Cybersecurity and Infrastructure Security Agency (CISA) ได้เพิ่มช่องโหว่อีก 2 รายการเข้าสุ่รายการเฝ้าระวังช่องโหว่ร้ายแรงที่กำลังถูกนำมาใช้ในการโจมตีจริง ช่องโหว่แรกคือช่องโหว่ code injection บน Spring Cloud Gateway library และอีกหนึ่งช่องโหว่ command injection ในเฟิร์มแวร์ของ Zyxel บนอุปกรณ์ไฟร์วอลล์ และ VPN

โดยช่องโหว่ Spring Framework (CVE-2022-22947) เป็นช่องโหว่ระดับ Critical ที่สามารถทำให้ผู้โจมตีสามารถสั่งรันโค้ดที่เป็นอันตรายจากระยะไกลได้บนเครื่องที่ยังไม่ได้อัปเดตแพตซ์

ซึ่งปัจจุบัน Botnet ที่รู้จักกันในชื่อ Sysrv เริ่มดำเนินการโจมตีเพื่อติดตั้งมัลแวร์ cryptomining บนเซิร์ฟเวอร์ Windows และ Linux ที่มีช่องโหว่

ผู้โจมตียังโจมตีโดยใช้ช่องโหว่ในเฟิร์มแวร์ของ Zyxel (CVE-2022-30525) ซึ่งพึ่งได้รับการแก้ไขไปเมื่อวันที่ 12 พฤษภาคม และเริ่มพบการโจมตีทันทีหลังจากวันที่ทาง Zyxel ออกแพตซ์อัปเดตออกมา

Rapid7 พบผลิตภัณฑ์ของ Zyxel ที่มีช่องโหว่มากกว่า 15,000 เครื่องที่สามารถเข้าถึงได้จากอินเทอร์เน็ต ในขณะที่ Shadowserver ตรวจพบอุปกรณ์ที่อาจได้รับผลกระทบอย่างน้อย 20,000 เครื่อง

นับตั้งแต่การโจมตีเริ่มต้นขึ้น Rob Joyce ผู้อำนวยการด้านความปลอดภัยทางไซเบอร์ของ NSA ยังเตือนผู้ดูแลระบบเกี่ยวกับการโจมตีที่เริ่มพบมากขึ้นเรื่อยๆ และแนะนำให้รีบอัปเดตเฟิร์มแวร์ของไฟร์วอลล์ Zyxel โดยเร็วที่สุด

(more…)

Apple ออกแพตช์อัปเดตด้านความปลอดภัยเพื่อแก้ไขช่องโหว่ Zero-day ที่ผู้โจมตีสามารถใช้ประโยชน์จากช่องโหว่ในการโจมตีไปยังอุปกรณ์ Mac และ Apple Watch

ในคำแนะนำด้านความปลอดภัยที่ออกมาเมื่อวันจันทร์จาก Apple มีการระบุว่าทาง Apple ได้รับทราบถึงรายงานของช่องโหว่ด้านความปลอดภัยนี้แล้ว และยังคาดว่าอาจมีการนำไปใช้ในการโจมตีจริง นักวิจัยที่ไม่ได้ระบุชื่อเป็นผู้รายงานช่องโหว่ดังกล่าว และได้รับการแก้ไขจาก Apple ใน macOS Big Sur 11.6, watchOS 8.6 และ tvOS 15.5 โดยช่องโหว่เกิดจาก out-of-bounds write issue (CVE-2022-22675) ใน AppleAVD (kernel extension สำหรับการถอดรหัสเสียง และวิดีโอ) ที่ทำให้แอปสามารถสั่งรันโค้ดได้ตามต้องการด้วยสิทธิ์ของ kernel

อุปกรณ์ที่ได้รับผลกระทบ ได้แก่ Apple Watch Series 3 หรือใหม่กว่า, Mac ที่ใช้ macOS Big Sur, Apple TV 4K, Apple TV 4K (รุ่นที่ 2) และ Apple TV HD

แม้ว่า Apple ได้เปิดเผยรายงานว่าคาดว่าน่าจะมีการโจมตีเกิดขึ้นจริงแล้ว แต่ก็ยังไม่มีข้อมูลเพิ่มเติมเกี่ยวกับการโจมตีดังกล่าว

Apple ตั้งเป้าอัปเดตด้านความปลอดภัยบน Apple Watch และ Mac ให้กับผู้ใช้งานให้ได้มากที่สุด ก่อนที่ผู้โจมตีจะรู้รายละเอียดของ Zero-day และเริ่มนำมาปรับใช้ในการโจมตีส่วนอื่นๆ แม้ว่า Zero-day นี้ส่วนใหญ่จะใช้โจมตีได้แค่บางอุปกรณ์เท่านั้น แต่ทาง Apple ก็แนะนำให้ผู้ใช้งานรีบอัปเดต macOS และ watchOS โดยเร็วที่สุดเพื่อป้องกันการโจมตีที่อาจจะเกิดขึ้น

5 Zero-days ที่ถูกแพตช์ในปี 2022

ในเดือนมกราคม Apple ได้ทำการแพตช์ Zero-days อีกสองตัวที่ถูกใช้ในการโจมตีเป็นวงกว้าง โดยผู้โจมตีสามารถเรียกใช้โค้ดด้วยสิทธิ์เคอร์เนล (CVE-2022-22587) และเก็บข้อมูลการเข้าใช้งานเว็บไซต์, ข้อมูลประจำตัวผู้ใช้แบบเรียลไทม์ (CVE-2022-22594)

หนึ่งเดือนต่อมา Apple ได้เผยแพร่การอัปเดตด้านความปลอดภัยเพื่อแก้ไขช่องโหว่ Zero-days (CVE-2022-22620) ใหม่ ซึ่งถูกใช้ในการแฮ็ก iPhone, iPad และ Mac ซึ่งสามารถทำให้เกิด OS crashes รวมถึงการสั่งรันโค้ดที่เป็นอันตรายบนอุปกรณ์ Apple ที่ถูกโจมตีได้

ในเดือนมีนาคมก็มีการพบ Zero-days อีกสองตัวใน Intel Graphics Driver (CVE-2022-22674) และ AppleAVD media decoder (CVE-2022-22675) ใน macOS เวอร์ชันเก่า, watchOS 8.6 และ tvOS 15.5

Zero-days ทั้ง 5 นี้ส่งผลกระทบต่อ iPhone (iPhone 6s ขึ้นไป), Mac ที่ใช้ macOS Monterey และ iPad หลายรุ่น

ซึ่งตลอดปีที่ผ่านมา Apple ยังได้ออกแพตซ์แก้ไขช่องโหว่ Zero-days อีกจำนวนมากที่ถูกมุ่งเป้าโจมตีไปยังอุปกรณ์ iOS, iPadOS และ macOS

ที่มา: bleepingcomputer

มัลแวร์ BPFdoor บน Linux สามารถ bypass ไฟร์วอลล์เพื่อแอบ Remote เข้าเครื่องเหยื่อ

มัลแวร์ที่ได้มีการตรวจพบเมื่อเร็ว ๆ นี้ชื่อว่า BPFdoor ซึ่งมุ่งเป้าการโจมตีไปยังระบบปฏิบัติการ Linux และ Solaris โดยไม่มีการถูกตรวจพบมานานกว่าห้าปี โดยมัลแวร์ BPFdoor เป็น Linux/Unix backdoor ที่ทำให้ผู้โจมตีสามารถเข้าถึง Shell บน Linux จากระยะไกล เพื่อเข้าควบคุมเครื่องเหยื่อได้อย่างสมบูรณ์

มัลแวร์ดังกล่าวไม่จำเป็นต้องใช้งานเฉพาะ Port ที่มีการเปิดไว้ผ่านไฟร์วอลล์ จึงทำให้มันสามารถรับคำสั่งจาก IP ใดๆก็ได้บนอินเทอร์เน็ต ทำให้มันเป็นเครื่องมือที่สุดยอดมากสำหรับผู้โจมตีในการขโมยข้อมูลจากองค์กร และแอบแฝงตัวอยู่บนระบบของเหยื่อได้เป็นอย่างดี

BPFdoor เป็น passive backdoor ซึ่งหมายความว่ามันสามารถใช้แค่ 1 Port หรือหลาย Port ก็ได้ สำหรับรับคำสั่งจากผู้โจมตีไปยังเครือข่ายที่ถูกควบคุมไว้

มัลแวร์มีการใช้ Berkeley Packet Filter (BPF) ซึ่งทำงานบน network layer interface เพื่อดูการรับส่งข้อมูลเครือข่ายทั้งหมด และส่งแพ็กเก็ตไปยังปลายทางอื่นๆ และด้วยการทำงานใน network Layer ทำให้มัลแวร์ BPF ไม่จำเป็นต้องผ่านการตรวจสอบของ firewall rules

นักวิจัยด้านความปลอดภัย Kevin Beaumont ผู้เผยแพร่ข้อมูลในบล็อกโพสต์เกี่ยวกับ BPFdoor บอกกับ BleepingComputer ว่า ผู้โจมตีใช้รหัสผ่านที่เรียกว่า “magic” เพื่อเข้าควบคุมระบบ

มัลแวร์ BPFdoor มีการแยกวิเคราะห์เฉพาะแพ็กเก็ต ICMP, UDP และ TCP โดยมีการตรวจสอบค่าข้อมูลเฉพาะ และรหัสผ่านสำหรับแพ็กเก็ต UDP และ TCP โดยสิ่งที่ทำให้ BPFDoor มีความพิเศษคือมันสามารถตรวจสอบพอร์ตใดๆ ก็ได้สำหรับ magic packet แม้ว่าพอร์ตเหล่านั้นจะถูกใช้งานโดย Service ที่เป็นการใช้งานปกติ เช่น webservers, FTP หรือ SSH

หากแพ็กเก็ต TCP และ UDP มีข้อมูล "magic" ที่ถูกต้อง และรหัสผ่านที่ถูกต้อง backdoor จะดำเนินการตามคำสั่ง เช่น การตั้งค่า Bind หรือ Reverse Shell

นักวิจัยสามารถค้นหาพฤติกรรมที่เกี่ยวกับมัลแวร์ BPFdoor บนเครือข่ายขององค์กรในหลายๆ ประเทศ ซึ่งรวมถึง Speedtest servers 11 แห่งที่ติดมัลแวร์ BPFdoor โดยนักวิจัยกล่าวว่ายังไม่ชัดเจนว่าเครื่องเหล่านี้ถูกบุกรุกได้อย่างไร โดยเฉพาะเมื่อทำงานบน closed-source software

การ Bypass local firewall

Rowland ได้มีการระบุในรายงานทางเทคนิคที่ครอบคลุมเกี่ยวกับ BPFdoor ว่า มัลแวร์มีการใช้วิธีการหลีกเลี่ยงการตรวจจับที่ชาญฉลาด ดังนี้

มีการแฝงอยู่ในหน่วยความจำระบบ และติดตั้ง anti-forensics (ลบ process environment แม้ว่าจะวางมัลแวร์ไว้ไม่สำเร็จก็ตาม)
มีการโหลดตัว Berkeley Packet Filter (BPF) sniffer เพื่อทำให้สามารถดำเนินการดักจับแพ็กเก็ต
แก้ไข 'iptables' rules เมื่อได้รับแพ็กเก็ตที่ทำให้ผู้โจมตีสามารถเชื่อมต่อผ่าน local firewall ได้
ปลอมแปลงไบนารีภายใต้ชื่อที่คล้ายกับ Common Linux system daemon
เปลี่ยนชื่อ และรันตัวเองเป็น /dev/shm/kdmtmpflush
เปลี่ยนวันที่ของไบนารี (timestomping) เป็น 30 ตุลาคม 2008 ก่อนจะมีการลบออก

Rowland เชื่อว่าคำอธิบายสำหรับ timestomping ซึ่งเป็นเทคนิค anti-forensics ในกรณีนี้ อาจเป็นไปได้ว่าผู้โจมตีอาจพยายามป้องกันไบนารีในกรณีที่การลบข้อมูลล้มเหลว และวัตถุประสงค์ของวันที่ปลอมอาจใช้เพื่อซ่อนมัลแวร์จากการค้นหาเพื่อใช้ค้นหาไฟล์ใหม่ในระบบ

การเปลี่ยน firewall rules มีความสำคัญเป็นอย่างมาก เนื่องจากช่วยทำให้ผู้โจมตีสามารถติดต่อกับ backdoor ผ่านการรับส่งข้อมูลที่ไฟร์วอลล์ไม่สามารถมองว่าเหตุการณ์ดังกล่าวเป็น suspicious

Rowland อธิบายว่าเมื่อโฮสต์ที่ติดไวรัสได้รับแพ็กเก็ต BPFdoor มัลแวร์จะ “วาง instance ใหม่ และเปลี่ยน iptables rules ในเครื่องเพื่อทำการเปลี่ยนเส้นทางจากโฮสต์ที่มีการ Request ไปยัง Shell port”

Rowland กล่าวว่าสำหรับ local shell มัลแวร์จะแก้ไขการกำหนดค่า 'iptables' เพื่อเปลี่ยนเส้นทางการรับส่งข้อมูลทั้งหมดที่มาจากผู้โจมตีผ่านพอร์ตที่เป็นการใช้งานปกติไปยัง port range ที่กำหนดไว้ในมัลแวร์ ด้วยวิธีนี้ ผู้โจมตีสามารถเลือกการเชื่อมต่อผ่านพอร์ตใดก็ได้ เพราะมันจะถูกส่งไปยัง Shell ที่อยู่ด้านหลังไฟร์วอลล์

Commands and detection

การวิเคราะห์ทางเทคนิคอื่นๆ เกี่ยวกับ BPFdoor จาก Tristan Pourcelot ของบริษัท ExaTrack ซึ่งเป็นบริษัทข่าวกรองด้านภัยคุกคาม ตั้งข้อสังเกตว่ามัลแวร์มาพร้อมกับชื่อ hardcoded หลายชื่อที่ตรงกับ Command string ภายในแพ็กเก็ตที่เกี่ยวข้อง:

justtryit, justrobot และ justforfun เพื่อสร้าง bind shell บนพอร์ต 42391 ถึง 42491
socket หรือ sockettcp เพื่อตั้งค่า reverse shell เป็นที่อยู่ IP ที่มีอยู่ในแพ็กเก็ต

ส่วนหนึ่งของเทคนิคของ BPFdoor ในการหลบเลี่ยงการตรวจจับคือการเปลี่ยนชื่อไบนารีเพื่อให้ปรากฏเป็น Linux daemon ปกติโดยใช้คำสั่งด้านล่าง:
/sbin/udevd -d
/sbin/mingetty /dev/tty7
/usr/sbin/console-kit-daemon --no-daemon
hald-addon-acpi: listening on acpi kernel interface /proc/acpi/event
dbus-daemon --system
hald-runner
pickup -l -t fifo -u
avahi-daemon: chroot helper
/sbin/auditd -n
/usr/lib/systemd/systemd-journald

Pourcelot กล่าวว่าผู้โจมตีได้มีการอัปเดต BPFdoor เป็นประจำ และปรับปรุงแต่ละรุ่นด้วยชื่อที่แตกต่างกันสำหรับคำสั่ง กระบวนการ หรือไฟล์ เช่น มีการเปลี่ยนจากการใช้คีย์เวิร์ดคำสั่งเป็น MD5 hash ซึ่งน่าจะเป็นการพยายามหลีกเลี่ยงการตรวจจับ

ปัจจุบันมี BPFdoor ที่มีการตรวจพบอย่างน้อย 21 เวอร์ชันบนแพลตฟอร์ม Virus Total โดยมีเวอร์ชันแรกสุดในเดือนสิงหาคม 2018

BPFdoor หนึ่งรายการของ Solaris ตั้งแต่ปี 2019 ไม่สามารถตรวจพบได้จนกระทั่งวันที่ 7 พฤษภาคม จึงจะมี antivirus engines 28 รายการที่ระบุว่าเป็นอันตราย
ที่มา:www.

Sysrv botnet กำหนดเป้าหมายเซิร์ฟเวอร์ Windows และ Linux ด้วยช่องโหว่ใหม่

Microsoft กล่าวว่า Sysrv botnet กำลังใช้ประโยชน์จากช่องโหว่ใน Spring Framework และ WordPress เพื่อติดตั้งมัลแวร์ cryptomining บนเซิร์ฟเวอร์ Windows และ Linux ที่มีช่องโหว่

Microsoft ค้นพบมัลแวร์ Sysrv สายพันธุ์ใหม่ที่ชื่อว่า Sysrv-K ที่ถูกพัฒนาให้มีความสามารถมากขึ้น และยังสามารถสแกนหา WordPress ที่ไม่ได้แพตช์ และมีการใช้ Spring

โดยทีม Microsoft Security Intelligence กล่าวในเธรดบน Twitter ถึง Sysrv-K ที่มีความสามารถเข้าควบคุมเว็บเซิร์ฟเวอร์ได้โดยใช้ประโยชน์จากช่องโหว่ต่างๆ โดยช่องโหว่เหล่านี้ได้มีการแก้ไขแล้วด้วยการอัปเดตความปลอดภัย รวมถึงช่องโหว่เก่าใน WordPress plugins และช่องโหว่ใหม่ๆ เช่น CVE-2022-22947

CVE-2022-22947 เป็นช่องโหว่ Code injection บน Spring Cloud Gateway library ที่ทำให้ถูกโจมตีในรูปแบบ remote code execution บนระบบที่ยังไม่ได้อัปเดตแพตช์ได้ โดยในส่วนหนึ่งของความสามารถใหม่เหล่านี้ Sysrv-K จะสแกนหา configuration files และ backups ของ WordPress เพื่อขโมย database credentials และใช้ในการเข้าควบคุมเว็บเซิร์ฟเวอร์

Sysrv กำลังสแกนจากอินเทอร์เน็ต เพื่อหาเซิร์ฟเวอร์ Windows และ Linux ที่มีช่องโหว่ในองค์กร เพื่อติดตั้ง Monero (XMRig) miners และเพย์โหลดมัลแวร์อื่นๆ

ในการแฮ็กเข้าสู่เว็บเซิร์ฟเวอร์เหล่านี้ botnet จะใช้ประโยชน์จากช่องโหว่ในเว็บแอป และฐานข้อมูล เช่น PHPUnit, Apache Solar, Confluence, Laravel, JBoss, Jira, Sonatype, Oracle WebLogic และ Apache Struts

หลังจากติดตั้ง cryptocurrency miners และปรับใช้ payloads ของตัวเองแล้ว Sysrv ยังแพร่กระจายตัวเองโดยอัตโนมัติบนเครือข่ายผ่านการ brute force attacks โดยใช้ SSH private keys ที่รวบรวมจากเซิร์ฟเวอร์ที่ติดมัลแวร์ (เช่น bash history, ssh config, and known_hosts files)

botnet propagator จะสแกนไปบนอินเทอร์เน็ตเพื่อหาระบบ Windows และ Linux ที่มีช่องโหว่ให้มากขึ้น เพื่อทำการเพิ่ม Monero mining bots

ที่มา : www.

CERT-UA ของยูเครน เตือนถึงการโจมตีครั้งใหม่โดย Armageddon APT. ที่เชื่อมโยงกับรัสเซีย

Ukraine Computer Emergency Response Team (CERT-UA) ได้รายงาน phishing campaign ที่ใช้ข้อความโดยมี subject ชื่อ “On revenge in Kherson!” และมีไฟล์แนบ "Plan Kherson.

Microsoft กำลังตรวจสอบปัญหาเกี่ยวกับ authentication failures สำหรับ Windows services บางรายการ หลังจากติดตั้งอัปเดตใน Patch Tuesday ช่วงเดือนพฤษภาคม 2022 โดยปัญหานี้เกิดขึ้นหลังจากผู้ดูแลระบบ Windows เริ่มรายงานเกี่ยวกับ policies failing หลังจากมีการติดตั้งการอัปเดตด้านความปลอดภัยในเดือนนี้ ซึ่งทำให้การตรวจสอบสิทธิ์ไม่สำเร็จเนื่องจากข้อมูล credentials ของผู้ใช้ไม่ตรงกัน ไม่ว่าจะเป็นชื่อผู้ใช้ที่ระบุไม่ตรงกับบัญชีที่มีอยู่ หรือรหัสผ่านไม่ถูกต้อง

ปัญหาดังกล่าวส่งผลกระทบต่อ Windows platforms ของไคลเอนต์ และเซิร์ฟเวอร์ และระบบที่ใช้ Windows ทุกเวอร์ชัน รวมถึงเวอร์ชันล่าสุดของ Windows 11 และ Windows Server 2022

Microsoft กล่าวว่าปัญหาดังกล่าวจะเกิดขึ้นหลังจากติดตั้งการอัปเดตบนเซิร์ฟเวอร์ที่ใช้เป็น domain controllers เท่านั้น การอัปเดตจะไม่ส่งผลกระทบกับ Windows บน client และ Windows Servers ที่ไม่ใช่ domain controllers

Microsoft กล่าวว่าหลังจากติดตั้งการอัปเดตบน domain controllers ที่เผยแพร่เมื่อวันที่ 10 พฤษภาคม 2022 อาจจะพบการ authentication failures บนเซิร์ฟเวอร์หรือไคลเอนต์ สำหรับบริการต่างๆ เช่น Network Policy Server (NPS), Routing and Remote access Service (RRAS), Radius, Extensible Authentication Protocol (EAP) และ Protected Extensible Authentication Protocol (PEAP) และพบปัญหาที่เกี่ยวข้องกับวิธีการจัดการ mapping of certificates กับบัญชีเครื่องโดยตัว domain controllers โดย Microsoft กำลังตรวจสอบปัญหาดังกล่าว และจะทำการอัปเดตเพื่อแก้ไขปัญหาในรอบถัดไป

Microsoft อธิบายในรายงานว่าปัญหาของ service authentication ที่กำลังเกิดขึ้นอยู่นี้ เกิดจากการอัปเดตความปลอดภัยที่มีหมายเลข CVE-2022-26931 และ CVE-2022-26923 ซึ่งเป็นช่องโหว่การยกระดับสิทธิ์ใน Windows Kerberos และ Active Directory Domain Services และอีกช่องโหว่คือ CVE-2022-26923 ที่ทำให้ผู้โจมตีที่เข้าถึงบัญชีที่มีสิทธิ์ต่ำสามารถยกระดับสิทธิ์เป็น domain admin ได้

เพื่อแก้ไขปัญหาที่เกิดขึ้นในครั้งนี้ Microsoft แนะนำให้ mapping certificate กับ machine account ใน Active Directory ด้วยตนเอง จนกว่าจะมีการอัปเดตอย่างเป็นทางการ ถ้าหากวิธีการดังกล่าวยังไม่สามารถแก้ไขปัญหาได้ สามารถดูรายละเอียดใน 'KB5014754—Certificate-based authentication changes on Windows domain controllers' เพื่อแก้ไขปัญหาอื่น ๆ ที่เป็นไปได้ ในส่วนของ SChannel registry key section

Microsoft กล่าวว่าการอัปเดตในเดือนพฤษภาคม 2565 จะตั้งค่า StrongCertificateBindingEnforcement registry key โดยอัตโนมัติ ซึ่งจะเปลี่ยน enforcement mode ของ Kerberos Distribution Center (KDC) ไปเป็น Compatibility mode (ควรอนุญาตให้มีการตรวจสอบสิทธิ์ทั้งหมด เว้นแต่ certificate จะเก่ากว่าผู้ใช้) อย่างไรก็ตาม ผู้ดูแลระบบ Windows ให้ข้อมูลกับ BleepingComputer ว่าวิธีเดียวที่จะทำให้ผู้ใช้บางคนเข้าสู่ระบบด้วยการอัปเดตครั้งนี้ได้คือปิดใช้งาน StrongCertificateBindingEnforcement key โดยตั้งค่าเป็น 0 และหากไม่พบคีย์ใน registry ให้สร้างขึ้นมาใหม่ทั้งหมดโดยใช้ REG_DWORD Data Type และตั้งค่าให้เป็น 0 เพื่อปิดใช้งาน certificate mapping check ถึงแม้ว่า Microsoft จะไม่แนะนำ แต่ก็เป็นวิธีเดียวที่จะอนุญาตให้ผู้ใช้ทั้งหมดเข้าสู่ระบบได้

ที่มา : bleepingcomputer.

พบ Remote access trojan ตัวใหม่ที่มีชื่อว่า Nerbian RAT ซึ่งประกอบไปด้วยคุณสมบัติพิเศษหลายอย่าง รวมไปถึงการหลบเลี่ยงการตรวจจับ และวิเคราะห์จากนักวิจัย

มัลแวร์รูปแบบใหม่นี้ถูกเขียนจากภาษา Go ซึ่งทำให้มันสามารถทำงานได้หลายแพลตฟอร์ม โดยปัจจุบันเริ่มพบการแพร่กระจายผ่านทางอีเมลล์ที่มีไฟล์แนบที่ฝังมาโครที่เป็นอันตรายไว้ภายใน

แคมเปญการโจมตีนี้ถูกค้นพบโดยนักวิจัยจาก Proofpoint ซึ่งมีการเผยแพร่รายงานเกี่ยวกับมัลแวร์ Nerbian RAT ตัวใหม่ในวันนี้ (11 พ.ค. 2565)

ปลอมแปลงเป็นองค์การอนามัยโลก (WHO)

แคมเปญการโจมตีที่ใช้ในการแพร่กระจาย Nerbian RAT ในครั้งนี้ มีความพยายามปลอมแปลงข้อความว่ามาจากองค์การอนามัยโลก (WHO) ในการส่งข้อมูลสำคัญที่เกี่ยวข้องกับ COVID-19 ไปยังเป้าหมาย

โดยจะมีไฟล์ที่แนบมาเป็น .RAR และมีเอกสาร Word ที่ฝังมาโครไว้ เมื่อเปิดไฟล์ใน Microsoft Office และอนุญาตให้มาโครทำงาน มันจะทำการรัน PowerShell เพื่อดาวน์โหลด 64-bit dropper ที่มีชื่อว่า "UpdateUAV.exe" ซึ่งเขียนด้วยภาษา Golang โดย UpdateUAV จะประกอบไปด้วยโค้ดที่ใช้เพื่อหลีกเลี่ยงการตรวจจับจากอุปกรณ์ทางด้าน Security ก่อนที่จะทำการติดตั้ง Nerbian RAT โดยเมื่อตัว Dropper สามารถทำงานได้อย่างสมบูรณืบนเครื่องเหยื่อ มันจะทำการตั้ง schedule task ที่จะสั่งรัน Nerbian RAT ทุกๆชั่วโมง

Proofpoint สรุปรายการของเครื่องมือที่ใช้สำหรับหลีกเลี่ยงการตรวจจับไว้ดังนี้

ตรวจสอบ reverse engineering หรือ debugging โปรแกรมว่าถูกรันอยู่บนเครื่องเป้าหมายหรือไม่
ตรวจสอบ MAC Address บนเครื่องเป้าหมาย
ตรวจสอบ WMI strings เพื่อดูชื่อของดิสก์บนเครื่องเป้าหมาย
ตรวจสอบขนาดฮาร์ดดิสก์ว่าต่ำกว่า 100GB หรือไม่ เพื่อดูว่าตัวมันกำลังถูกรันอยู่บน Virtual Machine หรือไม่
ตรวจสอบ memory analysis หรือ tampering detection โปรแกรมว่าถูกรันอยู่บนเครื่องเป้าหมายหรือไม่
ตรวจสอบระยะเวลาที่ใช้ตั้งแต่ตัวมัลแวร์เริ่มดำเนินการ เปรียบเทียบกับเกณฑ์การทำงานตามปกติของมัน
ใช้ IsDebuggerPresent API เพื่อตรวจสอบว่าตัวติดตั้งของมันกำลังถูก Debug อยู่หรือไม่

การตรวจสอบทั้งหมดนี้ทำให้ค่อนข้างยากที่จะนำ RAT ดังกล่าวไปทดสอบบน sandbox หรือ virtual machine เพื่อวิเคราะห์การทำงานของมัน รวมไปถึงก็จะทำให้มัลแวร์สามารถแฝงตัวอยู่บนระบบของเหยื่อได้นานมากยิ่งขึ้นด้วยเช่นเดียวกัน

คุณสมบัติของ Nerbian RAT
ตัวโทรจันจะถูกดาวน์โหลดมาด้วยชื่อ "MoUsoCore.

ช่องโหว่บน F5 BIG-IP ที่ถูกเปิดเผยออกมาเมื่อเร็วๆ นี้ เริ่มถูกนำมาใช้ในการโจมตีโดยการพยายามลบ file system บนเครื่อง BIG-IP ของเหยื่อ เพื่อทำให้ระบบไม่สามารถเข้าใช้งานได้

เมื่อสัปดาห์ที่แล้ว F5 เปิดเผยช่องโหว่หมายเลข CVE-2022-1388 ซึ่งทำให้ผู้โจมตีสามารถสั่งรันคำสั่งบนอุปกรณ์ BIG-IP ด้วยสิทธิ์ 'root' โดยไม่ต้องมีการตรวจสอบสิทธิ์ เนื่องจากระดับความอันตรายของช่องโหว่ดังกล่าว F5 แนะนำให้ผู้ดูแลระบบทำการอัปเดตแพตซ์โดยเร็วที่สุด

ไม่กี่วันต่อมานักวิจัยปล่อย exploits ที่ใช้สำหรับทดสอบการโจมตีออกสู่สาธารณะทั้งทาง Twitter และ GitHub ซึ่งทำให้ผู้โจมตีทั่วไปสามารถนำมาปรับใช้ในการโจมตีได้

แม้ว่าการโจมตีส่วนใหญ่จะใช้เพื่อ drop webshells เพื่อใช้ในการเข้าถึงเครือข่ายในเบื้องต้น, ขโมยคีย์ SSH และระบุข้อมูลบนระบบ แต่ล่าสุดทาง SANS Internet Storm Center พบว่ามีการโจมตีสองครั้งที่โจมตีอุปกรณ์ BIG-IP ในลักษณะที่ร้ายแรงกว่ามาก

SANS กล่าวว่า honeypots ของพวกเขาพบการโจมตีสองครั้งที่มาจาก IP 177.54.127[.]111 ที่มีการสั่งรันคำสั่ง 'rm -rf /' บนอุปกรณ์ BIG-IP ของเป้าหมาย ซึ่งคำสั่งนี้เป็นความพยายามจะลบไฟล์ทั้งหมดบนระบบ Linux ของอุปกรณ์ BIG-IP เนื่องจากช่องโหว่ดังกล่าวทำให้ผู้โจมตีมีสิทธิ์ root ในระบบปฏิบัติการ Linux คำสั่ง rm -rf / จึงสามารถลบไฟล์ได้เกือบทุกไฟล์ รวมถึงไฟล์ configuration ที่จำเป็นสำหรับอุปกรณ์

การโจมตีรูปแบบนี้อาจยังพบไม่มากนัก เพราะผู้โจมตีส่วนใหญ่ต้องการเข้าควบคุมอุปกรณ์มากกว่าสร้างความเสียหาย

บริษัทข่าวกรองด้านภัยคุกคามความปลอดภัยทางไซเบอร์ Bad Packets และ GreyNoise กล่าวว่าพวกเขาไม่พบการโจมตีในลักษณะดังกล่าวบน honeypots ของพวกเขา

Kimber นักวิจัยของ GreyNoise กล่าวว่าส่วนใหญ่พฤติกรรมที่เห็นจะเป็นการ drop webshells, exfiltrate configs หรือเรียกใช้คำสั่งเพื่อสร้างบัญชีผู้ดูแลระบบบนอุปกรณ์ ซึ่งการโจมตีที่เกิดขึ้นทำให้ผู้ดูแลระบบจำเป็นต้องอัปเดตแพตช์ให้เป็นเวอร์ชันล่าสุด และไม่เปิดให้เข้าถึงหน้า management ของ BIG-IP จากภายนอก

ที่มา : bleepingcomputer.

Microsoft แจ้งเตือนช่องโหว่ zero-day ที่กำลังถูกใช้ในการโจมตีในลักษณะ Windows LSA spoofing ซึ่งจะทำให้ผู้โจมตีที่ไม่ต้องผ่านการตรวจสอบสิทธิ์สามารถใช้ประโยชน์จากช่องโหว่เพื่อบังคับให้ตัว Domain controllers รับรองให้ผู้โจมตีสามารถเข้าถึงระบบได้ ผ่านโปรโตคอล Windows NT LAN Manager (NTLM)

LSA (Local Security Authority) เป็นระบบหนึ่งของ Windows ที่ทำหน้าที่ในการ enforces local policies และตรวจสอบการ sign-in เข้าใช้งานของ users ทั้งจาก local และ remote

ช่องโหว่ดังกล่าว มีหมายเลขช่องโหว่คือ CVE-2022-26925 โดยมีการรายงานช่องโหว่จาก Raphael John ของ Bertelsmann Printing Group ซึ่งพบว่าถูกนำไปใช้ในการโจมตีจริงแล้วในปัจจุบัน และจะเป็นช่องทางใหม่สำหรับการโจมตีแบบ PetitPotam NTLM relay attack

การโจมตีแบบ PetitPotam ถูกค้นพบโดยนักวิจัยด้านความปลอดภัย GILLES Lionel ในเดือนกรกฎาคม พ.ศ. 2564 โดยมีความพยายามจากทาง Microsoft ในการบล็อกการโจมตีในรูปแบบดังกล่าว อย่างไรก็ตามวิธีการแก้ไขปัญหาชั่วคราว และการอัปเดตความปลอดภัยจาก Microsoft ที่มีการอัปเดตออกมา ก็ยังไม่สามารถบล็อกการโจมตีด้วยวิธีการ PetitPotam ทั้งหมด

กลุ่ม LockFile ransomware ก็เป็นหนึ่งในกลุ่มที่ใช้วิธีการโจมตีแบบ PetitPotam NTLM relay ด้วยการ hijack ตัว Windows domains เพื่อติดตั้ง payloads ที่เป็นอันตราย

Microsoft แนะนำให้ผู้ดูแลระบบ Windows ตรวจสอบวิธีการลดผลกระทบจากการโจมตีแบบ PetitPotam และมาตรการการลดผลกระทบใน NTLM Relay Attacks บน Active Directory Certificate Services (AD CS) โดยสามารถตรวจสอบได้จากลิงค์ https://support.

แฮ็กเกอร์ใช้วิธีการซ่อนมัลแวร์ใน Windows Event Logs

นักวิจัยด้านความปลอดภัยได้ตรวจพบแคมเปญการโจมตีซึ่งใช้ Windows event logs เพื่อจัดเก็บมัลแวร์ ซึ่งเป็นเทคนิคที่ไม่เคยถูกใช้ในการโจมตีมาก่อน โดยวิธีการนี้ทำให้ผู้โจมตีสามารถวาง fileless มัลแวร์ บน file system ได้ ซึ่งวิธีการนี้จะประกอบไปด้วยเทคนิค และโมดูลที่ออกแบบมาเพื่อหลบเลี่ยงการตรวจจับเป็นจำนวนมาก

การเพิ่ม Payload ไปยัง Windows event logs

นักวิจัยจาก Kaspersky ได้รวบรวมตัวอย่างมัลแวร์ที่สามารถตรวจจับได้ และถูกระบุว่าเป็นภัยคุกคามบนคอมพิวเตอร์ของผู้ใช้งาน จากการตรวจสอบพบว่ามัลแวร์เป็นส่วนหนึ่งของแคมเปญ “very targeted” และมีการใช้ชุดเครื่องมือจำนวนมากที่เป็นทั้งแบบ Custom และที่มีจำหน่ายในเชิงพาณิชย์

โดยส่วนที่น่าสนใจของการโจมตีคือการ injecting shellcode payloads เข้าไปใน Windows event logs สำหรับ Key Management Services (KMS) ซึ่งเป็นการดำเนินการโดย custom malware dropper

Denis Legezo หัวหน้านักวิจัยด้านความปลอดภัยของ Kaspersky กล่าวว่าวิธีนี้ถูกใช้เป็นครั้งแรกในแคมเปญการโจมตีจากมัลแวร์

โดยตัว Dropper จะคัดลอกไฟล์จัดการ OS error ที่ชื่อไฟล์ว่า WerFault.