Evil Corp ได้เปิดตัวแรนซัมแวร์ตัวใหม่ที่ใช้ชื่อว่า Macaw Locker เพื่อหลบเลี่ยงมาตรการการลงโทษจากสหรัฐฯ ที่ใช้เพื่อห้ามไม่ให้เหยื่อยอมชำระเงินค่าไถ่

กลุ่ม Evil Corp หรือที่รู้จักในชื่อ Indrik Spider และ Dridex มีส่วนร่วมในอาชญากรรมทางโลกไซเบอร์มาตั้งแต่ปี 2550 แต่ส่วนใหญ่จะเป็นการร่วมโจมตีร่วมกับกลุ่มพันธมิตรอื่นๆ เมื่อเวลาผ่านไป กลุ่มดังกล่าวมุ่งความสนใจการโจมตีโดยใช้ Trojan Banking ที่รู้จักกันในชื่อ Dridex ในการโจมตีแบบ Phishing

โดยเมื่อการโจมตีของแรนซัมแวร์สร้างผลกำไรมากขึ้น Evil Corp ได้เปิดตัวการทำงานที่เรียกว่า BitPaymer ซึ่งเป็นการส่งผ่านมัลแวร์ Dridex ไปยังเครือข่ายองค์กรต่างๆ

การกระทำของกลุ่ม Evil Corp ทำให้พวกเขาถูกมาตรการป้องกันจากรัฐบาลสหรัฐในปี 2019 โดยบริษัทที่ทำหน้าที่เจรจาเกี่ยวกับการจ่ายค่าไถ่ของแรนซัมแวร์จะไม่อำนวยความสะดวกในการชำระเงินค่าไถ่ที่เกิดจากการโจมตีโดยกลุ่ม Evil Corp.

FBI แจ้งว่ากลุ่มแรนซัมแวร์ Ranzy Locker ได้โจมตีบริษัทในสหรัฐอย่างน้อย 30 แห่งในปีนี้จากภาคอุตสาหกรรมต่างๆ

อาชญากรไซเบอร์ที่ยังไม่ทราบแน่ชัด ใช้แรนซัมแวร์ Ranzy Locker โจมตีธุรกิจในสหรัฐฯ มากกว่า 30 แห่ง ณ เดือนกรกฎาคม 2564 FBI กล่าวใน TLP: WHITE flash alert.

กลุ่มแฮ็กเกอร์ Desorden ได้ประกาศถึงการโจมตีทางไซเบอร์กับ Central Restaurants Group (CRG) ในประเทศไทย

ประกาศการโจมตีพร้อมหลักฐานข้อมูลตัวอย่างถูกโพสต์บนฟอรัมสำหรับซื้อขายข้อมูลที่ถูกขโมยออกมา และบางส่วนถูกส่งมายัง DataBreaches.

การหายตัวไปของกลุ่มมัลแวร์เรียกค่าไถ่ REvil ในต้นสัปดาห์นี้ เป็นผลจากการร่วมมือกันของผู้บังคับใช้กฎหมายสหรัฐ และหน่วยงานจากหลายประเทศ

กลุ่มมัลแวร์เรียกค่าไถ่ REvil หรือที่รู้จักในอีกชื่อ Sodinokibi เป็นกลุ่มที่อยู่เบื้องหลังการโจมตี May cyberattack ที่ได้ทำการโจมตีบริษัท Colonial Pipeline ผู้ให้บริการเครือข่ายท่อส่งน้ำมันรายใหญ่ของสหรัฐ ซึ่งส่งผลให้เกิดการขาดแคลนน้ำมันเป็นวงกว้างในบริเวณชายฝั่งทางตะวันออกของสหรัฐอเมริกา

ทางการสหรัฐกล่าวว่าการโจมตีบริษัท Colonial Pipeline นั้นใช้ซอฟต์แวร์เข้ารหัสที่ชื่อว่า DarkSide ซึ่งถูกสร้างโดยผู้ที่เกี่ยวข้องกับ REvil

กลุ่มมัลแวร์เรียกค่าไถ่ REvil ปิดเซิร์ฟเวอร์ไปครั้งแรก เมื่อเดือนกรกฎาคม ซึ่งเป็นช่วงเดียวกันกับที่มีการกดดันให้รัสเซียดำเนินการจัดการกับกลุ่มมัลแวร์เรียกค่าไถ่ ภายในประเทศ และเซิร์ฟเวอร์ของกลุ่มได้กลับมาออนไลน์อีกครั้งในเดือนกันยายนจนถึงปัจจุบัน ก่อนจะถูกปิดไปอีกครั้งโดยหน่วยงานของสหรัฐฯ

ผู้ที่ถูกกล่าวหาว่าเป็นตัวแทนของกลุ่ม REvil กล่าวว่ามีบุคคลที่ไม่ทราบตัวตน ได้เข้าถึงระบบภายในของเว็บไซต์บางส่วนของกลุ่ม REvil ได้แก่ Landing page และ Blog ทำให้เขาคาดว่า ข้อมูลสำรอง (Backups) ของเว็บไซต์ และ Key สำหรับจัดการกับ Onion service นั้นถูกบุคคลที่สามเข้าถึงได้แล้ว

แหล่งข่าวไม่เปิดเผยตัวรายหนึ่งบอกกับสำนักข่าว Reuters ว่าบุคคลที่ไม่ทราบตัวตน และเป็นคนลงมือแฮ็กเซิร์ฟเวอร์ของ REvil นั้นเป็นชาวต่างชาติที่ร่วมมือกับสำนักงานสอบสวนกลางแห่งสหรัฐอเมริกา (FBI) กองบัญชาการไซเบอร์ (U.S. Cyber Command) หน่วยสืบราชการลับ (Secret Service) และรัฐบาลของอีกหลายประเทศที่ไม่ได้เปิดเผยชื่อ “เอฟบีไอ ร่วมมือกับ กองบัญชาการไซเบอร์ หน่วยสืบราชการลับ และประเทศอื่น ๆ ที่มีความตั้งใจแบบเดียวกัน ได้มีส่วนร่วมสำคัญในการช่วยกันจัดการกับกลุ่มแฮ็กเกอร์ลักษณะนี้ โดย REvil นั้นอยู่ในอันดับต้น ๆ ของลิสต์เลย” กล่าวโดย Kellermann ที่ปรึกษาของหน่วยสืบราชการลับ

รายงานยังกล่าวว่า ทางสหรัฐฯ ได้ทำการแฮ็กเข้าไปยังระบบ Network infrastructure ของกลุ่ม REvil ได้สำเร็จ และสามารถเข้าควบคุมเครื่องเซิร์ฟเวอร์บางส่วนได้ตั้งแต่เดือนกรกฎาคม ช่วงเดียวกับที่ทางกลุ่ม REvil ประกาศยุติการดำเนินการ และเมื่อช่วงเดือนกันยายน ทางกลุ่ม REvil ได้ทำการ Restore เซิร์ฟเวอร์เว็บไซต์ให้กลับมาใช้งานได้ด้วยข้อมูลสำรอง (Backups) ซึ่งทางกลุ่มไม่รู้เลยว่าได้ไป Restart ระบบภายในบางอย่างซึ่งอยู่บน Server ที่ถูกเข้าควบคุมโดยแฮ็กเกอร์ที่ร่วมมือกับสหรัฐแล้ว ทำให้ทางการตรวจพบและได้สั่งปิด Service ของกลุ่ม REvil ไปในต้นสัปดาห์นี้ ทางการยังกล่าวอีกว่าขณะนี้ก็ยังทำการเจาะระบบของ REvil อยู่อย่างต่อเนื่อง

ทาง FBI และรัฐบาลสหรัฐฯ ปฏิเสธที่จะให้ความเห็นเกี่ยวกับเรื่องนี้ เพี่ยงแต่ระบุว่าตั้งใจจะจัดการกับปัญหามัลแวร์เรียกค่าไถ่กลุ่มนี้ และมัลแวร์เรียกค่าไถ่อื่น ๆ ที่โจมตีระบบโครงสร้างพื้นฐานสำคัญของประเทศ โดยจัดอยู่ลำดับเดียวกันกับภัยความมั่นคงแห่งชาติ เช่นเดียวกับการก่อการร้าย

 

ที่มา: siliconangle.

พบแคมเปญเผยแพร่มัลแวร์ซึ่งมุ่งเป้าโจมตีไปยังเกาหลีใต้โดยปลอมแปลง RAT (remote access trojan) เป็นเกมสำหรับผู้ใหญ่ที่แชร์ผ่าน Webhards และ Torrents

ผู้โจมตีกำลังใช้มัลแวร์ที่หาได้ง่าย เช่น njRAT และ UDP RAT มารวมไว้ในแพ็คเกจที่ดูเหมือนเกม หรือโปรแกรมอื่นๆ แล้วทำการอัปโหลดไปยัง Webhards

WebHard เป็นบริการจัดเก็บข้อมูลออนไลน์ที่ได้รับความนิยมในเกาหลี มีความสะดวกในการดาวน์โหลด ผู้ใช้งานใช้ Webhards ผ่าน Discord หรือใช้โพสต์โซเชียลมีเดีย ทำให้ถือว่าเป็นแหล่งเก็บข้อมูลยอดนิยมที่มีผู้เข้าชมรายวันอย่างต่อเนื่อง

ตามที่รายงานโดยนักวิเคราะห์ที่ ASEC ปัจจุบันผู้โจมตีกำลังใช้ webhards เพื่อแพร่กระจาย UDP RAT ที่ปลอมแปลงเป็นไฟล์ ZIP ที่มีเกมสำหรับผู้ใหญ่ เมื่อแตกไฟล์จะมีไฟล์ 'game.

ปัจจุบันกลุ่มผู้โจมตีฟิชชิ่งกำลังเปลี่ยนการกำหนดเป้าหมายการโจมตีอีเมลฟิชชิงเป็นกลุ่มพนักงานทั่วไปแทนกลุ่มผู้บริหารระดับสูง เพราะบุคคลกลุ่มนี้ก็ยังเป็นกลุ่มที่สามารถเข้าถึงระบบ หรือข้อมูลที่สำคัญภายในองค์กรได้

จากรายงานของนักวิจัยจาก Avanan พบว่าครึ่งหนึ่งของอีเมลฟิชชิ่งทั้งหมดที่ได้ทำการวิเคราะห์ในช่วงไม่กี่เดือนที่ผ่านมา มีการแอบอ้างเป็นพนักงานทั่วไปของบริษัทโดย 77% ของเป้าหมายในการส่งอีเมลฟิชชิ่ง จะเป็นการส่งไปยังพนักงานในระดับเดียวกัน ซึ่งก่อนหน้านี้ส่วนใหญ่อีเมลฟิชชิ่งจะถูกปลอมแปลงเป็นอีเมลที่ส่งจากผู้บริหารระดับสูง (Chief Executive Officer (CEO)) และ ผู้บริหารสูงสุดทางด้านการเงิน (Chief Financial Officer (CFO)) โดยมีเป้าหมายเพื่อหลอกให้พนักงานทั่วไปในบริษัทให้หลงเชื่อ เนื่องจากเป็นอีเมลที่มาจากผู้บริหารระดับสูง หรือผู้บังคับบัญชาจะยิ่งเพิ่มโอกาสให้ผู้รับหลงเชื่อข้อความในอีเมลเหล่านั้นได้ง่ายขึ้น แต่ปัจจุบันในกลุ่มผู้บริหารระดังสูงมีการเพิ่มความระมัดระวังมากขึ้น และองค์กรขนาดใหญ่มีการเพิ่มการป้องกันความปลอดภัยสำหรับบัญชีที่สำคัญเพิ่มขึ้นอีกด้วย จึงทำให้ผู้โจมตีเปลี่ยนเป้าหมายในการปลอมแปลงอีเมลเป็นกลุ่มของพนักงานทั่วไปแทน

จากรายงานของทาง Avanan ระบุว่าผู้โจมตีใช้เทคนิคในการโจมตีโดยอาศัย Docusign ซึ่งเป็นแพลตฟอร์มระบบจัดการลายมือชื่ออิเล็กทรอนิกส์ หรือ e-Signature ที่สามารถระบุตัวตนผู้ทำธุรกรรมกับเอกสารหรือข้อมูลอิเล็กทรอนิกส์บนคลาวด์ที่ถูกต้องตามกฎหมาย

ผู้โจมตีใช้ DocuSign เป็นทางเลือกเพื่อหลอกลวงให้ผู้รับลงลายมือชื่ออิเล็กทรอนิกส์สำหรับเอกสารจากอีเมลที่ทำการส่ง และขอให้ผู้รับป้อนข้อมูลประจำตัวเพื่อเปิดดูเอกสารและลงชื่อ

แม้ว่าอีเมลจะถูกสร้างมาเพื่อให้ดูเหมือนว่าเป็นข้อความที่ถูกต้องจาก Docusign แต่อีเมลเหล่านั้นไม่ได้ถูกส่งจากแพลตฟอร์ม เพราะหากเป็นอีเมลจริงของ DocuSign ผู้ใช้จะไม่ถูกขอให้ป้อนรหัสผ่าน แต่จะส่งอีเมลรหัสการตรวจสอบสิทธิ์ไปยังผู้รับแทน ด้วยความเร่งรีบในการทำงานประจำวัน มีแนวโน้มว่าพนักงานหลายคนอาจถูกหลอกโดยข้อความเหล่านี้ และเข้าใจว่าข้อความนี้เป็นคำขอจาก DocuSign จริง และทำการป้อนข้อมูลที่สำคัญลงไปทำให้ข้อมูลเหล่านั้นถูกส่งต่อให้กับผู้โจมตี

ดังนั้นเมื่อผู้ใช้ได้รับอีเมล สิ่งสำคัญคือต้องใช้เวลาและประเมินอีเมลเพื่อหาสัญญาณของการหลอกลวง รวมถึงไฟล์แนบที่ไม่พึงประสงค์ การสะกดคำผิด และการคำขอให้ทำการป้อนข้อมูลประจำตัวลงในอีเมลถือว่าเป็นสิ่งสำคัญในการพิจารณา

การโจมตีฟิชชิ่งโดยการอาศัย Docusign นั้นไม่ใช่เรื่องใหม่ และถูกใช้โดยผู้โจมตีจำนวนมากเพื่อขโมยข้อมูลสำหรับการเข้าสู่ระบบ และการแพร่กระจายมัลแวร์ โดยในช่วงเดือนสิงหาคม 2019 ผู้โจมตีใช้ DocuSign landing pages took พยายามหลอกล่อให้ผู้ใช้งานป้อนข้อมูลประจำตัวที่สำคัญสำหรับบริการอีเมลทั้งหมดของผู้ใช้

ที่มา : bleepingcomputer

Extension ที่ช่วยในการบล็อกโฆษณาชื่อ AllBlock Chromium มีการแอบแทรกลิงก์ที่สร้างรายได้ให้กับนักพัฒนาได้

Extension นี้ยังคงมีอยู่ในเว็บสโตร์ของ Chrome และมีการโฆษณาว่าสามารถบล็อกโฆษณาที่ YouTube และ Facebook เพื่อป้องกันป๊อปอัป และเพิ่มความเร็วในการเข้าใช้งานได้ดีขึ้นอีกด้วย

อย่างไรก็ตาม ตามที่นักวิจัยของ Imperva ระบุ Extension นี้แสดงโฆษณาที่หลอกลวง โดยมีการทำให้ URL ที่ถูกต้องเปลี่ยนเส้นทางไปยังลิงก์ที่สร้างรายได้ให้นักพัฒนา

การแทรกโฆษณา หรือลิงก์ลงในหน้าเว็บ ทำให้ผู้หลอกลวงสร้างรายได้จากโฆษณา หรือเปลี่ยนเส้นทางผู้คนไปยังเว็ปไซต์ในเครือข่ายพันธมิตรเพื่อรับค่าตอบแทน

ในเดือนสิงหาคม พ.ศ. 2564 นักวิจัยของ Imperva ค้นพบชุดโดเมนที่เป็นอันตรายที่ไม่เคยพบมาก่อนหน้านี้ถูกกระจายผ่านสคริปต์การแทรกโฆษณา

สคริปต์ที่เป็นอันตรายนี้จะส่ง URL ที่ถูกต้องไปยังเซิร์ฟเวอร์ที่ผู้ไม่หวังดีสร้างขึ้น เพื่อรับการตอบกลับด้วยโดเมนที่เมื่อผู้ใช้งานเผลอคลิกลิงก์ก็จะถูกนำไปสู่เว็ปไซต์อื่นๆ ซึ่งปกติแล้วจะเป็นลิงก์ในเครือข่ายพันธมิตรเพื่อให้นักพํฒนาได้รับค่าตอบแทน

สคริปต์นี้ยังมีเทคนิคการหลีกเลี่ยงการตรวจจับ เช่น ยกเว้นการทำงานใน Search Engine ของประเทศรัสเซีย, ล้างคอนโซลการดีบักทุกๆ 100 ms และตรวจจับตัวแปร Firebug ที่เริ่มต้นใช้งานอยู่

จากการศึกษาในรายละเอียดของ AllBlock ทีมงานของ Imperva พบสคริปต์ที่ชื่อว่า "bg.

Google แจ้งว่าเจ้าของบัญชี YouTube ต่างๆ อาจตกเป็นเป้าหมายของมัลแวร์ขโมยรหัสผ่านในการโจมตีแบบ Phishing โดยนักวิจัยจากกลุ่มการวิเคราะห์ภัยคุกคาม (TAG) ของ Google ตรวจพบแคมเปญนี้ครั้งแรกเมื่อปลายปี 2019

ผู้โจมตีใช้วิธีการ Social Engineering และอีเมล Phishing ในการหลอกให้ผู้ใช้งาน Youtube ติดตั้งมัลแวร์เพื่อขโมยข้อมูล

Channels ที่โดนโจมตีแบบ Pass-the-cookie

มัลแวร์ที่ถูกพบว่าใช้ในการโจมตีด้วย เช่น RedLine, Vidar, Predator The Thief, Nexus stealer, Azorult, Raccoon, Grand Stealer, Vikro Stealer, Masad และ Kantal รวมถึง Open-source เช่น AdamantiumThief และ Sorano

เมื่อมัลแวร์เข้าไปยังระบบของเป้าหมายแล้ว มัลแวร์จะถูกใช้เพื่อขโมย Credentials และคุกกี้ของเบราว์เซอร์ ซึ่งจะทำให้ให้ผู้โจมตีเข้าใช้บัญชีของเหยื่อได้จากการ pass-the-cookie แม้ว่าเทคนิคนี้มีมานานแล้ว แต่การกลับมาของเทคนิคนี้อาจเกิดจากการใช้งาน Multi-factor authentication (MFA) ที่มากขึ้น ทำให้ยากต่อการขโมยข้อมูลโดยตรง มัลแวร์ที่ตรวจพบส่วนใหญ่สามารถขโมยทั้งรหัสผ่าน และคุกกี้ของผู้ใช้งานได้

Google ระบุโดเมนอย่างน้อย 1,011 โดเมนที่เชื่อมโยงกับการโจมตีเหล่านี้ และบัญชีประมาณ 15,000 บัญชีที่สร้างขึ้นโดยเฉพาะสำหรับแคมเปญนี้ และใช้เพื่อส่งอีเมล Phishing ที่มีลิงก์ที่สามารถเปลี่ยนเส้นทางไปยังหน้า Landing Page ของมัลแวร์ ทำการส่งไปยังอีเมลของเจ้าของบัญชี YouTube

ช่อง YouTube จำนวนมากที่โดนการโจมตี ถูกเปลี่ยนชื่อในภายหลังเพื่อแอบอ้างเป็นผู้บริหารระดับสูงด้านเทคโนโลยี หรือบริษัทแลกเปลี่ยนสกุลเงินดิจิทัล ส่วนอื่นๆ ถูกขายในตลาดซื้อขายบัญชีใต้ดิน ซึ่งมีมูลค่าระหว่าง 3 ถึง 4,000 ดอลลาร์ ขึ้นอยู่กับจำนวน Subscribers ของพวกเขา

Shen กล่าวเสริมว่า Threat Analysis Group ของ Google ลดอีเมล Phishing ที่เชื่อมโยงกับการโจมตีเหล่านี้ใน Gmail 99.6% ตั้งแต่เดือนพฤษภาคม 2021 ทำการบล็อกข้อความที่ส่งถึงเป้าหมาย 1.6 ล้านข้อความ แสดงคำเตือนหน้า Phishing ประมาณ 62K Safe Browsing บล็อกไฟล์ 2.4K และกู้คืนบัญชีประมาณ 4K ได้สำเร็จ ด้วยความพยายามในการตรวจจับที่เพิ่มขึ้น สังเกตเห็นว่าผู้โจมตีเปลี่ยนจาก Gmail ไปยังผู้ให้บริการอีเมลรายอื่น (ส่วนใหญ่เป็น email.

Acer ถูกโจมตีทางไซเบอร์สองครั้งในเวลาเพียงหนึ่งสัปดาห์โดยกลุ่ม Hacker กลุ่มเดียวกัน

เมื่อสัปดาห์ที่แล้ว กลุ่ม Hacker ที่รู้จักกันในชื่อ 'Desorden' ส่งอีเมลถึงนักข่าวเพื่อบอกว่าพวกเขาแฮ็กเซิร์ฟเวอร์ของ Acer India และขโมยข้อมูลออกไป ซึ่งรวมถึงมีข้อมูลลูกค้าด้วย

Acer ยืนยันว่าถูกขโมยข้อมูลจริงในภายหลัง แต่ระบุว่าเป็น "isolated attack" ซึ่งส่งผลต่อระบบบริการหลังการขายในอินเดียเท่านั้น

ประมาณหนึ่งสัปดาห์ต่อมา Desorden ส่งอีเมลถึง BleepingComputer เพื่อแจ้งว่าพวกเขาขโมยข้อมูลเซิร์ฟเวอร์ของ Acer Taiwan เมื่อวันที่ 15 ตุลาคม และมีข้อมูลพนักงาน และข้อมูลผลิตภัณฑ์

ทางกลุ่มยังแชร์รูปภาพของ Internal Acer Taiwan portal และไฟล์ CSV ที่มีข้อมูลรับรองการเข้าสู่ระบบสำหรับพนักงาน Acer

Hacker แจ้ง BleepingComputer ว่าพวกเขาทำการโจมตีเพื่อพิสูจน์ว่า Acer ยังคงมีความเสี่ยงอยู่ โดยแจ้งว่า "เราไม่ได้ขอให้จ่ายเงินสำหรับการขโมยข้อมูลในไต้หวัน แต่มีวัตถุประสงค์เพื่อพิสูจน์ประเด็นของเราว่า Acer ละเลยการรักษาความปลอดภัยทางไซเบอร์"

Acer Taiwan ดำเนินการลบเซิร์ฟเวอร์ที่มีช่องโหว่หลังจากที่ Hacker แจ้งว่าได้ขโมยข้อมูลจากบริษัท อย่างไรก็ตาม กลุ่ม Hacker ระบุว่าเซิร์ฟเวอร์อื่นในมาเลเซีย และอินโดนีเซียยังคงมีช่องโหว่ Acer ยืนยันการโจมตีในแถลงการณ์ต่อ BleepingComputer และกล่าวว่าการขโมยข้อมูลในไต้หวันเกี่ยวข้องกับข้อมูลพนักงานเท่านั้น

นอกเหนือจากการละเมิดสองครั้งนี้ Acer ยังเคยโดนโจมตีทางอินเทอร์เน็ตในเดือนมีนาคม 2564 หลังจากที่กลุ่ม REvil ransomware เข้ารหัสเครือข่ายของพวกเขาและเรียกค่าไถ่ 50 ล้านดอลลาร์

Desorden มีประวัติการละเมิดข้อมูลขององค์กร และปล่อยข้อมูลมาก่อนหากไม่มีการจ่ายค่าไถ่
ในเดือนกันยายน 2564 Desorden อ้างว่าได้ขโมยข้อมูล ABX Express บริษัทลูกของ Kerry Logistics และขโมยข้อมูล 200 GB รวมถึงข้อมูลส่วนบุคคลของลูกค้าอีกด้วย

ที่มา : bleepingcomputer

Microsoft ได้แจ้งให้ผู้ดูแลระบบทำการแพตช์ PowerShell 7 ที่มีช่องโหว่ 2 รายการที่ทำให้ผู้โจมตีสามารถเลี่ยงการตรวจสอบของ Windows Defender Application Control (WDAC) และเข้าถึง Plain text credentials ได้

Microsoft ได้ออกอัพเดทแพตซ์เป็น PowerShell 7.0.8 และ PowerShell 7.1.5 เพื่อแก้ไขช่องโหว่เหล่านี้ใน PowerShell 7 และ PowerShell 7.1 ในเดือนกันยายนและตุลาคม

Leaked passwords และ WDAC bypass

WDAC ได้รับการออกแบบมาเพื่อช่วยป้องกัน Windows จากซอฟต์แวร์ที่อาจเป็นอันตราย โดยจะอนุญาตให้เฉพาะ Apps และ drivers ที่เชื่อถือได้เท่านั้นที่จะสามารถทำงานได้ ดังนั้นจึงสามารถบล็อกมัลแวร์ และซอฟต์แวร์ที่อาจเป็นอันตรายไม่ให้มีการรันขึ้นมา

การโจมตีจากช่องโหว่ Windows Defender Application Control security feature bypass หรือ CVE-2020-0951 ช่วยให้ผู้โจมตีสามารถหลีกเลี่ยง Allowlist ของ WDAC ซึ่งช่วยให้พวกเขาสามารถใช้คำสั่ง PowerShell ที่ปกติจะถูกบล็อกโดย WDAC ได้

โดยไมโครซอฟท์อธิบายว่า ผู้โจมตีต้องการสิทธิ์ในการเข้าถึงระดับผู้ดูแลระบบบนเครื่อง จากนั้นก็เชื่อมต่อกับ PowerShell และส่งคำสั่งเพื่อรันโค้ดที่อาจจะเป็นอันตรายได้ตามต้องการ

ช่องโหว่ที่สอง CVE-2021-41355 เป็นช่องโหว่ Information Disclosure ใน .NET ซึ่งอาจทำให้ข้อมูลที่สำคัญรั่วไหลจากแพลตฟอร์มที่ไม่ใช่ Windows ได้

ไมโครซอฟท์อธิบายว่าช่องโหว่ Information Disclosure ใน .NET อยู่ที่ System.