งานแฮกระดับประเทศของจีน Tianfu Cup ดำเนินเข้ามาสู่ปีที่ 3 แล้ว โดยในปีนี้นั้นเป้าหมายชื่อดังอย่าง iOS 14, Windows 10 v2004, Chrome รวมไปถึงกลุ่มเทคโนโลยี virtualization สามารถถูกโจมตีโดยช่องโหว่ได้สำเร็จ

Tianfu Cup ครั้งที่ 3 จัดขึ้นที่เมืองเฉิงตูในช่วงเวลาเดียวกับการแข่งขัน Pwn2Own ผู้เข้าแข่งขันจำนวน 15 ทีมจะมีเวลา 5 นาทีและเงื่อนไขในการโจมตีได้ 3 ครั้งเพื่อให้นำ exploit ที่ทำการพัฒนามาโจมตีกับเป้าหมาย เงินรางวัลจะถูกมอบให้กับทีมซึ่งโจมตีเป้าหมายได้สำเร็จก่อนตามเงื่อนไขของความยากและอื่นๆ โดยในปีนี้ทีมผู้ชนะซึ่งได้เงินรางวัลไปสูงสุดคือทีม 360 Enterprise Security and Government and (ESG) Vulnerability Research Institute จาก Qihoo 360 ซึ่งได้เงินรางวัลไป 22 ล้านบาท

นอกเหนือจาก iOS 14, Windos 10 และ Chrome แล้ว เป้าหมายที่ถูกโจมตีสำเร็จยังมี Samsung Galaxy S20, Ubuntu, Safari, Firefox, Adobe PDF Reader, Docker (Community Edition), VMWare EXSi (hypervisor), QEMU (emulator & virtualizer) และเฟิร์มแวร์ของ TP-Link และ ASUS ด้วย

การแข่งขัน Tianfu Cup เป็นส่วนหนึ่งของผลลัพธ์ที่หลังจากรัฐบาลจีนมีนโยบายจำกัดไม่ให้ชาวจีนเข้าร่วมการแข่งขันอย่าง Pwn2Own จากข้อกังวลเรื่องความมั่นคงของประเทศ แต่ผลักดันให้มีการแข่งขันภายในประเทศแทนและคาดว่าผลลัพธ์ที่ได้จากการแข่งขันจะก่อให้เกิดประโยชน์ต่อแนวทางด้านไซเบอร์ของจีน

ที่มา: zdnet

Check Point Research แจ้งเตือนความเคลื่อนไหวของกลุ่มผู้โจมตีชาวปาเลสไตน์ซึ่งพุ่งเป้าโจมตีเซิร์ฟเวอร์ VoIP ในกว่า 1,200 องค์กรใน 60 ประเทศ ผลลัพธ์ของการโจมตีทำให้ผู้โจมตีสามารถลักลอบใช้งานระบบเพื่อโทรศัพท์และขายบริการหรือการเข้าถึงให้กับบุคคลอื่นเพื่อใช้ทำอาชญากรรมต่อได้

ในการโจมตีนั้น แฮกเกอร์จะพุ่งเป้าโจมตีช่องโหว่ CVE-2019-19006 (CVSSv3 9.8) ซึ่งเป็นช่องโหว่ในระบบอินเตอร์เฟสสำหรับจัดการและควบคุมระบบ VoIP ของ Sangoma และ Asterisk โดยผลลัพธ์ของการโจมตีจะทำให้ผู้โจมตีได้รับสิทธิ์ของผู้ดูแลระบบและสามารถอัปโหลดไฟล์ PHP shell เพื่อเข้าควบคุมและสั่งการระบบได้

จากข้อมูลของ Check Point Research เป้าหมายของการโจมตีกว่าครึ่งอยู่ในสหราชอาณาจักร ที่เหลือนั้นอยู่ประเทศเนเธอแลนด์, เบลเยียม, สหรัฐอเมริกาและโคลอมเบีย กลุ่มเป้าหมายกระจายอยู่ทั้งในหน่วยงานรัฐ, กองทัพ, ธุรกิจประกัน, สถาบันด้านการเงินและกลุ่มอุตสาหกรรมต่างๆ

ดูข้อมูลและรายละเอียดการโจมตีเพิ่มเติมได้ที่ : checkpoint

ที่มา: thehackernews

แพตช์ Android รอบเดือนพฤศจิกายน 2020 มาแล้ว รวม 30 ช่องโหว่ถูกแพตช์

กูเกิลประกาศแพตช์สำหรับแอนดรอยด์ประจำเดือนพฤศจิกายน 2020 เมื่อช่วงต้นเดือนทีผ่านมา โดยในรอบนี้นั้นมีช่องโหว่ทั้งหมด 30 รายการที่ถูกแพตช์

หนึ่งในช่องโหว่ที่ร้ายแรงที่สุดในรอบนี้นั้นคือช่องโหว่รหัส CVE-2020-0449 ซึ่งเป็นช่องโหว่ในระบบของแอนดรอยด์เอง ผู้โจมตีช่องโหว่สามารถรันโค้ดที่เป็นอันตรายด้วยสิทธิ์ที่สูงจากระยะไกลเพื่อยืดและควบคุมระบบได้ ช่องโหว่นี้กระทบแอนดรอยด์ในรุน 8.0, 8.1, 9, 10 และ 11 แพตช์ในส่วนของระบบยังเป็นส่วนของแพตช์ที่ถูกประกาศเยอะที่สุดในรอบนี้ซึ่งมีไม่บ่อยมาก รองลงมาคือแพตช์ในส่วนของเฟรมเวิร์คต่างๆ ที่เกี่ยวข้องกับระบบ

ผู้ใช้งานสามารถทำการตรวจสอบแพตช์ในอุปกรณ์และทำการอัปเดตได้แล้ววันนี้

ที่มา: securityweek

มัลแวร์เรียกค่าไถ่ Ragnar Locker โจมตี CAPCOM

บริษัทเกมสัญชาติญี่ปุ่นชื่อดัง CAPCOM ตกเป็นเหยื่อการโจมตีของกลุ่ม Ransomware "Ragnar Locker" ส่งผลให้เกิดความเสียหายต่อข้อมูลและคาดว่าจะถูกเรียกค่าด้วย

การโจมตี CAPCOM คาดว่าเริ่มต้นขึ้นในวันที่ 4 พฤศจิกายนที่ผ่านมา โดยมีการตรวจพบปัญหาในการใช้งานของระบบภายในเครือข่ายของ CAPCOM ในข่าวซึ่งปรากฎออกมาในหน้าสื่อครั้งแรกนั้น รายละเอียดการโจมตียังไม่ถูกเปิดเผยออกมาเท่าใดนักโดยมีการประกาศเพียงแค่ตรวจพบการเข้าถึงระบบโดยไม่ได้รับอนุญาต อย่างไรก็ตามในเวลาต่อมา มีการปรากฎของหลักฐานซึ่งบ่งชี้ให้เห็นว่าผู้ที่อยู่เบื้องหลังการโจมตีนั้นอาจเป็นกลุ่มมัลแวร์เรียกค่าไถ่ Ragnar Locker

กลุ่มมัลแวร์เรียกค่าไถ่ Ragnar Locker เป็นที่รู้จักหลังจากมีการโจมตีบริษัทด้านพลังงาน EDP ในเดือนกรกฎาคมที่ผ่านมา และยังเป็นที่รู้จักจากการใช้เทคนิคการโจมตี Shadow Bunny หรือการใช้ virtual machine เข้ามาช่วยโจมตี

ในขณะนี้ทาง CAPCOM ยืนยันว่าไม่มีข้อมูลของลูกค้าถูกเข้าถึงหรือได้รับผลกระทบอ้างอิงจากผลการตรวจสอบล่าสุด

ที่มา: zdnet.

Felix Wilhelm จาก Google Project Zero เปิดเผยช่องโหว่ใหม่รหัส CVE-2020-15228 ใน Github Actions ที่ได้มีการแจ้งเตือนไปตั้งแต่ปลายเดือนกรกฎาคม โดยช่องโหว่ดังกล่าวเกิดจากการคำสั่งในกลุ่ม workflow commands ที่ทำให้ Actions runner สามารถรันคำสั่ง shell ใน runner machine ได้ ซึ่งทำให้ช่องโหว่นี้มีความเสี่ยงที่จะถูกโจมตีเพื่อทำ command injection

ช่องโหว่จริงๆ อยู่ที่วิธีการที่ Action runner ประมวลผล workflow commands โดยปกตินั้นหากต้องการเรียกใช้ workflow command เราจะทำการเรียกใช้โดยใช้คำสั่ง echo ของ Linux จากนั้นให้ใส่ workflow commands ที่ครอบด้วย marker ลงไป โดย marker แตกต่างกันตามเวอร์ชันของ Action runner เช่นหากเป็นรุ่นแรกนั้น marker คือตัวอักษร ## และสำหรับรุ่นที่ 2 จะมี marker คือ :: ตามตัวอย่างเช่น echo '::set-output name=SELECTED_COLOR::green'

Action runner จะมองหา workflow commands จาก STDOUT ของคำสั่ง echo หรือคำสั่งใดๆ ก็ตามและนำข้อมูลทั้งหมดไปรัน Felix ระบุว่ากระบวนการตรงนี้มีโอกาสที่สูงมากที่จะถูกทำ command injection หากภายใน echo นั้นมี untrusted code อยู่ หรือมีการรับข้อมูลจากผู้ใช้มารัน ผู้ไม่ประสงค์ดีสามารถทำการ inject ข้อมูลในส่วนนี้ จากนั้นใช้คำสั่งอย่าง set-env หรือ add-path เพื่อแก้ไข environment varible ของ runner machine ตอน workflow กำลังทำงานอยู่ได้

การจะโจมตีช่องโหว่ได้นั้นขึ้นอยู่กับว่ามีการรับ untrusted input เข้าไปประมวลผลใน workflow ในขั้นตอนใด ตัวอย่างซึ่ง Felix ยกมานั้นคือโครงการหนึ่งของ vscode ซึ่งนำ GitHub Actions มาใช้ในการกระจาย Issues ไปยังโครงการอื่นโดยมีการรับข้อมูลจาก Issues มา ผู้โจมตีสามารถทำการ inject คำสั่งผ่านการสร้าง Issues เพื่อโจมตีช่องโหว่นี้ได้

GitHub ใช้เวลาเกือบ 3 เดือนในการแก้ไขปัญหานี้แต่กลับไม่สามาถรปิดการใช้งานหรือแก้ไขช่องโหว่โดยตรงได้ GitHub จึงได้มีการออกคำแนะนำในการใช้งานเพื่อลดความเสี่ยงแทนที่ https://github.

RegretLocker มัลแวร์เรียกค่าไถ่ตัวใหม่จะเข้ารหัสไฟล์ในดิสก์ของ Hyper-V ด้วยผ่านการ Mount และเข้าไปเข้ารหัส

ตามทฤษฎี Cryptovirology ซึ่งระบุว่ามัลแวร์เรียกค่าไถ่มักจะมีจุดอ่อนอยู่ในระหว่างที่มันกำลังเข้ารหัส เนื่องจากหากมันถูกตรวจจับได้และถูกขัดจังหวะ มัลแวร์จะไม่สามารถทำตามภารกิจได้อย่างสมบูรณ์ การพัฒนามัลแวร์เรียกค่าไถ่โดยส่วนใหญ่จึงเน้นไปที่การพัฒนาให้มัลแวร์สามารถทำงานได้เงียบและเร็วที่สุด ซึ่งหนึ่งในแนวทางนั้นคือการไม่เข้ารหัสไฟล์ที่มีขนาดใหญ่เพื่อไม่ให้เสียเวลา

อย่างไรก็ตามนักวิจัยด้านความปลอดภัย Vitali Kremez ได้มีการพูดถึงมัลแวร์เรียกค่าไถ่ตัวใหม่ RegretLocker ซึ่งเขาได้ทำการวิเคราะห์ไปหลังจากมีการตรวจพบว่า RegretLocker จะไม่ข้ามไฟล์ตระกูล VHD และ VHDX ซึ่งเป็นไฟล์ดิสก์ของ virtual machine ในแพลตฟอร์ม Hyper-V แต่จะทำการ mount ไฟล์ดิสก์ดังกล่าวและเข้าไปเข้ารหัสไฟล์ใน virtual machine ด้วย

ในกระบวนการดังกล่าว RegretLocker มีการเรียกใช้ API ของระบบในกลุ่ม Windows Virtual Storage API อย่าง OpenVitualDIsk, AttachVirtualDisk และ GetVirturalDiskPhysicalPath ในการ mount ไฟล์ดิสก์ให้กลายเป็นพาร์ติชันจำลอง จากนั้นมัลแวร์จะเข้าถึงไฟล์ที่อยู่ภายในและทำการเข้ารหัสตามปกติ วิธีการในลักษณะนี้จะทำให้ความเร็วในการเข้ารหัสมีมากกว่าการเข้ารหัสไฟล์ฮาร์ดดิสก์ทั้งไฟล์ และสร้าง impact ได้มากกว่าการข้ามไฟล์เหล่านี้ไปด้วย

แม้ในขณะนี้มัลแวร์เรียกค่าไถ่ RegretLocker จะไม่ใช่กลุ่มที่มีความ active ในการแพร่กระจายสูง แต่เทคนิคในลักษณะนี้ก็อาจถูกนำไปใช้โดยมัลแวร์เรียกค่าไถ่สายพันธุ์อื่นเช่นเดียวกัน

ที่มา: bleepingcomputer

องค์การเงินตราฮ่องกง ( Hong Kong Monetary Authorit - HKMA) ออก Cybersecurity Fortification Initiative (CFI) 2.0 ซึ่งเป็นเฟรมเวิร์คกำหนดแนวทางในทั้งในประเด็น Cyber Resilience Assessment Framework (C-RAF) หรือเฟรมเวิร์คเกี่ยวกับการประเมินความเสี่ยงไซเบอร์, Professional Development Programme (PDP) หรือโปรแกรมในการพัฒนาศักยภาพบุคคลและ Cyber Intelligence Sharing Platform (CISP) หรือแนวทางในการแบ่งปันข้อมูลข่าวสารและข้อมูลภัยคุกคามทางไซเบอร์สำหรับสถาบันการเงิน

จุดสำคัญของ CFI 2.0 นั้นคือการอัปเดตเงื่อนไขของผู้ที่จะทำหน้าที่ทั้งประเมินความปลอดภัย, จัดการข่าวกรองและอื่นๆ ให้เป็นไปตามมาตรฐานและ Certification ตัวใหม่ๆ ที่เพิ่มขึ้นมาตั้งแต่ CFI 1.0 โดยมีการเพิ่มเงื่อนไขสำหรับงานในกลุ่ม Blue team เข้ามาด้วย

ดูรายละเอียดเพิ่มเติมได้จาก hkma.

Oracle ออกแพตซ์อัปเดตด้านความปลอดภัยฉุกเฉินเพื่อแก้ไขช่องโหว่การเรียกใช้โค้ดจากระยะไกล (Remote Code Execution - RCE) ใน Oracle WebLogic Server ที่ส่งผลกระทบต่อ Oracle WebLogic Server หลายเวอร์ชัน

ช่องโหว่ CVE-2020-14750 และ CVE-2020-14882 (CVSSv3: 9.8/10) เป็นช่องโหว่การโจมตีจากระยะไกลที่ช่วยให้ผู้โจมตีสามารถควบคุมระบบได้โดยการส่ง Http request ที่สร้างขึ้นมาเป็นพิเศษและไม่มีการตรวจสอบสิทธิ์ไปยัง Oracle WebLogic Server เวอร์ชัน 10.3.6.0.0, 12.1.3.0.0, 12.2.1.3.0, 12.2.1.4.0 และ 14.1.1.0

เนื่องจาก Proof-of-Concept (PoC) ของช่องโหว่ถูกเผยแพร่สู่สาธารณะและมีผู้ประสงค์ร้ายใช้ประโยชน์จากช่องโหว่ทำการโจมตีระบบตามรายงานของ SANS Technology Institute จึงทำให้ Oracle ตัดสินใจออกเเพตซ์เป็นการเร่งด่วนเพื่อแก้ไขช่องโหว่และเพื่อเป็นการป้องกันระบบ

ทั้งนี้ผู้ดูแลระบบ Oracle WebLogic Server ควรทำการอัปเดตเเพตซ์ความปลอดภัยเป็นการเร่งด่วนและควรทำการปิดการเข้าถึงเซิฟเวอร์จากอินเตอร์เน็ตเพื่อเป็นการป้องกันการใช้ประโยชน์จากช่องโหว่ทำการโจมตีระบบ

ที่มา: zdnet

 

Google เปิดตัว Chrome เวอร์ชัน 86.0.4240.183 สำหรับ Windows, Mac และ Linux เพื่อแก้ไขช่องโหว่ด้านความปลอดภัย 10 รายการรวมถึงช่องโหว่การเรียกใช้โค้ดจากระยะไกล (Rmote Code Execution - RCE) แบบ Zero-day หลังพบผู้ประสงค์ร้ายพยายามใช้ประโยชน์จากช่องโหว่ทำการโจมตี

ช่องโหว่ CVE-2020-16009 เป็นช่องโหว่ในการใช้งานที่ไม่เหมาะสมใน V8 ซึ่งเป็นเอ็นจิ้น JavaScript โอเพ่นซอร์สของ Chrome ซึ่งจะทำให้ผู้โจมตีสามารถดำเนินการเรียกใช้โค้ดจากระยะไกลได้ผ่านหน้า HTML ที่สร้างขึ้นมาเป็นพิเศษ นอกจากนี้ Google ยังแก้ไขช่องโหว่ CVE-2020-17087 ช่องโหว่การยกระดับสิทธ์ในเคอร์เนล, CVE-2020-16004, CVE-2020-16005, CVE-2020-16006, CVE-2020-16007, CVE-2020-16008 และ CVE-2020-16011 ใน Chrome เวอร์ชัน 86.0.4240.183

ทั้งนี้ผู้ใช้ควรทำการอัปเดต Google Chrome เป็นเวอร์ชัน 86.0.4240.183 หรือเวอร์ชันใหม่ล่าสุด โดยเข้าไปที่การตั้งค่า -> ความช่วยเหลือ -> เกี่ยวกับ Google Chrome จากนั้นเว็บเบราว์เซอร์จะทำการตรวจสอบการอัปเดตใหม่โดยอัตโนมัติและติดตั้งเมื่อพร้อมใช้งาน

ที่มา: bleepingcomputer

กลุ่มมัลแวร์เรียกค่าไถ่ REvil ได้มีการครอบครองซอร์สโค้ดของโทรจันตัวใหม่ "KPOT 2.0" หลังจากชนะการประมูลในเว็บบอร์ดใต้ดินรัสเซีย โดยกลุ่ม REvil จ่ายค่าซอร์สโค้ดของมัลแวร์ตัวนี้ไปเป็นเงินกว่า 200,000 บาท

อ้างอิงจากแฮกเกอร์นิรนาม Pancak3 ซึ่งให้ข่าวกับทาง ZDNet การประมูลซอร์สโค้ดของมัลแวร์ KPOT เริ่มต้นขึ้นในช่วงกลางเดือนตุลาคมและสิ้นสุดไปในเดือนทีผ่านมา ในการประมูลนั้น ผู้ที่เข้าประมูลซอร์สโค้ดของมัลแวร์ KPOT ใช้ชื่อในเว็บบอร์ดใต้ดินว่า UNKN ซึ่งเป็นที่รู้จักกันว่าเป็นสมาชิกของกลุ่มมัลแวร์เรียกค่าไถ่ REvil (Sodinokibi) เพียงรายเดียวและได้รับซอร์สโค้ดไป Pancak3 มีความเห็นว่ากลุ่ม REvil มีแนวโน้มที่จะนำซอร์สโค้ดของมัลแวร์ตัวดังกล่าวไปพัฒนาต่อเพื่อนำมาใช้งานจริง

ในการประมูลแม้จะมีความเห็นจากสมาชิกในเว็บบอร์ดว่าซอร์สโค้ดของ KPOT มีราคาที่แพงเกินจริง แต่กลุ่มมัลแวร์เรียกค่าไถ่ REvil เป็นหนึ่งในกลุ่มซึ่งสามารถทำรายได้จากการเรียกค่าไถ่ได้ว่า 100 ล้านดอลลาร์สหรัฐฯ ดังนั้นการจ่ายเงินให้กับซอร์สโค้ดของมัลแวร์ที่สามารถเพิ่มมูลค่าให้กับการโจมตีจึงอาจเป็นการลงทุนที่คุ้มค่าสำหรับกลุ่มแฮกเกอร์ซึ่งไม่มีปัญหาด้านการเงิน

ที่มา: zdnet