Proof of concept (POC) exploit code ของช่องโหว่ที่มีระดับ critical ในไลบรารียอดนิยม 'VM2' JavaScript sandbox ซึ่งถูกนำไปใช้ในซอฟต์แวร์จำนวนมากเพื่อความปลอดภัยสำหรับการทำงานแบบ virtualized

โดยไลบรารีดังกล่าวออกแบบมาเพื่อทดสอบโค้ดที่อาจไม่น่าเชื่อถือ บนเซิร์ฟเวอร์แยกของ Node.

มัลแวร์แอปพลิเคชัน ที่สามารถทำตัวเป็นโทรจันบน Android กำลังถูกซื้อขายกันในเว็บไซต์ใต้ดินในราคาสูงถึง 20,000 ดอลลาร์ เพื่อใช้ในการหลบเลี่ยงการป้องกันของ Google Play Store

Kaspersky ระบุในรายงานฉบับใหม่ว่า ประเภทของแอปพลิเคชันที่ได้รับความนิยมสูงสุดในการซ่อนมัลแวร์ และซอฟต์แวร์ที่เป็นอันตราย ได้แก่ แอปพลิเคชันประเภท cryptocurrency, แอปพลิเคชันทางการเงิน, แอปพลิเคชันที่ใช้สแกน QR code และแอปพลิเคชันหาคู่ (Dating) (more…)

Nokoyawa Ransomware ใช้ประโยชน์จากช่องโหว่ของไดรเวอร์ Common Log File System (CLFS) บน Windows หมายเลข CVE-2023-28252 ซึ่งหากสามารถโจมตีผ่านช่องโหว่นี้ได้สำเร็จ จะสามารถยกระดับสิทธิ์ของผู้ใช้งานได้ โดยหลังจากช่องโหว่ถูกเผยแพร่ออกมา Microsoft ได้ออกแพตซ์อัปเดตเพื่อแก้ไขช่องโหว่ไปแล้วเมื่อวันที่ 11 เมษายน 2566 โดยมาพร้อมกับ Patch Tuesday ประจำเดือนเมษายน

ลักษณะการทำงาน

จากรายงานพบว่า กลุ่ม Nokoyawa Ransomware ซึ่งเป็นกลุ่มที่เชี่ยวชาญด้านการใช้ช่องโหว่ของไดรเวอร์ Common Log File System (CLFS) โดยตั้งแต่เดือนมิถุนายน 2565 เป็นต้นมาพบว่ามีการใช้ช่องโหว่ของ CLFS ที่ต่างกันถึง 5 รูปแบบ เป้าหมายของการโจมตีนี้คือบริษัทค้าปลีก และค้าส่ง บริษัทพลังงาน บริษัทการผลิต บริษัทการดูแลสุขภาพ และบริษัทการพัฒนาซอฟต์แวร์ เป็นต้น
การโจมตีด้วยช่องโหว่ CVE-2023-28252 จะสำเร็จได้ก็ต่อเมื่อ User ที่ดำเนินการมีสิทธิ์ในการรันโค้ดบนเครื่องเป้าหมายที่จะยกระดับสิทธิ์ได้
หลังจาก Nokoyawa Ransomware ถูกติดตั้ง จะมี Payload เพื่อดาวน์โหลด Cobal Strike มาติดตั้งบนเครื่องเป้าหมาย นอกจากนี้ยังมีการใช้งาน Mimikatz, Z0Miner และ Boxter บนเครื่องเป้าหมายอีกด้วยหากมีการติดตั้งไว้
ปัจจุบัน Microsoft ยังไม่ให้ข้อมูลรายละเอียดเกี่ยวกับการโจมตีด้วยช่องโหว่นี้ เพียงแต่แนะนำให้ผู้ใช้งานทำการอัปเดตแพตซ์
ผู้ใช้งานสามารถทำการตรวจสอบที่เครื่องได้เอง โดย Ransomware จะวางไฟล์บน Directory เหล่านี้
C:\Users\Public\.container*
C:\Users\Public\MyLog*.blf
C:\Users\Public\p_*

แนวทางการป้องกัน

Update Patch (Release 11 เมษายน 2566)
Update Endpoint ให้เป็นเวอร์ชันล่าสุดอยู่เสมอ
ควรพิจารณาใช้งาน Next-Gen AV และ EDR

IOC

ที่มา: kaspersky, trendmicro, securelist

Microsoft แจ้งเตือนพบการโจมตี phishing campaign ที่กำลังมุ่งเป้าหมายไปยัง บริษัทบัญชี และผู้จัดการทางด้านภาษี ด้วยมัลแวร์ Remcos Remote Access Trojan (RAT) เพื่อโจมตี และเข้าถึงระบบของเป้าหมายได้จากระยะไกล

โดยแคมเปญดังกล่าวที่มุ่งเป้าหมายไปยัง บริษัทบัญชี และผู้จัดการทางด้านภาษีนั้น เป็นช่วงเวลาเดียวกับช่วงสิ้นสุดฤดูกาลภาษีประจำปีของสหรัฐอเมริกา ซึ่งนักบัญชีต่างพยายามรวบรวมเอกสารภาษีของลูกค้าเพื่อกรอก และยื่นแบบแสดงรายการภาษี จึงเป็นโอกาสที่ Hacker จะสามารถส่ง Phishing Mail ไปโดยที่เป้าหมายไม่ได้ระวังตัว (more…)

Microsoft ระบุว่ากำลังทำการตรวจสอบข้อผิดพลาดในการทำงานร่วมกันระหว่างฟีเจอร์ Windows Local Administrator Password Solution (LAPS) ที่เพิ่งถูกเพิ่มเข้ามา กับ LAPS Policy เดิม

Windows Local Administrator Password Solution (LAPS) เป็นฟีเจอร์ที่ช่วยให้ผู้ดูแลระบบสามารถจัดการรหัสผ่านสำหรับบัญชี local administrator บนอุปกรณ์ที่เข้าร่วม Azure Active Directory หรืออุปกรณ์ที่เข้าร่วม Windows Server Active Directory ด้วยการหมุนเวียน และสำรองข้อมูลเหล่านั้นไปยัง AD domain controllers โดยอัตโนมัติ (more…)

พบเว็บไชต์ WordPress กว่า 1 ล้านเว็บไซต์ ติดมัลแวร์จากแคมเปญการโจมตีของ Balada Injector Malware ตั้งแต่ปี 2017

โดยทาง Doctor Web ได้เผยแพร่รายงานเกี่ยวกับมัลแวร์บน Linux ที่มีการใช้ช่องโหว่บนปลั๊กอิน และธีมของเว็บไซต์บน WordPress กว่า 20 รายการในการโจมตีเป้าหมาย (more…)

กลุ่ม Hacker ในชื่อ ARES Group กำลังถูกพูดถึงเป็นอย่างมาก เนื่องจากการเปิดตัวเว็บไซต์ ARES Leaks forums ซึ่งเป็นแหล่งในการซื้อขายข้อมูลที่ถูกขโมยมาจากบริษัท และหน่วยงานของรัฐ

ARES Group ปรากฎตัวบน Telegram ในช่วงปลายปี 2021 และมีความเกี่ยวข้องกับการดำเนินการของแรนซัมแวร์ RansomHouse และ KelvinSecurity รวมไปถึงแพลตฟอร์มการซื้อขายข้อมูลรั่วไหล และกลุ่ม Adrastea (more…)

Nokoyawa Ransomware ใช้ประโยชน์จากช่องโหว่ของไดรเวอร์ Common Log File System (CLFS) บน Windows มีเลข CVE คือ CVE-2023-28252 ช่องโหว่นี้ใช้การยกระดับสิทธิ์ของระบบไฟล์บันทึกทั่วไป หลังจากช่อโหว่ถูกเผยแพร่ Microsoft จึงออก Patch มาแก้ไขเมื่อวันที่ 11 เมษายน 2565 โดย Patch มาพร้อมกับ Patch ประจำวันอังคารที่สองของเดือน

ลักษณะการทำงาน
1. จากการตรวจสอบ พบว่ากลุ่ม Nokoyawa Ransomware เป็นผู้เชี่ยวชาญด้านการใช้ช่องโหว่ของไดรเวอร์ Common Log File System (CLFS) โดยตั้งแต่เดือนมิถุนายน 2565 เป็นต้นมาพบว่ามีการใช้ช่องโหว่ของ CLFS ที่ต่างกันถึง 5 รูปแบบ เป้าหมายของการโจมตีนี้คือบริษัทค้าปลีกและค้าส่ง บริษัทพลังงาน บริษัทการผลิต บริษัทการดูแลสุขภาพ บริษัทการพัฒนาซอฟต์แวร์ เป็นต้น
2. การโจมตีด้วยช่องโหว่ CVE-2023-28252 จะสำเร็จได้ก็ต่อเมื่อ User ที่ดำเนินการมีสิทธิ์ในการรันโค้ดบนเครื่องเป้าหมายที่จะยกระดับสิทธิ์ได้
3. หลังจาก Nokoyawa Ransomware ถูกติดตั้ง จะมี Payload สำหรับไปดึง Cobal Strike มาติดตั้งบนเครื่องเป้าหมาย นอกจากนี้ยังมีการใช้งาน Mimikatz, Z0Miner และ Boxter บนเครื่องเป้าหมายด้วย หากมีการติดตั้งไว้
4. ปัจจุบัน Microsoft ยังไม่บอกวิธีการในการใช้ประโยชน์จากช่องโหว่นี้ เพียงแต่ให้ผู้ใช้งานอัพเดท Patch
5. ผู้ใช้งานสามารถตรวจสอบที่เครื่อง โดย Ransomware จะวางไฟล์บน Directory เหล่านี้
C:\Users\Public\.container*
C:\Users\Public\MyLog*.blf
C:\Users\Public\p_*

แนวทางการป้องกัน
1. Update Patch (Release 11/4/2023)
2. Update Endpoint ให้เป็นเวอร์ชันล่าสุดอยู่เสมอ
3. ควนมี Solution Anti-APT และ EDR ในองค์กร

IOC
46168ed7dbe33ffc4179974f8bf401aa
1e4dd35b16ddc59c1ecf240c22b8a4c4
f23be19024fcc7c8f885dfa16634e6e7
a2313d7fdb2f8f5e5c1962e22b504a17
vnssinc[.]com
qooqle[.]top
vsexec[.]com
devsetgroup[.]com
8800e6f1501f69a0a04ce709e9fa251c
a70729b3241154d81f2fff506e5434be0a0c381354a84317958327970a125507
2ef9a4f7d054b570ea6d6ae704602b57e27dee15f47c53decb16f1ed0d949187
c170717a69847bb7b050832c55fcd2a214e9180c8cde5f86088bd4e5266e2fd9
a290ce75c6c6b37af077b72dc9c2c347a2eede4fafa6551387fa8469539409c7
e097cde0f76df948f039584045acfa6bd7ef863141560815d12c3c6e6452dce4

Ref.

Google ออกแพตซ์อัปเดตด้านความปลอดภัยเร่งด่วนสำหรับ Chrome เพื่อแก้ไขช่องโหว่ zero-day ที่กำลังถูกนำมาใช้ในการโจมตีเป็นครั้งแรกตั้งแต่ต้นปีนี้

โดย Google ระบุในคำแนะนำด้านความปลอดภัยที่เผยแพร่เมื่อวันศุกร์ที่ผ่านมาว่า (14 เมษายน 2566) ได้รับรายงานว่ากำลังมีการโจมตีโดยการใช้ประโยชน์จากช่องโหว่ CVE-2023-2033 อยู่ในปัจจุบัน

โดย Chrome เวอร์ชันใหม่ที่ออกมาจะทำให้ผู้ใช้งานทั้งหมดอัปเดตได้ครบถ้วนภายในอีกไม่กี่วัน หรือภายในสัปดาห์หน้า

ผู้ใช้งาน Chrome ควรอัปเดตเป็นเวอร์ชัน 112.0.5615.121 โดยเร็วที่สุด โดยช่องโหว่ CVE-2023-2033 กระทบกับทั้งระบบ Windows, Mac และ Linux

รายละเอียดของการโจมตียังไม่มีการเปิดเผย

มีการระบุข้อมูลของช่องโหว่ Zero-day CVE-2023-2033 ในเบื้องต้นว่าเกิดจากช่องโหว่ใน Chrome V8 JavaScript โดยช่องโหว่ได้รับการรายงานโดย Clement Lecigne จาก Google threat analysis group (TAG) ซึ่งเป้าหมายหลักของทีม TAG ของ Google คือการปกป้องผู้ใช้งานของ Google จากการโจมตีที่คาดว่าผู้โจมตีได้รับการสนับสนุนจากหน่วยงานรัฐบาล

Google Tags มักจะรายงานช่องโหว่ Zero-day ที่ผู้โจมตีที่ได้รับการสนับสนุนจากหน่วยงานรัฐบาลนำมาใช้ประโยชน์จากการโจมตีเป้าหมายที่เป็นบุคคลระดับสูง เพื่อติดตั้งสปายแวร์บนอุปกรณ์ รวมไปถึงนักข่าว นักการเมืองฝ่ายค้าน และผู้ไม่เห็นด้วยกับรัฐบาลเหล่านั้นจากทั่วโลก

แม้ว่าโดยทั่วไปช่องโหว่จะเกิดจากการทำให้เบราว์เซอร์หยุดการทำงานภายหลังจากการโจมตีได้สำเร็จผ่านทางการอ่าน หรือเขียนบนหน่วยความจำ แต่ผู้โจมตียังสามารถใช้ประโยชน์จากช่องโหว่เหล่านี้เพื่อเรียกใช้งานโค้ดที่เป็นอันตรายได้ตามที่ต้องการบนอุปกรณ์ที่ถูกโจมตี

โดย Google ระบุว่าได้รับรายงานว่ากำลังมีการโจมตีโดยการใช้ประโยชน์จากช่องโหว่ CVE-2023-2033 แล้ว แต่จะยังไม่มีการเปิดเผยข้อมูลเพิ่มเติมเกี่ยวกับเหตุการณ์การโจมตีจนกว่าผู้ใช้งานส่วนใหญ่จะได้รับการอัปเดตแพตช์

โดย Chrome จะทำการอัปเดตโดยอัตโนมัติ โดยที่ผู้ใช้งานไม่ต้องดำเนินการใด ๆ ส่วนหากต้องการอัปเดตด้วยตนเองสามารถเข้าไปที่ Chrome menu > Help > About Google Chrome เพื่ออัปเดตได้

ที่มา : bleepingcomputer

เมื่อวันศุกร์ที่ผ่านมา (7 เม.ย. 2566) Apple ออกแพตซ์อัปเดตด้านความปลอดภัยสำหรับ iOS, iPadOS, macOS และเว็บเบราว์เซอร์ Safari เพื่อแก้ไขช่องโหว่ Zero-day สองรายการที่กำลังถูกใช้ในการโจมตีอยู่ในปัจจุบัน (more…)