Apex One เป็นซอฟต์แวร์ด้านความปลอดภัย ที่ใช้สำหรับตรวจจับภัยคุกคาม และตอบสนองต่อเครื่องมือ มัลแวร์ และช่องโหว่ที่เป็นอันตรายต่อระบบของผู้ใช้งาน

ช่องโหว่นี้มีหมายเลข CVE-2022-40139 ที่จะทำให้ผู้โจมตีสามารถสั่งรันโค้ดที่เป็นอันตรายบนเครื่องที่มีการใช้งานซอฟต์แวร์ที่มีช่องโหว่ได้จากระยะไกล

กลไกการ Rollback ใน Trend Micro Apex One และ Trend Micro Apex One as a Service บนเครื่อง Client นั้นสามารถทำให้ผู้ดูแลระบบ Server ของ Apex One สามารถสั่งการให้เครื่อง Client ทำการดาวน์โหลด Rollback package ที่ไม่ได้รับการยืนยัน ซึ่งอาจนำไปสู่การถูกสั่งรันโค้ดที่เป็นอันตรายจากระยะไกลได้

แต่ยังโชคดีที่ผู้โจมตีนั้นจะต้องสามารถเข้าถึงหน้า console ของผู้ดูแลระบบของ Apex One ได้ก่อนจึงจะสามารถโจมตีช่องโหว่นี้ได้

ถึงแม้ว่านี่จะเป็นการเพิ่มเงื่อนไขในการที่จะโจมตีช่องโหว่นี้ได้สำเร็จ แต่ Trend Micro ก็ได้ส่งคำเตือนไปยังผู้ใช้งานว่าได้ตรวจพบการพยายามโจมตีช่องโหว่นี้อย่างน้อยหนึ่งครั้ง

Trend Micro ระบุว่า “Trend Micro ได้ตรวจพบการพยายามโจมตีช่องโหว่นี้อย่างน้อยหนึ่งครั้ง ดังนั้นผู้ใช้งานควรทำการอัปเดตให้เป็นเวอร์ชันล่าสุดโดยเร็วที่สุด”

ผู้ใช้งานควรทำการอัปเดตเวอร์ชันของ Apex One ให้เป็นเวอร์ชันล่าสุด โดยเป็นเวอร์ชัน Apex One Service Pack 1 (Server Build 11092 and Agent Build 11088)

ช่องโหว่ Authentication bypass ถูกแก้ไขด้วยในแพตช์นี้

Trend Micro ได้แก้ไขช่องโหว่ระดับความรุนแรงสูง CVE-2022-40144 อีกช่องโหว่บนผลิตภัณฑ์ Apex One ซึ่งเป็นช่องโหว่ที่ทำให้ผู้โจมตีสามารถ bypass การยืนยันตัวตนได้ โดยการปลอมแปลง request parameters บนเครื่องที่ได้รับผลกระทบ

การใช้ประโยชน์จากช่องโหว่นี้ผู้โจมตีจำเป็นต้องเข้าถึงเครื่องที่มีช่องโหว่ได้ก่อน ไม่ว่าจะทางหน้าเครื่อง หรือจากภายนอก อย่างไรก็ตามถึงแม้ช่องโหว่จะจำเป็นต้องใช้เงื่อนไขที่เฉพาะเจาะจง แต่ทาง Trend Micro ก็แนะนำให้ผู้ใช้งานทำการอัปเดตให้เป็นเวอร์ชันล่าสุดโดยเร็วที่สุด

เพิ่มเติมจากการอัปเดตแพตช์เป็นประจำ ผู้ใช้งานควรตรวจสอบพฤติกรรมการเข้าถึงระบบที่สำคัญจากภายนอกอยู่อย่างสม่ำเสมอ

ที่มา: bleepingcomputer

กลุ่ม Lorenz ransomware ใช้ช่องโหว่ระดับ Critical ในอุปกรณ์ Mitel MiVoice VOIP เพื่อเข้าถึงเครือข่ายขององค์กร โดยเป็นการใช้ระบบโทรศัพท์เพื่อเจาะเข้าถึงระบบเครือข่ายขององค์กร

นักวิจัยด้านความปลอดภัยจาก Arctic Wolf Labs พบวิธีการนี้หลังจากการวิเคราะห์ Tactics, Techniques, and Procedures (TTPs) ที่เชื่อมโยงกับการโจมตีจาก ransomware ด้วยช่องโหว่ CVE-2022-29499 เพื่อใช้ในการเข้าถึงเครือข่ายขององค์กร จากรายงานของ Crowdstrike เมื่อเดือนมิถุนายน

แม้ว่าเหตุการณ์นี้จะไม่ตรงกับรูปแบบการโจมตีจาก ransomware กลุ่มใดกลุ่มหนึ่ง แต่ Arctic Wolf Labs มั่นใจว่าพฤติกรรมดังกล่าวเชื่อมโยงได้กับกลุ่ม Lorenz ransomware

นักวิจัยด้านความปลอดภัยระบุในรายงานว่า “พฤติกรรมการโจมตีเริ่มต้นจากอุปกรณ์ Mitel ที่อยู่บนระบบเครือข่าย” โดยกลุ่ม Lorenz ใช้ประโยชน์จากช่องโหว่ CVE-2022-29499 ซึ่งเป็นช่องโหว่ในการเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกลที่ส่งผลกระทบกับอุปกรณ์ Mitel Service Appliance ในส่วนของ MiVoice Connect ซึ่งจะทำให้ผู้โจมตีสามารถ reverse Shell และใช้ Chisel เป็น tunneling tool เพื่อเข้าสู่เครือข่าย

Kevin Beaumont ผู้เชี่ยวชาญด้านความปลอดภัยระบุว่า เนื่องจาก Mitel Voice-over-IP (VoIP) ถูกใช้โดยองค์กรต่าง ๆ ทั่วโลก รวมไปถึงหน่วยงานของรัฐ จึงทำให้ปัจจุบันมีอุปกรณ์กว่า 19,000 เครื่องที่มีความเสี่ยงต่อการถูกโจมตี

Mitel ได้ออกแพตซ์แก้ไขช่องโหว่นี้แล้วในช่วงต้นเดือนมิถุนายน 2565 หลังจากปล่อยสคริปต์การแก้ไขปัญหาเบื้องต้นสำหรับ MiVoice Connect เวอร์ชันที่ได้รับผลกระทบในเดือนเมษายน

โดยก่อนหน้านี้มีกลุ่มผู้โจมตีที่ใช้ประโยชน์จากช่องโหว่ในด้านความปลอดภัยอื่น ๆ ที่ส่งผลกระทบต่ออุปกรณ์ Mitel ในการโจมตีด้วย DDoS ที่ทำลายสถิติการโจมตีด้วย DDoS amplification ที่เคยเกิดขึ้นในอดีต

กลุ่ม Lorenz คือใคร?

Lorenz ransomware ตั้งเป้าหมายไปที่องค์กรต่าง ๆ ทั่วโลก โดยล่าสุดเมื่อเดือนธันวาคม 2563 ที่ผ่านมา มีการเรียกร้องค่าไถ่จากเหยื่อแต่ละรายหลายแสนดอลลาร์

Michael Gillespie ระบุว่าลักษณะของ Lorenz นั้นเหมือนกับการเรียกค่าไถ่ที่เกิดขึ้นก่อนหน้านี้ที่รู้จักกันในชื่อ ThunderCrypt

กลุ่มนี้ยังเป็นที่รู้จักในการขายข้อมูลที่ถูกขโมยออกมาไปให้ผู้โจมตีรายอื่น เพื่อกดดันให้เหยื่อของพวกเขาจ่ายค่าไถ่ รวมถึงมีการขายข้อมูลที่ใช้สำหรับการเข้าถึงเครือข่ายภายในของเหยื่อให้กับผู้โจมตีรายอื่นอีกด้วย

ที่มา : bleepingcomputer

พบการโจมตีในรูปแบบ Browser-in-the-Browser เพื่อใช้ในการขโมยข้อมูลบัญชีของผู้ใช้งาน Steam ผ่านทางแคมเปญฟิชชิ่ง

เทคนิค Browser-in-the-Browser กำลังเป็นที่นิยมของกลุ่มผู้โจมตี ด้วยการสร้างหน้าเว็ป browser ปลอมทับหน้าเว็ป browser ที่กำลังใช้งานอยู่ และแสดงหน้า pop-up ที่ดูเหมือนหน้าสำหรับเข้าสู่ระบบทั่วไป

ช่วงเดือนมีนาคม 2565 BleepingComputer รายงานเป็นครั้งแรกว่าพบเครื่องมือสำหรับสร้างหน้าเพจฟิชชิ่ง ที่ถูกสร้างขึ้นจากนักวิจัยที่ชื่อว่า mr.

กลุ่มแฮ็กเกอร์กลุ่มใหม่ที่คาดว่าได้รับการสนับสนุนจากรัฐบาลอิหร่านชื่อ APT42 ถูกพบว่ามีการใช้มัลแวร์บน Android ที่ถูกสร้างขึ้นเพื่อโจมตีเป้าหมายที่ต้องการ

บริษัทผู้เชี่ยวชาญด้านความปลอดภัยทางอินเทอร์เน็ต ได้รวบรวมหลักฐานเพียงพอที่จะระบุได้ว่า APT42 เป็นกลุ่มผู้โจมตีที่ได้รับการสนับสนุนจากรัฐบาลอิหร่าน ซึ่งมีส่วนเกี่ยวข้องในการสอดแนมทางอินเทอร์เน็ตต่อบุคคล และองค์กรที่รัฐบาลอิหร่านให้ความสนใจเป็นพิเศษ

APT42 ถูกพบครั้งแรกเมื่อ 7 ปีที่แล้ว และเกี่ยวข้องกับแคมเปญ spear-phishing ที่มุ่งเป้าไปที่เจ้าหน้าที่ของรัฐ ผู้กำหนดนโยบาย นักข่าว นักวิชาการทั่วโลก และผู้คัดค้านชาวอิหร่าน

เป้าหมายของแฮ็กเกอร์คือการขโมยข้อมูลบัญชี ในหลายกรณีกลุ่มแฮ็กเกอร์ยังติดตั้งมัลแวร์บน Android ที่สามารถติดตามการเข้าถึงอุปกรณ์ จัดเก็บ และดึงข้อมูลการสื่อสารของเหยื่อได้

เป้าหมายของแคมเปญ

จากข้อมูลของ Mandiant ผู้ค้นพบ APT42 พบว่ากลุ่ม APT42 ได้ปฏิบัติการมาแล้วอย่างน้อย 30 ครั้งใน 14 ประเทศตั้งแต่ปี 2558 ซึ่งอาจเป็นข้อมูลเพียงบางส่วนเท่านั้น

กลุ่ม APT42 เปลี่ยนเป้าหมายหลายครั้งเพื่อให้ตรงกับความสนใจในการรวบรวมข่าวกรองที่เปลี่ยนแปลงไป ตัวอย่างเช่น ในปี 2563 ใช้อีเมลฟิชชิงที่แอบอ้างเป็นผู้เชี่ยวชาญวัคซีนของมหาวิทยาลัยอ็อกซ์ฟอร์ดเพื่อกำหนดเป้าหมายเป็นบริษัทเภสัชภัณฑ์จากต่างประเทศ

ในปี 2564 APT42 ใช้ที่อยู่อีเมลขององค์กรสื่อของสหรัฐฯ ที่ถูกแฮ็ก เพื่อกำหนดเป้าหมายเหยื่อด้วยคำขอสัมภาษณ์ปลอม ๆ โดยทำการติดต่อกับพวกเขาเป็นเวลานานกว่า 37 วันก่อนที่จะโจมตีด้วยการหลอกเอาข้อมูล

ไม่นานมานี้ ในเดือนกุมภาพันธ์ พ.ศ. 2565 แฮ็กเกอร์ได้ปลอมเป็นสำนักข่าวของอังกฤษมีเป้าหมายเป็นอาจารย์ด้านรัฐศาสตร์ในเบลเยียม และสหรัฐอาหรับเอมิเรตส์

ในกรณีส่วนใหญ่ แฮ็กเกอร์จะมุ่งเป้าไปที่การเก็บรวบรวมข้อมูลประจำตัว โดยหลอกเหยื่อไปยังหน้าฟิชชิ่งที่ดูเหมือนเป็น login portals ที่ถูกต้อง ด้วยการส่งลิงก์ที่ถูกย่อให้สั้นลง หรือไฟล์แนบ PDF ที่นำไปสู่หน้าที่ให้กรอกข้อมูลประจำตัว รวมไปถึงเก็บข้อมูล MFA ได้ด้วย

Android malware

มัลแวร์บนอุปกรณ์ Android ที่ใช้ในแคมเปญของกลุ่ม APT42 จะช่วยให้ผู้โจมตีติดตามเป้าหมายได้อย่างใกล้ชิด ขโมยข้อมูลการโทร SMS และแอบบันทึกเสียง

Mandiant ระบุว่า “สปายแวร์บน Android นั้นแพร่กระจายไปยังเป้าหมายที่เป็นชาวอิหร่านเป็นหลัก ผ่านทางข้อความ SMS ที่มีลิงก์ไปยังแอพส่งข้อความหรือ VPN ที่สามารถช่วยหลีกเลี่ยงข้อจำกัดที่รัฐบาลกำหนด”

Mandiant ระบุในรายงานว่า “มัลแวร์ Android โจมตีบุคคลที่รัฐบาลอิหร่านให้ความสนใจและใช้วิธีการที่มีประสิทธิภาพ เพื่อให้ได้ข้อมูลที่สำคัญเกี่ยวกับเป้าหมาย รวมทั้งข้อมูลบนโทรศัพท์มือถือ รายชื่อผู้ติดต่อ และข้อมูลส่วนบุคคล”

Mandiant ยังรายงานการค้นพบแลนดิ้งเพจสำหรับการดาวน์โหลดแอป IM เป็นภาษาอาหรับ ดังนั้น ผู้โจมตีอาจติดตั้งมัลแวร์ Android นอกประเทศอิหร่านได้ด้วย

มัลแวร์ยังมีความสามารถในการบันทึกการใช้งานโทรศัพท์ เปิดไมโครโฟน และบันทึกภาพ และถ่ายภาพตามคำสั่ง อ่านข้อความ และติดตามตำแหน่ง GPS ของเหยื่อแบบ real time

ที่มา : bleepingcomputer

WPGateway นั้นเป็น Premium Plugin สำหรับช่วยผู้ดูแลไซต์เพื่อติดตั้ง สำรองข้อมูล และโคลนปลั๊กอินต่าง ๆ รวมถึง WordPress Theme จาก Dashboard ซึ่งถูกพบว่ามีช่องโหว่ 0-Day ที่กำลังถูกนำมาใช้ในการโจมตีอย่างแพร่หลาย ซึ่งมันจะอนุญาตให้ผู้ไม่หวังดีเข้าควบคุมไซต์ที่ได้รับผลกระทบได้อย่างสมบูรณ์

Wordfence กล่าวว่ามีการติดตั้ง Plugin นี้ไปแล้วมากกว่า 280,000 เว็บไซต์ และได้ blocked การโจมตีช่องโหว่จาก plugin ดังกล่าวไปแล้วกว่า 4.6 ล้านครั้ง ในช่วง 30 วันที่ผ่านมา

รายละเอียดช่องโหว่

ช่องโหว่มีหมายเลข CVE-2022-3180 (CVSS: 9.8) โดยช่องโหว่นี้กำลังถูกใช้เป็นเครื่องมือให้กับผู้ไม่หวังดีสามารถเพิ่ม Malicious administrator เข้าไปบนเว็บไซต์ที่ใช้ WPGateway plugin ได้โดยที่ไม่ต้องผ่านการตรวจสอบสิทธิ์

โดยหากพบว่ามี Administrator user ที่ชื่อว่า “rangex” อยู่บนเว็บไซต์ที่มีการใช้งาน Plugin ดังกล่าว หมายความว่าเว็ปไซต์นั้นอาจจะถูกโจมตีแล้ว หรือหากพบว่ามี request ไปที่ “//wp-content/plugins/wpgateway/wpgateway-webservice-new.

Apple ได้เผยแพร่อัปเดตเพื่อแก้ไขช่องโหว่ด้านความปลอดภัยหลายรายการบน iOS และ macOS รวมถึง Zero-Day ที่กำลังถูกนำมาใช้ในการโจมตีอย่างแพร่หลายในปัจจุบัน

ซึ่งช่องโหว่ดังกล่าวมีหมายเลข CVE-2022-32917 (CVSS: 8.4) เป็นข้อผิดพลาดภายใน OS kernel ที่ทำให้ malicious app สามารถรันโค้ดที่เป็นอันตรายได้ด้วยสิทธิของ Kernel privileges

และนอกจากช่องโหว่ดังกล่าว ทาง Apple ก็ยังได้มีการออกแพตช์อัปเดตความปลอดภัยของช่องโหว่อื่น ๆ อีก 7 รายการ ดังนี้

CVE-2022-22587 (IOMobileFrameBuffer) – Malicious Application สามารถรันโค้ดที่เป็นอันตรายได้ตามต้องการ
CVE-2022-22594 (WebKit Storage) - เว็บไซต์สามารถเข้าถึงข้อมูลที่มีความสำคัญของผู้ใช้งานได้
CVE-2022-22620 (WebKit) – การเข้าใช้งานเว็ปไซต์ที่เป็นอันตรายที่ถูกสร้างขึ้นเป็นพิเศษ อาจทำให้ถูกสั่งรันโค้ดที่เป็นอันตรายได้ตามต้องการ
CVE-2022-22674 (Intel Graphics Driver) – Application สามารถอ่านข้อมูลในหน่วยความจำของ Kernel ได้
CVE-2022-22675 (AppleAVD) – Application สามารถรันโค้ดได้ตามต้องการโดยใช้สิทธิ Kernel privilege
CVE-2022-32893 (WebKit) - การเข้าใช้งานเว็ปไซต์ที่เป็นอันตรายที่ถูกสร้างขึ้นเป็นพิเศษ อาจทำให้ถูกสั่งรันโค้ดที่เป็นอันตรายได้ตามต้องการ
CVE-2022-32894 (Kernel) - Application สามารถรันโค้ดได้ตามต้องการโดยใช้สิทธิ Kernel privilege

คำแนะนำ

Apple ได้ออกแพตช์อัปเดตเพื่อแก้ไขปัญหาดังกล่าวเรียบร้อยแล้ว โดยมีรายละเอียดดังนี้

Patch iOS 16 : สำหรับ iPhone 8 ขึ้นไป

Patch iOS 15.7 : สำหรับ iPhone 6s ขึ้นไป และ iPod touch 7 generation

Patch iPadOS 15.7 : สำหรับ iPad Pro ทุกรุ่น, iPad Air 2 ขึ้นไป, iPad 5th generation ขึ้นไป และ iPad mini 4 ขึ้นไป

Patch macOS Big Sur 11.7 และ macOS Monterey 12.6 : อุปกรณ์ Mac ที่มีการใช้งาน Big sur และ Monterey

ที่มา : thehackernews , cybersecurity

ทีมวิจัย และข่าวกรองของ BlackBerry รายงานว่า มีการค้นพบมัลแวร์เรียกค่าไถ่ตัวใหม่ที่ชื่อว่า “Monti” ซึ่งมีการนำ Conti code มาใช้ในการโจมตี โดยกลุ่ม Monti ransomware ถูกพบในช่วงสุดสัปดาห์ของ independence day ด้วยการใช้ช่องโหว่ Log4Shell เพื่อเข้ารหัส BlackBerry user hosts 20 ราย และเซิร์ฟเวอร์ 20 เครื่องได้สำเร็จ

จากการวิเคราะห์เพิ่มเติม นักวิจัยพบว่า IOC ของการโจมตีด้วย ransomware ค่อนข้างคล้ายกับการโจมตีของ Conti ransomware ในอดีต ซึ่งคาดว่า Monti ได้นำโครงสร้างของระบบของ Conti ที่รั่วไหลออกมาเมื่อช่วงเดือน กุมภาพันธ์ และมีนาคมมาปรับใช้ ซึ่งคาดว่าจะมีกลุ่มผู้โจมตีอื่น ๆ ที่น่าจะนำโซลูชัน ransomware-as-a-service (RaaS) และซอร์สโค้ดที่รั่วไหลออกมาของกลุ่ม Conti มาใช้โจมตีอีก

ความเกี่ยวข้องของ Monti ransomware กับ Conti

มัลแวร์เรียกค่าไถ่ Monti ที่พึ่งถูกค้นพบ เกิดขึ้นหลังจากการล่มสลายของมัลแวร์เรียกค่าไถ่ Conti

นักวิจัยของ Intel471 ไม่แน่ใจว่า Monti เป็นการรีแบรนด์ของ Conti หรือเป็นเพียงกลุ่มผู้โจมตีใหม่ที่ใช้ซอร์สโค้ดของ Conti ransomware ที่รั่วไหลออกมา แต่รายงานจาก BlackBerry ได้ประเมินว่า Monti นั้นเป็นการเลียนแบบ Conti มากกว่า

ไม่ว่า Conti จะถูกรีแบรนด์เป็น Monti หรือเป็นแรนซัมแวร์ตัวใหม่ก็มีแนวโน้มว่าเราจะยังคงเห็นแรนซัมแวร์ตัวใหม่ ๆ ทำการโจมตี และส่งผลกระทบต่อธุรกิจทั่วโลกต่อไป" Intel471 กล่าว

ที่มา: darkreading , scmagazine

Cisco ยืนยันเรื่องการถูกโจมตีในเดือนพฤษภาคม และข้อมูลรั่วไหลโดยกลุ่มแรนซัมแวร์ Yanluowang เป็นข้อมูลที่ถูกขโมยจากระบบของ Cisco จริง ๆ

ในเดือนสิงหาคมที่ผ่านมา Cisco ออกมาเปิดเผยข้อมูลการถูกโจมตีจากกลุ่มแรนซัมแวร์ Yanluowang ที่สามารถเข้าถึงเครือข่ายขององค์กรได้ในช่วงปลายเดือนพฤษภาคม และขโมยข้อมูลภายในออกไป

การสืบสวนดำเนินการโดย Cisco Security Incident Response (CSIRT) และ Cisco Talos เปิดเผยว่าผู้โจมตีสามารถเข้าถึงข้อมูลบัญชีของพนักงานของ Cisco ได้ หลังจากที่แฮ็กบัญชี Google ส่วนตัวของพนักงานรายนั้นได้ก่อนหน้า และพบว่ามีการซิงโครไนซ์ข้อมูลประจำตัวที่บันทึกไว้ในเบราว์เซอร์

เมื่อได้ข้อมูลแล้ว ผู้โจมตีก็เริ่มโจมตีแบบ voice phishing เพื่อหลอกให้เหยื่อให้กดยอมรับ MFA push notification ที่เป็นการพยายามเข้าใช้งานจากผู้โจมตี

จากนั้นหลังจากที่ผู้โจมตีสามารถเข้าถึง VPN ในฐานะของผู้ใช้ได้ ก็ทำการโจมตีแบบ voice phishing ต่อไปอีกหลายครั้ง เพื่อพยายามให้เหยื่อกดยอมรับ MFA push notification ที่เป็นการพยายามเข้าใช้งานจากผู้โจมตีต่อไปเรื่อย ๆ จนในที่สุดผู้โจมตีประสบความสำเร็จในการเข้าถึง VPN ของผู้ใช้งานที่เป็นเป้าหมายได้

จากรายงานของ Talos เมื่อผู้โจมตีสามารถเข้าถึงเครือข่ายได้แล้ว ผู้โจมตีก็ทำการโจมตีเพื่อยกระดับสิทธิ์จนได้สิทธิ์ของผู้ดูแลระบบ จากนั้นจึงสามารถเข้าถึงระบบภายในต่าง ๆ ได้ และสามารถติดตั้งเครื่องมือต่าง ๆ บนเครือข่ายเป้าหมาย ซึ่งรวมถึงเครื่องมือที่ใช้ในการเข้าถึงได้จากระยะไกล เช่น LogMeIn และ TeamViewer, Cobalt Strike, PowerSploit, Mimikatz และ Impacket

ในช่วงสุดสัปดาห์ที่ผ่านมา Cisco ยืนยันว่าข้อมูลที่เผยแพร่โดยกลุ่มแรนซัมแวร์ Yanluowang นั้นเป็นข้อมูลจริง และถูกขโมยจากเครือข่าย ระหว่างการบุกรุกในเดือนพฤษภาคมดังกล่าว อย่างไรก็ตามบริษัทระบุว่าการโจมตีครั้งนี้ไม่กระทบต่อธุรกิจ เนื่องจากข้อมูลที่ถูกขโมยออกไปไม่มีข้อมูลที่สำคัญ

จากข้อมูลของ BleepinComputer ซึ่งติดต่อกับหัวหน้ากลุ่มแรนซัมแวร์ Yanluowang ซึ่งอ้างว่าได้ขโมยไฟล์ขนาด 55GB ซึ่งรวมถึงเอกสารลับ แผนผังทางเทคนิค และซอร์สโค้ด โดย Cisco ยังคงปฏิเสธว่าผู้โจมตีสามารถเข้าถึงซอร์สโค้ดของผลิตภัณฑ์ของตนได้

เมื่อเร็ว ๆ นี้ นักวิจัยจากบริษัทรักษาความปลอดภัยทางไซเบอร์ eSentire ค้นพบว่าระบบของผู้โจมตีที่ใช้ในการแฮ็ก Cisco นั้น ถูกใช้เพื่อโจมตีบริษัทการจัดการแรงงานชั้นนำในเดือนเมษายน 2022 อีกด้วย

ผู้เชี่ยวชาญยังคาดการณ์ด้วยว่าการโจมตีดังกล่าวทำโดยผู้คุกคามที่รู้จักกันในชื่อ mx1r ซึ่งเป็นสมาชิกของกลุ่มพันธมิตร Evil Corp ที่มีชื่อว่า UNC2165

ที่มา: securityaffairs

Samsung ออกมายอมรับว่ามีข้อมูลรายละเอียดของลูกค้างบางรายในสหรัฐอเมริกาถูกขโมย โดยเมื่อวันศุกร์ที่ 2 ก.ย. 2565 ที่ผ่านมา ทางบริษัท Samsung ยอมรับว่าพบข้อผิดพลาดทางด้านความปลอดภัยทางไซเบอร์ ที่ส่งผลให้สามารถมีการเข้าถึงข้อมูลของลูกค้าโดยไม่ได้รับอนุญาต ซึ่งถือเป็นครั้งที่สองของปีนี้

โดยเหตุการณ์เกิดขึ้นในช่วงปลายเดือนกรกฎาคม Samsung พบการเข้าถึงข้อมูลบนระบบของ Samsung ในสหรัฐอเมริกาโดยไม่ได้รับอนุญาตจาก Third-party จากนั้นในวันที่ 4 สิงหาคม 2022 จึงยืนยันได้ว่ามีข้อมูลส่วนบุคคลของลูกค้าบางรายได้รับผลกระทบ และทางบริษัทได้ให้บริษัทผู้เชี่ยวชาญด้านความปลอดภัยทางไซเบอร์เข้าตรวจสอบเพิ่มเติม และได้ประสานงานไปยังหน่วยงานบังคับใช้กฏหมายเรียบร้อยแล้ว

โดยข้อมูลที่ถูก Hacker ขโมยจะประกอบด้วย

ชื่อ
ข้อมูลการติดต่อ
ข้อมูลประชากร
วันเกิด
รายละเอียดการลงทะเบียนผลิตภัณฑ์

ซึ่งจากข้อมูลที่ทาง Samsung ระบุ จะพบว่าไม่มีข้อมูลเลขบัตรประกันสังคมและข้อมูลบัตรเครดิต โดยข้อมูลที่หลุดออกไปนั้นจะแตกต่างกันในลูกค้าแต่ละราย

ซึ่งจากรายงานล่าสุด บริษัทก็ยังไม่สามารถตอบได้ชัดเจนว่ามีข้อมูลของลูกค้าโดนแฮ็คไปเท่าไหร่ และใครอยู่เบื้องหลังการโจมตีนี้ และเหตุใดต้องใช้เวลาเกือบเดือนในการเปิดเผยถึงเหตุการณ์ที่เกิดขึ้น โดยทาง Samsung ระบุว่า นอกจากการแจ้งถึงสถานการณ์ล่าสุดให้ลูกค้าได้ทราบแล้ว Samsung ได้มีการดำเนินการตามขั้นตอนในการรักษาความปลอดภัยของระบบที่ได้รับผลกระทบ และได้มีการว่าจ้างบริษัทภายนอกเข้ามาช่วยรักษาความปลอดภัย และเฝ้าระวังการโจมตีครั้งใหม่ ๆ อีกทั้งยังได้มีการแจ้งเตือนให้ผู้ใช้งานมีการใช้งานอย่างระมัดระวังมากขึ้น หลีกเลี่ยงการกด Link หรือเปิดไฟล์ที่ไม่รู้จัก รวมไปถึงตรวจสอบกิจกรรมที่น่าสงสัย

โดยการแจ้งเตือนข้อมูลรั่วไหลของลูกค้าในครั้งนี้จะมีความคล้ายกับเหตุการณ์ที่เกิดขึ้นในช่วงเดือนมีนาคมที่ผ่านมา ที่มีการเปิดเผยข้อมูลภายใน และ Source code ของสมาร์ทโฟนตระกูล Galaxy จากการโจมตีโดยกลุ่ม LAPSUS$

ที่มา : thehackernews

ผู้เชี่ยวชาญจาก Symentec พบพฤติกรรมการโจมตีที่มุ่งเน้นไปที่หน่วยงานรัฐในแถบเอเชีย เป้าหมายในครั้งนี้มีทั้งบริษัทการบินอวกาศและการป้องกันประเทศ, บริษัทโทรคมนาคมและองค์กรไอที โดยแฮ็กเกอร์ที่อยู่เบื้องหลังเหตุการณ์ดังกล่าวเป็นกลุ่มเดียวกับกลุ่มที่ใช้ "ShadowPad" RAT ในแคมเปญก่อนหน้านี้ แต่ในครั้งนี้ผู้โจมตีมีการใช้ Tools ที่หลากหลายมากขึ้นและจากการวิเคราะห์ของผู้เชี่ยวชาญ พบว่าการโจมตีนี้เกิดขึ้นตั้งแต่ต้นปี 2564 และยังดำเนินการต่อเนื่องมาจนถึงปัจจุบัน เป้าหมายของการโจมตีมีหน่วยงานรัฐดังต่อไปนี้

บริษัทส่วนงานราชการ/สำนักนายกรัฐมนตรี
สถาบันของรัฐที่เชื่อมโยงกับการเงิน
บริษัทการบินอวกาศและการป้องกันของรัฐ
บริษัทโทรคมนาคมของรัฐ
หน่วยงานด้านไอทีของรัฐ
หน่วยงานสื่อของรัฐ

ลักษณะการโจมตี

การโจมตีเริ่มต้นด้วยการติดตั้งไฟล์ . DLL ที่เป็นอันตราย โดยใช้วิธีการ Execute จากโปรแกรมปกติที่ที่อยู่บนเครื่องเพื่อโหลดไฟล์ .dat จากนั้นไฟล์จะถูกส่งไปยังเครื่องเป้าหมายผ่านวิธีการ side-loaded ซึ่งในครั้งนี้ผู้โจมตีใช้ Bitdefender Crash Handler ที่มีอายุ 11 ปีในการโจมตี
เมื่อไฟล์ .dat เข้ามาในเครื่องแล้ว ข้างในจะมีเพย์โหลดที่ประกอบไปด้วย Shellcode อยู่ ซึ่ง Shellcode นี้สามารถใช้คำสั่งเพื่อดึงเพย์โหลดอื่นๆ ที่เป็นอันตรายมาติดตั้งเพิ่มเติมได้ โดยเป็นการเรียกจาก Memory โดยตรง
สามวันหลังจาก Backdoor ถูกติดตั้งบนเครื่องเป้าหมาย ผู้โจมตีได้ทำการติดตั้งโปรแกรม ProcDump ลงไปเพื่อขโมย Credential ของผู้ใช้งานจาก Local Security Authority Server Service (LSASS) ซึ่งในวันเดียวกัน ทีม Penetration Testing ของบริษัท LadonGo ได้ทดสอบเจาะระบบโดยใช้วิธี DLL hijacking เพื่อทำการ side-loaded ด้วยเช่นกัน
อีกสองสัปดาห์ต่อมา ผู้โจมตีได้ทำการติดตั้ง Mimikatz ซึ่งเป็นหนึ่งในเครื่องมือที่ใช้กันแพร่หลายในการขโมยข้อมูลประจำตัว
ต่อมา ผู้โจมตีเริ่มมีการใช้ PsExec ในการเรียกใช้งาน Crash Handler เพื่อทำการ DLL hijacking ติดตั้งโหลดเพย์โหลดบนคอมพิวเตอร์อื่น ๆ ในเครือข่าย
หนึ่งเดือนหลังจากการโจมตีครั้งแรก ผู้โจมตีได้สิทธิ์ High Privileged บนระบบที่สามารถสร้าง Account ใหม่ได้ นอกจากนี้ยังได้รับสิทธิ์ในการเข้าสู่ User Credentials และ log files บน Active Direcory ได้อีกด้วย
เหตุการณ์สุดท้าย พบว่าผู้โจมตีมีการใช้ Fscan ในการโจมตีผ่านช่องโหว่ CVE-2021-26855 (Proxylogon) บน Exchange Servers บนเครือข่าย

จากเหตุการณ์ดังกล่าว ผู้เชี่ยวชาญพบหนึ่งใน Tools ที่ใช้ในการโจมตีครั้งนี้คือ (Infostealer.