Apple ประกาศว่านักวิจัยด้านความปลอดภัยของ iOS สามารถสมัครขอรับ Security Research Device (SRD) หรืออุปกรณ์วิจัยความปลอดภัยได้ภายในสิ้นเดือนตุลาคมนี้

SRD คือ iPhone 14 Pro ที่มีคุณสมบัติด้านความปลอดภัยที่ถูกปิดการใช้งาน และการเข้าถึง shell access ซึ่งทำให้การวิจัยช่องโหว่เป็นไปได้บนแพลตฟอร์มที่ถูกล็อคของ Apple (more…)

พบช่องโหว่ระดับ critical ใน VMware Aria Operations for Networks (เดิมเรียกว่า vRealize Network Insight) ซึ่งอาจทำให้ผู้โจมตีจากภายนอกสามารถ bypass SSH authentication และเข้าถึง private endpoints ได้

VMware Aria เป็นชุดโปรแกรมสำหรับการจัดการ และตรวจสอบ virtualized environments และ hybrid clouds, IT Automation, การจัดการ log, การสร้างข้อมูลวิเคราะห์, Network visibility, การรักษาความปลอดภัย และจัดสรรการวางแผนการใช้ทรัพยากร และการจัดการขอบเขตการทำงานทั้งหมด

เมื่อวันอังคารที่ผ่านมา VMware ได้เผยแพร่คำเตือนด้านความปลอดภัยเกี่ยวกับช่องโหว่ที่ส่งผลกระทบต่อ Aria เวอร์ชัน 6.x ทั้งหมด

ช่องโหว่ดังกล่าวถูกพบโดยนักวิเคราะห์จาก ProjectDiscovery Research ซึ่งมีหมายเลข CVE-2023-34039 และได้รับ CVSS v3: 9.8 ซึ่งถือว่าเป็นช่องโหว่ระดับ "critical"

"การแจ้งเตือนจาก VMware เกี่ยวกับช่องโหว่นั้นระบุว่า Aria Operations for Networks มีช่องโหว่ในการ Authentication Bypass เนื่องจากขาดการสร้าง Unique cryptographic key"

ผู้โจมตีที่เข้าถึงเครือข่ายไปยัง Aria Operations for Networks อาจสามารถ bypass SSH authentication เพื่อเข้าถึง Aria Operations for Networks CLI ได้

การใช้ประโยชน์จากช่องโหว่ CVE-2023-34039 อาจส่งผลให้เกิดการถูกขโมยข้อมูล, การแก้ไขข้อมูลผ่าน command line interface ของบริการ และอาจส่งผลให้เกิดความขัดข้องในระบบเครือข่าย, การแก้ไขการกำหนดค่า, การติดตั้งมัลแวร์ และการโจมตีต่อไปยังระบบอื่น ๆ ภายในเครือข่าย ขึ้นอยู่กับการกำหนดค่าไว้บนระบบ

VMware ยังไม่ได้ให้คำแนะนำ หรือการแก้ไขปัญหาชั่วคราวในกรณีที่ยังไม่สามารถอัปเดตได้ ดังนั้นวิธีการเดียวในการแก้ไขช่องโหว่ คือการอัปเกรดเป็นเวอร์ชัน 6.11 หรือใช้แพตช์ KB94152 บนเวอร์ชันก่อนหน้านี้

ช่องโหว่ที่สองที่มีความรุนแรงระดับ high (CVSS v3: 7.2) ได้รับการแก้ไขโดยแพตช์เดียวกันคือ CVE-2023-20890 ซึ่งเป็นช่องโหว่เกี่ยวกับการเขียนไฟล์ที่ไม่เกี่ยวข้อง อาจทำให้ผู้โจมตีที่มีสิทธิ์ administrative สามารถสั่งรันโค้ดจากระยะไกลได้

เนื่องจากซอฟต์แวร์นี้มักถูกใช้ในองค์กรขนาดใหญ่ แฮ็กเกอร์จึงอาจใช้ประโยชน์จากช่องโหว่นี้ทำให้ส่งผลกระทบต่อระบบได้

ในเดือนมิถุนายน 2023 VMware ได้แจ้งเตือนผู้ใช้งานเกี่ยวกับการใช้ประโยชน์จากช่องโหว่ CVE-2023-20887 ซึ่งเป็นช่องโหว่ในการเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกลที่ส่งผลกระทบต่อ Aria Operations for Networks

มีการ Scan และค้นหาช่องโหว่ภายในหนึ่งสัปดาห์ หลังจากที่ VMware ออกอัปเดตแพตซ์ความปลอดภัย และเพียงสองวันหลังจากที่มีการเผยแพร่ PoC (proof of concept) ออกมา

ที่มา : bleepingcomputer

Pôle emploi เป็นหน่วยงานด้านการลงทะเบียนการว่างงานของรัฐบาลฝรั่งเศส และหน่วยงานให้ความช่วยเหลือทางการเงิน ได้ออกมาประกาศเรื่องข้อมูลของผู้ใช้งานกว่า 10 ล้านรายรั่วไหลออกสู่สาธารณะ

โดยหน่วยงานไม่ได้ระบุจำนวนผู้ได้รับผลกระทบ แต่ตามรายงานของ Parisian คาดว่ามีผู้ได้รับผลกระทบจำนวน 10 ล้านราย ซึ่งมีข้อเท็จจริงมาจากการที่ในเดือนกุมภาพันธ์ 2022 มีผู้ใช้งาน 6 ล้านราย ได้ลงทะเบียนกับศูนย์จัดหางาน 1 ใน 900 แห่งใน Pôle emploi และอีก 4 ล้านราย ได้ลงทะเบียนมาก่อนเป็นเวลา 12 เดือนก่อนการถูกโจมตี โดยข้อมูลของผู้ที่ลงทะเบียนไว้ยังไม่ถูกลบออกจากระบบของหน่วยงาน ส่งผลให้ข้อมูลของผู้ใช้งานจำนวนหนึ่งถูกขโมยออกไป ประกอบด้วยข้อมูลดังต่อไปนี้

ชื่อ
หมายเลขประกันสังคม
อีเมล
หมายเลขโทรศัพท์
รหัสผ่าน

สำหรับผู้หางานที่ลงทะเบียน และผู้ใช้บริการศูนย์จัดหางานที่ลงทะเบียนในเดือนกุมภาพันธ์ 2022 อาจได้รับผลกระทบจากเหตุการณ์ในครั้งนี้ นอกจากนี้ Pôle emploi ยืนยันว่าข้อมูลธนาคารไม่ได้รับผลกระทบจากการรั่วไหลแต่อย่างใด อย่างไรก็ตาม ข้อมูลที่ถูกขโมยไปอาจไม่เพียงพอในการก่ออาชญากรรมทางไซเบอร์แต่ Pôle emploi ขอแนะนำให้ผู้สมัครงานที่ลงทะเบียนควรระมัดระวังความผิดปกติที่อาจจะเกิดขึ้น และทางหน่วยงานได้มีการจัดตั้งสายสนับสนุนทางโทรศัพท์ เพื่อตอบคำถาม และข้อกังวลใด ๆ ให้กับผู้ที่ได้รับผลกระทบอีกด้วย

Pôle emploi ระบุว่าทีมงานทั้งหมดกำลังหาวิธีเพื่อปกป้องข้อมูลของผู้หางาน และจะยังคงใช้มาตรการ และขั้นตอนการป้องกันเพิ่มเติมเพื่อป้องกันไม่ให้เหตุการณ์นี้เกิดขึ้นอีกในอนาคต โดยหน่วยงานยืนยันว่าเหตุการณ์ดังกล่าว ไม่ได้ส่งผลกระทบต่อโครงการช่วยเหลือทางการเงิน และผู้หางาน ซึ่งผู้ใช้งานสามารถมั่นใจในการเข้าถึงพอร์ทัลการจ้างงานออนไลน์ของ "pole-employment.

แฮ็กเกอร์กำลังโจมตีโดยใช้ประโยชน์จากช่องโหว่ระดับ critical เพื่อมุ่งเป้าการโจมตีไปยัง Juniper EX switches และไฟร์วอลล์ SRX ผ่านทาง J-Web configuration interface ที่เข้าถึงได้จากอินเทอร์เน็ต

การใช้ประโยชน์จากช่องโหว่นี้จะทำให้ผู้โจมตีที่ไม่ผ่านการตรวจสอบสิทธิ์สามารถสั่งรันโค้ดที่เป็นอันตรายจากระยะไกลบนอุปกรณ์ที่ยังไม่ได้อัปเดตแพตซ์ได้

ด้วย request ที่ไม่ต้องผ่านการ authentication ผู้โจมตีสามารถอัปโหลดไฟล์ผ่าน J-Web ซึ่งอาจนำไปสู่การทำงานที่ไม่ถูกต้องของระบบไฟล์บางส่วน ซึ่งอาจทำให้สามารถนำไปใช้ร่วมกับการโจมตีโดยใช้ช่องโหว่อื่น ๆ ได้

(more…)

การรั่วไหลของ LockBit 3.0 ransomware builder ในปีที่ผ่านมา ส่งผลให้ผู้โจมตีใช้เครื่องมือนี้เพื่อสร้าง ransomware เวอร์ชันใหม่ออกมาจำนวนมาก

Kaspersky บริษัทรักษาความปลอดภัยทางไซเบอร์ของรัสเซียระบุว่า ตรวจพบการโจมตีของแรนซัมแวร์ที่ใช้โค้ดของ LockBit แต่มีขั้นตอนการเรียกค่าไถ่ที่แตกต่างอย่างชัดเจน

โดยนักวิจัยด้านความปลอดภัย Eduardo Ovalle และ Francesco Figurell ระบุว่า “ผู้โจมตีที่เกี่ยวข้องกับเหตุการณ์นี้ ได้ใช้ข้อความเรียกค่าไถ่ที่แตกต่างออกไป โดยเกี่ยวข้องกับกลุ่มที่ไม่เคยรู้จักมาก่อนที่ชื่อว่า 'NATIONAL HAZARD AGENCY' "

การเรียกค่าไถ่รูปแบบใหม่นี้จะระบุจำนวนเงินที่ต้องชำระโดยตรงเพื่อรับคีย์ถอดรหัส และให้ติดต่อผ่านบริการ Tox และอีเมล ซึ่งแตกต่างกับกลุ่ม LockBit ที่ไม่ได้ระบุจำนวนเงิน และใช้แพลตฟอร์มการสื่อสาร และการเจรจาของตนเอง

NATIONAL HAZARD AGENCY ไม่ใช่กลุ่มผู้โจมตีกลุ่มเดียวที่ใช้ LockBit 3.0 builder ที่รั่วไหลครั้งนี้ โดยยังพบผู้โจมตีกลุ่มอื่นที่ใช้เครื่องมือนี้ รวมถึง Bl00dy และ Buhti อีกด้วย

Kaspersky ได้บันทึกว่าตรวจพบ 396 ตัวอย่างของ LockBit ที่แตกต่างกัน โดยในจำนวนนี้ 312 ตัว ถูกสร้างจาก builders ที่รั่วไหล อีกทั้งยังมีตัวอย่างทั้งหมด 77 ตัวที่ไม่มีการอ้างอิงถึง "LockBit" ในข้อความเรียกค่าไถ่

นักวิจัยระบุว่า "parameters ที่ตรวจพบหลายตัวสอดคล้องกับการกำหนดค่าเริ่มต้นของ builder โดยมีบางส่วนที่เปลี่ยนแปลงเล็กน้อย" แสดงให้เห็นว่าตัวอย่างนั้นเป็นไปได้ว่าถูกพัฒนาขึ้นเพื่อความเร่งด่วน หรือโดยผู้โจมตีที่ไม่มีความเชี่ยวชาญเท่าไร

การเปิดเผยนี้เกิดขึ้นเมื่อ Netenrich ได้สำรวจร่องรอยของ ransomware ที่เรียกว่า ADHUBLLKA ซึ่งได้มีการเปลี่ยนแบรนด์หลายครั้งตั้งแต่ปี 2019 (BIT, LOLKEK, OBZ, U2K, และ TZW) ในขณะที่กำหนดเป้าหมายไปที่กลุ่มบุคคล และธุรกิจขนาดเล็กเพื่อรับเงินค่าไถ่ที่ต่ำมากในช่วง 800 ถึง 1,600 ดอลลาร์สหรัฐจากเหยื่อ

แม้ว่าแต่ละเวอร์ชันของ ransomware จะมาพร้อมกับการปรับเปลี่ยนเล็กน้อยในรูปแบบการเข้ารหัส, ข้อความเรียกค่าไถ่ และวิธีการที่ใช้ในการสื่อสาร แต่จากการตรวจสอบพบว่าถูกเชื่อมโยงไปที่ ADHUBLLKA เนื่องจากมีความคล้ายคลึงใน source code และ infrastructure ที่ใช้

Rakesh Krishnan นักวิจัยด้านความปลอดภัยระบุว่า "เมื่อ ransomware ประสบความสำเร็จ มักจะพบว่าผู้โจมตีมักใช้ ransomware ตัวเดียวกัน โดยปรับปรุง codebase เล็กน้อย เพื่อนำร่องโปรเจกต์อื่น ๆ"

"ตัวอย่างเช่น ผู้โจมตีอาจเปลี่ยนแปลงวิธีการเข้ารหัสข้อมูล ข้อความเรียกค่าไถ่ หรือช่องทางการสื่อสาร command-and-control (C2) แล้วเปลี่ยนชื่อเป็น ransomware ตัวใหม่"

Ransomware ยังคงถูกพัฒนาอย่างต่อเนื่อง โดยมีการเปลี่่ยนแปลงวิธีการโจมตี และเป้าหมายอยู่บ่อยครั้ง เพื่อมุ่งไปหมายไปยัง Linux เช่น Trigona, Monti, และ Akira ซึ่งมีความเชื่อมโยงกับผู้โจมตีที่เกี่ยวของกับกลุ่ม Conti

Akira ยังถูกเชื่อมโยงกับการโจมตีที่ใช้ผลิตภัณฑ์ Cisco VPN เป็นช่องทางการโจมตีเพื่อเข้าถึงเครือข่ายขององค์กรโดยไม่ได้รับอนุญาต โดย Cisco ได้ยอมรับว่ากลุ่มผู้โจมตีได้ใช้ประโยชน์จาก Cisco VPNs ที่ไม่ได้มีการเปิดใช้งาน multi-factor authentication

Cisco ระบุว่า "ผู้โจมตีมักจะมุ่งเน้นไปที่ผู้ใช้งานที่ไม่ได้เปิดใช้งาน multi-factor authentication (MFA) และช่องโหว่ของซอฟต์แวร์ VPN"

เมื่อผู้โจมตีเข้าถึงฐานข้อมูลของเครือข่ายเป้าหมายได้ มันจะพยายามดึงข้อมูล credentials ผ่านการ dumps SASS (Local Security Authority Subsystem Service) เพื่อโจมตีต่อไปยังภายในเครือข่าย และเพิ่มระดับสิทธิ์หากจำเป็น

การพัฒนานี้เกิดขึ้นในช่วงเวลาที่เกิดการเพิ่มขึ้นของการโจมตีด้วย ransomware โดยกลุ่ม Cl0p ransomware ได้โจมตีองค์กรมากกว่า 1,000 แห่งโดยใช้ช่องโหว่ในแอปพลิเคชัน MOVEit Transfer เพื่อเข้าถึงระบบเบื้องต้น และทำการเข้ารหัสเครือข่ายเป้าหมาย

องค์กรที่ตั้งอยู่ในสหรัฐฯ มีผู้เสียหายในอัตรา 83.9% ตามด้วยเยอรมนี (3.6%) แคนาดา (2.6%) และสหราชอาณาจักร (2.1%) โดยมีรายงานว่ามีผู้ได้รับผลกระทบจำนวนกว่า 60 ล้านคน จากแคมเปญการโจมตีขนาดใหญ่ที่เริ่มต้นในเดือนพฤษภาคม 2023

อย่างไรก็ตาม พื้นที่ที่ได้รับผลกระทบจากการโจมตีของ ransomware มีปริมาณเพิ่มขึ้นเป็นอย่างมาก แสดงให้เห็นว่ากลุ่มผู้โจมตีจะได้รับผลกำไรราว ๆ 75 ล้านถึง 100 ล้านดอลลาร์จากการพยายามโจมตีดังกล่าว

Coveware ระบุว่า "ในขณะที่แคมเปญการโจมตีช่องโหว่ของ MOVEit อาจส่งผลกระทบต่อบริษัทมากกว่า 1,000 แห่งโดยตรง แต่มีเพียงส่วนน้อยมากของผู้เสียหายที่พยายามเจรจาต่อรอง หรือพิจารณาในการยอมชำระเงิน"

ผู้ที่ยอมจ่ายเงินมีจำนวนมากกว่าแคมเปญ CloP ก่อนหน้านี้ และจ่ายเงินมากกว่าค่าไถ่เฉลี่ยระดับโลกที่ 740,144 ดอลลาร์สหรัฐ (+126% จากไตรมาส 1 ปี 2023)"

นอกจากนี้ตามรายงานของ Sophos เรื่อง "Active Adversary Report ปี 2023" ระยะเวลาเฉลี่ยสำหรับเหตุการณ์การดจมตีจาก ransomware ลดลงจาก 9 วันในปี 2022 เหลือเพียง 5 วันในครึ่งปีแรกของปี 2023 ซึ่งแสดงให้เห็นว่ากลุ่ม ransomware กำลังโจมตีได้เร็วกว่าที่เคยเป็นมา

"ใน 81% ของการโจมตีด้วย ransomware payload อยู่ในช่วงนอกเวลาทำการปกติ และสำหรับการโจมตีในช่วงเวลาทำการ มีเพียง 5 ครั้งเท่านั้นที่เกิดขึ้นในวันธรรมดา โดยการโจมตีด้วย ransomware เกือบครึ่ง (43%) ถูกตรวจพบในวันศุกร์ หรือไม่ก็วันเสาร์"

ที่มา : thehackernews

Citrix NetScaler ที่ยังไม่ได้รับการอัปเดตแพตซ์ และเข้าถึงได้จากกับอินเทอร์เน็ต กำลังตกเป็นเป้าหมายของผู้โจมตีที่คาดว่าเป็นกลุ่ม ransomware

บริษัทด้านความปลอดภัยทางไซเบอร์ Sophos กำลังติดตามการดำเนินการของกลุ่มผู้โจมตีภายใต้ชื่อ STAC466

โดยกลุ่มผู้โจมตีใช้ประโยชน์จากช่องโหว่ CVE-2023-3519 ซึ่งเป็นช่องโหว่ code injection ระดับ Critical ที่ส่งผลกระทบต่อ NetScaler ADC และ Gateway servers ที่ทำให้ผู้โจมตีสามารถสั่งรันโค้ดที่เป็นอันตรายจากระยะไกลได้โดยไม่ต้องผ่านการยืนยันตัวตน

ในการโจมตีครั้งหนึ่งที่ถูกตรวจพบในช่วงกลางเดือนสิงหาคม 2023 พบว่า ช่องโหว่ดังกล่าวได้ถูกใช้ในการดำเนินการโจมตีระดับโดเมนรวมถึงการ injecting payloads ลงในไฟล์ของระบบปฏิบัติการ เช่น Windows Update Agent (wuauclt.

มัลแวร์ SmokeLoader กําลังถูกใช้เพื่อส่งมัลแวร์แบบใหม่เป็นมัลแวร์สแกน Wi-Fi ที่เรียกว่า Whiffy Recon บนเครื่อง Windows ที่ถูกโจมตี

Secureworks Counter Threat Unit (CTU) ระบุในแถลงการณ์ที่แชร์กับ The Hacker News ว่ามัลแวร์ตัวใหม่นี้จะมีการดําเนินการเพียงครั้งเดียวเท่านั้น โดยในทุก ๆ 60 วินาที มันจะวิเคราะห์ตำแหน่งของระบบที่ติดมัลแวร์โดยสแกนจุดเชื่อมต่อ Wi-Fi ในบริเวณใกล้เคียงเป็น data point โดยที่ใช้ geolocation API ของ Google เพื่อระบุตําแหน่งของระบบที่ติดมัลแวร์ จากนั้นตําแหน่งที่ส่งกลับโดย Google Geolocation API จะถูกส่งกลับไปยังผู้โจมตี

SmokeLoader เป็นมัลแวร์ที่มีจุดประสงค์เพียงอย่างเดียวคือการ drop เพย์โหลดเพิ่มเติมไปยังโฮสต์ที่ถูกโจมตี โดยตั้งแต่ปี 2014 เป็นต้นมา มัลแวร์ดังกล่าวได้ถูกเสนอขายให้กับกลุ่มผู้โจมตีในรัสเซีย โดยทั่วไปจะมีการเผยแพร่ผ่านรูปแบบอีเมลฟิชชิ่ง

Whiffy Recon ทํางานโดยการตรวจสอบ service WLAN AutoConfig (WLANSVC) บนระบบที่ติดมัลแวร์ และจะหยุดการทำงานทันทีถ้าไม่พบว่ามี service ดังกล่าวอยู่ ซึ่งเป็นที่น่าสังเกตว่ามัลแวร์จะไม่สนใจว่ายังทํางานต่อได้หรือไม่

โดยวิธีที่ทำให้มัลแวร์ยังคงทำงานอยู่สามารถทำได้โดยการใช้ shortcut เพิ่มลงในโฟลเดอร์ Windows Startup

Don Smith, VP ที่ Secureworks CTU ระบุว่า สิ่งที่เกี่ยวข้องกับการค้นพบ Whiffy Recon ยังเป็นเรื่องที่น่ากังวล เนื่องจากยังไม่ทราบถึงแรงจูงใจในการกระทําของผู้โจมตีที่ชัดเจน

มัลแวร์นี้ถูก config ลงทะเบียนไว้กับ เซิร์ฟเวอร์ Remote Command and Control (C2) โดยการส่งผ่าน "botID" ที่สร้างขึ้นบน port HTTP จากนั้นเซิร์ฟเวอร์จะตอบกลับด้วยข้อความ success และรหัสลับเฉพาะที่ตามมาในภายหลัง ซึ่งบันทึกอยู่ในไฟล์ชื่อ "%APPDATA%\Roaming\wlan\str-12.bin"

ขั้นตอนที่สองของการโจมตี คือ การสแกนจุดเชื่อมต่อ Wi-Fi ผ่าน Windows WLAN API ในทุก ๆ 60 วินาที ผลลัพธ์ของการสแกนจะถูกส่งต่อไปยัง Google Geolocation API เพื่อระบุตำแหน่งของระบบเป็นสามตำแหน่ง และส่งข้อมูลนั้นไปยังเซิร์ฟเวอร์ C2 ในรูปแบบของสตริง JSON ในท้ายที่สุด

โดยพฤติกรรมการโจมตีในรูปแบบนี้ยังไม่ค่อยถูกใช้ในกลุ่มผู้โจมตี เพราะยังขาดความสามารถในการสร้างรายได้ แต่เป็นเรื่องที่น่าเป็นห่วงที่อาจถูกนำมาใช้ในการโจมตีอื่นได้ในอนาคต

 

ที่มา : thehackernews

Sophos บริษัทรักษาความปลอดภัยทางไซเบอร์ เปิดเผยข้อมูลการพบกลุ่ม Akira ransomware มุ่งเป้าหมายการโจมตีโดยใช้ Cisco VPNs (virtual private network) product เพื่อเข้าถึงเครือข่ายขององค์กร ขโมยข้อมูล และเข้ารหัสข้อมูลในท้ายที่สุด

Akira ransomware เป็นกลุ่ม ransomware กลุ่มใหม่ ที่เปิดตัวในเดือนมีนาคม 2023 โดยก่อนหน้านี้ได้มีการเพิ่ม Linux encryptor เพื่อกำหนดเป้าหมายการโจมตีไปยัง VMware ESXi virtual machine

Cisco VPN solution ถูกนำมาใช้อย่างกว้างขวางในหลายอุตสาหกรรมเพื่อให้การรับส่งข้อมูลมีการเข้ารหัสที่ปลอดภัยระหว่างผู้ใช้งาน และเครือข่ายองค์กร ซึ่งโดยทั่วไปจะใช้โดยพนักงานที่ทำงานจากภายนอกเพื่อเข้าถึงเครือข่ายในองค์กร ซึ่งพบว่า Akira ransomware ได้ใช้บัญชี Cisco VPN ที่ถูกขโมยเพื่อเข้าถึงเครือข่ายองค์กรโดยไม่จำเป็นต้องทิ้งแบ็คดอร์เพิ่มเติม หรือแฝงตัวในระบบ

การมุ่งเป้าหมายการโจมตีไปยัง Cisco VPN
Sophos ได้พบการโจมตีของ Akira โดยใช้บัญชี VPN ที่ขโมยมาเป็นครั้งแรกในเดือนพฤษภาคม เมื่อนักวิจัยระบุว่า Akira ransomware สามารถเข้าถึงเครือข่ายโดยใช้ “Account VPN แบบ Single Factor authentication” รวมถึง นักวิจัยของ Aura ได้แชร์ข้อมูลเพิ่มเติมบน Twitter เกี่ยวกับวิธีที่ตอบสนองต่อเหตุการณ์การโจมตีของ Akira หลายครั้ง โดยพบว่าการโจมตีเกิดจากบัญชี Cisco VPN ที่ไม่ได้มีการเปิดใช้งาน multi-factor authentication ทั้งนี้ทาง Akira ยังไม่สามารถระบุได้ว่า กลุ่ม Akira ได้บัญชี Cisco VPN จากที่ใด เนื่องจากไม่พบ log ใน Cisco ASA จึงมีความเป็นไปได้ที่อาจจะได้บัญชี Cisco VPN มาจาก dark web หรือการโจมตี brute-forced VPN account

รวมถึงทาง SentinelOne ให้ข้อมูลว่ามีความเป็นไปได้ที่กลุ่ม Akira จะช่องโหว่ที่ยังไม่เป็นที่รู้จัก (Zero Day) ในซอฟต์แวร์ Cisco VPN ที่อาจสามารถหลีกเลี่ยงการตรวจสอบสิทธิ์ได้หากไม่มี MFA

นอกจากนี้ทาง SentinelOne ยังพบหลักฐานที่ Akira ใช้ Cisco VPN gateways ในการเข้าถึงระบบเหยื่อ บนหน้า leaked data ของกลุ่ม Akira ransomware มีความเกี่ยวข้องกับ Cisco VPN กว่า 8 เคส ทำให้มีความเป็นไปได้ที่ กลุ่ม Akira จะใช้ Cisco VPN เป็นหนึ่งในเครื่องมือการโจมตี

การเข้าถึงระยะไกลโดยใช้ RustDesk
นักวิเคราะห์ของ SentinelOne WatchTower พบว่ากลุ่ม Akira ransomware มีการใช้เครื่องมือการเข้าถึงระยะไกลแบบโอเพ่นซอร์ส ในชื่อ RustDesk เพื่อเข้าถึงเครือข่ายที่ถูกโจมตี ซึ่งเป็น ransomware กลุ่มแรกที่ใช้ซอฟต์แวร์ดังกล่าวในทางที่ผิด เนื่องจาก RustDesk เป็นเครื่องมือที่ถูกต้องตามกฎหมาย การมีอยู่ของ RustDesk จึงไม่ถูกตรวจจับ ทำให้สามารถเข้าถึงคอมพิวเตอร์ที่ถูกโจมตีจากระยะไกลอย่างลับ ๆ ได้
**

ความสามารถของ RustDesk ได้แก่:

การทำงาน Cross-platform บน Windows, macOS และ Linux ที่ครอบคลุมเป้าหมายทั้งหมดของ Akira
การเชื่อมต่อแบบ P2P จะได้รับการเข้ารหัส ดังนั้นจึงมีโอกาสน้อยที่จะถูกตรวจจับโดยเครื่องมือตรวจสอบการรับส่งข้อมูลเครือข่าย
รองรับการถ่ายโอนไฟล์ซึ่งสามารถอำนวยความสะดวกในการขโมยข้อมูล และปรับใช้ได้กับชุดเครื่องมือการโจมตีของ Akira

รวมถึงทาง SentinelOne ยังได้พบวิธีการโจมตีใหม่ ๆ ของ Akira อีกด้วย เช่น การเข้าถึง และการจัดการฐานข้อมูล SQL, การปิดใช้งานไฟร์วอลล์ และการเปิดใช้งาน RDP, การปิดใช้งานการป้องกัน LSA และการปิดใช้งาน Windows Defender โดยจะดำเนินการหลังจากที่สามารถเข้าถึงระบบเครือข่ายของเป้าหมายได้แล้ว

ในเดือนมิถุนายน 2023 ทาง Avast ได้ปล่อยตัวถอดรหัสฟรีสำหรับ Akira ransomware ซึ่งต่อมาทางกลุ่ม Akira ได้ทำการแก้ไขตัวเข้ารหัสใหม่ ทำให้เครื่องมือของ Avast สามารถถอดรหัสได้เฉพาะเหยื่อเวอร์ชันเก่าเท่านั้น

ทาง Cisco ได้ออกมาบอกว่าผลิตภัณฑ์ Cisco VPN สามารถรองรับ MFA (multi-factor authentication) จากผู้ให้บริการได้อย่างหลากหลาย รวมถึงผู้ใช้งานยังสามารถตั้งค่า/กำหนดค่าการบันทึก log บน Cisco ASA ได้ รวมถึงแนวทางที่แนะนำคือการส่งข้อมูลการบันทึกไปยัง remote syslog server เพื่อปรับปรุงการตรวจสอบเครือข่าย และเหตุการณ์ด้านความปลอดภัยในอุปกรณ์เครือข่ายต่าง ๆ

 

ที่มา : bleepingcomputer

Sophos บริษัทรักษาความปลอดภัยทางไซเบอร์ได้เปิดเผยข้อมูลสถิติ โดยพบว่าการโจมตีจาก Ransomware ใช้เวลาในการโจมตีเพื่อเข้าถึงระบบ ก่อนที่จะถูกตรวจจับได้น้อยลงกว่าเดิม โดยเฉลี่ยจาก 9 วัน ในปี 2022 เหลือ 5 วันในปัจจุบัน จากการเก็บข้อมูลสถิติการโจมตี Ransomware ช่วงครึ่งปีแรกของปี 2023 (more…)

ภัยคุกคามที่อยู่เบื้องหลัง มัลแวร์ HiatusRAT ได้กลับมาพร้อมการโจมตีและกำหนดเป้าหมายมุ่งเป้าไปที่องค์กรในไต้หวันและระบบการจัดซื้อจัดจ้างของกองทัพสหรัฐฯ
Lumen Black Lotus Labs กล่าวในรายงานที่เผยแพร่เมื่อสัปดาห์ที่แล้วว่านอกจากตัวอย่างมัลแวร์ที่สร้างขึ้นใหม่สำหรับสถาปัตยกรรมที่แตกต่างกันแล้ว ยังมีการกล่าวว่ามัลแวร์เหล่านี้ได้ถูกฝังบนเซิร์ฟเวอร์ VPSs ใหม่ด้วย
บริษัทรักษาความปลอดภัยทางไซเบอร์อธิบายการกระทำนี้ว่า "ไร้จิตสำนึก" และ "ไร้มารยาท" ซึ่งบ่งชี้ว่าไม่มีสัญญาณที่จะเบาบางลง ซึ่งขณะนี้ยังไม่สามารถระบุตัวตนและที่มาของผู้คุกคามได้
การคุกคามนี้มีเป้าหมายรวมถึงบริษัทการค้า เช่น ผู้ผลิตสารเคมีและ semiconductor องค์กรปกครองท้องถิ่นอย่างน้อยหนึ่งแห่งในไต้หวัน รวมถึงเซิร์ฟเวอร์ของกระทรวงกลาโหมสหรัฐฯ (DoD) ที่เกี่ยวข้องกับการรับส่งข้อเสนอสำหรับสัญญาการป้องกัน
HiatusRAT ได้รับการเปิดเผยครั้งแรกโดยบริษัทรักษาความปลอดภัยทางไซเบอร์ในเดือนมีนาคม 2566 ว่ามีเป้าหมายเป็นเราเตอร์ระดับธุรกิจเพื่อสอดแนมเหยื่อที่อาศัยอยู่ในละตินอเมริกาและยุโรปเป็นหลัก ซึ่งเป็นส่วนหนึ่งของแคมเปญที่เริ่มในเดือนกรกฎาคม 2565
อุปกรณ์เครือข่าย Edge มากถึง 100 เครื่องทั่วโลกติดไวรัสเพื่อรวบรวมทราฟฟิกและแปลงเป็นเครือข่ายพร็อกซีของโครงสร้าง C2

การโจมตีล่าสุดที่ถูกพบตั้งแต่กลางเดือนมิถุนายน ถึงเดือนสิงหาคม 2023 มีการใช้ไบนารี HiatusRAT ที่สร้างไว้ล่วงหน้าซึ่งออกแบบมาโดยเฉพาะสำหรับสถาปัตยกรรม Arm, Intel 80386 และ x86-64 ควบคู่ไปกับ MIPS, MIPS64 และ i386
จากการวิเคราะห์การรับส่งข้อมูล เพื่อตรวจสอบการเชื่อมต่อกับเซิร์ฟเวอร์ของมัลแวร์พบว่า มากกว่า 91% ของการเชื่อมต่อขาเข้ามาจากไต้หวัน และดูเหมือนว่าจะมาจากอุปกรณ์ Edge ที่ผลิตโดย Ruckus
โครงสร้างของ HiatusRAT ประกอบด้วยเซิร์ฟเวอร์สำหรับเพย์โหลด และเซิร์ฟเวอร์ที่ใช้ในการสแกนหาช่องโหว่ ซึ่งใช้ในการเชื่อมต่อโดยตรงกับเครือข่ายของเหยื่อ
ผู้โจมตีได้รับการระบุว่าใช้ที่อยู่ IP ที่แตกต่างกัน 2 IP คือ 207.246.80[.]240 และ 45.63.70[.]57 จากการเชื่อมต่อกับเซิร์ฟเวอร์ของ DoD ในวันที่ 13 มิถุนายนเป็นระยะเวลาประมาณ 2 ชั่วโมง ซึ่งมีการรับส่งข้อมูลประมาณ 11 MB ในช่วงเวลาดังกล่าว
อย่างไรก็ตาม ยังไม่มีความชัดเจนว่าเป้าหมายที่แท้จริงคืออะไร แต่คาดว่าผู้โจมตีอาจกำลังมองหาข้อมูลที่เกี่ยวข้องกับสัญญาทางทหารที่เปิดเผยต่อสาธารณะในปัจจุบัน และอนาคตสำหรับการกำหนดเป้าหมายในอนาคต
การกำหนดเป้าหมายไปยังเราเตอร์ขององค์กรภาครัฐ ได้กลายเป็นหนึ่งในรูปแบบการโจมตีในช่วงไม่กี่เดือนที่ผ่านมา โดยผู้โจมตีที่เกี่ยวข้องกับรัฐบาลจีน มีการใช้ประโยชน์จากช่องโหว่ด้านความปลอดภัยในอุปกรณ์ Fortinet และ SonicWall ที่ยังไม่ได้อัปเดตแพตซ์ เพื่อแฝงตัวอยู่บนระบบของเหยื่อ
บริษัทระบุว่า “แม้จะมีการเปิดเผยเครื่องมือ และความสามารถออกมาก่อนหน้านี้ แต่ผู้โจมตีก็ใช้ขั้นตอนเล็กน้อยในการเปลี่ยนเซิร์ฟเวอร์สำหรับเพย์โหลดที่มีอยู่ และดำเนินการได้ต่อไปโดยไม่ต้องมีการกำหนดค่า C2 Server ใหม่ด้วยซ้ำ”

ที่มา : thehackernews.