ทีม security ของ npm (Node Package Manager) ที่เป็นผู้ให้บริการ Package Manager ของ JavaScript ได้ทำการลบ JavaScript Library ที่มีชื่อว่า "twilio-npm" ออกไปเมื่อวันที่ 2 พฤศจิกายนที่ผ่านมา เนื่องจากพบว่า Script ดังกล่าวจะมีการสั่งให้แอบเปิด TCP reverse shell บนเครื่องของนักพัฒนาที่นำไปใช้ จากรายงานระบุว่า reverse shell ดังกล่าวจะเปิดการเชื่อมต่อไปยัง 4.tcp.
Malicious npm package opens backdoors on programmers’ computers
ฉุกเฉิน! แจ้งเตือนช่องโหว่ Zero-day ใน Cisco AnyConnect VPN มีโค้ดสำหรับโจมตีแล้ว
Cisco ออกแจ้งเตือนช่องโหว่ Zero-day รหัส CVE-2020-3556 ล่าสุดในซอฟต์แวร์ Cisco AnyConnect Secure Mobility Client การโจมตีช่องโหว่สามารถทำให้ผู้โจมตีรันโค้ดที่เป็นอันตรายใส่อุปกรณ์ที่มีช่องโหว่ได้จากระยะไกล โดย Cisco ได้มีการระบุว่าใน Advisory ว่าช่องโหว่ CVE-2020-3356 นี้มีโค้ดสำหรับโจมตีแล้ว แต่ยังไม่ตรวจพบการนำมาใช้โจมตีจริง
ช่องโหว่ CVE-2020-3356 เป็นช่องโหว่ซึ่งอยู่ในขั้นตอนการสื่อสารระหว่างโปรเซสในอุปกรณ์ซึ่งทำให้ผู้โจมตีที่มีการพิสูจน์ตัวตนเข้ามาในระบบแล้วรวมไปถึงผู้โจมตีที่ใช้งานอยู่ในเครือข่ายเดียวกันสามารถรันสคริปต์ที่เป็นอันตรายได้ อย่างไรก็ตามช่องโหว่นี้จะถูกโจมตีได้ก็ต่อเมื่อฟีเจอร์ Auto Update และ Enable Scripting ถูกเปิดใช้งานอยู่ ซึ่งโดยปกตินั้นจะมีเพียงฟีเจอร์ Auto Update ซึ่งถูกเปิดใช้งานเป็นค่าเริ่มต้น
เนื่องจากยังไม่มีแพตช์ออกมา Cisco ได้ให้คำแนะนำในการลดความเสี่ยงที่จะถูกโจมตีโดยการตรวจสอบและปิดการใช้งานฟีเจอร์ Auto Update และ Enable Scripting ออกไปก่อนจนกว่าจะมีการแพตช์อย่างเสร็จสิ้น ขอให้ผู้ใช้งานติดตามการอัปเดตแพตช์อย่างใกล้ชิดและดำเนินการตามมาตรการที่เหมาะสมเพื่อลดความเสี่ยงที่จะถูกโจมตีโดยช่องโหว่
ที่มา: bleepingcomputer
รวมสถิติ Ransomware ที่โกหกจาก Coveware Q3 2020 Ransomware Report
บริษัทด้านความปลอดภัย Coveware ออกรายงานเกี่ยวกับ Ransomware ประจำ Q3 2020 เมื่อวานที่ผ่านมา โดยหนึ่งในประเด็นของรายงานที่น่าสนใจนั้นคือสถิติเกี่ยวกับกลุ่มมัลแวร์เรียกค่าไถ่ที่ไม่รักษาคำพูดกับเหยื่อ ตัวอย่างการโป้ปดที่น่าสนใจมีดังนี้
กลุ่ม REvil หรือ Sodinokibi มีการเรียกค่าเหยื่อรายเดิมซ้ำอีกครั้งหลังจากเหยื่อจ่ายเงินค่าไถ่ไปแล้วหนึ่งอาทิตย์ โดยการใช้ข้อมูลจากข้อมูลชุดเดิม
กลุ่ม Netwalker และ Mespinoza มีการปล่อยข้อมูลของเหยื่อแม้ว่าเหยื่อจะมีการจ่ายค่าไถ่เพื่อไม่ให้มีการปล่อยข้อมูล
กลุ่ม Conti มีการลบไฟล์ปลอมโชว์เหยื่อหลังจากที่เหยื่อจ่ายค่าไถ่แล้ว โดยเก็บไฟล์จริงเอาไว้
ด้วยพฤติกรรมดังกล่าว Coveware จึงมีการเพิ่มคำแนะนำเพิ่มเติมเพื่อแจ้งให้ผู้ที่อาจตกเป็นเหยื่อหรือเป็นเหยื่อของกลุ่มมัลแวร์เรียกค่าไถ่ ดังนี้
ข้อมูลที่ถูกนำไปโดยผู้โจมตีอาจไม่สามารถพิสูจน์ได้ว่าถูกลบจริงหลังจากมีการจ่ายค่าไถ่แล้ว พึงระลึกไว้เสมอว่ากลุ่มมัลแวร์เรียกค่าไถ่อาจมีการแลกเปลี่ยน นำไปขายต่อหรือถือครองข้อมูลเดิมไว้เพื่อเรียกค่าไถ่ซ้ำ
ข้อมูลที่ถูกขโมยไปอาจถูกถือครองโดยบุคคลหลายกลุ่มและอาจไม่ได้รับความปลอดภัยอย่างเหมาะสม แม้กลุ่มมัลแวร์เรียกค่าไถ่จะลบข้อมูลไปแล้วจริง ก็อาจมีการลักลอบเข้าถึงและทำสำเนาข้อมูลเก็บเอาไว้ได้โดยบุคคลที่สาม
ข้อมูลที่ถูกขโมยไปอาจถูกโพสต์หรือถูกปล่อยสู่สาธารณะไม่ว่าจะได้ความตั้งใจหรือไม่ก็ตาม ในบางครั้งกลุ่มมัลแวร์เรียกค่าไถ่อาจตั้งใจโพสต์ก่อนที่จะมีการเรียกค่าไถ่ด้วย
ไอ-ซีเคียวขอแนะนำให้ผู้อ่านพิจารณาข้อเท็จจริงด้านบนเพื่อนำไปใช้ปรับปรุงแผนและแนวทางเพื่อรับมือและตอบสนองเหตุการณ์ความปลอดภัยจากมัลแวร์เรียกค่าไถ่ให้มีประสิทธิภาพมากยิ่งขึ้น
ที่มา: bleepingcomputer
Marriott ถูกปรับเป็นจำนวนเงิน 18.4 ล้านปอนด์หลังจากข้อมูลของแขกผู้เข้าพักจำนวน 339 ล้านคนถูกขโมยไปจากเครือโรงแรม
สำนักงานคณะกรรมการข้อมูลข่าวสาร (Information Commissioner Office - ICO) สั่งปรับเครือโรงเเรม Marriott เป็นจำนวนเงิน 18.4 ล้านปอนด์ หลังจากข้อมูลของแขกผู้เข้าพักจำนวน 339 ล้านคนถูกขโมยไปจากเครือโรงแรม
เหตุการณ์การถูกละเมิดข้อมูลนั้นเกิดขึ้นในปี 2014 และส่งผลกระทบต่อเครือรีสอร์ท Starwood ที่ Marriott เข้าซื้อกิจการในปี 2015 ด้วย เหตุการณ์เกิดขึ้นจากผู้โจมตีสามารถเข้าถึงระบบของ Starwood และได้ดำเนินการรันมัลแวร์ผ่านเว็บเชลล์รวมถึงเครื่องมือการเข้าถึงจากระยะไกล เพื่อทำการรวบรวม credential ของระบบ จากนั้นผู้โจมตีสามารถเข้าถึงฐานข้อมูลที่ใช้ในการจัดเก็บข้อมูลการจองของแขกรวมถึงชื่อ ที่อยู่, อีเมล, หมายเลขโทรศัพท์, หมายเลขหนังสือเดินทาง, รายละเอียดการเดินทางและข้อมูล loyalty ของทางโรงแรม ซึ่งการบุกรุกยังคงดำเนินการต่อไปจนถึงปี 2018 โดยที่ทางเครือโรงเเรม Marriott ไม่สามารถตรวจพบและตลอดระยะเวลาสี่ปีข้อมูลของแขกผู้เข้าพักประมาณ 339 ล้านคนถูกขโมยไปจากเครือโรงแรม
หน่วยงาน ICO ได้ทำการสอบสวนต่อเหตุการณ์ที่เกิดขึ้นและพบว่าเครือโรงเเรม Marriott ได้ทำการฝ่าฝืนข้อกำหนดการป้องกันข้อมูลและการบังคับใช้กฎระเบียบของ (General Data Protection Regulation - GDPR) ที่ออกในปี 2018 ซึ่งด้วยเหตุนี้ ICO สั่งปรับเครือโรงเเรม Marriott เป็นจำนวนเงิน 99 ล้านปอนด์ แต่ด้วยสถานะการ COVID-19 ซึ่งทำให้เครือโรงเเรม Marriott เกิดสถานะขาดทุนทางด้านการเงิน จึงทำให้เกิดการต่อรองและเจรจาขอลดในส่วนของค่าปรับและเครือโรงเเรม Marriott ได้ถูกเเก้ไขค่าปรับเป็นเงินจำนวน 18.4 ล้านปอนด์
ทั้งนี้เหตุการณ์การบุกรุกเครือข่ายทางเครือโรงเเรม Marriott ได้ทำการปรับปรุงด้านความปลอดภัยทางไซเบอร์พื่อลดความเสี่ยงต่อความเสียหายที่ลูกค้าได้รับแล้ว
ที่มา: zdnet
Revamped DLL side-load attack hits Myanmar
Sophos ออกรายงานการโจมตีทางไซเบอร์ในพม่า ใช้โปรแกรมของ Windows Defender ทำ "DLL side-loading" ในการโจมตี
Sophos ออกรายงานแจ้งเตือนพฤติกรรมการโจมตีโดยกลุ่ม APT จีนในพม่า พุ่งเป้าโจมตีบริษัทเอกชนและด้านการค้าในประเทศพม่า จุดน่าสนใจของการโจมตีอยู่ที่การใช้เทคนิคการโจมตีซึ่งถูกค้นพบในปี 2013 ในชื่อ DLL side-loading เพื่อหลอกให้ระบบเมื่อมีการเอ็กซีคิวต์โปรแกรมใดๆ แล้ว ให้เรียกใช้ DLL ปลอมซึ่งเป็นอันตรายแทน DLL จริง
ในกรณีของการโจมตีที่ตรวจพบ แฮกเกอร์จีนมีการใช้โปรแกรม MsMpEng.
Deloitte’s ‘Test your Hacker IQ’ site fails itself after exposing database user name, password in config file
เว็บไซต์ "ทดสอบ Hacker IQ" ของ Deloitte รั่วเพราะพาธ .git
Tillie Kottmanm นักพัฒนาแอปชาวสวิตเซอร์แลนด์เปิดเผยช่องโหว่และข้อมูลสำคัญจากเว็บไซต์ https://deloittehackeriq.
Maze ransomware is shutting down its cybercrime operation
[ข่าวลือ] กลุ่มมัลแวร์เรียกค่าไถ่ Maze ประกาศยุติปฏิบัติการ
Bleeping Computer เผยแพร่ข้อมูลจากการยืนยันข่าวลือกับหนึ่งในผู้เกี่ยวข้องกับกลุ่มมัลแวร์เรียกค่าไถ่ Maze หลังจากมีกระแสออกมาว่าทางกลุ่มจะยุติปฏิบัติการอาชญากรรมของตน
อ้างอิงจากการพูดคุย ผู้เกี่ยวข้องดังกล่าวได้ให้ข้อมูลเกี่ยวกับอนาคตของกลุ่ม Maze ว่ากลุ่มไม่ได้มีปฏิบัติการใหม่มาตั้งแต่เดือนกันยายนที่ผ่านมาแล้ว และในปัจจุบันกลุ่มฯ อยู่ในกระบวนการของการยุติปฏิบัติการ ทั้งนี้เหยื่อซึ่งได้รับผลกระทบจากการโจมตีจะยังคงต้องจ่ายค่าไถ่ต่อไป เพียงแต่จะไม่มีเหยื่อเพิ่ม ผู้ให้ข่าวยังคงมีการระบุว่าขอให้มีการติดตามประกาศอย่างเป็นทางการจากหน้า Press release ของทางกลุ่มอีกครั้ง
Bleeping Computer ยังให้ข้อมูลเพิ่มเติมว่าอาจมีความเป็นไปได้ที่ผู้เกี่ยวข้องกับปฏิบัติการของ Maze จะย้ายไปสนับสนุนกลุ่มมัลแวร์เรียกค่าไถ่ Egregor ด้วยความเหมือนของโปรแกรมที่ใช้ในการเข้ารหัสไฟล์ ข่าวในส่วนนี้ยังไม่ได้รับการยืนยันอย่างชัดเจน เป็นเพียงแค่ข้อสันนิษฐานเท่านั้น
จากเหยื่อทั้งหมด 4 รายในประเทศของมัลแวร์ในกลุ่ม Leaker กลุ่ม Maze รับผิดชอบต่อการโจมตี 2 องค์กรใหญ่ในไทยได้แก่การไฟฟ้าส่วนภูมิภาคและบริษัทใหญ่ที่ไอ-ซีเคียวเคยมีการพาดหัวข่าวไป
ที่มา: bleepingcomputer
US shares info on Russian malware used to target parliaments, embassies
หน่วย US Cyber Command เผยแพร่ข้อมูลแบ็คดอร์ซึ่งถูกใช้โดยรัสเซีย พุ่งเป้าหน่วยงานราชการในหลายประเทศ
หน่วย US Cyber Command เผยแพร่ข้อมูลแบ็คดอร์ที่ถูกใช้โดยกลุ่มแฮกเกอร์ Turla และ APT28 ซึ่งเชื่อว่ามีรัฐบาลรัสเซียหนุนหลังปฏิบัติการ กลุ่ม Turla พุ่งเป้าหน่วยงานราชการในหลายประเทศ โดยมีประวัติการโจมตีกองบัญชาการกลางของกองทัพสหรัฐฯ, กระทรวงกลาโหมและองค์การนาซ่าด้วย
ข้อมูลของมัลแวร์ที่เผยแพร่ออกมานั้นมีสองส่วน ส่วนแรกเป็นสคริปต์ซึ่งเกี่ยวข้องกับมัลแวร์ ComRAT ในลักษณะของสคริปต์ PowerShell (https://us-cert.
Emotet campaign used parked domains to deliver malware payloads
Emotet ออกแคมเปญใหม่ใช้ Parked Domain ในการส่งเพย์โหลดมัลแวร์ไปยังเครื่องที่ตกเป็นเหยื่อ
นักวิจัยด้านความปลอดภัยทีม Unit 42 จาก Palo Alto Networks ได้เปิดเผยถึงแคมเปญฟิชชิ่งใหม่จาก Emotet botnet ที่ได้ใช้ Parked domain ที่เป็นอันตรายเป็นฐานในการส่งเพย์โหลดเพื่อการแพร่กระจายของมัลแวร์, การแพร่กระจายของโปรแกรมที่อาจไม่พึงประสงค์ (Potentially Unwanted Program - PUP) และการหลอกลวงแบบฟิชชิง
พฤติกรรมดังกล่าวเกิดจากทีมนักวิจัยจาก Unit 42 ได้ตรวจพบโดเมนที่ถูกใช้ในการโจมตีคือ valleymedicalandsurgicalclinic [.] com ซึ่งได้รับการจดทะเบียนครั้งแรกเมื่อวันที่ 8 กรกฎาคม 2020 และได้ถูกตั้งค่าให้เป็น Parked domain แต่หลังจากวันที่ 14 กันยายนที่ผ่านมาโดเมนดังกล่าวถูกพบอีกครั้งเพื่อใช้ในการแพร่กระจายของมัลแวร์ Emotet ผ่านเอกสารที่แนบมากับอีเมลฟิชชิ่งมีสคริปต์มาโครที่เรียกกลับไปยังเซิร์ฟเวอร์ C&C ของผู้ประสงค์ร้าย ซึ่งเมื่อผู้ใช้ตกเป็นเหยื่อแล้ว มัลแวร์จะนำไปสู่การขโมยข้อมูล Credential และรวมถึงการยึดครองอุปกรณ์ของผู้ที่ตกเป็นเหยื่ออีกด้วย
ทีมนักวิจัยจาก Unit 42 กล่าวอีกว่าจากการตรวจสอบ Parked domain ที่ในปัจจุบันมีจำนวนกว่า 6 ล้าน โดเมนและพบว่ามี 1 % ของ Parked domain ถูกใช้ในแคมเปญมัลแวร์หรือฟิชชิงและถูกกำหนดเป้าหมายไปยังเหยื่อที่อาจเกิดขึ้นจากหลายประเทศทั่วโลกเช่น สหรัฐอเมริกา, สหราชอาณาจักร, ฝรั่งเศส,ญี่ปุ่น, เกาหลีและอิตาลี นอกจากนี้แคมเปญของ Emotet จะมุ่งเน้นไปที่ภาคอุตสาหกรรมต่างๆ ตั้งแต่ภาครัฐการศึกษา, พลังงาน, การผลิต, การก่อสร้างและโทรคมนาคม
ทั้งนี้ผู้ใช้ควรทำการตรวจสอบเอกสารที่แนบมากับอีเมลทุกครั้งก่อนทำการเปิดเพื่อเป็นการป้องกันการตกเป็นเหยื่อของมัลแวร์
ที่มา: bleepingcomputer
CVE-2020-14882: Oracle WebLogic Remote Code Execution Vulnerability Exploited in the Wild
พบผู้ประสงค์ร้ายพยายามใช้ประโยชน์จากช่องโหว่ระดับ “Critical” ใน Oracle WebLogic Server
Johannes Ullrich หัาหน้าฝ่ายวิจัยจาก SANS Technology Institute ได้เเจ้งเตือนถึงการตรวจพบการใช้ประโยชน์จากช่องโหว่ CVE-2020-14882 (CVSSv3: 9.8/10) ซึ่งเป็นช่องโหว่การโจมตีจะระยะไกลที่ช่วยให้สามารถควบคุมระบบได้โดยการส่ง Http request ที่สร้างขึ้นมาเป็นพิเศษและไม่มีการตรวจสอบสิทธิ์ไปยัง Oracle WebLogic Server เวอร์ชัน 10.3.6.0.0, 12.1.3.0.0, 12.2.1.3.0, 12.2.1.4.0 และ 14.1.1.0
การตรวจพบเกิดจากผู้ประสงค์ร้ายได้ทำการเข้าถึง Honeypot Server ที่ใช้อินสแตนซ์ Oracle WebLogic Server ที่ยังไม่ได้รับการเเพตซ์ความปลอดภัยหลัง Oracle ได้เปิดตัวเเพตซ์การอัปเดตครั้งใหญ่จำนวน 402 ช่องโหว่เมื่อสัปดาห์ก่อน
Ullrich กล่าวว่าการพยายามหาประโยชน์จากช่องโหว่ที่ถูกบันทึกโดย Honeypot Server นั้นถูกระบุว่าเป็นเพียงแค่ตรวจสอบว่าระบบมีช่องโหว่หรือไม่และจากเทคนิคการพยายามหาประโยชน์จากช่องโหว่นั้นมาจากรายละเอียดทางเทคนิคในบล็อกโพสต์ที่เผยแพร่โดย Nguyen Jang นักวิจัยชาวเวียดนาม
จากการตรวจสอบและทำการสแกนการค้นหาด้วย Spyse engine พบว่ามี Oracle WebLogic Server จำนวนมากกว่า 3,000 เซิร์ฟเวอร์ที่สามารถเข้าถึงได้ผ่านอินเทอร์เน็ตและอาจเสี่ยงต่อการใช้ประโยชน์จากช่องโหว่ CVE-2020-14882
ทั้งนี้ผู้ดูแลระบบ Oracle WebLogic Server ควรทำการอัปเดตเเพตซ์ความปลอดภัยโดยด่วนและควรทำการปิดการเข้าถึงเซิฟเวอร์จากอินเตอร์เน็ตเพื่อเป็นการป้องกันการใช้ประโยชน์จากช่องโหว่ทำการโจมตีระบบ
ที่มา: bleepingcomputer