นักวิจัยด้านความปลอดภัย Riccardo "rpadovani" Padovani ได้เปิดเผยช่องโหว่ซึ่งเกิดจากการที่ GitLab ไม่ได้นำโค้ดในส่วนที่เป็น Elasticsearch Search API ออกในกระบวนการเปลี่ยนการตั้งค่าจากโครงการ public เป็นโครงการแบบ private ซึ่งส่งผลให้โค้ดในโครงการซึ่งเป็น private แล้วจะยังสามารถถูกค้นหาได้ผ่าน API นี้

หลังจากที่ Riccardo มีการแจ้งช่องโหว่ไปในเดือนพฤศจิกายน 2019 ทาง GitLab ได้มีการปล่อยรุ่น 12.5.4 ซึ่งมีการแก้ไขปัญหานี้แล้ว จากการค้นพบดังกล่าว Riccardo ได้เงินรางวัลจากช่องโหว่เป็นจำนวนเงินประมาณ 90,000 บาท ผ่านทางแพลตฟอร์ม HackerOne

ที่มา : Zdnet

Richard Warren จาก NCC Group เปิดเผยข้อมูลการค้นพบช่องโหว่ล่าสุดใน Pulse Connect Secure (PCS) โดยมีรหัสช่องโหว่คือ CVE-2020-8243 และมีคะแนน CVSSv3 เป็น 7.2 ช่องโหว่นี้เป็นช่องโหว่ในลักษณะของ template injection ซึ่งส่งผลให้ผู้โจมตีผ่านการพิสูจน์และมีสิทธิ์ของระบบสามารถรันโค้ดอันตรายด้วยสิทธิ์ root ได้

ปัญหาของช่องโหว่นี้เกิดจากการที่อุปกรณ์มีการเปิดให้บัญชีซึ่งมีสิทธิ์เป็นผู้ดูแลระบบสามารถอัปโหลดเทมเพลตสำหรับการปรับแต่งหน้าล็อกอินและหน้าการประชุมได้ แม้จะมีการบล็อกเมธอดอันตรายในเอนจิน Perl Template Toolkit ซึ่งเป็นส่วนประมวลผลแล้ว ผู้โจมตีก็ยังคงสามารถข้ามผ่านมาตรการป้องกันและอัปโหลดเทมเพลตที่เป็นอันตรายได้ต่อ

การแก้ไขช่องโหว่นี้สามารถทำได้โดยการอัปโหลดรุ่นของอุปกรณ์ Pulse Connect Secure และ Pulse Policy Secure 9.1R8.2 หรือมากกว่า ขอให้ทำการอัปเดตแพตช์โดยด่วนเพื่อลดความเสี่ยงของการใช้ช่องโหว่เพื่อโจมตีและฝังแบ็คดอร์ไว้ในระบบ

ที่มา : nccgroup

Google ประกาศจัดตั้งทีม Android Partner Vulnerability Initiative (APVI) เพื่อจัดการและดูแลเเก้ไขเกี่ยวกับช่องโหว่ด้านความปลอดภัยที่ถูกพบในอุปกรณ์ Android และซอฟต์แวร์ที่ให้บริการในรูปแบบ Android OEM ของผู้ผลิตที่เป็น Android partner กับ Google

ในการจัดตั้งทีม APVI นั้น Google มีเป้าหมายเพื่อทำการรวบรวมปัญหาด้านความปลอดภัยต่างๆ จากนักวิจัยด้านความปลอดภัย ซึ่งจะรายงานผ่านช่องทางเช่น Android Security Rewards Program (ASR), Google Play Security Rewards Program, Android Open Source Project (AOSP) และ Android Security Bulletins (ASB) เพื่อแก้ไขปัญหาที่ Google ค้นพบหรือได้รับรายงาน ซึ่งปัญหาและช่องโหว่อาจส่งผลกระทบต่อความปลอดภัยของอุปกรณ์ Android หรือผู้ใช้งาน Android เช่น ปัญหาจาก permissions bypasses, การเรียกใช้โค้ดใน kernel, credential leak และปัญหา backup ไม่ได้เข้ารหัสใน Android OEM ที่ผลิตโดย Android partner ทั้งนี้ผู้ที่สนใจรายละเอียดสามารถอ่านเพิ่มเติมได้จากเเหล่งที่มา

ที่มา: security.

ในงาน Black Hat Asia เมื่อวันศุกร์ที่ผ่านมากับการบรรยายหัวข้อที่ชื่อ "Back to the Future. Cross-Protocol Attacks in the Era of 5G” โดย Sergey Puzankov ผู้เชี่ยวชาญด้านการรักษาความปลอดภัยจาก Positive Technologies ซึ่งได้บรรยายถึงความเสี่ยงของการใช้งานเครือข่าย 4G และ 5G ที่ผู้โจมตีสามารถใช้ประโยชน์จากโปรโตคอลเทคโนโลยีและมาตรฐานโทรคมนาคมที่ถูกใช้งานมานานตั้งเเต่ปี 1975

Puzankov กล่าวว่าโปรโตคอล Signaling System 7 (SS7) ที่ถูกใช้งานในอุตสาหกรรมโทรคมนาคมและเป็นโปรโตคอลได้รับการพัฒนาขึ้นเมื่อปี 1975 ด้วยโปรโตคอล SS7 ผู้โจมตีสามารถใช้เทคนิค Cross-protocol attack เพื่อเป็นช่องทางการโจมตีในการลับลอบใช้ data streams บนเครือข่าย 4G และ 5G อีกทั้งยังสามารถขัดขวางการรับส่ง SMS และสายสนทนาบนเครือข่าย 2G, 3G และ 4G และอาจใช้ช่องทางนี้ทำการฉ้อโกงผู้ใช้โดยการสมัครสมาชิกเพื่อใช้บริการเสริม (VAS) โดยไม่ได้รับความยินยอมจากผู้ใช้และผู้ให้บริการ

Puzankov ยังกล่าวอีกว่าตัวอย่างการโจมตีที่ผู้โจมตีสามารถใช้ประโยชน์จากช่องโหว่ในโปรโตคอลคือผู้โจมตีสามารถใช้เทคนิค Man-in-the-Middle (MiTM) หรือทำการปลอมแปลงแพ็กเก็ตเครือข่าย ในระบบ voice call interception โดยการใช้โหมด always connected เพื่อทำการ jump จาก SS7 ไป Diameter บนโปรโตคอลอื่นๆ เพื่อทำการลักลอบใช้ data streams บนเครือข่าย 4G และ 5G อีกทั้งผู้โจมตียังสามารถดักจับโปรไฟล์และข้อมูลของสมาชิกและถ้าหากเหยื่อกำลังโรมมิ่ง ผู้โจมตีสามารถส่งคำขอตำแหน่งที่ตั้งของผู้ใช้ได้เช่นกัน ทั้งนี้ผู้ที่สนใจรายละเอียดเพิ่มเติมสามารถอ่านได้ที่: https://positive-tech.

โรงพยาบาลแห่งมหาวิทยาลัย New Jersey ใน Newark ออกมาให้สัมภาษณ์และยอมรับกับ Bleeping Computer หลังจากที่ทางโรงพยาบาลฯ ตัดสินใจจ่ายค่าไถ่ให้กับกลุ่มมัลแวร์เรียกค่าไถ่ Suncrypt กว่า 20 ล้านบาท เพื่อแลกกับการไม่ปล่อยข้อมูลของคนไข้ขนาด 240 กิกะไบต์

อ้างอิงจากการสัมภาษณ์ Suncrypt มีการเรียกค่าไถ่จำนวนกว่า 1.7 ล้านดอลลาร์สหรัฐฯ หรือประมาณ 53 ล้านบาท ทั้งนี้กลุ่ม Suncrypt ยอมที่จะตกลงลดราคาเนื่องจากสถานการณ์ COVID-19 และด้วยเหตุผลในการต่อรองอื่น ๆ

ทาง UNHJ ซึ่งเป็นตัวแทนของโรงพยาบาลออกมายอมรับว่า ทางโรงพยาบาลต้องการที่จะยับยั้งการรั่วไหลของข้อมูลของคนไข้เป็นอันดับแรก การเจรจาและการยอมจ่ายค่าไถ่จึงเริ่มขึ้น

หลังจากการโจมตี Bleeping Computer ได้มีการติดต่อกลุ่ม SunCrypt และได้รับการยืนยันว่ากลุ่ม SunCrypt จะไม่พุ่งเป้าโจมตีระบบของกลุ่มสาธารณสุขอีกต่อไป โดยอ้างว่า "We don't play with people's lives.

Gordon Fyodor Lyon ผู้พัฒนาหลักของโครงการ Nmap ออกประกาศการปล่อยเวอร์ชัน 7.90 ซึ่งเป็นอัปเดตล่าสุดตั้งแต่เดือนสิงหาคมปีที่แล้ว โดยเป็นการออกตามเอนจิน Npcap ซึ่งพึ่งขยับเป็น major release ครั้งแรก

Nmap เวอร์ชันล่าสุดนี้มีการเพิ่ม fingerprints ทั้งสำหรับ services, versions และ OS กว่า 1,200 รายการ และด้วยเอนจินรุ่นใหม่ล่าสุดนั้น ประสิทธิภาพในการใช้งานจะดีขึ้นกว่าเดิมเป็นเท่าตัว

อ่าน Changelog ฉบับเต็มได้ที่แหล่งที่มา

ที่มา: seclists.

นักวิจัยด้านความปลอดภัย Michael Gillespie ประกาศการค้นพบมัลแวร์เรียกค่าไถ่ใหม่ "Egregor" ซึ่งใช้วิธีการขู่เรียกค่าไถ่ด้วยข่มขู่ที่จะปล่อยข้อมูลที่ได้จากการโจมตี มีการค้นพบเหยื่อจาก Egregor แล้วคือบริษัทโลจิสติกส์ระดับโลก GEFCO

ผลการวิเคราะห์ตัวอย่างของมัลแวร์เรียกค่าไถ่เบื้องต้นบ่งชี้ความเหมือนของโค้ดระหว่าง Egregor และมัลแวร์เรียกค่าไถ่ Sekhmet ซึ่งเคยมีการแพร่กระจายในช่วงเดือนมิถุนายนที่ผ่านมา ส่วนของโค้ดของมัลแวร์ Egregor เองประกอบไปด้วยวิธีการ anti-analysis หลายรูปแบบ รวมไปถึงมีการทำ code obfuscation, packing และมีความยืดหยุ่นในการกำหนดฟังก์ชันการใช้งานด้วย ส่งผลให้คะแนนด้านความอันตรายของ Egregor มีสูงเทียบเท่ากับมัลแวร์เรียกค่าไถ่สายพันธุ์อื่น

IOC ของ Egregor ถูกเผยแพร่แล้วที่ AlienVault OTX (https://otx.

Internet Engineering Task Force หรือ IETF มีการเผยแพร่ข้อเสนอสำหรับมาตรฐานใหม่ RFC8915 หรือ Network Time Security (NTS) โดยเป้าหมายที่ชัดเจนของ RFC นี้นั้นคือการแก้ไขปัญหา จุดอ่อนและช่องโหว่ในโปรโตคอล network time protocol หรือ NTP

NTP ซึ่งปัจจุบันมีอายุครบ 35 ปีแล้วนั้นมีปัญหาและช่องโหว่อยู่มากมาย อาทิ ลักษณะของโปรโตคอลที่สามารถถูกนำมาใช้ในการโจมตีลักษณะ DDoS amplification, ปัญหาการแก้ไขข้อมูลในแพ็คเกตระหว่างทาง และการโจมตีในลักษณะของ replay attack ด้วยการใช้วิธี MiTM

สิ่งที่จะเกิดขึ้นใหม่ NTS นั้นคือการนำเอาศาสตร์ของการเข้ารหัสเข้ามาช่วยในการันตีความถูกต้องและความลับของแพ็คเกจ และแก้ปัญหา DDoS amplification โดยการตรวจสอบขนาดของข้อมูลในโปรโตคอล

แม้จะออกมาดูดีและมีความหวัง NTS ก็ยังมีข้อกังวลอยู่ในบางกรณี เช่น การใช้การเข้ารหัสแบบอสมมาตรอาจทำให้เกิดความเสี่ยงในการที่ผู้โจมตีจะทำ DDoS โดยบังคับให้ระบบประมวลผลการเข้าและถอดรหัสที่นาน (จากเดิมที่นานและใช้ทรัพยากรเยอะพอสมควร) ในประเด็นนี้นั้น RFC8915 มีการระบุถึงผลกระทบที่ต่ำหากถูกโจมตีจริง เช่นเดียวกับกระบวนการตรวจสอบขนาดของข้อมูลเพื่อป้องกัน DDoS amplifcation ซึ่งก็ยังไม่สามารถทำได้ 100%

RFC เป็นแนวทางเพื่อการอ้างอิง การอิมพลีเมนต์แนวทางจาก RFC สามารถเกิดขึ้นถ้าในแบบที่แย่หรือดีกว่าซึ่งต้องติดตามกันต่อไป ทั้งนี้ใครสนใจที่จะอ่าน RFC ฉบับนี้โดยตรงสามารถเข้าอ่านได้ที่ https://tools.

โค้ด exploit คือชุดของโค้ดซึ่งถูกออกแบบมาเพื่อโจมตีช่องโหว่ โดยไฟล์ exploit จะประกอบไปด้วยส่วนของโค้ดซึ่งใช้โจมตีช่องโหว่จริง ๆ และส่วนของโค้ดที่จะถูกนำมาใช้หลังจากโจมตีช่องโหว่สำเร็จ หรือที่รู้จักกันด้วยคำว่า payload

ทีมนักวิจัยด้านความปลอดภัยจาก Check Point ได้มีการแกะรอยไฟล์ไบนารีไฟล์หนึ่งซึ่งถูกตรวจพบในระบบของลูกค้าซึ่งถูกโจมตี โดยผลการแกะรอยไฟล์ประสานกับการเชื่อมโยงข้อมูลจากระบบ threat intelligence ทำให้ Check Point สามารถระบุตัวผู้ขายโค้ดสำหรับโจมตีช่องโหว่ และผู้ซื้อซึ่งรวมไปถึงกลุ่ม APT อื่น ๆ ได้

แนวทางของการแกะรอยของ Check Point ประกอบด้วยการดำเนินการ 3 ขั้นตอนซ้ำไปซ้ำมาและขยายผลการค้นหาออกไปเรื่อย ๆ ได้แก่

1. วิเคราะห์ไฟล์ไบนารีที่เจอ ระบุหาเอกลักษณ์ของไฟล์นั้น ๆ ซึ่งแฝงอยู่ใน metadata ของไฟล์หรือในส่วน header ของไฟล์เอง
2. นำผลลัพธ์ที่ได้ไปขยายผลในระบบ threat intelligence จนได้ไฟล์ที่มีลักษณะเหมือนกัน จากนั้นนำไฟล์ที่ได้มีวิเคราะห์ต่อไปเรื่อย ๆ
3. เมื่อถึงจุดหนึ่ง ไฟล์ที่ตรวจพบและมีคุณลักษณะเหมือนกันจะเชื่อมโยงกลับไปหาผู้ขายโดยอัตโนมัติ ถ้าข้อมูลในระบบ threat intelligence นั้นมากและมีคุณภาพมากพอ

กลุ่มผู้ขายโค้ดสำหรับโจมตีช่องโหว่ดังกล่าวมีชื่อว่า Volodya โดยลูกค้าซึ่งตรวจพบประวัติการซื้อขายโค้ดประกอบไปด้วยกลุ่ม APT ต่าง ๆ มากมาย ได้แก่ Ursnif, GandCrab, Cerber, Magniber, Turla และ APT28

สำหรับผู้ที่สนใจแนวทางในเชิงเทคนิค ทีมตอบสนองการโจมตีและภัยคุกคามขอแนะนำให้ลองอ่านบล็อกของ Check Point ฉบับเต็มที่ https://research.

นักวิจัยด้านความปลอดภัย Carlo Di Dato ออกมาเปิดเผยถึงช่องโหว่ในบริการ Gravatar ซึ่งเป็นบริการสำหรับกำหนดรูป avatar และเชื่อมโยงกับหลายบริการทั้ง WordPress และ GitHub

ช่องโหว่ที่ถูกค้นพบนั้นเป็นลักษณะของ broken access control อ้างอิงจาก OWASP Top 10 ผู้โจมตีสามารถทำการโจมตีได้ผ่านการเข้าถึงพาธ http://en.