US Cybersecurity & Infrastructure Security Agency (CISA) หน่วยงานด้านความมั่นคงทางไซเบอร์ของสหรัฐ ได้ประกาศเปิดตัวโครงการใหม่ที่จะช่วยประเมินช่องโหว่ที่เสี่ยงต่อการถูกโจมตีจากแรนซัมแวร์ สำหรับหน่วยงานโครงสร้างพื้นฐานที่มีความสำคัญ Critical Infrastructure (CI) ในชื่อ Ransomware Vulnerability Warning Pilot (RVWP) ซึ่งได้เปิดตัวในวันที่ 30 มกราคม 2023 ที่ผ่านมา (more…)

CISA หน่วยงานด้านความมั่นคงทางไซเบอร์ของสหรัฐ ได้เพิ่มช่องโหว่ระดับ critical ใน Cloud Foundation ของ VMware ลงในแคตตาล็อกของช่องโหว่ที่กำลังถูกใช้ในการโจมตี Known Exploited Vulnerabilities (KEV)

VMware Cloud Foundation เป็น hybrid cloud platform ของ VMware สำหรับการใช้งานแอปพลิเคชันขององค์กรในรูปแบบ Private หรือ Public (more…)

พบผู้ไม่หวังดีใช้วิดีโอบน Youtube ที่สร้างโดย AI เพื่อแพร่กระจายมัลแวร์ประเภทต่าง ๆ เช่น Raccoon, RedLine และ Vidar เพิ่มมากขึ้นเรื่อย ๆ

Pavan Karthick M นักวิจัยของ CloudSEK ระบุว่า "โดยวิดีโอจะใช้วิธีการหลอกว่าเป็นการสอนวิธีดาวน์โหลดซอฟต์แวร์เวอร์ชันแคร็ก เช่น Photoshop, Premiere Pro, Autodesk 3ds Max, AutoCAD รวมไปถึงผลิตภัณฑ์อื่น ๆ ที่เป็นผลิตภัณฑ์ที่มีลิขสิทธิ์ ซึ่งโดยปกติแล้วจะมีให้สำหรับผู้ใช้งานที่ชำระเงินเท่านั้น"

เช่นเดียวกันกับผู้โจมตีกลุ่มอื่น ๆ ที่ภายในกลุ่มจะมีการแบ่งหน้าที่กันออกไป เช่น ฝ่ายผู้พัฒนาหลัก และฝ่ายอื่น ๆ ที่มีหน้าที่ในการค้นหา หรือระบุเป้าหมายที่เป็นไปได้สำหรับการโจมตี รวมถึงการพยายามแพร่กระจายมัลแวร์โดยใช้วิธีการต่าง ๆ

ซึ่งหนึ่งในช่องทางในการเผยแพร่มัลแวร์ที่กำลังเป็นที่นิยมคือ YouTube โดย CloudSEK พบเห็นจำนวนวิดีโอเพิ่มขึ้นกว่า 200-300% ต่อเดือน โดยวิดีโอเหล่านั้นจะมีการแนบลิงก์ในคำอธิบายคลิป ซึ่งลิงก์ดังกล่าวจะเชื่อมต่อไปยังเว็บไซต์ที่มีมัลแวร์สำหรับขโมยข้อมูล

โดยลิงก์เหล่านั้นจะมีการใช้เครื่องมือย่อลิงก์เช่น Bitly และ Cuttly เพื่อทำให้ผู้ใช้งานไม่ทันระวัง และจะนำผู้ใช้งานไปยังหน้าเว็บไซต์ที่มีการอัปโหลดมัลแวร์ไว้เช่น MediaFire, Google Drive, Discord, GitHub และ Telegram.

พบมัลแวร์ตัวใหม่ที่ใช้ภาษา Golang ชื่อว่า 'GoBruteforcer' มุ่งเป้าหมายไปที่เซิร์ฟเวอร์ phpMyAdmin, MySQL, FTP, และ Postgres เพื่อเชื่อมโยงอุปกรณ์เข้า botnet

นักวิจัยของ Palo Alto Networks Unit 42 กล่าวว่า "GoBruterforcer ใช้ Classless Inter-Domain Routing (CIDR) block เพื่อสแกนเครือข่ายในระหว่างการโจมตี และมีเป้าหมายเป็นที่อยู่ IP ทั้งหมดของ CIDR range"

ผู้ไม่หวังดีใช้การสแกน CIDR block เพื่อเข้าถึงเครือข่ายเป้าหมายบน IP ที่แตกต่างกันภายในเครือข่าย แทนที่จะใช้ IP แบบเดียวเป็นเป้าหมาย (more…)

ช่องโหว่ด้านความปลอดภัยของซอฟต์แวร์ Remote Desktop เช่น Sunlogin และ AweSun กำลังถูกใช้โดยผู้ไม่หวังดีเพื่อติดตั้งมัลแวร์ PlugX

การวิเคราะห์ล่าสุดจาก AhnLab Security Emergency Response Center (ASEC) รายงานว่า กำลังพบการใช้ช่องโหว่ในการโจมตีอย่างต่อเนื่องเพื่อติดตั้ง payloads หลากหลายรูปแบบบนระบบที่ถูกโจมตี

ซึ่งรวมถึง Sliver post-exploitation framework, XMRig cryptocurrency miner, Gh0st RAT, และ Paradise ransomware โดย PlugX เป็นส่วนเสริมล่าสุดของรายการนี้

โมดูลของมัลแวร์นี้ได้ถูกนำไปใช้อย่างกว้างขวางโดยกลุ่มผู้โจมตีจากจีน โดยมีการเพิ่มฟีเจอร์ใหม่ ๆ เข้าไปอย่างต่อเนื่องเพื่อช่วยในการควบคุมระบบ และการขโมยข้อมูล

ในการโจมตีที่ตรวจพบโดย ASEC มีการใช้ช่องโหว่เพื่อดำเนินการรันคำสั่ง PowerShell เพื่อเรียกใช้ไฟล์ exe และ ไฟล์ DLL จาก C2 Server

ไฟล์ exe ที่ใช้ในการโจมตีนี้เป็น HTTP Server Service ที่ถูกต้องจากบริษัทความปลอดภัยทางไซเบอร์ ESET ซึ่งถูกนำมาใช้ในการดาวน์โหลดไฟล์ DLL โดยเทคนิคนี้เรียกว่า "DLL side-loading" และรัน PlugX payload ลงในหน่วยความจำ

ตามรายงานของ Security Joes เมื่อเดือนกันยายน 2022 ระบุว่า "PlugX ใช้ไฟล์ไบนารีที่น่าเชื่อถือ และใช้เทคนิค DLL Side-Loading รวมถึงไฟล์ exe ของโปรแกรม anti-virus จำนวนมาก" ซึ่งได้รับการพิสูจน์ว่ามีประสิทธิภาพในการแพร่กระจายมัลแวร์

Backdoor PlugX ยังมีความสามารถในการเริ่มต้นการทำงานได้ด้วยตัวเอง, ดาวน์โหลด และรันไฟล์จากภายนอก, และฝัง plugin ที่สามารถเก็บข้อมูล และเผยแพร่โดยใช้ Remote Desktop Protocol (RDP)

ASEC ระบุว่า "PlugX ยังมีการเพิ่มฟีเจอร์ใหม่ ๆ อย่างต่อเนื่อง เพื่อใช้ในการโจมตี โดยเมื่อมัลแวร์ Backdoor PlugX ถูกติดตั้ง ผู้โจมตีจะสามารถควบคุมระบบที่ถูกโจมตีได้โดยที่ผู้ใช้งานไม่รู้ตัว"

 

ที่มา : thehackernews

แคมเปญการโจมตีล่าสุดของกลุ่มแฮ็กเกอร์ที่คาดว่ามาจากประเทศจีน ได้มุ่งเป้าการโจมตีไปที่อุปกรณ์ SonicWall Secure Mobile Access (SMA) 100 Series ที่ไม่ได้ทำการอัปเดตแพตช์เพื่อแพร่กระจายมัลแวร์ และแฝงตัวอยู่ในระบบ (more…)

Mandiant บริษัทด้านความปลอดภัยทางไซเบอร์ เปิดเผยรายงานการค้นพบกลุ่ม Hacker ชาวเกาหลีเหนือที่ชื่อ UNC2970 ได้มุ่งเป้าหมายการโจมตีไปยังอุตสาหกรรมที่เกี่ยวข้องทางด้านกลาโหม, องค์กรสื่อ และเทคโนโลยีของสหรัฐฯ และยุโรปตั้งแต่เดือนมิถุนายน 2565 ที่ผ่านมา โดยปัจจุบันพบว่าได้มุ่งเป้าหมายไปยังนักวิจัยด้านความปลอดภัยโดยการใช้มัลแวร์ที่ไม่เคยถูกพบมาก่อนผ่านทาง LinkedIn

UNC2970 เป็นชื่อของกลุ่ม Hacker ชาวเกาหลีเหนือที่มีการทำงานร่วมกับ UNC577 (หรือที่รู้จักกันในชื่อ Temp.

CISA หน่วยงานความมั่นคงทางด้านไซเบอร์ของสหรัฐ ได้เพิ่มช่องโหว่การเรียกใช้คำสั่งที่เป็นอันตรายจากระยะไกล Remote Code Execution (RCE) ใน Plex Media Server ที่มีอายุเก่าเกือบ 3 ปี ไปในแคตตาล็อกช่องโหว่ที่กำลังถูกนำมาใช้ในการโจมตี สืบเนื่องจากเหตุการณ์การรั่วไหลข้อมูลของ LastPass (more…)

SentinelOne บริษัทด้านความปลอดภัยทางไซเบอร์ เผยแพร่รายงานการพบ IceFire Ransomware ซึ่งเดิมได้มุ่งเป้าโจมตีระบบปฏิบัติการ Windows เป็นหลัก แต่ปัจจุบันพบว่าได้มีการมุ่งเป้าหมายการโจมตีไปยังระบบปฏิบัติการ Linux ขององค์กรภาคสื่อ และความบันเทิงหลายแห่งทั่วโลก โดยใช้ช่องโหว่ของ IBM Aspera Faspex (more…)

กลุ่มผู้โจมตีที่มีเป้าหมายสำหรับการขุดเหรียญคริปโตเคอเรนซีชื่อ "8220 Gang" ใช้มัลแวร์ crypter สำหรับการโจมตีตัวใหม่ชื่อ ScrubCrypt เพื่อใช้ในการโจมตีแบบ Cryptojacking

ตามรายงานของ Fortinet FortiGuard Labs กระบวนการโจมตีเริ่มต้นด้วยการใช้ช่องโหว่ของ Oracle WebLogic server เพื่อดาวน์โหลดสคลิปต์ PowerShell ที่มี ScrubCrypt อยู่ภายใน (more…)