นักวิจัยด้านความปลอดภัยแจ้งเตือนผู้ดูแลระบบ F5 BIG-IP ให้รีบติดตั้งแพตซ์อัปเดตด้านความปลอดภัยล่าสุดทันที หลังจากพบว่ามีการสร้าง Exploits ที่ใช้สำหรับการโจมตีช่องโหว่ Remote code execution (CVE-2022-1388) เรียบร้อยแล้ว

เมื่อสัปดาห์ที่ผ่านมา F5 ออกมาเปิดเผยช่องโหว่ RCE ระดับ Critical บน F5 BIG-IP ที่มีหมายเลข CVE-2022-1388 โดยช่องโหว่นี้เกิดจากระบบ BIG-IP iControl REST และทำให้ผู้โจมตีสามารถเลี่ยงการตรวจสอบสิทธิ์ และสั่งรันคำสั่งที่เป็นอันตรายบนอุปกรณ์ด้วยสิทธิ์ระดับสูงได้

เนื่องจาก F5 BIG-IP ถูกใช้ในองค์กรต่างๆจำนวนมาก ช่องโหว่นี้จึงมีความเสี่ยงสูงมาก เนื่องจากจะทำให้ผู้โจมตีสามารถใช้ประโยชน์จากช่องโหว่ดังกล่าวเพื่อเข้าถึงเครือข่ายของเหยื่อในขั้นต้น แล้วจึงค่อยแพร่กระจายไปยังอุปกรณ์อื่นๆ

การโจมตีประเภทนี้สามารถใช้เพื่อขโมยข้อมูลขององค์กร หรือติดตั้ง ransomware บนอุปกรณ์ทั้งหมดบนเครือข่าย

Exploits ถูกสร้างได้ง่ายมาก

สุดสัปดาห์นี้ นักวิจัยด้านความปลอดภัยทางไซเบอร์จาก Horizon3 และ Positive Technologies ต่างก็สามารถสร้าง Exploits ** สำหรับช่องโหว่ F5 BIG-IP ดังกล่าวได้ พวกเขาเตือนว่าผู้ดูแลระบบทุกคนควรอัปเดตอุปกรณ์ของตนโดยเร็วที่สุด

Zach Hanley จาก Horizon3 ให้ข้อมูลกับ BleepingComputer ว่าพวกเขาใช้เวลาเพียงสองวันในการสร้าง Exploits และคาดว่าผู้โจมตีจะเริ่มทำการโจมตีช่องโหว่ดังกล่าวในเร็วๆ นี้

Hanley บอกกับ BleepingComputer ผ่านอีเมลว่า "หากดูจากวิธีการแก้ไขชั่วคราวที่ออกมาจาก F5 สำหรับ CVE-2022-1388 ถือเป็นข้อมูลที่สำคัญมากในการทำ reverse application เพื่อสร้างเครื่องมือในการโจมตี ซึ่งคาดว่าผู้โจมตีรายอื่นๆก็อาจพบวิธีการสร้างเครื่องมือที่ใช้ในการโจมตีได้เช่นเดียวกัน"

Hanley ยังเตือนด้วยว่าผลกระทบจากการโจมตีช่องโหว่นี้นอกจากจะช่วยให้ผู้โจมตีสามารถเข้าควบคุมอุปกรณ์ได้แล้ว ยังสามารถทำให้ผู้โจมตีสามารถเข้าถึงเครือข่ายภายในองค์กรได้อีกด้วย

โดยนักวิจัยจาก Rapid7 จาค็อบ เบนส์ ทวีตว่าพบอุปกรณ์มากกว่า 2,500 เครื่องที่สามารถเข้าถึงได้จากอินเทอร์เน็ต ซึ่งทำให้มีความเสี่ยงอย่างมากต่อองค์กร

Horizon3 กล่าวว่าพวกเขาจะเผยแพร่ PoC ที่ใช้ในการทดสอบการโจมตีออกสู่สาธารณะภายในสัปดาห์นี้ เพื่อผลักดันให้องค์กรต่างๆรีบอัปเดตอุปกรณ์ของตนโดยด่วน

ติดตั้งการอัปเดตด้านความปลอดภัยทันที!

F5 ได้ออกแพตซ์อัปเดตด้านความปลอดภัยสำหรับ F5 BIG-IP เรียบร้อยแล้ว ซึ่งผู้ดูแลระบบควรอัปเดตเป็นเวอร์ชันดังต่อไปนี้:

BIG-IP versions 16.1.0 to 16.1.2 (Patch released)
BIG-IP versions 15.1.0 to 15.1.5 (Patch released)
BIG-IP versions 14.1.0 to 14.1.4 (Patch released)
BIG-IP versions 13.1.0 to 13.1.4 (Patch released)
BIG-IP versions 12.1.0 to 12.1.6 (End of Support)
BIG-IP versions 11.6.1 to 11.6.5 (End of Support)
เวอร์ชัน 11.x และ 12.x จะไม่ได้รับการอัปเดตด้านความปลอดภัย และควรอัปเกรดเป็นเวอร์ชันใหม่โดยเร็วที่สุด

ที่มา : bleepingcomputer.

โปรแกรมป้องกันไวรัสของ Trend Micro ได้แก้ไขข้อผิดพลาด ที่ส่งผลให้ Apex One endpoint ตรวจจับการอัปเดต Microsoft Edge ว่าเป็นมัลแวร์ และทำให้ registry ของ Windows ถูกแก้ไขอย่างไม่ถูกต้อง

ตามรายงานจากผู้ใช้งานหลายร้อยรายเมื่อต้นสัปดาห์นี้ในฟอรัมของบริษัท และบนเครือข่ายสังคมออนไลน์ ว่าเกิดการตรวจจับที่ผิดพลาดกับแพทช์การอัปเดตของ Microsoft Edge  โดย Trend Micro Apex One ระบุว่าการอัปเดตเบราว์เซอร์ลักษณะดังกล่าวเป็นไวรัส/มัลแวร์: TROJ_FRS.VSNTE222 และไวรัส/มัลแวร์: TSC_GENCLEAN

(more…)

Heroku บริษัทในเครือของ Salesforce ถูกขโมย GitHub OAuth tokens ซึ่งเป็นข้อมูลของลูกค้า โดย Token ที่ถูกขโมยออกไปประกอบไปด้วย hashed และ salted passwords ของผู้ใช้งาน

จากปัญหาที่เกิดขึ้น ทาง Salesforce แจ้งว่าได้ทำการ Reset User Password ทั้งหมดของ HEROKU และให้ผู้ใช้งานมั่นใจได้ว่า Credentials ทั้งหมดที่รั่วไหลออกไปจะไม่สามารถนำมาใช้งานได้ และได้เพิ่มมาตรการตรวจสอบด้านความปลอดภัยเพิ่มเติมแล้ว

การโจมตีเกิดขึ้นเมื่อวันที่ 12 เมษายน ซึ่งยังไม่สามารถระบุตัวตนของผู้โจมตีได้ โดยผู้โจมตีได้ทำการขโมย OAuth User Tokens ที่ออกให้กับ 3rd Party OAuth Integator ทั้งหมด 2 กลุ่ม ได้แก่ HEROKU และ TRAVIS-CI เพื่อทำการดาวน์โหลดข้อมูลจากหลาย ๆ องค์กร รวมไปถึง NPM ด้วย

Timeline ของแต่ละเหตุการณ์ที่เกิดขึ้น มีรายละเอียดดังนี้

วันที่ 7 เมษายน 2565 ผู้โจมตีได้เข้าถึงฐานข้อมูลของ HEROKU และทำการดาวน์โหลด OAuth Access Tokens ของลูกค้าที่ใช้สำหรับ GITHUB Integration

วันที่ 8 เมษายน 2565 ผู้โจมตี enumerates หา metadata ที่เกี่ยวข้องกับลูกค้า โดยใช้ Tokens ที่ขโมยมา

วันที่ 9 เมษายน 2565 ผู้โจมตีทำการดาวน์โหลดข้อมูลของ HEROKU จาก GITHUB

ที่มา : thehackernews

RedPacket Security ได้ออกมาให้ข่าวเรื่องการถูกโจมตีด้วยมัลแวร์เรียกค่าไถ่ของบริษัท เอฟเอ็น แฟคตอรี่เอาท์เล็ท จำกัด (มหาชน) ซึ่งเป็นบริษัทผลิต และจำหน่ายเครื่องแต่งกาย ประกอบกิจการจำหน่ายเครื่องหนัง เสื้อผ้า เฟอร์นิเจอร์ และเครื่องใช้ภายในบ้าน

LockBit ระบุว่าได้ข้อมูลออกไปทั้งหมด 2236 ไฟล์ และหากเหยื่อไม่จ่ายค่าไถ่ก็เตรียมจะเผยแพร่ข้อมูลทั้งหมดในบล็อกของ LockBit ภายในวันที่ 13 พ.ค. 2565 เวลา 00:00:00

ที่มา : redpacketsecurity

F5 ได้ออกคำเตือนช่องโหว่ด้านความปลอดภัย ที่อาจทำให้ผู้โจมตีสามารถสั่งรันโค้ดที่เป็นอันตรายบนระบบที่เข้าถึงได้โดยไม่ต้องมีการตรวจสอบสิทธิ์ จากการดำเนินการกับไฟล์ และปิด services บน BIG-IP

ช่องโหว่นี้มีหมายเลข CVE-2022-1388 และมีระดับความรุนแรงของ CVSS v3 อยู่ที่ 9.8 ซึ่งอาจนำไปสู่การเข้าควบคุมระบบได้อย่างสมบูรณ์ โดยช่องโหว่จะเกิดขึ้นใน iControl REST component ซึ่งทำให้ผู้โจมตีสามารถส่ง request เพื่อ bypass การตรวจสอบจาก iControl REST บน BIG-IP

เนื่องจากการใช้งาน BIG-IP ในระบบที่สำคัญๆจำนวนมาก ทำให้วันนี้ทาง CISA ก็ได้ออกมาแจ้งเตือนถึงช่องโหว่ดังกล่าวด้วยเช่นเดียวกัน

โดยเวอร์ชันที่ได้รับผลกระทบมีดังนี้

BIG-IP versions 16.1.0 ถึง 16.1.2
BIG-IP versions 15.1.0 ถึง 16.1.5
BIG-IP versions 14.1.0 ถึง 14.1.4
BIG-IP versions 13.1.0 ถึง 13.1.4
BIG-IP versions 12.1.0 ถึง 12.1.6
BIG-IP versions 11.6.1 ถึง 11.6.5
ปัจจุบัน F5 ได้ออกแพตซ์แก้ไขออกมาแล้วในเวอร์ชัน v17.0.0, v16.1.2.2, v15.1.5.1, v14.1.4.6 และ v13.1.5 แต่เวอร์ชัน 12.x และ 11.x จะไม่มีแพตซ์ โดยที่ BIG-IQ Centralized Management, F5OS-A, F5OS-C และ Traffic SDC จะไม่ได้รับผลกระทบจากช่องโหว่ดังกล่าว

หากองค์กรใดที่ยังไม่สามารถอัปเดตได้ทันทีมีวิธีแก้ปัญหาชั่วคราวได้ 3 ช่องทางคือ

1.) บล็อกการเข้าถึงอินเทอร์เฟส iControl REST บน BIG-IP แต่วิธีการนี้อาจกระทบกับการทำ HA

2.) จำกัดการเข้าถึงจากผู้ใช้ หรืออุปกรณ์ที่ได้รับอนุญาตเท่านั้น

3.) แก้ไขคอนฟิคใน httpd บน BIG-IP

พบอุปกรณ์ BIG-IP เปิดให้เข้าถึงได้กว่า 16,000 เครื่อง

Warfield Shodan แสดงให้เห็นว่าขณะนี้มีอุปกรณ์ F5 BIG-IP จำนวน 16,142 เครื่องที่เข้าถึงได้โดยตรงจากอินเทอร์เน็ต อุปกรณ์เหล่านี้ส่วนใหญ่ตั้งอยู่ในสหรัฐอเมริกา รองลงมาคือจีน อินเดีย ออสเตรเลีย และญี่ปุ่นนักวิจัยด้านความปลอดภัยคาดว่าผู้โจมตีจะเริ่มสแกนหาอุปกรณ์ที่มีช่องโหว่ในเร็วๆ นี้ ดังนั้นผู้ดูแลระบบจะต้องรีบอัปเดตอุปกรณ์เหล่านี้โดยเร็วที่สุด หรืออย่างน้อยก็ใช้การบรรเทาผลกระทบ ดังนี้

ที่มา :  bleepingcomputer ,  techtalkthai

 

Google ได้ออกแพตซ์อัปเดตสำหรับเบราว์เซอร์ Chrome ที่มีการแก้ไขช่องโหว่ด้านความปลอดภัยกว่า 30 รายการ โดยเวอร์ชันล่าสุดที่แนะนำคือ Chrome 101.0.4951.41 สำหรับ Windows, Mac และ Linux โดยเวอร์ชันนี้ได้มีการแก้ไขช่องโหว่ที่ทำให้ผู้โจมตีสามารถใช้เพื่อควบคุมระบบที่มีช่องโหว่ได้

ขณะที่ Microsoft ก็แนะนำให้ผู้ใช้งาน Edge ซึ่งเป็น Chrome เวอร์ชันที่ได้รับการรับรองจาก Microsoft ให้อัปเดตด้วยเช่นกัน เนื่องจากมีช่องโหว่หลายจุดร่วมกัน

มีช่องโหว่ 7 รายการ ที่ได้รับการจัดอันดับว่าเป็นระดับความรุนแรงสูง โดยมีช่องโหว่ 5 รายการ เป็นช่องโหว่ที่เกิดขึ้นจาก “Use after free” ซึ่งเป็นปัญหาการย้ายหน่วยความจำที่ทำให้แฮ็กเกอร์สามารถสั่งรันโค้ดที่เป็นอันตรายได้ เมื่อผู้ใช้งานเข้าไปยังหน้าเว็บที่เป็นอันตรายที่ถูกสร้างขึ้น

(more…)

นักวิเคราะห์ภัยคุกคามได้เปิดเผยแคมเปญใหม่ที่ใช้ RIG Exploit Kit เพื่อติดตั้งมัลแวร์ RedLine stealer

Exploit Kits (EKs) จะมุ่งเป้าไปที่เว็บเบราว์เซอร์ที่มีช่องโหว่ plug-in software เช่น Now-defunct Flash Player และ Microsoft Silverlight

เนื่องจากปัจจุบันเว็บเบราว์เซอร์มีความปลอดภัยมากขึ้น และยังสามารถอัปเดตเวอร์ชันได้โดยอัตโนมัติ ทำให้การใช้ Exploit Kits ในการโจมตีเพื่อติดตั้งมัลแวร์นั้นลดลง อย่างไรก็ตามยังมีผู้ใช้เบราว์เซอร์บางส่วนที่ไม่ได้ทำการอัปเดตความปลอดภัยของเบราว์เซอร์ให้เป็นเวอร์ชันล่าสุด โดยเฉพาะ Internet Explorer ซึ่งยังคงตกเป็นเป้าหมายสำหรับการโจมตีจาก Exploit Kits

แคมเปญใหม่ที่ใช้ RIG EK จะใช้ประโยชน์จากช่องโหว่ CVE-2021-26411 ซึ่งเป็นช่องโหว่ memory corruption บน Internet Explorer ที่จะเกิดจากการเข้าเว็บไซต์ที่ถูกสร้างขึ้นเป็นพิเศษเพื่อใช้ในการโจมตี

ผู้โจมตีจะใช้ช่องโหว่นี้เพื่อโจมตีเครื่องเป้าหมาย และใช้ RedLine เพื่อติดตั้งมัลแวร์ และขโมยข้อมูล จากนั้นผู้โจมตีจะดึงข้อมูลของเหยื่อ เช่น cryptocurrency wallet keys, รายละเอียดบัตรเครดิต และข้อมูลประจำตัวของบัญชีที่จัดเก็บไว้ในเว็บเบราว์เซอร์

(more…)

ทีมวิจัย Microsoft 365 Defender ได้ค้นพบช่องโหว่ในการยกระดับสิทธิ์ของ Linux สองรายการ (หมายเลข CVE-2022-29799 และ CVE-2022-29800) ที่เรียกว่า “Nimbuspwn”

ช่องโหว่ดังกล่าวอยู่ใน systemd component ที่เรียกว่า networked-dispatcher ซึ่งเป็น dispatcher daemon สำหรับการเปลี่ยนแปลงสถานะการเชื่อมต่อ systemd-networkd โดยผู้โจมตีสามารถใช้ประโยชน์จากช่องโหว่ เพื่อเข้าถึงสิทธิ์รูทบนระบบ และสามารถนำมาใช้ในการโจมตีในลักษณะอื่นๆต่อไป เช่น แรนซัมแวร์ เป็นต้น

Microsoft ได้ค้นพบช่องโหว่ดังกล่าวในขณะที่ตรวจสอบข้อความบน System Bus ซึ่งเป็นส่วนหนึ่งของการตรวจสอบโค้ด และการวิเคราะห์แบบ Dynamic โดย Microsoft อธิบายว่า “การตรวจสอบ code flow สำหรับ networkd-dispatcher เผยให้เห็นถึงปัญหาด้านความปลอดภัยหลายประการ ไม่ว่าจะเป็นการข้ามผ่านไดเรกทอรี (directory traversal), symlink race และ time-of-check-time-of-use race condition issues.

แฮ็กเกอร์กำลังโจมตีช่องโหว่การเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกล (RCE) ระดับ Critical CVE-2022-22954 ซึ่งส่งผลกระทบกับ VMware Workspace ONE Access (เดิมเรียกว่า VMware Identity Manager)

ช่องโหว่ดังกล่าวได้ถูกแก้ไขไปแล้วจากการอัปเดตแพตซ์ด้านความปลอดภัยเมื่อ 20 วันก่อนพร้อมกับ RCE อีกสองรายการ CVE-2022-22957 และ CVE-2022-22958 ที่ส่งผลกระทบกับ VMware Identity Manager (vIDM), VMware vRealize Automation (vRA), VMware Cloud Foundation และ vRealize Suite Lifecycle Manage

ไม่นานหลังจากการเปิดเผยรายละเอียดของช่องโหว่ และมีโค้ด PoC ปล่อยออกมาสู่สาธารณะ ก็เริ่มพบการโจมตีตามมาทันที ซึ่งแฮ็กเกอร์จะมุ่งเป้าโจมตีไปยัง VMware ที่ยังไม่ได้ทำการอัพเดทแพตซ์ ซึ่งทาง VMware ก็ยืนยันว่า CVE-2022-22954 ถูกนำมาใช้ในการโจมตีแล้วจริงๆ

ปัจจุบันนักวิจัยจาก Morphisec ก็รายงานว่าพบการโจมตีช่องโหว่นี้จากกลุ่ม APT ที่ชื่อว่า APT35 หรืออีกชื่อหนึ่งคือ "Rocket Kitten"

รายละเอียดการโจมตี

เมื่อแฮ็กเกอร์โจมตีได้สำเร็จ จะเริ่มต้นด้วยการรันคำสั่ง PowerShell บน Identity Manager ที่มีช่องโหว่ จากนั้นก็จะทำการดาวน์โหลดตัว loader และโหลด Core Impact Agent จาก C2 Server ซึ่ง Core Impact Agent เป็น Pentest Tool ที่มีลักษณะคล้ายกันกับ Cobalt Strike ซึ่งถูกนำมาใช้ในการโจมตีของกลุ่มดังกล่าว

การโจมตีจาก APT35 (Morphisec)
Morphisec สามารถตรวจสอบหาที่อยู่ของ C2 Server และสามารถเชื่อมโยงเข้ากับบุคคลหนึ่งที่มีชื่อว่า Ivan Neculiti และบริษัทชื่อ Stark Industries ซึ่งทาง BleepingComputer พบความเชื่อมโยงของบริษัท 2-3 แห่งที่เกี่ยวข้องกับการฉ้อโกง แล้วพบว่ามีชื่อของ Neculiti เข้าไปเกี่ยวข้องด้วย รวมไปถึงบริษัทผู้ให้บริการ Hosting ที่ถูกกล่าวหาว่าให้การสนับสนุนเว็ปไซต์ที่ใช้ในการโจมตีดังกล่าว

ล่าสุด (26 เมษายน 12:04 PM) BleepingComputer ได้รับคำชี้แจงจากบริษัท P.Q. Hosting S.R.L สำนักงานใหญ่ในมอลโดวา และบริษัทแม่ของ Stark Industries ว่าบริษัทไม่มีส่วนเกี่ยวข้องกับการกระทำที่ผิดกฏหมายดังกล่าว

ที่มา : bleepingcomputer

แคมเปญฟิชชิ่งมัลแวร์ Emotet กลับมาทำงานอีกครั้งหลังจากที่แฮ็กเกอร์ได้แก้ไขข้อผิดพลาดที่ทำให้ผู้ใช้ไม่ติดมัลแวร์แม้จะเปิดไฟล์แนบจากอีเมลที่เป็นอันตราย

Emotet เป็นมัลแวร์ที่แพร่กระจายผ่านแคมเปญสแปม ซึ่งมีไฟล์แนบที่เป็นอันตราย หากผู้ใช้เปิดไฟล์แนบ สคริปต์จะดาวน์โหลด Emotet DLL และโหลดลงในหน่วยความจำ เมื่อโหลดแล้ว มัลแวร์จะค้นหา และขโมยอีเมลเพื่อใช้ในแคมเปญสแปมในอนาคต และลงเพย์โหลดอื่นๆทิ้งไว้ เช่น Cobalt Strike หรือมัลแวร์อื่นๆ ที่มักนำไปสู่การโจมตีของแรนซัมแวร์

(more…)