นักวิจัยด้านภัยคุกคามทางไซเบอร์จาก CYFIRMA ได้ออกมาเปิดเผยข้อมูลของ Exfiltrator-22 ซึ่งเป็นเครื่องมือที่ใช้สำหรับ post-exploitation framework โดยมีความสามารถในการแพร่กระจาย ransomware ในเครือข่ายของเป้าหมาย และสามารถหลีกเลี่ยงการตรวจจับได้อีกด้วย

Exfiltrator-22

โดย Exfiltrator-22 ได้ถูกสร้างขึ้นจาก อดีต Hacker ในเครือข่ายของ Lockbit 3.0 ที่มีความเชี่ยวชาญในการสร้างวิธีการหลีกเลี่ยงการตรวจจับระหว่างการโจมตี โดยได้สร้างชุดเครื่องมือการโจมตีนี้ขึ้นเพื่อให้กลุ่ม Hacker อื่น ๆ นำไปใช้โดยต้องจ่ายค่าธรรมเนียมการสมัครสมาชิก ซึ่งมีราคาอยู่ที่ระหว่าง $1,000 ต่อเดือนถึง $5,000 สำหรับการเข้าถึงตลอดอายุการใช้งาน ซึ่งมีการอัปเดต และการสนับสนุนอย่างต่อเนื่อง

หลังจาก Hacker ได้ทำการซื้อเครื่องมือนี้จะได้รับ admin panel host บน bulletproof VPS (virtual private server) ที่ไว้ใช้สำหรับควบคุม และสั่งการมัลแวร์ รวมถึงส่งการโจมตีไปยังระบบของเป้าหมาย

การพัฒนา Exfiltrator-22

โดยเวอร์ชันแรกของ Exfiltrator-22 (EX-22) เปิดตัวในวันที่ 27 พฤศจิกายน 2022 และได้ทิ้งช่องทางการติดต่อผ่าน Telegram channel ไว้โฆษณา รวมถึงในช่วงสิ้นปีได้เปิดตัวคุณสมบัติใหม่ที่ช่วยปกปิดการเชื่อมต่อบนอุปกรณ์ของเป้าหมาย ซึ่งแสดงให้ห็นถึงการพัฒนาเครื่องมืออย่างต่อเนื่อง

ในเดือนมกราคม 2023 Exfiltrator-22 ได้ประกาศว่าขณะนี้ระบบได้ถูกพัฒนาไปแล้วกว่า 87% ซึ่งใกล้จะพร้อมใช้งานแล้ว รวมถึงได้มีการประกาศราคาการสมัครสมาชิก พร้อมทั้งเชิญชวนให้กลุ่ม Hacker ต่าง ๆ มาใช้งาน

เมื่อวันที่ 10 กุมภาพันธ์ 2023 Exfiltrator-22 ได้โพสต์วิดีโอสาธิตสองรายการบน YouTube เพื่อแสดงวิธีการโจมตีต่อไปยังระบบอื่น ๆ ของ EX-22 และความสามารถในการแพร่กระจายแรนซัมแวร์ ซึ่งแสดงให้เห็นถึงความพร้อมในการให้บริการ

คุณสมบัติของ Exfiltrator-22

Exfiltrator-22 มีคุณสมบัติทั่วไปเหมือนกับ post-exploitation toolkit อื่น ๆ ยังรวมถึงคุณสมบัติเพิ่มเติมที่มุ่งเน้นไปที่การติดตั้งแรนซัมแวร์ และการขโมยข้อมูล

คุณสมบัติเด่นที่อยู่ในเฟรมเวิร์ก :

การสร้าง reverse shell ด้วยสิทธิ์ระดับสูง
การอัปโหลดไฟล์ไปยังระบบของเป้าหมาย หรือดาวน์โหลดไฟล์จากเครื่องเป้าหมายไปยัง C2 Server (Command & Control)
การเปิดใช้งาน keylogger เพื่อบันทึกข้อมูลจากแป้นพิมพ์
การเปิดใช้งาน ransomware module เพื่อเข้ารหัสไฟล์บนอุปกรณ์
การจับภาพหน้าจอจากคอมพิวเตอร์ของเหยื่อ
เริ่มเซสชัน live VNC (Virtual Network Computing) สำหรับการเข้าถึงแบบเรียลไทม์บนอุปกรณ์
การยกระดับเป็นสิทธิสูงบนอุปกรณ์ของเหยื่อ
การฝังตัวระหว่างการรีบูตระบบ (persistence)
การแพร่กระจายตัวไปยังอุปกรณ์อื่น ๆ ในเครือข่ายเดียวกัน หรืออินเทอร์เน็ตสาธารณะ
การคัดแยกข้อมูล (รหัสผ่าน และ token) จาก LSAAS (Local Security Authority Subsystem Service)
สร้าง cryptographic hash บนเครื่องเป้าหมาย เพื่อช่วยตรวจสอบตำแหน่งไฟล์ และเหตุการณ์การเปลี่ยนแปลงเนื้อหาอย่างสม่ำเสมอ
ตรวจสอบ running processes บนเครื่องเป้าหมาย
แยก token การตรวจสอบสิทธิ์ออกจากระบบเป้าหมาย

คำสั่งต่าง ๆ เหล่านี้ จะถูกส่งไปยังอุปกรณ์ที่ถูกบุกรุกผ่านโปรแกรมคอนโซล 'EX22 Command & Control' ของ Windows โดยข้อมูลจะถูกส่งกลับไปยัง C2 Server และแสดงผลในคอนโซลกลางของ Exfiltrator-22 รวมถึง Hacker ยังสามารถกำหนดงานตามกำหนดเวลา, อัปเดต Agent เป็นเวอร์ชันใหม่, เปลี่ยนแปลงการกำหนดค่าของแคมเปญ หรือสร้างแคมเปญใหม่ผ่าน web panel

การเชื่อมโยงกับสมาชิก LockBit ransomware

นักวิจัยยังพบว่า Exfiltrator-22 มีความเกี่ยวข้องกับ LockBit ransomware ไม่ว่าจะเป็นการใช้เทคนิค framework "domain fronting" เช่นเดียวกันกับ LockBit และ TOR plugin Meek ซึ่งช่วยซ่อนการรับส่งข้อมูลที่เป็นอันตรายภายในการเชื่อมต่อ HTTPS ไปยังแพลตฟอร์มสาธารณะ รวมถึงยังใช้ C2 infrastructure แบบเดียวกันกับ LockBit 3.0 อีกด้วย

IOC

 

ที่มา : bleepingcomputer, cyfirma

ในเดือนธันวาคม 2565 LastPass ได้เปิดเผยถึงเหตุการณ์ข้อมูลรั่วไหลที่เกิดจากการที่ผู้โจมตีสามารถเข้าถึงที่จัดเก็บข้อมูลรหัสผ่านที่มีการเข้ารหัสไว้ และระบุว่าเหตุการณ์ครั้งนี้เกิดขึ้นจากผู้ไม่หวังดีรายเดียวกันกับการโจมตีในครั้งแรก

บริษัทเปิดเผยว่าหนึ่งในวิศวกรทางด้าน DevOps ถูกโจมตีคอมพิวเตอร์ส่วนบุคคล โดยผู้โจมตีใช้ประโยชน์จากข้อมูลที่ถูกขโมยมาในเหตุการณ์ครั้งแรก ข้อมูลที่ได้มาจากเหตุการณ์ข้อมูลรั่วไหลจากบริการต่าง ๆ และช่องโหว่ในซอฟต์แวร์มัลติมีเดีย ทำให้ถูกติดตั้ง keylogger ซึ่งทำให้ผู้โจมตีได้ข้อมูลสำคัญออกไปจากระบบบน Amazon AWS cloud storage servers

เป้าหมายของการโจมตี คือ โครงสร้างพื้นฐาน ทรัพยากร และข้อมูลพนักงาน

เหตุการณ์ข้อมูลรั่วไหลในเดือนสิงหาคมที่ผ่านมา ส่งผลทำให้ผู้โจมตีสามารถเข้าถึงซอร์สโค้ด และข้อมูลทางเทคนิคจากสิทธิ์การเข้าถึงด้วยบัญชีนักพัฒนาเพียงบัญชีเดียว
ในเดือนธันวาคม ผู้โจมตีได้ใช้ประโยชน์จากข้อมูลที่ได้ เพื่อเข้าถึงระบบจัดเก็บข้อมูลบนคลาวด์ และได้ข้อมูลลูกค้าบางส่วนของบริษัท ต่อมาในเดือนเดียวกันผู้โจมตีได้เปิดเผยว่าได้รับสิทธ์ในการเข้าถึงฐานข้อมูลสำรองของที่จัดเก็บข้อมูลรหัสผ่านที่มีการเข้ารหัสด้วยอัลกอริทึมเข้ารหัสแบบ 256-bit AES encryption

ฝั่งของ Goto บริษัทแม่ของ LastPass ตรวจพบว่ามีการเข้าถึงโดยไม่ได้รับอนุญาตในเดือนที่ผ่านมาบน third-party ของบริการจัดเก็บข้อมูลบนคลาวด์

LastPass ไม่ได้เปิดเผยถึงชื่อของซอฟต์แวร์มัลติมีเดียที่ถูกใช้ในการโจมตีครั้งนี้ แต่มีข้อสังเกตว่าอาจเป็นซอฟต์แวร์ Plex เนื่องจากเคยพบการถูกโจมตีในปลายเดือนสิงหาคม 2565

ตอนนี้ทาง LastPass ได้อัปเกรดระบบการรักษาความปลอดภัย โดยการ rotate ข้อมูลประจำตัวที่มีความสำคัญ และมีสิทธิ์สูง รวมถึงออกใบรับรองใหม่ ปรับใช้มาตรการด้านความปลอดภัยบน S3 ในด้านการ hardening, logging และการแจ้งเตือนต่าง ๆ

คำแนะนำ

ผู้ใช้งาน LastPass ควรทำการเปลี่ยนรหัสผ่านหลัก และรหัสผ่านทั้งหมดที่มีการจัดเก็บเพื่อลดความเสี่ยงที่อาจเกิดขึ้น

ที่มา : thehackernews

มัลแวร์ที่ใช้ขโมยข้อมูลตัวใหม่ที่ชื่อว่า Stealc ซึ่งถูกโฆษณาบน Dark web กลายเป็นคู่แข่งที่น่าสนใจเมื่อเทียบกับมัลแวร์ขโมยข้อมูลตัวอื่น ๆ ในปัจจุบัน

SEKOIA ระบุในรายงานเมื่อวันจันทร์ที่ผ่านมาว่า (20 ก.พ. 2565) "กลุ่มผู้โจมตีโฆษณาว่า Stealc เป็นมัลแวร์ที่ใช้สำหรับขโมยข้อมูลที่มีคุณสมบัติครบถ้วน และพร้อมใช้งาน โดย Stealc นั้นได้พัฒนามาจากมัลแวร์ขโมยข้อมูลอย่าง Vidar, Raccoon, Mars และ RedLine" (more…)

สำนักงานความมั่นคงปลอดภัยทางไซเบอร์ และโครงสร้างพื้นฐานของสหรัฐ CISA ได้เพิ่มช่องโหว่ที่ส่งผลกระทบต่อ ZK Framework ลงในแค็ตตาล็อกช่องโหว่ (KEV) โดยช่องโหว่มีหมายเลข CVE-2022-36537 มีคะแนน CVSS: 7.5 โดยส่งผลกระทบต่อ ZK Framework เวอร์ชัน 9.6.1, 9.6.0.1, 9.5.1.3, 9.0.1.2 และ 8.6.4.1 ทำให้ผู้โจมตีสามารถดึงข้อมูลที่มีความสำคัญผ่านคำขอที่สร้างขึ้นเป็นพิเศษ (more…)

Activision เป็นบริษัทโฮลดิ้งด้านวิดีโอเกมระดับโลกที่มีมูลค่ามากกว่า 2.3 ล้านล้านบาทสัญชาติอเมริกัน

เมื่อเดือนธันวาคม 2565 ที่ผ่านมา แฮ็กเกอร์ได้ออกมาประกาศเรื่องข้อมูลที่ขโมยมาจากบริษัท Activision บริษัทเกมสัญชาติอเมริกัน โดยในฟอรัม แฮ็กเกอร์อ้างว่าได้ขโมยข้อมูลมาจากฐานข้อมูล Activision Azure ส่งผลให้ข้อมูลของพนักงานจำนวนหนึ่งถูกขโมยออกไป โดยเป็นข้อมูลที่ไม่ซ้ำกันจำนวนกว่า 19,444 รายการ ประกอบด้วยข้อมูลดังต่อไปนี้ (more…)

ChatGPT เป็นเครื่องมือออนไลน์ที่ให้บริการผ่านทาง chat.openai.com โดยที่ยังไม่มีแอปพลิเคชันบนมือถือ หรือเดสก์ท็อป โดย ChatGPT ได้รับความสนใจอย่างล้นหลามตั้งแต่เปิดตัวในเดือนพฤศจิกายน 2565 และกลายเป็นแอปพลิเคชันที่เติบโตอย่างรวดเร็วที่สุดในประวัติศาสตร์ยุคใหม่ โดยมีผู้ใช้มากกว่า 100 ล้านคนภายในเดือนมกราคม 2566

โดยปัจจุบันพบว่าแฮ็กเกอร์กำลังใช้ประโยชน์จากความนิยมของแชทบอต ChatGPT ของ OpenAI ในการแพร่กระจายมัลแวร์บน Windows และ Android หรือหลอกเหยื่อไปยังหน้าฟิชชิ่ง

เนื่องจากความนิยมเป็นอย่างมาก และการเติบโตอย่างรวดเร็วทำให้ OpenAI ต้องเปิดตัวระดับการใช้งานที่ต้องมีการจ่ายค่าบริการ $20 ต่อเดือน (ChatGPT Plus) สำหรับบุคคลทั่วไปที่ต้องการใช้แชทบอทได้ตลอดเวลา โดยไม่มีข้อจำกัดด้านความพร้อมใช้งาน

ทำให้แฮ็กเกอร์ใช้ประโยชน์จากเงื่อนไขดังกล่าว อ้างว่าสามารถให้สิทธิ์เข้าถึง ChatGPT ระดับพรีเมียมโดยไม่เสียค่าใช้จ่ายใด ๆ โดยมีเป้าหมายเพื่อหลอกให้ผู้ใช้ให้ติดตั้งมัลแวร์ หรือให้กรอกข้อมูล credentials ของบัญชีต่าง ๆ

เว็บไซต์ดังกล่าวได้รับการโปรโมทโดยเพจ Facebook ที่ใช้โลโก้ ChatGPT อย่างเป็นทางการเพื่อหลอกให้ผู้ใช้เข้าไปยังเว็บไซต์ที่เป็นอันตราย

โดยแอปพลิเคชัน ChatGPT ปลอมได้รับการโปรโมทบน Google Play และ third-party stores ** ของ Android เพื่อหลอกลวงผู้ใช้งาน

โดยรายงานจาก CyBle มีการค้นพบดังนี้

"chat-gpt-go[.]online" ใช้แพร่กระจายมัลแวร์ที่ขโมยข้อมูลบนคลิปบอร์ด และ Aurora stealer
"chat-gpt-pc[.]online" ใช้แพร่กระจายมัลแวร์ Lumma
"openai-pc-pro[.]online" ใช้แพร่กระจายมัลแวร์ในตระกูลที่ยังไม่เป็นที่รู้จัก
"pay[.]chatgptftw[.]com" ใช้ขโมยข้อมูลบัตรเครดิต ซึ่งคาดว่าจะหลอกให้ผู้เข้าใช้งานเว็บไซต์ชำระเงินเพื่อซื้อ ChatGPT Plus ปลอม

โดย CyBle ยังพบแอปพลิเคชันที่เป็นอันตรายกว่า 50 รายการที่ใช้ไอคอนของ ChatGPT และชื่อที่คล้ายกัน โดยทั้งหมดเป็นแอปพลิเคชันปลอม และพยายามสร้าง activities ที่เป็นอันตรายบนอุปกรณ์ของผู้ใช้

ตัวอย่างที่ปรากฏในรายงานคือ 'chatGPT1' ซึ่งเป็นแอปพลิเคชันหลอกเรียกเก็บเงินผ่าน SMS และ 'AI Photo' ซึ่งประกอบด้วยมัลแวร์ Spynote สามารถขโมยบันทึกการโทร รายชื่อผู้ติดต่อ SMS และไฟล์จากอุปกรณ์ได้

คำแนะนำ

ผู้ใช้งานควรหลีกเลี่ยงการดาวน์โหลดแอปพลิเคชันที่หลอกว่าเป็น ChatGPT เนื่องจากในปัจจุบัน ChatGPT ยังสามารถใช้งานได้ผ่านทางหน้าเว็ปไซต์เท่านั้น

ที่มา : bleepingcomputer

ผู้โจมตีได้มุ่งเป้าหมายการโจมตีไปยังหน่วยงานรัฐบาลด้วยมัลแวร์ PureCrypter ซึ่งพบว่าถูกใช้เพื่อเป็นมัลแวร์สำหรับดาวน์โหลดมัลแวร์ขโมยข้อมูล และแรนซัมแวร์หลายสายพันธุ์

โดยนักวิจัยที่ Menlo Security พบว่าแฮ็กเกอร์ใช้ Discord เป็นโฮสต์สำหรับ payload เริ่มต้น และโจมตีองค์กรไม่แสวงหาผลกำไร เพื่อทำเป็นโฮสต์เพิ่มเติมที่ใช้ในแคมเปญ

แคมเปญนี้มีการโจมตีโดยการใช้มัลแวร์หลายประเภท ได้แก่ Redline Stealer, AgentTesla, Eternity, Blackmoon และ Philadelphia Ransomware และได้กำหนดเป้าหมายไปยังองค์กรรัฐบาลหลายแห่งในภูมิภาคเอเชียแปซิฟิก (APAC) และอเมริกาเหนือ

การโจมตี

การโจมตีเริ่มต้นด้วยอีเมลที่มี URL ของแอป Discord สำหรับดาวน์โหลด PureCrypter ซึ่งอยู่ในไฟล์ ZIP ที่มีการใส่รหัสผ่าน ซึ่งเมื่อเปิดใช้งาน มันจะทำการดาวน์โหลดเพย์โหลดต่อไปจากเซิร์ฟเวอร์ภายนอก ซึ่งในกรณีนี้เป็นเซิร์ฟเวอร์ที่ถูกโจมตีขององค์กรไม่แสวงหาผลกำไรแห่งหนึ่ง

โดยตัวอย่างที่นักวิจัยจาก Menlo Security วิเคราะห์คือ AgentTesla ซึ่งจะสร้างการเชื่อมต่อกับเซิร์ฟเวอร์ FTP ที่ตั้งอยู่ในปากีสถาน เพื่อใช้ในการรับส่งข้อมูลที่ขโมยมา โดยแฮ็กเกอร์จะใช้ข้อมูล credentials ที่มีการรั่วไหลออกมาในการโจมตีเพื่อเข้าควบคุมเซิร์ฟเวอร์ FTP แทนที่จะตั้งเซิร์ฟเวอร์ขึ้นมาเอง เพื่อลดความเสี่ยงจากการถูกระบุตัวตน

AgentTesla เป็นกลุ่มมัลแวร์ .NET ที่ถูกใช้ในกลุ่มผู้โจมตีในช่วง 8 ปีที่ผ่านมา โดยมีการใช้งานสูงสุดในช่วงปลายปี 2020 และต้นปี 2021 แต่ Agent Tesla ยังถือว่าเป็น backdoor ที่มีความสามารถสูง ซึ่งได้รับการพัฒนา และปรับปรุงอย่างต่อเนื่องตลอดหลายปีที่ผ่านมา

โดยพฤติกรรม keylogging ของ AgentTesla คิดเป็นประมาณหนึ่งในสามของรายงาน Keylogger ทั้งหมดที่ Cofense Intelligence บันทึกไว้ในปี 2022

ความสามารถของมัลแวร์ มีดังนี้ :

บันทึกการกดแป้นพิมพ์ของเหยื่อเพื่อเก็บข้อมูลที่มีความสำคัญ เช่น รหัสผ่าน
ขโมยรหัสผ่านที่บันทึกไว้ในเว็บเบราว์เซอร์, email clients หรือ FTP clients
จับภาพหน้าจอของเดสก์ท็อปที่อาจมีข้อมูลที่มีความสำคัญ
ดักจับข้อมูลที่คัดลอกไปยังคลิปบอร์ด รวมถึงข้อความ รหัสผ่าน และรายละเอียดบัตรเครดิ
ส่งข้อมูลที่ถูกขโมยไปยัง C2 ผ่าน FTP หรือ SMTP

ในการโจมตีที่ถูกตรวจสอบโดย Menlo Labs พบว่าแฮ็กเกอร์ใช้ process hollowing เพื่อแทรก Payload ของ AgentTesla เข้าสู่ proces (“cvtres.

VMware แจ้งเตือนผู้ดูแลระบบเกี่ยวกับช่องโหว่ระดับ Critical ของ Carbon Black App Control

VMware ออกแพตซ์อัปเดตด้านความปลอดภัยเพื่อแก้ไขช่องโหว่ critical injection ที่ส่งผลกระทบต่อ Carbon Black App Control สำหรับ Windows หลายเวอร์ชัน โดยมีระดับความรุนแรงของช่องโหว่อยู่ที่ 9.1 จากเต็ม 10 ซึ่งช่องโหว่ทำให้ผู้โจมตีสามารถใช้ประโยชน์เพื่อเข้าถึงระบบปฏิบัติการได้

Carbon Black App Control เป็นเครื่องมือที่ออกแบบมาเพื่อช่วยให้องค์กรมั่นใจได้ว่า endpoint บนระบบที่สำคัญจะอนุญาตให้ Run เฉพาะซอฟต์แวร์ที่เชื่อถือได้ และได้รับการอนุมัติเท่านั้น

โดยช่องโหว่หมายเลข CVE-2023-20858 ถูกพบโดยนักวิเคราะห์ด้านความปลอดภัย Jari Jääskelä ซึ่งทำให้ผู้โจมตีสามารถเข้าถึงแอดมินคอนโซลของ App Control เพื่อเข้าถึงระบบปฏิบัติการโดยการใช้อินพุตที่สร้างขึ้นเป็นพิเศษได้

ช่องโหว่ Injection ดังกล่าว ทำให้ผู้โจมตีสามารถเรียกใช้คำสั่ง หรือ Code ในแอปพลิเคชันเป้าหมายได้ ทำให้อาจจะสามารถเข้าควบคุมระบบ backend และ clients ทั้งหมดที่เชื่อมต่อกับแอปพลิเคชันที่มีช่องโหว่

คำแนะนำ

CVE-2023-20858 ส่งผลกระทบต่อ VMware Carbon Black App Control สำหรับ Windows ดังนี้
เวอร์ชัน 8.7.7 และเก่ากว่า
เวอร์ชัน 8.8.5 และเก่ากว่า
เวอร์ชัน 8.9.3 และเก่ากว่า
แนะนำให้ผู้ดูแลระบบอัปเกรดเป็นเวอร์ชัน 8.9.4, 8.8.6 และ 8.7.8 หรือใหม่กว่า

โดยเมื่อวันอังคารที่ผ่านมา (21 ก.พ. 2565) VMware พึ่งออกแพตซ์แก้ไขช่องโหว่ CVE-2023-20855 ซึ่งเป็นช่องโหว่ที่มีระดับความรุนแรงสูง (CVSS v3: 8.8) XXE (XML external entity) ซึ่งอาจทำให้ผู้โจมตีสามารถ bypass XML เพื่อเข้าถึงข้อมูลที่สำคัญ หรือดำเนินการยกระดับสิทธิ์ได้

CVE-2023-20855 ส่งผลกระทบต่อ VMware Orchestrator เวอร์ชันต่ำกว่า v8.11.1 (เวอร์ชันแก้ไข), vRealize Automation ต่ำกว่า v8.11.1 (เวอร์ชันแก้ไข) และ VMware Cloud Foundation 4.x (แก้ไขใน KB90926)

ที่มา : bleepingcomputer

พบ Hackers เริ่มใช้ช่องโหว่ใหม่ใน FortiNAC เพื่อสร้าง backdoor บน servers ของเป้าหมาย

นักวิจัยจาก GreyNoise และ CronUp ซึ่งเป็นบริษัทรักษาความปลอดภัยทางไซเบอร์ได้เผยแพร่รายงานพบการ พบ Hackers เริ่มใช้ช่องโหว่ใหม่ใน FortiNAC (CVE-2022-39952) ในการโจมตีเพื่อสร้าง backdoor บน servers ของเป้าหมาย ภายหลังจากที่ทาง Horizon3 ได้ปล่อย proof-of-concept exploit code (PoC) ที่ใช้ในการโจมตีช่องโหว่ดังกล่าวออกมา โดยเป็นการเพิ่ม cron job ใน reverse shell บนระบบของเหยื่อเพื่อให้ได้สิทธิสูงสุด (Root)

CVE-2022-39952 มีคะแนน CVSS v3 อยู่ที่ 9.8/10 ระดับความรุนแรงสูงมาก เป็นช่องโหว่ใน FortiNAC ที่สามารถหลบเลี่ยงการตรวจสอบสิทธิ และสามารถสั่งรันโค้ดที่เป็นอันตรายจากระยะไกลได้

FortiNAC เป็นโซลูชันในการควบคุมการเข้าถึงเครือข่ายที่ช่วยให้องค์กรมองเห็นภาพรวมของเครือข่ายแบบเรียลไทม์ รวมถึงการบังคับใช้นโยบายด้านความปลอดภัย และตรวจจับ และป้องกันภัยคุกคาม

รวมไปถึง GreyNoise และ CronUp ยังพบว่าการโจมตีอุปกรณ์ FortiNAC จำนวนมากผ่านช่องโหว่ CVE-2022-39952 มาจาก IP หลากหลายแห่ง โดยใช้กระบวนการโจมตีเดียวกับ PoC exploit ที่ Horizon3 ปล่อยออกมา คือการเพิ่ม cron job ใน reverse shell บนระบบของเหยื่อเพื่อให้ได้สิทธิ root และเรียกกลับไปยัง IP ของ Hacker

Fortinet กล่าวว่าปัจจุบัน ยังไม่มีวิธีการอื่นในการป้องกัน หรือหลีกเลี่ยงช่องโหว่ดังกล่าว จึงแนะนำให้ผู้ดูแลระบบทำการอัปเดตแพตซ์เพื่อป้องกันการถูกโจมตีจากช่องโหว่โดยเร็วที่สุด

 

ที่มา : bleepingcomputer

นักวิจัยจาก Jamf Threat Labs บริษัทวิจัยด้านความปลอดภัย ค้นพบซอฟต์แวร์ Final Cut Pro ที่ถูกฝัง cryptomining malware โดยมุ่งเป้าหมายไปที่กลุ่มผู้ใช้งาน MacOS เพื่อเรียกใช้งาน XMRig utility ในการขุด Monero cryptocurrency โดยปัจจุบันส่วนใหญ่ยังไม่ถูกตรวจจับได้จากอุปกรณ์ป้องกันด้านความปลอดภัย

การค้นพบ macOS malware

หลังจากที่นักวิจัยได้ค้นพบมัลแวร์ดังกล่าวแล้ว จึงได้ทำการตรวจสอบ และพบว่า macOS malware ดังกล่าวนั้นมาจาก torrents ที่เป็นอันตรายที่ชื่อ The Pirate Bay โดยผู้ใช้ชื่อ “wtfisthat34698409672” รวมไปถึงยังพบว่าผู้ใช้ดังกล่าวได้ทำการแผยแพร่ซอฟต์แวร์ macOS อื่น ๆ เช่น Adobe Photoshop และ Logic Pro X ตั้งแต่ปี 2019 โดยซอฟต์แวร์ทั้งหมดได้ฝัง payload สำหรับการขุด cryptocurrency เอาไว้ทั้งสิ้น

จากการวิเคราะห์เชิงลึกทำให้นักวิจัยสรุปได้ว่า มัลแวร์ดังกล่าวได้มีการพัฒนา และปรับปรุงมาแล้ว 3 ครั้ง เพื่อให้มีความสามารถในการหลบเลี่ยงการตรวจจับที่ซับซ้อนมากยิ่งขึ้น โดยพบว่าปัจจุบันอุปกรณ์ด้านความปลอดภัยสามารถตรวจจับได้แค่เวอร์ชันแรกเท่านั้น

ลักษณะการทำงานหลัก ๆ ของ macOS malware ที่มีมาตั้งแต่เวอร์ชันแรกจนถึงปัจจุบันคือ การทำ network layer I2P (Invisible Internet Project) สำหรับปกปิดการสื่อสารกับ C2 server

ต่อมาในเวอร์ชันที่สองที่พบในเดือนเมษายน 2021 ถึงตุลาคม 2021 มีความสามารถในการเข้ารหัสแบบ base 64 เพื่อซ่อนตัวใน app bundle

เวอร์ชันที่สาม หรือเวอร์ชันปัจจุบันพบในเดือนตุลาคม 2021 ถึงพฤษภาคม 2022 ได้เพิ่มความสามารถในการปลอมแปลง process ที่เป็นอันตราย ให้กลายเป็น process ของระบบใน Spotlight เพื่อหลบเลี่ยงการตรวจจับ รวมไปถึงมีสคริปต์ที่ใช้ในการตรวจสอบเครื่องมือประเภท Activity Monitor อย่างต่อเนื่อง หากมีการเปิดใช้งาน มันจะยุติกระบวนการทั้งหมดทันทีเพื่อไม่ให้ถูกตรวจจับได้

ปัจจุบัน MacOS ในปัจจุบัน ซึ่งมีชื่อว่า “Ventura” ได้เพิ่มการตรวจจับ และการป้องกันด้านความปลอดภัยเพิ่มมากขึ้น ไม่ว่าจะเป็นการตรวจสอบใบรับรองซอฟต์แวร์ และตรวจสอบการดัดแปลงในเนื้อหาซอฟต์แวร์ แต่ทั้งนี้ผู้ใช้งานก็ไม่ควรที่จะดาวน์โหลดซอฟต์แวร์ละเมิดลิขสิทธิ์จากภายนอก App Store เนื่องจากมีความเป็นไปได้ที่จะถูกฝังมัลแวร์ หรือเพย์โหลดที่เป็นอันตราย

ที่มา : bleepingcomputer