นักวิจัยด้านความปลอดภัยพบมัลแวร์ขโมยข้อมูลตัวใหม่ที่ชื่อว่า SYS01stealer ซึ่งมีเป้าหมายไปยังพนักงานขององค์กรด้านโครงสร้างพื้นฐานที่สำคัญของรัฐบาล, บริษัทในภาคการผลิต และบริษัทในภาคส่วนอื่น ๆ

Morphisec รายงานว่า ผู้โจมตีที่อยู่เบื้องหลังแคมเปญนี้จะมุ่งเป้าไปที่ Business accounts บน Facebook โดยการใช้ Google ads และโปรไฟล์ Facebook ปลอม ที่โปรโมตสิ่งต่าง ๆ เช่น เกมส์, เนื้อหาสำหรับผู้ใหญ่, และซอร์ฟแวร์ละเมิดลิขสิทธิ์ เพื่อหลอกล่อเหยื่อให้ดาวน์โหลดไฟล์ที่เป็นอันตราย

การโจมตีนี้ถูกออกแบบมาเพื่อขโมยข้อมูลที่สำคัญ เช่น ข้อมูลการเข้าสู่ระบบ, คุกกี้, ข้อมูลของ Facebook ad และข้อมูลบัญชีธุรกิจ

โดย Morphisec ระบุว่า แคมเปญนี้เริ่มต้นจากการดำเนินการของกลุ่มผู้โจมตีที่มีแรงจูงใจทางด้านการเงินที่ชื่อว่า Ducktail

WithSecure เคยรายงานปฏิบัติการของกลุ่ม Ducktail เป็นครั้งแรกในเดือนกรกฎาคม พ.ศ. 2565 ได้ระบุว่า ข้อมูลที่ได้จากการวิเคราะห์การโจมตีทั้ง 2 ครั้งของ Ducktail มีความแตกต่างกัน แสดงให้เห็นว่าผู้โจมตีพยายามสร้างความสับสนให้กับนักวิจัยในความพยายามสำหรับการระบุแหล่งที่มา รวมไปถึงความพยายามในการหลบเลี่ยงการตรวจจับ

โดยรายงานจาก Morphisec ระบุว่า การโจมตีเริ่มต้นด้วยการหลอกล่อให้เหยื่อคลิก URL จากโปรไฟล์ หรือโฆษณาบน Facebook เพื่อดาวน์โหลดไฟล์ ZIP ที่อ้างว่าเป็นซอฟต์แวร์ละเมิดลิขสิทธิ์ หรือเนื้อหาสำหรับผู้ใหญ่

การเปิดไฟล์ ZIP จะมีการเรียกใช้งานแอปที่ดูถูกต้องตามปกติ แต่จะใช้วิธีการ DLL side-loading ทำให้สามารถโหลดไฟล์ DLL ที่เป็นอันตรายควบคู่ไปกับแอปปกติได้

แอปพลิเคชันบางตัวที่ถูกนำมาใช้เพื่อดาวน์โหลด DLL ที่เป็นอันตรายคือ WDSyncService.

แคมเปญฟิชชิ่งใหม่ที่มุ่งเป้าไปที่องค์กรต่าง ๆ ในยุโรปตะวันออกด้วยมัลแวร์ Remcos RAT ด้วยการใช้เทคนิคการ Bypass Windows UAC ** (User Account Control) โดยการใช้ mock trusted directory ที่ถูกพบตั้งแต่เมื่อ 3 ปีก่อน แต่ก็ยังคงถูกนำมาใช้งานอยู่ในปัจจุบัน

โดยแคมเปญการโจมตีของ Remcos ล่าสุด ถูกพบ และวิเคราะห์โดยนักวิจัยของ SentinelOne ซึ่งบันทึกรายละเอียดไว้ในรายงานที่เผยแพร่ในวันนี้ (6 มีนาคม 2566) (more…)

หน่วยงานความมั่นคงปลอดภัยทางไซเบอร์ และโครงสร้างพื้นฐานของสหรัฐ (CISA) ได้เพิ่มช่องโหว่ด้านความปลอดภัย 3 รายการลงในแคตตาล็อก Known Exploited Vulnerabilities ( KEV ) โดยอ้างถึงหลักฐานของการพบการโจมตีที่กำลังเกิดขึ้นอยู่ในปัจจุบัน

รายการช่องโหว่มีดังต่อไปนี้

CVE-2022-35914 (คะแนน CVSS: 9.8) - ช่องโหว่ Remote Code Execution Vulnerability ของ Teclib GLPI
CVE-2022-33891 (คะแนน CVSS: 8.8) - ช่องโหว่ Apache Spark Command Injection
CVE-2022-28810 (คะแนน CVSS: 6.8) - ช่องโหว่ Zoho ManageEngine ADSelfService Plus Remote Code Execution

ช่องโหว่แรก คือ CVE-2022-35914 เป็นช่องโหว่การเรียกใช้งานโค้ดที่เป็นอันตรายจากระยะไกลในไลบรารี htmlawed ของ third-party ที่มีอยู่ใน Teclib GLPI ซึ่งเป็นซอฟต์แวร์โอเพ่นซอร์ส และแพ็คเกจซอฟต์แวร์การจัดการทางด้านไอที ยังไม่มีรายละเอียดที่แน่ชัดเกี่ยวกับลักษณะของการโจมตี แต่ Shadowserver Foundation ระบุว่าพบความพยายามในการโจมตี Honeypot ของพวกเขาในเดือนตุลาคม 2565

หลังจากนั้นมีการเผยแพร่ proof of concept (PoC) แบบ cURL-based ออกมาบน GitHub และ Jacob Baines นักวิจัยด้านความปลอดภัยของ VulnCheck ระบุว่าพบการโฆษณาขายเครื่องมือที่ใช้สำหรับสแกนช่องโหว่จำนวนมากในเดือนธันวาคม 2565

นอกจากนี้ข้อมูลที่รวบรวมโดย GreyNoise พบว่ามี IP ที่เป็นอันตราย 40 รายการจากสหรัฐอเมริกา เนเธอร์แลนด์ ฮ่องกง ออสเตรเลีย และบัลแกเรีย พยายามโจมตีโดยการใช้ช่องโหว่ดังกล่าว

ช่องโหว่ที่สอง คือ CVE-2022-33891 ช่องโหว่ command injection ใน Apache Spark ซึ่งถูกใช้งานโดยบอทเน็ต Zerobot ในการโจมตีอุปกรณ์ที่มีช่องโหว่ โดยมีเป้าหมายเพื่อนำมาใช้ในการโจมตีแบบ Distributed Denial-of-Service (DDoS)

ช่องโหว่ที่สาม คือ CVE-2022-28810 ช่องโหว่การเรียกใช้งานโค้ดที่เป็นอันตรายจากระยะไกลใน Zoho ManageEngine ADSelfService Plus ซึ่งได้รับการแก้ไขไปแล้วในเดือนเมษายน 2565

CISA ระบุว่า "Zoho ManagementEngine ADSelf Service Plus มีช่องโหว่หลายรายการ ซึ่งทำให้ผู้โจมตีสามารถเรียกใช้งานโค้ดที่เป็นอันตรายจากระยะไกลได้ เมื่อดำเนินการเปลี่ยนรหัสผ่าน หรือรีเซ็ตรหัสผ่าน

บริษัทด้านความปลอดภัยทางไซเบอร์ Rapid7 ซึ่งเป็นผู้ค้นพบช่องโหว่ระบุว่าพบความพยายามในการใช้ประโยชน์จากช่องโหว่เพื่อรันคำสั่งบนระบบปฏิบัติการตามที่ต้องการ เพื่อให้สามารถแฝงตัวอยู่บนระบบได้

 

ที่มา : thehackernews

พบช่องโหว่ใหม่ใน TPM 2.0 ซึ่งเป็นช่องโหว่ buffer overflow 2 รายการ ซึ่งส่งผลทำให้ Hacker สามารถเข้าถึง หรือเขียนทับข้อมูล และขโมยข้อมูลที่มีความสำคัญ เช่น cryptographic keys ได้

Trusted Platform Module (TPM) เป็นฮาร์ดแวร์เทคโนโลยีที่ทำให้ระบบปฏิบัติการมีฟังก์ชันในการเข้ารหัสที่ปลอดภัย สำหรับการปกป้องข้อมูลที่มีความสำคัญ มันสามารถใช้เพื่อจัดเก็บ cryptographic keys, รหัสผ่าน และข้อมูลสำคัญอื่น ๆ โดย TPM จะใช้สำหรับคุณสมบัติด้านความปลอดภัยบางอย่างของ Windows เช่น Measured Boot, การเข้ารหัสอุปกรณ์, Windows Defender System Guard (DRTM), การรับรองความสมบูรณ์ของอุปกรณ์ (more…)

นักวิจัยของ Cyble บริษัทด้านความปลอดภัยทางไซเบอร์ เปิดเผยการพบกลุ่มตลาดซื้อขายข้อมูลเครดิตการ์ดชื่อ BidenCash market ได้ออกมาประกาศปล่อยข้อมูลบัตรเดบิตและบัตรเครดิตกว่า 2,165,700 ใบ โดยไม่คิดค่าบริการ เพื่อฉลองวันครบรอบการดำเนินการ 1 ปี โดยพบว่าได้รับความสนใจจากกลุ่ม Hacker ต่าง ๆ เป็นจำนวนมาก

BidenCash market เปิดตัวในวันที่ 28 กุมภาพันธ์ 2022 และขึ้นสู่อันดับที่ 5 ของแหล่งซื้อขายข้อมูลเครดิตการ์ด ซึ่งถูกจัดอันดับโดย Flashpoint บริษัทด้าน threat intel

จากการตรวจสอบพบว่า ข้อมูลเครดิตการ์ดที่ถูกปล่อยออกมานั้น เป็นบัตรเครดิตการ์ดอย่างน้อย 740,858 ใบ บัตรเดบิตการ์ด 811,676 ใบ และชาร์จการ์ด (บัตรเครดิตประเภทหนึ่งที่กำหนดให้ผู้ถือบัตรต้องชำระยอดคงเหลือเต็มจำนวนในแต่ละเดือน มีวงเงินเครดิตสูงกว่า และให้สิทธิประโยชน์พิเศษมากกว่าบัตรเครดิตทั่วไป) 293 ใบ โดยเป็นรายการที่ไม่ซ้ำกันถึง 2,141,564 รายการ ซึ่งชุดข้อมูลที่ถูกปล่อยออกมานั้น ประกอบด้วยข้อมูลที่สามารถระบุตัวบุคคลได้ Personally Identifiable Information (PII) เช่น ชื่อ อีเมล หมายเลขโทรศัพท์ ที่อยู่บ้าน และรายละเอียดบัตรชำระเงิน รวมถึงวันหมดอายุของบัตร และรหัส CVV โดยวันหมดอายุของบัตรยาวไปจนถึงปี 2052

รวมไปถึงยังพบว่าข้อมูลที่ถูกเผยแพร่ดังกล่าวมี Email address ที่ไม่ซ้ำกันประมาณ 497,000 อีเมล โดยเป็น Email domain ที่ไม่ซ้ำกันมากกว่า 28,000 โดเมน ซึ่งมีความเสี่ยงที่จะกลายเป็นเป้าหมายในการโจมตี phishing ของเหล่า Hacker อีกด้วย

ซึ่งนี่ไม่ใช่ครั้งแรกที่ BidenCash market ทำการปล่อยข้อมูลเครดิตการ์ดโดยไม่คิดค่าบริการ โดยก่อนหน้านี้ในเดือนตุลาคม 2022 ก็ได้มีการปล่อยข้อมูลบัตรเครดิตฟรี 1,221,551 ใบ เช่นกัน โดยการเปิดเผยข้อมูลโดยไม่เสียค่าบริการ ถือเป็นการโฆษณาตัวเองให้เป็นที่รู้จักของกลุ่ม Hacker ซึ่งเป็นวิธีที่แหล่งซื้อขายข้อมูลใช้อยู่เป็นประจำ เช่นกันกับกลุ่ม All World Cards ที่ได้ปล่อยข้อมูลเครดิตการ์ดกว่า 1,000,000 ใบฟรี ในฟอรัมต่าง ๆ ของ Hacker

 

ที่มา : bleepingcomputer

Microsoft OneNote ได้กลายเป็นที่นิยมของกลุ่ม Hacker ในการโจมตี และแพร่กระจายมัลแวร์บนระบบของเป้าหมาย เนื่องจากปัจจุบัน Microsoft ได้ปิดการใช้งาน macro เป็นค่าเริ่มต้นใน Word Office และ Excel Office

จึงทำให้กลุ่ม Hacker ต้องเปลี่ยนวิธีการโจมตีไปใช้วิธีการอื่น ๆ เช่น ไฟล์ ISO และไฟล์ ZIP ที่เข้ารหัส เนื่องจากช่องโหว่บน Windows ทำให้ไฟล์ ISO images สามารถหลีกเลี่ยงการตรวจสอบของฟีเจอร์ Mark-of-the-Web (MoTW) ซึ่งรวมไปถึง 7-Zip archive utility ด้วยเช่นกัน แต่ต่อมาทาง 7-Zip และ Windows ได้ทำการแก้ไขช่องโหว่ดังกล่าวเรียบร้อยแล้ว ทำให้ Hacker จึงเปลี่ยนมาใช้การส่งไฟล์ OneNote ที่แนบไฟล์ที่เป็นอันตรายแทน (more…)

นักวิจัยของ ESET ได้เผยแพร่การค้นพบ backdoor malware ตัวใหม่ในชื่อ MQsTTang ที่ถูกสร้างขึ้นโดย Mustang Panda กลุ่ม Hacker ชาวจีน โดยเริ่มพบการโจมตีในเดือน มกราคม 2023 จนถึงปัจจุบัน โดยมีเป้าหมายการโจมตีไปยังรัฐบาล และองค์กรทางการเมืองในยุโรป และเอเชีย โดยเน้นไปที่ไต้หวัน และยูเครน

Mustang Panda เป็นกลุ่มภัยคุกคามระดับสูง Advanced Persistent Threat (APT) ซึ่งเป็นที่รู้จักจากการใช้มัลแวร์ PlugX ที่ปรับปรุงใหม่เพื่อใช้ในการโจรกรรมข้อมูล โดยกลุ่ม Hacker ดังกล่าวยังเป็นที่รู้จักกันในชื่อ TA416 และ Bronze President

โดยก่อนหน้านี้ Trend Micro เคยพบการโจมตีครั้งล่าสุดของ Mustang Panda ในเดือนมีนาคมถึงตุลาคม 2022 โดยในแคมเปญดังกล่าว กลุ่ม Mustang Panda ได้ใช้มัลแวร์สามสายพันธุ์ ได้แก่ PubLoad, ToneIns และ ToneShell และพบว่ามีการกำหนดเป้าหมายไปยัง ออสเตรเลีย ญี่ปุ่น ไต้หวัน และฟิลิปปินส์

MQsTTang backdoor

จากการวิเคราะห์ของ ESET พบว่า MQsTTang backdoor ไม่ได้มีต้นแบบจากมัลแวร์ตัวใดมาก่อน ซึ่งบ่งชี้ได้ว่า backdoor ดังกล่าวได้ถูกสร้างขึ้นมาเพื่อให้สามารถหลบเลี่ยงการตรวจจับ และทำให้สามารถระบุแหล่งที่มาได้ยากขึ้น

การโจมตีจะเริ่มจาก Phishing Email ที่มีการฝังเพย์โหลดที่เป็นอันตราย เมื่อเป้าหมายทำการเปิดอีเมล จะมีดาวน์โหลดมัลแวร์จาก GitHub repositories เพื่อเริ่มการโจมตี โดยตัวมัลแวร์จะเป็นไฟล์ที่อยู่ภายในไฟล์ RAR archives โดยตั้งชื่อตามหนังสือทางการทูต เช่น การสแกนหนังสือเดินทางของสมาชิกคณะผู้แทนทางการทูต บันทึกของสถานทูต เป็นต้น

โดย MQsTTang นั้นถือเป็น “barebones backdoor” (แบ็คดอร์ที่ได้รับการออกแบบให้เรียบง่ายที่สุดเท่าที่จะเป็นไปได้ ทำให้ตรวจจับได้ยากขึ้น) ที่มีความสามารถในการเรียกใช้งานคำสั่งได้จากระยะไกล และส่งข้อมูลกลับมายัง C2 (Command & Control) รวมถึงการแฝงตัวอยู่บนระบบ (Persistence)

ซึ่งการแฝงตัวอยู่บนระบบโดยการเพิ่มคีย์รีจิสทรีใหม่ภายใต้ HKCK\Software\Microsoft\Windows\CurrentVersion\Run โดยจะทำให้ระบบเรียกใช้มัลแวร์ทุกครั้งเมื่อมีการ Restart โดยจะมีเพียงการเชื่อมต่อผ่าน C2 (Command & Control) เท่านั้น

MQsTTang จะทำงานภายใต้ MQTT protocol สำหรับคำสั่งการ และการควบคุมการเชื่อมต่อผ่าน C2 ซึ่งทำให้ช่วยในการปกปิดร่องรอยการเชื่อมต่อผ่าน C2 รวมถึงการโจมตี ทำให้มีโอกาสน้อยที่จะถูกตรวจจับได้

รวมไปถึง MQsTTang จะทำการตรวจสอบการ debug หรือ monitoring tools ที่อยู่บนเครื่องเหยื่อตลอดเวลา เมื่อพบก็จะเปลี่ยนลักษณะการทำงาน เพื่อหลีกเลี่ยงการถูกตรวจจับอีกด้วย

 

ที่มา : bleepingcomputer

กลุ่ม Play ransomware ได้เผยแพร่ข้อมูลของ City of Oakland ที่ได้จากการโจมตีที่ผ่านมา โดยข้อมูลที่ถูกเผยแพร่ประกอบไปด้วยไฟล์ RAR archive หลายไฟล์ที่มีข้อมูลขนาด 10GB ซึ่งกลุ่ม Play ได้อ้างว่าประกอบไปด้วย เอกสารลับ ข้อมูลพนักงาน หนังสือเดินทาง และข้อมูลบัตรประจำตัว

City of Oakland ได้ถูกโจมตีจากกลุ่ม Play ransomware เมื่อวันที่ 8 กุมภาพันธ์ ส่งผลให้ระบบไอทีทั้งหมดถูกออฟไลน์ลง แม้ว่าการโจมตีดังกล่าวจะไม่ส่งผลกระทบต่อสาย 911 และบริการฉุกเฉิน แต่ก็ทำให้ระบบอื่น ๆ จำนวนมากถูกปิดใช้งาน รวมถึงบริการโทรศัพท์ และระบบที่ใช้ในการเรียกเก็บเงิน รายงานการดำเนินการ และออกใบอนุญาต

โดยขณะนี้ทาง City of Oakland กำลังทำการตรวจสอบข้อมูลดังกล่าว รวมไปถึงวิเคราะห์สาเหตุการโดนโจมตีในครั้งนี้

 

ที่มา : bleepingcomputer

Proof-of-Concept สำหรับช่องโหว่ CVE-2023-21716 ซึ่งเป็นช่องโหว่ระดับ critical ใน Microsoft Word ที่ทำให้ผู้โจมตีสามารถเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกลได้ ถูกปล่อยออกสู่สาธาณะในช่วงสัปดาห์ที่ผ่านมา

ช่องโหว่ดังกล่าวได้รับคะแนนระดับความรุนแรง 9.8 จาก 10 คะแนน โดย Microsoft ได้ระบุถึงช่องโหว่ดังกล่าวในการอัปเดตด้านความปลอดภัยของ Patch Tuesday ประจำเดือนกุมภาพันธ์ พร้อมกับแนวทางในการแก้ไขชั่วคราวในกรณีที่ยังไม่สามารถทำการอัปเดตได้สองสามข้อ

โดยเมื่อปีที่ผ่าน Joshua Drake นักวิจัยด้านความปลอดภัยได้ค้นพบช่องโหว่ใน “wwlib.

Trezor แจ้งเตือนแคมเปญฟิชชิ่งที่ปลอมเป็นการแจ้งเตือนการละเมิดข้อมูลของ Trezor โดยมีเป้าหมายเพื่อขโมยกระเป๋าเงินดิจิทัล และทรัพย์สินของเป้าหมาย

โดย Trezor เป็นฮาร์ดแวร์วอลเล็ต (Hardware Wallet) ที่ผู้ใช้งานสามารถจัดเก็บเงินดิจิทัลแบบออฟไลน์ได้ แทนที่จะเก็บในกระเป๋าเงินบนคลาวด์ หรือกระเป๋าเงินที่จัดเก็บไว้ในอุปกรณ์ของตน การใช้กระเป๋าเงินแบบฮาร์ดแวร์ เช่น Trezor จัดเป็นกระเป๋าเงินดิจิทัลประเภทหนึ่งที่มีความปลอดภัยจากมัลแวร์ และจากการถูกโจมตีอุปกรณ์ของผู้ใช้งาน เนื่องจากกระเป๋าเงินไม่ได้ออกแบบมาเพื่อเชื่อมต่อกับอุปกรณ์ของผู้ใช้งาน

โดยหากมีการตั้งค่า Trezor wallet ใหม่ ผู้ใช้จะได้รับ word recovery seed สำหรับการกู้คืน 12 หรือ 24 คำ ที่สามารถใช้เพื่อกู้คืน wallet ได้ หากอุปกรณ์ถูกขโมย สูญหาย หรือทำงานผิดปกติ ทำให้ใครก็ตามที่สามารถเข้าถึง recovery seed ก็จะสามารถกู้คืนกระเป๋าเงินในอุปกรณ์ของตนเองได้ ทำให้เหตุการณ์นี้จึงตกเป็นเป้าหมายของผู้โจมตี (more…)