แอปพลิเคชันบน Android 3 รายการบน Google Play ถูกใช้โดยผู้โจมตีที่ได้รับการสนับสนุนจากรัฐ เพื่อรวบรวมข้อมูลจากอุปกรณ์เป้าหมาย เช่น ข้อมูลตำแหน่ง และรายชื่อผู้ติดต่อ

แอปพลิเคชันดังกล่าวถูกพบโดย Cyfirma ซึ่งระบุถึงปฏิบัติการดังกล่าวว่ามาจากกลุ่มแฮ็กเกอร์ที่ชื่อ "DoNot" ของอินเดีย ซึ่งถูกติดตามในชื่อ APT-C-35 ซึ่งกำหนดเป้าหมายไปยังองค์กรที่มีชื่อเสียงระดับสูงในเอเชียตะวันออกเฉียงใต้ตั้งแต่ปี 2018 (more…)

Microsoft ออกอัปเดตเพื่อแก้ไขช่องโหว่การเปิดเผยข้อมูลใน Windows Kernel ที่ส่งผลกระทบต่อระบบที่ใช้ Windows หลายเวอร์ชัน รวมถึง Windows 10, Windows Server และ Windows 11 ซึ่งเป็นส่วนหนึ่งของการอัปเดตด้านความปลอดภัยประจำเดือนมิถุนายน 2023

CVE-2023-32019 (คะแนน CVSS 4.7/10 ระดับความรุนแรงปานกลาง) เป็นช่องโหว่ที่ทำให้ Hacker ที่ผ่านการตรวจสอบสิทธิ์สามารถเข้าถึง heap memory ของ process พิเศษที่ทำงานบนระบบ ซึ่งช่องโหว่นี้ได้ถูกค้นพบ และรายงานโดยนักวิจัยด้านความปลอดภัยของ Google Project Zero (more…)

นักวิจัยของ ESET พบแคมเปญมัลแวร์ตัวใหม่ที่มุ่งเป้าการโจมตีไปยัง Android ของ “GravityRAT” ซึ่งพบการโจมตีมาตั้งแต่เดือนสิงหาคม 2022 โดยการติดตั้งแอปพลิเคชันแชทที่ฝังโทรจันในชื่อ 'BingeChat' เพื่อขโมยข้อมูลจากอุปกรณ์ของเหยื่อ

โดยทาง ESET พบความสามารถใหม่ที่น่าสนใจของ “GravityRAT” เวอร์ชันล่าสุด คือความสามารถในการขโมยข้อมูลไฟล์ WhatsApp backup ในอุปกรณ์ของเหยื่อ

โดย WhatsApp backup ถูกสร้างขึ้นเพื่อช่วยให้ผู้ใช้งานสามารถย้ายประวัติข้อความ ไฟล์มีเดีย และข้อมูลไปยังอุปกรณ์ใหม่ ซึ่งอาจมีข้อมูลที่มีความสำคัญต่าง ๆ เช่น ข้อความ วิดีโอ ภาพถ่าย เอกสาร และอื่น ๆ ในรูปแบบที่ไม่ได้ถูกเข้ารหัส (more…)

Team Cymru บริษัทด้านความปลอดภัยทางไซเบอร์ เปิดเผยการค้นพบว่ากลุ่ม Hacker ที่อยู่เบื้องหลัง Vidar Malware ได้ทำการเปลี่ยนแปลงโครงสร้างเบื้องหลังการทำงานของกลุ่ม ซึ่งแสดงให้เห็นถึงการพยายามที่จะปรับแต่งเครื่องมือในการโจมตีใหม่ ๆ และปกปิดเส้นทางออนไลน์ เพื่อตอบสนองต่อการถูกเปิดเผยต่อสาธารณะเกี่ยวกับวิธีการทำงาน และการโจมตีของกลุ่ม Hacker ที่อยู่เบื้องหลัง Vidar Malware โดย Hacker เปลี่ยนแปลง IP โครงสร้างเบื้องหลัง ซึ่งนิยมใช้ผู้ให้บริการที่อยู่ในมอลโดวา และรัสเซีย

Vidar Malware เป็นมัลแวร์ขโมยข้อมูลที่ถูกใช้ในเชิงพาณิชย์ โดยพบการโจมตีตั้งแต่ปลายปี 2018 นอกจากนี้ยังเป็นส่วนประกอบของมัลแวร์ขโมยข้อมูลตัวอื่น ในชื่อ Arkei ซึ่งได้ถูกเสนอขายด้วยราคาระหว่าง $130 ถึง $750 ขึ้นอยู่กับระดับการสมัครสมาชิกของผู้ใช้บริการ (more…)

แฮ็กเกอร์จีนใช้ประโยชน์จากช่องโหว่ VMware Zero-Day เพื่อเข้าถึงระบบ Windows และ Linux

กลุ่มแฮ็กเกอร์ที่ได้รับการสนับสนุนจากรัฐบาลจีนที่รู้จักกันในชื่อ UNC3886 ถูกพบว่ากำลังใช้ประโยชน์จากช่องโหว่ zero-day ใน VMware ESXi เพื่อเข้าถึงระบบ Windows และ Linux

โดยนักวิจัยจาก Mandiant ระบุว่า ช่องโหว่นี้สามารถ bypass การตรวจสอบของ VMware Tools Authentication ได้ และจากการติดตาม ตรวจสอบช่องโหว่พบว่า เป็นช่องโหว่หมายเลข CVE-2023-20867 (คะแนน CVSS : 3.9) ที่ทำให้สามารถเรียกใช้คําสั่งที่มีสิทธิ์สูงผ่าน Windows, Linux และ PhotonOS (vCenter) guest VMs โดยไม่ต้องผ่านการยืนยันตัวตนจาก ESXi และไม่มี Log เกิดขึ้นบนเครื่อง guest VMs

UNC3886 ถูกพบครั้งแรกโดยบริษัทข่าวกรองด้านภัยคุกคามของ Google ในเดือนกันยายน 2022 ว่าเป็นกลุ่มผู้โจมตีที่มุ่งเป้าไปที่ VMware ESXi และเซิร์ฟเวอร์ vCenter โดยใช้ backdoor ชื่อ VIRTUALPITA และ VIRTUALPIE

ก่อนหน้านี้ในเดือนมีนาคม พบว่ากลุ่มแฮ็กเกอร์ดังกล่าวมีความเชื่อมโยงกับการใช้ประโยชน์จากช่องโหว่ที่มีระดับความรุนแรงปานกลางในระบบปฏิบัติการของ Fortinet FortiOS เพื่อติดตั้งมัลแวร์บนเครือข่าย

โดยกลุ่มดังกล่าวถูกระบุว่าเป็นกลุ่มที่มีความเชี่ยวชาญสูง และเป็นกลุ่มที่มีเป้าหมายการโจมตีไปที่องค์กรด้านเทคโนโลยี และองค์กรโทรคมนาคมในสหรัฐอเมริกา ญี่ปุ่น และภูมิภาคเอเชียแปซิฟิก

นักวิจัยของ Mandiant ระบุว่ากลุ่มดังกล่าวสามารถเข้าถึงการวิจัย และการสนับสนุนเพื่อทำความเข้าใจเทคโนโลยีพื้นฐานของอุปกรณ์ที่เป็นเป้าหมาย เนื่องจากรูปแบบของเครื่องมือที่ใช้โจมตีช่องโหว่บน firewall และ virtualization software ที่ไม่รองรับโซลูชัน EDR

ข้อมูลส่วนหนึ่งของการโจมตี ESXi พบว่า มีการพยายามรวบรวมข้อมูล credential จากเซิร์ฟเวอร์ vCenter และใช้ช่องโหว่ CVE-2023-20867 เพื่อรันคําสั่ง และถ่ายโอนไฟล์จาก guest VMs บน ESXi ของเหยื่อ

จุดที่น่าสังเกตของกลุ่ม UNC3886 คือ การใช้ซ็อกเก็ต Virtual Machine Communication Interface (VMCI) สำหรับการโจมตีต่อไปยังระบบอื่น ๆ ในเครือข่าย รวมถึงความพยายามในการแฝงตัวบนระบบ ดังนั้นจึงทำให้ผู้โจมตีสามารถแอบสร้างช่องทางเชื่อมต่อระหว่างโฮสต์ ESXi และ guest VMs ได้

นักวิจัยของ Mandiant ระบุว่า ช่องทางการเชื่อมต่อระหว่าง guest และโฮสต์ จะทำหน้าที่เป็น client หรือเซิร์ฟเวอร์ ซึ่งจะช่วยให้ผู้โจมตีสามารถเข้าถึงโฮสต์ ESXi แบบ backdoor ได้ ซึ่งก็จะทำให้ผู้โจมตีได้รับสิทธิ์ และสามารถเข้าถึงเครื่อง guest ต่าง ๆ ได้

การโจมตีดังกล่าวเกิดขึ้นภายหลังจากที่ Sina Kheirkhah นักวิจัยจาก Summoning Team ได้เปิดเผยช่องโหว่ที่แตกต่างกัน 3 รายการใน VMware Aria Operations for Networks (CVE-2023-20887, CVE-2023-20888 และ CVE-2023-20889) ที่อาจส่งผลให้มีการเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกลได้ (Remote Code Execution)

 

ที่มา : thehackernews.

Chrome ออกแพตช์ Update เวอร์ชัน 114 แก้ไขช่องโหว่ระดับ Critical

เมื่อวันอังคารที่ผ่านมา Google ออกอัปเดตด้านความปลอดภัยของ Chrome browser เวอร์ชัน 114 เพื่อแก้ไขช่องโหว่ 5 รายการ รวมถึงช่องโหว่ที่มีระดับความรุนแรงสูง 4 รายการ ซึ่งถูกรายงานโดยนักวิจัยจากภายนอก

ช่องโหว่ที่สำคัญที่สุดคือ CVE-2023-3214 ซึ่งมีระดับความรุนแรงสูง เป็นช่องโหว่ use-after-free ในการชำระเงินอัตโนมัติ (Autofill payments) ซึ่งได้รับการรายงานโดย Rong Jian จาก VRI

ช่องโหว่ Use-after-free เป็นช่องโหว่ประเภทหนึ่งของ Memory corruption bugs ที่เกิดขึ้น เมื่อ pointer ไม่ถูกเคลียร์ภายหลังจากการจัดสรรหน่วยความจำ ซึ่งช่องโหว่ดังกล่าวอาจถูกนำไปใช้เพื่อทำการ Remote code execution (RCE), Denial-of-Service (DoS) หรือทำให้ข้อมูลเสียหาย และอาจนำไปสู่การถูกเข้าควบคุมระบบอย่างสมบูรณ์ หากมีการโจมตีร่วมกับช่องโหว่อื่น ๆ โดยใน Chrome การใช้ประโยชน์จากช่องโหว่ use-after-free ได้สำเร็จอาจทำให้สามารถเจาะผ่าน browser sandbox ได้ หากผู้โจมตีสามารถกำหนดเป้าหมาย Chrome process ที่มีสิทธิพิเศษ หรือช่องโหว่ในระบบปฏิบัติการพื้นฐาน

นอกจาก CVE-2023-3214 แล้ว Chrome ยังแก้ไขช่องโหว่ use-after-free อีก 2 รายการ ซึ่งเป็นช่องโหว่ที่จัดอยู่ในระดับความรุนแรงสูง ได้แก่ CVE-2023-3215 ที่ส่งผลกระทบต่อ WebRTC และ CVE-2023-3217 ที่ส่งผลกระทบต่อ WebXR และช่องโหว่ที่สี่ที่มีการรายงานจากนักวิจัยภายนอกได้มีการแก้ไขแล้วในเบราเซอร์เวอร์ชันใหม่นี้ ด้วยการแก้ไข confusion bug ใน V8 JavaScript engine

Chrome iteration เวอร์ชันล่าสุดคือ 14.0.5735.133 สำหรับ macOS และ Linux และเวอร์ชัน 114.0.5735.133/134 สำหรับ Windows

เวอร์ชันใหม่นี้ออกมาหนึ่งสัปดาห์ หลังจากที่ Google ได้ปล่อยแพตซ์อัปเดต Chrome ฉุกเฉินเพื่อแก้ไขช่องโหว่ Zero-day ที่กำลังถูกใช้ในการโจมตี ซึ่งเป็น Zero-day ใน Chrome browser ครั้งที่ 3 ตั้งแต่ต้นปี

ที่มา : www.

แฮ็กเกอร์กำลังแพร่กระจายไฟล์ Windows 10 ที่แอบซ่อน hijackers cryptocurrency ใน EFI (Extensible Firmware Interface) เพื่อหลีกเลี่ยงการตรวจจับ

EFI partition เป็น system partition ขนาดเล็กที่มี bootloader และไฟล์ที่เกี่ยวข้อง ซึ่งเรียกทำงานก่อนที่จะเริ่มระบบปฏิบัติการ โดยจำเป็นสำหรับระบบ UEFI-powered systems แทนที่ BIOS ที่เลิกใช้แล้วในปัจจุบัน

การโจมตีโดยใช้ EFI partition ที่ดัดแปลงเพื่อเปิดใช้งานมัลแวร์จากภายนอกของระบบปฏิบัติการ และเครื่องมือป้องกัน เช่น ในกรณีของ BlackLotus ที่ใช้ไฟล์ ISO ของ Windows 10 แบบละเมิดลิขสิทธิ์ ซึ่งถูกพบโดยนักวิจัยจาก Dr. Web ซึ่งใช้ EFI เป็นพื้นที่จัดเก็บสำหรับส่วนประกอบของมัลแวร์ clipper เนื่องจากอุปกรณ์ป้องกันมัลแวร์โดยทั่วไปมักไม่ตรวจสอบ EFI partition มัลแวร์จึงสามารถหลีกเลี่ยงการตรวจจับได้

Windows 10 builds ซ่อนแอปที่เป็นอันตรายไว้ในไดเร็กทอรีระบบต่อไปนี้ :

\Windows\Installer\iscsicli.

Obsidian บริษัทด้านความปลอดภัยทางไซเบอร์พบการโจมตีของแรนซัมแวร์ที่โจมตี Sharepoint Online (Microsoft 365) สำเร็จ ผ่านบัญชีผู้ดูแลระบบ Microsoft Global SaaS แทนที่จะโจมตีผ่านการเข้าควบคุมเครื่องผู้ใช้งานก่อน

มีการวิเคราะห์การโจมตีหลังการถูกเข้าควบคุมระบบ ทีมวิจัย Obsidian ไม่ได้เปิดเผยชื่อของเหยื่อ แต่เชื่อว่าผู้โจมตีคือกลุ่มที่รู้จักกันในชื่อ 0mega (more…)

องค์กรจำนวนมากทั่วโลกตกเป็นเป้าหมายของแคมเปญการโจมตีแบบ Business email compromise (BEC) ที่เกี่ยวข้องกับการใช้เทคนิค adversary-in-the-middle (AitM) เพื่อดำเนินการโจมตี

นักวิจัยจาก 'Sygnia' ให้ข้อมูลกับ The Hacker News ว่า "หลังจากการโจมตีด้วยฟิชชิ่งได้สำเร็จ ซึ่งผู้โจมตีอาจใช้วิธีการโจมตีด้วยเทคนิค 'adversary-in-the-middle' เพื่อหลีกเลี่ยงการยืนยันตัวตนของ Office365 ทำให้ผู้ไม่หวังดีสามารถเข้าถึงบัญชีของเป้าหมายได้อย่างสมบูรณ์"

หลังจากที่สามารถเข้าถึงบัญชีของผู้ใช้งานได้แล้ว ผู้ไม่หวังดีจะขโมยข้อมูลที่สำคัญออกไปจากบัญชีที่ถูกโจมตี และบัญชีนี้เพื่อโจมตีด้วยฟิชชิ่งต่อไปยังพนักงานอื่น ๆ รวมถึงองค์กรที่เป็นพาร์ทเนอร์ หรือคู่ค้าภายนอกหลายแห่ง

การโจมตีดังกล่าวเกิดขึ้นไม่ถึงหนึ่งสัปดาห์หลังจากที่ Microsoft ได้ให้รายละเอียดเกี่ยวกับการโจมตีร่วมกันด้วยฟิชชิ่งแบบ AitM และการโจมตีแบบ Business Email Compromise (BEC) ที่พบการมุ่งเป้าหมายไปที่ธนาคาร และบริการทางการเงิน

การโจมตีแบบ BEC โดยทั่วไปจะเกี่ยวข้องกับการหลอกลวงเป้าหมายผ่านทางอีเมล เพื่อให้เป้าหมายโอนเงิน หรือเปิดเผยข้อมูลความลับของบริษัท นอกจากการปลอมแปลงอีเมลให้เหมาะสมกับเป้าหมายที่ตั้งไว้ ผู้โจมตียังใช้การปลอมตัวเป็นบุคคลที่ดูน่าเชื่อถืออีกด้วย

โดยการโจมตีแบบ BEC มักจะเกิดขึ้นจากการใช้เทคนิค social engineering เพื่อเข้าถึงบัญชีของเหยื่อ จากนั้นผู้ไม่หวังดีจะใช้อีเมลของเหยื่อเพื่อส่งอีเมลใบแจ้งหนี้ปลอมให้กับลูกค้า หรือซัพพลายเออร์ของบริษัทเพื่อให้ชำระเงินเข้าบัญชีธนาคารปลอมของผู้โจมตี

ในลำดับการโจมที่ถูกบันทึกไว้โดย Sygnia พบว่าผู้โจมตีได้ส่งอีเมลฟิชชิ่งที่แนบลิงก์ "shared document" ซึ่งจริง ๆ เป็นหน้าเว็บฟิชชิ่งแบบ AitM ที่ออกแบบมาเพื่อเก็บข้อมูลของผู้ใช้งาน เช่น ข้อมูลประจำตัว และ one-time passwords

นอกจากนี้ยังมีรายงานว่าผู้ไม่หวังดีใช้สิทธิ์ในการเข้าถึงบัญชีชั่วคราวที่ได้จากการโจมตีแบบ AitM ของเหยื่อ ไปใช้ในการลงทะเบียนอุปกรณ์ Multi-Factor Authentication (MFA) ใหม่ เพื่อเข้าถึงระบบได้อย่างถาวรจาก IP Address ที่ตั้งอยู่ในประเทศออสเตรเลีย

นักวิจัยจาก Sygnia กล่าวว่า "นอกจากการนำข้อมูลที่มีความสำคัญออกจากบัญชีของเหยื่อแล้ว ผู้ไม่หวังดียังใช้สิทธิ์การเข้าถึงนี้ในการส่งอีเมลฟิชชิ่งใหม่ ที่ประกอบด้วยลิงก์ที่เป็นอันตรายไปให้พนักงานจำนวนมาก รวมถึงส่งไปยังองค์กรอื่น ๆ เพิ่มเติม"

นักวิจัยให้ข้อมูลเพิ่มเติมว่า อีเมลฟิชชิ่งจะถูกแพร่กระจายในลักษณะเหมือน 'worm' จากบริษัทหนึ่งไปยังอีกบริษัทหนึ่ง และระหว่างพนักงานภายในบริษัทเดียวกัน ซึ่งในขณะนี้ยังไม่ทราบจำนวนการโจมตีที่แน่นอนของแคมเปญดังกล่าว

ที่มา : thehackernews

พบ Spyware ในแอนดรอยด์ตัวใหม่ ที่ปลอมตัวเป็นแอปพลิเคชันรับส่งข้อความยอดนิยมเพื่อขโมยข้อมูลที่สำคัญของผู้ใช้งาน

โดย Cyble Research & Intelligence Labs (CRIL) พบสปายแวร์ในแอนดรอยด์ตัวใหม่ที่มุ่งเป้าเพื่อขโมยข้อมูลที่สำคัญของผู้ใช้งาน เนื่องจากมัลแวร์นี้มีความแปลกใหม่ ดังนั้นนักวิจัยจึงเรียกมัลแวร์ตัวนี้ว่า 'HelloTeacher' โดยอ้างอิงจากบริการทดสอบที่มีอยู่ในซอร์สโค้ด

มัลแวร์ HelloTeacher จะปลอมตัวเป็นแอปพลิเคชันรับส่งข้อความยอดนิยม เช่น Viber หรือ kik Messenger เพื่อหลอกให้เป้าหมายติดตั้งแอปพลิเคชันที่เป็นอันตราย โดยตัวมัลแวร์มีความสามารถที่หลากหลาย เช่น การดึงข้อมูลรายชื่อผู้ติดต่อ, ข้อความ SMS, รูปภาพ, รายการแอปพลิเคชันที่ติดตั้ง, การจับภาพหน้าจอ และบันทึกหน้าจอของอุปกรณ์ที่ติดมัลแวร์

นอกจากนี้ผู้พัฒนามัลแวร์ HelloTeacher ยังพยายามเพิ่มฟังก์ชันของ banking trojan โดยใช้ฟีเจอร์อย่าง Accessibility Service โดยเป้าหมายหลักในการโจมตีเป็นธนาคารชื่อดังสามแห่งในเวียดนาม:

Package name

com.