ไม่ยืนยันว่าจ่ายค่าไถ่: Garmin ได้รับตัวถอดรหัสเพื่อกู้คืนไฟล์ที่ถูกเข้ารหัสด้วย WastedLocker Ransomware

วันที่ 23 กรกฎาคม 2020 ที่ผ่านมา Garmin ประสบปัญหาลูกค้าไม่สามารถเข้าถึงบริการที่เชื่อมต่อบริการ Garmin Connect, flyGarmin, Strava และ inReach solutions ทั่วโลก จนมีข่าวที่ไม่ได้รับการยืนยันว่า Garmin ถูกโจมตีและถูกเข้ารหัสไฟล์ด้วย WastedLocker Ransomware และถูกเรียกค่าไถ่เป็นจำนวนเงิน 10 ล้านดอลลาร์

BleepingComputer เข้าถึงคีย์ถอดรหัสเพื่อกู้คืนไฟล์ที่เข้ารหัสในการโจมตีด้วย WastedLocker Ransomware จากแหล่งข่าวโดยในชุดไฟล์ที่ได้รับนั้นประกอบไปด้วย ตัวติดตั้งซอฟแวร์, คีย์ถอดรหัส, ตัวถอดรหัส WastedLocker และสคริปเพื่อรันตัวถอดรหัส หลังจากสามารถเข้าถึงชุดไฟล์ที่ใช้ในการถอดรหัส BleepingComputer ได้ทำการทดสอบคีย์ถอดรหัสดูว่าสามารถใช้งานได้จริงหรือไม่ ซึ่งหลังจากการทดสอบคีย์ถอดรหัสสามารถใช้งานได้จริง

WastedLocker Ransomware นั้นเป็น Ransomware ที่กำหนดเป้าหมายไปยังองค์กรระดับใหญ่ของโลกโดยมีกลุ่ม Evil Corp อยู่เบื้องหลังการปฏิบัติการ ในขณะนี้ยังไม่สามารถสร้างชุดถอดรหัสได้ฟรี ซึ่งองค์กรต่างๆ ควรทำการระมัดระวังการโจมตีด้วย Ransomware ในลักษณะนี้

BleepingComputer กล่าวว่ามีความเป็นไปได้ที่บริษัท Emsisoft และบริษัท Coveware เป็นผู้ช่วยเหลือ Garmin ในการเจรจาเกี่ยวกับคีย์ถอดรหัส WastedLocker Ransomware แต่บริษัททั้งสองไม่ได้ออกความเห็นใดๆ รวมถึง Garmin เองก็ไม่เเสดงความคิดเห็นใดๆ เกี่ยวกับการจ่ายเงินค่าไถ่เพื่อกู้คืนไฟล์ที่เข้ารหัสในการโจมตีด้วย WastedLocker Ransomware ซึ่งในขณะนี้ยังไม่มีการยืนยันว่ามีการจ่ายค่าไถ่จริงหรือไม่ รวมถึงยังไม่มีรายละเอียดในการโจมตี ต้องรอทาง Garmin เเถลงอย่างเป็นทางการหลังจากการสืบสวนเหตุการณ์ต่อไป

ที่มา: bleepingcomputer

เด็กหนุ่มวัย 17 ปีตกเป็นผู้ต้องสงสัยในคดีแฮก Twitter และทำการหลอกลวงให้โอนเงิน Bitcoin

ในการเเถลงการของกระทรวงยุติธรรมและอัยการรัฐซึ่งเเถลงโดย Andrew H. Warren อัยการสูงสุดของฮิลส์โบโร่ ได้ประกาศการจับกุมผู้ต้องสงสัย 3 คนในการเเฮกบัญชี Twitter และทำการหลอกลวงให้โอนเงิน Bitcoin ไปยังบัญชีที่เกี่ยงข้องกับกลุ่มเเฮกเกอร์ ตามรายงานข่าว WFLA-TV ของฟลอริด้าซึ่งรายงานเกี่ยวกับการจับกุมผู้ต้องสงสัยที่ถูกจับกุมเป็นรายเเรกคือ Graham Ivan Clark เด็กหนุ่มวัย 17 ปีจาก Tampa เขต Hillsborough, Florida รายที่ 2 คือ Mason Sheppard หรือที่รู้จักกันในชื่อ "Chaewon” อายุ 19 ปีอาศัยอยู่ที่ Bognor Regis ในสหราชอาณาจักร และคนสุดท้าย Nima Fazeli หรือที่รู้จักกันในชื่อ “Rolex” อายุ 22 ปี จาก Orlando, Florida การจับกุมครั้งนี้เป็นการร่วมมือกันของหน่วยงาน FBI, IRS, DOJ และหน่วยสืบราชการลับ

ตามรายงานการจับกุมเปิดเผยว่าเมื่อ 15 กรกฎาคมที่ผ่านมา Clark สามารถเข้าถึงแบ็กเอนด์ของ Twitter โดยการใช้โทรศัพท์เพื่อทำการ Social-engineering พนักงานของ Twitter ด้วยการใช้ Credential ของพนักงาน Twitter ทำให้พวกเขาเข้าถึงเครื่องมือจากในแบ็กเอนด์ของ Twitter ได้จากนั้นพวกเขาทำการกำหมดเป้าหมายโดยเป็นบัญชี Twitter จำนวน 130 บัญชีเพื่อใช้ในการทวีตข้อความเพื่อหลอกลวงให้โอนเงิน Bitcoin ไปยังบัญชีที่เกี่ยงของกับพวกเขา จากนั้นทำการเซ็ตรหัสผ่าน 45 บัญชีเพื่อครอบครองบัญชีและส่งทวีตใหม่เพื่อโปรโมตการหลอกลวง จากนั้นทำการดาวน์โหลดข้อมูลส่วนตัว 8 บัญชี และกลุ่มเเฮกเกอร์ยังสามารถเข้าถึง Direct messages (DMs) จำนวน 36 บัญชี ซึ่ง 1 ในนั้นเป็นบัญชีการโหวตเสียงลงคะแนนเสียงอย่างเป็นทางการของประเทศเนเธอร์แลนด์

จากการเเฮกครั้งนี้พบว่ามีผู้โอนเงินมากกว่า $100,000 ไปยังบัญชีที่เกี่ยงข้องกับกลุ่มเเฮกเกอร์ จากการจับกุมในครั้งนี้กลุ่มเเฮกเกอร์ถูกตั้งข้อหาความผิดทางอาญาเป็นจำนวน 30 ข้อหา หลังจากเหตุการณ์นี้ Twitter กล่าวว่าจะมีการจำกัดจำนวนพนักงานที่สามารถเข้าถึงเครื่องมือภายในของ Twitter เพื่อป้องกันและลดความเสี่ยงจากการโจมตีในลักษณะนี้

ที่มา: zdnet

แฮกเกอร์ประกาศขายรายการของบัญชีผู้ใช้และรหัสผ่านรวมไปถึงรายการไอพีแอดเดรสของ Pulse Secure VPN กว่า 900 รายการลงในบอร์ดใต้ดินสำหรับซื้อขายข้อมูลวันนี้ โดยอ้างอิงจากการตรวจสอบโดย ZDNet รายการข้อมูลนี้เป็นข้อมูลจริง ในเบื้องต้นเชื่อว่ารายการข้อมูลดังกล่าวมีที่มาจากการโจมตีช่องโหว่ CVE-2019-11510

ในรายการข้อมูลนี้ประกอบไปด้วย

หมายเลขไอพีแอดเดรสและโดเมนเนมของ Pulse Secure VPN
รุ่นของเฟิร์มแวร์ Pulse Secure VPN
SSH key
รายการของบัญชีผู้ใช้และแฮชของรหัสผ่านที่อยู่ใน Pulse Secure VPN
รายละเอียดบัญชีของผู้ดูแลระบบ
ข้อมูลการเข้าใช้งาน VPN รวมไปถึง username, password และ session cookie

จากการตรวจสอบโดยไอ-ซีเคียว ในรายการดังกล่าวมีข้อมูลของหน่วยงานไทยระดับกรมและกระทรวง รวมไปถึงหน่วยงานกำกับดูแลและผู้ให้บริการ MSP ชื่อดังในไทยอยู่ด้วย

ทีม Intelligent Resposne จะประสานงานกับทาง ThaiCERT เพื่อทำการแจ้งเตือนและให้คำแนะนำต่อไป

ดูคำแนะนำเพิ่มเติมเกี่ยวกับการจัดการความเสี่ยงของช่องโหว่ได้ที่: https://www.

Tom Anthony ผู้บริหารด้านผลิตภัณฑ์ของ SearchPilot ได้เปิดเผยถึงการค้นพบช่องโหว่ในแอปพลิเคชัน Zoom ที่อาจจะทำให้ผู้โจมตีสามารถทำการถอดรหัสผ่านห้องประชุมส่วนตัวได้ ซึ่งการเผยแพร่นี้เกิดหลังจากได้รายงานไปยัง Zoom จนทำการแก้ไขเรียบร้อยแล้ว

Anthony เปิดเผยว่าช่องโหว่ถูกพบในเว็บไคลเอ็นต์ของ Zoom โดยช่องโหว่ที่ค้นพบนั้นเกี่ยวข้องกับการตั้งค่าการป้องกันของห้องประชุมส่วนตัวด้วยรหัสผ่านเริ่มต้น ช่องโหว่จะอนุญาตให้ผู้โจมตีทำการ Brute-force รหัสผ่านของการประชุม ซึ่งถูกกำหนดค่าเริ่มต้นด้วยตัวเลขจำนวน 6 หลัก จึงทำให้ผู้โจมตีสามารถทำการสุ่มจำนวนตัวเลข 1 ล้านครั้งก็จะถอดรหัสและเข้าสู่การประชุมได้ ซึ่ง Anthony ระบุว่าเขาเช่าเซิร์ฟเวอร์ใน AWS หนึ่งเครื่องแล้วสามารถถอดรหัสผ่านการประชุมหนึ่งได้ใน 25 นาที ซึ่งในกรณีที่กระจายการถอดรหัสไปหลายๆ เครื่อง จะใช้เวลาน้อยกว่านั้น

Anthony ได้ทำการรายงานปัญหาและช่องโหว่ให้กับ Zoom เมื่อวันที่ 1 เมษายน 2020 ที่ผ่านมา หลังจากได้รับรายงานทาง Zoom ได้ทำการปิดเว็บไคลเอ็นต์เพื่อทำการเเก้ไขปัญหา

หลังจากรับทราบและทำการเเก้ไขปัญหา Zoom เปิดให้บริการเว็บไคลเอ็นต์อีกครั้งในวันที่ 9 เมษายน 2020 ที่ผ่านมาโดยการเเก้ปัญหานั้น Zoom ได้ทำการปรับปรุงและเเก้ไข CSRF โทเค็นและจะกำหนดให้ผู้ใช้งานทุกคนต้องทำการลงชื่อเข้าใช้ก่อนเข้าร่วมการประชุมผ่านเว็บไคลเอ็นต์และทำการอัปเดตการตั้งรหัสผ่านเริ่มต้นการประชุมยาวกว่า 6 ตัวอักษรและไม่ใช่ตัวเลขเพียงอย่างเดียวอีกต่อไป

ที่มา:

bleepingcomputer.

Georgy Kiguradze และ Mark Ermolov นักวิจัยจาก Positive Technologies ได้เปิดเผยถึงช่องโหว่บนเซิร์ฟเวอร์ Dell PowerEdge ซึ่งช่องโหว่ถูกพบใน Integrated Dell Remote Access Controller (iDRAC) ที่เป็นระบบการจัดการของเซิร์ฟเวอร์ซึ่งถูกฝังมาในเซิร์ฟเวอร์ Dell PowerEdge รุ่นใหม่ๆ โดยช่องโหว่อาจทำให้ผู้โจมตีสามารถควบคุมการทำงานของเซิร์ฟเวอร์ได้อย่างสมบูรณ์

ช่องโหว่ CVE-2020-5366 (CVSS: 7.1/10) เป็นช่องโหว่ประเภท Path Traversal ช่องโหว่อาจทำให้ผู้ใช้งานที่ได้รับการตรวจสอบสิทธิ์สามารถเปลี่ยนเเปลงการตั้งค่าระบบ Cooling หรือระบบ Power Setting บนเซิร์ฟเวอร์ที่ทำงานอยู่ได้ ด้วยความสามารถของช่องโหว่นี้อาจทำให้ผู้โจมตีทำการข่มขู่ผู้ใช้งานเพื่อทำการปิดเซิร์ฟเวอร์ที่ทำงานอยู่หรือขัดขวางการทำงานของเซิร์ฟเวอร์

นักวิจัยกล่าวอีกว่าช่องโหว่นี้มีผลกระทบกับระบบควบคุม Dell EMC iDRAC9 ที่ใช้ firmware เวอร์ชั่นก่อน 4.20.20.20

ผู้ดูแลระบบควรรีบทำการอัปเดต firmware อย่างเร่งด่วนเพื่อป้องกันผู้ประสงค์ร้ายใช้ประโยชน์จากช่องโหว่ทำการโจมตีระบบ

ที่มา:

infosecurity-magazine.

หน่วยงานความมั่นคงปลอดภัยไซเบอร์ของสหรัฐอเมริกาและโครงสร้างพื้นฐาน (CISA) และศูนย์รักษาความปลอดภัยไซเบอร์แห่งชาติของสหราชอาณาจักร (NCSC) ได้ออกแจ้งเตือนเกี่ยวกับการโจมตีด้วยมัลเเวร์ QSnatch ไปยังอุปกรณ์ QNAP NAS หลังพบทวีความรุนเเรงมากขึ้นจากการพบผู้ติดเชื้อจำนวน 7,000 เครื่องในเดือนตุลาคม 2562 ซึ่งปัจุบันนั้นพบว่าได้เพิ่มจำนวนมากขึ้นเป็น 62,000 เครื่องในปัจจุบัน

ในรายงานของ CISA และ NCSC ได้ระบุว่า QSnatch ถูกพบครั้งเเรกในปี 2014 โดยมัลเเวร์ QSnatch พุ่งเป้าไปที่ QNAP NAS โดยปัจจุบัน มิถุนายน 2563 มีอุปกรณ์ติดเชื้อประมาณ 62,000 เครื่องทั่วโลกซึ่งประมาณ 7,600 เครื่องอยู่ในสหรัฐอเมริกาและ 3,900 เครื่องอยู่ในสหราชอาณาจักรและจากการค้นพบล่าสุดพบว่ามัลเเวร์ QSnatch นั้นได้เพิ่มความสามารถดังนี้

สร้างการเข้าสู่ระบบของผู้ดูแลระบบอุปกรณ์ปลอมและทำการบันทึกข้อมูลหลังจากนั้นจะส่งต่อไปยังหน้าเข้าสู่ระบบที่ถูกต้อง
การสแกน Credential
SSH backdoor
Exfiltration
Webshell สำหรับการเข้าถึงระยะไกล

ทั้งนี้ CISA และ NCSC ยังไม่พบสาเหตุหรือช่องโหว่ที่มัลเเวร์ QSnatch ใช้ในการระบาด แต่ CISA และ NCSC ได้ระบุว่าเมื่อมัลแวร์ QSnatch เข้ามาสู่ระบบ มัลแวร์จะทำการ Inject เข้าสู่ Firmware เพื่อที่จะสามารถควบคุมอุปกรณ์ได้อย่างสมบูรณ์และจะทำการบล็อกฟีเจอร์การอัปเดต Firmware เพื่อทำการฝังตัวและเปิดช่องทางให้สามาถกลับเข้ามาใช้ช่องโหว่อีกครั้ง

ทั้งนี้ผู้ที่สนใจสามารถอ่านข้อมูลเพิ่มเติมได้ที่: https://us-cert.

กลุ่มแฮกเกอร์ Lazarus ปล่อย Ransomware ขโมยข้อมูลโดยใช้ MATA Malware
เฟรมเวิร์กมัลแวร์ที่ถูกค้นพบเมื่อเร็ว ๆ นี้ที่รู้จักกันในชื่อ MATA เชื่อมโยงกับกลุ่มแฮกเกอร์จากเกาหลีเหนือที่รู้จักกันในชื่อ Lazarus โดยนำ MATA มาใช้ในการโจมตีเป้าหมายหลายๆองค์กรตั้งแต่เดือนเมษายน 2018

MATA คือโมดูลเฟรมเวิร์กที่ประกอบไปด้วยหลายๆอย่าง อย่างเช่น Loader, orchestrator และ Plugin อีกหลายๆตัว สามารถใช้แพร่กระจายมัลแวร์ได้ทั้ง Windows, Linux และ macOS

ระหว่างการโจมตี แฮกเกอร์สามารถใช้ MATA เพื่อทำการโหลดพวกปลั๊กอินเพื่อเรียกใช้ Command จากเครื่องที่ติดเชื้อผ่าน หน่วยความจำของระบบ, จัดการกับไฟล์และโปรเซสต่างๆ Inject DDLs ไฟล์ลงไป แล้วทำการสร้าง HTTP proxies ไว้เป็นช่องทางในการเข้าออกบนเครื่อง

MATA ยังช่วยให้แฮกเกอร์สามารถสแกนหาเป้าหมายใหม่บนเครื่อง macOS และ Linux (เราเตอร์ไฟร์วอลล์หรืออุปกรณ์ IoT) นอกจากนี้บนแพลตฟอร์ม macOS MATA ยังสามารถโหลดโมดูล plugin_socks ที่สามารถใช้เพื่อกำหนดค่า Proxy server ได้อีกด้วย และเมื่อ MATA ถูกแพร่ไปยังเครื่องเหยื่อสำเร็จ มันจะทำการค้นหาข้อมูลสำคัญๆ อย่างข้อมูลลูกค้า หรือข้อมูลทางธุรกิจแล้วขโมยออกมาได้ รวมถึงอาจมีการใช้เพื่อแพร่ Ransomware โดยสามารถอ่านรายงานโดยละเอียดและศึกษา IOC ได้จาก https://securelist.

บริษัท Adobe System ออกอัพเดตแพตซ์รักษาความปลอดภัยเกี่ยวกับการเรียกใช้โค้ดบนผู้ใช้งาน Windows และช่องโหว่การเปิดเผยข้อมูลบนผู้ใช้ Android

Adobe ได้อัพเดตช่องโหว่ความปลอดภัยที่ทำให้ผู้โจมตีสามารถเรียกใช้โค้ดบนระบบปฏิบัติการ Windows ทั้ง 12 ข้อใน Adobe Photoshop, Adobe Prelude และ Adobe Bridge
สำหรับผู้ใช้งาน Windows ที่ไม่ใช่บัญชีผู้ดูแลระบบผลกระทบอาจไม่ร้ายแรง นอกจากจะเจอช่องโหว่อื่นที่สามารถยกระดับสิทธ์ โดยมีรายละเอียดดังนี้

Adobe Bridge มีอัพเดตความปลอดภัย APSB20-44 ที่อาจอนุญาตให้สามารถใช้โค้ดจากระยะไกลด้วยสิทธิ์ผู้ใช้งานปัจจุบัน ผู้ใช้ Windows ควรติดตั้ง Adobe Bridge 10.1.1 เพื่อแก้ไขช่องโหว่
Adobe Photoshop CC 2019 และ Photoshop CC มีอัพเดต APSB20-45เป็นช่องโหว่การ Remote เพื่อเข้ามาแก้ไข และเขียนไฟล์ ผู้ใช้ควรติดตั้ง Photoshop CC 2019 20.0.10 หรือ Photoshop CC 21.2.1 เพื่อแก้ไขช่องโหว่ดังกล่าว
Adobe Prelude มีอัพเดต APSB20-46 Security การเรียกใช้โค้ดด้วยสิทธิ์ผู้ใช้งานปัจจุบัน ผู้ใช้ควรติดตั้ง Adobe Prelude 9.01 เพื่อเป็นการอัพเดตแพทซ์ช่องโหว่
Adobe Reader Mobile มีอัพเดต APSB20-50 เป็นช่องโหว่การเปิดเผยข้อมูลสำคัญของผู้ใช้งาน ผู้ใช้ Android ควรติดตั้ง Adobe Reader Mobile 20.3 เพื่อแก้ไขช่องโหว่นี้

ที่มา : bleepingcomputer

นักวิจัยจาก Eclypsium เผยแพร่ช่องโหว่ใหม่ CVE-2020-10713 BootHole เป็นช่องโหว่ buffer overflow ใน GRUB2 เป็น bootloader ยอดนิยมที่ใช้ใน Linux หลายๆ ดิสโทร ช่องโหว่นี้เกิดเมื่อทำการ parsing ไฟล์ตั้งค่า grub.

ทีม Threat Intelligence จาก Wordfence ได้เปิดเผยถึงช่องโหว่ที่มีความร้ายเเรงที่จะช่วยให้ผู้โจมตีสามารถอัปโหลดไฟล์ใดๆ ได้โดยไม่ได้รับอนุญาตบนโฮสที่มีช่องโหว่ โดยช่องโหว่นี้ถูกพบใน wpDiscuz ซึ่งเป็นปลั๊กอินจัดการระบบการแสดงความคิดเห็นบน WordPress ที่จะจัดการแสดงความคิดเห็นแบบเรียลไทม์ด้วย Ajax โดยปลั๊กอินนี้ถูกติดตั้งบนโฮสต์ WordPress มากกว่า 70,000 แห่ง

Chamberland อธิบายว่าช่องโหว่เกิดจากฟังก์ชันการตรวจสอบไฟล์ mime type ใน wpDiscuz ที่เป็นเวอร์ชั่นเก่าจึงทำให้เกิดการอนุญาตให้สามารถใช้ไฟล์จากสิ่งที่แนบมากับรูปภาพ จึงทำให้เกิดการอัปโหลดไฟล์อื่นๆ ได้โดยไม่ได้รับอนุญาต ซึ่งเมื่อไฟล์ถูกอัปโหลดไปแล้วผู้โจมตีสามารถเรียกใช้โค้ดเพื่อรันคำสั่งบนเซิร์ฟเวอร์จากระยะไกลได้

Chamberland กล่าวว่าช่องโหว่นี้ถูกประเมินคะเนนความรุนเเรงตาม CVSS อยู่ที่ 10/10 โดยช่องโหว่จะมีผลกับ wpDiscuz เวอร์ชันต่ำกว่า 7.0.5 ซึ่งปัจจุบันมีผู้ติดตั้งและใช้งานปลั๊กอิน wpDiscuz บน WordPress และมีความเสี่ยงต่อการถูกใช้ประโยชน์จากช่องโหว่จำนวน 45,000 แห่ง

ทั้งนี้ผู้ใช้งานและผู้ดูเเลเว็บไซต์ควรรีบทำการอัปเดตปลั๊กอิน wpDiscuz ให้เป็นเวอร์ชั่นใหม่ล่าสุดเพื่อลดความเสี่ยงต่อการโจมตีโดยใช้ประโยชน์จากช่องโหว่

ที่มา:

bleepingcomputer.