แพตซ์การอัปเดตบน Windows (แบบ Optional) สัปดาห์นี้ ส่งผลกระทบกับผลิตภัณฑ์ security products บางตัวของ Trend Micro ที่ทำให้ความสามารถบางอย่าง รวมถึงคุณสมบัติการป้องกันแรนซัมแวร์ไม่สามารถทำงานได้

Trend Micro กล่าวว่า “Trend Micro endpoint และเซิร์ฟเวอร์ของ Trend Micro หลายตัวที่ใช้ UMH component สำหรับ advanced features บางอย่าง เช่น การป้องกันแรนซัมแวร์ ซึ่งเราพบว่าหากผู้ใช้งานอัปเดต optional แพตซ์บน Microsoft Windows 11 หรือ Windows 2022 (KB5014019) หลังจาก Reboot จะทำให้ไดรเวอร์ UMH ของ Trend Micro หยุดทำงาน"

ปัญหาที่พบส่งผลต่อ component User Mode Hooking (UMH) ที่ใช้ใน Trend Micro endpoint solutions เช่น Apex One 2019, Worry-Free Business Security Advanced 10.0, Apex One as a Service 2019, Deep Security 20.0, Deep Security 12.0 และ Worry-Free Business Security Services 6.7

โดย Trend Micro กำลังดำเนินการแก้ไขปัญหานี้ ก่อนที่แพตซ์อัปเดตนี้ซึ่งเป็นส่วนหนึ่งของ Patch Tuesday ประจำเดือนมิถุนายน 2022 จะถูกปล่อยให้อัปเดตกับผู้ใช้งานทั้งหมด

วิธี restore Trend Micro endpoint

แพลตฟอร์ม Windows ที่ได้รับผลกระทบมีทั้งเวอร์ชันไคลเอ็นต์ และเซิร์ฟเวอร์ โดยส่วนมากจะพบปัญหาบน Windows 11, Windows 10 เวอร์ชัน 1809 และ Windows Server 2022

ผู้ใช้งาน Trend Micro ที่ได้ติดตั้ง optional แพตซ์ดังกล่าวของ Windows ไปแล้ว อาจใช้วิธีการถอนการติดตั้ง หรือติดต่อ Trend Micro support เพื่อรับ UMH debug module ที่จะทำให้ endpoint กลับมาทำงานได้ตามปกติ

ผู้ใช้ Windows สามารถลบการอัปเดตโดยใช้คำสั่งต่อไปนี้จาก Elevated Command Prompt

Windows 10 1809: wusa /uninstall /kb:5014022
Windows 11: wusa /uninstall /kb:5014019
Windows Server 2022: wusa /uninstall /kb:5014021

ที่มา : bleepingcomputer

หลังจากการหยุดปฏิบัติการไปหลายเดือนตั้งแต่ช่วงเดือนพฤศจิกายนจนถึงกุมภาพันธ์ ตอนนี้ Clop ransomware กลับมาแล้ว จากรายงานของนักจัยจาก NCC Group

"CL0P กลับมาอยู่ในระดับแนวหน้าของภัยคุกคามจากแรนซัมแวร์ โดยเพิ่มขึ้นจากการที่มีความเคลื่อนไหวน้อยที่สุดในเดือนมีนาคม มาเป็นมีความเคลื่อนไหวมากที่สุดลำดับที่สี่ในเดือนเมษายน"

ปฏิบัติการที่เพิ่มขึ้นนี้ถูกพบหลังจากกลุ่ม CL0P เพิ่มรายการเหยื่อรายใหม่กว่า 21 รายภายในเดือนเมษายนเพียงเดือนเดียว บนไซต์ที่ใช้รายงานข้อมูลรั่วไหลของเหยื่อของพวกเขา

"มีความเปลี่ยนแปลงที่น่าสนใจในการรายงานในเดือนเมษายน ในขณะที่ Lockbit 2.0 มีเหยื่อ 103 ราย และ Conti มีเหยื่อ 45 ราย ซึ่งยังคงเป็นกลุ่มผู้โจมตีที่มากที่สุด กลุ่มเป้าหมายที่ตกเป็นเหยื่อจากการโจมตีของ CL0P กลับเพิ่มขึ้นอย่างมากจาก 1 รายเป็น 21 ราย" กลุ่ม NCC กล่าว

โดยเป้าหมายมากที่สุดของกลุ่ม CL0P คือภาคอุตสาหกรรม โดยคิดเป็น 45% จากการโจมตี และอีก 27% คือกลุ่มเป้าหมายบริษัทเทคโนโลยี ด้วยเหตุนี้ NCC Group จึงแจ้งเตือนองค์กรต่างๆ ที่อยู่ในกลุ่มเป้าหมายของกลุ่ม ransomware ให้เฝ้าระวัง และเตรียมความพร้อม

อย่างไรก็ตาม กลุ่ม CL0P ransomware กลับดูเหมือนจะไม่มีการเคลื่อนไหวมากนักหลังจากที่ปล่อยรายชื่อเหยื่อรวดเดียวกว่า 21 รายดังกล่าว

ในขณะที่เหยื่อรายล่าสุดได้รับการยืนยันว่าเป็นการโจมตีครั้งใหม่ แต่ในอีกทฤษฎีหนึ่งก็คือกลุ่ม CL0P อาจยุติปฏิบัติการแล้วจริงๆหลังจากที่หยุดปฏิบัติการไปหลายเดือน โดยการเผยแพร่ข้อมูลของเหยื่อล่าสุด คือเหยื่อที่ยังไม่ได้ถูกปล่อยข้อมูลออกมาก่อนหน้านี้ ซึ่งก็คล้ายกันกับกลุ่ม Conti ที่กำลังทำอยู่ซึ่งเป็นส่วนหนึ่งของการยุติปฏิบัติการ

ในขณะที่มุ่งเป้าโจมตีไปที่เหยื่อทั่วโลกตั้งแต่ปี 2019 (เหยื่อบางราย ได้แก่ Maastricht University, Software AG IT, ExecuPharm และ Indiabulls) กลุ่ม CL0P ก็ยังถูกเชื่อมโยงเข้ากับการโจมตี Accellion ในการโจมตี Accellion กลุ่ม CL0P ได้ทำการขโมยข้อมูลจำนวนมากจากหลายบริษัทที่มีชื่อเสียงโดยใช้ File Transfer Appliance (FTA) ของ Accellion

ต่อมา CL0P ใช้ข้อมูลที่ขโมยมาเพื่อเรียกค่าไถ่กับบริษัท โดยบีบให้ต้องจ่ายค่าไถ่จำนวนมากเพื่อไม่ให้ข้อมูลถูกเผยแพร่ รายชื่อบริษัทที่ถูกขโมยข้อมูลจาก Accellion FTA ได้แก่ บริษัทพลังงานยักษ์ใหญ่อย่าง Shell, บริษัทรักษาความปลอดภัยทางไซเบอร์ Qualys, ซูเปอร์มาร์เก็ตยักษ์ใหญ่ Kroger และมหาวิทยาลัยหลายแห่งทั่วโลก( University of Colorado, University of Miami, Stanford Medicine, University of Maryland บัลติมอร์ (UMB) และมหาวิทยาลัยแคลิฟอร์เนีย)

ที่มา : bleepingcomputer

วันที่ 24 พฤษภาคม ที่ผ่านมา มีนักพัฒนาได้สังเกตเห็น “CTX” และ “PHPass” ที่เป็น Library ของ Python และ PHP มีการเปลี่ยนแปลงบางอย่างเพื่อใช้ขโมย AWS credentials ของนักพัฒนาซอฟต์แวร์ โดย library ดังกล่าวได้ถูกดาวน์โหลดไปแล้วมากกว่า 3 ล้านครั้งตลอดช่วงเวลาที่ผ่านมา จึงทำให้กลุ่มนักพัฒนารู้สึกวิตกกังวลจากผลกระทบจาก Hijacking บน Software supply chain นี้

แฮ็กเกอร์ที่อยู่เบื้องหลังการ Hijacking ในครั้งนี้ได้ออกมาอธิบายเหตุผลของการดำเนินการในครั้งนี้ว่า เขาทำไปเพื่อเป็นการฝึกหา Bug และไม่ได้มีเจตนาร้ายใด ๆ

ซึ่งอันที่จริงแล้ว แฮ็กเกอร์ที่ว่านี้เป็นนักวิจัยความปลอดภัยชื่อว่า Yunus Aydin หรือ Sock Puppets ที่อยู่ในอีสตันบูล โดยได้รับการยืนยันข้อเท็จจริงจาก BleepingComputer โดยเขาได้บอกเหตุผลของการขโมย AWS credentials ว่าต้องการให้เห็นถึงผลกระทบสูงสุด ของการโจมตีในรูปแบบนี้

“CTX” ที่เป็น Python library พบว่าถูกโจมตีครั้งแรกจาก Reddit เมื่อมีผู้ใช้ชื่อว่า jimtk ได้สังเกตว่า Library ที่ซึ่งไม่อัพเดทมานานกว่า 8 ปีมีเวอร์ชันใหม่ออกมาอย่างกระทันหัน และมีการดึงข้อมูลจำพวก environment variables และ AWS secret keys ส่งออกไปยังปลายทางบน Heroku

ยังมี Ethical hacker อีกคน ชื่อว่า สมเทพ สังวาลย์ ที่ได้สังเกตเห็นเช่นกันว่า หนึ่งใน PHP framework “PHPass” ก็ได้ถูกดัดแปลงเพื่อขโมย AWS secret keys ในลักษณะเดียวกัน และส่งไปยังปลายทางเดียวกัน

BleepingComputer ได้สังเกตว่า ภายในเวอร์ชันที่แก้ไขของ “CTX” นั้น ชื่อของผู้เขียน “author” ได้รับการแก้ไข โดยมีการระบุชื่อของ “Yunus AYDIN แทนที่ Robert Ledger ที่เป็นผู้ดูแล Library คนเดิม แต่ว่าที่อยู่อีเมลของบัญชียังคงอยู่เหมือนเดิม

ในระหว่างที่ Yunus AYDIN อ้างว่าเป็นการทำไปเพื่องานวิจัยทั้งหมด แต่ผู้ที่ได้รับผลกระทบจากพฤติกรรมเหล่านี้อาจจะไม่ได้มองแบบเดียวกัน

POC และ Bug Bounty Exercises ส่วนใหญ่ที่กำหนดเป้าหมายไปที่ Open source libraries จะใช้โค้ดแบบง่าย ๆ เช่น การพิมพ์ข้อความว่า “you are hacked!” บนระบบของเป้าหมาย หรือการดึงเฉพาะข้อมูลพื้นฐานออกไป เช่น User IP Address, hostname และ working directory

นักวิจัยสามารถใช้ข้อมูลนี้เพื่อพิสูจน์ว่าพวกเขาเจาะระบบได้สำเร็จ และได้รับรางวัลจากโครงการ bug bounty และต้องเปิดเผยข้อมูลอย่างตรงไปตรงมา

แต่ในกรณีของ “CTX” และ “PHPass” เวอร์ชันที่ถูก Hijacking นั้นไม่ได้หยุดอยู่แค่การ POC แต่การกระทำครั้งนี้ยังได้ขโมย environment variables และ AWS credentials ไปด้วย จึงทำให้เกิดข้อสงสัยในเจตนาของ hijacker

การขโมยข้อมูลสำคัญที่ถูกเก็บไว้ใน environment variables เช่น รหัสผ่าน หรือ API keys เป็นการข้ามเส้น โดยเฉพาะอย่างยิ่งเมื่อมีการ hijacking library ยอดนิยมอย่าง ‘ctx’ และ ‘PHPass’

ทาง Aydin ได้กล่าวว่า การวิจัยทั้งหมดของเขาไม่ได้เป็นปฏิบัติการที่เป็นอันตรายแต่อย่างใด และเขาได้มีการส่งรายงานไปที่ HackerOne เพื่อแสดงถึงผลกระทบที่อาจจะเกิดขึ้นแล้ว โดยต้องการแสดงให้เห็นว่าการโจมตีง่าย ๆ นี้ ส่งผลต่อผู้ใช้ และบริษัทกว่า 10 ล้านคนได้ยังไง และข้อมูลทั้งหมดที่เขาได้รับจะถูกลบ และไม่ได้นำไปใช้งานต่อแต่อย่างใด

ในส่วนของวิธีการที่ Aydin ทำการ Hijacking นั้น เริ่มจากเขาได้ใช้บอทเพื่อรวบรวมข้อมูล open source registry ต่าง ๆ และขุดที่อยู่อีเมลของผู้ดูแลที่ถูกระบุไว้แต่ละแพคเกจใน registry และทุกครั้งที่บอทพบที่อยู่อีเมลที่ใช้ชื่อโดเมนที่กำหนดเอง ซึ่งหมดอายุแล้ว Aydin จะได้รับการแจ้งเตือน

ซึ่ง ‘ctx’ ที่ไม่ได้มีการอัพเดทมานานหลายปีได้เผยแพร่ Registry ไปยัง PyPI โดยใช้ที่อยู่อีเมลผู้ดูแลเป็น figlief@figlief[.]com

Aydin ได้อธิบายว่าหลังจากที่บอทพบ domain ดังกล่าวที่หมดอายุก็จะมีการแจ้งเตือนว่าโดเมนไม่ถูกต้อง ดังนั้น ถ้าเขาซื้อโดเมนนั้น เขาจะสามารถส่งอีเมลลืมรหัสผ่าน และเข้าครอบครองแพคเกจ นั้นได้ หลังจากลงทะเบียนชื่อโดเมน figlief[.]com ที่พร้อมใช้งานแล้ว และได้สร้างที่อยู่อีเมลของผู้ดูแลใหม่แล้ว เขาก็จะเริ่มต้นการรีเซ็ตรหัสผ่านบน PyPI สำหรับ ‘ctx’ project ได้สำเร็จ

ด้วยวิธีนี้เขาสามารถเข้าสู่บัญชีผู้ดูแล PyPI สำหรับแพคเกจ ‘ctx’ และเผยแพร่เวอร์ชันที่แก้ไขแล้วได้

การ Hijacking ผ่านโดเมนผู้ดูแลระบบที่หมดอายุนั้นไม่ใช่การโจมตีแบบใหม่ และนี่เป็นปัญหาที่ทราบกันดีอยู่แล้ว ซึ่งไม่เพียงแค่การลงทะเบียน open source เท่านั้น แต่ยังรวมถึงเว็บไซต์แทบทุกแห่งที่ผู้ใช้สามารถลงทะเบียนบัญชีด้วยที่อยู่อีเมลแบบชื่อโดเมนที่กำหนดเองได้ ซึ่งหากชื่อโดเมนหมดอายุในภายหลัง ก็อาจทำให้ผู้ไม่หวังดีสามารถลงทะเบียนชื่อโดเมน และเข้าสู่ระบบเพื่อรีเซ็ตรหัสผ่านได้

นอกจากนี้ กรณีศึกษาจากนักวิจัยจาก Microsoft และ North Carolina State University พบว่าโปรเจ็กต์ JavaScript หลายพันโปรเจ็กต์บน npm ก็มีที่อยู่อีเมลของผู้ดูแลที่ใช้ชื่อโดเมนที่หมดอายุ ซึ่งทำให้โปรเจ็กต์เหล่านี้เสี่ยงต่อการถูก Hijacks ด้วยเช่นกัน

ที่มา : bleepingcomputer.

ภัยคุกคามจากมัลแวร์ที่กำลังเพิ่มขึ้นอย่างรวดเร็วที่ถูกพบในปีนี้คือมัลแวร์ที่ถูกเรียกว่า ChromeLoader ซึ่ง Aedan Russell จาก Red Canary กล่าวว่า "มัลแวร์ ChromeLoader เรียกได้ว่าเป็น Browser hijacker ที่พบการแพร่กระจายอย่างต่อเนื่อง โดยมัลแวร์สามารถแก้ไขการตั้งค่าเบราว์เซอร์ของเหยื่อ และเปลี่ยนเส้นทางการเข้าชมเว็บไซต์ของผู้ใช้งานไปยังเว็บไซต์โฆษณาต่างๆ"

ChromeLoader เป็น extension ปลอมบนเบราว์เซอร์ Chrome และจะถูกเผยแพร่ในรูปแบบของไฟล์ ISO ผ่านเว็บไซต์แบบ pay-per-install และมีการโพสต์โฆษณาผ่านโซเชียลมีเดียเป็น QR codes ว่าสามารถ crack เกมส์ และภาพยนตร์ที่ละเมิดลิขสิทธิ์ได้

แม้ว่ามัลแวร์จะทำงานโดยการ Hijacking การ Search ข้อมูลของผู้ใช้ Google, Yahoo และ Bing และเปลี่ยนเส้นทางการรับส่งข้อมูลไปยังเว็บไซต์โฆษณาต่างๆ แต่มันก็มีความสามารถในการใช้ PowerShell เพื่อ inject เข้าสู่เบราว์เซอร์ หรือเพิ่ม extension ได้

มัลแวร์ที่รู้จักกันอีกชื่อหนึ่งว่า Choziosi Loader ถูกพบครั้งแรกโดย G DATA เมื่อต้นเดือนกุมภาพันธ์ที่ผ่านมา

ปัจจุบันจุดประสงค์เดียวของมัลแวร์คือการหารายได้ผ่านโฆษณา และ Hijacking Search engine โดย Karsten Hahn จาก G DATA กล่าวว่า "loader มักจะไม่ใช้ข้อมูลเพย์โหลดเดียวในระยะยาว โดยผู้สร้างมัลแวร์จะมีการปรับปรุงรูปแบบของมัลแวร์เมื่อผ่านไปช่วงเวลาหนึ่ง"

ความสามารถอีกอย่างหนึ่งของ ChromeLoader คือความสามารถในการเปลี่ยนเส้นทางของผู้ที่ตกเป็นเหยื่อ หากเหยื่อพยายามจะเข้าไปที่หน้า extension ของ Chrome ("chrome://extensions") และพยายามจะลบ extension ออก

นอกจากนี้ นักวิจัยยังตรวจพบมัลแวร์ในเวอร์ชันของ macOS ที่ทำงานได้กับทั้งเบราว์เซอร์ Chrome และ Safari ทำให้ ChromeLoader เป็นภัยคุกคามที่สามารถทำงานได้ในหลายแพลตฟอร์มได้อย่างมีประสิทธิภาพ

Russell กล่าวว่า "หากนำไปใช้กับภัยคุกคามที่ส่งผลกระทบสูง เช่น สปายแวร์ หรือเครื่องมือในการขโมย credentials อื่นๆ อาจทำให้การใช้งาน PowerShell ของตัวมัลแวร์ไม่ถูกตรวจจับได้ ก่อนที่จะดำเนินการอื่นๆต่อไป เช่น การขโมยข้อมูลจาก browser sessions ของผู้ใช้งาน เป็นต้น"

ที่มา : thehackernews.

ผู้เชี่ยวชาญจาก Trend Micro ได้ค้นพบแรนซัมแวร์ตัวใหม่ที่ที่มีชื่อว่า Cheers ซึ่งมีเป้าหมายหลัก ๆ คือ VMware ESXi Server ที่เป็นแพลตฟอร์มที่นิยมใช้กันอย่างแพร่หลายทั่วโลก

ระบบสำคัญของหลายองค์กรต่างอยู่ในแพลตฟอร์มนี้ ซึ่งหากโจมตีได้สำเร็จจนทำให้ระบบหยุดทำงาน ก็จะส่งผลต่อการดำเนินธุรกิจรวมไปถึงกระทบต่อชื่อเสียงขององค์กรอีกด้วย

ลักษณะการทำงาน

เมื่อเซิร์ฟเวอร์ VMware ESXi ถูกโจมตีได้สำเร็จ แรนซัมแวร์จะทำการสแกนหาไฟล์ที่มีนามสกุล .log, .vmdk, .vmem, .vswp, และไฟล์ extensions ที่นามสกุล .vmsn
ซึ่งเป็นไฟล์สำคัญของ ESXi ทั้งหมด เช่นไฟล์ Snapshot หรือ log files จากนั้นจะทำการเปลี่ยนนามสกุลไฟเหล่านั้นล์เป็น “.Cheers” แล้วทำการเข้ารหัสไฟล์โดยใช้ SOSEMANUK stream cipher และลบคีย์ในการกู้คืนออก ซึ่งระหว่างแรนซัมแวร์ทำการสแกนโฟลเดอร์เพื่อเข้ารหัส มันก็จะทำการสร้าง Text ไฟล์ที่ชื่อ ‘How To Restore Your Files.

Zoom ได้แก้ไขช่องโหว่ด้านความปลอดภัย 4 ช่องโหว่ ซึ่งทำให้ผู้โจมตีสามารถเข้ายึดครองเครื่องของผู้ใช้อื่นๆในระหว่างการสนทนาผ่านทางแชทโดยการส่งข้อความ Extensible Messaging และ Presence Protocol (XMPP) ที่ออกแบบมาเป็นพิเศษเพื่อสั่งรันโค้ดที่เป็นอันตราย

ช่องโหว่มีหมายเลข CVE-2022-22784 ถึง CVE-2022-22787 คะแนนความรุนแรงอยู่ระหว่าง 5.9 และ 8.1 Ivan Fratric จาก Google Project Zero เป็นผู้ค้นพบ และรายงานช่องโหว่ทั้ง 4 ช่องโหว่ในเดือนกุมภาพันธ์ พ.ศ. 2565

รายการช่องโหว่มีดังนี้

CVE-2022-22784 (คะแนน CVSS: 8.1) - Improper XML Parsing in Zoom Client for Meetings
CVE-2022-22785 (คะแนน CVSS: 5.9) - Improper constrained session cookies in Zoom Client for Meetings
CVE-2022-22786 (คะแนน CVSS: 7.5) - Update package downgrade in Zoom Client for Meetings for Windows
CVE-2022-22787 (คะแนน CVSS: 5.9) - Insufficient hostname validating during server switch in Zoom Client for Meetings
ฟังก์ชันแชทของ Zoom ที่สร้างบนมาตรฐาน XMPP การโจมตีช่องโหว่ได้สำเร็จอาจทำให้ผู้โจมตีสามารถบังคับผู้ใช้ Zoom ที่มีช่องโหว่ เพื่อเชื่อมต่อกับเซิร์ฟเวอร์ที่เป็นอันตราย และดาวน์โหลดการอัปเดตปลอม ส่งผลให้ถูกรันโค้ดที่เป็นอันตรายบนเครื่องเหยื่อได้

Fratric เรียก zero-click attack นี้ว่า "XMPP Stanza Smuggling" โดยเพิ่มเติมว่า "ผู้ใช้รายหนึ่งอาจสามารถปลอมแปลงข้อความเหมือนกับว่ามาจากผู้ใช้รายอื่น" และ "ผู้โจมตีสามารถส่งข้อความ control messages ซึ่งเหมือนกับว่าส่งมาจากเซิร์ฟเวอร์

ประเด็นหลักของปัญหาเหล่านี้คือการโจมตีในลักษณะ man-in-the-middle ระหว่าง client กับ server ระหว่างที่มีการอัปเดตซอฟแวร์ โดยจะใช้ช่องโหว่เพื่อบังคับการอัพเดตซอฟต์แวร์ Zoom client เป็นเวอร์ชันเก่าที่มีความปลอดภัยน้อยกว่า

แม้ว่าการโจมตีในลักษณะ downgrade attack หนึ่งช่องโหว่จะเกิดเฉพาะเวอร์ชันที่ใช้งานบน Windows แต่ CVE-2022-22784, CVE-2022-22785 และ CVE-2022-22787 ส่งผลกระทบต่อทั้ง Android, iOS, Linux, macOS และ Windows

มีแพทช์ออกมาหนึ่งเดือนหลังจากที่ Zoom ได้แก้ไขช่องโหว่ที่มีความรุนแรงสูง 2 ช่องโหว่ (CVE-2022-22782 และ CVE-2022-22783) ที่อาจนำไปสู่การยกระดับสิทธิ์ และการเปิดเผยเนื้อหาการประชุมภายในองค์กร นอกจากนี้ยังแก้ไขช่องโหว่ (CVE-2022-22781) ที่เป็นการโจมตีในแอปของ Zoom บน macOS

ขอแนะนำให้ผู้ใช้ Zoom อัปเดตเป็นเวอร์ชันล่าสุด (5.10.0) เพื่อลดความเสี่ยงที่อาจเกิดขึ้นจากการใช้ประโยชน์จากช่องโหว่ดังกล่าว

ที่มา : thehackernewshttp

SpiceJet สายการบินราคาประหยัดของอินเดียได้แจ้งลูกค้าในวันนี้ถึงการถูกโจมตีจาก ransomware ซึ่งส่งผลกระทบต่อระบบบางระบบ และทำให้เที่ยวบินออกเดินทางล่าช้า

ซึ่งจากประกาศที่เผยแพร่บนช่องทางโซเชียลมีเดียของสายการบินอ้างว่า ทีมไอทีสามารถขัดขวางการโจมตีได้ ดังนั้นทุกอย่างจึงกลับสู่สถานะการทำงานปกติ

อย่างไรก็ตามพบว่าลูกค้าหลายรายของสายการบินออกมาแจ้งปัญหาอย่างต่อเนื่องบน Twitter และ Facebook โดยส่วนใหญ่เป็นเรื่องของความล่าช้าของเที่ยวบิน โดยระบุว่าไม่สามารถติดต่อฝ่ายบริการลูกค้าทางโทรศัพท์ได้ และระบบการจองยังคงใช้งานไม่ได้

BleepingComputer ได้ยืนยันว่าปัจจุบัน(ในขณะที่กำลังเขียนบทความ) มีเพียงหน้าแรกของ SpiceJet เท่านั้นที่ใช้งานได้ ในขณะที่ระบบ และหน้าเว็บอื่นๆส่วนใหญ่ไม่สามารถโหลดได้

อย่างไรก็ตาม ยังสามารถตรวจสอบตารางสถานะเที่ยวบินได้ และพบว่าเกิดความล่าช้าในทุกจุดหมายปลายทางที่เราตรวจสอบ ตั้งแต่สองถึงห้าชั่วโมง

ประกาศแจ้งเตือนเที่ยวบินล่าช้าบนเว็บไซต์ SpiceJet

จากข้อมูล SpiceJet เป็นสายการบินที่ใหญ่เป็นอันดับสองในอินเดีย ให้บริการเครื่องบิน 102 ลำเพื่อให้บริการจุดหมายปลายทางกว่า 60 แห่ง บริษัทมีพนักงานมากกว่า 14,000 คน และถือหุ้นประมาณ 15% ของส่วนแบ่งการตลาดในท้องถิ่น

ด้วยเหตุนี้ การโจมตีทางไซเบอร์ที่ส่งผลกระทบต่อการดำเนินงานจึงส่งผลกระทบต่อผู้โดยสารจำนวนมากทั่วอินเดีย และปลายทางระหว่างประเทศ และความล่าช้าหลายชั่วโมงเหล่านี้ส่งผลให้เกิดความสูญเสียทางการเงินอย่างมาก

BleepingComputer ได้ติดต่อ SpiceJet เพื่อขอรายละเอียดเพิ่มเติมเกี่ยวกับการโจมตีจาก ransomware และโฆษกของบริษัทได้ให้ข้อมูลดังต่อไปนี้:

“ระบบ SpiceJet บางระบบเผชิญกับการโจมตีด้วยแรนซัมแวร์ที่พยายามโจมตีเมื่อคืนที่ผ่านมา ซึ่งส่งผลกระทบต่อการปฏิบัติการบินของเรา แม้ว่าทีมไอทีของเราจะควบคุม และแก้ไขสถานการณ์ได้ แต่ก็ยังส่งผลกระทบต่อเที่ยวบินของเรา ซึ่งนำไปสู่ความล่าช้าของเที่ยวบินไปยังสนามบิน หรือบางเที่ยวบินที่มีข้อจำกัดในการดำเนินการช่วงกลางคืนถูกยกเลิก SpiceJet กำลังติดต่อกับผู้เชี่ยวชาญ และหน่วยงานด้านอาชญากรรมทางไซเบอร์ในประเด็นนี้”

ความผิดพลาดก่อนหน้านี้

ในเดือนมกราคม 2020 SpiceJet ยืนยันเหตุการณ์การเข้าถึงข้อมูลโดยไม่ได้รับอนุญาตบนฐานข้อมูลสำรองของสายการบิน ซึ่งไม่มีการป้องกันที่เข้มงวดมากพอ

ไฟล์ดังกล่าวมีข้อมูลที่ไม่ได้เข้ารหัสของผู้โดยสาร 1,200,000 คนที่เคยใช้บริการของ SpiceJet ในเดือนก่อนหน้า รวมถึงชื่อนามสกุล ข้อมูลเที่ยวบิน หมายเลขโทรศัพท์ ที่อยู่อีเมล และวันเกิด

ในปี พ.ศ. 2564 SpiceJet ประสบปัญหาทางการเงินอย่างรุนแรงจากการหยุดให้บริการเนื่องจากข้อจำกัดด้านโควิด-19 โดยรายงานการสูญเสียรายได้ต่อปี 28% ซึ่งส่งผลโดยตรงต่อความมั่นคงของธุรกิจ

สถานการณ์ทางการเงินที่เกิดขึ้น อาจทำให้บริษัทไม่ได้ลงทุนในด้านความปลอดภัยทางไซเบอร์ และการตอบสนองต่อเหตุการณ์มากนัก ซึ่งอาจทำให้การโจมตีด้วยแรนซัมแวร์ประสบความสำเร็จได้ง่ายขึ้น

ที่มา :bleepingcomputer

Mozilla ได้เผยแพร่การอัปเดตความปลอดภัยสำหรับผลิตภัณฑ์หลายรายการเพื่อแก้ไขช่องโหว่ Zero-day ที่ถูกใช้ในการโจมตีระหว่างการแข่งขันการแฮ็กในงาน Pwn2Own Vancouver 2022

หากถูกโจมตีด้วยช่องโหว่ระดับ Critical 2 ช่องโหว่นี้ จะทำให้ผู้โจมตีสามารถเรียกใช้โค้ด JavaScript บนอุปกรณ์มือถือ และ Desktop ที่ใช้ Firefox, Firefox ESR, Firefox สำหรับ Android และ Thunderbird ในเวอร์ชันที่มีช่องโหว่

ช่องโหว่ Zero-day ได้รับการแก้ไขแล้วใน Firefox 100.0.2, Firefox ESR 91.9.1, Firefox สำหรับ Android 100.3 และ Thunderbird 91.9.1

Cybersecurity and Infrastructure Security Agency (CISA) ได้มีการแจ้งให้ผู้ดูแลระบบ และผู้ใช้งาน แก้ไขช่องโหว่ด้านความปลอดภัยเหล่านี้ เนื่องจากผู้โจมตีสามารถใช้ประโยชน์จากช่องโหว่เพื่อเข้าควบคุมระบบที่ได้รับผลกระทบ

โดยทาง Mozilla ได้ใช้เวลาในการแก้ไขช่องโหว่เหล่านี้ 2 วัน หลังจากที่ถูกโจมตีในงานการแข่งขันการแฮ็ก Pwn2Own โดย Manfred Paul ซึ่งโดยปกติ Vendor ต่าง ๆ จะไม่รีบปล่อยแพตช์ของช่องโหว่ที่ถูกใช้หลังจากงาน Pwn2Own เนื่องจากพวกเขามีเวลาราวๆ 90 วันในการแก้ไขช่องโหว่ด้านความปลอดภัย จนกว่าที่จะมีการเปิดเผยรายละเอียดของวิธีการโจมตีต่อสาธารณะ

งาน Pwn2Own 2022 Vancouver ได้สิ้นสุดลงเมื่อวันที่ 20 พฤษภาคมหลังจากที่ผู้เข้าแข่งขัน 17 ราย ได้รับเงินรางวัลรวมทั้งหมด $1,155,000 สำหรับการหาช่องโหว่แบบ Zero-day เป็นระยะเวลา 3 วัน หลังจากมีการพยายามทดสอบการโจมตีไปทั้งสิ้น 21 ครั้ง

ที่มา: bleepingcomputer

Trend Micro แก้ไขช่องโหว่ที่แฮ็กเกอร์ชาวจีนใช้ในการขโมยข้อมูล

Trend Micro กล่าวว่าได้แก้ไขช่องโหว่ DLL hijacking ใน Trend Micro Security ที่ถูกใช้โดยกลุ่มแฮ็กเกอร์ชาวจีนเพื่อโหลด DLL ที่เป็นอันตราย และติดตั้งมัลแวร์

ตามที่ Sentinel Labs เปิดเผยในรายงานช่วงต้นเดือนพฤษภาคม แฮ็กเกอร์ใช้ประโยชน์จากการที่ Trend Micro Security ถูกรันด้วยสิทธิ์สูงสุดบน Windows เพื่อติดตั้ง และโหลด DLL ที่เป็นอันตรายเข้าสู่หน่วยความจำ เพื่อเพิ่มสิทธิ์ และสั่งรันโค้ดที่เป็นอันตราย

“Trend Micro รับทราบถึงรายงานที่เผยแพร่เมื่อวันที่ 2 พฤษภาคม 2022 เกี่ยวกับแฮ็กเกอร์จากเอเชียที่มีชื่อว่า 'Moshen Dragon' ที่อ้างว่าสามารถโจมตี security products ยอดนิยมต่างๆ รวมทั้ง Trend Micro ด้วยเช่นกัน" Trend Micro กล่าว (more…)

กลุ่มแฮ็กเกอร์มุ่งเป้าโจมตีไปยังรัฐบาลรัสเซียด้วย Trojan โดยปลอมเป็น Windows update

เมื่อช่วงเดือนกุมภาพันธ์ถึงเดือนเมษานที่ผ่านมา กลุ่มแฮ็กเกอร์ได้มุ่งเป้าโจมตีไปที่หน่วยงานรัฐบาลของรัสเซีย โดยมีทั้งอีเมลฟิชชิ่งที่ปลอมเป็นไฟล์อัปเดตด้านความปลอดภัยของ Windows รวมไปถึงวิธีอื่นๆอีกมากมาย โดยมีเป้าหมายสูงสุดของแคมเปญคือการควบคุมเครื่องเป้าหมายจากระยะไกลด้วย remote access trojan (RAT)

รายละเอียดการโจมตี

ผู้เชี่ยวชาญจาก Malwarebytes ได้อธิบายว่า การโจมตีทั้งหมดมาจากกลุ่ม advanced persistent threat (APT) โดยแบ่งเป็น 4 แคมเปญหลักๆ ดังนี้

แคมเปญแรกมาจากฟิชชิ่งอีเมล ซึ่งเกิดขึ้นในเดือนกุมภาพันธ์ ไม่กี่วันหลังจากการรุกรานยูเครนของรัสเซีย โดยทำการแนบไฟล์ RAT ที่ชื่อ “interactive_map_UA.exe” ไปในอีเมล
แคมเปญที่สอง กลุ่มแฮ็กเกอร์มีการวางแผน และเตรียมตัวมามากขึ้น โดยแนบไฟล์ tar.