นักวิจัยด้านความปลอดภัยจาก Juniper Threat Labs ได้เปิดเผยถึงเป้าหมายการโจมตีของบอตเน็ต DarkIRC ที่กำลังพยายามสแกนหาและใช้ประโยชน์จากช่องโหว่ CVE-2020-14750 (Remote Code Execution - RCE) ในเซิร์ฟเวอร์ Oracle WebLogic ที่สามารถเข้าถึงได้จากอินเตอร์เน็ตและยังไม่ได้รับการแพตช์เพื่อแก้ไขช่องโหว่

ตามรายงานจากนักวิจัยด้านความปลอดภัยที่ได้ทำการตรวจสอบเซิร์ฟเวอร์ Oracle WebLogic จากเครื่องมือค้นหาของ Shodan พบว่ามีเซิร์ฟเวอร์ Oracle WebLogic ประมาณ 3,000 เครื่องที่สามารถเข้าถึงได้บนอินเทอร์เน็ต

ช่องโหว่ CVE-2020-14750 (RCE) ในเซิร์ฟเวอร์ Oracle WebLogic เป็นช่องโหว่ที่สำคัญและมีความรุนเเรงจากคะแนน CVSSv3 อยู่ที่ 9.8/10 โดยช่องโหว่ช่วยให้ผู้โจมตีสามารถควบคุมระบบได้โดยการส่ง HTTP request ที่สร้างขึ้นมาเป็นพิเศษและไม่มีการตรวจสอบสิทธิ์ไปยังเซิร์ฟเวอร์ Oracle WebLogic เวอร์ชัน 10.3.6.0.0, 12.1.3.0.0, 12.2.1.3.0, 12.2.1.4.0 และ 14.1.1.0

นักวิจัยกล่าวว่าบอตเน็ต DarkIRC ทำกำหนดเป้าหมายไปยังเครือข่ายของเซิร์ฟเวอร์ Oracle WebLogic ที่สามารถเข้าถึงได้จากอินเทอร์เน็ต โดยเมื่อบุกรุกได้แล้วจะทำการดาวน์โหลดไฟล์เพื่อขโมยข้อมูลภายในเครื่อง, Keylogger, ขโมยข้อมูล Credential และจะสั่งรัน Command บนเครื่องที่ถูกบุกรุกและทำการส่งข้อมูลกลับไปยังเซิร์ฟเวอร์ C&C ของผู้ประสงค์ร้าย นอกจากนี้บอตเน็ตยังมีฟีเจอร์ที่จะทำการเปลื่ยนที่อยู่ Bitcoin wallet ที่อยู่ภายในเครื่องไปยังที่อยู่ Bitcoin wallet ของผู้ประสงค์ร้าย ทั้งนี้บอตเน็ต DarkIRC ถูกผู้ใช้ที่ชื่อ "Freak_OG" ทำการวางขายบอตเน็ตในแฮ็กฟอรัม โดยราคาขายอยู่ที่ $75 (ประมาณ 2,259 บาท) ตั้งแต่เดือนสิงหาคมที่ผ่านมา

ผู้ดูแลระบบเซิร์ฟเวอร์ Oracle WebLogic ควรทำการอัปเดตเเพตซ์ความปลอดภัยเป็นการเร่งด่วนและควรทำการปิดการเข้าถึงเซิฟเวอร์จากอินเตอร์เน็ตเพื่อเป็นการป้องกันการใช้ประโยชน์จากช่องโหว่ทำการโจมตีระบบ

ที่มา: thehackernews

 

อ้างอิงจากการรายงานโดยเพจ SOSECURE พบการขายฐานข้อมูลส่วนบุคคลจากบริการที่เกี่ยวข้องกับ online booking ในประเทศไทยวางขาย 837.371.904 รายการ โดยมีการรวบรวมมาจาก 6 ฐานข้อมูล ตัวอย่างข้อมูลที่นำมาแสดงมีความหลากหลาย ไม่ว่าจะเป็น ข้อมูลการเดินทางของผู้โดยสาร สายการบิน บริการเช่ารถที่ใช้ โรงแรม ตั๋วเครื่องบิน ชื่อ ที่อยู่ ไปจนถึงข้อมูลที่คล้ายกับหมายเลขบัตรเครดิต

ทีม Intelligent Response จากไอ-ซีเคียวได้ยืนยันแหล่งที่มาข่าวแล้วพบว่าเป็นจริง อย่างไรก็ตามเรายังไม่ได้มีการยืนยันข้อมูลตัวอย่างที่ผู้ขายนำมาแสดงว่าเป็นข้อมูลจริงหรือไม่ โดยผู้ขายได้ระบุว่าในขณะนี้หยุดการขายฐานข้อมูลดังกล่าวแล้ว

อ้างอิง facebook.

นักวิจัยด้านความปลอดภัยอิสระที่มีชื่อว่า The Analyst ได้เปิดเผยถึงการพบมัลแวร์ Gootkit ที่กลับมาพร้อมกับ REvil Ransomware ในแคมเปญการโจมตีใหม่ที่กำหนดเป้าหมายไปยังประเทศเยอรมนี

นักวิจัยกล่าวว่าเหตุการณ์ในแคมเปญที่เป็นอันตรายใหม่ของมัลแวร์ Gootkit นี้พบผู้ประสงค์ร้ายกำลังเเฮกไซต์ WordPress และใช้ SEO poisoning แสดงโพสต์ของผู้ประสงค์ร้ายเพื่อให้หลอกให้ผู้ใช้หรือผู้ตอบเยื่ยมชมเว็บไซต์คำถาม โดยคำตอบจะมีลิงก์ไปยังแบบฟอร์มปลอมผู้ประสงค์ร้ายหรือหน้าเว็บที่ให้ทำการดาวน์โหลดไฟล์ของผู้ประสงค์ร้าย ซึ่งเมื่อผู้ใช้คลิกที่ลิงก์ผู้ใช้จะดาวน์โหลดไฟล์ ZIP ที่มีไฟล์ JavaScript ที่เป็นอันตรายและภายในจะมีโค้ดติดตั้งมัลแวร์ Gootkit หรือ REvil ransomware

สอดคล้องกับรายงานของนักวิจัยจาก Malwarebytes ที่ได้อธิบายเพย์โหลด JavaScript ที่เป็นอันตรายและจะทำการโจมตีแบบ fileless attacks เมื่อทำการคลิกเปิดสคริปต์ JavaScript ที่เชื่อมต่อกับเซิร์ฟเวอร์ C&C ของผู้ประสงค์ร้ายและจะดาวน์โหลดสคริปต์อื่นๆ ที่มีเพย์โหลดมัลแวร์ที่เป็นอันตราย ซึ่งในการวิเคราะห์เพย์โหลดนี้มักจะเจอมัลแวร์ Gootkit แต่ในบางกรณีก็เป็น REvil ransomware อย่างไรก็ดีเพย์โหลดเหล่านี้จะถูกจัดเก็บเป็นสตริงที่เข้ารหัส Base64 หรือฐานสิบหกและจะสร้าง Windows Registry เป็นจำนวนมาก เพื่อให้ซอฟต์แวร์รักษาความปลอดภัยหรือซอฟต์แวร์ป้องกันไวรัสตรวจจับเพย์โหลดที่เป็นอันตรายได้ยากขึ้น

ทั้งนี้ผู้ใช้ควรมีความระมัดระวังในการเข้าใช้หรือเข้าเยื่ยมชมเว็บไซต์ที่ไม่รู้จักและไม่ควรทำการดาวน์โหลดไฟล์ใดๆ จากเว็บไซต์เหล่านี้เพื่อเป็นการป้องกันการตกเป็นเหยื่อของมัลแวร์

ที่มา: bleepingcomputer.

Microsoft ออกรายงานถึงผลการติดตามกลุ่มแฮกเกอร์ Bismuth หรืออีกชื่อคือ APT32 และ OceanLotus ที่มีการเชื่อมโยงกับรัฐบาลเวียดนามและปัจจุบันกำลังปฏิบัติการแคมเปญด้วยการติดตั้งมัลแวร์ Cryptominer ควบคู่ไปกับการปฏิบัติจารกรรมทางไซเบอร์

Microsoft กล่าวว่ากลุ่มแฮกเกอร์ Bismuth เป็นที่รู้จักมาตั้งแต่ปี 2012 ซึ่งกลยุทธ์ที่ใช้ในการปฏิบัติการแคมเปญของกลุ่มนี้มีความซับซ้อน โดยเป้าหมายของกลุ่มแฮกเกอร์มีทั้งในประเทศและต่างประเทศเวียดนาม ซึ่งมีวัตถุประสงค์เพื่อรวบรวมข้อมูลเพื่อช่วยให้รัฐบาลจัดการกับการตัดสินใจทางการเมืองเศรษฐกิจและนโยบายต่างประเทศ

อย่างไรก็ดี Microsoft ได้เพิ่งสังเกตเห็นการเปลี่ยนแปลงกลยุทธ์ของกลุ่มแฮกเกอร์ตั้งแต่เดือนกรกฎาคมถึงเดือนสิงหาคม 2020 ที่ผ่านมา โดยกลุ่มเเฮกเกอร์ได้ใช้มัลแวร์ Cryptominer ในการโจมตีที่ถูกกำหนดเป้าหมายไปยังภาคเอกชนและสถาบันของรัฐในประเทศฝรั่งเศสและเวียดนาม ทั้งนี้ Microsoft ได้มีสองทฤษฎีในการเปลื่ยนเเปลงกลยุทธ์ของกลุ่มแฮกเกอร์ดังนี้

ประการแรกคือกลุ่มแฮกเกอร์กำลังใช้มัลแวร์ Cryptominer ในการปฏิบัติการเพื่ออำพรางการโจมตีบางส่วนจากผู้ที่ตกเป็นเหยื่อและหลอกให้ผู้ที่ตกเป็นเหยื่อเชื่อว่าการโจมตีเป็นการบุกรุกแบบสุ่มที่มีลำดับความสำคัญต่ำ
ประการที่สองคือกลุ่มแฮกเกอร์กำลังทดลองกลยุทธ์และวิธีใหม่ๆ ในการสร้างรายได้จากระบบที่ทำการบุกรุก ซึ่งส่วนหนึ่งของการปฏิบัติการที่เน้นการจารกรรมทางไซเบอร์ตามปกติ

ทั้งนี้ทฤษฎีที่สองนี้ยังสอดคล้องกับแนวโน้มทั่วไปที่เห็นในการปฏิบัติการที่เน้นการจารกรรมทางไซเบอร์ตามปกติเช่นเดียวกับกลุ่มแฮกเกอร์ที่ได้รับการสนับสนุนจากรัฐบาลจีน, รัสเซีย, อิหร่านและเกาหลีเหนือ

ที่มา:

zdnet.

ตามแถลงการณ์ของสโมสรแมนเชสเตอร์ยูไนเต็ดได้ระบุว่าการกู้ระบบยังคงดำเนินการต่อไปและระบบที่สำคัญที่จำเป็นสำหรับการแข่งขันที่จะเกิดขึ้นที่ Old Trafford ยังคงปลอดภัยและสามารถดำเนินเกมการแข่งขันได้ตามปกติ หลังจากเมื่อสัปดาห์ที่ผ่านมาสโมสรได้ถูกโจมตีด้านความปลอดภัยทางไซเบอร์ที่ส่งผลกระทบต่อระบบเครือข่ายภายในของสโมสร อย่างไรก็ดีเจ้าหน้าที่ IT ของสโมสรยังไม่สามารถเข้าถึงระบบอีเมลและฟังก์ชันอื่นๆ บางอย่างก็ยังไม่สามารถใช้งานได้

Jon Niccolls หัวหน้าทีม EMEA & APAC Incident Response จาก Check Point ได้กล่าวว่ามีรายงานถึงโจมตีดังกล่าวเป็นการโจมตีด้วยแรนซัมแวร์ โดยแฮกเกอร์ได้ทำการข่มขู่ถึงสองครั้ง เพื่อทำการเรียกค่าไถ่จากข้อมูลที่ถูกขโมยและขู่ว่าจะเปิดเผยข้อมูลที่ทำการขโมยสู่สาธารณะ

ทั้งนี้สโมสรแมนเชสเตอร์ยูไนเต็ดจะไม่แสดงความคิดใดๆ เกี่ยวกับการโจมตีในครั้งนี้และระบบสำหรับการแข่งขันที่จะเกิดขึ้นที่ Old Trafford ยังคงสามารถดำเนินเกมการแข่งขันได้ตามปกติ

ที่มา:

theregister.

Drupal ได้ออกแพตซ์ฉุกเฉินเพื่อแก้ไขช่องโหว่ที่สำคัญระดับ “Critical” โดยช่องโหว่จะทำให้ผู้โจมตีสามารถเรียกใช้โค้ด PHP ได้โดยไม่ต้องรับอนุญาต

ช่องโหว่สองรายการที่ได้รับการแก้ไขเกิดจากข้อบกพร่องในไลบรารี PEAR Archive_Tar ที่ถูกใช้บนระบบ Content Management System (CMS) ติดตามด้วยรหัส CVE-2020-28948 และ CVE-2020-28949 โดยช่องโหว่จะอนุญาตให้ผู้ประสงค์ร้ายสามารถอัปโหลดไฟล์ที่มีนามสกุล .tar, .tar.

Michael Clark และ Wes Wright นักวิจัยด้านความปลอดภัยจาก Digital Defense ได้เปิดเผยถึงช่องโหว่การ Bypass การตรวจสอบบัญชีด้วย Two-Factor Authentication (2FA) ผ่านการโจมตีแบบ Brute-force บนซอฟต์แวร์ cPanel และ WebHost Manager (WHM) ซึ่งเป็นซอฟต์แวร์การดูแลระบบที่จะช่วยให้ผู้ดูแลระบบและเจ้าของเว็บไซต์สามารถจัดการเซิร์ฟเวอร์และเว็บไซต์ได้โดยอัตโนมัติ โดยใช้กราฟิกยูสเซอร์อินเทอร์เฟซ

ช่องโหว่ถูกติดตามด้วยรหัส CVE-2020-27641 โดยช่องโหว่จะเปิดโอกาศให้ผู้ประสงค์ร้ายสามารถทำการโจมตีแบบ Brute-force เพื่อทำการ Bypass การตรวจสอบการเข้าสู่บัญชีด้วย 2FA เนื่องจาก cPanel ไม่ได้บล็อกผู้ใช้หากผู้ใช้ทำการใส่รหัส 2FA ซ้ำๆ กันบ่อยๆ ซึ่งนักวิจัยได้กล่าวว่าการโจมตีลักษณะนี้สามารถทำให้ผู้ประสงค์ร้ายเข้าสู่ระบบได้ภายในเวลาไม่กี่ชั่วโมงหรือในบางกรณีอาจใช้เวลาไม่กี่นาทีก็สามารถเข้าสู่ระบบได้ อย่างไรก็ดีผู้ประสงค์ร้ายต้องมี Credential ของผู้ใช้ก่อนจึงจะสามารถทำการโจมตีได้

ทั้งนี้นักวิจัยได้ทำการแจ้งปัญหาเกี่ยวกับช่องโหว่ให้ทาง cPanel รับทราบแล้วและทางทีมงาน cPanel ได้ออกแพตซ์เพื่อแก้ไขช่องโหว่แล้วใน cPanel และ WHM เวอร์ชัน 11.92.0.2, 11.90.0.17 และ 11.86.0.32 ผู้ใช้และผู้ดูแลระบบควรทำการอัปเดตซ์แพตซ์ cPanel และ WHM ให้เป็นเวอร์ชันล่าสุดเพื่อเป็นการป้องกันผู้ประสงค์ร้ายใช้ประโยชน์จากช่องโหว่ทำการโจมตีระบบ

ที่มา:

bleepingcomputer.

Sophos บริษัทด้านความปลอดภัยทางไซเบอร์และฮาร์ดแวร์ของประเทศอังกฤษออกแจ้งลูกค้าทางอีเมลเกี่ยวกับการละเมิดความปลอดภัยของบริษัท

เมื่อวันที่ 24 พฤศจิกายน 2020 ที่ผ่านมา Sophos ได้รับแจ้งถึงปัญหาสิทธิ์ในการเข้าถึงเครื่องมือที่ใช้ในการเก็บข้อมูลเกี่ยวกับลูกค้าที่บริการติดต่อ Sophos Support โดยบุคคลที่ไม่ได้รับอนุญาตหลังจากบริษัทได้ทำการตั้งค่าคอนฟิกค่าผิดพลาด ซึ่งข้อมูลที่รั่วไหลจะส่งผลกระทบกับรายละเอียดต่างๆ เช่น ชื่อ, นามสกุลของลูกค้า, อีเมลและหมายเลขโทรศัพท์

อย่างไรก็ดีโฆษกของ Sophos ได้ออกมากล่าวถึงผลกระทบว่ามีลูกค้าของบริษัทมีเพียง "กลุ่มเล็ก ๆ" เท่านั้นที่ได้รับผลกระทบ ทั้งนี้ Sophos ได้ทำการแก้ไขปัญหาที่ถูกรายงานทันที

ลูกค้า Sophos ควรทำกาตรวจสอบอีเมลและควรระมัดระวังผู้ประสงค์ร้ายใช้ข้อมูลที่ถูกรั่วไหลทำการฟิชชิงข้อมูล

ที่มา: zdnet.

Google ได้ทำการลบแอปพลิเคชันสองแอปของ Baidu ยักษ์ใหญ่ด้านเทคโนโลยีของจีนออกจาก Google Play Store เมื่อปลายเดือนตุลาคม หลังจากได้รับรายงานว่าแอปทั้งสองมีโค้ดที่รวบรวมข้อมูลเกี่ยวกับผู้ใช้

การลบแอปพลิเคชันเกิดขึ้นหลังจาก Stefan Achleitner และ Chengcheng Xu นักวิจัย Palo Alto Networks ได้ทำการรายงานปัญหาไปยังทีมรักษาความปลอดภัยของ Google Play Store หลังจากที่พวกเขาทำการพบโค้ดที่รวบรวมข้อมูลเกี่ยวกับผู้ใช้ในแอปพลิเคชัน Baidu Maps และ Baidu Search Box ของ Baidu โดยโค้ดที่ทำการรวบรวมข้อมูลของผู้ใช้นั้นอยู่ใน Baidu Push SDK ซึ่งโมดูที่ถูกใช้เพื่อแสดงการแจ้งเตือนแบบเรียลไทม์ภายในแอปทั้งสอง ซึ่งภายโค้ดมีการรวบรวมรายละเอียดของผู้ใช้ เช่นรุ่นโทรศัพท์, MAC address, ข้อมูลผู้ให้บริการและหมายเลข IMSI (International Mobile Subscriber Identity)

นักวิจัยกล่าวว่าแม้ว่าข้อมูลที่ทำการรวบรวมไว้บางส่วนจะค่อนข้างไม่เป็นอันตราย แต่ข้อมูลบางอย่างเช่นรหัส IMSI สามารถใช้เพื่อระบุและติดตามผู้ใช้ได้โดยแม้ว่าผู้ใช้รายนั้นจะเปลี่ยนไปใช้โทรศัพท์เครื่องอื่นก็ตาม

ทั้งนี้โฆษกของ Baidu ได้ออกมากล่าวว่าบริษัทได้รับอนุญาตจากผู้ใช้ในการรวบรวมข้อมูลนี้จากผู้ใช้ ซึ่งพฤติกรรมการรวบรวมข้อมูลของแอปพลิเคชันไม่ใช่สาเหตุที่แอปทั้งสองถูกนำออกจาก Play Store และแอพทั้งสองมีการดาวน์โหลดมากกว่า 6 ล้านครั้งก่อนที่จะถูกลบออก อย่างไรก็ดีทางทีม Baidu กำลังดำเนินการแก้ไขปัญหาดังกล่าว

ที่มา: zdnet.

นักวิจัยด้านความปลอดภัยชาวฝรั่งเศส Clément Labro ได้เปิดเผยถึงการค้นพบช่องโหว่ Zero-day โดยบังเอิญซึ่งส่งผลกระทบต่อระบบปฏิบัติการ Windows 7 และ Windows Server 2008 R2

ช่องโหว่สองรายการที่ถูกค้นพบนี้อยู่ใน Registry key โดยช่องโหว่เกิดจากการกำหนดค่าไม่ถูกต้องในเซอร์วิส PC Endpoint Mapper และ DNSCache ตามพาทดังนี้

HKLM \ SYSTEM \ CurrentControlSet \ Services \ RpcEptMapper
HKLM \ SYSTEM \ CurrentControlSet \ Services \ Dnscache

นักวิจัยกล่าวว่าช่องโหว่ที่ถูกค้นพบสามารถทำให้ผู้ประสงค์ร้ายแก้ไข Registry key ได้ โดย Registry key ดังกล่าวจะถูกนำไปใช้ต่อเพื่อเปิดใช้งาน sub-key ในกลไกของ Windows Performance Monitoring ซึ่งโดยปกติแล้วจะเปิดให้นักพัฒนาสามารถโหลดไฟล์ DLL ของตนเองที่ทำการแก้ไขด้วย Custom tool เพื่อการติดตามประสิทธิภาพของแอปพลิเคชันได้ตามต้องการ ซึ่งด้วยวิธีการนี้ใน Windows เวอร์ชันใหม่ๆ จะมีการจำกัดสิทธิการทำงานนี้ไว้ แต่ด้วยกลไกลที่กล่าวมาของ Windows 7 และ Server 2008 ผู้ประสงค์ร้ายที่อยู่ในระบบสามารถใช้ช่องทางนี้ในการลอบรันโค้ดในระดับ SYSTEM ได้

Clément Labro พบช่องโหว่นี้โดยบังเอิญจากการทำ PrivescCheck เครื่องมือตรวจสอบการตั้งค่าว่า Windows มีการตั้งค่าที่ไม่ถูกต้องและอาจถูกใช้ในการยกระดับสิทธิได้หรือไม่ โดยเขาพบช่องโหว่ดังกล่าวเมื่อทดลอง PrivescCheck กับ Windows 7 ภายหลังจากที่อัปเดต PrivescCheck สู่สาธารณะไปแล้ว จึงเลือกที่จะเผยแพร่การค้นพบช่องโหว่ Zero-day นี้

ทั้งนี้ Windows 7 และ Windows Server 2008 R2 ได้สิ้นสุดอายุการซับพอต (End Of Life - EOL) และทาง Microsoft ได้หยุดให้บริการอัปเดตแพตซ์ความปลอดภัยให้แก่ผู้ใช้แล้ว อย่างไรก็ดีผู้ใช้สามารถทำการอัปเดตแพตซ์ความปลอดภัยได้โดยการชำระเงิน (Extended Support Updates - ESU) หรือการอัปเดตแพตช์จาก Third-party เช่น 0patch ของบริษัท ACROS Security ซึ่งได้ทำการอัปเดตแพตซ์ความปลอดภัยและเเก้ไขช่องโหว่ดังกล่าวแล้ว

ที่มา:

zdnet.