นักวิจัยด้านความปลอดภัยจาก Imperva ได้เปิดเผยถึงการวิเคราะห์บ็อตเน็ตที่มีชื่อว่า “KashmirBlack” ซึ่งเป็นบ็อตเน็ตที่ใช้ประโยชน์จากช่องโหว่บนแพลตฟอร์ม Content Management System (CMS) ทำการโจมตีเว็บไซต์ CMS เช่น WordPress, Joomla!, PrestaShop, Magneto, Drupal, vBulletin, osCommerce, OpenCart และ Yeager จำนวนหลายแสนแห่งเพื่อทำการขยายจำนวนและใช้ในการสแปมข้อมูลและการขุดคริปโต

จากรายงานการวิเคราะห์บ็อตเน็ต KashmirBlack พบว่าบ็อตเน็ตมีการบริหารจัดการโดยเซิร์ฟเวอร์ C&C (Command and Control) เพียงหนึ่งเครื่องและใช้เซิร์ฟเวอร์มากกว่า 60 ตัวเป็นตัวแทนในการปฏิบัติการการโจมตี โดยการรับคำสั่งจากเซิร์ฟเวอร์ C&C ในการสแกนเว็บไซต์ผ่านทางอินเทอร์เน็ตและจะใช้ช่องโหว่บนแพลตฟอร์ม CMS ทำการโจมตีเว็บไซต์ที่ยังไม่ได้รับการแพตซ์ความปลอดภัยและเมื่อทำการบุกรุกสำเร็จบ็อตเน็ตจะทำการติดตั้งแบ็คดอร์และใช้เซิร์ฟเวอร์ที่ถูกบุกรุกเป็นฐานในการโจมตีต่อไป

ทั้งนี้ผู้ดูแลระบบและผู้ดูแลเว็บไซต์ควรติดตามข่าวสารเกี่ยวกับช่องโหว่อยู่เสมอและควรทำการอัปเดตเเพตซ์ความปลอดภัยให้เป็นเวอร์ชันปัจจุบันเพื่อเป็นการป้องกันการติดเป็นเหยื่อของบ็อตเน็ตและผู้ประสงค์ร้าย

ที่มา: zdnet.

MITRE ร่วมกับ Microsoft, IBM, Nvidia และ Bosch ร่วมกันเปิดตัวเฟรมเวิร์คใหม่ Adversarial ML Threat Matrix ซึ่งมีเป้าหมายในการรวมกลุ่มเทคนิคในการโจมตีแอปพลิเคชันหรือระบบที่ประยุกต์แนวคิด machine learning ในลักษณะของ ATT&CK

Adversarial ML Threat Matrix ประกอบไปด้วย 7 แทคติคการโจมตีตั้งแต่ Reconnaissance, Initial Access, Execution, Persistence, Model Evasion, Exfiltration และ Impact โครงการนี้ยังมีการแนบกรณีศึกษาการโจมตีระบบ machine learning ที่น่าสนใจมาด้วย เช่น การหลบการตรวจจับเอนจินของโซลูชันด้านความปลอดภัย ProofPoint หรือการข้ามผ่านการตรวจสอบจากระบบตรวจสอบใบหน้า

ผู้ที่สนใจสามารถดูเนื้อหาของโครงการนี้ได้จาก https://github.

FBI และ CISA ออกรายงานร่วม Joint Security Advisory โดยมีเนื้อหาแจ้งเตือนการโจมตีจากกลุ่มแฮกเกอร์ Energetic Bear ซึ่งเชื่อว่ารัฐบาลรัสเซียหนุนหลัง รายงานดังกล่าวระบุกลุ่ม Energetic Bear ประสบความสำเร็จในการโจมตีระบบของรัฐบาลไปแล้วอย่างน้อย 2 ระบบและมีการนำข้อมูลของผู้ใช้จากระบบดังกล่าวออกไปด้วย

ข้อมูลเบื้องต้นจากรายงานระบุว่า กลุ่ม Energetic Bear มีการโจมตีระบบผ่านทางช่องโหว่ใน Citrix access gateway (CVE-2019-19781), Microsoft Exchange (CVE-2020-0688), Exim (CVE-2019-10149), และ Fortinet SSL VPN (CVE-2018-13379) และยังมีการตรวจพบการใช้ช่องโหว่ Zerologon (CVE-2020-1472) ในการเข้ายึดครองและขโมยข้อมูลจากระบบ Active Directory อีกด้วย

รายงานร่วมมีการระบุถึง IOC และพฤติกรรมของผู้โจมตีเอาไว้แล้ว ผู้ที่ดูแลระบบสามารถเข้าถึงข้อมูลดังกล่าวได้จาก https://us-cert.

แจ้งข้อหา 6 สายลับ GRU ของรัสเซีย เชื่อคือกลุ่ม Sandworm ผู้อยู่เบื้องหลังการแพร่กระจาย NotPetya และการโจมตี OlympicDestroyer

กระทรวงยุติธรรมสหรัฐฯ ประกาศแจ้งข้อหาแก่ 6 สายลับ GRU ของรัสเซียซึ่งอยู่ในหน่วย Unitt 74455 หลังจากผลการวิเคราะห์และข้อมูลจากข่าวกรองระบุทั้ง 6 สายลับนี้คือสมาชิกของกลุ่ม APT "Sandworm" ผู้อยู่เบื้องหลังการโจมตีทางไซเบอร์แนวทำลายล้างหลายเหตุการณ์

กลุ่ม Sandworm มีผลงานซึ่งเป็นที่รู้จักหลายเหตุการณ์ โดยเหตุการณ์หนึ่งคือการแพร่กระจายของมัลแวร์ NotPetya ในเดือนมิถุนายน 2017 ซึ่งมีเป้าหมายโจมตีบริษัทในยูเครน อีกเหตุการณ์หนึ่งคือการโจมตีเป้าหมายในเกาหลีใต้โดยทำการปลอมแปลงพฤติกรรมเป็นเกาหลีเหนือซึ่งนำไปสู่การเป็นที่รู้จักของมัลแวร์ OlympicDestroyer

อ้างอิงจากเอกสารของกระทรวงยุติธรรมสหรัฐฯ สายลับทั้ง 6 นี้เป็นสายลับทั้ง 6 คนซึ่งมีความเชื่อมโยงอย่างชัดเจนมากที่สุดต่อกลุ่ม Sandworm อย่างไรก็ตามอาจเป็นไปได้ว่ากลุ่ม Sandworm ยังคงมีสมาชิกอยู่หลายคน การจับกุมอาจส่งผลเพียงแค่การ "ขัดขวาง" ปฏิบัตการ ไม่ใช่การหยุดปฏิบัติการทั้งหมด

ที่มา: zdnet
ภาพจาก: https://thehackernews.

กลุ่ม Ransomware "Darkside" ประกาศบริจาคค่าไถ่บางส่วนให้กับมูลนิธิการกุศล

กลุ่ม Ransomware "Darkside" มีการประกาศในเว็บไซต์ของทางกลุ่มเมื่อวันที่ 13 ตุลาคมที่ผ่านมาโดยมีการยืนยันถึงเจตนารมณ์การโจมตีซึ่งมีเนื้อหาเกี่ยวกับการที่ทางกลุ่มจะโจมตีเฉพาะบริษัทใหญ่และจะนำเงินค่าไถ่บางส่วนไปบริจาคในมูลนิธิต่างๆ เพื่อการกุศล

นอกเหนือจากคำยืนยัน กลุ่ม Darkside ยังได้มีการแสดงหลักฐานบางส่วนของการโอนค่าไถ่จำนวนประมาณ 10,000 ดอลลาร์สหรัฐฯ ไปให้กับองค์กร Children International (children.

มัลแวร์ GravityRAT สายพันธุ์ใหม่ที่สามารถเเพร่กระจายได้บนอุปกรณ์ Android และ macOS

นักวิจัยด้านความปลอดภัยจาก Kaspersky ได้เผยถึงการตรวจพบมัลแวร์ GravityRAT สายพันธุ์ใหม่ที่สามารถเเพร่กระจายได้บนอุปกรณ์ Android และ macOS

GravityRAT เป็น Remote Access Trojan (RAT) ที่ได้รับการพัฒนาจากกลุ่มแฮกเกอร์ชาวปากีสถานอย่างน้อยตั้งแต่ 2015 เพื่อใช้ในการโจมตีเป้าหมายในหน่วยงานและองค์กรทางด้านทหารของอินเดีย

ด้วยความสามารถใหม่นี้มัลแวร์ GravityRAT ที่ปัจจุบันปลอมตัวเป็นแอป Android และ macOS ที่ถูกต้องจะมีความสามารถในการดักจับข้อมูลของอุปกรณ์, รายชื่อผู้ติดต่อ, ที่อยู่, อีเมล,บันทึกการโทรและข้อความ หลังจากนั้นจะทำการส่งไปยังเซิร์ฟเวอร์ที่ควบคุมโดยผู้โจมตี ทั้งนี้มัลแวร์ GravityRAT ยังมีความสามารถในการค้นหาไฟล์ในคอมพิวเตอร์และอุปกรณ์ removable disk ที่มีนามสกุล. doc, .docx, .ppt, .pptx, .xls, .xlsx, .pdf, .odt, .odp และ. ods และอัปโหลดไปยังเซิร์ฟเวอร์, ตรวจสอบโปรเซสที่กำลังทำงานอยู่, ล็อคกดแป้นพิมพ์, ถ่ายภาพหน้าจอ, รันคำสั่งเชลล์โค้ดได้, บันทึกเสียงและสแกนพอร์ต

ทั้งนี้ผู้ใช้งานควรระมัดระวังในการเปิดเอกสารหรือดาวน์โหลดไฟล์จากเเหล่งที่ไม่ทราบข้อมูลที่ชัดเจนและควรพิจารณาใช้ซอฟต์แวร์ป้องกันไวรัสที่มีประสิทธิภาพเพื่อเป็นการป้องกันการตกเป็นเหยื่อของผู้ประสงค์ร้าย

ที่มา: bleepingcomputer

Oracle ออกเเพตซ์เเก้ไขช่องโหว่ 402 รายการใน Critical Patch Update October 2020

Oracle ได้ออกประกาศ Critical Patch Update October 2020 ซึ่งเป็นการประกาศอัปเดตเเพตซ์ความปลอดภัยประจำเดือนตุลาคม 2020 ของ Oracle โดยในเดือนตุลาคมนี้ Oracle ได้ทำการเเก้ไขเเพตซ์ความปลอดภัยเป็นจำนวน 402 รายการในผลิตภัณฑ์ 27 ตระกูลผลิตภัณฑ์ของ Oracle ทั้งนี้ช่องโหว่ที่มีความรุนเเรงละมีความสำคัญมีดังนี้

ช่องโหว่ CVE-2020-14825, CVE-2020-14841 และ CVE-2020-14859 (CVSSv3: 9.8/10) เป็นช่องโหว่ใน Oracle WebLogic Server โดยช่องโหว่จะทำให้ผู้โจมตีที่ไม่ผ่านการตรวจสอบสิทธิ์เข้าถึงเครือข่ายผ่านทาง Oracle T3 หรือ Internet Inter-ORB Protocol (IIOP) เพื่อทำการบุกรุกเซิร์ฟเวอร์ ทั้งนี้ช่องโหว่ทั้งสามมีผลกับเวอร์ชัน Oracle WebLogic Server เวอร์ชัน 12.2.1.3.0, 12.2.1.4.0 และ 14.1.1.0.0 ส่วน CVE-2020-14841 และ CVE-2020-14859 จะมีผลกับเวอร์ชัน 10.3.6.0.0 และ 12.1.3.0.0
ช่องโหว่ CVE-2020-14882 (CVSSv3: 9.8/10) เป็นช่องโหว่ในคอมโพเนนต์คอนโซลของ Oracle WebLogic Server ช่องโหว่จะทำให้ผู้โจมตีที่ไม่ได้รับการรับรองความถูกต้องสามารถโจมตีเซิร์ฟเวอร์ Oracle WebLogic ผ่าน HTTP ซึ่งช่องโหว่จะส่งผลให้เกิดการยึดครองเซิร์ฟเวอร์ที่เป็นเป้าหมาย ช่องโหว่นี้มีผลกับ Oracle WebLogic Server เวอร์ชัน 10.3.6.0.0, 12.1.3.0.0, 12.2.1.3.0, 12.2.1.4.0 และ 14.1.1.0.0
ช่องโหว่ CVE-2019-17267 (CVSSv3: 9.8/10) เป็นช่องโหว่ในส่วนประกอบ Centralized Third Party Jars (jackson-databind) ของ Oracle WebLogic Server ช่องโหว่จะทำให้ผู้โจมตีที่ไม่ได้รับการรับรองความถูกต้องสามารถโจมตีเซิร์ฟเวอร์ Oracle WebLogic ผ่าน HTTP ซึ่งช่องโหว่จะส่งผลให้เกิดการยึดครองเซิร์ฟเวอร์ที่เป็นเป้าหมาย ช่องโหว่นี้มีผลกับ Oracle WebLogic Server เวอร์ชัน 12.2.1.3.0
ทั้งนี้ผู้ดูแลระบบควรทำการอัปเดตเเพตซ์ให้เป็นเวอร์ชันล่าสุดเพื่อทำการเเก้ไขช่องโหว่และเพื่อเป็นการป้องกันผู้ประสงค์ร้ายใช้ประโยชน์จากช่องโหว่ทำการโจมตีระบบ ผู้ที่สนใจรายละเอียดของช่องโหว่เพิ่มเติมสามารถดูได้ที่นี่: https://www.

ถึงคราวต้องโบกมือลา NSS Labs บริษัทประเมินคุณภาพโปรดักส์ความปลอดภัยชื่อดังยุติการให้บริการ

NSS Labs บริษัทประเมินคุณภาพโปรดักส์ความปลอดภัยชื่อดังประกาศยุติการให้บริการเมื่อวันอังคารที่ผ่านมา แถลงการณ์เบื้องต้นของบริษัทหน้าเว็บไซต์มีการกล่าวถึงผลกระทบจากการแพร่กระจายของ COVID-19 การยุติการให้บริการมีผลแล้วในวันที่ 15 ตุลาคมที่ผ่านมา

นอกเหนือประกาศอย่างเป็นทางการ ซีอีโอของ NSS Labs "Jason Brvenik" ออกมาประกาศเพิ่มเติมใน LinkedIn ของเขาโดยมีการช่วยโปรโมตอดีตพนักงานของ NSS Labs ในการหางานใหม่ด้วย

ที่มา : securityweek

เปิดประเทศก็พอ ไม่ต้องเปิดระบบให้เขาเข้ามา! NSA ออกรายงานช่องโหว่ซึ่งมักถูกใช้โดยกลุ่มแฮกเกอร์จีนในการโจมตีระบบ

NSA ออก Cybersecurity Advisory เมื่อวันอังคารที่ผ่านมาโดยมีเนื้อหาเป็นการรวบรวมและแจ้งเตือนช่องโหว่ซึ่งมักถูกใช้โดยกลุ่มแฮกเกอร์ที่ถูกสนับสนุนโดยรัฐบาลจีนในการโจมตี พร้อมคำแนะนำในการรับมือและความเสี่ยงในการถูกโจมตีด้วย

ช่องโหว่ที่ถูกระบุในรายงานมีทั้งสิ้น 25 ช่องโหว่ โดยมีการระบุถึงช่องโหว่ชื่อดังอย่าง CVE-2019-19781 ใน Citrix ADC ซึ่งถูกใช้ทั้งจากกลุ่มแฮกเกอร์ที่รัฐบาลจีนสนับสนุนและกลุ่มแฮกเกอร์ที่รัฐบาลอิหร่านสนับสนุน แนะนำให้ตรวจสอบรายงานดังกล่าวและดำเนินการตามความเหมาะสมเพื่อลดผลกระทบจากการถูกโจมตีโดยช่องโหว่เหล่านี้

ที่มา : CISA

VMware ออกเเพตซ์แก้ไขช่องโหว่ระดับ Critical จำนวน 6 รายการในผลิตภัณฑ์ ESXi, Workstation, Fusion และ NSX-T

VMware ได้ประกาศออกเเพตซ์แก้ไขช่องโหว่ระดับ Critical จำนวน 6 ช่องโหว่ในผลิตภัณฑ์ ESXi, Workstation, Fusion และ NSX-T โดยจาก 6 ช่องโหว่นี้ มีช่องโหว่ที่น่าสนใจคือ

ช่องโหว่ CVE-2020-3992 (CVSSv3: 9.8/10) เป็นช่องโหว่ประเภท use-after-free ที่ส่งผลกระทบต่อบริการ OpenSLP ใน ESXi โดยช่องโหว่นี้จะสามารถอนุญาตให้ผู้โจมตีจากระยะไกลเรียกใช้โค้ดได้โดยไม่ได้รับอนุญาต ทั้งนี้ผู้โจมตีที่จะสามารถใช้ประโยชน์ช่องโหว่นี้ได้ต้องอยู่ในเครือข่ายการจัดการและต้องสามารถเข้าถึงพอร์ต 427 บนเครื่อง ESXi ได้จึงจะสามารถช้ประโยชน์จากช่องโหว่ได้
ช่องโหว่ CVE-2020-3993 (CVSSv3: 7.5/10) เป็นช่องโหว่ที่เกิดจากการที่โฮสต์ KVM อนุญาตให้ดาวน์โหลดและติดตั้งแพ็กเกจจาก NSX manager ด้วยข้อบกพร่องนี้อาจทำให้ผู้โจมตีสามารถทำการ Man-in-the-middle attack (MitM) เพื่อโจมตี Transport Node
ช่องโหว่ CVE-2020-3994 (CVSSv3: 7.5/10) เป็นช่องโหว่ที่ทำให้สามารถ hijack เซสชัน vCenter Server ในฟังก์ชันของการอัปเดต
ทั้งนี้ผู้ดูแลระบบควรทำการอัปเดตเเพตซ์ให้เป็นเวอร์ชันล่าสุดเพื่อทำการเเก้ไขช่องโหว่และเพื่อเป็นการป้องกันผู้ประสงค์ร้ายใช้ประโยชน์จากช่องโหว่ทำการโจมตีระบบ

ที่มา : securityaffairs | vmware