ผู้เชี่ยวชาญด้านความปลอดภัยทางไซเบอร์จากบริษัท NCC Group และนักวิจัยด้านรักษาความปลอดภัยจาก Bad Packets ได้ตรวจพบการพยายามใช้ช่องโหว่ CVE-2021-22986 ในอุปกรณ์ F5 BIG-IP และ BIG-IQ อย่างมากในสัปดาห์ที่ผ่านมา

สืบเนื่องมาจากเมื่อช่วงต้นเดือนมีนาคม F5 Networks ได้เปิดตัว การอัปเดตด้านความปลอดภัยสำหรับช่องโหว่ร้ายเเรงจำนวน 7 รายการในผลิตภัณฑ์ BIG-IP ซึ่งสามารถอ่านรายละเอียดได้ที่: i-secure

โดยหลังจากที่นักวิจัยด้านความปลอดภัยได้ทำการเผยแพร่โค้ด Proof-of-Concept สำหรับช่องโหว่ทางสาธารณะหลังจากที่ทาง F5 Networks ได้ทำการการแก้ไขช่องโหว่แล้ว ผู้เชี่ยวชาญด้านความปลอดภัยทางไซเบอร์จาก NCC Group และ Bad Packets ได้สังเกตเห็นกลุ่มแฮกเกอร์หลายกลุ่มเริ่มทำการโจมตีอุปกรณ์ F5 BIG-IP และ BIG-IQ ที่ไม่ได้รับการอัปเดตเเพตช์จำนวนมาก นอกจากนี้ทีม Unit 42 จาก Palo Alto Networks ยังได้พบการพยายามที่จะใช้ประโยชน์จากช่องโหว่ CVE-2021-22986 เพื่อทำการติดตั้ง Mirai botnet ในรุ่นต่างๆ แต่ในขณะนี้ยังมีไม่ความชัดเจนการโจมตีเหล่านั้นประสบความสำเร็จหรือไม่

สำหรับช่องโหว่ CVE-2021-22986 เป็นช่องโหว่การเรียกใช้โค้ดจากระยะไกลที่ช่วยให้ผู้โจมตีที่ไม่ได้รับการพิสูจน์ตัวตนสามารถรันคำสั่งได้ในส่วน iControl REST interface ซึ่งมีคะแนน CVSS อยู่ที่ 9.8 /10 และมีผลต่ออุปกรณ์ BIG-IP และ BIG-IQ

ทั้งนี้ผู้เชี่ยวชาญด้านความปลอดภัยทางไซเบอร์ได้ออกมาแนะนำให้ผู้ดูแลระบบควรรีบทำการอัปเดตเเพตช์โดยด่วนเพื่อป้องกันการตกเป็นเป้าหมายของการโจมตีจากผู้ประสงค์ร้าย

ที่มา: securityaffairs, bleepingcomputer, thehackernews

ทีม Project Zero จาก Google ได้เปิดเผยถึงการค้นพบกลุ่มเเฮกเกอร์พยายามใช้ช่องโหว่ Zero-day จำนวน 11 รายการ ในการโจมตีที่กำหนดเป้าหมายไปที่ผู้ใช้ Windows, iOS และ Android

ตามรายงานการโจมตีพบแคมเปญการโจมตีจากกลุ่มแฮกเกอร์เกิดขึ้นในสองช่วงเวลาคือในเดือนกุมภาพันธ์และตุลาคม 2020 ที่ผ่านมา โดยช่องโหว่ Zero-day จำนวน 11 รายการ ที่ถูกใช้ในการโจมตีมีรายละเอียดดังนี้

ช่องโหว่ CVE-2020-6418 - เป็นช่องโหว่ในโมดูล TurboFan ของ Chrome (ถูกแก้ไขช่องโหว่แล้วในกุมภาพันธ์ 2020)
ช่องโหว่ CVE-2020-0938 - เป็นช่องโหว่ใน Font บน Windows (ถูกแก้ไขช่องโหว่แล้วในกุมภาพันธ์ 2020)
ช่องโหว่ CVE-2020-1020 - เป็นช่องโหว่ใน Font บน Windows (ถูกแก้ไขช่องโหว่แล้วในกุมภาพันธ์ 2020)
ช่องโหว่ CVE-2020-1027 - เป็นช่องโหว่ Client Server Run-Time Subsystem (CSRSS) บน Windows (ถูกแก้ไขช่องโหว่แล้วในกุมภาพันธ์ 2020)
ช่องโหว่ CVE-2020-15999 - เป็นช่องโหว่ Freetype Heap buffer overflow บน Chrome (ถูกแก้ไขช่องโหว่แล้วในตุลาคม 2020)
ช่องโหว่ CVE-2020-17087 - เป็นช่องโหว่ Heap buffer overflow ใน cng.

ช่องโหว่ดังกล่าวคือ CVE-2021-28133 โดยปกติผู้ใช้งานสามารถเลือกที่จะแชร์หน้าจอเฉพาะส่วนที่ต้องการ, แอพพลิเคชั่นที่ต้องการ หรือเลือกที่จะแชร์หน้าจอทั้งหมด แต่ช่องโหว่ดังกล่าวนี้จะแสดงข้อมูลของแอพพลิเคชั่นอื่นๆ ให้ผู้เข้าร่วมคนอื่นเห็นเป็นช่วงเวลาสั้นๆ หากแอพพลิเคชั่นดังกล่าวถูกเปิดซ้อนบนแอพพลิเคชั่นที่ถูกแชร์อยู่

ปัญหาดังกล่าวถูกทดสอบบนเวอร์ชั่น 5.4.3 และ 5.5.4 ทั้งบน Windows และ Linux มีการเปิดเผยว่าช่องโหว่ดังกล่าวได้รับการแจ้งไปตั้งแต่เมื่อวันที่ 2 ธันวาคม ปีที่แล้ว และปัจจุบันช่องโหว่ดังกล่าวก็ยังไม่มีการปล่อยแพทช์ออกมา โดย zoom แจ้งว่ารับทราบถึงปัญหาดังกล่าวแล้ว และกำลังอยู่ในขั้นตอนดำเนินการแก้ไข แม้ว่าข้อมูลดังกล่าวจะถูกแสดงเพียงแค่ระยะเวลาสั้นๆ แต่หากมีการอัดวิดีโอไว้ ก็จะสามารถเปิดย้อนกลับมาเพื่อดูได้

ที่มา: thehackernews

Acer บริษัทยักษ์ใหญ่ทางด้านคอมพิวเตอร์ถูกโจมตีด้วย REvil Ransomware ซึ่งกลุ่มผู้ประสงค์ร้ายได้เรียกร้องค่าไถ่ที่เป็นจำนวนเงิน 50 ล้านดอลลาร์

BleepingComputer และ Valery Marchive จาก LegMagIT ได้พบตัวอย่างไฟล์จากกลุ่ม REvil ransomware และทำให้สามารถยืนยันการโจมตีได้จากบันทึกค่าไถ่และการสนทนาของตัวเเทน Acer กับผู้โจมตี โดยการโจมตีถูกเริ่มตั้งแต่วันที่ 14 มีนาคมที่ผ่านมา ตัวแทน Acer ได้รับการติดต่อจากตัวเเทนของกลุ่ม REvil Ransomware ที่ได้แชร์ลิงก์ไปยังหน้าข้อมูลที่เผยแพร่ตัวอย่างไฟล์และภาพที่ถูกละเมิดจากเครือข่ายของ Acer ซึ่งถูกปิดเป็นความลับในช่วงเวลาดังกล่าว โดยกลุ่ม REvil ได้แสดงความต้องการค่าไถ่เป็นจำนวนมากถึง 50 ล้านดอลลาร์และยังได้ทำการเสนอส่วนลด 20 % ถ้าหากทาง Acer ชำระเงินภายในวันพุธที่ผ่านมา และจะส่งตัวถอดรหัสกับรายงานช่องโหว่และการลบไฟล์ที่ถูกขโมยออกไปด้วย

Vitali Kremez ผู้เชี่ยวชาญด้านความปลอดภัยได้ออกมาแสดงข้อสันนิษฐานกับเหตุการณ์ที่เกิดขึ้นหลังจากแพลตฟอร์ม Andariel cyberintelligence ของ Intel ตรวจพบกลุ่ม Revil ที่ได้กำหนดเป้าหมายไปยังเซิร์ฟเวอร์ Microsoft Exchange บนโดเมนของ Acer การโจมตีดังกล่าวได้ใช้ประโยชน์จากช่องโหว่ ProxyLogon เพื่อปรับใช้ ransomware โดยเหตุการณ์การตรวจจับนี้ยังไม่ได้รับการยืนยันจาก Acer ซึ่งหาก REvil ใช้ประโยชน์จากช่องโหว่ล่าสุดของ Microsoft Exchange เพื่อขโมยข้อมูลหรือเข้ารหัสอุปกรณ์ก็จะเป็นครั้งแรกที่การดำเนินการเรียกค่าไถ่จากการใช้เวกเตอร์นี้ในการโจมตี

ทั้งนี้ผู้ดูแลระบบควรทำการตรวจสอบระบบของท่านอยู่เสมอและควรทำการอัปเดตเเพตช์ความปลอดภัยอยู่เป็นประจำและควรพิจาณาการใช้ไฟล์วอลในระบบของท่าน เพื่อป้องกันการตกเป็นเป้าหมายของผู้ประสงค์ร้าย

ที่มา: bleepingcomputer

ช่องโหว่ Microsoft Exchange ที่รู้จักในชื่อ ProxyLogon (https://proxylogon.com/) เป็นช่องโหว่ที่ถูกค้นพบโดยบริษัท DEVCORE ที่แจ้งไปยัง Microsoft และ Microsoft แก้ไขในแพตช์ด่วนไปเมื่อ 3 มีนาคม 2021 ที่ผ่านมา แต่จากการตรวจสอบของบริษัทด้านความปลอดภัยต่างๆ เช่น Volexity, Unit 42, Rapid 7 และ CrowdStrike พบว่ามีการโจมตีก่อนที่จะมีการออกแพตช์ในช่วงปลายเดือนกุมภาพันธ์ 2021 ซึ่งเมื่อวิเคราะห์ข้อมูลการโจมตีโดยละเอียดพบว่าการโจมตีมีความผิดปกติ คือใช้ POC ของบริษัท DEVCORE ที่ส่งให้ Microsoft เพื่อทำการออกแพตช์ จึงเป็นไปได้ที่จะมีการรั่วไหลของ POC ของช่องโหว่ Exchange เกิดขึ้นก่อนการแพตช์

ทางบริษัท DEVCORE ออกแถลงการณ์ระบุว่าทางบริษัทได้ทำการตรวจสอบแล้วและไม่พบว่ามีการรั่วไหลของ POC จากฝั่ง DEVCORE ในขณะที่ทาง Microsoft อยู่ระหว่างการทำการสืบสวน ซึ่งจะมุ่งไปที่โปรแกรม Microsoft Active Protections Program (Mapp) ที่ทาง Microsoft จะให้ข้อมูลบริษัทด้านความปลอดภัยต่างๆ อย่างบริษัทผลิตภัณฑ์ป้องกันมัลแวร์ทราบข้อมูลเกี่ยวกับภัยคุกคามก่อนล่วงหน้า โดยในกรณีช่องโหว่ ProxyLogon นี้ ทาง Microsoft ได้ส่ง POC ให้กับบริษัทในโครงการ Mapp เมื่อวันที่ 23 กุมภาพันธ์ 2021 ที่ผ่านมา

ที่มา : wsj | zdnet

นักวิจัยพบกลุ่มแฮกเกอร์ใช้เทคนิค Exfiltration รูปแบบใหม่ โดยการซ่อนรายละเอียดของบัตรเครดิตที่ทำการขโมยลงในไฟล์ .JPG

นักวิจัยจากบริษัทรักษาความปลอดภัยเว็บไซต์ Sucuri ได้เปิดเผยถึงการพบเทคนิค Exfiltration รูปแบบใหม่หลังจากทำการตรวจสอบร้านค้าออนไลน์ที่ถูกบุกรุก โดยแฮกเกอร์ได้วิธีการซ่อนรายละเอียดของบัตรเครดิตที่ทำการขโมยลงในไฟล์ .JPG บนเว็บไซต์ที่ที่ถูกบุกรุกเพื่อทำการปกปิดการโจมตีจากเจ้าของเว็บไซต์

นักวิจัยจากบริษัท Sucuri ได้ทำการตรวจสอบเว็บไซต์ที่ถูกบุกรุกและใช้แพลตฟอร์มสำหรับอีคอมเมิร์ซอย่าง Magento e-commerce เวอร์ชัน 2 ซึ่งจากการตรวจสอบได้พบไฟล์ PHP บนเว็บไซต์ที่ถูกบุกรุกซึ่งแฮกเกอร์ได้แก้ไขโค้ดเพื่อเพิ่มโค้ดที่เป็นอันตรายลงไป โดยโค้ดจะการสร้างและเรียกใช้ฟังก์ชัน getAuthenticates ซึ่งนอกจากนี้โค้ดดังกล่าวยังทำการสร้างไฟล์ .JPG ที่ทำให้ผู้โจมตีสามารถใช้ไฟล์ดังกล่าวในการจัดเก็บข้อมูลบัตรเคดิตและข้อมูลชำระเงินจากลูกค้าในรูปแบบที่เข้ารหัส ซึ่งกระบวนการดังกล่าวจะทำให้ผู้โจมตีสามารถดาวน์โหลดข้อมูลเป็นจากเว็บไซต์ที่ถูกบุกรุกเป็นไฟล์ JPG และจะทำให้เจ้าของเว็บไซต์ไม่พบการแจ้งเตือนใดๆ ในกระบวนการเนื่องจากดูเหมือนว่าผู้เยี่ยมชมเพียงแค่ดาวน์โหลดภาพจากเว็บไซต์เท่านั้น

นักวิจัยจาก Sucuri ได้ออกคำเเนะนำในการตรวจสอบสำหรับผู้ดูแลเว็บไซต์ โดยผู้ดูแลเว็บไซต์ควรทำการติดตามข่าวสารการอัปเดตของแพลตฟอร์มและควรทำการอัปเดตเวอร์ชันของแพลตฟอร์มให้เป็นเวอร์ชันล่าสุดอยู่เสมอ อย่างไรก็ตามควรทำการตรวจจับการเปลี่ยนแปลง เช่นการแก้ไขโค้ดหรือไฟล์ใหม่ที่ถูกเพิ่มเข้ามาบนเว็บไซต์ ทั้งนี้เพื่อป้องกันการตกเป็นเหยื่อของผู้ประสงค์ร้าย

ที่มา : bleepingcomputer

นักวิจัยพบเทคนิคใหม่ของเว็บไซต์ฟิชชิงที่กำลังใช้ JavaScript เพื่อหลบเลี่ยงการตรวจจับ

นักวิจัยจากทีม MalwareHunter ตรวจพบเว็บไซต์ฟิชชิงกำลังใช้ JavaScript เพื่อหลบเลี่ยงการตรวจจับโดยใช้ JavaScript ดังกล่าวทำจะการตรวจสอบว่าผู้เยี่ยมชมกำลังเช้าชมเว็บไซต์จากเครื่อง Virtual machine (VM) หรืออุปกรณ์ headless device หรือไม่ ถ้าตรวจสอบว่าใช่จะแสดงหน้าเพจที่ว่างเปล่าให้กับผู้เยี่ยมชม

นักวิจัยกล่าวว่าเทคนิคที่ใช้ในการหลีกเลี่ยงการตรวจสอบเว็บไซต์ฟิชชิงจะใช้ JavaScript เพื่อตรวจสอบว่าเบราว์เซอร์ทำงานภายใต้เครื่อง VM หรือเข้าสู่เว็บไซต์โดย Command-line interface (CLI) หากพบสัญญาณของความพยายามในการวิเคราะห์ข้อมูลบนเว็บไซต์ฟิชชิงดังกล่าวจะแสดงหน้าเพจว่างแทนที่จะแสดงหน้าฟิชชิงปกติ

นักวิจัยกล่าวอีกว่าสคริปต์จะทำการตรวจสอบความกว้างและความสูงของหน้าจอของผู้เยี่ยมชมและใช้ WebGL API เพื่อสืบค้นเว็บเอ็นจิ้นสำหรับการแสดงผลที่เบราว์เซอร์ใช้ นอกจากนี้สคริปต์ยังตรวจสอบด้วยว่าหน้าจอของผู้เยี่ยมชมมีความลึกของสีน้อยกว่า 24 บิตหรือไม่ หรือความสูงและความกว้างของหน้าจอน้อยกว่า 100 พิกเซล ซึ่งหากตรวจพบเงื่อนไขใดๆ เหล่านี้หน้าเพจฟิชชิงจะแสดงหน้าเพจที่ว่างเปล่าให้กับผู้เยี่ยมชม อย่างไรก็ตามหากเบราว์เซอร์ใช้เครื่องมือและการแสดงผลฮาร์ดแวร์ปกติและขนาดหน้าจอมาตรฐานสคริปต์จะแสดงหน้า Landing Page ของฟิชชิ่ง

ทั้งนี้นักวิจัยคาดว่าผู้ประสงค์ร้ายได้นำโค้ดมาจากบทความปี 2019 ที่อธิบายถึงวิธีใช้ JavaScript เพื่อตรวจจับเครื่อง VM สำหรับผู้ที่สนใจบทความสามารถดูได้ที่นี่: https://bannedit.

Twitter ประการเพิ่มการรองรับ 2FA Security Key สำหรับ Mobile และ Web

Twitter ประการเพิ่มการรองรับ Security Key สำหรับการลงชื่อเข้าใช้งานบัญชี ซึ่งฟีเจอร์ดังกล่าวมาพร้อมกับการรับรองความถูกต้องด้วย Two-factor authentication (2FA) สำหรับการลงชื่อเข้าใช้ด้วยเว็บและแอปบนอุปกรณ์ Mobile

นอกจากนี้ Twitter ยังได้ประกาศตัวเลือกในอนาคตสำหรับบัญชีที่เปิดใช้งาน 2FA เพื่อทำให้สามารถใช้งานคีย์ความปลอดภัยเป็นวิธีการตรวจสอบสิทธิ์หลักในขณะที่ปิดใช้วิธีการเข้าสู่ระบบอื่นๆ ทั้งหมด

Twitter ได้เพิ่มการรองรับการใช้คีย์ความปลอดภัยเมื่อลงชื่อเข้าใช้แอพมือถือ (Android และ iOS) สำหรับบัญชีที่เปิดใช้งาน 2FA เมื่อเดือนธันวาคม 2020 ที่ผ่านมา โดยสำหรับ 2FA เป็นลำดับชั้นความปลอดภัยเพิ่มเติมสำหรับบัญชี Twitter ที่กำหนดให้ผู้ใช้ต้องใช้คีย์ความปลอดภัยหรือป้อนรหัสเพิ่มเติม นอกเหนือจากการป้อนรหัสผ่านเท่านั้นเพื่อทำให้ให้การตรวจสอบสิทธิ์ทำได้สำเร็จ ซึ่งด้วยวิธีการนี้จะทำให้ผู้ใช้มีแน่ใจว่ามีเพียงเจ้าบัญชีของเท่านั้นที่จะสามารถเข้าสู่ระบบและป้องกันความพยายามของผู้ประสงค์ร้ายในการเข้ายึดบัญชีโดยการคาดเดาหรือรีเซ็ตรหัสผ่าน

ทั้งนี้หากผู้ใช้ต้องการเปิดการรับรองความถูกต้องด้วย 2FA ในบัญชี Twitter ผู้ใช้สามารถไปไปที่เมนูโปรไฟล์ของคุณใน จากนั้นไปที่การตั้งค่าและความเป็นส่วนตัว จากนั้นไปที่ความปลอดภัยและการเข้าถึงบัญชีและทำการเปิดใช้งานการรับรองความถูกต้องด้วย 2FA

ที่มา : bleepingcomputer

นักวิจัยค้นพบช่องโหว่ที่อยู่ใน Linux kernel ช่วยให้ผู้โจมตีสามารถยกระดับสิทธิ์เป็น Root บน Linux ได้

Adam Nichols นักวิจัยด้านความปลอดภัยจาก GRIMM ได้เปิดเผยถึงช่องโหว่สามรายการที่พบใน iSCSI subsystem ของ Linux kernel ที่อาจทำให้ผู้โจมตีที่อยู่ภายในระบบและมีสิทธิ์ผู้ใช้ทั่วไปสามารถได้ยกระดับสิทธิ์เป็น Root บนระบบระบบปฏิบัติการ Linux ได้

ช่องโหว่ทั้งสามถูกค้นพบโดยนักวิจัยจาก GRIMM ซึ่งได้ค้นพบข้อบกพร่องดังกล่างที่อยู่ในโมดูล kernel scsi_transport_iscsi ในระบบ iSCSI kernel subsystem ที่ถูกพัฒนาอย่างต่อเนื่องตั้งเเต่ปี 2006 โดยช่องโหว่จะส่งผลกระทบกับระบบ Linux distribution ทั้งหมด

ช่องโหว่ถูกติดตามด้วยรหัส CVE-2021-2736, CVE-2021-27363 และ CVE-2021-27364 ซึ่งช่องโหว่จะทำให้ผู้โจมตีสามารถใช้ช่องโหว่นี้เพื่อ Bypass ฟีเจอร์การป้องกันของระบบรักษาความปลอดภัยที่จะปิดกั้นช่องโหว่เช่น Kernel Address Space Layout Randomization (KASLR), Supervisor Mode Execution Protection (SMEP), Supervisor Mode Access Prevention (SMAP) และ Kernel Page-Table Isolation (KPTI) และช่องโหว่จะสามารถทำให้ผู้โจมตีที่อยู่ภายในระบบสามารถยกระดับสิทธิ์เป็น Root บนระบบระบบปฏิบัติการได้

ทั้งนี้ช่องโหว่ทั้งสามได้รับการแก้ไขแล้วใน Linux kernel ตั้งแต่เวอร์ชัน 5.11.4, 5.10.21, 5.4.103, 4.19.179, 4.14.224, 4.9.260 และ 4.4.260 และแพตช์อัปเดตความปลอดภัยก็ถูกปล่อยออกมาแล้วใน Linux kernel เมื่อวันที่ 7 มีนาคม ทั้งนี้จะไม่มีการปล่อยแพตช์สำหรับ Linux kernel เวอร์ชันที่ไม่รองรับหรือ EOL ไปแล้วเช่นเวอร์ชัน 3.x และ 2.6.23 ผู้ดูแลระบบปฏิบัติการ Linux ควรทำการอัปเดต Linux kernel ให้เป็นเวอร์ชันที่ได้รับการเเก้ไขช่องโหว่แล้วเพื่อป้องกันการตกเป็นเป้าหมายของการโจมตี

ที่มา: bleepingcomputer

Google เผยแพร่โค้ด PoC สำหรับช่องโหว่ Spectre พุ่งเป้าโจมตีเอนจิน JavaScript

Google ได้ทำการเผยแพร่โค้ด Proof-of-Concept (PoC) เพื่อแสดงให้เห็นถึงการใช้งานจริงของการใช้ประโยชน์จากช่องโหว่ Spectre (CVE-2017-5753) เพื่อโจมตี JavaScript engine บนเว็บเบราว์เซอร์และใช้ประโยชน์จากช่องโหว่ในการเข้าถึงข้อมูลจากในหน่วยความจำของเบราว์เซอร์

ผู้ที่สนใจรายละเอียดการโจมตีสามารถอ่านรายละเอียดของช่องโหว่เพิ่มเติมได้ที่ https://www.