Azure Synapse Analytics เป็นบริการที่ใช้สำหรับวิเคราะห์ และประมวลผลข้อมูล โดยใช้รันไทม์ประเภทต่าง ๆ เช่น SQL pools, Apache Spark, Data Explorer และอื่น ๆ

วิธีหนึ่งที่ใช้ในการประมวลผลคือการตั้งค่า Apache Spark pool ร่วมกับ Python, .NET, Scala และ SQL Notebooks, custom package management และ development tools ต่าง ๆ

นักวิจัยจาก Orca จึงลองเรียกใช้ Python reverse shell ใน Apache Spark pool และเรียกใช้ pool ที่ชื่อว่า "systemreservedpool-dataflow" ซึ่งปกติจะใช้เฉพาะในการ debugging "Data flows" ใน Synapse

เมื่อนักวิจัยลองตรวจสอบ reverse shell ใน reserved Spark pool นี้ก็พบว่า จะเป็นการสั่งงานโดย user ที่ชื่อ “trusted-service-user” แต่ไม่ใช่สิทธิ์ root และไม่มีสิทธ์อ่าน credentials ที่เครื่อง

นักวิจัยพบว่า trusted-service-user สามารถ run script /usr/lib/notebookutils/bin/filesharemount.

Baker & Taylor บริษัทเอกชนที่จัดตั้งขึ้นมานานกว่า 190 ปี ในสหรัฐอเมริกา และเป็นผู้จัดจำหน่ายหนังสือรายใหญ่ที่สุดในโลก ซึ่งปัจจุบันกำลังพยายามกู้คืนระบบ หลังจากถูกโจมตีโดย Ransomware เมื่อสัปดาห์ก่อน

เมื่อวันที่ 23 สิงหาคมที่ผ่านมา บริษัทระบุว่าเซิร์ฟเวอร์ของบริษัทหยุดทำงาน หลังจากเกิดไฟฟ้าขัดข้อง ซึ่งส่งผลกระทบต่อระบบโทรศัพท์ ระบบสำนักงาน และศูนย์บริการของบริษัท หลังจากนั้น 1 วัน บริษัทระบุถึงเหตุการณ์ภัยคุกคามที่เกิดขึ้นกับระบบที่สำคัญ ซึ่งปัจจุบันทีมที่เกี่ยวข้องกำลังดำเนินการกู้คืนข้อมูลบน Server ที่ได้รับผลกระทบ

ซึ่งล่าสุดทาง Baker & Taylor ได้ออกมายอมรับว่าถูกโจมตีจาก Ransomware และอยู่ระหว่างดำเนินการแก้ไขโดยทีมไอที และผู้เชี่ยวชาญภายนอก เพื่อพยายามกู้คืนระบบให้กลับมาทำงานได้โดยเร็วที่สุด

ปัจจุบันยังไม่มีข้อมูลว่ากลุ่ม Ransomware กลุ่มไหน หรือองค์กรใดอยู่เบื้องหลังการโจมตีในครั้งนี้ แต่ Baker & Taylor ยืนยันว่าจะไม่มีการจ่ายเงินให้กับกลุ่มผู้โจมตี

ที่มา : bleepingcomputer

นักวิเคราะห์ภัยคุมคามจาก McAfee พบ Extensions 5 ตัวในเว็บเบราว์เซอร์ของ Google Chrome ที่ปลอมแปลงเป็น Extension ของ Netflix และอื่น ๆ เพื่อขโมยประวัติการเข้าเว็บไซต์ต่างๆของผู้ใช้งาน และสร้างรายได้จากการช็อปปิ้งออนไลน์ของเหยื่อ

Oliver Devane และ Vallabh Chole นักวิเคราะห์จาก McAfee ระบุว่า "Extensions เหล่านี้ มีฟังก์ชันต่าง ๆ เช่น ให้ผู้ใช้สามารถรับชมรายการ Netflix ร่วมกัน คูปองส่วนลดจากเว็บไซต์ และการบันทึกหน้าจอของเว็บไซต์"

Chrome Extensions ดังกล่าวสามารถดาวน์โหลดได้ผ่านทาง Chrome Web Store โดยมียอดดาวน์โหลดรวมกว่า 1.4 ล้านครั้ง

Netflix Party (mmnbenehknklpbendgmgngeaignppnbe) - ดาวน์โหลด 800,000 ครั้ง
Netflix Party (flijfnhifgdcbhglkneplegafminjnhn) - ดาวน์โหลด 300,000 ครั้ง
FlipShope – ส่วนขยายตัวติดตามราคา (adikhbfjdbjkhelbdnffogkobkekkkej) - 80,000 ดาวน์โหลด
Full Page Screenshot Capture – Screenshotting (pojgkmkfincpdkdgjepkmdekcahmckjp) - ดาวน์โหลด 200,000 ครั้ง
AutoBuy Flash Sales (gbnahglfafmhaehbdmjedfhdmimjcbed) - ดาวน์โหลด 20,000 ครั้ง

Extensions ออกแบบมาเพื่อโหลด JavaScript ที่ใช้ในการเก็บข้อมูลการเยี่ยมชมเว็ปไซต์ และแทรกโค้ดลงใน e-commerce portals ซึ่งจะทำให้ผู้โจมตีสามารถได้ส่วนแบ่งรายได้ หากเหยื่อซื้อของบนเว็ปไซต์ช็อปปิ้งออนไลน์ต่าง ๆ

"ทุกเว็บไซต์ที่เข้าชมจะถูกส่งไปยังเซิร์ฟเวอร์ที่ผู้สร้าง Extensions เป็นเจ้าของ" นักวิจัยระบุว่า"พวกเขาทำเช่นนี้เพื่อให้สามารถแทรกโค้ดลงในเว็บไซต์ e-commerce ที่เหยื่อกำลังเข้าชมได้"

มัลแวร์ยังตั้งเวลาทำงานไว้ 15 วัน นับจากวันที่ติดตั้ง Extensions เพื่อช่วยให้หลีกเลี่ยงการถูกตรวจจับพฤติกรรมที่ผิดปกติได้

การค้นพบครั้งนี้เกิดขึ้นหลังจากการค้นพบ Extensions บนเบราว์เซอร์ Chrome 13 ตัวในเดือนมีนาคม 2565 ซึ่งมีการเปลี่ยนเส้นทางผู้ใช้ในสหรัฐอเมริกา ยุโรป และอินเดียไปยังเว็ปไซต์ฟิชชิ่ง และขโมยข้อมูลสำคัญของเหยื่อ

เมื่อวันพุธที่ผ่านมา Extensions ทั้ง 5 ตัวได้ถูกลบออกจาก Chrome เว็บสโตร์แล้ว อย่างไรก็ตามขอแนะนำให้ผู้ใช้ที่ติดตั้ง Extensions ดังกล่าวไปแล้ว ลบออกจากเบราว์เซอร์ Chrome ด้วยตนเองเพื่อลดความเสี่ยงอื่น ๆ ที่จะตามมาภายหลัง

ที่มา : thehackernews

ทีม Cyber Security Incident Response (CSIRT) ของชิลีได้ออกมารายงานว่าถูกโจมตีด้วยแรนซัมแวร์ ส่งผลกระทบต่อการดำเนินงาน และบริการออนไลน์ของหน่วยงานรัฐบาลในประเทศ

รายละเอียดการโจมตี

การโจมตีเกิดขึ้นในวันพฤหัสบดีที่ 25 สิงหาคม 2565 โดยมีเป้าหมายคือ Microsoft Server และ VMware ESXi Server
บน ESXi Server แรนซัมแวร์เริ่มต้นโดยหยุดการทำงานของระบบที่เป็น VM ทั้งหมด จากนั้นใช้อัลกอริทึม NTRUEncrypt public key ในการเข้ารหัส โดยเป้าหมายคือไฟล์ประเภท log files (.log), executable files (.exe), dynamic library files (.dll), swap files (.vswp), virtual disks (. vmdk), snapshot (.vmsn) files, และ virtual machine memory (.vmem) files
เมื่อเข้ารหัสเรียบร้อยแล้ว ไฟล์นามสกุลจะถูกต่อท้ายด้วย ".crypt"
จากนั้นผู้โจมตีได้เสนอช่องทางให้รัฐบาลชิลีเพื่อชำระเงินค่าไถ่ โดยกำหนดเวลาไว้ที่ 3 วัน ก่อนมีการขายข้อมูลสู่ DarkWeb
ส่วนระบบปฏิบัติการ Windows มัลแวร์จะใช้ชื่อว่า SecurityUpdate โดยทำการเพิ่ม Reistry เพื่อให้ตัวมันทำงานทันทีหลังมีการเปิดเครื่อง

จากเหตุการณ์ดังกล่าว CSIRT ไม่ได้ชี้แจงว่าถูกมัลแวร์ชนิดใดโจมตี เพียงระบุว่ามัลแวร์ที่พบครั้งนี้มีฟังก์ชันสำหรับขโมยข้อมูลประจำตัวจากเว็บเบราว์เซอร์, แสดงรายการ Removable devices ที่สามารถเข้ารหัส และหลบเลี่ยงการตรวจจับการป้องกันไวรัสโดยใช้การตั้ง Time Out ในการ Execute File

แต่จากพฤติกรรมของมัลแวร์ พบว่าตรงกับแรนซัมแวร์ 'RedAlert' (หรือที่รู้จักว่า "N13V") ที่เปิดตัวไปเมื่อเดือนกรกฎาคม พ.ศ. 2565 ซึ่งปกติ RedAlert จะใช้ extension ".crypt" ในการโจมตี เป้าหมายหลักๆของแรนซัมแวร์ชนิดนี้คือ Windows และ VMWare ESXi Server ส่วนลักษณะการทำงานก็ตรงกับที่รัฐบาลชิลีพบ คือจะหยุดการทำงานของระบบ VM ทั้งหมดก่อนที่จะเข้ารหัส นอกจากนี้ยังใช้อัลกอริทึม NTRUEncrypt public key ในการเข้ารหัส

อย่างไรก็ตามผู้เชี่ยวชาญจาก BleepingComputer ได้ยืนยันจากข้อมูลที่ได้รับว่า Ransomware นี้ไม่มีการสร้างไฟล์เรียกค่าไถ่ขณะเข้ารหัส แต่ใช้การวางไฟล์ก่อนเข้ารหัสแทน คาดว่าเป็นวิธีการหนึ่งที่ใช้ในการปกปิดตัวตนของผู้โจมตี นอกจากนี้ยังใช้วิธีสร้างลิงก์ไปยังเว็บไซต์ที่ไม่ซ้ำกันในเครือข่าย Tor Browser และต้องระบุรหัสผ่านเพื่อเข้าสู่ระบบด้วย

แนวทางการป้องกัน

ตั้งค่า Policy บน Firewall และ Antivirus ให้เหมาะสม
Update Patch VMware และ Microsoft ให้เป็นเวอร์ชันล่าสุด
Backup ข้อมูลอยู่สม่ำเสมอ
สร้าง Awareness ให้กับพนักงาน
จำกัดการเข้าถึงเครือข่าย และกำหนดสิทธิ์การเข้าถึงระบบต่างๆ
ติดตามข่าวสารอย่างสม่ำเสมอ

IOC

ที่มา : bleepingcomputer

ข้อมูลส่วนบุคคลของนักเรียนที่กู้ยืมจากหน่วยงานสินเชื่อนักศึกษาโอคลาโฮมา (OSLA) และ EdFinancial มากกว่า 2.5 ล้านรายรั่วไหล หลังจากระบบของผู้ให้บริการเทคโนโลยี Nelnet Servicing ถูกโจมตี

โดยเพื่อให้นักเรียนสามารถเข้าถึงบัญชีผ่านทางออนไลน์ได้ OSLA และ EdFinancial จึงใช้บริการเทคโนโลยี web portal จาก Nelnet Servicing

ซึ่งในช่วงเดือนมิถุนายนที่ผ่านมา กลุ่มผู้โจมตีที่ยังไม่ถูกเปิดเผยชื่อ ได้เข้าถึงระบบของ Nelnet Servicing และแฝงตัวอยู่บนระบบจนถึงวันที่ 22 กรกฎาคม โดยคาดว่าผู้โจมตีอาจจะเข้าถึงเครือข่ายของบริษัทได้ผ่านทางช่องโหว่ของระบบ

ตาดว่ามีข้อมูลส่วนบุคคลราวๆ 2,501,324 รายได้รับผลกระทบจากการโจมตีครั้งนี้ Nelnet Servicing ส่งรายงานข้อมูลรั่วไหล รวมถึงบุคคลที่คาดว่าจะได้รับผลกระทบไปยังสำนักงานอัยการสูงสุดที่รัฐเมนซึ่งเป็นส่วนหนึ่งของกระบวนการเมื่อเกิดเหตุการณ์ข้อมูลรั่วไหล Nelnet Servicing ยังได้แจ้งไปยัง OSLA และ EdFinancial เพื่อดำเนินการแจ้งไปยังผู้ใช้บริการของระบบ

แม้ว่า Nelnet จะทำการบล็อคการโจมตีทันทีหลังจากตรวจจับพฤติกรรมข้อมูลรั่วไหลได้ แต่จากการตรวจสอบที่เสร็จสิ้นเมื่อวันที่ 17 สิงหาคม 2565 ระบุว่า อาจมีการเข้าถึงข้อมูลการลงทะเบียนบัญชีเงินกู้ของนักเรียนบางรายการ และในส่วนของข้อมูลที่รั่วไหลมีดังต่อไปนี้

ชื่อ-นามสกุล
ที่อยู่
อีเมล
เบอร์โทรศัพท์
บัตรประจำตัวผู้เสียภาษี หรือบัตรประกันสังคม

ในรายงานระบุว่าไม่มีหมายเลขบัญชี หรือข้อมูลการชำระเงินใด ๆ รั่วไหลออกไปจากการโจมตีครั้งนี้ และนักเรียนบางรายอาจไม่ได้รับผลกระทบ เนื่องจากไม่ได้กู้ยืมผ่านสินเชื่อที่ใช้บริการ Nelnet Servicing

ผู้โจมตีที่ได้ข้อมูลออกไป อาจนำข้อมูลไปใช้ในการโจมตีแบบ phishing, social engineering, การแอบอ้างเป็นบุคคลอื่น, และการหลอกลวงต่างๆ เนื่องจากข้อมูลที่เกี่ยวข้องกับสินเชื่อมีความสำคัญเป็นพิเศษ

เนื่องจากความรุนแรงของเหตุการณ์ข้อมูลรั่วไหลครั้งนี้ สำนักงานกฏหมาย "Markovits, Stock & DeMarco" ได้เริ่มพิจารณาการดำเนินคดีแบบกลุ่มกับบริษัท

ทั้ง EdFinancial และ OSLA เสนอให้บุคคลที่ได้รับผลกระทบเข้าถึงบริการ การป้องกันการโจรกรรมข้อมูลประจำตัวฟรีตลอด 24 เดือนผ่านบริการของ Experian

โดยแนะนำให้ผู้ใช้งานลงทะเบียนในบริการ IdentityWorks ของ Experian เพื่อระมัดระวังเหตุการณ์การโจมตีจากข้อมูลที่ถูกขโมยออกไป ตรวจสอบใบแจ้งยอดบัญชี และติดตามรายงานค่าธรรมเนียมเครดิตสำหรับพฤติกรรมที่น่าสงสัย

ที่มา : bleepingcomputer

Damart บริษัทเสื้อผ้าสไตล์ฝรั่งเศสที่มีสาขากว่า 130 สาขาทั่วโลก ถูกเรียกค่าไถ่กว่า 2 ล้านดอลล่าร์สหรัฐหลังจากที่โดนโจมตีจาก HIVE Ransomware จนทำให้ระบบบางส่วนถูกเข้ารหัส และไม่สามารถใช้งานได้ตั้งแต่วันที่ 15 สิงหาคม ที่ผ่านมา

จากข้อมูลล่าสุดพบว่าทาง Demart ยังไม่ได้มีการเจรจากับกลุ่มแฮ็กเกอร์ แต่ได้ทำการแจ้งข้อมูลให้กับสำนักงานตำรวจแห่งชาติรับทราบเกี่ยวกับเหตุการณ์ดังกล่าว ซึ่งทำให้มีความเป็นไปได้ว่ากลุ่มแฮ็กเกอร์กลุ่มนี้จะไม่ได้รับเงินค่าไถ่

รายละเอียดการโจมตี

เมื่อวันที่ 15 สิงหาคม พบว่าทาง Damart ได้เผยแพร่ข้อความการบำรุงรักษาระบบที่ไม่อยู่ในกำหนดการไว้บนหน้าเว็บไซต์
23 สิงหาคม มีรายงานว่าเครื่อข่ายของ Damart ไม่ได้เปิดดำเนินการตามปกติ ซึ่งพบว่ามีผลกระทบต่อร้านค้าของ Damart กว่า 92 แห่ง ส่งผลให้จำนวนคำสั่งซื้อสินค้าลดลง และไม่สามารถให้บริการกับลูกค้าได้
จากนั้นทาง Damart ได้ชี้แจงว่าแฮ็กเกอร์ได้เข้าถึง Active Directory สำเร็จ และสามารถเข้ารหัสระบบภายในได้บางส่วน

ในตอนนี้ยังไม่ทราบว่ากลุ่ม Hive ได้ข้อมูลอะไรออกไปบ้างระหว่างที่ทำการโจมตี แต่ค่อนข้างชัดเจนว่ามีการขโมยข้อมูลออกไปก่อนที่จะทำการเข้ารหัส (Double-Extortion) เนื่องจากวิธีนี้มักจะช่วยให้กลุ่มแฮ็กเกอร์สามารถกดดันเหยื่อให้จ่ายค่าไถ่แลกกับข้อมูลที่ถูกขโมยออกมา

คำแนะนำ

ตั้งค่า Policy บน Firewall และ Antivirus ให้เหมาะสม
Update Patch ของระบบต่าง ๆ ให้เป็นเวอร์ชันล่าสุด
Backup ข้อมูลอยู่สม่ำเสมอ
สร้าง Awareness ให้กับพนักงาน
จำกัดการเข้าถึงเครือข่าย และกำหนดสิทธิ์การเข้าถึงระบบต่างๆ
ติดตามข่าวสารอย่างสม่ำเสมอ

ที่มา : bleepingcomputer

Cloud Run และ Cloud Function ใน project ใด ๆ ก็ตาม และจะอยู่ที่ organization ใดก็ได้ สามารถถูก bypass GKE Authorized Networks (Kubernetes control plane firewalls) ไปยัง Kubernetes Cluster API server ที่อยู่คนละ project หรือคนละ organization ได้

เนื่องจาก Cloud Run และ Cloud Function ทำงานอยู่บน Google Kubernetes Engine (GKE) เมื่อ firewall rules ภายใน service ไม่ได้มีการ Block traffic ระหว่าง Cloud Run, Cloud Functions services กับ Kubernetes API server IP address จึงทำให้ทั้งสอง service นี้สามารถเชื่อมต่อกันได้แม้จะมีการตั้งค่า Kubernetes control plane firewalls โดยผู้ใช้งานแล้ว แต่การจะเรียกใช้ Kubernetes API ได้นั้น ยังคงต้องทำการ authentication อยู่

วิธีการแก้ไข

ในปลายเดือนสิงหาคมผู้ใช้งาน GKE 99% จะได้รับการอัปเดต firewall rule และ GKE services โดยจะมีชุด IP เป็นของตัวเอง ทำให้ service อื่นไม่สามารถเข้าถึงได้โดยที่ผู้ใช้งานไม่ต้องดำเนินการใด ๆ
ส่วนลูกค้า GKE 1% ที่เหลือ ทาง Google จะติดต่อไป และให้คำแนะนำสำหรับขั้นตอนการ migrate

ที่มา:  twitter , cloud.

กลุ่ม LockBit Ransomware ได้ออกมาประกาศเรื่องการปรับปรุงเว็บไซต์ของทางกลุ่ม หลังจากที่ถูกโจมตีแบบปฏิเสธการให้บริการ (DDoS) และเตรียมยกระดับการโจมตีของกลุ่มให้เป็นแบบ Triple Extortion

รายละเอียดเหตุการณ์

เหตุการณ์ครั้งนี้เกิดขึ้นจากเมื่อวันที่ 18 มิถุนายน 2565 ที่ผ่านมา LockBit ได้ขโมยข้อมูลจำนวนกว่า 300 GB ของ Entrust บริษัทด้านความปลอดภัยทางดิจิทัล โดยเหตุการณ์ครั้งนี้ Entrust ยืนยันที่จะไม่ยอมจ่ายค่าไถ่ ทำให้ LockBit เริ่มประกาศจะเผยแพร่ข้อมูลของ Entrust ออกมาในวันที่ 19 สิงหาคม 2565 แต่ก็ไม่สามารถเผยแพร่ข้อมูลได้อย่างต่อเนื่อง เนื่องจาก LockBit อ้างว่าเว็บไซต์ของทางกลุ่มถูกบริษัท Entrust โจมตีด้วย DDoS attack เพื่อป้องกันไม่ให้มีการเข้าถึงข้อมูลที่ LockBit อ้างว่าได้ขโมยออกมา

จากเหตุการณ์ดังกล่าว LockBit ใช้บทเรียนครั้งนี้เป็นโอกาสที่จะเพิ่มผู้เชี่ยวชาญในการโจมตีด้วย DDoS เข้าสู่ทีม เพื่อยกระดับการโจมตีของตนให้เป็นแบบ Triple Extortion ซึ่งประกอบไปด้วย

การเข้ารหัสไฟล์บนเครื่องเป้าหมาย
การเผยแพร่ข้อมูลของเป้าหมาย
การโจมตีแบบปฏิเสธการให้บริการ (DDoS) ไปยังเป้าหมาย

นอกจากนี้โฆษาของ LockBit ยังยืนยันว่าจะแชร์ข้อมูลกว่า 300GB ที่ขโมยมาจาก Entrust ให้ได้ โดยเริ่มจากการส่งข้อมูลไปให้กับผู้ที่สนใจที่ติดต่อเข้ามาทาง Direct Message ผ่านทางไฟล์ Torrent

ส่วนวิธีที่ LockBit นำมาใช้เพื่อป้องกันการโจมตีจาก DDoS คือการใช้ลิงก์ที่แตกต่างกันในไฟล์บันทึกค่าไถ่ของเหยื่อแต่ละราย จากนั้นจะเพิ่มจำนวนมิเรอร์ และเซิร์ฟเวอร์สำหรับเผยแพร่ข้อมูลที่แฮ็กมา และในอนาคตมีแผนที่จะเพิ่มความพร้อมใช้งานของข้อมูลที่ถูกขโมยโดยทำให้สามารถเข้าถึงได้ผ่าน clearnet ผ่านบริการจัดเก็บข้อมูลแบบ bulletproof

ข้อมูลเพิ่มเติมเกี่ยวกับ LockBit

การดำเนินการของ LockBit ถูกพบมาตั้งแต่เดือนกันยายน 2562 โดยมีผู้ตกเป็นเหยื่อมากกว่า 700 รายและ Entrust ก็ถือเป็นหนึ่งในนั้น

ที่มา : bleepingcomputer

 

แฮ็กเกอร์ได้สร้างกลุ่มพูดคุยสำหรับเกม Play-to-earn ปลอม ที่ชื่อว่า 'Cthulhu World' ซึ่งมีทั้งเว็บไซต์ กลุ่ม Discord บัญชีโซเชียล และเว็ปไซต์สำหรับนักพัฒนา เพื่อแพร่กระจายมัลแวร์ Raccoon Stealer, AsyncRAT และ RedLine เพื่อใช้ขโมยข้อมูลของเหยื่อที่หลงเชื่อ

เนื่องจากปัจจุบันเกมประเภท Play-to-earn กำลังเพิ่มสูงขึ้นเป็นจำนวนมาก กลุ่มผู้โจมตีจึงมุ่งเป้าไปยังกลุ่มผู้ที่สนใจแพลตฟอร์มประเภทนี้

โดยนักวิจัยด้านความปลอดภัยทางไซเบอร์ที่ชื่อว่า iamdeadlyz เป็นผู้พบว่าทั้งโปรเจ็คของ 'Cthulhu World' ถูกสร้างขึ้นอย่างปลอม ๆ ทั้งหมด

โดยผู้โจมตีจะส่งข้อความไปยังผู้ใช้งานบน Twitter โดยตรง เพื่อชักชวนให้ทำการทดสอบเกมใหม่ของพวกเขา โดยเพื่อเป็นการตอบแทนสำหรับการทดสอบ และช่วยโปรโมตเกม iamdeadlyz ระบุว่าผู้โจมตีสัญญาว่าจะให้รางวัลเป็น Ethereum จำนวนหนึ่ง

เมื่อเข้าไปยังเว็บไซต์ cthulhu-world.

LastPass บริษัทผู้ให้บริการระบบบริหารจัดการรหัสผ่านออนไลน์ถูกแฮ็กเมื่อสองสัปดาห์ก่อน โดยผู้โจมตีสามารถขโมยซอร์สโค้ดของบริษัท และข้อมูลทางเทคนิคที่เป็นกรรมสิทธิ์ของบริษัทไปได้

LastPass ได้ออกคำแนะนำด้านความปลอดภัยในวันที่ 25 ส.ค. 2565 เพื่อยืนยันว่ามีการโจมตีผ่านบัญชีผู้ใช้ของนักพัฒนาที่ถูกแฮ็ก ซึ่งแฮ็กเกอร์ใช้เพื่อเข้าถึงระบบของนักพัฒนาซอฟต์แวร์ของบริษัท โดย LastPass ระบุว่าไม่พบข้อมูลของลูกค้า หรือข้อมูลของ encrypted password ถูกขโมยออกไป โดยทางบริษัทได้มีการให้บริษัทผู้เชี่ยวชาญด้านความปลอดภัยทางไซเบอร์เข้าดำเนินการตรวจสอบแล้ว และยังไม่พบข้อมูลเพิ่มเติมเกี่ยวกับการโจมตีอื่นๆ

LastPass ไม่ได้ให้รายละเอียดเพิ่มเติมเกี่ยวกับการโจมตี หรือวิธีที่ผู้โจมตีใช้แฮ็กบัญชีของนักพัฒนา และมีซอร์สโค้ดใดบ้างที่ถูกขโมยออกไป

คำแนะนำด้านความปลอดภัยที่ LastPass ส่งให้ผู้ใช้งานทางอีเมล

LastPass เป็นหนึ่งในบริษัทจัดการรหัสผ่านที่ใหญ่ที่สุดในโลก มีผู้ใช้งานมากกว่า 33 ล้านคน และธุรกิจกว่า 100,000 แห่ง เนื่องจากผู้ใช้บริการ และธุรกิจต่างๆ ใช้ซอฟต์แวร์ของบริษัทเพื่อจัดเก็บรหัสผ่านของตนเพื่อความปลอดภัย จึงทำให้มีความกังวลว่าหากบริษัทถูกแฮ็กผู้โจมตีจะเข้าถึงรหัสผ่านที่จัดเก็บไว้ได้หรือไม่

LastPass จัดเก็บรหัสผ่านด้วยรูปแบบ encrypted vaults ซึ่งจะสามารถถอดรหัสได้โดยใช้ Master password ของผู้ใช้งานเท่านั้น ซึ่ง LastPass ระบุว่าไม่ได้ถูกขโมยไปในการโจมตีครั้งนี้

ปีที่แล้วผู้ใช้งาน LastPass หลายคน เคยได้รับการแจ้งเตือนทางอีเมลถึงการพยายามใช้ Master password จากสถานที่ที่แปลกไปจากเดิม นอกจากนี้ยังมีรายงานว่า Master password ของ LastPass ถูกพบในมัลแวร์ที่ใช้ขโมยรหัสผ่านอย่าง RedLine

แนะนำให้ผุูใช้งานเปิดใช้งาน multi-factor authentication ในบัญชี LastPass เนื่องจากจะทำให้ผู้โจมตีไม่สามารถเข้าถึงบัญชีได้ถึงแม้ว่ารหัสผ่านจะถูกขโมยไป

ที่มา: bleepingcomputer