แฮกเกอร์สแกนหาเซิร์ฟเวอร์ของ Microsoft Exchange ที่มีช่องโหว่,แก้ไขเดี๋ยวนี้เลย !
ผู้โจมตีกำลังสแกนอินเทอร์เน็ตเพื่อหา Microsoft Exchange เซิร์ฟเวอร์ที่เสี่ยงต่อช่องโหว่รันคำสั่งอันตรายจากระยะไกล CVE-2020-0688 ซึ่งได้รับการแก้ไขโดย Microsoft เมื่อ 2 สัปดาห์ก่อน
Exchange Server ทุกเวอร์ชันจนถึงแพทช์ล่าสุดที่ออกมานั้นมีความเสี่ยงที่จะโดนโจมตีจากการสแกนที่ดำเนินการอยู่ ซึ่งจะรวมไปถึงรุ่นที่หมดระยะการสนับสนุนแล้ว ซึ่งในคำแนะนำด้านความปลอดภัยของ Microsoft จะไม่แสดงรุ่นที่หมดระยะแล้ว
ข้อบกพร่องมีอยู่ในส่วนประกอบ Exchange Control Panel (ECP) และเกิดจากการที่ Exchange ไม่สามารถสร้างคีย์การเข้ารหัสลับเฉพาะเมื่อติดตั้ง
เมื่อโจมตีสำเร็จ ผู้โจมตีที่สามารถเข้าสู่ระบบได้จะสามารถรันคำสั่งอันตรายจากระยะไกลด้วยสิทธิ์ System ได้และสามารถยึดเครื่องได้
Simon Zuckerbraun นักวิจัยด้านความปลอดภัยจาก Zero Zero Initiative เผยแพร่การสาธิตเกี่ยวกับวิธีการใช้ประโยชน์จากข้อบกพร่องของ Microsoft Exchange CVE-2020-0688 และวิธีการใช้คีย์การเข้ารหัสลับแบบคงที่ซึ่งเป็นส่วนหนึ่งของการโจมตีเซิร์ฟเวอร์ที่ไม่ตรงกัน
Zuckerbraun อธิบายว่าผู้โจมตีจะต้องยึดเครื่องหรือบัญชีผู้ใช้ของคนในองค์กรก่อน แล้วจากนั้นเมื่อใช้ช่องโหว่ก็จะสามารถยึดเซิร์ฟเวอร์ได้ เนื่องจาก Microsoft Exchange ใช้สำหรับส่งอีเมล ผู้โจมตีก็จะสามารถเปิดเผยหรือปลอมแปลงการสื่อสารทางอีเมลขององค์กรได้
ดังนั้นหากคุณเป็นผู้ดูแลระบบ Exchange Server คุณควรถือว่านี่เป็นแพตช์ที่มีความสำคัญมากและควรอัปเดตทันทีหลังจากทดสอบแพตช์แล้ว

ที่มา :bleepingcomputer.

ObliqueRAT เชื่อมโยงกับกลุ่มภัยคุกคามที่เริ่มโจมตีโดยมีรัฐบาลเป็นเป้าหมาย เน้นภูมิภาคเอเชียตะวันออกเฉียงใต้
นักวิจัยเปิดเผย Remote Access Trojan (RAT) ตัวใหม่ที่ดูเหมือนจะเป็นงานฝีมือของกลุ่มภัยคุกคามที่เชี่ยวชาญในการโจมตีรัฐบาล นักวิจัยของ Cisco Talos กล่าวว่ามัลแวร์ที่ถูกเรียกว่า ObliqueRAT กำลังถูกปล่อยในแคมเปญใหม่ที่มุ่งเน้นไปที่เป้าหมายในเอเชียตะวันออกเฉียงใต้ แคมเปญล่าสุดเริ่มขึ้นในเดือนมกราคม 2563 และกำลังดำเนินการอยู่อย่างต่อเนื่อง
อาชญากรไซเบอร์ที่อยู่เบื้องหลังโครงการนี้ใช้ฟิชชิ่งอีเมลเป็นจุดเริ่มต้นในการโจมตี อีเมลดังกล่าวแนบเอกสาร Microsoft Office ที่เป็นอันตราย ซึ่งจะทำการแพร่ RAT ตามมา
เอกสารแนบจะมีชื่อที่ไม่น่าสงสัย เช่น Company-Terms.

แฮกเกอร์สแกนหาเซิร์ฟเวอร์ของ Microsoft Exchange ที่มีช่องโหว่,แก้ไขเดี๋ยวนี้เลย !
ผู้โจมตีกำลังสแกนอินเทอร์เน็ตเพื่อหา Microsoft Exchange เซิร์ฟเวอร์ที่เสี่ยงต่อช่องโหว่รันคำสั่งอันตรายจากระยะไกล CVE-2020-0688 ซึ่งได้รับการแก้ไขโดย Microsoft เมื่อ 2 สัปดาห์ก่อน
Exchange Server ทุกเวอร์ชันจนถึงแพตช์ล่าสุดที่ออกมานั้นมีความเสี่ยงที่จะโดนโจมตีจากการสแกนที่ดำเนินการอยู่ ซึ่งจะรวมไปถึงรุ่นที่หมดระยะการสนับสนุนแล้ว ซึ่งในคำแนะนำด้านความปลอดภัยของ Microsoft จะไม่แสดงรุ่นที่หมดระยะแล้ว
ข้อบกพร่องมีอยู่ในส่วนประกอบ Exchange Control Panel (ECP) และเกิดจากการที่ Exchange ไม่สามารถสร้างคีย์การเข้ารหัสลับเฉพาะเมื่อติดตั้ง
เมื่อโจมตีสำเร็จ ผู้โจมตีที่สามารถเข้าสู่ระบบได้จะสามารถรันคำสั่งอันตรายจากระยะไกลด้วยสิทธิ์ System ได้และสามารถยึดเครื่องได้
Simon Zuckerbraun นักวิจัยด้านความปลอดภัยจาก Zero Zero Initiative เผยแพร่การสาธิตเกี่ยวกับวิธีการใช้ประโยชน์จากข้อบกพร่องของ Microsoft Exchange CVE-2020-0688 และวิธีการใช้คีย์การเข้ารหัสลับแบบคงที่ซึ่งเป็นส่วนหนึ่งของการโจมตีเซิร์ฟเวอร์ที่ไม่ตรงกัน
Zuckerbraun อธิบายว่าผู้โจมตีจะต้องยึดเครื่องหรือบัญชีผู้ใช้ของคนในองค์กรก่อน แล้วจากนั้นเมื่อใช้ช่องโหว่ก็จะสามารถยึดเซิร์ฟเวอร์ได้ เนื่องจาก Microsoft Exchange ใช้สำหรับส่งอีเมล ผู้โจมตีก็จะสามารถเปิดเผยหรือปลอมแปลงการสื่อสารทางอีเมลขององค์กรได้
ดังนั้นหากคุณเป็นผู้ดูแลระบบ Exchange Server คุณควรถือว่านี่เป็นแพตช์ที่มีความสำคัญมากและควร Update ทันทีหลังจากทดสอบแพตช์แล้ว

ที่มา : bleepingcomputer

Chrome ออกแพตช์อุตช่องโหว่ 0 Day

หลังจากออก Chrome รุ่น 80 ไม่นาน ก็มีการออกรุ่น 80.0.3987.122 ตามมาทันที โดยเป็นการแก้ไขช่องโหว่ทั้งหมด 3 ช่องโหว่ เป็นความรุนแรง High ทั้งหมด โดยช่องโหว่ที่สำคัญคือ CVE-2020-6418 เป็นช่องโหว่ type of confusion bug กระทบทุกรุ่นจนกระทั่งรุ่น 80.0.3987.122 เป็นช่องโหว่ใน JavaScript และ Web Assembly engine ที่ชื่อว่า V8

ในปัจจุบันมีการโจมตีช่องโหว่นี้เกิดขึ้นแล้ว ผู้ใช้งานควรทำการ Update Chrome เป็นรุ่น 80.0.3987.122

ที่มา : threatpost

มัลแวร์เรียกค่าไถ่ Sodinokibi วางแผนแจ้งตลาดหุ้นหลังจากทำการโจมตี

มัลแวร์เรียกค่าไถ่ Sodinokibi หรือ REvil เป็นมัลแวร์เรียกค่าไถ่ที่ดำเนินการในลักษณะของการให้เช่ามัลแวร์เพื่อโจมตี (Ransomware-as-a-Service) โดยเงินที่ได้จากการเรียกค่าไถ่จะถูกแบ่งกันระหว่างผู้เช่าและผู้ให้เช่ามัลแวร์ โดยเน้นโจมตีองค์กรและยังไม่มีตัวถอดรหัสที่สามารถถอดรหัสได้ฟรีโดยไม่เสียเงินค่าไถ่

ในช่วงที่ผ่านมากลุ่มเบื้องหลัง Sodinokibi มีการพัฒนาไปอีกขั้นด้วยการสนับสนุนให้ผู้เช่ามัลแวร์ขโมยข้อมูลออกมาก่อนจะทำการปล่อยมัลแวร์ให้เข้ารหัส เพื่อในกรณีที่องค์กรตัดสินใจไม่ยอมจ่ายค่าไถ่กู้คืนไฟล์จะข่มขู่เพื่อปล่อยข้อมูลเพิ่มเติม ทำให้กลายเป็นเหตุการณ์ข้อมูลหลุดซึ่งอาจจะนำไปสู่การผิดกฏหมายคุ้มครองข้อมูลส่วนบุคคลอย่าง GDPR หรือกฏหมายในลักษณะเดียวกัน ซึ่งอาจนำไปสู่การปรับเงินที่สูงกว่าค่าไถ่มาก กดดันให้องค์กรตัดสินใจจ่ายค่าไถ่แทน

จากข้อมูลล่าสุดที่ BleepingComputer รวบรวมมานี้พบว่ากลุ่มเบื้องหลัง Sodinokibi มีการวางแผนเพิ่มว่าจะทำการส่งอีเมลแจ้งไปยังตลาดหุ้นอย่างดัชนี NASDAQ เพื่อให้การเทขายหุ้นจนราคาตก ทั้งนี้ในปี 2017 บริษัท Centrify ได้ทำการสำรวจผลกระทบที่เกิดจากการโจมตีทางด้านไซเบอร์กับราคาหุ้นของบริษัทที่ถูกโจมตี พบว่าในวันที่มีการประกาศข่าวร้ายดังกล่าวจะเกิดการเทขายทำให้หุ้นตกเฉลี่ย 5% ของราคาเดิม

บริษัท Coveware สรุปสถิติของ Q4 ปี 2019 ไว้ว่าค่าเฉลี่ยของค่าไถ่จากมัลแวร์เรียกค่าไถ่อยู่ที่ 84,116 ดอลลาร์สหรัฐ (ประมาณ 2 ล้านหกแสนบาท) พบการโจมตีจาก Sodinokibi ถึง 29.4% จากการโจมตีทั้งหมด และการติดมัลแวร์เรียกค่าไถ่ส่วนใหญ่ (57.4%) เกิดจากการโจมตีผ่าน RDP

ที่มา: bleepingcomputer

รัฐบาลสหรัฐประกาศเตือน Ransomware โจมตีท่อส่งปิโตรเลียม

สำนักงานด้านความมั่นคงปลอดภัยของสหรัฐ (CISA) ได้แจ้งเตือนให้องค์กรที่สำคัญต่างๆ ที่เป็นกลุ่มโครงสร้างพื้นฐานที่สำคัญของประเทศเกี่ยวการโจมตี Ransomware ล่าสุด ซึ่งส่งผลกระทบต่อโรงงานอัดก๊าซธรรมชาติในส่วนของสินทรัพย์การควบคุมและการสื่อสารในเครือข่ายเทคโนโลยีปฎิบัติการ (OT)

ผู้โจมตีใช้ Spearphishing เพื่อเข้าถึงเครือข่ายเทคโนโลยีสารสนเทศ (IT) ของโรงงานอัดก๊าซธรรมชาติ ตามด้วยการเข้าถึงยังเครือข่าย OT จากนั้นใช้ Ransomware เพื่อเข้ารหัสเครือข่าย IT และ OT การโจมตีดังกล่าวไม่ส่งผลกระทบใดๆ ต่อตัว programmable logic controllers (PLCs) บนเครือข่ายเนื่องจาก Ransomware กระทบแต่อุปกรณ์ที่ใช้ระบบปฏิบัติการ Windows แต่การ Reset ระบบกลับมาใช้เวลาประมาณ 2 วัน ส่งผลกระทบให้ต้องปิดการทำงานของท่อส่งปิโตรเลียม สูญเสียผลผลิตและรายได้

ในประกาศเตือนดังกล่าว CISA ได้เสนอมาตรการบรรเทาผลการปฎิบัติการรวมถึงการบรรเทาผลกระทบด้านเทคนิคและสถาปัตยกรรมให้กับองค์กรในอุตสาหกรรมทุกประเภทเพื่อลดความเสี่ยงที่ต้องรับมือกับการโจมตี Ransomware โดยนำเสนอบทเรียนจากเหตุการณ์ดังกล่าวว่าโรงงานอัดก๊าซธรรมชาติแห่งนั้นสามารถหาอุปกรณ์มาทดแทนรวมถึงสามารถกู้คืนระบบจาก backup ได้

สามารถอ่านรายละเอียดของประกาศดังกล่าวได้จาก www.

WHO เตือนการโจมตีฟิชชิงอ้างข้อมูลไวรัสโคโรน่า

อาชญากรปลอมตัวเป็นองค์กรอนามัยโลกเพื่อขโมยเงินหรือข้อมูลสำคัญด้วยการส่งเมลฟิชชิ่งเพื่อขอให้เป้าหมายส่งข้อมูลที่เป็นชื่อผู้ใช้งานหรือรหัสผ่านและอาจมีการขอให้เปิดไฟล์มัลแวร์ที่แนบมาเพื่อติดตั้ง payloads ยังอุปกรณ์ของเป้าหมาย
แนวทางป้องกันหากคุณได้รับเมลจากองค์กร WHO ควรตรวจสอบความถูกต้องก่อนตามขั้นตอนด้านล่าง
1 ตรวจสอบชื่อที่อยู่อีเมลที่ส่งว่าอยู่ในลักษณะ ชื่อบุคคล@who.

แฮกเกอร์ชาวอิหร่านแฮกเซิร์ฟเวอร์ VPN เพื่อฝัง backdoors ในบริษัทต่างๆ ทั่วโลก
แฮกเกอร์ชาวอิหร่านมุ่งโจมตี VPN จาก Pulse Secure, Fortinet, Palo Alto Networks และ Citrix เพื่อแฮ็คเข้าสู่บริษัทขนาดใหญ่
ClearSky บริษัทรักษาความปลอดภัยไซเบอร์ของอิสราเอลออกรายงานใหม่ที่เผยให้เห็นว่ากลุ่มแฮกเกอร์ที่มีรัฐบาลอิหร่านหนุนหลังในปีที่เเล้วได้มุ่งเน้นให้ความสำคัญสูงในการเจาะช่องโหว่ VPN ทันทีที่มีข่าวช่องโหว่สู่สาธารณะเพื่อแทรกซึมและฝัง backdoors ในบริษัทต่างๆ ทั่วโลก โดยมุ่งเป้าหมายเป็นองค์กรด้านไอที, โทรคมนาคม, น้ำมันและก๊าซ, การบิน, รัฐบาล, และ Security
โดยบางการโจมตีเกิดขึ้น 1 ชั่วโมงหลังจากมีการเปิดเผยข้อมูลช่องโหว่ต่อสาธารณะ ซึ่งรายงานนี้ได้หักล้างแนวคิดที่ว่าแฮกเกอร์อิหร่านไม่ซับซ้อน และมีความสามารถน้อยกว่าประเทศคู่แข่งอย่างรัสเซีย จีน หรือเกาหลีเหนือ โดย ClearSky กล่าวว่ากลุ่ม APT ของอิหร่านได้พัฒนาขีดความสามารถด้านเทคนิคจนสามารถ exploit ช่องโหว่ 1-day (ช่องโหว่ที่ได้รับการแพตช์แล้วแต่องค์กรยังอัปเดตแพตช์ไม่ทั่วถึง) ในระยะเวลาอันสั้น ในบางกรณี ClearSky กล่าวว่าพบแฮกเกอร์อิหร่านทำการ exploit จากข้อบกพร่องของ VPN ภายในไม่กี่ชั่วโมงหลังจากข้อบกพร่องถูกเปิดเผยสู่สาธารณะ
ตามรายงานของ ClearSky ระบุวัตถุประสงค์ของการโจมตีเหล่านี้คือการละเมิดเครือข่ายองค์กร จากนั้นกระจายไปทั่วทั้งระบบภายในขององค์กรเเละฝัง backdoors เพื่อ exploit ในเวลาต่อมา
ในขั้นตอนที่ย้ายจากเครื่องหนึ่งไปจากอีกเครื่องหนึ่งในองค์กร (lateral movement) มีการใช้เครื่องมือแฮก open-sourced เช่น Juicy Potato เเละ Invoke the Hash รวมไปถึงการใช้ซอฟต์แวร์ดูแลระบบที่เหมือนกับผู้ดูแลระบบใช้งานปกติอย่าง Putty, Plink, Ngrok, Serveo หรือ FRP
นอกจากนี้ในกรณีที่แฮกเกอร์ไม่พบเครื่องมือ open-sourced หรือ local utilities ที่ช่วยสนับสนุนการโจมตีของพวกเขา พวกเขายังมีความรู้ในการพัฒนามัลเเวร์เองด้วย
อีกหนึ่งการเปิดเผยจากรายงานของ ClearSky คือกลุ่มอิหร่านก็ดูเหมือนจะทำงานร่วมกันเเละทำหน้าที่เป็นหนึ่งเดียวกันที่ไม่เคยเห็นมาก่อน ซึ่งในรายงานก่อนหน้านี้เกี่ยวกับกลุ่มอิหร่านมักจะมีลักษณะการทำงานที่ไม่เหมือนกันและแต่ละครั้งที่มีการโจมตีจะเป็นการทำงานเพียงกลุ่มเดียว
แต่การโจมตีเซิร์ฟเวอร์ VPN ทั่วโลกนั้นดูเหมือนจะเป็นผลงานการร่วมมือของกลุ่มอิหร่านอย่างน้อยสามกลุ่ม ได้แก่ APT33 (Elfin, Shamoon), APT34 (Oilrig) และ APT39 (Chafer)
ปัจจุบันวัตถุประสงค์ของการโจมตีเหล่านี้ดูเหมือนจะทำการ reconnaissance เเละ ฝัง backdoors สำหรับสอดแนม อย่างไรก็ตาม ClearSky กลัวว่าในอนาคตอาจมีการใช้ backdoor เหล่านี้เพื่อวางมัลแวร์ทำลายข้อมูลที่สามารถก่อวินาศกรรมต่อบริษัทได้ ทำลายเครือข่ายและการดำเนินธุรกิจ โดยสถานการณ์ดังกล่าวมีความเป็นไปได้มากหลักจากที่มีการพบมัลแวร์ทำลายข้อมูล ZeroCleare เเละ Dustman ซึ่งเป็น 2 สายพันธุ์ใหม่ในเดือนกันยายน 2019 และเชื่อมโยงกลับไปยังแฮกเกอร์ชาวอิหร่าน นอกจากนี้ ClearSky ก็ไม่ได้ปฏิเสธว่าแฮกเกอร์อิหร่านอาจ Exploit การเข้าถึงบริษัทเหล่านี้เพื่อโจมตีของลูกค้าพวกเขา
ClearSky เตือนว่าถึงแม้บริษัทจะอัปเดตเเพตช์เเก้ไขช่องโหว่เซิร์ฟเวอร์ VPN ไปแล้ว ก็ควรสแกนเครือข่ายภายในของพวกเขาสำหรับตรวจเช็คสัญญาณอันตรายต่างๆ ที่อาจบ่งบอกว่าได้ถูกแฮกไปแล้วด้วย
โดยสามารถตรวจสอบ indicators of compromise (IOCs) ได้จากรายงานฉบับดังกล่าวที่ https://www.

แพตช์ด่วน มีการปล่อย POC สำหรับช่องโหว่ RCE ใน Microsoft SQL Server Reporting Services แล้ว

ช่องโหว่ CVE-2020-0618 เป็นช่องโหว่ใน Microsoft SQL Server Reporting Services ซึ่งเป็นส่วนสำหรับการออกรายงานใน Microsoft SQL Server ช่องโหว่ดังกล่าวทำให้ผู้โจมตีที่สามารถเข้าสู่ระบบสามารถโจมตีด้วยการรันคำสั่งอันตรายจากระยะไกลได้ (Remote Code Execution หรือ RCE) ช่องโหว่นี้กระทบ Microsoft SQL Server รุ่น 2012, 2014 และ 2016 โดยได้รับการแก้ไขไปในแพตช์ประจำเดือนกุมภาพันธ์ 2020 ที่ผ่านมา

ซึ่งในขณะนี้มีการเผยแพร่โค้ด Proof of Concept (POC) สำหรับใช้โจมตีช่องโหว่ดังกล่าวสู่สาธารณะแล้วรวมถึงพบการแสกนเพื่อหาเครื่อง Microsoft SQL Server ที่มีช่องโหว่ดังกล่าวแล้ว

ทั้งนี้ Kevin Beaumont (@GossiTheDog) นักวิจัยด้านความปลอดภัยให้ความเห็นว่าช่องโหว่ดังกล่าวอาจกระทบไปจนถึง Microsoft SQL Server 2008 ซึ่งหมดระยะการสนับสนุนจึงไม่ได้แพตช์อีกด้วย

ที่มา : mdsec

พบ Emotet สายพันธุ์ใหม่แพร่กระจายผ่าน WiFi

Emotet ตัวใหม่ถูกพบว่าสามารถกระจายผ่านการเชื่อมต่อ WiFi นอกเหนือจากการแพร่ผ่านอีเมลอย่างที่เคยทำในอดีต นักวิจัยจาก Binary Defense ระบุ Emotet ใช้ประโยชน์จาก wlanAPI interface ในการแพร่กระจายไปยังอุปกรณ์ที่เชื่อมต่อกับเครือข่าย WiFi ที่ไม่ปลอดภัย

Emotet ถูกค้นพบ Trend Micro ในชื่อ TrojanSpy.