ผู้เชี่ยวชาญจาก TrustWave ตรวจพบการโจมตีในรูปแบบของ Facebook Messenger Chatbots เพื่อขโมย Credentials ของเป้าหมายที่ใช้สำหรับจัดการ Page ต่างๆ  ซึ่งปกติ Chatbots เป็นโปรแกรมที่ถูกพัฒนาสำหรับช่วยเหลือผู้ใช้งาน มักถูกใช้เพื่อตอบคำถามง่ายๆ หรือคัดแยกผู้ใช้งานก่อนที่จะถูกส่งไปยังพนักงานจริง

ลักษณะการทำงาน

การโจมตีแบบ Phishing เริ่มต้นด้วยผู้โจมตีทำการส่งอีเมลแจ้งผู้รับว่า Facebook Page ของพวกเขาละเมิดต่อมาตรฐานชุมชน โดยให้เวลา 48 ชั่วโมงในการอุทธรณ์คำตัดสิน มิฉะนั้นเพจของพวกเขาจะถูกลบ และทำการแนบลิงค์ "Appeal Now" ให้ผู้ใช้งานกดเพื่อเข้าไปหน้า Chatbots

เมื่อผู้ใช้งานเข้าลิงค์มา จะปรากฎหน้า Messenger ของ Chatbots ที่ปลอมตัวเป็นเจ้าหน้าที่ฝ่ายสนับสนุนลูกค้าของ Facebook แต่หน้า Page Facebook ที่เชื่อมโยงกับ Chatbots เป็นหน้าธุรกิจทั่วไปที่มีผู้ติดตามเป็นศูนย์และไม่มีโพสต์

ต่อมา Chatbots จะส่งปุ่ม "Appeal Now" ให้กับผู้ใช้งาน Messenger ซึ่งจะนำพาไปยังเว็บไซต์ที่ปลอมเป็น "Facebook Support Inbox" แต่ URL ไม่ใช่โดเมนของ Facebook
หน้า Facebook Support Inbox ปลอมจะเป็นกล่องข้อความให้ผู้ใช้งานกรอกที่อยู่อีเมล ชื่อเต็ม ชื่อเพจ และหมายเลขโทรศัพท์ หากกดปุ่ม Submit จะมีหน้าต่าง Pop-Up ขึ้นมาให้กรอกรหัสผ่านเพื่อเข้าสู่ขั้นตอนต่อไป

หลังจากใส่รหัสผ่านแล้ว ผู้ใช้งานจะถูกเปลี่ยนเส้นทางไปยังหน้า 2FA ปลอม ซึ่งมีหน้าให้กรอก OTP ที่ได้รับทาง SMS ตามหมายเลขโทรศัพท์ที่ระบุไว้ จากนั้นมันจะทำการเลี่ยนเส้นทางไปยังหน้า Facebook จริงที่เกี่ยวข้องกับการละเมิดของผู้ใช้งานด้านทรัพย์สินทางปัญญา และลิขสิทธิ์

เนื่องจากครั้งนี้เป็นการโจมตีแบบ Phishing จากระบบอัตโนมัติที่ส่งหาเป้าหมายจำนวนมาก และไม่ได้ระบุว่าเป้าหมายเป็นใคร ทำให้มีผู้หลงกลจำนวนมาก นอกจากนี้การตรวจจับก็เป็นไปได้ยาก เนื่องจากปัจจุบันไซต์จำนวนมากใช้ AI และ Chatbots เป็นส่วนหนึ่งของหน้าสนับสนุน ทำให้ดูเหมือนเป็นเรื่องปกติกับผู้ใช้งาน

แนวทางการป้องกัน

ไม่เปิดหรือคลิกลิงค์บนอีเมลจากผู้ส่งที่ไม่รู้จัก
ตรวจสอบ URL ทุกครั้งบนหน้าเว็บที่มีการร้องขอข้อมูลการเข้าสู่ระบบ
ติดตามข่าวสารอย่างสม่ำเสมอ

ที่มา : bleepingcomputer

ในช่วงสัปดาห์ที่ผ่านมา RansomHouse ได้มีการส่งข้อความผ่าน Telegram ของพวกเขาว่าจะมีการขายข้อมูลของบริษัทที่มีชื่อสามตัวอักษร และขึ้นต้นตัวอักษร “A” ซึ่งหลังจากนั้นเมื่อวันที่ 27 มิถุนายน 2565 ที่ผ่านมาทางกลุ่ม RansomHouse ก็ได้มีการเพิ่ม AMD ลงในเว็บไซต์ Data leak ของตนเองโดยอ้างว่ามีข้อมูลที่ขโมยมาได้จาก AMD กว่า 450 GB

RansomHouse ได้บอกว่าข้อมูลที่ได้ขโมยไปนั้นเป็นข้อมูลเกี่ยวกับการวิจัย และข้อมูลทางการเงิน และข้อมูลนี้รวมถึง CSV ที่เผยแพร่ออกมา ซึ่งมีรายชื่อของอุปกรณ์กว่า 70,000 เครื่อง ที่ดูเหมือนจะเป็นเครือข่ายภายในของ AMD รวมถึงรายการ Corporate Credential ของ User ที่ตั้งรหัสผ่านไม่รัดกุม เช่น ‘password’ ‘P@ssw0rd’ ‘amd!23’ ‘Welcome1’ และพวกเขากำลังวิเคราะห์เพื่อกำหนดมูลค่าของข้อมูล

ต่อมา AMD ซึ่งเป็นบริษัทยักษ์ใหญ่ด้าน Semiconductor ผู้ผลิต CPU และการ์ดจอ โดย AMD ได้ออกมาระบุว่าพวกเขากำลังสืบสวนเกี่ยวกับข่าว และเหตุการณ์ที่อ้างว่ามีการโจมตี และได้โมยข้อมูลออกไปกว่า 450 GB โดยกลุ่ม RansomHouse ในครั้งนี้

RansomHouse ได้ให้ข้อมูลกับ BleepingComputer ว่า partner ของพวกเขาได้เริ่มการโจมตี AMD เมื่อประมาณหนึ่งปีที่แล้ว แต่สาเหตที่ในเว็บไซต์ของพวกเขาได้ระบุถึงการรั่วไหลของข้อมูลเป็นวันที่ 5 มกราคม 2565 นั้น เนื่องจากเป็นวันที่กลุ่มถูกตัดขาดการเข้าถึงเครือข่ายของ AMD

ในขณะที่ RansomHouse ถูกเชื่อมโยงเข้ากับกลุ่ม Ransomware อย่าง WhiteRabbit แต่พวกเขาระบุว่าการโจมตีครั้งนี้ไม่ได้มีการเข้ารหัสอุปกรณ์ และไม่ได้มีการใช้ Ransomware ในการโจมตี AMD และพวกเขาไม่ได้ติดต่อกับ AMD เพื่อเรียกค่าไถ่แต่อย่างใด เนื่องจากทางกลุ่มมองว่าเสียเวลาในการเจรจากับตัวแทนขององค์กร ซึ่งการขายข้อมูลให้กับหน่วยงานอื่น ๆ หรือผู้โจมตีอื่น ๆ นั้นใช้เวลาน้อยกว่ามาก และมีมูลค่ามากกว่า

RansomHouse นั้นเป็นกลุ่มที่ใช้ข้อมูลขององค์กรมาใช้ในการเรียกค่าไถ่แลกกับการไม่เผยแพร่ข้อมูลขององค์กรออกสู่สาธารณะ หรือขายให้กับผู้โจมตีรายอื่น ๆ ได้เริ่มปฏิบัติการเมื่อเดือนธันวาคม 2564 โดยมีเหยื่อรายแรกคือ Saskatchewan Liquor and Gaming Authority (SLGA) และยังพบว่ากลุ่มได้มีความเชื่อมโยงกับกลุ่ม White Rabbit Ransomware จาก Note ที่ทิ้งไว้หลังจากที่โจมตีเหยื่อตามภาพตั้งแต่เดือนธันวาคม 2564 ทาง RansomHouse ได้เพิ่มเหยื่ออีกห้ารายไปยังเว็บไซต์ Dataleak ของพวกเขา รวมถึง AMD ด้วย และอีกหนึ่งในเหยื่อเหล่านี้คือ Shoprite Holdings ที่เป็นเครือข่าย Supermaket ที่ใหญ่ที่สุดในแอฟริกา ซึ่งได้ยืนยันแล้วว่าถูกโจมตี เมื่อวันที่ 10 มิถุนายน 2565

แนวทางการป้องกัน

 ไม่เปิดอีเมล หรือไฟล์แนบจากผู้ส่งที่ไม่รู้จัก หรือดูน่าสงสัย
อัพเดตแพตช์บนระบบปฏิบัติการให้ล่าสุดเสมอ
อัพเดท Signature หรือเวอร์ชันของ Endpoint ให้เป็นปัจจุบัน
Backup ข้อมูลอย่างสม่ำเสมอ เพื่อป้องกันเหตุการณ์ที่เกิดขึ้นได้ในอนาคต
ติดตามข่าวสารอย่างใกล้ชิด

ที่มา : bleepingcomputer

กลุ่มแฮ็คเกอร์ Evilnum กำลังปฏิบัติการโจมตีโดยกำหนดเป้าหมายไปยังองค์กรในยุโรปที่เกี่ยวข้องกับการอพยพระหว่างประเทศ  โดย Evilnum เป็นกลุ่ม APT ที่ถูกพบตั้งแต่ปี 2018 หลังจากนั้นแคมเปญ และเครื่องมือที่ใช้ในการโจมตีถูกเปิดเผยออกมาเมื่อปี 2020 ซึ่งในขณะนั้น ESET ได้เผยแพร่รายงานทางเทคนิคที่อธิบายถึงกลยุทธ์ของกลุ่ม Evilnum ที่ใช้โจมตีบริษัทในฝั่งเทคโนโลยีทางการเงินโดยการใช้มัลแวร์ "homemade"

ส่วนรายงานล่าสุดของกลุ่ม Evilnum มาจากนักวิเคราะห์ของ Zscaler ที่ติดตามปฏิบัติการของ Evilnum ตั้งแต่ต้นปี 2022 โดยรวบรวมข้อมูลจากการโจมตีต่างๆ

(more…)

ผู้โจมตีจากประเทศจีนได้เจาะระบบจัดการอัตโนมัติของอาคาร (โดยส่วนใหญ่ใช้เพื่อควบคุม HVAC, ระบบดับเพลิง และฟังก์ชั่นความปลอดภัยของอาคาร) ขององค์กรในเอเชียหลายแห่งเพื่อเข้าถึงภายในเครือข่าย

กลุ่ม APT ที่เป็นผู้โจมตีถูกพบโดยนักวิจัยจาก Kaspersky ICS CERT โดยเป็นการมุ่งเป้าโจมตีไปที่ช่องโหว่ CVE-2021-26855 ของ Microsoft Exchange ที่เรียกกันว่า ProxyLogon บนระบบที่ยังไม่ได้มีการอัปเดตแพตช์ โดยอาจมีเหยื่อจำนวนมากที่ตกเป็นเป้าหมาย เนื่องจากเคยมีรายงานจากสถาบัน Dutch Institute for Vulnerability Disclosure (DIVD) ว่าหนึ่งสัปดาห์หลังจากที่ Microsoft ได้ปล่อยแพตช์ออกมา ยังคงพบว่าเซิร์ฟเวอร์ Microsoft Exchange กว่า 46,000 แห่ง ไม่ได้มีการอัปเดตแพตช์ช่องโหว่ ProxyLogon ดังกล่าว

(more…)

เทคนิคการโจมตีด้วยฟิชชิ่งรูปแบบใหม่มีการใช้แอปพลิเคชัน Microsoft Edge WebView2 เพื่อขโมยคุกกี้ของเหยื่อ ทำให้ผู้โจมตีสามารถ Bypass multi-factor authentication ได้ เมื่อลงชื่อเข้าใช้บัญชีที่ถูกขโมยมา

จากเหตุการณ์การรั่วไหลของข้อมูลจากการโจมตีด้วย Remote access trojan และแคมเปญฟิชชิ่งต่างๆ จึงทำให้มีข้อมูล login credential ที่ถูกขโมยมาเป็นจำนวนมาก (more…)

ตรวจพบแพ็คเกจ Python ที่เป็นอันตรายจำนวนมากบน PyPI ทำการขโมยข้อมูล เช่น AWS Credential และส่งข้อมูลไปยังปลายทางที่เป็นสาธารณะซึ่งทุกคนสามารถเข้าถึงได้

PyPI เป็นคลังโปรแกรม และไลบรารีเสริมของ Python ที่เป็น Open Source สำหรับให้นักพัฒนาได้สร้างขึ้น และแบ่งปันให้ผู้อื่นโหลดมาใช้งาน โดยปกติ PyPI จะมีการตอบสนองอย่างรวดเร็วหากมีผู้ใช้งานรายงานไฟล์ที่อันตราย แต่การอัพโหลดไฟล์ขึ้นไปให้ดาวโหลดนั้นกลับไม่มีการตรวจสอบก่อน ทำให้แพ็คเกจที่เป็นอันตรายจึงอาจแฝงตัวอยู่ได้ช่วงเวลาหนึ่ง (more…)

นักวิจัยมัลแวร์ได้สังเกตเห็นเครื่องมือใหม่ที่ช่วยให้ผู้โจมตีสร้างไฟล์ .LNK ที่เป็นอันตรายเพื่อส่งเพย์โหลดสำหรับเริ่มการโจมตี

LNKs คือไฟล์ shortcut ของ Windows ที่อาจมีโค้ดอันตรายเพื่อใช้เครื่องมือในระบบอย่างไม่ถูกต้อง เช่น ไบนารีที่เรียกว่า living-off-the-land (LOLBins) เช่น PowerShell หรือ MSHTA ที่ใช้ในการรันไฟล์ Microsoft HTML Application (HTA) ด้วยเหตุนี้ LNK จึงถูกใช้สำหรับการแพร่กระจายมัลแวร์ โดยเฉพาะอย่างยิ่งในแคมเปญฟิชชิ่งโดยกลุ่มมัลแวร์บางกลุ่มที่กำลังใช้ Emotet, Bumblebee, Qbot และ IcedID (more…)

กลุ่มผู้โจมตีในเครือข่ายของ LockBit ransomware กำลังใช้วิธีใหม่เพื่อให้เหยื่อติด ransomware ในอุปกรณ์ของพวกเขาโดยการปลอมอีเมลล์แจ้งเตือนการละเมิดลิขสิทธิ์

ผู้รับอีเมลเหล่านี้จะถูกเตือนว่าละเมิดลิขสิทธิ์ และถูกกล่าวหาว่าใช้ไฟล์สื่อโดยไม่ได้รับอนุญาตจากผู้สร้าง อีเมลเหล่านี้จะแจ้งให้ลบเนื้อหาละเมิดลิขสิทธิ์จากเว็บไซต์ของพวกเขาไม่เช่นนั้นพวกเขาจะถูกดำเนินคดีทางกฎหมาย โดยนักวิเคราะห์จาก AhnLab ของเกาหลีใต้ ไม่ได้ระบุถึงชื่อไฟล์ หรือรายละเอียดของข้อความที่ผู้โจมตีบอกว่าเป็นการละเมิดลิขสิทธิ์ แต่แจ้งเตือนให้ผู้ที่ได้รับอีเมลอย่าดาวน์โหลด และเปิดไฟล์ที่แนบมาเพื่อดูเนื้อหาที่ถูกแจ้งว่าละเมิดลิขสิทธิ์ (more…)

TB Kawashima ซึ่งเป็นซัพพลายเออร์ ผู้ผลิตชิ้นส่วนยานยนต์ของญี่ปุ่น Toyota Boshoku ของกลุ่มบริษัท Toyota Group ประกาศว่าหนึ่งในบริษัทในเครือถูกโจมตีทางไซเบอร์ ยังไม่ได้มีการยืนยันจากบริษัทแต่มีข้อสังเกตว่าบริษัทกำลังดำเนินการจัดการกับการโจมตีจากกลุ่มแรนซัมแวร์ LockBit

TB Kawashima เป็นผู้ผลิตผ้าที่ใช้ตกแต่งภายในสำหรับรถยนต์ เครื่องบิน โรงภาพยนตร์ และรถไฟ โดยมีสำนักงาน และโรงงานในสหรัฐอเมริกา จีน ไทย อินโดนีเซีย และอินเดีย (more…)

Adobe Acrobat Reader block antivirus tools ไม่ให้สแกนเอกสาร PDF

Adobe กำลัง Block antivirus tools หลายตัวไม่ให้สแกนเอกสาร PDF ที่โหลดผ่าน Adobe Acrobat Reader ตามรายงานความปลอดภัยที่เผยแพร่โดย Minerva Labs

พบเหตุการณ์ Adobe Block security products ประมาณ 30 รายการไม่ให้สแกนเอกสาร PDF ที่โหลดผ่าน Adobe Acrobat Reader โดยผลิตภัณฑ์จาก Trend Micro, McAfee, Symantec, ESET, Kaspersky, Malwarebytes, Avast, BitDefender และ Sophos ถูก Block ตามในรายงาน ยกเว้น Microsoft Defender ที่ไม่ถูก Block

รายชื่อบริษัทและผลิตภัณฑ์ที่ได้รับผลกระทบ:

Trend Micro, BitDefender, AVAST, F-Secure, McAfee, 360 Security, Citrix, Symantec, Morphisec, Malwarebytes, Checkpoint, Ahnlab, Cylance, Sophos, CyberArk, Citrix, BullGuard, Panda Security, Fortinet, Emsisoft, ESET, K7 TotalSecurity, Kaspersky, AVG, CMC Internet Security, Samsung Smart Security ESCORT, Moon Secure, NOD32, PC Matic, SentryBay

ผลิตภัณฑ์ที่ถูก Block จะไม่สามารถเข้าถึงเพื่อตรวจสอบไฟล์ PDF ที่ถูกเปิดขึ้นมาได้ ซึ่งหมายความว่าก็จะไม่สามารถตรวจพบ หรือหยุดโค้ดที่เป็นอันตรายได้เช่นเดียวกัน

Adobe Acrobat ใช้ Chromium Embedded Framework (CEF) Dynamic Link Library, Libcef.