StormShield บริษัทด้าน Cybersecurity สัญชาติฝรั่งเศสประกาศการตรวจพบการโจมตีและการรั่วไหลข้อมูลซึ่งส่งผลให้ซอร์สโค้ดของผลิตภัณฑ์ด้านความปลอดภัยของบริษัทได้รับผลกระทบจากการโจมตี

บริษัท StormShield เป็นผู้ผลิตโซลูชันด้านความปลอดภัย Unified Threat Management (UTM), อุปกรณ์ไฟร์วอลล์, โซลูชัน Endpoint protection และระบบจัดการไฟล์ที่เน้นด้านความปลอดภัย ลูกค้าส่วนใหญ่ของ StormShield นั้นอยู่ในกลุ่มหน่วยงานราชการของฝรั่งเศส, กองทัพรวมไปถึงลูกค้าแบบ SMB

ในรายละเอียดเกี่ยวกับเหตุการณ์นั้น StormShield ตรวจพบการบุกรุกผ่านทาง Technical portal ซึ่งใช้สำหรับการซัพพอร์ตกับลูกค้า ซึ่งส่งผลให้ส่วนแรกให้ข้อมูลสำหรับยืนยันตัวตนใน Technical portal นั้นได้รับผลกระทบ ต่อมา StormShield ตรวจพบการเข้าถึงซอร์สโค้ดของ Stormshield Network Security (SNS) ซึ่งคาดว่าเป็นการเข้าถึงจากการใช้ข้อมูลยืนยันตัวตนที่ได้มา ในเบื้องต้นไม่พบว่ามีการแก้ไขซอร์สโค้ดโดยผู้โจมตี

ในเบื้องต้น ทาง StormShield ได้มีการจัดการบัญชีใน Technical portal ที่ได้รับผลกระทบแล้ว รวมไปถึงที่มีการเปลี่ยนใบรับรองที่ใช้รับรองผลิตภัณฑ์ของ StormShield ใหม่ ผลลัพธ์ของการโจมตีอาจทำให้ผู้โจมตีซึ่งเข้าถึงซอร์สโค้ดของอุปกรณ์ได้นั้นสามารถใช้ซอร์สโค้ดเพื่อศึกษาการมีอยู่ของช่องโหว่ และนำไปใช้ในการโจมตีต่อไปได้

ที่มา:

bleepingcomputer.

Google ประกาศ Chrome เวอร์ชัน 88.0.4324.150 ซึ่งมีการเปลี่ยนแปลงสำคัญคือการแพตช์ช่องโหว่ CVE-2021-21148 ซึ่งเป็นช่องโหว่ Heap overflow ในเอนจินจาวาสคริปต์ V8 ช่องโหว่ CVE-2021-21148 ถูกระบุว่าอาจมีความเกี่ยวข้องกับแคมเปญของกลุ่ม APT สัญชาติเกาหลีเหนือซึ่งใช้ช่องโหว่นี้ในการหลอกล่อผู้เชี่ยวชาญด้านความปลอดภัยในแคมเปญการโจมตีที่พึ่งถูกเปิดเผยเมื่อปลายเดือนมกราคมที่ผ่านมา

อ้างอิงจากไทม์ไลน์ของช่องโหว่ ช่องโหว่ CVE-2021-21148 ถูกแจ้งโดย Mattias Buelens ในวันที่ 24 มกราคม สองวันหลังจากนั้นทีมความปลอดภัย Google ประกาศการค้นพบแคมเปญโจมตีของเกาหลีเหนือซึ่งมีการใช้ช่องโหว่ที่คาดว่าเป็นช่องโหว่ตัวเดียวกัน

เนื่องจากช่องโหว่มีการถูกใช้เพื่อโจมตีจริงแล้ว ขอให้ผู้ใช้งานทำการตรวจสอบว่า Google Chrome ได้มีการอัปเดตโดยอัตโนมัติว่าเป็นเวอร์ชันล่าสุดแล้วหรือไม่ และให้ทำการอัปเดตโดยทันทีหากยังมีการใช้งานรุ่นเก่าอยู่

ที่มา:

zdnet.

Cisco ออกประกาศแจ้งเตือนช่องโหว่ Remote code execution (RCE) ซึ่งส่งผลกระทบต่อโซลูชันเราท์เตอร์ VPN หลายรายการ ช่องโหว่นี้อยู่ในระดับวิกฤติเนื่องจากผู้โจมตีสามารถรันคำสั่งอันตรายผ่านช่องโหว่ได้ด้วยสิทธิ์สูงสุดของระบบ

อ้างอิงจาก Security advisory ของ Cisco ช่องโหว่โดยส่วนใหญ่ซึ่งถูกแพตช์ในรอบนี้นั้นเกิดจากการตรวจสอบ HTTP request ที่ไม่เหมาะสม ส่งผลให้ผู้โจมตีสามารถส่งข้อมูลแบบพิเศษมาเพื่อโจมตีอุปกรณ์ได้ รายการอุปกรณ์ส่วนใหญ่อยู่ในกลุ่ม Small business router ที่มีรุ่นของเฟิร์มแวร์ก่อนหน้า 1.0.01.02 อาทิ

RV160 VPN Router
RV160W Wireless-AC VPN Router
RV260 VPN Router
RV260P VPN Router POE
RV260W Wireless-AC VPN Router

แพตช์ของช่องโหว่ได้ถูกกระจายแล้ว โดยผู้ใช้งานสามารถทำการอัปเดตแพตช์ได้ทันทีด้วยฟีเจอร์ของอุปกรณ์ เราขอแนะนำให้ทำการอัปเดตแพตช์โดยด่วนก่อนจะมีการใช้ช่องโหว่ในการโจมตีจริง

ที่มา:

bleepingcomputer.

นักวิจัยจากบริษัท Vdoo บริษัทด้านรักษาความปลอดภัย IoT ของประเทศอิสราเอล ได้ออกมาเปิดเผยถึงการค้นพบช่องโหว่ที่สำคัญ 6 รายการในโมดูล Wi-Fi Realtek RTL8195A ซึ่งอาจถูกนำไปใช้ประโยชน์เพื่อเข้าถึงรูทและควบคุมอุปกรณ์การสื่อสารไร้สายของได้อย่างสมบูรณ์

Realtek RTL8195A เป็นโมดูลฮาร์ดแวร์ Wi-Fi แบบสแตนด์อโลนใช้พลังงานต่ำถูกใช้ในอุปกรณ์ Embedded หลายตัวที่ใช้ในหลายอุตสาหกรรมเช่นการเกษตร, สมาร์ทโฮม, สุขภาพ, เกมและภาคยานยนต์

ช่องโหว่ที่สำคัญถูกติดตามด้วยรหัส CVE-2020-9395 ซึ่งเป็นช่องโหว่ Buffer overflow ที่จะอนุญาตให้ผู้โจมตีที่อยู่ใกล้โมดูล RTL8195 เข้ายึดโมดูลได้โดยไม่ต้องรู้รหัสผ่านเครือข่าย Wi-Fi ไม่ว่าโมดูลจะทำหน้าที่เป็นจุดเชื่อมต่อ Wi-Fi (AP) หรือไคลเอนต์ สำหรับช่องโหว่ที่สำคัญอีกช่องโหว่หนึ่งคือ CVE-2020-25854 เป็นช่องโหว่ที่ทำให้ผู้โจมตีสามารถเรียกใช้โค้ดโดยไม่ได้รับอนุญาตบนไคลเอนต์ Wi-Fi ได้

นักวิจัยจากบริษัท Vdoo ได้ทำการทดสอบช่องโหว่โดยใช้โมดูล RTL8195A แต่นักวิจัยกล่าวว่าโมดูลอื่นๆ เช่น RTL8711AM, RTL8711AF และ RTL8710AF ก็ได้รับผลกระทบอีกเช่นกัน

ทั้งนี้ Realtek ได้เปิดตัวเฟิร์มแวร์ Ameba Arduino 2.0.8 ซึ่งเป็นเฟิร์มแวร์สำหรับแพตช์ช่องโหว่ทั้ง 6 ที่พบโดยนักวิจัยจากบริษัท Vdoo ผู้ใช้งานควรทำการอัปเดตเฟิร์มแวร์ให้เป็นเวอร์ชันล่าสุดเพื่อป้องกันการตกเป็นเหยื่อของผู้ประสงค์ร้าย

ที่มา: thehackernews.

Matthew Hickey ผู้ร่วมก่อตั้ง Hacker House ได้ออกมาเปิดเผยบนทวิตเตอร์ถึงการทดสอบ PoC ของช่องโหว่ CVE-2021-3156 หรือที่เรียกว่า Baron Samedit บน MacOS ซึ่งเขาได้พบว่า MacOS ก็ได้รับผลกระทบเช่นเดียวกันกับระบบปฏิบัติการ Unix ตัวอื่นๆ

สืบเนื่องมาจากที่นักวิจัยจาก Qualys ได้เปิดเผยช่องโหว่ CVE-2021-3156 ซึ่งเป็นช่องโหว่ Heap-based buffer overflow ที่อยู่ภายในเป็นเครื่องมือ Sudo ที่ถูกใช้อย่างเเพร่หลายบนระบบปฏิบัติการ Unix ซึ่งช่องโหว่จะนำไปสู่การยกระดับสิทธิ์เป็น Root ได้ โดยที่ผู้โจมตีไม่จำเป็นต้องรู้รหัสผ่านของผู้ใช้

Hickey ได้ทดสอบช่องโหว่ CVE-2021-3156 บน MacOS และได้ทำการปรับเปลี่ยนโค้ดบน PoC ของช่องโหว่เล็กน้อย โดยการสั่งเขียนทับ argv[0] หรือสร้าง symlink ซึ่งจะทำให้ระบบปฏิบัติการ MacOS มีช่องโหว่เช่นเดียวกันกับระบบปฏิบัติการ Linux และยกระดับสิทธิ์เป็น Root ได้เช่นเดียวกัน

Hickey กล่าวอีกว่าช่องโหว่ CVE-2021-3156 นี้สามารถใช้ประโยชน์ได้ใน macOS เวอร์ชันล่าสุดได้ ถึงแม้ว่าจะใช้แพตช์ความปลอดภัยล่าสุดที่ Apple เปิดตัวเมื่อวันจันทร์ที่ผ่านมา ทั้งนี้ Hickey ได้รายงานข้อผิดพลาดเเก่ Apple แล้ว ซึ่ง Apple ปฏิเสธที่จะแสดงความคิดเห็นในขณะที่ตรวจสอบรายงาน ผู้ใช้งาน MacOS ควรทำการติดตามการอัปเดตแพตช์ความปลอดภัยจาก Apple อย่างต่อเนื่องและเมื่อทาง Apple ปล่อยแพตช์ความปลอดภัยเพื่อแก้ไขข้อบกพร่องดังกล่าวผู้ใช้ควรรีบทำการอัปเดตแพตช์อย่างเร่งด่วน

ที่มา: zdnet.

ทีม Cybersecurity จาก ESET ได้เปิดเผยถึงการค้นพบมัลแวร์ที่มีชื่อว่า “Kobalos” ซึ่งกำหนดเป้าหมายการโจมตีไปยังซูเปอร์คอมพิวเตอร์ที่ถูกใช้โดยผู้ให้บริการอินเทอร์เน็ตรายใหญ่ในเอเชีย (Internet Service Provider - ISP), ผู้จัดจำหน่าย Endpoint Security ในประเทศสหรัฐอเมริกาและเซิร์ฟเวอร์ส่วนตัวจำนวนหนึ่ง

Kobalos เป็นมัลแวร์ที่มีโค้ดเบสขนาดเล็กแต่มีความซับซ้อน ซึ่งมัลแวร์จะส่งผลกระทบต่อระบบปฏิบัติการ Linux, BSD, SolarisI, IBM AIX และ Microsoft Windows ด้วย

ทีม Cybersecurity จาก ESET ได้ร่วมกับทีมรักษาความปลอดภัยทางคอมพิวเตอร์จาก CERN ในการทำ Reverse engineering มัลแวร์ Kobalos พบว่ามัลแวร์ได้กำหนดเป้าหมายไปที่คลัสเตอร์คอมพิวเตอร์ประสิทธิภาพสูง (High Performance Computer - HPC) โดยในบางกรณีของการติดไวรัสจะพบมัลแวร์ 'sidekick' ถูกใช้ในการลักลอบเชื่อมต่อกับ SSH เซิร์ฟเวอร์เพื่อขโมยข้อมูล Credentials ที่ใช้ในการเข้าถึงคลัสเตอร์ HPC และจะปรับใช้มัลแวร์ Kobalos

เมื่อมัลแวร์เข้าสู่ซูเปอร์คอมพิวเตอร์แล้วโค้ดจะถูกฝังในเซิร์ฟเวอร์ OpenSSH ที่จะทำให้เรียกใช้งานได้ผ่านพอร์ตเฉพาะ โดยทำหน้าที่เป็นตัวกลางสำหรับการเชื่อมต่อเซิร์ฟเวอร์แบบ Command-and-Control (C&C) นอกจากนี้ Kobalos ยังมีความสามารถในการเปลี่ยนเซิร์ฟเวอร์ที่ถูกบุกรุกให้เป็นเซิร์ฟเวอร์ (C&C) ของผู้ประสงค์ร้ายอีกด้วย

ทั้งนี้ผู้ดูแลระบบ HPC ควรทำการตรวจสอบเซิร์ฟเวอร์อยู่เป็นประจำและจำกัดการเข้าถึงเซิร์ฟเวอร์ โดยการกำหนดเฉพาะ IP ที่อนุญาตพิเศษเท่านั้นถึงจะเข้าสู่ระบบได้ เพื่อป้องกันผู้ประสงค์ร้ายใช้ความสามารถของมัลแวร์ในการเข้าถึงเซิร์ฟเวอร์โดยไม่ได้รับอนุญาต

ที่มา: zdnet.

นักวิจัยด้านความปลอดภัยตรวจพบกลุ่มแรนซัมแวร์กำลังใช้ประโยชน์จากช่องโหว่ในผลิตภัณฑ์ VMWare ESXi เพื่อเข้ายึดครองและเข้ารหัสฮาร์ดไดรฟ์ของ Virtual Machine (VM) ที่ถูกใช้งานในองค์กร

ตามรายงานจากนักวิจัยด้านความปลอดภัยที่ให้ข้อมูลกับ ZDNet พบว่ากลุ่มแรมซัมแวร์กำลังใช้ประโยชน์จากช่องโหว่ CVE-2019-5544 และ CVE-2020-3992 ซึ่งเป็นช่องโหว่ในไฮเปอร์ไวเซอร์โซลูชันที่จะอนุญาตให้เครื่อง VM หลาย ๆ เครื่องแชร์ที่เก็บข้อมูลฮาร์ดไดรฟ์เดียวกันผ่าน Service Location Protocol (SLP) ช่องโหว่ดังกล่าวจะทำให้ผู้โจมตีที่อยู่ภายในเครือข่ายเดียวกันสามารถส่งคำขอ SLP ที่เป็นอันตรายไปยังอุปกรณ์ ESXi และเข้าควบคุมได้

ตามรายงานจากนักวิจัยด้านความปลอดภัยระบุอีกว่ากลุ่ม RansomExx ได้เริ่มต้นใช้ประโยชน์จากช่องโหว่ดังกล่าวในการโจมตีอินสแตนซ์ ESXi และเข้ารหัสฮาร์ดดิสก์ของเครื่อง VM ที่อยู่ภายในเครือข่าย โดยหลังจากเหตุการณ์ นักวิจัยได้พบข้อมูลการประกาศการโจมตีในลักษณะเดียวกันโดยกลุ่ม Babuk Locker ransomware ในฟอรั่มใต้ดิน

ทั้งนี้ผู้ดูแลระบบ VMWare ESXi ควรรีบอัปเดตแพตช์ความปลอดภัยให้เป็นเวอร์ชันล่าสุดโดยด่วนเพื่อป้องกันการตกเป็นเป้าหมายของกลุ่มปฏิบัติการโจมตีด้วยแรมซัมแวร์

ที่มา: zdnet

NCC Group บริษัทรักษาความปลอดภัยทางไซเบอร์ได้ออกมาเปิดเผยถึงการพบการใช้ประโยชน์จากช่องโหว่ Zero-day ของ SonicWall SMA ซีรีส์ 100 เป็นจำนวนมาก

สืบเนื่องมาจากวันที่ 22 มกราคมที่ผ่านมา บริษัท SonicWall ได้เปิดเผยถึงเหตุการณ์การโจมตีระบบภายในเครือข่ายของบริษัทโดยใช้ช่องโหว่ Zero-day ที่อยู่ภายในในอุปกรณ์เครือข่ายของ SonicWall และจากการตรวจสอบพบช่องโหว่ Zero-day ที่จะส่งผลกระทบต่อชุดอุปกรณ์ SMA ซีรีส์ 100 ที่ใช้เฟิร์มแวร์ 10.x

ในช่วงสุดสัปดาห์ที่ผ่านมา NCC Group ได้ตรวจพบการพยายามใช้ประโยชน์จากช่องโหว่ Zero-day ของอุปกรณ์ SonicWall SMA ซีรีส์ 100 เป็นจำนวนมาก ซึ่งยังไม่แน่ชัดว่าช่องโหว่ที่ถูกพยายามใช้ประโยชน์นี้จะเป็นช่องโหว่เดียวกันกับที่ SonicWall ได้ทำการเปิดเผยเมื่อเร็วๆ นี้หรือไม่ โดย NCC Group ไม่ได้ให้รายละเอียดของการใช้ประโยชน์จากช่องโหว่ Zero-day เพื่อป้องกันการใช้ในทางที่ผิด

ทั้งนี้ SonicWall ได้ออกประกาศว่าแพตช์แก้ไขความปลอดภัยของช่องโหว่จะพร้อมใช้งานในวันที่ 2 กุมภาพันธ์ 2021 โดยในขณะรอเเพตช์ความปลอดภัย SonicWall ได้แนะนำให้ลูกค้าทำการดาวน์เกรดอุปกรณ์เพื่อใช้เฟิร์มแวร์ 9.x และหาก SMA 100 ซีรีส์ (10.x) อยู่หลังไฟร์วอลล์ให้ทำการบล็อกการเข้าถึง SMA 100 ทั้งหมดบนไฟร์วอลล์ จากนั้นเปิดใช้งาน Multi Factor Authentication (MFA) บนอุปกรณ์และที่สำคัญยิ่งไปกว่านั้น คือจำกัดการเข้าถึงอินเทอร์เฟซการจัดการระบบเฉพาะ IP ที่อนุญาตพิเศษเท่านั้นเพื่อป้องกันผู้ประสงค์ร้ายใช้ประโยชน์จากช่องโหว่ทำการโจมตีระบบ

ที่มา: bleepingcomputer | zdnet

นักวิจัยจาก Palo Alto Network ได้เปิดเผยถึงการตรวจพบมัลแวร์ Cryptojacking ชนิดใหม่ที่มีชื่อว่า Pro-Ocean ของกลุ่มแฮกเกอร์ Rocke ที่พุ่งเป้าหมายไปยังเซิร์ฟเวอร์อินสแตนซ์ที่มีช่องโหว่ของ Apache ActiveMQ, Oracle WebLogic และ Redis

มัลแวร์ Pro-Ocean กำหนดเป้าหมายการโจมตีไปยังแอปพลิเคชันบนคลาวด์เซิร์ฟเวอร์และใช้ประโยชน์จากช่องโหว่ของเซิร์ฟเวอร์ Oracle WebLogic (CVE-2017-10271), Apache ActiveMQ (CVE-2016-3088) และอินสแตนซ์ Redis ที่ไม่ได้รับการแพตช์ความปลอดภัยเพื่อเข้าควบคุมเซิร์ฟเวอร์ของเป้าหมาย

นักวิจัยจาก Palo Alto Networks ได้ทำการวิเคราะห์มัลแวร์และพบว่ามัลแวร์มีความสามารถของรูทคิตและเวิร์มที่ถูกทำการปรับปรุงใหม่ ซึ่งจะช่วยให้มัลแวร์สามารถซ่อนกิจกรรมที่เป็นอันตรายและแพร่กระจายไปยังซอฟต์แวร์ที่อยู่บนเครือข่ายของเป้าหมายได้ นอกจากนี้มัลแวร์ยังมีความสามารถของ Cryptojacking ที่ถูกใช้ในการขุด Monero ที่มาพร้อมกับโมดูลที่จะคอย Monitor การใช้งานของ CPU ซึ่งถาหากมีการใช้งาน CPU มากกว่า 30% ตัวมัลแวร์จะทำการ Kill โปรเซสการทำงานทิ้ง เพื่อเป็นการป้องกันการถูกตรวจจับความผิดปกติของการทำงาน

ทั้งนี้ผู้ดูแลระบบเซิร์ฟเวอร์ Oracle WebLogic, Apache ActiveMQ และอินสแตนซ์ Redis ควรรีบทำการอัปเดตแพตช์ความปลอดภัยให้เป็นเวอร์ชันล่าสุดเพื่อป้องกันการตกเป็นเป้าหมายการโจมตีของมัลแวร์ Pro-Ocean

ที่มา: bleepingcomputer

Tavis Ormandy นักวิจัยจาก Google Project Zero ได้เปิดเผยถึงช่องโหว่ใน Libgcrypt เวอร์ชั่น 1.9.0 ที่ได้รับการเปิดตัวเวอร์ชันใหม่ในวันที่ 19 มกราคมที่ผ่านมา

Libgcrypt เป็นไลบรารีการเข้ารหัสแบบโอเพ่นซอร์สและมีโมดูลภายในคือ GNU Privacy Guard (GnuPG) ช่องโหว่ที่ถูกค้นพบใน libgcrypt เวอร์ชั่น 1.9.0 เป็นช่องโหว่ Heap buffer overflow ซึ่งเกิดจากการตรวจสอบการจัดการหน่วยความจำที่ไม่ถูกต้อง ผู้โจมตีสามารถใช้ข้อผิดพลาดนี้โดยการส่งข้อมูลให้ผู้ที่ตกเป็นเป้าหมายทำการถอดรหัส เมื่อผู้ที่ตกเป็นเป้าหมายทำการถอดรหัสผู้โจมตีจะสามารถรันโค้ดที่เป็นอันตรายที่ถูกแอบแฝงไปกับข้อมูลที่ส่งไปได้

ทั้งนี้ช่องโหว่จะมีผลกระทบกับ Libgcrypt เวอร์ชั่น 1.9.0 โดยในคำแนะนำผู้พัฒนาหลักของ GnuPG ได้ขอให้ผู้ใช้หยุดการใช้ Libgcrypt เวอร์ชัน 1.9.0 และทำการอัปเดต Libgcrypt ให้เป็นเวอร์ชัน 1.9.1 เพื่อป้องกันการตกเป็นเป้าหมายของการโจมตี

ที่มา: zdnet