Cisco ได้ประกาศแพตซ์อัปเดตช่องโหว่ระดับ critical ที่ถูกพบใน Web UI ของ IP phone หลายรุ่น ซึ่งส่งผลให้สามารถหลีกเลี่ยงการตรวจสอบสิทธิ และสั่งรันโค้ดที่เป็นอันตรายจากระยะไกลได้ (Remote Code Execution)

โดยช่องโหว่มีหมายเลข CVE-2023-20078 ซึ่งเป็นช่องโหว่ที่สามารถแทรกคำสั่งที่เป็นอันตรายไปยังระบบ รวมถึงสามารถยกระดับสิทธิเป็น Root ภายหลังจากที่สามารถโจมตีสำเร็จ

โดย Cisco ยังได้ประกาศช่องโหว่ที่มีหมายเลข CVE-2023-20079 ซึ่งเป็นช่องโหว่ที่สามารถใช้ในการทำ Denial-of-Service (DoS) ได้

ซึ่งช่องโหว่ทั้งสองรายการทำให้เกิดข้อผิดพลาดในการตรวจสอบสิทธิ ทำให้สามารถถูกโจมตีด้วย request ที่เป็นอันตรายที่ถูกส่งไปยัง web-based management interface ของเป้าหมาย

ช่องโหว่ดังกล่าวถูกค้นพบ โดย Zack Sanchez จาก Cisco Advanced Security Initiatives Group (ASIG) ระหว่างการทดสอบความปลอดภัยของระบบภายใน

จากการตรวจสอบของทีม Product Security Incident Response Team (PSIRT) ยังไม่พบการโจมตีจากช่องโหว่ดังกล่าว

อุปกรณ์ที่ได้รับผลกระทบ

รายการอุปกรณ์ที่ได้รับผลกระทบจากช่องโหว่ มีดังนี้

Cisco IP Phone 6800, 7800 และ 8800 series ที่มีเฟิร์มแวร์หลายแพลตฟอร์ม (เสี่ยงต่อการโจมตีทั้ง RCE และ DoS)
Cisco Unified IP Conference Phone 8831
Cisco Unified IP Conference Phone 8831 Multiplatform Firmware
Cisco Unified IP Phone 7900 Series (เสี่ยงต่อการโจมตี DoS)

โดย Cisco จะออกอัปเดตแก้ไขช่องโหว่ CVE-2023-20078 แต่จะไม่ออกอัปเดตแก้ไขช่องโหว่ CVE-2023-20079 เนื่องจาก Cisco Unified IP Phone 7900 Series และ Cisco Unified IP Conference Phone 8831 เป็นอุปกรณ์ที่สิ้นสุดอายุการใช้งานแล้ว (end-of-life)

 

ที่มา : bleepingcomputer

SCARLETEEL ถูกพบโดย Sysdig บริษัทด้านความปลอดภัยทางไซเบอร์ในขณะที่ทำการวิเคราะห์เหตุการณ์การโจมตีทางไซเบอร์บนระบบคลาวด์ให้กับลูกค้ารายหนึ่ง

สำหรับปฏิบัติการดังกล่าวของ 'SCARLETEEL' จะกำหนดเป้าหมายไปที่เว็บแอปพลิเคชันที่ทำงานภายใต้ containers เพื่อทำให้การโจมตีสามารถเข้าถึงบริการ cloud services และขโมยข้อมูลที่มีความสำคัญออกไปได้ (more…)

Microsoft ได้เผยแพร่ out-of-band แพตซ์อัปเดตด้านความปลอดภัย สำหรับช่องโหว่ information disclosure บน 'Memory Mapped I/O Stale Data (MMIO)' ใน CPU Intel

Intel เปิดเผยช่องโหว่ใน Mapped I/O side-channel เมื่อวันที่ 14 มิถุนายน 2022 โดยแจ้งเตือนว่าช่องโหว่ดังกล่าวอาจทำให้ process ที่ทำงานใน virtual machine สามารถเข้าถึงข้อมูลบน virtual machine เครื่องอื่นได้

ช่องโหว่มีหมายเลข CVE ดังต่อไปนี้:

CVE-2022-21123 - Shared Buffer Data Read (SBDR)
CVE-2022-21125 - Shared Buffer Data Sampling (SBDS)
CVE-2022-21127 - Special Register Buffer Data Sampling Update (SRBDS Update)
CVE-2022-21166 - Device Register Partial Write (DRPW)

Microsoft ยังได้เผยแพร่ Security Update Guide ADV220002 พร้อมข้อมูลเกี่ยวกับประเภทของสถานการณ์ที่อาจส่งผลกระทบจากช่องโหว่ ซึงทำให้ผู้โจมตีอาจใช้ประโยชน์จากช่องโหว่สามารถเข้าถึงข้อมูลที่มีความสำคัญได้

ในระบบที่มีการแชร์ resource เช่น กำหนดค่าบริการคลาวด์บางอย่าง ช่องโหว่นี้อาจทำให้ virtual machine เครื่องหนึ่งสามารถเข้าถึงข้อมูลจากอีกเครื่องหนึ่งได้

โดยผู้โจมตีจะต้องเข้าถึงระบบให้ได้ก่อน หรือสามารถเรียกใช้แอปพลิเคชันที่สร้างขึ้นมาเป็นพิเศษบนระบบเป้าหมาย เพื่อใช้ประโยชน์จากช่องโหว่เหล่านี้

Microsoft ได้ออกแพตซ์อัปเดตด้านความปลอดภัยสำหรับ Windows 10, Windows 11 และ Windows Server เพื่อแก้ไขช่องโหว่เหล่านี้

การอัปเดตใน Microsoft Update Catalog ดังนี้ :

KB5019180 - Windows 10, version 20H2, 21H2, and 22H2
KB5019177 - Windows 11, version 21H2
KB5019178 - Windows 11, version 22H2
KB5019182 - Windows Server 2016
KB5019181 - Windows Server 2019
KB5019106 - Windows Server 2022

โดยมีแนวโน้มว่าแพตซ์เหล่านี้จะถูกปล่อยให้เป็นการอัปเดตด้วยตนเอง เนื่องจากการอัปเดตแพตซ์แก้ไขช่องโหว่เหล่านี้อาจทำให้เกิดปัญหาด้านประสิทธิภาพ และช่องโหว่อาจยังไม่ได้รับการแก้ไขอย่างสมบูรณ์หากไม่ปิดใช้งาน Intel Hyper-Threading Technology (Intel HT Technology) ในบางสถานการณ์

ดังนั้นแนะนำให้อ่านคำแนะนำของทั้ง Intel และ Microsoft ก่อนการอัปเดตแพตซ์เหล่านี้

 

ที่มา : bleepingcomputer

Aruba Networks ออกแพตซ์อัปเดตแก้ไขช่องโหว่ระดับ critical 6 รายการ ที่ส่งผลกระทบต่อ ArubaOS หลายเวอร์ชัน โดยช่องโหว่ดังกล่าวส่งผลกระทบต่อ Aruba Mobility Conductor, Aruba Mobility Controller, Aruba-managed WLAN Gateway และ SD-WAN Gateway

Aruba Networks เป็นบริษัทในเครือ Hewlett Packard Enterprise ซึ่งมีความเชี่ยวชาญด้านโซลูชั่นเครือข่ายคอมพิวเตอร์ และการเชื่อมต่อแบบไร้สาย

โดยช่องโหว่ดังกล่าวถูกพบโดย Erik de Jong ซึ่งเป็นนักวิเคราะห์ด้านความปลอดภัย ซึ่งได้มีการแจ้งไปยังโครงการ bug bounty program ของ Aruba Networks

โดยช่องโหว่ที่ได้รับการอัปเดตในครั้งนี้แบ่งออกเป็น 2 ประเภท คือ ช่องโหว่ command injection และช่องโหว่ stack-based buffer overflow ซึ่งได้ส่งผลโดยตรงไปยัง PAPI protocol (โปรโตคอลการจัดการ Aruba Networks access point)

CVE-2023-22747, CVE-2023-22748, CVE-2023-22749 และ CVE-2023-22750 (คะแนน CVSS v3 9.8/10 ระดับความรุนแรง critical) เป็นช่องโหว่ command injection ที่สามารถหลีกเลี่ยงการตรวจสอบสิทธิ และสั่งรันโค้ดที่เป็นอันตรายจากระยะไกลผ่าน PAPI protocol Port: 8211 UDP และควบคุมระบบโดยใช้สิทธิ Privileged User บน ArubaOS

CVE-2023-22751 และ CVE-2023-22752 (คะแนน CVSS v3 9.8/10 ระดับความรุนแรง critical) เป็นช่องโหว่ stack-based buffer overflow ที่สามารถหลีกเลี่ยงการตรวจสอบสิทธิ และสั่งรันโค้ดที่เป็นอันตรายจากระยะไกลผ่าน PAPI protocol Port: 8211 UDP และควบคุมระบบโดยใช้สิทธิ Privileged User บน ArubaOS

Version ที่ได้รับผลกระทบ

ArubaOS 6.0.19 และต่ำกว่า
ArubaOS 10.0.4 และต่ำกว่า
ArubaOS 3.1.0 และต่ำกว่า
SD-WAN 7.0.0-2.3.0.8 และต่ำกว่า

การป้องกัน

ทำการอัปเดตเพื่อป้องกันช่องโหว่ใน Version ดังนี้

ArubaOS 10.0.5 ขึ้นไป
ArubaOS 11.0.0 ขึ้นไป
ArubaOS 3.1.1 ขึ้นไป
SD-WAN 7.0.0-2.3.0.9 ขึ้นไป

นอกจากนี้ยังมีผลิตภัณฑ์อีกหลาย Version ที่ได้ End of Life (EoL) ไปแล้ว แต่ได้รับผลกระทบจากช่องโหว่เหล่านี้เช่นกัน ซึ่งจะไม่สามารถทำการอัปเดตเพื่อป้องกันช่องโหว่ ได้ เช่น

ArubaOS 5.4.x
ArubaOS 7.xx
ArubaOS 8.xx
ArubaOS 9.xx
SD-WAN 6.0.4-2.2.xx

โดยทาง Aruba Networks ได้แนะนำให้ทำการ ปิดใช้งานโหมด “Enhanced PAPI Security” เพื่อป้องกันแทน

 

ที่มา : bleepingcomputer

The U.S. Cybersecurity and Infrastructure Security Agency หรือ CISA ได้แจ้งเตือนเกี่ยวกับความสามารถที่เป็นอันตรายของ Royal Ransomware ซึ่งมีการเปิดตัว และเริ่มมีการปฏิบัติการตั้งแต่เดือนกันยายน ปี 2565 โดยมีการกำหนดเป้าหมายไปยังหลากหลายภาคส่วนที่มีความสำคัญต่าง ๆ เช่น การสื่อสาร การศึกษา การดูแลสุขภาพ และการผลิต โดยใช้การโจมตีที่มีลักษณะเฉพาะตัว

รูปแบบการโจมตี

ในการโจมตีของ Royal Ransomware จากข่าวนี้นั้น จะเป็นการใช้ call-back phishing เพื่อส่ง ransomware ไปยังเหยื่อ โดยจะเป็นการส่งอีเมลที่น่าเชื่อถือที่จะหลอกให้ผู้รับคลิกลิงก์ หรือดาวน์โหลดไฟล์แนบที่มีมัลแวร์อยู่ หรือใช้ช่องโหว่ต่าง ๆ จาก Software ที่ยังไม่ได้รับการแก้ไข และจากนั้นเมื่อสามารถเข้าถึงเครือข่ายของเหยื่อได้แล้ว ก็จะทำการปิดการใช้งาน Antivirus software และจะทำการขโมยข้อมูลที่สำคัญที่ต้องการออกไป ก่อนที่จะทำการเข้ารหัสไฟล์บนเครื่องเหยื่อ โดยจะมีการเลือกเปอร์เซ็นต์การเข้ารหัสข้อมูล เพื่อหลบเลี่ยงการตรวจจับ
จากนั้นจะมีการโจมตีต่อไปยังภายในเครือข่ายของเหยื่อโดยการใช้ Cobalt Strike และ PsExec รวมถึงดำเนินการลบ Shadow Copy เพื่อไม่ให้สามารถกู้คืนระบบได้
หลังจากดำเนินการโจมตีเสร็จสิ้น ก็จะมีการเรียกค่าไถ่ตั้งแต่ 1-11 ล้านดอลลาร์สหรัฐ ทั้งนี้ Royal Ransomware ยังสามารถโจมตีเป้าหมายได้ทั้งระบบปฏิบัติการ Windows และ Linux อีกด้วย

แนวทางการป้องกัน

ไม่เปิดไฟล์แนบจากอีเมลจากผู้ส่งที่ไม่รู้จัก หรือดูน่าสงสัย
อัปเดต Software ต่าง ๆ ให้เป็นปัจจุบันอย่างสม่ำเสมอ เพื่อป้องกันการโจมตีจากช่องโหว่ต่าง ๆ
จัดให้มีการ Awareness Training ให้กับพนักงานภายในองค์กร
ควรสำรองข้อมูลอย่างสม่ำเสมอ และแยกเก็บข้อมูลจากเครื่องต้นทาง
จากข่าวนี้มีการใช้เครื่องมือในการโจมตีต่อไปยังระบบอื่น ๆ ภายในเครือข่าย หากเป็นไปได้แนะนำให้มีการติดตั้ง EDR เพื่อ Detect และ Protect การโจมตีโดยการใช้เครื่องมือดังกล่าว

 

Ref : thehackernews

Bitdefender บริษัทด้านความปลอดภัยทางไซเบอร์เปิดตัวเครื่องมือถอดรหัสสำหรับ MortalKombat ransomware ให้ใช้ฟรี ซึ่งผู้ที่ตกเป็นเหยื่อสามารถใช้เพื่อกู้คืนไฟล์โดยไม่จำเป็นต้องจ่ายค่าไถ่ (more…)

นักวิจัยด้านภัยคุกคามของ Patchstack บริษัทด้านความปลอดภัยได้รายงานการพบการใช้ช่องโหว่ระดับ Critical ในการโจมตี WordPress Houzez ซึ่งเป็นโปรแกรมเสริมแบบพรีเมียม 2 รายการที่มักถูกใช้ในเว็บไซต์อสังหาริมทรัพย์

Houzez theme เป็นปลั๊กอินระดับพรีเมียมที่มีราคา 69 ดอลลาร์ ที่สามารถจัดการเว็บไซต์ได้สะดวก และสามารถใช้งานได้ง่าย โดย ** Houzez มีผู้ใช้งานกว่า 35,000 รายในอุตสาหกรรมด้านอสังหาริมทรัพย์

โดยนักวิจัยได้รายงานการพบการใช้ช่องโหว่ CVE-2023-26540 และ CVE-2023-26009 ในการโจมตีเว็บไซต์ WordPress Houzez ซึ่งนักวิจัยได้แจ้งไปยัง ThemeForest ผู้จำหน่ายธีมดังกล่าว โดยนักวิจัยพบว่า Hacker ได้มุ่งเป้าหมายการโจมตีไปยังเว็บไซต์จำนวนมากที่ยังไม่ได้อัปเดตแพตซ์ด้านความปลอดภัย

การโจมตี WordPress Houzez

ช่องโหว่แรกของ WordPress Houzez คือ CVE-2023-26540 (คะแนน CVSS 9.8/10 ระดับความรุนแรง Critical) เป็นช่องโหว่การกำหนดค่าความปลอดภัยที่ไม่ถูกต้องซึ่งส่งผลต่อปลั๊กอิน Houzez Theme เวอร์ชัน 2.7.1 และเก่ากว่า ทำให้สามารถสั่งรันโค้ดที่เป็นอันตรายจากระยะไกล (Remote Code Execution) โดยไม่ต้องผ่านการตรวจสอบสิทธิ์เพื่อดำเนินการยกระดับสิทธิ์ (Privilege Escalation)

การแก้ไข : อัปเดตเป็น Houzez เวอร์ชัน 2.7.2 หรือใหม่กว่า

ช่องโหว่ต่อมาของ WordPress Houzez คือ CVE-2023-26009 (คะแนน CVSS 9.8/10 ระดับความรุนแรง Critical) เป็นช่องโหว่ที่ส่งผลกระทบต่อปลั๊กอิน Houzes Login Register ซึ่งส่งผลต่อปลั๊กอิน Houzez Login Register เวอร์ชัน 2.6.3 และเก่ากว่า ทำให้สามารถหลีกเลี่ยงการตรวจสอบตัวตน และสามารถดำเนินการยกระดับสิทธิ์ Privilege Escalation บนเว็บไซต์โดยใช้ปลั๊กอินได้

การแก้ไข : อัปเดตเป็น Houzez Login Register 2.6.4 หรือใหม่กว่า

โดย Patchstack พบว่า Hackers ได้ใช้ประโยชน์จากช่องโหว่เหล่านี้ ในการส่ง request ไปเพื่อขอสร้างบัญชี และใช้ช่องโหว่ในการหลีกเลี่ยงการตรวจสอบสิทธิ์ จึงทำให้ Hacker สามารถสร้าง account ที่มีสิทธิเป็นผู้ดูแลระบบในเว็บไซต์ ทำให้ผู้โจมตีสามารถควบคุมเว็บไซต์ที่ใช้งาน WordPress ได้อย่างสมบูรณ์ หลังจากนั้นก็จะสามารถทำการอัปโหลด backdoor ขึ้นไปเพื่อสามารถเรียกใช้คำสั่งตามที่ต้องการ หรือเปลี่ยนเส้นทางการรับส่งข้อมูลไปยังเว็บไซต์ที่เป็นอันตรายอื่น ๆ

การป้องกัน

ผู้ดูแลเว็บไซต์ควรเร่งอัปเดต WordPress Houzez เป็นเวอร์ชันล่าสุดเพื่อป้องกันช่องโหว่

 

ที่มา : bleepingcomputer

Introduction
โดยปกติแล้วภายหลังจากที่ผู้โจมตีสามารถเข้าควบคุม AWS account ของเหยื่อได้แล้ว มักจะพบการใช้เทคนิคในการพยายามแฝงตัวอยู่ในระบบ (persistence) บน AWS เช่น การสร้าง IAM User และ Create access key หรือการสร้าง/แก้ไข Role trust policy ให้สามารถ Assume Role จาก account ของผู้โจมตีได้ แต่วิธีการเหล่านี้ถือว่าค่อนข้างง่ายต่อการถูกตรวจจับ

ในวันที่ 06 เมษายน 2022 AWS ประกาศ Lambda ฟีเจอร์ใหม่ที่ชื่อว่า Lambda function URLs [1] ซึ่งทำให้ Lambda function สามารถมี API Endpoint ได้โดยไม่ต้องใช้ API Gateway (more…)

นักวิจัยจาก Prodaft บริษัทด้านความปลอดภัย เปิดเผยแพร่รายงานการพบ RIG Exploit Kit ที่มุ่งเป้าหมายการโจมตีไปยังองค์กรที่ยังมีการใช้ Internet Explorer เวอร์ชันที่มีช่องโหว่ โดยได้ทำการแพร่กระจายมัลแวร์ต่าง ๆ เช่น Dridex, SmokeLoader และ RaccoonStealer โดยมีอัตราการโจมตีสูงถึง 2,000 ครั้งต่อวัน และประสบความสำเร็จประมาณ 30% ของกรณีทั้งหมด ซึ่งเป็นอัตราส่วนที่สูงที่สุดในประวัติการของ RIG Exploit Kit

ประวัติของ RIG Exploit Kit

RIG Exploit Kit เปิดตัวครั้งแรกเมื่อ 8 ปีที่แล้วในปี 2014 โดยโปรโมตว่าเป็น Exploit-as-a-service ที่ให้เหล่า Hacker มาเช่าใช้บริการเพื่อนำไปโจมตี และแพร่กระจายมัลแวร์บนอุปกรณ์ที่มีช่องโหว่

โดย RIG Exploit Kit เป็น JavaScript ซึ่งฝังอยู่ในเว็บไซต์ที่ถูกโจมตี หรือเว็บไซต์ที่ถูกสร้างขึ้นจาก Hacker เมื่อมีเหยื่อกดเยี่ยมชมเว็บไซต์เหล่านี้ สคริปต์ที่เป็นอันตรายจะถูกดำเนินการ และพยายามโจมตีด้วยช่องโหว่ประเภทต่าง ๆ บนเบราว์เซอร์เพื่อติดตั้งมัลแวร์บนอุปกรณ์ของเหยื่อโดยอัตโนมัติ

ปี 2015 ได้มีการปล่อย RIG Exploit Kit เวอร์ชันที่สองที่ได้รับการพัฒนา ทำให้สามารถโจมตีได้เป็นวงกว้าง และประสบความสำเร็จมากขึ้น
ปี 2017 RIG Exploit Kit ได้หยุดชะงักลงเนื่องจากการถูก takedown ครั้งใหญ่ และทำให้ระบบโครงสร้างพื้นฐานส่วนใหญ่ของผู้โจมตีถูกหยุดไป
ปี 2019 RIG Exploit Kit ได้กลับมาอีกครั้ง โดยมุ่งเน้นที่การแพร่กระจายแรนซัมแวร์ Sodinokibi (REvil), Nemty และ ERIS ransomware ซึ่งมีเพย์โหลดที่ใช้ในการเข้ารหัสข้อมูลในเครือข่ายของเหยื่อ
ปี 2021 ทาง RIG Exploit Kit ได้ประกาศว่าจะทำการปิดตัวลง แต่ต่อมาในปี 2022 ก็ได้กลับมาอีกครั้ง พร้อมกับการโจมตีโดยใช้ช่องโหว่ใหม่สองรายการ (CVE-2020-0674 และ CVE-2021-26411 ใน Internet Explorer) ซึ่งมีอัตราส่วนความสำเร็จในการโจมตีสูงเป็นประวัติการณ์

แม้ว่า RIG Exploit Kit จะหันมาโจมตีช่องโหว่บน Microsoft Edge แทน Internet Explorer แล้ว แต่ Internet Explorer ก็ยังคงถูกใช้งานในองค์กรต่าง ๆ หลายล้านเครื่อง ซึ่งต่อมาได้กลายเป็นเป้าหมายหลักในการโจมตีช่องโหว่ของ RIG Exploit Kit

การโจมตีในปัจจุบัน

Prodaft พบว่าปัจจุบัน RIG Exploit Kit ได้กำหนดเป้าหมายการโจมตีไปยัง 207 ประเทศ ทำการโจมตีโดยเฉลี่ย 2,000 ครั้งต่อวัน และมีอัตราความสำเร็จในปัจจุบันที่ 30% โดยในอดีตอัตราความสำเร็จอยู่ที่ 22% ก่อนที่ RIG Exploit Kit จะมุ่งเป้าหมายการโจมตีไปยัง Internet Explorer ที่มีช่องโหว่

จากแผนที่ที่เผยแพร่ในรายงาน พบว่าประเทศที่ได้รับผลกระทบมากที่สุด ได้แก่ เยอรมนี อิตาลี ฝรั่งเศส รัสเซีย ตุรกี ซาอุดีอาระเบีย อียิปต์ แอลจีเรีย เม็กซิโก และบราซิล

อัตราความสำเร็จในการโจมตีสูงสุดคือช่องโหว่ CVE-2021-26411 โดยมีอัตราส่วนโจมตีสำเร็จ 45% ตามมาด้วย CVE-2016-0189 ที่ 29% และ CVE-2019-0752 ที่ 10%

CVE-2021-26411 เป็นช่องโหว่ memory corruption ที่มีความรุนแรงสูงใน Internet Explorer โดย Microsoft ได้ออกแพตซ์อัปเดตแก้ไขช่องโหว่ในเดือนมีนาคม 2021 โดยเกิดขึ้นจากการเข้าเว็บไซต์ที่ไม่ปลอดภัย

CVE-2016-0189 และ CVE-2019-0752 เป็นช่องโหว่ใน Internet Explorer เช่นกัน ทำให้สามารถเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกล (RCE) ในเบราว์เซอร์ได้ อีกทั้ง CISA ยังได้แจ้งเตือนไปยังผู้ดูแลระบบในสหรัฐ จากการค้นพบการโจมตีด้วยช่องโหว่ดังกล่าว

การโจมตีด้วย payloads ที่หลากหลาย

ปัจจุบัน RIG Exploit Kit ได้มุ่งเป้าหมายการโจมตีไปยังการขโมยข้อมูล และการเผยแพร่มัลแวร์เป็นหลัก โดย Dridex เป็นมัลแวร์ที่พบบ่อยที่สุด (34%) ตามด้วย SmokeLoader (26%), RaccoonStealer (20%), Zloader (2.5%), Truebot (1.8%) และ IcedID (1.4%) นอกจากนี้ทาง Prodaft ยังพบการเผยแพร่มัลแวร์ Redline, RecordBreaker, PureCrypter, Gozi, Royal Ransomware และ UrSnif อีกด้วย ซึ่งมีการเปลี่ยนแปลงไปตลอดเวลา โดยขึ้นอยู่กับ Hacker กลุ่มไหนที่นำไปใช้

โดย Prodaft พบว่าการโจมตีส่วนใหญ่เกิดจากการใช้ Internet Explorer ที่มีช่องโหว่ และไม่ได้รับการอัปเดตด้านความปลอดภัย จึงได้กลายเป็นเป้าหมายในการโจมตีช่องโหว่ ปัจจุบัน Microsoft ได้ประกาศเลิกใช้ Internet Explorer ในเดือนกุมภาพันธ์ 2023 และได้เปลี่ยนไปใช้ Microsoft Edge แทน

 

ที่มา : bleepingcomputer

PlugX Trojan ถูกพบว่าปลอมตัวเป็นเครื่องมือโอเพนซอร์สที่ใช้ตรวจสอบข้อผิดพลาดของ Windows ที่เรียกว่า x64dbg เพื่อหลบเลี่ยงการตรวจจับด้านความปลอดภัย และเข้าควบคุมระบบเป้าหมาย

โดย Buddy Tancio, Jed Valderama และ Catherine Loveria นักวิจัย Trend Micro ระบุในรายงานเมื่อสัปดาห์ที่ผ่านมาว่า "ไฟล์ดังกล่าวเป็นเครื่องมือโอเพนซอร์สที่ใช้สำหรับตรวจสอบข้อผิดพลาดบน Windows ในการตรวจสอบ kernel-mode, user-mode code, crash dumps, และ CPU registers"

PlugX หรือที่รู้จักกันในอีกชื่อว่า Korplug เป็น post-exploitation โมดูลที่มีความสามารถหลากหลาย เช่น การขโมยข้อมูล และความสามารถในการควบคุมเครื่องคอมพิวเตอร์ที่ถูกโจมตี

PlugX ถูกรายงานเป็นครั้งแรกในปี 2012 แต่ตัวอย่างตัวแรกของมัลแวร์ ถูกพบตั้งแต่เมื่อเดือนกุมภาพันธ์ 2008 จากรายงานของ Trend Micro ซึ่งในระหว่างนั้น PlugX ได้ถูกใช้โดยกลุ่มผู้โจมตีที่มีความเกี่ยวข้องกับรัฐบาลจีน รวมถึงกลุ่มอาชญากรรมทางด้านไซเบอร์ต่าง ๆ

หนึ่งในวิธีการหลักที่ PlugX ใช้คือ DLL side-loading เพื่อโหลด DLL ที่เป็นอันตรายจากซอฟแวร์ที่มี digital signed อย่างถูกต้อง ซึ่งในกรณีนี้คือเครื่องมือสำหรับ Debugging ที่ชื่อ x64dbg (x32dbg.