Google ได้ทำการลบแอปพลิเคชัน Android 15 จาก 21 รายการออกจาก Play Store หลังได้รับรายงานว่าแอปพลิเคชันที่ถูกรายงานเป็นแอปพลิเคชั่นที่มีการแอบแฝงมัลแวร์ประเภท “HiddenAds” ที่จะทำงานโดยการแสดงโฆษณาระหว่างใช้งานแอปพลิเคชันที่มากเกินไป

จากรายงานที่มีการเผยเเพร่โดย Jakub Vávra นักวิเคราะห์มัลแวร์จากบริษัท Avast ระบุว่าแอปพลิเคชันที่ตรวจพบได้มีการปลอมตัวเป็นแอปพลิเคชันเกมที่ไม่เป็นอันตรายและมาพร้อมกับมัลแวร์ HiddenAds ซึ่งเป็นโทรจันที่มีชื่อเสียงในเรื่องความสามารถในการแสดงโฆษณาที่ล่วงล้ำการใช้งานของผู้ใช้

กลุ่มที่อยู่เบื้องหลังการดำเนินการนี้จะอาศัยช่องทางโซเชียลมีเดียเพื่อล่อให้ผู้ใช้ดาวน์โหลดแอปพลิเคชันไปติดตั้ง เมื่อทำการติดตั้งแอปพลิเคชันแล้วมัลแวร์ HiddenAds ที่อยู่ภายในแอปจะซ่อนไอคอนของแอปเพื่อทำให้ผู้ใช้ลบแอปได้ยากในอนาคตแล้วจากนั้นจึงเริ่มโจมตีผู้ใช้ด้วยแสดงโฆษณา ซึ่งแอปพลิเคชันที่กล่าวมาถูกดาวน์โหลดโดยผู้ใช้มากกว่าเจ็ดล้านคน ก่อนที่นักวิเคราะห์จะทำการรายงานต่อ Google เมื่อสัปดาห์ที่แล้ว

ผู้ใช้ต้องระมัดระวังในการดาวน์โหลดแอปพลิเคชันลงในโทรศัพท์ของตนและก่อนจะทำการติดตั้งแอปพลิเคชันใดๆ ควรทำการตรวจสอบโปรไฟล์ของแอปพลิเคชัน, คอมเมนต์, รีวิวและการอนุญาตในการติดตั้งบนอุปกรณ์อย่างละเอียดเพื่อเป็นการป้องกันการตกเป็นเหยื่อ ทั้งนี้ผู้ที่สนใจรายการแอปพลิเคชันที่ถูกลบหรือต้องการรายชื่อแอปพลิเคชันเพื่อทำการตรวจสอบสามารถดูรายการได้จากเเหล่งที่มา

ที่มา: zdnet.

Google Project Zero ออกประกาศให้รายละเอียดเร่งด่วนเกี่ยวกับช่องโหว่ Zero-day ใน Windows รหัส CVE-2020-17087 ซึ่งช่วยให้ผู้โจมตีสามารถยกระดับสิทธิ์ในระบบได้ หลังจากมีการตรวจพบการใช้ช่องโหว่นี้ร่วมกับช่องโหว่ Zero-day ใน Google Chrome รหัส CVE-2020-15999 ในการโจมตีจริง

ประกาศของ Google Project Zero มีการให้รายละเอียดถึงที่มาของช่องโหว่เอาไว้รวมไปถึง PoC ของช่องโหว่ซึ่งกระทบ Windows 7 และ Windows 10 การประกาศสร้างการวิพากวิจารณ์ขึ้นมาอีกครั้งในเรื่องของการเปิดเผยช่องโหว่ เนื่องจากในบางมุมนั้นการเปิดเผยรายละเอียดของช่องโหว่โดยยังไม่มีแพตช์ออกมาอาจเป็นการสร้างผลกระทบที่มากยิ่งขึ้น อย่างไรก็ตามด้วยจุดยืน Google Project Zero การประกาศรายละเอียดอาจช่วยให้การตรวจจับและการพัฒนาทางเลือกในการป้องกันเกิดขึ้นได้ไวกว่าเดิมเช่นเดียวกัน

เนื่องจากเป็นการประกาศนอกรอบแพตช์และผลกระทบที่มีต่อช่องโหว่ อาจมีความเป็นไปได้สูงที่แพตช์ของช่องโหว่นี้จะออกในวันที่ 10 พฤศจิกายนในช่วง Patch Tuesday ประจำเดือนเลยทีเดียว ขอให้มีการติดตามและอัปเดตแพตช์กันต่อไป

ที่มา:

zdnet.

กลุ่มบริษัท private equity "Francisco Partners" มีการประกาศว่าทางบริษัทจะมีการเข้าซื้อ Forcepoint จาก Raytheon ในช่วงกลางสัปดาห์ที่ผ่านมา ยังไม่มีการเปิดเผยถึงรายละเอียดเงื่อนไขในการเจรจาครั้งนี้

Forcepoint ถูกก่อตั้งในปี 2015 ภายใต้ชื่อ NetPartners ก่อนจะมีการเปลี่ยนเป็น Websense และ Forcepoint ตามลำดับ โดยมีธุรกิจครอบคลุมทั้งในส่วนที่เป็นความปลอดภัยของ endpoint, กลุ่มผลิตภัณฑ์ความปลอดภัยของคลาวด์, ผลิตภัณฑ์ Next-generation firewall และอื่นๆ ซึ่งมีที่มาจากการที่ Raytheon มีการรวมกลุ่มผลิตภัณฑ์ด้าน Cybersecurity เข้ามาภายใต้ชื่อ Forcepoint

ที่มา: securityweek.

กลุ่มธุรกิจด้านพลังงานข้ามชาติ Enel Group ถูกกลุ่มมัลแวร์เรียกค่าไถ่ Netwalker โจมตีโดยถือเป็นเหตุการณ์ครั้งที่ 2 ในรอบปี หลังจากที่ Enel Group สามารถขัดขวางการแพร่กระจายของมัลแวร์เรียกค่าไถ่ Snake ได้สำเร็จเมื่อเดือนมิถุนายนที่ผ่านมา ในรอบนี้นั้น กลุ่ม Netwalker ยื่นการเรียกค่าไถ่เป็นจำนวน 14 ล้านดอลลาร์สหรัฐฯ แลกกับการถอดรหัสไฟล์และเงื่อนไขของการไม่เปิดเผยข้อมูลที่ถูกขโมยไป

การโจมตีของ Netwalker ในรอบนี้ถูกประกาศบนเว็บไซต์ของกลุ่มเองพร้อมกับหลักฐานของไฟล์ที่ได้มากว่า 5 เทระไบต์ ในขณะนี้ยังไม่มีความเคลื่อนไหวที่ชัดเจนจากฝั่ง Enel Group แม้ว่าจะมีเวลา 5 วันในการจ่ายค่าไถ่ตามเส้นตายที่กลุ่ม Netwalker มีการกำหนดเอาไว้

ที่มา: bleepingcomputer.

อ้างอิงจากข่าวกล่าวซึ่งไอ-ซีเคียวได้เคยรายงานไป ล่าสุดกลุ่มมัลแวร์เรียกค่าไถ่ชื่อดัง Maze ได้มีการประกาศยุติปฏิบัติการบนเว็บไซต์ของกลุ่มแล้ว ผลของการประกาศยุติปฏิบัติการจะส่งผลให้ไม่มีเหยื่อรายใหม่ที่จะถูกโจมตีโดยกลุ่ม Maze อีก

ไอ-ซีเคียวขอสรุปใจความสำคัญจากประกาศของกลุ่ม Maze ออกเป็นประเด็นดังนี้

กลุ่ม Maze ไม่มีพาร์ทเนอร์และกลุ่มอื่นซึ่งจะสานต่อปฏิบัติการ คนของ Maze จะไม่มีการเข้าร่วมกับกลุ่มอื่น
หากมีความเคลื่อนไหวจากกลุ่มอื่นๆ ซึ่งอ้างชื่อของ Maze ขอให้ทุกคนรับทราบว่านั่นเป็นการแอบอ้างตัวตนของกลุ่ม Maze และไม่ใช่ Maze จริงที่มีการเคลื่อนไหว
เหยื่อสามารถร้องขอให้ Maze ลบข้อมูลของตนบนหน้าเว็บโดยติดต่อผ่าน Maze Support Chat ได้
แม้จะมีปฏิเสธถึงความร่วมมือและพาร์ทเนอร์ ข้อมูลในอดีตก็บ่งชี้หลักฐานถึงความร่วมมือระหว่างกลุ่ม Ransomware กลุ่มอื่นและ Maze โดยความร่วมมือโดยส่วนใหญ่อยู่ในลักษณะของการช่วยประกาศชื่อเหยื่อจากมัลแวร์กลุ่มอื่นในเว็บไซต์ของกลุ่ม Maze ในขณะเดียวกันฝั่งของข้อมูล threat intelligence ก็มีการระบุเอาไว้ว่าคนของ Maze อาจเปลี่ยนกลุ่มไปอยู่กับกลุ่มมัลแวร์เรียกค่าไถ่ Egregor ได้ด้วยลักษณะที่เหมือนกันของซอฟต์แวร์ที่มีการใช้ในปฏิบัติการ

Bleeping Computer ได้มีการสอบถามถึงความเป็นไปได้ที่ Maze จะปล่อยโปรแกรมถอดรหัสหลักออกมาเพื่อถอดรหัสให้กับเหยื่อที่เหลือ กลุ่ม Maze ยังไม่มีการตอบคำถามมาในประเด็นนี้

ดูข่าวเก่าได้ที่: https://www.

Tsachi Ganot จากบริษัท Pandora Security ได้เผยถึงกลุ่มเเฮกเกอร์ได้ทำการใช้ช่องโหว่บนโปรโตคอล Signaling System 7 (SS7) ที่เป็นโปรโตคอลสำหรับการเชื่อมต่อเครือข่ายมือถือ ด้วยการใช้ช่องโหว่นี้จะทำให้กลุ่มเเฮกเกอร์เข้าถึงบัญชี Telegram และบัญชี Email ต่างๆ ของเป้าหมายได้ผ่านทางการรับโค้ด SMS การตรวจสอบสิทธิ์ด้วย Two-factor authentication (2FA) ของเป้าหมาย

Ganot กล่าวว่ากลุ่มเเฮกเกอร์ได้ทำการปลอมแปลงเซิฟเวอร์ Short Message Service Center (SMSC) ซึ่งเป็นเซิฟเวอร์การให้บริการ SMS ของผู้ให้บริการเครือข่ายมือถือของเป้าหมาย จากนั้นส่งคำขอ update location ของหมายเลขโทรศัพท์ที่เป็นเป้าหมายไปยังผู้ให้บริการเครือข่ายมือถือ เพื่อให้ผู้ให้บริการเครือข่ายมือถือส่งข้อมูลการตอบกลับ SMS และการโทรของเป้าหมายกลับไปยังเซิฟเวอร์ SMSC ปลอมของกลุ่มเเฮกเกอร์ ซึ่งหลังจากนั้นกลุ่มเเฮกเกอร์จะใช้ข้อมูล SMS ที่มีโค้ดการยืนยันการตรวจสอบสิทธิ์ด้วย 2FA ทำการล็อกอินบัญชี Telegram และบัญชี Email ต่างๆ ของเป้าหมาย

ทั้งนี้การกำหนดเป้าหมายในลักษณะนี้กลุ่มแฮกเกอร์ต้องรู้ MSISDN (Mobile Station International Subscriber Directory Number) และหมายเลข International Mobile Subscriber Identity (IMSI) ของเป้าหมายก่อนเพื่อที่จะสามารถส่งคำขอ update location ไปยังผู้ให้บริการเครือข่ายมือถือของเป้าหมายจึงจะสามารถทำปฏิบัติการนี้ได้

ถึงแม้ว่าวิธีการตรวจสอบสิทธิ์ด้วย 2FA ด้วยโค้ดที่ส่งไปทาง SMS นั้นเป็นแนวทางที่ดีในทางปฏิบัติแต่ผู้ใช้ก็ยังมีความเสี่ยงต่อการใช้ประโยชน์จากช่องโหว่ในโปรโตคอล SS7 ซึ่งเป็นโปรโตคอลการสื่อการข้อมูลด้านโทรคมนาคมที่ถูกพัฒนาขึ้นในปี 1975

ที่มา: bleepingcomputer.

ในรายงานที่เผยแพร่โดยบริษัทรักษาความปลอดภัยทางไซเบอร์ Rapid7 และ Rafay Baloch นักวิจัยด้านความปลอดภัยจากปากีสถานได้เปิดเผยถึงช่องโหว่การปลอมแปลง address bar หรือ “Address bar spoofing” ในเว็บเบราว์เซอร์ที่จะอนุญาตให้เว็บไซต์ที่เป็นอันตรายสามารถแก้ไข URL ที่เเท้จริงและจะแสดง URL ของปลอมแทนได้

โดยรายงานที่ถูกเปิดเผยนั้นพบว่ามีช่องโหว่จำนวนสิบรายการและอยู่ในแอปพลิเคชันเบราว์เซอร์บนอุปกรณ์เคลื่อนที่เจ็ดรายการถูกติดตามด้วยรหัส CVE-2020-7363, CVE-2020-7364, CVE-TBD-Opera (3 รายการ), CVE-2020-7369, CVE-2020-7370, CVE-2020-7371, CVE-2020-9987 ซึ่งเว็บบราว์เซอร์ที่ได้รับผลกระทบในช่องโหว่นี้คือ Apple Safari , Opera Touch และ Opera Mini, Bolt, RITS, UC Browser และ Yandex Browser ทั้งนี้ช่องโหว่ทั้งหมดถูกรายงานไปยังผู้ผลิตเบราว์เซอร์แล้วในเดือนสิงหาคมที่ผ่านมาและผู้ผลิตเบราว์เซอร์บางส่วนได้ทำการเเก้ไขแล้ว

นักวิจัยด้านความปลอดภัยจาก Rapid7 กล่าวว่าช่องโหว่ทั้งหมดใช้ประโยชน์จากช่องโหว่ใน "JavaScript shenanigans” ทั้งนี้ผู้ใช้งานควรทำการอัปเดตแอปพลิเคชันเบราว์เซอร์ที่ใช้ให้เป็นเวอร์ชันล่าสุดเพื่อป้องกันการตกเป็นเหยื่อของผู้ประสงค์ร้าย

ที่มา: zdnet.

FireEye/Mandiant ออกรายงานเมื่อวานที่ผ่านมาถึงพฤติกรรมของกลุ่ม APT ใหม่ภายใต้ชื่อ UNC1945 กลุ่มนี้มีพฤติกรรมโจมตีบริษัทด้านโทรคมนาคม, สถาบันทางด้านการเงินและบริษัทให้คำปรึกษา ไฮไลท์สำคัญของพฤติกรรมอยู่ที่การใช้ช่องโหว่ Zero-day ใน Solaris ซึ่ง FireEye/Mandiant มีการแจ้งไปในรอบแพตช์เดือนตุลาคมในการโจมตี

จุดน่าสนใจในพฤติกรรมของภัยคุกคามจากข้อมูล Threat intelligence มีตามประเด็นดังนี้

กลุ่มผู้โจมตีมีการหลบหลีกการตรวจจับโดยการปฏิบัติการใน virtual machine กับซอฟต์แวร์ QEMU ซึ่งกลุ่มฯ พัฒนามาใช้สำหรับช่วยโจมตีโดยเฉพาะ
มีการใช้ช่องโหว่ CVE-2020-14871 ใน Solaris เพื่อเข้าถึงและติดตั้งมัลแวร์สำหรับสร้างช่องทางลับ
กลุ่มผู้โจมตีมีความเชี่ยวชาญในระบบตระกูล Unix สูง มีการใช้เทคนิค SSH port forwarding เพื่อสร้างช่องทางในการติดต่อ C&C และโอนถ่ายไฟล์
ยังไม่มีการตรวจพบการขโมยข้อมูลออกจากระบบที่ถูกโจมตี แต่มีการติดตั้ง Ransomware เมื่อเสร็จสิ้นปฏิบัติการด้วย
ผู้ที่สนใจสามารถดูข้อมูลเพิ่มเติมของกลุ่ม UNC1945 ได้ที่ https://www.

Cisco ออกแจ้งเตือนช่องโหว่ Zero-day รหัส CVE-2020-3556 ล่าสุดในซอฟต์แวร์ Cisco AnyConnect Secure Mobility Client การโจมตีช่องโหว่สามารถทำให้ผู้โจมตีรันโค้ดที่เป็นอันตรายใส่อุปกรณ์ที่มีช่องโหว่ได้จากระยะไกล โดย Cisco ได้มีการระบุว่าใน Advisory ว่าช่องโหว่ CVE-2020-3356 นี้มีโค้ดสำหรับโจมตีแล้ว แต่ยังไม่ตรวจพบการนำมาใช้โจมตีจริง

ช่องโหว่ CVE-2020-3356 เป็นช่องโหว่ซึ่งอยู่ในขั้นตอนการสื่อสารระหว่างโปรเซสในอุปกรณ์ซึ่งทำให้ผู้โจมตีที่มีการพิสูจน์ตัวตนเข้ามาในระบบแล้วรวมไปถึงผู้โจมตีที่ใช้งานอยู่ในเครือข่ายเดียวกันสามารถรันสคริปต์ที่เป็นอันตรายได้ อย่างไรก็ตามช่องโหว่นี้จะถูกโจมตีได้ก็ต่อเมื่อฟีเจอร์ Auto Update และ Enable Scripting ถูกเปิดใช้งานอยู่ ซึ่งโดยปกตินั้นจะมีเพียงฟีเจอร์ Auto Update ซึ่งถูกเปิดใช้งานเป็นค่าเริ่มต้น

เนื่องจากยังไม่มีแพตช์ออกมา Cisco ได้ให้คำแนะนำในการลดความเสี่ยงที่จะถูกโจมตีโดยการตรวจสอบและปิดการใช้งานฟีเจอร์ Auto Update และ Enable Scripting ออกไปก่อนจนกว่าจะมีการแพตช์อย่างเสร็จสิ้น ขอให้ผู้ใช้งานติดตามการอัปเดตแพตช์อย่างใกล้ชิดและดำเนินการตามมาตรการที่เหมาะสมเพื่อลดความเสี่ยงที่จะถูกโจมตีโดยช่องโหว่

ที่มา: bleepingcomputer.

Google ได้ลบ Extension สำหรับการบล็อกโฆษณาสองรายการออกจาก Chrome Web Store หลังจากตรวจพบว่า Extension ทั้งสองมีโค้ดที่เป็นอันตรายและมีการพยายามรวบรวมข้อมูลของผู้ใช้

Extension ทั้งสองมีชื่อว่า Nano Adblocker และ Nano Defender โดย Extension ทั้งสองถูกดาวน์โหลดและติดตั้งมากกว่า 50,000 และ 200,000 ครั้งตามลำดับในขณะที่ถูกลบออกจาก Chrome Web Store ซึ่งจากการตรวจสอบโค้ดพบว่า Extension ทั้งสองมีโค้ดที่เป็นอันตรายที่ต่างจากเวอร์ชันดั้งเดิม หลังจากผู้พัฒนาได้ทำการขายให้กับทีมนักพัฒนาชาวตุรกี

Raymond Hill ผู้พัฒนา uBlock Origin ad blocker ได้ทำการวิเคราะห์ Extension ทั้งสองและพบว่า Extension ได้รับการแก้ไขโค้ดโดยเพิ่มส่วนโค้ดที่เป็นอันตราย ภายในโค้ดจะส่งข้อมูลตามการวิเคราะห์พฤติกรรมที่กำหนดและส่งไปยัง def.