Nokoyawa Ransomware ใช้ประโยชน์จากช่องโหว่ของไดรเวอร์ Common Log File System (CLFS) บน Windows มีเลข CVE คือ CVE-2023-28252 ช่องโหว่นี้ใช้การยกระดับสิทธิ์ของระบบไฟล์บันทึกทั่วไป หลังจากช่อโหว่ถูกเผยแพร่ Microsoft จึงออก Patch มาแก้ไขเมื่อวันที่ 11 เมษายน 2565 โดย Patch มาพร้อมกับ Patch ประจำวันอังคารที่สองของเดือน

ลักษณะการทำงาน
1. จากการตรวจสอบ พบว่ากลุ่ม Nokoyawa Ransomware เป็นผู้เชี่ยวชาญด้านการใช้ช่องโหว่ของไดรเวอร์ Common Log File System (CLFS) โดยตั้งแต่เดือนมิถุนายน 2565 เป็นต้นมาพบว่ามีการใช้ช่องโหว่ของ CLFS ที่ต่างกันถึง 5 รูปแบบ เป้าหมายของการโจมตีนี้คือบริษัทค้าปลีกและค้าส่ง บริษัทพลังงาน บริษัทการผลิต บริษัทการดูแลสุขภาพ บริษัทการพัฒนาซอฟต์แวร์ เป็นต้น
2. การโจมตีด้วยช่องโหว่ CVE-2023-28252 จะสำเร็จได้ก็ต่อเมื่อ User ที่ดำเนินการมีสิทธิ์ในการรันโค้ดบนเครื่องเป้าหมายที่จะยกระดับสิทธิ์ได้
3. หลังจาก Nokoyawa Ransomware ถูกติดตั้ง จะมี Payload สำหรับไปดึง Cobal Strike มาติดตั้งบนเครื่องเป้าหมาย นอกจากนี้ยังมีการใช้งาน Mimikatz, Z0Miner และ Boxter บนเครื่องเป้าหมายด้วย หากมีการติดตั้งไว้
4. ปัจจุบัน Microsoft ยังไม่บอกวิธีการในการใช้ประโยชน์จากช่องโหว่นี้ เพียงแต่ให้ผู้ใช้งานอัพเดท Patch
5. ผู้ใช้งานสามารถตรวจสอบที่เครื่อง โดย Ransomware จะวางไฟล์บน Directory เหล่านี้
C:\Users\Public\.container*
C:\Users\Public\MyLog*.blf
C:\Users\Public\p_*

แนวทางการป้องกัน
1. Update Patch (Release 11/4/2023)
2. Update Endpoint ให้เป็นเวอร์ชันล่าสุดอยู่เสมอ
3. ควนมี Solution Anti-APT และ EDR ในองค์กร

IOC
46168ed7dbe33ffc4179974f8bf401aa
1e4dd35b16ddc59c1ecf240c22b8a4c4
f23be19024fcc7c8f885dfa16634e6e7
a2313d7fdb2f8f5e5c1962e22b504a17
vnssinc[.]com
qooqle[.]top
vsexec[.]com
devsetgroup[.]com
8800e6f1501f69a0a04ce709e9fa251c
a70729b3241154d81f2fff506e5434be0a0c381354a84317958327970a125507
2ef9a4f7d054b570ea6d6ae704602b57e27dee15f47c53decb16f1ed0d949187
c170717a69847bb7b050832c55fcd2a214e9180c8cde5f86088bd4e5266e2fd9
a290ce75c6c6b37af077b72dc9c2c347a2eede4fafa6551387fa8469539409c7
e097cde0f76df948f039584045acfa6bd7ef863141560815d12c3c6e6452dce4

Ref.

Google ออกแพตซ์อัปเดตด้านความปลอดภัยเร่งด่วนสำหรับ Chrome เพื่อแก้ไขช่องโหว่ zero-day ที่กำลังถูกนำมาใช้ในการโจมตีเป็นครั้งแรกตั้งแต่ต้นปีนี้

โดย Google ระบุในคำแนะนำด้านความปลอดภัยที่เผยแพร่เมื่อวันศุกร์ที่ผ่านมาว่า (14 เมษายน 2566) ได้รับรายงานว่ากำลังมีการโจมตีโดยการใช้ประโยชน์จากช่องโหว่ CVE-2023-2033 อยู่ในปัจจุบัน

โดย Chrome เวอร์ชันใหม่ที่ออกมาจะทำให้ผู้ใช้งานทั้งหมดอัปเดตได้ครบถ้วนภายในอีกไม่กี่วัน หรือภายในสัปดาห์หน้า

ผู้ใช้งาน Chrome ควรอัปเดตเป็นเวอร์ชัน 112.0.5615.121 โดยเร็วที่สุด โดยช่องโหว่ CVE-2023-2033 กระทบกับทั้งระบบ Windows, Mac และ Linux

รายละเอียดของการโจมตียังไม่มีการเปิดเผย

มีการระบุข้อมูลของช่องโหว่ Zero-day CVE-2023-2033 ในเบื้องต้นว่าเกิดจากช่องโหว่ใน Chrome V8 JavaScript โดยช่องโหว่ได้รับการรายงานโดย Clement Lecigne จาก Google threat analysis group (TAG) ซึ่งเป้าหมายหลักของทีม TAG ของ Google คือการปกป้องผู้ใช้งานของ Google จากการโจมตีที่คาดว่าผู้โจมตีได้รับการสนับสนุนจากหน่วยงานรัฐบาล

Google Tags มักจะรายงานช่องโหว่ Zero-day ที่ผู้โจมตีที่ได้รับการสนับสนุนจากหน่วยงานรัฐบาลนำมาใช้ประโยชน์จากการโจมตีเป้าหมายที่เป็นบุคคลระดับสูง เพื่อติดตั้งสปายแวร์บนอุปกรณ์ รวมไปถึงนักข่าว นักการเมืองฝ่ายค้าน และผู้ไม่เห็นด้วยกับรัฐบาลเหล่านั้นจากทั่วโลก

แม้ว่าโดยทั่วไปช่องโหว่จะเกิดจากการทำให้เบราว์เซอร์หยุดการทำงานภายหลังจากการโจมตีได้สำเร็จผ่านทางการอ่าน หรือเขียนบนหน่วยความจำ แต่ผู้โจมตียังสามารถใช้ประโยชน์จากช่องโหว่เหล่านี้เพื่อเรียกใช้งานโค้ดที่เป็นอันตรายได้ตามที่ต้องการบนอุปกรณ์ที่ถูกโจมตี

โดย Google ระบุว่าได้รับรายงานว่ากำลังมีการโจมตีโดยการใช้ประโยชน์จากช่องโหว่ CVE-2023-2033 แล้ว แต่จะยังไม่มีการเปิดเผยข้อมูลเพิ่มเติมเกี่ยวกับเหตุการณ์การโจมตีจนกว่าผู้ใช้งานส่วนใหญ่จะได้รับการอัปเดตแพตช์

โดย Chrome จะทำการอัปเดตโดยอัตโนมัติ โดยที่ผู้ใช้งานไม่ต้องดำเนินการใด ๆ ส่วนหากต้องการอัปเดตด้วยตนเองสามารถเข้าไปที่ Chrome menu > Help > About Google Chrome เพื่ออัปเดตได้

ที่มา : bleepingcomputer

เมื่อวันศุกร์ที่ผ่านมา (7 เม.ย. 2566) Apple ออกแพตซ์อัปเดตด้านความปลอดภัยสำหรับ iOS, iPadOS, macOS และเว็บเบราว์เซอร์ Safari เพื่อแก้ไขช่องโหว่ Zero-day สองรายการที่กำลังถูกใช้ในการโจมตีอยู่ในปัจจุบัน (more…)

U.S. Cybersecurity and Infrastructure Security Agency (CISA) หรือ หน่วยงานรักษาความปลอดภัยทางไซเบอร์ และโครงสร้างพื้นฐานของสหรัฐ แจ้งเตือนช่องโหว่ร้ายแรง บนระบบควบคุมอุตสาหกรรม Industrial Control System (ICS) 8 รายการที่ส่งผลกระทบกับผลิตภัณฑ์จาก Hitachi Energy, mySCADA Technologies, Industrial Control Links และ Nexx (more…)

US Cybersecurity and Infrastructure Security Agency (CISA) หรือหน่วยงานรักษาความปลอดภัยทางไซเบอร์ และโครงสร้างพื้นฐานของสหรัฐ ได้ประกาศเพิ่มช่องโหว่ 5 รายการ โดยเป็นช่องโหว่ใน Veritas Backup Exec 3 รายการ ที่พบว่ากำลังถูก Hacker นำมาใช้ในการโจมตี ไปยังแคตตาล็อกของ Known Exploited Vulnerabilities (KEV) โดยพบว่าได้ถูกใช้ในการโจมตีเว็บเบราว์เซอร์ของ Samsung และสามารถเพิ่มสิทธิ์ใน Windows ได้ (more…)

นักวิจัยด้านความปลอดภัยพบ extension ที่เป็นอันตรายตัวใหม่บนเบราว์เซอร์ที่ชื่อว่า 'Rilide' ซึ่งกำหนดเป้าหมายไปที่เบราว์เซอร์ที่ใช้ Chromium-based เช่น Google Chrome, Brave, Opera และ Microsoft Edge

โดยมัลแวร์ได้รับการออกแบบมาเพื่อตรวจสอบการใช้งานบนเบราว์เซอร์ บันทึกภาพหน้าจอ และขโมย cryptocurrency ผ่านทางสคริปต์ที่แทรกไว้ในหน้าเว็บ (more…)

HP ประกาศว่าจะใช้เวลาสูงสุด 90 วัน ในการดำเนินการแก้ไขช่องโหว่ระดับ critical ที่ส่งผลกระทบต่อเฟิร์มแวร์ของเครื่องพิมพ์ระดับธุรกิจ

CVE-2023-1707 (CVSS 9.1/10 ความรุนแรงระดับ critical) เป็นช่องโหว่ information disclosure ที่ส่งผลกระทบต่อเครื่องพิมพ์ HP Enterprise LaserJet และ HP LaserJet Managed ประมาณ 50 รุ่น

โดยช่องโหว่ดังกล่าวจำเป็นต้องเรียกใช้ผ่านเฟิร์มแวร์ FutureSmart เวอร์ชัน 5.6 เท่านั้น และต้องมีการเปิดใช้งาน IPsec (Internet Protocol Security) ซึ่งเป็นโปรโตคอลด้านความปลอดภัยของ IP ที่ใช้ในเครือข่ายองค์กรเพื่อรักษาความปลอดภัยในการสื่อสารระยะไกล หรือภายใน และป้องกันการเข้าถึงระบบโดยไม่ได้รับอนุญาต รวมถึงเครื่องพิมพ์ โดย FutureSmart ช่วยให้ผู้ใช้งานสามารถทำงาน และกำหนดค่าเครื่องพิมพ์ได้จากแผงควบคุมที่มีอยู่ในเครื่องพิมพ์ หรือจากเว็บเบราว์เซอร์สำหรับการเข้าถึงจากภายนอก (more…)

Mandiant บริษัทด้านความปลอดภัยทางไซเบอร์ พบกลุ่ม Hacker ในเครือ ALPHV/BlackCat ransomware ที่มีชื่อว่า UNC4466 ใช้ช่องโหว่ 3 รายการ ที่ส่งผลกระทบต่อผลิตภัณฑ์ Veritas Backup เพื่อเข้าถึงระบบของเป้าหมาย (initial access)

ALPHV/BlackCat ransomware ถูกพบครั้งแรกในเดือนธันวาคม 2021 โดยมาจากการรวมตัวกันของสมาชิกกลุ่ม Darkside และ Blackmatter ที่ยุติปฏิบัติการลงอย่างกะทันหันเพื่อหลบหนีการจับกุมของหน่วยงานรัฐ (more…)

Kaspersky เปิดเผยรายงานการพบ Gopuram Malware ซึ่งเป็นมัลแวร์ที่ถูกใช้ในการโจมตี 3CX supply chain attack โดยพบว่า Hacker ได้มุ่งเป้าหมายการโจมตีไปที่บริษัททางด้าน cryptocurrency

การโจมตี 3CX supply chain attack เกิดขึ้นจากการที่ Hacker ได้โจมตีระบบของ 3CX และทำการฝัง DLL สองตัวที่เป็นอันตราย คือ ffmpeg.

Western Digital บริษัทผู้ผลิตไดรฟ์คอมพิวเตอร์ในแคลิฟอร์เนีย และผู้ให้บริการจัดเก็บข้อมูล ออกมาเปิดเผยการถูกโจมตีทางไซเบอร์ที่ทำให้ Hacker สามารถเข้าถึงระบบของบริษัทหลายแห่ง โดยการโจมตีดังกล่าวเริ่มต้นขึ้นในวันที่ 26 มีนาคม

ซึ่งขณะนี้ทาง Western Digital กำลังเร่งสืบสวนหาสาเหตุ และจุดเริ่มต้นการโจมตี รวมไปถึงแจ้งไปยังหน่วยงานรัฐที่เกี่ยวข้อง

บริการ My Cloud ล่ม

นอกจากนี้เหตุการณ์การโจมตีดังกล่าวยังทำให้ Western Digital ได้ใช้มาตรการรักษาความปลอดภัยเพิ่มเติมเพื่อปกป้องระบบ และการดำเนินงาน ทำให้ส่งผลกระทบต่อบริการ My Cloud

โดยผู้ใช้งานบริการจัดเก็บข้อมูลบนเครือข่าย (NAS) ของ Western Digital My Cloud พบว่าไม่สามารถเข้าถึงที่เก็บข้อมูลบนคลาวด์ได้ โดยจะมีข้อความ Error Code "503 Service Temporarily Unavailable" ซึ่งกระทบต่อระบบคลาวด์, พร็อกซี เว็บ การตรวจสอบสิทธิ์ อีเมล และการแจ้งเตือน โดยหยุดทำงานไปนานกว่า 24 ชั่วโมง

ซึ่งหน้าสถานะบริการ My Cloud ได้ระบุว่าปัญหาดังกล่าวได้ส่งผลกระทบต่อผลิตภัณฑ์ดังนี้ My Cloud, My Cloud Home, My Cloud Home Duo, My Cloud OS5, SanDisk ibi และ SanDisk Ixpand Wireless Charger

ที่มา : bleepingcomputer