Citizen Lab หน่วยงานวิจัยด้านความปลอดภัยรายงานว่า Apple ได้ทำการแก้ไขช่องโหว่ zero-day ด้วยการออกแพตซ์อัปเดตเร่งด่วนเพื่อป้องกันการโจมตีโดยใช้ช่องโหว่ zero-day ของ Pegasus spyware ที่ถูกใช้โดยกลุ่ม NSO เพื่อเข้าถึง iPhone ของเป้าหมาย โดยช่องโหว่ที่ถูกใช้ในการโจมตีครั้งนี้คือ CVE-2023-41064 และ CVE-2023-41061 ซึ่งจะโจมตีไปยัง iPhone ที่ใช้ iOS 16.6 ผ่านไฟล์แนบ PassKit ที่มีภาพที่เป็นอันตราย ที่ส่งจากบัญชี iMessage ของ Hacker ไปยังเหยื่อ โดยที่เหยื่อไม่ต้องตอบสนองใด ๆ (zero-click) ที่มีชื่อว่า “BLASTPASS” ทั้งนี้ทางนักวิจัยด้านความปลอดภัยของ Apple และ Citizen Lab ได้ค้นพบช่องโหว่ zero-day ใน Image I/O และ Wallet framework (more…)

กลุ่ม Rhysida ransomware ได้ออกมาแสดงความรับผิดชอบต่อการโจมตีทางไซเบอร์ครั้งใหญ่ต่อ Prospect Medical Holdings โดยอ้างว่าได้ขโมยหมายเลขประกันสังคม, เอกสารของบริษัท และบันทึกผู้ป่วยกว่า 500,000 รายการ ซึ่งเชื่อว่าเหตุการณ์ดังกล่าวเกิดขึ้นเมื่อวันที่ 3 สิงหาคม โดยพนักงานของบริษัทได้พบข้อความเรียกค่าไถ่บนหน้าจอที่ระบุว่าเครือข่ายถูกแฮ็ก และอุปกรณ์ถูกเข้ารหัส (more…)

Okta บริษัทจัดการข้อมูลประจำตัว และการเข้าถึงข้อมูล ออกมาแจ้งเตือนการโจมตีรูปแบบ Social Engineering ที่มีการกำหนดเป้าหมายไปที่ฝ่าย IT service desk ในสหรัฐอเมริกา โดยมีการพยายามหลอกให้พวกเขารีเซ็ต multi-factor authentication (MFA) ของผู้ใช้งานที่มีสิทธิ์สูง ซึ่งเป้าหมายของผู้โจมตีคือขโมย Super Administrator ที่มีสิทธิ์สูง เพื่อเข้าถึง และใช้ข้อมูลส่วนตัวของผู้ที่ถูกโจมตีมาแอบอ้าง (more…)

LogicMonitor บริษัทด้านการตรวจสอบเครือข่ายที่มีผู้ใช้งานมากกว่า 25,000 ราย ออกมายอมรับว่าพบผู้ใช้งานแพลตฟอร์ม SaaS บางรายตกเป็นเหยื่อของการโจมตีทางไซเบอร์ ซึ่งผู้ใช้งานที่ถูกโจมตีมีเพียงไม่กี่ราย และในขณะนี้ทางบริษัทกำลังดำเนินการจัดการกับเหตุการณ์ด้านความปลอดภัยที่ส่งผลกระทบต่อลูกค้า (more…)

ชุดสาธิตการโจมตีช่องโหว่ Proof-of-Concept (PoC) ของช่องโหว่ VMware SSH auth bypass ในเครื่องมือวิเคราะห์ Aria Operations for Networks ของ VMware (เดิมชื่อ vRealize Network Insight) ซึ่งมีความรุนแรงระดับ critical ได้ถูกเผยแพร่ออกมาแล้ว

CVE-2023-34039 หรือช่องโหว่ VMware SSH auth bypass (คะแนน CVSS 9.8 ความรุนแรงระดับ critical ) เป็นช่องโหว่การหลีกเลี่ยงการยืนยันตัวตนผ่าน SSH และทำให้สามารถโจมตีได้จากภายนอก ถูกพบโดยนักวิเคราะห์ความปลอดภัยที่ ProjectDiscovery Research ซึ่งส่งผลกระทบต่อ Aria Operations for Networks เวอร์ชัน 6.2 / 6.3 / 6.4 / 6.5.1 / 6.6 / 6.7 / 6.8 / 6.9 / 6.10 โดยต่อมาได้รับการแก้ไขแล้วโดย VMware ในเวอร์ชัน 6.11 (more…)

การโจมตี phishing รอบใหม่ที่มุ่งเป้าการโจมตีไปที่กลุ่ม civil society ในเกาหลีใต้ นำไปสู่การค้นพบโทรจันตัวใหม่ที่ชื่อว่า SuperBear

Interlabs ระบุในรายงานว่า การโจมตีดังกล่าวได้มุ่งเป้าไปที่นักเคลื่อนไหวคนหนึ่ง ที่ได้รับการติดต่อในช่วงปลายเดือนสิงหาคม 2023 และได้รับไฟล์ LNK ที่เป็นอันตรายจากผู้ที่แอบอ้างเป็นสมาชิกขององค์กร

เมื่อไฟล์ LNK ถูกเรียกใช้งาน มันจะรันคำสั่ง PowerShell เพื่อเรียกใช้สคริปต์ Visual Basic ซึ่งจะดึงเอา payloads การโจมตีถัดไปจากเว็บไซต์ WordPress ที่ถูกโจมตี

ซึ่งประกอบไปด้วยไฟล์ไบนารี Autoit3.exe ("solmir.

นักวิจัยพบว่าผู้โจมตีกำลังใช้ประโยชน์จาก Microsoft SQL (MS SQL) เซิร์ฟเวอร์ที่มีช่องโหว่ เพื่อติดตั้ง Cobalt Strike และ ransomware ที่ชื่อว่า FreeWorld

นักวิจัยด้านความปลอดภัย Den Iuzvyk, Tim Peck และ Oleg Kolesnikov จากบริษัทรักษาความปลอดภัยทางไซเบอร์ Securonix พบแคมเปญการโจมตีที่ชื่อว่า DB#JAMMER ซึ่งแคมเปญการโจมตีดังกล่าวมีการใช้งานชุดเครื่องมือ และโครงสร้างพื้นฐาน เช่น enumeration software, RAT payloads, exploitation, credential stealing software และสุดท้ายคือ ransomware payloads ที่ดูเหมือนว่าเป็นเวอร์ชันใหม่ของ Mimic ransomware ที่ชื่อว่า FreeWorld

การเข้าถึงโฮสต์เบื้องต้นของเหยื่อทำได้โดยการ brute-forcing MS SQL server เพื่อใช้ในการเข้าถึงข้อมูล และใช้ xp_cmdshell เพื่อรันคำสั่ง shell และสแกนหาช่องโหว่บนระบบ

ขั้นตอนต่อไปคือ การดำเนินการเพื่อแฝงตัวบนระบบของเหยื่อ โดยการเชื่อมต่อกลับไปยัง SMB server ภายนอก เพื่อรับส่งไฟล์จากระบบของเหยื่อ รวมถึงติดตั้งเครื่องมือที่เป็นอันตราย เช่น Cobalt Strike

ซึ่งเป็นการปูทางสำหรับการแพร่กระจายซอฟต์แวร์ AnyDesk เพื่อทำการติดตั้ง FreeWorld ransomware ในที่สุด แต่ก่อนหน้านั้นพบว่าผู้โจมตีพยายามโจมตีผ่านทาง RDP ด้วยการใช้ Ngrok Service แต่ไม่สำเร็จ

เนื่องจากจุดเริ่มต้นของการโจมตีเริ่มจากการพยายาม brute force MS SQL server แสดงให้เห็นถึงความสำคัญในการตั้งรหัสผ่านให้ปลอดภัย โดยเฉพาะระบบที่จำเป็นต้องเปิดให้เข้าถึงจากภายนอก

รายงานดังกล่าวเกิดขึ้นภายหลังจากที่กลุ่ม Rhysida ransomware อ้างว่าได้โจมตีเหยื่อไปกว่า 41 ราย โดยมากกว่าครึ่งหนึ่งอยู่ในยุโรป

Rhysida เป็นหนึ่งในกลุ่มแรนซัมแวร์สายพันธุ์ใหม่ที่ถูกพบในเดือนพฤษภาคม 2023 โดยนำวิธีการที่ได้รับความนิยมในการเข้ารหัส และขโมยข้อมูลที่มีความสำคัญจากองค์กรต่าง ๆ และขู่ว่าจะปล่อยข้อมูลออกสู่สาธารณะหากเหยื่อปฏิเสธที่จะจ่ายเงิน

นอกจากนี้นักวิจัยจาก EclecticIQ ยังปล่อยเครื่องมือถอดรหัสฟรีสําหรับ ransomware ที่ชื่อว่า Key Group เนื่องจากข้อผิดพลาดในการเข้ารหัสหลายครั้งในโปรแกรม อย่างไรก็ตามเครื่องมือถอดรหัสดังกล่าว ใช้งานได้กับ ransomware ที่ compiled หลังจากวันที่ 3 สิงหาคม 2023 เท่านั้น

ปี 2023 พบการโจมตีจาก ransomware มากขึ้น ภายหลังจากหยุดนิ่งไปในปี 2022 ถึงแม้ว่าเปอร์เซ็นต์ของเหตุการณ์ที่ทําให้เหยื่อยอมจ่ายเงินจะลดลงถึง 34% ตามสถิติที่รายงานโดย Coveware ในเดือนกรกฎาคม 2023

ในทางกลับกันจํานวนเงินค่าไถ่ที่เหยื่อยอมจ่ายนั้นสูงถึง $740,144 เพิ่มขึ้น 126% จากไตรมาสที่ 1 ปี 2023

ที่มา : thehackernews

พบ Hacker ที่ได้รับการสนับสนุนจากรัฐบาลเกาหลีเหนือ เป็นผู้อยู่เบื้องหลังแคมเปญการโจมตี VMConnect PyPI ที่เลียนแบบ VMware vSphere connector module vConnector โดยได้อัปโหลดไปยัง PyPI (Python Package Index) repository packages

โดย VMConnect PyPI ที่เป็นอันตรายได้ถูกอัปโหลดในเดือนสิงหาคม 2023 ซึ่งได้มุ่งเป้าหมายการโจมตีไปยังผู้เชี่ยวชาญด้านไอที ที่กำลังมองหาเครื่องมือ virtualization tool ซึ่งก่อนที่ Package ดังกล่าวจะถูกลบออกไป พบว่ามีการดาวน์โหลด 237 ครั้ง และมีการดาวน์โหลดแพ็กเกจอีก 2 แพ็กเกจที่มีโค้ดเดียวกันซึ่งเผยแพร่ด้วยชื่อ 'ethter' มีการดาวน์โหลด 253 ครั้ง และ 'quantiumbase' มีการดาวน์โหลด 216 ครั้ง (more…)

ทีมตอบสนองเหตุภัยคุกคามทางคอมพิวเตอร์ของญี่ปุ่น (JPCERT) แชร์รูปแบบการโจมตี 'MalDoc in PDF' รูปแบบใหม่ที่ตรวจพบในเดือนกรกฎาคม 2023 ซึ่งสามารถหลีกเลี่ยงการตรวจจับได้โดยการฝังไฟล์ Word ที่เป็นอันตรายลงในไฟล์ PDF

ไฟล์ตัวอย่างที่ถูกวิเคราะห์โดย JPCERT เป็นไฟล์ polyglot ที่เครื่องมือการสแกนส่วนใหญ่รู้จักในรูปแบบ PDF แต่แอปพลิเคชัน Office ก็สามารถเปิดเป็นเอกสาร Word ปกติ (.doc) ได้

Polyglots เป็นไฟล์ที่มีรูปแบบไฟล์ที่แตกต่างกันสองรูปแบบ ซึ่งสามารถตีความ และดำเนินการเป็นไฟล์ได้มากกว่าหนึ่งประเภท ขึ้นอยู่กับแอปพลิเคชันที่อ่าน/เปิดไฟล์เหล่านั้น

ตัวอย่างเช่น เอกสารที่เป็นอันตรายในแคมเปญนี้เป็นการผสมระหว่างไฟล์ PDF และ Word documents ซึ่งสามารถเปิดได้ในทั้งรูปแบบไฟล์ทั้งสอง

โดยทั่วไปแล้วผู้โจมตีใช้ polyglots เพื่อหลบเลี่ยงการตรวจจับ หรือทำให้เครื่องมือวิเคราะไม่สามารถทำงานได้อย่างเต็มประสิทธิภาพ เนื่องจากไฟล์เหล่านี้อาจดูเหมือนไม่มีความอันตรายในรูปแบบหนึ่ง ในขณะที่ซ่อน code ที่เป็นอันตรายในอีกรูปแบบหนึ่งได้

ในกรณีนี้ PDF document ประกอบด้วย Word document ที่มี VBS macro เพื่อดาวน์โหลด และติดตั้งไฟล์มัลแวร์ MSI หากไฟล์ถูกเปิดในรูปแบบ .doc ใน Microsoft Office อย่างไรก็ตาม Japan CERT ไม่ได้เปิดเผยรายละเอียดเกี่ยวกับประเภทของมัลแวร์ที่ถูกติดตั้ง

อย่างไรก็ตามเป็นที่น่าสังเกตว่า MalDoc ในรูปแบบ PDF ไม่สามารถ bypass การตั้งค่าความปลอดภัยที่ปิดการทำงานอัตโนมัติของ macros บน Microsoft Office ได้ ดังนั้นมาตรการนี้ของ Microsoft Office ยังถือว่าเพียงพอในการป้องกันการโจมตี ซึ่งหาก MalDoc จะทำงานได้ ผู้ใช้งานจำเป็นต้องปิดการตั้งค่าความปลอดภัยด้วยตนเองโดยการคลิกที่ปุ่มที่เกี่ยวข้อง หรือยกเลิกการบล็อกไฟล์

JPCERT ได้เผยแพร่วิดีโอต่อไปนี้บน YouTube เพื่อสาธิตว่า MalDoc ในรูปแบบไฟล์ PDF ทำงานบน Windows อย่างไร

ตัวอย่าง MalDoc ในรูปแบบ PDF : hxxps://www[.]youtube.

ข้อมูลที่ถูกพบล่าสุดแสดงให้เห็นว่าผู้โจมตีสามารถใช้ประโยชน์จากเทคนิคการหลบเลี่ยงการตรวจจับมัลเเวร์ และ bypass endpoint security solutions โดยการปรับเเต่ง Windows Container Isolation Framework

การค้นพบนี้ถูกนำเสนอโดย Daniel Avinoam นักวิจัยด้านความปลอดภัยของ Deep Instinct ในการประชุมด้านความปลอดภัย DEF CON ที่จัดขึ้นเมื่อต้นเดือนที่ผ่านมา

โครงสร้างของ Microsoft container (และที่เกี่ยวข้องกับ Windows Sandbox) ใช้สิ่งที่เรียกว่า dynamically generated image เพื่อแยก file system ของแต่ละ container ไปยังโฮสต์ และในเวลาเดียวกันจะหลีกเลี่ยงการทำซ้ำของ file system

โดยมันเป็นเพียง "operating system image ที่มี clean copies ของไฟล์ที่สามารถเปลี่ยนแปลงได้ แต่เป็นลิงก์ไปยังไฟล์ที่ไม่สามารถเปลี่ยนแปลงได้ซึ่งอยู่ในอิมเมจ Windows ที่มีอยู่แล้วบนโฮสต์" จึงทำให้ขนาดโดยรวมของระบบปฏิบัติการเต็มลดลง

Avinoam ระบุในรายงานที่แชร์กับ The Hacker News ว่า "ผลลัพธ์ที่ได้คือ images ที่มี 'ghost files' ซึ่งไม่ได้เก็บข้อมูลจริง แต่จะชี้ไปยัง volume ที่แตกต่างกันของระบบ" ในจุดนี้จึงทำให้เกิดความคิดว่า จะเป็นอย่างไรถ้าสามารถใช้ redirection mechanism เพื่อซ่อนรายละเอียดกับ file system operation และทำให้เครื่องมือด้านความปลอดภัยไม่สามารถตรวจจับได้

นี่คือจุดที่ไดรเวอร์ minifilter ของ Windows Container Isolation FS (wcifs.