นักวิจัยได้เผยแพร่เครื่องมือที่ใช้สำหรับการโจมตีช่องโหว่ Remote Code Execution (RCE) ที่ส่งผลกระทบต่อ ReportLab Toolkit ซึ่งเป็น Python library ยอดนิยมที่หลาย project ใช้เพื่อสร้างไฟล์ PDF จากอินพุต HTML

Proof-of-Concept (PoC) สำหรับ CVE-2023-33733 ถูกเผยแพร่เมื่อวานนี้ (30 พฤษภาคม 2023) บน GitHub พร้อมกับรายละเอียดทางเทคนิคเกี่ยวกับช่องโหว่ ซึ่งเป็นการเพิ่มโอกาสให้ผู้ไม่หวังดีสามารถใช้ประโยชน์จากช่องโหว่ดังกล่าว

ReportLab Toolkit ถูกใช้โดยหลาย project สำหรับเป็น PDF library และมีการดาวน์โหลดไปแล้วประมาณ 3.5 ล้านครั้งต่อเดือนบน PyPI (Python Package Index)

Bypass การแก้ไขช่องโหว่ครั้งก่อน

โดยช่องโหว่เกิดจากการสามารถ bypass ข้อจำกัดของ sandbox ใน 'rl_safe_eval' ซึ่งมีหน้าที่ป้องกันการเรียกใช้โค้ดที่เป็นอันตราย ทำให้ผู้โจมตีเข้าถึงฟังก์ชันของ Python ที่อาจเป็นอันตรายได้

ฟังก์ชัน 'rl_safe_eval' ถูกนำมาใช้เป็นมาตรการเพื่อป้องกันช่องโหว่การเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกลในลักษณะคล้ายกัน ซึ่งถูกค้นพบในปี 2019 ดังนั้นนักวิจัยจึงมุ่งเน้นไปที่การ bypass ฟังก์ชันดังกล่าว

PoC ที่ถูกเผยแพร่จะดึงฟังก์ชัน 'type' ที่สร้างขึ้นมาเพื่อช่วยสร้างคลาสใหม่ที่ชื่อว่า 'Word' ซึ่งสืบทอดมาจากคลาส 'str' ซึ่งสามารถหลีกเลี่ยงการตรวจสอบด้านความปลอดภัย และให้สิทธิ์เข้าถึงแอตทริบิวต์ที่มีความสำคัญ เช่น 'code' ได้

จากนั้น 'type' จะถูกเรียกใช้ในตัวมันเองเพื่อเลี่ยงการตรวจสอบ eval ที่เกี่ยวกับข้อจำกัดจำนวนอาร์กิวเมนต์ ทำให้ผู้โจมตีสามารถใช้ฟังก์ชัน 'type' เดิมที่ติดตั้งไว้สำหรับการสร้างคลาส และอ็อบเจ็กต์ใหม่ได้

จึงนำไปสู่การสร้างฟังก์ชันที่เป็นอันตรายจาก bytecode ของฟังก์ชันที่คอมไพล์ ซึ่งอาจทำให้สามารถรันโค้ดได้ตามที่ต้องการ โดยจาก PoC ของนักวิจัย จะทำการเรียกคำสั่งบน OS เพื่อสร้างไฟล์ชื่อ 'exploited' ในไดเร็กทอรี "/tmp/"

Elyas Damej นักวิจัยของ Cure53 แจ้งเตือนในรายงานว่า การใช้ประโยชน์จากช่องโหว่ CVE-2023-33733 ทำได้ง่ายมาก เพียงแค่ใส่โค้ดที่เป็นอันตรายไว้ในไฟล์ HTML ซึ่งจะถูกแปลงเป็น PDF บนซอฟต์แวร์ที่ใช้ไลบรารี ReportLab

คำแนะนำ

ช่องโหว่ส่งผลกระทบต่อไลบรารีเวอร์ชันก่อนหน้านี้ทั้งหมด
ทำการอัปเดตเป็นเวอร์ชัน 3.6.13

 

ที่มา : bleepingcomputer

ก่อนหน้านี้กลุ่ม Advanced Persistent Threat (APT) ที่ยังไม่ถูกระบุชื่อ กำลังมุ่งเป้าไปที่อุปกรณ์ iOS ซึ่งเป็นส่วนหนึ่งของการโจมตีอุปกรณ์ทางด้าน Mobile ด้วยแคมเปญการโจมตีที่มีความซับซ้อนในชื่อ Operation Triangulation ซึ่งเริ่มขึ้นในปี 2019

Kaspersky ระบุว่า เป็นการโจมตีโดยใช้ช่องโหว่ zero-click ผ่านแพลตฟอร์ม iMessage และมัลแวร์จะทำงานด้วยสิทธิ์ root ซึ่งทำให้สามารถเข้าควบคุมอุปกรณ์ และข้อมูลของผู้ใช้งานได้

Kaspersky ระบุว่า พบร่องรอยของการถูก compromised ภายหลังจากมีการ backups ข้อมูลของอุปกรณ์เป้าหมาย

การโจมตีเริ่มต้นด้วยอุปกรณ์ iOS จะได้รับข้อความผ่าน iMessage ที่มีไฟล์แนบที่มีช่องโหว่มากับข้อความด้วย

ช่องโหว่ลักษณะนี้ถูกเรียกว่า zero-click ซึ่งผู้โจมตีสามารถใช้ประโยชน์จากช่องโหว่นี้ผ่านข้อความได้โดยไม่ต้องมีการโต้ตอบจากผู้ใช้งาน เพื่อให้สามารถดำเนินการ execution code ได้

นอกจากนี้ยังมีการกำหนดค่าเพย์โหลดเพิ่มเติมสำหรับการเพิ่มระดับสิทธิ์ และติดตั้งมัลแวร์จากเซิร์ฟเวอร์ภายนอกได้อีกด้วย

โดยมัลแวร์ตัวนี้ทำงานภายใต้สิทธิ์ Root สามารถดึงข้อมูลที่มีความสำคัญ และรันโค้ดที่ดาวน์โหลดมาเป็นโมดูลปลั๊กอินจากเซิร์ฟเวอร์

ในขั้นตอนสุดท้าย ทั้งข้อความเริ่มต้น และช่องโหว่ในไฟล์แนบจะถูกลบออกเพื่อลบร่องรอยของการมัลแวร์

ขอบเขตในการโจมตีของแคมเปญนี้ยังไม่ชัดเจน แต่บริษัทระบุว่ายังพบการโจมตีอย่างต่อเนื่อง และโจมตีสำเร็จกับอุปกรณ์ iOS 15.7 ซึ่งเปิดตัวเมื่อวันที่ 12 กันยายน 2022

ปัจจุบันยังไม่มีข้อมูลที่แน่ชัดว่าการโจมตีดังกล่าวใช้ประโยชน์จากช่องโหว่ zero-day หรือไม่ เช่น ช่องโหว่ที่ผู้โจมตีพบก่อนที่ Apple จะออกแพตซ์อัปเดตใน IOS เวอร์ชัน 16.5

รัสเซียกล่าวหาว่าสหรัฐฯ แฮ็กอุปกรณ์ Apple นับพันเครื่อง

สอดคล้องกับรายงานของ Kaspersky Federal Security Service (FSB) ของรัสเซียออกคำแนะนำที่กล่าวหาหน่วยข่าวกรองสหรัฐฯ ว่าแฮ็กอุปกรณ์ Apple หลายพันเครื่องที่เป็นของสมาชิกในประเทศ และนักการทูตต่างประเทศ ด้วยวิธีการที่ยังไม่เป็นที่รู้จัก ซึ่งคาดว่าเป็นส่วนหนึ่งของปฏิบัติการสอดแนมของสหรัฐฯ

FSB ยังอ้างว่าความพยายามดังกล่าวแสดงให้เห็นถึงความร่วมมืออย่างใกล้ชิดระหว่าง Apple และสำนักงานความมั่นคงแห่งชาติ (NSA) แต่ยังไม่มีการระบุรายละเอียดทางเทคนิคอื่น ๆ โดย Apple ยืนยันกับ The Hacker News ว่า "ไม่เคยทำงานร่วมกับรัฐบาลใด ๆ ในการฝังแบ็คดอร์ในผลิตภัณฑ์ของ Apple และจะไม่มีวันทำ"

 

ที่มา : thehackernews

Emby รายงานว่าเพื่อความปลอดภัย Emby ได้ปิดการใช้งานการเข้าถึงเซิร์ฟเวอร์ โดยไม่เปิดเผยจำนวนเซิร์ฟเวอร์ที่ได้รับผลกระทบจากการโจมตี ซึ่งส่วนใหญ่ถูกโจมตีโดยใช้ช่องโหว่ที่เป็นที่รู้จักก่อนหน้านี้ และการตั้งค่าบัญชีผู้ดูแลระบบที่ไม่ปลอดภัย

โดยบริษัทตรวจพบการทำงานของ plugin ที่เป็นอันตรายบนระบบ ดังนั้นเพื่อความปลอดภัยบริษัทจึงทำการปิดเซิร์ฟเวอร์เป็นมาตราการป้องกันไว้ก่อน ในขณะเดียวกันบริษัทได้แจ้งให้ผู้ใช้งานทราบเกี่ยวกับเซิร์ฟเวอร์ที่ได้รับผลกระทบ

การโจมตีเกิดขึ้นในช่วงกลางเดือนพฤษภาคม 2023 โดยผู้โจมตีกำหนดเป้าหมายไปยังเซิร์ฟเวอร์ Emby ที่เข้าถึงได้จากอินเตอร์เน็ต และเข้าสู่ระบบได้ด้วยสิทธิ์ของผู้ดูแลระบบโดยไม่ต้องใส่รหัสผ่าน

Emby อธิบายในการโจมตีนี้ว่า ผู้โจมตีได้พยายามเข้าสู่ระบบจากภายนอกโดยใช้ช่องโหว่ที่เรียกว่า Proxy Header เพื่อทำให้เซิร์ฟเวอร์ให้สิทธิ์การเข้าถึง และได้รับสิทธิ์เป็นผู้ดูแลระบบ ซึ่งช่องโหว่นี้เป็นที่รู้จักตั้งแต่เดือนกุมภาพันธ์ 2020 และพึ่งได้รับการแก้ไขในเวอร์ชันเบต้า

โดยผู้โจมตีได้ทำการติดตั้ง backdoor เพื่อเข้าควบคุม Emby เซิร์ฟเวอร์ ผ่านการติดตั้ง plugin ที่เป็นอันตราย และเก็บรวบรวม credential ทั้งหมดที่ถูกใช้ในการลงชื่อเข้าใช้บนเซิร์ฟเวอร์

หลังจากการวิเคราะห์ และประเมินความเป็นไปได้ในการแก้ไขปัญหาที่เกิดขึ้น ทีม Emby ได้เผยแพร่การอัปเดตเซิร์ฟเวอร์ ซึ่งสามารถตรวจจับการทำงานของ plugin ที่น่าสงสัย และป้องกันไม่ให้สามารถติดตั้งได้อีก

เพื่อเพิ่มความระมัดระวังเนื่องจากความรุนแรงของสถานการณ์ ทาง Emby ได้ป้องกันการทำงานของเซิร์ฟเวอร์ที่ถูกโจมตีโดยการปิดการใช้งานชั่วคราว เพื่อป้องกันการทำงานของ plugin ที่เป็นอันตราย เพื่อให้ผู้ดูแลระบบสามารถแก้ไขปัญหาได้โดยตรง

เพื่อเพิ่มระดับความปลอดภัย Emby แนะนำให้ตรวจสอบพฤติกรรมที่น่าสงสัยเพิ่มเติมดังนี้

แนะนำให้ผู้ดูแลระบบ Emby ลบไฟล์ helper.

บริษัท Barracuda ผู้ให้บริการด้านความปลอดภัยของอีเมล และบริการรักษาความปลอดภัยบนเครือข่าย แจ้งเตือนผู้ใช้งานเกี่ยวกับช่องโหว่ระดับ Critical ที่กำลังถูกนำมาใช้โจมตีระบบ Email Security Gateway (ESG) ของบริษัท

ช่องโหว่ zero-day นี้มีหมายเลข CVE-2023-2868 โดยเป็นช่องโหว่ remote code injection ที่ส่งผลกระทบกับ Barracuda Email Security Gateway เวอร์ชัน 5.1.3.001 ถึง 9.2.0.006 โดย Barracuda ระบุว่าปัญหาของช่องโหว่เกิดจากองค์ประกอบที่ทำหน้าที่ตรวจสอบไฟล์แนบของอีเมลที่เข้าสู่ระบบ

ส่วนจากคำแนะนำของสถาบันมาตรฐาน และเทคโนโลยีแห่งชาติ (NIST) ระบุว่าช่องโหว่นี้เกิดจากกระบวนการประมวลผลไฟล์ .tar (tape archives)

โดยช่องโหว่นี้เกิดจากการตรวจสอบอินพุตที่ไม่สมบูรณ์ของไฟล์ .tar ที่ผู้ใช้ส่งเข้ามา ซึ่งเกี่ยวข้องกับชื่อของไฟล์ที่อยู่ในเอกสารเหล่านั้น ทำให้ผู้โจมตีสามารถจัดรูปแบบชื่อไฟล์เหล่านี้ในลักษณะที่เฉพาะเจาะจงได้ ซึ่งทำให้สามารถรันคำสั่งบนระบบจากภายนอกผ่านตัวดำเนินการ qx ของ Perl ด้วยสิทธิ์ของ Email Security Gateway

ในวันที่ 19 พฤษภาคม 2023 ทาง Barracuda ได้ตรวจพบช่องโหว่ดังกล่าว และทำการอัปเดตอุปกรณ์ ESG ทั่วโลกด้วยการติดตั้งแพตช์ในวันถัดมา นอกจากนี้ยังมีการอัปเดตแพตซ์ครั้งที่สองในวันที่ 21 พฤษภาคม เพื่อเพิ่มประสิทธิภาพในการแก้ไขช่องโหว่

จากการตรวจสอบของบริษัทพบว่า มีการนำช่องโหว่ CVE-2023-2868 มาใช้ในการโจมตีอย่างต่อเนื่อง ส่งผลให้มีการเข้าถึงอุปกรณ์ Email Gateway ได้บางส่วน

ด้วยความที่มีลูกค้ามากกว่า 200,000 รายทั่วโลก บริษัทไม่ได้เปิดเผยขอบเขตของผู้ที่ถูกโจมตี แต่ได้ติดต่อกับผู้ใช้งานที่ได้รับผลกระทบโดยตรงทั้งหมด และให้คำแนะนำในการแก้ไขปัญหา และแนะนำให้ลูกค้าตรวจสอบระบบของตนเอง และคอยดูสถานการณ์อย่างใกล้ชิด

ปัจจุบันยังไม่ทราบรายละเอียดของกลุ่มแฮ็กเกอร์ที่อยู่เบื้องหลังการโจมตี แต่มีข้อสังเกตว่าในช่วงที่ผ่านมากลุ่มแฮ็กเกอร์ที่มาจากประเทศจีน และรัสเซีย มักจะใช้มัลแวร์ที่ออกแบบมาโดยเฉพาะในการโจมตีอุปกรณ์ Cisco, Fortinet, และ SonicWall ที่มีช่องโหว่ในช่วงเดือนที่ผ่านมา

ที่มา: https://thehackernews.

นักวิจัยจาก Fortinet FortiGuard Labs พบว่าหน่วยงานของรัฐที่ไม่ระบุชื่อของสหรัฐอาหรับเอมิเรตส์ ได้ตกเป็นเป้าหมายของการโจมตีโดยใช้แบ็คดอร์ที่มีชื่อว่า PowerExchange ด้วยวิธีการโจมตีโดยใช้ Phishing email พร้อมแนบ ZIP file ที่มีไฟล์โปรแกรมในรูปแบบ .NET และไฟล์ที่ถูกดัดแปลงในรูปแบบ PDF ซึ่งจะทำหน้าที่เป็นดรอปเปอร์เพื่อดำเนินการเพย์โหลดขั้นตอนสุดท้าย ซึ่งจะเป็นการติดตั้งแบ็คดอร์

โดย PowerExchange นั้นถูกเขียนด้วย PowerShell สำหรับการเชื่อมต่อกับ command-and-control (C2) และช่วยให้ผู้โจมตีสามารถเรียกใช้เพย์โหลดได้ตามทีต้องการ และสามารถอัปโหลด และดาวน์โหลดไฟล์จาก C2 ได้

ในส่วนของการแฝงตัวอยู่บนระบบทำได้โดยการใช้ Exchange Web Services (EWS) API เพื่อเชื่อมต่อกับ Exchange Server ของเหยื่อ และใช้ mailbox บนเซิร์ฟเวอร์เพื่อส่ง และรับคำสั่งที่เข้ารหัสจากผู้โจมตี ซึ่งปัจจุบันยังไม่สามารถทราบวิธีการที่ผู้โจมตีใช้เพื่อเข้าถึง domain credentials ในการเชื่อมต่อกับ Exchange Server ของเหยื่อ

ทาง Fortinet ยังพบว่าเซิร์ฟเวอร์ Exchange ถูก Backdoor ด้วยเว็บเชลล์อีกหลายตัว ซึ่งหนึ่งในนั้นถูกเรียกว่า ExchangeLeech (หรือที่รู้จักกันในชื่อ System.

นักวิจัยด้านความปลอดภัยทางไซเบอร์พบพฤติกรรมคล้ายแบ็คดอร์ในระบบของ Gigabyte ซึ่งทำให้เฟิร์มแวร์ UEFI ของอุปกรณ์สามารถส่งไฟล์ปฏิบัติการ (executable file) ของ Windows และเรียกข้อมูลอัปเดตในรูปแบบที่ไม่ปลอดภัยได้

บริษัทความปลอดภัยด้านเฟิร์มแวร์ 'Eclypsium' ระบุว่า พวกเขาตรวจพบความผิดปกติครั้งแรกในเดือนเมษายน 2023 ซึ่งต่อมา Gigabyte ได้ทราบปัญหา และดำเนินการแก้ไขปัญหาดังกล่าวเรียบร้อยแล้ว

John Loucaides รองประธานบริหารฝ่ายกลยุทธ์ของ Eclypsium ให้ข้อมูลกับ The Hacker News ว่า "พวกเขาพบว่าเฟิร์มแวร์ Gigabyte ส่วนใหญ่มีไฟล์ปฏิบัติการแบบ Windows Native Binary ถูกฝังอยู่ภายในเฟิร์มแวร์ UEFI"

ไฟล์ปฏิบัติการของ Windows ที่ตรวจพบ จะถูกเก็บลงดิสก์ และทำงานเป็นส่วนหนึ่งของ process เริ่มต้น Windows คล้ายการโจมตีแบบ double agent ของ LoJack ซึ่งไฟล์ปฏิบัติการนี้จะดาวน์โหลด และเรียกใช้ไบนารีเพิ่มเติมด้วยวิธีการที่ไม่ปลอดภัย

จากรายงานของ Eclypsium ไฟล์ปฏิบัติการนี้จะถูกฝังอยู่ในเฟิร์มแวร์ UEFI และจะถูกเขียนลงดิสก์โดยเฟิร์มแวร์ ซึ่งเป็นส่วนหนึ่งของกระบวนการบูตระบบ และจากนั้นจะถูกเรียกใช้ในลักษณะ update service

แอปพลิเคชันถูกพัฒนาด้วย .NET โดยทำการตั้งค่าให้ดาวน์โหลด และเรียกใช้เพย์โหลดจากเซิร์ฟเวอร์อัปเดตของ Gigabyte ผ่าน HTTP ธรรมดา ซึ่งทำให้กระบวนการดังกล่าวอาจตกเป็นเป้าหมายของการโจมตีแบบ adversary-in-the-middle (AitM) ผ่านเราท์เตอร์ที่ถูกโจมตี

Loucaides ระบุว่า "ซอฟต์แวร์มีจุดประสงค์ให้ดูเหมือนเป็นแอปพลิเคชันสำหรับการอัปเดตที่ดูถูกต้องตามปกติ และอาจส่งผลกระทบต่อ Gigabyte systems ประมาณ 364 ระบบ โดยมีอุปกรณ์ประมาณ 7 ล้านเครื่อง"

เนื่องจากผู้ไม่หวังดีพยายามมองหาวิธีที่จะไม่ถูกตรวจจับอยู่เสมอ และทิ้งร่องรอยการโจมตีให้น้อยที่สุด ช่องโหว่ในการอัปเดตเฟิร์มแวร์ที่มีสิทธิ์พิเศษอาจเป็นการเปิดทางให้เกิดการโจมตีบน UEFI bootkits ซึ่งจะหลบเลี่ยงอุปกรณ์ด้านความปลอดภัยได้ทั้งหมด

สิ่งที่แย่ไปกว่านั้นคือ UEFI code อยู่บนเมนบอร์ด มัลแวร์ที่ถูกฝังในเฟิร์มแวร์สามารถคงอยู่ถาวรแม้ว่าไดรฟ์จะถูกฟอร์แมต และติดตั้งระบบปฏิบัติการใหม่ก็ตาม

แนะนำให้องค์กรต่าง ๆ ควรอัปเดตเฟิร์มแวร์เป็นเวอร์ชันล่าสุดเพื่อลดความเสี่ยงที่อาจเกิดขึ้น นอกจากนี้ยังแนะนำให้ตรวจสอบ และปิดการใช้งานคุณสมบัติ "APP Center Download & Install" ในการตั้งค่า UEFI/BIOS และตั้งรหัสผ่าน BIOS เพื่อป้องกันการเปลี่ยนแปลงที่อาจเป็นอันตราย

อ้างอิง : https://thehackernews.

Lazarus เป็นกลุ่ม Hacker จากเกาหลีเหนือที่ได้รับการสนับสนุนจากรัฐบาล โดยมีแรงจูงใจทางการเงินเป็นหลัก และมีส่วนร่วมในปฏิบัติการจารกรรมหลายครั้ง

ล่าสุดพบว่ามีกลยุทธ์ในการกำหนดเป้าหมายไปยังเซิร์ฟเวอร์ Windows Internet Information Services (IIS) ที่มีช่องโหว่เพื่อเข้าถึงระบบเครือข่ายขององค์กร ซึ่งถูกค้นพบโดยนักวิจัยชาวเกาหลีใต้จาก AhnLab Security Emergency Response Center (ASEC) (more…)

Barracuda บริษัทความปลอดภัยทางด้านระบบเครือข่าย และอีเมล ออกมายืนยันถึงช่องโหว่ Zero-day (CVE-2023-2868) ที่เพิ่งได้รับการอัปเดตแพตซ์เพื่อแก้ไขช่องโหว่ไปเมื่อเร็ว ๆ นี้ ได้ถูกใช้เพื่อติดตั้งมัลแวร์สำหรับขโมยข้อมูลผ่านอุปกรณ์ Email Security Gateway (ESG) ของลูกค้ามาเป็นเวลากว่า 7 เดือน โดย Barracuda ได้พบว่า Hacker ได้ใช้ช่องโหว่ดังกล่าวเพื่อเข้าถึง ESG มาตั้งแต่เดือนตุลาคม 2022 เพื่อสั่งการจากภายนอก และติดตั้งแบ็คดอร์ที่มีมัลแวร์สำหรับขโมยข้อมูล

Barracuda เป็นบริษัทความปลอดภัยทางด้านระบบเครือข่าย และอีเมล ที่มีองค์กรต่าง ๆ ใช้งานกว่า 200,000 แห่ง รวมถึงบริษัทที่มีชื่อเสียงอย่าง Samsung, Delta Airlines, Mitsubishi และ Kraft Heinz

โดยช่องโหว่หมายเลข CVE-2023-2868 (คะแนน CVSS 9.4/10 ความรุนแรงระดับ Critical) เป็นช่องโหว่ที่ทำให้ผู้โจมตีสามารถสั่งรันโค้ดที่เป็นอันตรายจากระยะไกล (RCE) ในผลิตภัณฑ์ Barracuda Email Security Gateway ซึ่งส่งผลกระทบต่อเวอร์ชัน 5.1.3.001-9.2.0.006 โดยทาง Barracuda ได้รับการรายงานช่องโหว่เมื่อวันที่ 19 พฤษภาคม 2023 หลังจากได้รับการแจ้งเตือนถึงการเชื่อมต่อที่น่าสงสัยจากอุปกรณ์ ESG และจ้างบริษัทรักษาความปลอดภัยทางไซเบอร์ Mandiant เพื่อช่วยในการสอบสวนเหตุการณ์ ต่อมาจึงได้ประกาศแจ้งเตือนถึงการพบช่องโหว่ในวันที่ 24 พฤษภาคม 2023

การใช้ Custom malware เพื่อโจมตีเป้าหมาย

โดยทาง Mandiant ได้พบมัลแวร์หลายสายพันธุ์ที่ยังไม่เป็นที่รู้จัก ซึ่งถูกออกแบบมาเพื่อใช้กับผลิตภัณฑ์ Email Security Gateway โดยเฉพาะ เช่น
**

Saltwater เป็นโมดูล Barracuda SMTP daemon (bsmtpd) อันตราย ที่ทำให้ Hacker สามารถเข้าถึงอุปกรณ์ที่เป้าหมายโดยที่ไม่สามารถตรวจจับได้ รวมถึงความสามารถในการดำเนินการคำสั่งบนอุปกรณ์ที่ถูกบุกรุก ถ่ายโอนไฟล์ และทำหน้าที่เป็น proxy/tunnel เพื่อรับส่งข้อมูลที่เป็นอันตรายจาก Hacker เพื่อหลบเลี่ยงการตรวจจับ
**

SeaSpy สามารถแฝงตัวในระบบ (Persistence) และสามารถเปิดใช้งานได้โดยใช้ "magic packets" โดยมีความสามารถในการตรวจสอบการเชื่อมต่อผ่าน Port 25 (SMTP) และ code overlaps กับแบ็คดอร์ cd00r
**

SeaSide เป็นโมดูล Barracuda SMTP daemon (bsmtpd) อันตราย เพื่อสร้าง reverse shell ผ่านคำสั่ง SMTP HELO/EHLO ที่ส่งผ่าน command-and-control (C2) server ของ Hacker

Barracuda แจ้งเตือนให้ผู้ดูแลระบบเร่งทำการอัปเดตเพื่อป้องกันการโจมตีจากช่องโหว่โดยด่วน นอกจากนี้ให้ทำการตรวจสอบชุด IOC ว่าอุปกรณ์ของตนมีการเชื่อมต่อกับ IOC ที่มีส่วนเกี่ยวข้องกับการโจมตีหรือไม่

IOC

barracuda

ที่มา : bleepingcomputer

บริษัทประกันสุขภาพทางทันตกรรม Managed Care of North America (MCNA) Dental ของสหรัฐอเมริกา ออกมายืนยันเรื่องข้อมูลของลูกค้าประมาณ 9 ล้านรายรั่วไหลออกไป หลังจากเกิดเหตุการณ์โจมตีจากกลุ่มแรนซัมแวร์ (more…)

Microsoft ออกแพตซ์อัปเดตสำหรับเดือนพฤษภาคม 2023 เพื่อแก้ไขช่องโหว่ 38 รายการ รวมถึงช่องโหว่ Zero-day ที่พบว่ากำลังถูกนำมาใช้ในการโจมตี โดยจากช่องโหว่ทั้งหมด 38 รายการ มี 6 รายการที่ได้รับการจัดอยู่ในระดับ Critical อีก 32 รายการที่อยู่ในระดับอื่น ๆ ซึ่งมีช่องโหว่ 8 รายการที่มีแนวโน้มว่ากำลังถูกนำมาใช้ในการโจมตีอยู่ในปัจจุบัน

เดือนพฤษภาคมนี้ Microsoft ได้แก้ไขช่องโหว่เหล่านี้บนเบราว์เซอร์ Chromium-based Edge หลังจากที่พึ่งมีการออกอัปเดต Patch Tuesday ในเดือนเมษายนที่ผ่านมา

ช่องโหว่ที่น่าสนใจในรอบนี้ คือ CVE-2023-29336 (คะแนน CVSS: 7.8) เป็นช่องโหว่ที่สามารถทำการเพิ่มสิทธิ์ใน Win32k แต่ยังไม่มีข้อมูลที่แน่ชัดว่ามีขอบเขตของการโจมตีกว้างแค่ไหน

Microsoft ให้เครดิตกับนักวิจัย Avast Jan VojtŞshek, Milánek และ Luigino Camastra เป็นผู้รายงานรายงานช่องโหว่นี้ ซึ่งผู้โจมตีที่ใช้ประโยชน์จากช่องโหว่นี้ได้สำเร็จจะได้รับสิทธิ์ SYSTEM บนระบบ โดยสำนักงานความปลอดภัยทางไซเบอร์ของสหรัฐอเมริกา หรือ CISA ได้เพิ่มช่องโหว่ดังกล่าวเข้าสู่ Known Exploited Vulnerabilities (KEV) เพื่อแจ้งเตือนให้องค์กรต่าง ๆ ภายใต้การกำกับดูแล ให้รีบทำการอัปเดตทันที

นอกจากนี้ยังมีช่องโหว่ที่สำคัญอีก 2 ช่องโหว่ ซึ่งหนึ่งในนั้นคือช่องโหว่ remote code execution ที่ส่งผลกระทบต่อ Windows OLE (CVE-2023-29325, คะแนน CVSS: 8.1) ซึ่งอาจถูกโจมตีโดยการส่งอีเมลอันตรายที่ถูกสร้างขึ้นเป็นพิเศษไปยังเหยื่อ อีกหนึ่งช่องโหว่คือ CVE-2023-24932 (คะแนน CVSS:6.7) ซึ่งเป็นการ bypass ฟีเจอร์ Secure Boot security ของ BlackLotus UEFI เพื่อใช้ประโยชน์จาก CVE-2022-21894 (หรือที่เรียกว่า baton drop) ซึ่งช่องโหว่นี้ทำให้ผู้โจมตีสามารถเรียกใช้โค้ดในระดับ UEFI (unified extensible firmware interface) เมื่อเปิดใช้งาน Secure Boot

ผู้โจมตีนิยมใช้วิธีนี้เป็นกลไกในการหลีกเลี่ยงการตรวจจับ การจะโจมตีได้สำเร็จผู้โจมตีต้องสามารถเข้าถึงอุปกรณ์เป้าหมาย หรือได้สิทธิ์ local admin ให้ได้ก่อน

Microsoft ระบุว่ากําลังใช้มาตรการด้านความปลอดภัยแบบค่อยเป็นค่อยไปเพื่อปิดกั้นการโจมตี เพื่อลดผลกระทบกับการใช้งาน และคาดว่ามาตรการดังกล่าวจะดําเนินต่อไปจนถึงไตรมาสแรกของปี 2024 ซึ่งบริษัทรักษาความปลอดภัยด้านเฟิร์มแวร์อย่าง Binary ระบุไว้เมื่อต้นเดือนมีนาคมนี้ว่า โซลูชัน Secure Boot ที่ใช้ UEFI มีความซับซ้อนมาก และไม่สามารถกำหนดค่าได้อย่างถูกต้อง กล่าวคืออาจจะยังพบการโจมตีกับ bootloader อยู่

ผู้ให้บริการรายอื่น ๆ

นอกจาก Microsoft แล้ว ยังมีผู้ให้บริการรายอื่น ๆ ได้ทำการอัปเดตด้านความปลอดภัยในช่วงไม่กี่สัปดาห์ที่ผ่านมาเพื่อแก้ไขช่องโหว่ ได้แก่

Adobe
AMD
Android
Apache Projects
Apple
Aruba Networks
Cisco
Citrix
Dell
Drupal
F5
Fortinet
GitLab
Google Chrome
Hitachi Energy
HP
IBM
Intel
Juniper Networks
Lenovo
Linux distributions Debian, Oracle Linux, Red Hat, SUSE, and Ubuntu
MediaTek
Mitsubishi Electric
Mozilla Firefox, Firefox ESR, and Thunderbird
NETGEAR
NVIDIA
Palo Alto Networks
Qualcomm
Samsung
SAP
Schneider Electric
Siemens
SolarWinds
Synology
Veritas
VMware
Zoho
Zyxel

 

ที่มา : thehackernews