CISA ออกคำสั่งให้หน่วยงานรัฐฯ ในสหรัฐฯ ทำการอัปเดตแพลตฟอร์ม SolarWinds Orion ตามอัปเดตล่าสุดในทันที

Cybersecurity and Infrastructure Security Agency (CISA) ได้มีการออกคำสั่งให้หน่วยงานรัฐฯ ทำการอัปเดตรุ่นของแพลตฟอร์ม SolarWinds Orion เป็นรุ่นล่าสุดที่มีการแก้ไขปัญหาที่เกิดจาก SUNBURST และ SUPERNOVA ก่อนจะหมดช่วงเวลาทำการในวันที่ 31 ธันวาคม 2020 ในทันที โดยคำสั่งดังกล่าวมีผลกับองค์กรที่มีการใช้งานรุ่นของ SolarWinds Orion ที่ไม่ได้รับผลกระจาก SUNBURST และ SUPERNOVA เท่านั้น

มาตรการดังกล่าวเกิดจากความพยายามในการลดความเสี่ยงและควบคุมสถานการณ์หลังจากเกิดการโจมตี SolarWinds ในลักษณะ Supply-chain attack ซึ่งส่งผลให้เกิดผลกระทบกับระบบอื่นเป็นจำนวนมาก สำหรับรุ่นล่าสุดของ SolarWinds Orion ที่ CISA แนะนำให้ทำการอัปเดตโดยทันทีมีตามรายการดังต่อไปนี้

2019.4 HF 6 (released December 14, 2020)
2020.2.1 HF 2 (released December 15, 2020)
2019.2 SUPERNOVA Patch (released December 23, 2020)
2018.4 SUPERNOVA Patch (released December 23, 2020)
2018.2 SUPERNOVA Patch (released December 23, 2020)
สำหรับผู้อ่านที่ต้องการติดตามข้อมูลเพิ่มเติมเกี่ยวกับสถานการณ์และรายละเอียดการโจมตี SolarWinds สามารถอ่านจากบทวิเคราะห์โดยทีม Intelligent Response ได้ที่ https://www.

Microsoft แจ้งเตือนผลการตรวจสอบภายในจากกรณีการโจมตี SolarWinds เชื่อซอร์สโค้ดถูกเข้าถึง ไม่มีผลกระทบเพิ่มเติม

Microsoft ออกประกาศผลการตรวจสอบระบบภายในของตนเองหลังจากมีการตรวจพบว่าตนอาจได้รับผลกระทบจากกรณีการโจมตี SolarWinds ผลการตรวจสอบเบื้องต้นไม่พบการเข้าถึงระบบ Production และข้อมูลลูกค้า และไม่พบการใช้ระบบของ Microsoft ในการโจมตีบุคคลอื่น

อย่างไรก็ตาม Microsoft ตรวจพบพฤติกรรมของบัญชีภายในที่ผิดปกติ โดยพบว่าบัญชีผู้ใช้ดังกล่าวนั้นถูกใช้เพื่อเข้าถึงซอร์สโค้ดภายในหลายโครงการ อย่างไรก็ตามบัญชีดังกล่าวไม่ได้รับสิทธิ์ในการแก้ไขซอร์สโค้ดใดๆ และการตรวจสอบก็ไม่พบการเปลี่ยนแปลงของซอร์สโค้ดด้วย ผลกระทบที่อาจเกิดขึ้นจึงอยู่ในระดับที่ต่ำ

สำหรับผู้อ่านที่ต้องการติดตามข้อมูลเพิ่มเติมเกี่ยวกับสถานการณ์และรายละเอียดการโจมตี SolarWinds สามารถอ่านจากบทวิเคราะห์โดยทีม Intelligent Response ได้ที่ https://www.

นักวิจัยค้นพบบัญชีผู้ใช้ลับในอุปกรณ์ไฟร์วอลล์ Zyxel ซึ่งจะทำให้องค์กรต่างๆ ตกอยู่ในความเสี่ยง

นักวิจัยด้านความปลอดภัยจาก Eye Control ได้พบบัญชีผู้ใช้ลับบนอุปกรณ์ไฟร์วอลล์ Zyxel ซึ่งจะทำให้อุปกรณ์ไฟร์วอลล์ Zyxel มากกว่า 100,000 รายการ, VPN gateway และ Access point controller ตกอยู่ในความเสี่ยงเนื่องจากบัญชีผู้ใช้ลับที่ถูกค้นพบ

นักวิจัยกล่าวว่าพวกเขาได้ค้นพบบัญชีผู้ใช้ลับและถูกติดตามด้วยรหัส CVE-2020-29583 ซึ่งมีบัญชีผู้ใช้คือ "zyfwp" และรหัสผ่าน "PrOw!aN_fXp" โดยบัญชีผู้ใช้ดังกล่าวจะสามารถทำให้ผู้ประสงค์ร้ายสามารถเข้าถึงระบบ Root และยังสามารถทำการติดตั้งการอัปเดตเฟิร์มแวร์บนอุปกรณ์ Zyxel อื่นๆ ที่เชื่อมต่อกันผ่าน FTP ได้

นักวิจัยกล่าวอีกว่าบัญชีผู้ใช้ลับที่ถูกค้นพบนั้นจะส่งผลกระทบกับอุปกรณ์ Zyxel เป็นจำนวนมากและถูกติดตั้งในในเครือข่ายองค์กร, เอกชนและภาครัฐ สำหรับรุ่นที่ได้รับผลกระทบมีดังนี้

ซีรีส์ Advanced Threat Protection (ATP) - ถูกใช้เป็นไฟร์วอลล์เป็นหลัก
ชุด Unified Security Gateway (USG) - ถูกใช้เป็นไฮบริดไฟร์วอลล์และ VPN เกตเวย์
USG FLEX series - ถูกใช้เป็นไฮบริดไฟร์วอลล์และ VPN เกตเวย์
ซีรีส์ VPN - ถูกใช้เป็น VPN เกตเวย์
ซีรีส์ NXC - ถูกใช้เป็นตัวควบคุมจุดเชื่อมต่อ WLAN

ทั้งนี้ผู้ดูแลระบบควรทำการอัปเดตแพตช์เป็นการด่วน โดยในขณะนี้แพตช์มีให้บริการจะมีเฉพาะสำหรับซีรีส์ ATP, USG, USG Flex และ VPN สำหรับแพทช์ชุด NXC ที่คาดว่าจะมีการอัปเดตในเดือนเมษายน 2021 ตามคำแนะนำความปลอดภัยจาก Zyxel

ที่มา : zdnet | zyxel

นักวิจัยพบการโจมตี Supply Chain Attack ใน Vietnam Government Certification Authority (VGCA) ซึ่งมีผลต่อบริษัทเอกชนและหน่วยงานของรัฐเวียดนาม

ตามรายงานที่มีชื่อว่า "Operation SignSight" จากบริษัทรักษาความปลอดภัย ESET ซึ่งได้เปิดเผยรายละเอียดเกี่ยวกับกลุ่มแฮกเกอร์ลึกลับที่ได้ทำการโจมตี ในลักษณะ Supply-chain Attack ต่อบริษัทเอกชนเวียดนามและหน่วยงานของรัฐโดยการแทรกมัลแวร์เข้าไปในชุดเครื่องมือซอฟต์แวร์ของรัฐบาล

กลุ่มแฮกเกอร์ได้กำหนดเป้าหมายการโจมตีไปยัง Vietnam Government Certification Authority (VGCA) ซึ่งเป็นองค์กรของรัฐบาลที่ออกใบรับรองดิจิทัลที่สามารถใช้ในการลงนามในเอกสารทางอิเล็กทรอนิกส์ได้ ซึ่งจะทำให้พลเมืองเวียดนาม, บริษัทเอกชนและแม้แต่หน่วยงานของรัฐอื่นๆ ที่ต้องการส่งไฟล์ไปยังรัฐบาลเวียดนามและจะต้องลงนามในเอกสารของตนด้วยใบรับรองดิจิทัลที่รองรับ VGCA มีความเสี่ยงจากการดาวน์โหลดและติดตั้งแอปพลิเคชันไคลเอ็นต์ที่ถูกใช้ในกระบวนการลงนามเแบบอัตโนมัติ

ESET กล่าวว่าแฮกเกอร์ได้ทำการบุกรุกเข้าไปในเว็บไซต์ของหน่วยงานคือ ca.

นักวิจัยพบสคริปต์ Skimmer ชนิดใหม่ที่สามารถรวบรวมข้อมูลการชำระเงินของร้านค้าที่ถูกบุกรุกอย่างเช่น Shopify และ BigCommerce

นักวิจัยจากบริษัทรักษาความปลอดภัยทางไซเบอร์ Sansec ได้เปิดเผยถึงสคริปต์ Skimmer (Magecart) ชนิดใหม่ที่มีความสามารถในการรวบรวมข้อมูลการชำระเงินของร้านค้าที่ถูกบุกรุกอย่างเช่น Shopify, BigCommerce, Zencart และ Woocommerce

นักวิจัยจาก Sansec กล่าวว่า Skimmer ชนิดใหม่นี้จะใช้ระบบโฮสต์อีคอมเมิร์ซ เช่น Shopify และ BigCommerce ในทางที่ผิด โดยจะทำการแสดงหน้าการชำระเงินปลอมก่อนที่ลูกค้าจะเข้าสู่แบบฟอร์มการชำระเงินจริงและใช้ keylogger เพื่อบัญทึกข้อมูลการชำระเงินและข้อมูลส่วนบุคคล จากนั้นจะแสดงข้อผิดพลาดในการชำระเงินและเมื่อผู้ใช้ทำการกดปุ่ม "ดำเนินการต่อ" ข้อมูลที่ถูกบันทึกจะถูกส่งกลับไปยังผู้ประสงค์ร้ายและจะทำการรีไดเร็คกลับไปยังขั้นตอนการชำระเงินและแบบฟอร์มการชำระเงินที่ถูกต้องตามกฎหมายใหม่อีกครั้งเพื่อเป็นการเพื่อหลบเลี่ยงการตรวจจับ

นักวิจัยยังกล่าวอีกว่าจากการวิเคราะห์การ exfiltrate ของ Skimmer ชนิดใหม่นี้ โดยข้อมูลจะถูกส่งไปยังโดเมนที่สร้างขึ้นโดยอัตโนมัติและเข้ารหัสโดยใช้การเข้ารหัสแบบ base64 ซึ่งตัวอย่างของโดเมนดังกล่าว ได้แก่ zg9tywlubmftzw5ldza[.]com, zg9tywlubmftzw5ldze[.]com และอื่นๆ

ทั้งนี้ผู้ใช้งานต้องมีความระมัดระวังในการใช้งานเว็บไซต์ Online Store และควรทำการตรวจยอดเงินการใช้จ่ายบัตรเคดิตอยู่เสมอ หากพบยอดชำระผิดปกติให้ทำการติดต่อธนาคารเพื่อเเจ้งยกเลิกบัตร

ที่มา: bleepingcomputer

DHS ออกเตือนถึงการใช้อุปกรณ์ฮาร์ดแวร์และบริการทางดิจิทัลที่มีการเชื่อมโยงกับบริษัทจากจีน

กระทรวงความมั่นคงแห่งมาตุภูมิของสหรัฐฯ หรือ The US Department of Homeland Security (DHS) ได้ออกแจ้งเตือนถึงบริษัทและองค์กรในสหรัฐฯ ไม่ให้ใช้อุปกรณ์ฮาร์ดแวร์และบริการทางดิจิทัลที่สร้างขึ้นหรือเชื่อมโยงกับบริษัทจากจีน

DHS กล่าวว่าผลิตภัณฑ์จากจีนอาจมีแบ็คดอร์ จุดบกพร่องหรือกลไกในการรวบรวมข้อมูลที่ซ่อนอยู่ซึ่งทางการจีนสามารถใช้เพื่อรวบรวมข้อมูลจากบริษัทและส่งต่อข้อมูลไปยังคู่แข่งทางการค้าที่อยู่ภายในประเทศจีนเพื่อขยายเป้าหมายทางเศรษฐกิจของจีน โดยหน่วยงาน DHS กล่าวต่อว่าอุปกรณ์และบริการทั้งหมดที่เชื่อมโยงกับบริษัทจากจีนควรได้รับการพิจารณาว่าเป็นความปลอดภัยทางไซเบอร์และความเสี่ยงทางธุรกิจ

ทั้งนี้ DHS ได้ระบุถึงกฎหมายความมั่นคงแห่งชาติของจีนจะอนุญาตให้รัฐบาลสามารถบีบบังคับบริษัทเอกชนท้องถิ่นและพลเมืองใดๆ ให้ปรับเปลี่ยนผลิตภัณฑ์และมีส่วนร่วมในการจารกรรมหรือขโมยทรัพย์สินทางปัญญา โดยแนวทางปฏิบัติที่ให้รัฐบาลจีนสามารถเข้าถึงข้อมูลที่ละเอียดอ่อนโดยไม่ได้รับอนุญาตทั้งส่วนบุคคลและที่เป็นกรรมสิทธิ์ทำให้เศรษฐกิจและธุรกิจของสหรัฐฯตกอยู่ในความเสี่ยงโดยตรงจากการแสวงหาผลประโยชน์ ซึ่ง DHS ขอให้ธุรกิจต่างๆ ใช้ความระมัดระวังก่อนที่จะทำข้อตกลงใด ๆ กับบริษัทที่เชื่อมโยงกับรัฐบาลจีน

ที่มา: zdnet

CrowdStrike ออกเครื่องมือช่วยตรวจสอบ Microsoft Azure ฟรีหลังจากที่ถูกพยายามทำการบุกรุกระบบอีเมล

วันที่ 15 ธันวาคมที่ผ่านมา CrowdStrike ได้รับแจ้งจาก Microsoft ถึงการพยายามอ่านอีเมลของบริษัทผ่าน Credential ของ Microsoft Azure ที่ถูกบุกรุก

สืบเนื่องมาจากเมื่อต้นเดือนที่ผ่านมามีการค้นพบว่าซอฟต์แวร์ SolarWinds Orion ประสบปัญหาการถูกโจมตีทางอินเทอร์เน็ต ซึ่งผู้ประสงค์ร้ายได้ปรับเปลี่ยนซอฟต์แวร์เพื่อติดตั้งแบ็คดอร์บนเครือข่ายของลูกค้าจึงเป็นผลทำให้บริษัทและองค์กรต่างๆ ได้รับผลกระทบจากการโจมตี Supply-chain attack ผ่านซอฟต์แวร์ SolarWinds Orion

ตามรายงานการแจ้งเตือนระบุว่า Microsoft ได้สังเกตเห็นว่ามีการเรียกใช้ Microsoft cloud APIs ผิดปกติในช่วงเวลา 17 ชั่วโมงเมื่อหลายเดือนก่อนและมีความพยายามในการอ่านอีเมล Office 365 เพื่อเข้าถึงอีเมลของ CrowdStrike เนื่องจาก CrowdStrike ไม่ใช้ Office 365 การโจมตีดังกล่าวจึงล้มเหลว โดย Microsoft ได้เปิดเผยว่าข้อมูล Credential และโทเค็นการเข้าถึง Microsoft Azure สำหรับบัญชีผู้ค้าถูกขโมยไป Microsoft จึงได้ตั้งข้อสันนิษฐานผู้ประสงค์ร้ายได้ใช้ข้อมูลดังกล่าวเพื่อใช้ในการกำหนดเป้าหมายลูกค้า Microsoft Azure ของ Microsoft

หลังจากได้รับการแจ้งเตือน CrowdStrike ได้ทำการวิเคราะห์ Environment ต่างๆ ของ Microsoft Azure และพบว่าไม่มีการบุกรุก อย่างไรก็ตามในระหว่างการวิเคราะห์นี้ CrowdStrike จัดทำเครื่องมือที่ชื่อว่า CrowdStrike Reporting Tool สำหรับ Azure (CRT) เพื่อที่จะช่วยให้ผู้ดูแลระบบ Microsoft Azure สามารถทำการตรวจสอบและทำการวิเคราะห์ Environment ต่างๆ ของ Microsoft Azure ของท่านได้ โดยผู้ดูแลระบบที่สนใจเครื่องมือดังกล่าวสามารถเข้าไปอ่านรายละเอียดได้ที่: https://github.

 

นักวิจัยค้นพบช่องโหว่ในแพตช์ความปลอดภัยของ Microsoft ที่ออกแก้ไขช่องโหว่ CVE-2020-0986

Maddie Stone นักวิจัยด้านความปลอดภัยจาก Google Project Zero ได้ออกมาเปิดเผยถึงการค้นพบว่าแพตช์ความปลอดภัยของ Microsoft ที่ออกแก้ไขช่องโหว่ CVE-2020-0986 ในเดือนมิถุนายนที่ผ่านมายังไม่ได้แก้ไขช่องโหว่อย่างสมบูรณ์และยังสามารถใช้ประโยชน์จากช่องโหว่ผ่านการโจมตีได้ โดยการปรับเปลี่ยนออฟเซ็ตของ pointer บางอย่างที่จะทำให้ผู้โจมตีสามารถเพิ่มสิทธิ์ในระดับเคอร์เนลบนเครื่องที่ถูกบุกรุกได้

ช่องโหว่ได้ถูกระบุรหัสใหม่คือ CVE-2020-17008 โดยช่องโหว่เกิดจากข้อผิดพลาดใน arbitrary pointer dereference ซึ่งจะช่วยให้ผู้โจมตีสามารถเข้าควบคุม “src” และ “dest” pointer ที่ถูกส่งไปยังฟังก์ชั่น memcpy และส่งผลให้เกิดเงื่อนไขที่ผู้โจมตีสามารถยกระดับสิทธิ์ในระบบได้

ทั้งนี้ Microsoft ได้รับรายงานเกี่ยวกับช่องโหว่แล้วเมื่อวันที่ 24 กันยายนที่ผ่านมา โดย Microsoft มีเวลา 90 วันในการแก้ไขช่องโหว่ก่อนที่ทาง Google Project Zero จะเปิดเผยช่องโหว่สู่สาธารณะ

ที่มา: bleepingcomputer

Jinson Varghese Behanan นักวิเคราะห์ความปลอดภัยข้อมูลจาก Astra ได้เปิดเผยถึงช่องโหว่ที่มีความรุนแรงในปลั๊กอิน WordPress ยอดนิยมที่มีชื่อว่า Contact Form 7 ซึ่งมีการดาวน์โหลดและติดตั้งอยู่กว่า 5 ล้านครั้ง

ช่องโหว่ที่มีความรุนแรงในปลั๊กอิน Contact Form 7 ถูกติดตามด้วยรหัส CVE-2020-35489 โดยช่องโหว่เกิดจากการตรวจสอบอักขระที่อยู่ในไฟล์ที่ถูกอัปโหลดไม่ดีพอ ซึ่งช่องโหว่จะเปิดโอกาศให้ผู้โจมตีสามารถ Bypass การตรวจสอบไฟล์ที่ทำการอัปโหลด ผู้โจมตีที่ทำการสร้างไฟล์ขึ้นมาเป็นพิเศษจะสามารถเรียกใช้โค้ดในไฟล์ที่ถูกอัปโหลดได้ ช่องโหว่นี้จะกระทบกับปลั๊กอิน Contact Form 7 เวอร์ชันก่อน 5.3.2

ทั้งนี้ผู้ดูแลเว็บไซต์ควรรีบทำการอัปเดตแพตช์ความปลอดภัยและติดตั้งปลั๊กอิน Contact Form 7 ให้เป็นเวอร์ชันล่าสุดเพื่อป้องกันผู้ประสงค์ร้ายใช้ประโยชน์จากช่องโหว่ทำการโจมตีระบบ

ที่มา: bleepingcomputer

สำนักงานความมั่นคงแห่งชาติของสหรัฐฯ หรือ National Security Agency (NSA) ได้ออกเผยเเพร่คำแนะนำด้านความปลอดภัยเกี่ยวกับเทคนิคที่แฮกเกอร์ใช้เพื่อเพิ่มการเข้าถึงจาก Local network ที่ถูกบุกรุกไปยัง Cloud-based infrastructure ขององค์กรหรือบริษัท

การเผยเเพร่คำแนะนำสืบเนื่องมาจากเหตุการณ์มีการตรวจพบ Supply-chain attack บนซอฟต์แวร์ SolarWinds Orion ที่อาจทำให้กลุ่มผู้ประสงค์ร้ายสามารถเข้าถึง Local network ขององค์กรหรือบริษัท โดย NSA ได้อธิบายเทคนิค Tactics, Techniques, and Procedures (TTPs) ที่แฮกเกอร์ใช้สองเทคนิคเพื่อเพิ่มการเข้าถึงจาก Local networks ที่ถูกบุกรุกไปยัง Cloud-based infrastructure ไว้ดังนี้

เทคนิคเเรกกลุ่มผู้ประสงค์ร้ายที่สามารถเข้าถึง SSO infrastructure และสามารถขโมยข้อมูล Credential หรือ Private key ได้จะใช้ข้อมูลในส่วนนี้ในการปลอมแปลง Security Assertion Markup Language (SAML) tokens เพื่อเข้าถึง Cloud-based infrastructure ขององค์กรหรือบริษัท
เทคนิคที่สองผู้ประสงค์ร้ายจะใช้ประโยชน์จาก Credential ของบัญชีผู้ดูแลระบบที่ถูกบุกรุกทั่วโลก ทำการเพิ่มบัญชีบนบริการระบบคลาวด์แอปพลิเคชัน เพื่อเข้าถึงทรัพยากรบนระบบคลาวด์อื่น ๆ ขององค์กร์ที่บุกรุก
NSA ได้ตั้งข้อสังเกตว่าเทคนิคทั้งสองไม่ได้เป็นเทคนิคใหม่และเทคนิคทั้งสองนี้ถูกนำมาใช้ตั้งแต่ปี 2017 แล้ว นอกจากนี้ NSA ยังกล่าวอีกว่าเทคนิคทั้งสองเทคนิคไม่ได้ใช้ประโยชน์จากช่องโหว่ในผลิตภัณฑ์ Federated Authentication แต่เป็นการละเมิดฟังก์ชันที่ถูกต้องตามกฎหมายหลังจากที่ Local network หรือบัญชีผู้ดูแลระบบถูกบุกรุก ทั้งนี้ผู้ที่สนใจรายละเอียดเพิ่มเติมสามารถอ่านได้ที่เเหล่งที่มา

ที่มา: zdnet | media.