จากคำชี้แจงของ ธนาคารแห่งประเทศไทย (ธปท.) และ สมาคมธนาคารไทย เมื่อวันที่ 17 ตุลาคมที่ผ่านมา กรณีการตัดเงินที่ผิดปกติ ผ่านบัตรเครดิตและบัตรเดบิตของลูกค้าจำนวนมากว่า

“ โดยเบื้องต้นพบว่า มิได้เกิดจากการรั่วไหลของข้อมูลจากธนาคาร แต่เป็นรายการที่เกิดจากการทำธุรกรรมชำระค่าสินค้าและบริการกับร้านค้าออนไลน์ที่จดทะเบียนในต่างประเทศเป็นส่วนใหญ่ และไม่ใช่แอปดูดเงินตามที่ปรากฏเป็นข่าว ”

ล่าสุดวันที่ 19 ตุลาคม 2564 ทาง ธปท. และสมาคมธนาคารไทย ได้ออกมาชี้แจ้งเพิ่มเติม โดยมีเนื้อหาดังต่อไปนี้

“มิได้เกิดจากการรั่วไหลของข้อมูลจากระบบธนาคาร โดยสาเหตุสำคัญเกิดจากการที่มิจฉาชีพสุ่มข้อมูลบัตรและนำไปสวมรอยทำธุรกรรมผ่านร้านค้าออนไลน์ต่างประเทศ ที่ไม่มีการใช้ One Time Password (OTP) โดยตั้งแต่ต้นเดือนตุลาคม มีบัตรที่มีการใช้งานผิดปกติจากเหตุข้างต้นจำนวน 10,700 ใบ”

ล่าสุด ธนาคารแห่งประเทศไทย (ธปท.) และ สมาคมธนาคารไทย ได้ออกกำหนดมาตรการเพิ่มเติมเพื่อป้องกันและแก้ปัญหา ดังนี้

ยกระดับความเข้มข้นในการตรวจจับธุรกรรมที่ผิดปกติ ให้ครอบคลุมทั้งธุรกรรมที่มีจำนวนเงินต่ำและที่มีความถี่สูง หากพบธุรกรรมที่ผิดปกติ ธนาคารจะระงับการใช้บัตรทันทีและแจ้งลูกค้าในทุกช่องทาง รวมทั้งติดตามเฝ้าระวังรายการธุรกรรมจากต่างประเทศเป็นพิเศษ
เพิ่มการแจ้งเตือนลูกค้าในการทำธุรกรรมทุกรายการ ตั้งแต่รายการแรกผ่านช่องทางต่าง ๆ เช่น ระบบ Mobile banking อีเมล หรือ SMS
กรณีที่ตรวจสอบพบว่าลูกค้าได้รับผลกระทบจากการทุจริตตามข้างต้น กรณีบัตรเดบิต ลูกค้าจะได้รับการคืนเงินภายใน 5 วันทำการ ส่วนกรณีบัตรเครดิต ธนาคารจะยกเลิกรายการดังกล่าว ลูกค้าไม่ต้องชำระเงินตามยอดเรียกเก็บที่ผิดปกติ และจะไม่มีการคิดดอกเบี้ย
ธปท. และสมาคมธนาคารไทยจะเร่งหารือกับผู้ให้บริการเครือข่ายบัตร เช่น Visa Mastercard เพื่อกำหนดให้มีการใช้การยืนยันตัวตนเพิ่มเติม เช่น OTP กับบัตรเดบิตสำหรับร้านค้าออนไลน์

กรณีลูกค้าพบความผิดปกติของธุรกรรมด้วยตนเอง สามารถติดต่อคอลเซ็นเตอร์หรือสาขาของธนาคารผู้ออกบัตร เพื่อแจ้งตรวจสอบและยืนยันความถูกต้องของธุรกรรมในทันที โดยธนาคารจะดูแลแก้ไขปัญหาที่เกิดขึ้นโดยเร็วที่สุด

 

 

 

 

 

 

 

 

 

 

 

 

 

 

ที่มา : bot.

Omer Gil และทีม พบช่องโหว่ซึ่งเป็นส่วนหนึ่งของ DevOps ตาม Blog และได้แจ้งกับทาง Information Security Media Group ว่าต้องมีการตรวจสอบกลไกในการตรวจสอบบน GitHub และเนื่องจาก GitHub Actions เป็นส่วนที่มีการติดตั้งเป็นค่า default เบื้องต้นทำให้มีผลต่อองค์กรที่มีการใช้งานทุกที่

GitHub เป็นแพลตฟอร์มในการพัฒนาซอฟต์แวร์ที่ใช้ควบคุมการดำเนินการแก้ไข การตรวจสอบการดำเนินการต่างๆใน Codeโปรแกรมต่างๆที่ทางผู้พัฒนาโปรแกรมได้ทำการสร้างขึ้น โดย GitHub Action คือการส่งต่อข้อมูลที่ทางผู้พัฒนาได้มีการแก้ไข สร้าง workflows เพื่อทำการส่งต่อไปยัง production

เมื่อ workflows ทำงานจะทำการสร้าง GITHUB_TOKEN มาใช้เพื่อทำการตรวจสอบสิทธิ์ โดยสิทธิ์ต่างๆจะถูกตั้งค่าตามแต่ละองค์กร เช่น สิทธิ์ในการ อ่าน เขียน เข้าถึงขอบเขตของข้อมูลบางส่วน เนื้อหา แพ็คเกจที่สามารถร้องขอได้ โดยผู้ใช้งานที่มีสิทธิ์ในการเขียน สามารถปรับเปลี่ยนการอนุญาตในการเข้าถึงไฟล์หรืออนุญาตการ merge หากผู้ไม่หวังดีสามารถเข้าถึง Account ที่มีสิทธิ์ในการแก้ไขได้ จะสามารถส่ง Code ที่เป็นอันตรายไปยังระบบงานต่างๆที่สามารถเข้าถึงได้ทั้งหมด

โดย GITHUB_TOKEN จะทำงานควบคู่กับ PR (การตรวจสอบทบทวนสิ่งที่มีการขอ merge request) User สามารถทบทวนสิ่งที่ผู้ใช้งานบางคนทำการเปลี่ยนแปลงแก้ไข ก่อนที่จะส่งไปยังระบบงาน production เมื่อ PR ถูกสร้างขึ้นมาจะไม่สามารถ merge ข้อมูลรวมกันได้เนื่องจากจะต้องมีการอนุมัติเสียก่อน แต่ในการโจมตีนี้ workflows จะทำงานทันทีเมื่อมีการอนุญาตจาก PR โดย github-actions bot

โดยทางนักวิจัยได้รายงานเหตุการณ์ ดังกล่าวกับทาง GitHub และบอกถึงผู้ใช้งาน GitHub ให้ดำเนินการปิด GitHub Action หากไม่ได้ใช้งาน และเพิ่มการตรวจสอบสิทธิ์ในการส่งต่อ Code ให้มากขึ้นโดยการตรวจสอบมากกว่า 2 ครั้งขึ้นไปจนกว่า GitHub จะมีการแก้ไขช่องโหว่ดังกล่าว

ที่มา: bankinfosecurity.

เมื่อวันอังคารที่ผ่านมา Microsoft ได้ออกแพตช์ความปลอดภัยแก้ไขช่องโหว่ทั้งหมด 71 รายการใน Microsoft Windows และซอฟต์แวร์อื่นๆ รวมถึงการแก้ไขช่องโหว่การยกระดับสิทธิ์ ที่ใช้ประโยชน์จากช่องโหว่ที่สามารถใช้ร่วมกันกับช่องโหว่ในการเรียกใช้โค้ดจากระยะไกลเพื่อเข้าควบคุมระบบที่มีช่องโหว่

2 ช่องโหว่ระดับ Critical, 68 ช่องโหว่ระดับ Important และอีก 1 ช่องโหว่ระดับต่ำ โดย 3 ช่องโหว่ในนี้ถูกระบุว่าเป็นช่องโหว่ที่ถูกเปิดเผยออกสู่สาธารณะเรียบร้อยแล้ว

ส่วน 4 ช่องโหว่ zero-days มีดังนี้

CVE-2021-40449 (CVSS score: 7.8) - Win32k Elevation of Privilege Vulnerability
CVE-2021-41335 (CVSS score: 7.8) - Windows Kernel Elevation of Privilege Vulnerability
CVE-2021-40469 (CVSS score: 7.2) - Windows DNS Server Remote Code Execution Vulnerability
CVE-2021-41338 (CVSS score: 5.5) - Windows AppContainer Firewall Rules Security Feature Bypass Vulnerability

ที่ด้านบนสุดของรายการคือ CVE-2021-40449 ช่องโหว่ use-after-free ในไดรเวอร์เคอร์เนล Win32k ที่ Kaspersky ตรวจพบว่ามีการใช้ในการโจมตีเป็นวงกว้างในช่วงปลายเดือนสิงหาคม และต้นเดือนกันยายน 2564 โดยมุ่งเป้าไปที่บริษัทไอที บริษัทผู้ค้าอาวุธ และหน่วยงานทางการทูต โดย Kaspersky ตั้งชื่อกลุ่มผู้โจมตีว่า "MysterySnail"

"ความคล้ายคลึงกันของโค้ด และการนำ C2 [command-and-control] กลับมาใช้ใหม่ที่เราค้นพบ ทำให้เราสามารถเชื่อมโยงการโจมตีเหล่านี้กับผู้โจมตีที่รู้จักกันในชื่อ IronHusky และ Chinese-speaking APT กิจกรรมดังกล่าวย้อนหลังไปถึงปี 2012" นักวิจัยของ Kaspersky Boris Larin และ Costin Raiu กล่าว

การโจมตีนี้จะนำไปสู่การใช้โทรจันเพื่อการเข้าถึงระยะไกลที่สามารถรวบรวม และขโมยข้อมูลระบบจากเครื่องที่ถูกโจมตีก่อนที่จะพยายามติดต่อไปยังเซิร์ฟเวอร์ C2

ช่องโหว่อื่น ๆ ได้แก่ช่องโหว่การเรียกใช้โค้ดจากระยะไกลที่ส่งผลต่อ Microsoft Exchange Server (CVE-2021-26427), Windows Hyper-V (CVE-2021-38672 และ CVE-2021-40461), SharePoint Server (CVE-2021-40487 และ CVE- 2021-41344) และ Microsoft Word (CVE-2021-40486) รวมถึงช่องโหว่ที่อาจนำไปสู่การเปิดเผยข้อมูลใน Rich Text Edit Control (CVE-2021-40454)

CVE-2021-26427 ซึ่งมีคะแนน CVSS 9.0 และถูกพบโดย US National Security Agency "เซิร์ฟเวอร์ Exchange เป็นเป้าหมายที่มีมูลค่าสูงสำหรับแฮกเกอร์ที่ต้องการเจาะเครือข่ายธุรกิจ" Bharat Jogi จาก Qualys กล่าว

October Patch Tuesday แก้ไขอีกช่องโหว่สองจุดที่พึ่งถูกค้นพบใน Print Spooler CVE-2021-41332 และ CVE-2021-36970 ด้วย

ซอฟต์แวร์แพตช์จากผู้ให้บริการรายอื่น

นอกจากไมโครซอฟต์แล้ว ผู้ให้บริการรายอื่นๆยังได้ออกแพตซ์เพื่อแก้ไขช่องโหว่หลายรายการ ได้แก่

Adobe
Android
Apple
Cisco
Citrix
Intel
Linux distributions Oracle Linux, Red Hat, and SUSE
SAP
Schneider Electric
Siemens, and
VMware

ที่มา: thehackernews.

Apache Software Foundation ได้เผยแพร่การอัปเดตความปลอดภัยเพิ่มเติมสำหรับ HTTP Server เพื่อแก้ไขสิ่งที่ถูกระบุว่าเป็น "การแก้ไขที่ไม่สมบูรณ์" สำหรับช่องโหว่ Path Traversal และ Remote Code Execution ซึ่งได้รับการแก้ไขไปก่อนหน้านี้

CVE-2021-42013 ช่องโหว่ใหม่นี้ถูกระบุว่าถูกสร้างขึ้นจากช่องโหว่ CVE-2021-41773 ซึ่งเป็นช่องโหว่ Path Traversal ที่อาจทำให้ผู้โจมตีสามารถเข้าถึง และดูไฟล์ที่จัดเก็บบนเซิร์ฟเวอร์ที่มีช่องโหว่ได้ โดยจะส่งผลกระทบต่อ Apache web servers เวอร์ชัน 2.4.49
แม้ว่าช่องโหว่นั้นจะได้รับการแก้ไขในเวอร์ชัน 2.4.50 แต่เพียงหนึ่งวันหลังจากมีการปล่อยแพตช์ ช่องโหว่นี้ถูกนำไปใช้ในการทำ Remote Code Execution หากโมดูล "mod_cgi" ถูกโหลดและกำหนดค่า "require all denied" จึงทำให้ Apache ต้องออกการอัปเดตแพตช์ฉุกเฉินอีกรอบ

Apache ได้ให้คำแนะนำสำหรับ "การแก้ไขช่องโหว่ CVE-2021-41773 ใน Apache HTTP Server 2.4.50 นั้นไม่เพียงพอ ผู้โจมตีสามารถใช้การโจมตีแบบ Path Traversal เพื่อจับคู่ URL กับไฟล์ที่อยู่นอกไดเรกทอรีที่กำหนดค่าโดยคำสั่ง Alias-like" หากไฟล์ที่อยู่นอกไดเร็กทอรีเหล่านี้ไม่ได้รับการป้องกันโดยการกำหนดค่า Default 'require all dissolve' คำขอเหล่านี้ก็สามารถดำเนินการได้สำเร็จ หากสคริปต์ CGI ถูกเปิดใช้งานสำหรับ aliased paths ซึ่งจะทำให้สามารถเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกลได้

Apache Software Foundation ให้เครดิต Juan Escobar จาก Dreamlab Technologies, Fernando Muñoz จาก NULL Life CTF Team และ Shungo Kumasaka ในการรายงานช่องโหว่

สำนักงานความปลอดภัยทางไซเบอร์ และโครงสร้างพื้นฐานของสหรัฐอเมริกา (CISA) กล่าวว่า "พบการสแกนระบบที่มีช่องโหว่อย่างต่อเนื่อง ซึ่งคาดว่าจะเร็วขึ้น และมีแนวโน้มว่าจะนำไปสู่การโจมตี" จึงแนะนำให้ทุกองค์กรดำเนินการแก้ไขช่องโหว่ทันทีหากยังไม่ได้ดำเนินการ

คำแนะนำ
ผู้ใช้ทุกคนควรอัปเดตเป็นเวอร์ชันล่าสุด (2.4.51) เพื่อลดความเสี่ยงที่เกี่ยวข้องกับช่องโหว่ดังกล่าว

ที่มา: thehackernews.

นักวิจัยด้านความปลอดภัย พบว่าแฮกเกอร์สามารถทำให้เจ้าของบัญชี OpenSea ไม่มียอดคงเหลือใน Wallets ได้โดยการล่อให้เหยื่อคลิก NFT art ที่เป็นอันตราย

OpenSea เป็นตลาดซื้อขาย, ประมูล non-fungible tokens (NFTs) และสินทรัพย์ดิจิทัลอื่นๆ ที่ใหญ่ที่สุดในโลก ด้วยมูลค่าธุรกรรมถึง 3.4 พันล้านดอลลาร์

ปัญหาเกิดจากที่แพลตฟอร์ม OpenSea สามารถทำให้แฮกเกอร์โจมตีบัญชีผู้ใช้ และขโมยกระเป๋าเงินดิจิตอล (Wallets) ด้วยวิธีการง่ายๆ คือการสร้าง NFT ที่มี payload ที่เป็นอันตราย และรอให้เหยื่อคลิกดู โดยพบผู้ใช้หลายราย แจ้งว่า กระเป๋าเงินดิจิทัล (Wallets) ว่างเปล่า หลังจากได้รับโฆษณาจาก OpenSea ซึ่งเป็นกลยุทธ์ทางการตลาดที่เรียกว่า "airdropping" ที่ใช้เพื่อโปรโมท Asset ใหม่ๆ

นักวิจัยจาก Check Point ได้ตัดสินใจตรวจสอบวิธีการทำงานของแพลตฟอร์มอย่างละเอียด และตรวจหาช่องโหว่ ซึ่งมีสรุปการโจมตีดังนี้:

แฮ็กเกอร์ทำการสร้าง และส่ง NFT ที่เป็นอันตรายให้แก่เหยื่อ
เมื่อเหยื่อเปิดดู NFT ที่เป็นอันตราย จะเรียกป๊อปอัปจากโดเมนการจัดเก็บของ OpenSea และขอเชื่อมต่อกับกระเป๋าเงิน Cryptocurrency ของเหยื่อ
เหยื่อคลิกเพื่อเชื่อมต่อกระเป๋าเงินของตัวเอง และดำเนินการกับ NFT ที่ส่งให้ ซึ่งทำให้แฮ็กเกอร์สามารถเข้าถึงกระเป๋าเงินของเหยื่อได้
แฮ็กเกอร์สามารถรับเงินในกระเป๋าเงินได้โดยเปิดป๊อปอัปเพิ่มเติม ซึ่งส่งมาจากโดเมนการจัดเก็บของ OpenSea โดยเหยื่อมีแนวโน้มที่จะคลิกป๊อปอัปโดยไม่อ่านข้อความที่อธิบายธุรกรรมที่เกิดขึ้น

รายละเอียดการตรวจสอบข้อผิดพลาด

บัญชี OpenSea ต้องมีการเชื่อมต่อกระเป๋าเงิน cryptocurrency ของ third-party นักวิจัยจึงเลือกใช้ MetaMask ที่ได้รับความนิยมมากที่สุด โดยการเชื่อมต่อกับ wallet จะเกิดขึ้นเมื่อมีการดำเนินการใดๆ กับบัญชี รวมถึงการกดถูกใจงานศิลปะ (NFT art) ในระบบ ซึ่งจะทำให้เกิดคำขอลงชื่อเข้าใช้ Wallet

แพลตฟอร์ม OpenSea เปิดให้ทุกคนสามารถขายงานศิลปะดิจิทัล เป็นไฟล์ขนาดใหญ่ได้ถึง 40MB โดยมีนามสกุลดังต่อไปนี้: JPG, PNG, GIF, SVG, MP4, WEBM, MP3, WAV, OGG, GLB, GLTF ทีมนักวิจัย Check Point จึงได้อัปโหลดภาพ SVG ที่มีโค้ด JavaScript ที่เป็นอันตรายไปยังระบบ OpenSea เมื่อคลิกเพื่อเปิดในแท็บใหม่ จะสังเกตเห็นว่าไฟล์ทำงานภายใต้โดเมนย่อย 'storage.

นักวิจัยด้านความปลอดภัยทางไซเบอร์เปิดเผยเมื่อวันพุธว่าแบ็คดอร์ที่ไม่มีเอกสารมาก่อนซึ่งได้รับการออกแบบและพัฒนาโดย Nobelium Advanced Persistent Threatry (APT) ที่อยู่เบื้องหลังการโจมตีซัพพลายเชน SolarWinds ของปีที่แล้ว ร่วมกับเครื่องมือแฮ็คที่เพิ่มมากขึ้นของผู้คุกคาม Kaspersky บริษัทซึ่งมีสำนักงานใหญ่ในมอสโก ตั้งชื่อรหัสว่า "Tomiris" มัลแวร์ โดยกำหนดเป้าหมายไปที่แพลตฟอร์ม Orion ของผู้ให้บริการซอฟต์แวร์การจัดการด้านไอที โนเบลยังเป็นที่รู้จักโดยชื่อเล่น UNC2452, SolarStorm, StellarParticle, Dark Halo และ Iron Ritual

นักวิจัยของ Kaspersky กล่าวว่า "ในขณะที่การโจมตีแบบซัพพลายเชนเป็นเวคเตอร์การโจมตีที่ได้รับการบันทึกไว้แล้ว แต่แคมเปญเฉพาะนี้โดดเด่นเนื่องจากความรอบคอบอย่างที่สุดของผู้โจมตี หลักฐานที่รวบรวมมาจนถึงตอนนี้บ่งชี้ว่า Dark Halo ใช้เวลาหกเดือนในเครือข่ายของ Orion IT เพื่อโจมตีให้สมบูรณ์แบบ Microsoft ซึ่งมีรายละเอียด SUNSHUTTLE ในเดือนมีนาคม 2564 อธิบายว่าเป็นมัลแวร์จาก Golang ซึ่งทำหน้าที่เป็นแบ็คดอร์คำสั่งและควบคุม สร้างการเชื่อมต่อที่ปลอดภัยกับเซิร์ฟเวอร์ที่ควบคุมโดยผู้โจมตีเพื่อดึงและดำเนินการคำสั่งตามอำเภอใจบนเครื่องที่ถูกบุกรุก รวมทั้งแยกไฟล์จากระบบไปยังเซิร์ฟเวอร์

แบ็คดอร์ Tomiris ใหม่ที่ Kaspersky พบในเดือนมิถุนายนปีนี้ ถูกใช้งานผ่านการโจมตีด้วย DNS hijacking ซึ่งเป้าหมายที่พยายามเข้าถึงหน้าเข้าสู่ระบบของบริการอีเมลขององค์กรถูกเปลี่ยนเส้นทางไปที่โดเมนปลอมที่มีหน้าตาคล้ายคลึงกัน ซึ่งออกแบบมาเพื่อหลอกให้เหยื่อดาวน์โหลดมัลแวร์ที่ดูเหมือนเป็นการอัปเดตแพตซ์ด้านความปลอดภัย

Kaspersky เชื่อว่าการโจมตีดังกล่าวเกิดขึ้นกับองค์กรรัฐบาลหลายแห่งในประเทศสมาชิก CIS ที่ไม่ระบุชื่อ “จุดประสงค์หลักของแบ็คดอร์คือการสร้างฐานที่มั่นในระบบที่ถูกโจมตี และดาวน์โหลดส่วนประกอบที่เป็นอันตรายอื่นๆ” นักวิจัยกล่าว จากความคล้ายคลึงกันหลายประการตั้งแต่รูปแบบการเข้ารหัสไปจนถึงการสะกดผิดแบบเดียวกัน จึงมีความเป็นไปได้ว่าตัวมัลแวร์นี้มีทางการพัฒนาร่วมกัน

คำแนะนำ
- ไม่ดาวน์โหลดไฟล์แปลกปลอมลงเครื่อง
- ไม่คลิกลิงค์เว็บไซต์แปลกๆ หรือเว็บไซต์ที่ไม่รู้จัก
- ลงโปรแกรม Antivirus

ที่มา : thehackernews

กลุ่ม APT TA505 ที่เชื่อมโยงกับกลุ่มผู้โจมตีจากรัสเซีย (เช่น Evil Corp) กำลังใช้ประโยชน์จากไฟล์ Office ขนาดเล็กในแคมเปญมัลแวร์ใหม่ ซึ่งมีชื่อเรียกว่า MirrorBlast โดยมุ่งเป้าไปที่สถาบันการเงินในหลายภูมิภาค

กลุ่ม TA505 ปฏิบัติการมาตั้งแต่ปี 2014 โดยเน้นการโจมตีไปที่บริษัทค้าปลีก และธนาคาร กลุ่มนี้ยังเป็นที่รู้จักสำหรับเทคนิคการหลบเลี่ยงการตรวจจับโดยการใช้ LOLBins (Living Off The Land Binaries) หรือการใช้โปรแกรมที่มีอยู่แล้วบนเครื่องผู้ใช้งานในการโจมตี

ผู้เชี่ยวชาญด้านความปลอดภัยจากบริษัทรักษาความปลอดภัยทางไซเบอร์อย่าง Prevailion รายงานว่า TA505 ได้บุกรุกองค์กรมากกว่า 1,000 แห่ง ในเดือนกันยายน นักวิจัยจาก Morphisec ได้สังเกตแคมเปญ malspam การส่งเอกสาร Excel ที่เป็นอันตราย และมุ่งเป้าไปยังหลายองค์กรจากหลายประเทศ รวมถึงแคนาดา สหรัฐอเมริกา ฮ่องกง และยุโรป

การโจมตีเริ่มต้นจากเอกสารไฟล์แนบในอีเมล แต่นักวิจัยยังสังเกตเห็นผู้โจมตีใช้ Google feedproxy URL กับ SharePoint และ OneDrive lure ซึ่งทำเป็นลักษณะขอแชร์ไฟล์ ซึ่งเมื่อคลิกที่ URL ที่แชร์กับผู้รับ เหยื่อจะถูกนำไปยังไซต์ OneDrive ปลอม หรือพยายามให้มีการลงชื่อเข้าใช้ (SharePoint) เพื่อหลีกเลี่ยงการตรวจจับ ซึ่งโค้ดมาโครที่ใช้ในแคมเปญนี้สามารถใช้ได้เฉพาะใน Office รุ่น 32 บิตเท่านั้น

เอกสารที่ถูกสร้างขึ้นในยุคแรกๆนั้นไม่มีการหลีกเลี่ยงการตรวจจับ และโค้ดมาโครถูกซ่อนอยู่เบื้องหลังภาษา และโค้ดคุณสมบัติข้อมูลเอกสาร แต่ตอนนี้มีการย้ายไปที่เซลล์ชีตแทน นอกจากนี้มันยังได้เพิ่มเลเยอร์ obfuscation อีกหนึ่งเลเยอร์ที่ด้านบนของ obfuscation ก่อนหน้า

ผู้โจมตีใช้ตัวติดตั้ง MSI อย่างน้อยสองรุ่น ได้แก่ KiXtart และ REBOL ซึ่งทั้งคู่สร้างขึ้นโดยใช้ Windows Installer XML Toolset (WiX) เวอร์ชัน 3.11.0.1528 เมื่อเรียกใช้งานโปรแกรมติดตั้ง ไฟล์ทั้งสองจะวางไฟล์สองไฟล์ลงใน random directory ใน ProgramData ไฟล์หนึ่งเป็นโปรแกรมแปลภาษาของซอฟต์แวร์ที่ถูกต้อง (KiXtart หรือ REBOL) และอีกไฟล์หนึ่งเป็นสคริปต์ที่เป็นอันตราย

 

 

 

 

 

 

 

 

TA505 เป็นหนึ่งในกลุ่มผู้โจมตีที่มุ่งเป้าโจมตีองค์กรด้านการเงินจำนวนมากในปัจจุบัน และยังเป็นหนึ่งในกลุ่มที่มีความคิดสร้างสรรค์มากที่สุด เนื่องจากมีแนวโน้มที่จะพยายามปรับเปลี่ยนการโจมตีที่ใช้อย่างต่อเนื่อง เพื่อให้บรรลุเป้าหมายในการโจมตี ซึ่งความสามารถของการโจมตี MirrorBlast สามารถถูกตรวจจับได้น้อยมากบน VirusTotal ซึ่งทำให้บ่งบอกได้ถึงความตั้งใจของกลุ่มผู้โจมตีที่มีต่อการพยายามหลีกเลี่ยงการตรวจจับเป็นหลัก

ที่มา :   securityaffairs  bleepingcomputer

 

 

 

มัลแวร์ FinFisher ได้รับการอัปเกรดเพื่อแพร่กระจายไปบนอุปกรณ์ Windows โดยใช้ชุดบูต UEFI (Unified Extensible Firmware Interface) โดยใช้ประโยชน์จาก Windows Boot Manager ซึ่งทำให้ Attack Vector ที่นำไปสู่การติดมัลแวร์เปลี่ยนไป ทำให้สามารถหลบเลี่ยงการตรวจจับ และการวิเคราะห์ได้

FinFisher (หรือที่รู้จักในชื่อ FinSpy หรือ Wingbird) ถูกตรวจพบตั้งแต่ปี 2011 โดยเป็นสปายแวร์สำหรับ Windows, macOS และ Linux ที่พัฒนาโดยบริษัท Anglo-German firm Gamma International ซึ่งมักจะจัดหาซอฟแวร์สอดแนมให้กับหน่วยงานบังคับใช้กฎหมาย และหน่วยข่าวกรองโดยเฉพาะ เช่นเดียวกับ Pegasus ของ NSO Group

FinFisher จะรวบรวมข้อมูล Credential ของผู้ใช้ รายชื่อไฟล์ เอกสารสำคัญ บันทึกการกดแป้นพิมพ์ เนื้อหาในอีเมลจาก Thunderbird, Outlook, Apple Mail และ Icedove ดักจับข้อมูลผู้ใช้บน Skype ข้อความแชท การโทร และโอนไฟล์ต่างๆ รวมไปถึงการบันทึกเสียง และวิดีโอโดยการเข้าถึงไมโครโฟน และเว็บแคมของเครื่องเหยื่อ

ในขณะที่เครื่องมือนี้เคยใช้งานผ่านตัวติดตั้งที่ถูกดัดแปลงของแอปพลิเคชัน เช่น TeamViewer, VLC และ WinRAR การอัปเดตที่ตามมาในปี 2014 ทำให้เกิดการติดผ่าน Master Boot Record (MBR) โดยมีเป้าหมายเพื่อโหลดไฟล์ที่เป็นอันตราย ในลักษณะที่ออกแบบมาเพื่อหลบเลี่ยงการตรวจจับ

ฟีเจอร์ล่าสุดที่เพิ่มเข้ามาคือความสามารถในการปรับใช้ UEFI bootkit เพื่อโหลด FinSpy โดยตัวอย่างใหม่แสดงคุณสมบัติแทนที่ Windows UEFI boot loader ด้วยตัวแปรที่เป็นอันตราย และวิธีการหลีกเลี่ยงการตรวจจับอื่นๆ ทีมวิจัย และวิเคราะห์ระดับโลก (GReAT) ของ Kaspersky กล่าวว่าวิธีการติดไวรัสนี้ทำให้ผู้โจมตีสามารถติดตั้ง bootkit ได้โดยไม่ต้องผ่านการตรวจสอบความปลอดภัยของเฟิร์มแวร์

ที่มา : thehackernews.

จากกรณีที่ผู้ใช้งานจำนวนมากออกมาร้องเรียนทางโซเชียลมีเดียว่าถูกตัดเงินผ่านบัตรเครดิต และบัตรเดบิตทั้งที่ไม่ได้มีการทำธุรกรรมด้วยตนเอง เมื่อไม่กี่วันที่ผ่านมา โดยเจ้าของบัญชีธนาคารจำนวนมากพบว่าบัญชีของตนเองโดนตัดเงินที่ละจำนวนน้อยๆ แต่มีความถี่ในการตัดเงินหลายรายการ โดยมีข้อความระบุว่า “Purchase via EDC” หรือ “ชำระค่าสินค้าผ่าน EDC” ซึ่งส่วนใหญ่ เป็นการซื้อสินค้า และบริการผ่านบัตร และมาตัดเงินจากบัญชีธนาคาร

จากการแชร์ประสบการณ์ร่วมกันของผู้เสียหายหลายรายพบว่า บัญชีที่โดนจะเป็นบัญชีที่มีการผูกกับบัตรเดบิต รวมทั้งมีการผูกบัตรไว้กับแอปพลิเคชันออนไลน์ต่างๆ เช่น แอปซื้อของออนไลน์, แอปจองโรงแรม, แอปสายการบิน หรือแอปกระเป๋าสตางค์อิเล็กทรอนิกส์ ต่อมาวันที่ 17 ตุลาคม 2564 ธนาคารแห่งประเทศไทย (ธปท.) และ สมาคมธนาคารไทย ได้ประกาศชี้แจ้ง โดยมีเนื้อหาว่า

“โดยเบื้องต้นพบว่า มิได้เกิดจากการรั่วไหลของข้อมูลจากธนาคาร แต่เป็นรายการที่เกิดจากการทำธุรกรรมชำระค่าสินค้าและบริการกับร้านค้าออนไลน์ที่จดทะเบียนในต่างประเทศเป็นส่วนใหญ่ และไม่ใช่แอปดูดเงินตามที่ปรากฏเป็นข่าว”

“ขณะนี้ธนาคารเจ้าของบัตรได้ดำเนินการระงับการใช้บัตรของลูกค้าที่มีรายการผิดปกติ และติดต่อลูกค้า รวมทั้งอยู่ระหว่างดำเนินการตรวจสอบร้านค้าที่มีธุรกรรมที่ผิดปกติเหล่านี้ ”

ล่าสุดหลายธนาคารออกมาประกาศถึงมาตราการเกี่ยวกับเรื่องดังกล่าว เช่น ทีทีบี พร้อมคืนเงินลูกค้าบัญชีถูกตัดเงินไม่ปกติ นอกจากนี้ยังมีธนาคารหลายที่ออกมาย้ำว่าเรื่องดังกล่าวไม่ได้เกิดจากการรั่วไหลของข้อมูลจากธนาคารอีกด้วย

จากเหตุการณ์ดังกล่าวมีหลายเพจที่เกี่ยวกับความปลอดภัยด้าน CyberSecurity ออกมาวิเคราะห์ถึงความเป็นไปได้เกี่ยวกับสาเหตุที่เกิดขึ้น ทั้งเกิดจากข้อมูลรั่วไหลของเว็บไซต์ หรือแอปพลิเคชั่น การรั่วไหลจากระบบชำระเงิน ไปจนถึงจากผู้ใช้งานเอง อย่างไรก็ตามยังไม่มีข้อมูล และสามารถฟันธงได้ว่าเกิดจากสาเหตุใดกันแน่ ดังนั้น

ไอ-ซีเคียวขอแนะนำวิธีป้องกันเบื้องต้นดังต่อไปนี้

การเปิดใช้งานระบบยืนยันตัวตน 2 ชั้น (Two-Factor Authentication) สำหรับแอปพลิเคชันที่สำคัญ
แยกการใช้งานอีเมลให้ชัดเจน ไม่ควรนำอีเมลที่ผูกกับบัญชีธนาคาร ไป login หรือสมัครบริการอื่่น
ตั้งรหัสให้มีความรัดกุม ควรมีทั้ง ตัวอักษรพิมพ์เล็กพิมพ์ใหญ่ ตัวเลข อักษขระพิเศษ ความยาวควรมากกว่า 8 ตัวอักษร เป็นต้น และควรใช้รหัสผ่านที่ไม่เหมือนกันในแต่ละบริการ
โหลดแอปพลิเคชั่นจาก Official store เท่านั้น และควรระมัดระวังเรื่องการให้สิทธิ์เข้าถึงอุปกรณ์
หากมีข้อความ อีเมลหรือลิงค์ให้ดาวน์โหลดแปลกๆ ซึ่งอ้างว่ามาจากธนาคาร ควรตรวจสอบกับทางธนาคารทันที เพราะอาจจะเป็น Phishing mail ได้ หรือหากต้องทำธุรกรรมผ่านเว็บไซต์ ควรพิมพ์ URL ด้วยตนเอง
ตรวจสอบรายการ การใช้งานบัตรทุกครั้งหากไม่ได้ทำรายการด้วยตัวเอง ควรรีบติดต่อธนาคารเพื่อตรวจสอบ และอายัดบัตรทันที

ที่มา :   bot.

Ransomware ตัวใหม่ และยังอยู่ในระหว่างการพัฒนากำลังถูกใช้ในการโจมตีแบบกำหนดเป้าหมายอย่างตั้งใจต่อองค์กร เหตุการณ์นี้ถูกพบโดยทีม Symantec Threat Hunter ของ Broadcom

โดยมัลแวร์มีชื่อว่า Yanluowang Ransomware (เป็นชื่อเทพของจีน Yanluo Wang หนึ่งในสิบราชาแห่งนรก) โดยข้อมูลนี้ถูกเพิ่มเข้าไปในส่วนขยายในไฟล์ที่ถูกเข้ารหัสบนระบบที่ถูกโจมตี

Yanluowang Ransomware ถูกพบเมื่อเร็ว ๆ นี้ ขณะที่มีการตรวจสอบเหตุการณ์ที่เกี่ยวข้องกับองค์กรที่มีชื่อเสียง หลังพบพฤติกรรมที่น่าสงสัยที่เกี่ยวข้องกับ Active Directory query tool ชื่อว่า AdFind

AdFind มักถูกใช้โดยผู้ใช้งานแรนซัมแวร์สำหรับการสอดแนม ซึ่งรวมถึงการเข้าถึงข้อมูลที่จำเป็นสำหรับการทำ Lateral movement บนเครือข่ายของเหยื่อ

เหยื่อถูกเตือนอย่าพยายามขอความช่วยเหลือ

ภายในไม่กี่วันที่นักวิจัยตรวจพบการใช้ AdFind ที่น่าสงสัย ผู้โจมตีก็พยายามที่จะปรับใช้ Yanluowang ransomware payloads ทั่วทั้งระบบขององค์กรที่ถูกโจมตี

ก่อนที่จะนำไปปรับใช้ในอุปกรณ์ที่ถูกโจมตี Ransomware จะมีการเปิดตัวเครื่องมือที่เป็นอันตรายซึ่งออกแบบมาเพื่อดำเนินการดังต่อไปนี้

สร้างไฟล์ .txt พร้อมจำนวนเครื่องที่มีการเข้าถึงได้เพื่อตรวจสอบใน Command line
ใช้ Windows Management Instrumentation (WMI) เพื่อเก็บข้อมูล Process ที่ทำงานอยู่บนเครื่องที่มีการเข้าถึงได้ที่อยู่ในไฟล์ .txt
บันทึก Process และชื่อเครื่องที่มีการเข้าถึงได้ทั้งหมดไปที่ process.