หน่วยงานรักษาความปลอดภัยทางไซเบอร์และโครงสร้างพื้นฐานของสหรัฐฯ (US Cybersecurity and infrastructure Security Agency - CISA) ได้ออกแจ้งเตือนถึงช่องโหว่ในซอฟต์แวร์ SiteManager และ GateManager ของ B&R Automation ซึ่งเป็นซอฟต์แวร์ที่ใช้ในการเข้าถึงระบบจากระยะไกลเพื่อการซ่อมบำรุงรักษาเครื่องมือและเป็นที่นิยมใช้ในอุตสาหกรรมยานยนต์, พลังงาน, น้ำมันและก๊าซโลหะและบรรจุภัณฑ์ โดยช่องโหว่ถูกพบและรายงานโดยนักวิจัยด้านความปลอดภัยยจาก OTORIO

ตามรายงานการเเจ้งเตือนได้ระบุว่าช่องโหว่ทั้งหกรายการ (CVE-2020-11641 ถึง CVE-2020-11646) ใน SiteManager และ GateManager โดยช่องโหว่จะทำให้ผู้โจมตีที่ผ่านการยืนยันตัวตนแล้วสามารถดูข้อมูลกับผู้ใช้และข้อมูลเกี่ยวกับอุปกรณ์ทั้งหมดที่อยู่ภายใต้โดเมน นอกจากนี้ผู้โจมตียังสามารถหลอกให้ผู้ใช้ไปยังไซต์แปลกปลอมที่เป็นอันตรายผ่านข้อความของระบบปลอมและการแจ้งเตือนผู้โจมตียังสามารถทำให้เกิดการรีสตาร์ทซ้ำๆ ในระบบของ GateManager และ SiteManager ซึ่งจะส่งผลให้เกิดการสูญเสียความพร้อมในใช้งานและอาจทำให้ระบบหยุดการให้บริการในที่สุด

ช่องโหว่ทั้งหกรายการนั้นจะส่งผลกระทบต่อ SiteManager ทุกเวอร์ชันก่อน v9.2.620236042, GateManager 4260 และ 9250 ก่อน v9.0.20262 และ GateManager 8250 ก่อนหน้า v9.2.620236042

CISA ได้แนะนำให้ผู้ดูแลระบบทำการอัปเดตเเพตซ์ให้เป็นเวอร์ชันล่าสุดและควรทำการปิดการเชื่อมต่อระบบจากระยะไกลผ่านอินเตอร์เน็ต ถ้าหากต้องการเชื่อมต่อระบบจากระยะไกลควรใช้วิธีการเชื่อมต่อที่ปลอดภัยเช่น VPN เพื่อป้องกันผู้ประสงค์ร้ายใช้ประโยชน์จากช่องโหว่ทำการโจมตีระบบ

ที่มา : thehackernews | CISA

NVIDIA ได้เปิดตัวเเพตซ์การอัปเดตด้านความปลอดภัยเพื่อแก้ไขช่องโหว่ที่มีความรุนแรงระดับ ‘High Severity’ ใน Windows GPU Driver ซึ่งอาจนำไปสู่การเรียกใช้โค้ดโดยไม่ได้รับอนุญาต, การยกระดับสิทธิ์ของผู้ใช้, การเปิดเผยข้อมูลที่มีความสำคัญและการปฏิเสธการให้บริการ (DoS) โดยช่องโหว่มีรายละเอียดดังนี้

CVE‑2020‑5979 (CVSS: 7.8/10) เป็นช่องโหว่ในคอมโพเนนต์ของ NVIDIA Display Driver ซึ่งช่องโหว่จะทำให้ผู้โจมตีสามารถทำการยกระดับสิทธิ์ของผู้ใช้wfh
CVE‑2020‑5980 (CVSS: 7.8/10) เป็นช่องโหว่ในองค์ประกอบของไฟล์ DLL ใน NVIDIA Windows GPU Display Driver ซึ่งช่องโหว่จะทำให้ผู้โจมตีสามารถเรียกใช้โค้ดโดยไม่ได้รับอนุญาตและทำให้เกิดการปฏิเสธการให้บริการ (DoS)
CVE‑2020‑5981 (CVSS: 7.8/10) เป็นช่องโหว่ในใน DirectX 11 ของ NVIDIA Windows GPU Display Drive ซึ่งช่องโหว่จะทำให้ผู้โจมตีสามารถที่สร้าง shader ขึ้นมาเป็นพิเศษอาจทำให้เกิดการเข้าถึงหน่วยความจำในลักษณะที่ผิดปกติและอาจทำให้เกิดการปฏิเสธการให้บริการ (DoS)
CVE ‑ 2020‑5982 (CVSS: 4.4/10) เป็นช่องโหว่ใน Kernel Mode ของ NVIDIA Windows GPU Display Driver ซึ่งช่องโหว่จะทำให้ผู้โจมตีสามารถทำให้เกิดการปฏิเสธการให้บริการ (DoS)

ทั้งนี้การจะใช้ประโยชน์จากช่องโหว่ได้นั้นผู้โจมตีต้องอยู่ในระบบก่อนหรือต้องเป็น local user ถึงจะสามารถเรียกประโยชน์จากช่องโหว่และทำการโจมตีได้ ผู้ใช้ควรทำการอัปเดตเเพตซ์ให้เป็นเวอร์ชันล่าสุดเพื่อป้องกันผู้ประสงค์ร้ายใช้ประโยชน์จากช่องโหว่ทำการโจมตี

ที่มา : bleepingcomputer

 

นักวิจัยด้านความปลอดภัยจาก Proofpoint ได้เผยการตรวจพบกลุ่ม APT ที่ชื่อ TA2552 ใช้วิธีฟิชชิงโดยการใช้ระบบ OAuth2 (มาตรฐานของระบบการยืนยันตัวตนและจัดการสิทธิ์การเข้าใช้งานในระบบต่างๆ ที่จะเปิดให้ third-party application เข้าถึงและจัดการสิทธิ์บัญชี) ในการเข้าถึงบัญชี Office 365 เพื่อขโมยรายชื่อติดต่อและอีเมลของผู้ใช้

กลุ่ม TA2552 ได้ทำการแอบอ้างเป็น Servicio de Administración Tributaria (SAT) ซึ่งเป็นหน่วยงานด้านภาษีของเม็กซิโก, Netflix Mexico และ Amazon Prime Mexico ทำการส่งอีเมลที่สร้างขึ้นมาเป็นพิเศษและมีเนื้อหาอีเมลที่เกี่ยวข้องภาษีและเนื้อหาที่เกี่ยวข้องกับการพบปัญหาในบัญชีผู้ใช้ Netflix Mexico และ Amazon Prime Mexic เมื่อเหยื่อทำการคลิกลิงก์ที่อยู่ภายใน เหยื่อจะถูกรีไดเร็คไปยังการลงชื่อเข้าใช้บัญชี O365 (Office 365) และเมื่อลงชื่อเข้าใช้ O365 เว็บไซต์ของผู้ประสงค์ร้าย ที่ถูกสร้างด้วยการลงทะเบียนผ่าน Namecheap และโฮสต์บน Cloudflare จะร้องขอสิทธิ์การเข้าถึงแอปพลิเคชันแบบ read-only เมื่อผู้ใช้กดยอมรับก็จะเปิดทางให้ผู้ประสงค์ร้ายสามารถเข้าถึงรายชื่อผู้ติดต่อ, โปรไฟล์และอีเมลของผู้ใช้

จาการอนุญาตสิทธิ์ในการเข้าถึงข้อมูลจะทำให้ผู้ประสงค์ร้ายสามารถสอดแนมในบัญชีเพื่อทำการขโมยข้อมูลหรือแม้แต่การขัดขวางข้อความการร้องขอรีเซ็ตรหัสผ่านจากบัญชีอื่น เช่น Online Banking

ทั้งนี้ผู้ใช้ควรมีความระมัดระวังในการใช้งานอีเมล เมื่อพบข้อความและเนื้อหาอีเมลมาจากหน่วยงานหรือระบบที่เราไม่รู้จักควรทำการตรวจสอบเเหล่งที่มาของอีเมลเพื่อเป็นการป้องกันการตกเป็นเหยื่อของผู้ประสงค์ร้าย

ที่มา : threatpost

 

 

กิจกรรม Hacktoberfest เป็นกิจกรรมซึ่งร่วมจัดโดย Digital Ocean, GitHub และ Twilio เพื่อการเฉลิมฉลองและสนับสนุนการพัฒนาซอฟต์แวร์แบบโอเพนซอร์ส เงื่อนไขของการทำกิจกรรมคือการ contribute โครงการโอเพนซอร์สอย่างน้อย 5 ครั้งก่อนวันที่ 31 ตุลาคมเพื่อรับเสื้อของกิจกรรม Hacktoberfest

ความนิยมของกิจกรรมและความโลภของคนที่แย่งกันจะเอาเสื้อตัวเดียวนั้นส่งผลให้โครงการโอเพนซอร์สหลายโครงการประสบกับเหตุการณ์ pull request ขยะเป็นจำนวน บาง pull request ซึ่งเปิดมาให้พิจารณาการแก้ไขโค้ดในโครงการโอเพนซอร์สบางกรณีนั้นเป็นแค่การเพิ่ม newline หรือการขึ้นบรรทัดใหม่เพื่อปั่นจำนวน contribution ให้สามารถรับของรางวัลได้ หรีอในบางกรณีก็มีการเปิดแก้ไขไฟล์ README ของโครงการโอเพนซอร์สเพื่อเพิ่มคำขยะเข้ามา

หลังจากประสบการ pull request ขยะเป็นจำนวนมาก ทางผู้จัดกิจกรรม Hacktoberfest ได้มีการเพิ่มมาตรการใหม่ในการเปลี่ยนลักษณะโครงการเป็นแบบ opt-in only แล้ว โดยโครงการไหนอยากเข้าร่วมโครงการ Hacktoberfest จะต้องมีการระบุชื่อ topic เป็น "hacktoberfest" ไว้ที่ repository ของโครงการ หาก pull request ที่ถูก approve โดยเจ้าของโครงการ เจ้าของโครงการจะต้องมีการ tag "hacktoberfest-accpeted" ด้วย

อ่านข้อมูลเพิ่มเติมของกิจกรรมและเงื่อนไขของกิจกรรมอื่น ๆ ของผู้จัดกิจกรรมได้ที่แหล่งที่มาครับ

ที่มา : hacktoberfest

Cloudflare ออกผลิตภัณฑ์ฟรีใหม่ภายใต้ชื่อ Web Analytics โดยเป็นผลิตภัณฑ์สำหรับเก็บสถิติการเข้าถึงเว็บไซต์โดยมีจุดเด่นหลักอยู่ความเป็นส่วน โดย Cloudflare Web Analytics สามารถทำงานโดยไม่มีการใช้วิธีการ tracking แบบ client-side เช่น การใช้ cookie หรือการเก็บข้อมูลใน local storage รวมไปถึงการเก็บข้อมูลหมายเลขไอพีแอดเดรสและ User-Agent

เทคโนโลยีเบื้่องหลังของ Cloudflare Web Analytics อยู่บนคอนเซ็ปต์ของคำว่า "visit" หรือการที่ผู้ใช้งานมีปฏิสัมพันธ์กับเว็บไซต์ Cloudflare ตรวจสอบการเข้าถึงของเว็บไซต์จาก HTTP Referer โดยตรวจสอบว่าค่าดังกล่าวจะต้องไม่เหมือนกับค่า Hostname ใน HTTP request เพื่อให้เห็นว่ามีการเข้าชมหน้าเว็บไซต์มากน้อยเพียงใด

เนื่องจากเทคโนโลยียังไม่ได้มีการเปิดให้ทดลองใช้ การตรวจสอบ Cloudflare Web Analytics สามารถเก็บข้อมูลให้สอดคล้องตาม GDPR และ/หรือ PDPA นั้นเป็นไปได้หรือไม่ แต่สำหรับผู้ที่อยากลองใช้งานเป็นคนแรก Cloudflare แนะนำให้เข้าไปที่ลงทะเบียนรอไว้ก่อนได้ที่ Cloudflare

ที่มา : Cloudflare

TG Soft บริษัท Cybersecurity สัญชาติอิตาลีเปิดตัวบริการ Have I Been Emotet เพื่อให้ผู้ใช้งานสามารถค้นความเกี่ยวข้องของอีเมลและโดเมนเนมว่าเคยถูกใช้โดยมัลแวร์ Emotet ในการแพร่กระจายหรือไม่

เมื่อกรอกโดเมนหรืออีเมลให้กับบริการ Have I Been Emotet และตรงกับผลลัพธ์ในฐานข้อมูล ผลลัพธ์จากบริการสามารถได้รับประเภท เช่น ในกรณีที่อีเมลปรากฎผลลัพธ์เป็น "Real sender" จะหมายถึงระบบที่มีการใช้อีเมลดังกล่าวถูกโจมตีและอีเมลถูกนำมาใช้เพื่อแพร่กระจาย ผลลัพธ์ "Fake sender" หมายถึงอีเมลถูกเอามาใช้ในการแพร่กระจายเฉย ๆ ไม่มีการโจมตีระบบ และ "Recipient" หมายถึงอีเมลซึ่งอาจเคยได้รับอีเมลปลอมที่มีการแนบมัลแวร์ Emotet มาด้วย

สามารถทดลองใช้บริการได้ฟรีที่ haveibeenemotet

ที่มา : bleepingcomputer

โครงการ Huawei Cyber Security Evaluation Centre (HCSEC) ซึ่งถูกจัดตั้งขึ้นโดยรัฐบาลอังกฤษเปิดเผยความคืบหน้าล่าสุดในกระบวนการตรวจสอบโค้ดของเฟิร์มแวร์ซึ่งจะถูกใช้ในเครือข่ายโทรศัพท์ของอังกฤษประจำปี 2020 อ้างอิงจากรายการ HCSEC พบปัญหารวมไปถึงช่องโหว่มากกว่าผลลัพธ์ซึ่งเกิดขึ้นจากการตรวจสอบในครั้งก่อน

จากรายงานของ HCSEC ส่วนหนึ่งของรายงานมีการระบุว่า "พบหลักฐานซึ่งบ่งชี้่ให้เห็นว่า Huawei ยังคงไม่สามารถปฏิบัติตามข้อปฏิบัติในการเขียนโค้ดให้ปลอดภัยได้" ทั้งนี้แม้จะมีการตรวจพบปัญหาที่มากขึ้น โดยปัญหาที่ตรวจพบนั้นมีตั้งแต่ช่องโหว่ stack overflow ในส่วนของโปรแกรมที่สามารถเข้าถึงได้จากสาธารณะ การทำงานของโปรโตคอลซึ่งเมื่อถูกโจมตีแล้วอาจนำไปสู่เงื่อนไขของ DoS หรือแม้กระทั่งปัญหาที่เกิดจาก default credential

รายงานของ HCSEC ไม่ได้มีการระบุถึงการตรวจพบ "ความตั้งใจในการฝังโค้ดอันตราย" เอาไว้ในอุปกรณ์ ทั้งนี้ในแวดวง Cybersecurity นั้น การตั้งใจสร้างช่องโหว่ (bugdoor) ก็ถือเป็นการกระทำอย่างหนึ่งที่ให้ผลลัพธ์ได้เทียบเท่ากับการฝังช่องทางลับ (backdoor) ไว้ในโค้ด ผู้ที่ล่วงรู้วิธีการโจมตีช่องโหว่แบบ bugdoor อยู่ก่อนแล้วสามารถใช้ช่องโหว่ดังกล่าวในการโจมตีแและหาผลประโยชน์ได้

ผลลัพธ์ของรายงานโดย HCSEC จะถูกส่งกลับไปยัง Huawei เพื่อนำไปแก้ปัญหาต่อไป

ที่มา : theregister

บริษัท CMA CGM ยักษ์ใหญ่ด้านการขนส่งทางทะเลและโลจิสติกส์ของประเทศฝรั่งเศสได้เปิดเผยถึงการถูกโจมตีด้วยแรนซัมแวร์ที่ส่งผลกระทบต่อเซิร์ฟเวอร์บางตัวที่อยู่ในเครือข่ายและทำให้แอปพลิเคชันบางบริการต้องหยุดให้บริการเนื่องจากทางบริษัทตัดการเข้าถึงจากอินเทอร์เน็ตเพื่อป้องกันไม่ให้แรนซัมแวร์แพร่กระจายไปยังอุปกรณ์อื่นๆ ภายในเครือข่าย

ตามการรายงานของ Lloyd List ซึ่งได้ระบุว่าสำนักงานในประเทศจีนของบริษัท CMA CGM บางแห่งถูก Ragnar Locker ransomware โจมตีระบบ โดย Ragnar Locker ransomware ถูกตรวจพบครั้งแรกในช่วงปลายเดือนธันวาคม 2019 ซึ่ง Ragnar Locker ransomware เป็นที่รู้จักจากการพุ่งเป้าโจมตีกลุ่มผู้ให้บริการแบบ MSP

จากการอัปเดตล่าสุดของบริษัท CMA CGM ได้ระบุว่าปัจจุบันบริษัทได้ใช้มาตรการป้องกันการเข้าถึงเครือข่ายและแอปพลิเคชันจากภายนอกทั้งหมดเพื่อป้องกันการแพร่กระจายของมัลแวร์และเร่งเเก้ไขระบบที่ได้รับความเสียหาย ทั้งนี้การสื่อสารและข้อมูลตารางการเดินเรือบริษัทยังสามารถใช้งานได้ปกติ

ที่มา : bleepingcomputer

Cloudflare ประกาศเปิดตัวผลิตภัณฑ์ใหม่ภายใต้ชื่อ API Shield โดยเป็นเซอร์วิสสำหรับช่วยตรวจสอบและควบคุมพฤติกรรมการเรียกใช้ API แบบ policy-based โดยรองรับ API ซึ่งใช้ JSON และมีแพลนที่จะขยายการซัพพอร์ตไปรองรับกลุ่ม API ที่รับส่งข้อมูลแบบไบนารี เช่น gRPC

เบื้องหลังการทำงานของ API Shield อยู่ที่การสร้าง policy หรือ rule ผู้ใช้งานสามารถสร้าง API Shield rule ตาม OpenAPI scheme ตามคอนเซ็ปต์แบบ whitelist ระบบของ API Shield แน่นอนว่าผู้พัฒนาแอปจะต้องมีการตั้งค่าการเชื่อมต่อ TLS ให้ Cloudflare "เห็น" การรับ-ส่งข้อมูลเพื่อทำการตรวจสอบด้วย การรับ-ส่งข้อมูลซึ่งไม่ได้สอดคล้องตาม rule ใดๆ จะตกไปอยู่ใน deny-all policy ในทันที

ในภาพรวม API Shield ไม่ได้เป็นระบบพร้อมใช้ที่จะช่วยเพิ่มความปลอดภัยของการใช้ API ได้แบบ plug-n-play แต่มันเป็นระบบที่นักพัฒนาจะต้องมาตั้งค่าให้เหมาะสมเช่นเดียวกัน ดังนั้นหากนักพัฒนามีการตั้งค่าได้ไม่ดีพอ การมี API Shield มาช่วยตรวจสอบก็ไม่อาจมีประสิทธิภาพได้มากเท่าที่ควร

ผู้ที่มีบัญชีกับ Cloudflare แล้วจะสามารถเปิดใช้งาน API Shield ได้ทันทีโดยไม่เสียค่าใช้จ่าย

ที่มา : cloudflare

กลุ่มแฮกเกอร์ซึ่งอยู่เบื้องหลังการแพร่กระจายของมัลแวร์เรียกค่าไถ่ SunCrypt ซึ่งมีเอกลักษณ์ของการเป็นมัลแวร์เรียกค่าที่ไฟล์มัลแวร์เป็นโค้ด PowerShell นั้นมีการปรับเปลี่ยนกลยุทธิ์ในการกระตุ้นให้เหยื่อจ่ายค่าไถ่โดยการโจมตีแบบ DDoS ใส่ระบบ

DDoS extortion เป็นหนึ่งในวิธีการโจมตีซึ่งมีมานานแล้วและเคยได้รับความนิยมอยู่ช่วงหนึ่ง อ้างอิงจากการรายงานของ Bleeping Computer พฤติกรรมของ SunCrypt แตกต่างจากการทำ DDoS extortion โดยตรงเนื่องจากการโจมตีแบบ DDoS ในรูปแบบนี้เป็นเพียง "พระรอง" ในการกระตุ้นให้เหยื่อรีบจ่ายค่าไถ่หลังจากที่ "พระเอก" คือมัลแวร์เรียกค่าไถ่ทำการเข้ารหัสข้อมูลเสร็จเรียบร้อยแล้ว

จากประสบการณ์ของทางไอ-ซีเคียว วิธีการในลักษณะนี้ถือเป็นลักษณะหนึ่งของการโจมตีแบบ social engineering เช่นเดียวกับการสร้างเงื่อนไขการเพิ่มขึ้นของค่าไถ่หากไม่จ่ายในเวลาที่กำหนด อย่างไรก็ตามวิธีการนี้อาจส่งผลด้านลบต่อธุรกิจของ ransomware มากกว่าเมื่อเทียบกับการเรียกค่าไถ่ให้สูง แล้วรอให้เหยื่อมาต่อราคาลงถึงจุดที่รับได้ เนื่องจากเหยื่ออาจมีความยินดีที่จะจ่ายมากกว่า

ที่มา : bleepingcomputer