สำนักงานสืบสวนกลางแห่งสหรัฐอเมริกา (FBI) และศูนย์รับเรื่องร้องเรียนทางอินเทอร์เน็ต (IC3) ได้ออกประกาศเตือนเกี่ยวกับการโจมตีของ Ransomware ที่เพิ่มขึ้น ซึ่งส่งผลกระทบต่อองค์กรภาครัฐและเอกชนของสหรัฐฯ รวมถึงให้คำแนะนำเพื่อเตรียมตัว

นับตั้งแต่ปี 2018 การโจมตีของ Ransomware พุ่งเป้าไปที่องค์กรด้านการดูแลสุขภาพ บริษัทอุตสาหกรรมและการขนส่ง โดยการใช้ประโยชน์จากซอฟต์แวร์และช่องโหว่ Remote Desktop Protocol (RDP) เพื่อเข้าสู่ระบบ และทำการเข้ารหัสไฟล์ข้อมูลของเหยื่อ ซึ่ง FBI เตือนว่าไม่ควรทำตามคำเรียกร้องของ Hacker และให้ทำการแจ้งไปที่สำนักงานของ FBI ภายในพื้นที่ และรายงานเหตุการณ์ไปยัง ic3.gov

หากเกิดเหตุการณ์ที่ต้องมีการจ่ายค่าไถ่ให้แจ้งไปยัง FBI ตามข้อบังคับของกฏหมาย

แนวทางปฏิบัติเพื่อเตรียมตัวสำหรับองค์กรที่เป็นเป้าหมายการโจมตีของ Ramsomware มีดังนี้

สำรองข้อมูลและตรวจสอบความถูกต้องของข้อมูลเป็นประจำ
สร้างความตระหนักรู้ให้กับบุคคลในองค์กร
อัปเดตแพตช์รักษาความปลอดภัยของซอฟต์แวร์และเฟิร์มแวร์บนอุปกรณ์
เปิดการอัปเดตฐานข้อมูลมัลแวร์อัตโนมัติบนซอร์ตแวร์ป้องกันมัลแวร์และสแกนระบบเป็นประจำ
กำหนดสิทธิ์ในการเข้าถึงไฟล์, ไดเรกทอรี่ และการแชร์เครือข่าย
ปิดการใช้งาน Micro Script จากไฟล์ Office ที่ส่งผ่านอีเมล
ใช้นโยบายและการควบคุมข้อกำหนดของซอฟต์แวร์
ปฏิบัติตาม best practices ของการปฏิบัติการใช้งานของ RDP
ทำ application whitelisting
แยกเครือข่ายในการทำงาน
บังคับให้มี user interaction เช่น ต้องพิมพ์ข้อมูล เมื่อผู้ใช้งานเข้าเว็บไซต์ที่ไม่ได้มีการจัดกลุ่มโดย network proxy หรือ firewall

ที่มา bleepingcomputer และ ic3.gov

ช่องโหว่สามารถทำการโทรผ่าน Voice-over-IP (VoIP) ได้โดยไม่ได้รับอนุญาต ปลอมเบอร์โทร ปฏิเสธการโทร และแม้แต่ใช้โค้ดอันตรายบนอุปกรณ์ของผู้ใช้

มีการทดสอบช่องโหว่แล้วในระบบ Android 7.0 (Nougat) จนถึง 9.0 (Pie) นักวิจัยได้พบและรายงาน 9 ช่องโหว่ต่อ Google โดยมี 8 ช่องโหว่ที่มีผลต่อระบบเบื้องหลัง VoIP ของแอนดรอย์ ขณะที่ช่องโหว่ที่ 9 มีผลต่อแอป third-party

ด้านล่างนี้เป็นรายละเอียดของ 9 ช่องโหว่ :

เริ่มการโทร VoIP ในแอป VK
บัคนี้พบใน API ตอบโต้กับแอป Official VK (vKontakte) ที่สามารถยอมให้แอปอื่นๆ ที่ติดตั้งบนเครื่องสามารถเพื่อเริ่มการโทร VoIP ด้วยแอป VK และดักฟังการสนทนาของเจ้าของโทรศัพท์ได้ การโจมตีนี้ไม่ต้องการ user interaction แต่ต้องเข้าถึงเครื่องได้ก่อน เหมาะกับการนำไปใช้ร่วมกับ Android spyware, remote access trojans (RAT) และมัลแวร์บนแอนดรอยด์อื่นๆ ที่เข้าถึงเครื่องได้แล้ว
โอนสายโดยไม่ได้รับอนุญาตในอินเตอร์เฟซ LMS
บนอุปกรณ์ที่มีแอปอันตรายสามารถใช้ local privileged APIs (ในองค์ประกอบ QtilMS VoIP) เพื่อโอนสายที่โทรเข้ามาโดยไม่ได้รับอนุญาตเพื่อโจมตีอุปกรณ์ โดยปัญหานี้ถูกแก้ไขแล้วเมื่อปี 2017
ไม่สามารถปฏิเสธการโทร VoIP เนื่องจาก LONG SIP Name
ผู้โจมตีสามารถเริ่มการโทรถึงเหยื่อโดยใช้ long SIP name (1,043 ตัวอักษร) SIP name จะขึ้นบนเต็มหน้าจอโทรศัพท์และป้องกันไม่ให้พวกเขารับหรือปฏิเสธการโทรในเวลาสำคัญได้ เช่น เมื่อกำลังดำเนินการโจมตี ถือว่าเป็นประเภทหนึ่งของ DoS (Denial of Service) ถูกเรียกว่า VoIP call bomb คล้ายกับ SMS bomb โดยใน Android ปัจจุบัน Google ได้กำหนดขนาด SIP name ใน VoIP เพื่อป้องกันปัญหานี้
remote DoS ในระบบเมื่อมีการรับสาย
ผู้โจมตีสามารถใช้รูปแบบแพ็คเกต SDP เพื่อทำให้อุปกรณ์เหยื่อทำงานล้มเหลวเมื่อมีการรับสาย ซึ่งถูกแก้ไขแล้วในปี 2017
Remote execution code เนื่องจาก STACK BUFFER OVERFLOW
ข้อผิดพลาดร้ายแรงที่สุด (CVE-2018-9475) ถูกแก้ไขใน Android Oreo เมื่อ 2018 สิ่งนี้เป็นการทำ remote code execution (RCE) เป็นปัญหาที่ยอมให้ผู้โจมตีสามารถรันโค้ดอันตรายบนอุปกรณ์จากระยะไกลด้วยการโทร VoIP โดยทำให้เกิด stack buffer overflowได้ถ้าชื่อผู้ใช้ (หรือหมายเลขผู้โทร) ในการโทร VoIP มีมากกว่า 513 ไบต์
ช่องโหว่นี้ยอมให้ผู้ไม่หวังดีเขียนทับการส่งกลับที่อยู่ของฟังก์ชัน ClccResponse ที่ทำให้เกิด remote code execution
Remote DoS ใน Bluetooth เมื่อมีสายเรียกเข้า
มันสามารถทำให้การโทร VoIP ด้วยหมายเลขการโทรยาวๆ แต่บัคนี้จะให้โทรศัพท์ทำงานล้มเหลวเท่านั้น ซึ่งไม่ได้ยอมให้ผู้โจมตีรัน code บนอุปกรณ์แต่อย่างใด
ข้อมูลรั่วไหลและ DoS ถาวร เนื่องจาก PATH TAVERSAL
นี่เป็นการทำงานโดยการติดตั้งแอปอันตรายอื่นบนอุปกรณ์ อย่างไรก็ตามบัคนี้ค่อนข้างร้ายแรง มันเป็นปัญหา PATH TRAVERSA ดั้งเดิมที่เกิดขึ้นเพราะ SIP protocol และภัยคุกคามของ Android ตัวอักษร “..” และ “/” มีความแตกต่างกัน
การปลอมเป็นผู้โทรเนื่องจากการประมวลความหมายของสัญลักษณ์ “&” ผิด
ช่องโหว่นี้เกิดจากรูปแบบหมายเลข PSTN (Public Switched Telephone Network) ที่ไม่ใช่บัญชีสำหรับตัวอักษร “&”
สายเรียกเข้า VoIP ที่มี “&” ทำให้ระบบ Android อ่านเฉพาะหมายเลขก่อนตัวอักษร แต่ไม่อ่านเลยหลังจากนั้น ทำให้ง่ายต่อการปลอมตัว
การปลอมเป็นผู้โทรเนื่องจาก "PHONE-CONTEXT"
ช่องโหว่เกิดจากรูปแบบหมายเลข PSTN เช่นกัน แต่ครั้งนี้มันเกิดด้วย "phone-context" PSTN พารามิเตอร์ ตัวอย่างเช่น ในการสื่อสารของ PSTN หมายเลข “650253000;phone-context=+1" จะเท่ากับ "+1650253000" กล่าวคือค่าของ "phone-context" คือค่านำหน้าของหมายเลข อย่างไรก็ตามการสื่อสารนี้ไม่ได้ถูกใช้ในการโทร VoIP โดยแอปการโทรไม่ได้ใส่ใจมัน ทำให้ผู้ไม่หวังดีกำหนดหมายเลขการโทรเป็น "650253000;phone-context=+1", และแอปการโทรจะแปลเป็น "+1650253000" ซึ่งแสดงว่าเป็นการโทรของ Google

เอกสารฉบับเต็มมีชื่อว่า "Understanding Android VoIP Security: A System-level Vulnerability Assessment" หากสนใจอ่านเพิ่มเติมสามารถดาวน์โหลดได้ ที่นี่

ที่มา : zdnet

Exim ได้ออกแพตช์รักษาความปลอดภัยเร่งด่วนเป็น Exim รุ่น 4.92.3 เป็นการแก้ไขเกี่ยวกับการรัน Code ที่เป็นอันตรายบน Exim

Exim เป็น mail Server เพื่อรับส่งข้อมูลทาง Email สำหรับระบบปฏิบัติการ Linux, Mac OSX หรือ Solaris ซึ่งเมื่อสองวันที่ผ่านมามีการประกาศช่องโหว่ CVE-2019-16928 ซึ่งถูกค้นพบโดย Jeremy Harris เป็นทีมพัฒนาของทาง Exim โดยช่องโหว่ที่พบสามารถทำให้ผู้โจมตีรันคำสั่งจากระยะไกลและทำการโจมตีด้วยรูปแบบ DoS หรือรัน Code (EHLO) บน Exim mail Server ด้วยสิทธิ์ของผู้ใช้

ดังนั้นควรให้ผู้ดูแล Server ทำการติดตั้ง Exim Version 4.92.3 หรืออัปเดตให้เป็น Exim Version 4.92.3 โดยเร็วที่สุดเนื่องจากผลกระทบจากช่องโหว่นี้ไม่มีวิธีการแก้ปัญหาเบื้องต้น

ที่มา thehackernews

 

ข้อมูลขนาดใหญ่ที่ถูกขโมยไปของสายการบินไลอ้อนแอร์ของอินโดนีเซียที่ส่งผลกระทบต่อลูกค้าหลายล้านคนเกิดจากความผิดของอดีตพนักงานของผู้รับเหมา

Malindo Air บริษัทลูกของสายการบินไลอ้อนแอร์กล่าวว่าอดีตพนักงานสองคนของ GoQuo ซึ่งเป็นบริษัททึ่ Malindo Air ว่าจ้างเพื่อทำระบบ e-commerce ได้เข้าถึงและขโมยข้อมูลที่สำนักงาน GoQuo ที่ประเทศอินเดีย

สายการบินได้กล่าวในแถลงการณ์ว่าแจ้งต่อตำรวจทั้งในมาเลเซียและอินเดียแล้ว

ซึ่งการรั่วไหลดังกล่าวไม่ได้เกี่ยวข้องกับ Amazon Web Services ที่ Malindo Air ใช้งานและได้มีการดำเนินการรีเซ็ตรหัสผ่านลูกค้าทั้งหมดโดยอัตโนมัติ รวมถึงจ้างผู้เชี่ยวชาญด้านความปลอดภัยได้เข้ามาตรวจสอบระบบข้อมูลของสายการบินแล้ว

ที่มา securityweek

 

พบการปล่อยโค้ดสำหรับโจมตีช่องโหว่ Zero-day แบบรันคำสั่งจากระยะไกล หรือ remote code execution (RCE) ช่องโหว่นี้เป็นช่องโหว่ในซอฟต์แวร์ vBulletin ซึ่งเป็นซอฟต์แวร์สำหรับทำเว็บบอร์ดที่ใช้กันอย่างแพร่หลาย กระทบ vBulletin รุ่น 5.0.0 ถึงรุ่นล่าสุด 5.5.4 แต่ไม่กระทบรุ่นที่เก่ากว่า ได้รับ CVE-2019-16759

นักวิจัยด้านความปลอดภัยหลายคนได้ทำการพิสูจน์โค้ดการโจมตีดังกล่าวแล้วพบว่าสามารถโจมตีได้จริง และยังไม่พบวิธีป้องกันความเสี่ยงอย่างเป็นทางการ ผู้ดูแลเว็บไซต์ที่ใช้ vBulletin ควรเฝ้าระวังความเสี่ยงจากการโจมตีดังกล่าว

ที่มา : thehackernews และ nist

 

Adobe ออกแพตช์นอกรอบสำหรับแพลตฟอร์มการพัฒนาเว็บแอปพลิเคชัน ColdFusion แก้ช่องโหว่สามช่องโหว่ซึ่งรวมถึงช่องโหว่สองช่องที่จัดอยู่ในประเภท “critical”

ColdFusion 2016 อัปเดตเป็นเวอร์ชั่น 12 และ ColdFusion 2018 อัปเดตเป็นเวอร์ชั่น 5 เพื่อแก้ไขช่องโหว่การโจมตีในรูปแบบ path traversal ซึ่งทำให้หลบเลี่ยง access control ได้ (CVE-2019-8074) และแก้ช่องโหว่ command injection ซึ่งสามารถโจมตีเพื่อรันคำสั่งอันตรายได้ (CVE-2019-8073)

อีกช่องโหว่ที่ถูกแก้ไขเป็นช่องโหว่เปิดเผยข้อมูลโดยไม่จำเป็น ความร้ายแรงระดับ important

นักวิจัยจาก Foundeo, Knownsec 404 Team และ Aura Information Security ได้รับเครดิตในการค้นพบช่องโหว่เหล่านั้น

Adobe กล่าวว่ายังไม่พบการโจมตีที่ใช้ประโยชน์จากช่องโหว่เหล่านี้และเชื่อว่าจะยังไม่มีการโจมตีเร็วๆ นี้ อย่างไรก็ตามผู้ใช้ไม่ควรเพิกเฉยต่ออัปเดตแพตช์เนื่องจากเมื่อปีที่แล้วพบการโจมตีโดยใช้ช่องโหว่ใน ColdFusion

ที่มา securityweek

Facebook ระงับแอปนับหมื่นหลังจากกรณี Cambridge Analytica

Facebook ระงับแอปนับหมื่นบนแพลตฟอร์มหลังจากการสืบสวนที่เริ่มต้นมาจากกรณีที่ Cambridge Analytica ระบุว่าใช้แอปของ Facebook ในการรวบรวมข้อมูลจากการสืบสวนที่กำลังกำเนิดอยู่เกี่ยวแอปที่จัดการและใช้ประโยชน์กับข้อมูลส่วนบุคคลผู้ใช้งาน การสืบสวนนี้เป็นการตอบสนองของเหตุการณ์ Cambridge Analytica ที่ถูกเปิดโปงเมื่อเดือนมีนาคม 2018

แอปนับหมื่นที่เกี่ยวข้องกับ 400 นักพัฒนาได้ถูกระงับหรือแบนอย่างถาวร Facebook กล่าวว่าหลายแอปมีการถามข้อมูลที่ไม่สมเหตุสมผลที่กลายเป็นข้อมูลที่เปิดเผยต่อสาธารณะโดยไม่มีการปิดบังเจ้าของข้อมูล ซึ่งถือว่าเป็นการละเมิดนโยบายของ Facebook อย่างชัดเจน

Facebook เน้นว่าบางแอปที่ถูกระงับยังไม่ได้ละเมิดความเป็นส่วนตัวของผู้ใช้งาน โดยหลายๆ แอปที่ถูกแบนยังอยู่ในช่วงทดสอบระบบและยังไม่ได้ถูกใช้งานจริง

ที่มา : threatpost.

พบมัลแวร์ ATM ตัวใหม่ในประเทศอินเดีย

ผู้เชี่ยวชาญจาก Kaspersky กล่าวว่า ATMDtrack มัลแวร์ตัวใหม่นี้ได้ถูกพบในเครือข่ายของธนาคารอินเดียตั้งแต่ปลายฤดูร้อนปี 2018 จากนั้นพบการโจมตีตามมาในเดือนกันยายน 2019 ที่ศูนย์การวิจัยของอินเดียด้วยมัลแวร์ตัวเดียวกันที่มีศักยภาพและขยายตัวการโจมตีมากขึ้น ชื่อ DTrack มุ่งเน้นไปที่การสอดแนมและการขโมยข้อมูลมากกว่าอาชญากรรมทางการเงินและมาพร้อมความสามารถของ remote access trojan (RAT)

นักวิจัยของ Kaspersky กล่าวว่ามัลแวร์ทั้งสองสายพันธุ์เป็นตระกูล DTrack มีความคล้ายคลึงกันกับมัลแวร์ที่ใช้ใน "Operation DarkSeoul" ซึ่งเป็นชุดการโจมตีที่มุ่งเป้าไปที่เป้าหมายของเกาหลีใต้ในปี 2013 ซึ่งเชื่อมโยงกับกลุ่ม Lazarus แฮกเกอร์ที่เชื่อว่ามีรัฐบาลเกาหลีเหนือสนับสนุน

DTRACK มัลแวร์สปอตที่พิ่งเกิดขึ้นในเดือนนี้

นอกจากนี้ DTrack ดูเหมือนจะเป็นหนึ่งในผลงานสร้างสรรค์ล่าสุดของกลุ่มลาซารัส ซึ่ง Kaspersky นำไปใช้งานครั้งแรกในช่วงปลายฤดูร้อนของปี 2018 กล่าวว่ากลุ่มตัวอย่างล่าสุดได้รับการใช้งานล่าสุดในเดือนกันยายน 2019

ตัวอย่าง DTrack ล่าสุดสามารถดำเนินการดังต่อไปนี้:

Keylogging,
ดึงประวัติเบราว์เซอร์
รวบรวมที่อยู่ IP ของโฮสต์ข้อมูลเกี่ยวกับเครือข่ายที่ใช้ได้และการเชื่อมต่อที่ใช้งานอยู่
รายการกระบวนการทำงาน
แสดงรายการไฟล์ในดิสก์ไดรฟ์ที่มีอยู่ทั้งหมด
จากข้อมูลที่มีอยู่ในปัจจุบันมันไม่ชัดเจนว่า DTrack วิวัฒนาการมาจาก ATMDTrack หรือ ATMDTrack ได้รับการพัฒนาจากสายพันธุ์ DTrack

ผู้ที่สนใจสามารถดูบทวิเคราะห์และรายละเอียด IOC ได้จาก https://securelist.

Microsoft ออกแพตช์ด่วนให้ช่องโหว่ zero-day IE และบัคใน Defender

Microsoft ออกแพตช์ฉุกเฉินเพื่อแก้ไขปัญหาด้านความปลอดภัยช่องโหว่ ได้แก่ช่องโหว่ zero-day ใน Internet Explorer scripting engine และข้อบกพร่องของ Microsoft Defender โดยพบการโจมตีที่ใช้ช่องโหว่ของ Internet Explorer ดังกล่าวแล้ว

ผู้ใช้ Windows ควรติดตั้งการอัปเดตโดยเร็วที่สุด โดยแพตช์สำหรับ IE จะต้องอัปเดตด้วยตนเองในขณะที่ Defender bug จะได้รับการแก้ไขผ่านการอัปเดตแบบอัตโนมัติ

ช่องโหว่ของ Internet Explorer ดังกล่าวเป็นช่องโหว่ที่ร้ายแรงมากเป็นช่องโหว่ remote code execution (RCE) โดยได้รับ CVE-2019-1255 ซึ่งจะทำให้ผู้โจมตีสามารถรันโค้ดได้จากระยะไกลได้เมื่อทำให้หน่วยความจำเสียหาย

ผู้โจมตีที่ประสบความสำเร็จในการใช้ประโยชน์จากช่องโหว่จะได้รับสิทธิ์ผู้ใช้เช่นเดียวกับ User ที่กำลังใช้งาน Internet Explorer ซึ่งผู้โจมตีสามารถทำการโจมตีโดยหลอกให้เหยื่อเข้าชมเว็บไซต์ที่เป็นอันตราย

ผู้ใช้งาน Internet Explorer ควรศึกษาคำแนะนำของ Microsoft ที่แนะนำวิธีอัปเดตและวิธีลดความเสี่ยงในกรณีที่ไม่สามารถอัปเดตได้จาก https://portal.

Scotiabank ได้รับผลกระทบ หลังจากทำซอร์สโค้ดภายในและข้อมูลรั่วไหลออกสู่อินเตอร์เน็ต

Scotiabank สถาบันการเงินรายใหญ่ของแคนาดาได้ทำซอร์สโค้ดภายในรั่วไหลออกสู่ออนไลน์ โดยมีบางส่วนที่เป็นข้อมูลสำหรับเข้าสู่ระบบเบื้องหลังของธนาคาร

ข้อมูลที่รั่วนี้แสดงใน GitHub มีพิมพ์เขียวซอฟต์แวร์และคีย์เข้าถึงข้อมูลระบบอัตราแลกเปลี่ยนระหว่างประเทศ โค้ดแอปพลิเคชัน Scotiabank ที่ถูกใช้ในอเมริกากลางและอเมริกาใต้ และข้อมูลเข้าระบบสำหรับบริการและฐานข้อมูล

ข้อมูลภายใน GitHub ที่แสดงออกมาได้ถูกสันนิษฐานว่าอาจมาจากการตั้งคอนฟิกที่ผิดอย่างไม่ตั้งใจจากพนักงานของ Scotiabank เอง ซึ่งข้อมูลควรที่จะถูกลบหรือซ่อนเอาไว้

ที่มา : theregister.