MITRE เปิดเผยผลการสำรวจ 25 ข้อผิดพลาดและช่องโหว่ที่พบบ่อยที่สุดในซอฟต์แวร์ตลอดปี 2018 ถึง 2019 จากการรวบรวมและวิเคราะห์ข้อมูล CVE จาก National Vulnerability Database (NVD) รวมไปถึงการนำคะแนน CVSS มาประเมินโดยข้อผิดพลาดหรือช่องโหว่ที่มีผลกระทบสูงและพบบ่อยที่สุดในรอบนี้นั้นคือ Cross-site scripting หรือ XSS

Cross-site scripting เป็นลักษณะข้อผิดพลาดหรือช่องโหว่ที่มีรหัสอ้างอิงคือ CWE-79 ตามมาตรฐานของ Common Weakness Enumeration (CWE) โดยเป็นข้อผิดพลาดหรือช่องโหว่ที่มักเกิดจากการรับค่าที่ไม่ปลอดภัยมาประมวลและแสดงผลส่งผลให้ผู้ไม่ประสงค์สามารถแทรกโค้ดที่เป็นอันตรายเพื่อให้นำมาประมวลผลในฝั่งของผู้ใช้งานได้ XSS ได้คะแนน 46.82 มาเป็นอันดับหนึ่งของข้อผิดพลาดและช่องโหว่ที่พบมากที่สุด ในขณะเดียวกันข้อผิดพลาดและช่องโหว่ประเภท Out-of-bounds write นั้นมาเป็นอันดับสองด้วยคะแนนที่ไล่เลี่ยกันคือ 46.17

เราอาจจะคุ้นเคยกับแนวทางของ OWASP ที่ออกมาให้คำแนะนำเกี่ยวกับข้อผิดพลาดและช่องโหว่เหล่านี้ อย่างไรก็ตามไอ-ซีเคียวแนะนำให้ผู้อ่านเข้าไปดูรายละเอียดเพิ่มเติมจาก https://cwe.

Guardicore ออกรายงานวิเคราะห์มัลแวร์ขุดเหมือง Monero ตัวใหม่ชื่อ FritzFrog โจมตี Linux ผ่าน SSH มีลักษณะเป็น worm และ botnet มุ่งเป้าหมายโจมตีหน่วยงานรัฐ ภาคการศึกษา และสถาบันการเงิน พบโจมตีตั้งแต่เดือนมกราคม 2020 ในขณะนี้มีเหยื่อติดเชื้อราวๆ 500 เซิร์ฟเวอร์และมีความพยายามโจมตี brute force กว่าล้านไอพี

FritzFrog เป็นมัลแวร์ที่มีความซับซ้อน มีการสั่งงานกันผ่าน peer-to-peer (P2P) คือคุยกันระหว่าง FritzFrog แต่ละตัวโดยไม่มีต้องมี Command & Control (C&C) ที่เป็นศูนย์กลางรวมถึงมีการรัน payload ในเมมโมรี่ ทำให้ยากต่อการตรวจจับ

เมื่อ FritzFrog ยึดเครื่องผ่าน SSH สำเร็จ มันจะลบตัวเองทิ้ง และรันด้วยโปรเสส ชื่อ ifconfig และ nginx จากนั้นมันจะรอคำสั่งต่อไปผ่าน port 1234 ซึ่งตามปกติแล้ว port 1234 มีความผิดปกติและตรวจจับได้ง่าย แต่ FritzFrog ใช้วิธีเพิ่ม SSH authorized_keys เพื่อให้ผู้โจมตีส่งคำสั่งผ่าน SSH แล้วเปิด netcat client บนเครื่องของเหยื่อเพื่อส่งคำสั่งจาก SSH ไปยัง port 1234 ทำให้ตรวจจับไม่ได้จากไฟร์วอลโดยตรงว่ามีการส่งคำสั่งมาจากเน็ตเวิร์คผ่าน port 1234 นอกจากนี้ยังมีการรันโปรเสสชื่อ libexec เพื่อขุดเหมือง Monero

Guardicore ระบุวิธีตรวจจับ FritzFrog ไว้ดังต่อไปนี้
1 ใช้สคริป detect_fritzfrog.

หน่วยงาน Cybersecurity and Infrastructure Security Agency (CISA) ออกมาแจ้งเตือนเกี่ยวกับโทรจันใหม่ซึ่งเชื่อมโยงกับการโจมตีโดยกลุ่มแฮกเกอร์สัญชาติเกาหลีเหนือภายใต้ชื่อ BLINDINGCAN โดยมัลแวร์ดังกล่าวพุ่งเป้าโจมตีหน่วยงานทางการทหาร การบินและอวกาศของสหรัฐฯ

มัลแวร์ BLINDINGCAN เชื่อมโยงกับปฏิบัติการการโจมตีชื่อ North Star ซึ่งถูกตรวจพบโดย McAfee และปฏิบัติการ DreamJob ซึ่งถูกตรวจพบโดย ClearSky โดยแฮกเกอร์สัญชาติเกาหลีเหนือจะมีการแอบอ้างและปลอมตัวเพื่อให้เป้าหมายหลงเชื่อและมีการส่งมัลแวร์ผ่านทางอีเมลไปยังเป้าหมาย (ดูรายละเอียดของทั้งสองปฏิบัติการได้จากลิงค์ท้ายข่าว)

มัลแวร์ BLIDINGCAN จะถูกติดตั้งเพื่อฝังตัวอยู่ในระบบเป้าหมายเพื่อให้ผู้โจมตีใช้มัลแวร์เป็นช่องทางในการเข้าถึงระบบเป้าหมาย โดยตัวมัลแวร์ยังมีคุณสมบัติของโทรจันที่ทำให้มันสามารถดำเนินการเกี่ยวกับไฟล์ รวมไปถึงเก็บข้อมูลต่างๆ ในระบบได้

ประกาศจาก CISA ได้มีการแนบข้อมูลตัวบ่งชี้ภัยคุกคามมาแล้วในลักษณะของ Malware Analysis Report รหัส AR20-232A ผู้ดูแลระบบสามารถนำข้อมูลดังกล่าวไปใช้เพื่อระบุหาการมีอยู่หรือป้องกันภัยคุกคามได้ทันที

ดูรายละเอียดตัวบ่งชี้ภัยคุกคามได้ที่ https://us-cert.

อ้างอิงจากข่าวการรั่วไหลข้อมูลของ SANS Institute จากการโจมตีในลักษณะ Phishing ที่ไอ-ซีเคียวได้นำเสนอข่าวไปก่อนหน้า (ดูเพิ่มเติม https://www.

James Quinn จาก Binary Defense ได้ออกมาเปิดเผยถึงปฏิบัติการการโจมตีกระบวนการแพร่กระจายของมัลแวร์ Emotet โดยการโจมตีช่องโหว่ Buffer overflow ในกระบวนการติดตั้งของมัลแวร์ซึ่งส่งผลให้มัลแวร์ล้มเหลวที่จะทำงานต่อและทำให้กระบวนการแพร่กระจายของมัลแวร์ Emotet ในถูกชะลอลงไปได้กว่า 6 เดือน

มัลแวร์ Emotet เป็นหนึ่งในมัลแวร์ตระกูล Botnet ซึ่งมีอัตราการแพร่กระจายสูงสุดสายพันธุ์หนึ่งของโลก โดยหากผู้ควบคุมมัลแวร์ Emotet สามารถใช้มัลแวร์เป็นช่องทางในการขโมยข้อมูลระบบหรือใช้ในการติดตั้งมัลแวร์สายพันธุ์อื่นๆ เข้าไปเพิ่มเติมได้

ช่องโหว่ที่ James Quinn ค้นพบนั้นเป็นช่องโหว่ Buffer overflow ง่ายๆ ในกระบวนการติดตั้งลงในระบบของมัลแวร์ Emotet โดยการโจมตีช่องโหว่ดังกล่าวสามารถทำได้เพียงแค่ใช้สคริปต์ PowerShell ในการแก้ไขค่าซึ่งเกี่ยวข้องกับการตั้งค่ารีจิสทรีที่มัลแวร์ Emotet จะเข้าไปดำเนินการ ส่งผลให้เกิดลักษณะของการทำ Killswitch และทำให้มัลแวร์ไม่สามารถติดตั้งในระบบได้

ช่องโหว่นี้ถูกแพร่กระจายอย่างลับๆ ระหว่างหน่วยงาน CERT และกลุ่ม Cybersecurity เพื่อป้องกันคนร้ายรู้ตัว โดยช่องโหว่ดังกล่าวถูกนำมาใช้ตั้งแต่ช่วงวันที่ 6 กุมภาพันธ์จนถึงวันที่ 5 สิงหาคมที่ผ่านมา ทั้งนี้ช่องโหว่นี้ในปัจจุบันไม่สามารถใช้หยุดการแพร่กระจายได้แล้วเนื่องจากผู้พัฒนามัลแวร์ได้มีการแก้ไขโค้ดซึ่งส่งผลให้ช่องโหว่ดังกล่าวถูกปิดลง

อ่านบทวิเคราะห์ฉบับเต็มจาก Binary Defense ได้ที่: https://www.

พบช่องโหว่ระดับ Critical ในเว็บเซิร์ฟเวอร์ยอดนิยม Jenkins ที่ผู้ใช้งานอยู่ทั่วโลกและมีผู้ใช้มากกว่า 1 ล้านคน โดยคำเเนะนำที่ถูกเผยเพร่ผ่านบริษัทนั้นระบุว่าช่องโหว่ที่สำคัญนั้นอยู่เว็บเซิร์ฟเวอร์ของ Jetty ซึ่งอาจส่งผลให้เกิด memory corruption และจะอาจทำให้ข้อมูลที่สำคัญในเซิร์ฟเวอร์ถูกเปิดเผย

ช่องโหว่ CVE-2019-17638 (CVSS: 9.4/10) ช่องโหว่เกิดจาการจัดการ HTTP response header บน Jetty ซึ่งทำหน้าที่เป็น Java HTTP เซิร์ฟเวอร์และ servlet เซิร์ฟเวอร์ในการเรียกใช้งาน jav, -jar, jenkins.

เมื่ออาทิตย์ที่ผ่านมา FBI และ NSA ได้มีการเปิดเผยการแจ้งเตือนซึ่งเป็นผลมาจากการทำงานร่วมกันของทั้งสองหน่วยงาน โดยเป็นการแจ้งเตือนและผลการวิเคราะห์มัลแวร์ตัวใหม่บน Linux "Drovorub" อ้างอิงจากรายงานของทั้งสองหน่วยงาน มัลแวร์ Drovorub ถูกตรวจจับว่ามีการใช้งานในการโจมตีจริงแล้ว และเชื่อมโยงกลับไปยังกลุ่มแฮกเกอร์ APT28 หรือ Fancy Bear ที่มีรัฐบาลรัสเซียหนุนหลัง

การวิเคราะห์มัลแวร์ Drovorub บ่งชี้ให้เห็นศักยภาพที่หลากหลายของมัลแวร์ ตัวมัลแวร์เองถูกออกแบบมาให้เป็น kernel module rootkit แต่ยังมีฟังก์ชันการทำงานเช่นเดียวกับโทรจันโดยทั่วไป อาทิ การรับส่งไฟล์และการสร้างช่องทางลับเพื่อการ pivoting ด้วยลักษณะของการเป็น rootkit ระดับ kernel มัลแวร์ Drovorub จะมีการซ่อนตัวเองจากความพยายามในการค้นหาโปรเซส, ไฟล์, socket หรือพฤติกรรมการทำงานต่างๆ ผ่านการ hook หรือเป็นลอจิคการทำงานของโปรแกรม เช่น เมื่อผู้ใช้งานมีการใช้คำสั่ง ps เพื่อดูรายการโปรเซส มัลแวร์ Drovorub จะทำการแก้ไขผลลัพธ์อยู่เบื้องหลังเพื่อทำให้โปรเซสที่เกี่ยวข้องกับมัลแวร์ไม่แสดงในผลลัพธ์ของคำสั่ง

นอกเหนือจากการวิเคราะห์การทำงาน รายงานร่วมของ FBI และ NSA ยังพูดถึงวิธีในการตรวจจับการทำงานของมัลแวร์ทั้งในมุม network และ endpoint รวมไปถึงการทำ memory analysis เพื่อตรวจหาการมีอยู่ของมัลแวร์ รวมไปถึงคำแนะนำจากทั้งสองหน่วยงานในการป้องกันและลดผลกระทบ ผู้ที่สนใจสามารถอ่านเพิ่มเติมได้จากรายงานของ FBI และ NSA (media.

หน่วยงาน Cybersecurity and Infrastructure Security Agency (CISA) ได้ออกคำเเนะนำและเเจ้งเตือนให้ผู้ดูเเลระบบและผู้ใช้ Apache Struts 2 ให้ทำการอัปเดตเเพตซ์เพื่อเเก้ไขช่องโหว่หลังพบว่ามีผู้ปล่อย PoC ของช่องโหว่ลง GitHub

ช่องโหว่ที่สำคัญและได้คำเเนะนำให้รีบอัปเดตเเพตซ์คือ CVE-2019-0230 และ CVE-2019-0233 มีผลกระทบกับ Apache Struts เวอร์ชัน 2.0.0 ถึง 2.5.20

ช่องโหว่ CVE-2019-0230 เป็นช่องโหว่ที่เกิดจากการการประมวลผลแท็กภายในแอตทริบิวต์ของ Object-Graph Navigation Language (OGNL) เมื่อ Struts พยายามทำการประมวลผลแท็กอินพุตภายในแอตทริบิวต์ ช่องโหว่จะทำส่งผลให้ผู้โจมตีที่ส่ง OGNL ที่เป็นอันตรายสามารถเรียกใช้โค้ดจากระยะไกล ช่องโหว่นี้ถูกค้นพบโดย Matthias Kaiser จาก Apple Information Security

ช่องโหว่ CVE-2019-0233 เป็นช่องโหว่ในการเเก้ไขสิทธิ์ในการเข้าถึงไฟล์ในระหว่างการอัปโหลดไฟล์ ซึ่งอาจส่งผลให้ผู้โจมตีสามารถแก้ไขคำขอระหว่างการดำเนินการอัปโหลดไฟล์ การดำเนินการในลักษณะนี้จะส่งผลให้ไฟล์ที่ทำการอัปโหลดล้มเหลว เมื่อเกิดความพยายามทำหลายๆ ครั้งอาจส่งผลให้เกิดการปฏิเสธเงื่อนไขการให้บริการหรือ Denial of service (DoS) ช่องโหว่นี้ถูกค้นพบโดย Takeshi Terada จาก Mitsui Bussan Secure Directions, Inc

CISA ได้ออกคำเเนะนำให้ผู้ดูเเลระบบและผู้ใช้ Apache Struts 2 ให้รีบทำการอัปเดตเเพตซ์ให้เป็น Apache Struts เวอร์ชั่น 2.5.22 เพื่อเเก้ไขช่องโหว่ดังกล่าวและป้องกันผู้ประสงค์ร้ายใช้ประโยชน์จาก PoC ของช่องโหว่ที่ถูกเปิดภายใน GitHub ทำการโจมตีระบบ

ที่มา:

us-cert.

Google เตรียมพร้อมเผยแพร่ฟีเจอร์ใหม่ที่จะช่วยให้ผู้ใช้งานสามารถสังเกตความพยายามในการปลอมแปลง URL (URL spoofing) ซึ่งมักเป็นเทคนิคที่ถูกใช้ในการหลอกลวงใน Google Chrome เวอร์ชัน 86

จาการวิจัยโดย Google และมหาวิทยาลัยอิลลินอยส์ ในแคมเปญ Urbana-Champaign พบว่า 60% ของผู้ใช้ที่ถูกหลอกลวงให้ไปยัง URL ที่ทำให้เข้าใจผิดคิดว่าเป็นแบรนด์หรือชื่อที่ถูกต้อง โดยเพื่อป้องกันการโจมตีลักษณะดังกล่าวผู้พัฒนาเว็บเบราว์เซอร์ได้เริ่มทดสอบวิธีการต่างๆ เช่นการแสดงเฉพาะส่วนที่โดเมนได้ทำการลงทะเบียนหรือการไฮไลต์ในแถบ Address Bar แทนที่จะแสดง URL แบบเต็ม

ทั้งนี้ Google ได้วางเเผนเพื่อทำการทดสอบฟีเจอร์ดังกล่าวเพื่อเตรียมความพร้อมสำหรับการใช้งานใน Google Chrome เวอร์ชั่น 86 ที่จะได้รับการเปิดตัวในเดือนตุลาคมที่จะถึงนี้ โดยใน Chrome 86 จะแสดงเฉพาะชื่อโดเมนตามค่าเริ่มต้นและ URL แบบเต็มเมื่อผู้ใช้วางเมาส์ใน Address Bar หรืออีกวิธีหนึ่งคือผู้ใช้สามารถคลิกขวาที่ URL และเลือก “Always show full URLs” หากผู้ใช้งานไม่ชอบฟีเจอร์ที่เพิ่มเข้ามานี้

สำหรับผู้ที่สนใจอยากเข้าร่วมการทดสอบนี้ Google เปิดให้ผู้ใช้ทดสอบและสามารถติดตั้งใน Google Chrome เวอร์ชั่น Canary หรือ Dev โดยสามารถเปิดใช้านได้ใน chrome://flags เพื่อเปิดใช้งานฟีเจอร์ดังกล่าว

ที่มา: securityweek.

Intel เเจ้งเตือนถึงช่องโหว่ที่อาจส่งผลกระทบต่อเมนบอร์ด Server System และ Compute Module ซึ่งช่องโหว่อาจทำให้ผู้โจมตีระยะไกลที่ไม่ได้รับการพิสูจน์ตัวตนสามารถยกระดับสิทธิ์ในระบบ

ช่องโหว่ CVE-2020-8708 (CVSS: 9.6/10) ถูกค้นพบโดย Dmytro Oleksiuk เป็นช่องโหว่ที่อยู่ในเฟิร์มแวร์ Emulex Pilot 3 ซึ่งเป็นซอฟต์แวร์ Baseboard-Management ที่มีหน้าที่ในการจัดการการควบคุมการทำงานของฮาร์ดแวร์เพื่อการมอนิเตอร์และตั้งค่าต่างๆ ซึ่งถูกใช้ในการมินิเตอร์ระบบเครือข่ายและอุปกรณ์เชื่อมต่อฮาร์ดแวร์ ช่องโหว่เกิดจากการตรวจสอบสิทธิ์ที่ไม่เหมาะสมทำให้ผู้โจมตีสามารถเข้าถึงคอนโซล KVM ของเซิร์ฟเวอร์ได้ นอกเหนือจากช่องโหว่ที่กล่าวมานั้น Intel ยังได้ทำการเเก้ไขช่องโหว่อีกจำนวน 22 รายการ

ช่องโหว่ส่งผลกระทบกับเซิร์ฟเวอร์ตระกูล R1000WT, R2000WT, ตระกูล R1000SP, LSVRP, LR1304SP และตระกูล R1000WF, R2000WF ผลกระทบในส่วนของเมนบอร์ดคือตระกูล S2600WT, S2600CW, S2600KP, S2600TP, S1200SP, S2600WF, S2600ST และตระกูล S2600BP นอกจากนี้ช่องโหว่ยังกระทบ Compute Modules ตระกูล HNS2600KP, HNS2600TP, HNS2600BP ของ Intel

Intel ได้แนะนำให้ผู้ใช้ทำการอัปเดตเฟิร์มแวร์เป็นเวอร์ชันล่าสุดเพื่อป้องกันการโจมตีและหาประโยชน์จากระบบผู้ดูแลและผู้ใช้งานสามารถอัปเดตเฟิร์มแวร์เป็นเวอร์ชันล่าสุด ซึ่งสามารถดาวน์โหลดได้จากตารางการอัปเดตนี้: https://www.