นักวิจัยพบมัลแวร์ "BATLOADER" มีการใช้ Google Ads เพื่อแพร่กระจาย payload สำหรับติดตั้งมัลแวร์ตัวอื่น ๆ เช่น Vidar Stealer และ Ursnif Payloads

บริษัทรักษาความปลอดภัยด้านไซเบอร์ eSentire ได้รายงานเกี่ยวกับโฆษณาที่เป็นมัลแวร์ ซึ่งถูกใช้ในการเลียนแบบแอปพลิเคชัน และบริการต่าง ๆ เช่น Adobe, OpenAPI's ChatGPT, Spotify, Tableau, และ Zoom (more…)

เมื่อเร็ว ๆ นี้ ทีม Security Intelligence ของ Microsoft ได้ทำการตรวจสอบการโจมตีแบบ business email compromise (BEC) และพบว่าผู้โจมตีใช้เวลาในการปฏิบัติการอย่างรวดเร็ว โดยบางขั้นตอนใช้เวลาเพียงไม่กี่นาทีเท่านั้น

โดยนับตั้งแต่การ login เข้าใช้งาน โดยใช้ข้อมูล credentials ที่ขโมยมา การลงทะเบียน Domain ปลอมที่ใกล้เคียงกับโดเมนจริง และการปลอมตัวเป็นคู่สนทนาในอีเมล แฮ็กเกอร์ใช้เวลาเพียงไม่กี่ชั่วโมงเท่านั้น

ลักษณะการโจมตี

BEC เป็นประเภทของการโจมตีทางไซเบอร์ที่ผู้โจมตีสามารถเข้าถึงบัญชีอีเมลขององค์กรเป้าหมายผ่านทาง Phishing, Social Engineering หรือการซื้อข้อมูล credentials บัญชีบน dark web

จากนั้นแฮ็กเกอร์จะปลอมเป็นบุคคลที่น่าเชื่อถือ เช่น ผู้บริหารระดับสูง หรือซัพพลายเออร์ เพื่อหลอกพนักงานที่ทำงานในแผนกการเงิน หรือบริษัทคู่ค้าให้โอนเงินไปยังบัญชีของแฮ็กเกอร์

จากข้อมูลของ FBI ตั้งแต่เดือนมิถุนายน 2016 จนถึงเดือนกรกฎาคม 2019 การโจมตีในรูปแบบ BEC ส่งผลให้เกิดความเสียหายมูลค่ากว่า 43 พันล้านดอลลาร์ ซึ่งนับเฉพาะกรณีที่ถูกรายงานต่อหน่วยงานบังคับใช้กฎหมายเท่านั้น

Twitter ของนักวิเคราะห์จาก Microsoft อธิบายการโจมตีแบบ BEC ที่ได้ทำการการตรวจสอบพบว่า เริ่มต้นจากแฮ็กเกอร์ทำการโจมตีแบบ adversary-in-the-middle (AITM) เพื่อขโมย session cookie ของเป้าหมาย ทำให้หลบเลี่ยงการป้องกันจาก MFA ได้

แฮ็กเกอร์เข้าสู่ระบบบัญชีของเหยื่อเมื่อวันที่ 5 มกราคม 2023 และใช้เวลาสองชั่วโมงในการค้นหา mailbox เพื่อหาหัวข้ออีเมลที่เหมาะสำหรับการหลอกลวงแบบ Thread hijacking

Thread hijacking คือการปลอมตัวด้วยการส่งอีเมลในหัวข้อที่อยู่ระหว่างการติดต่อพูดคุยกัน ทำให้วิธีนี้เป็นเทคนิคที่มีประสิทธิภาพมาก เนื่องจากทำให้ผู้รับมีแนวโน้มที่จะเชื่อถือมากขึ้น

หลังจากนั้นแฮ็กเกอร์ได้ลงทะเบียน Domain ปลอมโดยใช้ตัวอักษร homoglyph เพื่อทำให้ดูเหมือนกับเว็บไซต์ขององค์กรเป้าหมาย 5 นาทีต่อมา แฮ็กเกอร์ได้สร้าง inbox rule เพื่อดึงอีเมลจากองค์กรเป้าหมายไปยังโฟลเดอร์เฉพาะ

ในนาทีต่อมา แฮ็กเกอร์ได้ส่งอีเมลที่เป็นอันตรายไปยังคู่ค้าทางธุรกิจเพื่อขอเปลี่ยนบัญชีสำหรับการโอนเงิน และลบข้อความที่ส่งออกทันทีเพื่อลดโอกาสที่ผู้ใช้จะพบการส่งอีเมลดังกล่าว ซึ่งหากนับตั้งแต่การลงชื่อเข้าใช้ครั้งแรกจนถึงการลบอีเมลที่ส่งออก เวลาผ่านไปทั้งหมดเพียง 127 นาที ซึ่งสะท้อนให้เห็นถึงการปฏิบัติการอย่างรวดเร็วของแฮ็กเกอร์

Microsoft 365 Defender แจ้งเตือนเกี่ยวกับการหลอกลวงแบบ BEC ภายใน 20 นาที หลังจากที่แฮ็กเกอร์ลบอีเมลที่ทำการส่งออกไป และขัดขวางการโจมตีด้วยการ disable การใช้งานบัญชีของผู้ใช้

ในการทดสอบ และประเมินผลการตรวจจับของ BEC ใน environments ของลูกค้าองค์กรหลายสิบแห่งพบว่าได้รับการป้องกันที่ดีขึ้น เมื่อบัญชีถูกปิดใช้งานอัตโนมัติโดย Microsoft 365 Defender

ความสามารถในการทำงานอัตโนมัติแบบใหม่ดังกล่าว ทำให้ทีม SOC สามารถควบคุม และตรวจสอบการดำเนินการทั้งหมดที่ดำเนินการโดย Microsoft 365 Defender

Microsoft ระบุว่าได้หยุดการโจมตีในลักษณะ BEC ได้ทั้งหมด 38 ครั้ง ที่มีการกำหนดเป้าหมายไปยัง 27 องค์กร โดยการใช้ eXtended Detection and Response (XDR) ทั้งอุปกรณ์ Endpoint, Identity, Email และ SaaS

 

ที่มา : bleepingcomputer

Cisco ได้ออกแพตช์อัปเดตสำหรับช่องโหว่ DoS ที่มีระดับความรุนแรงสูง ซึ่งมีหมายเลข CVE-2023-20049 (คะแนน CVSS 8.6) ในซอฟต์แวร์ IOS XR ซึ่งส่งผลกระทบต่อ Enterprise Routers หลายรุ่น

ช่องโหว่ดังกล่าวอยู่ในฟีเจอร์ hardware offload ใน bidirectional forwarding detection (BFD) ของซอฟต์แวร์ Cisco IOS XR สำหรับเราเตอร์ Cisco ASR 9000 Series Aggregation Services, ASR 9902 Compact High-Performance Routers และ ASR 9903 Compact High-Performance Routers

โดยช่องโหว่อาจทำให้ผู้โจมตีสามารถโจมตีจากภายนอกได้โดยไม่ต้องผ่านการพิสูจน์ตัวตน (unauthenticated attackers) เพื่อทำการรีเซ็ต line card ส่งผลให้เกิดการปฏิเสธการให้บริการ (denial of service (DoS)) โดยการส่งแพ็คเก็ต IPv4 BFD ที่ถูกสร้างขึ้นเป็นพิเศษไปยังอุปกรณ์ที่มีช่องโหว่

ช่องโหว่นี้เกิดจากการจัดการที่ไม่เหมาะสมกับแพ็กเก็ต BFD ที่มีรูปแบบไม่ถูกต้อง บน line card ที่มีการเปิดใช้งานฟีเจอร์ BFD hardware offload

โดยช่องโหว่นี้ส่งผลกระทบเฉพาะ ASR 9000 Series Aggregation Services Routers ที่ติดตั้ง line card แบบ Lightspeed หรือ Lightspeed-Plus และ Compact High-Performance Routers รุ่น ASR 9902 และ ASR 9903

Cisco แนะนำวิธีแก้ปัญหาเบื้องต้นโดยให้ปิดการใช้งาน BFD hardware offload ด้วยการลบคำสั่งการเปิดใช้งานโมดูล hw bfw-hw-offload ทั้งหมดและรีเซ็ต line card

ซึ่งแพตช์อัปเดตสำหรับช่องโหว่นี้รวมอยู่ในซอฟต์แวร์ IOS XR เวอร์ชัน 7.5.3, 7.6.2 และ 7.7.1

 

ที่มา : securityaffairs, securityweek

Veeam ได้ออกประกาศแจ้งเตือนช่องโหว่ระดับความรุนแรงสูงบน Backup Service ซึ่งส่งผล
กระทบต่อซอฟต์แวร์ Backup & Replication ที่อาจทำให้สามารถถูกเข้าถึงข้อมูลที่สำคัญได้

Veeam เป็นบริษัทซอฟต์แวร์ด้านการสำรองข้อมูล การกู้คืนความเสียหาย และซอฟต์แวร์ป้องกันข้อมูล โดยมีลูกค้ามากกว่า 450,000 รายทั่วโลก ซึ่งรวมถึง 82% ของบริษัทที่ติดอันดับใน Fortune 500 และ 72% ของบริษัทใน Global 2,000

CVE-2023-27532 (CVSS v3 คะแนน 7.5/10 ระดับความรุนแรงสูง) เป็นช่องโหว่ใน Veeam Backup & Replication component (Veeam.

Fortinet ออกประกาศแจ้งเตือนช่องโหว่ความรุนแรงระดับ Critical ซึ่งส่งผลกระทบต่อ FortiOS และ FortiProxy ทำให้สามารถหลีกเลี่ยงการยืนยันตัวตน รวมถึงการเรียกใช้คำสั่งที่เป็นอันตรายจากระยะไกล Remote Code Execution(RCE) และ Denial of Service (DoS) บนหน้า GUI ของอุปกรณ์ที่มีช่องโหว่โดยการใช้ request ที่เป็นอันตราย (more…)

ฟีเจอร์การป้อนข้อมูล credentials อัตโนมัติของ Bitwarden มีพฤติกรรมเสี่ยงที่อาจทำให้ iframes ที่เป็นอันตรายซึ่งถูกฝังอยู่ในเว็บไซต์ สามารถขโมยข้อมูล credentials ของผู้ใช้งาน และส่งไปยังแฮ็กเกอร์ได้

แม้ว่าฟีเจอร์การป้อนข้อมูล credentials อัตโนมัติจะถูกปิดใช้งานบน Bitwarden เป็นค่าเริ่มต้น และมีเงื่อนไขในการใช้งานด้วยฟีเจอร์ดังกล่าวไม่มากนัก แต่ Flashpoint ระบุว่ายังมีเว็บไซต์ที่ตรงตามเงื่อนไข ที่แฮ็กเกอร์สามารถนำมาใช้ประโยชน์จากช่องโหว่ดังกล่าวได้

Bitwarden คือ บริการจัดการรหัสผ่านแบบโอเพ่นซอร์ส ที่มี extension บนเว็บเบราว์เซอร์ที่ใช้เก็บข้อมูล เช่น ชื่อผู้ใช้ และรหัสผ่านของบัญชีโดยการเข้ารหัส

เมื่อผู้ใช้งานเข้าเว็บไซต์ extension จะตรวจสอบว่ามีการเข้าสู่ระบบที่เก็บข้อมูลไว้สำหรับโดเมนดังกล่าวหรือไม่ และกรอกข้อมูล credentials ให้ทันที หากเปิดใช้ตัวเลือกป้อนข้อมูลโดยอัตโนมัติ โดยระบบจะใส่ข้อมูลโดยอัตโนมัติเมื่อโหลดหน้าเว็บโดยที่ผู้ใช้ไม่ต้องทำอะไรเลย

โดยนักวิจัยของ Flashpoint พบว่า extension จะยังป้อนข้อมูลอัตโนมัติใน iframe ที่ถูกฝังไว้บนเว็บไซต์ ถึงแม้ว่าจะมาจากโดเมนอื่นก็ตาม

ในขณะที่ iframe ที่ฝังไว้ไม่สามารถเข้าถึงเนื้อหาใด ๆ ในหน้าหลักได้ แต่ก็ยังสามารถรับการป้อนข้อมูลแบบฟอร์มการเข้าสู่ระบบ และส่งต่อข้อมูล credentials ที่ได้มาไปยัง เซิร์ฟเวอร์ภายนอก โดยไม่ต้องให้ผู้ใช้งานดำเนินการใด ๆ

Flashpoint ตรวจสอบการฝัง iframe ในหน้าเข้าสู่ระบบของเว็บไซต์ต่าง ๆ ที่มีการเข้าใช้งานสูง และพบว่ายังมีค่อนข้างน้อย จึงทำให้ความเสี่ยงจากช่องโหว่ดังกล่าวถือว่ายังค่อนข้างต่ำ

ปัญหาที่สองที่ถูกพบโดย Flashpoint ระหว่างการตรวจสอบปัญหาจาก iframes คือ Bitwarden จะกรอกข้อมูล credentials โดยอัตโนมัติใน subdomain ที่ตรงกับโดเมนหลักของการเข้าสู่ระบบ

ซึ่งทำให้หากผู้โจมตีโฮสต์หน้าฟิชชิ่งภายใต้โดเมนย่อยที่ตรงกับโดเมนหลัก ก็จะสามารถบันทึกข้อมูล credentials จากเหยื่อได้เมื่อเหยื่อเปิดใช้การป้อนข้อความอัตโนมัติ

โดยบางบริการอนุญาตให้ผู้ใช้งานสามารถสร้าง subdomain เพื่อโฮสต์เนื้อหาได้ เช่น บริการฟรีโฮสติ้ง รวมไปถึงการโจมตียังคงทำได้ผ่านการโจมตีในลักษณะ subdomain hijacking

Bitwarden ระบุว่าฟีเจอร์การป้อนข้อความอัตโนมัติมีความเสี่ยงที่อาจเกิดขึ้นได้จริง และแจ้งเตือนในกรณีที่เว็บไซต์ถูกโจมตี ฟีเจอร์การป้อนข้อความอัตโนมัติอาจจะทำให้ผู้ใช้งานถูกขโมยข้อมูล credentials ได้

ความเสี่ยงนี้ถูกเปิดเผยครั้งแรกเมื่อเดือนพฤศจิกายน 2018 ดังนั้น Bitwarden จึงรับทราบถึงปัญหาดังกล่าวมาระยะหนึ่งแล้ว

อย่างไรก็ตาม เนื่องจากยังมีผู้ใช้งานที่จำเป็นต้องเข้าสู่ระบบผ่านบริการโดยใช้ iframes ที่มาจากโดเมนภายนอก Bitwarden จึงตัดสินใจที่จะไม่เปลี่ยนแปลงลักษณะการทำงาน และเพิ่มคำเตือนในซอฟต์แวร์ และเมนูการตั้งค่าที่เกี่ยวข้องของ extension แทน

ในการตอบสนองต่อรายงานของ Flashpoint เกี่ยวกับการจัดการ URI และวิธีการป้อนข้อความบน subdomain โดยอัตโนมัติ Bitwarden สัญญาว่าจะบล็อกการป้อนข้อความอัตโนมัติ สำหรับการอัปเดตในอนาคต แต่ไม่มีแผนที่จะเปลี่ยนฟังก์ชันการทำงานบน iframe

BleepingComputer ติดต่อ Bitwarden เกี่ยวกับความเสี่ยงด้านความปลอดภัย พวกเขายืนยันว่าทราบปัญหานี้ตั้งแต่ปี 2018 แต่ยังไม่ได้มีการเปลี่ยนฟังก์ชันการทำงาน เนื่องจากยังมีแบบฟอร์มการเข้าสู่ระบบบนเว็บไซต์ที่ถูกต้องที่มีการใช้ iframe

 

ที่มา : bleepingcomputer

 

Akamai รายงานว่าได้รับมือกับการโจมตีแบบ DDoS ที่สูงที่สุดที่เคยเกิดขึ้นในเอเชียแปซิฟิกได้

Distributed Denial of Service (DDoS) เป็นการโจมตีโดยการส่ง requests จํานวนมากไปยังเซิร์ฟเวอร์เป้าหมาย เพื่อทำให้ความสามารถของเซิร์ฟเวอร์ลดลง และทำให้ผู้ใช้งานไม่สามารถเข้าใช้งานเว็บไซต์ แอปพลิเคชัน หรือบริการออนไลน์อื่น ๆ ได้

ซึ่งทำให้เกิดผลกระทบทางธุรกิจ ไม่ว่าจะเป็นเพื่อวัตถุประสงค์ทางการเมือง, การแก้แค้น, การแข่งขันทางธุรกิจ, หรือเพื่อขู่กรรโชกเหยื่อด้วยการเรียกค่าไถ่

เมื่อวันที่ 23 กุมภาพันธ์ 2023 ที่ผ่านมา Akamai ออกมาเปิดเผยการโจมตีครั้งล่าสุดที่ทำลายสถิติสูงที่สุดที่เคยเกิดขึ้นในเอเชียแปซิฟิก โดยมีจุดสูงสุดอยู่ที่ 900.1 กิกะบิตต่อวินาที จำนวน 158.2 ล้าน packet ต่อวินาที

การโจมตีในครั้งนี้ถือเป็นการโจมตีที่รุนแรง และเกิดขึ้นเพียงหนึ่งนาที ซึ่ง Akamai สามารถรับมือกับการโจมตีครั้งนี้ได้เป็นอย่างดี ด้วยการส่ง traffic ไปที่ scrubbing network โดยส่วนใหญ่จะถูกส่งไปที่ฮ่องกง, โตเกียว, เซาเปาโล, สิงคโปร์, และโอซาก้า

scrubbing network เป็นโซลูชันป้องกันการโจมตีแบบ DDoS โดยการส่ง traffic กระจายไปยัง scrubbing Network ที่มี center อยู่หลายแห่ง เพื่อแยก Traffic ที่เป็นอันตรายออกก่อนส่งไปยัง server

แม้ว่า 48% ของ Traffic จะถูกจัดการโดย scrubbing centers ในเอเชียแปซฟิก แต่ Traffic ดังกล่าวก็ยังถูกส่งไป ยังทั้ง 26 ศูนย์ของ Akamai เช่นกัน แต่ไม่มีศูนย์ไหนเกิน 15% ของ traffic ทั้งหมด

สถิติการโจมตีแบบ DDoS

การโจมตีสูงสุดที่ Akamai ป้องกันได้ คือการโจมตีเมื่อวันที่ 12 กันยายน 2022 ที่พุ่งเป้าไปที่ลูกค้าในยุโรปตะวันออก โดยสูงสุดที่ 704 ล้านแพ็กเก็ตต่อวินาที ซึ่งมากกว่าเหตุการณ์ล่าสุดประมาณ 4.5 เท่า
เจ้าของสถิติยังคงเป็น Microsoft ซึ่งในเดือนพฤศจิกายน 2021 ได้มีการป้องกันการโจมตี DDoS ขนาด 3.47 Tbps ที่มีการพุ่งเป้าไปที่ Azure ในเอเชีย
กรณีล่าสุดคือการป้องกันการโจมตีโดย Cloudflare DDoS ที่พุ่งเป้าไปยัง Wynncraft ซึ่งเป็นหนึ่งในเซิร์ฟเวอร์ที่ใหญ่ที่สุดของ Minecraft โดยมีจุดสูงสุดที่ 2.5 Tbps

 

ที่มา : bleepingcomputer

นักวิจัยจาก Bitdefender ผู้ให้บริการด้านความปลอดภัยทางไซเบอร์ได้ค้นพบการหลอกลวงด้วย phishing รูปแบบใหม่ ที่ผู้โจมตีใช้ ChatGPT ปลอม ในการหลอกลวงที่มีเป้าหมายทางด้านการเงิน ซึ่งเป้าหมายหลักอยู่ในประเทศไอร์แลนด์, ออสเตรเลีย, เยอรมัน, เดนมาร์ก และ เนเธอร์แลนด์ โดยวิธีการหลอกลวงคือการส่งอีเมล phishing ที่มีลิงก์ ChatGPT ปลอมแนบไปด้วย (more…)

Cofense บริษัทรักษาความปลอดภัยทางไซเบอร์ และกลุ่ม Emotet-tracking Cryptolaemus ได้แจ้งเตือนการกลับมาอีกครั้งของ Emotet หลังจากหายไปนานกว่า 3 เดือน

Emotet เป็นมัลแวร์ที่แพร่กระจายผ่านทางอีเมลที่แนบไฟล์ Microsoft Word และ Excel ที่เป็นอันตราย เมื่อเป้าหมายเปิดเอกสารเหล่านี้ก็จะทำการเรียกใช้งานมาโครที่เป็นอันตราย โดย Emotet DLL จะถูกดาวน์โหลดลงในหน่วยความจำ หลังจากนั้นก็จะทำการหยุดการทำงาน และรอคำสั่งจาก command and control (C2) server โดย Emotet มีความสามารถในการขโมยข้อมูลบนเครื่องเป้าหมาย รวมไปถึงเรียกใช้เพย์โหลดเพิ่มเติม เช่น Cobalt Strike หรือ Ransomware รวมถึงยังเป็นมัลแวร์ที่มีการแพร่กระจายมากที่สุดในอดีต แต่กลับหายไปเรื่อย ๆ ครั้งสุดท้ายที่พบคือในเดือนพฤศจิกายน 2022 เพียงสองสัปดาห์เท่านั้น (more…)

Acer บริษัทผู้ผลิตคอมพิวเตอร์รายใหญ่ของไต้หวัน ประกาศยืนยันการถูกโจมตี หลังพบว่า Hacker ได้ทำการโจมตีไปยัง server document hosting ที่ใช้ภายใน ของฝ่าย repair technician พร้อมทั้งระบุว่าภายหลังจากการตรวจสอบยังไม่พบว่าข้อมูลของลูกค้าได้ถูกขโมยออกไป โดยการออกมายืนยันของ Acer ในครั้งนี้เกิดจากการที่มี Hacker ได้นำข้อมูลที่อ้างว่าเป็นข้อมูลที่ขโมยมาจาก Acer กว่า 160GB ในช่วงกลางเดือนกุมภาพันธ์ 2566 มาขายในฟอรัมของแฮ็กเกอร์

โดยผู้โจมตีระบุในฟอรัมที่ขายข้อมูลว่า ข้อมูลดังกล่าวประกอบไปด้วย คู่มือทางเทคนิค, เครื่องมือซอฟต์แวร์, รายละเอียดโครงสร้างพื้นฐานของระบบ, เอกสารประกอบของผลิตภัณฑ์สำหรับโทรศัพท์ แท็บเล็ต/แล็ปท็อป, BIOS images, ROM files, ISO files, และ Replacement Digital Product Keys (RDPK)

รวมไปถึงเพื่อยืนยันว่ามีข้อมูลดังกล่าวจริง ๆ จึงได้มีการแชร์ภาพหน้าจอของแผนผังทางเทคนิคสำหรับจอแสดงผล Acer V206HQL, เอกสารประกอบ, BIOS definition และเอกสารที่เป็นความลับ โดยได้มีการการจัดประมูลซึ่งจะขายข้อมูลให้แก่ผู้ที่ให้ราคาที่สูงที่สุด ซึ่งต้องจ่ายด้วยสกุลเงินดิจิทัล Monero (XMR) เท่านั้น ทำให้ยากต่อการติดตามที่มาที่ไปของเงิน

โดยในเดือนมีนาคม 2564 บริษัท Acer ก็เคยถูกกลุ่ม REvil ransomware โจมตีเช่นกัน โดยได้เรียกค่าไถ่เป็นจำนวนเงินกว่า 50,000,000 ดอลลาร์ เพื่อแลกกับ Key ที่ใช้ถอดรหัส พร้อมทั้งขู่ว่าจะทำการเผยแพร่เอกสารทางการเงินที่เป็นความลับหากไม่จ่ายค่าไถ่ รวมไปถึงในเดือนตุลาคม 2564 ก็ได้ถูกโจมตีซ้ำจากกลุ่ม Desorden ซึ่งได้ขโมยข้อมูลไปกว่า 60GB ประกอบไปด้วย บันทึกของลูกค้า ผู้จัดจำหน่าย และผู้ค้าปลีกหลายหมื่นราย

 

ที่มา : bleepingcomputer