รายงานของบริษัท SEKOIA และ Trend Micro เกี่ยวกับแคมเปญใหม่ที่ดำเนินการโดยแฮ็กเกอร์ชาวจีนชื่อ Lucky Mouse พบการใช้แอปสำหรับรับ-ส่งข้อความแชทเพื่อเป็น Backdoor บนเครื่องเหยื่อ

โดยกลุ่มแฮ็กเกอร์โจมตีแอปพลิเคชั่นแชทที่ชื่อว่า MiMi และปรับแต่งไฟล์ติดตั้งของโปรแกรม โดยไฟล์ติดตั้งที่ถูกปรับแต่งจะดาวน์โหลด และติดตั้งมัลแวร์ HyperBro บน Windows และ rshell บน Linux และ macOS

มีหน่วยงานต่าง ๆ มากถึง 13 แห่งในไต้หวัน และฟิลิปปินส์ที่ถูกโจมตี ซึ่ง 8 แห่งถูกโจมตีด้วย rshell โดยถูกพบครั้งแรกในช่วงกลางเดือนกรกฎาคม พ.ศ. 2564

Lucky Mouse หรือ APT27, Bronze Union, Emissary Panda และ Iron Tiger เป็นที่รู้จักตั้งแต่ปี 2556 และมีประวัติการโจมตีเครือข่ายเป้าหมายเพื่อหาข้อมูลข่าวกรองทางการเมือง และการทหารที่เกี่ยวข้องกับประเทศจีน แฮ็กเกอร์ยังเชี่ยวชาญในการขโมยข้อมูลที่สำคัญออกไป โดยใช้ SysUpdate HyperBro และ PlugX แต่จากพฤติกรรมล่าสุดเป็นครั้งแรกของกลุ่มที่กำหนดเป้าหมายไปยัง macOS

แคมเปญล่าสุดนี้ถือว่าเป็นการโจมตีในรูปแบบ supply chain attack เนื่องจาก Lucky Mouse เข้าไปทำการควบคุม backend servers สำหรับดาวน์โหลดโปรแกรมติดตั้งของแอป MiMi จึงทำให้ผู้โจมตีสามารถปรับแต่งแอปเพื่อทำเป็นแบ็คดอร์ได้

โดยพบว่า MiMi เวอร์ชัน 2.3.0 บน macOS ถูกดัดแปลงเพื่อฝัง JavaScript ที่เป็นอันตรายตั้งแต่เมื่อวันที่ 26 พฤษภาคม 2565 ส่วน MiMi เวอร์ชัน 2.2.0 และ 2.2.1 บน Windows ได้ถูกโจมตีในลักษณะที่คล้ายกันตั้งแต่เมื่อวันที่ 23 พฤศจิกายน พ.ศ. 2564

โดย rshell เป็นแบ็คดอร์ที่ใช้รับคำสั่งจาก command-and-control (C2) เพื่อดำเนินการต่าง ๆ บนเครื่องเหยื่อ และส่งผลลัพธ์ที่ได้จากการทำตามคำสั่งที่ได้รับมากลับไปยัง C2

สาเหตุที่การโจมตีครั้งนี้ถูกเชื่อมโยงกับกลุ่ม Lucky Mouse เนื่องจากการใช้งาน HyperBro เป็นแบ็คดอร์ที่กลุ่มแฮ็กเกอร์กลุ่มนี้ใช้โดยเฉพาะ

SEKOIA ชี้ให้เห็นว่า นี่ไม่ใช่ครั้งแรกที่แฮ็กเกอร์ใช้แอปส่งข้อความในการโจมตี ในปลายปี 2563 ESET เปิดเผยว่าซอฟต์แวร์แชทยอดนิยมที่ชื่อว่า Able Desktop ถูกใช้ในการโจมตีเพื่อส่ง HyperBro, PlugX และโทรจันที่ชื่อว่า Tmanger ซึ่งมีการกำหนดเป้าหมายไปยังประเทศมองโกเลีย

ที่มา: thehackernews

 

 

 

ในสัปดาห์นี้ แพลตฟอร์ม DevOps GitLab ออกแพตช์อัปเดตแก้ไขช่องโหว่ด้านความปลอดภัยที่สำคัญในซอฟต์แวร์ ซึ่งอาจทำให้ผู้โจมตีสามารถเข้าถึงระบบได้

โดยช่องโหว่มีหมายเลข CVE-2022-2884 (คะแนน CVSS: 9.9) เป็นช่องโหว่ที่ส่งผลกระทบต่อ GitLab Community Edition (CE) และ Enterprise Edition (EE) ทุกรุ่นตั้งแต่ 11.3.4 เวอร์ชันก่อน 15.1.5, 15.2 เวอร์ชันก่อน 15.2.3 และ 15.3 เวอร์ชันก่อน 15.3.1

โดยช่องโหว่ดังกล่าวทำให้ผู้โจมตีสามารถสั่งรันโค้ดที่เป็นอันตรายจากระยะไกลได้ ซึ่งสามารถโจมตีได้ผ่านทาง GitHub import API โดย GitLab ระบุว่าช่องโหว่นี้ถูกค้นพบ และรายงานโดย yvvdwf

ถึงแม้ว่าปัจจุบันช่องโหว่นี้จะได้รับการแก้ไขแล้วในเวอร์ชัน 15.3.1, 15.2.3, 15.1.5 ผู้ใช้งานยังมีทางเลือกในการป้องกันการโจมตีจากช่องโหว่ดังกล่าว ด้วยการปิดการใช้งาน GitHub import option ชั่วคราว

คลิก "Menu" -> "Admin"
คลิก "Settings" -> "General"
ขยายแท็บ "Visibility and access controls"
ภายใต้ "Import sources" ปิดการใช้งานตัวเลือก "GitHub"
คลิก "Save changes"แม้ว่าปัจจุบันยังไม่มีหลักฐานว่าช่องโหว่ดังกล่าวถูกนำมาใช้ในการโจมตีจริง แต่แนะนำให้ผู้ใช้งานที่ได้รับผลกระทบควรอัปเดตเป็นเวอร์ชันล่าสุดโดยเร็วที่สุด

แม้ว่าปัจจุบันยังไม่มีหลักฐานว่าช่องโหว่ดังกล่าวถูกนำมาใช้ในการโจมตีจริง แต่แนะนำให้ผู้ใช้งานที่ได้รับผลกระทบควรอัปเดตเป็นเวอร์ชันล่าสุดโดยเร็วที่สุด

ที่มา : thehackernews

Centre Hospitalier Sud Francilien (CHSF) ซึ่งเป็นโรงพยาบาลขนาด 1,000 เตียง โดยอยู่ห่างจากกรุงปารีสเพียง 28 กม. และให้บริการในพื้นที่ที่มีประชากรราวๆ 600,000 คน
เมื่อวันอาทิตย์ที่ผ่านมาโรงพยาบาลถูกโจมตีด้วยแรนซัมแวร์ ทำให้เกิดการขัดข้องในการดำเนินการรักษา ซึ่งอาจเป็นอันตรายต่อสุขภาพ และชีวิตของผู้ป่วยในภาวะฉุกเฉินทางการแพทย์ จึงทำให้ทางโรงพยาบาลจำเป็นต้องส่งผู้ป่วยต่อไปยังโรงพยาบาลอื่น และต้องเลื่อนนัดสำหรับผู้ป่วยที่ต้องทำการผ่าตัด
ประกาศของทางโรงพยาบาลระบุว่า “การโจมตีเครือข่ายคอมพิวเตอร์ทำให้ซอฟต์แวร์ ระบบจัดเก็บข้อมูล (โดยเฉพาะภาพทางการแพทย์) และระบบข้อมูลที่เกี่ยวข้องกับการรับผู้ป่วยของโรงพยาบาลไม่สามารถเข้าถึงได้ในขณะนี้ ”

เจ้าหน้าที่โรงพยาบาลยังไม่ได้ให้ข้อมูลเพิ่มเติมเกี่ยวกับสถานการณ์ระบบไอทีที่ยังขัดข้อง และยังคงส่งผลอันตรายต่อผู้ป่วยของโรงพยาบาล ในส่วนคนไข้ที่ต้องดูแลฉุกเฉินจะได้รับการประเมินโดยแพทย์ของโรงพยาบาล หากคนไข้อยู่ในภาวะที่ต้องมีการถ่ายภาพทางการแพทย์เพื่อการรักษา ผู้ป่วยจะถูกย้ายไปยังโรงพยาบาลอื่น
รายงานของหนังสือพิมพ์ Le Monde ซึ่งมีข้อมูลจากหน่วยงานบังคับใช้กฎหมายของประเทศได้ระบุว่า กลุ่มผู้โจมตีเรียกค่าไถ่เป็นเงินจำนวน 10,000,000 ดอลลาร์ เพื่อแลกกับคีย์สำหรับถอดรหัส เจ้าหน้าที่ตำรวจกล่าวกับหนังสือพิมพ์ Le Monde โดยระบุว่า "การสอบสวนกำลังดำเนินการโดยศูนย์ต่อต้านอาชญากรรมทางดิจิทัล (C3N) และสำนักงานอัยการปารีส เพื่อตรวจสอบรายละเอียดของการโจมตี และกลุ่มที่พยายามเรียกค่าไถ่”

สันนิษฐานว่าเป็นการโจมตีจาก Lockbit 3.0

Valéry Riess-Marchive นักข่าวด้านความปลอดภัยทางไซเบอร์ชาวฝรั่งเศสระบุถึงสัญญาณของ LockBit 3.0 โดยกล่าวถึงวิธีการจัดการโดยหน่วยงานที่กำลังดำเนินการตรวจสอบ มีแนวโน้มว่าน่าจะเกี่ยวข้องกับการโจมตีจาก Rangar Locker และ LockBit
Riess-Marchive ระบุใน LegMagIT ว่า Ragnar Locker ไม่น่าจะอยู่เบื้องหลังการโจมตีครั้งนี้ เนื่องจากมักจะมุ่งเน้นไปที่ขนาดของธุรกิจของเหยื่อที่แตกต่างจากที่นี่ ในขณะที่ LockBit 3.0 มีขอบเขตของเป้าหมายในการโจมตีที่กว้างกว่า หาก Lockbit 3.0 เกี่ยวข้องกับการโจมตีโรงพยาบาล CHSF ครั้งนี้จริง ก็ถือว่าเป็นการละเมิดกฎของบริการ RaaS ซึ่งจะห้ามไม่ให้กลุ่มผู้โจมตีที่นำ Ransomware ไปใช้โจมตีระบบของผู้ให้บริการด้านการดูแลสุขภาพ
ปัจจุบันกลุ่มผู้โจมตีในครั้งนี้นั้นยังไม่ได้รับการยืนยัน และเว็บไซต์ LockBit 3.0 ก็ยังไม่มีรายชื่อของโรงพยาบาล ดังนั้นจึงยังเป็นแค่การสันนิษฐานจากผู้สื่อข่าวเท่านั้น

ที่มา : bleepingcomputer

เมื่อวันพุธที่ผ่านมา Cisco ได้ออกแพตช์เพื่อแก้ไขช่องโหว่หลายรายการ ซึ่งอาจถูกนำไปใช้ในการขโมยข้อมูลสำคัญบนอุปกรณ์ได้

ช่องโหว่ CVE-2022-20866 (คะแนน CVSS: 7.4) เป็นช่องโหว่ในลักษณะ logic error ในการจัดการ RSA keys บนอุปกรณ์ที่ใช้ซอฟต์แวร์ Cisco Adaptive Security Appliance (ASA) และ Cisco Firepower Threat Defense (FTD)

หากสามารถโจมตีได้สำเร็จ ผู้โจมตีจะสามารถเข้าถึง RSA private key บนอุปกรณ์เป้าหมายได้

Cisco ประกาศแจ้งเตือนเมื่อวันที่ 10 สิงหาคมที่ผ่านมา หากผู้โจมตีสามารถเข้าถึง RSA private key ได้ ก็จะสามารถใช้คีย์เพื่อถอดรหัสการรับส่งข้อมูลบนอุปกรณ์ Cisco ASA หรือซอฟต์แวร์ Cisco FTD ได้

Cisco ตั้งข้อสังเกตว่าช่องโหว่ดังกล่าวจะส่งผลกระทบเฉพาะซอฟต์แวร์ Cisco ASA รุ่น 9.16.1 และใหม่กว่า และซอฟต์แวร์ Cisco FTD รุ่น 7.0.0 และใหม่กว่า โดยผลิตภัณฑ์ที่ได้รับผลกระทบมีดังนี้

ASA 5506-X with FirePOWER Services
ASA 5506H-X with FirePOWER Services
ASA 5506W-X with FirePOWER Services
ASA 5508-X with FirePOWER Services
ASA 5516-X with FirePOWER Services
Firepower 1000 Series Next-Generation Firewall
Firepower 2100 Series Security Appliances
Firepower 4100 Series Security Appliances
Firepower 9300 Series Security Appliances, and
Secure Firewall 3100

โดยการอัปเดตเพื่อแก้ไขช่องโหว่ในครั้งนี้จะเป็นการอัปเดตสำหรับซอฟต์แวร์ ASA เวอร์ชัน 9.16.3.19, 9.17.1.13 และ 9.18.2 และซอฟต์แวร์ FTD รุ่น 7.0.4, 7.1.0.2-2 และ 7.2.0.1

Cisco ให้เครดิตกับ Nadia Heninger และ George Sullivan จาก University of California San Diego และ Jackson Sippe และ Eric Wustrow จาก University of Colorado Boulder สำหรับการรายงานช่องโหว่ดังกล่าว

นอกจากนี้ Cisco ยังได้แก้ไขช่องโหว่ client-side request smuggling บน Clientless SSL VPN (WebVPN) ของซอฟต์แวร์ Cisco Adaptive Security Appliance (ASA) ที่ทำให้ผู้โจมตีสามารถโจมตีในลักษณะ cross-site scripting ได้ โดยช่องโหว่ดังกล่าวมีหมายเลข CVE-2022-20713 (CVSS: 4.3) ซึ่งส่งผลกระทบต่ออุปกรณ์ Cisco ที่ใช้งานซอฟต์แวร์ Cisco ASA Software รุ่น 9.17(1 )หรือเก่ากว่า และมีการเปิดใช้งาน Clientless SSL VPN

แม้ว่าจะไม่มีวิธีแก้ปัญหาเบื้องต้นก่อนที่จะมีการอัปเดตแพตซ์ แต่ผู้ใช้งานอุปกรณ์ที่ได้รับผลกระทบสามารถปิดใช้งาน Clientless SSL VPN เพื่อป้องกันการโจมตีได้ แม้ Cisco จะเตือนว่าอาจส่งผลกระทบต่อการทำงาน หรือประสิทธิภาพในการทำงานของเครือข่ายก็ตาม

โดยการออกแพตซ์อัปเดตดังกล่าวเกิดขึ้นหลังจากที่บริษัทรักษาความปลอดภัยทางไซเบอร์ Rapid7 เปิดเผยรายละเอียดของช่องโหว่ 10 รายการที่พบใน ASA, Adaptive Security Device Manager (ASDM) และซอฟต์แวร์ FirePOWER สำหรับ ASA ซึ่ง Cisco ได้แก้ไขช่องโหว่ไปแล้ว 7 รายการ

ซึ่งรวมถึง CVE-2022-20829 (CVSS: 9.1), CVE-2022-20651 (CVSS: 5.5), CVE-2021-1585 (CVSS: 7.5), CVE-2022-20828 (CVSS: 6.5) และช่องโหว่อื่นๆ อีก 3 รายการ ที่ยังไม่ได้รับการระบุหมายเลข CVE

ที่มา: thehackernews

แคมเปญล่าสุดของมัลแวร์ Grandoreiro banking trojan กำลังมุ่งเป้าโจมตีไปยังบริษัทที่อยู่ในประเทศเม็กซิโก และสเปน

Zscaler ระบุในรายงานว่า “แคมเปญนี้ กลุ่มแฮ็กเกอร์จะปลอมตัวเป็นเจ้าหน้าที่ของรัฐจากสำนักงานอัยการสูงสุดแห่งเม็กซิโกซิตี้ และใช้การโจมตีในรูปแบบ spear-phishing emails โดยจะหลอกล่อเหยื่อให้ดาวน์โหลด 'Grandoreiro' ซึ่งเป็น banking trojan ที่มีการใช้งานมาตั้งแต่ปี 2559 โดยมีเป้าหมายเพื่อโจมตีผู้ใช้งานในละตินอเมริกาโดยเฉพาะ”

การโจมตีเริ่มเกิดขึ้นอย่างต่อเนื่องตั้งแต่เดือนมิถุนายน พ.ศ. 2565 ซึ่งมีเป้าหมายเป็นกลุ่ม ยานยนต์ โยธา และอุตสาหกรรมการก่อสร้าง โลจิสติกส์ และ ประเภทเครื่องจักรต่างๆ ผ่านเครือข่ายขององค์กรหลายแห่งในเม็กซิโก และอุตสาหกรรมการผลิตสารเคมีในสเปน

การโจมตีเครือข่ายขององค์กรนั้นแฮ็กเกอร์เลือกใช้วิธี spear-phishing ที่เป็นภาษาสเปน ซึ่งข้อความใน Email จะเกี่ยวข้องกับการขอคืนเงิน การแจ้งเตือนการดำเนินคดี การยกเลิกสินเชื่อ เพื่อทำให้เหยื่อสนใจ และทำการโหลดไฟล์ ZIP ที่แนบมากับ Email โดยในไฟล์ ZIP จะมีไฟล์ PDF ที่ทำให้เหยื่อติดมัลแวร์ได้

Niraj Shivtarkar นักวิจัยของ Zscaler ได้กล่าวว่า “PDF ไฟล์จะมีหน้าที่ในการดาวน์โหลด แตกไฟล์ และติดตั้งเพย์โหลดของ Grandoreiro ขนาด 400 MB จากเซิร์ฟเวอร์ภายนอก และใช้เป็นช่องทางการเชื่อมต่อในรูปแบบ C2 เซิร์ฟเวอร์ในลักษณะคล้ายๆกับ LatentBot”

ตัวมัลแวร์ยังถูกออกแบบมาเพื่อรวบรวมข้อมูลสำคัญต่างๆ ทั้งโปรแกรมป้องกันมัลแวร์ที่ถูกติดตั้งไว้บนเครื่องเหยื่อ กระเป๋าเงินคริปโต แอพธนาคาร และข้อมูลใน Email จากนั้นจะรวบรวมข้อมูลเหล่านี้ส่งกลับไปยัง C2 เซิร์ฟเวอร์

Grandoreiro เป็น backdoor ที่มีฟังก์ชันการบันทึกการกดแป้นพิมพ์ เก็บข้อมูลรูปแบบการเคลื่อนไหวของเมาส์ และแป้นพิมพ์ จำกัดการเข้าถึงบางเว็บไซต์ อัปเดตตัวเองอัตโนมัติ และทำให้ตัวมันสามารถแฝงตัวอยู่บนระบบด้วยการเปลี่ยนแปลง Registry ของ Windows

โดยมันถูกเขียนขึ้นโดยใช้ภาษา Delphi ใช้ CAPTCHA สำหรับหลีกเลี่ยงการวิเคราะห์จาก sandbox และใช้โดเมนที่สร้างขึ้นโดย domain generate algorithm (DGA) เป็น C2 เซิร์ฟเวอร์

จากรายงานทำให้เห็นว่า Grandoreiro กำลังมีการพัฒนาอย่างต่อเนื่อง ทำให้มันเป็นมัลแวร์ที่มีความซับซ้อน และสามารถหลีกเลี่ยงการถูกตรวจจับได้เป็นอย่างดี

การพัฒนาดังกล่าวเกิดขึ้นเพียง 1 ปีหลังจากที่หน่วยงานบังคับใช้กฎหมายของสเปนจับกุมบุคคล 16 รายที่มีส่วนเกี่ยวข้องกับปฏิบัติการของ Mekotio และ Grandoreiro ในเดือนกรกฎาคม 2564

ที่มา: thehackernews

ในการใช้งานอินเทอร์เน็ตทั่วไป ผู้ใช้งานมักพบกับหน้าจอ DDoS Protection ในการเข้าใช้งานเว็ปไซต์ต่างๆ ซึ่งมันมีหน้าที่สำหรับปกป้องเว็ปไซต์ปลายทางจากการโจมตี เช่น การส่ง Request ปลอมเป็นจำนวนมากที่ทำให้เซิฟเวอร์ล่ม แต่ในปัจจุบัน พบผู้ไม่หวังดีได้ใช้ประโยชน์จากหน้าจอแสดงผลเหล่านี้เพื่อแพร่กระจายมัลแวร์

ลักษณะการทำงาน

เหตุการณ์นี้ค้นพบโดบผู้เชี่ยวชาญจาก Sucuri ซึ่งพบผู้โจมตีได้ทำการแฮ็กเว็ปไซต์ที่เขียนด้วย WordPress เมื่อทำการแฮ็กได้สำเร็จ ผู้โจมตีจะทำการเพิ่มเพย์โหลด JavaScript ลงไป เพื่อแสดงหน้าจอ Cloudflare DDoS Protection ปลอม

เมื่อผู้ใช้งานเข้าสู่เว็ปไซต์ที่ถูกแฮ็ก จะพบ Pop-Up ขึ้นมาให้คลิกเพื่อข้ามหน้าจอ DDoS Protection เมื่อคลิกจะเป็นการดาวน์โหลดไฟล์ security_install.

ในการใช้งานอินเทอร์เน็ตทั่วไป ผู้ใช้งานมักพบกับหน้าจอ DDoS Protection ในการเข้าใช้งานเว็ปไซต์ต่างๆ ซึ่งมันมีหน้าที่สำหรับปกป้องเว็ปไซต์ปลายทางจากการโจมตี เช่น การส่ง Request ปลอมเป็นจำนวนมากที่ทำให้เซิฟเวอร์ล่ม แต่ในปัจจุบัน พบผู้ไม่หวังดีได้ใช้ประโยชน์จากหน้าจอแสดงผลเหล่านี้เพื่อแพร่กระจายมัลแวร์

ลักษณะการทำงาน

เหตุการณ์นี้ค้นพบโดบผู้เชี่ยวชาญจาก Sucuri ซึ่งพบผู้โจมตีได้ทำการแฮ็กเว็ปไซต์ที่เขียนด้วย WordPress เมื่อทำการแฮ็กได้สำเร็จ ผู้โจมตีจะทำการเพิ่มเพย์โหลด JavaScript ลงไป เพื่อแสดงหน้าจอ Cloudflare DDoS Protection ปลอม

เมื่อผู้ใช้งานเข้าสู่เว็ปไซต์ที่ถูกแฮ็ก จะพบ Pop-Up ขึ้นมาให้คลิกเพื่อข้ามหน้าจอ DDoS Protection เมื่อคลิกจะเป็นการดาวน์โหลดไฟล์ security_install.

กลุ่มแฮ็กเกอร์ TA558 เพิ่มวิธีการโจมตีรูปแบบใหม่ในปีนี้ โดยการใช้แคมเปญฟิชชิ่งที่กำหนดเป้าหมายเป็นกลุ่มธุรกิจโรงแรม และบริษัทหลายแห่งในด้านการบริการ และการท่องเที่ยว

แฮ็กเกอร์ใช้ remote access trojans (RATs) ในการเข้าถึงระบบเป้าหมาย เพื่อขโมยข้อมูลสำคัญ และขโมยเงินจากเหยื่อ โดยกลุ่ม TA558 ถูกพบพฤติกรรมครั้งแรกตั้งแต่ปี 2018 แต่เมื่อเร็วๆ Proofpoint พบว่ากลุ่มดังกล่าวมีปริมาณการโจมตีที่สูงขึ้น ซึ่งอาจเชื่อมโยงกับการฟื้นตัวของการท่องเที่ยวหลังจาก COVID-19

แคมเปญของกลุ่ม TA558 ล่าสุด
ในปี 2022 กลุ่ม TA558 ได้เปลี่ยนจากการใช้มาโครในไฟล์เอกสารอีเมลฟิชชิ่ง มาเป็นใช้ไฟล์แนบในรูปแบบ RAR และ ISO หรือ URL ที่ฝังอยู่ในข้อความ

แฮ็กเกอร์รายอื่นๆ ก็มีการเปลี่ยนมาใช้รูปแบบดังกล่าวมากขึ้นเช่นเดียวกัน เนื่องจาก Microsoft มีการบล็อก block VBA และ XL4 macros ใน Office เป็นค่าเริ่มต้น

อีเมลฟิชชิ่งที่ถูกใช้ในการโจมตีจะมีข้อความเป็นภาษาอังกฤษ, สเปน และ โปรตุเกส โดยจะกำหนดเป้าหมายไปยังบริษัทในอเมริกาเหนือ, ยุโรปตะวันตก และละตินอเมริกา

หัวข้ออีเมลจะเกี่ยวกับการจองโรงแรม และบริการกับบริษัทท่องเที่ยว โดยอ้างว่ามาจากผู้จัดประชุม, ตัวแทนสำนักงานท่องเที่ยว และอื่นๆ ที่ผู้รับอาจให้ความสนใจ เมื่อเหยื่อคลิก URL ในเนื้อหาข้อความซึ่งระบุว่าเป็นลิงก์การจอง มันจะทำการดาวน์โหลดไฟล์ ISO มาจากเซิร์ฟเวอร์ภายนอก

ภายในไฟล์ ISO จะมีไฟล์แบตช์ที่จะเรียกใช้สคริปต์ PowerShell เพื่อโหลด RAT ลงมาติดตั้งบนคอมพิวเตอร์ของเหยื่อ และสร้าง scheduled task เพื่อให้มีนสามารถแฝงตัวอยู่บนระบบได้อย่างต่อเนื่อง

หลังจากติดตั้ง RAT แล้ว กลุ่ม TA558 จะเจาะเข้าไปในเครือข่ายของเหยื่อเพื่อขโมยข้อมูลลูกค้า, ข้อมูลบัตรเครดิต และเปลี่ยนแปลงเว็บไซต์ที่เกี่ยวข้องกับการชำระเงิน

ในเดือนกรกฎาคม พ.ศ. 2565 The Marino Boutique Hotel ในเมืองลิสบอน ประเทศโปรตุเกส ถูกแฮ็กบัญชี Booking.

กลุ่มแรนซัมแวร์ LockBit อ้างว่าได้ทำการโจมตี Entrust บริษัทยักษ์ใหญ่ด้านความปลอดภัยดิจิทัลในเดือนมิถุนายน

ต้นเดือนมิถุนายนที่ผ่านมา Entrust ได้แจ้งลูกค้าว่าบริษัทถูกโจมตีทางไซเบอร์ และมีข้อมูลบางส่วนถูกขโมยออกจากระบบภายใน และกำลังดำเนินการตรวจสอบ โดยจะมีการติดต่อลูกค้าหากพบว่ามีข้อมูลที่ส่งผลต่อความปลอดภัยของการให้บริการ

ถึงแม้ Entrust จะไม่ได้เปิดเผยรายละเอียดของการโจมตี แต่ก็ยืนยันมาตลอดว่าไม่พบหลักฐานว่าการโจมตีส่งผลกระทบต่อบริการของบริษัท เนื่องจากระบบที่ถูกโจมตี และระบบที่ให้บริการกับลูกค้าอยู่คนละส่วนกัน และยังสามารถให้บริการได้ตามปกติ โดย Vitali Kremez AdvIntel CEO ระบุว่าผู้โจมตีเป็นกลุ่มแรนซัมแวร์ที่มีชื่อเสียง ที่ได้ข้อมูลในการโจมตี Entrust จากการซื้อข้อมูลที่ทำให้สามารถเข้าถึงเครือข่ายของ Entrust ได้ต่อมาอีกที

LockBit อ้างการโจมตี Entrust

โดยในวันที่ 18 ส.ค. 2565 ที่ผ่านมา นักวิจัยด้านความปลอดภัย Dominic Alvieri ระบุว่า LockBit ได้สร้างหน้าเพจแสดงข้อมูลที่ขโมยออกมาจาก Entrust โดยระบุว่าจะเผยแพร่ข้อมูลที่ถูกขโมยมาทั้งหมดในเย็นวันที่ 19 ส.ค. 2565 เนื่องจาก Entrust ไม่ยอมเจรจา หรือปฏิเสธที่จะตอบรับข้อเสนอในการเรียกค่าไถ่ของ LockBit

LockBit ถือเป็นหนึ่งในแรนซัมแวร์ที่พบมากที่สุดในขณะนี้ ในเดือนมิถุนายนที่ผ่านมาพึ่งมีการเปิดตัว LockBit 3.0 ซึ่งมาพร้อมกับตัวเข้ารหัสใหม่โดยอิงจากซอร์สโค้ดของ BlackMatter, มีตัวเลือกการชำระเงินใหม่ และช่องทางให้กลุ่มผู้ไม่หวังดีแจ้งช่องโหว่ของซอฟแวร์ต่างๆเข้าไปเพื่อแลกกับเงินรางวัล

Update: 21 ส.ค. 2565 LockBit เริ่มปล่อยข้อมูลของ Entrust

โดยวันที่ 19 ส.ค. 2565 ที่ผ่านมา LockBit เริ่มทยอยปล่อยข้อมูลของ Entrust ออกมา โดยมีข้อมูลเบื้องต้นเป็นภาพแคปเจอร์หน้าจอของข้อมูลที่อ้างว่าถูกขโมยมา โดย Alvieri นักวิจัยที่ติดตามการเผยแพร่ข้อมูลของ Entrust ระบุว่าข้อมูลอื่นๆประกอบไปด้วยเอกสารทางบัญชี กฏหมาย และการตลาด แต่ที่น่าสนใจคือหลังจาก LockBit เริ่มทยอยปล่อยข้อมูลไปสักพัก เว็ปไซต์ดังกล่าว(บน Tor Network) ก็ออฟไลน์ไป โดย LockBit อ้างว่าพวกเขาถูก DDoS จาก Entrust

ที่มา: bleepingcomputer

สำนักงานความมั่นคงปลอดภัยทางไซเบอร์ และโครงสร้างพื้นฐานของสหรัฐอเมริกา (CISA) ได้เพิ่มช่องโหว่ด้านความปลอดภัยของระบบ SAP เข้าสู่ Known Exploited Vulnerabilities Catalog โดยอิงจากหลักฐานที่เริ่มพบเหตุการณ์การโจมตีเกิดขึ้นในปัจจุบัน

ช่องโหว่ดังกล่าวมีหมายเลข CVE-2022-22536 ซึ่งมี CVSS สูงสุดที่ 10.0 และได้รับการแก้ไขไปแล้วจากทาง SAP ในช่วงของการอัปเดต Patch Tuesday ในเดือนกุมภาพันธ์ 2022

โดยเป็นช่องโหว่ HTTP request smuggling และส่งผลกระทบต่อ SAP เวอร์ชันต่อไปนี้

SAP Web Dispatcher (Versions - 7.49, 7.53, 7.77, 7.81, 7.85, 7.22EXT, 7.86, 7.87)
SAP Content Server (Version - 7.53)
SAP NetWeaver and ABAP Platform (Versions - KERNEL 7.22, 8.04, 7.49, 7.53, 7.77, 7.81, 7.85, 7.86, 7.87, KRNL64UC 8.04, 7.22, 7.22EXT, 7.49, 7.53, KRNL64NUC 7.22, 7.22EXT, 7.49)

ผู้โจมตีที่ไม่ผ่านการตรวจสอบสิทธิ์สามารถเพิ่มข้อมูลใน request ของเหยื่อด้วยข้อมูลที่ถูกสร้างขึ้น เพื่อให้สามารถเรียกใช้งานฟังก์ชัน หรือฝังข้อมูลที่เป็นอันตรายไว้กับเว็บแคชได้" CISA กล่าวในการแจ้งเตือน

"ด้วย HTTP request ธรรมดา ไม่ต่างจาก request ปกติอื่นๆ ก็เพียงพอที่ทำให้สามารถโจมตีได้สำเร็จ” Onapsis ซึ่งเป็นผู้ค้นพบช่องโหว่ระบุในรายงาน

“ด้วยเหตุนี้จึงทำให้ผู้โจมตีสามารถใช้ประโยชน์จากมันได้ง่ายมาก และเป็นเรื่องที่ท้าทายสำหรับเทคโนโลยีด้านความปลอดภัย เช่น firewalls หรือ IDS/IPS ที่จะตรวจสอบ เนื่องจากมันดูไม่เหมือนเป็นเพย์โหลดที่น่าจะเป็นอันตราย"

นอกเหนือจากช่องโหว่ของ SAP แล้ว CISA ยังได้เพิ่มช่องโหว่ใหม่ที่ถูกเปิดเผยโดย Apple (CVE-2022-32893 และ CVE-2022-32894) และ Google (CVE-2022-2856) ในสัปดาห์นี้ รวมทั้งช่องโหว่ที่เกี่ยวข้องกับ Microsoft ก่อนหน้านี้ (CVE-2022-21971 และ CVE-2022-26923) และช่องโหว่การเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกลใน Palo Alto Networks PAN-OS (CVE-2017-15944 CVSS: 9.8) ที่ถูกเปิดเผยในปี 2560

CVE-2022-21971 (CVSS: 7.8) เป็นช่องโหว่ในการเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกลใน Windows Runtime ที่ถูกแก้ไขโดย Microsoft ไปแล้วในเดือนกุมภาพันธ์ 2022 และ CVE-2022-26923 (CVSS: 8.8) ถูกแก้ไขไปแล้วในเดือนพฤษภาคม 2565 ซึ่งเป็นช่องโหว่ในการยกระดับสิทธิ์ใน Active Directory Domain Services

เพื่อลดความเสี่ยงต่อภัยคุกคามที่อาจเกิดขึ้น หน่วยงานภายใต้การกำกับดูแล Federal Civilian Executive Branch (FCEB) ต้องดำเนินการอัปเดตช่องโหว่ต่างๆข้างต้นภายในวันที่ 8 กันยายน 2022

ที่มา: thehackernews