Citrix Netscaler ADC และ Gateway server หลายพันตัวที่เข้าถึงได้จากอินเทอร์เน็ต มีความเสี่ยงต่อการถูกโจมตีจากช่องโหว่ CVE-2023-3519 ซึ่งเป็นช่องโหว่การเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกล (RCE) โดยไม่ต้องผ่านการตรวจสอบสิทธิ์

นักวิจัยด้านความปลอดภัยจาก Shadowserver Foundation ซึ่งเป็นองค์กรไม่แสวงผลกำไรที่อุทิศตนเพื่อยกระดับความปลอดภัยทางอินเทอร์เน็ต เปิดเผยการค้นพบว่ามีอุปกรณ์ Citrix Netscaler ADC และ Gateway server อย่างน้อย 15,000 เครื่องที่ถูกระบุว่าอาจจะกำลังมีความเสี่ยงต่อการถูกโจมตีโดยใช้ช่องโหว่ CVE-2023-3519 จากข้อมูลเวอร์ชันของระบบ (more…)

ในวันพฤหัสบดีที่ผ่านมา หน่วยงานรักษาความปลอดภัยทางไซเบอร์ และหน่วยงานความมั่นคงความปลอดภัยของสหรัฐอเมริกา ออกมาแจ้งเตือนเกี่ยวกับช่องโหว่ด้านความปลอดภัยระดับ Critical ใน Citrix NetScaler Application Delivery Controller (ADC) และอุปกรณ์เกตเวย์ ซึ่งถูกนำมาใช้เพื่อวาง web shell บนระบบที่มีช่องโหว่

ในเดือนมิถุนายน พ.ศ. 2566 ผู้โจมตีใช้ช่องโหว่นี้เป็น Zero day เพื่อวาง web shell ลงในอุปกรณ์ NetScaler ADC ขององค์กร แต่ไม่ใช่ระบบที่ใช้งานจริง (non-production)

ผู้โจมตีใช้ web shell ในการสำรวจ Active Directory (AD) ของเหยื่อ และเก็บรวบรวมข้อมูล AD เพื่อส่งออกไปยังภายนอก และพยายามโจมตีต่อไปยังเครื่อง Domain Controller เพื่อเข้าควบคุม เเต่ถูกอุปกรณ์ในเครือข่าย block การโจมตีไว้ได้

ช่องโหว่ดังกล่าวมีหมายเลข CVE-2023-3519 (คะแนน CVSS 9.8) ซึ่งเป็นช่องโหว่ code injection ที่อาจส่งผลให้มีการเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกลโดยไม่ต้องผ่านการยืนยันตัวตน ซึ่งในต้นสัปดาห์นี้ทาง Citrix ได้ออกแพตซ์อัปเดตเพื่อแก้ไขช่องโหว่ดังกล่าว และแจ้งเตือนถึงความรุนแรงของช่องโหว่นี้

การจะโจมตีช่องโหว่นี้ได้สำเร็จ อุปกรณ์ต้องถูกกำหนดค่าให้เป็นเกตเวย์ (VPN Virtual Server , ICA Proxy , RDP Proxy) หรือเป็น virtual server สำหรับการพิสูจน์ตัวตน, การตรวจสอบสิทธิ์ และการตรวจสอบรายละเอียดการใช้งาน (AAA)

CISA ไม่ได้เปิดเผยชื่อขององค์กรที่ได้รับผลกระทบจากเหตุการณ์นี้ และผู้โจมตี หรือประเทศที่อยู่เบื้องหลังเหตุการณ์นี้

CISA ระบุว่า Web Shell มีการรวบรวมการเปิดใช้งานการตั้งค่าไฟล์ NetScaler, คีย์การถอดรหัสของ NetScaler และข้อมูล AD หลังจากนั้นข้อมูลจะถูกส่งออกไปเป็นไฟล์ภาพ PNG ("medialogininit.

Microsoft เปิดเผยเมื่อวันที่ 12 กรกฎาคม 2023 ที่ผ่านมาว่า พบการโจมตีไปยังบัญชี Exchange Online และ Azure Active Directory (AD) ขององค์กรต่าง ๆ ประมาณ 24 องค์กร โดยกลุ่ม Hacker ชาวจีนในชื่อ Storm-0558 ซึ่งได้ขโมย Microsoft consumer signing key ทำให้สามารถเข้าถึงบัญชี Exchange Online และ Outlook.

Microsoft และทีม CERT ของยูเครน แจ้งเตือนการพบกลุ่ม Hacker ในชื่อ Turla ซึ่งได้รับการสนับสนุนโดยรัฐบาลรัสเซีย ได้มุ่งเป้าหมายการโจมตีไปยังอุตสาหกรรมการป้องกันประเทศ โดยมุ่งเป้าโจมตีไปที่ Exchange server ด้วย malware backdoor ตัวใหม่ ในชื่อ 'DeliveryCheck' เพื่อเปลี่ยนให้เป็นเซิร์ฟเวอร์สำหรับแพร่กระจายมัลแวร์

Turla หรือที่รู้จักในชื่อ Secret Blizzard, KRYPTON และ UAC-0003 เป็นกลุ่ม APT (Advanced Persistent Threat) ที่มีความเกี่ยวข้องกับ Federal Security Service (FSB) ของรัสเซีย ซึ่งมีความเกี่ยวข้องกับการโจมตีเพื่อต่อต้านชาติตะวันตกในช่วงหลายปีที่ผ่านมา รวมถึง Snake cyber-espionage malware botnet ที่เพิ่งถูกขัดขวางในปฏิบัติการบังคับใช้กฎหมายระหว่างประเทศที่ชื่อว่า Operation MEDUSA (more…)

Sophos ผู้ให้บริการด้านความปลอดภัยทางไซเบอร์ถูกแอบอ้างโดย ransomware-as-a-service ตัวใหม่ที่ชื่อว่า SophosEncrypt โดยผู้โจมตีแอบอ้างใช้ชื่อของบริษัทในการดำเนินการ

แรนซัมแวร์ดังกล่าวถูกพบโดย Malware Hunter Team เมื่อวันที่ 17 กรกฎาคม 2023 ที่ผ่านมา ซึ่งเบื้องต้นคาดว่าเป็นการทดสอบของ Red Team ของ Sophos เอง (more…)

แฮ็กเกอร์กำลังโจมตีโดยใช้ประโยชน์จากช่องโหว่ระดับ critical ใน WooCommerce Payments เพื่อเข้าถึงสิทธิ์ของผู้ใช้งาน รวมถึงสิทธิ์ของผู้ดูแลระบบใน WordPress ที่มีช่องโหว่ (more…)

แฮ็กเกอร์ที่มีความเชื่อมโยงกับรัฐบาลเบลารุสกำลังกำหนดเป้าหมายการโจมตีไปยังหน่วยงานรัฐบาล และกองทัพในยูเครน และโปแลนด์ด้วยแคมเปญ Spear-Phishing เพื่อแอบติดตั้ง Trojans ที่ใช้เพื่อเข้าถึงได้จากระยะไกล

นักวิจัยจาก Cisco Talos บริษัทรักษาความปลอดภัยทางไซเบอร์ระบุว่า เป้าหมายของผู้โจมตีคือการขโมยข้อมูล และการควบคุมระบบเป้าหมายจากระยะไกล และพบการติดตั้ง payload ของมัลแวร์ njRAT ที่ใช้ขโมยข้อมูล โดยการโจมตีดังกล่าวเริ่มตั้งแต่เดือนเมษายน 2565

เมื่อเร็ว ๆ นี้ทีม Computer Emergency Response ของยูเครนได้ระบุเหตุการณ์ในเดือนกรกฎาคมที่เกิดจากกลุ่มแฮ็กเกอร์ Ghostwriter หรือที่รู้จักกันในชื่อ UNC1151 โดย Mandiant ระบุว่าแฮ็กเกอร์มีความสัมพันธ์ใกล้ชิดกับรัฐบาลเบลารุส ซึ่งเป็นพันธมิตรที่ใกล้ชิดที่สุดของรัสเซียหลังจากการรุกรานยูเครนในเดือนกุมภาพันธ์ 2565 และในรายงานบางฉบับระบุว่ากลุ่ม Ghostwriter นั้นยังมีความเชื่อมโยงกับแฮ็กเกอร์ชาวรัสเซียที่กำหนดเป้าหมายเป็นบุคลากรทางทหารของยูเครน และหน่วยงานราชการของโปแลนด์อย่างต่อเนื่อง

(more…)

FIN8 กลุ่มผู้โจมตีที่มีแรงจูงใจทางด้านการเงิน ทำการปรับปรุงแบ็คดอร์เวอร์ชันใหม่ที่ชื่อว่า Sardonic เพื่อนำไปสู่การติดตั้ง BlackCat Ransomware

Symantec Threat Hunter Team ระบุว่าการพัฒนาการโจมตีในครั้งนี้เป็นของกลุ่ม e-crime เพื่อกระจายความสนใจ และสร้างผลกำไรสูงสุดจากหน่วยงานที่โดนโจมตี ซึ่งความพยายามที่จะโจมตีนั้นเกิดขึ้นในเดือนธันวาคม 2565

FIN8 ถูกติดตามโดยบริษัทรักษาความปลอดภัยทางไซเบอร์ภายใต้ชื่อ Syssphinx ซึ่งมีการโจมตีมาตั้งแต่ปี 2559 ในเบื้องต้นเป็นการโจมตีระบบ Point of Sale (PoS) โดยใช้มัลแวร์อย่าง PUNCHTRACK และ BADHACH เป็นต้น และกลุ่มดังกล่าวได้กลับมาทำการโจมตีอีกครั้งหลังจากผ่านไปกว่าหนึ่งปีในเดือนมีนาคม 2564 ด้วย BADHATCH เวอร์ชันอัปเดต ตามมาด้วย bespoke implant แบบใหม่ที่เรียกว่า Sardonic ซึ่งเปิดเผยโดย Bitdefender ในเดือนสิงหาคม 2564

Sardonic backdoor ใช้ภาษา C++ ที่สามารถรวบรวมข้อมูลของระบบ และดำเนินการตามคำสั่ง และยังมีระบบปลั๊กอินที่ออกแบบมาเพื่อโหลด และดำเนินการ payloads ของมัลแวร์อื่น ๆ เพิ่มเติมในรูปแบบไฟล์ DLLs ซึ่งแตกต่างกับเวอร์ชันก่อนหน้าที่ออกแบบด้วยภาษา C++ โดย Iteration packs ล่าสุดมีการปรับเปลี่ยนที่สำคัญ โดยซอร์สโค้ดส่วนใหญ่ได้มีการเขียนใหม่ในภาษา C และมีการแก้ไขบางส่วนเพื่อให้ไม่ดูมีความคล้ายคลึงกัน

Symantec ได้ทำการวิเคราะห์เหตุการณ์พบว่า Sardonic จะถูกฝังอยู่ใน PowerShell script ที่ถูกติดตั้งในระบบของเป้าหมายหลังจากที่มีการเข้าถึงได้ในครั้งแรก โดยสคริปต์นี้ได้ออกแบบมาเพื่อเรียกใช้ตัวโหลด .NET ซึ่งจะทำการถอดรหัส และเรียกใช้ injector module เพื่อเรียกใช้ Implant ในตอนท้าย

Sardonic นอกจากจะรองรับ interactive sessions ได้สูงสุด 10 เซสชันบนโฮสต์ที่ติดมัลแวร์ เพื่อให้ผู้โจมตีเรียกใช้คำสั่งที่เป็นอันตรายได้แล้วนั้น ยังสามารถรองรับรูปแบบปลั๊กอินที่แตกต่างกันสามรูปแบบเพื่อเรียกใช้ DLL และ shellcode เพิ่มเติม และคุณสมบัติอื่น ๆ ของ Backdoor ยังมีความสามารถในการติดตั้งไฟล์ได้ตามต้องการ และส่งข้อมูลออกจากเครื่องที่ถูกโจมตีไปยัง Controlled infrastructure ของผู้โจมตี

ซึ่งไม่ใช่ครั้งแรกที่พบว่า FIN8 ใช้ Sardonic ในการเชื่อมต่อกับการโจมตีของแรนซัมแวร์ โดยในเดือนมกราคม 2565 Lodestone และ Trend Micro ได้เปิดเผยการใช้แรนซัมแวร์ White Rabbit ของ FIN8 ที่มีพื้นฐานมาจาก Sardonic

Symantec ระบุว่า Syssphinx ยังคงทำการพัฒนา และปรับปรุงความสามารถของโครงสร้างพื้นฐานในการติดตั้งมัลแวร์อย่างต่อเนื่อง ซึ่งมีการปรับปรุงเครื่องมือ และกลยุทธ์ในการโจมตีเป็นระยะ เพื่อหลีกเลี่ยงการตรวจจับ และการตัดสินใจของกลุ่มเพื่อต่อยอดจากการโจมตี point-of-sale เพื่อติดตั้งแรนซัมแวร์ แสดงให้เห็นถึงความทุ่มเทของผู้โจมตีในการเพิ่มผลกำไรสูงสุดจากองค์กรที่ตกเป็นเหยื่อ

Indicators of Compromise (IOC)

ที่มา : thehackernews  symantec

 

 

เมื่อเร็ว ๆ นี้ FortiGuard Labs ได้เปิดเผยการค้นพบ Microsoft Office documents ที่เป็นอันตรายซึ่งออกแบบมาเพื่อใช้ประโยชน์จากช่องโหว่ Remote code execution ที่เป็นที่รู้จัก ได้แก่ CVE-2021-40444 และ CVE-2022-30190 (Follina) เพื่อเรียกใช้มัลแวร์ LokiBot (หรือที่รู้จักกันในชื่อ Loki PWS) ไปยังระบบของเหยื่อ

LokiBot เป็นโทรจันที่มีการใช้งานมาตั้งแต่ปี 2015 ซึ่งถูกใช้ในการขโมยข้อมูลที่สำคัญจากเครื่อง Windows ซึ่งเป็นภัยคุกคามที่สำคัญต่อข้อมูลของผู้ใช้งาน

FortiGuard Labs ได้ทำการวิเคราะห์ Word documents สองประเภทที่แตกต่างกัน ซึ่งทั้งสองไฟล์เป็นภัยคุกคามร้ายแรงต่อผู้ใช้งานที่ไม่ได้ระมัดระวัง โดยไฟล์ประเภทแรกจะมีลิงก์ภายนอกที่ฝังอยู่ในไฟล์ XML ชื่อ "word/rels/document.

นักวิจัยพบซอร์สโค้ดของมัลแวร์ BlackLotus UEFI bootkit ถูกเผยแพร่ทางออนไลน์ใน GitHub โดยการค้นพบนี้ได้สร้างความกังวลเป็นอย่างมากในหมู่องค์กร รัฐบาล และชุมชนความปลอดภัยทางไซเบอร์ เนื่องจากจะทำให้กลุ่ม Hacker สามารถนำข้อมูลเกี่ยวกับ BlackLotus UEFI bootkit ไปใช้ในการพัฒนาเครื่องมือ และขั้นตอนในการโจมตีต่อไป

BlackLotus เป็น UEFI bootkit ที่มุ่งเป้าหมายไปยัง Windows เพื่อหลบหลีก Secure Boot ที่ถูกติดตั้งใน Windows 11 รวมถึงหลีกเลี่ยงการตรวจจับจากซอฟต์แวร์รักษาความปลอดภัย เช่น Microsoft Defender Antivirus, Hypervisor-protected Code Integrity (HVCI) ซึ่งช่วยป้องกันการพยายามใช้ประโยชน์จาก Kernel ของ Windows และหลีกเลี่ยงคุณสมบัติการป้องกันของ BitLocker data protection เพื่อฝังตัวในระบบเป้าหมาย และเรียกใช้เพย์โหลดด้วยสิทธิ์ระดับสูงสุดในระบบปฏิบัติการ (more…)