Diebold Nixdorf ถูกแรนซัมแวร์โจมตีระบบ ATM ทำให้เกิดปัญหาขัดข้องชั่วคราว

Diebold Nixdorf ผู้ให้บริการเครื่องถอนเงินอัตโนมัติ (ATM) และเทคโนโลยีการชำระเงินให้กับธนาคาร ประสบปัญหาถูกโจมตีด้วยแรนซัมแวร์ทำให้การดำเนินงานบางอย่างหยุดชะงักและการโจมตีนั้นส่งผลกระทบต่อเครือภายในข่ายขององค์กร

Diebold กล่าวว่าวันเสาร์ที่ 25 เมษายนที่ผ่านมา ทีมรักษาความปลอดภัยของบริษัทได้ค้นพบพฤติกรรมผิดปกติในเครือข่ายขององค์กรโดย Diebold ได้ทำการตอบสนองการโจมตีโดยการตัดการเชื่อมต่อระบบในเครือข่ายทันที ส่งผลกระทบต่อบริการของลูกค้ากว่า 100 รายของบริษัท

Diebold ได้ทำการการสอบสวนและระบุว่าผู้บุกรุกทำการติดตั้ง ProLock แรนซัมแวร์ซึ่งผู้เชี่ยวชาญกล่าวว่าเป็นสายพันธุ์แรนซัมแวร์เดียวกันกับ “ PwndLocker ” ซึ่งแรนซัมแวร์ที่ว่านี้ได้ทำการโจมตีเซิร์ฟเวอร์ที่ลาซาลเคาน์ตี้รัฐอิลลินอยส์ในเดือนมีนาคมที่ผ่านมา

Fabian Wosar ประธานเจ้าหน้าที่ฝ่ายเทคโนโลยีของ Emsisoft ได้เสนอช่วยเหลือ Diebold ในการถอดรหัสไฟล์โดย Emsisoft ได้สร้างเครื่องมือเพื่อถอดรหัสและสามารถกู้คืนไฟล์ที่ ProLock โดยเฉพาะ

ทั้งนี้ผู้ที่ถูกโจมตีด้วยแรนซัมแวร์ ProLock และอยากจะกู้ไฟล์คืนสามารถเข้าไปใช้งานฟรีได้ที่ https://www.

พบช่องโหว่ vBulletin Forum ที่มีความรุนเเรงระดับ "Critical" ผู้ใช้ควรอัพเดตด่วน

โครงการ vBulletin ได้ออกประกาศแพทช์การเเก้ไขช่องโหว่ที่มีระดับความรุนเเรง "Critical" ใน vBulletin ช่องโหว่ได้รับการรายงานโดย Charles Fol วิศวกรด้านความปลอดภัยของ Ambionics Security ซึ่ง Charles จะแชร์รายละเอียดเกี่ยวกับช่องโหว่นี้ในการประชุม SSTIC infosec ที่จะจัดต้นเดือนมิถุนายนที่จะถึงนี้

ช่องโหว่ถูกติดตามและระบุเป็น CVE-2020-12720 เป็นช่องโหว่ที่เกิดจากข้อบกพร่องในการควบคุมการเข้าถึงที่ไม่ถูกต้อง ซึ่งจะส่งผลกระทบกับ vBulletin เวอร์ชันก่อน 5.5.6pl1, 5.6.0 เวอร์ชันก่อน 5.6.0pl1 และ 5.6.1 เวอร์ชันก่อน 5.6.1pl1 ทั้งนี้ผู้ใช้งาน vBulletin 5 Connect เวอร์ชันก่อนหน้า 5.5.2 ควรจะทำการอัพเดตแพตซ์เร็วที่สุด

สำหรับผู้ดูแลระบบให้ทำการดาวน์โหลดและติดตั้งแพตช์ดังนี้

vBulletin เวอร์ชันก่อน 5.5.6pl1 ให้ทำการอัพเดตแพทช์ 5.5.6 แพทช์ 1
vBulletin เวอร์ชันก่อน 5.6.0pl1 ให้ทำการอัพเดตแพทช์ 5.6.0 แพทช์ 1
vBulletin เวอร์ชันก่อน 5.6.1pl1 ให้ทำการอัพเดตแพทช์ 5.6.1 แพทช์ 1

ที่มา: thehackernews

ข้อมูลลูกค้าบางส่วนของ DigitalOcean รั่วไหลสู่อินเตอร์เน็ต

DigitalOcean ผู้ให้บริการคลาวด์และเว็บโฮสติ้งได้ออกมาเตือนลูกค้าว่าข้อมูลของลูกค้าบางส่วนรั่วไหลสู่อินเตอร์เน็ตและคาดว่ามีผู้ที่ได้รับผลกระทบจากเหตุการณ์นี้ประมาณ 1% ของฐานลูกค้า

เหตุการณ์การรั่วไหลของข้อมูลเกิดขึ้นจากความประมาทเลินเล่อของ DigitalOcean ซึ่งเผลอทิ้งเอกสารไว้ภายในอินเทอร์เน็ตที่สามารถเข้าถึงได้โดยไม่ต้องใช้รหัสผ่านใด ๆ โดยเอกสารนั้นมีข้อมูลที่อยู่, อีเมลหรือชื่อบัญชีรวมถึงข้อมูลบางอย่างเกี่ยวกับบัญชีเช่น Droplet, แบนด์วิดท์, บันทึกต่าง ๆ ของบัญชีผู้ใช้และจำนวนเงินที่จ่ายในปี 2018 จากการตรวจสอบไฟล์ที่รั่วไหลนั้นพบว่ามีบุคคลที่สามที่ไม่ได้รับอนุญาตทำการเข้าถึงแล้ว 15 ครั้งก่อนที่เหตุการณ์จะถูกเปิดเผย

ทั้งนี้ผู้ใช้งาน DigitalOcean เพื่อให้มั่นใจว่าบัญชีของคุณจะได้รับความปลอดภัย ผู้ใช้งานควรทำการเปลี่ยนพาสเวิร์ดและเปิดใช้งาน Two-Factor Authentication เพื่อป้องกันการเข้าถึงบัญชีผู้ใช้โดยไม่ได้รับอนุญาต

ที่มา : thehackernews

Cisco แก้ไขช่องโหว่ระดับรุนแรงสูงใน Cisco Firepower และ Cisco ASA

Cisco ได้ออกแพตช์แก้ไขช่องโหว่ที่มีความรุนแรงสูง 12 รายการ ในซอฟต์แวร์ Cisco Adaptive Security Appliance (ASA) และซอฟต์แวร์ Cisco Firepower Threat Defense (FTD)

Cisco กล่าวว่าช่องโหว่ที่มีความรุนเเรงระดับสูงนี้ถูกติดตามเป็น CVE-2020-3187 (CVSSv3 9.1) ช่องโหว่เกิดจากความผิดพลาดที่อาจทำให้ผู้โจมตีจากระยะไกลที่ไม่ได้รับอนุญาตสามารถทำการโจมตีแบบสำรวจพาทไดเรกทอรี ทำให้ผู้โจมตีสามารถอ่านและลบไฟล์ได้ช่องโหว่นี้กระทบกับ WebVPN หรือ AnyConnect

Cisco ยังได้เเก้ไขช่องโหว่บน Cisco ASA ที่มีความรุนเเรงสูงอีก 7 รายการ ได้เเก่ CVE-2020-3125, CVE-2020-3298, CVE-2020-3191, CVE-2020-3254, CVE-2020-3196 , CVE-2020-3195 และ CVE-2020-3259

Cisco ยังกล่าวอีกว่าพวกเขายังได้เเก้ไขช่องโหว่อีก 4 รายการใน Cisco Firepower Threat Defense คือ CVE-2020-3189, CVE-2020-3255, CVE-2020-3179 และ CVE-2020-3283

ข้อเเนะนำจาก Cisco
ผู้ใช้งาน Cisco ASA และ Cisco FTD ควรทำการอัพเดตแพตช์โดยด่วนเพื่อเเก้ไขข้อผิดพลาดและช่องโหว่เกิดขึ้น

ที่มา : threatpost

แคมเปญจารกรรม “Aria-body” ทำการจารกรรมลับ ๆ ในประเทศเอเชียแปซิฟิกเป็นเวลา 5 ปีโดยไม่ถูกตรวจพบ

จากรายงานการสอบสวนของนักวิจัยจาก Check Point ได้ได้รายงานว่ากลุ่ม Naikon APT ซึ่งเป็นกลุ่มแฮกเกอร์จีนนั้นอยู่เบื้องหลังแคมเปญจารกรรมไซเบอร์โดยมีเป้าหมายทำการจารกรรมข้อมูลหน่วยงานของรัฐบาลในประเทศออสเตรเลีย, อินโดนีเซีย, ฟิลิปปินส์, เวียดนาม, ไทย, พม่าและบรูไน จากการยืนยัน Check Point พบว่าการทำการจารกรรมนี้ได้ทำการอย่างลับ ๆ และไม่ถูกตรวจพบเป็นเวลาอย่างน้อย 5 ปี

Check Point ได้กล่าวอีกว่าช่วง 5 ปีที่ผ่านมานั้นกลุ่ม Naikon APT ได้ใช้แบ็คดอร์ที่ชื่อว่า "Aria-body" ทำการจารกรรมข้อมูลและใช้ควบคุมเครือข่ายภายในขององค์กรที่ตกเป็นเป้าหมาย

Check Point ระบุว่า “Aria-body” เป็นแบ็คดอร์ที่มีความซับซ้อนซึ่งตัวมันมีสามารถค้นหาและรวบรวมเอกสารเฉพาะจากระบบของเครือข่ายที่ถูกบุกรุก ในระยะแรกมัลแวร์จะแสกนไฟล์บนเครื่องเพื่อรวบรวมข้อมูลของคอมพิวเตอร์ที่ติดไวรัสเครือข่าย จากนั้นมัลแวร์จะทำการขโมยข้อมูลเช่นถ่ายรูป, screenshots, ข้อมูลต่าง และทำการ keylogger เป้าหมายจากนั้นทำการส่งกลับไปหาเซิพเวอร์ C2 ของกลุ่ม Naikon APT

ทั้งนี้ผู้ใช้งานทั่วไปหรือผู้ดูแลระบบควรทำการระมัดระวังในการใช้งานอินเตอร์เน็ต ไม่โหลดไฟล์หรือเข้าเว็บไซต์ที่ไม่รู้จักเพื่อลดความเสี่ยงจากการติดมัลแวร์ ในส่วนของข้อมูล IOC ที่เกี่ยวข้องกับปฏิบัติการสามารถดูเพิ่มเติมได้จากแหล่งที่มาข่าว

ที่มา: thehackernews

กลุ่ม APT กำหนดเป้าหมายโจมตีระบบการดูแลสุขภาพและการบริการ

กระทรวงความมั่นคงแห่งมาตุภูมิสหรัฐอเมริกา (DHS), สำนักงานความมั่นคงทางอินเทอร์เน็ตและโครงสร้างพื้นฐาน (CISA) และศูนย์ความมั่นคงปลอดภัยไซเบอร์แห่งชาติของสหราชอาณาจักร (NCSC) ได้ออกประกาศคำเตือนถึงภัยคุกคามจากกลุ่ม APT ที่กำลังใช้ประโยชน์จากการระบาดของโรค Coronavirus 2019 (COVID-19) ในการทำปฏิบัติการไซเบอร์

CISA และ NCSC ระบุว่ากลุ่ม APT กำลังใช้ประโยชน์ที่เกี่ยงเนื่องจาก COVID-19 และกำลังมุ่งเป้าหมายไปที่องค์กรหรือหน่วยงานที่เกี่ยวข้องกับการดูแลสุขภาพ, บริษัทยา, สถาบันการศึกษา, องค์กรวิจัยทางการแพทย์และรัฐบาลท้องถิ่นที่อยู่ในระดับชาติและระดับนานาชาติ เพื่อรวบรวมและขโมยข้อมูลส่วนบุคคลทรัพย์สินทางปัญญา

CISA และ NCSC กำลังตรวจสอบแคมเปญ Password Spraying ที่ดำเนินการโดยกลุ่ม APT โดยใช้ประโยชน์ที่เกี่ยงเนื่องจาก COVID-19 ทำการโจมตีหน่วยงานด้านการดูแลสุขภาพในหลายประเทศรวมถึงสหราชอาณาจักรและสหรัฐอเมริกา

Password Spraying เป็นวิธีการโจมตีลักษณะเดียวกับ Brute force attack ที่รู้จักกันดี แต่ข้อแตกต่างคือ Password Spraying จะใช้รหัสผ่านทีละตัวในการไล่โจมตีแต่ละบัญชีผู้ใช้งาน (account) เมื่อไล่ครบทุกบัญชีแล้ว จึงค่อยใช้รหัสผ่านตัวต่อไปในการไล่โจมตี ต่างกับ Brute force ที่จะใช้วิธีการไล่ใส่รหัสผ่านในบัญชีผู้ใช้งานเพียงบัญชีเดียวจนกว่าจะสำเร็จ วิธีการนี้จึงไม่สามารถป้องกันได้ด้วยการ Lock บัญชีเมื่อมีการกรอกรหัสผ่านผิดเกินจำนวนที่กำหนดไว้ (account-lockout)

CISA และ NCSC ได้ออกคำเเนะนำในการป้องกันความปลอดภัยของข้อมูลดังนี้

ทำการอัปเดตแพตช์และการกำหนดค่าซอฟต์แวร์ให้เป็นเวอร์ชั่นล่าสุดบนอุปกรณ์เน็ตเวิร์ค, อุปกรณ์ที่ใช้ในการทำรีโมตและ VPN
ใช้ Multi-Factor Authentication (MFA) เพื่อลดผลกระทบจากการถูกโจมตี Password
ป้องกันการจัดการอินเทอร์เฟซของระบบปฏิบัติเพื่อป้องกันไม่ให้ผู้โจมตีได้รับสิทธิ์ในการเข้าถึงทรัพย์สินที่หรือข้อมูลที่สำคัญอย่างง่ายดาย
ทำการสร้างระบบ Security Monitor เพื่อรวบรวมข้อมูลและทำการวิเคราะห์การบุกรุกเครือข่ายที่จะเข้าสู่ระบบเพื่อความปลอดภัย
ทำการตรวจสอบสิ่งที่ผิดปกติในระบบอยู่เป็นประจำ
ใช้ระบบและซอฟต์แวร์ที่ทันสมัยเพื่อลดปัญหาช่องโหว่ของระบบและซอฟต์แวร์
ติดตามข้อมูลข่าวสารด้านความปลอดภัยสารสนเทศอยู่เป็นประจำเพื่อทำการอัพเดตความรู้และวิธีการป้องกันต่างๆ

ที่มา: us-cert

แจ้งเตือน: ช่องโหว่บน Citrix ShareFile ที่ทำให้ผู้โจมตีสามารถขโมยข้อมูลขององค์กรออกไปได้

Citrix ผู้ให้บริการซอฟต์แวร์และระบบเครือข่ายยักษ์ใหญ่ของโลกได้เปิดตัวแพตช์การอัปเดตซอฟต์แวร์ที่ได้ทำการแก้ไขช่องโหว่ด้านความปลอดภัยที่มีผลกระทบต่อ Citrix ShareFile ช่องโหว่ดังกล่าวได้รับเเจ้งจากนักวิจัยชื่อ Dimitri van de Giessen ที่ได้รายงานเกี่ยวกับช่องโหว่ Citrix ShareFile ที่ถูกติดตามเป็น CVE-2020-7473, CVE-2020-8982 และ CVE-2020-8983

Citrix ShareFile เป็นโซลูชันการแชร์ไฟล์และป้องกันข้อมูลระดับองค์กร Citrix ShareFile มีความสามารถในการตรวจสอบและควบคุมอุปกรณ์ตัวอย่างเช่นสามารถล็อคหรือลบข้อมูลจากอุปกรณ์พกพาที่อาจถูกบุกรุกจากระยะไกลหรืออุปกรณ์พกพาถูกขโมย เป็นต้น

ช่องโหว่ CVE-2020-7473, CVE-2020-8982 และ CVE-2020-8983 เป็นช่องโหว่ที่ส่งผลกระทบต่อระบบการควบคุม Citrix ShareFile storage ซึ่งเป็นโซนที่เก็บข้อมูลของลูกค้าที่อยู่หลังไฟร์วอลล์ ช่องโหว่อาจทำให้ผู้โจมตีสามารถเข้าถึงเอกสารและโฟลเดอร์ของผู้ใช้ที่ใช้งาน ShareFile ช่องโหว่มีผลกับระบบ Citrix ShareFile เวอร์ชัน 5.9.0/5.8.0/5.7.0/5.6.0 / 5.5.0 และรุ่นก่อนหน้า

Citrix ได้ออกคำแนะนำให้ผู้ใช้หรือองค์กรทำการอัปเกรด Storage Zones Controller เป็นเวอร์ชัน 5.10 0 / 5.9.1 / 5.8.1 หรือเวอร์ชันล่าสุดเพื่อทำการเเก้ไขช่องโหว่ดังกล่าว

ที่มา: thehackernews

นักวิจัยด้านความปลอดภัยทางอินเทอร์เน็ตได้ทำการเเจ้งเตือนว่าพวกเขาพบเคมเปญที่เเฮกเกอร์ใช้ประโยชน์จากช่องโหว่ที่ถูกติดตามเป็น CVE-2020-11651 และ CVE-2020-11652 ซึ่งเป็นช่องโหว่การตั้งค่าใน SaltStack framework ทำการแฮกเซิร์ฟเวอร์ของ LineageOS, Ghost และ DigiCert

CVE-2020-11651 และ CVE-2020-11652 เป็นช่องโหว่การรันโค้ดโจมตีเซิร์ฟเวอร์จากระยะไกลและได้ถูกเเก้ไขช่องโหว่แล้วโดย SaltStack ในวันที่ 29 เมษายนที่ผ่านมา

LineageOS ผู้พัฒนาระบบปฏิบัติการโอเพ่นซอร์สที่ใช้ Android กล่าวว่าพวกเขาตรวจพบการบุกรุกในวันที่ 2 พฤษภาคม 2020 เวลาประมาณ 20.00 น. โดยพบผู้โจมตีใช้ช่องโหว่ใน CVE ดังกล่าวโจมตีเข้ามาใน SaltStack master เพื่อจะเข้าถึงโครงสร้างพื้นฐาน หลังจากเหตุการณ์ที่เกิดขึ้น LineageOS ได้ทำการตรวจสอบและพบว่าซอร์ซโค้ดและ signing keys ไม่ได้รับผลกระทบจากการบุกรุก

Ghost ผู้พัฒนาแพลตฟอร์มบล็อกโดยใช้ Node.

Forbes ได้ทำการเผยเเพร่งานวิจัยด้านความปลอดภัยของ Gabi Cirlig ที่ระบุว่าแอพพลิเคชั่น Mi Browser ของ Xiaomi ซึ่งมาพร้อมกับโทรศัพท์ Redmi และ Mi นั้นได้ทำการส่งข้อมูลการค้นหาทางอินเทอร์เน็ตของผู้ใช้ที่อยู่ในโหมดทั่วไปและโหมดไม่ระบุตัวตนไปยังเซิร์ฟเวอร์ของ Xiaomi ในประเทศสิงคโปร์และรัสเซีย

นักวิจัยด้านความปลอดภัย Gabi Cirlig และ Andrew Tierney ได้ระบุว่าพวกเขาได้ทำการทดสอบแอพพลิเคชั่น Mi Browser Pro และ Mint Browse ของ Xiaomi และพบว่าเมื่อพวกเขาทำการเยี่ยมชมเว็บไซต์เบราว์เซอร์จะทำการส่ง URL ที่เยี่ยมชมกลับไปยังโฮสต์ในประเทศสิงคโปร์และรัสเซียโดยโดเมนที่ส่งกลับนั้นถูกลงทะเบียนกับองค์กรในกรุงปักกิ่ง

หลังจากรายงานของ Forbes ทางโฆษกของ Xiaomi ได้ออกมาปฏิเสธว่า Mi Browser ของพวกเขาไม่ได้ทำการบันทึกข้อมูลการท่องเว็บของผู้ใช้และระบุว่ารายงานนั้นไม่มีความถูกต้อง

โฆษกของ Xiaomi ยังกล่าวอีกว่าพวกเรารู้สึกผิดหวังกลับรายงานของ Forbes พวกเราปฏิบัติตามกฎหมายและระเบียบข้อบังคับอย่างเคร่งครัด พวกเราเคารพความเป็นส่วนตัวและความปลอดภัยของผู้ใช้อินเทอร์เน็ตซึ่งเป็นสิ่งสำคัญอันดับต้น ๆ ที่พวกเราจะปฏิบัติ

ทั้งนี้ผู้ที่สนใจสามารถติดตามคลิปการทดสอบของ Tierney ได้ที่
https://www.

Oracle ออกมาเตือนผู้ใช้งาน WebLogic จากการโจมตีช่องโหว่ CVE-2020-2883

Oracle ได้ทำการเผยแพร่การแจ้งเตือนด้านความปลอดภัยอย่างเร่งด่วนโดยเรียกร้องให้บริษัทหรือองค์กรที่ใช้ WebLogic server ทำการอัพเดตแพตช์และติดตั้ง WebLogic server เป็นเวอร์ชั่นล่าสุดโดยด่วนหลังพบว่ามีผู้โจมตีพยายามในการใช้ประโยชน์จากช่องโหว่ CVE-2020-2883

ช่องโหว่ CVE-2020-2883 (CVSSv3 9.8) เป็นข้อผิดพลาดที่จะช่วยให้ผู้โจมตีส่งโค้ดที่เป็นอันตรายไปยัง WebLogic server ผ่านโปรโตคอล T3 ทำให้ผู้โจมตีสามารถควบคุมระบบได้จากระยะไกล

Oracle กังวลว่าผู้ไม่หวังดีจะใช้ประโยชน์จากช่องโหว่ดังกล่าวทำการโจมตี WebLogic server หลังจากพบว่ามี POC ถูกเผยแพร่บน GitHub

ทั้งนี้ผู้ใช้งาน Oracle WebLogic server 10.3.6.0.0, 12.1.3.0.0, 12.2.1.3.0 และ 12.2.1.4.0 ควรทำการอัพเดตแพตช์ความปลอดภัยอย่างเร่งด่วนเพื่อป้องกันการโจมตีจากผู้ไม่หวังดี

ที่มา:

zdnet.