บริษัทรายงานช่องโหว่ SSD Secure Disclosure แจ้งเตือนช่องโหว่ที่พึ่งได้รับการแก้ไขไปแล้วเมื่อเร็ว ๆ นี้ในอุปกรณ์ Ubiquiti EdgeRouter และ AirCube ซึ่งสามารถโจมตีเพื่อสั่งรันโค้ดที่เป็นอันตรายได้

โดยช่องโหว่ดังกล่าวมีหมายเลข CVE-2023-31998 ซึ่งเป็นช่องโหว่ heap overflow ที่สามารถถูกใช้ประโยชน์ได้ผ่านการเชื่อมต่อแบบ LAN connection

สำหรับ Ubiquiti ผู้โจมตีที่ใช้ประโยชน์ช่องโหว่นี้อาจส่งผลให้บริการ UPnP ของอุปกรณ์อาจถูกขัดจังหวะในการให้บริการ

คำแนะนำจาก SSD Secure Disclosure ระบุว่าช่องโหว่ดังกล่าวอยู่ในบริการ MiniUPnPd ของอุปกรณ์ที่ได้รับผลกระทบ และผู้โจมตีที่อยู่ในเครือข่าย LAN อาจใช้ช่องโหว่นี้เพื่อทำให้หน่วยความจำภายในเต็ม และอาจสั่งรันโค้ดที่เป็นอันตรายได้

SSD Secure Disclosure ให้ข้อมูลทางเทคนิคเกี่ยวกับช่องโหว่ และ Proof-of-Concept (PoC) ที่ใช้ทดสอบการโจมตีช่องโหว่ในอุปกรณ์ Ubiquiti EdgeRouterX ที่ได้รับผลกระทบ

โดยช่องโหว่ดังกล่าวใน MiniUPnPd ได้รับการแก้ไขไปเรียบร้อยแล้ว แต่ไม่มีการเผยแพร่รายละเอียดหมายเลข CVE ที่ได้รับการแก้ไข โดยคาดว่ารุ่นที่มีช่องโหว่ของ MiniUPnPd อาจได้รับการแก้ไขไปพร้อมกับช่องโหว่ในอุปกรณ์เครือข่ายอื่น ๆ

SSD Secure Disclosure ระบุว่า "มีความเป็นไปได้ว่าผลิตภัณฑ์อื่น ๆ ที่ใช้บริการ MiniUPnPd โดยตรง หรือผู้จัดจำหน่ายเราเตอร์เช่น OpenWrt, VyOS หรือ DD-WRT ยังคงถูกจำหน่ายด้วย MiniUPnPd เวอร์ชันที่มีช่องโหว่"

ในปลายเดือนมิถุนายนที่ผ่านมา Ubiquiti ประกาศเผยแพร่อัปเดตซอฟต์แวร์สำหรับอุปกรณ์ EdgeRouter (เวอร์ชัน firmware 2.0.9-hotfix.

นักวิจัยด้านความปลอดภัยพบแคมเปญการโจมตีใหม่จากกลุ่ม Charming Kitten APT ซึ่งเแฮ็กเกอร์ใช้มัลแวร์ตัวใหม่ที่ชื่อว่า NokNok ซึ่งมีเป้าหมายเป็นระบบปฏิบัติการ macOS

แคมเปญดังกล่าวเริ่มต้นในเดือนพฤษภาคม และใช้วิธีการโจมตีต่างจากที่เคยพบมาก่อน โดยใช้ไฟล์ LNK เพื่อปล่อย payloads ที่เป็นอันตรายแทนที่จะใช้เอกสาร Word ที่เป็นอันตรายเหมือนการโจมตีก่อนหน้านี้จากกลุ่มผู้โจมตี

ตามรายงานจาก Mandiant กลุ่ม Charming Kitten ที่เป็นที่รู้จักในชื่อ APT42 หรือ Phosphorus ได้ดำเนินการโจมตีองค์กรต่าง ๆ อย่างน้อย 30 แห่งใน 14 ประเทศตั้งแต่ปี 2015

Google ได้เชื่อมโยงผู้โจมตีกับรัฐบาลอิหร่าน โดยเฉพาะกองพิทักษ์ปฏิวัติอิสลาม (Islamic Revolutionary Guard Corps) โดยในเดือนกันยายน 2022 รัฐบาลสหรัฐฯ สามารถตรวจสอบ และตั้งข้อกล่าวหากับสมาชิกในกลุ่มผู้โจมตีนั้นได้

Proofpoint รายงานว่า กลุ่มผู้โจมตีในปัจจุบันได้เลิกใช้วิธีการโจมตีที่ใช้ macro-based ในเอกสาร Word และกลับมาใช้ไฟล์ LNK เพื่อส่ง payloads ทีี่เป็นอันตรายไปยังเป้าหมายที่ต้องการโจมตี

ส่วนการใช้ phishing และ social engineering ในแคมเปญนี้ แฮ็กเกอร์ปลอมตัวเป็นผู้เชี่ยวชาญด้านนิวเคลียร์จากสหรัฐฯ และชวนเป้าหมายโดยมีข้อเสนอให้ตรวจสอบร่างจดหมายเรื่องนโยบายต่างประเทศ

ในหลายกรณี ผู้โจมตีมีการนำบุคคลอื่นเข้ามาเกี่ยวข้องในการสนทนาเพื่อเพิ่มความน่าเชื่อถือ และสร้างความสัมพันธ์กับเป้าหมาย

การโจมตีบน Windows

หลังจากที่ได้รับความไว้วางใจจากเป้าหมาย กลุ่ม Charming Kitten จะส่งลิงก์ที่เป็นอันตรายซึ่งประกอบด้วย Google Script macro ที่เปลี่ยนเส้นทางการเชื่อมต่อของเหยื่อไปยัง URL ของ Dropbox ซึ่งจะเป็นที่มาของไฟล์ RAR ที่มีการใส่รหัสผ่านไว้ โดยภายในมีโปรแกรมอันตรายซึ่งใช้ PowerShell code และไฟล์ LNK เพื่อทำการติดตั้งมัลแวร์

โดย Payload ขั้นสุดท้ายคือ GorjolEcho ซึ่งเป็น Simple backdoor และสามารถรับส่งคำสั่งจากผู้โจมตีจากภายนอกได้ และเพื่อหลีกเลี่ยงการตรวจจับ GorjolEcho จะเปิดไฟล์ PDF เกี่ยวกับหัวข้อที่เกี่ยวข้องกับการสนทนา ที่ผู้โจมตีมีกับเป้าหมายก่อนหน้านี้

การโจมตีบน macOS

หากเป็นเหยื่อที่ใช้ระบบปฏิบัติการ macOS ซึ่งโดยทั่วไปแฮ็กเกอร์จะรู้ตัวหลังจากที่พวกเขาล้มเหลวในการโจมตีด้วย Windows payload จากนั้นผู้โจมตีจะส่งลิงก์ใหม่ไปยัง "library-store[.]camdvr[.]org" ซึ่งเป็นที่เก็บไฟล์ ZIP ซึ่งปลอมตัวเป็นแอป VPN ของ RUSI (Royal United Services Institute)

 

เมื่อทำการเรียกใช้ไฟล์ Apple script คำสั่ง curl จะดึงข้อมูลที่เรียกว่า NokNok payload และสร้างช่องโหว่เพื่อเข้าสู่ระบบของเหยื่อ

โดย NokNok จะสร้างการเก็บรวบรวมข้อมูลบนระบบ แล้วใช้โมดูลสคริปต์ bash ทั้งหมด 4 โมดูลเพื่อเตรียมการแฝงตัวบนระบบ ทำการเชื่อมต่อกับเซิร์ฟเวอร์ command and control (C2) และเริ่มการส่งออกข้อมูลไปยังเซิร์ฟเวอร์ดังกล่าว

NokNok เป็นมัลแวร์ที่สามารถเก็บข้อมูลบนระบบ ที่ประกอบด้วยเวอร์ชันของระบบปฏิบัติการ Process ที่กำลังทำงาน และแอปพลิเคชันที่ติดตั้งไว้ ซึ่งมัลแวร์จะเข้ารหัสข้อมูลที่เก็บรวบรวมทั้งหมดในรูปแบบ base64 แล้วส่งข้อมูลออกจากระบบ

Proofpoint ยังระบุว่า NokNok อาจมีฟังก์ชันที่เกี่ยวข้องกับการสอดแนม ในเชิงสืบสวนที่เฉพาะเจาะจงมากขึ้นผ่านโมดูลอื่นที่ยังไม่เคยเห็นมาก่อน โดยข้อสงสัยนี้มาจากความคล้ายคลึงของโค้ดกับ GhostEcho ที่ได้รับการวิเคราะห์มาก่อนจาก Check Point

โดยใน Backdoor นั้น มีโมดูลที่ช่วยในการจับภาพหน้าจอ การสั่งรันคำสั่ง และการลบร่องรอยการโจมตีไว้ ทำให้มีความเป็นไปได้ที่ NokNok ก็อาจมีฟังก์ชันเหล่านี้ด้วย

โดยรวมแล้ว แคมเปญนี้เป็นการแสดงให้เห็นว่ากลุ่ม Charming Kitten มีความสามารถในระดับสูง สามารถกำหนดเป้าหมายไปยังระบบ macOS ได้เมื่อจำเป็น และแสดงให้เห็นถึงอันตรายจากแคมเปญมัลแวร์สำหรับผู้ใช้ macOS

ที่มา : BLEEPINGCOMPUTER

เมื่อวันที่ 12 กรกฎาคม 2023 ที่ผ่านมา มีรานงานการเปิดเผยช่องโหว่ และออกแพตซ์อัปเดตเพื่อแก้ไขช่องโหว่ใน SonicWall และ Fortinet Network Security

ช่องโหว่ใน SonicWall

SonicWall ได้เปิดเผยช่องโหว่ 15 รายการ (CVE-2023-34123 จนถึง CVE-2023-34137) โดยมีช่องโหว่ระดับ Critical ถึง 4 รายการได้แก่

CVE-2023-34124 (CVSS score: 9.4) - Web Service Authentication Bypass
CVE-2023-34133 (CVSS score: 9.8) - Multiple Unauthenticated SQL Injection Issues and Security Filter Bypass
CVE-2023-34134 (CVSS score: 9.8) - Password Hash Read via Web Service
CVE-2023-34137 (CVSS score: 9.4) - Cloud App Security (CAS) Authentication Bypass

(more…)

Ghostscript (โกสสคริปต์) ซึ่งเป็น open-source สำหรับภาษา PostScript และไฟล์ PDF ที่ใช้กันอย่างแพร่หลายใน Linux พบว่ามีความเสี่ยงต่อช่องโหว่การเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกลที่มีความรุนแรงระดับ critical

โดยช่องโหว่มีหมายเลข CVE-2023-3664 มีคะแนน CVSS v3 ที่ 9.8 และส่งผลกระทบต่อ Ghostscript ทุกรุ่นก่อนเวอร์ชัน 10.01.2 ซึ่งเป็นเวอร์ชันล่าสุดที่ถูกเผยแพร่เมื่อสามสัปดาห์ก่อน (more…)

VMware ประกาศแจ้งเตือนผู้ใช้งาน เนื่องจากปัจจุบัน Exploit Code ของช่องโหว่ RCE ระดับ Critical ใน VMware Aria Operations for Logs analysis tool ถูกปล่อยออกมาแล้ว

ช่องโหว่ (CVE-2023-20864) เป็นช่องโหว่ deserialization ที่ได้รับการอัปเดตแพตช์ไปแล้วในเดือนเมษายน ซึ่งทำให้ผู้โจมตีที่ไม่จำเป็นต้องผ่านการตรวจสอบสิทธิ์สามารถเรียกใช้งานโค้ดที่เป็นอันตรายจากระยะไกลบนอุปกรณ์ที่มีช่องโหว่ได้

โดยหากสามารถโจมตีได้สำเร็จ ผู้โจมตีสามารถเรียกใช้โค้ดที่เป็นอันตรายด้วยสิทธิ์ Root ได้ โดยไม่จำเป็นต้องมีการโต้ตอบจากผู้ใช้งาน โดยปัจจุบัน VMware ยืนยันว่ามีการเผยแพร่โค้ดการโจมตี (Exploit Code) สำหรับช่องโหว่ CVE-2023-20864 ออกมาแล้ว

ในเดือนเมษายนที่ผ่านมา VMware ยังได้ออกแพตซ์อัปเดตด้านความปลอดภัยเพื่อแก้ไขช่องโหว่ Command Injection ที่มีระดับความรุนแรงน้อยกว่า (CVE-2023-20865) ซึ่งทำให้ผู้โจมตีที่มีสิทธิ์ของผู้ดูแลระบบ สามารถเรียกใช้งานโค้ดที่เป็นอันตรายด้วยสิทธิ์ Root บนอุปกรณ์ที่มีช่องโหว่เช่นเดียวกัน

ช่องโหว่ทั้งสองได้รับการแก้ไขไปแล้วด้วยการอัปเดตแพตซ์ VMware Aria Operations for Logs เวอร์ชัน 8.12 ซึ่งปัจจุบันยังไม่มีหลักฐานที่แสดงให้เห็นว่ามีการโจมตีโดยใช้ช่องโหว่ดังกล่าว

ช่องโหว่ของ VMware Aria Operations ที่กำลังถูกใช้ในการโจมตี

เมื่อเร็ว ๆ นี้ VMware ได้ออกการแจ้งเตือนอีกครั้งเกี่ยวกับช่องโหว่ระดับ Critical หมายเลข CVE-2023-20887 ที่ได้รับการแพตช์แล้วใน VMware Aria Operations for Networks (เดิมคือ vRealize Network Insight) ซึ่งเป็นช่องโหว่ที่ทำให้ผู้โจมตีสามารถเรียกใช้งานโค้ดที่เป็นอันตรายด้วยสิทธิ์ Root ที่กำลังถูกนำมาใช้ในการโจมตีอยู่ในปัจจุบัน

นอกจากนี้ CISA ยังเพิ่มช่องโหว่ดังกล่าวเข้าไปในรายการช่องโหว่ที่กำลังถูกนำมาใช้ในการโจมตี และสั่งให้หน่วยงานของรัฐบาลกลางสหรัฐฯ รีบอัปเดตแพตซ์ภายในวันที่ 13 กรกฎาคม ถึงแม้ว่าจำนวนอินสแตนซ์ VMware vRealize ที่เข้าถึงได้จากอินเทอร์เน็ตจะค่อนข้างต่ำก็ตาม แต่ผู้โจมตีก็มักใช้ประโยชน์จากช่องโหว่ที่มีอยู่ในอุปกรณ์ภายในเครือข่าย เพื่อโจมตีต่อไปยังระบบต่าง ๆ ของเหยื่อ

คำแนะนำ

แนะนำให้อัปเดตแพตช์ VMware Aria Operations ให้เป็นเวอร์ชันล่าสุดทันที เพื่อป้องกันการโจมตีที่อาจเกิดขึ้น

ที่มา : bleepingcomputer

Cisco แจ้งเตือนการพบช่องโหว่ที่มีระดับความรุนแรงสูง ซึ่งส่งผลกระทบต่อ data center switch model ที่ทำให้ Hacker สามารถถอดรหัส traffic encryption ได้ (more…)

Progress ผู้พัฒนาซอฟต์แวร์ MOVEit Transfer ประกาศการออกแพตซ์อัปเดตเพื่อแก้ไขช่องโหว่ระดับ Critical ตัวใหม่ โดยเป็นช่องโหว่ SQL injection และช่องโหว่ที่มีระดับความรุนแรงแรงน้อยกว่าอีก 2 รายการ โดยช่องโหว่ของ MOVEit Transfer ปัจจุบันได้กลายเป็นเป้าหมายหลักในการโจมตีของกลุ่ม Clop ransomware (more…)

U.S. Cybersecurity and Infrastructure Security Agency (CISA) หรือ หน่วยงานรักษาความปลอดภัยทางไซเบอร์ และโครงสร้างพื้นฐานของสหรัฐ ออกคำสั่งแจ้งเตือนไปยังหน่วยงานของรัฐบาลกลาง ให้เร่งทำการอัปเดตเพื่อแก้ไขช่องโหว่การยกระดับสิทธิ์ของ Arm Mali GPU kernel driver ที่มีระดับความรุนแรงสูง โดยได้ถูกเพิ่มไปในรายการช่องโหว่ที่กำลังถูกนำมาใช้ในการโจมตี KEV (Known Exploited Vulnerabilities) ซึ่งปัจจุบันได้มีการออกอัปเดตเพื่อแก้ไขช่องโหว่ดังกล่าวแล้วใน Bifrost, Valhall GPU Kernel Driver r30p0 และ Midgard Kernel Driver r31p0 จึงได้แจ้งเตือนให้ผู้ใช้งานเร่งทำการอัปเดตโดยด่วน (more…)

Ruihan Li นักวิจัยด้านความปลอดภัยรายงานช่องโหว่ StackRot (CVE-2023-3269) ซึ่งเป็นช่องโหว่ระดับความรุนแรงสูง ที่ส่งผลกระทบต่อ Linux kernel หลายเวอร์ชัน และสามารถเรียกใช้งานได้ง่าย เพื่อโจมตี kernel และยกระดับสิทธิ์ โดยในขณะนี้แพตซ์อัปเดตเพื่อแก้ไขช่องโหว่ดังกล่าวได้ถูกปล่อยออกมาแล้วตั้งแต่วันที่ 1 กรกฎาคม 2023 รวมถึงรายละเอียดที่เกี่ยวข้องกับช่องโหว่ และ exploit code จะถูกเปิดเผยภายในสิ้นเดือนนี้ (more…)

นักวิจัยด้านความปลอดภัยพบแอปพลิเคชันการจัดการไฟล์ (File Manager) ที่เป็นอันตรายสองรายการบน Google Play ที่มีจำนวนการติดตั้งไปแล้วรวมกว่า 1.5 ล้านรายการ ซึ่งรวบรวมข้อมูลผู้ใช้งานที่มากเกินความจําเป็นสำหรับการให้บริการฟีเจอร์

แอปพลิเคชันทั้งสองรายการมาจากนักพํฒนาคนเดียวกัน และสามารถเปิดใช้งานได้โดยไม่ต้องมีการโต้ตอบใด ๆ กับผู้ใช้งานเพื่อขโมยข้อมูลที่มีความสำคัญ และส่งกลับไปยังเซิร์ฟเวอร์ในประเทศจีน

โดยนักวิจัยพบว่ามีการติดตั้งแอปพลิเคชัน File Recovery & Data Recovery (com.