Ransomware Quantum เป็นสายพันธุ์ที่ค้นพบครั้งแรกในเดือนสิงหาคม พ.ศ. 2564 โดยพบว่าเป็นวิธีการโจมตีที่รวดเร็ว และทวีความรุนแรงขึ้นอย่างมาก เนื่องจากทำให้ทีม Security มีเวลาตอบสนองเพียงเล็กน้อยเท่านั้น

ผู้โจมตีกำลังใช้มัลแวร์ IcedID ในการทำเรื่อง Initial Access ซึ่งเป็นหนึ่งใน Attack Vectors ที่ใช้เพื่อติดตั้ง Cobalt Strike สำหรับการเข้าถึงจากระยะไกล และนำไปสู่การขโมยข้อมูล และการเข้ารหัสโดยใช้ Quantum Locke

รายละเอียดทางเทคนิคของการโจมตีของ Quantum ransomware ได้รับการวิเคราะห์โดยนักวิจัยด้านความปลอดภัยที่ The DFIR Report ซึ่งกล่าวว่าการโจมตีใช้เวลาเพียง 3 ชั่วโมง 44 นาทีตั้งแต่การโจมตีครั้งแรกไปจนถึงการเข้ารหัสที่เสร็จสมบูรณ์

(more…)

นักวิจัยด้านความปลอดภัย Shai Alfasi และ Marlon Fabiano da Silva จาก Cysource ได้เปิดเผยช่องโหว่ที่อาจทำให้ผู้โจมตีใช้เครื่องมือของ VirusTotal ในการสั่งรันโค้ดที่เป็นอันตรายจากระยะไกล (RCE) บน Antivirus Engine ที่มีช่องโหว่

VirusTotal มีบริการสแกนมัลแวร์ที่สามารถวิเคราะห์ไฟล์ที่ต้องสงสัยว่าจะเป็นอันตราย และ URL ที่อาจทำให้ติดมัลแวร์ได้ โดย VirusTotal มี Third-Party ที่เป็น Antivirus Product จากทั่วโลกกว่า 70 บริษัท

การโจมตีเกิดขึ้นจากการอัพโหลดไฟล์ DjVu ขึ้นไปผ่านทางหน้าเว็ปไซต์ของ VirusTotal เพื่อโจมตีช่องโหว่บน ExifTool ซึ่งเป็น open-source ที่ใช้สำหรับอ่าน และแก้ไขข้อมูล EXIF metadata ในรูป และไฟล์ PDF

โดยช่องโหว่ดังกล่าวมีหมายเลข CVE-2021-22204 (CVSS score: 7.8) โดยเป็นช่องโหว่ที่สามารถทำให้สั่งรันโค้ดที่เป็นอันตรายได้ จากการจัดการไฟล์ DjVu ที่ผิดพลาดจาก ExifTool ซึ่งช่องโหว่ดังกล่าวได้รับการแก้ไขไปแล้วในวันที่ 13 เมษายน 2021

นักวิจัยตั้งข้อสังเกตว่าผลที่ตามมาจากการโจมตีช่องโหว่นี้สำเร็จจะทำให้ผู้โจมตีสามารถสร้าง reverse shell กลับไปยัง antivirus engine ที่ยังไม่ได้แพตซ์เพื่อสั่งรันโค้ดที่เป็นอันตรายจากระยะไกลได้

(more…)

นักวิจัยด้านความปลอดภัย Khaled Nassar ได้เผยแพร่โค้ด proof-of-concept (PoC) สำหรับช่องโหว่ Digital signature bypass ใหม่ใน Java ซึ่งมีหมายเลข CVE-2022-21449 (CVSS score: 7.5) โดยช่องโหว่นี้ค้นพบโดย Neil Madden นักวิจัยของ ForgeRock ซึ่งเคยแจ้ง Oracle เมื่อวันที่ 11 พฤศจิกายน 2021

ช่องโหว่ดังกล่าวส่งผลกระทบต่อ Java SE และ Oracle GraalVM Enterprise Edition ในเวอร์ชันต่อไปนี้:

Oracle Java SE: 7u331, 8u321, 11.0.14, 17.0.2, 18
Oracle GraalVM Enterprise Edition: 20.3.5, 21.3.1, 22.0.0.2

ผู้โจมตีไม่จำเป็นต้องผ่านการตรวจสอบสิทธิ์ แค่สามารถเข้าถึงเครือข่ายได้ผ่านทางโปรโตคอลต่างๆ ก็สามารถอาศัยช่องโหว่เพื่อเข้าควบคุม Oracle Java SE และ Oracle GraalVM Enterprise Edition ได้ ซึ่งหากสามารถโจมตีได้สำเร็จอาจส่งผลให้มีการสร้าง ลบ หรือแก้ไขการเข้าถึงข้อมูลที่สำคัญโดยไม่ได้รับอนุญาต หรือข้อมูลของ Oracle Java SE, Oracle GraalVM Enterprise Edition ที่เข้าถึงได้ทั้งหมด

ช่องโหว่นี้ถูกเรียกว่า Psychic Signatures ซึ่งอยู่ในการนำ Elliptic Curve Digital Signature Algorithm (ECDSA) ของ Java ไปใช้ โดยช่องโหว่นี้ช่วยให้ blank signature ได้รับการยอมรับว่าถูกต้องบนระบบที่มีช่องโหว่ ซึ่งหากมีการโจมตีช่องโหว่นี้ได้สำเร็จ อาจทำให้ผู้โจมตีสามารถทำการปลอมแปลง signatures และ bypass มาตรการตรวจสอบสิทธิ์ได้

ช่องโหว่ดังกล่าวได้รับการแก้ไขแล้ว โดย Oracle ด้วย Critical Patch Update (CPU) ประจำไตรมาสเดือนเมษายน 2022 ที่มีการเผยแพร่เมื่อวันที่ 19 เมษายน 2022 ที่ผ่านมา จึงขอแนะนำให้องค์กรที่ใช้ Java เวอร์ชัน 15, 16, 17 หรือ 18 ควรติดตั้งการอัปเดตความปลอดภัยทันที

ที่มา : thehackernews.

Atlassian ได้เผยแพร่คำแนะนำด้านความปลอดภัยเพื่อแจ้งเตือนว่าผลิตภัณฑ์ Jira และ Jira Service Management ของ บริษัท ได้รับผลกระทบจากช่องโหว่การเลี่ยงผ่านการตรวจสอบสิทธิ์ที่สำคัญใน Seraph ซึ่งเป็น Framework การรักษาความปลอดภัยเว็บแอปพลิเคชันของบริษัท

Seraph ใช้ใน Jira และ Confluence เพื่อจัดการคำขอเข้าสู่ระบบ และออกจากระบบทั้งหมด

ช่องโหว่มีหมายเลข CVE-2022-0540 และ CVSS 9.9 ซึ่งทำให้ผู้โจมตีสามารถ bypass authentication โดยส่งคำขอ HTTP ที่สร้างขึ้นเป็นพิเศษไปยังเซิร์ฟเวอร์ปลายทางที่มีช่องโหว่

ผลิตภัณฑ์ที่ได้รับผลกระทบ ได้แก่ Jira Core Server, Software Data Center, Software Server, Service Management Server และ Management Data Center เวอร์ชันดังต่อไปนี้:

Jira Core Server, Software Server และ Software Data Center เวอร์ชันก่อน 8.13.18, 8.14.x, 8.15.x, 8.16.x, 8.17.x, 8.18.x, 8.19.x, 8.20.x เวอร์ชันก่อน 8.20.6 และ 8.21.x.
Jira Service Management Server and Management Data Center เวอร์ชันก่อน 4.13.18, 4.14.x, 4.15.x, 4.16.x, 4.17.x, 4.18.x, 4.19.x, 4.20.x เวอร์ชันก่อน 4.20.6, 4.21.x

ช่องโหว่นี้ไม่ส่งผลกระทบต่อเวอร์ชันคลาวด์สำหรับ Jira และ Jira Service Management.

"Hotpatch" ที่เผยแพร่โดย Amazon Web Services (AWS) เพื่อแก้ไขปัญหาช่องโหว่ของ Log4Shell กลับทำให้ผู้โจมตีสามารถใช้ในการเพิ่มระดับสิทธิ์ และ container escape ซึ่งช่วยให้ผู้โจมตีสามารถเข้าควบคุมเครื่องได้

นอกเหนือจาก Container แล้ว กระบวนการที่ไม่ได้รับสิทธินี้ยังสามารถใช้ประโยชน์จากแพตช์เพื่อยกระดับสิทธิ์ และใช้ root code execution ได้” Yuval Avrahami นักวิจัยจาก Palo Alto Networks Unit 42 กล่าวในรายงานที่เผยแพร่ในสัปดาห์นี้

ปัญหาของช่องโหว่ CVE-2021-3100, CVE-2021-3101, CVE-2022-0070 และ CVE-2022-0071 (คะแนน CVSS: 8.8) ซึ่งเป็นผลกระทบมาจากแพตช์แก้ไขเร่งด่วนจาก AWS โดยเกิดมาจากการที่แพตซ์ถูกออกแบบมาเพื่อค้นหา process ของ Java และแก้ไขช่องโหว่ของ Log4j แต่ไม่ได้มีการตรวจสอบ process ของ Java ใหม่ ที่จะทำงานภายในข้อจำกัดที่กำหนดไว้ใน Container

process ใดๆที่มีการรันในไบนารีชื่อว่า 'java' ไม่ว่าภายใน หรือภายนอก Container จะถูกแก้ไขจากแพตช์เร่งด่วนที่ออกมานี้" Avrahami อธิบายอย่างละเอียดว่า "ซึ่งทำให้ Malicious container อาจใช้ Malicious binary ที่มีชื่อว่า 'java' เพื่อหลอกให้แพตช์แก้ไขเร่งด่วนที่ติดตั้งไว้ เรียกใช้ด้วยสิทธิ์ระดับสูง"

ในขั้นตอนต่อมา สิทธิ์ที่ยกระดับขึ้นอาจถูกนำไปใช้ประโยชน์โดย malicious 'java' process เพื่อหลีกเลี่ยงการตรวจจับของ Container และเข้าควบคุมเซิร์ฟเวอร์ที่ถูกบุกรุกได้อย่างสมบูรณ์

"Container มักถูกใช้เป็นขอบเขตความปลอดภัยระหว่างแอปพลิเคชันที่ทำงานบนเครื่องเดียวกัน" Avrahami กล่าว "การหลีกเลี่ยงการตรวจจับของ Container ทำให้ผู้โจมตีสามารถขยายแคมเปญได้มากกว่าแอปพลิเคชันเดียว"

ขอแนะนำให้ผู้ใช้อัปเดตแพตช์เป็นเวอร์ชันล่าสุดโดยเร็วที่สุดเพื่อป้องกันการโจมตีที่อาจจะเกิดขึ้น

ที่มา : thehackernews.

การโจมตีแบบ Password Spraying เป็นการโจมตีเพื่อเข้าสู่ระบบด้วยรหัสผ่านที่มักจะมีคนใช้ คาดเดาได้ง่าย หรือพบจากข้อมูลที่เคยมีการหลุดออกมา และจะใช้เพียงแค่หนึ่ง หรือสองรหัส โดยจะกระจายโจมตีไปหลายบัญชี หรือหลายบริการ แทนที่จะลองใช้รหัสผ่านที่แตกต่างกันหลายๆรหัสในบัญชีผู้ใช้เดียว ซึ่งช่วยหลีกเลี่ยงการตรวจจับการโจมตีของอุปกรณ์ต่างๆ เนื่องจากรูปแบบการโจมตีจะคล้ายกับพยายามเข้าสู่ระบบไม่สำเร็จของผู้ใช้ตามปกติ

ADFS มีความเสี่ยง

องค์กรที่ใช้บริการ Active Directory Federation Services (ADFS) จะมี Active Directory Domain Services infrastructure ซึ่งโดยทั่วไปจะใช้รหัสผ่าน ADDS และมีนโยบายการล็อกบัญชีที่เข้าสู่ระบบไม่สำเร็จ 3-5 ครั้ง ซึ่งการโจมตีแบบ Password Spraying จะพยายามเข้าสู่ระบบไม่เกินหนึ่ง หรือสองครั้งต่อหนึ่งบัญชี ทำให้เมื่อเข้าสู่ระบบไม่สำเร็จแล้วบัญชีจะไม่โดนล็อก และการโจมตีอาจจะไม่ถูกตรวจพบ ซึ่งองค์กรต่างๆมักใช้ ADFS IAM ระหว่างระบบภายในองค์กร และระบบคลาวด์ และจัดให้มีการลงชื่อเข้าใช้เพียงครั้งเดียวสำหรับเข้าถึงข้อมูลที่สำคัญต่อธุรกิจทั้งหมด ทำให้ผู้โจมตีที่โจมตีสำเร็จอาจจะค้นหาข้อมูล และรายชื่อผู้ใช้เพิ่มเติม หรือส่งลิงก์ฟิชชิ่งไปยังบุคคลอื่นในองค์กร

ป้องกัน ADFS จากการโจมตีแบบ Password Spraying

Microsoft แนะนำวิธีการ 3 ระดับสำหรับรักษาความปลอดภัยระบบ ADFS จากการโจมตีแบบ Password Spraying และการโจมตีด้วยรหัสผ่านประเภทอื่นๆ

(more…)

กลุ่มแฮ็กเกอร์ในเครือของ Hive ransomware มุ่งเป้าการโจมตีไปที่เซิร์ฟเวอร์ Microsoft Exchange ที่มีช่องโหว่ของ ProxyShell เพื่อติดตั้ง Backdoors ต่างๆ รวมถึง Cobalt Strike beacon

โดยผู้โจมตีได้ทำการสอดแนมเครือข่าย ขโมยข้อมูลประจำตัวของบัญชีผู้ดูแลระบบ ข้อมูลที่สำคัญ และสุดท้ายก็มีการติดตั้งเพย์โหลดการเข้ารหัสไฟล์ ซึ่งรายละเอียดของข้อมูลมาจากบริษัทรักษาความปลอดภัย Varonis ซึ่งได้เข้าไปตรวจสอบการโจมตีของ Ransomware กับลูกค้ารายหนึ่งของบริษัท

ProxyShell เป็นชุดของช่องโหว่สามช่องโหว่ใน Microsoft Exchange Server ที่อนุญาตให้มีการเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกลได้ ซึ่งช่องโหว่ดังกล่าวถูกใช้โดยผู้โจมตีหลายราย รวมถึงกลุ่ม Ransomware เช่น Conti, BlackByte, Babuk, Cuba และ LockFile

ช่องโหว่ดังกล่าวมีหมายเลขช่องโหว่เป็น CVE-2021-34473, CVE-2021-34523 และ CVE-2021-31297 และระดับความรุนแรงมีตั้งแต่ 7.2 (high) ถึง 9.8 (critical)

ช่องโหว่ดังกล่าวได้รับการแก้ไขเรียบร้อยแล้วตั้งแต่เดือนพฤษภาคม 2021 โดยรายละเอียดข้อมูลทางเทคนิคที่ครอบคลุมเกี่ยวกับช่องโหว่ดังกล่าวมีการเผยแพร่ออกมาในเดือนสิงหาคม 2021 และหลังจากนั้นไม่นาน ก็ได้เริ่มพบเห็นการโจมตีโดยการใช้ช่องโหว่ดังกล่าว

การที่กลุ่มแฮ็กเกอร์ในเครือของ Hive ประสบความสำเร็จในการใช้ประโยชน์จาก ProxyShell ในการโจมตีครั้งล่าสุด แสดงให้เห็นว่ายังมีเซิร์ฟเวอร์ที่มีช่องโหว่ให้ยังสามารถโจมตีได้อยู่

หลังจากการโจมตีด้วยช่องโหว่ ProxyShell แฮ็กเกอร์ได้มีการฝัง Web shell 4 ตัวในไดเร็กทอรีของ Exchange ที่ทำให้สามารถเข้าถึงได้ และรันโค้ด PowerShell ที่มีสิทธิ์สูงในการดาวน์โหลด Cobalt Strike stagers

Web shell ที่ใช้ในการโจมตีครั้งนี้มีที่มาจาก public Git repository และถูกเปลี่ยนชื่อเพื่อหลบเลี่ยงการตรวจจับ

(more…)

เซิร์ฟเวอร์ของ REvil ransomware ในเครือข่าย TOR กลับมาออนไลน์อีกครั้ง หลังจากไม่พบความเคลื่อนไหวเป็นเวลาหลายเดือน ซึ่งมีการเปลี่ยนเส้นทางไปยังการดำเนินการครั้งใหม่ที่เพิ่งเปิดตัวไปเมื่อเร็วๆ นี้ ไม่ชัดเจนว่าใครอยู่เบื้องหลังการดำเนินการที่เชื่อมโยงกับ REvil ในครั้งนี้ แต่เว็ปไซต์ใหม่แสดงรายการเหยื่อจำนวนมากจากการโจมตีของ REvil ในอดีต

RaaS (Ransomware as a service) ตัวใหม่กำลังอยู่ในระหว่างการพัฒนา

อย่างไรก็ตามเมื่อไม่กี่วันก่อนนักวิจัยด้านความปลอดภัย pancak3 และ Soufiane Tahiri สังเกตเห็นว่าเว็ปไซต์ใหม่ของ REvil ถูกโปรโมทบน RuTOR ซึ่งเป็นตลาดฟอรัมที่เน้นภูมิภาคที่พูดภาษารัสเซีย

"เว็บไซต์ใหม่นี้มีโดเมนที่ต่างจากเดิม แต่เมื่อเปิดใช้งานจะพบว่ามีความเชื่อมโยงกับเว็บไซต์เดิมที่ REvil เคยใช้" BleepingComputer ได้รับการยืนยันในวันนี้ จากนักวิจัยทั้ง 2 คนที่ได้บันทึกการเปลี่ยนเส้นทางนี้ไว้

เว็บไซต์จะมีการแสดงรายละเอียดเกี่ยวกับเงื่อนไขสำหรับกลุ่มพันธมิตรที่ต้องการนำ REvil ransomware เวอร์ชันปรับปรุงไปใช้ และจะมีส่วนแบ่งที่ต้องจ่าย 80/20 สำหรับกลุ่มพันธมิตรที่นำไปใช้แล้วสามารถเรียกค่าไถ่มาได้

เว็ปไซต์ดังกล่าวแสดงรายการผู้ที่ตกเป็นเหยื่อไว้ 26 หน้า ส่วนใหญ่มาจากการโจมตีจาก REvil ในอดีต และสองรายการสุดท้ายดูเหมือนจะมาจากการปฏิบัติการครั้งใหม่ หนึ่งในนั้นคือ Oil India

ในเดือนมกราคม 2-3 สัปดาห์หลังจากสมาชิกกลุ่ม 14 คนถูกจับในรัสเซีย นักวิจัยจาก MalwareHunterTeam พบว่ามีความเคลื่อนไหวจากกลุ่ม Ransomware กลุ่มอื่น ที่เกี่ยวข้องกับการนำตัวเข้ารหัสของ REvil ไปใช้งาน แม้จะไม่มีหลักฐานที่แน่ชัดว่าเป็นสมาชิกเดิมของกลุ่ม REvil หรือไม่ (more…)

Cisco ได้ออกแพตซ์อัปเดตด้านความปลอดภัยเพื่อแก้ไขช่องโหว่ที่มีความรุนแรงสูงใน Cisco Umbrella Virtual Appliance (VA) ซึ่งทำให้ผู้โจมตีที่ไม่ผ่านการตรวจสอบสิทธิ์สามารถขโมยข้อมูลประจำตัวของผู้ดูแลระบบได้จากระยะไกล

Fraser Hess จาก Pinnacol Assurance พบช่องโหว่ (หมายเลข CVE-2022-20773) ในกลไกการพิสูจน์ตัวตน SSH แบบใช้คีย์ของ Cisco Umbrella VA

Cisco Umbrella ให้บริการด้านความปลอดภัยบนคลาวด์ กับองค์กรกว่า 24,000 แห่ง ในการรักษาความปลอดภัย DNS ต่อการโจมตีจากฟิชชิ่ง มัลแวร์ และแรนซัมแวร์ โดยการตั้งเครื่อง virtual machine ไว้ภายในองค์กรเพื่อช่วยในการทำ DNS Forwarders ที่จะบันทึก เข้ารหัส และรับรองความถูกต้องของข้อมูล DNS

ช่องโหว่นี้เกิดจาก static SSH host key ซึ่งผู้โจมตีสามารถใช้ประโยชน์จากช่องโหว่นี้ด้วยการโจมตีแบบ man-in-the-middle ในการเชื่อมต่อระหว่าง SSH กับ Umbrella VA" Cisco กล่าว

หากโจมตีได้สำเร็จ จะทำให้ผู้โจมตีสามารถเข้าถึง credentials ของผู้ดูแลระบบ เปลี่ยนค่าคอนฟิค หรือ reload VA ได้

ช่องโหว่ดังกล่าวส่งผลกระทบต่อ Cisco Umbrella VA สำหรับ Hyper-V และ VMWare ESXi เวอร์ชันก่อนหน้า 3.3.2

(more…)

พบช่องโหว่ Zero-day ในแอปพลิเคชัน 7-zip โดยช่องโหว่ที่พบนี้สามารถยกระดับสิทธิ์ผู้โจมตีให้เป็นผู้ดูแลระบบได้ ช่องโหว่นี้ถูกค้นพบโดยผู้ใช้ GitHub ที่ชื่อว่า Kagancapar โดยมีหมายเลข CVE-2022-29072

7-zip เป็นแอปพลิเคชันที่สามารถใช้งานได้หลายแพลตฟอร์ม แต่ช่องโหว่นี้ส่งผลกระทบกับ Windows โดยตรง เนื่องการโจมตีต้องอาศัย Windows help application ที่ชื่อว่า hh.