ในช่วงก่อนหน้านี้เมื่อวันที่ 5 กันยายน ที่เคยมีผู้พบข้อมูลที่อ้างว่าเป็นข้อมูลของหน่วยงานทางการแพทย์ในประเทศไทย ถูกประกาศขายอยู่บน Darkweb ขนาด 3.75 GB โดยข้อมูลที่ถูกขายประกอบไปด้วย ข้อมูลผู้ป่วย ที่อยู่ เบอร์โทรศัพท์ เลขบัตรประชาชน วันเกิด ชื่อบิดา โรงพยาบาล ข้อมูลของหมอทั้งหมด รวมถึงพาสเวิร์ดทั่วไปของระบบในโรงพยาบาล

ล่าสุด เมื่อวันที่ 7 ตุลาคม 2564 พบว่ามีแฮกเกอร์ประกาศแจกข้อมูลซึ่งอ้างว่าเป็นฐานข้อมูลของโรงพยาบาลภายในประเทศไทย โดยไฟล์ดังกล่าวมีข้อมูลประชาชนอยู่กว่าแสนรายการโดยปล่อยให้ดาวน์โหลดได้ฟรีบนเว็ปไซต์ raidforums ซึ่งข้อมูลภายในไฟล์ดังกล่าวจะประกอบไปด้วย หมายเลขรหัสของโรงพยาบาล รหัสบัตรประจำตัวประชาชน ชื่อ นามสกุล เพศ วันเดือนปีเกิด และข้อมูลอื่น ๆ ที่ยังไม่สามารถระบุได้ ซึ่งเหตุการณ์นี้เป็นอีกครั้งที่มีการนำข้อมูลที่ถูกอ้างว่าเป็นข้อมูลทางการแพทย์ออกมาเผยแพร่ออกสู่สาธารณะ และเกิดขึ้นหลังจากข่าวข้อมูลของโรงพยาบาลของรัฐแห่งหนึ่งในจังหวัดเพชรบูรณ์ถูกเผยแพร่ออกมาเพียง 1 เดือน ปัจจุบันยังไม่มีการชี้แจง หรือแถลงรายละเอียดจากหน่วยงานใดที่เกี่ยวข้อง

นักวิจัยด้านความปลอดภัยทางไซเบอร์ได้เปิดเผยรายละเอียดเกี่ยวกับ Botnet ที่มีจำนวนมากที่สุดในโลก ซึ่งถูกใช้โจมตีอย่างแพร่หลายตั้งแต่เมื่อ 6 ปีที่ผ่านมา โดยทำให้อุปกรณ์กว่า 1.6 ล้านเครื่องติดไวรัสในประเทศจีน โดยมีเป้าหมายเพื่อใช้ในการโจมตีแบบ Distributed denial-of-service (DDoS) และแทรกโฆษณาลงในเว็บไซต์สำหรับโจมตีผู้ใช้งานที่ไม่ได้ระมัดระวัง

ทีมรักษาความปลอดภัย Netlab ของ Qihoo 360 ได้ขนานนาม Botnet ตัวนี้ว่า “Pink” ตามตัวอย่างได้รับมาเมื่อวันที่ 21 พฤศจิกายน 2562 เนื่องจากมีชื่อฟังก์ชั่นจำนวนมากขึ้นต้นด้วยสีชมพู โดยส่วนใหญ่ Botnet จะกำหนดเป้าหมายโจมตีไปยัง fiber routers แบบ MIPS หรือใช้ประโยชน์จาก third-party service เช่น GitHub หรือเครือข่าย P2P และ C2 Server สำหรับส่งคำสั่งไปยังอุปกรณ์ที่ถูกควบคุม

หลังจากนักวิเคราะห์ได้ดำเนินการวิเคราะห์ร่วมกับ Vendor และทีมเทคนิค จาก CNCERT/CC ของจีน ก็ได้กล่าวหลังจากการวิเคราะห์ว่า “Pink” ยังได้มีการแข่งขันกับ Vendor เพื่อเข้าควบคุมอุปกรณ์ที่ติดไวรัส ในขณะ Vendor พยายามที่จะแก้ไขปัญหาที่เกิดขึ้นจากไวรัส แต่ Bot master ก็จะสังเกตการกระทำของ Vendor แบบเรียลไทม์เช่นกัน และจะทำการอัพเดท Firmware ของ Botnet หลายตัวบน Fiber router ตามลำดับ

และที่น่าสนใจคือ PINK ได้ใช้ DNS-Over-HTTPS(DoH) ซึ่งเป็นโปรโตคอลที่ใช้สำหรับแก้ไขระบบชื่อโดเมนจากระยะไกลผ่าน HTTPS เพื่อเชื่อมต่อกับ Controller ที่ระบุไฟล์การกำหนดค่าที่ส่งผ่านทาง GitHub หรือ Baidu Tieba หรือ domain ที่มีการใส่ Hard-coded ลงไปแล้ว

Zombie Node มากกว่า 96% เป็นส่วนหนึ่งของเครือข่าย Bot ขนาดใหญ่พิเศษที่ตั้งอยู่ในประเทศจีน ซึ่งทางบริษัทรักษาความปลอดภัยทางไซเบอร์ในกรุงปักกิ่ง NSFOCUS ได้ระบุในรายงานว่า ผู้โจมตีบุกเข้าไปในอุปกรณ์เพื่อติดตั้งโปรแกรมที่เป็นอันตราย โดยใช้ประโยชน์จากช่องโหว่ 0-Day ในอุปกรณ์เกตเวย์เครือข่าย ถึงแม้ว่าอุปกรณ์ส่วนมากจะได้รับการแก้ไข และกู้คืนสถานะก่อนหน้านี้ในเดือนกรกฎาคม 2563 แล้วก็ตาม แต่ Botnet ก็ยังคงทำงานอยู่ ซึ่งประกอบไปด้วยโหนดกว่า 100,000 โหนด และด้วยการโจมตี DDoS เกือบ 100 ครั้ง โดย Botnet จนถึงปัจจุบันนี้ เป็นข้อบ่งชี้อีกประการหนึ่งว่า Botnet มีความสามารถที่หลากหลายสำหรับผู้โจมตีให้ใช้ในการบุกรุกได้มากขึ้น ซึ่งอุปกรณ์ Internet of Things (IOT) ได้กลายเป็นเป้าหมายที่น่าสนใจสำหรับกลุ่ม Advanced Persistent Threats (APT)

ที่มา: thehackernews

เมื่อวันอังคารที่ 26 ตุลาคม 2564 ที่ผ่านมานี้ ทาง Adobe ได้ปล่อยอัพเดท Security Patch เร่งด่วนจำนวนหลายรายการ ซึ่งอาจทำให้ผู้ใช้ Windows, MacOS และ Linux ถูกโจมตีจากแฮกเกอร์ได้

โดยทาง Adobe มีการแก้ไขช่องโหว่กว่า 92 รายการใน 14 ผลิตภัณฑ์ และจากช่องโหว่กว่า 92 รายการ มีมากกว่า 60 รายการที่ได้รับการจัดลำดับว่ามีระดับความรุนแรงสูง ซึ่งอาจนำไปสู่การขโมยข้อมูล และนำไปปล่อยออกสู่สาธารณะได้ เนื่องจากช่องโหว่ส่วนใหญ่จะอนุญาตให้มีการเรียกใช้โค้ดที่เป็นอันตรายได้ (ACE), การยกระดับสิทธิ์ของผู้ใช้งาน, Denial of Service (DOS) และ Memory leaks/information disclosure อย่างไรก็ตามทาง ADOBE ได้แจ้งว่าช่องโหว่ทั้งหมดยังไม่พบว่าถูกนำมาใช้โจมตีในขณะนี้

รายละเอียด CVE ของช่องโหว่ในแต่ละผลิตภัณฑ์

After Effects:

CVE-2021-40751, CVE-2021-40752, CVE-2021-40753, CVE-2021-40754, CVE-2021-40755, CVE-2021-40757, CVE-2021-40758, CVE-2021-40759, CVE-2021-40760 (Access of Memory Location After End of Buffer/ACE)

Animate:

CVE-2021-40733, CVE-2021-42266, CVE-2021-42267 (Access of Memory Location After End of Buffer/ACE)
CVE-2021-42268 (NULL Pointer Dereference/ACE)
CVE-2021-42269 (Use After Free/ACE)
CVE-2021-42270, CVE-2021-42271, CVE-2021-42272, CVE-2021-42524 (Out-of-Bounds Write/ACE)

Audition:

CVE-2021-40734, CVE-2021-40735, CVE-2021-40736, CVE-2021-40738, CVE-2021-40739, CVE-2021-40740 (Access of Memory Location After End of Buffer/ACE)

Bridge:

CVE-2021-40750 (NULL Pointer Dereference/memory leak)
CVE-2021-42533 (Double Free/ACE)
CVE-2021-42722, CVE-2021-42720, CVE-2021-42719 (Out-of-Bounds Read/ACE)
CVE-2021-42728 (Buffer Overflow/ACE)
CVE-2021-42724, CVE-2021-42729, CVE-2021-42730 (Access of Memory Location After End of Buffer/ACE)

Character Animator:

CVE-2021-40763, CVE-2021-40764, CVE-2021-40765 (Access of Memory Location After End of Buffer/ACE)

Illustrator:

CVE-2021-40718 (Out-of-Bounds Read/memory leak)
CVE-2021-40746 (Out-of-Bounds Read/ACE)

InDesign:

CVE-2021-42732 (Access of Memory Location After End of Buffer/ACE)
CVE-2021-42731 (Buffer Overflow/ACE)

Lightroom Classic:

CVE-2021-40776 (Creation of Temporary File in Directory with Incorrect Permissions/privilege escalation)

Media Encoder:

CVE-2021-40778 (NULL Pointer Dereference/memory leak)
CVE-2021-40777, CVE-2021-40779, CVE-2021-40780 (Access of Memory Location After End of Buffer/ACE)

Photoshop:

CVE-2021-42735 (Access of Memory Location After End of Buffer/ACE)
CVE-2021-42736 (Buffer Overflow/ACE)

Prelude:

CVE-2021-40773 (NULL Pointer Dereference/memory leak)
CVE-2021-42733 (Improper Input Validation/ACE)
CVE -2021-40775, CVE-2021-42738, CVE-2021-42737, CVE-2021-40772, CVE-2021-40771 (Access of Memory Location After End of Buffer/ACE)

Premiere Elements:

CVE-2021-40785 (NULL Pointer Dereference/memory leak)
CVE-2021-40786, CVE-2021-40787, CVE-2021-42526, CVE-2021-42527 (Access of Memory Location After End of Buffer/ACE)

Premiere Pro:

CVE-2021-40792, CVE-2021-40793, CVE-2021-40794 (Access of Memory Location After End of Buffer/ACE)

XMP Toolkit SDK:

CVE-2021-42529, CVE-2021-42530, CVE-2021-42531, CVE-2021-42532 (Stack-Based Buffer Overflow/ACE)

ที่มา: threatpost

Lazarus Group ซึ่งเป็นกลุ่ม advanced persistent threat (APT) ที่ได้รับการสนับสนุนจากเกาหลีเหนือ และถูกพบพฤติกรรมการโจมตีทางไซเบอร์ตั้งแต่ปี 2552 เป็นอย่างน้อย ล่าสุดทางกลุ่ม Lazarus ได้โฟกัสกลุ่มเป้าหมายใหม่ที่เป็นองค์กร หรือบริษัททางด้าน IT และใช้การโจมตีในรูปแบบ Supply Chain Attack ซึ่งถูกติดตามพฤติกรรมจากนักวิจัยด้านความปลอดภัยของ Kaspersky

ตามรายงาน APT Trend ไตรมาสที่ 3 ของปี 2564 ของ Kaspersky พบว่า Lazarus มีการใช้ MATA malware framework เช่นเดียวกับ backdoor ที่ชื่อว่า BLINDINGCAN และ COPPERHEDGE เพื่อโจมตีอุตสาหกรรมเกี่ยวกับการป้องกัน และผู้จำหน่ายโซลูชั่นการตรวจสอบทรัพย์สิน IT ในประเทศ Latvia และกลุ่มผู้เชี่ยวชาญหรือคณะทำงานด้านการวิจัยของเกาหลีใต้เมื่อเดือนมิถุนายน

ทาง CISA และ FBI ได้ระบุว่า backdoor ที่ Lazarus ใช้นั้นสามารถลบตัวเองออกจากระบบที่ถูกบุกรุกเพื่อหลบเลี่ยงการตรวจจับในการพยายามขโมยข้อมูลที่สำคัญ หยุดการทำงาน และการเปลี่ยนแปลงการระบุเวลาที่เกิดเหตุการณ์บนไฟล์ และโฟลเดอร์

นอกจากนั้น Lazarus ยังได้ใช้ RAT ตัวเดียวกันนี้ (COPPERHEDGE ) ในการกำหนดเป้าหมายไปที่ระบบแลกเปลี่ยน Crytocurrency และหน่วยงานในลักษณะเดียวกันอีกด้วย

ซึ่งขณะนี้กระทรวงการคลังของสหรัฐฯ ได้คว่ำบาตรกลุ่มแฮ็กเกอร์ที่ได้รับการสนับสนุนจากเกาหลีเหนือ 3 กลุ่ม ได้แก่ Lazarus, Bluenoroff และ Andariel ในเดือนกันยายน ปี 2562 และยังได้เสนอรางวัลมูลค่าสูงถึง 5 ล้านดอลลาร์สหรัฐ สำหรับข้อมูลที่เกียวข้องกับกิจกรรมของแฮกเกอร์จากประเทศเกาหลีเหนือ เพื่อขัดขวางการโจมตีทางไซเบอร์ของพวกเขา

ที่มา: bleepingcomputer

กลุ่ม Hive Ransomware มีการเริ่มการโจมตีระบบปฏิบัติการ Linux และ FreeBSD โดยใช้มัลแวร์รูปแบบใหม่ที่พัฒนาขึ้นเพื่อมุ่งเป้าหมายไปยังแพลตฟอร์มกลุ่มนี้โดยเฉพาะ

อย่างไรก็ตาม ตามที่ ESET บริษัทรักษาความปลอดภัยทางอินเทอร์เน็ตของสโลวาเกีย ค้นพบตัวเข้ารหัสใหม่ของ Hive ที่ยังอยู่ในระหว่างการพัฒนา และยังขาดฟังก์ชันการทำงานบางอย่าง

ตัวเข้ารหัสของ Hive Ransomware ที่ใช้โจมตีบนระบบปฏิบัติการ Linux ยังถือว่าค่อนข้างมีปัญหา จากการวิเคราะห์ของ ESET พบว่าการเข้ารหัสจะล้มเหลวเมื่อมัลแวร์ถูกเรียกใช้งานด้วย explicit path นอกจากนี้ยังมาพร้อมกับการรองรับเฉพาะ single command line parameter (-no-wipe) ในทางตรงกันข้าม แรนซัมแวร์บน Windows ของ Hive มีตัวเลือกการดำเนินการถึง 5 ตัวเลือก รวมถึงการ killing processes และการ skipping disk cleaning ไฟล์ที่ไม่น่าสนใจ และไฟล์ที่เก่ากว่า

เวอร์ชัน Linux ของแรนซัมแวร์ไม่สามารถเข้ารหัสข้อมูลได้หากดำเนินการโดยไม่มีสิทธิ์รูท เนื่องจากมันพยายามลบหมายเหตุเรียกค่าไถ่ในระบบไฟล์รูทของอุปกรณ์ที่ถูกบุกรุก

ตอนนี้กลุ่ม Ransomware ให้ความสนใจ Linux servers

กลุ่ม Hive Ransomware ที่เริ่มมีข่าวการขโมยข้อมูลตั้งแต่อย่างน้อยเดือนมิถุนายน 2564 ได้โจมตีองค์กรไปแล้วกว่า 30 แห่ง หากนับเฉพาะเหยื่อที่ปฏิเสธจ่ายค่าไถ่

Hive เป็นเพียงหนึ่งในกลุ่ม Ransomware จำนวนมากที่เริ่มกำหนดเป้าหมายการโจมตีไปยังเซิร์ฟเวอร์ Linux หลังจากที่เป้าหมายองค์กรของพวกเขาได้ย้ายไปยัง virtual machines อย่างช้าๆ เพื่อการจัดการอุปกรณ์ที่ง่ายขึ้น และการใช้ทรัพยากรอย่างมีประสิทธิภาพมากขึ้น ด้วยการกำหนดเป้าหมายการโจมตีไปที่ virtual machines ทำให้กลุ่ม ransomware สามารถเข้ารหัสเซิร์ฟเวอร์หลายเครื่องพร้อมกันด้วยคำสั่งเดียว

ในเดือนมิถุนายน นักวิจัยพบตัวเข้ารหัส Linux ของ REvil Ransomware ใหม่ที่ออกแบบมาเพื่อกำหนดเป้าหมายการโจมตีไปที่ VMware ESXi virtual machines ซึ่งเป็นแพลตฟอร์ม virtual machine ระดับองค์กรที่ได้รับความนิยม

Emsisoft CTO Fabian Wosar บอกกับ BleepingComputer ว่ากลุ่ม Ransomware อื่นๆ เช่น Babuk, RansomExx/Defray, Mespinoza, GoGoogle, DarkSide และ Hellokitty ได้สร้างตัวเข้ารหัสบนระบบปฏิบัติการ Linux ของตนเองขึ้นเช่นกัน

"สาเหตุที่กลุ่มแรนซัมแวร์ส่วนใหญ่ใช้แรนซัมแวร์เวอร์ชันบนระบบปฏิบัติการ Linux คือการกำหนดเป้าหมายการโจมตีไปที่ ESXi โดยเฉพาะ" Wosar กล่าว และตัวเข้ารหัส Linux ของ HelloKitty และ BlackMatter ถูกค้นพบโดยนักวิจัยด้านความปลอดภัยในเดือนกรกฎาคม และสิงหาคม ซึ่งถือว่าเป็นการยืนยันคำกล่าวของ Wosar

ที่มา: bleepingcomputer

นักวิจัยด้านความปลอดภัยได้เปิดเผยรายละเอียดทางเทคนิคสำหรับช่องโหว่ Zero-day เรื่องการยกระดับสิทธิ์ของผู้ใช้งาน (Local Privilege Escalation) ของ Windows ที่ยังไม่มีแพตช์อัปเดท และพบว่ามี proof-of-concept (PoC) Exploit ถูกปล่อยออกสู่สาธารณะเรียบร้อยแล้ว โดยเมื่อโจมตีได้สำเร็จจะทำให้ได้สิทธิ์ SYSTEM ของระบบภายใต้เงื่อนไขบางประการ

ข่าวดีคือการโจมตีช่องโหว่นี้ ผู้โจมตีต้องรู้ชื่อผู้ใช้ และรหัสผ่านของผู้ใช้รายอื่นเพื่อโจมตีช่องโหว่ดังกล่าว ดังนั้นจึงทำให้ยังไม่พบการโจมตีเป็นวงกว้างในปัจจุบัน แต่ข่าวร้ายก็คือช่องโหว่นี้มีผลกับ Windows ทุกรุ่น รวมถึง Windows 10, Windows 11 และ Windows Server 2022

ในเดือนสิงหาคม Microsoft ได้ออกแพตช์ความปลอดภัยสำหรับ "Windows User Profile Service Elevation of Privilege Vulnerability" ซึ่งหมายเลขของช่องโหว่คือ CVE-2021-34484 ถูกพบโดยนักวิจัยด้านความปลอดภัย Abdelhamid Naceri ซึ่งหลังจากการออกแพตช์แก้ไขของ Microsoft แล้ว Naceri พบว่าแพทช์ยังไม่สมบูรณ์ และเขาสามารถ bypass แพตช์แก้ไขช่องโหว่นี้ได้ และปล่อย Exploit Code ไว้บน Github

Naceri กล่าวว่า Microsoft แก้ไขช่องโหว่เฉพาะในจุดที่ถูกรายงานโดยเขาเท่านั้น ไม่ได้แก้ที่ต้นเหตุที่แท้จริง เขาจึงสามารถ แก้ไข และหาช่องโหว่เพื่อยกระดับสิทธิผู้ใช้งานได้อยู่ โดยช่องโหว่นี้จะทำให้ได้ Command prompt ที่ยกระดับสิทธิ์ของระบบ เปิดใช้งานในขณะที่ Account Control (UAC) prompt ปรากฏขึ้น

Will Dormann นักวิเคราะห์ช่องโหว่ของ CERT/CC ได้ทดสอบช่องโหว่ดังกล่าว และพบว่าทำได้จริง ขณะที่ BleepingComputer ได้ทดสอบช่องโหว่เช่นกัน ก็พบว่าจะมีการเรียกใช้ Command prompt และมีการยกระดับสิทธิ์ผู้ใช้งานได้ทันที ดังรูปที่แสดงด้านล่าง

 

 

 

 

 

 

 

 

เนื่องจากช่องโหว่นี้ผู้โจมตีต้องรู้ชื่อผู้ใช้ และรหัสผ่านของผู้ใช้งาน จึงเป็นช่องโหว่ที่ยังไม่ร้ายแรงเท่ากับช่องโหว่การยกระดับสิทธิ์อื่น ๆ ที่เราพบเมื่อเร็วๆ นี้ เช่น PrintNightmare

BleepingComputer ได้ติดต่อ Microsoft เพื่อสอบถามถึงการแก้ไขช่องโหว่ โดยทาง Microsoft ได้ให้ข้อมูลล่าสุดว่า "เรารับทราบถึงรายงานของช่องโหว่ที่เกิดขึ้นแล้ว และจะดำเนินการตามความเหมาะสม เพื่อความปลอดภัยของผู้ใช้งาน"

ที่มา: bleepingcomputer

จากข่าวก่อนหน้านี้ที่มีรายงานว่ากลุ่ม Desorden โจมตี Central Restaurants Group (CRG) ในประเทศไทย กลุ่ม Desorden ได้ประกาศว่าจะมีการเปิดเผยรายละเอียดเพิ่มเติม

จากนั้นปรากฏว่าเครือโรงแรม Centara ที่เป็นส่วนหนึ่งของกลุ่ม Central ที่ถูกโจมตี ได้ออกแถลงการณ์บนเว็บไซต์เพื่อยืนยันว่าถูกขโมยข้อมูลด้วยเช่นกัน โดยมีการแถลงการณ์หลังรับทราบปัญหาครั้งแรกเมื่อวันที่ 14 ตุลาคม CRG ยังได้ออกแถลงการณ์ บนเว็บไซต์เพื่อสร้างความมั่นใจให้ลูกค้าว่าไม่มีข้อมูลบัตรเครดิต หรือข้อมูลทางการเงินของลูกค้าถูกขโมยออกไป

กลุ่ม Desorden ตอบสนองกับข้อความบางส่วนของ Centara และส่งอีเมลมาให้กับ DataBreaches.

เมื่อวันศุกร์ที่ 22 ตุลาคม ที่ผ่านมา นักวิจัยด้านความปลอดภัยทางไซเบอร์ได้เปิดเผยช่องโหว่ของระบบการเรียกเก็บเงิน BillQuick ซึ่งกำลังถูกใช้ในการโจมตีเพื่อติดตั้ง Ransomware ในระบบที่มีช่องโหว่ ซึ่งปัจจุบันได้มีการแก้ไขไปแล้วในบางเวอร์ชั่นในเวลานี้

ถึงแม้ว่าช่องโหว่ดังกล่าวจะได้รับการแก้ไขโดย BQE Software ใน BillQuick version.

ทาง Microsoft ได้เปิดเผยรายละเอียดของแคมเปญดังกล่าวออกมาเมื่อวันจันทร์ที่ 25 ตุลาคม ที่ผ่านมานี้ และได้แจ้งเตือนให้กับตัวแทนจำหน่าย และผู้ให้บริการเทคโนโลยีมากกว่า 140 ราย ตั้งแต่เดือนพฤษภาคมที่ผ่านมา ซึ่งระหว่างวันที่ 1 กรกฎาคม ถึง 19 ตุลาคมที่ผ่านมา ทางกลุ่ม Nobelium ได้คัดกลุ่มเป้าหมายกว่า 603 ราย และได้ทำการโจมตีไปแล้วรวมทั้งสิ้นกว่า 22,868 ครั้ง

Tom Burt ,Microsoft's corporate vice president of customer security and trust ได้กล่าวว่า “กิจกรรมของกลุ่ม Nobelium ล่าสุดนี้แสดงให้เห็นว่ารัสเซียกำลังพยายามเข้าถึงเพื่อไปอยู่ในจุดต่าง ๆ ของ Technology supply chain ในระยะยาว และเป็นระบบ และสร้างกลไกสำหรับการสอดแนมในตอนนี้ และในอนาคต กับเป้าหมายที่ทางรัฐบาลรัสเซียให้ความสนใจ”

Nobelium นั้นเป็นผู้โจมตีที่อยู่เบื้องหลังการโจมตี SolarWinds ในเดือนธันวาคม 2563 ที่ผ่านมา และนอกจากการโจมตีดังกล่าว ยังอยู่เบื้องหลังการโจมตีลูกค้า Downstream 14 รายของผู้ให้บริการ Cloud หลาย ๆ เจ้า (CSP) และผู้ให้บริการด้านการจัดการ (MSP) รวมถึงองค์กรบริการด้านไอทีอื่น ๆ อีกด้วย ทำให้เห็นว่ากลุ่มดังกล่าวสนใจการโจมตีเป้าหมายในรูปแบบ Supply Chain เป็นหลัก

การโจมตีที่เปิดเผยออกมานั้นจะเห็นว่าไม่ได้ใช้ประโยชน์จากช่องโหว่ด้านความปลอดภัยใด ๆ ในซอฟต์แวร์ แต่จะใช้เทคนิคต่าง ๆ ที่หลากหลาย เช่น Password spraying, token theft, API abuse และ Spear phishing เพื่อขโมยข้อมูล Credentials ของผู้ใช้งานที่มีสิทธิ์สูงจากผู้ให้บริการ ที่จะทำให้ผู้โจมตีสามารถเชื่อมต่อไปยังระบบอื่นๆใน Cloud environment และติดตั้ง Payloads ต่าง ๆ ไว้สำหรับการโจมตีในภายหลัง และการโจมตีอีกรูปแบบหนึ่งที่เกิดขึ้นบ่อย ๆ จากกลุ่มนี้คือการเจาะระบบผ่านผู้ให้บริการเพื่อเข้าไปเก็บข้อมูลของเป้าหมายที่สนใจ

เพื่อเป็นการลดผลกระทบ ทาง Microsoft ได้แนะนำให้บริษัทต่าง ๆ เปิดใช้งาน multi-factor authentication (MFA) และการตรวจสิทธิ์ administrative privileges (DAP) เพื่อป้องกันการโจมตีแบบยกระดับสิทธิ์

ที่มา: thehackernews

เมื่อวันพฤหัสบดีที่ผ่านมา Microsoft ออกมาเปิดเผยข้อมูลของ ชุดเครื่องมือที่ใช้ในแคมเปญ Phishing ที่ถูกสร้างขึ้นโดยประกอบไปด้วยชุดเครื่องมือต่างๆที่เคยถูกใช้ในการโจมตี Phishing อย่างน้อย 5 ชนิด โดยมีเป้าหมายเพื่อขโมยข้อมูลที่สำคัญของผู้ใช้งาน

ทีมผู้เชี่ยวชาญของ Microsoft 365 Defender ตรวจพบเครื่องมือนี้ครั้งแรกในเดือนธันวาคม 2020 โดยเรียกเครื่องมือการโจมตีนี้ว่า "TodayZoo"

นักวิจัยกล่าวว่า ชุดฟิชชิ่ง และเครื่องมืออื่นๆ ที่ขายหรือให้เช่ามีจำนวนมากทำให้ผู้โจมตีเลือกใช้ได้ง่าย โดยสามารถเลือกคุณสมบัติที่ดีที่สุดจากชุดอุปกรณ์เหล่านี้ได้

อย่างกรณีของ TodayZoo เป็นไฟล์แพ็กเกจที่ประกอบไปด้วยรูปภาพ สคริปต์ และหน้า HTML ที่ช่วยให้ผู้โจมตีสามารถตั้งค่าฟิชชิ่งอีเมล และเพจฟิชชิ่งได้โดยง่าย เพื่อหลอกเอาข้อมูลที่สำคัญจากผู้ใช้งาน และส่งข้อมูล Credentials กลับไปยังไปยังผู้โจมตี

แคมเปญฟิชชิ่งของ TodayZoo ไม่ได้แตกต่างกับการส่งอีเมลแอบอ้างว่าเป็นการรีเซ็ตรหัสผ่านจาก Microsoft เพื่อเปลี่ยนเส้นทางเหยื่อไปยังหน้าที่ใช้หลอกเอาข้อมูล Credentials ของผู้ใช้

Framework ส่วนใหญ่ดูเหมือนจะถูกนำมาจากชุดเครื่องมืออื่นที่ชื่อว่า DanceVida ในขณะที่ส่วนประกอบที่เกี่ยวข้องกับการลอกเลียนแบบ คล้ายกับโค้ดจากชุดเครื่องมือฟิชชิ่งอื่นๆ อย่างน้อยห้าชุด เช่น Botssoft, FLCFood, Office-RD117 WikiRed และ Zenfo แม้จะอาศัยโมดูลรีไซเคิล TodayZoo แตกต่างจาก DanceVida ในส่วนประกอบการเก็บข้อมูล Credentials โดยแทนที่ฟังก์ชันการทำงานเดิมด้วย Logic ของตัวเอง

อย่างไรก็ตาม TodayZoo แสดงให้เห็นถึงวิธีการที่หลากหลายที่ผู้โจมตีสามารถนำไปใช้ประโยชน์ได้ ไม่ว่าจะเป็นการเช่าใช้ในลักษณะ phishing-as-a-service (PhaaS) หรือโดยการสร้างรูปแบบของฟิชชิ่งให้เหมาะสมกับเป้าหมาย

จากการวิจัยเพิ่มเติมพบว่าชุดฟิชชิ่งส่วนใหญ่ที่ตรวจพบ หรือมีอยู่ในปัจจุบันนั้นถูกสร้างมาจากเครื่องมือต่างๆที่เคยถูกใช้มาในอดีต "แม้ว่าพฤติกรรมนี้จะถูกตรวจพบแล้ว แต่หลังจากนี้จะกลายเป็นเรื่องปกติที่ชุดฟิชชิ่งต่างๆจะมีการแบ่งปันโค้ดระหว่างกัน"

ที่มา: thehackernews