นักวิจัยจาก Trend Micro เปิดเผยรายงานการค้นพบแคมเปญการโจมตีใหม่ของกลุ่ม BlackCat ransomware (ALPHV) โดยการหลอกล่อเป้าหมายให้ทำการเข้าไปดาวน์โหลดแอปพลิเคชันถ่ายโอนไฟล์ WinSCP สำหรับ Windows ผ่านเว็บไซต์ปลอมที่ถูกสร้างขึ้น และทำการโฆษณาบนหน้าการค้นหาของ Google และ Bing โดยแอปพลิเคชันดังกล่าวได้ถูกฝังมัลแวร์ Cobalt Strike เอาไว้ (more…)

MITRE เปิดเผยรายงานรายชื่อจุดอ่อนของซอฟต์แวร์ที่อันตรายที่สุด 25 อันดับแรกที่เกิดขึ้นในระหว่างปี 2021-2022 โดยจุดอ่อนของซอฟต์แวร์ ครอบคลุมปัญหาต่าง ๆ มากมาย ไม่ว่าจะเป็น ข้อบกพร่อง จุดบกพร่อง ช่องโหว่ และข้อผิดพลาดในโค้ด ระบบสถาปัตยกรรม การนำไปใช้ หรือการ (more…)

นักวิจัยจาก Security Joes บริษัทด้านความปลอดภัยทางไซเบอร์ รายงานการพบเทคนิคการโจมตีแบบ Process Injection รูปแบบใหม่ในชื่อ “Mockingjay” ที่ใช้ในการหลีกเลี่ยงการตรวจจับของ EDR (Endpoint Detection and Response) รวมถึงผลิตภัณฑ์รักษาความปลอดภัยอื่น ๆ เพื่อเรียกใช้คำสั่งอันตรายบนระบบเป้าหมาย

โดยเทคนิคการโจมตี Mockingjay จะใช้ DLL ที่ได้รับการรับรอง พร้อมกับสิทธิ์ RWX (read, write, execute) ในการหลีกเลี่ยง EDR hooks และแทรกคำสั่งอันตรายจากระยะไกล

Process injection เป็นวิธีการเรียกใช้คำสั่งจากใน Process ที่กำลังทำงานอยู่ในระบบ ซึ่งเป็นระบบที่ได้รับการเชื่อใจจากระบบ (trusted by the operating system) จึงทำให้ Hacker สามารถเรียกใช้งานคำสั่งอันตรายโดยไม่ถูกตรวจจับได้ ตัวอย่างของเทคนิคการโจมตีนี้ได้แก่ DLL injection, PE (portable executable) injection, reflective DLL injection, thread execution hijacking, process hollowing, mapping injection, APC (asynchronous procedure call) injection และอื่น ๆ

เทคนิคการโจมตี Mockingjay

Security Joes ได้ทำการวิจัยเพื่อค้นหา DLL ที่มีช่องโหว่พร้อมกับสิทธิ์ RWX เริ่มต้น เพื่อให้สามารถแก้ไขเนื้อหา และดาวน์โหลดคำสั่งอันตรายโดยไม่ต้องดำเนินการขอสิทธิ์เพิ่มเติม

ซึ่งนักวิจัยพบ DLL อันตรายจาก DLL msys-2.0.dll ภายใน Visual Studio 2022 Community ซึ่งมีสิทธิ์ RWX เริ่มต้นที่มีขนาด 16 KB

โดยการใช้ประโยชน์จากส่วน RWX ที่มีอยู่แล้วนี้ ทำให้สามารถป้องกันหน่วยความจำในตัว และหลีกเลี่ยงการตรวจสอบของ EDR รวมถึงเพิ่มประสิทธิภาพในการโจมตีแบบ injection

ซึ่งทางทีม Security Joes ได้ทำการพัฒนากระบวนการโจมตีแบบ injection 2 วิธี คือ self-injection และ remote process injection

self-injection ทดลองโดยการใช้ custom application ("nightmare.

Microsoft เปิดเผยรายงานการพบการโจมตีเพื่อขโมยข้อมูล credential ที่ดําเนินการโดยกลุ่มแฮ็กเกอร์รัสเซียที่รู้จักกันในชื่อ Midnight Blizzard

ทีมข่าวกรองภัยคุกคามของ Microsoft ระบุว่า การโจมตีนี้ใช้ residential proxy services เพื่อซ่อนที่อยู่ไอพีต้นทางของการโจมตี โดยการโจมตีมุ่งเป้าไปที่รัฐบาล, ผู้ให้บริการด้านไอที, องค์กรพัฒนาการป้องกันของเอกชน และอุตสาหกรรมการผลิตที่สําคัญ

กลุ่ม Midnight Blizzard หรือเดิมชื่อ Nobelium รวมถึงยังเป็นที่รู้จักในชื่อ APT29, Cozy Bear, Iron Hemlock และ The Dukes (more…)

Grafana เผยแพร่แพตซ์อัปเดต เพื่อแก้ไขช่องโหว่ด้านความปลอดภัยสำหรับแอปพลิเคชันหลายเวอร์ชัน โดยแก้ไขช่องโหว่ที่ทำให้ผู้โจมตีสามารถ bypass การ authentication และเข้ายึดครองบัญชี Grafana ที่ใช้ Azure Active Directory สำหรับการตรวจสอบสิทธิ์ได้

Grafana เป็นแอปพลิเคชัน analytics และ interactive visualization แบบโอเพนซอร์ส ที่ถูกใช้อย่างแพร่หลาย ซึ่งมีตัวเลือกการ integration และ monitoring ที่หลากหลาย (more…)

VMware ออกแพตซ์อัปเดตเพื่อแก้ไขช่องโหว่ใน vCenter Server ที่มีระดับความรุนแรงสูงหลายรายการ ที่ทำให้ Hacker สามารถเรียกใช้คำสั่ง และหลีกเลี่ยงการตรวจสอบสิทธิ์ในระบบที่มีช่องโหว่ ซึ่งถูกค้นพบ และรายงานโดยนักวิจัยด้านความปลอดภัยของ Cisco Talos "Dimitrios Tatsis" และ "Aleksandar Nikolic"

vCenter Server เป็น control center สำหรับ vSphere suite ของ VMware และโซลูชันการจัดการเซิร์ฟเวอร์ที่ช่วยให้ผู้ดูแลระบบสามารถจัดการ และ monitor virtualized infrastructure ได้ (more…)

นักวิจัยด้านความปลอดภัยได้ปล่อยชุดสาธิตการโจมตี หรือ Proof-of-concept exploit code (PoC) ของช่องโหว่ Cisco Secure Client Software สำหรับ Windows (เดิมคือ AnyConnect Secure Mobility Client) ที่มีระดับความรุนแรงสูง ซึ่งทำให้สามารถยกระดับสิทธ์ SYSTEM privilege ได้

ช่องโหว่ดังกล่าวมีหมายเลข CVE-2023-20178 (คะแนน CVSS 7.8/10 ระดับความรุนแรงสูง) เป็นช่องโหว่ที่ทำให้สามารถยกระดับสิทธิ์เป็นสิทธิ์ SYSTEM ได้ (Privilege Escalation) ในกระบวนการอัปเดตไคลเอนต์ของ Cisco AnyConnect Secure Mobility Client Software สำหรับ Windows และ Cisco Secure Client Software สำหรับ Windows (more…)

ทีมนักวิจัยจาก Unit 42 ของ Palo Alto Networks รายงานการพบแคมเปญการโจมตีโดยใช้ Mirai botnet ในการโจมตีต่อเนื่องกัน 2 แคมเปญ โดยพบการโจมตีตั้งแต่เดือนมีนาคมจนถึงเมษายน 2023 ซึ่งได้มุ่งเป้าหมายการโจมตีไปยังช่องโหว่กว่า 22 รายการ ในอุปกรณ์ D-Link, Arris, Zyxel, TP-Link, Tenda, Netgear และ MediaTek เพื่อควบคุมเครื่องเป้าหมาย และนำไปใช้ในการโจมตีแบบ Distributed Denial-of-Service (DDoS) ต่อไป (more…)

มหาวิทยาลัยแมนเชสเตอร์ ออกมายืนยันเรื่องข้อมูลของศิษย์เก่า และนักศึกษาปัจจุบันจำนวน 7 TB รั่วไหลออกไป หลังจากเกิดเหตุการณ์โจมตีทางไซเบอร์ โดยมหาวิทยาลัยแจ้งว่าเหตุการณ์ดังกล่าวไม่เกี่ยวข้องกับการโจมตีของ MOVEit Transfer

เมื่อวันอังคารที่ 20 มิถุนายน 2566 ที่ผ่านมา Bleeping Computer รายงานว่าแฮ็กเกอร์ที่อยู่เบื้องหลังการโจมตีได้ส่งอีเมลถึงนักศึกษา โดยอ้างว่าได้ขโมยข้อมูลของนักศึกษาและบุคลากรที่เป็นความลับออกมากว่า 7 TB โดยผู้โจมตีได้ระบุในอีเมลว่า พวกเขาได้แฮ็กเครือข่าย manchester.

American Airlines และ Southwest Airlines 2 สายการบินที่ใหญ่ที่สุดในโลก ได้ออกมาประกาศเรื่องข้อมูลรั่วไหลเมื่อวันศุกร์ที่ 23 มิถุนายน 2566 ที่ผ่านมา โดยเกิดจากการถูกแฮ็กของ Pilot Credentials ซึ่งเป็นผู้ให้บริการจัดการใบสมัครนักบิน และพอร์ทัลการรับสมัครของสายการบินหลายแห่ง

American Airlines เป็นสายการบินที่ใหญ่ที่สุดในโลก มีเครื่องบินให้บริการมากกว่า 1,300 ลำ ให้บริการเที่ยวบินเกือบ 6,700 เที่ยวบินต่อวัน ไปยังจุดหมายปลายทางประมาณ 350 แห่ง ในกว่า 50 ประเทศ และมีพนักงานมากกว่า 120,000 คน

Southwest Airlines เป็นสายการบินต้นทุนต่ำรายใหญ่ที่สุดในโลก มีพนักงานเกือบ 70,000 คน และประจำอยู่ในสนามบินกว่า 121 แห่งใน 11 ประเทศ

เมื่อวันอาทิตย์ที่ 30 เมษายน 2566 พบบุคคลที่ไม่ได้รับอนุญาตเข้าถึงระบบของ Pilot Credentials และขโมยเอกสารข้อมูลที่ผู้สมัครบางคนให้ไว้ในกระบวนการจ้างงานนักบินและผู้ฝึกหัด โดยข้อมูลที่ส่งไปยังสำนักงานอัยการสูงสุดของรัฐเมน เมื่อวันศุกร์ที่ 23 มิถุนายน 2566 ที่ผ่านมา สายการบิน American Airlines ระบุว่า การรั่วไหลของข้อมูลส่งผลกระทบต่อนักบิน และผู้สมัคร 5,745 ราย ขณะที่ สายการบิน Southwest Airlines รายงานยอดรวม 3,009 ราย

จากการตรวจสอบ American Airlines พบว่าข้อมูลที่ถูกขโมยออกไป ประกอบด้วยข้อมูลส่วนบุคคล เช่น ชื่อ หมายเลขประกันสังคม หมายเลขใบขับขี่ หมายเลขหนังสือเดินทาง วันเกิด หมายเลขใบรับรองนักบิน และหมายเลขประจำตัวอื่น ๆ ที่ออกโดยรัฐบาล อย่างไรก็ตาม ยังไม่พบหลักฐานว่าข้อมูลส่วนบุคคลของนักบินถูกนำไปใช้เพื่อการฉ้อโกง หรือโจรกรรม แต่จากนี้สายการบินจะแนะนำนักบิน และผู้ฝึกหัดทั้งหมดเข้าสู่พอร์ทัลภายในของการจัดการตนเอง

Southwest Airlines ระบุว่าพวกเขาจะไม่ใช้บริการจากผู้ให้บริการอีกต่อไป และนับจากนี้ผู้สมัครนักบินจะถูกนำไปยังพอร์ทัลภายในที่จัดการโดย Southwest เอง

American Airlines และ Southwest Airlines ได้แจ้งหน่วยงานบังคับใช้กฎหมายที่เกี่ยวข้องเกี่ยวกับการละเมิดข้อมูล และให้ความร่วมมืออย่างเต็มที่กับการสอบสวนในครั้งนี้

American Airlines ผลกระทบจากการโจมตีอื่น ๆ ในช่วงไม่กี่ปีที่ผ่านมา

ในเดือนมีนาคม 2564 American Airlines ได้รับผลกระทบหลังจาก SITA ยักษ์ใหญ่ด้านเทคโนโลยีข้อมูลทางอากาศระดับโลก ถูกแฮ็กเกอร์เจาะเซิร์ฟเวอร์ และเข้าถึงระบบบริการผู้โดยสาร (Passenger Service System: PSS) ที่สายการบินหลายแห่งทั่วโลกใช้ ส่งผลให้ข้อมูลจำนวนหนึ่งถูกขโมยออกไป
ในเดือนกรกฎาคม 2565 American Airlines ถูกโจมตีแบบฟิชชิ่ง ส่งผลให้บัญชีอีเมลของพนักงานหลายบัญชีรั่วไหลออกสู่สาธารณะ ประกอบด้วยข้อมูลส่วนบุคคล รวมถึงชื่อของพนักงาน และลูกค้า วันเดือนปีเกิด ที่อยู่ทางไปรษณีย์ หมายเลขโทรศัพท์ อีเมล หมายเลขใบอนุญาตขับขี่ หมายเลขหนังสือเดินทาง และข้อมูลทางการแพทย์ จากการสอบสวนพบว่าผู้โจมตีใช้บัญชีที่รั่วไหลของพนักงานในการส่งอีเมลฟิชชิ่งเพิ่มเติมอีกด้วย
ในเดือนกันยายน 2565 American Airlines ออกมายืนยันข้อมูลรั่วไหล ส่งผลกระทบต่อลูกค้า และสมาชิกในทีมมากกว่า 1,708 ราย

ที่มา : bleepingcomputer