Microsoft ประกาศออกแพตช์ความปลอดภัยประจำเดือนมกราคม 2021 หรือ Microsoft Patch Tuesday January 2021 โดยในเดือนมกราคม 2021นี้ Microsoft ได้ทำการแก้ไขช่องโหว่จำนวน 83 รายการ ซึ่งมีช่องโหว่จำนวน 10 รายการที่จัดว่าเป็นช่องโหว่ระดับ Critical และช่องโหว่จำนวน 73 รายการเป็นช่องโหว่ระดับ Important

สำหรับช่องโหว่ที่มีความสำคัญและได้รับแก้ไขในเดือนนี้คือ CVE-2021-1647 เป็นช่องโหว่ Zero-day ใน Microsoft Defender โดยช่องโหว่จะทำให้ผู้โจตีสามารถเรียกใช้โค้ดได้จากระยะไกล ซึ่งช่องโหว่ Zero-day นี้ได้รับการแก้ไขแล้วใน Microsoft Malware Protection Engine เวอร์ชัน 1.1.17700.4

ช่องโหว่ที่น่าสนใจอีกช่องโหว่คือ CVE-2021-1648 เป็นช่องโหว่การยกระดับสิทธ์ใน (Elevation of Privilege) ใน splwow64 ซึ่งได้เผยแพร่ต่อสาธารณะแล้วเมื่อวันที่ 15 ธันวาคมที่ผ่านมา โดยโปรเจกต์ Zero-Day Initiative ของ Trend Micro

ทั้งนี้ผู้ใช้ควรทำการอัปเดตแพตช์ความปลอดภัยให้เป็นเวอร์ชันล่าสุดเพื่อป้องกันการตกเป็นเป้าหมายการโจมตีของผุ้ประสงค์ร้าย สำหรับผู้ที่สนใจรายละเอียดเพิ่มเติมของช่องโหว่ที่ได้รับการแก้ไขสามารถดูรายละเอียดได้จากแหล่งที่มา

ที่มา: zdnet | bleepingcomputer

 

CISA ออก Alert ใหม่ในกรณี SolarWinds รหัส AA21-008A โดยในรอบนี้นั้น รายละเอียดของการแจ้งเตือนพุ่งเป้าไปที่การอธิบาย TTP ใหม่ของผู้โจมตีในระบบคลาวด์ของ Microsoft ที่ถูกระบุและให้รายละเอียดไปแล้วจากทาง Microsoft เอง และแนวทางในการตรวจจับ ป้องกันและตอบสนอง

ในส่วนของข้อมูลใหม่เกี่ยวกับ TTP ทีม Intelligent Response ขอสรุปประเด็นที่น่าสนใจเพิ่มเติมตามรายการดังนี้

TTP ที่น่าสนใจหลังที่ผู้โจมตีประสบความสำเร็จในการเข้าถึงระบบได้แล้ว (Post-compromise) ประกอบด้วย 3 องค์ประกอบหลักด้วยกัน คือการโจมตีระบบสำหรับยืนยันตัวตนแบบ Federation service, การสร้างข้อมูลสำหรับยืนยันตัวตนใหม่เพื่อใช้ในการทำ Lateral movement และการฝังตัวในระบบคลาวด์ผ่านการเข้าถึง API ด้วยข้อมูลสำหรับยืนยันตัวตนที่ได้จากขั้นตอนก่อนหน้า

กระบวนการ Privilege escalation ของผู้โจมตีจะมีการใช้ฟีเจอร์ WMI กับเซอร์วิส Microsoft Active Directory Federated Services เพื่อสร้างโทเคนสำหรับการยืนยันตัวตนและทำการรับรอง โทเคนสำหรับการยืนยันตัวตนดังกล่าวจะถูกใช้เพื่อเข้าถึงระบบบนคลาวด์ของไมโครซอฟต์ที่เป้าหมายใช้งาน

CISA ยังพบพฤติกรรมของผู้โจมตีที่ไม่ได้ทำการเข้าถึงระบบเป้าหมายผ่านทาง SUNBURST แต่มีการใช้เทคนิคในการคาดเดารหัสทั้งแบบ Bruteforcing, แบบ Spraying และการโจมตีระบบสำหรับจัดการระบบที่ไม่ปลอดภัยด้วย

ในส่วนของคำแนะนำเพื่อตรวจจับและระบุหาพฤติกรรมตามที่ CISA ได้แจ้งเตือนนั้น เราขอสรุปประเด็นสำคัญตามคำแนะนำให้ดังนี้

การระบุหาความผิดปกติในระบบ Microsoft 365 สามารถใช้เครื่องมือซึ่ง Sparrow (https://github.

นักวิจัยจาก NinjaLab ได้เปิดเผยถึงเทคนิคการ Bypass อุปกรณ์ฮาร์ดแวร์ยืนยันความปลอดภัยแบบ 2FA จาก Google Titan

Victor Lomne และ Thomas Roche นักวิจัยของ NinjaLab ได้เปิดเผยรายงานการทดสอบเทคนิคการ Bypass คีย์จากอุปกรณ์ฮาร์ดแวร์ที่จะช่วยยืนยันความปลอดภัยแบบ Two-factor authentication (2FA) จาก Google Titan และ Yubico ด้วยการโคลนคีย์ความปลอดภัยโดยใช้ช่องสัญญาณแม่เหล็กไฟฟ้าที่ฝังอยู่ภายในชิป

ช่องโหว่ถูกติดตามด้วยรหัส CVE-2021-3011โดยช่องโหว่จะทำให้ผู้ประสงค์ร้ายสามารถดึงคีย์การเข้ารหัสหรือคีย์ส่วนตัวในรูปแบบ Elliptic Curve Digital Signature Algorithm (ECDSA) ที่เชื่อมโยงกับบัญชีของเหยื่อจากอุปกรณ์ FIDO Universal 2nd Factor (U2F) เช่น Google Titan Key หรือ YubiKey ได้

สำหรับรายการผลิตภัณฑ์ที่ได้รับผลกระทบได้แก่คีย์ความปลอดภัย Google Titan ทุกเวอร์ชัน (ทุกเวอร์ชัน), Yubico Yubikey Neo, Feitian FIDO NFC USB-A/K9, Feitian MultiPass FIDO/ K13, Feitian ePass FIDO USB-C/K21, และ Feitian FIDO NFC USB-C/K40 นอกจากคีย์ความปลอดภัยแล้วการเทคนิคดังกล่าวยังสามารถทำได้บนชิป NXP JavaCard ซึ่งรวมถึง NXP J3D081_M59_DF, NXP J3A081, NXP J2E081_M64, NXP J3D145_M59, NXP J3D081_M59, NXP J3E145_M64 และ NXP J3D145_M59 ตามลำดับ

ทั้งนี้ผู้ที่สนใจรายละเอียดเพิ่มเติมสามารถอ่านได้ที่: https://ninjalab.

JetBrains แถลงปฏิเสธการมีส่วนเกี่ยวกับเหตุการณ์ Supply-chain attack ของ SolarWinds

บริษัทด้านการพัฒนาซอฟต์แวร์ชื่อดัง JetBrains ได้มีการแถลงออกมาวันนี้เพื่อปฏิเสธรายงานและข้อมูลจาก New York Times และ Wall Street Journal ซึ่งอ้างว่า JetBrains กำลังถูกสอบสวนภายใต้ข้อกล่าวหาว่า JetBrains อาจมีส่วนเกี่ยวข้องกับกรณีการโจมตีระบบของ SolarWinds

รายงานของสองสำนักข่าวอ้างว่าข้อมูลดังกล่าวมีที่มาจากบุคคลภายในของรัฐบาลสหรัฐฯ ซึ่งระบุว่าทางการสหรัฐฯ กำลังตรวจสอบความเป็นไปได้ว่าแฮกเกอร์ซึ่งโจมตีระบบ SolarWinds อาจทำการโจมตีระบบของ JetBrains ในลักษณะเดียวกัน โดยผลิตภัณฑ์ของ JetBrains ซึ่งอ้างว่าได้รับผลกระทบนั้นคือ TeamCity ซึ่งเป็นผลิตภัณฑ์กลุ่มแพลตฟอร์มสำหรับ CI/CD

อ้างอิงจากแถลงการณ์ของ JetBrains "Maxi Shafirov" CEO ของ JetBrains ระบุว่าทางบริษัทไม่ทราบเรื่องของการตรวจสอบดังกล่าวมาก่อน และยังไม่ได้รับการติดต่อใดๆ และมีการระบุอย่างชัดเจนว่า JetBrians ไม่ได้มีส่วนเกี่ยวข้องในลักษณะใดๆ กับการโจมตีในครั้งนี้

ที่มา: blog.

แจ้งมัลแวร์เรียกค่าไถ่ Babuk Locker ตระกูลมัลแวร์เรียกค่าไถ่ชนิดใหม่ต้อนรับปี 2021

Chuong Dong นักวิจัยด้านความปลอดภัยได้เปิดเผยถึงแรนซัมแวร์ชนิดใหม่ที่มีนามว่า Babuk Locker ที่มีรูปแบบโจมตีแบบ Human-operated attack ซึ่งแรนซัมแวร์ชนิดใหม่นี้ได้กำหนดเป้าหมายไปยังองค์กรและบริษัทต่างๆ ทั่วโลก

จากการวิเคราะห์ของนักวิจัยพบว่าแรนซัมแวร์ Babuk Locker มีรูปแบบการเข้ารหัสแบบ Elliptic-curve Diffie–Hellman algorithm (ECDH) เมื่อเข้ารหัสไฟล์แรนซัมแวร์ Babuk Locker จะใช้นามสกุลในรูปแบบฮาร์ดโค้ดและต่อท้ายไฟล์ที่เข้ารหัสตัวอย่างเช่น .__ NIST_K571__ จากนั้นภายในแต่ละโฟลเดอร์จะสร้างโน้ตบันทึกเรียกค่าไถ่ที่มีชื่อว่า How To Restore Your Files.

กลุ่มผู้ลงทุนใน SolarWinds ยื่นฟ้องดำเนินคดีกับ SolarWinds เชื่อทางบริษัทรับรู้ความเสี่ยงแต่ไม่ดำเนินการอย่างเหมาะสม

กลุ่มผู้ลงทุนในหุ้นของ SolarWinds ในช่วงวันที่ 24 กุมภาพันธ์ ถึง 15 ธันวาคม 2020 นำโดย Timothy Bremer ได้มีการยื่นฟ้องเพื่อดำเนินคดีแบบกลุ่มกับ SolarWinds จากกรณีการโจมตีระบบซึ่งส่งผลให้หุ้นของ SolarWinds นั้นร่วงจาก 24 ดอลลาร์สหรัฐฯ ลงไปอยู่ที่ 18 ดอลลาร์สหรัฐฯ หลังจากที่รายละเอียดการโจมตีปรากฎขึ้นมา

คำฟ้องมีการอ้างเหตุการณ์ตามที่ไอ-ซีเคียวเคยรายงานออกไปตั้งแต่การโจมตีในลักษณะของ Supply-chain attack, กรณีการตั้งพาสเวิร์ดที่คาดเดาง่ายของเซิร์ฟเวอร์อัปเดตของ SolarWinds และผลกระทบที่เกิดขึ้น คำฟ้องยังมีการอ้างถึงรายงานซึ่งระบุว่าความเสี่ยงด้านความปลอดภัยและช่องโหว่นั้นได้เคยถูกรายงานไปให้แก่ SolarWinds แล้ว แต่ SolarWinds เพิกเฉยที่จะดำเนินการอย่างเหมาะสม

ผู้ลงทุนใน SolarWinds สามารถเข้าร่วมการดำเนินคดีแบบกลุ่มได้จนวันที่ 5 มีนาคม 2021 นี้

ที่มา: securityweek

Ryuk ransomware เป็นภัยคุกคามอันดับต้นๆ สำหรับโรงพยาบาลและผู้ให้บริการด้านการดูแลสุขภาพ

สำนักงานความปลอดภัยทางไซเบอร์และโครงสร้างพื้นฐานของสหรัฐฯ (Cybersecurity and Infrastructure Security Agency - CISA), สำนักงานสอบสวนกลาง (Federal Bureau of Investigation - FBI) และกระทรวงสาธารณสุข (Department of Health and Human Services - HHS) ได้ออกเตือนถึงภัยคุกคามทางไซเบอร์ที่ใช้ประโยชน์จากการระบาดจากโรค COVID-19 พุ่งเป้าหมายโจมตีไปยังโรงพยาบาลและผู้ให้บริการด้านการดูแลสุขภาพ โดยคำแนะนำดังกล่าวมีวัตถุประสงค์เพื่อเตรียมองค์กรสำหรับการโจมตีด้วย Ryuk และ Conti แรนซัมแวร์ ซึ่งมีกลยุทธ์เทคนิคและขั้นตอน (Tactics, techniques, and procedures - TTP) เฉพาะสำหรับเหตุการณ์ที่เกิดขึ้นกับมัลแวร์สายพันธุ์เหล่านี้

สอดคล้องกับรายงานจาก Check Point บริษัทด้านความปลอดภัยทางไซเบอร์ที่พบว่ามีการโจมตีเพิ่มขึ้น 45% ในองค์กรด้านการดูแลสุขภาพทั่วโลกและมีการพุ่งสูงขึ้นมากกว่าสองเท่าของเหตุการณ์ที่เกิดขึ้นในภาคอุตสาหกรรมอื่นๆ ทั้งหมดในช่วงเวลาเดียวกัน โดยภัยคุกคามหลักการโจมตีหน่วยงานด้านการดูแลสุขภาพคือ Ryuk ตามด้วย REvil (Sodinokibi) แรนซัมแวร์

ตามข้อมูลที่ Check Point รวบรวมไว้พบว่าการโจมตีทางอินเทอร์เน็ตส่วนใหญ่ในช่วงสองเดือนที่ผ่านมาได้โจมตีองค์กรด้านการดูแลสุขภาพในยุโรปกลางโดยอัตราการการโจมตีพุ่งขึ้นถึงเกือบ 150% ในเดือนพฤศจิกายน สำหรับในเอเชียและตะวันออกพบการโจมตีเพิ่มขึ้น 137% ในโซนละตินอเมริกามีการเติบโต 112% สำหรับยุโรปและอเมริกาเหนือมีตัวเลขเพิ่มขึ้นน้อยที่สุดคือ 67% และ 37% ตามลำดับ

ด้วยจำนวนผู้ติดเชื้อ COVID-19 ที่เพิ่มสูงขึ้นทำให้ภัยคุกคามทางอินเทอร์เน็ตจึงมีแนวโน้มที่จะโจมตีองค์กรด้านการแพทย์ การอัปเดตระบบความปลอดภัยด้วยการแพตช์ซอฟต์แวร์ให้เป็นเวอร์ล่าสุด การตรวจสอบเครือข่ายสำหรับการเข้าถึงโดยไม่ได้รับอนุญาตและการให้ความรู้แก่พนักงานในองค์กร การระบุความพยายามของฟิชชิงเป็นวิธีที่ดีในการป้องกันการโจมตีจากผู้คุกคาม

ที่มา: bleepingcomputer

Nvidia ได้เปิดตัวแพตช์ความปลอดภัยเพื่อแก้ไขปัญหาที่มีความรุนแรงสูงในไดรเวอร์การแสดงผล Nvidia GPU และซอฟต์แวร์ vGPU โดยช่องโหว่ที่ได้รับการแก้ไขนี้มีจำนวน 16 ช่องโหว่ ซึ่งช่องโหว่มีความเชื่อมโยงกับไดรเวอร์การแสดงผลของ Nvidia GPU ที่ใช้เพื่อรองรับหน่วยการประมวลผลกราฟิกรวมถึงซอฟต์แวร์ vGPU สำหรับเวิร์กสเตชัน, เซิร์ฟเวอร์เสมือน (VM), แอปพลิเคและพีซี

ช่องโหว่ที่มีรุนเเรงที่ได้รับการแก้ไขคือ CVE‑2021‑1051 (CVSSv3: 8.4/10) เป็นช่องโหว่ที่ส่งผลกระทบต่อเลเยอร์ในโหมดเคอร์เนลสำหรับไดรเวอร์การแสดงผล Windows GPU ซึ่งช่องโหว่อาจนำไปสู่การปฏิเสธการให้บริการ (Denial of Service - DoS) หรือการยกระดับสิทธิ์ (Privilege Escalation)

ช่องโหว่ที่มีความรุนแรงสูงสุดเป็นอันดับสองคือ CVE‑2021‑1052 (CVSSv3: 7.8/10) เป็นช่องโหว่ที่ส่งผลกระทบต่อเลเยอร์ในโหมดเคอร์เนลและจะอนุญาตให้ไคลเอ็นต์ในโหมดผู้ใช้เข้าถึง API แบบเดิมที่มีสิทธิพิเศษ ซึ่งอาจนำไปสู่การปฏิเสธการให้บริการ, การเพิ่มสิทธิพิเศษและการรั่วไหลของข้อมูลที่อยู่ภายในระบบ โดยช่องโหว่นี้จะส่งผลกระทบต่อไดรเวอร์การแสดงผลทั้ง Windows และ Linux

นอกจากช่องโหว่ที่สำคัญที่กล่าวมายังมีช่องโหว่ที่ได้รับการแก้ไขอีกคือ CVE‑2021-1053, CVE‑2021‑1054, CVE‑2021‑1055, CVE‑2021‑1056, CVE‑2021‑1066, CVE-2021‑1058 และ CVE‑2021‑1060

ผู้ใช้งานควรทำการอัปเดตเเพตช์ความปลอดภัยให้เป็นเวอร์ชันล่าสุดเพื่อป้องกันผู้ประสงค์ร้ายใช้ประโยชน์จากช่องโหว่ทำการโจมตี ทั้งนี้ผู้ใช้งานสามารถอัปเดตความปลอดภัยได้ผ่านระบบการอัปเดตอัตโนมัติหรือดาวน์โหลดโดยตรงที่ได้นี่: https://www.

David Wells นักวิจัยมัลแวร์จาก Tenable ได้ค้นพบช่องโหว่ Zero-day ใน PsExec หรือเครื่องมือการจัดการสำหรับผู้ดูแลระบบโดยการสั่งการด้วยคำสั่งต่างๆ ผ่านระบบเน็ตเวิร์คจากระยะไกล ซึ่งช่องโหว่ที่ถูกค้นพบนั้นถูกเรียกว่า pipe hijacking โดยอาศัยการสร้าง pipe ที่ถูกใช้ในการติดต่อสารโดย PsExec เอาไว้ก่อนแล้วด้วยสิทธิ์ที่ต่ำกว่า เมื่อเซอร์วิสของ PsExec มาใช้งานจริงก็จะทำการใช้งาน pipe ที่มีอยู่และจะไม่มีการแก้ไขสิทธิ์เพื่อให้เกิดการใช้งานอย่างปลอดภัย ส่งผลให้ผู้โจมตีซึ่งสร้าง pipe ไว้รอจะสามารถใช้ pipe ดังกล่าวซึ่งจะได้สิทธิ์เป็น Local system และกลายเป็นช่องทางในการยกระดับสิทธิ์ขึ้นมาได้

Wells กล่าวอีกว่าช่องโหว่ Zero-day นี้ถูกพบใน PsExec หลายเวอร์ชันตั้งแต่ v1.72 ที่อยู่ใน Windows XP จนถึงเวอร์ชัน v2.2 ที่อยู่ภายใน Windows 10 ซึ่งหลังจากค้นพบช่องโหว่ Wells ได้รายงานต่อ Microsoft ถึงปัญหาแล้ว โดยเมื่อวันที่ 9 ธันวาคม 2020 หลังจากรายงานช่องโหว่ไปแล้ว 90 วัน Microsoft ไม่สามารถแก้ไขข้อบกพร่องได้ Wells จึงได้ทำการเปิดเผยต่อสาธารณะ

Mitja Kolsek ซีอีโอจากบริษัท ACROS Security ได้ออกมากล่าวถึงการแก้ไขช่องโหว่ดังกล่าว ซึ่งทางบริษัทได้ออกไมโครแพทช์ฟรีเพื่อแก้ไขช่องโหว่การเพิ่มสิทธิพิเศษเฉพาะที่ (Local Privilege Escalation - LPE) ในเครื่องมือการจัดการ Windows PsExec ในเวอร์ชัน 32 บิตและ 64 บิตของ Microsoft ซึ่งพร้อมใช้งานแล้วผ่านแพลตฟอร์ม 0patch

ทั้งนี้ผู้ใช้ควรทำการติดตามการอัปเดตแพตช์การแก้ไขช่องโหว่จาก Microsoft เมื่อมีการแก้ไขช่องโหว่ควรรับทำการอัปเดตแพตช์อย่างเร่งด่วนเพื่อป้องกันผู้ประสงค์ร้ายใช้ประโยชน์จากช่องโหว่ทำการโจมตีระบบ สำหรับผู้ที่ต้องอัปเดตแพตช์ผ่านแพลตฟอร์ม 0patch สามารถเข้าไปดูรายละเอียดได้ที่: https://blog.

กระทรวงยุติธรรมสหรัฐฯ เผย แฮกเกอร์ซึ่งโจมตี SolarWinds เข้าถึงเซิร์ฟเวอร์อีเมล O365 เพื่อลักลอบอ่านอีเมล

กระทรวงยุติธรรมสหรัฐฯ ออกมาแถลงการณ์วันนี้ว่าแฮกเกอร์ซึ่งอยู่เบื้องหลังการโจมตี SolarWinds ได้พุ่งเป้าโจมตีระบบของกระทรวงฯ และสามารถเข้าถึงอีเมลของบุคลากรภายในกระทรวงฯ เป็นจำนวน 3% ของจำนวนบุคลากรทั้งหมดได้

กระทรวงยุติธรรมสหรัฐฯ มีบุคลากรอยู่ทั้งสิ้น 100,000 ถึง 115,000 คน โดยหากนับจำนวน 3% ที่ได้รับผลกระทบนั้น ตัวเลขของผู้ที่ได้รับผลกระทบจะอยู่ที่ประมาณ 3,000 ถึง 3,450 คน โฆษกของกระทรวงฯ แถลงว่ายังไม่มีข้อบ่งชี้ซึ่งแสดงให้เห็นว่าระบบซี่งมีความละเอียดอ่อนและเป็นความลับนั้นได้รับผลกระทบจากการโจมตี

ที่มา: zdnet.