กลุ่ม LockBit ransomware ออกมาอ้างความรับผิดชอบว่าตนอยู่เบื้องหลังการโจมตี Royal Mail หนึ่งในผู้ให้บริการไปรษณีย์ และจัดส่งของรายใหญ่ของสหราชอาณาจักร ส่งผลให้บริการทั้งหมดต้องหยุดชะงัก ซึ่งก่อนหน้านี้ LockBit เคยให้ข้อมูลกับทีมงาน BleepingComputer ว่าทางกลุ่มไม่ได้โจมตี Royal Mail แต่เหตุการณ์ทั้งหมดเกิดจากมีผู้ไม่หวังดีนำ LockBit 3.0 builder ที่เคยถูกเผยแพร่ในเดือนกันยายน 2565 ไปใช้งาน แต่กลับไม่สามารถอธิบายได้ว่าทำไมบันทึกค่าไถ่ของ Royal Mail มีลิงก์ไปยังเว็บไซต์เจรจาค่าไถ่บน Tor ของ LockBit แทนที่จะเป็นเว็บไซต์ของผู้โจมตีรายอื่น

ต่อมา LockBitSupp จึงออกมายอมรับว่ากลุ่ม LockBit อยู่เบื้องหลังการโจมตีดังกล่าวจริง โดยจะให้ตัวถอดรหัส และลบข้อมูลที่ขโมยออกมาหาก Royal Mail ยอมจ่ายค่าไถ่ พร้อมกับระบุว่าข้อมูลที่ถูกขโมยออกมาจะถูกเผยแพร่ทางออนไลน์ในวันพฤหัสบดีที่ 9 กุมภาพันธ์ เวลา 03:42 น. ตามเวลา UTC หากไม่มีการจ่ายค่าไถ่

เหตุการณ์การโจมตี

หลังจากตรวจพบเหตุการณ์การโจมตี ทาง Royal Mail ได้ออกมาชี้แจงว่าการขนส่งในประเทศไม่ได้รับผลกระทบ แต่พบปัญหากับบริการระหว่างประเทศ ทำให้ไม่สามารถส่งสินค้าไปยังจุดหมายปลายทางในต่างประเทศได้ชั่วคราว มีการกำชับไม่ให้ผู้ใช้งานโพสต์รายการส่งออกใด ๆ ในขณะที่กำลังดำเนินการแก้ไขปัญหานี้ พร้อมกับขออภัยในความไม่สะดวกที่เกิดขึ้น
ต่อมา บริษัทยังได้รายงานเหตุการณ์ดังกล่าวไปยังหน่วยงานรักษาความปลอดภัยของสหราชอาณาจักร และกำลังดำเนินการตรวจสอบเหตุการณ์นี้ควบคู่ไปกับสำนักงานอาชญากรรมแห่งชาติ และศูนย์ความปลอดภัยทางไซเบอร์แห่งชาติของสหราชอาณาจักร (NCSC)
จากนั้น Royal Mail ได้ระบุเหตุการณ์ในครั้งนี้เป็น cyber incident และกล่าวว่าได้กู้คืนบริการบางส่วนที่ได้รับผลกระทบจากการโจมตีแล้ว
ล่าสุด Royal Mail ได้กลับมาให้บริการ International Standard & International Economy อีกครั้งสำหรับลูกค้าที่ใช้บริการไปรษณีย์ออนไลน์ พร้อมกับเปิดระบบบางส่วนให้กับลูกค้าที่เป็น business account ให้ใช้งาน

ที่มา : bleepingcomputer

ช่องโหว่ F5 BIG-IP

F5 ได้ออกประกาศเผยแพร่ช่องโหว่ระดับความรุนแรงสูง ที่ส่งผลกระทบต่ออุปกรณ์ BIG-IP ทำให้สามารถ Denial-of-service (DoS) จากการเรียกใช้งานคำสั่งจากระยะไกล

โดยช่องโหว่มีหมายเลข CVE-2023-22374 (คะแนน CVSS: 7.5/8.5 ระดับความรุนแรงสูง) เป็นช่องโหว่ที่เกิดจากอินเทอร์เฟซ iControl Simple Object Access Protocol ( SOAP) เนื่องจากอินเทอร์เฟซ iCONtrol SOAP ทำงานในสิทธิ Root เมื่อ Hacker โจมตีสำเร็จก็จะได้สิทธิ Root ไปด้วย ทำให้สามารถหลบเลี่ยงการตรวจสอบด้านความปลอดภัย และเรียกใช้งานคำสั่งที่เป็นอันตรายจากระยะไกลได้

ซึ่งการโจมตีเกิดขึ้นโดยการแทรกอักขระสตริงรูปแบบใดก็ได้ลงในพารามิเตอร์การค้นหาที่ส่งผ่านไปยัง syslog โดยช่องโหว่ดังกล่าวถูกค้นพบ และรายงานช่องโหว่จากบริษัท Rapid7 เมื่อวันที่ 6 ธันวาคม 2022

F5 BIG-IP version ที่ได้รับผลกระทบ

version 13.1.5
version 14.1.4.6 - 14.1.5
version 15.1.5.1 - 15.1.8
version 16.1.2.2 - 16.1.3 และ 17.0.0

การป้องกัน

จำกัดการเข้าถึง iControl SOAP API ไว้เฉพาะผู้ใช้งานที่เชื่อถือได้เท่านั้น

ช่องโหว่ Command Injection ใน Cisco IOx

Cisco ออกแพตซ์อัปเดตเพื่อแก้ไขช่องโหว่บน application hosting environment บน Cisco IOx ที่ทำให้สามารถหลบเลี่ยงการตรวจสอบด้านความปลอดภัย และเรียกใช้งานคำสั่งที่เป็นอันตรายจากระยะไกล รวมไปถึงเรียกใช้งานเพย์โหลดที่เป็นอันตราย เพื่อติดตั้งมัลแวร์ และ backdoor

CVE-2023-20076 (คะแนน CVSS: 7.2/10 ระดับความรุนแรงสูง) เป็นช่องโหว่โหว่บน application hosting environment ที่ทำให้สามารถหลบเลี่ยงการตรวจสอบด้านความปลอดภัย และเรียกใช้งานคำสั่งที่เป็นอันตรายจากระยะไกลด้วยสิทธิ Root บน host operating system

Trellix บริษัทด้านความปลอดภัยทางไซเบอร์ เป็นผู้ที่ค้นพบช่องโหว่ดังกล่าว รวมถึงได้ทำการวิเคราะห์ และพบว่า ช่องโหว่ CVE-2023-20076 สามารถหลบเลี่ยงการตรวจสอบด้านความปลอดภัย ด้วยไฟล์ TAR archive extraction ซึ่งอาจอนุญาตให้เขียนใน host operating system ด้วยสิทธิ Root และเรียกใช้งานคำสั่งที่เป็นอันตรายจากระยะไกลเพื่อเรียกใช้งานเพย์โหลดที่เป็นอันตราย ในการติดตั้ง backdoor บนเครื่องที่ถูกโจมตี รวมไปถึงสามารถที่จะฝังตัวอยู่ในระบบ (Persistence) ถึงแม้จะมีการรีบูตระบบ และการอัปเกรดเฟิร์มแวร์ก็ตาม ซึ่งจะลบออกได้หลังจากรีเซ็ตเป็นค่าเริ่มต้นจากโรงงานเท่านั้น

ถึงแม้ว่าในการโจมตีช่องโหว่ดังกล่าว จำเป็นต้องได้รับการพิสูจน์ตัวตน และมีสิทธิ์ของผู้ดูแลระบบ แต่ Hacker ก็มีหลากหลายวิธีที่จะเพิ่มระดับสิทธิ์บนระบบได้ เช่น phishing หรือการทำ social engineering เพื่อขโมยข้อมูลจากเหยื่อที่เป็นเป้าหมาย

ปัจจุบันทาง Cisco ได้ออกแพตซ์อัปเดตเพื่อปิดช่องโหว่ดังกล่าวแล้ว

อุปกรณ์ Cisco ที่ได้รับผลกระทบ

ช่องโหว่นี้ส่งผลกระทบต่ออุปกรณ์ที่ใช้ซอฟต์แวร์ Cisco IOS XE และเปิดใช้งานคุณสมบัติ Cisco IOx

Cisco 800 Series Industrial ISRs
Cisco Catalyst Access Points
Cisco CGR1000 Compute Modules
Cisco IC3000 Industrial Compute Gateways
Cisco IR510 WPAN Industrial Routers

การป้องกัน

ผู้ดูแลระบบควรเร่งอัปเดตเพื่อปิดช่องโหว่โดยด่วน

ที่มา : thehackernews

เมื่อวันที่ 2 กุมภาพันธ์ หน่วยงานความมั่นคงปลอดภัยทางไซเบอร์ และโครงสร้างพื้นฐานของสหรัฐ (CISA) ได้เพิ่มช่องโหว่ด้านความปลอดภัย 2 รายการ ได้แก่ ช่องโหว่บน Oracle E-Business Suite และช่องโหว่บน SugarCRM ไปยัง Known Exploited Vulnerabilities (KEV) เนื่องจากพบการโจมตีโดยใช้ช่องโหว่ทั้ง 2 รายการแล้วในปัจจุบัน ซึ่งก่อนหน้านี้ทาง CISA ได้เพิ่ม CVE-2017-11357 (คะแนน CVSS: 9.8 ระดับความรุนแรงสูงมาก) ซึ่งเป็นช่องโหว่ที่ส่งผลกระทบต่อ Telerik UI ทำให้สามารถสั่งการ และอัพโหลดไฟล์ได้จากระยะไกล

ช่องโหว่บน Oracle E-Business Suite

CVE-2022-21587 (คะแนน CVSS: 9.8 ระดับความรุนแรงสูงมาก) เป็นช่องโหว่ของผลิตภัณฑ์ Oracle Web Applications Desktop Integrator โดย Oracle E-Business Suite โดยเป็นช่องโหว่ที่สามารถหลบเลี่ยงการตรวจสอบสิทธิในการเข้าถึงเครือข่ายผ่าน HTTP protocol

Oracle Web Applications Desktop Integrator ที่ได้รับผลกระทบ

Oracle Web Applications Desktop Integrator Version 2.3 ถึง 12.2.11

ซึ่งทาง Oracle ได้ออกแพตซ์อัปเดตเพื่อปิดช่องโหว่แล้วในเดือนตุลาคม 2022

ช่องโหว่บน SugarCRM

CVE-2023-22952 (คะแนน CVSS: 8.8 ระดับความรุนแรงสูง) เป็นช่องโหว่การตรวจสอบความถูกต้องของอินพุตใน SugarCRM ซึ่งทำให้สามารถโจมตีแบบ PHP injection ได้

SugarCRM ** ที่ได้รับผลกระทบ

SugarCRM Version 0.0
SugarCRM Version 12.0.0

ซึ่งทาง SugarCRM ได้ออกแพตซ์อัปเดตเพื่อปิดช่องโหว่แล้วใน Version 11.0.5 และ 12.0.2

การป้องกัน

ควรเร่งดำเนินการอัปเดตเพื่อปิดช่องโหว่โดยเร็วที่สุด

 

ที่มา : thehackernews

French Computer Emergency Response Team (CERT-FR) ผู้ดูแลระบบของผู้ให้บริการโฮสติ้ง ได้ออกมาแจ้งเตือนการพบแคมเปญการโจมตีของแรนซัมแวร์ที่มุ่งเป้าการโจมตีไปยัง VMware ESXi server ที่ยังไม่ได้อัปเดตแพตซ์ด้านความปลอดภัย โดยใช้ช่องโหว่ CVE-2021-21974 ทำให้สามารถเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกล เพื่อติดตั้งแรนซัมแวร์ลงยังเครื่องเป้าหมายได้

CVE-2021-21974 เป็นช่องโหว่ที่เกิดจาก heap overflow ใน OpenSLP service ทำให้สามารถหลีกเลี่ยงการตรวจสอบสิทธิ และเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกล Remote Code Execution (RCE) ซึ่งก่อนหน้านี้มีแพตซ์อัปเดตออกมาแล้วตั้งแต่ 23 กุมภาพันธ์ 2021

ช่องโหว่ CVE-2021-21974 ส่งผลกระทบต่อ ESXi version ดังนี้

ESXi versions x prior to ESXi70U1c-17325551
ESXi versions 7.x prior to ESXi670-202102401-SG
ESXi versions 5.x prior to ESXi650-202102101-SG

รวมถึงจากการค้นหาของ Shodan แหล่งข้อมูลด้านความปลอดภัย พบว่าเซิร์ฟเวอร์ VMware ESXi กว่า 120 เครื่องทั่วโลกอาจถูกโจมตีจากแคมเปญแรนซัมแวร์ตัวนี้แล้ว

การค้นพบ ESXiArgs ransomware

ในระหว่างที่พบแคมเปญแรนซัมแวร์ที่มุ่งเป้าการโจมตีไปยัง VMware ESXi server ทาง BleepingComputer ระบุว่า มีผู้ใช้งานเว็บไซต์ได้ตั้งกระทู้เรื่องของการถูกโจมตีโดย ESXiArgs ransomware ในฟอรัมของ BleepingComputer รวมถึงขอความช่วยเหลือ และข้อมูลเพิ่มเติมเกี่ยวกับวิธีการกู้คืนข้อมูล

จากข้อมูลพบว่า แรนซั่มแวร์จะเข้ารหัสข้อมูลไฟล์ด้วยนามสกุล .vmxf, .vmx, .vmdk, .vmsd และ .nvram บนเซิร์ฟเวอร์ ESXi ที่ถูกโจมตี และสร้างไฟล์ .args สำหรับเอกสารที่เข้ารหัสแต่ละรายการ (ซึ่งอาจเอาไว้ในการถอดรหัส) รวมถึงยังทิ้งบันทึกเรียกค่าไถ่ชื่อ "ransom.

พบแคมเปญใหม่ที่มีความเชื่อมโยงกับกลุ่ม Lazarus มีการโจมตีโดยใช้ประโยชน์จากช่องโหว่บนอุปกรณ์ Zimbra ที่ยังไม่ได้ทำการ Patch เพื่อเข้าควบคุมเครื่องของเหยื่อ โดยถูกตั้งเป็นแคมเปญชื่อ No Pineapple (more…)

นักวิจัยด้านความปลอดภัยของ Deep Instinct บริษัทด้านความปลอดภัยทางไซเบอร์ ค้นพบการโจมตีที่ใช้ Microsoft Visual Studio Tools for Office (VSTO) เพื่อแฝงตัว และเรียกใช้คำสั่งที่เป็นอันตรายบนเครื่องเป้าหมาย ผ่าน Add-in ของ Microsoft Office เข้าไปใน VBA macros ของไฟล์เอกสารเพื่อดาวน์โหลดมัลแวร์

นับตั้งแต่ Microsoft ได้ประกาศ Block การทำงานของ macro VBA และ XL4 เป็นค่าเริ่มต้น (default) เหล่า Hackers จึงต้องปรับเปลี่ยนวิธีการโจมตีเป้าหมายใหม่ ไม่ว่าจะเป็น ไฟล์ .ZIP, .ISO และ .LNK เพื่อแพร่กระจายมัลแวร์ รวมไปถึงการใช้ VSTO ในการสร้างมัลแวร์ที่ใช้ .NET และฝังลงใน Add-in ของ Microsoft Office

การโจมตีด้วย VSTO

Microsoft Visual Studio Tools for Office (VSTO) เป็นชุดพัฒนาซอฟต์แวร์ซึ่งเป็นส่วนหนึ่งของ Visual Studio IDE ของ Microsoft ซึ่งใช้ในการสร้างโปรแกรมเสริม และเป็นส่วนขยายสำหรับแอปพลิเคชัน Microsoft Office ที่สามารถสั่งรันโค้ดบนเครื่องได้

โดย Add-in เหล่านี้สามารถรวมเข้ากับไฟล์เอกสาร หรือดาวน์โหลดจากภายนอก และเริ่มการทำงานเมื่อเปิดใช้เอกสารด้วยเอป Microsoft Office ที่เกี่ยวข้องเช่น Word, Excel ซึ่ง Hacker จะใช้วิธีการ local VSTO ทำให้ไม่ต้องทำการหลบเลี่ยงการตรวจจับด้านความปลอดภัยเพื่อเรียกใช้คำสั่งเพิ่มเติม

นอกจากนี้นักวิจัยยังได้พบการโจมตีโดยใช้ VSTO add-ins จากภายนอกอีกด้วย โดยค้นพบจากพารามิเตอร์ "custom.

นักวิจัยจาก Aqua security บริษัทด้านความปลอดภัยทางไซเบอร์ ได้ค้นพบ Redis database servers กว่า 1,200 เครื่อง ถูกโจมตีและควบคุมโดยมัลแวร์ความสามารถขั้นสูง และมีความซับซ้อนที่ชื่อว่า HeadCrab มาตั้งแต่เดือนกันยายน 2021 (more…)

นักวิจัยด้านความปลอดภัยของ Horizon3 ได้เผยแพร่ Proof-of-Concept (PoC) สำหรับการโจมตีช่องโหว่ VMware vRealize Log Insight ที่ทำให้สามารถเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกลบนอุปกรณ์ที่ไม่ได้อัปเดตเพื่อปิดช่องโหว่ได้

VMware ได้ออกอัปเดตเพื่อปิดช่องโหว่ด้านความปลอดภัย 4 รายการใน VMware vRealize Log Insight เมื่อสัปดาห์ที่ผ่านมา โดย 2 รายการเป็นช่องโหว่ที่สำคัญ และอนุญาตให้ผู้โจมตีเรียกใช้โค้ดที่เป็นอันตรายบนอุปกรณ์ที่ถูกโจมตีได้ (Remote Code Execution) โดยมีความรุนแรงอยู่ในระดับ Critical (คะแนน CVSS 9.8/10)

CVE-2022-31706 เป็นช่องโหว่ใน directory traversal bug
CVE-2022-31704 เป็นช่องโหว่ broken access control ที่สามารถหลบเลี่ยงการตรวจสอบสิทธิ เพื่อแทรกไฟล์อันตรายในระบบปฏิบัติการของอุปกรณ์ที่มีช่องโหว่
CVE-2022-31710 เป็นช่องโหว่ที่ทำให้เกิด Denial of service (DoS) และ information disclosure บนอุปกรณ์ที่มีช่องโหว่
CVE-2022-31711 เป็นช่องโหว่ที่ทำให้สามารถเข้าถึง Session หรือข้อมูล application ที่มีความสำคัญของอุปกรณ์ที่มีช่องโหว่

จากการตรวจสอบของ Shodan พบว่า มีอินสแตนซ์ 45 รายการที่สามารถเข้าถึงได้บนอินเทอร์เน็ต เนื่องจากอุปกรณ์ VMware vRealize Log Insight ได้รับการออกแบบให้เข้าถึงได้จากภายในเครือข่ายขององค์กรเป็นหลัก รวมถึงยังพบ VMware vRealize Log Insight ที่มีช่องโหว่ จำนวน 5 รายการอยู่ที่ประเทศไทยอีกด้วย

แม้ปัจจุบันไม่มีรายงานการโจมตีที่ใช้ช่องโหว่ VMware vRealize ในการโจมตี แต่ทาง VMware ก็ได้ออกประกาศเตือนให้ผู้ใช้งานเร่งทำการอัปเดตช่องโหว่โดยด่วน เพื่อป้องกันการถูกโจมตี เนื่องจากในปีที่ผ่านมาก็มีการพบช่องโหว่ CVE-2022-22972 ที่ส่งผลกระทบต่อผลิตภัณฑ์ VMware หลายรายการ ซึ่งสามารถหลบเลี่ยงการตรวจสอบสิทธิ์และยกระดับสิทธิเป็นผู้ดูแลระบบในอุปกรณ์ที่มีช่องโหว่เช่นกัน

การป้องกัน :

ดำเนินการอัปเดตเพื่อปิดช่องโหว่โดยด่วน

ที่มา : bleepingcomputer

Microsoft ได้เปิดเผยการดำเนินการปิดใช้งานของบัญชี Microsoft Partner Network (MPN) ปลอม ที่ใช้สำหรับสร้างแอปพลิเคชัน OAuth ที่เป็นอันตราย ซึ่งถูกใช้ในแคมเปญ Phishing ที่มุ่งเป้าไปยังระบบคลาวด์ขององค์กรเพื่อขโมยอีเมล โดยการลอกเลียนแบบแอปยอดนิยมและหลอกให้เหยื่อกดยินยอมอนุญาตให้เข้าถึงสิทธิต่าง ๆ ซึ่งแอปปลอมเหล่านี้ได้ลงทะเบียนกับ OAuth ที่สร้างขึ้นใน Azure AD (more…)

LockBit 3.0 ใช้วิธีการเข้ารหัสแบบใหม่ในชื่อ LockBit Green

ผู้เชี่ยวชาญจาก VX-Underground ได้รายงานว่าผู้พัฒนา LockBit Ransomware มีการเปลี่ยนแปลงตัวเข้ารหัสอีกครั้ง ซึ่งในครั้งนี้หันมาใช้ชนิดเดียวกับ Conti Ransomware ที่เพิ่งปิดตัวลงไป และมีการใช้ชื่อใหม่ว่า LockBit Green

ตั้งแต่ LockBit Ransomware เปิดตัวก็มีการปรับเปลี่ยนวิธีการโจมตีรวมถึงวิธีการเข้ารหัสมาตลอด เวอร์ชันล่าสุดที่มีการประกาศอย่างเป็นทางการคือ LockBit 3.0 (หรือที่เรียกว่า LockBit Black) ซึ่งใช้วิธีการเข้ารหัสแบบเดียวกับ BlackMatter Ransomware

ในปัจจุบันมีการค้นพบว่า LockBit มีการใช้ตัวเข้ารหัสชนิดเดียวกับ Conti ซึ่งคาดว่าได้มาจาก Source Code ที่หลุดออกมาหลังจาก Conti ปิดตัวลง โดยหลังจากที่ Source Code ของ Conti หลุดได้ไม่นาน ก็มีกลุ่มแฮ็กเกอร์กลุ่มอื่น ๆ เริ่มใช้มันเพื่อสร้างตัวเข้ารหัสให้เป็นของตนเช่นเดียวกัน

ลักษณะการทำงาน

ตั้งแต่ข่าวของ LockBit Green เผยแพร่สู่สาธารณะ นักวิจัยก็ได้ตัวอย่างของ LockBit Green จากไฟล์บน VirusTotal และเว็บไซต์แชร์มัลแวร์อื่น ๆ
ต่อมาผู้เชี่ยวชาญจาก CyberGeeksTech ได้ใช้วิธีการ reverse-engineered กับตัวอย่างของ LockBit Green และระบุในรายงานกับ BleepingComputer ว่า ตัวเข้ารหัสที่ใช้เป็นตัวเข้ารหัสเดียวกับ Conti ที่พวกเขาเคยวิเคราะห์ไว้ก่อนหน้านี้อย่างแน่นอน โดยอัลกอริธึมการถอดรหัสก็เป็นชนิดเดียวกัน
จากนั้นบริษัทด้านความปลอดภัยทางไซเบอร์อย่าง PRODAFT มีการแชร์ข้อมูล IOC ของ LockBit Green พร้อมกับส่งไฟล์ตัวอย่าง และระบุในรายงานกับ BleepingComputer ว่ามีเป้าหมายมากกว่า 5 รายที่ถูกโจมตีโดย LockBit Green แล้ว
หลังจากได้รับไฟล์ตัวอย่างจาก PRODAFT ทีมงาน BleepingComputer ได้ทดสอบไฟล์ดังกล่าว พบว่าไฟล์เรียกค่าไถ่ได้ถูกแก้ไขรายละเอียดจาก Conti ให้มาเป็นของ LockBit 3.0 แล้ว

อย่างไรก็ตาม การเปลี่ยนแปลงที่เห็นได้ชัดสุดคือ LockBit Green จะใช้ extension แบบสุ่ม แทนที่จะใช้ .lockbit แบบเวอร์ชั่นเก่า

IOC

ที่มา : bleepingcomputer