เมื่อวันที่ 15 ตุลาคม 2022 ที่ผ่านมา Palo Alto Networks ออกแพตช์ความปลอดภัยเพื่อแก้ไขช่องโหว่ authentication bypass ที่มีระดับความรุนแรงสูง หมายเลข CVE-2022-0030 (คะแนน CVSS 8.1)

โดยช่องโหว่ดังกล่าวจะส่งผลกระทบต่อ PAN-OS 8.1 web interface ของ Palo Alto Networks ซึ่งทำให้ผู้โจมตีที่มีความเข้าใจเกี่ยวกับ Firewall หรือ Panorama เป็นอย่างดีสามารถใช้สิทธิ์ในฐานะผู้ดูแลระบบ และดำเนินการต่าง ๆ ด้วยสิทธิ์ของผู้ดูแลระบบได้

รายการเวอร์ชันที่ได้รับผลกระทบ :

โดยช่องโหว่ดังกล่าวได้รับการแก้ไขไปแล้วใน PAN-OS 8.1.24 และเวอร์ชันที่ใหม่กว่า โดย Palo Alto ระบุว่า PAN-OS 8.1 end-of-life (EOL) และจะได้รับการสนับสนุนต่อเฉพาะในรุ่น PA-200, PA-500 และ PA-5000 Series และอุปกรณ์ M-100 จนกว่าจะถึงสถานะ EOL เช่นกัน

โดยก่อนหน้านี้ Palo Alto และ Aruba พึ่งอัปเดตแพตซ์ช่องโหว่หมายเลข CVE-2022-37913 และ CVE-2022-37914 ซึ่งทำให้ผู้โจมตีที่ไม่ผ่านการตรวจสอบสิทธิ์ สามารถเข้าถึงสิทธิ์ผู้ดูแลระบบบนระบบเป้าหมายซึ่งถูกเผยแพร่เมื่อวันที่ 11 ตุลาคมที่ผ่านมา และช่องโหว่หมายเลข CVE-2022-37915 ระดับ Critical บน orchestrator product ของ Aruba

ที่มา: securityaffairs

นักวิจัยระบุว่า ช่องโหว่ด้านความปลอดภัยที่ปัจจุบันได้รับการแก้ไขไปแล้วใน vm2 JavaScript (sandbox module) ทำให้ผู้โจมตีสามารถ bypass การป้องกันจาก sandbox และสั่งรันโค้ดที่เป็นอันตรายบนเครื่องที่กำลังรัน sandbox ได้

ช่องโหว่มีหมายเลข CVE-2022-36067 ชื่อว่า Sandbreak โดยมีระดับความรุนแรงสูงสุดที่ 10 โดยปัจจุบันได้รับการแก้ไขไปแล้วในเวอร์ชัน 3.9.11 ที่เผยแพร่เมื่อวันที่ 28 สิงหาคม 2022 ทั้งนี้ VM2 เป็น Node library ที่ค่อนข้างได้รับความนิยม เพื่อใช้ในการเรียกใช้งาน untrusted code ด้วย allowlisted built-in modules นอกจากนี้ยังเป็นหนึ่งในซอฟต์แวร์ที่มีการดาวน์โหลดจำนวนมากที่สุดอีกด้วย โดยมีการดาวน์โหลดเกือบ 3.5 ล้านครั้งต่อสัปดาห์

บริษัทรักษาความปลอดภัยของแอปพลิเคชัน Oxeye ผู้ค้นพบช่องโหว่นี้ระบุว่า ช่องโหว่นี้เกิดจากกลไลของ Node.

SOPHOS แจ้งเตือนช่องโหว่ RCE บน Firewall ที่กำลังถูกนำมาใช้โจมตีอยู่ในปัจจุบัน

Sophos ออกมาแจ้งเตือนช่องโหว่ RCE (remote code execution) ระดับ critical ใน Firewall ของตน โดยช่องโหว่ดังกล่าวกำลังถูกใช้ในการโจมตีกลุ่มเป้าหมายองค์กรในภูมิภาคเอเชียใต้ โดยทาง Sophos ได้แจ้งเตือนไปยังองค์กรเหล่านี้โดยตรงเรียบร้อยแล้ว

โดยช่องโหว่นี้มีหมายเลข CVE-2022-3236 เป็นช่องโหว่บน User Portal และ Webadmin ของ Sophos Firewall ซึ่งสามารถทำให้ผู้โจมตีสั่งรันโค้ดที่เป็นอันตรายจากระยะไกลได้ (remote code execution)

โดย Sophos ระบุว่าได้ปล่อย hotfixes สำหรับแก้ไขปัญหาเบื้องต้นให้กับ Sophos Firewall เวอร์ชันที่ได้รับผลกระทบแล้ว (v19.0 MR1 (19.0.1) และเก่ากว่า) ซึ่งจะได้รับการอัปเดตโดยอัตโนมัติหากมีการเปิดการตั้งค่าอัปเดตอัตโนมัติไว้ แต่ผู้ใช้งาน Sophos Firewall เวอร์ชันเก่าจะต้องอัปเกรดเป็นเวอร์ชันที่รองรับเพื่อที่จะสามารถอัปเดตแพตช์ของ CVE-2022-3236 ได้

Sophos ยังแนะนำวิธีแก้ปัญหาสำหรับผู้ใช้งานที่ยังไม่สามารถอัปเดตอุปกรณ์ที่มีช่องโหว่ได้ในทันที โดยแนะนำให้ไม่ควรเปิดให้เข้าถึง User Portal และ Webadmin ของ Sophos Firewall ได้โดยตรงจากภายนอก

ก่อนหน้านี้ Sophos Firewall เคยพบช่องโหว่ระดับ Critical มาแล้วในเดือนมีนาคม โดยช่องโหว่ดังกล่าวมีหมายเลข CVE-2022-1040 ซึ่งเป็นช่องโหว่บน User Portal และ Webadmin เช่นเดียวกัน ซึ่งสามารถทำให้ผู้โจมตี bypass การตรวจสอบสิทธิ์ และสั่งรันโค้ดที่เป็นอันตรายได้ตามที่ต้องการ

เช่นเดียวกับ CVE-2022-3236 ข้อมูลจาก Volexity ระบุว่า ช่องโหว่ดังกล่าวถูกใช้โจมตีโดยมุ่งเป้าไปที่องค์กรจากเอเชียใต้เป็นหลัก ซึ่งมีข้อมูลว่ากลุ่ม DriftingCloud กลุ่มผู้โจมตีสัญญาติจีนใช้ประโยชน์จากช่องโหว่ CVE-2022-1040 มาตั้งแต่ต้นเดือนมีนาคม ประมาณสามสัปดาห์ก่อนที่ Sophos จะออกอัปเดตแพตช์

ผู้โจมตียังใช้การโจมตีในรูปแบบ SQL injection กับ XG Firewall มาตั้งแต่ต้นปี 2020 โดยมีเป้าหมายในการขโมยข้อมูลที่สำคัญ เช่น ชื่อผู้ใช้ และรหัสผ่าน ซึ่งเป็นส่วนหนึ่งของการโจมตีเพื่อติดตั้งมัลแวร์ Asnarök เพื่อพยายามขโมยข้อมูลสำคัญบนไฟร์วอลล์จากอินสแตนซ์ของ XG Firewall ที่มีช่องโหว่

Zero-day ในลักษณะเดียวกันนี้ก็เคยถูกใช้เพื่อแพร่กระจาย Ragnarok ransomware payloads ไปยังองค์กรที่ใช้ระบบปฏิบัติการ Windows อีกด้วย

ที่มา : www.

นักวิจัยพบ Backdoors และเครื่องมือสอดแนมที่ถูกสร้างขึ้นเองโดย Polonium Hackers

กลุ่มผู้คุกคามที่ชื่อว่า Polonium ซึ่งเชื่อมโยงกับการโจมตีที่มีเป้าหมายระดับสูงจำนวนมาก โดยมุ่งเป้าไปที่หน่วยงานของประเทศอิสราเอล และพบว่ามีการใช้ Backdoors ที่ถูกสร้างขึ้นเองกว่า 7 รูปแบบที่แตกต่างกันตั้งแต่เดือนกันยายน 2564

บริษัทรักษาความปลอดภัยเครือข่าย ESET ระบุว่าการโจมตีเหล่านี้มุ่งเป้าไปยังองค์กรในลักษณะต่างๆ เช่น วิศวกรรม เทคโนโลยีสารสนเทศ กฎหมาย การสื่อสาร การสร้างแบรนด์ และการตลาด สื่อ การประกันภัย และบริการทางสังคม

โดย Polonium เป็นชื่อที่เกี่ยวกับองค์ประกอบทางเคมีที่ Microsoft เป็นคนตั้งให้กับกลุ่มดัวบก่าว ซึ่งคาดว่ามีฐานปฏิบัติการอยู่ในเลบานอน และมีเป้าหมายเป็นองค์กรในอิสราเอลโดยเฉพาะ

พฤติกรรมของกลุ่มนี้เกิดขึ้นครั้งแรกเมื่อต้นเดือนมิถุนายน เมื่อ Microsoft ระบุว่าได้ระงับบัญชี OneDrive ที่เป็นอันตรายมากกว่า 20 บัญชีที่ถูกสร้างโดยผู้โจมตี เพื่อวัตถุประสงค์ในการทำเป็น command-and-control (C2)

หัวใจสำคัญของการโจมตีคือการติดตั้ง CreepyDrive และ CreepyBox เพื่อใช้ในการขโมยข้อมูลที่มีความสำคัญออกไปยังบัญชี OneDrive และ Dropbox ที่ถูกควบคุมโดยผู้โจมตี และยังพบว่ามีการใช้ backdoor PowerShell ที่มีชื่อว่า CreepySnail

การค้นพบล่าสุดของ ESET เกี่ยวกับ backdoor ที่ไม่เคยถูกพบก่อนหน้านี้อีก 5 รายการ ทำให้กลุ่มดังกล่าวน่าสนใจมากขึ้น เนื่องจากมีการพัฒนาปรับแต่ง และปรับปรุงมัลแวร์อย่างต่อเนื่อง

เวอร์ชัน และการเปลี่ยนแปลงมากมายที่ Polonium นํามาใช้ แสดงให้เห็นถึงความพยายามในการสอดแนมเป้าหมายของกลุ่ม" Matías Porolli นักวิจัยของ ESET ระบุ "แต่ดูเหมือนว่ากลุ่มดังกล่าวจะไม่มีการดำเนินการในลักษณะของแรนซัมแวร์"

รายการ hacking tools มีดังนี้

CreepyDrive/CreepyBox - backdoor PowerShell อ่าน และรันคำสั่งจากไฟล์ข้อความที่จัดเก็บไว้ใน OneDrive หรือ Dropbox
CreepySnail - backdoor PowerShell ที่ได้รับคำสั่งจากเซิร์ฟเวอร์ C2 ของผู้โจมตี
DeepCreep - backdoor C# อ่านคำสั่งจากไฟล์ข้อความที่จัดเก็บไว้ในบัญชี Dropbox และใช้ขโมยข้อมูลออกไป
MegaCreep - backdoor C# อ่านคำสั่งจากไฟล์ข้อความที่จัดเก็บไว้ในบริการจัดเก็บข้อมูลบนคลาวด์ขนาดใหญ่
FlipCreep - backdoor C# อ่านคำสั่งจากไฟล์ข้อความที่จัดเก็บไว้ในเซิร์ฟเวอร์ FTP และใช้ขโมยข้อมูลออกไป
TechnoCreep - backdoor C# ที่ใช้ติดต่อกับเซิร์ฟเวอร์ C2 ผ่าน TCP เพื่อรันคำสั่ง และใช้ขโมยข้อมูลออกไป
PapaCreep - backdoor C ++ ที่สามารถรับ และรันคำสั่งจากเซิร์ฟเวอร์ภายนอกผ่าน TCP
PapaCreep ถูกค้นพบเมื่อเดือนกันยายน 2565 เป็นมัลแวร์ที่มีส่วนประกอบ 4 ส่วนที่แตกต่างกันสำหรับการเรียกใช้คำสั่ง และส่งคำสั่ง output รวมทั้งอัปโหลด และดาวน์โหลดไฟล์

นักวิจัยของ ESET ระบุว่า ได้ค้นพบโมดูลอื่น ๆ เช่นการบันทึกการกดแป้นพิมพ์ จับภาพหน้าจอ ถ่ายภาพผ่านเว็บแคม และ reverse shell

แม้จะมีมัลแวร์จำนวนมากที่ใช้ในการโจมตี แต่ช่องทางที่ใช้ในการเข้าถึงในขั้นตอนแรกยังไม่เป็นที่ทราบแน่ชัด แม้จะมีข้อสงสัยว่าอาจเกี่ยวข้องกับการใช้ประโยชน์จากช่องโหว่ของ VPN

"โมดูลที่เป็นอันตรายส่วนใหญ่มีขนาดเล็ก มีฟังก์ชันการทำงานที่จำกัด ผู้โจมตีจะแบ่งโค้ด backdoor โดยแบ่งฟังก์ชันการทำงานที่เป็นอันตรายไปยัง DLLs ที่มีขนาดเล็ก โดยคาดหวังว่าการป้องกัน หรือนักวิจัยจะไม่สังเกตเห็นการโจมตีได้ทั้งหมด"

ที่มา : thehackernews.

เมื่อวันที่ 10 ตุลาคมที่ผ่านมา Fortinet ออกมายืนยันว่าช่องโหว่ authentication bypass ที่พึ่งมีแพตซ์อัปเดตออกมาเมื่อสัปดาห์ที่แล้ว กำลังถูกนำมาใช้ในการโจมตีอยู่ในปัจจุบัน

ช่องโหว่ CVE-2022-40684 สามารถทำให้ผู้โจมตี bypass การยืนยันตัวตนบนอินเทอร์เฟซสำหรับผู้ดูแลระบบ ซึ่งจะทำให้ผู้โจมตีสามารถเข้าสู่ระบบไฟร์วอลล์ FortiGate, เว็บพร็อกซีของ FortiProxy และอินสแตนซ์การจัดการภายในองค์กร FortiSwitch Manager (FSWM) ได้

โดย Fortinet ได้เผยแพร่การอัปเดตด้านความปลอดภัยเพื่อแก้ไขช่องโหว่ดังกล่าวไปแล้วเมื่อวันพฤหัสบดีที่ผ่านมา นอกจากนี้ยังมีการแจ้งเตือนลูกค้าบางรายผ่านทางอีเมล เพื่อแจ้งให้ปิดการใช้งานอินเทอร์เฟซที่สามารถเข้าใช้งานได้จากภายนอกบนอุปกรณ์ที่มีช่องโหว่อย่างเร่งด่วน

โดยในวันนี้ Fortinet ออกมายอมรับว่าพบการโจมตีจากช่องโหว่ CVE-2022-40684 แล้วอย่างน้อยหนึ่งครั้ง

"Fortinet ทราบถึงการนำช่องโหว่ดังกล่าวไปใช้ประโยชน์ และแนะนำให้ตรวจสอบระบบด้วย IOC ที่มีลักษณะ user="Local_Process_Access," จาก log ของอุปกรณ์"

Version ของ Fortinet ที่อาจถูกโจมตีด้วยช่องโหว่ CVE-2022-40 หากไม่ได้รับการแก้ไข มีดังนี้

FortiOS : 7.2.1, 7.2.0, 7.0.6, 7.0.5, 7.0.4, 7.0.3, 7.0.2, 7.0.1, 7.0.0
FortiProxy : 7.2.0, 7.0.6, 7.0.5, 7.0.4, 7.0.3, 7.0.2, 7.0.1, 7.0.0
FortiSwitchManager : 7.2.0, 7.0.0

โดย Fortinet แนะนำให้ผู้ใช้งานอัปเดตอุปกรณ์ที่มีช่องโหว่เป็น FortiOS 7.0.7 หรือ 7.2.2 ขึ้นไป, FortiProxy 7.0.7 หรือ 7.2.1 ขึ้นไป และ FortiSwitchManager 7.2.1 ขึ้นไปเพื่อป้องกันการถูกโจมตี

PoC exploit ถูกเผยแพร่ออกสู่สาธารณะ

ข้อมูลจาก Shodan พบว่าสามารถเข้าถึง Firewall FortiGate ได้มากกว่า 140,000 ตัวจากอินเทอร์เน็ต และมีแนวโน้มว่าจะถูกโจมตีหาก admin management interfaces สามารถเข้าถึงได้โดยตรง

วิธีการแก้ไข และคำแนะนำเพิ่มเติมหากยังไม่สามารถอัปเดตแพตซ์ได้

ควรปิดการเข้าถึง administrative interface จากภายนอก หรือจำกัดการเข้าถึงเฉพาะ IP ที่ได้รับอนุญาตเท่านั้น

ที่มา : bleepingcomputer

สปายแวร์บน Android ตัวใหม่ที่ชื่อว่า 'RatMilad' ถูกพบว่ากำลังมุ่งเป้าไปที่อุปกรณ์มือถือของผู้ใช้งานในตะวันออกกลาง เพื่อขโมยข้อมูลบนเครื่องของเหยื่อ

โดย RatMilad ถูกพบโดยบริษัท Zimperium ซึ่งเตือนว่ามัลแวร์ดังกล่าวอาจถูกนำมาใช้สำหรับการจารกรรมทางไซเบอร์ การขู่กรรโชก หรือเพื่อดักฟังการสนทนาของเหยื่อ

"คล้ายกันกับสปายแวร์บนมือถืออื่น ๆ ที่เคยถูกพบ ข้อมูลที่ถูกขโมยมาจากอุปกรณ์ของเหยื่อ สามารถใช้เพื่อเข้าถึงระบบภายในขององค์กร แบล็กเมล์เหยื่อ และอื่น ๆ"

ลักษณะการทำงาน

สปายแวร์จะถูกแพร่กระจายผ่านทางแอปพลิเคชันปลอมที่อ้างว่าสามารถ generate หมายเลขที่สามารถนำไปใช้สำหรับเปิดใช้งานบัญชีโซเชียลมีเดีย โดยใช้ชื่อว่า "NumRent" เมื่อติดตั้งแอปดังกล่าวแล้ว มันจะทำการดาวน์โหลด payload ของ RatMilad มัลแวร์

โดยแอปพลิเคชันจะถูกเผยแพร่ผ่านทาง Telegram เนื่องจาก NumRent หรือโทรจันอื่น ๆ ที่มี RatMilad ไม่สามารถดาวน์โหลดได้จาก Google Play Store

โดย NumRent ยังมีเว็ปไซต์ที่ถูกสร้างขึ้นเพื่อสร้างความน่าเชื่อถือให้กับแอปพลิเคชัน โดยผู้โจมตีจะโปรโมทเว็ปไซต์ผ่านทาง Telegram, social media และ communication แพลตฟอร์มต่าง ๆ

หลังจากติดตั้งบนอุปกรณ์ของเหยื่อได้สำเร็จแล้ว RatMilad จะพยายามขโมยข้อมูลต่อไปนี้ :

ข้อมูลอุปกรณ์พื้นฐาน (รุ่น, ยี่ห้อ, buildID, เวอร์ชัน Android)
ที่อยู่ MAC address ของอุปกรณ์
รายชื่อผู้ติดต่อ
ข้อความ
บันทึกการโทร
ชื่อบัญชีผู้ใช้ และสิทธิ์การเข้าถึงต่าง ๆ
รายการแอปพลิเคชัน และการอนุญาตที่ติดตั้ง
ข้อมูลคลิปบอร์ด
ข้อมูลตำแหน่ง GPS
ข้อมูลซิม (หมายเลข, ประเทศ, IMEI, รัฐ)
รายการไฟล์
เนื้อหาไฟล

นอกจากนี้ RatMilad ยังสามารถดำเนินการกับไฟล์ เช่น การลบไฟล์ และขโมยไฟล์ ปรับเปลี่ยนการอนุญาตของแอปที่ติดตั้ง หรือแม้แต่ใช้ไมโครโฟนของอุปกรณ์เพื่อบันทึกเสียง และดักฟังเสียงในห้อง

แนวทางการป้องกัน

เพื่อป้องกันการติดสปายแวร์ในลักษณะนี้ ให้หลีกเลี่ยงการดาวน์โหลดแอปจากภายนอก Google Play Store ตรวจสอบสิทธิ์ที่แอปพลิเคชันร้องขออย่างละเอียดระหว่างการติดตั้ง

 

ที่มา : bleepingcomputer

กลุ่ม Lazarus ซึ่งคาดว่าเป็นกลุ่มแฮ็กเกอร์ที่ได้รับการสนับสนุนจากรัฐบาลเกาหลีเหนือ ได้เริ่มโจมตีโดยใช้ประโยชน์จากช่องโหว่บน firmware driver ของ Dell ซึ่งถือเป็นการโจมตีในรูปแบบที่ถูกพัฒนาขึ้นจากกลุ่มผู้โจมตีที่ได้รับการสนับสนุนจากรัฐ

โดยเมื่อช่วงฤดูใบไม้ร่วงปี 2021 ได้มีปฎิบัติการ In(ter)ception โดยใช้การโจมตีในรูปแบบ Bring Your Own Vulnerable Driver (BYOVD) หรือการนำ driver ที่มีช่องโหว่ไปติดตั้งโดยการปฎิบัติการนี้มุ่งเป้าไปที่อุตสาหกรรมการบิน และอวกาศ และการป้องกันประเทศ

โดยนักวิจัยจาก ESET ระบุว่าการโจมตีนั้นจะเริ่มจากการส่ง spear-phishing ซึ่งดูเหมือนถูกส่งมาจากทาง Amazon ไปยังพนักงานของบริษัทการบินในเนเธอร์แลนด์ และนักข่าวการเมืองในเบลเยียม ซึ่งเมื่อมีการเปิดใช้ไฟล์ที่แนบมา มันจะทำการฝังโทรจันที่เป็นรูปแบบ Open source ลงไปในระบบของเหยื่อ

ESET ระบุว่าพบหลักฐานที่ Lazarus จะมีการติดตั้งเครื่องมืออย่าง เช่น FingerText และ sslSniffer ซึ่งเป็นส่วนประกอบของไลบรารี wolfSSL รวมไปถึงการติดตั้ง Backdoor ที่ชื่อว่า BLINDINGCAN หรือที่รู้จักในชื่อ AIRDRY และ ZetaNile ซึ่งสามารถใช้เพื่อควบคุมเครื่องเป้าหมายได้

แต่สิ่งที่น่าสังเกตเกี่ยวกับการโจมตีเมื่อปี 2021 ที่ผ่านมานั้น มีการพบการโจมตีโดยใช้ประโยชน์จากช่องโหว่ของ Driver Dell มาทำการเพิ่มความสามารถในการอ่าน และเขียนคำสั่งลงบนหน่วยความจำ (Memory) ได้ โดยช่องโหว่ที่ถูกใช้ในการโจมตีมีหมายเลข CVE-2021-21551 ซึ่งเป็นช่องโหว่ privilege escalation บน dbutil_2_3.sys ซึ่งถือเป็นครั้งแรกที่พบการโจมตีโดยการใช้ช่องโหว่ดังกล่าว โดยเมื่อโจมตีได้สำเร็จโซลูชันทางด้านความปลอดภัยทั้งหมดบนเครื่องที่ถูกโจมตีจะถูกปิดการทำงาน

โดย Malware นี้ใช้ชื่อว่า FudModule ซึ่งนักวิจัยด้านความปลอดภัยของระบบ และนักพัฒนาระบบป้องกันของ ESET แจ้งว่าไม่เคยพบมัลแวร์รูปแบบนี้ หรือคล้ายกับรูปแบบนี้มาก่อน

โดยแฮ็กเกอร์จะใช้การเข้าถึงการเขียนหน่วยความจำเคอร์เนลเพื่อปิดใช้งานกลไกป้องกันต่าง ๆ บนระบบปฏิบัติการ Windows ทั้งในส่วนของ Registry, file system, process creation, event tracing และอื่น ๆ

เมื่อเดือนที่ผ่านมาทาง ASEC ของ AhnLab รายงานเกี่ยวกับการใช้ประโยชน์จาก Driver ที่ชื่อว่า "ene.

สืบเนื่องจากเมื่อวันที่ 29 กันยายนที่ผ่านมา ทาง Microsoft ได้รายงานถึงช่องโหว่ Zero-Day ระดับความรุนแรงสูงบน Microsoft Exchange Server 2013, 2016 และ 2019 ที่มีชื่อว่า ProxyNotShell ซึ่งมีรายละเอียดดังต่อไปนี้

CVE-2022-41040 เป็นช่องโหว่การปลอมแปลงคำขอฝั่งเซิฟเวอร์ - server-side request forgery (SSRF) (CVSS 8.8)
CVE-2022-41082 เป็นช่องโหว่ที่ทำให้สามารถเรียกใช้งานโค้ดที่เป็นอันตรายจากระยะไกลได้ผ่าน PowerShell - remote code execution (RCE) (CVSS 8.8)

โดยช่องโหว่ CVE-2022-41040 จะเป็นช่องทางให้ผู้โจมตีที่ผ่านการตรวจสอบสิทธิ์ (authentication) สามารถใช้ประโยชน์จากช่องโหว่ CVE-2022-41082 จากระยะไกลได้ แต่อย่างไรก็ตามการโจมตียังจำเป็นต้องผ่านการตรวจสอบสิทธิ์จาก Exchange Server ให้ได้ก่อน เพื่อที่จะทำให้สามารถโจมตีได้สำเร็จ โดยทั้งสองช่องโหว่สามารถใช้โจมตีแยกจากกันได้

ปัจจุบัน Microsoft Defender Antivirus และ Microsoft Defender for Endpoint สามารถตรวจจับมัลแวร์ และพฤติกรรมที่เกี่ยวข้องกับการโจมตี โดยทาง Microsoft จะยังคงตรวจสอบภัยคุกคามที่ใช้ประโยชน์จากช่องโหว่ดังกล่าวอย่างต่อเนื่อง เพื่อช่วยลดความเสี่ยงให้กับผู้ใช้งาน

ลักษณะการโจมตี
ผู้โจมตีจะส่ง request SOAP "autodiscover" ในลักษณะ POST /autodiscover/autodiscover.

กลุ่มแฮ็กเกอร์สัญชาติอิหร่าน ใช้เทคนิคการ phishing รูปแบบใหม่ที่มีความซับซ้อนมากขึ้น โดยการใช้บัญชีอีเมลหลายบัญชี เพื่อที่จะหลอกล่อให้เหยื่อเชื่อว่ากำลังสนทนาอยู่กับบุคคลจริง ๆ

โดยผู้โจมตีจะส่งอีเมลไปยังเหยื่อ และ CC บัญชีอีเมลอื่น ๆ ที่ถูกควบคุมโดยผู้โจมตีเช่นเดียวกัน จากนั้นก็จะทำการตอบกลับอีเมลเหล่านั้น ให้ดูเหมือนมีส่วนร่วมในบทสนทนาของอีเมลดังกล่าว การปลอมเป็นบุคคลอื่น ๆ หลายบุคคลในรูปแบบนี้ ถูกพบโดยนักวิจัยจาก Proofpoint ซึ่งเทคนิคนี้ใช้ประโยชน์จากหลักการทางจิตวิทยา เพื่อเพิ่มองค์ประกอบของความน่าเชื่อถือของอีเมล Phishing ดังกล่าว

โดยกลุ่ม TA345 ที่คาดว่ามีส่วนเกี่ยวข้องกับ IRGC (Islamic Revolutionary Guard Corps) ที่ก่อนหน้านี้เคยได้ปลอมตัวเป็นนักข่าวเพื่อที่จะได้เข้าถึงนักวิชาการ และผู้เชี่ยวชาญด้านนโยบายในตะวันออกกลาง

การปลอมแปลงเป็นหลายบุคคล

กลุ่ม TA345 ได้มีการวางแผนการอย่างละเอียด และต้องใช้ความพยายามเป็นอย่างมาก เพราะทุกเป้าหมายในการโจมตีจะต้องคิดว่าเป็นการสนทนาที่สมจริงจากบุคคลที่ตั้งขึ้นมาหลอก ๆ หรือที่เรียกกันว่า Sock Puppets

ตัวอย่างอีเมลที่ทาง Proofpoint รายงานเมื่อเดือน มิถุนายน 2022 ที่ผ่านมา ผู้โจมตีได้ปลอมตัวเป็นผู้อำนวยการฝ่ายวิจัยที่ FRPI ส่งอีเมลไปยังเหยื่อ และได้มีการ CC ผู้อำนวยการฝ่ายวิจัยทัศนคติทั่วโลกที่ศูนย์วิจัย PEW โดยวันต่อมา ผู้อำนวยการฝ่ายวิจัยทัศนคติทั่วโลกที่ศูนย์วิจัย PEW ได้ทำการตอบกลับ Email ดังกล่าว ทำให้เหยื่อเข้าใจผิด และเข้าไปร่วมตอบการสนทนาดังกล่าว

ในอีกกรณีหนึ่งที่พบจาก Proofpoint เกี่ยวข้องกับนักวิทยาศาสตร์ที่เชี่ยวชาญด้านจีโนม ได้ CC ไปยังบุคคลหนึ่ง และบุคคลนั้นได้ตอบกลับอีเมลด้วยลิงก์จาก OneDrive ที่นำไปสู่การดาวน์โหลดเอกสาร DOCX ที่มีมาโครที่เป็นอันตรายแนบมาด้วย

ครั้งที่สามทางกลุ่ม TA453 ได้โจมตีไปยังนักวิชาการสองคนที่เชี่ยวชาญด้านการควบคุมอาวุธนิวเคลียร์ โดยผู้โจมตีได้ CC บุคคลอีกสามคน ซึ่งยิ่งทำให้ดูสมจริงมากยิ่งขึ้น

โดยทุกเคสที่กล่าวมาข้างต้นผู้โจมตีจะใช้ Account ที่อยู่บน (Gmail, Outlook, AOL, Hotmail) สำหรับทั้งผู้ส่ง และบุคคลที่จะ CC ด้วยชื่อจากสถาบันที่แอบอ้าง ซึ่งเป็นสัญญาณที่ชัดเจนของพฤติกรรมที่ผิดปกติ

เอกสารจากเหตุการณ์ล่าสุดที่ทางกลุ่ม TA453 หลอกให้เป้าหมายดาวน์โหลดผ่าน Link google drive นั้นเป็นไฟล์ที่มีการใส่รหัสผ่าน ซึ่งจะมีการแทรกเทมเพลตที่อันตราย ซึ่งเทมเพลตที่จะต้องดาวน์โหลดมีชื่อว่า Korg โดย Proofpoint พบว่ามีมาโครสามตัว ได้แก่ Module1.bas, Module2.bas และ ThisDocument.

แคมเปญฟิชชิ่งทาง SMS มุ่งเป้าการโจมตีไปยังลูกค้าของธนาคารอินเดีย โดยการปลอมเป็นแอปพลิเคชันของธนาคารเพื่อที่จะใช้มัลแวร์ในการขโมยข้อมูล

ทีมนักวิจัยจาก Microsoft 365 Defender ระบุว่า ข้อความฟิชชิ่งจะมีลิงก์ที่เปลี่ยนเส้นทางของผู้ใช้งานไปยังเว็บไซต์ที่จะทำให้ผู้ใช้งานดาวน์โหลดแอปพลิเคชันปลอมของธนาคาร ICICI Bank

นักวิจัย Shivang Desai, Abhishek Pustakala และ Harshita Tripathi ระบุว่า "ความสามารถของมัลแวร์ทำให้ผู้โจมตีสามารถดักจับการแจ้งเตือนที่สำคัญของอุปกรณ์ เช่น ข้อความเข้า ซึ่งเป็นความพยายามในการดักจับข้อความจาก two-factor authentication (2FA)

รูปแบบการโจมตีเป็นรูปแบบเดียวกันกับ Social Engineering โดยปกติ เช่นใช้โลโก้ และชื่อแบรนด์ที่คุ้นเคย เพื่อหลอกให้ผู้ใช้งานติดตั้งแอปพลิเคชันปลอม

การโจมตีนี้เกิดขึ้นในลักษณะเดียวกันกับการเผยแพร่แอปธนาคารปลอมที่เกิดขึ้นกับธนาคารอินเดียอื่น ๆ เช่น State Bank of India (SBI) และ Axis Bank ในอดีต

เมื่อติดตั้งแล้ว แอปพลิเคชันปลอมไม่เพียงแต่ขอการอนุญาตในการเข้าถึงบัญชี แต่ยังขอให้ผู้ใช้งานป้อนข้อมูลบัตรเครดิต/เดบิตของตนซึ่งเป็นส่วนหนึ่งของกระบวนการลงชื่อเข้าใช้ ซึ่งในขณะนั้นโทรจันจะรอคำสั่งเพิ่มเติมจากผู้โจมตี

คำสั่งเหล่านี้จะทำให้มัลแวร์สามารถรวบรวมข้อมูลของระบบ บันทึกการโทร ดักจับการโทร ตลอดจนขโมยข้อมูลประจำตัวสำหรับบัญชีอีเมล เช่น Gmail, Outlook และ Yahoo

ที่มา : thehackernews