Mozilla ได้เผยแพร่การอัปเดตความปลอดภัยสำหรับผลิตภัณฑ์หลายรายการเพื่อแก้ไขช่องโหว่ Zero-day ที่ถูกใช้ในการโจมตีระหว่างการแข่งขันการแฮ็กในงาน Pwn2Own Vancouver 2022

หากถูกโจมตีด้วยช่องโหว่ระดับ Critical 2 ช่องโหว่นี้ จะทำให้ผู้โจมตีสามารถเรียกใช้โค้ด JavaScript บนอุปกรณ์มือถือ และ Desktop ที่ใช้ Firefox, Firefox ESR, Firefox สำหรับ Android และ Thunderbird ในเวอร์ชันที่มีช่องโหว่

ช่องโหว่ Zero-day ได้รับการแก้ไขแล้วใน Firefox 100.0.2, Firefox ESR 91.9.1, Firefox สำหรับ Android 100.3 และ Thunderbird 91.9.1

Cybersecurity and Infrastructure Security Agency (CISA) ได้มีการแจ้งให้ผู้ดูแลระบบ และผู้ใช้งาน แก้ไขช่องโหว่ด้านความปลอดภัยเหล่านี้ เนื่องจากผู้โจมตีสามารถใช้ประโยชน์จากช่องโหว่เพื่อเข้าควบคุมระบบที่ได้รับผลกระทบ

โดยทาง Mozilla ได้ใช้เวลาในการแก้ไขช่องโหว่เหล่านี้ 2 วัน หลังจากที่ถูกโจมตีในงานการแข่งขันการแฮ็ก Pwn2Own โดย Manfred Paul ซึ่งโดยปกติ Vendor ต่าง ๆ จะไม่รีบปล่อยแพตช์ของช่องโหว่ที่ถูกใช้หลังจากงาน Pwn2Own เนื่องจากพวกเขามีเวลาราวๆ 90 วันในการแก้ไขช่องโหว่ด้านความปลอดภัย จนกว่าที่จะมีการเปิดเผยรายละเอียดของวิธีการโจมตีต่อสาธารณะ

งาน Pwn2Own 2022 Vancouver ได้สิ้นสุดลงเมื่อวันที่ 20 พฤษภาคมหลังจากที่ผู้เข้าแข่งขัน 17 ราย ได้รับเงินรางวัลรวมทั้งหมด $1,155,000 สำหรับการหาช่องโหว่แบบ Zero-day เป็นระยะเวลา 3 วัน หลังจากมีการพยายามทดสอบการโจมตีไปทั้งสิ้น 21 ครั้ง

ที่มา: bleepingcomputer

Trend Micro แก้ไขช่องโหว่ที่แฮ็กเกอร์ชาวจีนใช้ในการขโมยข้อมูล

Trend Micro กล่าวว่าได้แก้ไขช่องโหว่ DLL hijacking ใน Trend Micro Security ที่ถูกใช้โดยกลุ่มแฮ็กเกอร์ชาวจีนเพื่อโหลด DLL ที่เป็นอันตราย และติดตั้งมัลแวร์

ตามที่ Sentinel Labs เปิดเผยในรายงานช่วงต้นเดือนพฤษภาคม แฮ็กเกอร์ใช้ประโยชน์จากการที่ Trend Micro Security ถูกรันด้วยสิทธิ์สูงสุดบน Windows เพื่อติดตั้ง และโหลด DLL ที่เป็นอันตรายเข้าสู่หน่วยความจำ เพื่อเพิ่มสิทธิ์ และสั่งรันโค้ดที่เป็นอันตราย

“Trend Micro รับทราบถึงรายงานที่เผยแพร่เมื่อวันที่ 2 พฤษภาคม 2022 เกี่ยวกับแฮ็กเกอร์จากเอเชียที่มีชื่อว่า 'Moshen Dragon' ที่อ้างว่าสามารถโจมตี security products ยอดนิยมต่างๆ รวมทั้ง Trend Micro ด้วยเช่นกัน" Trend Micro กล่าว (more…)

กลุ่มแฮ็กเกอร์มุ่งเป้าโจมตีไปยังรัฐบาลรัสเซียด้วย Trojan โดยปลอมเป็น Windows update

เมื่อช่วงเดือนกุมภาพันธ์ถึงเดือนเมษานที่ผ่านมา กลุ่มแฮ็กเกอร์ได้มุ่งเป้าโจมตีไปที่หน่วยงานรัฐบาลของรัสเซีย โดยมีทั้งอีเมลฟิชชิ่งที่ปลอมเป็นไฟล์อัปเดตด้านความปลอดภัยของ Windows รวมไปถึงวิธีอื่นๆอีกมากมาย โดยมีเป้าหมายสูงสุดของแคมเปญคือการควบคุมเครื่องเป้าหมายจากระยะไกลด้วย remote access trojan (RAT)

รายละเอียดการโจมตี

ผู้เชี่ยวชาญจาก Malwarebytes ได้อธิบายว่า การโจมตีทั้งหมดมาจากกลุ่ม advanced persistent threat (APT) โดยแบ่งเป็น 4 แคมเปญหลักๆ ดังนี้

แคมเปญแรกมาจากฟิชชิ่งอีเมล ซึ่งเกิดขึ้นในเดือนกุมภาพันธ์ ไม่กี่วันหลังจากการรุกรานยูเครนของรัสเซีย โดยทำการแนบไฟล์ RAT ที่ชื่อ “interactive_map_UA.exe” ไปในอีเมล
แคมเปญที่สอง กลุ่มแฮ็กเกอร์มีการวางแผน และเตรียมตัวมามากขึ้น โดยแนบไฟล์ tar.

Microsoft แจ้งเตือนแคมเปญ web skimming ใหม่ ที่มีความสามารถในการหลีกเลี่ยงการตรวจสอบ

ผู้โจมตีที่อยู่เบื้องหลังแคมเปญ web skimming ได้ใช้โค้ด JavaScript เพื่อเลียนแบบสคริปต์ Google Analytics และ Meta Pixel เพื่อหลีกเลี่ยงการตรวจจับ

โดยนักวิจัยด้านความปลอดภัยของ Microsoft พบว่ามีแคมเปญ web skimming ที่ใช้เทคนิค obfuscation หลายอย่างเพื่อหลีกเลี่ยงการตรวจจับ โดยผู้โจมตีจะใช้วิธีการ obfuscation กับ skimming script ด้วยการเข้ารหัส PHP Code ซึ่งถูกฝังอยู่ในไฟล์รูปภาพ โดย code นี้จะทำงานก็ต่อเมื่อถูกโหลดเข้าสู่หน้าเว็บไซต์

ผู้เชี่ยวชาญยังสังเกตเห็นเว็บแอปพลิเคชันที่ถูกโจมตี และฝัง JavaScript ที่ปลอมแปลงเป็นสคริปต์ของ Google Analytics และ Meta Pixel (เดิมคือ Facebook Pixel) รวมถึง skimming script บางตัวที่ป้องกันการถูกดีบักด้วย

"web skimming" คือการโจมตีรูปแบบหนึ่งที่ผู้โจมตีใช้ในการขโมยข้อมูลการชำระเงินของผู้เข้าใช้งานเว็บไซต์ที่เกี่ยวข้องกับการชำระเงิน โดยผุ้โจมตีจะใช้ประโยชน์จากช่องโหว่ในแพลตฟอร์ม e-commerce และ CMS เพื่อแทรกสคริปต์ skimming ลงในหน้าเพจของแพลตฟอร์มนั้นๆ หรือในบางกรณีผู้โจมตีก็จะใช้ประโยชน์จากช่องโหว่ของ third party plugins ที่ถูกติดตั้งบนแพลตฟอร์ม

“พบไฟล์รูปภาพที่เป็นอันตราย 2 ไฟล์ ที่ถูกอัปโหลดไปยังเซิร์ฟเวอร์ Magento โดยรูปภาพทั้งสองมีสคริปต์ PHP ที่มี JavaScript ที่เข้ารหัสด้วย Base64”

Microsoft ยังสังเกตเห็นการปลอมแปลงเป็นสคริปต์ Google Analytics และ Meta Pixel (เดิมคือ Facebook Pixel) เพื่อหลีกเลี่ยงการตรวจจับ โดยผู้โจมตีจะใช้ Base64-encoded string ไว้ในโค้ด Google Tag Manager ปลอม ซึ่งหาก decode string นี้ออกมาจะได้ URL trafficapps[.]business/data[.]php?p=form

“ด้วยทริคการหลบหลีกที่มากขึ้นที่ถูกใช้ในแคมเปญ skimming องค์กรควรตรวจสอบให้แน่ใจว่าแพลตฟอร์ม e-commerce, CMS และปลั๊กอินที่ติดตั้งได้รับการอัปเดตแพตช์ด้านความปลอดภัยเป็นเวอร์ชันล่าสุด และแนะนำให้ดาวน์โหลดปลั๊กอินจากThird Party จากแหล่งที่น่าเชื่อเถือเท่านั้น” Microsoft สรุป

ที่มา : securityaffairs.

บทเรียนจากเหตุการณ์ข้อมูลรั่วไหลของ Okta

จากเหตุการณ์ที่ Okta ถูกแฮ็กโดยกลุ่ม Lapsus$ ในเดือนมกราคม ทำให้เกิดการตั้งคำถามเป็นจำนวนมากด้านความปลอดภัยของข้อมูลส่วนบุคคล

เนื่องจากบริษัททำธุรกิจเกี่ยวกับการรักษาความปลอดภัย การถูกขโมยข้อมูลของ Okta ทำให้หลายคนตั้งคำถามเกี่ยวกับระบบ Identity manager ซึ่งหลายคนกำลังตั้งคำถามว่าการหวังพึ่งระบบใดระบบหนี่งในการบริหารจัดการข้อมูลส่วนบุคคลอาจจะไม่เหมาะสมอีกต่อไป เนื่องจากหลาย ๆ องค์กรใช้ Okta เป็นเครื่องมือด้านความปลอดภัยในการเข้าถึงข้อมูลประจำตัวเพียงระบบเดียว

Identity providers (IdPs) ช่วยทำให้องค์กรต่างๆ บริหารจัดการ Identity directories, authentication services เช่น การใช้ single sign-on และ multifactor authentication (MFA) และโดยทั่วไปช่วยในการจัดการเกี่ยวกับการเข้า และออกจากงานของพนักงานในองค์กรให้ทำได้ง่ายขึ้น

ในสถานการณ์ปกติจะพบการเข้าถึงระบบผ่านทาง IdP หรือเครื่องมือ Identity governance and administration (IGA) เท่านั้น ซึ่งหาก IdP ถูกโจมตี จะมีมาตรการตรวจสอบความถูกต้องของข้อมูลได้อย่างไร

วิธีที่จะบรรลุเป้าหมายนี้คือการการเฝ้าระวังการเชื่อมต่อกับแอป และบริการทั้งหมดขององค์กรอย่างเข้มงวด ตัวอย่างเช่น การเฝ้าระวังข้อมูลใน AWS อย่างเดียวอาจไม่เพียงพอหาก User ยังมีการใช้ GitHub, Google Docs และบริการระบบคลาวด์อื่น ๆ สำหรับการทำงาน

การตรวจสอบมีความจำเป็นต้องเฝ้าระวังพฤติกรรมทั้งหมดที่เกิดขึ้น ไม่เฉพาะกับข้อมูลที่ใช้ระบุตัวตนเท่านั้น แต่ยังต้องดูจาก Asset ขององค์กรด้วย เช่น local IAM, external users, service principals ที่มีการเข้าถึง Asset ขององค์กร ซึ่งหากมีการตรวจสอบสิทธิ์การเข้าถึงอย่างเข้มงวด จะทำให้สามารถตรวจสอบเหตุการณ์ที่น่าสงสัย และลดความเสี่ยงในการถูกเข้าถึงข้อมูลที่สำคัญได้หากให้สิทธิ์กับผู้ใช้งานเท่าที่มีความจำเป็นเท่านั้น

3 วิธีที่สามารถจำกัดความเสียหาย และทำให้แฮ็กเกอร์ขโมยข้อมูลได้ยากขึ้น

1. ลดการเปิดเผยข้อมูล

หลีกเลี่ยงการเปิดช่องทางการเข้าถึงระบบโดยไม่จำเป็น ซึ่งอาจกลายเป็นโหว่ให้ถูกโจมตีได้
ตรวจสอบให้แน่ใจว่าผู้ดูแลระบบทุกคนเปิดใช้งาน MFA
ยกเลิกสิทธิ์ User ที่ไม่ได้ใช้งาน หากไม่มีการใช้งานเกิน 30 หรือ 60 วัน
ตรวจสอบการเข้าถึงระบบเป็นระยะ โดยผู้ดูแลระบบต้องอนุมัติ หรือเพิกถอนสิทธิ์การเข้าถึงสำหรับพนักงาน และบุคคลอื่นๆ โดยตรวจสอบข้อมูลเหล่านี้อยู่เป็นประจำ เพื่อให้แน่ใจว่าทุกคนมีสิทธิ์การเข้าถึงเท่าที่มีความจำเป็นเท่านั้น

2. ตรวจสอบเฝ้าระวังอย่างต่อเนื่อง

เมื่อมีการกำหนดสิทธิ์การเข้าถึงได้อย่างเหมาะสมแล้ว ต้องคอยตรวจสอบอยู่เสมอว่าสิทธิ์นั้นจะไม่ถูกเปลี่ยนแปลง
ควรมีวิธีการที่สามารถตรวจสอบ และแจ้งเตือนหากมีการละเมิดเกิดขึ้น ตัวอย่างเช่น หากมีการสร้างบัญชีผู้ดูแลระบบใหม่ หรือไม่มีการใช้บัญชีที่ไม่เคยใช้งานเกิน 30 วัน

3. รักษาความปลอดภัยของ Supply Chain

ตรวจสอบให้แน่ใจว่าทุกคนที่เกี่ยวข้องกับระบบ หรือ Partner รายอื่นๆ มีการปฏิบัติตามมาตรฐานด้านความปลอดภัยขององค์กร
หากการปฏิบัติงานจาก Vendor ที่เป็นบุคคลภายนอกไม่เป็นไปตามมาตรฐานด้านความปลอดภัย ซึ่งอาจส่งผลกระทบต่อลูกค้า จะต้องแจ้งให้ Vendor รับทราบถึงมาตรฐานขององค์กร และบังคับให้พวกเขาปฏิบัติตามให้ได้
แม้ว่าเครื่องมือตรวจสอบสิทธิ์ และ IdP จะเป็นขั้นตอนแรกที่สำคัญในการระบุตัวตน และการเข้าถึง Infrastructure แต่องค์กรก็ต้องมีการเฝ้าระวัง เพื่อให้แน่ใจได้ว่าหากเกิดความผิดพลาดจาก Vendor รายเดียวจะไม่ทำให้กระทบกับระบบโดยรวม

ที่มา: www.

นักวิจัยพบแคมเปญมัลแวร์ใหม่ที่มุ่งเป้าไปยังกลุ่ม infoSec community ด้วย Proof of Concept exploits ** ปลอมเพื่อแอบติดตั้ง Cobalt Strike beacon

นักวิจัยจากบริษัทข่าวกรองภัยคุกคาม Cyble ค้นพบแคมเปญมัลแวร์ที่กำหนดเป้าหมายไปยัง infoSec community โดยผู้เชี่ยวชาญพบโพสต์ที่มีนักวิจัยแชร์โค้ดบน GitHub ที่อ้างว่าเป็น Proof of Concept (POC) สำหรับช่องโหว่ RPC Runtime Library Remote Code Execution (CVE-2022-26809 CVSS 9.8) ซึ่งจริงๆแล้วเป็นมัลแวร์

“จากการตรวจสอบเพิ่มเติมพบว่ามัลแวร์ที่ปลอมเป็น exploits ดังกล่าวคล้ายกับที่เคยพบก่อนหน้านี้กับมัลแวร์ที่ปลอมเป็น POC ของช่องโหว่ CVE-2022-24500 โดย Cyble พบว่ามัลแวร์ทั้งสองตัวถูกเผยแพร่อยู่บน GitHub และน่าสนใจว่ามัลแวร์ทั้งสองตัวอยู่ใน profile ของผู้ใช้คนเดียวกัน ซึ่งแสดงให้เห็นว่าผู้โจมตีในครั้งนี้ตั้งใจที่จะมุ่งเป้าการโจมตีไปยัง infoSec community"

จากการวิเคราะห์มัลแวร์พบว่าเป็นไบนารี .Net ที่อยู่ใน ConfuserEX ซึ่งเป็นฟรี open-source protector สำหรับแอปพลิเคชัน .NET โดยตัวมัลแวร์จะไม่มีโค้ดที่ใช้สำหรับโจมตีช่องโหว่อยู่จริงๆ โดยตัวมันจะทำเหมือนว่ากำลังโจมตี และรัน shell code แต่จริงๆแล้วเพียงแค่ print ข้อความหลอกๆโชว์ออกมาเท่านั้น

ซึ่งจริงๆแล้วมัลแวร์จะรันคำสั่งบน PowerShell ผ่าน cmd.

ในวันพฤหัสบดีที่ 19 พฤษภาคม Threat Analysis Group (TAG) ของ Google รายงานว่า Cytrox ผู้พัฒนาสปายแวร์ ได้พัฒนาเครื่องมือที่ใช้ในการโจมตีช่องโหว่ Zero-day 5 รายการ เพื่อกำหนดเป้าหมายไปยังผู้ใช้ Android ด้วยสปายแวร์

มีการใช้งานช่องโหว่ Zero-day ร่วมกับช่องโหว่ n-day เพื่อติดตั้งสปายแวร์ โดยได้มีการพัฒนาเครื่องมือที่ใช้ในการโจมตีช่องโหว่สำหรับ Chrome Zero-day และ 1 ช่องโหว่สำหรับ Android Zero-day

CVE-2021-37973, CVE-2021-37976, CVE-2021-38000, CVE-2021-38003 in Chrome
CVE-2021-1048 in Android

นักวิจัย TAG Clement Lecigne และ Christian Resell อธิบายว่ามีการใช้งานเครื่องมือที่ใช้ในการโจมตี Zero-day ร่วมกับ n-day โดยผู้โจมตีพยายามใช้ประโยชน์จากความแตกต่างของระยะเวลาในการออกแพตช์ในระดับ Critical บางตัว ซึ่งบางครั้งแพตช์เหล่านี้ไม่ได้ถูกปล่อยออกมาพร้อมกันบนอุปกรณ์ Android ทั้งหมดจากผู้ให้บริการในแต่ละราย

ตามข้อมูลของ Google ช่องโหว่ดังกล่าวรวมอยู่ในรายการสปายแวร์ของ Cytrox ที่ขายให้กับผู้ดำเนินการที่มีส่วนเกี่ยวข้องกับภาครัฐของชาติต่างๆ เช่น อียิปต์ อาร์เมเนีย กรีซ มาดากัสการ์ โกตดิวัวร์ เซอร์เบีย สเปน และอินโดนีเซีย ซึ่งผู้โจมตีกำลังใช้สปายแวร์ Predator ใน 3 แคมเปญที่แตกต่างกันในรายงานการวิเคราะห์จาก Citizen Lab ของมหาวิทยาลัยโตรอนโต

TAG ตรวจสอบ 3 แคมเปญ และได้สรุปว่าผู้โจมตีจะทำการส่งลิงก์ไปยังผู้ใช้ Android ผ่าน spear-phishing emails ลิงก์เหล่านี้จะถูกย่อโดยใช้ URL shortener ที่ใช้ทั่วไป ซึ่งผู้โจมตีจะมุ่งเป้าไปยังเหยื่อเพียงไม่กี่ราย เมื่อเหยื่อคลิกที่ URL เหล่านี้ ก็จะทำให้ถูกเปลี่ยนเส้นทางไปยังโดเมนภายใต้การควบคุมของผู้โจมตีซึ่งใช้ในการโจมตีช่องโหว่ดังกล่าว ก่อนที่จะเปลี่ยนเส้นทางกลับไปยังเว็บไซต์ที่ถูกต้อง การกระทำดังกล่าวใช้เพื่อส่ง ALIEN Android banking Trojan ที่ทำหน้าที่เป็นตัวโหลด Cytrox's Predator

(more…)

ในวันที่ 3 ของงาน Pwn2Own งานแข่งขันของแฮ็กเกอร์ซึ่งปีนี้ถูกจัดขึ้นที่แวนคูเวอร์ประเทศแคนาดา นักวิจัยด้านความปลอดภัยได้ใช้ช่องโหว่ Zero-day 3 รายการแฮ็กระบบปฏิบัติการ Windows 11 ของ Microsoft ได้สำเร็จ

ในความพยายามครั้งแรกของทีม DoubleDragon ในการพยายามแฮ็กผ่าน Microsoft Teams ไม่สำเร็จ เนื่องจากไม่สามารถโจมตีได้สำเร็จภายในระยะเวลาที่ Microsoft กำหนด แต่ก็ยังมีผู้เข้าแข่งขันรายอื่นๆที่สามารถแฮ็ก Windows 11 ได้สำเร็จถึงสามครั้ง รวมไปถึงการแฮ็ก Ubuntu Desktop ด้วยอีกหนึ่งครั้ง ซึ่งทำให้ผู้เข้าแข่งขันได้รับเงินไปทั้งหมด $160,000

(more…)

เมื่อวันที่ 17 พฤษภาคม พ.ศ. 2565 มีผู้ไม่หวังดีได้อัปโหลดไฟล์อันตรายชื่อ 'pymafka' ไปยัง PyPI ที่เป็นคลังโปรแกรม และไลบรารีเสริมของ Python โดยไฟล์อันตรายนี้ได้มีชื่อคล้ายกับ PyKafka ซึ่งเป็น Client ของ Apache Kafka ที่ใช้กันอย่างแพร่หลาย โดยต่างกันเพียงเปลี่ยนจาก 'K' เป็น 'M'

Sonatype ซึ่งเป็นผู้ค้นพบ pymafka ได้รายงานไปยัง PyPI ทำให้ไฟล์ดังกล่าวถูกลบออกไปจากระบบเรียบร้อย นอกจากนี้ยังมีการแจ้งไปยังนักพัฒนาที่ดาวน์โหลดไฟล์มาให้ทำการลบไฟล์ทิ้ง และตรวจสอบระบบของพวกเขาทั้งหมดที่อาจถูกฝัง Cobalt Strike Beacon และ Linux Backdoors ไว้ อย่างไรก็ตามพบว่ามีผู้ดาวโหลดไฟล์นี้กว่า 325 ครั้ง ทำให้อาจจะยังมีผู้ได้รับผลกระทบ เนื่องจากไฟล์ดังกล่าวมีการขออนุญาตเข้าถึงข้อมูลภายในของผู้พัฒนาระบบจำนวนมาก

(more…)

 

Microsoft ได้ออกอัปเดตแพตซ์แบบ out-of-band ในช่วงเย็นวันพฤหัสบดีที่ผ่านมา เพื่อแก้ไขปัญหาใหม่ที่พบซึ่งส่งผลต่อแอปบน Microsoft Store

โดยในระบบที่ได้รับผลกระทบ ผู้ใช้งานอาจประสบปัญหาในการเปิด หรือติดตั้งแอปจาก Microsoft Store โดยในบางกรณีอาจยังพบ error code : 0xC002001B

ปัญหาที่นี้ส่งผลต่ออุปกรณ์ที่ใช้ Windows 10 (เวอร์ชัน 21H2, 21H1 และ 20H2) ซึ่งผู้ใช้งานที่ได้ติดตั้ง KB5011831 ที่เผยแพร่ตั้งแต่วันที่ 25 เมษายนที่ผ่านมา

"หลังจากติดตั้ง KB5011831 หรือแพตซ์หลังจากนั้น ผู้ใช้งานอาจพบข้อความ error code:0xC002001B เมื่อพยายามติดตั้งแอปจาก Microsoft Store" Microsoft อธิบาย

"แอปบน Microsoft Store บางแอปอาจเปิดไม่ได้เช่นกัน โดย Windows ที่ได้รับผลกระทบ จะพบว่ามีการใช้งาน CPU ซึ่งรองรับ Control-flow Enforcement Technology (CET) เช่น CPU Intel Gen.