บริการรับส่งของ PickPoint ซึ่งผู้ใช้งานสามารถระบุให้มีการส่งของไปยังตู้รับฝากของถูกแฮกเกอร์นิรนามโจมตีเมื่อวันที่ 4 ธันวาคมที่ผ่านมา ผลการจากการโจมตีทำให้แฮกเกอร์สามารถสั่งเปิดตู้กว่า 3,000 ตำแหน่งรอบมอสโคว์และในเซนต์ปีเตอร์สเบิร์ก

PickPoint ระบุว่าช่องโหว่ที่ถูกใช้เพื่อโจมตีและเป้าหมายในการโจมตียังไม่ถูกค้นพบ อย่างไรก็ตามทางบริษัทได้มีการประสานงานกับหน่วยงานรัฐฯ ทันทีที่ตรวจพบการโจมตี ในขณะนี้จำนวนของที่ซึ่งฝากไว้ในตู้และอาจถูกขโมยไปจากการโจมตียังไม่สามารถทราบได้อย่างแน่ชัด เนื่องจากทันทีที่มีการตรวจพบการโจมตีและประกาศทาง Social network ผู้ที่อยู่ในบริเวณตู้ที่ถูกโจมตีก็ได้มีการป้องกันการเข้าถึงตู้ในทันที

ที่มา: zdnet

ที่มาคลิปวีดิโอ: MicroRomario

Google ประกาศเปิดตัวเว็บไซต์ Vulnerability knowledge base "XSLeaks.dev" โดยเป็น KB ที่อธิบายที่มา ข้อผิดพลาด สาเหตุและคำแนะนำสำหรับช่องโหว่ใน Cross-site ของแอปพลิเคชัน

ผู้ที่สนใจสามารถเข้าถึง Knowledge base ได้จาก xsleaks

ที่มา: securityweek

โครงการ OpenSSL ประกาศเวอร์ชันใหม่ของซอฟต์แวร์ OpenSSL พร้อมกับแพตช์ด้านความปลอดภัยสำหรับช่องโหว่ที่ถูกแจ้งโดย David Benjamin จาก Google ช่องโหว่ถูกโจมตีและทำให้ระบบที่ใช้งานตกอยู่ในเงื่อนไข Denial of Service (DoS) ได้

ช่องโหว่ดังกล่าวเกิดจากปัญหา null pointer derefence ในการตรวจสอบข้อมูลในใบรับรอง X.509 โดยแฮกเกอร์สามารถสร้างใบรับรองแบบพิเศษ จากนั้นหลอกให้เหยื่อซึ่งใช้ซอฟต์แวร์ OpenSSL ในรุ่นที่มีช่องโหว่ทำการเข้าถึงและตรวจสอบ เหยื่อจะถูกโจมตีและเจอข้อผิดพลาด DoS ได้

ช่องโหว่นี้ส่งผลกระทบกับ OpenSSL ในรุ่น 1.1.1 และ 1.0.2 ผู้ใช้งานควรทำการอัปเกรดเป็น OpenSSL 1.1.1i โดยด่วน

ที่มา: securityweek

นักวิจัยด้านความปลอดภัย Oskars Vegeris จาก Evolution Gaming ได้ออกมาประกาศถึงรายละเอียดของช่องโหว่ด้านความปลอดภัยใน Microsoft Teams ซึ่้งได้มีการแจ้งเข้าไปยังไมโครซอฟต์ตั้งแต่เดือนสิงหาคมที่ผ่านมา ก่อนจะถูกไมโครซอฟต์ปฏิเสธไม่กำหนด CVE ให้เนื่องจาก Policy ของไมโครซอฟต์นั้นกำหนดไว้ว่าทางไมโครซอฟต์จะไม่กำหนด CVE ให้กับกลุ่มผลิตภัณฑ์ที่มีกลไกการอัปเดตโดยอัตโนมัติ

จากรายละเอียดของช่องโหว่ที่เปิดเผยโดย Oskars เอง ช่องโหว่ดังกล่าวเป็นช่องโหว่ในลักษณะ Remote code execution (RCE) ซึ่งจะทำงานทันทีที่ผู้ใช้งานเห็นข้อความที่ถูกส่งมาจาก Microsoft Teams โดยมีที่มาจากปัญหา Cross-site scripting (XSS) ในฟังก์ชันเกี่ยวกับ mention ชื่อผู้ใช้งานอื่นซึ่งนำไปสู่การทำ RCE ช่องโหว่สามารถถูกพัฒนาให้แพร่กระจายมัลแวร์ได้ด้วยตัวเอง ทำให้ช่องโหว่ดังกล่าวถูกระบุว่าเป็นช่องโหว่ Wormable ด้วย

ช่องโหว่นี้ส่งผลกระทบกับ Microsoft Team ทุกแพลตฟอร์ม ได้แก่ Microsoft Teams for Windows (v1.3.00.21759), Linux (v1.3.00.16851), macOS (v1.3.00.23764) และแพลตฟอร์ม web (teams.

สำนักงานความมั่นคงแห่งชาติ (National Security Agency - NSA) ได้ออกแจ้งเตือนถึงกลุ่มแฮกเกอร์ที่ได้รับการสนับสนุนจากรัฐบาลของรัสเซียกำลังใช้ประโยชน์จากช่องโหว่ CVE-2020-4006 ในผลิตภัณฑ์ VMware Workspace One ที่เพิ่งได้รับการแก้ไขช่องโหว่ในการขโมยข้อมูลที่มีความละเอียดอ่อนจากเป้าหมาย

ช่องโหว่ CVE-2020-4006 เป็นช่องโหว่ Command injection ช่องโหว่ถูกพบใน Administrative configurator ของ VMware Workspace ONE Access บางรุ่น, Access Connector, Identity Manager และ Identity Manager Connector โดยผู้โจมตีที่สามารถเข้าถึงระบบ Administrative configurator ในเครือข่ายด้วยพอร์ต 8443 และมีรหัสผ่านที่ถูกต้องของ VMware สามารถรันคำสั่งบนระบบปฏิบัติการด้วยสิทธิ์เต็มของผู้ดูแลระบบระบบปฏิบัติการได้ ซึ่งผลิตภัณฑ์ที่ได้รับผลกระทบจากช่องโหว่นี้ได้แก่

VMware Workspace One Access 20.10 (Linux)
VMware Workspace One Access 20.01 (Linux)
VMware Identity Manager 3.3.1 ถึง 3.3.3 (Linux)
VMware Identity Manager Connector 3.3.2, 3.3.1 (Linux)
VMware Identity Manager Connector 3.3.3, 3.3.2, 3.3.1 (Windows)
การตรวจจับการโจมตีเกิดจากที่ทาง NSA ได้สังเกตเห็นกลุ่มแฮกเกอร์ที่ได้ทำการเชื่อมต่อกับอินเทอร์เฟซ Administrative configurator ในผลิตภัณฑ์ที่มีช่องโหว่และทำการแทรกซึมเครือข่ายขององค์กรเพื่อติดตั้ง Web shell หลังจากนั้นกลุ่มแฮกเกอร์ได้ใช้ Web shell ทำการขโมยข้อมูลที่มีความละเอียดอ่อน โดยใช้ SAML credential เพื่อเข้าถึงเซิร์ฟเวอร์ Microsoft Active Directory Federation Services (ADFS) ภายในเครือข่าย

ทั้งนี้ผู้ดูแลระบบทำการอัปเดตแพตช์ความปลอดภัยเป็นการด่วน เพื่อเป็นการป้องกันผู้ประสงค์ร้ายทำการโจมตีระบบ ทั้งนี้ผู้ดูแลระบบสามารถเข้าไปดูรายละเอียดและดาวน์โหลดแพตช์เพิ่มเติมได้ที่: vmware

ที่มา: bleepingcomputer | securityaffairs

Cisco ได้เปิดตัวแพตช์การอัปเดตด้านความปลอดภัยเพื่อแก้ไขช่องโหว่การเรียกใช้โค้ดจากระยะไกล (Remote Code Execution - RCE) ใน Cisco Security Manager (CSM) เวอร์ชัน 4.22 และรุ่นก่อนหน้า ที่ถูกใช้ใน Cisco ASA appliances, Cisco Catalyst 6000 Series Switches, Integrated Services Routers (ISRs), และ Firewall Services modules หลังจาก Florian Hauser นักวิจัยด้านความปลอดภัยจาก Code White ได้เปิดเผย PoC ของช่องโหว่ต่อสาธารณะในเดือนพฤศจิกายนที่ผ่านมา

ช่องโหว่ทั้ง 12 รายการถูกติดตามด้วยรหัส CVE-2020-27131 โดยช่องโหว่จะทำให้ผู้โจมตีที่ไม่ได้รับการพิสูจน์ตัวตนสามารถรันโค้ดได้จากระยะไกลได้ ซึ่งช่องโหว่ยังสามารถทำให้ผู้โจมตีสามารถสร้างคำขอที่เป็นอันตรายตลอดจนอัปโหลดและดาวน์โหลดไฟล์ได้โดยไม่ได้รับอนุญาตในนามของบัญชีผู้ใช้ที่มีสิทธิ์สูงสุด "NT AUTHORITY\SYSTEM"

ทีม Cisco Product Security Incident Response Team (PSIRT) กล่าวว่าในขณะที่ทำการแก้ไขช่องโหว่นี้ เป็นความโชคดีที่ยังไม่พบการใช้ประโยชน์จากช่องโหว่ทำการโจมตีระบบ

ทั้งนี้ Cisco ได้ทำการแก้ไขช่องโหว่เหล่านี้แล้วใน Cisco Security Manager เวอร์ชัน 4.22 Service Pack 1 ผู้ดูแลระบบควรรีบทำการอัปเดตและติดตั้งเเพตช์ เพื่อเเก้ไขช่องโหว่และเพื่อเป็นการป้องกันผู้ประสงค์ร้ายใช้ประโยชน์จากช่องโหว่ทำการโจมตีระบบ

ที่มา: bleepingcomputer | securityaffairs

Ian Beer นักวิจัยจาก Google Project Zero ได้เปิดเผยรายละเอียดของช่องโหว่ที่สำคัญใน iOS ที่มีลักษณะ "wormable" และได้รับการแก้ไขแล้ว ซึ่งช่องโหว่อาจทำให้ผู้โจมตีจากระยะไกลสามารถเข้าควบคุมอุปกรณ์ใดๆ ในบริเวณใกล้เคียงได้ผ่าน Wi-Fi ได้อย่างสมบูรณ์

ช่องโหว่ถูกติดตามด้วยรหัส CVE-2020-3843 ได้รับการแก้ไขช่องโหว่แล้วในชุดการอัปเดตการรักษาความปลอดภัยที่เป็นส่วนหนึ่งของการอัปเดต iOS 13.3.1 , MacOS Catalina 10.15.3 และ watchOS 5.3.7 โดยช่องโหว่เกิดจากข้อผิดพลาดจากการเขียนโปรเเกรม Buffer overflow ในไดรเวอร์ Wi-Fi ที่เชื่อมโยงกับ Apple Wireless Direct Link ( AWDL ) ซึ่งเป็นโปรโตคอลเครือข่ายถูกพัฒนาโดย Apple เพื่อใช้ใน AirDrop, AirPlay และอื่น ๆ ทำให้การสื่อสารง่ายขึ้นระหว่างอุปกรณ์ Apple

นักวิจัยกล่าวว่าช่องโหว่จะทำให้สามารถอ่านและเขียนหน่วยความจำเคอร์เนลได้โดยไม่ต้องรับอนุญาติจากระยะไกล โดยใช้ประโยชน์จากการส่งเพย์โหลดเชลล์โค้ดลงในหน่วยความจำเคอร์เนลผ่านกระบวนการ เพื่อหลีกเลี่ยงการป้องกันแซนด์บ็อกซ์ของกระบวนการในการรับข้อมูลจากผู้ใช้ จากนั้นจะใช้ประโยชน์จาก Buffer overflow ใน AWDL เพื่อเข้าถึงอุปกรณ์และเรียกใช้เพย์โหลด ด้วยวิธีการนี้จะช่วยให้ผู้ประสงค์ร้ายสามารถเข้าควบคุมข้อมูลเครื่องและสามารถเข้าถึงข้อมูลส่วนตัวของผู้ใช้ได้รวมถึงอีเมล, รูปภาพ, ข้อความ, ข้อมูล iCloud และอื่น ๆ

ทั้งนี้ผู้ใช้ iOS ควรทำการอัปเดต iOS ให้เป็นเวอร์ชันล่าสุด เพื่อป้องกันการใช้ประโยชน์จากช่องโหว่ทำการโจมตีผู้ใช้

ที่มา: thehackernews | threatpost

นักวิจัยด้านความปลอดภัยจาก Juniper Threat Labs ได้เปิดเผยถึงเป้าหมายการโจมตีของบอตเน็ต DarkIRC ที่กำลังพยายามสแกนหาและใช้ประโยชน์จากช่องโหว่ CVE-2020-14750 (Remote Code Execution - RCE) ในเซิร์ฟเวอร์ Oracle WebLogic ที่สามารถเข้าถึงได้จากอินเตอร์เน็ตและยังไม่ได้รับการแพตช์เพื่อแก้ไขช่องโหว่

ตามรายงานจากนักวิจัยด้านความปลอดภัยที่ได้ทำการตรวจสอบเซิร์ฟเวอร์ Oracle WebLogic จากเครื่องมือค้นหาของ Shodan พบว่ามีเซิร์ฟเวอร์ Oracle WebLogic ประมาณ 3,000 เครื่องที่สามารถเข้าถึงได้บนอินเทอร์เน็ต

ช่องโหว่ CVE-2020-14750 (RCE) ในเซิร์ฟเวอร์ Oracle WebLogic เป็นช่องโหว่ที่สำคัญและมีความรุนเเรงจากคะแนน CVSSv3 อยู่ที่ 9.8/10 โดยช่องโหว่ช่วยให้ผู้โจมตีสามารถควบคุมระบบได้โดยการส่ง HTTP request ที่สร้างขึ้นมาเป็นพิเศษและไม่มีการตรวจสอบสิทธิ์ไปยังเซิร์ฟเวอร์ Oracle WebLogic เวอร์ชัน 10.3.6.0.0, 12.1.3.0.0, 12.2.1.3.0, 12.2.1.4.0 และ 14.1.1.0

นักวิจัยกล่าวว่าบอตเน็ต DarkIRC ทำกำหนดเป้าหมายไปยังเครือข่ายของเซิร์ฟเวอร์ Oracle WebLogic ที่สามารถเข้าถึงได้จากอินเทอร์เน็ต โดยเมื่อบุกรุกได้แล้วจะทำการดาวน์โหลดไฟล์เพื่อขโมยข้อมูลภายในเครื่อง, Keylogger, ขโมยข้อมูล Credential และจะสั่งรัน Command บนเครื่องที่ถูกบุกรุกและทำการส่งข้อมูลกลับไปยังเซิร์ฟเวอร์ C&C ของผู้ประสงค์ร้าย นอกจากนี้บอตเน็ตยังมีฟีเจอร์ที่จะทำการเปลื่ยนที่อยู่ Bitcoin wallet ที่อยู่ภายในเครื่องไปยังที่อยู่ Bitcoin wallet ของผู้ประสงค์ร้าย ทั้งนี้บอตเน็ต DarkIRC ถูกผู้ใช้ที่ชื่อ "Freak_OG" ทำการวางขายบอตเน็ตในแฮ็กฟอรัม โดยราคาขายอยู่ที่ $75 (ประมาณ 2,259 บาท) ตั้งแต่เดือนสิงหาคมที่ผ่านมา

ผู้ดูแลระบบเซิร์ฟเวอร์ Oracle WebLogic ควรทำการอัปเดตเเพตซ์ความปลอดภัยเป็นการเร่งด่วนและควรทำการปิดการเข้าถึงเซิฟเวอร์จากอินเตอร์เน็ตเพื่อเป็นการป้องกันการใช้ประโยชน์จากช่องโหว่ทำการโจมตีระบบ

ที่มา: thehackernews

 

อ้างอิงจากการรายงานโดยเพจ SOSECURE พบการขายฐานข้อมูลส่วนบุคคลจากบริการที่เกี่ยวข้องกับ online booking ในประเทศไทยวางขาย 837.371.904 รายการ โดยมีการรวบรวมมาจาก 6 ฐานข้อมูล ตัวอย่างข้อมูลที่นำมาแสดงมีความหลากหลาย ไม่ว่าจะเป็น ข้อมูลการเดินทางของผู้โดยสาร สายการบิน บริการเช่ารถที่ใช้ โรงแรม ตั๋วเครื่องบิน ชื่อ ที่อยู่ ไปจนถึงข้อมูลที่คล้ายกับหมายเลขบัตรเครดิต

ทีม Intelligent Response จากไอ-ซีเคียวได้ยืนยันแหล่งที่มาข่าวแล้วพบว่าเป็นจริง อย่างไรก็ตามเรายังไม่ได้มีการยืนยันข้อมูลตัวอย่างที่ผู้ขายนำมาแสดงว่าเป็นข้อมูลจริงหรือไม่ โดยผู้ขายได้ระบุว่าในขณะนี้หยุดการขายฐานข้อมูลดังกล่าวแล้ว

อ้างอิง facebook.

นักวิจัยด้านความปลอดภัยอิสระที่มีชื่อว่า The Analyst ได้เปิดเผยถึงการพบมัลแวร์ Gootkit ที่กลับมาพร้อมกับ REvil Ransomware ในแคมเปญการโจมตีใหม่ที่กำหนดเป้าหมายไปยังประเทศเยอรมนี

นักวิจัยกล่าวว่าเหตุการณ์ในแคมเปญที่เป็นอันตรายใหม่ของมัลแวร์ Gootkit นี้พบผู้ประสงค์ร้ายกำลังเเฮกไซต์ WordPress และใช้ SEO poisoning แสดงโพสต์ของผู้ประสงค์ร้ายเพื่อให้หลอกให้ผู้ใช้หรือผู้ตอบเยื่ยมชมเว็บไซต์คำถาม โดยคำตอบจะมีลิงก์ไปยังแบบฟอร์มปลอมผู้ประสงค์ร้ายหรือหน้าเว็บที่ให้ทำการดาวน์โหลดไฟล์ของผู้ประสงค์ร้าย ซึ่งเมื่อผู้ใช้คลิกที่ลิงก์ผู้ใช้จะดาวน์โหลดไฟล์ ZIP ที่มีไฟล์ JavaScript ที่เป็นอันตรายและภายในจะมีโค้ดติดตั้งมัลแวร์ Gootkit หรือ REvil ransomware

สอดคล้องกับรายงานของนักวิจัยจาก Malwarebytes ที่ได้อธิบายเพย์โหลด JavaScript ที่เป็นอันตรายและจะทำการโจมตีแบบ fileless attacks เมื่อทำการคลิกเปิดสคริปต์ JavaScript ที่เชื่อมต่อกับเซิร์ฟเวอร์ C&C ของผู้ประสงค์ร้ายและจะดาวน์โหลดสคริปต์อื่นๆ ที่มีเพย์โหลดมัลแวร์ที่เป็นอันตราย ซึ่งในการวิเคราะห์เพย์โหลดนี้มักจะเจอมัลแวร์ Gootkit แต่ในบางกรณีก็เป็น REvil ransomware อย่างไรก็ดีเพย์โหลดเหล่านี้จะถูกจัดเก็บเป็นสตริงที่เข้ารหัส Base64 หรือฐานสิบหกและจะสร้าง Windows Registry เป็นจำนวนมาก เพื่อให้ซอฟต์แวร์รักษาความปลอดภัยหรือซอฟต์แวร์ป้องกันไวรัสตรวจจับเพย์โหลดที่เป็นอันตรายได้ยากขึ้น

ทั้งนี้ผู้ใช้ควรมีความระมัดระวังในการเข้าใช้หรือเข้าเยื่ยมชมเว็บไซต์ที่ไม่รู้จักและไม่ควรทำการดาวน์โหลดไฟล์ใดๆ จากเว็บไซต์เหล่านี้เพื่อเป็นการป้องกันการตกเป็นเหยื่อของมัลแวร์

ที่มา: bleepingcomputer.