กลุ่ม Ryuk Ransomware นำช่องโหว่ Zerologon มาปรับใช้เพื่อทำการโจมตีระบบแล้ว

นักวิจัยจาก @TheDFIRReport ออกรายงานพบการโจมตีรูปแบบใหม่ของกลุ่ม Ryuk Ransomware ที่ได้นำช่องโหว่ Zerologon (CVE-2020-1472) มาปรับใช้ในการโจมตี ซึ่งทำให้กลุ่ม Ryuk Ransomware สามารถใช้เวลาในการเข้ารหัสทั้งโดเมนที่ถูกบุกรุกได้ในเวลาเพียงห้าชั่วโมง

นักวิจัยกล่าวว่าการโจมตีเริ่มต้นด้วยอีเมลฟิชชิงที่มีมัลแวร์ Bazar loader จากนั้นผู้โจมตีจะทำการสำรวจระบบด้วยการใช้เครื่องมือ built-in ภายใน Windows เพื่อสำรวจระบบ จากนั้นจะใช้ประโยชน์จากช่องโหว่ของ Zerologon (CVE-2020-1472) เพื่อใช้ในการรีเซ็ตรหัสผ่านเครื่องของโดเมนคอนโทรลเลอร์ จากนั้นผู้โจมตีจะทำการเคลื่อนย้ายไปยังคอนโทรลเลอร์รองภายในระบบด้วย Server Message Block (SMB) และ Windows Management Instrumentation (WMI) ด้วยเครื่องมือ Cobalt Strike ซึ่งในขั้นตอนสุดท้ายของการโจมตีกลุ่ม Ryuk Ransomware ได้ติดตั้งแรนซัมแวร์ลงบนเซิร์ฟเวอร์หลักและเซิร์ฟเวอร์ที่เก็บข้อมูลสำรอง ตามด้วยเครื่องที่เหลือทั้งหมด

นักวิจัยยังกล่าวว่าผู้โจมตีสามารถบรรลุวัตถุประสงค์ของพวกเขาได้ในระยะเวลาอันสั้น โดยเหตุการณ์นับจากการโจมตีขั้นแรกด้วยการที่ผู้ใช้งานหลงกลอีเมลฟิชชิงทำให้ Bazar loader ทำงานจนถึงการปล่อยแรนซัมแวร์ใช้เวลาทั้งหมด 5 ชั่วโมงเท่านั้น ทั้งนี้ผู้ดูแลระบบควรรีบทำการอัปเดตเเพตซ์ความปลอดภัยเพื่อเเก้ไขช่องโหว่ Zerologon เป็นการด่วนเพื่อเป็นการป้องกันผู้ประสงค์ร้ายใช้ประโยชน์จากช่องโหว่ทำการโจมตีระบบ

โดยผู้ที่สนใจรายงานดังกล่าวสามารถอ่านรายละเอียดได้จาก : thedfirreport 

ที่มา : threatpost

หน่วยงานกำกับด้านข้อมูลอังกฤษสั่งปรับ British Airways ภายใต้ GDPR กรณีการโจมตีจากกลุ่ม Magecart และปัญหาด้านความปลอดภัย

หน่วยงาน Information Commissioner (ICO) ออกประกาศเมื่อวันที่ 16 ตุลาคม 2563 ว่าจะมีการปรับค่าเสียหายจากสายการบิน British Airways จำนวนกว่า 20 ล้านปอนด์หรือประมาณ 800 ล้านบาท ภายใต้การบังคับใช้ของ GDPR จากกรณีการโจมตีโดยกลุ่ม Magecart ซึ่งส่งผลให้ข้อมูลของลูกค้าสายการบินกว่า 500,000 รายการรั่วไหล

ในเดือนกันยายน 2018 สายการบิน British Airways มีการรายงานต่อ ICO หลังจากมีการตรวจพบการโจมตี การวิเคราะห์การโจมตีบ่งชี้ว่าผู้โจมตีมีการเข้าถึงระบบภายในของสายการบินจนสามารถแก้ไขหน้าเว็บเพจหลักของ British Airways ได้ ด้วยสิทธิ์ดังกล่าว ผู้โจมตีมีการฝังโค้ดเพื่อลักลอบดึงข้อมูลทีผู้ใช้งานกรอกที่หน้าเว็บและส่งมายังระบบของผู้โจมตีตามลักษณะการโจมตีของกลุ่ม Magecart การวิเคราะห์การโจมตียังบ่งชี้ว่า British Airways มีความปลอดภัยที่หละหลวม ไม่มีการบังคับใช้ multi-factor authentication และยังมีการบันทึกรหัสผ่านของบัญชี domain administrator เอาไว้ในไฟล์แบบ plaintext อีกด้วย

จำนวนค่าปรับกว่า 20 ล้านปอนด์นั้นถูกลดมาจาก 183 ล้านปอนด์ตามที่ ICO เคยมีการแจ้งแก่ British Airways ครั้งแรกเมื่อเดือนกรกฎาคม 2019 ทาง ICO มีการอธิบายเพิ่มเติมที่การลดลงของค่าปรับซึ่งหนึ่งในเหตุผลนั้นคือการประเมินจากผลกระทบที่มีต่อสายการบินในกรณีของ COVID-19 ด้วย

ที่มา: theregister

แฮกเกอร์ปล่อยข้อมูลของบริษัท Ubisoft และ Crytek ที่ถูกบุกรุกลงบนเว็บพอร์ทัลใน dark web

กลุ่มปฏิบัติการแรนซัมแวร์ “Egregor” ได้ปล่อยข้อมูลที่อ้างว่าได้รับจากเครือข่ายภายในของบริษัท Ubisoft และ Crytek ลงบนเว็บพอร์ทัลของกลุ่มตนเองใน dark web

โดยรายละเอียดของข้อมูลที่ปล่อยลงในเว็บพอร์ทัลนั้นเป็นข้อมูลที่มีการอ้างว่าเป็นข้อมูลของบริษัท Ubisoft และ Crytek ซึ่งข้อมูลที่ถูกปล่อยของบริษัท Ubisoft นั้นคือซอร์สโค้ดจากเกม Watch Dogs ภาค Legion ที่มีกำหนดจะออกวางจำหน่ายภายในปลายเดือนนี้ จำนวน20 MB ส่วนข้อมูลที่ถูกปล่อยของบริษัท Crytek นั้นปรากฏเป็นเอกสารที่ถูกขโมยจากแผนกพัฒนาเกมจำนวน 300 MB โดยภายในเอกสารมีแหล่งข้อมูลและข้อมูลเกี่ยวกับกระบวนการพัฒนาเกมเช่น Arena of Fate และ Warface อีกทั้งยังมีข้อมูลที่เกี่ยวกับเกม Gface อีกด้วย

ทั้งนี้บริษัท Ubisoft และ Crytek ยังไม่มีการเเสดงความคิดเห็นใดๆ เกี่ยวกับการปล่อยข้อมูลชุดนี้ สำหรับกลุ่มปฏิบัติการแรนซัมแวร์ “Egregor” นั้นเป็นกลุ่มที่มักจะทำการบุกรุกเพื่อทำการละเมิดข้อมูลของบริษัทต่างๆ เพื่อทำการขโมยข้อมูล, เข้ารหัสไฟล์และเรียกค่าไถ่เพื่อถอดรหัสข้อมูลที่ถูกล็อก

ที่มา: zdnet

แฮกเกอร์เริ่มแคมเปญฟิชชิ่งใหม่ที่ใช้ Basecamp ในการเเพร่กระจายมัลแวร์ไปยังผู้ใช้ทั่วไป

นักวิจัยด้านความปลอดภัยจาก MalwareHunterTeam และนักวิจัยอิสระ James ได้พบถึงพฤติกรรมของกลุ่มผู้ประสงค์ร้ายที่กำลังเริ่มแคมเปญฟิชชิ่งใหม่ที่ใช้ Basecamp ในการเผยเเพร่ไฟล์ที่เป็นอันตรายซึ่งแอบเเฝงมัลแวร์ไว้เพื่อการเเพร่กระจายและทำการขโมยข้อมูล credential ของเหยื่อ

Basecamp เป็นโปรเจ็กต์ในการพัฒนา web-based management ที่ช่วยให้ผู้ใช้สามารถทำงานร่วมกัน, สนทนากัน, สร้างเอกสารและแชร์ไฟล์กันได้ โดยนักวิจัยพบว่ามีผู้ประสงค์ร้ายกำลังพยายามแจกจ่ายไฟล์ปฏิบัติการที่ชื่อว่า BazarLoader ด้วยการใช้ลิงก์ดาวน์โหลด Basecamp แบบสาธารณะ ซึ่งเมื่อทำการตรวจสอบไฟล์ BazarLoader พบว่าเป็นโทรจันที่เชี่อมโยงไปยังมัลแวร์ TrickBot และเมื่อทำการติดตั้งแล้ว BazarLoader แล้วตัวมัลแวร์จะทำการปรับใช้บีคอน Cobalt Strike ที่จะอนุญาตให้ผู้ประสงค์ร้ายเข้าถึงเครือข่ายและจะทำให้ผู้ประสงค์ร้ายสามารถนำ Ryuk ransomware เข้าไปรันในเครือข่ายหรือระบบได้ในท้ายที่สุด

เนื่องจาก Basecamp เป็นบริการที่มีความเชื่อถือได้ ทำให้ผู้ใช้ไม่รู้สึกผิดสังเกตถึงการพยายามในการเเพร่กระจายมัลแวร์ ทั้งนี้ผู้ใช้งานควรต้องใช้ความระมัดระวังในการเปิดเอกสารหรือดาวน์โหลดไฟล์และควรพิจารณาใช้ซอฟต์แวร์ป้องกันไวรัสที่มีประสิทธิภาพเพื่อเป็นการป้องกันเครื่องของผู้ใช้และระบบของผู้ใช้

ที่มา: bleepingcomputer

ทีม NPM Security ลบแพ็คเกจ NPM ที่เป็นอันตราย 4 ชุดที่สามารถเปิด Reverse Shell บนระบบของผู้ใช้ได้

ทีม NPM Security ได้ลบแพ็คเกจ NPM จำนวน 4 ชุดออกจาก NPM Portal หลังจากตรวจพบว่ามีโค้ดที่เป็นอันตรายที่มีลักษณะของ reverse shell และสามารถสร้างการเชื่อมต่อกับเซิร์ฟเวอร์ระยะไกลของผู้ประสงค์ร้ายได้

แพ็คเกจทั้ง 4 ที่ทางทีม NPM ทำการตรวจพบคือ plutov-slack-client, nodetest199, nodetest199 และ npmpubman โดยแพ็คเกจทั้ง 4 นี้ถูกดาวน์โหลดไปแล้วมากกว่า 1,000 ครั้งในช่วงสองสามเดือนที่ผ่านมา

แพ็คเกจจำนวน 3 แพ็คเกจคือ plutov-slack-client , nodetest1010 และ nodetest199 จะมีลักษณะโค้ดที่เหมือนกันและแพ็คเกจเหล่านี้สามารถทำงานได้ทั้งบน Windows และระบบที่ใช้ Unix ซึ่งหลังจากติดตั้งแพ็กเกจแล้วโค้ดจะสร้าง reverse shell กลับไปยังเซิร์ฟเวอร์ของผู้โจมตีUnixเพื่อให้ผู้ประสงค์ร้ายสามารถเข้าถึงเครื่องที่ถูกบุกรุกจากระยะไกลได้ ทั้งนี้แพ็คเกจสุดท้ายในรายการคือ npmpubman มีโครงสร้างโค้ดและวัตถุประสงค์ที่แตกต่างกันมาก โดยแพ็คเกจจะทำการรวบรวมข้อมูลผู้ใช้จากสภาพแวดล้อมต่างๆ ภายในเครื่องและจะทำการอัปโหลดข้อมูลนี้ไปยังโฮสต์ของผู้ประสงค์ร้าย

ทีม NPM Security ได้ออกคำเเนะนำให้ผู้ใช้หรือผู้ดูแลระบบที่เคยทำการติดตั้งแพ็คเกจทั้ง 4 นี้ควรทำการลบแพ็คเกจออกเพื่อป้องกันผู้ประสงค์ร้ายใช้ประโยชน์จากการติดตั้งแพ็คเกจทำการโจมตีระบบ

ที่มา : bleepingcomputer

Microsoft ประกาศออกเเพตซ์ฉุกเฉิน 2 รายการที่จะส่งผลกระทบต่อ Microsoft Windows Codecs Library และ Visual Studio Code

Microsoft ประกาศออกเเพตซ์ด้านความปลอดภัยฉุกเฉินสองรายการ เพื่อเเก้ปัญหาช่องโหว่การเรียกใช้โค้ดจากระยะไกล (Remote Code Execution - RCE) ที่พบว่าจะส่งผลกระทบต่อ Microsoft Windows Codecs Library และ Visual Studio Code

ช่องโหว่ CVE-2020-17022 เป็นช่องโหว่การเรียกใช้โค้ดจากระยะไกลที่อยู่ใน Microsoft Windows Codecs Library ซึ่งเกิดจากวิธีการที่ Microsoft Windows Codecs Library จัดการกับวัตถุในหน่วยความจำ ซึ่งการใช้ช่องโหว่ให้ประสบความสำเร็จนั้นผู้โจมตีจำเป็นต้องทำให้แอปพลิเคชันทำการประมวลผลไฟล์ภาพที่สร้างขึ้นเป็นพิเศษ โดยช่องโหว่จะมีผลต่ออุปกรณ์ทั้งหมดที่ใช้ Windows 10 เวอร์ชัน 1709 หรือใหม่กว่าและไลบรารีเวอร์ชันที่มีช่องโหว่ ทั้งนี้ช่องโหว่นี้ถูกค้นพบและรายงานโดย Dhanesh Kizhakkinan จาก FireEye

ช่องโหว่ CVE-2020-17023 เป็นช่องโหว่การเรียกใช้โค้ดจากระยะไกลที่อยู่ใน Visual Studio JSON โดยเมื่อผู้ใช้เปิดไฟล์ 'package.

Adobe ได้ออกเเพตซ์เเก้ไขความปลอดภัยฉุกเฉินเพื่อแก้ไขปัญหาร้ายแรงใน Magento แพลตฟอร์มจำนวน 9 รายการ โดยช่องโหว่ที่ทำการเเก้ไขนั้นจะกระทบกับ Magento Commerce และ Magento Open Source เวอร์ชัน 2.3.5-p1, 2.4.0 และรุ่นก่อนหน้า

ช่องโหว่ที่สำคัญใน Adobe Magento และได้รับการเเก้ไขแล้วถูกติดตามด้วยรหัส CVE-2020-24407 และ CVE-2020-24400 เป็นช่องโหว่การอัปโหลดไฟล์ที่จะอนุญาตให้มีการ bypass ลิตส์รายการและช่องโหว่ SQL injection ซึ่งช่องโหว่จะสามารถนำไปสู่การเรียกใช้โค้ดได้โดยไม่ได้รับอนุญาตหรือการเข้าถึงฐานข้อมูลแบบ read/write ได้โดยไม่ได้รับอนุญาต อย่างไรก็ตามช่องโหว่ทั้งสองผู้โจมตีต้องได้ได้รับสิทธิ์ระดับผู้ดูแลระบบอยู่ก่อนแล้วจึงจะสามารถใช้ประโยชน์จากช่องโหว่ได้

นอจากช่องโหว่ที่สำคัญทั้งสองแล้ว Adobe ยังได้ทำการเเก้ไขช่องโหว่ CVE-2020-24402 ซึ่งเป็นช่องโหว่ที่ทำให้ผู้โจมตีสามารถจัดการและแก้ไขรายชื่อลูกค้า, CVE-2020-24408 cross-site scripting (XSS), CVE-2020-24401 ช่องโหว่ในการใช้ session, CVE-2020-24404 ช่องโหว่ที่สามารถเเก้ไขหน้าเพจ Magento CMS โดยไม่ได้รับอนุญาต, CVE-2020-24405 และ CVE-2020-24403 ซึ่งเป็นข้อบกพร่องการเข้าถึง resource ที่ถูกจำกัด และช่องโหว่ CVE-2020-24406 ช่องโหว่การเปิดเผยข้อมูลที่ละเอียดอ่อน

ทั้งนี้ผู้ใช้และผู้ดูแลระบบที่ใช้งาน Magento Commerce และ Magento Open Source ควรทำการอัปเดตเเพตซ์ให้เป็นเวอร์ชันล่าสุดเพื่อเป็นการป้องกันผู้ประสงค์ร้ายใช้ประโยชน์จากช่องโหว่ทำการโจมตีระบบ

ที่มา: zdnet.

Juniper Network ได้เผยแพร่คำแนะนำด้านความปลอดภัยจำนวน 40 รายการเกี่ยวกับช่องโหว่ในระบบปฏิบัติการ Junos OS ซึ่งเป็นระบบปฏิบัติการที่ถูกใช้ในไฟร์วอลล์และ third-party component ต่างๆ

ช่องโหว่ที่มีสำคัญและถูกจัดอันดับความรุนแรงมากมีดังนี้ CVE-2020-1675 (CVSSv3: 8.3/10), CVE-2020-1676 (CVSSv3: 7.2/10) และ CVE-2020-1677 (CVSSv3: 7.2/10) เป็นช่องโหว่ที่อยู่ในผลิตภัณฑ์ Juniper Networks Mist Cloud UI ซึ่งเป็นช่องโหว่ที่เกี่ยวข้องกับการรับรองความถูกต้องของ Security Assertion Markup Language (SAML) ที่จะอนุญาตให้ผู้โจมตีระยะไกลสามารถ bypass การตรวจสอบสิทธิ์ SAML

นอกจากนี้ Juniper ยังได้ทำการเเก้ไขช่องโหว่ CVE-2020-10188 (CVSSv3: 9.8/10) ช่องโหว่การเรียกใช้โค้ดจากระยะไกลที่จะส่งผลกระทบต่อเซิร์ฟเวอร์ Telnet ที่ Junos OS ใช้

ทั้งนี้หน่วยงานรักษาความปลอดภัยทางไซเบอร์และโครงสร้างพื้นฐานของสหรัฐฯ (Cybersecurity and Infrastructure Security Agency - CISA) ได้ออกคำแนะนำให้ผู้ดูแลระบบขององค์กรต่างๆ ควรทำการตรวจสอบและทำการอัปเดตเเพตซ์ความปลอดภัยให้เป็นเวอร์ชันใหม่ล่าสุดเพื่อป้องกันผู้ประสงค์ร้ายใช้ประโยชน์จากช่องโหว่โจมตีระบบ

ที่มา: securityweek.

TikTok ได้ประกาศเข้าร่วมโครงการ bug bounty ร่วมกับแพลตฟอร์ม HackerOne เพื่อเปิดโอกาสให้แฮ็กเกอร์และนักวิจัยด้านความปลอดภัยสามารถทำการให้ค้นหาช่องโหว่ในเว็บไซต์หลักซึ่งรวมถึงโดเมนย่อยต่างๆ และแอปพลิเคชันบน Android และ iOS

โดยช่องโหว่และข้อบกพร่องที่มีความรุนแรงสูง TikTok จะจ่ายให้กับผู้ค้นพบเป็นเงินรางวัลตั้งเเต่ 1,700 ถึง 6,900 ดอลลาร์(ประมาณ 53,074 ถึง 215,418 บาท) ทั้งนี้ช่องโหว่ที่มีความสำคัญและมีความรุนเเรงสูงผู้ค้นพบจะสามารถได้รับรางวัลสูงถึง 14,800 ดอลลาร์ (ประมาณ 461,959 บาท) ซึ่งจะพิจารณาจากคะแนนความรุนเเรง CVSS ของช่องโหว่

Luna Wu จากทีม TikTok Global Security ได้กล่าวว่าความร่วมมือในการหาช่องโหว่และข้อบกพร่องครั้งนี้จะช่วยให้ TikTok ได้รับข้อมูลเชิงลึกจากนักวิจัยด้านความปลอดภัยชั้นนำของโลก, นักวิชาการและผู้เชี่ยวชาญอิสระเพื่อเปิดเผยภัยคุกคามและช่องโหว่ที่อาจเกิดขึ้นได้ในแอปพลิเคชัน ซึ่งจะทำให้การป้องกันความปลอดภัยของ TikTok แข็งแกร่งยิ่งขึ้น

ที่มา: securityweek.

นักวิจัยด้านความปลอดภัยจาก ClearSky ได้เผยถึงการพบเบาะแสที่เชื่อมโยงระหว่าง Thanos ransomware กับกลุ่ม MuddyWater ซึ่งเป็นแฮกเกอร์ที่รัฐสนับสนุนโดยอิหร่าน

นักวิจัยด้านความปลอดภัยกล่าวว่าเบาะแสที่มีเชื่อมโยงนั้นพบว่ากลุ่ม MuddyWater มักจะใช้วิธีการโจมตีอยู่สองวิธีคือ หนึ่งใช้อีเมลฟิชชิ่งที่มีเอกสาร Excel หรือ PDF ที่เป็นอันตราย ซึ่งเมื่อเหยื่อเปิดแล้วจะดาวน์โหลดและติดตั้งมัลแวร์จากเซิร์ฟเวอร์ของแฮกเกอร์ ส่วนวิธีที่สองคือการสแกนอินเทอร์เน็ตเพื่อหาเซิร์ฟเวอร์อีเมล Microsoft Exchange ที่ไม่ได้รับการเเพตซ์และใช้ประโยชน์จากช่องโหว่ CVE-2020-0688 ติดตั้งเว็บเชลล์บนเซิร์ฟเวอร์จากนั้นดาวน์โหลดและติดตั้งมัลแวร์ตัวเดียวกันเดียวกับที่เคยเห็นมาก่อน ซึ่งมีชื่อว่า PowGoop โดยจะเป็นมัลเเวร์ที่ถูกใช้เพื่อทำการติดตั้ง Thanos ransomware ซึ่งเป็นข้อมูลจากการติดตามและรายงานโดย Palo Alto Networks

จุดน่าสนใจของ TTP ล่าสุดอยู่ในประเด็นที่ว่า Thanos ransomware ที่ตรวจพบและเกี่ยวข้องกับ MuddyWater ถูกเขียนขึ้นมาให้เข้ารหัสแบบไม่สามารถกู้คืนได้ ซึ่งเป็นความพยายามในการปกปิดเป้าหมายที่แท้จริงผ่านการอำพรางด้วยการใช้มัลแวร์เรียกค่าไถ่ด้วย

ที่มา: zdnet.