SonicWall ประกาศเปิดตัวการอัปเดตเฟิร์มแวร์ครั้งที่สองสำหรับช่องโหว่ Zero-day ใน SMA-100 ซึ่งเป็นช่องโหว่ที่ถูกใช้ในการโจมตีแล้วและทาง SonicWall ได้ออกแจ้งเตือนให้ผู้ดูแลระบบทำการติดตั้งอัปเดตเฟิร์มแวร์ทันที

สืบเนื่องมาจากเมื่อเดือนที่แล้วทาง SonicWall ได้เปิดเผยถึงระบบภายในถูกโจมตีโดยการใช้ช่องโหว่ Zero-day ในอุปกรณ์ SMA-100 และสัปดาห์ต่อมา NCC Group ได้ตรวจพบช่องโหว่ Zero-day ดังกล่าวในการโจมตีจริงอย่างต่อเนื่อง ซึ่งเมื่อวันที่ 3 กุมภาพันธ์ที่ผ่านมา SonicWall ได้เปิดตัวแพตช์การแก้ไขสำหรับช่องโหว่ Zero-day ดังกล่าวและขอแนะนำให้ผู้ใช้ทุกคนทำการอัปเดตแพตช์อย่างทันที

เมื่อวันที่ 19 กุมภาพันธ์ที่ผ่านมา SonicWall ได้ประกาศการอัปเดตเฟิร์มแวร์ใหม่สำหรับอุปกรณ์ SMA-100 ซีรี่ส์ ซึ่งได้ทำการแก้ไขและเพิ่มการป้องกันเพิ่มเติมสำหรับการอัปเดตครั้งล่าสุด

ทั้งนี้เฟิร์มแวร์เวอร์ชันใหม่สำหรับเฟิร์มแวร์รหัส 10.x และ 9.x ในผลิตภัณฑ์ SMA 100 ซีรี่ส์ ซึ่งประกอบด้วย SMA 200, 210, 400, 410 สำหรับ Physical appliance และอุปกรณ์ MA 500v Virtual Appliance พร้อมสำหรับการใช้งานแล้ว ผู้ใช้และผู้ดูแลระบบควรรีบทำการอัปเดตเฟิร์มแวร์โดยทันทีเพื่อป้องกันการตกเป็นเป้าหมายของผู้ประสงค์ร้าย

ที่มา: bleepingcomputer

แอปโซเชียลเน็ตเวิร์กชื่อดัง ClubHouse ตกเป็นประเด็นถกเถียงในเรื่องความปลอดภัยและความเป็นส่วนตัวหลังจากมีผู้ใช้งานสามารถลักลอบสตรีมเสียงออกจากแอปและนำไปถ่ายทอดบนเว็บไซต์ ส่งผลให้บุคคลภายนอกที่ไม่ได้มีบัญชีสามารถฟังบทสนทนาที่เกิดขึ้นได้ รวมไปถึงประเด็นของ Backend ระบบที่อยู่ในประเทศจีนด้วย

 

จากสถานการณ์ที่มีผู้ลักลอบสตรีมเสียงออกมาภายนอกแอป ทางโฆษกของ ClubHouse ได้มีการให้ข้อมูลกับ Bloomberg ว่าบัญชีผู้ใช้งานซึ่งถูกใช้ได้ในการดำเนินการดังกล่าวได้ถูกระงับการใช้งานโดยถาวรแล้ว ทาง ClubHouse ยังได้มีการเพิ่ม "มาตรการรักษาความปลอดภัย" เพื่อป้องกันเหตุเกิดซ้ำด้วย

 

อีกหนึ่งประเด็นสำคัญนั้นอยู่ที่ระบบหลังบ้านหรือ Backend ของ ClubHouse เนื่องจากทาง ClubHouse มีการใช้แพลตฟอร์ม Agora ซึ่งเป็นสตาร์ทปอัปในประเทศจีนในการถ่ายทอดเสียง ทราฟฟิกของการใช้งาน ClubHouse จึงหลีกเลี่ยงไม่ได้ที่จะถูกส่งไปยังเซิร์ฟเวอร์ที่อยู่ในประเทศจีน ซึ่งอาจมีข้อมูลส่วนบุคคลอยู่ด้วย ข้อเท็จจริงถูกตรวจพบโดยสถาบัน Stanford Internet Observatory (SIO) เมื่อวันที่ 12 กุมภาพันธ์ที่ผ่านมา

 

ข้อกังวลของการที่แพลตฟอร์ม Agora นั้นอยู่ทั้งใน Silicon Valley และในประเทศจีนนั้นอยู่ในประเด็นที่ว่า แพลตฟอร์ม Agora อยู่ในขอบเขตอำนาจของกฎหมาย Cybersecurity ของจีนที่มีข้อบังคับให้บริษัทจำเป็นต้องส่งข้อมูลให้กับรัฐบาลจีนหากถูกร้องขอด้วย ในความเห็น SIO รัฐบาลจีนก็สามารถที่จะลักลอบดักฟังการสนทนาได้ด้วยเช่นกัน

 

แม้จะมีข้อกังวลในเรื่องของความปลอดภัยและความเป็นส่วนตัวอย่างต่อเนื่อง ความนิยมของแอปพลิเคชัน ClubHouse ก็พุ่งถึงจุดขีดสุดอีกครั้งเมื่อบัญชี Tony Woodsome ซึ่งเป็นบัญชีของอดีตนายกรัฐมนตรี ทักษิณ ชินวัตร ปรากฎตัวในแพลตฟอร์มเมื่อช่วงดึกของวันที่ 22 ที่ผ่านมา

 

ที่มา: threatpost

ไมโครซอฟต์ประกาศการสิ้นสุดการตรวจสอบภายในกรณีการโจมตี SolarWinds และซอฟต์แวร์ SolarWinds Orion เพื่อแพร่กระจายมัลแวร์และบุกรุกเข้าองค์กรต่าง ๆ เมื่อกลางสัปดาห์ที่ผ่านมา พร้อมกับเผยแพร่ Final update หรือการอัปเดตฉบับสุดท้ายที่เป็นผลลัพธ์จากการตรวจสอบครั้งนี้

ทีมตอบสนองการโจมตีและภัยคุกคามจากไอ-ซีเคียว ขอสรุปสาระสำคัญในรายงานของไมโครซอฟต์ไว้ดังนี้

ไมโครซอฟต์พบพฤติกรรมผิดปกติตั้งแต่เดือนธันวาคม ช่วงเดียวกับที่ FireEye ออกมาประกาศการตรวจพบการโจมตี การตรวจสอบไม่พบหลักฐานซึ่งบ่งชี้ว่าระบบของไมโครซอฟต์ที่ได้รับผลกระทบจากการโจมตีนั้นถูกนำไปใช้ในการโจมตีระบบอื่น
ไมโครซอฟต์พบว่าผู้โจมตีมีการเข้าถึงและอ่านไฟล์ที่อยู่ในโครงการพัฒนาซอฟต์แวร์ภายใน และได้ดำเนินการกับบัญชีที่ถูกใช้เพื่อเข้าถึงซอร์สโค้ดดังกล่าวทันที
แม้จะมีการเข้าถึงโครงการพัฒนาซอฟต์แวร์ แต่โครงการพัฒนาซอฟต์แวร์ที่ได้รับผลกระทบนั้นถือเป็นแค่โครงการบางส่วนของผลิตภัณฑ์หรือบริการที่ไมโครซอฟต์ให้บริการ ไม่มีลักษณะการเข้าถึงโครงการพัฒนาซอฟต์แวร์เป็นจำนวนมาก และลักษณะการเข้าถึงโครงการซอฟต์แวร์ที่ได้รับผลกระทบนั้นก็เกิดขึ้นในลักษณะที่จำกัด เช่น เป็นผลลัพธ์จากการเสิร์ชคีย์เวิร์ดที่เกี่ยวข้อง secret ในซอร์สโค้ดแล้วเข้าดูเพียงบางไฟล์
หลังจากเข้าถึงแล้ว ผู้โจมตีมีการดาวน์โหลดซอร์สโค้ดบางส่วนออกไป ซึ่งผลิตภัณฑ์ที่ได้รับผลกระทบนั้นได้แก่โครงการบางส่วนของ Azure, Intune และ Exchange ซึ่งล้วนแล้วแต่เป็นส่วนน้อยของซอร์สโค้ดทั้งหมด
ด้วยมาตรการรักษาความปลอดภัยปัจจุบัน ผู้โจมตีไม่สามารถที่จะเข้าถึงข้อมูลสำหรับการยืนยันตัวตนของบัญชีที่มีสิทธิ์สูงในระบบ หรือมีการใช้เทคนิคที่เกี่ยวข้องกับ SAML กับโดเมนของไมโครซอฟต์ได้

ที่มา: msrc-blog

กลุ่มแฮกเกอร์พม่าซึ่งใช้ชื่อว่า Myanmar Hackers มีการเริ่มปฏิบัติการโจมตีระบบของเว็บไซต์ส่วนราชการและรัฐบาลเพื่อแสดงออกในเชิงต่อต้านการทำรัฐประหาร โดยเป้าหมายที่ถูกโจมตีไปแล้วนั้นได้แก่ Central Bank, หน้าประชาสัมพันธ์ของกองทัพพม่า, สถานีโทรทัศน์ และหน่วยงานอื่น ๆ

Matt Warren จากมหาวิทยาลัย RMIT ของออสเตรเลียให้สัมภาษณ์กับทาง AFP ว่า ลักษณะของการโจมตีที่เกิดขึ้นนั้นดูเหมือนว่าจะมีเป้าหมายในการประชาสัมพันธ์ ปลุกระดมและเผยแพร่ข่าวสารต่อต้านการทำรัฐประหารที่เกิดขึ้นเมื่อช่วงต้นเดือนที่ผ่านมาในลักษณะ Hacktivism ผ่านการโจมตีด้วยเทคนิค Denial of Service (DoS) และการแฮกเพื่อเปลี่ยนหน้าเว็บไซต์ (Defacement)

นอกเหนือจากการโจมตีโดยกลุ่ม Myanmar Hackers แบบ Hacktivism แล้ว มีการตรวจพบการเผยแพร่ข้อมูลจากกลุ่ม DDoSecrets ซึ่งเป็นกลุ่มองค์กรไม่แสวงหาผลกำไรอีกกลุ่มหนึ่ง โดยเป็นข้อมูลจำนวน 330GB ที่ประกอบไปด้วยข้อมูลการจดทะเบียนบริษัท, ข้อมูลสแกนของเอกสารสำคัญทางราชการ รวมไปถึงเอกสารทางการเงิน กลุ่ม DDoSecrets ระบุว่าข้อมูลดังกล่าวถูกดึงมาจากระบบ myco.

หน่วยงานด้านความปลอดภัยทางไซเบอร์ของฝรั่งเศส Agence Nationale de la Sécurité des Systèmes d'Information หรือ ANSSI ออกรายงานเชิงวิเคราะห์เกี่ยวกับความเคลื่อนไหวของกลุ่มแฮกเกอร์สัญชาติรัสเซีย Sandworm ซึ่งมีความเคลื่อนไหวมาตลอด 3 ปี โดยใจความสำคัญของรายการเชิงวิเคราะห์ดังกล่าวนั้นระบุถึงการโจมตีซอฟต์แวร์มอนิเตอร์ระบบ Centreon เพื่อเข้าถึงระบบภายในขององค์กรและบริษัทในฝรั่งเศสหลายองค์กร

ซอฟต์แวร์มอนิเตอร์ระบบ Centreon ถูกตรวจพบไว้ใช้เป็นช่องทางในการเข้าถึงและโจมตีระบบของ Sandworm โดย Centreon ที่ถูกตรวจพบว่าถูกโจมตีนั้นมักเป็นระบบที่สามารถเข้าถึงได้จากอินเตอร์เน็ต อย่างไรก็ตามยังไม่มีการยืนยันอย่างชัดเจนว่าการโจมตีดังกล่าวเกิดขึ้นในลักษณะของการโจมตีช่องโหว่ หรือเป็นการคาดเดารหัสผ่าน

อ้างอิงจากรายงานของ ANSSI เหยื่อรายแรกที่ตรวจพบนั้นถูกโจมตีในปี 2017 และมีการปรากฎความเคลื่อนไหวมาเรื่อยมาจนกระทั่งในปี 2020 โดยหลังจากที่ Sandworm เข้าถึงระบบ Centreon ของเป้าหมายได้สำเร็จแล้ว กลุ่มผู้โจมตีจะทำการติดตั้ง Web shell และ Backdoor เพื่อใช้ในการเข้าถึงในภายหลัง ด้วยลักษณะของมัลแวร์ที่ใช้ ANSSI จึงได้เชื่อมโยงความเกี่ยวข้องพฤติกรรมดังกล่าวไปหากลุ่ม Sandworm ซึ่งสอดคล้องกับรายงานของ Kaspersky

ในขณะที่ทาง Centreon ยังไม่ได้มีการออกมาให้ความเห็นเพิ่มเติมเกี่ยวกับกรณีที่เกิดขึ้น ขอให้ติดตามสถานการณ์ต่อไป

ที่มา : zdnet

Kia Motors America ถูกโจมตีด้วย Ransomware โดยกลุ่ม DoppelPaymer ซึ่งส่งผลกระทบให้ระบบไอทีของบริษัทหยุดการให้บริการ อีกทั้งยังถูกเรียกร้องค่าไถ่สำหรับตัวถอดรหัสและการไม่เปิดเผยข้อมูลที่ขโมยมารั่วไหลสู่สาธารณะเป็นจำนวนเงิน 20 ล้านดอลลาร์

ตามรายงานข่าวระบุว่า Kia Motors America ประสบปัญหาระบบไอทีหยุดให้บริการทั่วประเทศในสหรัฐอเมริกา ซึ่งการหยุดให้บริการดังกล่าวส่งผลกระทบต่อแอปพลิเคชัน UVO, ระบบการชำระเงินและเว็บไซต์ภายในที่ให้บริการกับตัวแทนจำหน่ายเกือบ 800 แห่งในสหรัฐอเมริกา

BleepingComputer ได้ทำการสอบถามไปยัง Kia Motors America และได้รับหลักฐานการโจมตีโดยเป็นโน้ตเรียกค่าไถ่จากกลุ่ม DoppelPaymer Ransomware โดยข้อความในบันทึกเรียกค่าไถ่ได้ระบุว่าเป้าหมายของกลุ่ม DoppelPaymer ในครั้งนี้นั้นคือ Hyundai Motor America ซึ่งเป็นบริษัทแม่ของ Kia อีกทั้งภายในบันทึกข้อความยังมีลิงก์ที่ลิงก์ไปยังหน้าเว็บไซต์การชำระเงินของกลุ่ม DoppelPaymer บนเครือข่าย Tor ซึ่งภายในเว็บไซต์การชำระเงินของกลุ่ม DoppelPaymer ได้ระบุข้อความเรียกร้องเงินจำนวน 404 bitcoins หรือมูลค่าประมาณ 20 ล้านดอลลาร์ (600 ล้านบาท) เพื่อแลกกับตัวถอดรหัสและการไม่เปิดเผยข้อมูลที่ขโมยมารั่วไหลสู่สาธารณะ นอกจากนี้หากทาง Kia Motors America ไม่มีการจ่ายค่าไถ่ภายในกรอบเวลาที่กำหนดจำนวนเงินจะเพิ่มเป็น 600 bitcoins หรือ 30 ล้านเหรียญ (900 ล้านบาท)

ในแถลงการณ์ล่าสุดของ Kia Motors America ได้ระบุว่าในขณะนี้ทางบริษัทกำลังประสบปัญหาระบบหยุดทำงานเป็นเวลานานและระบบที่ได้รับผลกระทบ ได้แก่ Kia Owners Portal, UVO Mobile Apps และเว็บพอร์ทัล Consumer Affairs กำลังอยู่ในการแก้ไขระบบโดยเร็วที่สุด

ที่มา: bleepingcomputer

ทีม McAfee Advanced Threat Research (ATR) ได้เปิดเผยรายละเอียดช่องโหว่ของชุดเครื่องมือ Software Development Kit (SDK) ที่ถูกใช้พัฒนา Video Calling ชื่อดังอย่าง Agora.

กระทรวงยุติธรรมสหรัฐ (Department of Justice - DoJ) ได้แจ้งข้อหาแฮกเกอร์ชาวเกาหลีเหนือ 3 คนที่ถูกกล่าวหาว่าสมคบคิดกัน ขโมยและรีดไถเงินสดและเงินสกุลดิจิตอลกว่า 1.3 พันล้านดอลลาร์จากสถาบันการเงินและกลุ่มธุรกิจอื่น ๆ

จำเลยเป็นแฮกเกอร์ชาวเกาหลีเหนือที่ได้รับการสนับสนุนจากรัฐและเป็นสมาชิกของหน่วยลาดตระเวน (Reconnaissance General Bureau - RGB) หรือที่รู้จักกันในโลกไซเบอร์คือกลุ่ม Lazarus group, Hidden Cobra หรือ Advanced Persistent Threat 38 (APT 38) ซึ่งเป็นหน่วยข่าวกรองทางทหารของเกาหลีเหนือที่มีส่วนร่วมในปฏิบัติการอาชญากรรมทางไซเบอร์

จำเลยทั้งสามคือ Jon Chang Hyok (31 ปี), Kim Il (27 ปี); และ Park Jin Hyok (36 ปี) ถูกกล่าวหาว่าได้ทำการเข้าร่วมในการสมคบคิดทางอาชญากรรมทางไซเบอร์ เพื่อดำเนินการโจมตีทางไซเบอร์ในวงกว้างและเพื่อขโมยและรีดไถเงินสกุลเงินดิจิทัลมากกว่า 1.3 พันล้านดอลลาร์จากสถาบันการเงินและบริษัทต่าง ๆ ซึ่งสำนวนฟ้องดังกล่าวได้ขยายไปถึงข้อหาที่ฟ้องในปี 2018 ที่มีต่อ Park Jin Hyok ซึ่งเป็นหนึ่งในแฮกเกอร์ที่ถูกตั้งข้อหาเกี่ยวข้องกับการโจมตีทางอินเทอร์เน็ตในปี 2014 ที่ได้ทำการโจมตีบริษัท Sony Pictures Entertainment

ทั้งนี้ผู้ที่สนใจรายละเอียดสำนวนการฟ้องของกระทรวงยุติธรรมสหรัฐที่มีต่อเเฮกเกอร์ทั้งสามสามารถอ่านต่อได้ที่: justice

ที่มา: zdnet, bleepingcomputer, thehackernews

Fortinet ได้ทำการแก้ไขช่องโหว่ที่รุนแรงหลายรายการ ซึ่งรวมไปถึง Remote Code Execution (RCE) ไปจนถึง SQL Injection, Denial of Service (DoS) ที่ส่งผลกระทบต่ออุปกรณ์ FortiProxy SSL VPN และ FortiWeb Web Application โดยช่องโหว่บางส่วนนั้นได้เคยถูกเปิดเผยไปแล้วแต่ยังไม่ครอบคลุมในทุกอุปกรณ์ ทำให้ต้องมีการแพตช์เพิ่มเติม ตัวอย่างดังนี้

ช่องโหว่ CVE-2018-13381 ใน FortiProxy SSL VPN เป็นช่องโหว่แบบ Remote ที่เกิดจากการที่อุปกรณ์ไม่มีการรับรองความถูกต้องผ่านการร้องขอแบบ POST ซึ่งสามารถทำให้อุปกรณ์หยุดทำงานและนำไปสู่การเกิด DoS
ช่องโหว่ CVE-2018-13383 สามารถทำให้เกิด Overflow ใน VPN ผ่าน property HREF ของ JavaScript

ลูกค้า Fortinet ควรอัปเกรดเป็นเวอร์ชันที่มีการอัปเดตเพิ่มเติม โดยสามารถตรวจสอบเวอร์ชั่นอัปเดตล่าสุดอื่นๆ ได้ที่แหล่งที่มา

ที่มา : bleepingcomputer

นักวิจัยด้านความปลอดภัยจากบริษัท Confiant บริษัทรักษาความปลอดภัยทางไซเบอร์ได้เปิดเผยถึงการค้นพบแคมเปญ Malvertising ของกลุ่ม ScamClub ที่ใช้ช่องโหว่แบบ Zero-day ในเว็บเบราว์เซอร์ที่ใช้ WebKit engine ในการส่งเพย์โหลดเพื่อรีไดเร็คผู้ใช้จากพอร์ทัลที่ถูกต้องไปยังเว็บไซต์ที่ไม่เหมาะสมและจะแสดงโฆษณาที่เป็นอันตรายต่อผู้ใช้

ตามรายงานของ Confiant ได้ระบุว่าการโจมตีแคมเปญดังกล่าวพบครั้งแรกในเดือนมิถุนายนปี 2020 และยังคงดำเนินอยู่ในปัจจุบัน กลุ่มที่อยู่เบื้องหลังการโจมตีคือกลุ่มที่รู้จักกันในชื่อ ScamClub ซึ่งเป็นกลุ่มที่ดำเนินธุรกิจโดยการซื้อช่องโฆษณาจำนวนมากบนหลายแพลตฟอร์ม โดยกลุ่ม ScamClub มักกำหนดเป้าหมายผู้ใช้ iOS ด้วยโฆษณาที่เป็นอันตรายซึ่งมักจะรีไดเร็คผู้ใช้ไปยังเว็บไซต์ที่ที่ไม่เหมาะเพื่อทำการหลอกลวงผู้ใช้ทางออนไลน์และพยายามรวบรวมข้อมูลทางการเงินของผู้ใช้

ช่องโหว่ Zero-day ในโอเพนซอร์ส WebKit ถูกติดตามด้วยรหัส CVE-2021-1801 และถูกค้นพบโดยวิศวกรรักษาความปลอดภัยจาก Confiant และนักวิจัย Eliya Stein ซึ่งพบว่าการโจมตีได้อาศัยช่องโหว่ใน WebKit เพื่อทำการส่งเพย์โหลดยังผู้ใช้และทำการรีไดเร็คผู้ใช้จากพอร์ทัลที่ถูกต้องไปยังเว็บไซต์ที่ไม่เหมาะ

เนื่องจาก WebKit ถูกใช้ใน Safari ของ Apple และ Google Chrome สำหรับ iOS ทาง Stein จึงได้ทำการรายงานช่องโหว่ที่ค้นพบไปยังทีมของ Apple Security และทีมของ Google Chrome WebKit ซึ่ง WebKit ได้รับการแก้ไขช่องโหว่และออกแพตช์ความปลอดภัยแล้วในวันที่ 2 ธันวาคม 2020 ที่ผ่านมา

ทั้งนี้ Confiant ได้ทำการรวบรวม Indicators of compromise (IoCs) ลงใน GitHub ผู้ที่สนใจ IoCs แคมเปญของกลุ่ม ScamClub สามารถติดตามได้ที่: https://github.