พบช่องโหว่ Zero day ของ WordPress Plugin

ผู้ไม่ประสงค์ดีได้ทำการแสกนหาเว็บไซต์ที่มีการใช้งาน Plugin Fancy Product Designer ซึ่งเป็น Plugin ที่ใช้ในการปรับแต่งผลิตภัณฑ์สินค้าบน WordPress, Woo Commerce และ Shopify จากข้อมูลสถิติการขายปลั๊กอิน Fancy Product Designer พบว่ามีการจำหน่ายและติดตั้งใช้งาน Plugin นี้บนเว็บไซต์แล้วมากกว่า 17,000 แห่ง (more…)

กระทรวงยุติธรรมสหรัฐอเมริกา (DoJ) กล่าวเมื่อวันพฤหัสบดีว่า ได้ปิดการให้บริการตลาดใต้ดินที่มีชื่อเรียกว่า Slilpp ซึ่ง Slilpp เป็นตลาดแลกเปลี่ยนข้อมูลผู้ใช้งาน
ที่ถูกขโมยมา โดยเป็นส่วนหนึ่งของการดำเนินการบังคับใช้กฎหมายระหว่างประเทศ

มีบุคคลมากกว่าสิบรายถูกตั้งข้อหา หรือถูกจับกุมในข้อหามีความเกี่ยวข้องกับการกระทำที่ผิดกฏหมายในตลาดใต้ดินดังกล่าว โดยการปราบปรามทางไซเบอร์ในครั้งนี้เป็นความพยายามร่วมมือกันของประเทศสหรัฐอเมริกา เยอรมนี เนเธอร์แลนด์ และโรมาเนีย กระทรวงยุติธรรมสหรัฐอเมริกายังสามารถควบคุมเซิร์ฟเวอร์ที่ให้บริการโครงสร้างระบบที่สำคัญ รวมไปถึงโดเมนต่างๆของกลุ่มไว้ด้วย

Slilpp เปิดดำเนินการมาตั้งแต่ปี 2012 โดยเป็นตลาดซื้อขายข้อมูลบัญชีผู้ใช้ที่เกี่ยวข้องกับบริษัทต่างๆมากกว่า 1,400 แห่งทั่วโลก และมีการเสนอขายชื่อผู้ใช้และรหัสผ่านที่ถูกขโมยมามากกว่า 80 ล้านรายการ โดยเป็นข้อมูลบัญชีธนาคาร บัญชีชำระเงินออนไลน์ บัญชีโทรศัพท์มือถือ บัญชีผู้ค้าปลีก และบัญชีออนไลน์อื่นๆ

จากรายงานของเหยื่อล่าสุด กระทรวงยุติธรรมสหรัฐกล่าวว่าข้อมูลการเข้าสู่ระบบที่ถูกขายผ่าน Slilpp นั้นถูกใช้ในการหาประโยชน์ไม่น้อยกว่า $200 ล้านในสหรัฐอเมริกา

การจับกุมในครั้งนี้เกิดขึ้นโดยการบังคับใช้กฎหมายกับกลุ่มอาชญากรไซเบอร์ในช่วงไม่กี่เดือนที่ผ่านมาของประเทสสหรัฐอเมริกา
ซึ่งรวมถึง TrickBot, Emotet และ ANoM โดย Slilpp เป็นตลาดแห่งที่สามที่ถูกปิดให้บริการโดยกระทรวงยุติธรรมสหรัฐ ต่อจากการปิดให้บริการของ xDedic (มกราคม 2019) และ DEER.IO (มกราคม 2021) ซึ่งทั้งสองบริการนี้เกี่ยวข้องกับการขายข้อมูลการเข้าสู่ระบบด้วยเช่นกัน

ที่มา : thehackernews

พบมัลแวร์ใช้ Trick ในการหลบการป้องกันและตรวจจับ Ransomware ของ Antivirus หลาย Product

นักวิจัยได้เปิดเผยจุดอ่อนด้านความปลอดภัยที่สำคัญในแอปพลิเคชั่นซอฟต์แวร์ Antivirus
ที่ถูกนำไปใช้ในเพื่อหลีกเลี่ยงการป้องกันของระบบ Anti-ransomware

นักวิชาการจาก University of Luxembourg และ University of London พบว่ามีการโจมตีที่มีวัตถุประสงค์เพื่อหลีกเลี่ยงโฟลเดอร์ที่ได้รับการป้องกันจาก Anti-ransomware เพื่อเข้ารหัสไฟล์ หรือที่เรียกกันว่า “Cut and mouse” และทำการปิดการป้องกันแบบ real-time โดยจำลองการคลิกของเมาส์ หรือที่เรียกกันว่า “Ghost Control” โดยจะมีชุดแอปพลิเคชั่นที่ได้รับสิทธิ์ในการเข้าถึงและเขียนไฟล์ไปยังโฟลเดอร์ที่ได้รับการป้องกันจาก Anti-ransomware โดยที่แอปพลิเคชั่นนั้นจะไม่โดนตรวจสอบจาก Antivirus เนื่องจากเป็นโปรแกรมที่ได้รับอนุญาตอยู่แล้ว (more…)

กลุ่ม Avaddon Ransomware (ที่เคยเป็นข่าวเมื่อช่วงเดือนพฤษภาคมว่าสามารถแฮ็กข้อมูลของ AXA Group ได้) ประกาศปิดตัวลงและปล่อยคีย์ถอดรหัสให้กับ BleepingComputer.

VMware ได้เน้นย้ำเกี่ยวกับแพตช์สำหรับแก้ไขช่องโหว่ระดับ Critical บน vCenter Server ที่อาจใช้โดยกลุ่มผู้ไม่หวังดีในการยกระดับสิทธิ์เพื่อสั่งรันโค้ดระยะไกลบน Server ได้

CVE-2021-21985 (RCE vulnerability in the vSphere Client) เป็นช่องโหว่ที่เกิดจากการไม่ได้ตรวจสอบความถูกต้องของ Input ใน plug-in สำหรับตรวจสอบประสิทธิภาพการทำงานของ Virtual SAN (vSAN) ซึ่งจะถูกเปิดใช้งานโดยค่า default ใน vCenterServer และทาง VMware ได้กล่าวเกี่ยวกับช่องโหว่นี้ว่า “ผู้โจมตีที่สามารถเข้าถึงเครือข่ายจะไปที่พอร์ต 443 และใช้ประโยชน์จากช่องโหว่เพื่อรันคำสั่งด้วยสิทธ์ Privilege บนระบบปฏิบติการใน host ของ vCenter Server ” โดยช่องโหว่นี้มีระดับความรุนแรง CVSS อยู่ที่ 9.8/10

CVE-2021-21986 (Authentication mechanism issue in vCenter Server Plug-ins) เป็นช่องโหว่ที่อยู่ในขั้นตอนการพิสูจน์ตัวตนของ vSphere สำหรับ Virtual SAN Health Check, Site Recovery, vSphere Lifecycle Manager, and VMware Cloud Director Availability plug-ins ที่อนุญาตให้ผู้โจมตีใช้งานฟังก์ชัน plug-in ได้โดยไม่ต้องมีการตรวจสอบความถูกต้อง โดยช่องโหว่นี้มีระดับความรุนแรง CVSS อยู่ที่ 6.5/10 (more…)

FujiFilm หรือที่รู้จักในชื่อ Fuji เป็นกลุ่มบริษัทข้ามชาติของญี่ปุ่นที่มีสำนักงานใหญ่อยู่ในกรุงโตเกียว ประเทศญี่ปุ่น เมื่อเริ่มต้นบริษัท Fuji เป็นผู้จัดจำหน่ายฟิล์ม และกล้อง ภายหลังจากที่บริษัทเติบโตขึ้นก็มีการทำธุรกิจทางด้านยา อุปกรณ์จัดเก็บข้อมูล เครื่องถ่ายเอกสาร และเครื่องพิมพ์ รวมไปถึงกล้องดิจิตอลในปัจจุบันด้วย โดย Fuji เป็นบริษัทที่ทำรายได้ถึง 20.1 พันล้านดอลลาร์ในปี 2020 และมีพนักงานมากถึง 37,151 คนทั่วโลก

วันที่ 2/6/21 FUJIFILM ประกาศว่าสำนักงานใหญ่ในโตเกียวถูกโจมตีด้วยแรนซัมแวร์ ในวันอังคารที่ 1/6/21 และกำลังดำเนินการตรวจสอบการเข้าถึงเซิร์ฟเวอร์โดยไม่ได้รับอนุญาตจากภายนอกบริษัท มีการปิดเครือข่ายบางส่วน และตัดการเชื่อมต่อจากภายนอก โดยมีการประสานงานไปยังสาขาต่าง ๆ ทั่วโลก

นอกจากนี้ทาง FUJIFILM USA ได้ประกาศบนเว็บไซต์ โดยระบุว่าเนื่องจากระบบเครือข่ายบางส่วนกำลังประสบปัญหา ทำให้ส่งผลกระทบต่อระบบอีเมลและโทรศัพท์

FUJIFILM ยังไม่ได้มีการระบุถึงกลุ่มแรนซัมแวร์ที่ทำการโจมตี แต่ทาง Vitali Kremez ซีอีโอของ Advanced Intel ได้บอกกับแหล่งข่าว BleepingComputer ว่า FUJIFILM พบการติดโทรจัน Qbot เมื่อเดือนพฤษภาคมที่ผ่านมา ซึ่งอาจส่งผลกระทบถึงการโจมตีในครั้งนี้และปัจจุบันกลุ่มมัลแวร์ Qbot มีการทำงานร่วมกับกลุ่มแรนซัมแวร์ REvil และในอดีตเคยร่วมมือกับกลุ่มแรนซัมแวร์ ProLock และ Egregor อีกด้วย

แม้ว่าแรนซัมแวร์จะถูกใช้งานมาตั้งแต่ปี 2555 แล้ว แต่เมื่อเร็วๆ นี้ การโจมตีบริษัท Colonial Pipeline ท่อส่งเชื้อเพลิงที่ใหญ่ที่สุดของสหรัฐ และบริษัท JBS ผู้ผลิตเนื้อวัวรายใหญ่ที่สุดของโลก ทำให้การโจมตีนี้กลับได้รับความสนใจจากทั่วโลก โดยรัฐบาลสหรัฐฯ ได้มีการจัดตั้งคณะทำงานขึ้นเพื่อแนะนำนโยบายและแนวทางในการต่อสู้กับภัยคุกคามที่เพิ่มมากขึ้น

ที่มา : bleepingcomputer

พบกลุ่มภัยคุกคามใหม่ จากประเทศอิหร่าน หลอกว่าโจมตีเพื่อเรียกค่าไถ่ แต่ทำลายข้อมูลทิ้งทั้งหมด โดยมีเป้าหมายเป็นประเทศอิสราเอล
นักวิจัยจาก SentinelOne พบว่า วันที่ 25 May 2021 ที่ผ่านมาว่า กลุ่ม Agrius ถูกพบครั้งแรกในการโจมตีโดยมีเป้าหมายเป็นประเทศอิสราเอล ในปี 2020 โดยเครื่องมือที่ใช้พบว่ามีการใช้ Wiper malware ซึ่งเป็น มัลแวร์ที่มีเป้าหมายในการทำลายข้อมูล และ Ransomware ที่เป็นมัลแวร์ในการเรียกค่าไถ่ โดยแฮกเกอร์กลุ่มดังกล่าวจะไม่ได้มีแรงจูงใจในการโจมตีจากการเรียกค่าไถ่ แต่จะมุ่งไปที่การทำลายข้อมูลเป็นหลัก ในการติดตามการโจมตีที่ทาง SentinelOne ติดตามอยู่ พบว่า เมื่อกลุ่ม Agrius ทำการโจมตี ทางแฮกเกอร์จะแสร้งทำเป็นว่าขโมยและเข้ารหัสข้อมูลเพื่อเรียกค่าไถ่ แต่ว่าข้อมูลนั้นถูกทำลายไปแล้ว และนักวิจัยยังสงสัยอีกว่าแฮกเกอร์กลุ่มนี้อาจได้รับการสนับสนุนจากรัฐ

(more…)

Mercari แพลตฟอร์ม E-Commerce ยอดนิยมของญี่ปุ่น ซึ่งมีผู้ใช้งานมากกว่า 100 ล้านคนทั่วโลกและเพิ่งขยายการดำเนินงานไปยังสหรัฐอเมริกา และสหราชอาณาจักร ได้ออกมาเปิดเผยปัญหาข้อมูลที่สำคัญรั่วไหลซึ่งเกิดขึ้นจาก Codecov supply-chain attack

Codecov เป็นบริษัทที่ให้บริการตรวจสอบ Sorce code ตกเป็นเหยื่อของการโจมตีในลักษณะของ Supply chain attack เป็นระยะเวลามากว่า 2 เดือน ซึ่งในช่วง 2 เดือนนี้แฮกเกอร์ได้ทำการแก้ไข Bash Uploader tool ของ Codecov เพื่อขโมยข้อมูลออกจากระบบ CI/CD (Continuous Integration, Continuous Delivery) ของลูกค้าของ Codecov ซึ่งข้อมูลส่วนใหญ่ประกอบไปด้วย keys, tokens, และ credentials ของลูกค้าของ Codecov

Mercari ได้ออกมาเปิดเผยถึงผลกระทบที่ได้รับจากการโจมตีในลักษณะ Supply chain attack ข้างต้นว่ามีข้อมูลของลูกค้ารั่วไหลอกไปนับหมื่นรายรวมถึงข้อมูลรายละเอียดทางการเงิน โดยระบุรายละเอียด ดังนี้

ข้อมูลระหว่างวันที่ 5 สิงหาคม 2557 ถึงวันที่ 20 มกราคม 2557 บันทึกที่เกี่ยวข้องกับการโอนเงินจากการขายไปยังบัญชีลูกค้า 17,085 รายการ ซึ่งข้อมูลที่รั่วไหล ได้แก่ รหัสธนาคารรหัสสาขาหมายเลขบัญชีเจ้าของบัญชี (kana) และจำนวนเงินที่โอน
ข้อมูลที่เกี่ยวกับผู้ร่วมธุรกิจของ "Mercari" และ "Merpay" ได้รับการเปิดเผยซึ่งรวมถึง ชื่อ วันเดือนปีเกิด ความสัมพันธ์ ที่อยู่อีเมลและอื่น ๆ จำนวน 7,966 รายการ
เอกสารที่เกี่ยวกับพนักงาน รวมถึงคนที่ทำงานให้กับ Mercari ชื่อพนักงาน,ที่อยู่อีเมลบริษัท,รหัสพนักงาน,หมายเลขโทรศัพท์,วันเกิดและข้อมูลอื่น ๆ ณ เดือนเมษายน 2564 จำวน 2,615 รายการ
รายละเอียดของพนักงานเก่า,ผู้ขายและพนักงานภายนอกของบริษัท ที่เกี่ยวข้องกับกรณีการสนับสนุนการบริการลูกค้า Mercari 217 ระหว่างเดือนพฤศจิกายน 2015 ถึงมกราคม 2018
ข้อมูลของลูกค้า ได้แก่ ชื่อ,ที่อยู่,อีเมล,หมายเลขโทรศัพท์ และเอกสารแบบสอบถาม
บันทึก 6 รายการที่เกี่ยวข้องกับเหตุการณ์ในเดือนพฤษภาคม 2013

Mercari ได้รับแจ้งจาก GitHub เมื่อวันที่ 23 เมษายน เกี่ยวกับพฤติกรรมที่น่าสงสัยซึ่งเชื่อมโยงกับ incident ที่พบใน Mercari’s repositories เนื่องจาก Mercari พบผู้ไม่หวังดีได้รับสิทธิ์และสามารถจัดการข้อมูลการตรวจสอบสิทธิ์ของ Mercari ได้ ทางบริษัทจึงปิดการเข้าถึงข้อมูล credentials ที่ถูกบุกรุกทันที ในขณะที่ดำเนินการตรวจสอบขอบเขตของการบุกรุกทั้งหมด

Mercari จะดำเนินการติดต่อแจ้งบุคคลที่มีข้อมูลรั่วไหลทันที และจัดตั้งช่องทางติดต่อสอบถามเกี่ยวกับเหตุการณ์นี้ให้กับผู้เสียหายโดยเฉพาะ

ที่มา: ehackingnews

นักวิจัยจาก Wordfence Threat Intelligence ระบุว่า WP Statistics ซึ่งเป็น plugin ซึ่งถูกพัฒนาโดย VeronaLabs มีช่องโหว่ Time-Based Blind SQL injection ซึ่งทำให้ผู้โจมตีสามารถโจมตีผ่านช่องโหว่โดยไม่ต้องมีการยืนยันตัวตนได้ ช่องโหว่ที่ถูกโจมตีสามารถใช้เพื่อดึงข้อมูล Sensitive information จากเว็ปไซต์ที่ถูกพัฒนาด้วย WordPress และมีช่องโหว่จาก plugin ดังกล่าว โดยช่องโหว่ที่พบได้ระดับความรุนแรงจาก CVSS ถึง 7.5 (ความรุนแรงสูง) และมีผลกับปลั๊กอินเวอร์ชันก่อนหน้า 13.0.8 ซึ่งปัจจุบันมีการถูก Download ไปใช้งานแล้วมากกว่า 600,000 ครั้ง

การเข้าถึง เมนู “Page” บน WP Statistics ข้อมูล Statistics ซึ่งโดยปกติแล้วควรจะเข้าถึงได้เฉพาะผู้ดูแลระบบ ที่ใช้ในการเข้าชมสถิติของเว็บไซต์ของตนเอง แต่นักวิจัยค้นพบว่าหากมีการใข้คำสั่ง SQL ที่ถูกสร้างขึ้น ก็ทำให้ไม่จำเป็นต้องมีสิทธิ์แอดมินก็สามารถเข้าถึงเมนูดังกล่าวได้

นักวิเคราะห์จาก Wordfence ระบุว่าแม้เมนู Page จะไม่แสดงข้อมูลแก่ผู้ใช้ที่ไม่ใช่ผู้ดูแลระบบ แต่สามารถเรียกใช้งานหน้านี้ได้โดยส่งคำขอไปยัง wp-admin/admin.

นักต้มตุ๋น หรือสแกมเมอร์ ใช้วิธีการที่เรียกว่า "Vishing" (เป็นคำที่ถูกสร้างขึ้นจากรูปแบบหนึ่งของ Technique Phishing ผ่านทางการใช้ Voice) เพื่อหลอกลวงนักช้อปออนไลน์ โดยกลุ่มสแกมเมอร์จะแอบอ้างเป็นบุคคลจาก Amazon ด้วยวิธีการโทร หรือการส่งอีเมลพร้อมข้อมูลเบอร์โทรศัพท์และขอให้ผู้รับติดต่อกลับมา

เมื่อเร็ว ๆ นี้ Armorblox บริษัทรักษาความปลอดภัยทางไซเบอร์ ได้พบแคมเปญอีเมลสองแคมเปญ ซึ่งอีเมลทั้งสองฉบับแอบอ้างเป็น Amazon โดยมีตราสินค้าและรูปแบบอีเมลคล้ายกับอีเมลยืนยันคำสั่งซื้อจริงจาก Amazon

แต่พบข้อสังเกตหลายอย่างที่ทำให้เรารู้ได้ว่าเป็นอีเมลหลอกลวง ได้แก่ อีเมลถูกส่งจากอีเมลของ Gmail หรืออีเมลที่ดูเหมือนว่าจะเป็นของ Amazon (no-reply @ amzeinfo [.] com) และไม่ได้มีการระบุชื่อของผู้รับลงไปในอีเมล

นักวิจัยของ Armorblox ตั้งข้อสังเกตว่าสแกมเมอร์ไม่ได้ใช้การโจมตีรูปแบบเก่า เช่น การส่งไฟล์แนบหรือลิงก์ที่เป็นอันตรายซึ่งทำให้ผู้โจมตีสามารถหลีกเลี่ยงการตรวจจับของระบบได้ แต่เลือกใช้วิธีการอื่น เช่น ใช้ชื่อแบรนด์ปลอม (AMAZ0N - ใส่ศูนย์แทน “O”)

ป้องกันอย่างไร?

ไม่ควรเปิดไฟล์แนบและลิงก์จากอีเมลที่ไม่รู้จัก และไม่ควรโทรหาหมายเลขโทรศัพท์ที่ให้มาซึ่งอาจทำให้ถูกหลอกได้
หากมีความกังวล ว่าอาจถูกเรียกเก็บเงินสำหรับคำสั่งซื้อที่คุณไม่ได้ดำเนินการ ให้เข้าไปที่เว็บไซต์ของร้านค้าและค้นหาหมายเลขโทรศัพท์ที่ถูกต้อง
ไม่ควรเปิดเผยรายละเอียดส่วนบุคคลทางโทรศัพท์
เปิดการใช้งาน Multi-Factor Authentication (MFA) ในทุกบัญชีและทุกเว็บไซต์ ไม่ควรใช้รหัสผ่านเดียวกันในหลายบัญชี และใช้โปรแกรมจัดการรหัสผ่านเพื่อจัดเก็บรหัสผ่าน

ที่มา : ehackingnews