เมื่อไม่นานมานี้ สำนักงานความมั่นคงปลอดภัยทางไซเบอร์ และโครงสร้างพื้นฐานของอเมริกา (CISA) ได้เพิ่มช่องโหว่ทางด้านความปลอดภัยที่กำลังถูกนำมาใช้ในการโจมตีอยู่ในปัจจุบันบน Microsoft .NET และ Visual Studio ลงใน KEV Catalog โดยอ้างอิงจากหลักฐานการพบการโจมตีที่เกิดขึ้น
ช่องโหว่ CVE-2023-38180 (คะแนน CVSS: 7.5) เป็นช่องโหว่ denial-of-service (DoS) ที่มีระดับความรุนแรงสูง ซึ่งส่งผลกระทบต่อ .NET และ Visual Studio ซึ่งช่องโหว่ดังกล่าวได้รับการแก้ไขไปแล้วโดย Microsoft จากการอัปเดต Patch Tuesday ในเดือนสิงหาคม 2023 เมื่อต้นสัปดาห์นี้ โดยได้มีการประเมินว่าจะพบการโจมตีช่องโหว่นี้เพิ่มขึ้นเรื่อย ๆ และติดแท็กช่องโหว่นี้ไว้ว่า “Exploitation More Likely”

ในขณะที่ปัจจุบันยังไม่มีรายละเอียดเกี่ยวกับการโจมตีที่แน่ชัด แต่ Microsoft ได้รับรายงานว่ามี Proof-of-Concept (PoC) สำหรับช่องโหว่ออกมาแล้ว นอกจากนี้ยังพบว่าการโจมตีที่ใช้ประโยชน์จากช่องโหว่นี้สามารถทำได้โดยไม่ต้องได้รับการอนุญาต หรือการตอบโต้จากผู้ใช้งาน
Microsoft ระบุว่าได้มีการทดสอบ Proof-of-Concept (PoC) และพบว่าการโจมตีไม่ได้ผลกับระบบส่วนใหญ่ รวมทั้งไม่สามารถใช้ได้กับทุกสถานการณ์ ซึ่ง Proof-of-Concept (PoC) จะต้องได้รับการแก้ไขจากผู้โจมตีที่มีทักษะ และความเชี่ยวชาญเท่านั้น
สำหรับซอฟต์แวร์เวอร์ชันที่ได้รับผลกระทบ ได้แก่ ASP.NET Core 2.1, .NET 6.0, .NET 7.0, Microsoft Visual Studio 2022 เวอร์ชัน 17.2, Microsoft Visual Studio 2022 เวอร์ชัน 17.4 และ Microsoft Visual Studio 2022 เวอร์ชัน 17.6

ดังนั้น เพื่อลดความเสี่ยงที่อาจเกิดขึ้น CISA จึงแนะนำให้หน่วยงาน Federal Civilian Executive Branch (FCEB) เร่งอัปเดตแพตซ์เพื่อแก้ไขช่องโหว่ภายในวันที่ 30 สิงหาคม 2023

ที่มา: thehackernews.

รายงานจาก Shadowserver Foundation พบว่า เซิร์ฟเวอร์ Citrix NetScaler ADC และเกตเวย์จำนวนมากถูกโจมตีโดยผู้ไม่หวังดีเพื่อทำการติดตั้ง web shells
Shadowserver ระบุว่าการโจมตีครั้งนี้ใช้ประโยชน์จากช่องโหว่ CVE-2023-3519 ซึ่งเป็นช่องโหว่ code injection ระดับ Critical ที่อาจจะนำไปสู่การเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกลได้โดยไม่ต้องผ่านการยืนยันตัวตน
ก่อนหน้านี้ การโจมตีโดยใช้ประโยชน์จากช่องโหว่ CVE-2023-3519 เพื่อทำการติดตั้ง web shells ได้รับการเปิดเผยโดยหน่วยงานด้านความมั่นคงทางไซเบอร์สหรัฐ (CISA) ซึ่งพบว่าในเดือนมิถุนายน 2566 มีการโจมตีที่มุ่งเป้าไปที่องค์กรที่เกี่ยวข้องกับโครงสร้างพื้นฐานที่สำคัญ

โดยปัจจุบันช่องโหว่ดังกล่าวได้รับการแก้ไขจาก Citrix ไปเรียบร้อยแล้วเมื่อช่วงเดือนที่ผ่านมา
IP Address ที่ได้รับผลกระทบจำนวนมากที่สุดอยู่ในเยอรมนี รองลงมาคือฝรั่งเศส สวิตเซอร์แลนด์ อิตาลี สวีเดน สเปน ญี่ปุ่น จีน ออสเตรีย และบราซิล

รายงานดังกล่าวถูกเปิดเผยภายหลังจากที่ GreyNoise เคยระบุว่ามีการตรวจพบ IP Address 3 รายการที่พยายามใช้ประโยชน์จากช่องโหว่ CVE-2023-24489 (คะแนน CVSS: 9.1) ซึ่งเป็นช่องโหว่ระดับ Critical อีกรายการหนึ่งในซอฟต์แวร์ Citrix ShareFile ที่ทำให้สามารถอัปโหลดไฟล์ได้ตามที่ต้องการโดยไม่ต้องผ่านการยืนยันตัวตน และยังสามารถเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกลได้ โดยช่องโหว่นี้ได้รับการแก้ไขแล้วใน ShareFile storage zones controller เวอร์ชัน 5.11.24 และใหม่กว่า
โดยล่าสุดเมื่อวันที่ 7 สิงหาคม 2023 Shadowserver Foundation ระบุว่า NetScaler ADC และ Gateway ที่มีช่องโหว่ CVE-2023-3519 เกือบ 7,000 รายการ กำลังถูกโจมตีเพื่อติดตั้ง PHP web shells บนเซิร์ฟเวอร์ที่มีช่องโหว่ เพื่อทำให้ผู้โจมตีสามารถเข้าถึงได้จากระยะไกล

ที่มา : thehackernews.

ช่องโหว่ Zero-day ของ WinRAR (CVE-2023-38831) กำลังถูกใช้ในการโจมตีอย่างต่อเนื่อง โดยผู้โจมตีจะหลอกล่อให้เหยื่อคลิกเปิดไฟล์ archive เพื่อติดตั้งมัลแวร์ ซึ่งอาจทำให้ Hacker สามารถขโมยบัญชีซื้อขายสกุลเงินดิจิทัลออนไลน์ได้ โดยนักวิจัยพบว่าช่องโหว่ดังกล่าวได้ถูกนำมาใช้ในการโจมตีมาตั้งแต่เดือนเมษายน 2023 เพื่อแพร่กระจายมัลแวร์ต่าง ๆ เช่น DarkMe, GuLoader และ Remcos RAT

CVE-2023-38831 เป็นช่องโหว่ Zero-day ของ WinRAR ที่ทำให้สามารถสร้างไฟล์ .RAR และ .ZIP ที่เป็นอันตราย ซึ่งแสดงไฟล์ที่ดูเหมือนไม่มีอันตราย เช่น รูปภาพ JPG (.jpg), ไฟล์ข้อความ (.txt), หรือเอกสาร PDF (.pdf) แต่เมื่อเหยื่อทำการเปิดไฟล์ดังกล่าว ช่องโหว่ก็จะทำการเรียกสคริปต์เพื่อติดตั้งมัลแวร์บนอุปกรณ์ โดย Group-IB เป็นผู้ค้นพบช่องโหว่ CVE-2023-38831 ในเดือนกรกฎาคม 2023 และได้ทำการเผยแพร่รายละเอียดข้อมูลของช่องโหว่ดังกล่าวแล้ว

โดยทาง BleepingComputer ได้ทดสอบเปิดไฟล์ที่เป็นอันตรายซึ่งถูกแชร์โดย Group-IB ซึ่งเป็นผู้ค้นพบแคมเปญการโจมตี ซึ่งพบว่าเพียงดับเบิลคลิกบน PDF ก็ทำให้ CMD script ถูกเรียกใช้งานเพื่อติดตั้งมัลแวร์ทันที

ปัจจุบันช่องโหว่ CVE-2023-38831 ได้รับการแก้ไขแล้วในอัปเดตแพตซ์ของ WinRAR เวอร์ชัน 6.23 ที่ออกมาในวันที่ 2 สิงหาคม 2023 ที่ผ่านมา โดยได้แก้ไขช่องโหว่ต่าง ๆ รวมถึงช่องโหว่ CVE-2023-40477 ที่สามารถดำเนินการคำสั่งเมื่อเปิดไฟล์ RAR ที่ถูกสร้างขึ้นมาเป็นพิเศษ

การมุ่งเป้าหมายไปที่ crypto traders

นักวิจัยจาก Group-IB ได้เผยแพร่รายงานการค้นพบช่องโหว่ WinRAR Zero-day ได้ถูกใช้เพื่อมุ่งเป้าหมายการโจมตีไปยังฟอรัมที่เกี่ยวกับ cryptocurrency โดย Hacker ได้ปลอมตัวเป็นผู้ที่มาให้ความรู้ และข้อมูลกลยุทธ์การซื้อขาย ซึ่งโพสต์ในฟอรัมจะมีการแนบลิงก์ไปยังไฟล์ WinRAR ZIP หรือ RAR ที่ถูกสร้างขึ้นมาเป็นพิเศษ ซึ่งประกอบด้วย PDF ไฟล์ข้อความ และรูปภาพ

โดยเอกสารที่แนบมานั้นจะมีชื่อที่ถูกโพสต์ในฟอรัม เช่น "กลยุทธ์ส่วนตัวที่ดีที่สุดในการแลกเปลี่ยนกับ Bitcoin" เพื่อหลอกล่อให้เหยื่อทำการดาวน์โหลด ซึ่งไฟล์อันตรายดังกล่าวได้ถูกเผยแพร่ในฟอรัมการซื้อขายสาธารณะกว่า 8 แห่ง ซึ่งแพร่ระบาดไปยังอุปกรณ์ของผู้ใช้งานที่ได้รับการยืนยันแล้วกว่า 130 ราย โดยขณะนี้ยังไม่ทราบจำนวนเหยื่อ และมูลค่าความเสียหายทางการเงินที่เกิดจากแคมเปญดังกล่าว

ขั้นตอนในการโจมตีประกอบไปด้วย

เมื่อเหยื่อทำการเปิดไฟล์ จะเห็นสิ่งที่ดูเหมือนเป็นไฟล์ที่ไม่เป็นอันตราย เช่น PDF โดยมีโฟลเดอร์ที่ตรงกับชื่อไฟล์เดียวกัน

เมื่อเหยื่อดับเบิลคลิกที่ PDF ช่องโหว่ CVE-2023-38831 จะทำการเรียกสคริปต์ในโฟลเดอร์ เพื่อติดตั้งมัลแวร์บนอุปกรณ์ในเวลาเดียวกัน ซึ่งสคริปต์เหล่านี้จะโหลดเอกสารหลอกล่อเพื่อไม่ให้เหยื่อเกิดความสงสัย

ช่องโหว่ดังกล่าวจะสร้างไฟล์เป็นพิเศษด้วยโครงสร้างที่ได้รับการปรับเปลี่ยนเล็กน้อยเมื่อเปรียบเทียบกับไฟล์ที่ปลอดภัย ซึ่งทำให้ฟังก์ชัน ShellExecute ของ WinRAR ได้รับ parameter ที่ไม่ถูกต้องเมื่อพยายามเปิดไฟล์ล่อ ส่งผลให้โปรแกรมข้ามไฟล์ที่ไม่เป็นอันตราย และค้นหา และเรียกใช้ CMD script แทน ดังนั้นแม้ว่าเหยื่อจะคิดว่าได้ทำการเปิดไฟล์ที่ปลอดภัย แต่โปรแกรมจะเปิดไฟล์อื่นขึ้นมาแทน

ซึ่ง CMD script จะทำการเรียกใช้ไฟล์ self-extracting (SFX) CAB เพื่อติดตั้งมัลแวร์ต่าง ๆ เช่น DarkMe, GuLoader และ Remcos RAT ลงบนเครื่องเหยื่อ เพื่อให้สามารถเข้าถึงได้จากระยะไกล

DarkMe malware มีความเชื่อมโยงกับกลุ่ม EvilNum ที่มีเป้าหมายทางการเงิน แต่ปัจจุบันยังไม่พบความเชื่อมโยงของกลุ่ม EvilNum และช่องโหว่ CVE-2023-38831

Remcos RAT เป็น malware ที่ทำให้ Hacker สามารถควบคุมอุปกรณ์ที่ถูกโจมตีได้อย่างมีประสิทธิภาพมากขึ้น รวมถึงการสั่งการจากระยะไกล, keylogging, การจับภาพหน้าจอ การจัดการไฟล์ และการทำ reverse proxy ช่วยเพิ่มความสามารถในการโจมให้ดียิ่งขึ้น

ดังนั้นผู้ใช้ WinRAR จึงควรอัปเดตให้เป็นเวอร์ชันล่าสุด คือ WinRAR version 6.23 เพื่อป้องกันการโจมตีจากช่องโหว่ดังกล่าวโดยด่วน

 

ที่มา : bleepingcomputer

กลุ่มแฮ็กเกอร์ Lazarus ที่ได้รับการสนับสนุนจากรัฐบาลเกาหลีเหนือ ได้ใช้ประโยชน์จากช่องโหว่ระดับ Critical (CVE-2022-47966) ใน ManageEngine ServiceDesk ของ Zoho เพื่อโจมตีผู้ให้บริการอินเทอร์เน็ต และองค์กรด้านการดูแลสุขภาพ

แคมเปญดังกล่าวเริ่มขึ้นเมื่อต้นปี 2023 และมุ่งเป้าไปที่การโจมตีหน่วยงานในสหรัฐอเมริกา และสหราชอาณาจักรเพื่อติดตั้งมัลแวร์ QuiteRAT และโทรจันที่ใช้ในการเข้าถึงจากระยะไกล (RAT) ตัวใหม่ ซึ่งนักวิจัยเรียกว่า CollectionRAT โดยได้รับความสนใจภายหลังจากที่นักวิจัยวิเคราะห์โครงสร้างพื้นฐานที่ถูกใช้แคมเปญการโจมตีนี้ ซึ่งผู้โจมตีเคยใช้สำหรับการโจมตีอื่น ๆ เช่นกัน

การโจมตีบริษัทอินเทอร์เน็ต

นักวิจัยของ Cisco Talos พบว่ากลุ่ม Lazarus ประสบความสำเร็จในการโจมตีผู้ให้บริการอินเทอร์เน็ตในสหราชอาณาจักรในช่วงต้นปี 2023 โดยใช้ประโยชน์จากช่องโหว่ CVE-2022-47966 ซึ่งเป็นช่องโหว่การเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกลที่ส่งผลกระทบต่อผลิตภัณฑ์ Zoho ManageEngine หลายรายการ

นักวิเคราะห์รายงานว่า Lazarus เริ่มใช้ช่องโหว่นี้เพียงห้าวันหลังจากที่มีการเปิดเผย Exploit ออกสู่สาธารณะ โดยพบแฮ็กเกอร์หลายรายใช้ประโยชน์จากช่องโหว่ดังกล่าวเช่นกัน จากรายงานที่ Rapid7, Shadowserver และ GreyNoise ตรวจพบ ทำให้ CISA ออกคำเตือนไปยังองค์กรต่าง ๆ ภายหลังจากการโจมตีสำเร็จ กลุ่ม Lazarus จะติดตั้งมัลแวร์ QuiteRAT จาก URL ภายนอกโดยใช้คำสั่ง curl

QuiteRAT ถูกพบในเดือนกุมภาพันธ์ 2023 ถูกระบุว่าเป็นโทรจันที่ใช้ในการเข้าถึงจากระยะไกลที่เรียบง่าย แต่ทรงประสิทธิภาพ ซึ่งดูเหมือนจะพัฒนาขึ้นมาจาก MagicRAT ซึ่งเป็นที่รู้จักกันดี โดยในช่วงครึ่งหลังของปี 2022 พบการกำหนดเป้าหมายไปยังผู้ให้บริการด้านพลังงานในสหรัฐอเมริกา, แคนาดา และญี่ปุ่น

มัลแวร์ Lazarus ตัวใหม่

ในรายงานฉบับอื่นของวันนี้ Cisco Talos ระบุว่า กลุ่ม Lazarus มีมัลแวร์ใหม่ที่ชื่อว่า collectionRAT โดยมัลแวร์ตัวนี้ถูกค้นพบภายหลังจากที่นักวิจัยได้ตรวจสอบโครงสร้างพื้นฐานที่แฮ็กเกอร์ใช้ในการโจมตีอื่น ๆ ซึ่งนักวิจัยระบุว่า CollectionRAT ดูเหมือนจะเกี่ยวข้องกับมัลแวร์ในตระกูล "EarlyRAT"

เมื่อต้นปีที่ผ่านมา Kaspersky ได้เชื่อมโยงความเกี่ยวข้องระหว่าง EarlyRAT กับ Andariel ("Stonefly") ซึ่งเชื่อกันว่าเป็นกลุ่มย่อยภายในทีมของ Lazarus ซึ่งความสามารถของ CollectionRAT ได้แก่ การดำเนินการคำสั่งตามผู้ใช้งาน, การจัดการไฟล์, การรวบรวมข้อมูลระบบ, การดึงข้อมูล และการสร้างเพย์โหลดใหม่ รวมถึงการลบตัวเองออกจากระบบ

องค์ประกอบที่น่าสนใจอีกประการหนึ่งใน CollectionRAT คือการรวมตัวกันของเฟรมเวิร์ก Microsoft Foundation Class (MFC) ซึ่งช่วยให้สามารถถอดรหัส และรันโค้ดได้ทันที, การหลีกเลี่ยงการตรวจจับ และขัดขวางการวิเคราะห์

สัญญาณเพิ่มเติมของวิวัฒนาการในกลยุทธ์ เทคนิค และขั้นตอนของกลุ่ม Lazarus ที่ Cisco Talos พบได้แก่ การใช้เครื่องมือ และเฟรมเวิร์กโอเพ่นซอร์ส เช่น Mimikatz สำหรับการขโมยข้อมูลประจำตัว, PuTTY Link (Plink) สำหรับการสร้าง remote tunneling และ DeimosC2 สำหรับ C2 Server โดยวิธีการเหล่านี้ช่วยให้ Lazarus แทบไม่ทิ้งร่องรอยการโจมตี จึงทำให้การติดตาม และการป้องกันทำได้ยากมากขึ้น

ที่มา: bleepingcomputer

Discord.io ไม่ใช่เว็บไซต์ Discord แต่เป็นบริการของผู้ไม่หวังดีที่อนุญาตให้เจ้าของเซิร์ฟเวอร์ สร้างคำเชิญที่กำหนดเองไปยังช่องของตน และบริการส่วนใหญ่สร้างขึ้นจากเซิร์ฟเวอร์ Discord โดยมีสมาชิกมากกว่า 14,000 ราย ได้ออกมาประกาศเรื่องข้อมูลของสมาชิกจำนวน 760,000 รายรั่วไหลออกสู่สาธารณะ และถูกนำไปประกาศขายบนฟอรัมต่าง ๆ

เหตุการณ์นี้เกิดขึ้นเมื่อวันอาทิตย์ที่ 13 สิงหาคม 2023 มีบุคคลชื่อว่า Akhirah ได้เริ่มขายฐานข้อมูลของ Discord.

มัลแวร์บน Apple macOS เวอร์ชันใหม่ที่เรียกว่า XLoader ได้ปรากฏตัวขึ้นโดยการปลอมแปลงฟีเจอร์ที่เป็นอันตรายภายใต้หน้ากากของแอปเพิ่มประสิทธิภาพการทำงานในสำนักงานที่เรียกว่า "OfficeNote"

นักวิจัยด้านความปลอดภัยจาก SentinelOne ชื่อ Dinesh Devadoss และ Phil Stokes ได้ระบุในรายงานการวิเคราะห์เมื่อวันจันทร์ที่ผ่านมา (21 ส.ค. 2023) ว่า "เวอร์ชันใหม่ของ XLoader ถูกรวมอยู่ในไฟล์ Apple disk image ด้วยชื่อ OfficeNote.

Microsoft พบเวอร์ชันใหม่ของ BlackCat ransomware ซึ่งมีการฝัง Impacket networking framework และ Remcom hacking tool ที่สามารถเเพร่กระจายบนเครือข่ายที่ถูกโจมตี

ในเดือนเมษายนที่ผ่านมา นักวิจัยด้านความปลอดภัย VX-Underground ได้ทวีตให้ข้อมูลเกี่ยวกับเวอร์ชันใหม่ของเครื่องมือเข้ารหัส BlackCat/ALPHV ที่ชื่อว่า Sphynx

นักพัฒนา BlackCat ransomware ระบุไว้ในข้อความถึงกลุ่มพันธมิตรของพวกเขาว่า "การทดสอบคุณลักษณะพื้นฐานของ ALPHV/BlackCat 2.0: Sphynx เสร็จสมบูรณ์แล้ว"

การทำงานของ ransomware ได้ถูกอธิบายเพิ่มเติมไว้ว่า "code รวมถึง encryption ได้ถูกเขียนใหม่ทั้งหมดจากต้นฉบับ โดยค่าเริ่มต้นทุกไฟล์จะถูกล็อคไว้ ความสำคัญหลักของการอัปเดตครั้งนี้คือเพื่อเพิ่มประสิทธิภาพในการหลีกเลี่ยงการตรวจจับโดยระบบ AV/EDR"

หลังจากนั้นไม่นาน IBM Security X-Force ได้ทำการวิเคราะห์ BlackCat encryptor ตัวใหม่ และเตือนว่า encryptor นี้ได้ถูกพัฒนาเป็นชุดเครื่องมือแล้ว

ข้อความนี้อ้างอิงจาก strings ในไฟล์ที่ระบุว่ามี impacket ซึ่งถูกใช้สำหรับ post-exploitation หลังการเข้าถึงระบบ เช่น remote execution และการดักจับข้อมูลจาก processes

The BlackCat Sphynx encryptor

ทีม Threat Intelligence ของ Microsoft ระบุว่า "พวกเขาได้ทำการวิเคราะห์เวอร์ชันใหม่ของ Sphynx และพบว่ามันใช้ Impacket framework เพื่อทำการ lateral movement ในเครือข่ายที่ถูกควบคุม ซึ่งพบว่าถูกใช้งานในแคมเปญล่าสุดที่ถูกตรวจพบจาก Microsoft"

โดย Impacket เป็น open-source Python classes สำหรับใช้งานกับ network protocols ซึงโดยปกติจะถูกใช้งานอย่างแพร่หลายโดย penetration testers, red teamers และผู้โจมตี เพื่อโจมตีต่อไปบนเครือข่ายของเหยื่อ (lateral movement), ดึงข้อมูลสิทธิ์ในระบบจาก processes, ดำเนินการโจมตี NTLM relay และอื่น ๆ อีกมายมาย

Impacket ได้รับความนิยมอย่างมากในกลุ่มผู้โจมตีที่เจาะระบบอุปกรณ์บนเครือข่าย แล้วใช้ชุดเครื่องมือนี้เพื่อรับข้อมูลสิทธิ์ที่สูงขึ้น และเข้าถึงอุปกรณ์อื่น ๆ ในเครือข่าย

Microsoft รายงานว่า การดำเนินการของ BlackCat ใช้ Impacket framework ในการคัดลอกข้อมูลสิทธิ์การเข้าถึง และดำเนินการ remote execution เพื่อติดตั้งโปรแกรม encryptor ไปยังเครือข่ายทั้งหมด

นอกจาก Impacket แล้ว Microsoft ระบุว่า "โปรแกรม encryptor ยังฝัง Remcom hacking tool ซึ่งเป็นเครื่องมือ remote shell ขนาดเล็กที่ช่วยให้โปรแกรม encryptor สามารถรันคำสั่งจากระยะไกลบนอุปกรณ์อื่น ๆ ในเครือข่ายได้"

ในคำแนะนำของ Microsoft 365 Defender Threat Analytics ระบุว่า พวกเขาพบการใช้ encryption นี้ถูกใช้งานโดยเครือข่ายของ BlackCat ที่ชื่อ 'Storm-0875' มาตั้งแต่กรกฎาคม 2023

Microsoft ได้ระบุเวอร์ชันใหม่นี้ว่าเป็น BlackCat 3.0 โดยปฏิบัติการที่ชื่อว่า 'Sphynx' หรือ 'BlackCat/ALPHV 2.0'

BlackCat หรือเรียกอีกชื่อว่า ALPHV เริ่มดำเนินการมาตั้งแต่เดือนพฤศจิกายน 2021 และเชื่อกันว่าเป็นการรีแบรนด์ของกลุ่ม DarkSide/BlackMatter ซึ่งรับผิดชอบในการโจมตี Colonial Pipeline

กลุ่ม ransomware ดังกล่าว ถูกพิจารณาว่าเป็นหนึ่งในการดำเนินการ ransomware ชั้นนำ และระดับสูงสุดเสมอ โดยมีการพัฒนาวิธีการโจมตีอยู่ตลอดด้วยกลยุทธ์ใหม่ ๆ

ตัวอย่างเช่น การโจมตีแบบใหม่ในช่วงฤดูร้อนปีที่แล้ว กลุ่ม ransomware ได้สร้างเว็บไซต์บน Clearweb สำหรับเปิดเผยข้อมูลสำหรับเหยื่อที่เฉพาะเจาะจง เพื่อให้ลูกค้า และพนักงานสามารถตรวจสอบได้ว่าข้อมูลของตนถูกเปิดเผยหรือไม่ รวมถึงเมื่อเร็ว ๆ นี้ ผู้โจมตีทำได้สร้าง Data Leak API ซึ่งช่วยให้การเผยแพร่ข้อมูลที่ถูกขโมยเป็นเรื่องง่ายขึ้นอีกด้วย

ที่มา: bleepingcomputer

ช่องโหว่ระดับความรุนแรงสูง ที่พึ่งได้รับได้รับการแก้ไขไปแล้วใน WinRAR ซึ่งเป็นโปรแกรม file archiver ที่ได้รับความนิยมสำหรับระบบปฏิบัติการ Windows มีผู้ใช้งานจำนวนมาก โดยช่องโหว่นี้สามารถทำให้ผู้โจมตีเรียกใช้คำสั่งบนคอมพิวเตอร์ได้ตามที่ต้องการ เพียงผู้ใช้งานเปิดไฟล์ archive ที่ถูกสร้างขึ้นมาโดยเฉพาะด้วย WinRAR ซึ่งช่องโหว่นี้มีหมายเลข CVE-2023-40477

ช่องโหว่นี้ถูกค้นพบโดยนักวิจัยชื่อ "goodbyeselene" จาก Zero Day Initiative ซึ่งได้รายงานช่องโหว่นี้ไปยังนักพัฒนา RARLAB เมื่อวันที่ 8 มิถุนายน 2023

ช่องโหว่ที่เกิดขึ้นเป็นผลจากการขาดการตรวจสอบความถูกต้องของข้อมูลที่ผู้ใช้ส่งเข้ามา ส่งผลให้เกิดการเข้าถึงหน่วยความจำเกินของพื้นที่ที่ถูกจัดสรรไว้ ซึ่งสถานการณ์นี้เกิดขึ้นภายในกระบวนการเข้ารหัสข้อมูลที่เรียกว่า "Recovery Volumes" โดยคำแนะนำด้านความปลอดภัยเกี่ยวกับช่องโหว่นี้ได้ถูกเผยแพร่ไว้บนเว็บไซต์ของ ZDI

เนื่องจากผู้โจมตีจำเป็นต้องหลอกให้เหยื่อเปิดไฟล์ archive ก่อน เป็นผลทำให้คะแนนความรุนแรงของช่องโหว่ลดลงเป็น 7.8 ตาม CVSS

อย่างไรก็ตาม ผู้โจมตียังมีโอกาสมากในการโจมตีที่อาจประสบความสำเร็จได้ เนื่องจากในทางปฏิบัติ การที่ผู้โจมตีจะหลอกล่อให้เหยื่อกระทำกิจกรรมที่ต้องการไม่ได้ยากจนเกินไป และด้วยจำนวนผู้ใช้ WinRAR ที่มีจำนวนมาก

การลดความเสียงที่เกิดขึ้นจากช่องโหว่นี้

บริษัท RARLAB ได้ปล่อยอัปเดต WinRAR เวอร์ชัน 6.23 ออกมาในวันที่ 2 สิงหาคม 2023 เพื่อแก้ไขช่องโหว่ CVE-2023-40477 ดังนั้นจึงแนะนำให้ผู้ใช้ WinRAR ดำเนินการอัปเดตเวอร์ชันความปลอดภัยที่มีอยู่ทันที

นอกเหนือจากการแก้ไข RAR4 recovery volumes ในเวอร์ชัน 6.23 เเล้ว ยังได้แก้ไขปัญหาเรื่องความผิดพลาดจากการสร้างไฟล์ archive ที่ถูกสร้างขึ้นอย่างเฉพาะเจาะจง ซึ่งเป็นช่องโหว่ที่มีระดับความรุนแรงสูงเช่นกัน

ปัจจุบัน Microsoft กำลังทดสอบการรองรับรูปแบบไฟล์ RAR, 7-Zip และ GZ โดยตรงในระบบปฏิบัติการ Windows 11 ดังนั้นซอฟต์แวร์ของผลิตภัณฑ์อื่นเช่น WinRAR จะไม่จำเป็นต้องใช้ในเวอร์ชันนี้ นอกจากจะต้องใช้คุณสมบัติขั้นสูงอื่น ๆ

สำหรับผู้ที่ยังคงต้องใช้ WinRAR ควรหมั่นอัปเดตซอฟต์แวร์อยู่เสมอ เนื่องจากช่องโหว่ที่คล้ายกันในอดีตเคยถูกผู้โจมตีใช้เพื่อติดตั้งมัลแวร์

นอกจากนี้ยังควรระมัดระวังเมื่อเปิดไฟล์ RAR และควรใช้เครื่องมือป้องกันมัลแวร์ที่สามารถสแกนไฟล์ archive ได้ เพื่อเป็นมาตรการรักษาความปลอดภัยที่ดีขึ้น

ที่มา : bleepingcomputer

Juniper Networks บริษัทผู้ผลิตอุปกรณ์เครือข่าย ออกแพตซ์อัปเดตด้านความปลอดภัยแบบ "out-of-cycle" เพื่อแก้ไขช่องโหว่หลายรายการใน J-Web ของ Junos OS ที่เมื่อใช้ร่วมกันอาจทำให้เกิดการเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกลบนระบบที่มีช่องโหว่ได้

โดย 4 ช่องโหว่เหล่านี้มีคะแนนรวม CVSS ที่ 9.8 ซึ่งมีความรุนแรงในระดับ Critical และมีผลกระทบต่อเวอร์ชันทั้งหมดของ Junos OS ในตระกูล SRX และ EX Series

J-Web interface ช่วยให้ผู้ใช้งานสามารถกำหนดค่า, จัดการ และตรวจสอบอุปกรณ์ Junos OS โดยมีคำอธิบายสั้น ๆ เกี่ยวกับช่องโหว่ดังต่อไปนี้

CVE-2023-36844 และ CVE-2023-36845 (คะแนน CVSS: 5.3) - ช่องโหว่การปรับเปลี่ยนตัวแปร PHP สองรายการใน J-Web ของ Juniper Networks Junos OS บน EX Series และ SRX Series ทำให้ผู้โจมตีที่ไม่ได้รับอนุญาตสามารถควบคุมค่าพารามิเตอร์ที่สำคัญบางส่วนได้
CVE-2023-36846 และ CVE-2023-36847 (คะแนน CVSS: 5.3) - ช่องโหว่ที่เกี่ยวกับการ authentications สำหรับฟังก์ชันที่สำคัญ 2 รายการใน Juniper Networks Junos OS บน EX และ SRX Series ทำให้ผู้โจมตีที่ไม่ได้รับอนุญาต สามารถสร้างผลกระทบต่อ file system integrity ได้

ช่องโหว่ได้รับการแก้ไขในรุ่นต่อไปนี้:

EX Series - Junos OS versions 20.4R3-S8, 21.2R3-S6, 21.3R3-S5, 21.4R3-S4, 22.1R3-S3, 22.2R3-S1, 22.3R2-S2, 22.3R3, 22.4R2-S1, 22.4R3, และ 23.2R1

SRX Series - Junos OS versions 20.4R3-S8, 21.2R3-S6, 21.3R3-S5, 21.4R3-S5, 22.1R3-S3, 22.2R3-S2, 22.3R2-S2, 22.3R3, 22.4R2-S1, 22.4R3, และ 23.2R1

ผู้ใช้งานควรดำเนินการอัปเดตแพตซ์เพื่อลดผลกระทบจากการโจมตี หากยังไม่สามารถอัปเดตได้ในทันที Juniper Networks แนะนำให้ผู้ใช้งานปิดใช้งาน J-Web หรือจำกัดการเข้าถึงเฉพาะโฮสต์ที่ได้รับการยืนยันแล้วเท่านั้น

ที่มา : THEHACKERNEWS

นักวิจัยพบวิธีการโจมตีที่ไม่เคยตรวจพบมาก่อนที่ชื่อว่า NoFilter ซึ่งถูกพบว่าใช้ Windows Filtering Platform (WFP) เพื่อทำการยกระดับสิทธิ์ในระบบปฏิบัติการ Windows

(more…)