บริษัท Denso ผู้จัดจำหน่ายเทคโนโลยียานยนต์ และชิ้นส่วนได้ยืนยันกับ ISMG ว่าตกเป็นเหยื่อของการโจมตีด้วย Ransomware เมื่อสัปดาห์ที่ผ่านมา โดยยังอยู่ระหว่างการตรวจสอบ และบริษัทไม่ได้เปิดเผยรายละเอียดของการเรียกค่าไถ่ หรือผู้ที่อยู่เบื้องหลังการโจมตี แต่ DarkTracer แพลตฟอร์มตรวจสอบ Dark web อิสระ กล่าวว่าเป็นการโจมตีของกลุ่ม Ransomware Pandora

โฆษกของบริษัท Denso บอก ISMG ว่า "บริษัทในเครือในประเทศเยอรมนีถูกผู้ไม่หวังดีเข้าถึงระบบโดยมิชอบเมื่อวันที่ 10 มีนาคม พ.ศ. 2565 ซึ่งเป็นการโจมตีด้วย Ransomware" Denso Supplier เคยเป็นส่วนหนึ่งของกลุ่มผู้ผลิตรถยนต์ Toyota Group ของญี่ปุ่น บริษัทได้แจ้งหน่วยงานบังคับใช้กฎหมายที่เกี่ยวข้องทั้งหมด และหน่วยงานด้านความปลอดภัยทางไซเบอร์ที่เชี่ยวชาญเป็นพิเศษเพื่อสอบสวนเหตุการณ์ดังกล่าว

คำแถลงของบริษัทระบุว่า "หลังจากตรวจพบการเข้าถึงโดยมิชอบ บริษัทได้ตัดการเชื่อมต่อเครือข่ายของอุปกรณ์ในทันที และยืนยันว่าไม่มีผลกระทบต่อบริษัทอื่นๆ ของ Denso"

โฆษกของ Denso กล่าวกับ ISMG ว่า "การผลิตไม่มีการหยุดชะงัก และเรายังคงดำเนินการโรงงานทั้งหมดของเราตามปกติ เราสามารถทำเช่นนี้ได้เนื่องจากเราย้ายระบบงานที่ได้รับผลกระทบจากเหตุการณ์นี้ไปยังไซต์อื่น ๆ ของ Denso เรากำลังตรวจสอบข้อมูลที่ได้รับผลกระทบจากเหตุการณ์นี้ เรายังไม่สามารถพูดรายละเอียดเพิ่มเติมเกี่ยวกับเรื่องนี้ได้"

แม้ว่าโฆษกของ Denso ปฏิเสธที่จะเปิดเผยรายละเอียดเกี่ยวกับ Ransomware แต่แพลตฟอร์มการตรวจสอบ Dark web อิสระที่เรียกว่า DarkTracer ทวีตว่ากลุ่ม Ransomware ของ Pandora ได้อ้างความรับผิดชอบในการโจมตีครั้งนี้

(more…)

แคมเปญฟิชชิ่งในรูปแบบของกรมสรรพากร ซึ่งมักพบทุกปีในฤดูกาลเสียภาษีประจำปี จึงเป็นที่น่าสนใจว่ามีอะไรเปลี่ยนไปบ้างในปัจจุบัน

นักวิจัยที่ Cofense บริษัทรักษาความปลอดภัยทางไซเบอร์ได้กล่าวว่า "อีเมลปลอมมีความพยายามทำให้ตัวมันดูมีความน่าเชื่อถือมากขึ้น และมีเทคนิคที่มากกว่าปีก่อนหน้านี้ โดยแคมเปญฟิชชิ่งล่าสุดนี้จะมีการใส่โลโก้ IRS ไว้ มีการส่งให้โดยระบุเฉพาะบุคคลที่เป็นเป้าหมาย และไฟล์ที่แนบมากับอีเมลต้องใส่รหัสผ่านที่ระบุมาในเนื้อหาอีเมลจึงจะเปิดได้"

นักวิจัยที่ Cofense ยังกล่าวอีกว่า การเปิด และบันทึกแบบฟอร์ม W-9 (คำขอหมายเลขประจำตัวผู้เสียภาษีอากร และใบรับรอง) อาจส่งผลให้ Emotet แพร่กระจายตัวเองบนระบบของผู้รับเมื่อเปิดสเปรดชีต Office-macro-laden ที่อยู่ในไฟล์ ที่มีการเข้ารหัสไว้ด้วยรหัสผ่านที่แนบมาในอีเมล หาก Macro ถูกเปิดใช้งาน ไฟล์ Emotet.

Aberebot banking trojan บน Android กลับมาอีกครั้งในชื่อ 'Escobar' พร้อมคุณสมบัติใหม่สามารถขโมยรหัส multi-factor authentication จาก Google Authenticator ได้

คุณสมบัติใหม่ของ Aberebot เวอร์ชันล่าสุดคือสามารถควบคุมอุปกรณ์ Android ที่ติดมัลแวร์โดยใช้ VNC และยังสามารถบันทึกเสียง และแอบถ่ายภาพได้ โดยเป้าหมายหลักของมันคือการขโมยข้อมูลเพื่อเข้าถึงบัญชีธนาคารของเหยื่อ แอบทำธุรกรรม และขโมยเงินในบัญชีของเหยื่อ

แพลตฟอร์ม DARKBEAST ของ KELA ผู้พัฒนา Aberebot มีการโปรโมทมัลแวร์ในเวอร์ชันใหม่ที่ชื่อว่า 'Escobar Bot Android Banking Trojan' โดยผู้ใดสนใจสามารถเช่ามัลแวร์รุ่นเบต้าได้ในราคา 3,000 ดอลลาร์/เดือน และวางแผนที่จะเพิ่มราคาเป็น 5,000 ดอลลาร์ หลังจากพัฒนาเสร็จแล้ว

(more…)

IBM Security X-Force พบเวอร์ชันอัพเกรดของ AnchorDNS Backdoor โดยมีชื่อเรียกว่า AnchorMail

"AnchorMail จะใช้ Command and Control เป็นเซิร์ฟเวอร์อีเมล โดยใช้โปรโตคอล SMTP และ IMAP ผ่าน Protocol TLS" โดย Charlotte Hammond ผู้เชี่ยวชาญการวิเคราะห์มัลแวร์ของ IBM ระบุว่าพฤติกรรมของ AnchorMail จะคล้ายๆกับพฤติกรรมของ AnchorDNS รุ่นก่อน

กลุ่มแฮกเกอร์ที่อยู่เบื้องหลัง TrickBot คือ ITG23 หรือที่รู้จักในชื่อ Wizard Spider โดยค่อนข้างมีชื่อเสียงในด้านการพัฒนา Anchor Backdoor ที่ถูกใช้โจมตีเหยื่อมาตั้งแต่ปี 2018 ด้วยมัลแวร์ TrickBot และ BazarBackdoor ในช่วงหลายปีที่ผ่านมาทางกลุ่มได้ร่วมมือกับกลุ่ม Conti Ransomware ซึ่งทำให้มีการนำ TrickBot และ BazarLoader ไปใช้ร่วมในการโจมตี

Backdoor AnchorDNS ในเวอร์ชันเก่านั้นจะสื่อสารกับเซิร์ฟเวอร์ C2 โดยใช้ DNS Tunneling เพื่อหลีกเลี่ยงการป้องกันของเหยื่อ แต่เวอร์ชันใหม่จะใช้อีเมลที่ได้รับการออกแบบมาเป็นพิเศษ

Charlotte Hammond ได้กล่าวว่า AnchorMail จะใช้โปรโตคอล SMTPS ที่เข้ารหัสเพื่อส่งข้อมูลไปยัง C2 และใช้ IMAPS ในการรับคำสั่ง การทำงานของมัลแวร์จะกำหนดเวลาให้ทำงานทุกๆ 10 นาที ตามด้วยการติดต่อไปยังเซิร์ฟเวอร์ C2 เพื่อดำเนินการรับคำสั่ง ซึ่งรวมถึงการรันไบนารี, DLL และ shell code ผ่าน PowerShell จากนั้นก็จะลบตัวมันเองออกจากระบบ

การค้นพบ Anchor เวอร์ชันใหม่ จะทำให้เกิด Backdoor ใหม่ๆที่ใช้ในการโจมตีด้วย Ransomware เพิ่มมากขึ้น

ในปัจจุบัน AnchorMail ยังพบการโจมตีเฉพาะบน Windows เท่านั้น แต่เนื่องจากพบว่า AnchorDNS ถูกนำไปใช้บน Linux เรียบร้อยแล้ว จึงทำให้ในอนาคตเราอาจพบ AnchorMail เวอร์ชัน Linux เกิดขึ้นได้เช่นกัน

ที่มา : thehackernews

มัลแวร์ SharkBot ได้แทรกซึมเข้าไปอยู่ใน Google Play Store โดยปลอมตัวเป็นโปรแกรมป้องกันไวรัส

แม้ว่าตัวแอปยังไม่เป็นที่นิยม หรือถูกดาวน์โหลดไปมากนัก แต่การที่ตัวแอปยังสามารถอยู่บน Play Store ได้ แสดงให้เห็นว่าผู้เผยแพร่มัลแวร์ยังคงสามารถหลบเลี่ยงการตรวจจับของ Google ได้เป็นอย่างดีจนถึงปัจจุบัน

แอพพลิเคชั่นบน Android ที่จริง ๆ แล้วคือ SharkBot

รายละเอียดผู้เผยแพร่บน Play Store

SharkBot สามารถทำอะไรได้บ้าง?

มัลแวร์ดังกล่าวถูกค้นพบครั้งแรกโดย Cleafy ในเดือนตุลาคม 2564 โดยฟีเจอร์ที่สำคัญที่สุด ที่ทำให้แตกต่างจาก Banking Trojan อื่น ๆ คือการโอนเงินผ่านระบบโอนอัตโนมัติ (ATS) บนอุปกรณ์ที่ถูกควบคุม

(more…)

US Cybersecurity and Infrastructure Security Agency (CISA) ได้อัปเดตการแจ้งเตือน IOC ของ Conti ransomware ซึ่งประกอบด้วยชื่อโดเมนเกือบ 100 ชื่อที่ทางกลุ่มใช้ในการดำเนินการที่ผ่านมา

การแจ้งเตือนเกี่ยวกับ Conti Ransomware ถูกเผยแพร่ครั้งแรกตั้งแต่วันที่ 22 กันยายน พ.ศ. 2564 โดยมีรายละเอียดที่ CISA และสำนักงานสืบสวนสหรัฐอเมริกา (FBI) ให้ข้อมูลรายละเอียดของการโจมตีจาก Conti ransomware ที่กำหนดเป้าหมายเป็นองค์กรต่างๆ ในสหรัฐอเมริกา ส่วนข้อมูลอัพเดทครั้งล่าสุดเป็นข้อมูลจาก US Secret Service

(more…)

Dirty Pipe เป็นช่องโหว่บน Linux (CVE-2022-0847) ที่ทำให้ Local users สามารถเข้าถึงสิทธิ์ Root กระทบกับ Linux Distro ใหญ่ๆหลายราย โดยช่องโหว่ยังส่งผลกระทบกับ Linux Kernel 5.8 และเวอร์ชันที่ใหม่กว่า

Max Kellermann ผู้เชี่ยวชาญด้านความปลอดภัยผู้ค้นพบช่องโหว่ Dirty Pipe หลังจากตรวจสอบ Access log files ของลูกค้ารายหนึ่ง และระบุว่าช่องโหว่นี้คล้ายกับช่องโหว่ Dirty COW (CVE-2016-5195) ที่ถูกแก้ไขไปแล้วในปี 2559

Kellerman เผยแพร่รายละเอียดทางเทคนิคเกี่ยวกับช่องโหว่ Dirty Pipe พร้อมกับผลทดสอบ Proof-of-Concept (PoC) ที่สามารถทำให้ Local users สามารถเขียนทับเนื้อหาไฟล์ใด ๆ ใน page cache ได้ แม้ว่าไฟล์นั้นจะไม่ได้รับอนุญาตให้เขียน หรือแม้แต่ read-only ก็ตาม

BleepingComputer ได้รายงานทวิตเตอร์ที่เผยแพร่โดย Phith0n นักวิจัยด้านความปลอดภัย ซึ่งอธิบายการโจมตีโดยใช้ช่องโหว่เพื่อใช้ในแก้ไขไฟล์ /etc/passwd เพื่อตั้งค่า root user โดยไม่ต้องใช้รหัสผ่าน การใช้เทคนิคนี้ทำให้ Non-privileged user สามารถรันคำสั่ง 'su root' เพื่อเข้าถึงบัญชี root ได้

ช่องโหว่ได้รับการแก้ไขใน Linux เวอร์ชัน 5.16.11, 5.15.25 และ 5.10.102 ในวันที่ 23 กุมภาพันธ์ 2565 ที่ผ่านมา หลังจากมีการรายงานไปยังทีมรักษาความปลอดภัยของ Linux kernel และในส่วนของ Google ได้แก้ไข Android kernel เมื่อวันที่ 24 กุมภาพันธ์ 2565

เนื่องจากมีการใช้ประโยชน์จากช่องโหว่ และมี PoC ออกมาแล้วในปัจจุบัน จึงขอแนะนำให้ผู้ใช้อัปเดตเซิร์ฟเวอร์ Linux ทันที

ที่มา : securityaffairs , bleepingcomputer , thehackernews

US Cybersecurity and Infrastructure Security Agency (CISA) ได้เพิ่มช่องโหว่ใหม่ 2 ช่องโหว่ของ Zabbix ลงใน List ของ Known Exploited Vulnerabilities Catalog ซึ่งถือว่าเป็นช่องโหว่ที่ทราบแล้วว่ามีผู้โจมตีกำลังใช้ประโยชน์จากช่องโหว่ทั้งสองรายการในการโจมตี

 

 

 

CISA สั่งให้หน่วยงาน Federal Civilian Executive Branch Agencies (FCEB) ต้องแก้ไขช่องโหว่ด้านความปลอดภัยของ Zabbix ภายในวันที่ 8 มีนาคม 2565

ช่องโหว่แรกคือ CVE-2022-23131 (คะแนน CVSS: 9.8) เป็นช่องโหว่ client-side session storage ซึ่งผู้โจมตีจะใช้ประโยชน์จากช่องโหว่นี้เพื่อหลีกเลี่ยงการตรวจสอบสิทธิ์ผ่าน Zabbix Frontend ด้วย Security Assertion Markup Language (SAML) ที่ตั้งค่าไว้
ช่องโหว่ที่สองคือ CVE-2022-23134 (คะแนน CVSS: 5.3) อาจทำให้ผู้โจมตีสามารถเปลี่ยนการตั้งค่าของ Zabbix Frontend ได้

Thomas Chauchefoin จาก SonarSource ได้ค้นพบ และรายงานช่องโหว่ทั้งสองรายการนี้ซึ่งส่งผลกระทบต่อ Zabbix Web Frontend เวอร์ชัน 5.4.8, 5.0.18 และ 4.0.36
โดยล่าสุดช่องโหว่ดังกล่าวได้รับการแก้ไขแล้วจาก Zabbix เวอร์ชัน 5.4.9, 5.0.9 และ 4.0.37 แนะนําให้ทำการอัปเดตเป็นเวอร์ชันล่าสุดในทันที

ไทม์ไลน์สำหรับช่องโหว่ทั้งสองรายการ :
DATE ACTION
2021-11-18 A security advisory is sent to Zabbix maintainers.

Toyota Motors ผู้ผลิตรถยนต์รายใหญ่ของญี่ปุ่นประกาศหยุดดำเนินการผลิตรถยนต์ โดยการหยุดการทำงานดังกล่าวเกิดขึ้นจากที่บริษัทซัพพลายเออร์ชิ้นส่วนสำคัญ Kojima Industries มีรายงานว่าระบบเครือข่ายถูกโจมตีทางไซเบอร์ โดย Kojima Industries เป็นผู้ผลิตชิ้นส่วนพลาสติกของญี่ปุ่นที่มีความสำคัญต่อการผลิตรถยนต์

โตโยต้ากล่าวว่าเหตุการณ์ดังกล่าวทำให้ตัดสินใจระงับการทำงานของสายการผลิต 28 แห่งในโรงงาน 14 แห่งในญี่ปุ่น โดยเริ่มในวันอังคารที่ 1 มีนาคม พ.ศ. 2565 โดยผลกระทบที่คาดว่าจะเกิดขึ้นคือการผลิตรายเดือนของโตโยต้าในญี่ปุ่นลดลง 5% ซึ่งคิดเป็นประมาณ 13,000 คัน

บริษัทในเครือของโตโยต้า Daihatsu Motors และ Hino Motors ก็จะหยุดการผลิตเช่นกัน แต่ยังไม่มีการชี้แจงผลกระทบที่แน่นอน

แม้ว่าบริษัท Kojima Industries จะไม่ได้เผยแพร่ข้อมูลอย่างเป็นทางการใดๆเกี่ยวกับการโจมตีดังกล่าว แต่เว็บไซต์ของบริษัทขณะนี้ยังออฟไลน์อยู่ และสำนักข่าวญี่ปุ่นหลายแห่งอ้างว่าการหยุดชะงักดังกล่าวเกิดจากการโจมตีทางไซเบอร์

ผู้สื่อข่าวชาวญี่ปุ่นได้สอบถามนายกรัฐมนตรี ฟุมิโอะ คิชิดะ ว่าเหตุการณ์นี้เกี่ยวข้องกับการคว่ำบาตรของญี่ปุ่นต่อรัสเซียหรือไม่ โดยนายกรัฐมนตรี คิชิดะกล่าวในขณะนั้นว่ายังไม่มีการยืนยันว่าสาเหตุมาจากเรื่องนี้หรือไม่

สถานการณ์นี้ได้สร้างความท้าทายที่ไม่เคยมีมาก่อนให้กับโตโยต้าอย่างมาก เนื่องจากมีการใช้ระบบการผลิตแบบลีน หรือ Just in time (JIT) ที่มีมาอย่างยาวนาน ซึ่งเป็นแนวทางการผลิตที่มีประสิทธิภาพมากที่สุดตั้งแต่ในอดีต

อะไรก็ตามที่เป็นสาเหตุที่ทำให้ซัพพลายเออร์ Kojima ต้องเกิดการชะงักในการผลิต ระบบ JIT ที่ครั้งหนึ่งเคยทำให้โตโยต้าได้เปรียบนั้นก็ถือว่าเป็นจุดอ่อนในสายการผลิตในปัจจุบันที่ต้องมีการเชื่อมต่อกับเครือข่ายคอมพิวเตอร์ขนาดใหญ่ที่มีความผันผวน

เนื่องจากยังไม่มีรายละเอียดของข้อมูลการโจมตีที่เกิดขึ้นกับทางซัพพลายเออร์ของบริษัทโตโยต้า ทาง i-secure จึงมีคำแนะนำเพิ่มเติมเบื้องต้นดังต่อไปนี้**

1. รอติดตามรายงานเพิ่มเติมจากทางบริษัทโตโยต้า มอเตอร์ คอปอร์เรชัน ของเหตุการณ์การโจมตีทางไซเบอร์ที่เกิดขึ้น เพื่อนำพฤติกรรมการโจมตีที่แฮ็กเกอร์ใช้ (IOA) หรือ IP, Domain ที่เกี่ยวข้องกับการโจมตี (IOC) มาทำการป้องกัน และเฝ้าระวังต่อไป

2. อัปเดตแพตซ์ช่องโหว่ต่างๆของระบบให้เป็นเวอร์ชั่นปัจจุบัน เพื่อป้องกันการถูกโจมตีผ่านทางช่องโหว่ของอุปกรณ์

3. อัพเกรด Antivirus ให้เป็น Version ล่าสุด หรือพิจารณาใช้ Endpoint Protection ที่สามารถป้องกันการโจมตีรูปแบบต่างๆได้ดีขึ้นมากกว่า Antivirus ในแบบเดิมๆ

4. หากมีระบบที่สำคัญที่สามารถมีการเชื่อมต่อเข้ามาได้ผ่านทางหน้าเว็ปไซต์ หรือเว็ปแอพพลิเคชัน ควรมีอุปกรณ์ป้องกันจำพวก Web Application Firewall เพื่อช่วยป้องกันการโจมตีผ่านทางหน้าเว็ปไซต์ หรือเว็ปแอพพลิเคชัน

5. ตั้งค่าการป้องกันในอุปกรณ์ Security ต่างๆให้เป็น Block Mode สำหรับภัยคุกคามที่พบในระดับความรุนแรงสูงขึ้นไป เพื่อป้องกันการโจมตีที่อาจจะเกิดขึ้น

6. ระมัดระวังการเปิดลิงก์ หรือไฟล์แนบแปลกปลอมที่ถูกส่งมาทางอีเมลจากบุคคลภายนอกที่ไม่รู้จัก เพื่อป้องกันการถูกโจมตีจาก Malware ที่แนบมากับลิงค์ หรือไฟล์แแปลกปลอมเหล่านั้น

7. ในกรณีที่มีพนักงานทำงานจากที่บ้าน ควรให้พนักงานใช้คอมพิวเตอร์ที่ถูกควบคุม Policy จากองค์กรเท่านั้น ไม่ควรให้พนักงานใช้คอมพิวเตอร์ส่วนตัว หรือคอมพิวเตอร์ที่ใช้งานร่วมกับคนที่บ้านในการเชื่อมต่อกลับเข้ามาที่ระบบขององค์กร

ที่มา: bleepingcomputer

นักวิเคราะห์ภัยคุกคามได้สังเกตเห็นการโจมตีคลื่นลูกใหม่ที่ติดตั้ง Cobalt Strike beacons บน Microsoft SQL Servers ที่มีช่องโหว่ซึ่งนำไปสู่การโจมตี และติดมัลแวร์

Cobalt Strike เป็น Penetration testing framework ที่มีคุณสมบัติหลายอย่าง ซึ่งช่วยให้ผู้โจมตีสามารถปรับใช้ และติดตั้ง Beacon Payload บนเครื่อง ซึ่งจะทำให้ผู้โจมตีสามารถเข้าถึงระบบได้จากระยะไกล แม้ว่า Cobalt Strike จะเป็น Penetration testing framework ที่ถูกใช้ในการทำ Pentest อย่างถูกกฎหมาย แต่ก็ถูกผู้โจมตีนำไป Crack และนำไปใช้งานอย่างไม่ถูกต้อง และถูกใช้โดย Squirrelwaffle, Emotet, ผู้ให้บริการ Malware หรือกลุ่ม Ransomware เป็นต้น

ขั้นตอนการโจมตี

ผู้โจมตีจะสแกนหาเซิร์ฟเวอร์ที่มีพอร์ต TCP 1433 เปิดอยู่ ซึ่งหมายความว่าน่าจะเป็นเซิร์ฟเวอร์ MS-SQL ที่เชื่อมต่อกับ Public (ไม่ได้หมายความว่า Server ที่ไม่ได้เชื่อมต่อกับ Public ไม่มีความเสี่ยง)
ผู้โจมตีจะดำเนินการ Brute-forcing, Dictionary attacks เพื่อถอดรหัสรหัสผ่าน
เมื่อผู้โจมตีสามารถเข้าถึงบัญชีผู้ดูแลระบบ และเข้าสู่ระบบเซิร์ฟเวอร์สำเร็จ จะทำการติดตั้ง Cobalt Strike ผ่าน Command Shell (cmd.