นักวิจัยด้านความปลอดภัยจาก Yair ค้นพบวิธีการใช้ช่องโหว่จากความสามารถของ Endpoint Detection and Response (EDR) และ Anti-Virus (AV) ที่ใช้กันอย่างแพร่หลายอย่าง Microsoft, SentinelOne, TrendMicro, Avast และ AVG ที่อยู่บนระบบของเหยื่อ เพื่อปกปิดพฤติกรรมการโจมตี, หลีกเลี่ยงการใช้สิทธิผู้ใช้งานระดับสูงในการโจมตี และสามารถลบทำลายข้อมูลได้ ซึ่งเป็นการโจมตีลักษณะเดียวกับ Wipers Malware โดยตั้งชื่อว่า “Aikido Wiper”

Wipers Malware คือ มัลแวร์ชนิดพิเศษที่มีเป้าหมายในการลบ หรือทำลายข้อมูลในระบบที่ถูกโจมตี และป้องกันไม่ให้เหยื่อสามารถกู้คืนข้อมูลได้

การค้นพบช่องโหว่

AV และ EDR มีความสามารถในการสแกนไฟล์ของคอมพิวเตอร์ เพื่อค้นหาไฟล์ที่เป็นอันตราย รวมถึงโหมด Real-Time Protection ที่จะสแกนไฟล์โดยอัตโนมัติ เมื่อไฟล์ถูกสร้างขึ้น และทำการวิเคราะห์ว่าไฟล์นั้นเป็นอันตรายหรือไม่ และถ้าพบว่าไฟล์นั้นเป็นอันตราย ก็จะถูกลบ (Deleted)/ กักกัน(Quarantined) ทันที โดยมี 2 กระบวนการ คือ กระบวนการแรก AV หรือ EDR ระบุได้ว่าไฟล์นั้นเป็นอันตราย และกระบวนการถัดมา AV หรือ EDR ดำเนินการลบไฟล์ที่เป็นอันตราย

แต่ถ้าหากเกิดมีการเปลี่ยนแปลงที่อยู่ของไฟล์ จะทำให้ AV หรือ EDR เปลี่ยนเปลี่ยนแปลงที่อยู่ของไฟล์ที่จะดำเนินการลบไปด้วย ซึ่งวิธีการนี้คือช่องโหว่ที่เรียกว่า time-of-check to time-of-use (TOCTOU)

ลักษณะการโจมตี

นักวิจัยได้ทำการทดสอบการใช้ช่องโหว่ time-of-check to time-of-use (TOCTOU) ด้วยขั้นตอนดังนี้

สร้างไฟล์ที่เป็นอันตรายที่ C:\temp\Windows\System32\drivers\ Mimikatz (ซึ่งไฟล์ Mimikatz จะถูกเปลี่ยนชื่อไฟล์เป็น ndis.

นักวิจัยจาก Claroty บริษัทด้านความปลอดภัยทางไซเบอร์ในอุตสาหกรรม และ IoT ได้คิดค้นเทคนิคการโจมตีแบบหลีกเลี่ยงการตรวจจับ (Bypass) จาก Web Application Firewalls (WAF) ของแบรนด์ชั้นนำในอุตสาหกรรมหลายราย

Web Application Firewalls (WAF) คือ Firewall ที่คอยตรวจสอบ คัดกรอง และบล็อกทราฟฟิก HTTP(S) ที่ เข้า/ออก จากเว็บแอปพลิเคชัน รวมถึงป้องกันการโจมตี เช่น Cross-Site Forgery, Cross-Site-Scripting (XSS), File Inclusion และ SQL injection เป็นต้น

การค้นพบช่องโหว่

เทคนิคดังกล่าว ถูกค้นพบขณะดำเนินการวิจัยเรื่องรูปแบบการจัดการอุปกรณ์ไร้สายของ Cambium Networks โดยนักวิจัยได้ค้นพบช่องโหว่ Cambium SQL ที่สามารถเข้าถึงข้อมูลส่วนตัวได้ เช่น Sessions ของผู้ใช้, SSH keys, Password Hashes, Tokens และ Verification Codes ซึ่งสามารถโจมตีผ่านช่องโหว่ SQL injection ไปยัง On-Premises ได้ แต่ขณะเดียวกัน การโจมตีผ่านช่องโหว่ดังกล่าวไปยัง Cloud ถูก Block โดย Amazon Web Services (AWS) WAF นักวิจัยได้คิดค้นวิธีโจมตีแบบหลีกเลี่ยงการตรวจจับ (Bypass) จากช่องโหว่ AWS WAF

วิธีการโจมตี

โดยค้นพบว่า การรวมเอา JSON syntax เข้ากับรูปแบบการโจมตีแบบ SQL injection Payloads จะสามารถหลีกเลี่ยงการตรวจจับ (Bypass) ไปได้ เนื่องจาก WAF ไม่สามารถที่จะแยกแยะและวิเคราะห์รูปแบบการโจมตีได้

PostgreSQL: ‘{“b”:2}’::jsonb <@ ‘{“a”:1, “b”:2}’::jsonb Is the left JSON contained in the right one? True.

ผู้เชี่ยวชาญจาก Eclypsium พบช่องโหว่ 3 รายการในซอฟต์แวร์ American Megatrends MegaRAC Baseboard Management Controller (BMC) ซึ่งจะถูกใช้งานในเซิร์ฟเวอร์เป็นหลัก ทำให้กระทบต่อผู้ผลิตเซิร์ฟเวอร์หลายราย เช่น AMD, Ampere Computing, ASRock, Asus, ARM, Dell EMC, Gigabyte, Hewlett-Packard Enterprise, Huawei, Inspur, Lenovo, Nvidia, Qualcomm, Quanta และ Tyan โดยส่งผลกระทบต่ออุปกรณ์เซิร์ฟเวอร์ทั้งแบบ On-Cloud และ On-Premise ทำให้ผู้โจมตีสามารถสั่งรันโค้ดที่เป็นอันตราย รวมถึง bypass การตรวจสอบสิทธิ์การใช้งาน และตรวจสอบจำนวนผู้เข้าใช้งานได้ สำหรับรายละเอียดช่องโหว่มีดังต่อไปนี้

CVE-2022-40259 - เป็นช่องโหว่ที่ช่วยให้ผู้โจมตีรันคำสั่งที่ต้องการผ่านทาง Redfish API ได้ มีคะแนน CVSS v3.1 ที่ 9.9 คะแนน ถือเป็นช่องโหว่ระดับ Critical
CVE-2022-40242 - เกิดจาก Default credentials ของผู้ดูแลระบบ ทำให้ผู้โจมตีสามารถเปิดการใช้งาน Admin shell ได้ มีคะแนน CVSS v3.1 ที่ 8.3 คะแนน
CVE-2022-2827 - เป็นช่องโหว่ที่อนุญาตให้ผู้โจมตีสามารถ Request เพื่อค้นหาชื่อผู้ใช้ภายในระบบ ว่ามีบัญชีผู้ใช้นั้นอยู่หรือไม่ มีคะแนน CVSS v3.1 ที่ 7.5 คะแนน

โดย 2 ช่องโหว่แรกนั้นมีความรุนแรงมากกว่าช่องโหว่ที่ 3 เนื่องจากผู้โจมตีสามารถเข้าถึงภายในระบบการจัดการได้ หากผู้โจมตีสามารถเข้าถึงได้สำเร็จอาจทำให้บริการต่างๆ ต้องหยุดทำการลง ส่วนช่องโหว่ที่ 3 ยังไม่ส่งผลกระทบโดยตรงกับความปลอดภัยต่าง ๆ เพราะผู้โจมตีรู้เพียงชื่อของผู้ใช้งาน จึงยังไม่เพียงพอที่จะสร้างความเสียหายใด ๆ

นอกจากนี้ผู้เชี่ยวชาญจาก Eclypsium ยังแนะนำให้ผู้ดูแลระบบควรตรวจสอบสิทธ์ในเรื่องของการ Remote และการใช้งานเพิ่มเติมสำหรับการเชื่อมต่อกลับมายังเซิร์ฟเวอร์ รวมถึงการอัปเดต Firmware อย่างสม่ำเสมอ เพื่อป้องกันการโจมตีที่อาจเกิดขึ้น

 

ที่มา : bleepingcomputer

CommonSpirit Health ระบบให้บริการทางด้านสาธารณสุขรายใหญ่ในสหรัฐอเมริกา ยืนยันว่าผู้โจมตีสามารถเข้าถึงข้อมูลส่วนบุคคลของผู้ป่วยกว่า 623,774 ราย ในระหว่างการถูกโจมตีโดย Ransomware ในเดือนตุลาคมที่ผ่านมา ซึ่งตัวเลขนี้ได้รับการเผยแพร่บนระบบการแจ้งเตือนการละเมิดข้อมูลของกระทรวงสาธารณสุขในสหรัฐอเมริกาในวันที่ 8 ธันวาคม 2022 โดยองค์กรด้านการดูแลสุขภาพมีหน้าที่ตามกฎหมายในการรายงานการละเมิดข้อมูลที่มีผลกระทบต่อบุคคลมากกว่า 500 คน

เมื่อต้นเดือนตุลาคมที่ผ่านมา CommonSpirit Health ได้แจ้งให้ประชาชนทราบเป็นครั้งแรกเกี่ยวกับการโจมตีทางไซเบอร์ที่ทำให้ระบบไอทีไม่สามารถใช้งานได้

CommonSpirit Health เป็นระบบสาธารณสุขที่ใหญ่เป็นอันดับสองของสหรัฐอเมริกา มีโรงพยาบาล 140 แห่ง และมีสถานพยาบาลกว่า 1,000 แห่งใน 21 รัฐ ดังนั้นการหยุดชะงักในการดำเนินงานจึงมีผลกระทบในวงกว้าง

เมื่อวันที่ 1 ธันวาคม 2022 องค์กรได้เผยแพร่ผลการตรวจสอบภายในล่าสุดเกี่ยวกับเหตุการณ์ด้านความปลอดภัยเป็นครั้งแรก โดยยอมรับว่าถูกโจมตีจาก ransomware จริง และผู้โจมตีสามารถเข้าถึงข้อมูลผู้ป่วยได้

ภายหลังการตรวจสอบ พบว่าไฟล์บางไฟล์ที่ถูกเข้าถึงมีข้อมูลส่วนบุคคลของบุคคลที่เคยได้รับบริการในอดีต หรือบริษัทในเครือของบุคคลเหล่านั้น เช่น จาก Franciscan Medical Group และ/หรือ Franciscan Health ในรัฐวอชิงตัน

ประเภทของข้อมูลที่รั่วไหล

ชื่อ
ที่อยู่
หมายเลขโทรศัพท์
วันเกิด
บัตรประจำตัวเฉพาะที่ใช้ภายในองค์กรเท่านั้น

บริษัทชี้แจงว่าหมายเลขบัตรประกันสุขภาพ และหมายเลขเวชระเบียนไม่ได้รับผลกระทบ โดยองค์กรยืนยันว่าจะติดต่อบุคคลที่ได้รับผลกระทบทั้งหมดพร้อมการแจ้งเตือนทางด้านความปลอดภัย แต่ยังไม่ได้เปิดเผยจำนวนผู้ป่วยที่ได้รับผลกระทบในขณะนั้น

ในการแจ้งเตือนที่ส่งถึงบุคคลที่ได้รับผลกระทบ บริษัทกล่าวว่าข้อมูลถูกเข้าถึงได้ในช่วงวันที่ 16 กันยายน ถึง 3 ตุลาคม 2022 ซึ่งเป็นช่วงเวลาที่ CommonSpirit Health ถูกโจมตีจาก ransomware

ปัจจุบันยังไม่มีการเปิดเผยชื่อกลุ่มแรนซัมแวร์ที่ทำการโจมตี และยังไม่มีการดำเนินการทางอาญากับกลุ่มใด

 

ที่มา : bleepingcomputer

ผู้เชี่ยวชาญด้านความปลอดภัยจาก Fortinet พบมัลแวร์ตัวใหม่ "Zerobot" มีการโจมตีโดยใช้ประโยชน์จากช่องโหว่บนอุปกรณ์ต่างๆ เช่น F5 BIG-IP, Zysel Firewall, Totolink, D-Link และ Hikvision

โดยจุดประสงค์ของมัลแวร์คือการเข้ายึดครองอุปกรณ์ที่ถูกโจมตี เพื่อนำมาใช้เป็น botnet สำหรับใช้ในการโจมตีแบบ Denial of Service (DDoS) โดยเมื่อมัลแวร์ทำงานจะมีการดาวน์โหลดสคริปต์ที่ชื่อว่า Zero เพื่อใช้ในการแพร่กระจายไปยังอุปกรณ์ที่อยู่ใกล้เคียงกัน และมีการรันคำสั่งบน Windows หรือ Linux ด้วย รวมถึงมีการติดตั้ง WebSocket เพื่อใช้เชื่อมต่อกับ command and control (C2) server โดยคำสั่งที่ผู้เชี่ยวชาญพบคือ Ping, attack, stop, update, scan, command และ kill นอกจากนี้มัลแวร์ยังถูกออกแบบมาเพื่อป้องกันการถูกสั่ง kill ตัวเองอีกด้วย

Zerobot จะโจมตีเป้าหมายโดยใช้ช่องโหว่ดังต่อไปนี้:

CVE-2014-08361: miniigd SOAP service in Realtek SDK
CVE-2017-17106: Zivif PR115-204-P-RS webcams
CVE-2017-17215: Huawei HG523 router
CVE-2018-12613: phpMyAdmin
CVE-2020-10987: Tenda AC15 AC1900 router
CVE-2020-25506: D-Link DNS-320 NAS
CVE-2021-35395: Realtek Jungle SDK
CVE-2021-36260: Hikvision product
CVE-2021-46422: Telesquare SDT-CW3B1 router
CVE-2022-01388: F5 BIG-IP
CVE-2022-22965: Spring MVC and Spring WebFlux (Spring4Shell)
CVE-2022-25075: TOTOLink A3000RU router
CVE-2022-26186: TOTOLink N600R router
CVE-2022-26210: TOTOLink A830R router
CVE-2022-30525: Zyxel USG Flex 100(W) firewall
CVE-2022-34538: MEGApix IP cameras
CVE-2022-37061: FLIX AX8 thermal sensor cameras

 

ที่มา : bleepingcomputer

Platform Certificate ที่ถูกใช้โดยผู้จำหน่ายสมาร์ทโฟน Android ต่าง ๆ เช่น Samsung, LG และ MediaTek พบว่ากำลังถูกนำมาใช้กับแอปพลิเคชันที่เป็นอันตราย

เหตุการณ์นี้ถูกพบโดย Łukasz Siewierski ผู้เชี่ยวชาญทางด้าน Reverse engineer ของทาง Google

Platform certificate จะถูกใช้สำหรับ android application สำหรับ system image ซึ่งจะทำให้แอปพลิเคชันสามารถทำงานด้วยสิทธิ์สูงเป็นพิเศษ รวมถึงสิทธิ์ในการเข้าถึงข้อมูลของผู้ใช้งานด้วย

ซึ่งหมายความว่าแอปพลิเคชันปลอมที่ใช้ Platform Certificate รูปแบบเดียวกันนี้จะได้รับสิทธิ์ในระดับสูงสุดเช่นเดียวกัน จึงทำให้สามารถรวบรวมข้อมูลที่มีความสำคัญได้ทุกประเภทจากอุปกรณ์ที่ถูกโจมตี

รายการแพ็คเกจแอปพลิเคชัน Android ที่เป็นอันตรายซึ่งมาจากการใช้งาน Certificate ที่ถูกแฮ็กมามีดังนี้

com.

ช่องโหว่ Zero-Day บน Internet Explorer กำลังถูกใช้ในการโจมตีอย่างต่อเนื่องโดยกลุ่ม ScarCruft กลุ่มแฮ็กเกอร์จากเกาหลีเหนือ ซึ่งจะมุ่งเป้าไปยังผู้ใช้งานชาวเกาหลีใต้ โดยใช้เหตุการณ์โศกนาฏกรรมที่ Itaewon ในช่วงวันฮาโลวีนเพื่อดึงดูดความสนใจให้เหยื่อดาวน์โหลดไฟล์ที่เป็นอันตราย

การค้นพบครั้งนี้ถูกรายงานโดย Benoît Sevens และ Clément Lecigne นักวิจัยจาก Google Threat Analysis Group (TAG) ซึ่งถือเป็นการโจมตีล่าสุดที่ดำเนินการโดยกลุ่ม ScarCruft ซึ่งเป็นที่รู้จักในอีกหลายชื่อ เช่น APT37, InkySquid, Reaper และ Ricochet Chollima โดยส่วนใหญ่การโจมตีจะมุ่งเป้าไปที่ผู้ใช้งานชาวเกาหลีใต้ ผู้แปรพักตร์ชาวเกาหลีเหนือ ผู้กำหนดนโยบาย นักข่าว และนักเคลื่อนไหวด้านสิทธิมนุษยชน

ลักษณะการโจมตี

การโจมตีจะเกิดขึ้นหลังจากที่มีการเปิดไฟล์บน Microsoft Word และแสดงเนื้อหา HTML ที่เปิดขึ้นมาจาก Internet Explorer
มีการใช้ช่องโหว่ของ Internet Explorer เช่น CVE-2020-1380 และ CVE-2021-26411 เพื่อติดตั้ง Backdoor อย่าง BLUELIGHT และ Dolphin
มีการใช้ RokRat (Remote Access Trojan) บน Windows ที่มีฟังก์ชั่นที่ช่วยให้สามารถจับภาพหน้าจอ, บันทึกการกดแป้นพิมพ์ และการเก็บข้อมูลอุปกรณ์ Bluetooth
หลังจากที่โจมตีสำเร็จแล้ว มันจะทำการส่ง Shell Code ที่สามารถลบร่องรอยในการโจมตีทั้งหมด โดยการล้างแคช และประวัติของ Internet Explorer รวมถึง payload ของมัลแวร์

โดย Google TAG ลองอัปโหลดเอกสาร Microsoft Word ที่เป็นอันตรายนี้ไปยัง VirusTotal เมื่อวันที่ 31 ตุลาคม 2022 โดยพบว่าเป็นการโจมตีโดยใช้ช่องโหว่ Zero-day ของ Internet Explorer ที่เกี่ยวข้องกับ JScript9 JavaScript, CVE-2022-41128 ซึ่งได้รับการแก้ไขโดย Microsoft ไปแล้วเมื่อเดือนที่ผ่านมา

อีกทั้ง MalwareHunterTeam ยังพบไฟล์ Word ลักษณะเดียวกันนี้เคยถูกแชร์จากกลุ่ม Shadow Chaser Group เมื่อวันที่ 31 ตุลาคม 2022 ซึ่งเคยได้ระบุในรายงานไว้ว่าเป็น "DOCX injection template ที่น่าสนใจ" และมีต้นกำเนิดจากประเทศเกาหลีเช่นเดียวกัน

Google TAG ระบุว่าขณะนี้ยังไม่สามารถกู้คืนมัลแวร์ที่ถูกใช้ในแคมเปญนี้ได้ แม้ว่าจะทราบแล้วว่าเป็นมัลแวร์อย่างเช่น RokRat, BLUELIGHT หรือ Dolphin ก็ตาม

ที่มา : thehackernews

นักวิจัยจาก Wiz พบช่องโหว่ SQL injection ใน IBM PostgreSQL Stored function ทำให้สามารถยกระดับสิทธิ์ของผู้ใช้งานเป็น superuser และสามารถสั่งรันโค้ดที่เป็นอันตรายจากระยะไกล (Remote code execution) บน OS ของ IBM PostgreSQL ได้โดยตรง

นักวิจัยยังพบว่า IBM PostgreSQL ถูก run บน Kubernetes และใน Pod มี Kubernetes Service Account token ที่ over-privileged ทำให้สามารถ Authentication กับ Kubernetes API server เพื่ออ่านค่า config ของ Pod ทั้งที่อยู่ใน Namespace ของผู้ใช้งานได้

Service Account token ยังสามารถอ่านค่า imagePullSecrets ที่ใช้ในการ Authentication กับ Internal container registry ของ IBM ในขั้นตอนการ Deploy Pod

นักวิจัยจึงทำการ Pull image ทั้งหมดจาก container registry ของ IBM โดยใช้ secrets ที่ได้มาจาก imagePullSecrets แล้ว scan หา secrets ที่อาจถูกฝังอยู่ใน Images

หลังที่ทำการ Scan image นักวิจัยพบ secrets ที่ถูกฝังอยู่ Image ดังนี้:

FTP credentials
Internal artifact repository credentials
IBM Cloud internal services credentials

เนื่องจาก IBM PostgreSQL มี network access ที่สามารถเข้าถึง internal IBM Cloud build servers และ credentials ที่ได้มามีสิทธ์ในการเขียน artifact repository ทำให้นักวิจัยสามารถที่จะโจมตีแบบ Supply chain attack โดยการ upload malicious artifact ไปยัง artifact repository เมื่อผู้ใช้งานรายใดก็ตามมีการ Deploy PostgreSQL เครื่องใหม่ malicious artifact ก็จะถูก deploy ไปที่ Environment ของผู้ใช้งานด้วยทันที

วิธีการแก้ไข:

IBM Cloud Databases ได้ทำการ update patch แก้ไขให้ PostgreSQL instances ของผู้ใช้งานให้แล้วโดยอัตโนมัติโดยที่ผู้ใช้งานไม่ต้องดำเนิดการใด ๆ เพิ่มเติมอีก

 

ที่มา : wiz , ibm

นักวิจัยด้านความปลอดภัย Nipun Gupta และ Aazim Bill SE Yaswant พบ Trojan App ที่ชื่อว่า Schoolyard Bully Trojan บน Google Play Store โดยมียอดผู้ดาวน์โหลดแอปดังกล่าวไปแล้วกว่า 3 แสน รายใน 71 ประเทศ ซึ่งปัจจุบันได้ถูกถอดจาก Google Play Store ไปแล้ว แต่ก็ยังมีเผยแพร่อยู่บน 3rd party อื่น ๆ เช่น Telegram หรือ Whatsapp เป็นต้น

ลักษณะการทำงาน

Trojan ได้ถูกออกแบบมาเพื่อขโมย Facebook credentials เป็นหลัก โดยจะปลอมเป็นแอปพลิเคชั่นสำหรับการศึกษาที่ดูใช้งานได้ตามปกติ หรือแอปสำหรับอ่านนิยายออนไลน์เพื่อหลอกล่อให้เหยื่อดาวน์โหลดมาโดยไม่เกิดความสงสัย

ซึ่งหลังจากที่เหยื่อมีการโหลดมาแอปมาติดตั้งไว้บนเครื่องแล้วจะมีการหลอกล่อเหยื่อให้เปิดหน้าใช้งานเข้าสู่ระบบของ Facebook ใน WebView ซึ่งภายในหน้าเว็บนั้นจะมีการฝัง JavaScript ที่มีความสามารถในการขโมยข้อมูลจำพวก เบอร์โทรศัพท์ อีเมล และรหัสผ่านของผู้ใช้ ส่งไปยัง Command-and-control (C2) ที่ถูกกำหนดไว้ของผู้โจมตี

นอกจากนี้ Schoolyard Bully Trojan ยังมีความสามารถในการใช้ประโยชน์จาก native libraries เช่น libabc.

นักวิจัยจาก Binary Security พบว่ามี Azure DevOps API ซึ่งพยายามเรียก subdomains ของ visualstudio.com ที่ยังไม่ถูกจดทะเบียน

ทำให้นักวิจัยสามารถสร้าง URL Azure DevOps sign-in ให้ reply ไปยัง subdomain ที่ถูกจดทะเบียนโดยนักวิจัย เมือ user ทำการ sign-in เสร็จแล้ว Azure DevOps จะส่ง authentication token ไปยัง subdomain นั้นทำให้ นักสามารถ Takeover account นั้นได้

ตัวอย่าง Attack URL

hxxps://app[.]vssps[.]visualstudio[.]com/_signin?realm=app.