KeePass ได้ออกแพตซ์อัปเดต v2.54 เพื่อแก้ไขช่องโหว่ CVE-2023-32784 ที่ทำให้ผู้โจมตีสามารถขโมย master password ในรูปแบบ cleartext ออกจากหน่วยความจำของแอปพลิเคชันได้ (more…)

Trend Micro เปิดเผยการค้นพบแคมเปญการโจมตีใหม่ของมัลแวร์ RomCom ที่ได้ทำการปลอมแปลงเป็นเว็บไซต์ของซอฟต์แวร์ยอดนิยม เพื่อหลอกให้เหยื่อทำการดาวน์โหลด และติดตั้งโปรแกรมที่เป็นอันตราย (more…)

AT&T รายงานการพบ stealthy remote access trojan (RAT) ในชื่อ 'SeroXen' ที่กำลังได้รับความนิยมจากเหล่า Hacker เพิ่มขึ้นเรื่อย ๆ จากความสามารถในการหลบหลีกการตรวจจับ และความสามารถที่หลากหลาย (more…)

นักวิจัยด้านความปลอดภัยของ BlackBerry พบ Hacker ชาวบราซิลที่ยังไม่เป็นที่รู้จัก ได้กำหนดเป้าหมายการโจมตีไปที่ชาวสเปน และโปรตุเกสเพื่อขโมยข้อมูลบัญชีธนาคารออนไลน์ในเม็กซิโก เปรู และโปรตุเกส

Hacker รายนี้ใช้กลวิธีเช่น LOLBaS (living-off-the-land binaries and scripts) ร่วมกับสคริปต์ที่ใช้ CMD-based เพื่อดำเนินกิจกรรมที่เป็นอันตราย และหลีกเลี่ยงการตรวจจับด้วยมาตรการรักษาความปลอดภัยแบบดั้งเดิม โดยแคมเปญนี้มีชื่อว่า “Operation CMDStealer” ที่มี Hacker ชาวบราซิลอยู่เบื้องหลัง

การโจมตีส่วนใหญ่จะเป็นการใช้วิธีการ social engineering ด้วยอีเมลที่เกี่ยวข้องกับการธนาคาร และภาษี หรือการละเมิดกฎจราจร เพื่อหลอกล่อให้เหยื่อหลงกล และกดเปิดอีเมลที่เป็นอันตราย

ซึ่งอีเมลดังกล่าวมาพร้อมกับไฟล์แนบ HTML ที่มีโค้ดที่ถูกซ่อนไว้ เพื่อดาวน์โหลดเพย์โหลดขั้นต่อไปจากเซิร์ฟเวอร์ภายนอกในรูปแบบของ RAR archive file ซึ่งไฟล์เหล่านี้ได้กำหนดขอบเขตการโจมตีไปยังประเทศใดประเทศหนึ่ง รวมถึงไฟล์ .CMD ที่มีสคริปต์ AutoIt เพื่อดาวน์โหลด Visual Basic Script ในการขโมยข้อมูล Microsoft Outlook และรหัสผ่านของเบราว์เซอร์ หลังจากนั้นข้อมูลที่รวบรวม และขโมยออกมาได้จะถูกส่งกลับไปยัง C2 server ของ Hacker ผ่าน HTTP POST

การค้นพบนี้เกิดขึ้นพร้อมกับที่ ESET ได้ออกมาเปิดโปงกลยุทธ์ของเครือข่ายอาชญากรไซเบอร์ในไนจีเรีย ที่ดำเนินการหลอกลวงฉ้อโกงทางการเงินด้วยวิธีการที่ซับซ้อน โดยกำหนดเป้าหมายเป็นบุคคล ธนาคาร และธุรกิจในสหรัฐอเมริกา และที่อื่น ๆ ระหว่างเดือนธันวาคม 2011 ถึงมกราคม 2017 ด้วยการโจมตีแบบฟิชชิ่งเพื่อเข้าถึงบัญชีอีเมลของบริษัท และหลอกให้หุ้นส่วนธุรกิจส่งเงินไปยังบัญชีธนาคารที่ควบคุมโดย Hacker โดยเป็นเทคนิคที่ถูกเรียกว่า business email compromise

 

ที่มา : thehackernews

Trend Micro เปิดเผยรายงานการพบ Linux Ransomware ในชื่อ Strain BlackSuit ที่คล้ายคลึงกับ Royal Ransomware ซึ่งถูกพบจากการตรวจสอบเวอร์ชัน x64 VMware ESXi ที่กำหนดเป้าหมายการโจมตีไปยังเครื่อง Linux โดยมีความคล้ายคลึงกัน 98% ใน function ความคล้ายคลึงกัน (more…)

GitLab ได้เผยแพร่การอัปเดตแพตซ์ด้านความปลอดภัยเร่งด่วนเวอร์ชัน 16.0.1 เพื่อแก้ไขช่องโหว่ระดับ Critical (คะแนน CVSS v3.1: 10.0) หมายเลข CVE-2023-2825

โดย GitLab เป็นที่เก็บ Git repository บนเว็บ สำหรับทีมนักพัฒนาที่ต้องการจัดการโค้ดของตน มีผู้ใช้งานที่ลงทะเบียนประมาณ 30 ล้านราย และลูกค้าที่ใช้เวอร์ชันแบบเสียเงินกว่า 1 ล้านราย

ช่องโหว่ที่พบล่าสุด ถูกพบโดยนักวิจัยด้านความปลอดภัยชื่อ 'pwnie' ซึ่งรายงานช่องโหว่ในช่วงโครงการ bug bounty ของ GitLab ที่ชื่อว่า HackOne โดยช่องโหว่นี้ส่งผลกระทบกับ Community Edition (CE) และ Enterprise Edition (EE) เวอร์ชัน 16.0.0 แต่เวอร์ชันที่เก่ากว่านี้จะไม่ได้รับผลกระทบ
โดยเป็นช่องโหว่ path traversal ที่ทำให้ผู้โจมตีสามารถอ่านไฟล์บนเซิร์ฟเวอร์ได้ตามที่ต้องการ ซึ่งอาจทำให้ผู้โจมตีสามารถเข้าถึงข้อมูลที่มีความสำคัญ รวมถึงซอฟต์แวร์โค้ด, ข้อมูลผู้ใช้งาน, โทเค็น, ไฟล์ และข้อมูลส่วนตัวอื่น ๆ ได้

อย่างไรก็ตาม เนื่องจากช่องโหว่นี้มีระดับ Critical และเพิ่งถูกค้นพบ GitLab จึงยังไม่ได้เปิดเผยรายละเอียดมากนัก แต่เน้นย้ำถึงความสำคัญของการอัปเดตแพตซ์ให้เป็นเวอร์ชันล่าสุดโดยด่วน

GitLab แนะนำให้ผู้ใช้ GitLab 16.0.0 อัปเดตเป็นเวอร์ชัน 16.0.1 โดยเร็วที่สุด และปัจจุบันยังไม่มีวิธีแก้ไขปัญหาชั่วคราว หากต้องการอัปเดตการติดตั้ง GitLab ให้ทำตามคำแนะนำในหน้าอัปเดตของโปรเจ็กต์ สำหรับการอัปเดต GitLab Runner โปรดดูคู่มือนี้ hxxps[:]//docs[.]gitlab[.]com/runner/install/

 

ที่มา : bleepingcomputer

ร้านค้าออนไลน์ตกเป็นเป้าหมายของแคมเปญการโจมตีใหม่โดยใช้ Vidar malware มัลแวร์ขโมยข้อมูลที่ทำให้ Hacker สามารถขโมยข้อมูลจากผู้ขายของออนไลน์ออกไปได้

BleepingComputer ได้รับรายงานว่าแคมเปญใหม่นี้ พึ่งเปิดตัวในสัปดาห์นี้โดย Hacker ได้ส่งข้อร้องเรียนไปยังผู้ดูแลร้านค้าออนไลน์ผ่านอีเมล และแบบฟอร์มติดต่อเว็บไซต์ ซึ่งอีเมลเหล่านี้หลอก (more…)

Zyxel ได้เผยแพร่คำแนะนำด้านความปลอดภัยที่มีคำแนะนำเกี่ยวกับการปกป้องไฟร์วอลล์ และอุปกรณ์ VPN จากการโจมตีอย่างต่อเนื่อง และการตรวจจับสัญญาณของการโจมตีจากช่องโหว่

คำเตือนดังกล่าวป็นการตอบสนองต่อการโจมตีโดยใช้ช่องโหว่ที่มีระดับความรุนแรงสูงหมายเลข CVE-2023-28771, CVE-2023-33009 และ CVE-2023-33010 อย่างกว้างขวาง ซึ่งทั้งหมดนี้ส่งผลกระทบต่ออุปกรณ์ VPN และไฟร์วอลล์ของ Zyxel

Zyxel พบว่ามี botnet ได้ใช้ประโยชน์จากช่องโหว่ CVE-2023-28771 เพื่อดำเนินการคำสั่งที่เป็นอันตรายจากระยะไกล (remote command execution) ผ่านแพ็กเก็ตที่เป็นอันตรายที่สร้างขึ้นเป็นพิเศษ รวมถึงช่องโหว่อีก 2 รายการ ได้แก่ CVE-2023-33009 และ CVE-2023-33010 ซึ่งเป็นช่องโหว่ buffer overflow ที่ทำให้ Hacker สามารถหลีกเลี่ยงการตรวจสอบสิทธิ์ และ denial of service (DoS) บนอุปกรณ์ที่มีช่องโหว่ หรือเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกลได้

ตารางสรุปผลิตภัณฑ์ Zyxel ที่ได้รับผลกระทบ เวอร์ชันที่มีช่องโหว่ และเวอร์ชันอัปเดตความปลอดภัยสำหรับแต่ละรายการ

ลักษณะของปัญหา และการแก้ไข

Zyxel ระบุว่าลักษณะ หรือตัวบ่งชี้ที่ชัดเจนว่าอุปกรณ์ดังกล่าวได้ถูกโจมตีไปแล้ว นั่นคือการไม่ตอบสนอง และไม่สามารถเข้าถึงอินเทอร์เฟซผู้ใช้งานบนเว็บ หรือ SSH management panel ของอุปกรณ์ได้ รวมไปถึงความไม่เสถียรของการเชื่อมต่อ และการ VPN

คำแนะนำของ Zyxel คือการอัปเดตแพตซ์ด้านความปลอดภัย ได้แก่ 'ZLD V5.36 Patch 2' สำหรับ ATP – ZLD, USG FLEX และ VPN-ZLD และ 'ZLD V4.73 Patch 2' สำหรับ ZyWALL

ทั้งนี้หากผู้ดูแลระบบยังไม่สามารถทำการอัปเดตความปลอดภัยได้ทันที ทาง Zyxel แนะนำให้ดำเนินมาตรการเพื่อลดผลกระทบจากการโจมตี ดังนี้

ปิดใช้บริการ HTTP/HTTPS จาก WAN (Wide Area Network) เพื่อลดความเสี่ยงจากการเข้าถึงระบบที่มีช่องโหว่จากภายนอก
หากผู้ดูแลระบบจำเป็นต้องจัดการอุปกรณ์ผ่าน WAN ควรเปิดใช้งาน 'Policy Control' และเพิ่ม Rules ที่อนุญาตเฉพาะที่อยู่ IP ที่เชื่อถือได้เท่านั้นในการเข้าถึงอุปกรณ์
ทำการเปิดใช้การกรอง GeoIP เพื่อจำกัดการเข้าถึงของผู้ใช้งาน/ระบบจากสถานที่ที่เชื่อถือได้เท่านั้น
ปิด UDP Port 500 และ Port 4500 หากไม่ได้ใช้งาน IPSec VPN ซึ่งเป็นการปิดช่องทางสำหรับการโจมตี

 

ที่มา : bleepingcomputer

NSA และ FBI แจ้งเตือนการพบ Kimsuky (a.k.a APT43) กลุ่ม Hacker ชาวเกาหลีเหนือที่ได้รับการสนับสนุนจากรัฐ ได้ปลอมตัวเป็นนักข่าว และนักวิชาการ แล้วใช้การโจมตีแบบ spear-phishing เพื่อรวบรวมข้อมูลข่าวกรองจากองค์กรด้านนวัตกรรม ศูนย์วิจัย สถาบันการศึกษา และองค์กรสื่อต่าง ๆ

โดยการแจ้งเตือนดังกล่าวมาจากการที่หน่วยงานรัฐบาลหลายแห่งในสหรัฐอเมริกา และเกาหลีใต้ ซึ่งกำลังติดตามปฏิบัติการของ Hacker กลุ่มดังกล่าว รวมถึงวิเคราะห์รูปแบบการโจมตีของกลุ่ม ทั้งนี้หน่วยงานต่าง ๆ ที่ออกมาแจ้งเตือนประกอบไปด้วย ที่ปรึกษาร่วมจากสำนักงานสืบสวนกลางแห่งสหรัฐอเมริกา (FBI) กระทรวงการต่างประเทศสหรัฐฯ สำนักงานความมั่นคงแห่งชาติ (NSA) ร่วมกับหน่วยข่าวกรองแห่งชาติของเกาหลีใต้ (NIS) สำนักงานตำรวจแห่งชาติ (NPA) และกระทรวงการต่างประเทศ (MOFA)

Kimsuky นอกจากมีชื่อ APT43 แล้ว ยังเป็นที่รู้จักในชื่อ Thallium และ Velvet Chollima ได้ดำเนินแคมเปญจารกรรมขนาดใหญ่ ที่ได้รับการสนับสนุนจากหน่วยงานข่าวกรอง และสำนักงานลาดตระเวนทั่วไป (RGB) ของเกาหลีเหนือมาตั้งแต่ปี 2012 เป็นอย่างน้อย

การโจมตีด้วย Spear-phishing ที่ปลอมตัวเป็นนักข่าว

Kimsuky ได้เริ่มต้นการโจมตีด้วย spear-phishing โดยใช้ที่อยู่อีเมลที่ใกล้เคียงกับบุคคลจริง และสร้างเนื้อหาที่น่าเชื่อถือ และสมจริงสำหรับการสื่อสารกับเป้าหมาย ในหัวข้อต่าง ๆ ที่สังเกตได้ ได้แก่ การสอบถาม, การเชิญสัมภาษณ์, การสำรวจที่กำลังดำเนินอยู่ และการขอรายงาน หรือการตรวจสอบเอกสาร ซึ่งใน phishing Email จะเริ่มต้นโดยไม่มีมัลแวร์ หรือไฟล์แนบใด ๆ เนื่องจากต้องการได้รับความไว้วางใจจากเป้าหมาย หากเป้าหมายไม่ตอบกลับอีเมลเหล่านี้ Kimsuky จะกลับมาพร้อมข้อความติดตามหลังจากผ่านไปสองสามวัน

ทาง FBI พบว่าในอีเมลภาษาอังกฤษก็มีโครงสร้างประโยค และอาจมีข้อความที่ตัดตอนมาจากการสื่อสารครั้งก่อนของเหยื่อกับผู้ติดต่อที่ถูกต้องซึ่งถูกขโมยไป รวมถึงเมื่อเป้าหมายเป็นชาวเกาหลีใต้ ข้อความฟิชชิ่งอาจมีภาษาถิ่นของเกาหลีเหนือที่แตกต่างกัน นอกจากนี้ยังพบว่าที่อยู่ที่ใช้ในการส่งอีเมลฟิชชิ่งจะปลอมแปลงเป็นของบุคคล หรือหน่วยงานที่ถูกต้องตามกฎหมาย แต่มักจะมีการสะกดผิดเล็กน้อย

การป้องกัน Kimsuky

ทั้งนี้หน่วยงานต่างๆ ที่ออกมาแจ้งเตือน ได้ให้คำแนะนำในการป้องกันการโจมตีจาก Kimsuky ไว้ว่า

ควรมีชุดมาตรการลดผลกระทบ ซึ่งรวมถึงการใช้รหัสผ่านที่รัดกุมเพื่อป้องกันบัญชี และเปิดใช้งาน multi-factor authentication (MFA)
ผู้ใช้ไม่ควรเปิดใช้งาน Macro ในเอกสารในอีเมลที่ส่งโดยบุคคลที่ไม่รู้จัก
ตรวจสอบเอกสารที่ส่งจากบริการ cloud hosting services ที่รู้จักเท่านั้น
เมื่อมีข้อสงสัยเกี่ยวกับข้อความที่อ้างว่ามาจากกลุ่มสื่อหรือนักข่าว โปรดไปที่เว็บไซต์อย่างเป็นทางการขององค์กรนั้น และยืนยันความถูกต้องของข้อมูลติดต่อ

 

ที่มา : bleepingcomputer

Cisco Talos เปิดเผยรายงานการพบแคมเปญการโจมตีที่มุ่งเป้าหมายการโจมตีไปยังบัญชี Gmail, Outlook ของเป้าหมาย ซึ่งเกี่ยวข้องกับมัลแวร์บอตเน็ตที่ชื่อ Horabot ผ่านการใช้ banking trojan (more…)