องโหว่ชื่อ OKELO
เครื่องมือค้นหาบัญชีอัตโนมัติชื่อ CONTOOL
โปรแกรมตรวจสอบอีเมลชื่อ LOMPAT
สำหรับการโจมตี BEC มีขั้นตอนเริ่มต้นที่การเลือกเป้าหมาย, การโจมตีแบบฟิชชิงผ่านอีเมลที่ที่มีไฟล์แนบ (ค่าเริ่มต้น หรือปรับแต่งเองได้), ไปจนถึงการส่งอีเมลฟิชชิงเข้าไปในกล่องจดหมายของเหยื่อ

นักวิจัยระบุว่า W3LL เชี่ยวชาญมากพอที่จะปกป้องเครื่องมือของตนจากการถูกตรวจจับ หรือปิดกั้นได้ โดยการนำไปใช้งานบนโฮสต์เซิร์ฟเวอร์ และบริการที่โจมตีมาอีกที

อย่างไรก็ตาม ผู้ใช้งานยังมีตัวเลือกในการใช้เครื่องมือสแกน OKELO ของ W3LL เพื่อค้นหาระบบที่มีช่องโหว่ และเข้าถึงระบบได้ด้วยตนเอง

Bypassing filters และ security agents

บางเทคนิคที่ W3LL ใช้ คือการ bypass email filters และ security agents รวมถึงปลอมแปลงหัวเรื่องอีเมล และเนื้อหาในข้อความ (Punycode, แท็ก HTML, รูปภาพ, ลิงก์ที่มีเนื้อหาจากภายนอก)

phishing links ใช้วิธีการหลายอย่างเพื่อหลีกเลี่ยงการตรวจจับ หนึ่งในนั้นคือการแนบไฟล์ฟิชชิง แทนที่จะฝังไว้ในเนื้อหาของอีเมล

นักวิจัยพบว่าลิงก์นั้นถูกวางไว้ในไฟล์ HTML ที่แนบมา เมื่อเหยื่อเปิดไฟล์ HTML ที่เป็นอันตรายซึ่งอาจปลอมเป็นเอกสาร หรือข้อความเสียง เบราว์เซอร์จะเปิดขึ้นพร้อมกับการแสดงผลที่คล้ายกับ MS Outlook animation

ซึ่งนี่คือ W3LL Panel phishing page ที่พร้อมใช้งานสำหรับการเก็บข้อมูลของบัญชี Microsoft 365

ในการวิเคราะห์ไฟล์แนบจากการโจมตีแบบฟิชชิงจาก W3LL ที่พบ Group-IB ได้สังเกตว่าเป็นไฟล์ HTML ที่แสดงเว็ปไซต์ใน iframe โดยใช้ JavaScript ที่ถูกเข้ารหัส base64

ในเวอร์ชันใหม่ล่าสุด ซึ่งอัปเดตในช่วงปลายเดือนมิถุนายน W3LL ได้เพิ่ม การสร้างความสับสน และการเข้ารหัสแบบ multiple layers โดยจะโหลดสคริปต์โดยตรงจาก W3LL Panel แทนที่จะรวมไว้ในโค้ด HTML

ลำดับการทำงานสำหรับเวอร์ชันล่าสุดมีลักษณะดังนี้ :

การโจมตีบัญชีองค์กร Microsoft 365

นักวิจัยของ Group-IB อธิบายว่าลิงก์เริ่มต้นในการโจมตีฟิชชิงไม่ได้นำไปสู่หน้าการเข้าสู่ระบบ Microsoft 365 ที่ถูกปลอมแปลงใน W3LL Panel การเชื่อมต่อลักษณะดังกล่าวถูกกำหนดขึ้นเพื่อป้องกันการตรวจสอบหน้าฟิชชิงของ W3LL Panel

เพื่อที่ W3LL จะโจมตีบัญชี Microsoft 365 นั้นจะใช้เทคนิค Adversary/Man-in-the-middle (AitM/MitM) โดยการเชื่อมต่อระหว่างเหยื่อ และเซิร์ฟเวอร์ของ Microsoft จะผ่าน W3LL Panel และ W3LL Store ที่ทำหน้าที่เป็นระบบ backend

เป้าหมายคือการได้มาซึ่งคุกกี้เซสชันการ authentication ของเหยื่อ สำหรับวิธีนี้ W3LL Panel จำเป็นต้องดำเนินการหลายขั้นตอน ซึ่งรวมถึง:

ผ่านการตรวจสอบ CAPTCHA
ตั้งค่าหน้าการเข้าสู่ระบบที่ปลอมแปลงให้เหมือนจริง
ตรวจสอบบัญชีของเหยื่อ
ได้มาซึ่งอัตลักษณ์ขององค์กรเป้าหมาย (เช่น ชื่อแบรนด์, โลโก้ฯ)
รับคุกกี้สำหรับการเข้าสู่ระบบ
ระบุประเภทของบัญชี
ตรวจสอบรหัสผ่าน
รับรหัสผ่านแบบใช้ครั้งเดียว (OTP)
รับคุกกี้เซสชันที่ผ่านการ authentication
หลังจากที่ W3LL Panel ได้รับคุกกี้เซสชันที่ผ่านการ authentication แล้ว บัญชีจะถูกเข้าถึงได้ และเหยื่อจะเห็นเอกสาร PDF เพื่อทำให้ดูเหมือนการเข้าสู่ระบบนั้นถูกต้อง

ขั้นตอนการค้นหาบัญชี

เมื่อใช้ CONTOOL ผู้โจมตีสามารถทำให้การค้นหาอีเมล, เบอร์โทรศัพท์, ไฟล์แนบ, เอกสาร, หรือ URL ที่เหยื่อใช้โดยอัตโนมัติ ซึ่งอาจช่วยในการโจมตีไปยังระบบอื่น ๆ

เครื่องมือนี้ยังสามารถตรวจสอบ กรอง และแก้ไขอีเมลที่เข้ามาได้ รวมทั้งรับการแจ้งเตือนผ่านบัญชี Telegram โดยขึ้นอยู่กับ keywords ที่ระบุไว้

ตามรายงานของ Group-IB ผลลัพธ์ทั่วไปของการโจมตีคือ :

การขโมยข้อมูล
ใบแจ้งหนี้ปลอมที่มีข้อมูลการชำระเงินของผู้โจมตี
การปลอมตัวเป็นบริการเพื่อส่งคำขอชำระเงินปลอมให้กับลูกค้า
Classic BEC fraud - เพื่อเข้าถึงผู้บริหารระดับสูง และดำเนินการเพื่อสั่งให้พนักงานโอนเงิน หรือซื้อสินค้า
แพร่กระจายมัลแวร์
การทำเงินของกลุ่ม W3LL

รายงานของ Group-IB ได้ศึกษาลึกลงไปในฟังก์ชันของ W3LL Panel โดยอธิบายในระดับเทคนิคว่าคุณสมบัติบางอย่างทำงานอย่างไรเพื่อให้บรรลุเป้าหมายที่ตั้งไว้ ไม่ว่าจะเป็นการหลบเลี่ยงการตรวจจับ หรือการรวบรวมข้อมูล

โดยเป็นส่วนสำคัญที่มีค่าแก่ผู้พัฒนา และมีราคา 500 ดอลลาร์สหรัฐสำหรับการใช้งานระยะเวลา 3 เดือน และราคาต่ออายุ 150 ดอลลาร์สหรัฐฯ ต่อเดือน ซึ่งผู้ใช้จำเป็นต้องซื้อ license เพื่อเปิดใช้งานด้วยอีกด้วย

กลุ่มผู้โจมตี W3LL ก่อตั้งขึ้นเมื่อประมาณ 5 ปีที่แล้ว และมีแฮ็กเกอร์ใช้งานมากกว่า 500 คน โดยมีฟีเจอร์ให้เลือกใช้งานมากกว่า 12,000 รายการ

นอกจากเครื่องมือที่เกี่ยวข้องกับการโจมตีด้วยฟิชชิ่ง และ BEC ที่กล่าวมาแล้ว W3LL ยังให้บริการเข้าถึงบริการเว็ปไซต์ที่ถูกโจมตี (web shell, อีเมล, ระบบการจัดการเนื้อหา) และเซิร์ฟเวอร์ SSH และ RDP, บัญชีโฮสติ้ง และบริการคลาวด์, โดเมนอีเมลธุรกิจ, บัญชี VPN, และบัญชีอีเมลที่ถูกยึดครอง (hijacked email accounts) ให้บริการอีกด้วย

นักวิจัยจาก Group-IB รายงานว่า ระหว่างเดือนตุลาคม ปี 2022 ถึงกรกฎาคม ปี 2023 W3LL ขายเครื่องมือนี้ได้มากกว่า 3,800 รายการ โดยมีรายได้โดยประมาณมากกว่า 500,000 ดอลลาร์สหรัฐ

ที่มา : bleepingcomputer

เมื่อ 1 กันยายน 2023 ที่ผ่านมา Microsoft ประกาศว่าจะยกเลิก WordPad ด้วยการอัปเดต Windows ในอนาคต เนื่องจากไม่อยู่ในแผนการพัฒนาอีกต่อไป อย่างไรก็ตามบริษัทก็ยังไม่ได้ระบุระยะเวลาที่แน่นอนในการยกเลิก

WordPad เป็นแอปพลิเคชันแก้ไขข้อความพื้นฐานที่ให้ผู้ใช้งานสามารถสร้าง และแก้ไขเอกสารด้วยการจัดรูปแบบข้อความ รูปภาพ และลิงก์ไปยังไฟล์อื่น ๆ ได้ ซึ่งถูกติดตั้งโดยอัตโนมัติบน Windows ตั้งแต่ปี 1995 นับตั้งแต่มีการเปิดตัว Windows95 ทำให้ผู้ใช้งานมีโปรแกรมประมวลผลคำพื้นฐาน และโปรแกรมแก้ไขเอกสารที่ถูกรวมอยู่ในระบบปฏิบัติการ

โดย Microsoft เปิดเผยว่า WordPad จะไม่ได้รับการอัปเดตอีกต่อไป และจะถูกลบออกใน Windows รุ่นต่อ ๆ ไป และจะแนะนำให้ผู้ใช้งานใช้ Microsoft Word แทน สำหรับเอกสารข้อความแบบ Rich Text อย่างไฟล์ .doc และ .rtf และใช้ Notepad สำหรับเอกสารข้อความธรรมดาอย่างไฟล์ .txt สำหรับผู้ที่ไม่ต้องการเปิดไฟล์แบบ Rich Text

อย่างไรก็ตาม เรื่องดังกล่าวไม่ได้น่าแปลกใจ เนื่องจากโปรแกรมนี้ได้กลายเป็นฟีเจอร์เสริมของ Windows นับตั้งแต่ Windows 10 Insider Build 19551 ที่เปิดตัวในเดือนกุมภาพันธ์ 2020 และถึงแม้ว่าจะถูกติดตั้งตามค่าเริ่มต้นบน Windows แต่ก็สามารถถอนการติดตั้งออกได้โดยในเมนู Optional features ใน control panel

แม้จะไม่ได้มีการอธิบายจาก Microsoft ถึงสาเหตุของการเลิกใช้งาน WordPad แต่นักวิจัยเคยพบว่ามัลแวร์ Qbot เริ่มแพร่กระจายในคอมพิวเตอร์ และหลบเลี่ยงการตรวจจับด้วยวิธีการ DLL hijacking ใน WordPad บน Windows 10

โปรแกรม Paint จะถูกย้ายไปที่ Microsoft Store และ Cortana ก็กำลังจะถูกปิดตัวลง

เมื่อ 5 ปีที่แล้ว Microsoft ได้ประกาศว่าจะยกเลิกโปรแกรม Paint และจะถูกลบออกพร้อมกับการเปิดตัว Windows 10 Fall Creator's Update ในเดือนกรกฎาคม 2560 แต่หลังจากที่โปรแกรม Paint ได้รับการตอบรับอย่างล้นหลาม Microsoft ตัดสินใจไม่ยกเลิก และเปิดให้ใช้งานผ่าน Microsoft Store แทน

WordPad ก็เช่นกัน หากมีคนร้องขอเข้ามามากพอ Microsoft อาจจะย้าย WordPad ไปที่ App Store เพื่อเป็นทางเลือกการใช้งานในรูปแบบ Microsoft Office
และซอฟต์แวร์ที่มีความใกล้เคียงกันแต่มีฟีเจอร์น้อยกว่า

นอกจากนี้ บริษัทกำลังจะปิดตัว Cortana อย่างเป็นทางการในการ Windows 11 Canary preview builds ที่เปิดตัวในต้นเดือนสิงหาคม 2023 ซึ่งแอปดังกล่าวอยู่ในฐานะผู้ช่วยดิจิทัลของ Windows ที่เต็มไปด้วย Windows Copilot ที่ขับเคลื่อนด้วย AI ซึ่งเปิดตัวในระหว่างการประชุมใหญ่ Microsoft Build ในปีนี้

ที่มา: bleepingcomputer

นักวิจัยที่ Truesec บริษัทด้านความปลอดภัย พบแคมเปญการโจมตี phishing รูปแบบใหม่ ที่ใช้ Microsoft Teams messages ในการส่งไฟล์แนบที่เป็นอันตรายซึ่งติดตั้งมัลแวร์ DarkGate Loader เอาไว้ โดยพบว่าแคมเปญดังกล่าวได้เริ่มการโจมตีในเดือนสิงหาคม 2023 หลังจากที่พบข้อความฟิชชิ่งของ Microsoft Teams ถูกส่งโดยบัญชี external Office 365 accounts สองบัญชีไปยังองค์กรอื่น เพื่อให้ดาวน์โหลด และเปิดไฟล์ ZIP อันตราย (more…)

Cisco แจ้งเตือนช่องโหว่ CVE-2023-20269 ซึ่งเป็นช่องโหว่ Zero-day ใน Cisco Adaptive Security Appliance (ASA) และ Cisco Firepower Threat Defense (FTD) กำลังถูกกลุ่ม Ransomware ใช้ในการโจมตีเพื่อเข้าถึงระบบเครือข่ายของเป้าหมาย (more…)

ทีมวิจัยจากมหาวิทยาลัย Wisconsin-Madison ได้อัปโหลด Extension ** เพื่อทำการทดสอบลงใน Chrome Web Store ซึ่งเป็น Extension ที่สามารถขโมยรหัสผ่านแบบ plaintext จาก source code ของเว็ปไซต์ได้

โดยจากการตรวจสอบช่องป้อนข้อความในเว็ปเบราว์เซอร์พบว่า รูปแบบการอนุญาตแบบ coarse-grained ที่สนับสนุน Extension ของ Chrome ละเมิดหลักการ least privilege และ complete mediation

นอกจากนี้ นักวิจัยพบว่ามีเว็ปไซต์หลายแห่งที่มีผู้เยี่ยมชมนับล้านราย รวมถึง portal ของ Google และ Cloudflare ที่เก็บรหัสผ่านในรูปแบบข้อความภายในโค้ด HTML บนหน้าเว็ปของตน ทำให้ Extension สามารถดึงข้อมูลเหล่านี้ได้

แหล่งที่มาของปัญหา

นักวิจัยอธิบายว่าปัญหานี้เกี่ยวกับ systemic practice ที่ให้ Extension ของเบราว์เซอร์สามารถเข้าถึง DOM tree ของเว็ปไซต์ที่โหลดโดยไม่มีข้อจำกัด ซึ่งช่วยให้เข้าถึงองค์ประกอบที่อาจมีความสำคัญ เช่น ช่องป้อนข้อมูลของผู้ใช้

เนื่องจากไม่มีขอบเขตด้านความปลอดภัยระหว่าง Extension กับองค์ประกอบของไซต์ Extension จึงสามารถเข้าถึงข้อมูลใน source code และสามารถดึงข้อมูลออกมาได้

นอกจากนี้ Extension อาจนำ DOM API มาใช้เพื่อดึงข้อมูลโดยตรงในขณะที่ผู้ใช้ป้อนข้อมูล โดยการ bypass การป้องกันข้อมูลที่มีความสำคัญ และขโมยข้อมูลออกมาได้

โปรโตคอล Manifest V3 ที่ Google Chrome แนะนำ และนำมาใช้โดยเบราว์เซอร์ส่วนใหญ่ในปีนี้ จะมีการจำกัดการใช้งาน API ที่ไม่เหมาะสม โดยห้าม Extension เรียกใช้งานโค้ดจากภายนอกที่จะช่วยในการหลีกเลี่ยงการตรวจจับ และป้องกันการใช้คำสั่ง eval ที่อาจนำไปสู่การเรียกใช้โค้ดได้ตามที่ต้องการ

อย่างไรก็ตาม นักวิจัยระบุว่า Manifest V3 ไม่ได้กำหนดขอบเขตด้านความปลอดภัยระหว่าง Extension และหน้าเว็ปไซต์ ดังนั้นปัญหาที่เกี่ยวข้องกับ content scripts ยังคงอยู่

การอัปโหลด PoC บน Web Store

เพื่อทดสอบกระบวนการตรวจสอบของ Google Web Store นักวิจัยตัดสินใจสร้าง Extension บน Chrome ที่สามารถโจมตีด้วยวิธีการ password-grabbing และพยายามอัปโหลดไปยังแพลตฟอร์ม

นักวิจัยได้สร้างส่วนขยายที่สวมรอยเป็น GPT-based assistant ซึ่งสามารถ :

1. แคปเจอร์ HTML source code เมื่อผู้ใช้พยายามเข้าสู่ระบบบนเพจโดยใช้ regex
2. ละเมิด CSS selectors เพื่อเลือกช่องป้อนข้อมูลเป้าหมาย และดึงเอาข้อมูลของผู้ใช้โดยใช้ฟังก์ชัน '.value'
3. ดำเนินการแทนที่องค์ประกอบเพื่อแทนที่ฟิลด์ที่ถูกเข้ารหัสด้วย JS ด้วยฟิลด์รหัสผ่านที่ไม่ปลอดภัย

Extension นี้ไม่มีโค้ดที่เป็นอันตรายอย่างเห็นได้ชัด ดังนั้นมันจึงสามารถหลีกเลี่ยงการตรวจสอบ และไม่เรียกใช้งานโค้ดจากแหล่งภายนอก (dynamic injection) ดังนั้นจึงสอดคล้องกับ Manifest V3

จากสาเหตนี้ส่งผลให้ Extension ผ่านการตรวจสอบ และได้รับการยอมรับบน Google Chrome Web Store ดังนั้นการตรวจสอบความปลอดภัยจึงไม่สามารถตรวจจับภัยคุกคามที่อาจเกิดขึ้นได้

ทีมงานได้ปฏิบัติตามมาตรฐานเพื่อให้แน่ใจว่าไม่มีข้อมูลจริงใด ๆ ถูกเก็บรวบรวม หรือนำไปใช้โดยที่ไม่เหมาะสม โดยปิดใช้งานเซิร์ฟเวอร์ในการรับข้อมูลในขณะที่ยังคงใช้งานเซิร์ฟเวอร์ที่เน้นการเข้าถึงองค์ประกอบเท่านั้น

นอกจากนี้ Extension ถูกตั้งค่าเป็น "ไม่เผยแพร่" ตลอดเวลาเพื่อไม่ให้มีการดาวน์โหลดจำนวนมาก และถูกลบออกจาก Google Chrome Web Store ทันทีหลังจากได้รับการอนุมัติ

ศักยภาพในการใช้ประโยชน์

การวัดผลภายหลังแสดงให้เห็นว่าจากเว็ปไซต์ 10,000 อันดับแรก (ตาม Tranco) ประมาณ 1,100 เว็ปไซต์เก็บรหัสผ่านของผู้ใช้ในรูปแบบ plaintext ภายใน HTML DOM

เว็ปไซต์อีก 7,300 แห่งจากชุดเดียวถือว่ามีความเสี่ยงต่อการเข้าถึง DOM API และการดึงค่าข้อมูลของผู้ใช้โดยตรง

เว็ปไซต์ที่มีการเข้าชมสูง และมีความเสี่ยงต่อการโจมตี (arxiv.

กลุ่มแฮ็กเกอร์ Desorden อ้างว่าสามารถขโมยข้อมูลขนาด 198GB ได้สำเร็จจากบริษัท AIS ผู้ให้บริการโทรคมนาคมที่ใหญ่ที่สุดในประเทศไทย

โดยกลุ่ม Desorden ระบุว่า ได้ทำการโจมตี และขโมยข้อมูลของบริษัทแอดวานซ์ อินโฟร์ เซอร์วิส จำกัด (มหาชน) ผู้ให้บริการเครือข่ายโทรศัพท์มือถือ และอินเทอร์เน็ตในประเทศไทยในเดือนสิงหาคมที่ผ่านมา ซึ่ง AIS ถือเป็นบริษัทจดทะเบียนในตลาดหลักทรัพย์แห่งประเทศไทยอีกด้วย โดยอ้างว่าเป็นการโจมตีด้วยการเจาะระบบเซิร์ฟเวอร์ PBX ของ AIS และขโมยฐานข้อมูล กับข้อมูลของลูกค้าออกมาได้

ข้อมูลที่ Desorden อ้างว่าได้จากการโจมตี AIS ประเทศไทย

1. ไฟล์เสียงบันทึกเสียง (wav files)
2. บันทึกการโทรเข้า จำนวน 7.2 ล้านรายการ
3. บันทึกการโทรออกของลูกค้าองค์กร จำนวน 8.1 ล้านรายการ

Desorden ได้ยกตัวอย่างกลุ่มลูกค้าองค์กรบางส่วนที่ถูกเข้าถึงข้อมูล เช่น Asian Property, Loreal, SC Assets, DHL, Lazada, SCG, Unilever, Singer Thai, Jaymart, Central Group, Kerry Logistics, AIG Insurance, Exxon Mobil เป็นต้น และยังนำตัวอย่างข้อมูลที่ถูกแฮ็กในระหว่างการโจมตี AIS แพลตฟอร์ม Threat Intelligence ชื่อ Falcon Feeds รวมถึงยังได้ทำการทวีตภาพหน้าจอดังกล่าวจากฟอรัมของแฮ็กเกอร์พร้อมกับข้อมูลตัวอย่างที่ถูกเบลอไว้ และยังโพสต์บน Twitter ว่า AIS เคยประสบปัญหาข้อมูลรั่วไหลในปี 2020 แต่ข่าวนี้ยังไม่ได้รับการยืนยันอย่างเป็นทางการ

เบอร์โทรศัพท์ของคนไทยจำนวน 1000 หมายเลขถูกใช้ในการหลอกลวง

ในรายงานปี 2022 จาก The Nation บริษัท Advanced Info Service เปิดเผยว่ามีหมายเลขโทรศัพท์มากกว่า 1,000 หมายเลขของบริษัทถูกมิจฉาชีพนำมาใช้ในการฉ้อโกง และการโจรกรรม

จากเหตุการณ์ดังกล่าวทาง AIS เปิดให้บริการ AIS Spam Report Center hotline ที่เบอร์ 1185 เพื่อแจ้งเหตุการณ์ดังกล่าว

The Nation ระบุว่า ลูกค้า AIS ได้มีแจ้งเหตุการณ์การโทร และข้อความที่น่าสงสัยจำนวนมาก ทางศูนย์บริการได้ติดตามหมายเลขมากกว่า 1,000 หมายเลขไปยังมิจฉาชีพที่ถูกกล่าวหา

พล.ต.ท.กรไชย คล้ายคลึง ผู้ช่วยผู้บัญชาการตำรวจแห่งชาติระบุว่า บริการนี้ของ AIS ได้กระตุ้นให้บริษัทเอกชนอื่น ๆ ร่วมมือกับตำรวจเพื่อต่อต้านมิจฉาชีพอย่างแก๊งคอลเซ็นเตอร์

นับตั้งแต่นั้นเป็นต้นมา AIS ประเทศไทยได้เข้าร่วมโครงการด้านไซเบอร์หลายโครงการ เช่น โครงการ Aunjai Cyber ซึ่งเผยแพร่วิดีโอให้ความรู้สั้น ๆ แก่ประชาชนเพื่ออธิบายการโจมตีทางไซเบอร์ และวิธีการป้องกันการโจมตีทางไซเบอร์

โดยแคมเปญล่าสุดนี้ดำเนินภายใต้ธีม “Wisdom to Survive” มุ่งเน้นการให้ความคุ้มครองเพิ่มเติมให้กับผู้คนเพื่อเผชิญกับความท้าทายต่าง ๆ ที่เกิดขึ้นจากความเสี่ยงทางไซเบอร์ โดยวิดีโอสั้น ๆ ได้รับการออกแบบตามธีมคอมเมดี้ และสยองขวัญที่ตัวละครแสดงเป็นเหยื่อของอาชญากรรมในโลกไซเบอร์

การโจมตีทางไซเบอร์โดย Desorden

เหตุการณ์ก่อนหน้านี้ Desorden สามารถขโมยข้อมูล Know Your Customer (KYC) จากลูกค้าของ The Icon Group ในประเทศไทยในช่วงปี 2022 ประมาณ 70,000 รายการ

นอกจากนี้ ในปี 2021 เว็บไซต์ของ Centara Hotels & Resorts ในประเทศไทยก็เคยตกเป็นเหยื่อการโจรกรรมข้อมูลสองครั้งโดยกลุ่ม Desorden ซึ่งส่งผลให้เกิดการขโมยไฟล์ขนาด 400GB ที่เก็บข้อมูลส่วนบุคคลของลูกค้าภายในระยะเวลาเพียง 10 วัน

Desorden ทำการแฮ็ก Acer ในประเทศอินเดีย และไต้หวันในปี 2021 สองครั้งในสัปดาห์เดียวกันซึ่งส่งผลให้ข้อมูลผู้ใช้ในอินเดียถูกละเมิด

ทาง Acer ได้แสดงจุดยืนที่ชัดเจนต่อ Desorden ในแถลงการณ์ว่า “จะไม่เจรจา และนโยบายของบริษัทคือจะไม่ยอมจ่ายค่าไถ่ให้กับแฮ็กเกอร์”

โดยในวันที่ 7 กันยายน 2023 ทาง AIS ได้ออกมาชี้แจงแล้วว่า

บริษัท แอดวานซ์ ไวร์เลส เน็ทเวอร์ค จำกัด (AWN) ในกลุ่มของเอไอเอส ได้รับแจ้งจากบริษัท ไอซอฟเทล (ประเทศไทย) จำกัด (ไอซอฟเทล) ผู้ให้บริการระบบ Mobile PBX แก่ลูกค้าบริษัทนิติบุคคลของ AWN ว่า มีการเข้าถึงข้อมูลสารสนเทศในระบบดังกล่าวโดยไม่ชอบด้วยกฎหมาย และโดยไม่ได้รับอนุญาต ซึ่งหลังจากได้รับแจ้ง AWN ไม่ได้นิ่งนอนใจกับเหตุการณ์ที่เกิดขึ้น และได้เร่งทำงานร่วมกับไอซอฟเทล และผู้เชี่ยวชาญในการตรวจสอบข้อมูลที่ถูกอ้างถึงอย่างเร่งด่วน ซึ่งในเบื้องต้นกรณีนี้ ไม่เกี่ยวข้องกับระบบฐานข้อมูล และบริการของลูกค้าทั่วไป รวมทั้งลูกค้านิติบุคคลอื่น ๆ ของ AWN ที่ไม่ได้ใช้บริการ Mobile PBX

ที่มา : thecyberexpress

Freecycle เป็นฟอรัมออนไลน์ที่มุ่งเน้นการแลกเปลี่ยนสิ่งของที่ใช้แล้วแทนที่จะทิ้งให้เป็นขยะ ยืนยันเหตุการณ์ข้อมูลรั่วไหลที่ส่งผลกระทบต่อผู้ใช้งานมากกว่า 7 ล้านคน

Freecycle พบว่ามีข้อมูลรั่วไหลเมื่อวันพุธที่ผ่านมา (30 สิงหาคม 2023) ไม่กี่สัปดาห์หลังจากที่ผู้โจมตีนำข้อมูลที่ถูกขโมยไปขายใน hacking forum เมื่อวันที่ 30 พฤษภาคม โดย Freecycle แจ้งเตือนผู้ใช้งานที่ได้รับผลกระทบให้เปลี่ยนรหัสผ่านทันที (more…)