หน่วยงานความมั่นคงปลอดภัยไซเบอร์ และโครงสร้างพื้นฐานของสหรัฐฯ (CISA) สั่งให้หน่วยงานของรัฐบาลกลางแก้ไขช่องโหว่ด้านความปลอดภัย 2 รายการ ที่กำลังถูกนำมาใช้ในการโจมตี iPhones, Macs, และ iPads.

Fortra รายงานผลการตรวจสอบการโจมตีโดยใช้ประโยชน์จากช่องโหว่ CVE-2023-0669 ในโซลูชั่น GoAnywhere MFT ที่ถูกกลุ่ม Clop ransomware ใช้เพื่อขโมยข้อมูลจากกว่า 100 บริษัท

ช่องโหว่การเรียกใช้งานโค้ดที่เป็นอันตรายจากระยะไกลใน GoAnywhere ถูกเผยแพร่ออกสู่สาธารณะหลังจากที่ Fortra แจ้งเตือนผู้ใช้งานสำหรับช่องโหว่ดังกล่าวในวันที่ 3 กุมภาพันธ์ 2023

โดยเครื่องมือที่ใช้สำหรับโจมตีช่องโหว่ถูกเผยแพร่ออกมาเมื่อวันที่ 6 กุมภาพันธ์ 2023 ซึ่งทำให้มี (more…)

นักวิจัยจากกลุ่มนักวิเคราะห์อาสาสมัครของ The DFIR Report รายงานการพบซอฟต์แวร์การเข้าถึงจากระยะไกลที่มีชื่อว่า Action1 ถูกนำไปใช้ในการโจมตีของกลุ่ม Hacker เพื่อใช้ในการโจมตีด้วยแรนซัมแวร์ ทั้งการฝังตัวในระบบเครือข่าย และเพื่อเรียกใช้คำสั่ง สคริปต์ และไบนารีในระบบของเป้าหมาย

Action1 เป็น ซอฟต์แวร์การตรวจสอบ และการจัดการระยะไกล Remote Monitoring and Management (RMM) ที่ managed service providers (MSPs) และองค์กรต่าง ๆ ใช้กันทั่วไปเพื่อจัดการอุปกรณ์ในเครือข่าย โดยซอฟต์แวร์นี้ช่วยให้ผู้ดูแลระบบสามารถบริหารจัดการแพตช์ได้ (more…)

นักวิจัยด้านความปลอดภัยของ Symantec เปิดเผยการพบ hacking tool ตัวใหม่ที่เขียนด้วย .NET ซึ่งถูกสร้างขึ้นโดยกลุ่ม Play ransomware ได้แก่ Grixba และ VSS Copying Tool ซึ่งถูกนำมาใช้เพื่อเพิ่มประสิทธิภาพในการโจมตีเป้าหมาย

hacking tool ตัวใหม่

Grixba เป็นเครื่องมือสำหรับสแกนเครือข่าย และขโมยข้อมูลที่ใช้ในการระบุผู้ใช้ และคอมพิวเตอร์ในโดเมน นอกจากนี้ยังสนับสนุนโหมด 'SCAN' ที่ใช้ WMI, WinRM, Remote Registry และ Remote Services เพื่อระบุว่าซอฟต์แวร์ใดบ้างที่ทำงานบนอุปกรณ์เครือข่าย รวมถึง Grixba ยัง (more…)

ทีม Threat Hunter Team ของ Symantec รายงานว่า จากการโจมตี X_Trader software จนนำไปสู่เหตุการณ์โจมตี 3CX supply chain attack ในเดือนมีนาคม 2023 ได้ส่งผลกระทบไปยังองค์กร และหน่วยงานโครงสร้างพื้นฐานที่สำคัญหลายแห่งในสหรัฐอเมริกา และยุโรป

โดยจากการตรวจสอบของ Mandiant ที่พบว่าเหตุการณ์โจมตี 3CX supply chain attack เริ่มต้นมาจากการโจมตีเว็บไซต์ของบริษัท Trading Technologies บนตัว X_Trader software ซึ่งเป็นระบบอัตโนมัติในการซื้อขายหุ้น หลังจากนั้นจึงได้ทำการโจมตีต่อไปยัง 3CX และทำการแทรก (more…)

PaperCut ผู้พัฒนาซอฟต์แวร์ Print management ออกมาแจ้งเตือนผู้ใช้งานให้เร่งทำการอัปเดตแพตซ์เพื่อแก้ไขช่องโหว่โดยด่วน หลังจากที่พบว่าช่องโหว่ดังกล่าวได้ถูกกลุ่ม Hacker นำไปใช้ในการโจมตี PaperCut server ที่มีช่องโหว่ (more…)

VMware ออกแพตช์แก้ไขช่องโหว่ของ vRealize Log Insight ซึ่งทำให้ผู้โจมตีเรียกใช้คำสั่งที่เป็นอันตรายจากระยะไกล (Remote Code Execution) ไปยังเครื่องเป้าหมายที่ยังไม่ได้ทำการแพตช์ได้

vRealize Log Insight หรือปัจจุบันรู้จักกันในชื่อ VMware Aria Operations for Logs เป็นเครื่องมือ log analysis ที่ช่วยวิเคราะห์ application และ infrastructure log environment

(more…)

พบกลุ่มแรนซัมแวร์กำลังใช้ Google Ads เพื่อแพร่กระจายมัลแวร์ Bumblebee

 

 

 

 

 

 

 

Bumblebee เป็นตัวติดตั้งมัลแวร์ที่มีการค้นพบเมื่อเดือนเมษายน 2022 ถูกพัฒนาขึ้นโดยทีม Conti เพื่อแทนที่ BazarLoader backdoor ใช้สำหรับการเข้าถึงเครือข่ายและดำเนินการติดตั้งแรนซัมแวร์ โดยกำหนดเป้าหมายระดับองค์กร มีการแพร่กระจายผ่าน Google Ads และการโปรโมทซอฟต์แวร์ยอดนิยม เช่น Zoom, Cisco AnyConnect, ChatGPT และ Citrix Workspace ที่ถูกทำให้ติดอันดับการค้นหา

Google Ads เป็นแพลตฟอร์มช่วยโปรโมทโฆษณาบนหน้าเว็ปในการค้นหาของ Google เพื่อให้อยู่ในอันดับต้น ๆ ของรายการค้นหา ซึ่งมักจะถูกนำเสนอก่อนเว็ปไซต์ของคำค้นหา

ในเดือนกันยายน 2022 มีการค้นพบตัวติดตั้งมัลแวร์เวอร์ชันใหม่ โดยใช้วิธีการโจมตีเฟรมเวิร์ก PowerSploit สำหรับแทรก DLL เข้าไปในหน่วยความจำเพื่อหลบหลีกการถูกตรวจพบโดยผลิตภัณฑ์ป้องกันไวรัส

นักวิจัยจาก Secureworks ได้ค้นพบ Google Ads ที่มีการโปรโมทหน้าดาวน์โหลดโปรแกรม Cisco AnyConnect Secure Mobility Client ปลอมที่ถูกสร้างขึ้นในวันพฤหัสบดีที่ 16 กุมภาพันธ์ 2023 ด้วยโฮสต์ที่อยู่บนโดเมน "appcisco[.]com" โดย SecureWorks กล่าวว่า “ห่วงโซ่ของการติดเชื้อเริ่มต้นด้วย Google Ads ที่เป็นอันตรายส่งผู้ใช้ไปยังหน้าดาวน์โหลดปลอมนี้ผ่านเว็บไซต์ WordPress ที่ถูกบุกรุก"

 

 

 

 

 

 

 

 

 

หน้าเว็บไซต์ปลอมที่มีการโปรโมทมัลแวร์โทรจันไฟล์ MSI ที่มีชื่อว่า "cisco-anyconnect-4_9_0195.msi" ถูกใช้เพื่อติดตั้งมัลแวร์ BumbleBee โดยเมื่อดำเนินการจะมีการสร้างสำเนาของตัวติดตั้งโปรแกรมของจริงและปลอม (cisco2.ps1) และสคริปต์ Powershell จะถูกคัดลอกลงบนเครื่องผู้ใช้งาน

 

 

 

 

 

CiscoSetup.

นักวิจัยด้านความปลอดภัยจาก Sophos X-Ops เปิดเผยการพบกลุ่ม Ransomware ใช้ hacking tool ตัวใหม่ในชื่อ AuKill เพื่อปิดใช้งานซอฟต์แวร์ Endpoint Detection & Response (EDR) บนระบบของเป้าหมาย ก่อนที่จะติดตั้งแบ็คดอร์ และแรนซัมแวร์ในการโจมตีแบบ Bring Your Own Vulnerable Driver (BYOVD)

(more…)

MSI บริษัทผู้จัดจำหน่ายคอมพิวเตอร์สัญชาติไต้หวัน (ย่อมาจาก Micro-Star International) ออกมาประกาศว่าได้ถูกโจมตีทางไซเบอร์ โดยบริษัทตรวจพบการโจมตี และเริ่มตอบสนองต่อเหตุการณ์ทันที ภายหลังจากพบการทำงานที่ผิดปกติบนระบบ Network นอกจากนี้ยังได้แจ้งไปยังหน่วยงานทางด้านกฎหมายที่เกี่ยวข้อง ซึ่งทางบริษัท MSI ยังไม่ได้ให้ข้อมูลเกี่ยวกับรายละเอียดของวันที่ และเวลาที่ถูกโจมตี หรือข้อมูลเกี่ยวกับรูปแบบการโจมตี รวมถึงมีข้อมูล หรือ source code ที่อาจจะถูกขโมยออกไปด้วยหรือไม่ (more…)