นักวิจัยพบช่องโหว่ระดับความรุนแรงสูงที่อาจส่งผลต่อข้อมูลที่มีความสำคัญ โดยสามารถกู้คืนรูปภาพที่ถูกแก้ไขไปแล้วได้ในชื่อ 'acropalypse' ซึ่งส่งผลกระทบต่อ Windows Snipping Tool โดยช่องโหว่ทำให้ผู้ใช้งานสามารถกู้คืนเนื้อหาบางส่วนจากภาพที่แก้ไขไปแล้วได้

โดยก่อนหน้านี้มีการพบช่องโหว่ acropalypse ใน Markup Tool ของ Google Pixel ทำให้สามารถกู้คืนภาพต้นฉบับได้ แม้ว่าจะถูกแก้ไข หรือ crop ตัดก็ตาม โดยช่องโหว่ดังกล่าวก่อให้เกิดข้อกังวลด้านความเป็นส่วนตัวอย่างมาก เนื่องจากหากผู้ใช้งานแชร์รูปภาพ เช่น บัตรเครดิตที่มีหมายเลขที่ถูกแก้ไข หรือรูปภาพใบหน้าที่ถูกลบออก ก็อาจถูกกู้คืนรูปภาพต้นฉบับกลับมาได้ (more…)

กลุ่ม Clop ransomware อ้างว่าได้ทำการโจมตี Saks Fifth Avenue และขโมยข้อมูลของบริษัทออกมา โดยมีการประกาศบนเว็บไซต์ที่เอาไว้ใช้เผยแพร่ข้อมูลรั่วไหลของทางกลุ่ม

เหตุการณ์ดังกล่าวเป็นส่วนหนึ่งของการโจมตีต่อเนื่องจากกลุ่ม Clop ภายหลังจากการโจมตีช่องโหว่ของ GoAnywhere MFT โดยบริษัท Saks Fifth Avenue ระบุว่าไม่มีข้อมูลของลูกค้าจริง ๆ ได้รับผลกระทบ แต่ก็ไม่ได้ระบุว่าข้อมูลขององค์กร หรือของพนักงานถูกขโมยออกไปหรือไม่ (more…)

ในช่วงสงครามระหว่างรัสเซีย และยูเครน ทั้งองค์กรภาครัฐ, ภาคเกษตร และภาคขนส่งที่ตั้งอยู่ในเมือง Donetsk, Lugansk, และ Crimea ถูกโจมตี ซึ่งส่วนหนึ่งของแคมเปญการโจมตีมีการฝังโมดูลเฟรมเวิร์กการโจมตีใหม่ที่ชื่อ 'CommonMagic'

Kaspersky ระบุในรายงานล่าสุดว่า "ถึงแม้วิธีการในช่วงแรกยังไม่มีรายละเอียดชัดเจน แต่รายละเอียดของขั้นตอนถัดไปแสดงให้เห็นว่ามีการใช้เทคนิค spear phishing หรือเทคนิคที่คล้ายกัน"

Kaspersky พบการโจมตีครั้งแรกในเดือนตุลาคม 2022 ภายใต้ชื่อกลุ่ม 'Bad Magic'

ขั้นตอนการโจมตีจะใช้ URL ที่ตั้งค่าให้ดาวน์โหลดไฟล์ .ZIP ที่อยู่บนเว็บเซิร์ฟเวอร์ที่ถูกควบคุมโดยผู้โจมตี เมื่อเปิดไฟล์จะมีเอกสารปลอม และไฟล์ .LNK ที่เป็นอันตราย ซึ่งจะทำการติดตั้ง backdoor ชื่อ 'PowerMagic'

'PowerMagic' เป็น PowerShell ที่ใช้ในการติดต่อกับ C2 Server เพื่อรันคำสั่งที่เป็นอันตราย และส่งข้อมูลกลับไปยังบริการคลาวด์ต่าง ๆ เช่น Dropbox และ Microsoft OneDrive

PowerMagic ยังทำหน้าที่เป็นช่องทางในการส่งเฟรมเวิร์ก CommonMagic ซึ่งเป็นโมดูลที่สามารถดำเนินการต่าง ๆ เช่น command-and-control (C2) server, เข้ารหัส และถอดรหัสข้อมูลที่ติดต่อสื่อสารกับ C2 Server และติดตั้ง plugins ต่าง ๆ

โดย plugins 2 ตัว มีความสามารถในการจับภาพหน้าจอทุก ๆ 3 วินาที และสามารถรวบรวมไฟล์ที่มีความสำคัญจากอุปกรณ์ที่เชื่อมต่อผ่าน USB ได้

Kaspersky ระบุว่า "ยังไม่พบหลักฐาน และเครื่องมือที่ใช้ที่สามารถเชื่อมโยงการโจมตีกับกลุ่มผู้โจมตีกลุ่มใดกลุ่มหนึ่งได้"

 

ที่มา : thehackernews

พบการโจมตีใหม่ที่มุ่งเป้าหมายเป็น Linux SSH servers ที่มีการจัดการที่ไม่รัดกุม โดยการใช้ Malware ที่ชื่อว่า ShellBot

AhnLab (ASEC) ระบุในรายงานว่า "ShellBot หรือที่เรียกว่า PerlBot เป็นมัลแวร์รูปแบบ DDoS Bot ที่ถูกพัฒนาขึ้นด้วยภาษา Perl และใช้โปรโตคอล IRC เพื่อสื่อสารกับ C2 Server" (more…)

Banking Trojan ชื่อ 'Mispadu' ซึ่งมีความเกี่ยวข้องกับแคมเปญการโจมตีในลักษณะ spam หลายครั้ง โดยมีเป้าหมายไปยังประเทศต่าง ๆ ในแถบละตินอเมริกา เช่น โบลิเวีย, ชิลี, เม็กซิโก, เปรู, และโปรตุเกส ในการขโมยข้อมูล credentials และแพร่กระจายเพย์โหลดของมัลแวร์

Ocelot Team จากบริษัทด้านความปลอดภัยทางไซเบอร์ในละตินอเมริกาชื่อ 'Metabase Q' ระบุในรายงานกับ The Hacker News ว่า "การโจมตีนี้เริ่มขึ้นเมื่อต้นเดือนสิงหาคม 2022 และยังดำเนินการอยู่ในปัจจุบัน" (more…)

นักวิจัยของ Check Point บริษัทด้านความปลอดภัยทางไซเบอร์ เปิดเผยการค้นพบ loader malware ที่มีความสามารถในการแพร่กระจายมัลแวร์ผ่านทาง Google Ad ที่มีชื่อว่า DotRunpeX

การโจมตีของ DotRunpeX Malware

นักวิจัยระบุว่า Hacker จะเริ่มต้นจากการนำเว็บไซต์อันตรายที่มีการติดตั้งโทรจันซึ่งปลอมแปลงเป็นซอฟต์แวร์ยอดนิยมต่างๆ เช่น AnyDesk และ LastPass ไปแสดงในหน้าค้นหาบน Google Ad เพื่อให้เหยื่อทำการกดลิงค์เข้าถึงเว็บดังกล่าว และดาวน์โหลด DotRunpeX ไปยังเครื่องเป้าหมาย

DotRunpeX ถูกพบครั้งแรกในเดือนตุลาคม 2022 เป็นมัลแวร์ที่สามารถแทรกคำสั่งอันตรายที่เขียนด้วย .NET โดยใช้เทคนิค Process Hollowing เพื่อแพร่กระจายมัลแวร์ประเภทต่าง ๆ เช่น Agent Tesla , Ave Maria , BitRAT , FormBook , LokiBot , NetWire , Raccoon Stealer , RedLine Stealer , Remcos , Rhadamanthys และ Vidar โดยมัลแวร์ที่อยู่ในรายการเหล่านี้ ยังมีความสามารถในการป้องกัน หรือปิดระบบป้องกันด้านความปลอดภัยอีกด้วย รวมถึง DotRunpeX ยังมีการใช้ procexp.

Ferrari ออกมาประกาศยืนยันว่า Ferrari S.p.A. ซึ่งเป็นบริษัทสาขาในอิตาลี ได้ถูกกลุ่ม Hacker ติดต่อมาเพื่อเรียกค่าไถ่ โดยอ้างว่าสามารถโจมตี และเข้าถึงข้อมูลภายในระบบได้

Ferrari บริษัทผู้ผลิตรถสปอร์ตหรูสัญชาติอิตาลี ที่มีชื่อเสียงระดับโลก และมีทีมรถแข่ง F1 เป็นของตัวเอง (more…)

นักวิจัยรายงานการพบกลุ่มแฮ็กเกอร์จีนกำลังใช้ประโยชน์จากช่องโหว่ของระบบปฏิบัติการ Fortinet FortiOS ที่มีความรุนแรงระดับกลาง ซึ่งปัจจุบันมีการอัปเดตแพตซ์เพื่อแก้ไขช่องโหว่ไปเรียบร้อยแล้ว

Mandiant บริษัทผู้เชี่ยวชาญทางด้าน Threat intelligence ระบุว่า การโจมตีดังกล่าวเป็นส่วนหนึ่งของแคมเปญการโจมตีขนาดใหญ่ที่ออกแบบมาเพื่อติดตั้ง backdoor ลงบนอุปกรณ์ Fortinet และ VMware เพื่อสร้างช่องทางสำหรับการแฝงตัวอยู่ภายในระบบของเหยื่อ

โดย Mandiant กำลังติดตามการดำเนินการของกลุ่มดังกล่าวภายใต้ชื่อ UNC3886 ซึ่งคาดว่ามีความเกี่ยวข้องกับประเทศจีน

นักวิจัยของ Mandiant ระบุในรายงานการวิเคราะห์ทางเทคนิคว่า "UNC3886 เป็นกลุ่มแฮ็กเกอร์ที่มีความสามารถเฉพาะตัวในการดำเนินการโจมตีอุปกรณ์บนเครือข่าย สังเกตได้จากเครื่องมือที่ใช้ในแคมเปญการโจมตี"

โดย Mandiant พบว่า UNC3886 มุ่งเป้าหมายไปที่อุปกรณ์ไฟร์วอลล์ และเทคโนโลยี virtualization ที่ยังไม่รองรับจากอุปกรณ์ EDR โดยมีความสามารถในการจัดการเฟิร์มแวร์ของไฟล์วอลล์ และใช้ประโยชน์จากช่องโหว่ที่ถูกพบ แสดงให้เห็นว่ากลุ่มผู้โจมตีมีความเชี่ยวชาญในเทคโนโลยีดังกล่าว

ก่อนหน้านี้กลุ่มแฮ็กเกอร์กลุ่มนี้ เกี่ยวข้องกับการโจมตีที่มุ่งเป้าหมายเป็นเซิร์ฟเวอร์ VMware ESXi และ เซิร์ฟเวอร์ Linux vCenter ซึ่งเป็นส่วนหนึ่งของแคมเปญ hyperjacking ที่ออกแบบมาเพื่อฝัง backdoor เช่น VIRTUALPITA และ VIRTUALPIE

รายงานล่าสุดจาก Mandiant เกิดขึ้นภายหลังจากที่ Fortinet เปิดเผยว่าหน่วยงานของภาครัฐ และองค์กรขนาดใหญ่ ได้รับผลกระทบจากการถูกโจมตีโดยการใช้ช่องโหว่บน Fortinet FortiOS ซึ่งอาจส่งผลให้ข้อมูลสูญหาย และเกิดความเสียหายในระบบปฏิบัติการได้

โดยช่องโหว่ดังกล่าวมีหมายเลข CVE-2022-41328 (CVSS score: 6.5) เป็นช่องโหว่ path traversal บน FortiOS ซึ่งมีการอัปเดตแพตซ์เพื่อแก้ไขช่องโหว่ไปแล้วเมื่อวันที่ 7 มีนาคม 2023 ที่ผ่านมา

ตามรายงานจาก Mandiant ระบุว่าการโจมตีที่ UNC3886 ได้มุ่งเป้าไปที่อุปกรณ์ FortiGaet, FortiManager, และ FortiAnalyzer ของ Fortinert เพื่อติดตั้ง backdoor THINCRUST และ CASTLETAP ซึ่งจะสามารถทำได้หากอุปกรณ์ FortiManager ถูกเปิดให้เข้าถึงได้จากอินเทอร์เน็ต

โดย THINCRUST เป็น backdoor ที่เขียนด้วยภาษา Python และสามารถรันคำสั่ง รวมถึงอ่าน และเขียนไฟล์บนดิสก์ได้

รวมถึงเพย์โหลดที่เพิ่มเข้ามาใหม่ เรียกว่า "/bin/fgfm" (หรือเรียกว่า CASTLETAP) ซึ่งจะทำการเชื่อมต่อออกไปยังเซิร์ฟเวอร์ภายนอกที่ถูกควบคุมโดยผู้โจมตี เพื่อรับคำสั่ง, ติดตั้งเพย์โหลด และส่งข้อมูลที่ขโมยออกมาไปที่ C2 Server

นักวิจัยระบุว่า "เมื่อ CASTLETAP ถูกติดตั้งบนไฟร์วอลล์ FortiGate แล้ว ผู้โจมตีจะเชื่อมต่อกับเครื่อง ESXi และ vCenter เพื่อสร้างช่องทางการแฝงตัวบนระบบ ซึ่งทำให้สามารถเข้าถึง hypervisors และเครื่อง guest อื่น ๆ"

ในกรณีที่อุปกรณ์ FortiManager มีการจำกัดการเข้าถึงจากอินเทอร์เน็ต ผู้ไม่หวังดีจะใช้เทคนิค Pivoting โดยการเชื่อมต่อจาก FortiGate Firewall ที่โจมตีด้วย CASTLETAP เพื่อฝัง reverse shell backdoor ชื่อ REPTILE ("/bin/klogd") บนระบบจัดการเครือข่ายเพื่อให้สามารถกลับเข้าถึงระบบได้อีกครั้ง

UNC3886 ใช้เครื่องมือชื่อ TABLEFLIP เพื่อเชื่อมต่อโดยตรงกับอุปกรณ์ FortiManager โดยไม่สนใจ ACL (access-control list) ที่กำหนดไว้ในอุปกรณ์ FortiGate

การโจมตีนี้ไม่ใช่ครั้งแรกที่กลุ่มผู้ไม่หวังดีจากจีน มุ่งเป้าหมายไปยังอุปกรณ์เครือข่ายเพื่อแพร่กระจายมัลแวร์ โดยก่อนหน้านี้ก็พบการโจมตีโดยการใช้ช่องโหว่อื่น ๆ ในอุปกรณ์ Fortinet และ SonicWall

รายงานจาก Rapid7 พบว่าผู้ไม่หวังดีกำลังพัฒนา และเผยแพร่เครื่องมือที่ใช้ในการโจมตีได้รวดเร็วขึ้นกว่าที่ผ่านมา โดยมีช่องโหว่มากถึง 28 รายการ ที่ถูกนำมาใช้ในการโจมตีเพียง 7 วัน ภายหลังจากมีการเปิดเผยข้อมูลออกสู่สาธารณะ ซึ่งเพิ่มขึ้น 12% จากปี 2021 และเพิ่มขึ้น 87% จากปี 2020

กลุ่มผู้โจมตีที่มีความเกี่ยวข้องกับประเทศจีนได้กลายเป็นผู้เชี่ยวชาญเฉพาะด้านในการใช้ช่องโหว่ zero-day และการแพร่กระจายมัลแวร์ที่ปรับแต่งให้เหมาะสม เพื่อขโมยข้อมูลประจำตัวผู้ใช้งาน และแฝงตัวบนระบบเครือข่ายของเป้าหมาย

Mandiant ระบุว่า "การโจมตีนี้เป็นหลักฐานที่ชี้ให้เห็นว่าผู้โจมตีที่มีความเชี่ยวชาญ กำลังใช้ประโยชน์จากช่องโหว่เพื่อเข้าถึง และค้นหาข้อมูลของเป้าหมาย โดยเฉพาะเทคโนโลยีที่ไม่รองรับการป้องกันจากอุปกรณ์ EDR"

 

ที่มา : thehackernews

หน่วยงานบังคับใช้กฎหมายของสหรัฐอเมริกา ได้จับกุมชายชาวนิวยอร์กซึ่งเป็นผู้มีความเกี่ยวข้องกับเว็บไซต์ขายข้อมูลรั่วไหลชื่อดัง BreachForums ภายใต้ชื่อออนไลน์ว่า 'Pompompurin'

เหตุการณ์นี้ถูกรายงานครั้งแรกโดย Bloomberg Law หลังจากที่ News 12 Westchester รายงานเมื่อต้นสัปดาห์ที่ผ่านมาว่า "เจ้าหน้าที่สืบสวนของรัฐบาลใช้เวลาหลายชั่วโมงในการตรวจสอบทั้งภายใน และภายนอกอาคารในเมือง Peekskill"

สำนักข่าวท้องถิ่นในนิวยอร์กระบุเพิ่มเติมว่า "มีช่วงหนึ่ง มีผู้พบเห็นเจ้าหน้าที่สืบสวนนำถุงหลักฐานหลายใบออกจากอาคาร"

ตามคำให้การเป็นลายลักษณ์อักษรที่ยื่นโดยสำนักงานสืบสวนกลางแห่งสหรัฐอเมริกา (FBI) ผู้ต้องสงสัยยอมรับว่าตัวเองคือ Conor Brian Fitzpatrick และยอมรับว่าเป็นเจ้าของเว็บไซต์ BreachForums

John Longmire เจ้าหน้าที่พิเศษของ FBI ระบุว่า "เมื่อเข้าจับกุมผู้ต้องสงสัยในวันที่ 15 มีนาคม 2023 ผู้ต้องสงสัยยอมรับว่าตัวเองคือ Conor Brian Fitzpatrick และชื่อนามแฝง pompompurin และเป็นเจ้าของ และผู้ดูแลระบบของ BreachForums

Fitzpatrick ถูกตั้งข้อหาสมรู้ร่วมคิดในการชักชวนบุคคลเพื่อขายข้อมูลการเข้าถึงระบบที่ได้มาโดยผิดกฏหมาย

Fitzpatrick ได้ถูกปล่อยตัวในวันถัดมา โดยมีการประกันตัวด้วยจำนวนเงิน 300,000 เหรียญดอลลาร์ ที่ได้ลงนามจากผู้ปกครอง และกำหนดให้เข้ารับการพิจารณาของศาลในเขตตะวันออกรัฐเวอร์จิเนียในวันที่ 24 มีนาคม 2023

Fitzpatrick ถูกห้ามไม่ให้ใช้หนังสือเดินทาง หรือเอกสารเดินทางระหว่างประเทศ รวมถึงถูกจำกัดไม่ให้ติดต่อกับกลุ่มผู้สมรู้ร่วมคิด และไม่สามารถใช้ยาเสพติด หรือสารอื่น ๆ เว้นแต่จะได้รับการสั่งจ่ายยาโดยแพทย์ที่มีใบอนุญาต

BreachForums ถูกสร้างขึ้นเมื่อปีที่ผ่านมา สามสัปดาห์ภายหลังจากการดำเนินการร่วมกันของหน่วยงานการปราบปรามสองแห่งในเดือนมีนาคม ปี 2022 เพื่อเข้าควบคุม RaidForums

บริษัทด้านความปลอดภัยทางไซเบอร์ Flashpoint ได้กล่าวในเวลานั้นว่า "pompompurin ระบุว่าพวกเขาได้สร้าง BreachForums เป็นทางเลือกสำหรับผู้ที่สนใจแทน RaidForums แต่ BreachForums ไม่ได้มีความเกี่ยวข้องกับ RaidForums แต่อย่างใด"

ตั้งแต่นั้นเป็นต้นมา ฟอรัมดังกล่าวก็เป็นที่รู้จักในฐานะของแหล่งการขายฐานข้อมูลที่ถูกขโมยมาจากบริษัทหลายแห่ง ซึ่งอาจรวมถึงข้อมูลส่วนบุคคลที่มีความสำคัญ

หลังจับกุม Fitzpatrick ผู้ใช้ฟอรัมชื่อ Baphomet ระบุว่า จะเข้ามาเป็นเจ้าของเว็บไซต์แทน และยืนยันว่ายังไม่มีหลักฐานว่ารายชื่อผู้ใช้งาน และระบบของ BreachForums ถูกเข้าควบคุม

เหตุการณ์ดังกล่าวเกิดขึ้นภายหลังจากที่ตำรวจทางไซเบอร์ของประเทศยูเครนประกาศจับกุมนักพัฒนาอายุ 25 ปี ที่สร้าง remote access trojan ที่แพร่กระจายผ่านแอปพลิเคชันเกมปลอมกว่า 10,000 เครื่อง

ล่าสุดพบว่าเว็บไซต์ BreachForums ไม่สามารถเข้าถึงได้แล้วในปัจจุบัน โดยหากเข้าเว็บไซต์จะพบว่ามีข้อความ "502 - Bad Gateway"

 

ที่มา : thehackernews

นักวิจัยของ ESET บริษัทด้านความปลอดภัยทางไซเบอร์ พบการโจมตีโดยใช้ Google Ad เพื่อหลอกเหยื่อไปยังเว็บไซต์ที่ปลอมแปลงเป็น Telegram และ WhatsApp เพื่อแพร่กระจายมัลแวร์ Cryptocurrency Clipper ไปยังเป้าหมายที่ใช้งาน Android และ Windows (more…)