นักวิจัยพบแอปพลิเคชันที่เป็นอันตราย 4 รายการ ที่อยู่บน Google Play ซึ่งเป็น official store ของ Android ซึ่งจะนำผู้ใช้งานเข้าไปสู่เว็ปไซต์ที่ใช้สำหรับขโมยข้อมูลที่สำคัญ หรือสร้างรายได้ให้กับแฮ็กเกอร์ในแบบที่เรียกว่า pay-per-click และบางเว็ปไซต์ยังหลอกให้เหยื่อดาวน์โหลดแอปพลิเคชันที่ปลอมแปลงเป็น security tools หรือแอปพลิเคชันอัปเดต เพื่อหลอกให้ผู้ใช้งานติดตั้งไฟล์ที่เป็นอันตรายด้วยตนเอง

โดยแอปพลิเคชันเหล่านี้อยู่ภายใต้บัญชีนักพัฒนาที่ชื่อว่า Mobile Apps Group บน Google Play และมียอดติดตั้งไปแล้วรวมกว่า 1 ล้านครั้ง

โดยรายงานจาก Malwarebytes พบว่า นักพัฒนารายเดียวกันนี้เคยมีการเผยแพร่แอปพลิเคชันที่มีลักษณะ adware บน Google Play มาก่อน แต่ก็ยังคงได้รับอนุญาตให้เผยแพร่แอปพลิเคชันต่อไปหลังจากทำการแก้ไขพฤติกรรมผิดปกติดังกล่าวไปแล้วในเวอร์ชันถัดมา

แอปที่เป็นอันตรายสี่รายการที่ถูกเปิดเผยในครั้งนี้ ได้แก่ :

Bluetooth Auto Connect มียอดติดตั้งไปแล้วมากกว่า 1,000,000 ครั้ง
Bluetooth App Sender มียอดติดตั้งไปแล้วมากกว่า 50,000 ครั้ง
Driver: Bluetooth,Wi-Fi, USB มียอดติดตั้งไปแล้วมากกว่า 10,000 ครั้ง
Mobile transfer : smart switch มียอดติดตั้งไปแล้วมากกว่า 10,000 ครั้ง

แอปพลิเคชันเหล่านี้ส่วนใหญ่จะได้รับความคิดเห็นในแง่ลบจากผู้ใช้งานบน Google Play โดยผู้ใช้งานจำนวนมากระบุเกี่ยวกับโฆษณาที่ถูกเปิดโดยอัตโนมัติในเบราว์เซอร์ ที่น่าสนใจคือนักพัฒนาได้ตอบกลับความคิดเห็นเหล่านี้บางส่วน และยังเสนอจะช่วยแก้ไขปัญหาในเรื่องการโฆษณาอีกด้วย

BleepingComputer ได้ทำการติดต่อไปยัง Mobile App Group เพื่อขอความคิดเห็นเกี่ยวกับการค้นพบของนักวิจัยจาก Malwarebytes แต่ยังไม่ได้รับการตอบกลับ

Malwarebytes พบว่าแอปพลิเคชันเหล่านี้จะมี delay 72 ชั่วโมงก่อนที่จะเริ่มแสดงโฆษณาครั้งแรก หรือเปิดลิงก์ฟิชชิ่งในเว็บเบราเซอร์ จากนั้นจึงจะมีการเปิดแท็บโฆษณาในลักษณะดังกล่าวขึ้นมาในทุกๆ 2 ชั่วโมง นักวิจัยตั้งข้อสังเกตว่าแท็บเบราว์เซอร์ใหม่จะยังคงถูกเปิดขึ้นมาแม้ในขณะที่อุปกรณ์ถูกล็อก ดังนั้นเมื่อผู้ใช้กลับมาใช้งานโทรศัพท์หลังจากผ่านไประยะหนึ่ง ก็จะพบว่ามีเว็ปไซต์ฟิชชิง และโฆษณาหลายแห่งถูกเปิดทิ้งไว้อยู่

จากการวิเคราะห์ไฟล์ Manifest แสดงให้เห็นว่านักพัฒนาพยายามสร้างความสับสนบน log ของการดำเนินการของแอปพลิเคชัน โดยใช้ log descriptor ที่ไม่มีความหมายเช่น "sdfsdf" ซึ่งแม้ว่าวิธีนี้จะใช้ได้ผลกับเครื่องมือที่ใช้ตรวจสอบโค้ดแบบอัตโนมัติ แต่ก็ช่วยให้นักวิจัยสามารถระบุการดำเนินการได้ง่ายขึ้น

หากผู้ใช้งานต้องการป้องกันแอดแวร์จากอุปกรณ์ ให้หลีกเลี่ยงการติดตั้งแอปพลิเคชันจากภายนอก อ่านรีวิวจากผู้ใช้งานอื่นๆ ตรวจสอบการใช้งานแบตเตอรี่ และข้อมูลการเชื่อมต่อผ่านเครือข่ายซึ่งจะช่วยระบุว่าอุปกรณ์กำลังมีการใช้งานซอฟต์แวร์ที่น่าสงสัยอยู่หรือไม่

หากมีแอปใดแอปหนึ่งข้างต้นติดตั้งอยู่ แนะนำให้ทำการลบออก และตรวจสอบอุปกรณ์โดยการใช้ mobile antivirus จากผู้ให้บริการที่มีความน่าเชื่อถือ

BleepingComputer ได้ทำการติดต่อไปยัง Google เพื่อแจ้งเกี่ยวกับประวัตินักพัฒนา และแอปพลิเคชันปัจจุบันของพวกเขา และจะอัปเดตข้อมูลทันทีเมื่อได้รับการตอบกลับจาก google

ที่มา : bleepingcomputer.

OpenSSL อัปเดตแพตช์เวอร์ชัน 3.0.7 เพื่อแก้ไขช่องโหว่ 2 รายการ ได้แก่ CVE-2022-3786 และ CVE-2022-3602 ซึ่งเป็นช่องโหว่ที่มีระดับความรุนแรงสูงที่เกิดจากข้อจำกัดของฟังก์ชันการตรวจสอบ Certificate ใน OpenSSL

รายละเอียดของช่องโหว่

CVE-2022-3602 เป็นช่องโหว่ในลักษณะ 4-byte stack buffer overflow ที่อาจทำให้ระบบเกิดการขัดข้อง หรือสามารถนำไปสู่การเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกล (RCE) ได้
CVE-2022-3786 เป็นช่องโหว่ที่หากผู้โจมตีมีการสร้าง Email Address ในลักษณะพิเศษด้วยวิธีการ punycode-encoded ใน Certificate จะส่งผลให้ OpenSSL ทำงานผิดพลาด เกิดการ buffer overrun ซึ่งอาจนำไปสู่การโจมตีในลักษณะการปฏิเสธการให้บริการ (DoS) ได้ในที่สุด

โดยเวอร์ชัน OpenSSL ที่ได้รับผลกระทบมีตั้งแต่ 3.0.0 ไปจนถึง 3.0.6 ซึ่ง OpenSSL มีคำแนะนำสำหรับการลดความเสี่ยง โดยแนะนำให้ผู้ดูแลระบบปิดการทำงานของ TLS client authentication จนกว่าจะสามารถดำเนินการอัปเดตแพตซ์ได้

จากช่องโหว่ดังกล่าว ผู้เชี่ยวชาญจาก Censys รายงานว่ามีระบบที่เข้าถึงได้จากอินเทอร์เน็ตประมาณ 7,000 ระบบที่ใช้ OpenSSL เวอร์ชันที่มีช่องโหว่ โดยมาจากโฮสต์ที่ไม่ซ้ำกันมากกว่า 1,793,000 ราย

ส่วนผู้เชี่ยวชาญด้าน Cloud Security อย่าง Wiz.

เมื่อวันที่ 27 ตุลาคม 2022 ที่ผ่านมา Google ได้ออกอัปเดตแพตซ์เร่งด่วนเพื่อแก้ไขช่องโหว่ Zero Day บนเว็บเบราว์เซอร์ Chrome โดยช่องโหว่ดังกล่าวมีหมายเลข CVE-2022-3723 ซึ่งเป็นช่องโหว่ Type Confusion ที่เกิดขึ้นกับ V8 JavaScript Engine

Jan Vojtěšek, Milánek และ Przemek Gmerek นักวิจัยจาก Avast เป็นผู้รายงานช่องโหว่นี้เมื่อวันที่ 25 ตุลาคม 2022

Google ระบุว่ารับทราบถึงรายงานที่พบการโจมตีจากช่องโหว่ CVE-2022-3723 ดังกล่าวแล้ว แต่ไม่ได้ให้ข้อมูลรายละเอียดเพิ่มเติมเกี่ยวกับการโจมตีดังกล่าว

โดยช่องโหว่ CVE-2022-3723 เป็นช่องโหว่ Type Confusion ช่องโหว่ที่สาม ที่ถูกใช้ในการโจมตีผ่านช่องโหว่บน V8 JavaScript Engine ในปีนี้ ต่อจาก CVE-2022-1096 และ CVE-2022-1364

โดยช่องโหว่ดังกล่าวถือเป็น Zero Day ลำดับที่ 7 ของ Google Chrome ตั้งแต่ต้นปี 2565

CVE-2022-0609 - ช่องโหว่ Use-after-free ใน Animation
CVE-2022-1096 - ช่องโหว่ Type Confusion ใน V8
CVE-2022-1364 - ช่องโหว่ Type Confusion ใน V8
CVE-2022-2294 - ช่องโหว่ Heap buffer overflow ใน WebRTC
CVE-2022-2856 - ช่องโหว่การตรวจสอบข้อมูล untrusted input ที่ไม่เพียงพอใน Web Intents
CVE-2022-3075 - ช่องโหว่ใน Mojo ไลบรารี ซึ่งเป็นส่วนหนึ่งของ Chrome ที่ใช้ในการรับส่งข้อความระหว่างเบราเซอร์ และระบบปฏิบัติการที่ทำงานอยู่

แนะนำให้ผู้ใช้งาน Update เป็น version 107.0.5304.87 สำหรับ macOS และ Linux และ version 107.0.5304.87/.88 สำหรับ Windows เพื่อลดความเสี่ยงจากการโจมตีที่อาจเกิดขึ้น

ส่วนผู้ใช้งานที่ใช้ Chromium-based Browsers เช่น Microsoft Edge, Brave, Opera และ Vivaldi แนะนำให้อัปเดตเช่นกันหากมีแพตซ์อัปเดตออกมา

ที่มา: thehackernews

นักวิจัยจาก Orca security พบว่า Cosmos DB Notebook endpoint ไม่มีการตรวจสอบ Authorization Header ทำให้ใครก็ตามทีรู้ session id สามารถเขียน หรืออ่านไฟล์ที่อยู่ใน Jupyter notebook container ได้

นักวิจัยจึงสามารถ overwrite kernelspec.

พบช่องโหว่อายุกว่า 22 ปี บน SQLite Database Library ซึ่งเป็นช่องโหว่ที่มีระดับความรุนแรงสูง ซึ่งเป็นผลมาจากส่วนหนึ่งของการเปลี่ยนแปลงโค้ดย้อนหลังไปตั้งเดือนตุลาคม 2000 ซึ่งอาจทำให้ผู้โจมตีสามารถหยุดการทำงาน หรือควบคุมโปรแกรมได้หากใช้ประโยชน์จากช่องโหว่สำเร็จ

รายละเอียดของช่องโหว่

ช่องโหว่มีหมายเลข CVE-2022-35737 มี CVSS: 7.5 ซึ่งมีระดับความรุนแรงสูง และมีผลกระทบกับ SQLite version 1.0.12 ถึง 3.39.1
ช่องโหว่เกิดจากการส่ง Input String ที่มีขนาดใหญ่ไปยังฟังก์ชั่น Printf ของ SQLite ที่ประกอบไปด้วย %Q, %q หรือ %w จะทำให้ช่องโหว่ไปเชื่อมโยงกับฟังก์ชั่นชื่อ “sqlite3_str_vappendf” ที่เรียกโดย Printf ในการจัดการรูปแบบ String
และเมื่อ “sqlite3_str_vappendf” ได้รับ String ขนาดใหญ่ และจะทำให้เกิด Signed integer overflow ซึ่งจะทำให้โปรแกรมหยุดทำงาน
และนอกจากวิธีการดังกล่าว นักวิจัยยังพบว่าหากมีการใช้ “!” ซึ่งเป็นอักขระพิเศษอาจทำให้สามารถเปิดใช้งาน unicode scanning และจากนั้นเป็นไปได้ที่จะทำให้ผู้ไม่หวังดีสามารถสั่งรันโค้ดได้ตามที่ต้องการ และอาจทำให้เกิดเงื่อนไข DoS เกิดขึ้นได้

ระบบที่ได้รับผลกระทบ

Android
iOS
Windows
macOS
Google Chrome
Mozilla Firefox
Apple Safari

แนวทางการป้องกัน

ช่องโหว่ดังกล่าวได้รับการแก้ไขแล้วในเวอร์ชั่น 3.39.2 (July 21, 2022) หากองค์กรมีการใช้งาน SQLite แนะนำให้องค์กรรีบดำเนินการอัปเดตเป็นเวอร์ชั่นดังกล่าวโดยเร็วที่สุด

Ref: https://thehackernews.

Microsoft ประกาศเรื่องการแก้ไขปัญหาที่ทำให้ blocklist ** ของไดรเวอร์ที่มีช่องโหว่ไม่ถูกซิงค์กับระบบที่ใช้ Windows ในเวอร์ชันเก่า โดย blocklist นี้ (จัดเก็บไว้ในไฟล์ DriverSiPolicy.

เมื่อวันอังคารที่ 25 ตุลาคมที่ผ่านมา ทาง VMware ได้ออกแพตซ์เพื่อแก้ไขช่องโหว่ของผลิตภัณฑ์ VMware Cloud Foundation ซึ่งถูกพบโดยนักวิจัยด้านความปลอดภัย Sina Kheirkah และ Stevenen Seeley จาก Source Incite

โดยช่องโหว่ดังกล่าวมีหมายเลข CVE-2021-29144 ซึ่งเป็นช่องโหว่เกี่ยวกับการเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกลโดยไม่ต้องผ่านการตรวจสอบสิทธิ ผ่านทาง XStream open source library และมี CVSS อยู่ที่ 9.8/10 และช่องโหว่หมายเลข CVE-2022-31678 ซึ่งเป็นช่องโหว่ XML Eternal Entity (XXE) ที่อาจถูกนำไปใช้ทำให้เกิดการปฎิเสธบริการ (DoS) หรือเปิดเผยข้อมูลที่ไม่ได้รับอนุญาต

แนวทางการแก้ไข

แนะนำให้ทำการอัปเดต Patch VMware Cloud Foundation เป็นเวอร์ชั่นที่ได้รับการแก้ไขล่าสุด
ในส่วนของลูกค้าที่ได้ทำการอัปเดตเป็น vCenter Server 8.0 ไปแล้ว จะต้องรอแพตซ์อัปเดตการแก้ไขดังกล่าวไปก่อน

วิธีลดผลกระทบเบื้องต้นหากยังไม่สามารถทำการแพตซ์ได้

ผู้ดูแลระบบเข้าสู่ระบบ SDDC manager บน VMware Cloud Foundation
เมื่อเข้าไปแล้ว ให้ใช้ Hot patch NSX สำหรับ vSphere (NSX-V) ที่จะอัปเกรด XStream เป็น เวอร์ชั่น 1.4.19 เพื่อปิดช่องทางการโจมตี
วิธีการแก้ไขนี้ ผู้ดูแลระบบจะต้องมาทำขั้นตอนเหล่านี้ทุกครั้งที่มีการสร้าง VI workload domain

Ref: https://thehackernews.

Cisco เตือนผู้ใช้งานว่าช่องโหว่ด้านความปลอดภัย ใน Cisco AnyConnect Secure Mobility Client สำหรับ Windows กำลังถูกนำมาใช้โจมตีอยู่ในปัจจุบัน

AnyConnect Secure Mobility Client ช่วยลดความยุ่งยากในการเข้าถึง Endpoint ขององค์กร และช่วยให้พนักงานสามารถทำงานได้จากทุกที่ที่เชื่อมต่อกับ Virtual Private Network (VPN) ที่ปลอดภัยผ่าน Secure Sockets Layer (SSL) และ IPsec IKEv2

ช่องโหว่ดังกล่าวมีหมายเลข CVE-2020-3433 และ CVE-2020-3153 โดยจะสามารถทำให้ผู้โจมตีสามารถทำการโจมตีแบบ DLL hijacking และคัดลอกไฟล์ไปยังไดเร็กทอรีระบบด้วยการยกระดับสิทธิ์ หากสามารถโจมตีได้สําเร็จผู้โจมตีจะสามารถสั่งรันโค้ดที่เป็นอันตรายบนระบบของเป้าหมายด้วยสิทธิ์ของ SYSTEM

ถือว่าเป็นความโชคดีที่ช่องโหว่ทั้งสองช่องโหว่ยังต้องผ่านการตรวจสอบสิทธิ์ โดยผู้โจมตีจำเป็นต้องมีข้อมูลการเข้าใช้งานที่ถูกต้องในระบบก่อน แต่อย่างไรก็ตามผู้โจมตีก็อาจจะนำช่องโหว่ดังกล่าวไปใช้ร่วมกับช่องโหว่อื่น ๆ บน Windows เพื่อใช้ในการโจมตีได้

แม้จะผ่านมาแล้วถึง 2 ปีหลังจากที่มีแพตซ์ออกมา Cisco ได้อัปเดตคำแนะนำด้านความปลอดภัย เพื่อย้ำเตือนให้ผู้ดูแลระบบอัปเดตซอฟต์แวร์ที่มีช่องโหว่ และบล็อกการโจมตีอย่างต่อเนื่อง

"ในเดือนตุลาคม 2565 Cisco PSIRT พบรายงานว่าช่องโหว่ดังกล่าวกำลังถูกนำมาใช้โจมตีอยู่ในปัจจุบัน"

"Cisco ยังคงแนะนำอย่างยิ่งให้ผู้ใช้งานอัปเกรดซอฟต์แวร์เป็นเวอร์ชันปัจจุบันเพื่อแก้ไขช่องโหว่นี้"

คำเตือนนี้เป็นการยืนยันการประกาศจาก Cybersecurity and Infrastructure Security Agency (CISA) เมื่อวันจันทร์ว่า ช่องโหว่ด้านความปลอดภัยทั้งสอง CVE ได้ถูกเพิ่มลงในรายการ Known Exploited Vulnerabilities เรียบร้อยแล้ว

เมื่อเพิ่มในรายการช่องโหว่ของ CISA ที่ถูกโจมตีแล้ว หน่วยงาน Federal Civilian Executive Branch Agencies (FCEB) ทั้งหมดจะต้องดำเนินการแก้ไขช่องโหว่ภายในเดือนพฤศจิกายน 2021 หรือใช้มาตรการอื่นเพื่อบรรเทาผลกระทบที่อาจจะเกิดขึ้น

 

หน่วยงานความปลอดภัยทางไซเบอร์ของสหรัฐฯ ยังเรียกร้องให้ทุกองค์กรทั่วโลกจัดลำดับความสำคัญในการแก้ไขช่องโหว่ด้านความปลอดภัยเหล่านี้ แม้ว่าปกติแล้วคำสั่งดังกล่าวจะมีผลกับหน่วยงาน FCEB ของสหรัฐฯ เท่านั้น

ที่มา : https://www.

บริษัท DHL, Microsoft และ LinkedIn ได้ถูกจัดอันดับให้เป็นบริษัทที่ถูกนำมาแอบอ้างเพื่อโจมตีในรูปแบบ Phising มากที่สุด โดยคำนวนจากการพยายามโจมตีในรูปแบบ Phishing ทั่วโลก ในไตรมาสที่ 3 (กรกฏาคม - กันยายน) ของปีนี้ ซึ่ง DHL มีค่าเฉลี่ยถูกนำมาใช้กว่า 22% รองลงมาเป็น Microsoft 16% และ LinkedIn 11% ตามลำดับ

ซึ่งในปีที่แล้วการโจมตีแบบ Phishing เป็นอาชญากรรมทางอินเทอร์เน็ตที่มีการรายงานบ่อยที่สุด โดยพบว่ามีการรายงานต่อ FBI กว่า 323,972 รายงาน และทำให้เหยื่อเสียหายกว่า 44.2 ล้านดอลลาร์

ลักษณะการโจมตี

ในการโจมตี Phishing นั้น ผู้ไม่หวังดีส่วนใหญ่จะมีการใช้ชื่อหัวข้ออีเมล เช่น Urgent requests, Change a password และ Delivery or Payment ซึ่งมีประสิทธิภาพอย่างมากในการหลอกให้เหยื่อเชื่อถือ และขโมยข้อมูลของเหยื่อ

ในการโจมตี ผู้ไม่หวังดีจะอ้างว่าเป็น DHL และจะส่งอีเมลจาก “info@lincssourcing[.]com” แต่ตั้งชื่อผู้ส่งให้เป็น DHL Express โดยตั้งชื่ออีเมลว่า “Undelivered DHL (Parcel/Shipment)”

และมีการพยายามเขียนข้อความหลอกล่อให้เยื่อคลิกลิงค์ที่เป็นอันตราย “https[:]//bafybeig4warxkemgy6mdzooxeeuglstk6idtz5dinm7yayeazximd3azai[.]ipfs[.]w3s[.]link/dshby[.]html/” โดยอ้างว่าให้ไปอัปเดตที่อยู่จัดส่งพัสดุ เพื่อรับพัสดุ ซึ่ง URL นั้นเป็นเว็บไซต์ปลอมของทางผู้ไม่หวังดีที่ต้องการให้เหยื่อกรอกข้อมูล ชื่อ และรหัสผ่าน

ซึ่งหากผู้ไม่หวังดีสามารถโจมตีสำเร็จ ก็อาจจะถูกนำข้อมูลประจำตัวที่ถูกขโมยเหล่านี้ไปใช้เพื่อดึงข้อมูลบัญชีอื่น ๆ เช่น รายละเอียดการชำระเงิน หรือนำไปขายบน Darkweb เป็นต้น

แนวทางการป้องกัน

ในการโจมตี Phishing ส่วนใหญ่จะเป็นการโจมตีโดยใช้ Email ดังนั้นองค์การส่วนใหญ่ควรมีการ Awareness Training ให้กับพนักงานภายในองค์กร
พิจารณาการใช้งาน mail gateway เพื่อป้องกันการส่งไฟล์ หรือลิงค์ที่เป็นอันตรายได้ในระดับหนึ่ง
พิจารณาใช้งาน Multi factor authentication เพื่อป้องกันหากมีข้อมูลบัญชีรั่วไหลออกไป

Ref: https://www.

ช่องโหว่ Zero-day ตัวใหม่บน Windows ช่วยให้ผู้โจมตีสามารถใช้ไฟล์ JavaScript ที่เป็นอันตราย เพื่อ bypass คำเตือนด้านความปลอดภัยของ Windows ที่เรียกว่า Mark-of-the-Web ได้ ซึ่งผู้โจมตีสามารถใช้ช่องโหว่ดังกล่าวในการโจมตีด้วยแรนซัมแวร์ได้

ฟีเจอร์ที่เรียกว่า Mark-of-the-Web (MoTW) ของ Windows จะทำการระบุค่าสถานะของไฟล์ว่าถูกดาวน์โหลดมาจากอินเทอร์เน็ต ดังนั้นควรระมัดระวัง เนื่องจากอาจเป็นอันตรายได้

MoTW จะถูกเพิ่มลงในไฟล์ที่ถูกดาวน์โหลดมาจากอินเทอร์เน็ต หรือจากไฟล์แนบในอีเมล ที่เรียกว่า 'Zone.