Mirai botnet สายพันธุ์ใหม่ที่ชื่อว่า 'V3G4' กำลังโจมตีเซิร์ฟเวอร์ที่ใช้ Linux และอุปกรณ์ IoT โดยการใช้ช่องโหว่อย่างน้อย 13 รายการ เพื่อเข้าควบคุมระบบ และนำมาใช้ในการโจมตีแบบ DDoS (distributed denial of service)

มัลแวร์จะแพร่กระจายโดยการ brute force credentials บน telnet/SSH รวมถึงการใช้ประโยชน์จากช่องโหว่บน hardcoded เพื่อสั่งรันโค้ดที่เป็นอันตรายบนเครื่องเป้าหมาย เมื่อสามารถโจมตีได้สำเร็จ มัลแวร์จะถูกติดตั้งบนเครื่องเหยื่อ และจะถูกนำเข้าสู่การควบคุมในฐานะ botnet (more…)

Citrix Systems ออกแพตซ์อัปเดตแก้ไขช่องโหว่ด้านความปลอดภัยระดับ Critical ซึ่งพบในผลิตภัณฑ์ Virtual Apps and Desktops และ Workspace Apps

โดยช่องโหว่ที่ได้รับการอัปเดต เป็นช่องโหว่ที่อาจทำให้ผู้โจมตีสามารถเข้าถึงเป้าหมายในแบบ local access เพื่อยกระดับสิทธิ์ และเข้าควบคุมระบบที่ได้รับผลกระทบได้

การยกระดับสิทธิ์เป็นหนึ่งในขั้นตอนที่สำคัญของการโจมตีทางไซเบอร์ เนื่องจากผู้โจมตีจำเป็นต้องได้รับสิทธิ์ที่สูงขึ้นสำหรับการขโมยข้อมูล, การปิดใช้งานซอฟต์แวร์รักษาความปลอดภัย หรือแพร่กระจายไปยังระบบอื่น ๆ ของเป้าหมายเพื่อโจมตีด้วยแรนซัมแวร์

ช่องโหว่ที่ Citrix ได้ออกประกาศให้ทำการอัปเดต

CVE-2023-24483 : ช่องโหว่ในการจัดการสิทธิ์ที่ไม่เหมาะสมซึ่งนำไปสู่การยกระดับสิทธิ์ไปยัง NT AUTHORITY\SYSTEM ส่งผลกระทบต่อ Citrix Virtual Apps and Desktops เวอร์ชันก่อน 2212, 2203 LTSR ก่อน CU2 และ 1912 LTSR ก่อน CU6
CVE-2023-24484 : ช่องโหว่ในการควบคุมการเข้าถึงที่ไม่เหมาะสมทำให้สามารถเขียน log files ไปยังไดเร็กทอรีที่ผู้ใช้ทั่วไปไม่ควรเข้าถึง ส่งผลกระทบต่อ Citrix Workspace App สำหรับ Windows เวอร์ชันก่อน 2212, 2203 LTSR ก่อน CU2 และ 1912 LTSR ก่อน CU6
CVE-2023-24485 : ช่องโหว่ในการการควบคุมการเข้าถึงที่ไม่เหมาะสมซึ่งนำไปสู่การยกระดับสิทธิ์ ส่งผลกระทบต่อ Citrix Workspace App สำหรับ Windows เวอร์ชันก่อน 2212, 2203 LTSR ก่อน CU2 และ 1912 LTSR ก่อน CU6
CVE-2023-24486 : ช่องโหว่ในการควบคุมการเข้าถึงที่ไม่เหมาะสมซึ่งนำไปสู่การยึดครองเซสชัน ส่งผลกระทบต่อแอป Citrix Workspace สำหรับ Linux เวอร์ชันก่อน 2302

โดย CVE-2023-24483 ถือได้ว่าเป็นช่องโหว่ที่รุนแรงที่สุดที่ได้รับการแก้ไขในครั้งนี้ โดย NT AUTHORITY\SYSTEM คือสิทธิ์การเข้าถึงระดับสูงสุดบน Windows ทำให้สามารถสั่งรันคำสั่งได้ตามที่ต้องการ สามารถเข้าถึงข้อมูลที่มีความสำคัญ และแก้ไขการกำหนดค่าระบบโดยไม่มีข้อจำกัด รวมไปถึงสามารถโจมตีไปยังระบบอื่น ๆ ที่อยู่ภายในเครือข่ายเดียวกันได้

การป้องกัน

Citrix แนะนำให้เร่งทำการอัปเดตผลิตภัณฑ์ที่ได้รับผลกระทบจากช่องโหว่ โดยอัปเดตไปยังเวอร์ชันดังต่อไปนี้

Citrix Virtual Apps และ Desktops 2212 และ version ที่ใหม่กว่า
Citrix Virtual Apps and Desktops 2203 LTSR CU2 และ cumulative updates ที่ใหม่กว่า
Citrix Virtual Apps and Desktops 1912 LTSR CU6 และ cumulative updates ที่ใหม่กว่า
Citrix Workspace App 2212 และ version ที่ใหม่กว่า
Citrix Workspace App 2203 LTSR CU2 และ cumulative updates ที่ใหม่กว่า
Citrix Workspace App 1912 LTSR CU7 Hotfix 2 (19.12.7002) และ cumulative updates ที่ใหม่กว่า
แอป Citrix Workspace สำหรับ Linux 2302 และ version ที่ใหม่กว่า

ที่มา : bleepingcomputer

นักวิจัยของ Zscaler บริษัทด้านความปลอดภัย ได้เผยแพร่รายงานการพบการเปลี่ยนแปลงเครื่องมือการโจมตีของกลุ่ม Hacker โดยพบการใช้เครื่องมือ open-source command and control (C2) framework ที่มีชื่อว่า Havoc แทนที่เครื่องมือเดิมอย่าง Cobalt Strike และ Brute Ratel

Havoc เป็นเครื่องมือ open-source command and control (C2) framework ที่มีโมดูลหลากหลายซึ่งช่วยให้ Pentester และ hacker สามารถทำงานต่าง ๆ บนอุปกรณ์ที่ถูกโจมตีได้ รวมถึงการดำเนินการคำสั่ง, การจัดการ process, การดาวน์โหลดเพย์โหลดเพิ่มเติม, การจัดการ Windows token และการดำเนินการจาก shellcode โดยทั้งหมดนี้สามารถทำได้ ผ่าน web-based management console ซึ่งจะช่วยให้ hacker สามารถมองเห็นอุปกรณ์ เหตุการณ์ และ Output จากเครื่องเหยื่อได้ทั้งหมด โดยความสามารถที่น่าสนใจที่สุดของ Havoc คือการทำงาน cross-platform และหลบเลี่ยงการตรวจจับจาก Microsoft Defender บนอุปกรณ์ Windows 11 โดยใช้วิธีการต่าง ๆ เช่น sleep obfuscation, return address stack spoofing และ indirect syscalls เป็นต้น

การค้นพบ Havoc

ทีมวิจัยจาก Zscaler ThreatLabz ได้ตรวจพบว่า shellcode loader ที่ถูกทิ้งไว้บนระบบที่โดนโจมตีจะไปปิดการใช้งาน Event Tracing for Windows (ETW) และเพย์โหลดสุดท้ายของ Havoc Demon จะถูกโหลดโดยไม่มีส่วนหัวของ DOS และ NT เพื่อหลบเลี่ยงการตรวจจับ รวมไปถึง framework นี้ยังถูกปรับใช้ผ่านแพ็คเกจ npm ที่เป็นอันตราย (Aabquerys) อีกด้วย

โดย Demon.

Hacker ได้มีการเผยแพร่ Python Packages มากกว่า 451 Package ที่แตกต่างกันบน official Python Package Index (PyPl) เพื่อพยายามทำให้ระบบของนักพัฒนาติดมัลแวร์ clipper

Phylum บริษัทซอฟต์แวร์ด้านความปลอดภัยผู้พบ libraries ดังกล่าวระบุว่า ปฏิบัติการนี้เป็นผลสืบเนื่องมาจากแคมเปญที่เริ่มต้นตั้งแต่เมื่อเดือนพฤศจิกายน 2565 ที่ผ่านมา (more…)

สายการบินสแกนดิเนเวียนแอร์ไลน์ (SAS) เป็นสายการบินประจำชาติของประเทศสวีเดน นอร์เวย์ และเดนมาร์ก โดยนับว่าเป็นกลุ่มสายการบินที่ใหญ่เป็นอันดับที่ 2 ในแถบสแกนดิเนเวีย ได้ออกมาประกาศเรื่องการถูกโจมตีทางไซเบอร์จนทำให้ข้อมูลของผู้โดยสารรั่วไหลออกสู่สาธารณะ และได้มีการแจ้งเตือนไม่ให้ลูกค้าเข้าใช้งานเว็บไซต์ และแอปพลิเคชันของสายการบินชั่วคราว

เหตุการณ์นี้เกิดขึ้นเมื่อวันอังคารที่ 14 กุมภาพันธ์ 2566 ที่ผ่านมา ตามรายงานของ The Record กลุ่มแฮกเกอร์ Anonymous Sudan ระบุว่าได้โจมตี SAS เพราะเหตุการณ์หน้าสถานทูตตุรกีในกรุงสตอกโฮล์มของสวีเดนเมื่อวันเสาร์ที่ 21 มกราคม 2566 กลุ่มชาตินิยมขวาจัด(เผด็จการ) ได้จัดกิจกรรมเผาพระคัมภีร์อัลกุรอานเพื่อประท้วงตุรกีที่ต่อต้านการเข้าร่วมเป็นสมาชิกนาโตของสวีเดน ทำให้เกิดการประณามจากชาวมุสลิมทั่วโลกรวมทั้งสุลต่าน ส่งผลให้ผู้โดยสารสามารถเห็นข้อมูลของผู้โดยสารรายอื่นได้ และข้อมูลจำนวนหนึ่งถูกขโมยออกไป ประกอบด้วยข้อมูลดังต่อไปนี้

ชื่อ
ข้อมูลการติดต่อ
ข้อมูลเที่ยวบินก่อนหน้า และที่กำลังจะมาถึง
หมายเลขบัตรเครดิตสี่หลักสุดท้าย

โดย SAS มีจำนวนเครื่องบินกว่า 131 ลํา และรับ-ส่งผู้โดยสารไปยังจุดหมายปลายทางกว่า 168 แห่ง ยืนยันว่าผู้โจมตีไม่ได้ข้อมูลที่เกี่ยวกับรายละเอียดหนังสือเดินทางของผู้โดยสารแต่อย่างใด อย่างไรก็ตาม SAS ได้ร่วมมือกับสำนักงานการบินพลเรือน (CAA) เพื่อติดตามสถานการณ์อย่างใกล้ชิด โดยกำลังดำเนินการวิเคราะห์ และประเมินผลกระทบการโจมตีที่เกี่ยวข้อง เพื่อหาแนวทางการป้องกันอย่างทันที แม้ว่ากลุ่มแฮกเกอร์อาจไม่ได้ข้อมูลเกี่ยวกับรายละเอียดหนังสือเดินทาง แต่ก็ยังมีข้อมูลผู้โดยสารในส่วนต่าง ๆ ที่เพียงพอสำหรับการขโมย หรือการโจมตีแบบฟิชชิ่ง ดังนั้นผู้ใช้งานสายการบินจึงควรเพิ่มความระมัดระวัง

แนวทางป้องกัน

ไม่ควรใช้รหัสผ่านเดี่ยวกันบนหลาย Platform
เปิดใช้งาน Multi-Factor Authentication
ควรตั้งรหัสผ่านให้มีความยากในการคาดเดา

ที่มา : bleepingcomputer

กลุ่ม APT37 หรือที่รู้จักกันในชื่อ Red Eye หรือ ScarCruft ซึ่งเป็นกลุ่มแฮกเกอร์จากเกาหลีเหนือ กำลังใช้มัลแวร์ในลักษณะ steganography ที่ชื่อ 'M2RAT' ในการโจมตีเพื่อรวบรวมข้อมูลข่าวกรองที่สำคัญต่อรัฐบาลเกาหลีเหนือ

ตัวอย่างเช่น การใช้ backdoor บนโทรศัพท์ที่ชื่อว่า 'Dolphin' ในการติดตั้ง remote access trojan (RAT) อย่าง 'Konni' เพื่อมุ่งเป้าในการขโมยข้อมูลจากองค์กรในสหภาพยุโรป และใช้มัลแวร์ที่ชื่อว่า 'Goldbackdoor' เพื่อขโมยข้อมูลจากผู้สื่อข่าวในสหรัฐอเมริกา เป็นต้น

โดยในรายงานล่าสุดจาก AhnLab Security Emergency response Center (ASEC) นักวิจัยระบุว่า APT37 ใช้มัลแวร์สายพันธุ์ใหม่ที่เรียกว่า 'M2RAT' แบ่งการใช้งาน memory ร่วมกันระหว่างการสั่งการ และการขโมยข้อมูล โดยจะทิ้งร่องรอยการทำงานไว้น้อยมากบนเครื่องของเหยื่อ

ลักษณะการทำงาน

การโจมตีล่าสุดที่ตรวจพบโดย ASEC ถูกพบในเดือนมกราคม 2566 โดยกลุ่มแฮกเกอร์จะใช้การส่งอีเมลฟิชชิ่งที่มีไฟล์แนบที่เป็นอันตรายไปยังเป้าหมาย

เมื่อมีการเปิดไฟล์แนบจะทำให้เกิดการโจมตีโดยใช้ประโยชน์จากช่องโหว่ EPS (CVE-2017-8291) ในโปรแกรม Hangul word processor ซึ่งนิยมใช้กันทั่วไปในเกาหลีใต้ ซึ่งช่องโหว่นี้จะทำให้ shellcode เริ่มทำงานบนคอมพิวเตอร์ของเหยื่อ และทำการดาวน์โหลด และเรียกใช้โปรแกรมที่เป็นอันตรายซึ่งถูกเก็บไว้ภายในไฟล์ภาพ JPEG

โดยไฟล์ภาพ JPG จะใช้เทคนิค steganography ซึ่งทำให้สามารถซ่อนโค้ดภายในไฟล์ได้ เพื่อทำให้ M2RAT ("lskdjfei.

Royal Ransomware เป็น Ransomware ตัวล่าสุดที่มีความสามารถในการเข้ารหัสข้อมูลบนอุปกรณ์ Linux ได้ โดยมีการกำหนดเป้าหมายไปที่ VMware ESXi โดยเฉพาะ ซึ่ง BleepingComputer เคยได้รายงานเกี่ยวกับการเข้ารหัสจากแรนซัมแวร์บน Linux ที่มีรูปแบบคล้ายกันโดยกลุ่ม Ransomware อื่น ๆ เช่น Black Basta, LockBit, BlackMatter, AvosLocker, REvil, HelloKitty, RansomEXX และ Hive (more…)

Cloudflare ได้ออกมาเปิดเผยรายงานการป้องกันการโจมตีแบบ Distributed Denial-of-Service (DDoS) ที่สูงจนกลายเป็นสถิติที่สูงที่สุดในปัจจุบัน

โดยพบการโจมตีไปยังลูกค้าในช่วงสัปดาห์ที่ผ่านมา ซึ่งมี requests มากกว่า 50-70 ล้าน requests per second (rps) ในช่วงที่เกิดการโจมตี และมี requests มากที่สุด อยู่ที่ 71 ล้าน rps

Cloudflare ระบุว่า เหตุการณ์นี้ถือเป็นการโจมตีแบบ HTTP DDoS ที่ใหญ่ที่สุดเป็นประวัติการณ์ โดยมากกว่า 35% จากสถิติที่รายงานก่อนหน้านี้ที่พบการโจมตีในลักษณะ DDoS อยู่ที่ 46 ล้าน rps ในเดือนมิถุนายน 2022 ซึ่งถูกป้องกันไว้ได้โดย Google Cloud Armor ของ Google

โดยการโจมตีเกิดที่ขึ้นในครั้งนี้ พบว่ามาจาก IP มากกว่า 30,000 รายการ จากผู้ให้บริการคลาวด์หลายราย รวมถึงผู้ให้บริการเกม ผู้ให้บริการคลาวด์แพลตฟอร์ม บริษัทสกุลเงินดิจิทัล และผู้ให้บริการโฮสติ้ง

ซึ่งสอดคล้องกับรายงานของ DDoS threat report ของ Cloudflare ที่ได้คาดการณ์สถานการณ์การโจมตีไว้ว่า

จำนวนการโจมตี HTTP DDoS จะเพิ่มสูงขึ้น 79% เมื่อเทียบเป็นรายปี
จำนวนการโจมตีเชิงปริมาณที่มากกว่า 100 Gbps จะเพิ่มสูงขึ้น 67% ไตรมาสต่อไตรมาส (QoQ)
จำนวนการโจมตี DDoS ที่ใช้เวลามากกว่าสามชั่วโมงจะเพิ่มสูงขึ้น 87% (QoQ)

 

ที่มา : bleepingcomputer

หน่วยงานความมั่นคงปลอดภัยทางไซเบอร์ และโครงสร้างพื้นฐานของสหรัฐ (CISA) ได้เพิ่มช่องโหว่สามรายการไปในแคตตาล็อก Known Exploited Vulnerabilities (KEV) โดยอ้างถึงหลักฐานของการพบการตั้งเป้าหมายการโจมตีไปที่ช่องโหว่ดังกล่าว

ช่องโหว่ TerraMaster (TNAS)

CVE-2022-24990 เป็นช่องโหว่ที่ส่งผลต่ออุปกรณ์จัดเก็บข้อมูลกับเครือข่าย TerraMaster network-attached storage (TNAS) ซึ่งอาจนำไปสู่การเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกล (RCE) โดยไม่ต้องผ่านการตรวจสอบสิทธิ์ด้วยสิทธิ์สูงสุด ซึ่งช่องโหว่ CVE-2022-24990 ได้รับการเปิดเผยโดย Octagon Networks บริษัทวิจัยด้านความปลอดภัยทางไซเบอร์ของเอธิโอเปียในเดือนมีนาคม 2565 รวมไปถึงหน่วยงานรัฐบาลของสหรัฐฯ และเกาหลีใต้ได้ระบุว่า ช่องโหว่ดังกล่าวได้ถูกใช้โดย Hacker ชาวเกาหลีเหนือ เพื่อโจมตีหน่วยงานด้านสุขภาพ และโครงสร้างพื้นฐานที่สำคัญด้วยแรนซัมแวร์

ช่องโหว่ Intel ethernet

CVE-2015-2291 เป็นช่องโหว่ที่ส่งผลต่อไดรเวอร์ Intel ethernet สำหรับ Windows (IQVW32.sys และ IQVW64.sys) ซึ่งอาจทำให้อุปกรณ์ที่ได้รับผลกระทบเข้าสู่สถานะ Denial-of-Service state (DOS) โดยช่องโหว่ CVE-2015-2291 ได้รับการเปิดเผยโดย CrowdStrike ในเดือนมกราคม 2023 โดยเกี่ยวข้องกับการโจมตีจาก Scattered Spider (หรือที่รู้จักในชื่อ Roasted 0ktapus หรือ UNC3944) ซึ่งสามารถที่จะใช้วิธีการที่เรียกว่า Bring Your Own Vulnerable Driver (BYOVD) เพื่อหลีกเลี่ยงการตรวจจับจากซอฟต์แวร์รักษาความปลอดภัยที่ติดตั้งบนเครื่องเป้าหมายได้ รวมถึงยังพบว่าเทคนิคดังกล่าวได้ถูกนำไปใช้โดยกลุ่ม Hacker จำนวนมาก เช่น BlackByte, Earth Longzhi, Lazarus Group และ OldGremlin

ช่องโหว่ GoAnywhere MFT

CVE-2023-0669 เป็นช่องโหว่การเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกล (RCE) ที่ค้นพบใน GoAnywhere MFT managed file transfer application ของ Fortra โดยขณะนี้ ทาง Fortra ได้ปล่อยตัวอัปเดตเพื่อป้องกันช่องโหว่ดังกล่าวออกมาแล้ว จึงได้เตือนให้ผู้ดูแลระบบเร่งทำการอัปเดตโดยเร็ว

รวมไปถึง Huntress บริษัทผู้ให้บริการด้านความปลอดภัย ได้พบการนำช่องโหว่ CVE-2023-0669 ไปใช้ร่วมกับ TrueBot ซึ่งเป็นมัลแวร์บน Windows ที่มาจากกลุ่ม Silence และแชร์การเชื่อมต่อกับ Evil Corp ซึ่งมาจากกลุ่ม Hacker ชาวรัสเซียในชื่อ TA505

ที่มา : thehackernews

Apple ออกแพตซ์อัปเดตเพื่อแก้ไขช่องโหว่ Zero-day ที่กำลังถูกนำมาใช้ในการโจมตี iPhones, iPads และ Macs

โดยช่องโหว่ที่ได้รับการแก้ไขมีหมายเลข CVE-2023-23529 ซึ่งเป็นช่องโหว่ที่ทำให้ผู้โจมตีสามารถทำให้ OS หยุดการทำงาน รวมถึงสั่งรันโค้ดที่เป็นอันตรายบนอุปกรณ์ที่ใช้ iOS, iPadOS และ macOS เวอร์ชันที่มีช่องโหว่ได้ หากมีการเปิดใช้งานเว็บไซต์ที่ถูกสร้างขึ้นมาเป็นพิเศษจากผู้โจมตี (ช่องโหว่ดังกล่าวยังส่งผลกระทบต่อ Safari 16.3.1 บน macOS Big Sur และ Monterey) (more…)