บริษัท Coveware, Emsisoft และ Recorded Future ได้ออกรายงานการจัดอันดับภัยคุกคามและช่องทางที่ถูกใช้โจมตีจากกลุ่ม Ransomware ซึ่งรายงานครึ่งปี 2020 ที่ผ่านมานั้นพบว่าช่องทางการโจมตีด้วย Remote Desktop Protocol (RDP), VPN และ Email phishing ยังได้รับความนิยมและถูกใช้อย่างเเพร่หลายและเป็นจุดเริ่มต้นของปฏิบัติการ Ransomware เพื่อใช้ในการโจมตีและหาประโยชน์ต่างๆ จากองค์กรที่ถูกบุกรุก

จากรายงานและการเก็บสถิติจาก Coveware และ Emsisoft พบว่า Remote Desktop Protocol (RDP) ถูกจัดให้เป็นอันดับหนึ่งในการใช้เป็นช่องทางการบุกรุกของกลุ่มปฏิบัติการ Ransomware เนื่องจากการใช้งาน RDP นั้นถูกใช้งานอย่างกว้างขวางและเป็นช่องทางในการเข้าถึงคอมพิวเตอร์ของผู้ใช้โดยตรงและยังสามารถติดตั้ง Ransomware และมัลแวร์อื่น ๆ ได้อีกด้วย

อันดับที่สองที่พบว่าถูกใช้ในการบุกรุกนั้นคือการใช้งานช่องโหว่ต่างๆ ของ VPN นับตั้งแต่กลางปี 2019 ที่ผ่านมาพบว่ามีการเปิดเผยช่องโหว่ที่รุนแรงหลายอย่างในอุปกรณ์ VPN จากบริษัทชั้นนำในปัจจุบัน ได้แก่ Pulse Secure, Palo Alto Networks, Fortinet, Citrix, Secureworks และ F5 ซึ่งการที่ช่องโหว่ถูกทำการเปิดเผยและผู้ใช้งานไม่ทำการเเพตซ์ช่องโหว่ในอุปกรณ์ VPN นั้นทำให้กลุ่มปฏิบัติการ Ransomware ที่ตั้งเป้าหมายเพื่อทำการบุกรุกองค์กรต่างๆ เช่นกลุ่ม REvil (Sodinokibi), Black Kingdom, Ragnarok, DoppelPaymer, Maze, CLOP และ Nefilim นั้นได้ใช้มองว่าช่องโหว่เช่น CVE-2019-19781 (Citrix), CVE-2019-11510 (Pulse Secure VPN) ที่ไม่ได้รับการเเพตซ์เป็นจุดเริ่มต้นในการบุกรุกองค์กรต่างๆ เมื่อสามารถเข้าถึงภายในเครือข่ายที่บุกรุกแล้วกลุ่มปฏิบัติการ Ransomware จะทำการติดตั้ง Ransomware และมัลแวร์อื่น ๆ ที่ใช้ในการเข้ารหัสไฟล์ เพื่อใช้ในการข่มขู่องค์กรที่ตกเป็นเหยื่อต่อไป

ทั้งนี้ผู้เชี่ยวชาญด้านความปลอดภัยทางไซเบอร์ได้เเนะนำให้ผู้ดูแลระบบตรวจเช็คการใช้งานเชื่อมต่อด้วย RDP และอุปกรณ์ VPN ว่าทำการเเพตซ์ซอฟต์แวร์เป็นเวอร์ชันล่าสุดหรือยังหรือถ้าต้องการใช้งาน RDP ควรใช้งานผ่าน VPN หรือหาซอฟต์แวร์ third party มาใช้งานเชื่อมต่อเเทนการเชื่อมต่อด้วย RDP โดยตรงผ่านระบบอินเตอร์เน็ตและเพื่อเป็นการป้องกันผู้ประสงค์ร้ายทำการโจมตีระบบซึ่งจะเป็นการป้องกันความเสียหายจากการโจมตีและทรัพย์สินขององค์กร

ที่มา: zdnet.

พบช่องโหว่ในหน่วยความจำของ IBM DB2 ที่จะทำให้ผู้โจมตีสามารถเข้าถึงข้อมูลที่มีความสำคัญหรืออาจทำให้ระบบเกิด DoS ได้

Martin Rakhmanov หัวหน้าทีมวิจัยด้านความปลอดภัยทางไซเบอร์ SpiderLabs จาก Trustwave ได้เปิดเผยถึงรายละเอียดเกี่ยวกับช่องโหว่ในหน่วยความจำของ IBM DB2 Relational Database ซึ่งอาจทำให้ผู้โจมตีสามารถเข้าถึงข้อมูลที่มีความสำคัญหรือทำให้เกิดเงื่อนไขปฏิเสธการให้บริการ (DoS) ในฐานข้อมูล

ช่องโหว่ถูกติดตามด้วยรหัส CVE-2020-4414 ช่องโหว่เกิดจากการแชร์หน่วยความจำใน DB2 ด้วยการใช้ Trace facility ซึ่งทำให้ขาดการป้องกันที่ชัดเจน จึงทำให้ผู้โจมตีที่อยู่ภายในระบบสามารถทำการอ่านและเขียนในหน่วยความจำและยังสามารถดัมพ์เนื้อหาที่มี ซึ่งนอกจากนี้ผู้โจมตียังสามารถเขียนข้อมูลที่ไม่ถูกต้องบนพื้นที่หน่วยความจำของเป้าหมายเพื่อทำให้ฐานข้อมูลไม่สามารถเข้าถึงได้และทำให้เกิดเงื่อนไขปฏิเสธการให้บริการ (DoS)

ช่องโหว่นี้ส่งผลกระทบกับ IBM DB2 สำหรับ Linux, UNIX และ Windows (9.7, 10.1, 10.5, 11.1, 11.5) ทั้งนี้ IBM เปิดตัวเเพตซ์การแก้ไขสำหรับช่องโหว่แล้วเมื่อวันที่ 30 มิถุนายนที่ผ่านมา ผู้ดูแลระบบควรทำการรีบอัปเดตเเพตซ์เพื่อเเก้ไขช่องโหว่ดังกล่าวและเพื่อป้องกันผู้ประสงค์ร้ายใช้ประโยชน์จากช่องโหว่ทำการโจมตีระบบ

ที่มา: bleepingcomputer | trustwave

Google เเก้ไขช่องโหว่ที่จะทำให้ผู้โจมตีสามารถปลอมเเปลงอีเมลเป็นใครก็ได้ใน Gmail และ G Suite หลังจากนิ่งเฉยมานานจนนักวิจัยทำการเปิดเผย

Google แก้ไขช่องโหว่ที่ส่งผลกระทบต่อ Gmail และ G Suite ซึ่งอาจทำให้ผู้โจมตีสามารถส่งอีเมลที่เป็นอันตรายโดยการปลอมแปลงเป็นผู้ใช้ Google หรือลูกค้าขององค์กรรายอื่นๆ ได้

ช่องโหว่ที่ถูกเเก้ไขนี้ถูกเปิดเผยโดย Allison Husain นักวิจัยด้านความปลอดภัยซึ่งได้รายงานถึงช่องโหว่ในระบบการตรวจสอบ Email routing ใน SPF (Sender Policy Framework) และ DMARC (Domain-based Message Authentication, Reporting, and Conformance) โดยช่องโหว่ทำให้ผู้โจมตีสามารถส่งอีเมลในฐานะผู้ใช้รายอื่นหรือลูกค้า G Suite ได้โดยผ่าน Policy การตรวจสอบจาก SPF และ DMARC ซึ้งเป็นมาตฐานการตรวจสอบสแปมและการโจมตีแบบฟิชชิ่ง

Husain อธิบายอีกว่าช่องโหว่นั้มีด้วยกันอยู่ 2 ส่วนคือ

ส่วนเเรกนั้นจะช่วยให้ผู้โจมตีสามารถปลอมเเปลงอีเมลไปยังเกตเวย์อีเมลบนแบ็กเอนด์ของ Gmail และ G Suite ผู้โจมตีสามารถใช้เซิร์ฟเวอร์อีเมลของผู้โจมตีเชื่อมต่อเข้ากับ Gmail หรือ G Suite Backend เพื่อที่จะสามารถส่งเมลออกเป็นโดเมนของเหยื่อได้
ส่วนที่สองผู้โจมตีสามารถกำหนด Email routing rules เพื่อรับอีเมลและสามารถ Forward ต่อได้ในขณะเดียวกันก็สามารถปลอมแปลงอีเมลเป็นลูกค้า Gmail หรือ G Suite โดยใช้ฟีเจอร์ “Change envelope recipient” เพื่อใช้ผ่านการตรวจสอบของ SPF และ DMARC ซึ่งช่วยให้ผู้โจมตีสามารถสวมสิทธิ์เป็นลูกค้าและทำการส่งข้อความที่ปลอมแปลงได้

หลังจาก Husain พบช่องโหว่เธอได้ส่งรายงานช่องโหว่ให้ Google เเก้ไขเมื่อวันที่ 3 เมษายนที่ผ่านมาเเต่ Google กลับนิ่งเฉยและไม่ได้รับการเเก้ไขจนวันที่ 19 สิงหาคมที่ผ่านมาเธอจึงตัดสินใจเปิดเผยช่องโหว่นี้สู่สาธารณะและไม่กี่ชั่วโมงต่อมา Google ได้ทำการเเก้ไขช่องโหว่โดยใช้เวลาในเเก้ไขไป 7 ชั่วโมง

ที่มา: zdnet | bleepingcomputer

Cisco ออกเเพตซ์เเก้ไขช่องโหว่ระดับ “Critical” ใน WAN Software Solution

Cisco ออกเเพตซ์แก้ไขช่องโหว่ที่สำคัญใน Virtual Wide Area Application Services (vWAAS) ซึ่งเป็นซอฟต์แวร์เพื่อเพิ่มประสิทธิภาพให้กับ WAN และช่วยจัดการแอปพลิเคชันบน Infrastructure ของ Virtual Private Cloud

ช่องโหว่ถูกติดตามด้วยรหัส CVE-2020-3446 (CVSS: 9.8/10) ช่องโหว่เกิดเนื่องจากมีบัญชีผู้ใช้และ Default password ของผู้ใช้อยู่ในระบบของซอฟต์แวร์จึงทำให้ผู้โจมตีสามารถใช้บัญชีผู้ใช้นี้เข้ามาในระบบในสิทธ์ของผู้ดูแลระบบเพื่อจัดการกับระบบได้

ทั้งนี้ซอฟต์แวร์ Virtual Wide Area Application Services (vWAAS) อยู่ในอุปกรณ์ประมวลผลที่เรียกว่า Cisco Enterprise Network Compute Series (ENCS) และถูกปรับใช้ใน Cisco Enterprise NFV Infrastructure Software (NFVIS) เพื่อเป็นซอฟต์แวร์แพลตฟอร์มที่ใช้การจัดการและควบคุมสำหรับ Virtualization service ซึ่งช่องโหว่จะส่งผลกระทบกับอุปกรณ์ Cisco ENCS 5400-W Series และ CSP 5000-W Series ที่ใช้ NFVIS อิมเมจเวอร์ชัน 6.4.5 หรือ 6.4.3d และเวอร์ชันก่อนหน้า ทั้งนี้ Cisco vWAAS ที่มีอิมเมจ NFVIS เวอร์ชัน 6.4.3e หรือ 6.4.5a และเวอร์ชัน ใหม่กว่าจะไม่ได้รับผลกระทบ

นอกจากนี้ Cisco ยังได้ทำการออกแพตช์เพื่อเเก้ไขช่องโหว่ CVE-2020-3506, CVE-2020-3507 ใน IP camera 8000 Series และช่องโหว่ CVE-2020-3443 ใน Smart Software Manager

Cisco ได้ออกคำเเนะนำให้ผู้ดูแลระบบรีบทำการอัพเดตเเพตซ์ให้เป็นเวอร์ชันล่าสุดเพื่อเเก้ไขช่องโหว่และป้องกันการใช้ประโยชน์จากช่องโหว่จากผู้ประสงค์ร้าย

ที่มา: threatpost | cisa

Microsoft ออกแพตซ์อัปเดตความปลอดภัยฉุกเฉินสำหรับ Windows 8.1 และ Windows Server 2012 R2 เพื่อเเก้ปัญหาช่องโหว่ใน Windows Remote Access

Microsoft ได้ออกแพตซ์อัปเดตความปลอดภัย KB4578013 สำหรับ Windows 8.1 และ Windows Server 2012 R2 เป็นกรณีฉุกเฉิน โดยเเพตซ์ที่ได้รับการอัปเดตนี้จะเเก้ไขช่องโหว่จำนวน 2 รายการ คือ CVE-2020-1530 และ CVE-2020-1537 ซึ่งเป็นช่องโหว่ Elevation-of-privilege (EoP) หรือการยกระดับสิทธ์ที่จะส่งผลต่อเซอร์วิส Windows Remote Access

ช่องโหว่เเรกถูกติดตามด้วยรหัส CVE-2020-1530 (CVSS: 7.8/10) ช่องโหว่เกิดจาก Windows Remote Access จัดการหน่วยความจำไม่ถูกต้อง ซึ่งการจะใช้ช่องโหว่ให้สำเร็จผู้โจมตีต้องรันโค้ดบนระบบของเป้าหมายก่อน จากนั้นผู้โจมตีจึงจะสามารถเรียกใช้แอปพลิเคชันที่ออกแบบมาเป็นพิเศษเพื่อทำการยกระดับสิทธิ์

ช่องโหว่ที่สองถูกติดตามด้วยรหัส CVE-2020-1537 (CVSS: 7.8/10) ช่องโหว่เกิดจาก Windows Remote Access จัดการการทำงานของไฟล์อย่างไม่เหมาะสม การใช้ประโยชน์จากช่องโหว่นี้ผู้โจมตีต้องรันโค้ดบนระบบของเป้าหมายก่อน จากนั้นผู้โจมตีจึงจะสามารถเรียกใช้แอปพลิเคชันที่ออกแบบมาเป็นพิเศษเพื่อทำการยกระดับสิทธิ์

เพื่อเป็นการเเก้ไขปัญหา Microsoft ได้เเนะนำให้ผู้ใช้ Windows 8.1 และ Windows Server 2012 R2 ทำการอัปเดตแพตซ์อัปเดตความปลอดภัย KB4578013 โดยเร็วที่สุดเพื่อป้องกันผู้ประสงค์ร้ายใช้ประโยชน์ช่องโหว่ทำการโจมตีระบบ

ที่มา: threatpost | bleepingcomputer

นักวิจัยออกแจ้งเตือนช่องโหว่ CVE-2020-15858 ที่อาจส่งผลกระทบกับอุปกรณ์ IoT จำนวนหลายล้านเครื่อง

นักวิจัยจาก IBM X-Force Threat Intelligence ได้ออกเตือนผู้ใช้และเรียกร้องให้ผู้ผลิตอุปกรณ์ IoT เริ่มทำการแพตช์ช่องโหว่ซึ่งอยู่ในโมดูลฮาร์ดแวร์เนื่องจากช่องโหว่ดังกล่าวนั้นสามารถทำให้ผู้โจมตีปิดกระเเเสไฟฟ้าของเมืองหรือเเม้เเต่ควบคุมอุปกรณ์ทางการเเพทย์ ซึ่งอาจจะทำให้ผู้ป่วยเกิดภาวะวิกฤตได้

ช่องโหว่ CVE-2020-15858 นี้มีอยู่ในโมดูล EHS8 ของ Cinterion ผลิตโดยบริษัท Thales โมดูลที่จะช่วยให้อุปกรณ์ IoT เพื่อใช้เชื่อมต่อกับเครือข่ายไร้สาย 3G และ 4G ในการรับและส่งข้อมูล ช่องโหว่จะส่งผลกระทบกับอีกห้ารุ่นในผลิตภัณฑ์เดียวกัน อาทิ BGS5, EHS5 5/6/8, PDS 5/6/8, ELS61, ELS81 และ PLS62

ช่องโหว่ CVE-2020-15858 ถูกค้นพบตั้งแต่เดือนกันยายนปีที่แล้วและมีแพตช์เเก้ไขช่องโหว่ออกมาในเดือนกุมภาพันธ์ปีนี้ ช่องโหว่อาจทำให้ผู้โจมตีสามารถเข้าถึง Java Code ที่จัดเก็บข้อมูลสำคัญเช่น Credential, รหัสผ่าน, Encryption key หรือข้อมูลอื่นๆ ซึ่งผู้โจมตีสามารถใช้ประโยชน์จากข้อมูลเหล่าเข้าควบคุมอุปกรณ์ได้จากระยะไกล ซึ่งอาจจะเป็นสมาร์ทมิเตอร์, เครื่องมือทางการแพทย์หรืออุปกรณ์อื่นๆ ที่ถูกใช้ในอุตสาหกรรมทางการแพทย์, เทเลคอม, พลังงาน และ อุตสาหกรรมทางยานยนต์

นักวิจัยด้านความปลอดภัยจาก X-Force คาดว่าช่องโหว่ดังกล่าวจะส่งผลกระทบกับอุปกรณ์ IoT ที่เชื่อมต่ออินเทอร์เน็ตที่ใช้ทั่วโลกจำนวน 55.9 พันล้านชิ้นที่จะเพิ่มมากขึ้นในปี 2568 จึงทำให้นักวิจัยด้านความปลอดภัยมีความกังวลหากเกิดการโจมตีที่อาจส่งผลกระทบที่รุ่นเเรง ขั้นตอนการเเก้ไขช่องโหว่นั้นขึ้นอยู่กับผู้ผลิตอุปกรณ์และความสามารถของอุปกรณ์นั้นๆ ซึ่งอาจต้องใช้เวลามากในการเเก้ไขช่องโหว่

ที่มา : threatpost

Akamai security ออกเเจ้งเตือนถึงการขู่การโจมตี DDoS Attack ที่กำหมดเป้าหมายไปยังธุรกิจธนาคาร, การเงินและการค้าปลีก

ทีมวิจัย Security Intelligence Research Team (SIRT) จาก Akamai security intelligence & threat research ได้ออกมาเเจ้งเตือนถึงภัยคุกคามจากกลุ่มที่อ้างตัวว่าเป็นกลุ่ม Fancy Bear และ Armada Collective ซึ่งได้ทำการข่มขู่และตั้งเป้าหมายทำปฏิบัติการโจมตี DDoS Attack ในภาคธุรกิจธนาคาร, กลุ่มการเงินและธุรกิจการค้าปลีก

ทีม SIRT กล่าวว่าการข่มขู่นั้นเริ่มต้นจากอีเมลโดยมีข้อความระบุว่าถึงการเตือนการโจมตี DDoS Attack ที่กำลังจะเกิดขึ้นกับบริษัทเว้นแต่จะมีการจ่ายเงินค่าไถ่เป็น Bitcoin ซึ่งในบางกรณีอีเมลยังเตือนว่าหากมีการเปิดเผยข้อเรียกร้องเกี่ยวกับการโจมตีสู่สาธารณะเมื่อใดการโจมตีจะเริ่มต้นขึ้นทันที ข้อความลักษณะนี้นั้นมีความคล้ายคลึงกับแคมเปญขู่กรรโชกทรัพย์ด้วยการโจมตี DDoS Attack ล่าสุดที่ถูกบันทึกไว้ในเดือนพฤศจิกายน 2019

ในข้อเรียกร้องและการจ่ายเงินนั้นจะเห็นว่ากลุ่ม Armada Collective ต้องการค่าไถ่เริ่มต้นที่ 5 BTC และเพิ่มเป็น 10 BTC ถ้าหากเลยกำหนดเวลาจ่ายและจะเพิ่มขึ้น 5 BTC ในแต่ละวันหลังจากนั้น ส่วนกลุ่ม Fancy Bear นั้นจะเริ่มต้นที่ 20 BTC และจะเพิ่มเป็น 30 BTC หากเลยกำหนดเวลาจ่ายพร้อมกับเพิ่มอีก 10 BTC ในแต่ละวัน

ทั้งนี้ในอีเมล์ยังระบุว่าจะมีการทดสอบโจมตี DDoS Attack กับเป้าหมายเพื่อพิสูจน์ความร้ายเเรงของการโจมตีซึ้งผู้โจมตีอ้างว่าพวกเขาสามารถทำการโจมตี DDoS Attack ได้ถึง 2Tbps

Akamai SIRT ได้ออกข้อเเนะนำให้องค์กรหรือบริษัทที่ตกเป็นเป้าหมายไม่ให้ทำการจ่ายเงินค่าไถ่จากการข่มขู่เพราะไม่มีการรับประกันว่าผู้โจมตีที่ทำการข่มขู่นั้นจะหยุดการโจมตีและอาจเป็นการสนับสนุนให้ผู้โจมตีทำการโจมตีต่อองค์กรอื่นๆ ต่อไป ทั้งนี้องค์กรหรือบริษัทที่ตกเป็นเป้าหมายควรทำการวางเเผนที่เตรียมพร้อมสู่สถานะการถ้าหากเกิดการโจมตีว่าจะต้องมีขึ้นตอนการรับมือยังไง เจ้าหน้าที่ที่รับผิดชอบส่วนต่างๆ มีความพร้อมไหมรวมถึงถ้าหากเจ้าหน้าที่ที่รับผิดชอบเกิดการลาหรือเจ็บป่วยก็ควรต้องวางเเผนหาคนรับผิดชอบหน้าที่เเทน เพื่อเป็นการป้องกันและเตรียมพร้อมสู่สถานการณ์จริง

ที่มา : blogs.

Joe Sullivan อดีต CSO ของ Uber, Cloudflare และ Facebook ถูกตั้งข้อหาขัดขวางกระบวนการยุติธรรมและพยายามปกปิดอาชญากรรมหลังจากที่การสืบสวนการแฮก Uber ในปี 2016 เปิดเผยให้เห็นว่า Joe พยายามที่จะปกปิดเหตุการณ์การโจมตีดังกล่าวไม่ให้บุคคลภายนอกรู้ รวมไปถึงมีการจ่ายเงินปิดปากให้กับผู้โจมตีกว่า $100,000 ดอลลาร์สหรัฐฯ พร้อมทั้งมีการเซ็นต์สัญญารักษาความลับป้องกันไม่ให้ประเด็นนี้มีการรั่วไหลออกรวมไปถึงไม่มีการแจ้งให้หน่วยงานที่เกี่ยวข้องรับทราบ

Uber เคยตกเป็นเหยื่อในการโจมตีซึ่งส่งผลให้เกิดการละเมิดข้อมูลอยู่สองครั้งในปี 2014 และ 2016 โดยสำหรับในกรณีของปี 2016 นั้น ผู้โจมตีมีการใช้เทคนิค credential stuffing จนสามารถเข้าถึงบริการ S3 ได้ ในครั้งนั้นผู้โจมตีสามารถเข้าถึงข้อมูลของผู้ขับขี่ในบริการของ Uber ได้กว่า 600,000 ราย และข้อมูลของผู้ใช้บริการกว่า 57 ล้านราย

รายละเอียดของการตั้งข้อหานี้เปิดเผยว่า Joe มีส่วนรับผิดชอบโดยตรงกับความพยายามในการปิดข่าว โดยมีการแจ้งข้อมูลผลกระทบที่ไม่ครบถ้วนต่อหน่วยงานสหรัฐฯ ว่าไม่มีข้อมูลของผู้ใช้งานที่ได้รับผลกระทบจากการโจมตี ผลลัพธ์จากการตั้งข้อหาในครั้งนี้นั้น Joe Sullivan อาจถูกตัดสินจำคุกถึง 8 ปีและอาจถูกปรับกว่า $500,000 ดอลลาร์สหรัฐฯ หรือประมาณ 15 ล้านบาท

ที่มา: theregister.

นักวิจัยจาก Cado Security ได้เปิดเผยถึงการค้นพบที่เกี่ยวกับกลุ่มอาชญากรรมทางไซเบอร์ที่กำลังใช้ Crypto-Mining Worm ชนิดใหม่ที่เรียกว่า TeamTNT ใช้ทำการขโมย Credential และค่าคอนฟิกของ AWS ที่เก็บอยู่ในรูปแบบ Plaintext จาก Docker และ Kubernetes ที่ถูกบุกรุก

TeamTNT นั้นเป็นบอตเน็ตชนิด Cryptocurrency Mining ถูกค้นพบครั้งเเรกโดย MalwareHunterTeam และถูกวิเคราะห์เพิ่มเติมโดยทีมนักวิจัยจาก Trend Micro จากการวิเคราะห์เมื่อเซิร์ฟเวอร์ติดเชื้อ ตัวบอตเน็ตจะเรียกใช้ Masscan IP เพื่อทำการสแกนเนอร์พอร์ตหา Docker APIs และ Kubernetes ที่ทำการตั้งค่าคอนฟิกผิดพลาดและสามารถเข้าถึงได้เพื่อทำการติดตั้งตัวเองในคอนเทนเนอร์บนเซิร์ฟเวอร์ที่พบ จากนั้น TeamTNT จะสแกนระบบเพื่อหาไฟล์ที่ไม่ได้เข้ารหัสโดย AWS CLI เพื่อทำการขโมย Credentials และค่าคอนฟิกของ AWS ที่ถูกเก็บอยู่ในรูปแบบ Plaintext จากพาทที่เก็บข้อมูลคือ ~/.aws/credentials และ ~/.aws/config.

ยักษ์ใหญ่แห่งวงการ ATM ได้แก่ Diebold Nixdorf และ NCR ออกแพตช์ความปลอดภัยพร้อมกันหลังจากที่นักวิจัยด้านความปลอดภัยจาก Embedi ตรวจพบช่องโหว่ในซอฟต์แวร์ Wincor Probase ของ Diebold และ APTRA XFS ของ NCR ที่ทำให้ผู้โจมตีสามารถแก้ไขจำนวนที่ฝากได้แม้ไม่มีการฝากเงินจริง ส่งผลให้ผู้โจมตีสามารถถอนเงินที่ไม่มีอยู่จริงดังกล่าวออกมาได้

สำหรับในกรณีของ Wincor Probase ของ Diebold นั้น ช่องโหว่ดังกล่าวถูกระบุด้วยรหัส CVE-2020-10124 โดยเป็นช่องโหว่ที่เกิดจากการไม่เข้ารหัส พิสูจน์รวมไปถึงตรวจสอบความสมบูรณ์ของข้อความเมื่อมีการรับส่งระหว่างโมดูล Cash and Cheque Deposit (CCDM) กับระบบส่งผลให้ผู้โจมตีที่สามารถเข้าถึงส่วนประกอบฮาร์ดแวร์ของ ATM สามารถดักจับและแก้ไขข้อมูลที่เป็นจำนวนเงินหรือข้อมูลอื่นๆ ได้ ด้วยช่องโหว่นี้ผู้โจมตีสร้างข้อความการฝากเงินที่มีจำนวนมาเกินจริง จากนั้นย้ายไปถอนออกที่ตู้ของธนาคารอื่นเพื่อหลีกเลี่ยงการตรวจจับได้

ในส่วนของ APTRA XFS ของ NCR มีการเปิดเผยช่องโหว่ถึง 3 รายการได้แก่ CVE-2020-10124, CVE-2020-10125 และ CVE-2020-10126 โดยสำหรับช่องโหว่ CVE-2020-10125 นั้นเป็นช่องโหว่ซึ่งทำให้ผู้โจมตีสามารถข้ามผ่านกระบวนการ whitelisting เพื่อรันโค้ดที่เป็นอันตรายได้ผ่านการโจมตีกระบวนการพิสูจน์การรับรองไฟล์ ส่วน CVE-2020-10126 นั้นเป็นช่องโหว่ในกระบวนการอัปเดตซอฟต์แวร์ซึ่งทำให้ผู้โจมตีสามารถฝังมัลแวร์ลงในระบบของ ATM ด้วยเทคนิคอย่าง Evilgrade ได้

ในขณะนี้ทั้งสองผู้ผลิตได้มีการแจ้งผู้ใช้งานในส่วนของรายละเอียดของระบบที่ได้รับผลกระทบ และแนวทางในการลดผลกระทบจากช่องโหว่ ขอให้ผู้ใช้งานตรวจสอบและปฏิบัติตามคำแนะนำดังกล่าวอย่างเคร่งครัด

ที่มา: zdnet.