สำนักงานความมั่นคงปลอดภัยไซเบอร์และโครงสร้างพื้นฐาน (CISA) ของสหรัฐอเมริกาออกคำเตือนถึงการเพิ่มขึ้นของการโจมตีด้วยมัลแวร์ Emotet
Emotet เป็นโทรจันที่มีความซับซ้อนซึ่งโดยทั่วไปจะทำหน้าที่เป็นตัวดาวน์โหลดหรือ dropper มัลแวร์อื่น ๆ โดยส่วนใหญ่มัลแวร์ดังกล่าวจะแพร่กระจายผ่านไฟล์แนบทางอีเมลที่เป็นอันตรายและพยายามแพร่กระจายภายในเครือข่ายโดยการ Brute Force ข้อมูลประจำตัวของผู้ใช้และการ shared drives หากโจมตีสำเร็จผู้โจมตีสามารถเข้าถึงข้อมูลสำคัญของผู้ใช้งานได้

CISA แนะนำผู้ใช้งานและผู้ดูแลระบบปฏิบัติตาม best practice ต่อไปนี้เพื่อป้องกัน

บล็อกไฟล์อันตรายที่ถูกแนบมากับอีเมล (เช่น ไฟล์ .dll และ .exe)
บล็อกไฟล์แนบอีเมลที่ไม่สามารถสแกนได้โดยซอฟต์แวร์ป้องกันไวรัส (เช่นไฟล์. zip)
แนะนำให้ทำการตั้งค่า Group Policy Object และ Firewall rule
แนะนำให้ติดตั้งโปรแกรมป้องกันไวรัสและทำการแพทช์อย่างสม่ำเสมอ
ติดตั้งตัวกรองที่เกตเวย์อีเมลและบล็อก IP ที่น่าสงสัยที่ไฟร์วอลล์
ยึดตามหลักการของ least privilege
ตั้งค่า Domain-Based Message Authentication, Reporting & Conformance (DMARC)
จัดการแบ่งโซนเน็ตเวิร์ค
จำกัดสิทธิการเข้าถึงที่ไม่จำเป็น

CISA แนะนำให้ผู้ใช้และผู้ดูแลระบบตรวจสอบแหล่งข้อมูลต่อไปนี้สำหรับข้อมูลเกี่ยวกับการป้องกัน Emotet และมัลแวร์อื่น ๆ

CISA Alert Emotet Malware https://www.

พบการปล่อยโค้ดโจมตีสำหรับช่องโหว่ CVE-2020-0609 และ CVE-2020-0610

ช่องโหว่ใน Windows RD Gateway (CVE-2020-0609 และ CVE-2020-0610) เป็นช่องโหว่ที่ทำให้สามารถรันคำสั่งจากระยะไกลได้ (Remote Code Execution) โดยที่ผู้โจมตีไม่จำเป็นต้องเข้าสู่ระบบ เพียงแค่เชื่อมต่อด้วย RDP และส่ง request อันตรายไปยังเครื่องเป้าหมายเท่านั้น ส่งผลกระทบ Windows Server 2012, Windows Server 2012 R2, Windows Server 2016 และ Windows Server 2019 ทั้งสองช่องโหว่เพิ่งได้รับการแก้ไขในแพตช์ประจำเดือนมกราคม 2020

ปัจจุบันมีการปล่อยตัวแสกนหาช่องโหว่และโค้ดสำหรับโจมตีออกมาแล้ว ซึ่งโค้ดสำหรับโจมตีที่ถูกปล่อยมานี้ยังไม่ใช้โค้ดที่ทำการโจมตีเพื่อการรันคำสั่งจากระยะไกล เป็นเพียงโค้ดสำหรับการโจมตีเพื่อให้หยุดทำงาน (Denial-of-Service) เท่านั้น แต่เป็นไปได้ที่จะมีความพยายามต่อยอดโค้ดโจมตีดังกล่าวให้ร้ายแรงขึ้นในไม่ช้า

สามารถอ่านรายละเอียดของช่องโหว่ CVE-2020-0609 และ CVE-2020-0610 โดยละเอียดได้จาก kryptoslogic โดยบทความดังกล่าวระบุว่าช่องโหว่ทั้งสองเกิดจากความผิดพลาดในส่วนจัดการ UDP

ที่มา : MalwareTechBlog

Microsoft ตั้งค่าผิด ข้อมูลลูกค้าถูกเปิดเผย

Microsoft เปิดเผยรายละเอียดเกี่ยวกับเหตุการณ์ฐานข้อมูลของลูกค้ารั่วไหล เกิดจากการตั้งค่าผิดพลาด ซึ่งเกิดขึ้นเมื่อช่วง 5 ธันวาคม - 31 ธันวาคม 2019 และได้มีแจ้งรายงานไปยัง Microsoft โดย Bob Diachenko นักวิจัยด้านความปลอดภัย โดยข้อมูลดังกล่าวเป็นของลูกค้าที่เคยใช้บริการ customer support

การรั่วไหลของข้อมูลเกิดบน Elasticsearch 5 Server ซึ่งข้อมูลใน Server ทั้งห้าเป็นข้อมูลที่ซ้ำกันเพื่อสำรองซึ่งกันและกัน มีประมาณ 250 ล้านรายการ เช่น ที่อยู่อีเมล, ที่อยู่ IP และรายละเอียดต่างๆ แต่ข้อมูลบันทึกส่วนใหญ่ไม่มีข้อมูลผู้ใช้ส่วนบุคคล

สำหรับกรณีนี้ Microsoft ได้เริ่มแจ้งไปยังลูกค้าที่ได้รับผลกระทบถึงแม้ว่าจะไม่พบการใช้งานที่เป็นอันตรายของข้อมูล และได้กล่าวว่าเหตุการณ์ดังกล่าวเป็นผลมากจากการตั้ง Azure security rules ที่ไม่ถูกต้อง ซึ่งปรับใช้เมื่อวันที่ 5 ธันวาคม และตอนนี้ได้ทำการแก้ไขเรียบร้อยแล้วและเพิ่มมาตรการการรักษาความปลอดภัยและการตั้งค่าให้รัดกุมขึ้น

ที่มา : ZDNet

Cisco ออกแพตช์ให้ช่องโหว่ร้ายแรงใน Firepower Management Center
มีช่องโหว่ร้ายแรงในหน้า web interface ของ Firepower Management Center (CVE-2019-16028) ถ้าเปิดให้ authentication ผ่าน external LDAP server ผู้โจมตีจะสามารถสร้าง HTTP request อันตรายเพื่อเข้าถึงหน้า web interface ด้วยสิทธิ์ผู้ดูแลระบบได้
สามารถตรวจสอบได้ว่ามีความเสี่ยงต่อช่องโหว่นี้หรือไม่ได้จากเมนู System > Users > External Authentication แล้วตรวจสอบว่ามีการเปิดใช้ LDAP หรือไม่
Cisco แนะนำว่าควรปิดการใช้งานการ authentication ด้วย LDAP จนกว่าจะทำการอัปเดตแพตช์

ที่มา : Cisco

Mitsubishi Electric ตรวจพบการบุกรุกเครือข่ายและการรั่วไหลของข้อมูล เชื่อจีนเป็นผู้โจมตี
จากการแถลงการณ์ที่เผยแพร่บนเว็บไซต์ของ บริษัท มิตซูบิชิ อิเล็คทริค ซึ่งเป็นหนึ่งในบริษัทผู้ผลิตอุปกรณ์ไฟฟ้าและอิเล็กทรมนิกส์ที่ใหญ่ที่สุดในโลก บริษัทฯ ได้มีการประกาศถึงการตรวจพบการโจมตีและการรั่วไหลของข้อมูลซึ่งเกิดขึ้นเมื่อ 28 มิถุนายน ปี 2019 และได้มีการสอบสวนภายในอย่างเป็นทางการเมื่อเดือนกันยายนปีเดียวกัน

บริษัทฯ ยังได้มีการประกาศถึงการโจมตีลงในหนังสือพิมพ์ท้องถิ่นสองฉบับคือ Asahi Shimbun และ Nikkei โดยเป็นการกล่าวโทษไปยังกลุ่มจารกรรมไซเบอร์ของจีนชื่อ Tick (Bronze Butler) ซึ่งเป็นที่รูจักว่าเป็นกลุ่ม APT ที่พุ่งเป้าไปที่อุตสาหกรรมในประเทศญี่ปุ่นและเคยมีประวัติการโจมตีมาแล้วย้อนหลังไปหลายปี

อ้างอิงจากประกาศดังกล่าว ทางมิตซูบิชิเชื่อว่าต้นกำเนิดการแฮกมาจากบริษัทพันธมิตรทางธุรกิจซึ่งอยู่ในจีน โดยผู้โจมตีได้มีการใช้บัญชีของพนักงานในการติดตั้งไฟล์ที่เป็นอันตรายในระบบ และเข้าถึงระบบซึ่งอยู่ในประเทศญี่ปุ่น และท้ายที่สุดนำไปสู่การเข้าถึงและการขโมยไฟล์ที่เป็นเอกสารทางธุรกิจกว่า 200 MB อีกทั้งยังมีการใช้เทคนิคการโจมตีหลายรายการพบลบหลักฐานดิจิตอล ส่งผลให้การตรวจสอบและวิเคราะห์การโจมตีทำได้ยากอีกด้วย

ในขณะนี้ทางสำนักงานใหญ่ของมิตซูบิชิได้ทำการแจ้งไปรัฐบาลญี่ปุ่นรวมไปถึงกระทรวงกลาโหมแล้วถึงสถานะและควบคืบหน้าในการตรวจสอบ สืบเนื่องจากมิตซูบิชิเป็นหนึ่งในผู้ถือสัมปทานรายใหญ่กับกระทรวงกลาโหม รวมไปถึงมีโปรเจคด้านการสื่อสารและสาธารณูปโภค ซึ่งอาจทำให้การรั่วไหลของข้อมูลรอบนี้เป็นประเด็นเรื่องความมั่นคงด้วย

ที่มา : ZDNet

Microsoft เผยแพร่คำแนะนำด้านความปลอดภัยเกี่ยวกับช่องโหว่ Zero-day ใน Internet Explorer (IE) ที่กำลังถูกโจมตีในช่วงนี้

เบื้องต้นทาง Microsoft ระบุว่าการโจมตีดังกล่าวไม่ได้โจมตีเป็นวงกว้าง จำกัดแค่ผู้ใช้งานส่วนหนึ่ง แต่ได้ทำการออกวิธีการแก้ไขปัญหาและการลดผลกระทบที่สามารถนำไปใช้เพื่อป้องกันระบบที่มีช่องโหว่จากการโจมตีเท่านั้น แล้วจะออก Patch สำหรับแก้ไขช่องโหว่ดังกล่าวตามมาในอนาคต

Microsoft อธิบายถึงช่องโหว่ Zero-day ใน IE ซึ่งได้รับ CVE-2020-0674 ว่าเป็นช่องโหว่ที่ทำให้ผู้โจมตีสามารถรันคำสั่งที่เป็นอันตรายจากระยะไกลเพื่อเข้าถึงระบบ (remote code execution หรือ RCE ) โดยเกิดจากข้อผิดพลาดของหน่วยความจำเสียหายใน IE's scripting engine องค์ประกอบของเบราว์เซอร์ที่จัดการ JavaScript (Jscript9.dll) ช่องโหว่ดังกล่าวส่งผลกระทบกับ IE9 ถึง IE11 บน Windows desktop และ Windows Server

ผู้โจมตีสามารถออกแบบเว็บไซต์เป็นพิเศษเพื่อใช้ประโยชน์จากช่องโหว่ดังกล่าวแล้วโน้มน้าวให้ผู้ใช้ดูเว็บไซต์ดังกล่าว เช่น การส่งอีเมล

วิธีการแก้ไขปัญหาและการลดผลกระทบของช่องโหว่ดังกล่าวคือตั้งค่าเพื่อจำกัดการเข้าถึง Jscript9.dll โดยสามารถอ่านวิธีได้จาก www.

Microsoft เผยแพร่คำแนะนำด้านความปลอดภัยเกี่ยวกับช่องโหว่ Zero-day ใน Internet Explorer (IE) ที่กำลังถูกโจมตีในช่วงนี้
เบื้องต้นทาง Microsoft ระบุว่าการโจมตีดังกล่าวไม่ได้โจมตีเป็นวงกว้าง จำกัดแค่ผู้ใช้งานส่วนหนึ่ง แต่ได้ทำการออกวิธีการแก้ไขปัญหาและการลดผลกระทบที่สามารถนำไปใช้เพื่อป้องกันระบบที่มีช่องโหว่จากการโจมตีเท่านั้น แล้วจะออก Patch สำหรับแก้ไขช่องโหว่ดังกล่าวตามมาในอนาคต
Microsoft อธิบายถึงช่องโหว่ Zero-day ใน IE ซึ่งได้รับ CVE-2020-0674 ว่าเป็นช่องโหว่ที่ทำให้ผู้โจมตีสามารถรันคำสั่งที่เป็นอันตรายจากระยะไกลเพื่อเข้าถึงระบบ (remote code execution หรือ RCE ) โดยเกิดจากข้อผิดพลาดของหน่วยความจำเสียหายใน IE's scripting engine องค์ประกอบของเบราว์เซอร์ที่จัดการ JavaScript (Jscript9.dll) ช่องโหว่ดังกล่าวส่งผลกระทบกับ IE9 ถึง IE11 บน Windows desktop และ Windows Server
ผู้โจมตีสามารถออกแบบเว็บไซต์เป็นพิเศษเพื่อใช้ประโยชน์จากช่องโหว่ดังกล่าวแล้วโน้มน้าวให้ผู้ใช้ดูเว็บไซต์ดังกล่าว เช่น การส่งอีเมล
วิธีการแก้ไขปัญหาและการลดผลกระทบของช่องโหว่ดังกล่าวคือตั้งค่าเพื่อจำกัดการเข้าถึง Jscript9.dll โดยสามารถอ่านวิธีได้จาก microsoft ซึ่ง Microsoft เตือนว่าต้องยกเลิกการตั้งค่าดังกล่าวก่อนที่จะอัปเดต Patch สำหรับช่องโหว่นี้ที่จะออกมาในอนาคต

ที่มา ZDNet

Cisco แก้ช่องโหว่ความรุนแรงสูงใน Webex ที่ยอมให้รันคำสั่งจากระยะไกล

ระบบ Cisco ได้ปล่อยแพทช์แก้ไขด้านความปลอดภัยสำหรับสองช่องโหว่ที่ร้ายแรงในผลิตภัณฑ์นั้นๆ ที่สามารถโจมตีเพื่อรันคำสั่งอันตรายจากระยะไกลได้ในแพลตฟอร์มการประชุมทางวิดีโอของ Webex และซอฟต์แวร์ IOS XE

ข้อผิดพลาด Webex อยู่ในอินเตอร์เฟซการจัดการ web-based ของ Cisco Webex Video Mesh ที่ยอมให้ผู้โจมตีที่เข้าสู่ระบบแล้วด้วยสิทธิ์ผู้ดูแลระบบสามารถรันคำสั่งอันตรายได้

Cisco Webex Video Mesh Software ที่ได้รับผลกระทบเป็นเวอร์ชันที่ปล่อยออกมาก่อน 2019.09.19.1956m

อีกช่องโหว่เป็นช่องโหว่บนเว็บ UI ­ของ Cisco IOS และ Cisco IOS XE ทำให้ผู้โจมตีที่ไม่ต้องเข้าสู่ระบบสามารถโจมตี cross-site request forgery (CSRF) ได้ ผู้โจมตีอาจใช้ช่องโหว่จากการชักชวนผู้ใช้ผ่านหน้าอินเตอร์เฟสให้เข้าลิงค์ที่เป็นอันตรายเพื่อส่งการร้องขอปลอมต่อ webserver ในการสั่งการทำงานบนอุปกรณ์ หากสามารถทำได้จะทำให้ผู้โจมตีทำอะไรก็ตามด้วยระดับสิทธิ์เดียวกับผู้ใช้นั้น

ปัญหานี้มีผลต่ออุปกรณ์ Cisco บน Cisco IOS หรือ Cisco IOS XE Software เวอร์ชันก่อน 16.1.1 ที่เปิดใช้งาน HTTP Server

ที่มา : securityaffairs

Oracle ออกแพตช์ประจำไตรมาสของเดือนมกราคม 2020 แก้ไขช่องโหว่ 334 ช่องโหว่ในหลายผลิตภัณฑ์ มี 43 ช่องโหว่ที่มีความรุนแรงระดับ Critical ทั้งนี้หลายๆ ช่องโหว่สามารถถูกโจมตีระยะไกลได้โดยผู้โจมตีที่ไม่ต้องเข้าสู่ระบบ

ตัวอย่างช่องโหว่ที่สา่มารถโจมตีจากระยะไกลได้โดยผู้โจมตีที่ไม่ต้องเข้าสู่ระบบได้แก่ช่องโหว่ใน Oracle WebLogic Server CVE-2020-2546 และ CVE-2020-2551 ถ้าโจมตีช่องโหว่ทั้งสองนี้สำเร็จจะสามารถรันคำสั่งอันตรายจากระยะไกลได้ (RCE)

CVE-2020-2546 เป็นช่องโหว่ใน WLS Core Component ผู้โจมตีสามารถโจมตีผ่านโปรโตคอล T3 ได้ส่งผลกระทบ WebLogic Server รุ่น 10.3.6.0.0 และ 12.1.3.0.0

CVE-2020-2551 เป็นช่องโหว่ใน Application Container - JavaEE ผู้โจมตีโจมตีผ่านโปรโตคอล IIOP ได้ ส่งผลกระทบ 10.3.6.0.0, 12.1.3.0.0, 12.2.1.3.0 และ 12.2.1.4.0

ทั้งสองช่องโหว่นี้ยังไม่มีการเผยแพร่ POC แต่มีนักวิจัยด้านความปลอดภัยหลายๆ คนเผยแพร่ภาพและวิดีโอว่าสามารถโจมตีช่องโหว่ทั้งสองได้แล้ว

ผู้ดูแลระบบควรอัปเดตแพตช์เพื่อความปลอดภัย ในกรณีที่ไม่สามารถอัปเดตแพตช์ได้ ผู้ดูแลระบบสามารถพิจารณาปิดการใช้งานโปรโตคอล T3 และโปรโตคอล IIOP เพื่อลดความเสี่ยงจากการโจมตี

สามารถดูรายการช่องโหว่ทั้งหมดที่ได้รับการอัปเดตในครั้งนี้ได้จาก https://www.

ช่องโหว่สำคัญในแพตช์ประจำเดือนมกราคม 2020 จากไมโครซอฟต์
ไมโครซอฟต์ออกแพตช์ประจำเดือนมกราคม 2020 แก้ไขทั้งหมด 49 ช่องโหว่ โดยแพตช์นี้จะเป็นแพตช์ด้านความปลอดภัยสุดท้ายสำหรับ Windows Server 2008 และ Windows 7 ที่หมดระยะการสนับสนุนแล้ว ในช่องโหว่เหล่านั้นมีช่องโหว่ที่สำคัญและควรให้ความสนใจเป็นพิเศษ 4 ช่องโหว่ เป็นช่องโหว่ระดับ Critical ทั้งหมด เป็นช่องโหว่ใน CryptoAPI 1 ช่องโหว่ (CVE-2020-0601) และช่องโหว่ใน Windows RD Gateway และ Windows Remote Desktop Client 3 ช่องโหว่ (CVE-2020-0609, CVE-2020-0610 และ CVE-2020-0611)
ช่องโหว่ใน CryptoAPI (CVE-2020-0601) เป็นช่องโหว่ที่ทำให้ผู้โจมตีสามารถปลอม digital certificate เพื่อทำให้โปรแกรมอันตรายน่าเชื่อถือได้ หรือปลอมเพื่อทำ man-in-the-middle (MiTM) เพราะ Windows CryptoAPI ทำการตรวจสอบความถูกต้องของ digital certificate ได้ไม่ดีพอ ช่องโหว่นี้ส่งผลกระทบกับ Windows 10 ทั้งหมดซึ่งจะรวมไปถึง Windows Server 2016 และ 2019 ช่องนี้ค้นพบโดย National Security Agency (NSA) ซึ่งได้ให้คำแนะนำเกี่ยวกับช่องโหว่ไว้ที่ Media Defense

ช่องโหว่ใน Windows RD Gateway (CVE-2020-0609 และ CVE-2020-0610) เป็นช่องโหว่ที่ทำให้สามารถรันคำสั่งจากระยะไกลได้ (Remote Code Execution) โดยที่ผู้โจมตีไม่จำเป็นต้องเข้าสู่ระบบ เพียงแค่เชื่อมต่อด้วย RDP และส่ง request อันตรายไปยังเครื่องเป้าหมายเท่านั้น ส่งผลกระทบ Windows Server 2012, Windows Server 2012 R2, Windows Server 2016 และ Windows Server 2019
ช่องโหว่ใน Windows Remote Desktop Client (CVE-2020-0611) เป็นช่องโหว่ที่ทำให้สามารถรันคำสั่งจากระยะไกลได้ (Remote Code Execution) เมื่อ Windows Remote Desktop Client เชื่อมต่อไปยัง server ที่เป็นอันตราย ซึ่งการเชื่อมต่อไปยัง server ที่เป็นอันตรายอาจเกิดได้จาก social engineering, Domain Name Server (DNS) poisoning, man-in the-middle หรือผู้โจมตีสามารถควบคุมเครื่อง server ได้ ส่งผลกระทบ Windows ทุกรุ่นที่ยังได้รับการสนับสนุน และมีแพตช์ให้กับ Windows 7 และ Windows 2008 R2
ผู้ใช้งานและผู้ดูแลระบบควรอัปเดตแพตช์เพื่อความปลอดภัย

ที่มา - bleepingcomputer - Us-Cert

more info
https://thehackernews.