VMware ออกแพตซ์อัปเดตด้านความปลอดภัยเพื่อแก้ไขช่องโหว่ Zero-day ที่อาจถูกใช้ร่วมกันเพื่อเรียกใช้โค้ดที่เป็นอันตรายบน Workstation และ Fusion ที่มีช่องโหว่ ซึ่งทั้ง 2 ช่องโหว่เป็นส่วนหนึ่งของการโจมตีที่ถูกสาธิตโดยนักวิจัยด้านความปลอดภัยของทีม STAR Labs เมื่อเดือนที่ผ่านมาในวันที่ 2 ของงาน Pwn2Own Vancouver 2023 hacking contest

โดยปกติแล้วผู้ให้บริการแต่ละรายมีเวลา 90 วันในการแก้ไขช่องโหว่ Zero-day ที่ถูกโจมตี และ (more…)

กลุ่มแฮ็กเกอร์ชื่อว่า APT41 ซึ่งคาดว่าเป็นกลุ่มแฮ็กเกอร์ที่ได้รับการสนับสนุนจากรัฐจีน ถูกพบว่ามีการใช้ GC2 (Google Command and Control) ซึ่งเป็นเครื่องมือของ Red Team ในการโจมตีเพื่อขโมยข้อมูลจากสื่อไต้หวัน และบริษัทจัดหางานของอิตาลี

APT41 หรือที่รู้จักกันในชื่อ HOODOO เป็นกลุ่มแฮ็กเกอร์ที่คาดว่าได้รับการสนับสนุนจากรัฐจีน ซึ่งมุ่งเป้าไปที่อุตสาหกรรมที่หลากหลายในสหรัฐอเมริกา เอเชีย และยุโรป โดย Mandiant ได้ติดตามแฮ็กเกอร์กลุ่มนี้ตั้งแต่ปี 2014 ระบุว่า พฤติกรรมของแฮ็กเกอร์กลุ่มนี้คาบเกี่ยวกับกลุ่มแฮ็กเกอร์จีนอื่น ๆ ที่รู้จักกันดี เช่น BARIUM และ Winnti

ในรายงาน Threat Vision ประจำเดือนเมษายน 2023 ของ Google ที่เผยแพร่เมื่อวันศุกร์ที่ผ่าน (more…)

กลุ่มอาชญากรทางไซเบอร์ RTM (Read The Manual) มีการดำเนินการมาตั้งแต่ปี 2015 โดยการใช้โทรจันเพื่อขโมยเงินจากธนาคารของผู้ที่ตกเป็นเหยื่อ

ในเดือนธันวาคม 2022 MalwareHunterTeam นักวิจัยด้านความปลอดภัยระบุว่า RTM ให้บริการ Ransomware-as-a-Service (RaaS) ซึ่งมีการให้บริการมาแล้วอย่างน้อยห้าเดือน ในขณะนั้นพบเพียงตัวเข้ารหัสแรนซัมแวร์บน Windows เท่านั้น แต่รายงานจาก Uptycs เมื่อวันที่ 26 เมษายน 2023 RTM ได้เปิดตัวบริการ RaaS รูปแบบใหม่ ซึ่งขยายเป้าหมายไปยังเซิร์ฟเวอร์ Linux และ VMware ESXi

ตามรายงานของ Uptycs ตัวเข้ารหัสของ RTM Locker บน Linux ถูกสร้างขึ้นสำหรับการโจมตีระบบ VMware ESXi เนื่องจากมีคำสั่งจำนวนมากที่ใช้ในการจัดการ Virtual Machines

เมื่อเปิดใช้งาน ตัวเข้ารหัสจะพยายามเข้ารหัส VMware ESXi Virtual Machines ทั้งหมดก่อน โดยรวบรวมรายการ VM ที่รันอยู่โดยใช้ Command "esxcli vm process list >> vmlist.

พบการโจมตีของ EvilExtractor พุ่งสูงขึ้นในยุโรป และสหรัฐอเมริกา

นักวิจัยด้านความปลออดภัยรายงานการเพิ่มขึ้นของ EvilExtractor ซึ่งเป็นมัลแวร์ที่ใช้ในการขโมยข้อมูล โดยพบการเพิ่มขึ้นเป็นอย่างสูงในยุโรป และสหรัฐอเมริกา ในช่วงระหว่างเดือนมีนาคม 2023 ที่ผ่านมา โดยการโจมตีส่วนใหญ่เริ่มจาก phishing campaign

EvilExtractor เป็น Hacking tool ที่ใช้สำหรับการขโมยข้อมูล ซึ่งถูกนำมาขายใน hacking forums โดยกลุ่ม Hacker ที่ชื่อ Kodex ในราคา $59/เดือน โดยถูกพบครั้งแรกบน Cracked and Nulled forums ในเดือนตุลาคม 2022

การโจมตี

Fortinet ได้เผยแพร่รายละเอียดการโจมตีไว้ดังนี้

เริ่มจากการส่ง Phishing Email ที่ปลอมแปลงเป็นคำขอยืนยันบัญชี โดยมีไฟล์แนบที่ถูกบีบอัดด้วย gzip
เมื่อทำการเปิดไฟล์ gzip จะปรากฏไฟล์ PDF หรือไฟล์ Dropbox ที่ฝัง PyInstaller ซึ่งจะทำการเรียกใช้งาน .NET loader ที่เข้ารหัสแบบ base64 เพื่อเรียกใช้ PowerShell script ในการสั่งงาน EvilExtractor
เมื่อ EvilExtractor ถูกเรียกใช้งาน มันจะทำการตรวจสอบเวลาของระบบ และชื่อโฮสต์เพื่อตรวจหาว่ามันกำลังทำงานใน VM หรือ sandbox อยู่หรือไม่ หากตรวจพบว่าทำงานอยู่ในสภาพแวดล้อมดังกล่าว มันจะหยุดการทำงานทันที

EvilExtractor จะประกอบไปด้วยโมดูลในการโจมตีต่างๆ เหล่านี้ :

การตรวจสอบวันเวลา
Anti-Sandbox
Anti-VM
Anti-Scanner
การตั้งค่าเซิร์ฟเวอร์ FTP
การขโมยข้อมูล
การอัปโหลดข้อมูลที่ถูกขโมย
การลบ log
การเรียกใช้ Ransomware

นอกจากนี้โมดูลในการขโมยข้อมูลของ EvilExtractor จะมีการดาวน์โหลดส่วนประกอบ Python เพิ่มเติมสามรายการได้แก่

KK2023.zip ทำหน้าที่คัดแยกคุกกี้จาก Google Chrome, Microsoft Edge, Opera และ Firefox รวมถึงรวบรวมประวัติการเข้าใช้งานเว็บไซต์ และรหัสผ่านที่บันทึกไว้

Confirm.

Yellow Pages ยืนยันข้อมูลรั่วไหล หลังถูกโจมตีจากกลุ่ม Black Basta

Yellow Pages Group ก่อตั้งในปี 2451 ปัจจุบันเป็นเจ้าของ และดำเนินการเว็บไซต์ YP.ca และ YellowPages.

พบ Malware toolkit ในชื่อ “Decoy Dog” หลังจากการวิเคราะห์ DNS queries กว่า 70,000 ล้านรายการ

นักวิจัยจาก Infoblox พบ malware toolkit ตัวใหม่ ในชื่อ “Decoy Dog” ซึ่งได้ถูกค้นพบหลังจากการตรวจสอบการรับส่งข้อมูล DNS ที่ผิดปกติ ซึ่งแตกต่างจากกิจกรรมการใช้งานอินเทอร์เน็ตทั่วไป

โดย Infoblox ได้พบ malware toolkit ดังกล่าว ในเดือนเมษายน 2566 โดยเป็นส่วนหนึ่งของการวิเคราะห์ DNS record กว่า 7 หมื่นล้านรายการต่อวันเพื่อค้นหาสัญญาณของกิจกรรมที่ผิดปกติ หรือน่าสงสัย

จากการตรวจสอบพบว่า DNS fingerprint ดังกล่าวมีความเฉพาะตัว และแตกต่างจากบรรดาโดเมนที่ใช้งานอยู่ 370 ล้านโดเมนบนอินเทอร์เน็ต ทำให้ง่ายต่อการระบุ และติดตาม รวมไปถึงพบว่ามีการเชื่อมต่อไปยัง C2 (command and control) โดเมนหลายแหล่งที่มีความเกี่ยวข้องกัน โดยพบว่า C2 โดเมนเหล่านี้ส่วนใหญ่มาจากประเทศรัสเซีย

นอกจากนี้ยังพบว่า C2 โดเมนเหล่านี้ได้พยายามเชื่อมต่อไปยัง Pupy RAT (Remote Access Trojan) ซึ่งเป็นโทรจันที่ถูกใช้เพื่อการเข้าถึงจากระยะไกล ซึ่งถูกนำมาใช้ร่วมกับ Decoy Dog

Pupy RAT

Pupy RAT เป็นชุดเครื่องมือการโจมตีแบบ modular open-source post-exploitation ที่นิยมใช้โดยกลุ่ม Hacker ที่ได้รับการสนับสนุนจากรัฐ (State-Sponsored Threat Actor) ที่ใช้การโจมตีแบบ fileless ที่รองรับการสื่อสารแบบเข้ารหัส C2 communication ซึ่งสามารถนำไปผสมผสานกับเครื่องมือโจมตีอื่น ๆ ได้

โดย Pupy RAT มีความสามารถในการปรับใช้เพย์โหลดในระบบปฏิบัติการหลักทั้งหมด เช่น Windows, macOS, Linux และ Android ทำให้ Hacker สามารถดำเนินการคำสั่งจากระยะไกล ยกระดับสิทธิ์ ขโมยข้อมูลประจำตัว และแพร่กระจายไปในระบบเครือข่ายของเป้าหมายได้

จากการตรวจสอบการจดทะเบียนโดเมนพบว่าการโจมตีของ Decoy Dog เริ่มต้นตั้งแต่เดือนเมษายน 2565 และได้ถูกติดตามมานานกว่าหนึ่งปี จากการที่เครื่องมือวิเคราะห์ได้พบความผิดปกติของโดเมนดังกล่าวที่สูงเป็นพิเศษ

โดยจากการค้นพบ Decoy Dog ในครั้งนี้ แสดงให้เห็นถึงพลังของการใช้การวิเคราะห์ข้อมูลขนาดใหญ่ (large-scale data analytics) เพื่อตรวจจับกิจกรรมที่ผิดปกติในอินเทอร์เน็ตที่มีความซับซ้อน และมีปริมาณมหาศาล

ปัจจุบันทาง Infoblox ได้ระบุ และเพิ่มโดเมนของ Decoy Dog ไปยังรายการ " Suspicious Domains" เพื่อช่วยสนับสนุนนักวิเคราะห์ด้านความปลอดภัย และองค์กรเป้าหมาย เพื่อป้องกันการโจมตี

 

 

 

 

 

 

 

 

 

 

 

 

ที่มา : www.

Cisco แก้ไขช่องโหว่ใน Industrial Network Director และ Modeling Labs
 

Cisco ออกอัปเดตแพตซ์ด้านความปลอดภัยเพื่อแก้ไขช่องโหว่ที่สำคัญในโซลูชัน Industrial Network Director และ Modeling Labs

ช่องโหว่แรกมีหมายเลข CVE-2023-20036 (คะแนน CVSS: 9.9) ซึ่งอยู่ใน Web UI ของ Cisco Industrial Network Director โดยผู้โจมตีสามารถใช้ประโยชน์จากช่องโหว่เพื่อเรียกใช้คำสั่งตามต้องการด้วยสิทธิ์ของผู้ดูแลระบบ ซึ่งช่องโหว่นี้เกิดจากการตรวจสอบอินพุตที่ไม่ถูกต้องเมื่อทำการอัปโหลด Device Pack โดยผู้โจมตีสามารถทำการโจมตีด้วยการแก้ไข request ที่ส่งไปเมื่อทำการอัปโหลด Device Pack หากการโจมตีสำเร็จผู้โจมตีจะสามารถเรียกใช้คำสั่งได้ตามต้องการในรูปแบบของ "NT AUTHORITY\SYSTEM" บนระบบปฏิบัติการของอุปกรณ์ที่ได้รับผลกระทบ

Cisco ยังมีการแก้ไขช่องโหว่ File Permissions ซึ่งมีหมายเลข CVE-2023-20039 (คะแนน CVSS: 5.5) ที่อนุญาตให้ local attacker ที่ผ่านการยืนยันตัวตนสามารถอ่านข้อมูลในแอปพลิเคชันได้ ซึ่งช่องโหว่นี้เกิดจาก Default File Permissions ไม่เพียงพอในการนำไปใช้กับ Application Data Directory ทำให้ผู้โจมตีสามารถใช้ประโยชน์จากช่องโหว่นี้ได้ด้วยการเข้าถึงไฟล์ใน Application Data Directory โดยหากสามารถโจมตีได้สำเร็จผู้โจมตีจะสามารถเข้าถึงข้อมูลที่มีความสำคัญได้

Cisco ออกอัปเดตแพตซ์ Cisco IND เวอร์ชัน 1.11.3 เพื่อแก้ไขช่องโหว่ และได้ให้เครดิตกับนักวิจัยที่ยังไม่มีการระบุชื่อ ในการรายงานช่องโหว่ทั้งสองรายการมายังบริษัท

Cisco ได้แก้ไขอีกหนึ่งช่องโหว่ที่สำคัญ ซึ่งมีหมายเลข CVE-2023-20154 (คะแนน CVSS: 9.1) ใน External Authentication Mechanism โดยผู้โจมตีสามารถใช้ประโยชน์จากช่องโหว่นี้ได้ด้วยการเข้าสู่ระบบเว็บอินเตอร์เฟสของเซิร์ฟเวอร์ที่ได้รับผลกระทบ ภายใต้เงื่อนไขบางอย่างทำให้กลไกการพิสูจน์ตัวตนจะถูก bypass และผู้โจมตีจะเข้าสู่ระบบได้ด้วยสิทธิ์ของผู้ดูแลระบบ

หากการโจมตีสำเร็จจะทำให้ผู้โจมตีสามารถเข้าถึง และทำการแก้ไขการจำลองข้อมูล (modify simulations) และข้อมูลที่ผู้ใช้สร้างขึ้น ซึ่งในการใช้ประโยชน์จากช่องโหว่ดังกล่าว ผู้โจมตีจะต้องมีข้อมูลรับรองผู้ใช้ที่ถูกต้องที่จัดเก็บไว้ใน Associated External Authentication Server

Cisco ได้แก้ไขช่องโหว่ด้วยการออกอัปเดตแพตซ์ Modeling Labs เวอร์ชัน 2.5.1

 

ที่มา : securityaffairs.

หน่วยงานความมั่นคงปลอดภัยไซเบอร์ และโครงสร้างพื้นฐานของสหรัฐฯ (CISA) สั่งให้หน่วยงานของรัฐบาลกลางแก้ไขช่องโหว่ด้านความปลอดภัย 2 รายการ ที่กำลังถูกนำมาใช้ในการโจมตี iPhones, Macs, และ iPads.

Fortra รายงานผลการตรวจสอบการโจมตีโดยใช้ประโยชน์จากช่องโหว่ CVE-2023-0669 ในโซลูชั่น GoAnywhere MFT ที่ถูกกลุ่ม Clop ransomware ใช้เพื่อขโมยข้อมูลจากกว่า 100 บริษัท

ช่องโหว่การเรียกใช้งานโค้ดที่เป็นอันตรายจากระยะไกลใน GoAnywhere ถูกเผยแพร่ออกสู่สาธารณะหลังจากที่ Fortra แจ้งเตือนผู้ใช้งานสำหรับช่องโหว่ดังกล่าวในวันที่ 3 กุมภาพันธ์ 2023

โดยเครื่องมือที่ใช้สำหรับโจมตีช่องโหว่ถูกเผยแพร่ออกมาเมื่อวันที่ 6 กุมภาพันธ์ 2023 ซึ่งทำให้มี (more…)

นักวิจัยจากกลุ่มนักวิเคราะห์อาสาสมัครของ The DFIR Report รายงานการพบซอฟต์แวร์การเข้าถึงจากระยะไกลที่มีชื่อว่า Action1 ถูกนำไปใช้ในการโจมตีของกลุ่ม Hacker เพื่อใช้ในการโจมตีด้วยแรนซัมแวร์ ทั้งการฝังตัวในระบบเครือข่าย และเพื่อเรียกใช้คำสั่ง สคริปต์ และไบนารีในระบบของเป้าหมาย

Action1 เป็น ซอฟต์แวร์การตรวจสอบ และการจัดการระยะไกล Remote Monitoring and Management (RMM) ที่ managed service providers (MSPs) และองค์กรต่าง ๆ ใช้กันทั่วไปเพื่อจัดการอุปกรณ์ในเครือข่าย โดยซอฟต์แวร์นี้ช่วยให้ผู้ดูแลระบบสามารถบริหารจัดการแพตช์ได้ (more…)