พบช่องโหว่ CVE-2021-45388 ในโมดูลเคอร์เนล KCodes NetUSB บนอุปกรณ์ Router ของ Vendor จำนวนนับล้านเครื่อง ช่องโหว่นี้สามารถทำให้เกิดการเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกลได้

ผู้โจมตีจะใช้ประโยชน์จากช่องโหว่นี้ทำให้สามารถรันโค้ดจากระยะไกลได้สำเร็จในเคอร์เนล ถึงแม้จะมีข้อจำกัดบางอย่าง แต่ก็อาจเกิดผลกระทบที่รุนแรงในวงกว้างได้

ช่องโหว่นี้ถูกค้นพบโดย SentinelLabs ซึ่งมีการรายงานกับทาง Bleeping Computer ก่อนที่จะมีการเผยแพร่

NetUSB คืออะไร และมีการกำหนดเป้าหมายอย่างไร

ผู้ผลิต Router บางแบรนด์ มีการผลิต Router ที่มี port USB บนอุปกรณ์ ซึ่งอนุญาตให้ผู้ใช้งานสามารถ แชร์ Printer และ USB drivers บนเครือข่ายได้

NetUSB มีโซลูชันการเชื่อมต่อโมดูลเคอร์เนลที่พัฒนาโดย KCodes ทำให้อุปกรณ์ในเครือข่ายสามารถเชื่อมต่อกับ USB ที่เสียบเข้ากับ Router โดยตรง

SentinelOne ค้นพบช่องโหว่ใน code segment ที่อยู่ในโมดูลเคอร์เนลที่ไม่ตรวจสอบขนาดหน่วยความจำ code segment ซึ่งส่งผลให้เกิด integer overflow ได้

ฟังก์ชัน 'SoftwareBus_fillBuf' อาจเป็นช่องทางในการทำให้ติด Malware ได้ผ่านการควบคุมจากผู้โจมตี แต่ข้อจำกัดบางประการก็อาจทำให้การโจมตีช่องโหว่นี้เกิดได้ยากขึ้น

SentinelOne เตือน "ในขณะที่มีข้อจำกัดบางอย่างที่ทำให้ยากต่อการโจมตีช่องโหว่นี้ แต่เราเชื่อว่ายังมีโอกาสเป็นไปได้ ดังนั้นผู้ใช้งาน Wi-Fi routers อาจต้องอัปเดตเฟิร์มแวร์สำหรับ Router"

Vendor ที่ได้รับผลกระทบจากช่องโหว่ และการอัพเดทแพตช์

Vendor Router ที่ใช้โมดูลที่มีช่องโหว่ดังกล่าวได้แก่

Netgear
TP-Link
Tenda
EDiMAX
Dlink
Western Digital
ยังไม่ได้มีการระบุชัดเจนว่ารุ่นใดที่ได้รับผลกระทบจากช่องโหว่ CVE-2021-45388 แต่โดยทั่วไปแล้ว ควรใช้ Product ที่มีการอัปเดตฟิร์มแวร์อย่างสม่ำเสมอ

เนื่องจากช่องโหว่ดังกล่าวส่งผลกระทบต่อ Vendor จำนวนมาก Sentinel One จึงแจ้งเตือน KCodes ก่อน ในวันที่ 9 กันยายน พ.ศ. 2564 และให้ข้อมูลคริปต์ PoC ในวันที่ 4 ตุลาคม พ.ศ. 2564 เพื่อใช้ตรวจสอบความสมบูรณ์ของแพตช์หลังจากการออกอัพเดท

Netgear ออกมาอัปเดตแพตซ์เพื่อแก้ไขช่องโหว่ CVE-2021-45388 ใน Vendor ที่ได้รับผลกระทบในวันที่ 14 ธันวาคม 2564

ตามคำแนะนำด้านความปลอดภัยที่เผยแพร่เมื่อวันที่ 20 ธันวาคม พ.ศ. 2564 Product ของ Netgear ที่ได้รับผลกระทบมีดังต่อไปนี้
D7800 ได้รับการแก้ไขแล้ว บนเวอร์ชั่น 1.0.1.68
R6400v2 ได้รับการแก้ไขแล้ว บนเวอร์ชั่น 1.0.4.122
R6700v3 ได้รับการแก้ไขแล้ว บนเวอร์ชั่น 1.0.4.122

โซลูชันที่ Netgear เพิ่มเข้ามาใหม่คือฟังก์ชัน 'supplied size' เพื่อป้องกัน out-of-bounds write

ที่มา : bleepingcomputer

*Timeline การเปิดเผยข้อมูล*
09 ก.ย. 2564 - มี Email ส่งถึง KCodes เพื่อขอข้อมูลเกี่ยวกับวิธีการแจ้งข้อมูลช่องโหว่
20 ก.ย. 2564 - KCodes ได้รับรายละเอียดช่องโหว่ และคำแนะนำการแก้ไขช่องโหว่
04 ต.ค. 2021 - KCodes ได้รับสคริปต์ PoC เพื่อตรวจสอบความสมบูรณ์ของแพตช์
19 พ.ย. 2564 - KCodes ยืนยันว่าได้ส่งแพตช์ไปยัง Vendor ทุกรายแล้ว ไม่ใช่แค่ Netgear และเฟิร์มแวร์จะออกก่อนวันที่ 20 ธันวาคม
14 ธ.ค. 2564 - พบว่า Netgear ได้ออกเฟิร์มแวร์สำหรับอุปกรณ์ R6700v3 ที่พร้อมใช้แล้ว
20 ธ.ค. 2564 - Netgear เผยแพร่คำแนะนำสำหรับช่องโหว่ต่อสาธารณะ

 

การอัปเดต Patch Tuesday ครั้งใหญ่ในเดือนมกราคม 2022 ของ Microsoft ** ครอบคลุม CVE ที่สำคัญ 9 รายการ

Microsoft ได้แก้ไขช่องโหว่ด้านความปลอดภัยทั้งหมด 97 รายการในการอัปเดต Patch Tuesday ประจำเดือนมกราคมปี 2022 โดย 9 รายการอยู่ในอันดับ Critical รวมถึง 6 รายการที่มีสถานะเป็น Zero-days ที่ถูกเปิดเผยออกสู่สาธารณะ

การแก้ไขครอบคลุมกลุ่มผลิตภัณฑ์คอมพิวเตอร์ค่ายใหญ่ทั้งหลาย ซึ่งรวมถึง: Microsoft Windows และ Windows Components, Microsoft Edge (ที่ใช้ Chromium), Exchange Server, Microsoft Office และ Office Components, SharePoint Server, .NET Framework, Microsoft Dynamics, ซอฟต์แวร์โอเพ่นซอร์ส , Windows Hyper-V, Windows Defender และ Windows Remote Desktop Protocol (RDP)

Dustin Childs นักวิจัยจาก Zero Day Initiative (ZDI) ของ Trend Micro อธิบายว่า "นี่เป็นการอัปเดตครั้งใหญ่มากผิดปกติในเดือนมกราคม" "ในช่วงไม่กี่ปีที่ผ่านมา จำนวนแพตช์เฉลี่ยที่ออกในเดือนมกราคมมีประมาณครึ่งหนึ่งของครั้งนี้ มีแนวโน้มว่าเราอาจจะพบการอัพเดทจำนวนมากระดับนี้ตลอดทั้งปี"

Zero-Day Tsunami

ถึงจะมี Zero-Day ออกมาจำนวนมาก แต่ยังไม่มี Zero-Day ตัวใดที่ถูกระบุว่าถูกนำไปใช้โจมตีอย่างชัดเจน แม้ว่าจะมีสองรหัสได้แก่ CVE-2022-21919 และ CVE-2022-21836 ที่ถูกนำไปใช้อย่างแพร่หลาย จากทั้งหมดนี้

CVE-2021-22947: HackerOne-assigned CVE in open-source Curl library (RCE)
CVE-2021-36976: MITRE-assigned CVE in open-source Libarchive (RCE)
CVE-2022-21874: Local Windows Security Center API (RCE, CVSS score of 7.8)
CVE-2022-21919: Windows User Profile Service (privilege escalation, CVSS 7.0)
CVE-2022-21839: Windows Event Tracing Discretionary Access Control List (denial-of-service, CVSS 6.1).
CVE-2022-21836: Windows Certificate (spoofing, CVSS 7.8).

cURL bug ถูกเปิดเผยโดย HackerOne เมื่อเดือนกันยายน 2564 Childs กล่าวในการวิเคราะห์ Patch Tuesday ของ ZDI"
และแพตช์นี้ได้รวมไลบรารี cURL ล่าสุดไว้ในผลิตภัณฑ์ของ Microsoft ด้วยนี่คือเหตุผลที่ CVE นี้ถูกทำให้รู้จักกันอย่างแพร่หลาย ในทำนองเดียวกัน แพตช์สำหรับไลบรารี Libarchive ก็ถูกเปิดเผยในปี 2021 และเวอร์ชันล่าสุดของไลบรารีนี้กำลังถูกรวมเข้ากับผลิตภัณฑ์ของ Microsoft ด้วย"

ช่องโหว่ระดับ Critical และช่องโหว่ในลักษณะ Wormable แนะนำให้รีบ Patch โดยทันที

ปัญหา Remote Code-execution (RCE) ในสแต็คโปรโตคอล HTTP นั้นเป็นที่สนใจสำหรับนักวิจัย เนื่องจากมันสามารถใช้ในการแพร่กระจายการโจมตีได้อย่างรวดเร็ว กล่าวคือ ช่องโหว่นี้สามารถแพร่กระจายตัวเองได้เองผ่านเครือข่าย โดยไม่จำเป็นต้องให้เหยื่อดำเนินการใดๆ โดยช่องโหว่นี้มีระดับความรุนแรงของช่องโหว่สูงที่สุดของการอัปเดตทั้งหมด โดยมีคะแนนอยู่ที่ 9.8

ช่องโหว่ CVE-2022-21907 ทำงานโดยการส่งแพ็กเก็ตที่สร้างขึ้นเป็นพิเศษไปยังระบบเป้าหมายโดยใช้ HTTP protocol stack (http.

 

 

 

 

 

 

 

 

สำนักงานสืบสวนกลางแห่งสหรัฐอเมริกา (FBI) ได้ออกคำเตือนถึงองค์กรต่างๆ เกี่ยวกับ แฟลชไดร์ USB อันตรายที่มาพร้อมกับ ransomware ซึ่งสามารถแพร่กระจายผ่านทางอีเมล และเป็นช่องทางให้เกิดโจมตีทางไซเบอร์ได้ โดยแฟลชไดร์ USB จะถูกส่งมาในรูปแบบของ "กล่องของขวัญตกแต่งที่มีจดหมายขอบคุณปลอม บัตรของขวัญปลอม และ USB"

รายละเอียดแผนการหลอกลวง

กลุ่มอาชญากรไซเบอร์ FIN7 ส่งของขวัญที่น่าสงสัยให้กับบริษัทต่างๆในสหรัฐอเมริกา ซึ่งพัสดุถูกปลอมแปลงให้เป็นการส่งโดยกระทรวงสาธารณสุข และบริการประชาชนของสหรัฐฯ (HHS) หรือไม่ก็มาจาก Amazon เพื่อหลอกลวงให้ผู้รับเปิดพัสดุเหล่านี้มาใช้งาน

ในกล่องพัสดุประกอบด้วยแฟลชไดร์ USB ที่มีมัลแวร์ และยังมีจดหมายระบุรายระเอียดแนวทางปฏิบัติเกี่ยวกับไวรัสโควิด 19 ซึ่งคาดว่าออกโดยกระทรวงสาธารณสุข หรือไม่ก็เป็นของขวัญจาก Amazon

 

 

 

 

 

 

 

 

 

 

 

 

 

 

แคมเปญนี้เกิดขึ้นตั้งแต่เดือนสิงหาคม 2021

ตามรายงาน FBI ระบุว่ามีการส่งไดร์ USB ที่ติดตั้งไวรัสตั้งแต่เดือนสิงหาคม 2021 พัสดุเหล่านี้ถูกส่งผ่านทางไปรษณีย์สหรัฐ (USPS) ไปยังบริษัทในอุตสาหกรรมต่างๆเช่น การขนส่ง การประกันภัย และการป้องกันประเทศ โดยพัสดุประกอบด้วยแฟลชไดร์ Lily Go USB ที่ภายหลังถูกระบุว่าถูกติดตั้ง ransomware ไว้ โดยหน่วยงานต่างๆพบว่าเมื่อนำมาใช้งาน แฟลชไดร์ดังกล่าวจะดำเนินการโจมตีด้วยวิธีการที่เรียกว่า BadUSB ซึ่งจะติดตั้งตัวเองลงบนเครื่อง และแสร้งทำเป็นอุปกรณ์คีย์บอร์ดแทนที่จะเป็นไดร์ USB ซึ่งอาจส่งผลให้เกิดการแพร่กระจาย BlackMatter และ REvil ransomware ไปยังคอมพิวเตอร์ของบริษัทที่เป็นเหยื่อ

"เป้าหมายสุดท้ายของ FIN7 ในการโจมตีคือการเข้าถึงเครือข่ายของเหยื่อ และติดตั้ง ransomware (ทั้ง BlackMatter และ REvil) ภายในเครือข่าย โดยใช้เครื่องมือต่างๆรวมถึง Metasploit, Cobalt Strike, Carbanak malware, the Griffon backdoor, and PowerShell scripts" FBI กล่าว

คำเตือนของ FBI เน้นย้ำถึงข้อที่ว่าไม่ควรใช้งานแฟลชไดร์ USB ที่ไม่รู้จักกับอุปกร์ของตน หรือองค์กร

ที่มา : hackread

 

 

 

 

 

 

 

ฟีเจอร์ commenting ของ Google Docs ถูกนำไปใช้โจมตีด้วย spear-phishing

พบรูปแบบใหม่ในการโจมตีแบบ phishing เกิดขึ้นในเดือนธันวาคม 2021, โดยผู้ไม่หวังดีใช้ประโยชน์จากฟีเจอร์ commenting ของ Google Docs เพื่อส่งอีเมล phishing ที่ดูแล้วน่าเชื่อถือ

Google Docs ถูกใช้งานจากผู้ใช้งานจำนวนมาก เนื่องจากสามารถทำงานร่วมกันในไฟล์เดียวกันจากที่ใดก็ได้ ดังนั้นผู้ใช้งานส่วนใหญ่ที่ได้รับอีเมลแจ้งเตือนจาก Google Docs จึงไม่ค่อยให้ความระมัดระวังมากนัก

เนื่องจากผู้โจมตีใช้ฟีเจอร์ของ Google เองในการส่งอีเมล phishing พวกนี้ ทำให้อุปกรณ์จำพวก email security ไม่ได้ระบุว่าอีเมลพวกนี้เป็นอันตราย

จริง ๆ แล้ววิธีการนี้ถูกใช้ตั้งแต่เดือนตุลาคมปีที่แล้ว โดย Google เองก็พยายามแก้ไขปัญหานี้อยู่ในเบื้องต้น แต่ยังไม่สามารถแก้ไขได้ทั้งหมด

ล่าสุดพบว่ามีจำนวน phishing ลักษณะนี้เพิ่มขึ้นจำนวนมาก โดยนักวิเคราะห์ภัยคุกคามจาก Avanan ได้แบ่งปันข้อมูลรายงานกับ Bleeping Computer ก่อนเผยแพร่รายงานออกสู่สาธารณะ

วิธีการที่ผู้โจมตีใช้

แฮกเกอร์จะใช้บัญชี Google ของตนเพื่อสร้าง Google Docs แล้วใส่ comment ใน Docs จากนั้นก็แท็กเป้าหมายด้วย @ หลังจากนั้น Google จะส่งอีเมลแจ้งเตือนไปยังอีเมลของเป้าหมายเพื่อแจ้งให้ทราบว่ามีผู้ใช้รายอื่น comment ในเอกสาร และแท็กถึงพวกเขา

 

 

 

 

 

 

 

comment ในอีเมลอาจมีลิงก์ที่เป็นอันตรายซึ่งนำไปสู่หน้าเว็บที่มีการฝัง malware หรือ หน้าเว็บ phishing โดยอีเมลของผู้โจมตีจะไม่แสดงในการแจ้งเตือน และผู้รับจะเห็นเพียงชื่อเท่านั้น ทำให้สามารถแอบอ้างเป็นบุคคลอื่นได้ง่าย และเพิ่มโอกาสความสำเร็จให้กับผู้โจมตีอีกด้วย

 

 

 

 

 

 

 

เทคนิคเดียวกันนี้ใช้ได้กับฟีเจอร์ comment ของ Google Slide เช่นกัน และ Avanan รายงานว่าพบผู้โจมตีใช้ประโยชน์จาก Google Workspace service อีกด้วย ที่อันตรายคือผู้โจมตีไม่จำเป็นต้องแชร์เอกสารกับเป้าหมาย เนื่องจากการแท็กถึงพวกเขานั้นก็เพียงพอที่จะส่งการแจ้งเตือนที่มีเนิ้อหาที่เป็นอันตราย

เริ่มพบการโจมตีเป็นวงกว้าง และมาตรการป้องกัน

จากข้อมูลของ Avanan ผู้โจมตีที่อยู่เบื้องหลังการโจมตีเหล่านี้ดูเหมือนจะมุ่งเป้าไปที่ผู้ใช้งาน Outlook แต่กลุ่มเป้าหมายไม่ได้จำกัดอยู่เพียงผู้ใช้เหล่านั้น แคมเปญ spear-phishing ที่กำลังดำเนินอยู่นี้้ใช้บัญชี Google มากกว่า 100 บัญชีและมีการส่งอีเมลไปถึง 500 อีเมลในกว่า 30 องค์กรแล้ว

วิธีที่จะลดความเสี่ยงของแคมเปญนี้ และแคมเปญที่คล้ายคลึงกันคือ

-ยืนยันว่าอีเมลผู้ส่งตรงกับเพื่อนร่วมงานของคุณ (หรือบุคคลที่อ้างสิทธิ์)
-หลีกเลี่ยงการคลิกลิงก์ที่ส่งมาถึงทางอีเมล และถูกฝังอยู่ใน comment
-ปรับใช้มาตรการรักษาความปลอดภัยเพิ่มเติมที่ใช้ในการแชร์ไฟล์ที่เข้มงวดมากยิ่งขึ้นใน Google Workspace
-ใช้โซลูชันความปลอดภัยทางอินเทอร์เน็ตซึ่งมีการป้องกัน phishing URL

ที่มา : bleepingcomputer

 

 

Microsoft ได้ออกมาเปิดเผยรายละเอียดเกี่ยวกับช่องโหว่ความปลอดภัยบน macOS ที่ถูกแพตช์ไปเมื่อเร็ว ๆ นี้ ซึ่งช่องโหว่ดังกล่าวสามารถทำให้เกิดการเปิดเผยข้อมูลของผู้งานได้

 

ช่องโหว่นี้ได้รับหมายเลข CVE-2021-30970 โดยเกิดจากปัญหาทางด้าน Logic ของระบบ Transparency, Consent and Control (TCC) ซึ่งเป็นฐานข้อมูลส่วนที่ทำงานเกี่ยวกับการเก็บข้อมูลการตั้งค่า Privacy และการปกป้องไฟล์ และข้อมูลของแอพพลิเคชันต่าง ๆ โดยหน้าต่าง Security & Privacy ในหน้าการตั้งค่าแอปพลิเคชั่นบนระบบปฏิบัติการ macOS นั้นทำงานเป็น Front-end ของ TCC

 

ทีมนักวิจัยของ Microsoft 365 Defender ได้รายงานช่องโหว่นี้ให้กับ Apple ในเดือนกรกฎาคม 2021 โดยเรียกช่องโหว่นี้ว่า “powerdir” ซึ่ง Apple ได้รับทราบและแก้ไขปัญหานี้ในการอัปเดต macOS เวอร์ชัน 11.6 และ 12.1 ที่ถูกปล่อยในเดือนธันวาคมที่ผ่านมา

 

ทาง Apple ได้แก้ไข Policy เพื่อให้การเข้าถึงฐานข้อมูล TCC นั้นสามารถทำได้จากแอปพลิเคชันที่มีสิทธิ์ในการเข้าถึง Disk เต็มรูปแบบ (Full Disk Access) เท่านั้น แต่อย่างไรก็ตามมันยังมีความเป็นไปได้ที่จะดัดแปลงการโจมตีให้แอปพลิเคชันที่ไม่พึงประสงค์นั้นสามารถใช้งานการตั้งค่า Privacy เพื่อขโมยข้อมูลจากเครื่องได้ ซึ่งอาจทำให้ผู้บุกรุกสามารถเข้าถึงไมโครโฟนเพื่ออัดเสียงการสนทนา หรือจับภาพหน้าจอของผู้ใช้งานได้

 

“พวกเราค้นพบว่ามันเป็นไปได้ที่จะทำการเปลี่ยน Home Directory ของผู้ใช้งานและทำการฝังฐานข้อมูล TCC ปลอมลงไป ซึ่ง TCC ปลอมที่ว่านั้นเก็บข้อมูลประวัติการยินยอมคำขอต่าง ๆ ของแอปพลิเคชัน” Jonathan Bar Or ทีมนักวิจัยของ Microsoft 365 Defender กล่าว

 

“ถ้าโจมตีที่ระบบที่ยังไม่ถูกแพตช์ ช่องโหว่นี้จะทำให้ผู้บุกรุกสามารถสร้างการโจมตีอื่น ๆ ได้ โดยใช้ข้อมูลส่วนตัวของผู้ใช้งานที่ได้มา”

 

 

หรือกล่าวได้ว่า หากผู้บุกรุกสามารถเข้าถึง Disk ได้อย่างเต็มรูปแบบ และสามารถเข้าถึงฐานข้อมูล TCC ได้ ผู้บุกรุกจะสามารถแก้ไขสิทธิ์และอนุญาตให้แอปพลิเคชันต่าง ๆ ทำงานด้วยการกำหนดค่าที่ผู้ใช้ไม่ได้ยินยอมได้

 

ช่องโหว่ CVE-2021-30970 ยังเป็นช่องโหว่ที่ 3 ที่เกี่ยวข้องกับการ Bypass TCC ที่ถูกค้นพบหลังจากช่องโหว่ CVE-2020-9934 และ CVE-2020-27937 ซึ่งทั้งสองช่องโหว่นี้ได้รับการแก้ไขโดย Apple แล้ว อีกทั้งในเดือนพฤษภาคม 2021 Apple ยังได้แก้ไขช่องโหว่ Zero-day ในส่วนเดียวกัน (CVE-2021-30713) ซึ่งสามารถทำให้ผู้บุกรุกได้รับสิทธิ์การเข้าถึง Disk เต็มรูปแบบ การจับภาพหน้าจอ และสิทธิ์อื่น ๆ ที่ผู้ใช้งานไม่ได้อนุญาต

 

“นี่แสดงให้เห็นว่าแม้แต่ macOS และระบบปฏิบัติการอื่น ๆ รวมถึงแอปพลิเคชันต่าง ๆ นั้นได้รับการเสริมความแข็งแกร่งเพิ่มขึ้นในแต่ละเวอร์ชัน และบริษัทต่าง ๆ อย่าง Apple นักวิจัยด้านความปลอดภัย หรือชุมชนด้านความปลอดภัยใหญ่ ๆ จะต้องทำงานร่วมกันอย่างต่อเนื่อง เพื่อค้นหาและปิดช่องโหว่ก่อนที่ผู้ไม่ประสงค์ดีจะใช้ประโยชน์จากช่องโหว่เหล่านั้น” Jonathan Bar Or ทีมนักวิจัยของ Microsoft 365 Defender กล่าว

 

ที่มา: thehackernews

กลุ่ม Night Sky เริ่มใช้ประโยชน์จากช่องโหว่ CVE-2021-44228 หรือที่เรียกว่า Log4Shell เพื่อเข้าถึงระบบ VMware Horizon

การโจมตีเริ่มขึ้นเมื่อต้นเดือนมกราคม

Night Sky Ransomware ถูกตรวจพบเมื่อปลายเดือนธันวาคม 2564 โดยทีมนักวิจัยด้านความปลอดภัยของ MalwareHunter ซึ่งกล่าวถึงกลุ่ม Night Sky Ransomware ว่ามีการมุ่งเป้าไปที่เครือข่าย Network ขององค์กรต่างๆ และมีเหยื่อหลายรายที่โดน Ransomware เรียกค่าไถ่ และพบว่ามีเหยื่อจากหนึ่งในนั้นถูกเรียกค่าไถ่เป็นจำนวน 800,000 ดอลลาร์

เมื่อวันจันทร์ที่ผ่านมา Microsoft ได้เผยแพร่คำเตือนเกี่ยวกับแคมเปญใหม่จากแฮ็กเกอร์ชาวจีนที่ถูกเรียกชื่อว่า DEV-0401 ซึ่งใช้ประโยชน์จากช่องโหว่ของ Log4Shell บนระบบ VMware Horizon เพื่อติดตั้ง Night Sky ransomware.

Apache ได้ออกอัพเดทอีกครั้งสำหรับ Log4j เวอร์ชัน 2.17.1 เพื่อแก้ไขช่องโหว่การเรียกใช้งานโค้ดที่เป็นอันตรายจากระยะไกลที่พบในเวอร์ชัน 2.17.0 (CVE-2021-44832)

โดยก่อนหน้านี้เวอร์ชั่น 2.17.0 ถือว่าเป็นเวอร์ชั่นล่าสุดที่มีความปลอดภัยจากช่องโหว่ของ Log4j แล้ว และ Apache แนะนำผู้ใช้งานให้ทำการอัพเกรดเป็นเวอร์ชันนี้ แต่ตอนนี้คำแนะนำนั้นได้เปลี่ยนไปแล้วเนื่องจากมีการค้นพบช่องโหว่ใหม่ในเวอร์ชั่นดังกล่าว

มีการค้นพบช่องโหว่ CVE log4j เป็นครั้งที่่ 5 ในเวลาไม่ถึงเดือน
มีการพบการโจมตีโดยใช้ช่องโหว่แรกของ Log4j ที่เรียกกันว่า Log4Shell (CVE-2021-44228) เป็นจำนวนมาก โดยผู้ไม่หวังดีได้เริ่มมีการใช้ประโยชน์จากช่องโหว่ดังกล่าวในช่วงประมาณวันที่ 9 ธันวาคม 2564 หลังจากมีการเปิดเผย PoC exploit บน GitHub

ด้วยการที่ Log4j มีการถูกใช้งานเป็นจำนวนมากในแอปพลิเคชัน Java ส่วนใหญ่ ทำให้ภายในระยะเวลาไม่นาน Log4Shell จึงกลายเป็นฝันร้ายสำหรับองค์กร และรัฐบาลทั่วโลก และถึงแม้ว่าความเสี่ยงที่สำคัญจะเกิดจากช่องโหว่เดิมของ Log4Shell แต่ช่องโหว่ที่มีระดับความรุนแรงที่น้อยกว่าก็ได้มีการถูกค้นพบใน Log4j เวอร์ชัน 2.15 และ 2.16 ที่ซึ่งก่อนหน้านี้เชื่อว่าเวอร์ชั่นเหล่านั้นได้รับการแพตช์ที่สมบูรณ์แล้ว

ก่อนหน้าทาง BleepingComputer ได้มีรายงานเกี่ยวกับรายการช่องโหว่ CVE ที่ต่างกัน 4 ตัวที่ส่งผลกระทบต่อ Log4j และช่องโหว่อีก 1 รายการที่ได้ถูกค้นพบในเฟรมเวิร์ก 'logback' หลังจากที่มีการค้นพบช่องโหว่เรื่อง DoS ในเวอร์ชัน 2.16 และคำแนะนำได้ถูกเปลี่ยนเป็นให้ทำการอัปเกรดเป็นเวอร์ชัน 2.17.0 ที่มีความปลอดภัยมากขึ้น

ปัจจุบันได้มีการค้นพบช่องโหว่รายการที่ 5 ที่เป็นช่องโหว่ที่ทำให้ผู้ไม่หวังดีสามารถรันโค้ดที่เป็นอันตรายจากระยะไกลได้ (CVE-2021-44832) ซึ่งถูกค้นพบในเวอร์ชั่น 2.17.0 และได้มีการถูกแก้ไขในเวอร์ชั่น 2.17.1 ที่ได้มีการปล่อยอัปเดตออกมาแล้ว

ช่องโหว่ CVE-2021-44832 มีระดับคะแนน CVSS คือ 6.6 ที่นับได้ว่าเป็นคะแนนระดับกลางๆ โดยช่องโหว่นี้เกิดจากการควบคุมการเข้าถึง JDNI ใน log4j

ช่องโหว่ CVE-2021-44832 จะสามารถทำได้ก็ต่อเมื่อผู้โจมตีมีสิทธิ์เข้าถึง และสามารถแก้ไขไฟล์ logging configuration และต้องกำหนดค่าที่เป็นอันตรายโดยใช้ JDBC Appender ด้วย JNDI URL ที่สามารถใช้รันโค้ดที่เป็นอันตรายจากระยะไกลได้อีกด้วย

นักวิจัยด้านความปลอดภัยของ Checkmarx ที่ชื่อว่า Yaniv Nizry ได้ออกมาอ้างสิทธิ์ในเรื่องการรายงานช่องโหว่นี้แก่ Apache

ต่อมาทวีตของ Nizry ได้รับความสนใจ และดึงดูดให้ผู้เชี่ยวชาญด้านความปลอดภัย และผู้ดูแลระบบที่ทำงานอย่างหนักในการแพตช์ log4j เข้ามาพูดคุยกันผ่าน Twitter ของเขาอย่างต่อเนื่อง

มีการเปิดเผยเร็วไปหรือไม่ ?

ภายในทวีตของ Nizry ทาง BleepingComputer ไม่พบคำแนะนำ หรือบันทึกรายงานอย่างเป็นทางการที่ระบุถึงรายละเอียดของช่องโหว่ที่ทำให้สามารถรันคำสั่งที่เป็นอันตรายจากระยะไกลได้ใน log4j เวอร์ชั่น 2.17 ต่อมาผู้เชี่ยวชาญด้านความปลอดภัย และชาวเน็ตก็ได้เริ่มมีการตรวจสอบถึงการเรียกร้องอ้างสิทธิ์ในการพบช่องโหว่ดังกล่าว

การเปิดเผยรายละเอียดช่องโหว่ด้านความปลอดภัยก่อนเวลาที่เหมาะสม อาจทำให้ผู้ไม่หวังดีทำการสแกนหาช่องโหว่ และทำการโจมตีเพื่อแสวงหาผลประโยชน์ได้ โดยสามารถเห็นพฤติกรรมดังกล่าวได้จากการเหตุการณ์ของช่องโหว่ Log4Shell เองเมื่อวันที่ 9 ธันวาคม 2564 ที่ผ่านมา

Marc Rogers รองประธานผ่ายความปลอดภัยทางไซเบอร์ที่ Okata ได้มีการออกมาพูดถึงช่องโหว่ CVE-2021-44832 เป็นครั้งแรกบนทวีตของตน และการใช้ประโยชน์จากช่องโหว่นั้นขึ้นอยู่กับการตั้งค่า log4j ที่ไม่ใช่ค่าเริ่มต้น

ในปัจจุบันช่องโหว่ของ log4j ได้ถูกนำมาใช้ในการโจมตีโดยผู้ไม่หวังดีทุกประเภท ตั้งแต่แฮกเกอร์ที่ได้รับการสนับสนุนจากรัฐ ไปจนถึงกลุ่มแรนซัมแวร์ และอื่นๆ เพื่อทำการ inject Monero miners บนระบบที่มีช่องโหว่

กลุ่ม Conti ransomware ได้มุ่งเป้าในการโจมตีไปที่ VMware Vcenter Server ที่มีช่องโหว่ ในขณะเดียวกันก็พบว่าบริษัทคริปโตสัญชาติเวียดนามชื่อ ONUS ก็ถูกโจมตีผ่านช่องโหว่ Log4shell และถูกเรียกค่าไถ่เป็นจำนวนเงิน $5M USD

คำแนะนำจาก i-secure

หากผู้ใช้งาน log4j ได้มีการอัพเดทให้เป็น Version 2.17.0 ไปแล้วในช่วงก่อนหน้านี้ อาจจะทำการประเมินถึงความพร้อมในการอัพเดทก่อนอีกครั้ง เนื่องจากช่องโหว่ที่ถูกรายงานข้างต้นอยู่ในระดับความรุนแรงปานกลาง และโอกาส รวมถึงวิธีการที่ทำให้เกิดการโจมตีได้สำเร็จค่อนข้างซับซ้อน เนื่องจากต้องมีการตั้งค่า Configuration ต่างๆที่ไม่ใช่ค่าเริ่มต้น แต่หากยังไม่ได้มีการอัพเดทเวอร์ชันของ Log4j มาก่อนเลย แนะนำให้รีบอัปเดท Log4j ให้เป็นเวอร์ชั่น 2.17.1 (Java8) และในส่วนของ Backported เวอร์ชั่น 2.12.4 (Java7), เวอร์ชั่น 2.3.2 (Java 6) ที่ได้มีการถูกแก้ไขนั้นคาดว่าจะปล่อยออกมาในอีกไม่ช้า

ที่มา: bleepingcomputer

 

ผู้ใช้ LastPass (แอพพลิเคชันสำหรับช่วยในการจำ Password) จำนวนมากออกมาแจ้งเตือนถึงการถูกขโมย Master Password ของพวกเขา หลังจากที่ได้รับอีเมลแจ้งเตือนจากระบบว่ามีผู้พยายามใช้รหัสผ่านเหล่านี้เพื่อเข้าใช้งานจากสถานที่ที่แปลกไปจากเดิม แต่การพยายามเข้าใช้งานนั้นได้ถูก Block เนื่องจากเป็นการพยายามเข้าใช้จากสถานที่ที่แปลกไปจากเดิม และพบพฤติกรรมนี้จากหลายที่ทั่วโลก ข้อมูลนี้ถูกรายงานจากผู้ใช้งานผ่านช่องทางต่างๆจำนวนมากเช่น Twitter, Reddit และ Hacker News

Nikolett Bacso-Albaum ผู้อำนวยการอาวุโสของ LogMeln Global PR/AR ให้ข้อมูลกับ Bleeping Computer ว่า “LastPass ได้ทำการตรวจสอบรายงานการพยายามเข้าสู่ระบบที่ถูก Block และพบว่าพฤติกรรมเหล่านั้นมาจาก Bot ทั่ว ๆ ไป ซึ่งผู้โจมตีพยายามที่จะเข้าถึงบัญชีผู้ใช้โดยใช้อีเมล และรหัสผ่านที่ได้มาจากการรั่วไหลของ 3rd party อื่น ๆ ที่ไม่ได้เกี่ยวข้องกัน” (more…)

เมื่อวันที่ 10 ธันวาคม 2564 ได้มีการเผยแพร่รายละเอียดข้อมูลช่องโหว่ระดับความรุนแรงสูงมาก Log4j โดยทาง govinfosecurity ซึ่งเป็นบริษัทที่เชี่ยวชาญด้านการรักษาความปลอดภัยข้อมูล การจัดการความเสี่ยง ความเป็นส่วนตัว และการฉ้อโกง ISMG ของสหรัฐอเมริกา ให้ข้อมูลถึงระดับความรุนแรง ผลกระทบที่เกิดขึ้นกับแอพพลิเคชั่นจำนวนมากที่ใช้ภายในองค์กร พร้อมคำแนะนำจากสำนักงานความปลอดภัยทางไซเบอร์ของสหรัฐอเมริกา
ซึ่งสามารถดูรายละเอียดได้ที่ : https://www.

จากเหตุการณ์การเกิดช่องโหว่ CVE2011-42288 Log4shell การป้องกันช่องโหว่ด้วยวีธี Update/Patch เป็นการแก้ไขปัญหาที่ดีที่สุด แต่ถ้ายังไม่สามารถทำได้ในทันทีล่ะ
.
ทางทีม MDR มีอีกวิธีที่จะมาช่วยเพิ่มความสามารถในการ Detect พฤติกรรมที่น่าสงสัยหรืออาจจะเข้าข่ายการโจมตีด้วยช่องโหว่ Log4shell ด้วยการทำเงื่อนไขการตรวจจับแบบปรับแต่งเอง หรือ Custom IOA จาก CrowdStrike (Require Falcon Insight Module)
.
โดยหากเราลองใช้สมมติฐานที่ว่า……
การโจมตีด้วยช่องโหว่ Log4shell คือการโจมตี Package Log4j ที่ทำงานบนภาษา Java หรือพูดง่ายๆ คือสามารถสั่งให้ Process Java บนเครื่องของเรา ให้ Run process หรือ คำสั่งใดๆ ก็ได้ (อาจจะด้วยการ JNDI Injection)
.
เราสามารถตั้งเงื่อนไข Custom IOA ได้ว่า ถ้า Process Java มีการเรียกใช้งานหรือไปสร้าง Child Process ต่างๆ เช่น sh , bash , dash , curl , python เป็นต้น และให้ CrowdStrike ทำการ Detect และแจ้งผู้ดูแลระบบเพื่อให้ผู้ดูแลระบบสามารถเข้าตรวจสอบพฤติกรรมดังกล่าวได้อย่างทันท่วงที
.
ซึ่งเป็นการเพิ่ม Visibility ให้แก่ผู้ดูแลระบบเพื่อรับมือการอาจจะถูกโจมตีช่องโหว่ Log4shell ได้ไม่มากก็น้อยเพื่อเป็นตัวช่วยคุณอย่างนึง ในระหว่างรอการ Update/Patch อยู่นั้นเอง
แต่หากคุณเจอ False Positive อย่าเพิ่งตกใจไปนะ เราสามารถทำการ Fine-Tune Customer IOA ของเรา โดยเพิ่ม Exclusion ให้กับ Child Process ที่เป็นการใช้งานปกติได้เพิ่มเติมภายหลังได้

ตัวอย่างการทำ Generic Custom IOA บน Linux environment

 

 

 

 

 

 

 

 

 

ตัวอย่าง Detection เมื่อพบเหตุการณ์ที่ตรงกับเงื่อนไข Custom IOA

 

 

 

 

 

 

พบ Java มีการเรียกใช้ Dash และ Curl

ทั้งนี้เพื่อให้การ Custom IOA เหมาะกับองค์กรของคุณและสามารถ Detect พฤติกรรมที่น่าสงสัยได้อย่างเต็มประสิทธิภาพ สามารถติดต่อไปยังทีมงานผู้เชี่ยวชาญของ I-SECURE กันได้นะคะ
Facebook Page : @isecure.