NTT แจ้งเตือนการบุกรุกเซิร์ฟเวอร์ของบริษัทคาดว่าข้อมูลลูกค้ารั่วไหลไปประมาณ 600 ราย

บริษัท Nippon Telegraph & Telephone หรือ NTT ผู้ใช้บริการเครือข่าย, คลาวด์และดาต้าเซ็นเตอร์ได้ออกมาเปิดเผยถึงการถึงการตรวจพบการโจมตีระบบของบริษัท โดยแฮกเกอร์สามารถเข้าถึงเครือข่ายภายในของบริษัทและขโมยข้อมูลลูกค้าออกไปได้จำนวน 621 ราย

การแฮกเกิดขึ้นเมื่อวันที่ 7 พฤษภาคม แต่ทาง NTT ได้ทำการตรวจพบการบุกรุกวันที่ 11 พฤษภาคมที่ผ่านมา จาการประเมินการบุกรุกพบว่าแฮกเกอร์ได้ทำการแฮกเข้ามาถึง Active Directory ภายในบริษัทเพื่อทำการขโมยข้อมูลและทำการอัปโหลดข้อมูลไปยังเซิร์ฟเวอร์ของเเฮกเกอร์

NTT กล่าวว่าการโจมตีครั้งนี้เชื่อว่ามีต้นกำเนิดมาจากเซิร์ฟเวอร์ NTT ในสิงคโปร์ จากนั้นผู้โจมตีใช้จุดนี้ทำการโจมตีเพื่อเข้าถึงเซิร์ฟเวอร์คลาวด์ที่อยู่ในญี่ปุ่น (เซิร์ฟเวอร์ B) และเข้าสู่เครือข่ายภายในของ NTT Communication (เซิร์ฟเวอร์ A) จากนั้นผู้โจมตีจึงทำการเข้าถึงเซิร์ฟเวอร์ C ซึ่งเป็นเซิร์ฟเวอร์ที่ใช้ในการให้บริการคลาวด์ของ NTT และให้บริการลูกค้า

หลังจากเหตุการณ์ NTT พบว่าเเฮกเกอร์ได้ทำการขโมยข้อมูลของลูกค้าออกไปจำนวน 621 รายและ NTT ได้ทำการเเก้ไขและปิดช่องทางของแฮกเกอร์ทันที ปัจจุบันทาง NTT กำลังอยู่ในระหว่างการตรวจสอบผลกระทบต่อการโจมตีและทำการอัพเกรดโครงสร้างพื้นฐานเพื่อป้องกันการโจมตีในอนาคต ซึ่ง NTT จะแจ้งให้ลูกค้าทราบถึงผลกระทบและความเสียหายอย่างเป็นทางการอีกครั้ง

ที่มา

 zdnet
  infosecurity-magazine

 

NSA: เเจ้งเตือนภัยจากกลุ่ม APT "Sandworm" ที่ใช้ประโยชน์จากช่องโหว่ Exim ทำการโจมตี Email Server

สำนักงานความมั่นคงแห่งชาติสหรัฐ (NSA) ได้เปิดเผยถึงความเคลื่อนไหวของเเฮกเกอร์ที่ได้รับการสนับสนุนจากรัฐบาลรัสเซียหรือที่รู้จักกันในชื่อ Sandworm Team ซึ่งได้ใช้ประโยชน์จากช่องโหว่ใน Mail Transfer Agent (MTA) ตั้งแต่สิงหาคม 2019

NSA กล่าวว่า แฮกเกอร์จากหน่วย 74455 ของ GRU Main Center for Special Technologies (GTsST) ได้ใช้ประโยชน์จากช่องโหว่ Exim ตั้งเเต่เดือนสิงหาคม 2019 ซึ่งปัจจุบันพบว่าเซิร์ฟเวอร์ที่ยังสามารถใช้ประโยชน์จากช่องโหว่ Exim นั้นมีมาถึง 2,481,000 เซิร์ฟเวอร์ที่สามารถเข้าผ่านอินเตอร์เน็ตได้

Sandworm Team ใช้ประโยชน์ช่องโหว่ที่ติดตามเป็นรหัส CVE-2019-10149 ซึ่งทำให้ผู้โจมตีจากระยะไกลที่ไม่ผ่านการตรวจสอบสิทธิ์สามารถรันโค้ดคำสั่งได้โดยใช้สิทธิ์ Root บนเซิร์ฟเวอร์อีเมลที่มีช่องโหว่ เมื่อทำการรันสคริปต์ Shell สคริปต์จะทำการเพิ่มสิทธิ์ผู้ใช้งาน, ปิดการตั้งค่าความปลอดภัยเครื่องข่าย, อัพเดตค่าคอนฟิก SSH เพื่อให้สามารถเข้าถึงจากระยะไกลและเรียกใช้งานสคริปต์อื่นๆที่จะสามารถใช้ประโยน์ภายในเครื่องที่บุกรุกได้

ข้อเเนะนำ
NSA ได้ออกคำเเนะนำให้ผู้ใช้งานและผู้ดูเลระบบที่จะทำการติดตั้งเซิร์ฟเวอร์ Exim ให้ทำการติดตั้งเวอร์ชัน 4.93 หรือใหม่กว่า สำหรับผู้ที่ใช้งานเซิร์ฟเวอร์ Exim Mail Transfer Agent อยู่แล้วให้ทำการอัปเดตซอฟต์แวร์ผ่าน Linux distribution package manager หรือดาวน์โหลดได้ที่
https://exim.

ระบบของ Cisco ถูกโจมตีผ่านช่องโหว่ SaltStack

Cisco ได้เปิดเผยว่าเซิร์ฟเวอร์แบ็กเอนด์ของ Cisco Virtual Internet Routing Lab Personal Edition (VIRL-PE) บางส่วนถูกโจมตี โดยการโจมตีนั้นใช้ประโยน์จากช่องโหว่ SaltStack

Cisco ระบุว่าเซิร์ฟเวอร์ Cisco maintained salt-master ที่เป็นเซอร์วิสของ Cisco VIRL-PE เวอร์ชั่น 1.2 และ 1.3 นั้นถูกโจมตี โดยแฮกเกอร์ได้ทำการโจมตีเซิร์ฟเวอร์แบ็กเอนด์ของ Cisco จำนวน 6 เเห่งคือ us-1.virl.

Google TAG เผยอินเดียกำลังเป็นแหล่งยอดฮิตของธุรกิจ Hack for Hire

Google Threat Analysis Group (TAG) หรือ Google TAG ซึ่งเป็นทีมที่ติดตามกลุ่มอาชญากรรมระดับสูงและอาชญากรรมทางไซเบอร์ของ Google ได้เผยแพร่รายงานประจำไตรมาสที่ 1 ปี 2020 ซึ่งเป็นรายงานจากการติดตามกลุ่มอาชญากรรมไซเบอร์ที่เป็นผู้โจมตีหรือได้รับการสนับสนุนจากรัฐบาลมากกว่า 270 กลุ่มจากกว่า 50 ประเทศ โดยประเด็นที่น่าสนใจมีดังนี้

ความพยายามในการแฮ็กและฟิชชิงของกลุ่มต่างๆ
ปัจจุบันจากการเเพร่ของโรค Coronavirus หรือ COVID-19 ที่เกิดการเเพร่กระจายเป็นจำนวนมากทำให้กลุ่มอาชญากรรมไซเบอร์ใช้ประโยชน์จากเหตุการณ์นี้เพื่อทำการแฮ็กและฟิชชิงข้อมูลโดยพุ่งเป้าหมายไปที่ ผู้นำธุรกิจ, บริษัทที่ให้บริการด้านการเงินและการให้คำปรึกษา, บริษัทด้านการดูแลสุขภาพในหลายประเทศ เช่น สหรัฐอเมริกา, สโลวีเนีย, แคนาดา, อินเดีย, บาห์เรน, ไซปรัสและสหราชอาณาจักร ตัวอย่างกิจกรรมทางไซเบอร์ที่เห็นได้ชัดคือ บริษัท “hack-for-hire” หรือบริษัทรับจ้างแฮกข้อมูลทางอินเตอร์เน็ตในประเทศอินเดียได้ทำการสร้างแอคเคาท์ Gmail ที่ทำการปลอมเเปลงเป็น WHO เพื่อใช้ในการฟิชชิงกลุ่มเป้าหมาย โดยทั้งนี้ Google TAG มองว่าบริษัท “hack-for-hire” ในอินเดียมีการเติบโตและมีจำนวนมากขึ้นจากไตรมาสก่อน

การดำเนินการเคลื่อนไหวทางการเมือง
ปัจจุบันกลุ่มที่ได้รับการสนับสนุนจากรัฐบาลหรือรัฐสนับสนุนมีเป้าหมายเพื่อการดำเนินการเคลื่อนไหวทางการเมืองโดยใช้การดำเนินการในเครือข่ายเว็บไซต์ของ Google เช่น YouTube, Play Store, AdSense นั้นมีมากขึ้นและทาง Google รับเเจ้งให้ได้ทำการตรวจเป็นจำนวนมากหลังจากการตรวจสอบ Google ได้ทำการยกเลิกบัญชีช่อง YouTube และบัญชีการโฆษณาเป็นจำนวนมากในช่วงที่ผ่านมา

ทั้งนี้ผู้ที่สนใจรายละเอียดเพิ่มเติมสามารถเข้าไปอ่านต่อได้ที่: https://blog.

10 สิ่งที่ต้องรู้สำหรับ "มาตรฐานการรักษาความมั่นคงปลอดภัยของการประชุมผ่านสื่ออิเล็กทรอนิกส์ ปี 2563"

กระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคมได้ออกประกาศ "มาตรฐานการรักษาความมั่นคงปลอดภัยของการประชุมผ่านสื่ออิเล็กทรอนิกส์" ซึ่งจะมีผลบังคับใช้ตั้งแต่ 27 พ.ค. 2563 นี้ สิ่งที่ควรรู้มีดังนี้

ผู้ที่ร่วมประชุมผ่านสื่อ ต้องทำการยืนยันตัวเองผ่าน Username, Password หรือการใช้ OTP
แอปพลิเคชันที่ใช้ต้องสามารถถ่ายทอดภาพและเสียงได้อย่างชัดเจน และต้องมีการบันทึกภาพและเสียงตลอดการประชุม
ผู้ที่เป็นประธานต้องมีอำนาจควบคุมการประชุม เช่น การสั่งหยุดภาพและเสียงของผู้ประชุมได้
ผู้เข้าร่วมประชุมต้องสามารถเข้าถึงเอกสารการประชุมได้ โดยผู้จัดการประชุมอาจจะส่งเอกสารให้ก่อนหรือหลังการประชุมก็ได้
ถ้าเกิดมีการโหวตในที่ประชุม ให้ทำการแสดงสัญลักษณ์หรือข้อความสำหรับการโหวตทั่วไป สำหรับการประชุมลับให้ใช้เเบบสอบถามออนไลน์ในการโหวต
ผู้จัดการประชุมต้องจัดเก็บข้อมูลการประชุมของผู้เข้าร่วมประชุม เช่น ภาพ, เสียง, จำนวนผู้เข้าร่วมประชุม, รายชื่อผู้เข้าร่วมประชุม, ข้อมูลการเข้าใช้งานของผู้เข้าร่วมประชุม, วันและเวลาในการรร่วมประชุม
หากมีการขัดข้องในการประชุม ผู้จัดประชุมต้องมีแผนสำรองหรือแอปพลิเคชันที่จะใช้ในเหตุที่เกิดความขัดข้อง
เมื่อจบการประชุมแล้ว ผู้ดูแลการประชุมหรือผู้ให้บริการในการประชุมต้องจัดส่งข้อมูลที่ทำการบันทึกให้ผู้จัดการประชุมภายในเวลา 7 วัน
เมื่อเกิดเหตุทำให้มีการทำลายการประชุม ให้ผู้จัดการประชุมทำการทำลายข้อมูลเช่น ภาพ, เสียงหรือบันทึกการประชุมด้วยเทคโนโลยีที่เชื่อถือได้และปลอดภัย
(เฉพาะการประชุมลับ) ถ้าจัดการประชุมกับหน่วยงานของรัฐ ผู้จัดการประชุมต้องใช้แอปพลิเคชันที่ผ่านการประเมินของหน่วยงานของรัฐและต้องมีเซิร์ฟเวอร์การให้บริการในประเทศไทยเท่านั้น

ที่มา: ดาวน์โหลดเอกสาร

บัญชี LiveJournal จำนวน 26 ล้านบัญชีถูกนำมาเผยเเพร่บนแฮกเกอร์ฟอรัม
พบฐานข้อมูลบัญชีผู้ใช้ LiveJournal มากกว่า 26 ล้านบัญชีถูกแชร์บนแฮกเกอร์ฟอรัม นักวิจัยตั้งข้อสันนิษฐานว่าฐานข้อมูลบัญชี LiveJournal นี้น่าจะถูกละเมิดตั้งเเต่ปี 2014 และน่าจะมีข้อมูลผู้ใช้มากกว่า 33 ล้านคน

ฐานข้อมูลบัญชีผู้ใช้ LiveJournal ที่ถูกพบบนแฮกเกอร์ฟอรัมนั้นประกอบไปด้วย อีเมล, ชื่อบัญชีของผู้ใช้, โปรไฟล์ URL และรหัสผ่านแบบ plaintext ที่ถูกถอดแฮชจากฟังก์ชันแฮช MD5
ทั้งนี้ผู้ใช้งาน LiveJournal ควรทำการตรวจสอบอีเมลของผู้ใช้งานบนเว็บไซต์ haveibeenpwned ที่ให้บริการตรวจสอบการรั่วไหลของอีเมล ถ้าหากบริการ Have I Been Pwned แสดงว่ามีอีเมลอยู่ในฐานข้อมูลเว็บไซต์ ผู้ใช้งานควรทำการเปลี่ยนรหัสผ่าน LiveJournal ทันทีเพื่อความปลอดภัยของบัญชีผู้ใช้

ที่มา: bleepingcomputer, zdnet

“RangeAmp” เทคนิคการโจมตี DoS รูปแบบใหม่ที่สามารถทำให้เว็บไซต์และเซิร์ฟเวอร์ CDN หยุดให้บริการ

กลุ่มนักวิจัยจากสถาบันการศึกษาของจีนได้เผยเเพร่การค้นพบเทคนิคการโจมตี Denial-of-Service (DoS) รูปแบบใหม่ที่ชื่อว่า “RangeAmp” โดยใช้ประโยชน์จากแอตทริบิวต์ HTTP "Range Requests" ทำการขยายแพ็คเก็ต HTTP Requests เพื่อเพิ่มปริมาณและใช้ในการโจมตีเว็บไซต์และเซิร์ฟเวอร์ CDN

HTTP Range Requests เป็นมาตรฐานของ HTTP ที่จะอนุญาตให้ไคลเอนต์สามารถร้องขอส่วนหนึ่งของไฟล์อย่างเฉพาะเจาะจง ซึ่งช่วยให้เกิดการหยุดการเชื่อมต่อหรือร้องขอให้การเชื่อมต่อกลับมาเมื่อต้องเผชิญกับความไม่เสถียรของการเชื่อมต่อเครือข่าย ด้วยเหตุนี้จึงมีการอิมพลีเมนต์และรองรับโดยเว็บเบราว์เซอร์และเซิร์ฟเวอร์ CDN

กลุ่มนักวิจัยกล่าว่า การเทคนิคการโจมตี “RangeAmp” นั้นมีรูปแบบอยู่ 2 รูปแบบที่ต่างกันคือ

เทคนิคโจมตี RangeAmp Small Byte Range (SBR) ผู้โจมตีจะส่งคำร้องขอช่วง HTTP รูปแบบพิเศษไปยังผู้ให้บริการ CDN ซึ่งจะเพิ่มปริมาณการรับส่งข้อมูลไปยังเซิร์ฟเวอร์ปลายทางเพื่อทำให้เว็บไซต์เป้าหมายเสียหายและหยุดให้บริการ การโจมตีด้วยเทคนิคนี้สามารถขยายทราฟฟิกจากแพ็คเก็ตการส่งปกติไปจนถึง 724 ถึง 43,330 เท่าของทราฟฟิกเดิม
เทคนิคโจมตี RangeAmp Overlapping Byte Ranges (OBR) ผู้โจมตีจะส่งคำขอ HTTP รูปแบบพิเศษไปยังผู้ให้บริการ CDN ทราฟฟิคจะเกิดการขยายขึ้นภายในเซิร์ฟเวอร์ CDN ซึงจะทำให้เกิดการโจมตี DoS ได้ทั้งเว็บไซต์ปลายทางและเซิร์ฟเวอร์ CDN การโจมตีด้วยเทคนิคนี้สามารถขยายทราฟฟิกจากการโจมตีได้ถึง 7,500 เท่าจากแพ็คเก็ตการส่งปกติ

นักวิจัยกล่าวว่าเทคนิคโจมตี “RangeAmp” นี้มีส่งผลต่อผู้ให้บริการเซิร์ฟเวอร์ CDN หลายเจ้าได้เเก่ Akamai, Alibaba Cloud, Azure, Cloudflare, CloudFront, CDNsun, CDN77, Fastly, Labs G-Core, Huawei Cloud, KeyCDN และ Tencent Cloud

ทั้งนี้ผู้ที่สนใจเทคนิคการโจมตี “RangeAmp” สามารถอ่านรายละเอียดเพิ่มเติมได้ที่: liubaojun

ที่มา: zdnet

โทรจัน AnarchyGrabber3 รุ่นใหม่ปรับความสามารถในการขโมยบัญชี Discord

MalwareHunterteam ได้เผยถึงการค้นพบโทรจัน AnarchyGrabber3 เวอร์ชันใหม่ที่ได้รับการปรับปรุงให้มีความสามารถขโมยรหัสผ่านและโทเค็นของผู้ใช้รวมไปถึงทำการปิดการใช้งาน 2FA และสามารถกระจายมัลแวร์ไปยังเพื่อนของผู้ที่ตกเหยื่อ โดยการเเพร่กระจายโทรจัน AnarchyGrabber3 ใน Discord นั้นทำโดยการเเสร้งว่าเป็นซอฟต์แวร์เครื่องมือโกงเกม, บอทเกมหรือซอฟต์แวร์ที่มีลิขสิทธิ์

เมื่อติดตั้งซอฟต์แวร์แล้ว AnarchyGrabber3 ที่ถูกเเฝงมาจะทำการแก้ไขไฟล์ %AppData%\Discord\<version>\modules\discord_desktop_core\index.

Docker ทำการเเก้ไขช่องโหว่ที่ทำให้สามารถดำเนินการด้วยสิทธ์ SYSTEM บน Windows
Docker ทำการแก้ไขช่องโหว่ความปลอดภัยใน Docker สำหรับ Windows Desktop ที่อนุญาตให้ผู้โจมตีสามารถดำเนินการคำสั่งด้วยสิทธิ์ SYSTEM ช่องโหว่ถูกติดตามด้วยรหัส CVE-2020-11492
Docker Desktop สำหรับ Windows หลังจากการติดตั้งจะเริ่มต้นของแอปพลิเคชันด้วยการสร้าง child โปรเซสที่ใช้เชื่อมต่อกับเซอร์วิสของ Windows ชื่อว่า pipes ซึ่งเป็น child โปรเซสที่จะอนุญาตให้เซิร์ฟเวอร์ทำการเชื่อมต่อกับไคลเอนต์ด้วยสิทธิ์ SYSTEM ผู้โจมตีสามารถใช้ประโยน์จากสิ่งนี้เพื่อทำการยกระดับสิทธิ์บนระบบที่ทำการบุกรุก
ช่องโหว่นี้มีผลกับ Docker เวอร์ชั่นก่อนน้า 2.3.0.2 ที่ได้ทำการเเก้ไขก่อนจะปล่อยให้ทำการอัพเดตเมื่อวันที่ 11 พฤษภาคมที่ผ่านมา
ทั้งนี้ผู้ใช้งาน Docker เวอร์ชั่นก่อนน้า 2.3.0.2 ควรทำการอัพเดตเวอร์ชั่นเพื่อเเก้ไขช่องโหว่ดังกล่าวและลดความเสี่ยงจากการถูกผู้ไม่หวังดีใช้ประโยชน์จากช่องโหว่ทำการโจมตีระบบ
ที่มา: bleepingcomputer

ทีมวิจัยจากบริษัท Sophos ได้เผยเเพร่ข้อมูล RagnarLocker ransomware ซึ่งใช้เทคนิคในการหลบเลี่ยงการตรวจจับจากซอฟต์แวร์ป้องกันไวรัสโดยการติดตั้ง VirtualBox และทำการรันตัวเองบน Virtual Machine (VM) ในเครื่องที่ติดเชื้อของผู้ใช้

รูปแบบการใช้ RagnarLocker ransomware โจมตีนั้นผู้โจมตีได้ใช้ช่องโหว่การโจมตี Windows Remote Desktop Protocol (RDP) ในกลุ่มเป้าหมาย เมื่อสามารถเข้าถึงเป้าหมายได้ ผู้โจมตีที่ได้รับสิทธิ์การเข้าถึงระดับผู้ดูแลระบบจะใช้งาน GPO เพื่อเรียกใช้ Microsoft Installer (msiexec.