มัลแวร์ Xenomorph บน Android ได้ปล่อยเวอร์ชันใหม่ที่เพิ่มความสามารถในการโจมตี รวมไปถึงระบบการโอนเงินอัตโนมัติ (ATS) และความสามารถในการขโมยข้อมูล credentials ของธนาคารได้กว่า 400 แห่ง

Xenomorph ถูกพบครั้งแรกในเดือนกุมภาพันธ์ 2022 โดย ThreatFabric ซึ่งเวอร์ชันแรกของ banking Trojan ดังกล่าว ถูกเผยแพร่ผ่านทาง Google Play Store และถูกติดตั้งบนอุปกรณ์ Android มากกว่า 50,000 เครื่อง (more…)

Rubrik ออกมายืนยันการถูกขโมยข้อมูล จากเหตุการณ์การถูกโจมตีผ่านช่องโหว่ Zero-Day ในแพลตฟอร์ม file transfer ของ Fortra GoAnywhere

Rubrik เป็นบริการจัดการข้อมูลบนคลาวด์ที่ให้บริการสำรอง และกู้คืนข้อมูลขององค์กร และโซลูชันการกู้คืนข้อมูลแบบ disaster recovery

GoAnywhere เป็นโซลูชัน file transfer บนเว็บอย่างปลอดภัย ซึ่งช่วยให้บริษัทต่าง ๆ สามารถถ่ายโอนไฟล์ที่เข้ารหัสได้อย่างปลอดภัยกับคู่ค้า อีกทั้งยังมีการบันทึก และตรวจสอบการเข้าถึงไฟล์ได้ (more…)

Siemens และ Schneider Electric ออกแพตซ์อัปเดตแก้ไขช่องโหว่มากกว่า 100 รายการใน Patch Tuesday ในเดือนมีนาคม 2023

Siemens ออกคำแนะนำเพิ่มเติมสำหรับช่องโหว่เพียง 7 รายการ แต่ระบุถึงช่องโหว่ทั้งหมด 92 รายการ อย่างไรก็ตามช่องโหว่ส่วนใหญ่ถูกนำมาใช้โดยร่วมกับ component จาก third-party มากกว่าที่เป็นช่องโหว่โดยตรงกับผลิตภัณฑ์ของ Siemens (more…)

เครื่องมือโอเพ่นซอร์สสำหรับการโจมตีแบบ adversary-in-the-middle (AiTM) ถูกพบกำลังถูกนำมาใช้โดยผู้โจมตี

Microsoft Threat Intelligence กำลังติดตามกลุ่มแฮ็กเกอร์ที่อยู่เบื้องหลังการพัฒนาชุดเครื่องมือดังกล่าวภายใต้ชื่อ DEV -1101

การโจมตี AiTM phishing คือความพยายามในการขโมย และดักจับข้อมูลรหัสผ่าน และคุกกี้เซสชั่นของเป้าหมายโดยการติดตั้ง proxy เซิร์ฟเวอร์ระหว่างผู้ใช้กับเว็บไซต์ การโจมตีดังกล่าวมีประสิทธิภาพมาก เนื่องจากมีความสามารถในการหลีกเลี่ยงการป้องกันจาก multi-factor authentication (MFA)

DEV-1101 อยู่เบื้องหลัง Phishing Kits ที่กลุ่มผู้โจมตีรายอื่นสามารถซื้อ หรือเช่าไปใช้ได้ ซึ่งจะช่วยลดความยุ่งยากในการเริ่มการโจมตีด้วย Phishing ได้

เครื่องมือโอเพ่นซอร์สจาก DEV-1101 มาพร้อมกับฟีเจอร์ที่ทำให้สามารถตั้งค่าหน้า Landing Page ฟิชชิ่งที่เลียนแบบ Microsoft Office และ Outlook รวมถึงการจัดการการโจมตีได้จากอุปกรณ์พกพา และแม้แต่ใช้การตรวจสอบจาก CAPTCHA เพื่อหลีกเลี่ยงการตรวจจับ

นับตั้งแต่เปิดตัวบริการดังกล่าวในเดือนพฤษภาคม 2565 เครื่องมือมีการปรับปรุงหลายอย่าง ที่สำคัญที่สุดคือความสามารถในการจัดการเซิร์ฟเวอร์ผ่าน Telegram bot ซึ่งปัจจุบันมีราคา 300 ดอลลาร์สำหรับรายเดือนปกติ และ 1,000 ดอลลาร์สำหรับระดับ VIP

Microsoft ระบุว่าได้ตรวจพบแคมเปญฟิชชิ่งจํานวนมาก ซึ่งครอบคลุมอีเมลฟิชชิ่งนับล้านฉบับต่อวันจากหลากหลายกลุ่มที่ใช้ประโยชน์จากเครื่องมือดังกล่าว

ซึ่งรวมถึงกลุ่ม DEV-0928 ที่ Microsoft ระบุว่าเป็นหนึ่งในผู้สนับสนุนที่สำคัญของ DEV-1101 และเชื่อมโยงกับแคมเปญ Phishing ซึ่งประกอบด้วยอีเมลมากกว่าหนึ่งล้านฉบับตั้งแต่เดือนกันยายน 2565

ลำดับการโจมตีเริ่มต้นด้วยข้อความอีเมลในธีมเอกสารที่มีลิงก์ไปยังเอกสาร PDF ซึ่งเมื่อคลิกแล้ว จะนำผู้รับไปยังหน้าเข้าสู่ระบบที่ปลอมเป็น portal ลงชื่อเข้าใช้ของ Microsoft แต่ก่อนหน้านั้นจะมีการให้ผู้ใช้งานกรอกข้อมูล Captcha ก่อน การใส่หน้า CAPTCHA ลงไปทำให้สามารถป้องกันการถูกตรวจสอบจากระบบอัตโนมัติ แต่ทำให้มั่นใจได้ว่าเหยื่อเป็นผู้เข้าใช้งานเอง

 

ที่มา : thehackernews

SAP ผู้จำหน่ายซอฟต์แวร์ ERP ได้ประกาศการอัปเดตแพตซ์เพื่อแก้ไขช่องโหว่ด้านความปลอดภัย 19 รายการ โดย 5 รายการ เป็นช่องโหว่ที่มีความรุนแรงระดับ critical โดยช่องโหว่ส่งผลกระทบต่อผลิตภัณฑ์ของ SAP จำนวนมาก แต่ช่องโหว่ 5 รายการที่มีความรุนแรงระดับ critical ได้ส่งผลโดยตรงกับ SAP Business Objects Business Intelligence Platform (CMC) และ SAP NetWeaver

SAP เป็นบริษัทจำหน่ายซอฟต์แวร์ ERP รายใหญ่ที่สุดในโลก โดยมีส่วนแบ่งการตลาด 24% ทั่วโลก โดยมีลูกค้า 425,000 รายใน 180 ประเทศ มากกว่า 90% ของบริษัทใน Forbes Global 2000 ใช้ผลิตภัณฑ์ของ SAP เช่น ERP, SCM, PLM และ CRM

ช่องโหว่ระดับ critical ที่ส่งผลกระทบต่อผลิตภัณฑ์ของ SAP

CVE-2023-25616 (คะแนน CVSS v3: 9.9 ระดับความรุนแรง critical) เป็นช่องโหว่ที่ส่งผลกระทบต่อ SAP Business Intelligence Platform ทำให้สามารถเข้าถึงทรัพยากรที่เข้าถึงได้เฉพาะ Privileged User เท่านั้น ช่องโหว่ดังกล่าวกระทบต่อเวอร์ชัน 420 และ 430

CVE-2023-23857 (คะแนน CVSS v3: 9.8 ระดับความรุนแรง critical) เป็นช่องโหว่ที่ส่งผลกระทบต่อ SAP NetWeaver AS สำหรับ Java เวอร์ชัน 7.50 ทำให้สามารถหลีกเลี่ยงการตรวจสอบสิทธิการเชื่อมต่อกับ open interface และ directory API ในการจัดการข้อมูล รวมถึงการ Denial-of-Service (DoS)

CVE-2023-27269 (คะแนน CVSS v3: 9.6 ระดับความรุนแรง critical) เป็นช่องโหว่ใน directory ที่ทำให้สามารถเขียนทับไฟล์ระบบได้ โดยไม่ต้องใช้สิทธิ Admin User ส่งกระทบต่อ SAP NetWeaver Application Server for ABAP เวอร์ชัน 700, 701, 702, 731, 740, 750, 751, 752, 753, 754, 755, 756, 757 และ 791

CVE-2023-27500 (คะแนน CVSS v3: 9.6 ระดับความรุนแรง critical) เป็นช่องโหว่ใน directory ที่ทำให้สามารถโจมตีจากช่องโหว่ใน SAPRSBRO เพื่อเขียนทับไฟล์ระบบ ทำให้เกิดความเสียหายให้กับอุปกรณ์ปลายทางที่มีช่องโหว่ได้ ส่งผลกระทบต่อ SAP NetWeaver Application Server for ABAP เวอร์ชัน 700, 701, 702, 731, 740, 750, 751, 752, 753, 754, 755, 756, และ 757

CVE-2023-25617 (คะแนน CVSS v3: 9.0 ระดับความรุนแรง critical) เป็นช่องโหว่ที่ทำให้สามารถเรียกใช้งานคำสั่งที่เป็นอันตรายจากระยะไกล (RCE) บนระบบปฏิบัติการโดยใช้ BI Launchpad, Central Management Console และ custom application บน java SDK ภายใต้เงื่อนไขบางอย่าง ส่งกระทบต่อ SAP Business Objects Business Intelligence Platform เวอร์ชัน 420 และ 430

โดย SAP แนะนำให้ผู้ดูแลระบบควรเร่งอัปเดตเพื่อแก้ไขช่องโหว่โดยเร็วที่สุด โดยเฉพาะช่องโหว่ 5 รายการที่มีความรุนแรงระดับ critical รวมไปถึงช่องโหว่ที่มีระดับความรุนแรงปานกลาง 10 รายการด้วย

 

ที่มา : bleepingcomputer

EclecticIQ บริษัทความปลอดภัยทางไซเบอร์ของเนเธอร์แลนด์ ได้เผยแพร่รายงานการค้นพบการโจมตีโดยกลุ่ม APT ในชื่อ Dark Pink ที่ได้ใช้มัลแวร์ KamiKakaBot โจมตีเป้าหมาย โดยมุ่งเป้าหมายการโจมตีไปยังหน่วยงานรัฐบาล และหน่วยงานทางทหารในประเทศแถบเอเชียตะวันออกเฉียงใต้

Dark Pink หรือ Saaiwc ถูกพบครั้งแรกโดย Group-IB เมื่อต้นปี 2023 โดยเป็นกลุ่ม Advanced Persistent Threat (APT) ที่มีการใช้ Malware ที่สร้างขึ้นมาเอง เช่น TelePowerBot และ KamiKakaBot เพื่อโจมตี และควบคุมเป้าหมายจากระยะไกล รวมไปถึงการขโมยข้อมูลสำคัญออกไป ซึ่งมีการคาดการณ์ว่ากลุ่มผู้โจมตีมีฐานปฏิบัติการอยู่ที่เอเชียแปซิฟิก โดยเริ่มพบการโจมตีครั้งแรกในปี 2021 และเริ่มพบการโจมตีจำนวนมากขึ้นในปี 2022

การโจมตีของ KamiKakaBot

EclecticIQ พบการโจมตีครั้งล่าสุดในเดือนกุมภาพันธ์ 2023 โดยพบว่ามัลแวร์ KamiKakaBot ได้มีการพัฒนา และถูกปรับปรุงให้มีความสามารถในการหลบเลี่ยงการตรวจจับจากอุปกรณ์ป้องกันด้านความปลอดภัย

โดยใช้วิธีการโจมตีด้วยการใช้ Phishing Email หลอกล่อให้เหยื่อทำการเปิดอีเมลที่แนบไฟล์อันตราย .ISO image ซึ่งในตัวไฟล์นั้นจะประกอบไปด้วย ไฟล์สั่งการ (Winword.

Fortinet ประกาศแจ้งเตือนการพบการโจมตีโดยการใช้ช่องโหว่ใน FortiOS ภายหลังจากที่พึ่งมีการออกแพตซ์อัปเดตเพื่อแก้ไขช่องโหว่ไปในช่วงต้นเดือนที่ผ่านมา โดยผู้โจมตีมีเป้าหมายการโจมตีไปยังหน่วยงานรัฐบาล และองค์กรขนาดใหญ่ ทำให้อาจส่งผลกระทบต่อระบบปฏิบัติการ ไฟล์ และข้อมูลเสียหายได้ (more…)

มัลแวร์ Botnet เวอร์ชันอัปเดต ชื่อ "Prometei" ได้แพร่กระจายไปมากกว่า 10,000 ระบบทั่วโลกตั้งแต่เดือนพฤศจิกายน 2022

การแพร่กระจายที่เกิดขึ้น มีรายงานว่าเหยื่อส่วนใหญ่อยู่ในประเทศบราซิล, อินโดนีเซีย และตุรกี

Prometei ถูกพบครั้งแรกในปี 2016 โดยเป็น Botnet ที่มีส่วนประกอบจำนวนมาก และมีหลากหลายวิธีในการการแพร่กระจาย เช่น การใช้ช่องโหว่ ProxyLogon ของ Microsoft Exchange Server

มีข้อสันนิษฐานเกี่ยวกับผู้โจมตีที่อยู่เบื้องหลังว่าอาจมีความเชื่อมโยงกับประเทศรัสเซีย เนื่องจาก Prometei หลีกเลี่ยงที่จะโจมตีเหยื่อที่อยู่ในประเทศรัสเซีย (more…)

มีการเปิดเผยช่องโหว่ด้านความปลอดภัยที่มีระดับความรุนแรงสูงสองรายการบน Jenkins open source automation server ที่อาจนำไปสู่การเรียกใช้งานโค้ดที่เป็นอันตรายบนระบบของเป้าหมายได้

โดยช่องโหว่ดังกล่าวมีหมายเลข CVE-2023-27898 และ CVE-2023-27905 ส่งผลกระทบต่อกับเซิร์ฟเวอร์ Jenkins และ Update Center ทุกเวอร์ชันก่อนหน้า 2.319.2 ซึ่งบริษัทรักษาความปลอดภัยบนระบบคลาวด์ Aqua ได้ตั้งชื่อแคมเปญว่า CorePlague

โดย Aqua ระบุในรายงานว่า “การใช้ประโยชน์จากช่องโหว่นี้ทำให้ผู้โจมตีที่ไม่ผ่านการตรวจสอบสิทธิ์สามารถเรียกใช้คำสั่งที่เป็นอันตรายบนเซิร์ฟเวอร์ Jenkins ของเหยื่อ ซึ่งอาจนำไปสู่การเข้าควบคุมเซิร์ฟเวอร์ Jenkins ได้อย่างสมบูรณ์ในที่สุด"

ช่องโหว่ดังกล่าวเป็นผลมาจากวิธีการที่ Jenkins ประมวลผลปลั๊กอินที่มีใน Update Center จึงอาจทำให้ผู้ไม่หวังดีสามารถอัปโหลดปลั๊กอินที่มีเพย์โหลดที่เป็นอันตราย และทำการโจมตีแบบ cross-site scripting (XSS) ได้

"เมื่อเหยื่อเปิด 'Available Plugin Manager' บนเซิร์ฟเวอร์ Jenkins ของพวกเขา XSS จะถูกเรียกใช้งาน ทำให้ผู้โจมตีสามารถเรียกใช้โค้ดที่เป็นอันตรายบนเซิร์ฟเวอร์ Jenkins โดยใช้ Script Console API" Aqua ระบุในรายงาน

เนื่องจาก XSS นั้นจะมีการแทรกโค้ดที่เป็น JavaScript ลงในเซิร์ฟเวอร์ของเหยื่อทำให้ช่องโหว่นี้สามารถเปิดใช้งานได้โดยไม่ต้องติดตั้งปลั๊กอิน หรือไม่ต้องไปที่ URL ของปลั๊กอินตั้งแต่แรก

ปัญหาคือช่องโหว่นี้อาจส่งผลกระทบต่อ self-hosted Jenkins เซิร์ฟเวอร์ และอาจถูกโจมตีได้แม้จะเป็นเซิร์ฟเวอร์ที่ไม่สามารถเข้าถึงได้ผ่านทางอินเทอร์เน็ตก็ตาม เนื่องจาก public Jenkins Update Center อาจถูกโจมตีโดยผู้ไม่หวังดี

อย่างไรก็ตาม การโจมตีนั้นขึ้นอยู่กับข้อกำหนดเบื้องต้นว่าปลั๊กอินปลอมนั้นสามารถเข้ากันได้กับเซิร์ฟเวอร์ Jenkins ของเหยื่อหรือไม่ โดยจะมีการแจ้งเตือนขึ้นในหน้าฟีดหลักว่า "Available Plugin Manager"

Aqua ระบุว่าสิ่งนี้สามารถถูกผู้ไม่หวังดีแก้ไขได้โดยการอัปโหลดปลั๊กอินยอดนิยมที่เป็นของปลอม หรืออัปโหลดปลั๊กอินปลอมที่มี Keyword ยอดนินยมในคำอธิบายเพื่อให้เหยื่อค้นหาเจอได้ง่ายขึ้น หรือการเพิ่มยอดดาวน์โหลดปลั๊กอินปลอมเพื่อให้มีความน่าเชื่อถือ

หลังจากได้มีการออกมาแสดงความรับผิดชอบในวันที่ 24 มกราคม 2023 ทาง Jenkins ได้ออกแพตช์สำหรับ Update Center และเซิร์ฟเวอร์ แนะนำให้ผู้ใช้งานอัปเดตเซิร์ฟเวอร์ Jenkins เป็นเวอร์ชันล่าสุดที่มีอยู่เพื่อลดความเสี่ยงที่อาจเกิดขึ้น

 

ที่มา : thehackernews

มีการเปิดเผยช่องโหว่หลายรายการ ในผลิตภัณฑ์สมาร์ทอินเตอร์คอม E11 ที่ผลิตโดยบริษัท Akuvox จากประเทศจีน

'Vera Mens' นักวิจัยด้านความปลอดภัยของ Claroty ได้เขียนในบทความทางเทคนิคระบุว่า "ช่องโหว่ที่พบ สามารถทำให้ผู้ไม่หวังดีสามารถสั่งรันโค้ดที่เป็นอันตรายจากระยะไกล เพื่อเปิดใช้งาน และควบคุมกล้อง, ไมโครโฟน, รวมถึงสามารถขโมยวิดีโอ และรูปภาพ หรือเข้าถึงข้อมูลบนเครือข่ายได้"

บนเว็บไซต์ของบริษัท Akuvox ระบุเกี่ยวกับผลิตภัณฑ์ E11 ว่า "SIP (Session Initiation Protocol) video doorphone ที่ออกแบบมาเป็นพิเศษสำหรับบ้านเดี่ยว, วิลล่า, และอพาร์ตเมนต์"

แต่ปัจจุบันรายการผลิตภัณฑ์นั้นได้ถูกลบออกจากหน้าเว็บไซต์แล้ว และแสดงข้อความผิดพลาดว่า "ไม่พบหน้าเว็บไซต์" ภาพรวมที่บันทึกโดย Google แสดงให้เห็นว่าหน้าเว็บนี้ถูกเผยแพร่ล่าสุดในวันที่ 12 มีนาคม 2023, 05:59:51 GMT ที่ผ่านมา

การโจมตีสามารถเกิดขึ้นได้จากการสั่งรันโค้ดที่เป็นอันตรายจากระยะไกล ทำให้สามารถเปิดใช้งานกล้อง และไมโครโฟนของอุปกรณ์ E11 จากระยะไกล ทำให้ผู้ไม่หวังดีสามารถเก็บรวบรวมข้อมูล และส่งไฟล์ที่ถูกบันทึกไว้ออกไปได้

ช่องโหว่ที่มีระดับความรุนแรงสูง มีดังนี้

CVE-2023-0344 (CVSS score: 9.1) - Akuvox E11 ใช้เซิร์ฟเวอร์ dropbear SSH เวอร์ชันที่มีการกำหนดค่าด้วยตนเอง ซึ่งทำให้ผู้โจมตีสามารถใช้ตัวเลือกที่ไม่ปลอดภัยได้ (ซึ่งไม่มีในเวอร์ชันอย่างเป็นทางการของ dropbear SSH)
CVE-2023-0345 (CVSS score: 9.8) - เซิร์ฟเวอร์ secure shell (SSH) ของ Akuvox E11 เปิดใช้งานเป็นค่าเริ่มต้น ทำให้ผู้โจมตีสามารถเข้าถึงอุปกรณ์ได้ด้วยสิทธิ์ root และผู้ใช้ไม่สามารถเปลี่ยนรหัสผ่านได้
CVE-2023-0352 (CVSS score: 9.1) - หน้าเว็บสำหรับกู้คืนรหัสผ่านของ Akuvox E11 สามารถเข้าถึงได้โดยไม่ต้องผ่านการตรวจสอบสิทธิ์ และผู้โจมตีสามารถดาวน์โหลดไฟล์ Device key ได้ จากนั้นผู้โจมตีสามารถเข้าหน้าเว็บเพื่อรีเซ็ตรหัสผ่านกลับไปเป็นค่าเริ่มต้นได้
CVE-2023-0354 (CVSS score: 9.1) - เว็บเซิร์ฟเวอร์ของ Akuvox E11 สามารถเข้าถึงได้โดยไม่ต้องมีการยืนยันตัวตนของผู้ใช้งาน ซึ่งอาจทำให้ผู้ไม่หวังดีสามารถเข้าถึงข้อมูลที่มีความสำคัญ รวมถึงการสร้าง และดาวน์โหลด packet capture โดยใช้ URL เริ่มต้นของระบบ

การค้นพบช่องโหว่เหล่านี้ ทำให้หน่วยงานด้านความปลอดภัยทางไซเบอร์ของสหรัฐ (CISA) ออกมาให้คำแนะนำเกี่ยวกับระบบควบคุมอุตสาหกรรม (ICS) เมื่อสัปดาห์ที่ผ่านมา

หากยังไม่มีการอัปเดตแพตซ์เพื่อแก้ไขช่องโหว่ แนะนำให้ผู้ใช้งานที่ใช้ Akuvox E11 ทำการตัดการเชื่อมต่อกับอินเทอร์เน็ตชั่วคราว จนกว่าจะได้รับการแก้ไขเพื่อลดความเสี่ยงในการโจมตีจากภายนอก

นอกจากนี้ยังแนะนำให้ทำการเปลี่ยนรหัสผ่านค่าเริ่มต้น เพื่อความปลอดภัยของ web interface และ"แยกกลุ่มอุปกรณ์ของ Akuvox ออกจากส่วนอื่นของเครื่อข่ายในองค์กร" เพื่อป้องกันการโจมตีแบบ Lateral movement

ก่อนหน้านี้ 'Wago' บริษัทผลิตชิ้นส่วนสำหรับเทคโนโลยีการเชื่อมต่อไฟฟ้า และชิ้นส่วนอิเล็กทรอนิกส์สำหรับเทคโนโลยีระบบอัตโนมัติ พึ่งออกแพตช์อัปเดตสำหรับตัวควบคุมโปรแกรมหลายรุ่น (PLCs) เพื่อแก้ไขช่องโหว่ทั้งหมด 4 ช่องโหว่ (CVE-2022-45137, CVE-2022-45138, CVE-2022-45139 และ CVE-2022-45140) ซึ่ง 2 ช่องโหว่ สามารถนำมาใช้เพื่อเข้าถึงระบบอย่างเต็มรูปแบบได้

 

ที่มา : thehackernews