Evgueni Erchov หัวหน้าทีม IR & Cyber ​​Threat Intelligence จาก Arete Incident Response ได้เปิดเผยถึงพฤติกรรมของกลุ่มแรนซัมแวร์ที่ได้ใช้กลยุทธ์ใหม่ในการกดดันและเรียกค่าไถ่จากผู้ที่ตกเป็นเหยื่อ โดยใช้บริการคอลเซ็นเตอร์โทรหาเหยื่อที่ถูกแฮกและอาจพยายามกู้คืนระบบจากการสำรองข้อมูลและหลีกเลี่ยงการจ่ายค่าไถ่

พฤติกรรมดังกล่าวยังสอดคล้องตามรายงานของ Emsisoft และ Coveware ที่ได้เห็นเเนวโน้มกลยุทธ์ใหม่ในการเรียกค่าไถ่จากผู้ที่ตกเป็นเหยื่อตั้งแต่อย่างน้อยเมื่อเดือนสิงหาคมที่ผ่านมา โดยกลุ่มแรนซัมแวร์ที่เคยโทรหาเหยื่อเพื่อข่มขู่เหยื่อในอดีตได้แก่กลุ่ม Sekhmet Ransomware, Maze Ransomware, Conti Ransomware และ Ryuk Ransomware

ตามรายงานของบริษัททั้ง 3 พบว่ากลุ่มคอลเซ็นเตอร์ที่โทรข่มขู่เหยื่อที่หลีกเลี่ยงการจ่ายค่าไถ่นั้นเป็นกลุ่มเดียวกับที่ทำงานให้กับกลุ่มแรนซัมแวร์ เนื่องจากมีเทมเพลตและสคริปต์ที่ใช้ในการติดต่อที่เหมือนกัน

ทั้งนี้บริษัทหรือองค์กรต่างๆ ควรทำการตรวจสอบระบบความปลอดภัยภายในเครือข่ายและทำการอัปเดตซอฟต์แวร์ที่ใช้อยู่สม่ำเสมอ เพื่อเป็นการป้องกันกการตกเป็นเหยื่อของผู้ประสงค์ร้าย

ที่มา: zdnet

 

จากการแจ้งเตือนของสำนักงานความปลอดภัยทางไซเบอร์และโครงสร้างพื้นฐานของสหรัฐฯ (Cybersecurity and Infrastructure Agency - CISA) ที่ได้ออกแจ้งเตือนเกี่ยวกับ Supply chain attack ที่เกิดขึ้นกับซอฟแวร์ SolarWinds Orion และผลกระทบต่อหน่วยงานของรัฐ, หน่วยงานโครงสร้างพื้นฐานที่สำคัญและองค์กรภาคเอกชนของสหรัฐฯ

โดยรายงานของสำนักข่าวรอยเตอร์ที่ได้รายงานถึงการบุกรุกเข้าไปในผลิตภัณฑ์ของ Microsoft ซึ่ง Microsoft ออกแถลงการณ์ยอมรับว่ามีการตรวจพบโทรจันในซอฟแวร์ SolarWinds Orion ที่อยู่ภายในเครือข่ายและ Microsoft ได้ทำการแก้ไขแล้ว ซึ่งหลังจากการแก้ไข Microsoft ไม่พบหลักฐานการเข้าถึงบริการการผลิตหรือข้อมูลลูกค้า ณ ตอนนี้ Microsoft ได้ถูกเข้าร่วมอยู่ในลิสต์ที่ถูกแฮกผ่านการอัปเดตแบ็คดอร์ผ่านซอฟแวร์ SolarWinds Orion โดยที่ก่อนหน้านี้ได้มีหน่วยงานของรัฐ, หน่วยงานโครงสร้างพื้นฐานที่สำคัญและองค์กรภาคเอกชนของสหรัฐฯ ถูกตกเป็นเหยื่อแล้ว เช่น กระทรวงการคลังสหรัฐฯ, โทรคมนาคมและสารสนเทศแห่งชาติของกระทรวงพาณิชย์สหรัฐ (NTIA), สถาบันสุขภาพแห่งชาติของกรมอนามัย (NIH), หน่วยงานความปลอดภัยทางไซเบอร์และโครงสร้างพื้นฐาน (CISA), กระทรวงความมั่นคงแห่งมาตุภูมิ (DHS), กระทรวงการต่างประเทศสหรัฐฯ, สถาบันแห่งชาติและบริหารจัดการความปลอดภัยนิวเคลียร์ (NNSA), กระทรวงพลังงานสหรัฐ (DOE)

ทั้งนี้ผู้ดูแลระบบควรรีบทำการอัปเดตแพตช์ความปลอดภัยของซอฟแวร์ SolarWinds Orion ให้เป็นเวอร์ชัน 2020.2.1 HF 2 เป็นการด่วนเพื่อป้องกันกลุ่มผู้ประสงค์ร้ายใช้ประโยชน์จากแบ็คดอร์ทำการโจมตีระบบ

ที่มา: zdnet

Google เปิดตัวแพตช์ความปลอดภัยประจำเดือนธันวาคมสำหรับอุปกรณ์ Android หรือ Android Security Bulletin December 2020 โดยในเดือนธันวาคมนี้ Google ได้แก้ไขช่องโหว่ 46 รายการและช่องโหว่ที่มีความสำคัญที่สุดจะทำให้ผู้โจมตีสามารถควบคุมโทรศัพท์มือถือที่มีช่องโหว่ได้จากระยะไกล

ช่องโหว่ที่สำคัญแต่ Google ไม่ได้เปิดเผยข้อมูลเฉพาะทางเทคนิคถูกติดตามด้วยรหัส CVE-2020-0458 จะส่งผลกระทบต่อ Android 8.0, 8.1, 9 และ 10

ช่องโหว่ที่สำคัญอีกหนึ่งประการและมีคะแนนความรุนแแรงจาก CVSS อยู่ที่ 9.8 จาก 10 คือช่องโหว่ CVE-2020-11225 ในชิปเซ็ต Qualcomm

ผู้ใช้ Android ควรทำการอัปเดตแพตช์ความปลอดภัยเป็นเวอร์ชันล่าสุดเพื่อป้องกันผู้ประสงค์ร้ายใช้ประโนชน์จากช่องโหว่ทำการโจมตี ทั้งนี้ผู้ที่สนใจรายละเอียกเพิ่มเติมของแพตช์ความปลอดภัยสามารถดูได้จากแหล่งที่มา

ที่มา: securityweek | threatpost | source.

Open Source Security Foundation หรือ OpenSSF ประกาศเมื่อวันพุธที่ผ่านมาในงาน Black Hat Europe ถึงโครงการโอเพนซอร์สใหม่สำหรับการประเมินประสิทธิภาพซอฟแวร์ประเมินความปลอดภัยแอปแบบ static analysis security testing หรือ SAST ภายใต้ชื่อ OpenSSF CVE Benchmark

ในการทำงานของ OpenSSF CVE Benchmark นั้น มันจะทำการประเมินประสิทธิภาพซอฟต์แวร์โดยกำหนดเงื่อนไขของโค้ดที่มีช่องโหว่และข้อมูลแวดล้อมอื่น ๆ จากช่องโหว่ในภาษา JavaScript และ TypeScript กว่า 218 รูปแบบ

OpenSSF CVE Benchmark สามารถทำงานร่วมกับ ESLint, CodeQL และ NodeJsScan ได้เป็นค่าเริ่มต้น ทั้งนี้ผู้พัฒนาคาดหวังว่าเมื่อโครงการถูกเผยแพร่ออกไปแล้ว OpenSSF CVE Benchmark จะรองรับการทำงานร่วมกับ SAST ตัวอื่นมากยิ่งขึ้น

ผู้ที่สนใจสามารถดูรายละเอียดเพิ่มเติมของโครงการได้ที่ https://github.

บริษัทผลิตชิ้นส่วนอิเล็กทรอนิกส์ชื่อดัง Foxconn ตกเป็นเหยื่อรายล่าสุดของกลุ่มมัลแวร์เรียกค่าไถ่ DoppelPaymer หลังจากกลุ่มมัลแวร์เรียกค่าไถ่ประสบความสำเร็จในการโจมตีโรงงานในเม็กซิโกและสามารถขโมยข้อมูลรวมไปถึงเข้ารหัสไฟล์ข้อมูลได้

การโจมตีเกิดขึ้นในช่วงวันหยุด Thanksgiving โดยการโจมตีถูกค้นพบจากประกาศของกลุ่ม DoppelPaymer บนหน้าเว็บไซต์ของทางกลุ่ม อ้างอิงจากประกาศดังกล่าว กลุ่ม DoppelPaymer อ้างว่าทางกลุ่มประสบความสำเร็จในการขโมยข้อมูลทั่วไปของบริษัทและรายงาน หลังจากการโจมตี เว็บไซต์หลักของโรงงานถูกปิดและแสดงข้อความผิดพลาดทันทีแก่ผู้เยี่ยมชมเว็บไซต์

อ้างอิงจากแหล่งข่าวของ Bleeping Computer มีการระบุว่า DoppelPaymer เรียกค่าไถ่ Foxconn เป็นจำนวน 34 ล้านเหรียญสหรัฐฯ หรือกว่า 1,022,601,000 ล้านบาท ทาง Bleeping Computer ยังได้มีการสัมภาษณ์กลุ่ม DoppelPaymer และได้ข้อมูลเพิ่มเติมมาด้วยว่า การโจมตีดังกล่าวกระทบเฉพาะส่วนของบริษัทในอเมริกาเหนือ ซึ่งเซิร์ฟเวอร์ที่ได้รับผลกระทบอยู่ 1,200 ถึง 1,400 ระบบ โดยทางกลุ่มฯ ยังทำการทำลายไฟล์สำรองข้อมูลไปกว่า 20-30 เทระไบต์จากทั้งหมด 75 เทระไบต์ด้วย

ที่มา: bleepingcomputer | securityweek

Google เปิดตัวโครงการ Atheris ซึ่งเป็นโครงสำหรับช่วยหาบั๊กในโค้ด Python ด้วยวิธีการแบบ coverage-gided fuzzing หรือการทดลองใส่อินพุตให้กับโปรแกรมไปเรื่อยๆ จากนั้นคอยมอนิเตอร์พฤติกรรมของโปรแกรมเพื่อหาเงื่อนไขที่อาจเป็นบั๊กหรือช่องโหว่

Atheris รองรับการทำงานกับเป้าหมายที่เป็นทั้ง Python 2.7 และ Python 3.3+ แต่จะทำงานได้ดีที่สุดสำหรับโปรแกรมที่ถูกพัฒนาโดยใช้ Python 3.8 หรือมากกว่า ผู้ใช้งานสามารถติดตั้ง Artheris ได้ผ่าน Pip และใช้เป็นหนึ่งในโมดูลเพื่อทำ fuzzing ได้ทันที

ดูข้อมูลของโครงการเพิ่มเติมได้จาก https://github.

นักวิจัยด้านความปลอดภัยของ Kaspersky ได้เปิดเผยรายละเอียดเกี่ยวกับแบ็คดอร์ PowerShell ใน Windows ที่พึ่งมีการค้นพบ โดยแบ็คดอร์ที่มีการค้นพบนั้นถูกระบุชื่อว่า PowerPepper ตามภาษาที่ถูกใช้เพื่อพัฒนาแบ็คดอร์ เชื่อว่าเป็นแบ็คดอร์ที่ถูกพัฒนามาจากกลุ่ม Advanced Persistent Threat (APT) รับจ้างที่มีชื่อว่า DeathStalker

กลุ่ม DeathStalker เป็นกลุ่ม APT ที่ถูกพบครั้งเเรกในปี 2012 โดยมีการกำหนดเป้าหมายการโจมตีไปยังกลุ่มธุรกิจขนาดเล็กถึงขนาดกลางในหลายสิบประเทศตามคำขอของลูกค้าที่ทำการว่าจ้าง กิจกรรมการโจมตีที่ถูกตรวจพบว่ามีการใช้ PowerPepper ถูกพบครั้งแรกเมื่อต้นเดือนกรกฎาคมที่ผ่านมา การโจมตีส่วนใหญ่เริ่มต้นด้วยอีเมล Spear-phishing ที่มีไฟล์เอกสาร Word ที่เป็นอันตราย ซึ่งเมื่อคลิกแล้วจะดาวน์โหลดและเรียกใช้สคริปต์ PowerShell ชื่อ Powersing เพื่อดำเนินการรันคำสั่งอันตราย จากนั้นมัลแวร์จะใช้ประโยชน์จากโปรโตคอล DNS-over-HTTPS (DoH) เป็นช่องทางการสื่อสารจากเซิร์ฟเวอร์ Command and Control (C&C) ของผู้ประสงค์ร้าย

เพื่อเป็นการป้องกันการตกเป็นเหยื่อผู้ใช้ควรระมัดระวังในการเปิดเอกสารที่แนบมากับอีเมล หรือคลิกลิงก์ในอีเมลจากผู้ส่งที่ไม่รู้จัก หรือผู้ดูแลระบบควรทำจำกัดการใช้งาน PowerShell บนคอมพิวเตอร์ของผู้ใช้ด้วยอีกทางหนึ่ง

ที่มา: thehackernews | securityweek

นักวิจัยด้านความปลอดภัยจาก Check Point ได้เปิดเผยถึงช่องโหว่ในไลบรารี Play Core ซึ่งเป็นไลบรารีของ Android ยอดนิยมที่ช่วยให้นักพัฒนาสามารถจัดการโมดูลและฟีเจอร์ใหม่ได้อย่างมีประสิทธิภาพ โมดูลนี้ถูกใช้ในแอปพลิเคชันยอดนิยมมากมายรวมถึง Grindr, Bumble, OkCupid, Cisco Teams, Moovit, Yango Pro, Microsoft Edge, Xrecorder และ PowerDirector ด้วยช่องโหว่จากไลบรารีนี้จะทำให้ผู้ใช้ Android ตกอยู่ในความเสี่ยงต่อการถูกขโมยข้อมูลที่ละเอียดอ่อน เช่น อีเมล และรหัสผ่านที่ใช้ทางการเงิน เป็นต้น

ช่องโหว่ถูกติดตามด้วยรหัส CVE-2020-8913 (CVSSv3: 8.8/10) จะส่งผลกระทบกับ Android ไลบรารี Play Core เวอร์ชันก่อน 1.7.2. โดยผู้ประสงค์ร้ายสามารถใช้ประโยชน์จากช่องโหว่เพื่อโหลดและรันโค้ดที่เป็นอันตราย (เช่นไฟล์ APK) ไปยังแอปที่เป็นเป้าหมาย และส่งผลให้ผู้โจมตีสามารถขโมยรายละเอียดการเข้าสู่ระบบ, รหัสผ่าน, SMS ยืนยันที่มีโค้ด 2FA, รายละเอียดทางการเงินและข้อมูลที่ละเอียดอ่อนอื่น ๆ ของผู้ใช้

นักวิจัยยังกล่าวอีกว่าในปัจจุบันพบว่าแอปพลิเคชันบน Google Play จำนวน 13% ที่มีความเสี่ยงและจากข้อมูลการวิเคราะห์ในเดือนกันยายน 2020 ที่ผ่านมาพบว่า 8% ของแอปเหล่านั้นมีเวอร์ชันของไลบรารีที่มีช่องโหว่

หลังจากเปิดเผยรายงานผู้พัฒนาแอปพลิเคชันบางรายได้เริ่มทยอยการอัปเดตแอปพลิเคชันแล้ว ทั้งนี้ผู้ใช้ Android ควรทำการอัปเดตแอปพลิเคชันที่ใช้งานให้เป็นเวอร์ชันล่าสุดอยู่เสมอเพื่อป้องกันการตกเป็นเหยื่อจากผู้ประสงค์ร้ายใช้ประโยชน์จากช่องโหว่ทำการโจมตี

ที่มา: thehackernews | bankinfosecurity

หน่วยงานซึ่งรับผิดชอบการประเมิน ควบคุมและอนุญาตการใช้ยาตัวใหม่ในสหภาพยุโรป European Medicines Agency (EMA) ซึ่งกำลังรับผิดชอบการอนุญาตใช้วัคซีน COVID-19 ถูกโจมตีทางไซเบอร์ ยังไม่ทราบผลกระทบอย่างแน่ชัด

EMA ประกาศการโจมตีทางไซเบอร์เมื่อวันอังคารที่ผ่านมาบนหน้าเว็บไซต์ของหน่วยงาน ทั้งนี้ EMA ระบุว่ารายละเอียดและผลกระทบของเหตุการณ์ยังไม่สามารถเปิดเผยได้เนื่องจากกำลังอยู่ในระหว่างการสอบสวน อย่างไรก็ตาม Pfizer ซึ่งเป็นผู้ผลิตวัคซีนร่วมกับ BioNTech ได้มีแถลงการณ์ร่วมเกี่ยวกับการโจมตีนี้ว่า เอกสารที่เกี่ยวข้องกับการอนุญาตของ BNT162b2 ซึ่งเป็นรหัสของวัคซีน COVID-19 ถูกเข้าถึงโดยไม่ได้รับอนุญาตจากการโจมตีดังกล่าว

ไอ-ซีเคียวจะทำการอัปเดตสถานการณ์หากมีข้อมูลเพิ่มเติม

ที่มา: bleepingcomputer

มัลแวร์ TrickBot เพิ่มฟีเจอร์ใหม่ TrickBoot ทำให้มัลแวร์สามารถเข้าควบคุมเฟิร์มแวร์ในระดับ UEFI ได้

นักวิจัยจากบริษัท Advanced Intelligence (AdvIntel) และ Eclypsium ได้ออกรายงานถึงการพบความสามารถใหม่ในโมดูล TrickBot ที่จะช่วยให้มัลแวร์ TrickBot สามารถเข้าถึงแล้วควบคุม BIOS หรือเฟิร์มแวร์ UEFI ของคอมพิวเตอร์ที่ติดไวรัสได้

ตามรายงานของนักวิจัยด้านความปลอดภัยซึ่งได้ระบุว่ามัลแวร์ TrickBot ได้ทำการปรับใช้โมดูล bootkit ซึ่งเป็นฟีเจอร์นี้จะช่วยให้มัลแวร์ TrickBot สามารถเข้าถึงแล้วควบคุม BIOS หรือเฟิร์มแวร์ UEFI ของคอมพิวเตอร์ที่ติดไวรัสและมัลแวร์สามารถคงอยู่ได้ต่อไปหลังจากผู้ใช้ทำการติดตั้งระบบปฏิบัติการ อีกทั้งภายในโมดูลยังมีความสามารถที่จะช่วยให้ผู้ประสงค์ร้ายสามารถทำได้ดังนี้

สามารถปิดการเข้าถึงอุปกรณ์จากระยะไกลที่ระดับเฟิร์มแวร์ผ่านการเชื่อมต่อระยะไกลของมัลแวร์ทั่วไป สามารถ Bypass ระบบ Security control เช่น BitLocker, ELAM, Windows 10 Virtual Secure Mode, Credential Guard, Endpoint Protection และซอฟต์แวร์ป้องกันไวรัส เป็นต้น
สามารถทำให้ผู้ประสงค์ร้ายกำหนดเป้าหมายการโจมตีช่องโหว่ Intel CSME หรือบางส่วนของ SPI controller ได้
สามารถ Reverse ACM หรือการอัปเดตไมโครโค้ดที่แก้ไขช่องโหว่ของ CPU เช่น Spectre, MDS เป็นต้น
นักวิจัยด้านความปลอดภัยยังกล่าวอีกว่ามัลแวร์มีโค้ดสำหรับอ่านเขียนและลบเฟิร์มแวร์ ซึ่งปัจจุบันโมดูลของ TrickBot ยังสามารถทำงานกับคอนโทรลเลอร์ SPI เท่านั้น ด้วยมัลแวร์ TrickBot มีความเกี่ยวเนื่องกับกลุ่ม Ransomware ในอนาคตอาจมีความเป็นไปได้ว่ากลุ่มผู้ประสงค์ร้ายนั้นจะใช้ฟีเจอร์ใหม่ของมัลแวร์ TrickBot นี้ทำการทำลายระบบของบริษัทหรือองค์กรต่างๆ ปฏิเสธการจ่ายเงินที่ถูกเรียกร้อง ทั้งนี้โมดูลนี้ยังสามารถใช้เพื่อป้องกันไม่ให้ทำการค้นหาหลักฐานทางนิติวิทยาศาสตร์ที่สำคัญได้โดยทำให้ความสามารถในการบู๊ตของระบบล้มเหลว

ผู้ใช้งานควรหลีกเลี่ยงการการดาวน์โหลดไฟล์จากเว็บไซต์ที่ไม่รู้จักและทำการอัปเดตซอฟต์แวร์ป้องกันไวรัสอยู่เสมอเพื่อป้องกันการตกเป็นเหยื่อของมัลแวร์

ที่มา: zdnet | thehackernews