BleepingComputer พบว่า Hackers ได้ปรับเปลี่ยนวิธีการโจมตี โดยการหันมาใช้ Microsoft OneNote ที่ฝังมัลแวร์แนบไปกับ Phishing Email เพื่อเข้าถึงเครื่องเหยื่อจากระยะไกล รวมถึงติดตั้งเพย์โหลดที่เป็นอันตราย เพื่อขโมยไฟล์, รหัสผ่านที่บันทึกไว้บนเบราว์เซอร์, ข้อมูลกระเป๋าเงิน cryptocurrency, การบันทึกภาพหน้าจอ และบันทึกวิดีโอโดยใช้เว็บแคม

โดยการหันมาใช้ Microsoft OneNote ในการโจมตี เกิดขึ้นจากการที่ Microsoft ได้ปิดการใช้งาน macro เป็นค่าเริ่มต้นใน Microsoft Office ซึ่งมักจะเป็นวิธีที่ Hackers เรียกใช้สคริปต์เพื่อติดตั้งมัลแวร์ ทำให้ Hackers ไม่สามารถแพร่กระจายมัลแวร์ผ่านไฟล์แนบรูปแบบ Word และ Excel ได้ จึงต้องหาวิธีการโจมตีในรูปแบบอื่น ๆ มาใช้แทน

Microsoft OneNote ** เป็นแอปพลิเคชันสมุดบันทึกดิจิทัลบนเดสก์ท็อปที่สามารถดาวน์โหลดได้ฟรี และถูกรวมอยู่ใน Microsoft Office 2019 และ Microsoft 365 เนื่องจาก Microsoft OneNote เป็นแอปพลิเคชันที่ถูกติดตั้งโดยค่าเริ่มต้นจากการติดตั้ง Microsoft Office 365 ทำให้ถึงผู้ใช้ Windows จะไม่ได้ใช้แอปพลิเคชันนี้ ก็ยังสามารถเปิดไฟล์ได้

การโจมตีโดย OneNote

Trustwave SpiderLabs บริษัทด้านความปลอดภัยทางไซเบอร์ ได้พบการโจมตีด้วย Phishing Email ที่แนบไฟล์ OneNote ที่เป็นอันตราย ตั้งแต่ช่วงกลางเดือนธันวาคมที่ผ่านมา ซึ่งหัวข้อของ Phishing Email จะประกอบไปด้วยการแจ้งเตือนการจัดส่งของจาก DHL, ใบแจ้งหนี้, แบบฟอร์มการโอนเงินของ ACH, แบบร่าง mechanical และ เอกสารการจัดส่ง

โดยใน OneNote จะอนุญาตให้ผู้ใช้สามารถแทรกไฟล์แนบลงในโปรแกรม NoteBook ได้ ซึ่งเมื่อดับเบิลคลิกจะเป็นการเปิดไฟล์แนบขึ้นมา Hacker จึงได้แนบไฟล์ VBS ที่เป็นอันตรายลงในโปรแกรม NoteBook ซึ่งจะเรียกใช้สคริปต์โดยอัตโนมัติเมื่อดับเบิลคลิก จากนั้นมันจะทำการดาวน์โหลดและติดตั้งมัลแวร์จากเซิร์ฟเวอร์ภายนอก

Hacker จะทำการสร้างไฟล์แนบที่ดูเหมือนไอคอนของไฟล์ใน OneNote ที่เขียนว่า ‘Double click to view file' เหนือไฟล์แนบ VBS ที่เป็นอันตราย ซึ่งมีไฟล์แนบหลายไฟล์ หากผู้ใช้ดับเบิลคลิกที่ใดก็ตามบนแถบ ก็จะเปิดใช้งานทันที

เมื่อเปิดใช้งานเอกสารแนบของ OneNote โปรแกรมจะเตือนว่า ‘การทำเช่นนั้นอาจเป็นอันตรายต่อคอมพิวเตอร์ และข้อมูลของคุณ’ แต่ส่วนใหญ่เหยื่อจะไม่ได้สนใจข้อความดังกล่าว และคลิกปุ่มตกลง

เมื่อคลิกปุ่มตกลงจะเป็นการเปิดสคริปต์ VBS เพื่อดาวน์โหลด และติดตั้งมัลแวร์บนอุปกรณ์ รวมถึงแสดงเอกสาร OneNote ปลอมเพื่อให้เหยื่อไม่สงสัย

นอกจากนี้ยังพบวิธีการโจมตีประเภทอื่น ๆ เช่นการส่ง Phishing Email ที่แนบไฟล์อิมเมจ ISO และไฟล์ ZIP ที่ใส่รหัสผ่าน และใช้ช่องโหว่บน Windows เพื่อหลบเลี่ยงการตรวจสอบจาก mark-of-the-web flags แต่ปัจจุบัน Microsoft ได้แก้ไขช่องโหว่ดังกล่าวไปแล้ว

การป้องกัน

ไม่เปิดอ่านไฟล์จาก E-mail ที่ไม่รู้จัก หรือไม่น่าเชื่อถือ
อ่านคำเตือนที่แสดงโดยระบบปฏิบัติการ หรือแอปพลิเคชันทุกครั้ง ก่อนกดตกลง

ที่มา : bleepingcomputer

พบมัลแวร์ตัวใหม่บน Android ที่มีชื่อว่า 'Hook' สามารถ remote เพื่อควบคุมอุปกรณ์มือถือจากระยะไกลได้แบบเรียลไทม์โดยการใช้ VNC (virtual network computing)

โดยตัวมัลแวร์ถูกสร้างโดยผู้สร้าง Ermac ซึ่งเป็นโทรจันสำหรับขโมยข้อมูลธนาคารบน Android ที่จะช่วยให้ผู้โจมตีสามารถขโมยข้อมูล credentials จากแอปธนาคาร และ crypto แอปพลิเคชันกว่า 467 รายการผ่านหน้า login ปลอม

คุณสมบัติของ Hook เมื่อเทียบกับ Ermac คือการเปิด WebSocket ที่นอกเหนือจากการรับส่งข้อมูล HTTP ที่ Ermac ใช้ โดยเฉพาะการรับส่งข้อมูลเครือข่ายยังคงถูก encrypt โดยการใช้คีย์ AES-256-CBC

จุดเด่นเพิ่มเติมคือ module 'VNC' ที่ช่วยให้ผู้โจมตีสามารถควบคุมอุปกรณ์ที่ถูกบุกรุกได้แบบ real-time

Hook ติดอันดับต้นๆ ของกลุ่มมัลแวร์ที่สามารถดำเนินการโจมตีแบบ Device Take-Over (DTO) ได้เต็มรูปแบบ เนื่องจากระบบใหม่นี้ช่วยให้ผู้โจมตีที่ใช้งาน Hook สามารถดำเนินการใดๆก็ได้บนอุปกรณ์ ตั้งแต่ขโมยข้อมูลส่วนตัว ไปจนถึงข้อมูลการทำธุรกรรมทางการเงิน ซึ่งการดำเนินการลักษณะนี้ตรวจจับได้ยากกว่า ทำให้ถือเป็นจุดขายหลักสำหรับมัลแวร์ประเภทนี้

แต่มีประเด็นสำคัญอีกอย่างหนึ่งคือ VNC ของ Hook ต้องการการเข้าถึงบริการ Accessibility Service ซึ่งอาจทำได้ยากขึ้นบนอุปกรณ์ที่ใช้ Android 11 หรือใหม่กว่า

คำสั่งใหม่ของ Hook (นอกเหนือจาก Ermac)

Start/stop RAT
ถ่ายภาพหน้าจอ
จำลองการคลิกที่รายการข้อความที่กำหนด
Simulate การกดปุ่ม (HOME/BACK/RECENTS/LOCK/POWERDIALOG)
Unlock อุปกรณ์
Scroll up/down
Simulate การกดแบบค้าง
Simulate การคลิกที่กำหนดเฉพาะ
ตั้งค่า clipboard UI ด้วยค่าเฉพาะเจาะจง
Simulate การคลิก UI ด้วยข้อความเฉพาะ
ตั้งค่าองค์ประกอบ UI เป็นข้อความเฉพาะ

นอกเหนือจากข้างต้น คำสั่ง "File Manager" จะเปลี่ยนมัลแวร์ให้เป็นตัวจัดการไฟล์ ทำให้ผู้โจมตีสามารถเข้าถึงรายการไฟล์ทั้งหมดที่จัดเก็บไว้ในอุปกรณ์ และดาวน์โหลดไฟล์ที่ต้องการได้

คำสั่งสำคัญอีกคำสั่งที่ ThreatFabric พบเกี่ยวข้องกับ WhatsApp ที่ทำให้ Hook สามารถบันทึกข้อความทั้งหมดในแอพ IM (Instant Messaging) ที่ได้รับความนิยมและยังช่วยให้ผู้โจมตีสามารถส่งข้อความผ่านบัญชีของเหยื่อได้ ในส่วนระบบการติดตามตำแหน่งใหม่ก็ช่วยให้ Hook สามารถติดตามตำแหน่งที่แม่นยำของเหยื่อได้โดยใช้สิทธิ์ "Access Fine Location"

การกำหนดเป้าหมายทั่วโลก

เป้าหมายของ Hook คือแอปพลิเคชันธนาคารต่างๆ ซึ่งคาดว่าจะส่งผลกระทบต่อผู้ใช้ในสหรัฐอเมริกา สเปน ออสเตรเลีย โปแลนด์ แคนาดา ตุรกี สหราชอาณาจักร ฝรั่งเศส อิตาลี และโปรตุเกส

ปัจจุบัน Hook มีการแพร่กระจายผ่านทาง Google Chrome APK ภายใต้ชื่อแพ็คเกจดังนี้

"com.

นักวิจัยด้าน Ermetic บริษัทรักษาความปลอดภัยโครงสร้างพื้นฐานบนระบบคลาวด์ของอิสราเอล พบช่องโหว่ระดับ Critical บน Microsoft Azure ที่ทำให้ผู้โจมตีสามารถสั่งรันโค้ดที่เป็นอันตรายจากระยะไกล (Remote Code Execution (RCE)) เพื่อเข้าควบคุมแอปพลิเคชันเป้าหมายได้

โดย Ermetic อธิบายช่องโหว่นี้ว่าเกิดจาก CSRF (cross-site request forgery) บน Kudu ซึ่งเป็นบริการ SCM ที่ใช้อย่างแพร่หลาย แล้วทำการส่งไฟล์ ZIP ที่ฝังเพย์โหลดอันตรายไปยังแอปพลิเคชัน Azure ของเป้าหมาย โดยได้เรียกวิธีการโจมตีนี้ว่า EmojiDeploy

Kudu คือเครื่องมือที่อยู่เบื้องหลังการทำงานของ Azure App Service ที่เกี่ยวข้องกับ source control based deployment เช่นเดียวกับ Dropbox และ OneDrive sync

การโจมตี

นักวิจัยได้อธิบายขั้นตอนการโจมตี ดังนี้

Hacker โจมตีผ่านช่องโหว่ CSRF ใน Kudu SCM panel ทำให้สามารถหลีกเลี่ยงการป้องกันและส่ง request ที่สร้างขึ้นเป็นพิเศษไปที่ "/api/zipdeploy" เพื่อส่งไฟล์ ZIP ที่เป็นอันตราย เช่น web shell และทำให้สามารถเข้าควบคุมระบบจากระยะไกลได้
ไฟล์ ZIP ที่เป็นอันตรายจะถูก encoded ในส่วนของ body ของ HTTP request เมื่อถูกเปิดขึ้นมา มันจะเรียกไปยังโดเมนที่ถูกควบคุมโดย Hacker ผ่าน web shell เพื่อหลบเลี่ยงการตรวจสอบ

การค้นพบนี้เกิดขึ้นหลังจาก Orca Security ได้เปิดเผยการโจมตี 4 ครั้งของการโจมตี server-side request forgery (SSRF) ที่ส่งผลกระทบต่อ Azure API Management, Azure Functions, Azure Machine Learning และ Azure Digital Twins หลังจากนั้น Microsoft ได้แก้ไขช่องโหว่ในวันที่ 6 ธันวาคม 2022 หลังจากการเปิดเผยช่องโหว่เมื่อวันที่ 26 ตุลาคม 2022 นอกจากนี้ Microsoft ยังได้มอบรางวัลให้แก่การรายงานช่องโหว่นี้เป็นมูลค่า 30,000 ดอลลาร์

การป้องกัน

ตรวจสอบการอนุญาตของแอปพลิเคชั่น และการกำหนดสิทธิในส่วนของการจัดการข้อมูลประจำตัว
จำกัดสิทธิ์การเข้าถึงให้น้อยที่สุดเพื่อความปลอดภัย

ที่มา : thehackernews

จากการประกาศเตือนช่องโหว่บนเราเตอร์ที่ end-of-life (EoL) ประกอบไปด้วย CVE-2023-20025 ซึ่งเป็นช่องโหว่ที่สามารถหลีกเลี่ยงการตรวจสอบสิทธิ์ และ CVE-2023-2002 ซึ่งเป็นช่องโหว่ที่สามารถสั่งรันโค้ดที่เป็นอันตรายได้จากระยะไกล บนระบบปฏิบัติการของเราเตอร์ Cisco Small Business RV016, RV042, RV042G และ RV082 เมื่อสัปดาห์ก่อน ปัจจุบันทาง Censys บริษัทด้านความปลอดภัยทางไซเบอร์ ได้ตรวจสอบ และพบเราเตอร์ที่ end-of-life ที่มีช่องโหว่ และสามารถถูกเข้าถึงได้จากอินเทอร์เน็ตกว่า 19,000 ตัวเสี่ยงต่อการถูกโจมตี

การตรวจสอบ

จากการตรวจสอบของ Censys ที่ค้นหาเราเตอร์ Cisco ที่ end-of-life ที่สามารถเข้าถึงได้จากอินเทอร์เน็ต โดยเฉพาะผ่านทาง HTTP services ที่มี model numbers ที่ได้จาก response header ของ 'WWW-Authenticate' หรือผ่านทาง HTTPS services ที่มี TLS organizational unit ที่ตรงกัน พบว่ามีประมาณ 20,000 เครื่อง ที่เสี่ยงต่อการถูกโจมตีจากช่องโหว่

โมเดล RV042 มีประมาณ 12,000 เครื่อง
โมเดล RV082 มีประมาณ 3,500 เครื่อง
โมเดล RV042 มีประมาณ 3,500 เครื่อง
โมเดล RV016 มี 784 เครื่อง

ซึ่งจากแผนภาพการแสดงแผนที่เราเตอร์ Cisco ที่ end-of-life (EoL) ที่สามารถเข้าถึงได้จากอินเทอร์เน็ตทั้งโลกจะพบว่ามีประเทศไทยติดอยู่ในนั้นด้วย

ปัจจุบัน ทาง Cisco ยังไม่ได้ออกอัปเดตด้านความปลอดภัย และไม่มีแผนที่จะออกอัปเดตให้กับเราเตอร์ Cisco ที่ end-of-life อีกต่อไป

วิธีการป้องกัน

ปิดใช้งานอินเทอร์เฟซการจัดการบนเว็ป และบล็อกการเข้าถึงพอร์ต 443 และ 60443 บนเราเตอร์เพื่อป้องกันการโจมตีช่องโหว่ และกำหนดค่าผ่านอินเทอร์เฟซ LAN แทน

ที่มา : bleepingcomputer

Rapid7 บริษัทด้านความปลอดภัยทางไซเบอร์ ได้เปิดเผยรายงานการพบการโจมตีช่องโหว่ของ ManageEngine (CVE-2022-47966) ซึ่งเป็นช่องโหว่ในการรันคำสั่ง และสั่งการจากระยะไกล Remote Code Execution (RCE) เพื่อเปิดใช้งาน reverse shell โดยช่องโหว่นี้กระทบต่อผลิตภัณฑ์ของ ManageEngine ไม่น้อยกว่า 24 รายการ

Rapid7 ได้พบเห็นการโจมตีโดยใช้ช่องโหว่ CVE-2022-47966 ตั้งแต่วันที่ 17 มกราคม 2023 ซึ่งเป็นวันก่อนที่นักวิจัยของ Horizon3 จะปล่อย Proof-of-Concept (PoC) ที่เป็นตัวอย่างในการโจมตี และการวิเคราะห์ทางเทคนิคเชิงลึกของช่องโหว่ดังกล่าว โดยตัว PoC นั้นส่งผลกระทบต่อ ServiceDesk Plus และ Endpoint Central ที่เปิดเผยบนอินเทอร์เน็ตมากกว่า 8,300 รายการ

เช่นเดียวกับ นักวิจัยที่ Shadowserver Foundation องค์กรด้านความปลอดภัย ที่ค้นพบกลุ่ม Hackers ประมาณ 10 IP ที่ได้พยายามโจมตี ผลิตภัณฑ์ ManageEngine หลายรายการ (ที่เปิดใช้งาน SAML SSO) ด้วยช่องโหว่ RCE ที่สามารถหลีกเลี่ยงการตรวจสอบสิทธิได้ และ GreyNoise บริษัทข่าวกรองด้านภัยคุกคาม ที่ค้นพบกลุ่ม Hackers ประมาณ 11 IP ได้มุ่งโจมตีไปยัง ผลิตภัณฑ์ ManageEngine ที่เปิดให้เข้าถึงได้จากอินเทอร์เน็ต โดยพบว่าใน IP ดังกล่าว เช่น 221.226.159.22 ที่ถูกสร้างบน Linux server บน China Telecom และ IP 106.246.224[.]219/hlmllmo เป็นกลุ่ม IP เดียวกับที่เคยโจมตี เซิร์ฟเวอร์ที่มีช่องโหว่ Log4shell มาก่อน

การโจมตี

Rapid7 ได้ตรวจสอบการโจมตี ManageEngine โดยใช้ช่องโหว่ CVE-2022-47966 ซึ่งพบขั้นตอนการโจมตีดังนี้

Hacker ใช้สคริปต์ PowerShell เพื่อปิดฟีเจอร์ Microsoft Defender real-time protection และเพิ่มโฟลเดอร์ C:\Users\Public ไปยังรายการยกเว้นการตรวจสอบของ Defender
เรียกใช้เพย์โหลดเพิ่มเติม รวมถึงเครื่องมือการเข้าถึงระยะไกลที่ปลอมตัวเป็นบริการ Windows Service Host

โดยหนึ่งในเครื่องมือเหล่านี้คือ Chisel ที่ใช้ภาษา Golang ซึ่งคล้ายกับ Plink (PuTTY Link) ในการสร้างช่องทางสื่อสาร reverse ssh (remote shell เพื่อหลบหลีกการตรวจจับจาก Firewall)

การป้องกัน

ผู้ดูแลระบบควรอัปเดตแพตซ์เพื่อป้องกันการถูกโจมตีจากช่องโหว่อย่างเร่งด่วน เนื่องจากได้มีการเปิดเผย PoC ที่ใช้ในการโจมตีออกมาแล้ว

 

ที่มา : bleepingcomputer

Git ได้ออกแพตช์แก้ไขช่องโหว่ด้านความปลอดภัยระดับ critical 2 รายการ ซึ่งอาจทำให้ผู้โจมตีสามารถสั่งรันโค้ดที่เป็นอันตรายได้จากระยะไกลจากช่องโหว่ heap-based buffer overflow

2 ช่องโหว่ที่ได้รับการแก้ไขคือ CVE-2022-41903 ใน Commit formatting mechanism และ CVE-2022-23521 ใน .gitattributes parser โดยได้รับการอัปเดตในช่วงวันพุธที่ผ่านมา

ส่วนช่องโหว่บน Windows ที่ส่งผลกระทบต่อ Git GUI หมายเลข CVE-2022-41953 ซึ่งเกิดจาก untrusted search path ที่อาจทำให้ผู้โจมตีที่ไม่ผ่านการพิสูจน์ตัวตนสามารถสั่งรันโค้ดที่เป็นอันตรายได้ ยังคงต้องรอแพตช์อัปเดตต่อไป แต่ผู้ใช้งานสามารถแก้ไขปัญหาชั่วคราวได้โดยการไม่ใช้ซอฟต์แวร์ Git GUI เพื่อ clone repositories หรือหลีกเลี่ยงการ cloning จาก sources ที่ไม่น่าเชื่อถือ

ช่องโหว่ที่มีผลกระทบรุนแรงที่สุดที่ค้นพบในครั้งนี้คือสามารถทำให้ผู้โจมตีสามารถ trigger a heap-based memory ระหว่างการ clone หรือ pull ข้อมูล ซึ่งอาจส่งผลให้เกิดการสั่งรันโค้ดที่เป็นอันตรายในระหว่างนั้นได้ และอีกกรณีหนึ่งคือการสั่งรันโค้ดระหว่างการ archive ซึ่งโดยปกติมักจะถูกดำเนินการโดย Git forges

นอกจากนี้ช่องโหว่อาจนำไปสู่ผลกระทบในด้านอื่น ๆ เช่น denial-of-service , out-of-bound reads หรือ badly handled ในกรณีมี input ขนาดใหญ่

คำแนะนำ

ปิดใช้งาน 'git archive' ใน repositories ที่ไม่น่าเชื่อถือ หรือหลีกเลี่ยงการเรียกใช้คำสั่งบน repos ที่ไม่น่าเชื่อถือ
หาก 'git archive' ถูกเข้าถึงได้ผ่าน 'git daemon' ให้ปิดการใช้งานเมื่อทำงานกับ repositories ที่ไม่น่าเชื่อถือโดยเรียกใช้คำสั่ง 'git config --global daemon.

Orca บริษัทด้านความปลอดภัยไซเบอร์ได้ค้นพบช่องโหว่ที่เกี่ยวข้องกับบริการ Microsoft Azure โดยช่องโหว่ดังกล่าวถูกพบในช่วงระหว่างวันที่ 8 ตุลาคม 2022 ถึง 2 ธันวาคม 2022 ซึ่งส่งผลกระทบต่อ Azure API Management, Azure Functions, Azure Machine Learning และ Azure Digital Twins me ซึ่งทำให้ผู้โจมตีสามารถหลีกเลี่ยงการตรวจสอบสิทธิ์ และเข้าถึงข้อมูลบนเครื่องปลายทางได้

โดยปัจจุบันทาง Microsoft ได้ออกอัปเดตเพื่อแก้ไขช่องโหว่เรียบร้อยแล้ว

ช่องโหว่บนบริการ Microsoft Azure มีดังนี้

ช่องโหว่ Unauthenticated SSRF บน Azure Digital Twins Explore โดยช่องโหว่อยู่ใน /proxy/blob endpoint ทำให้มีความเสี่ยงถูกโจมตีเพื่อรับ response จากบริการใดๆก็ตามที่ต่อท้ายด้วย "blob.

CERT Coordination Center (CERT/CC) ศูนย์ประสานงานด้านความปลอดภัยไซเบอร์ ได้เผยแพร่ช่องโหว่หมายเลข CVE-2022-4873, CVE-2022-4874 ซึ่งส่งผลกระทบต่ออุปกรณ์เราเตอร์ Netcomm และ CVE-2022-4498, CVE-2022-4499 ซึ่งส่งผลกระทบต่ออุปกรณ์เราเตอร์ TP-Link ที่ทำให้ผู้โจมตีสามารถสั่งรันโค้ดที่เป็นอันตรายจากระยะไกลได้ (Remote Code Execution)

CVE-2022-4873 และ CVE-2022-4874 เป็นช่องโหว่ของ stack-based buffer overflow ที่ทำให้ผู้โจมตีสามารถหลีกเลี่ยงการตรวจสอบสิทธิ รวมถึงสั่งรันโค้ดที่เป็นอันตรายจากระยะไกล ซึ่งส่งผลกระทบต่อเราเตอร์ Netcomm รุ่น NF20MESH, NF20 และ NL1902 ที่ใช้เฟิร์มแวร์เวอร์ชันก่อนหน้า R6B035

CVE-2022-4498 และ CVE-2022-4499 เป็นช่องโหว่ของ stack-based buffer overflow ที่ทำให้ผู้โจมตีสามารถหลีกเลี่ยงการตรวจสอบสิทธิ รวมถึงสั่งรันโค้ดที่เป็นอันตรายจากระยะไกล ซึ่งส่งผลกระทบต่อเราเตอร์ TP-Link รุ่น WR710N-V1-151022 และ Archer-C5-V2-160201

โดย CERT/CC กล่าวว่าช่องโหว่ที่ส่งผลกระทบต่อ เราเตอร์ Netcomm and TP-Link ส่งผลกระทบโดยตรงต่อค่า response time ของกระบวนการทำงาน และข้อมูล username/password บนเราเตอร์ ทำให้มีความเสี่ยงที่จะถูกโจมตีจากช่องโหว่ดังกล่าวได้

ที่มา : thehackernews

sekoia.io บริษัทรักษาความปลอดภัยทางไซเบอร์ของฝรั่งเศส พบแคมเปญการแพร่กระจายมัลแวร์ Raccoon และ Vidar Stealers จำนวนมาก โดยการสร้างเว็ปไซต์ปลอมเพื่อแจกจ่ายซอฟต์แวร์เถื่อนที่ถูกฝังมัลแวร์ที่เป็นอันตรายเอาไว้

ขั้นตอนการโจมตี

sekoia.

นักวิจัยจาก Gais Cyber ​​Security ได้เผยแพร่รายงานที่พบว่า ขณะนี้กลุ่ม Hackers ได้มุ่งเป้าหมายในการโจมตีไปยัง Control Web Panel (CWP) หรือที่รู้จักกันในชื่อ CentOS Web Panel ที่มีช่องโหว่หมายเลข CVE-2022-44877

CVE-2022-44877 (คะแนน CVSS 9.8/10 ระดับความรุนแรงสูงมาก) เป็นช่องโหว่ของ Control Web Panel (CWP) หรือ CentOS Web Panel ที่สามารถถูกใช้เพื่อหลีกเลี่ยงการตรวจจับ และสั่งรันโค้ดที่เป็นอันตรายจากระยะไกล (Remote Code Execution RCE) โดยช่องโหว่ถูกพบครั้งแรกในช่วงเดือนตุลาคม 2022 หลังจากนั้น CWP ได้ออกแพตซ์อัปเดตเพื่อแก้ไขช่องโหว่ออกมาในเดือนธันวาคม 2022

โดยหลังจากที่นักวิจัยได้มีการเผยแพร่ proof-of-concept (PoC) การสาธิตกระบวนการโจมตี และการทำงาน ภายหลังจากนั้นก็พบว่ามีกลุ่ม Hackers ได้เริ่มค้นหาเครื่องที่ยังไม่ได้รับการอัปเดตเพื่อแก้ไขช่องโหว่ และมีการนำช่องโหว่ CWP มาใช้ในการโจมตีเหยื่อเพิ่มมากขึ้น

โดย Hackers จะใช้ช่องโหว่ CVE-2022-44877 เพื่อทำการติดตั้ง Reverse Shell และดาวน์โหลดเพย์โหลดที่เป็นอันตราย ซึ่งเป็นคำสั่ง Python pty ในการสร้าง terminal เพื่อสั่งการจากระยะไกล

จากการค้นหา CWP ที่มีช่องโหว่จาก Shodan พบว่ามี CWP มากถึง 400,000 รายการที่สามารถเข้าถึงได้ทางอินเทอร์เน็ต รวมไปถึงจากการตรวจสอบของ Shadowserver Foundation หน่วยงานด้านความปลอดภัยซึ่งได้ตรวจสอบการโจมตีพบว่า จากการแสกนเพื่อตรวจสอบหา CWP ที่มีช่องโหว่ พบ CWP ประมาณ 38,000 รายการทุกวัน ซึ่งไม่ใช่เฉพาะ CWP ที่มีช่องโหว่ แต่เป็น CWP ทั้งหมดที่ค้นพบ รวมถึงในประเทศไทยจำนวน 166 รายการ

นอกจากนี้ทาง GreyNoise ยังได้ติดตามการโจมตีระบบ CWP ที่มีช่องโหว่ พบว่าเป็น IP ที่อยู่ในสหรัฐอเมริกา เนเธอร์แลนด์ รวมถึงไทยอีกด้วย

CWP ที่ได้รับผลกระทบ

CWP ที่มีเวอร์ชันต่ำกว่า 0.9.8.1148

วิธีแก้ไข

ผู้ดูแลระบบควรทำการอัปเดต CWP เพื่อป้องกันความเสี่ยงจากการถูกโจมตีโดยเร็วที่สุด

 

ที่มา : bleepingcomputer