กลุ่ม Conti ransomware กำลังใช้ช่องโหว่ Log4Shell เพื่อเข้าถึง instances ภายใน VMware vCenter Server และสามารถเข้ารหัส Virtual machines ได้อย่างรวดเร็ว

vCenter ที่มีช่องโหว่ตกเป็นเป้าหมาย

Proof-of-concept(PoC) ของช่องโหว่ CVE-2021-44228 หรือที่รู้จักในชื่อ Log4Shell มีการเผยแพร่เมื่อวันที่ 9 ธันวาคม

วันต่อมาการสแกนบนระบบ Network จำนวนมากเริ่มต้นขึ้น โดยมีผู้โจมตีจำนวนมากค้นหาระบบที่มีช่องโหว่ ซึ่งกลุ่มแรกๆ ที่ใช้ประโยชน์จากช่องโหว่นี้ ได้แก่ cryptocurrency miners, botnets และ ransomware ตัวใหม่ที่เรียกว่า Khonsari

Conti หนึ่งในกลุ่มแรนซัมแวร์ที่ใหญ่ที่สุดในปัจจุบันซึ่งมีสมาชิกหลายสิบราย ดูเหมือนจะสนใจช่องโหว่ Log4Shell โดยมองว่าเป็นช่องทางการโจมตีที่สามารถใช้ได้ โดยในช่วงวันอาทิตย์ที่ 12 ธันวาคมกลุ่ม Conti เริ่มมองหาเหยื่อโดยมีเป้าหมายคือการโจมตีแบบ lateral movement ไปยังเครือข่าย VMware vCenter

Vendor หลายสิบรายได้รับผลกระทบจากช่องโหว่ Log4Shell และรีบเร่งแก้ไขช่องโหว่ของตน หรือจัดเตรียมวิธีแก้ไขปัญหาชั่วคราว และบรรเทาผลกระทบให้กับลูกค้า ซึ่ง VMware ก็เป็นหนึ่งในนั้นเช่นกัน โดยมีการแสดงรายการผลิตภัณฑ์ที่มีช่องโหว่ทั้งหมด 40 รายการ แม้ว่าบริษัทจะออกวิธีการลดผลกระทบชั่วคราวจากการโจมตี แต่ Patch ของ vCenter เวอร์ชันที่ได้รับผลกระทบก็ยังไม่ถูกปล่อยออกมา

VMware กล่าวว่า "ผู้โจมตีที่มีการเข้าถึงเครือข่ายของ VMware ที่มีช่องโหว่อาจใช้ประโยชน์จากช่องโหว่นี้เพื่อเข้าควบคุมระบบเป้าหมายอย่างสมบูรณ์ หรือไม่ก็อาจถูกโจมตีในรูปแบบของ denial of service (DoS)"

ขณะที่ในปัจจุบันการป้องกันส่วนใหญ่จะเน้นไปที่การบล็อกการโจมตีของ Log4Shell บนอุปกรณ์ที่สามารถป้องกันได้ แต่การทำงานของ Conti ransomware แสดงให้เห็นว่าช่องโหว่นี้สามารถนำมาใช้เพื่อกำหนดเป้าหมายอุปกรณ์ภายในที่อาจไม่ค่อยได้รับความสนใจ

นักวิจัยยืนยันว่ากลุ่มเครือข่ายของ Conti ransomware ได้เริ่มทำการบุกรุกเครือข่ายเป้าหมาย และใช้ประโยชน์จากเครื่องที่มีช่องโหว่ของ Log4j เพื่อเข้าถึง vCenter servers ซึ่งหมายความว่าปัจจุบันกลุ่ม Conti ransomware สามารถอาศัย attack vector หลายช่องทางในการเข้าถึงเครื่อข่ายของเหยื่อที่แตกต่างกัน (RDP, VPN, email phishing) เพื่อเข้ายึดเครือข่าย และกำลังใช้ Log4Shell เพื่อไปยังเครือข่ายอื่นๆ ของเหยื่อ

ที่มา: bleepingcomputer.

จากข่าวช่องโหว่ CVE2011-42288 Log4shell ทีมงาน MDR (I-SECURE) ได้ทำการทดสอบความสามารถในการตรวจจับและป้องกันการโจมตีผ่านช่องโหว่ Log4Shell (CVE-2021-44228) ของ Palo Alto Cortex XDR โดยจำลองการโจมตีช่องโหว่ดังกล่าวผ่านการทำ JNDI Injection

สรุปผลการทดสอบพบว่า Cortex XDR สามารถป้องกันการโจมตีผ่านช่องโหว่ Log4Shell (CVE-2021-44228) บนเครื่อง Linux Webserver ที่ติดตั้ง Cortex XDR Agent ได้จริง และมีประสิทธิภาพเนื่องจากเป็นการป้องกันผ่านความสามารถของ Java Deserialization Exploit Protection Module

ยิ่งไปกว่านั้น Cortex XDR ยังทำการเก็บรวมรวมข้อมูลต่างๆที่เกี่ยวข้องกับการโจมตีนำมาแสดงผลในรูปแบบแผนภาพ (Causality View) เพื่อให้ผู้ดูแลระบบสามารถเห็นความเชื่องโยงของการโจมตีและนำข้อมูลมาวิเคราะห์และนำมาป้องกันการโจมตีในจุดอื่นๆ เป็นการเพิ่มประสิทธิภาพให้กับระบบความปลอดภัยภายในเครือข่ายขององค์กรได้ดียิ่งขึ้น

ข้อมูลเพิ่มเติม
https://unit42.paloaltonetworks.

จากข่าวช่องโหว่ CVE2011-42288 Log4shell ทีมงาน Application Security ของทาง I-SECURE ได้มีการติดตามในส่วนของ WAF Signature เพิ่มเติม เพื่อตรวจสอบในส่วนของ Bypass WAF อยู่ 7 รูปแบบ ได้แก่
1. ${${::-j}${::-n}${::-d}${::-i}:${::-r}${::-m}${::-i}://asdasd.

อัพเดทข้อมูล ณ วันที่ 10 ธันวาคม 2564
Cisco Talos ได้ตรวจพบการพยายามโจมตีเพื่อหวังหาผลประโยชน์บนเครือข่าย Honeypots และ Telemetry เซนเซอร์
อัพเดทข้อมูล ณ วันที่ 11 ธันวาคม 2564
ได้มีการออกมาอัปเดตข้อมูลว่า Log4j เวอร์ชั่น 1. X ไม่พบช่องโหว่ในเวอร์ดังกล่าวและมีการเปิดเผยข้อมูลรายละเอียดของ Cisco Secure Endpoint Cloud IOCs

ข้อมูลรายละเอียดเพิ่มเติม

CVE-2021-44228 คือ ช่องโหว่ที่มีอยู่ใน Apache Log4j ที่เป็นไลบรารีการบันทึกของ Java ที่มีการใช้งานกันอย่างแพร่หลายในองค์กรขนาดใหญ่หลายแห่งและจนถึงตอนนี้เป้าหมายหลักได้มีการรวมถึงบริษัท Apple และวีดีโอเกมยอดนิยมอย่าง Minecraft
Apache ได้มีการปล่อยตัวอัปเดต Apache Log4j เวอร์ชั่น 2.15.0 ที่ได้มีการแก้ไขช่องโหว่ CVE-2021-44228 ที่มีอยู่ในเวอร์ชั่นก่อนหน้าและได้มีการแนะนำผู้ใช้งานที่ไม่แน่ใจว่า Apache Log4j ที่ใช้งานอยู่มีช่องโหว่ดังกล่าวหรือไม่ให้รีบดำเนินการอัปเกรดเวอร์ชันเพื่อแก้ไขช่องโหว่ทันที

ช่องโหว่การเรียกใช้คำสั่งที่เป็นอันตรายจากระยะไกลที่ไม่ผ่านการตรวจสอบสิทธ์ที่มีระดับความรุนแรง CVSS สูงสุด 10 (CVE-2021-44228) ถูกตรวจพบบนไลบรารีที่ได้รับความนิยมอย่าง Apache Log4j โดยได้รับการเปิดเผยถึงรายละเอียดเกี่ยวกับช่องโหว่ที่อาจทำให้ผู้โจมตีสามารถเข้าควบคุมเซิร์ฟเวอร์ที่ได้รับผลกระทบได้ และเชื่อว่าเป็นช่องโหว่ที่สามารถใช้เพื่อหาประโยชน์ได้ง่าย

Apache Foundation Log4j คือ ไลบรารีสำหรับใช้บันทึกที่ถูกออกแบบมาเพื่อแทนที่ built-in log4j package ที่ได้รับความนิยมใช้งานในโครงการ Java ยอดนิยมต่างๆ เช่น Apache Struts 2 และ Apache Solr อย่างไรก็ตามไลบรารีนี้ยังมีการถูกนำไปใช้ในเว็บแอพพลิเคชั่นต่างๆ ที่พบในสภาพแวดล้อมขององค์กรและรวมถึงบริษัท Elastic ทำให้ Cisco Talos เชื่อว่าช่องโหว่นี้จะถูกนำไปใช้ประโยชน์อย่างกว้างขวางในอนาคตและผู้ใช้งานไลบรารี Log4j ควรรีบดำเนินการอัปเกรดเวอร์ชันเพื่อแก้ไขช่องโหว่ทันที

Cisco Talos ได้เปิดเผยถึงข้อมูล Snort SID ที่สามารถนำไปใช้ในการตรวจหาการพยายามโจมตีด้วยช่องโหว่ CVE-2021-44228 ได้แก่ : 58722 - 58739 และ 300055 - 300057 และนอกเหนือจากนี้ยังมี ClamAV signatures สองรายการได้แก้ Java.

นักวิจัยด้านความปลอดภัยกล่าวว่าช่องโหว่ Zero-day ที่ตรวจพบในไลบรารีของ Java logging Apache Log4j อาจส่งผลให้ผู้โจมตีสามารถควบคุมเซิร์ฟเวอร์ได้ จึงทำให้แอพพลิเคชั่นจำนวนมากมีความเสี่ยง ซึ่งตามที่นักวิจัยด้านความปลอดภัยกล่าวว่า ช่องโหว่นี้ถูกพบครั้งแรกในเกมยอดนิยมที่มีชื่อว่า Minecraft

ช่องโหว่นี้สามารถรันคำสั่งที่เป็นอันตรายจากระยะไกลที่ไม่ผ่านการตรวจสอบสิทธิ์ ซึ่งจัดอยู่ในระดับความรุนแรงสูงมาก โดยมีหมายเลขช่องโหว่เป็น CVE-2021-44228 ซึ่งปัจจุบันกำลังถูกนำไปใช้โจมตีอย่างแพร่หลาย

Systems และ Services ที่ใช้ไลบรารี Java logging Apache Log4j ระหว่างเวอร์ชัน 2.0 และ 2.14.1 รวมถึงแอปพลิเคชัน และบริการจำนวนมากที่เขียนด้วย Java พบว่ามีความเสี่ยงจากช่องโหว่นี้

นักวิจัยกล่าวเพิ่มเติมว่า Log files สำหรับ Service ใดๆ ที่ใช้ Log4j เวอร์ชันที่ได้รับผลกระทบจะมี User-controlled strings รวมถึง "Jndi:ldap" ซึ่งการลดความเสี่ยงของผลกระทบเบื้องต้นในตอนนี้ นักวิจัยแนะนำให้ผู้ใช้ควรเปลี่ยน log4j2.fortmatMsgNoLookups เป็น "true" โดยเพิ่ม: "-Dlog4j2.formatMsgNoLookups=True" เป็นคำสั่ง JVM สำหรับการเริ่มต้นแอปพลิเคชัน แต่สำหรับการป้องกัน นักวิจัยแนะนำให้ผู้ใช้อัปเกรดเวอร์ชัน Log4j เป็น Log4j-2.15.0-rc2 อย่างเร่งด่วน

ในการแจ้งเตือนที่ออกเมื่อวันศุกร์ สำนักงานความปลอดภัยทางไซเบอร์ของสหรัฐอเมริกากล่าวว่า "แนะนำให้ผู้ใช้และผู้ดูแลระบบตรวจสอบรายละเอียดของ Apache Log4j และอัปเกรดให้เป็น Log4j เวอร์ชัน 2.15.0 หรือใช้วิธีการลดผลกระทบที่แนะนำทันที"

ช่องโหว่นี้ถูกตรวจพบครั้งแรกในเกม Minecraft แต่แอพพลิเคชั่นบนคลาวด์ และแอพพลิเคชั่นที่ใช้กันอย่างแพร่หลายในหลายองค์กร ยังคงมีช่องโหว่อยู่ ซึ่งรวมถึงซอฟต์แวร์ เว็บแอป และผลิตภัณฑ์จาก Apple, Amazon, Cloudflare, Twitter และ Steam

นอกเหนือจากการอัพเดท Log4j ให้เป็นเวอร์ชัน 2.15.0 แล้ว ปัจจุบันอุปกรณ์ประเภท Web Application Firewall ยี่ห้อต่างๆ เช่น Cloudflare, F5 ASM, IMPERVA สามารถป้องกันการโจมตีรูปแบบดังกล่าวได้แล้ว หากองค์กรมีการใช้งาน WAF อยู่ i-secure แนะนำให้ Turn on เป็น Block Mode ทันทีเพื่อความปลอดภัย

ที่มา: govinfosecurity.

VMware ได้ประกาศกำหนดการอัปเดทแก้ไขข้อช่องโหว่ด้านความปลอดภัย 2 ช่องโหว่ใน vCenter Server และ Cloud Foundation ที่อาจถูกนำไปใช้ในการโจมตีจากผู้ไม่หวังดี ทำให้สามารถเข้าถึงข้อมูลที่มีความสำคัญได้

ปัญหาที่ค่อนข้างร้ายแรงจากช่องโหว่ arbitrary file read บน vSphere Web Client ทำให้ผู้โจมตีสามารถเข้าถึงไฟล์ที่มีความสำคัญใน vSphere Web client ได้ ซึ่งช่องโหว่นี้ได้รหัส CVE-2021-21980 ที่มี CVSS อยู่ที่ 7.5 โดยช่องโหว่นี้จะส่งผลกระทบต่อ vCenter Server version 6.5 และ 6.7

ช่องโหว่แรกนั้นถูกพบโดยทาง Orz lab ได้มีการเผยแพร่รายละเอียดต่อ VMware เมื่อวันที่ 23 พฤศจิกายน ว่าผู้โจมตีที่มีการเข้าถึงเครือข่ายผ่าน port 443 บน vCenter Server อาจใช้ประโยชน์ในการเข้าถึงข้อมูลที่มีความสำคัญได้

ช่องโหว่ที่ 2 ถูกพบโดย magiczero จาก SGLAB ที่ Qi'anxin Group ซึ่งเกี่ยวข้องกับ SSRF (Server-Side Request Forgery) ใน Virtual Storage Area Network (vSAN) Web Client plug-in ที่ทำให้ผู้โจมตีที่สามารถเข้าถึง vCenter Server ผ่าน port 443 ใช้ประโยขน์จากช่องโหว่ในการเข้าถึง Service ภายใน หรือการเรียกไปยัง URL ที่อยู่ภายนอก Server

การโจมตี SSRF เป็นช่องโหว่ด้านความปลอดภัยบนเว็บรูปแบบหนึ่ง ที่ช่วยให้ผู้โจมตีสามารถอ่าน หรือแก้ไขข้อมูลภายใน Server ได้ โดยการส่งคำขอ HTTP ที่สร้างขึ้นเป็นพิเศษที่จะส่งผลให้มีการเปิดเผยข้อมูลโดยไม่ได้รับอนุญาต ซึ่งการถูกโจมตีโดย SSRF นั้น ถือว่ามีความร้ายแรง และแพร่หลายอย่างมาก จนทำให้ไปอยู่ในรายชื่อ 10 อันดับแรกของ Open Web Application Security Project (OWASP) ในปี 2021

VMware Virtualization นั้นมีการใช้งานกันอย่างแพร่หลายทั่วทั้งองค์กรในหลาย ๆ องค์กร จึงไม่น่าแปลกที่ผลิตภัณฑ์ของ VMware จะกลายเป็นเป้าหมายที่น่าสนใจสำหรับกลุ่มผู้โจมตี และขอแนะนำให้องค์กรต่าง ๆ ดำเนินการอัปเดตแพทช์เพื่อลดความเสี่ยงโดยเร็วที่สุด

ที่มา: thehackernews

Cerber Ransomware กลับมาแล้ว และมีการกำหนดเป้าหมายการโจมตีไปที่เซิร์ฟเวอร์ Atlassian Confluence และ GitLab โดยใช้ช่องโหว่ Remote code execution

เมื่อ Ransomware เริ่มเพิ่มขึ้นอย่างรวดเร็วตั้งแต่ปี 2559 ซึ่งการเรียกค่าไถ่ของกลุ่ม Cerber ถือเป็นหนึ่งในกลุ่มที่มีการแพร่ระบาดมากที่สุดในขณะนั้น และหลังจากนั้นการแพร่ระบาดก็ค่อยๆ ลดลงจนกระทั่งหายไปในปลายปี 2019 และเมื่อเดือนที่แล้ว Cerber ransomware ได้เริ่มกลับมาแพร่ระบาดไปยังเหยื่อทั่วโลกด้วยตัวเข้ารหัสทั้งระบบปฏิบัติการ Windows และ Linux

Cerber เวอร์ชันใหม่มีการสร้าง Ransom notes ชื่อว่า _$$RECOVERY_README$$_.html และนามสกุล .locked เข้ากับไฟล์ที่เข้ารหัส

Emsisoft CTO และผู้เชี่ยวชาญด้านแรนซัมแวร์ ได้ตรวจสอบ Cerber เวอร์ชันใหม่ และกล่าวว่าดูแล้วไม่ตรงกับตัว Cerber เวอร์ชันเก่า โดยเฉพาะเวอร์ชันใหม่นี้ใช้ Crypto+++ library ในขณะที่เวอร์ชันเก่าใช้ Windows CryptoAPI libraries.

ผู้ไม่หวังดีใช้ประโยชน์จากข่าวการเกิดขึ้นของไวรัสโควิด Omicron ที่กำลังได้รับความสนใจเป็นอย่างมาก ทำให้ตอนนี้ถูกนำมาใช้เป็นเหยื่อล่อในแคมเปญอีเมลที่เป็นอันตราย

โดยผู้ไม่หวังดีสามารถปรับตัวให้เข้ากับเทรนด์ล่าสุด และประเด็นร้อนแรงอย่างรวดเร็ว เนื่องจากการเพิ่มความกลัวให้กับผู้คนเป็นวิธีที่ดีที่สุดในการทำให้เหยื่อรีบเปิดอีเมลอ่านโดยไม่คิดให้รอบคอบก่อน

จากกรณีที่เป็นข่าวว่า "มีนักวิทยาศาสตร์กังวลเกี่ยวกับการแพร่เชื้อในระดับสูง และความไร้ประสิทธิผลของวัคซีนที่มีอยู่ต่อการกลายพันธุ์"

ทำให้มันเป็นหัวข้อที่เหมาะสำหรับฟิชชิ่งเป็นอย่างมาก เพราะแม้แต่ผู้ที่ได้รับวัคซีนไปแล้วก็ยังกังวลว่าพวกเขาก็อาจจะได้รับผลกระทบ

แคมเปญฟิชชิ่งนี้ ได้มุ่งเป้าไปที่สหราชอาณาจักร (UK)

องค์กรคุ้มครองผู้บริโภคของสหราชอาณาจักรได้มีการเผยแพร่ตัวอย่างอีเมลฟิชชิ่ง 2 ฉบับ ซึ่งอ้างว่าเป็นอีเมลจากองค์กรบริการสุขภาพแห่งชาติของสหราชอาณาจักร (NHS) เตือนเกี่ยวกับไวรัสโควิดสายพันธุ์ใหม่ Omicron

อีเมลเหล่านี้เสนอการตรวจ PCR test เพื่อตรวจหาเชื้อไวรัสโควิด Omicron ฟรี และใช้ชื่ออีเมล ‘contact-nhs@nhscontact.

มีการพบว่า Microsoft Defender for Endpoint บล็อกการเปิดเอกสาร Microsoft Office และการเรียกใช้โปรแกรมบางรายการ เนื่องจากการตรวจจับเพย์โหลดของมัลแวร์ Emotet ที่เป็น false positive

ผู้ดูแลระบบ Windows รายงานว่า เหตุการณ์นี้เกิดขึ้นตั้งแต่อัปเดต Enterprise endpoint security platform ของ Microsoft (ก่อนหน้านี้เรียกว่า Microsoft Defender ATP) เป็นเวอร์ชัน 1.353.1874.0

เมื่อตัว Defender for Endpoint ทำงานมันจะทำการบล็อกไม่ให้เปิดไฟล์ และแสดงข้อความที่บ่งบอกว่าเป็นการบล็อกไฟล์ที่น่าสงสัย ที่เชื่อมโยงกับ Win32/PowEmotet.

เมื่อวันเสาร์ สำนักงานสืบสวนกลางแห่งสหรัฐอเมริกา (FBI) ยืนยันว่า มีบุคคลนิรนามได้โจมตีหนึ่งในเซิร์ฟเวอร์อีเมลของตน เพื่อส่งอีเมลกระจายข้อความหลอกลวงเกี่ยวกับ "sophisticated chain attack.