พบการโจมตีบน Intel CPUs รุ่นสำหรับ Server อาจทำให้ข้อมูลรหัสผ่าน SSH รั่วไหลได้ แต่การโจมตีนี้ทำได้ยาก

นักวิจัยได้พบการโจมตีแบบ Side-channel ใหม่ที่มีผลต่อ Intel CPUs รุ่นสำหรับ Server ที่ออกขายตั้งแต่ปี 2012 เป็นต้นมา ช่องโหว่นี้ยอมให้ผู้ไม่หวังดีดักรหัสผ่านที่กำลังพิมพ์ลงไปใน Secure shell (SSH) session แต่โชคดีที่มันไม่ได้โจมตีกันง่ายๆ

การโจมตีนี้เรียกว่า NetCAT ย่อมาจาก Network Cache Attack ผ่านเทคโนโลยีการเพิ่มประสิทธิภาพของ Intel ที่เรียกว่า Data-Direct I/O Technology (DDIO) ซึ่งเป็นค่าเริ่มต้นใน Intel CPUs รุ่นสำหรับ Server ได้แก่ Intel Xeon E5, E7 และตระกูลประมวลผล SP

DDIO ให้อุปกรณ์เน็ตเวิร์คและอุปกรณ์ต่อพ่วงอื่นๆ เข้าถึงแคช CPU โดยการยอมให้อุปกรณ์ต่อพ่วงอ่าน/เขียนในแคชระดับสุดท้ายซึ่งมักจะใช้ร่วมกันกับฟังก์ชันการทำงานทั้งหมดบนชิปประมวลผล

แคชระดับสุดท้ายสามารถถูกขโมยข้อมูลเมื่อทำวิศวกรรมย้อนกลับ (Reverse Engineering) คุณสมบัติของ DDIO นักวิจัยพบว่าเนื่องจากแคชระดับสุดท้ายยอมให้คอร์ CPU และเน็ตเวิร์คการ์ด (อุปกรณ์ที่เชื่อมคอมพิวเตอร์เข้ากับเน็ตเวิร์คคอมพิวเตอร์) ใช้ทรัพยากรที่ใช้ร่วมกัน เป็นช่องทางให้ผู้โจมตีเข้าถึงเน็ตเวิร์คได้

ในการทำเช่นนี้ ผู้โจมตีสามารถใช้เซิร์ฟเวอร์เพื่อสื่อสารกับแอปพลิเคชันเซิร์ฟเวอร์ที่รองรับ DDIO และร้องขอเข้าเน็ตเวิร์คของเหยื่อ โดยการใช้ Remote Direct Memory Access (RDMA) ซึ่งทำให้หน่วยความจำเชื่อมต่อโดยตรงกับเครื่องอื่นได้

การทำลักษณะนี้ทำให้ผู้ไม่หวังดีสังเกตเวลาของแพ็กเกตข้อมูลที่ส่งถึงและแอบนำเอาข้อมูลออกมา ซึ่งพวกเขาสามารถดูการกดแป้นพิมพ์ ซึ่งอาจเปิดเผยรหัสผ่านได้

ช่องโหว่ (CVE-2019-11184) ไม่ง่ายที่จะใช้มัน ผู้โจมตีต้องสามารถเข้าสู่ระบบและต้องมีการเชื่อมต่อโดยตรงกับระบบของเป้าหมาย นอกจากนี้ยังต้องสามารถเข้าถึงการอ่าน/เขียน RDMA บนเครื่องเป้าหมายที่ใช้ Intel DDIO เพื่อเริ่มการโจมตี

The Cybersecurity and Infrastructure Security Agency (CISA) ออกมาเตือนผู้ใช้และผู้ดูแลระบบถึงช่องโหว่นี้ โดยแนะนำให้อ่านคำแนะนำจาก INTEL-SA-00290 https://www.

อัปเดทล่าสุดสำหรับ Adobe Flash Player ในเดือนนี้ถูกระบุถึงสองช่องโหว่สำคัญและมีผลต่อ Windows, macOS, Linux, และ Chrome OS ทำให้เกิดการใช้โค้ดโดยพลการต่อผู้ใช้ ที่ทำให้ผู้โจมตีสามารถควบคุมระบบเป้าหมายได้อย่างสมบูรณ์ คือ Same-origin method execution (CVE-2019-8069) และ Use-after-free (CVE-2019-8070) ทั้งสองช่องโหว่ถูกรายงานโดยทีมนักวิจัยความปลอดภัย Adobe ที่ทำงานกับโครงการแพลตฟอร์ม Trend Micro Zero Day

Adobe ได้ปล่อยการอัปเดทความปลอดภัยสำหรับ Adobe Application Manager (AAM) ที่ทำงานบนวินโดว์ในการระบุช่องโหว่ Library Loading (DLL hijacking) ที่ไม่ปลอดภัยในการติดตั้ง ช่องโหว่นี้ถูกให้ความสำคัญระดับความรุนแรงและระบุเป็น CVE-2019-8076 ที่อาจนำไปสู่การใช้โค้ดอันตรายที่มีผลกระทบต่อระบบ

ผู้ใช้ Adobe ที่ได้รับผลกระทบสำหรับ Windows, macOS, Linux และ Chrome OS ควรต้องทำการอัปเดทให้เป็นเวอร์ชันล่าสุด

ถ้าระบบตรวจไม่พบการอัปเดทอัตโนมัติ คุณควรที่จะอัปเดทเองโดยการเลือก "Help → Check for Updates" บน Adobe ซอฟต์แวร์

ที่มา : thehackernews

เมื่อวันที่ 6 กันยายน 2019 ที่ผ่านมา บริษัท Toyota Boshoku ซึ่งเป็นบริษัทผลิตชิ้นส่วนรถยนต์ในเครือของ Toyota ออกแถลงการณ์แจ้งว่าสูญเสียเงินกว่า 4 พันล้านเยน (37 ล้านดอลลาร์สหรัฐ) เนื่องจากสาขาของ Toyota Boshoku ในยุโรปตกเป็นเหยื่อการหลอกลวงทางอีเมลที่เรียกว่า Business Email Compromise (BEC)

การโจมตีแบบ BEC มักเป็นการหลอกลวงให้บริษัทหลงเชื่อว่ามีการเปลี่ยนแปลงบัญชีที่ต้องโอนเงินกับคู่ค้า และทำการโอนเงินไปยังบัญชีของผู้หลอกลวง ซึ่งในที่นี้สาขาของ Toyota Boshoku ในยุโรปได้ทำการโอนเงินให้กับผู้หลอกลวงไปเมื่อ 14 สิงหาคม 2019 โดยขณะนี้ยังอยู่ระหว่างการสืบสวนเหตุการณ์และพยายามเรียกคืนเงินซึ่งบริษัทจะทำการอัปเดตข่าวสารเมื่อมีความคืบหน้าต่อไป

คำแนะนำในการรับมือกับ BEC

เพิ่มขั้นตอนการยืนยันกับคู่ค้าเมื่อมีการแจ้งเปลี่ยนบัญชีที่ต้องโอนเงินผ่านทางอีเมล โดยอาจเพิ่มว่าต้องมีการแจ้งทางโทรศัพท์ด้วยเบอร์ที่รับทราบอยู่แล้ว (ไม่ใช่เบอร์ในอีเมลเพราะอาจเป็นเบอร์ที่ปลอมแปลงมา) หรือ แจ้งว่าถ้ามีการเปลี่ยนแปลงจริงจะออกจดหมายอย่างเป็นทางการเท่านั้น
ป้องกันการถูกแฮกอีเมลแล้วสวมรอยด้วยการพิจารณาใช้ Multi-factor authentication
พิจารณาอีเมลทุกฉบับอย่างรอบคอบ
ที่มา bleepingcomputer

เซิร์ฟเวอร์ Exim หลายล้านมีความเสี่ยงด้านความปลอดภัยที่เมื่อถูกโจมตีจะยอมให้ผู้โจมตีสามารถรันโค้ด malicious ด้วยสิทธิ์ root

เซิร์ฟเวอร์ Exim ทั้งหมดที่ทำงานบนเวอร์ชัน 4.92.1 และก่อนหน้ามีช่องโหว่ ทีม Exim กล่าวถึงคำแนะนำให้อัพเดทเป็น 4.92.2 เพื่อแก้ไขปัญหานี้

ปัญหานี้อาจดูเหมือนไม่สำคัญมากนัก แต่ Exim เป็นหนึ่งในซอฟต์แวร์ที่นิยมใช้เป็นตัวถ่ายโอนอีเมล (Mail transfer agent : MTA) ที่ทำงานอยู่เบื้องหลังของอีเมลเซิฟเวอร์ ขณะที่อีเมลเซิฟเวอร์มักจะส่งหรือรับข้อความตอบกลับ
ศุกร์ที่ผ่านมา ทีม Exim เตือนถึงช่องโหว่ที่สำคัญ ถ้า Exim เซิฟเวอร์ถูกตั้งคอนฟิกในการยอมรับการเชื่อมต่อ TLS ขาเข้า ผู้โจมตีสามารถส่ง malicious backslash-null sequence แนบมาตอนท้ายของ SNI packet และรันโค้ด malicious ด้วยสิทธิ์ root
เจ้าของเซิฟเวอร์สามารถลดช่องโหว่นี้ได้ จากการติดตาม CVE-2019-15846 โดยการปิดใช้งานสนับสนุน TLS สำหรับเซิฟเวอร์ Exim อย่างไรก็ตามนี่เป็นเพียงตัวเลือก การทำแบบนี้จะทำให้เกิดการส่งอีเมลในเคลียร์เท็กซ์ และทำให้เสี่ยงต่อการโจมตีสนิฟฟิงได้
การกระทำนี้ไม่ถูกแนะนำสำหรับเจ้าของ Exim ใน EU เนื่องจากอาจทำให้ข้อมูลรั่วไหลและมีผลทำให้กฎหมาย GDPR ตามมา
ถ้าคุณไม่ทราบสถานะการทำงาน TLS บนเซิฟเวอร์ Exim สิ่งที่ดีที่สุดคืออัปเดทแพทช์จะสามารถป้องกันช่องโหว่นี้ได้

ช่องโหว่ใหญ่อีกตัวได้ถูกแก้ไข ตาม CVE-2019-10149 เป็นที่รู้จักกันในชื่อ Return of the WIZard ที่จะเพิ่มสิทธิ์ให้ผู้โจมตีสามารถรัน malicious ด้วยสิทธิ์ root และรีโมตเซิฟเวอร์ Exim
ช่องโหว่ Return of the WIZard มีการถูกใช้อย่างมากในหนึ่งสัปดาห์ที่ผ่านมาหลังจากถูกเผยแพร่สู่สาธารณะและมีบางคนสร้าง Azure worm สามวันหลังจากนั้น ทำให้ Microsoft ได้ออกมาเตือนเกี่ยวกับปัญหานี้

ที่มา : zdnet

ZDNet อ้างจากแหล่งข่าวว่า APT5 (Manganese) กำลังใช้ช่องโหว่ของ Pulse Secure VPN และ Fortinet VPN ในการโจมตี โดย APT5 มีประวัติความเคลื่อนไหวมาตั้งแต่ปี 2007

จากรายงาน Southeast Asia: An Evolving Cyber Threat Landscape ของ FireEye ในช่วงปี 2015 ระบุว่า APT5 เน้นโจมตีในเอเชียตะวันออกเฉียงใต้ และมีประวัติตรวจพบมัลแวร์จากกลุ่มดังกล่าวในประเทศไทย APT5 มีเป้าหมายการโจมตีเป็นรัฐบาล ธุรกิจพลังงาน ธุรกิจโทรคมนาคม บริษัท High-Tech ธุรกิจการขนส่ง และด้านการเงิน

ช่องโหว่ CVE-2018-13379 ของ Fortinet VPN และช่องโหว่ CVE-2019-11510 ของ Pulse Secure VPN เป็นช่องโหว่ที่โจมตีได้โดยไม่ต้องยืนยันตัวตน ผู้โจมตีสามารถอ่านข้อมูลไฟล์ได้ซึ่งรวมไปถึงไฟล์ system password

ทั้งนี้มีการออกแพตช์ของช่องโหว่ในสองผลิตภัณฑ์รวมถึงการแจ้งเตือนการโจมตีแล้ว แต่ยังพบว่ามีผู้ใช้งานบางส่วนยังไม่อัปเดตแพตช์

ที่มา zdnet และ fireeye

 

เมื่อวันที่ 6 กันยายน 2019 Metasploit ได้ปล่อย exploit สำหรับช่องโหว่ CVE-2019-0708 BlueKeep ที่สามารถโจมตีแบบรันคำสั่งอันตรายบนระบบที่มีช่องโหว่จากระยะไกล (RCE) ออกมาแล้ว

ช่องโหว่ CVE-2019-0708 หรือ BlueKeep เป็นช่องโหว่ Remote Code Execution ใน Remote Desktop Protocol ใน Windows XP, Windows 2003, Windows 7, Windows Server 2008 และ Windows Server 2008 R2 ที่มีการเปิดใช้งาน RDP

โดย Microsoft ได้ออกแพตช์มาให้อัปเดตกันตั้งแต่เดือนพฤษภาคม 2019 ที่ผ่านมา และระบุคำเตือนให้ผู้ใช้งานเร่งอัปเดตเพราะว่าช่องโหว่นี้สามารถเอามาทำเวิร์มแพร่กระจายได้เหมือน WannaCry ที่ใช้ช่องโหว่ CVE-2017-0144 EternalBlue (Remote Code Execution ใน SMB)

แต่จากตรวจสอบผ่านเว็บไซต์ binaryedge.

พบช่องโหว่ Samba อายุเกือบหนึ่งปีก่อนจะได้รับการแก้ไข ซึ่งเป็นไปได้ว่าจะมีผู้ไม่หวังดีได้ใช้ช่องโหว่นี้หลบหลีก file-sharing permissions และเข้าถึงพาธที่ห้ามเข้า ช่องโหว่นี้พบใน Samba 4.9.0 ที่ถูกปล่อยช่วงกันยายน 2018 และสามารถโจมตีได้เมื่อมีการตั้งค่าตามเงื่อนไขบางประการ คือเปิดตั้งค่า “wide links ไว้ จากนั้นตั้งค่าให้ “'allow insecure wide links” ให้เป็น 'yes'หรือตั้งค่าพารามิเตอร์ “UNIX extension” ให้เป็น “No”

ปัญหานี้ได้รับ CVE-2019-10197 เกิดจากความผิดพลาดในการรีเซ็ต cache ที่เก็บ track การเปลี่ยนแปลงของของ directory ที่เปลี่ยนแปลงสำเร็จ เช่น ถ้า client ไม่มี permission เพื่อเข้า share root directory เขาจะได้รับ ACCESS_DENIED ตอบกลับมา ซึ่งต้องถูกรีเซ็ต แต่กลับไม่ถูกรีเซ็ต เมื่อ client พยายามเข้าถึงอีกครั้งก็จะไม่ได้รับ ACCESS_DENIED และสามารถเข้าถึงได้

แพตช์ถูกปล่อยออกมาเป็น Samba 4.11.0 RC3 ที่ได้แก้ไข CVE-2019-10197 แล้ว และได้แนะนำให้มีการอัปแพตช์โดยแอดมิน

ถ้าไม่สามารถอัปเดตแพตช์ได้ Samba แนะนำให้เลือกวิธีป้องกันเพียง 1 วิธีจากวิธีเหล่านี้ คือ

ใช้เครื่องมือ 'sharesec' ในการตั้งค่าคอนฟิกตัวที่บอกเกี่ยวกับความปลอดภัยสำหรับการแชร์ที่อย่างน้อยควรมีความเข้มงวดต่อการอนุญาตสิทธิ์บน share root directory
ใช้ตัวเลือก 'valid users' ในการอนุญาตเฉพาะผู้ใช้หรือกลุ่มที่สามารถที่จะเข้า share root directory ได้
ลบ 'wide links = yes' ถ้าไม่ต้องการจริงๆ และ
ในบางสถานการณ์อาจจะเลือกใช้ 'chmod a+x' บน share root directory แต่ต้องแน่ใจว่าไฟล์และ directory ย่อยได้รับการป้องกันโดยสิทธิ์ที่เข้มงวดพอ

ที่มา : bleepingcomputer

การค้นหาเท็กซ์บุ๊คและเรียงความอิเล็กทรอนิกส์บนอินเตอร์เน็ตทำให้กลุ่มนักเรียนมีโอกาสถูกโจมตีจากการค้นพบของนักวิจัย Kaspersky Lab พบการโจมตีมากกว่า 365,000 ครั้งในหนึ่งปี

หลังจากการตรวจสอบการโจมตีด้วยเอกสารแพร่กระจายมัลแวร์ที่ใช้ชื่อไฟล์เกี่ยวกับการศึกษาในผู้ใช้ Kaspersky พบว่ามีผู้เป็นเหยื่อกว่า 365,000 ครั้งในหนึ่งปีการศึกษา มัลแวร์ส่วนมากที่พบในการโจมตีดังกล่าวคือ MediaGet torrent application downloader, WinLNK.Agent.

แฮกเกอร์หันมาใช้ SharePoint และเอกสาร OneNote ที่ถูกแฮกเพื่อโจมตีเหยื่อในธุรกิจธนาคารและการเงินโดยการทำฟิชชิ่ง
ผู้โจมตีใช้ประโยชน์จากโดเมนที่ใช้โดยแพลตฟอร์มการทำงานร่วมกันบน SharePoint ของ Microsoft ที่มักจะถูกมองข้ามโดยการรักษาความปลอดภัยเกตเวย์ของอีเมล ซึ่งจะทำให้ข้อความฟิชชิ่งมักเข้าถึงกล่องข้อความเป้าหมายได้โดยไม่มีการตรวจพบ

อีเมลฟิชชิ่งดังกล่าวจะถูกส่งโดยบัญชีที่ถูกแฮกและขอให้เป้าหมายประเมินข้อกฎหมายส่วนบุคคลผ่าน URL SharePoint ที่มากับข้อความภายในอีเมล เมื่อเหยื่อเข้าไปตามลิงค์ดังกล่าวจะพบเอกสารที่อ่านไม่ได้ที่มีลิงค์นำไปยังหน้าฟิชชิ่ง เมื่อเป้าหมายเข้าถึงหน้าฟิชชิ่ง พวกเขาจะเห็นเป็นหน้าเลียนแบบ OneDrive for Business และมีข้อความว่า “เอกสารนี้ปลอดภัย โปรดเข้าสู่ระบบเพื่อดู แก้ไข หรือดาวน์โหลด เลือกตัวเลือกด้านล่างเพื่อดำเนินการต่อ” โดยจะมีตัวเลือกจะให้เลือกว่าจะเข้าสู่ระบบด้วยบัญชี Office 365 หรือบัญชีผู้ให้บริการอีเมลอื่น ซึ่งเทคนิคฟิชชิ่งถูกออกแบบมาในการเก็บข้อมูลส่วนตัวถ้าเป้าหมายไม่ได้ต้องการเข้าสู่ระบบด้วยบัญชี Microsoft

เมื่อเหยื่อหลงกรอกข้อมูล ข้อมูลของเหยื่อจะถูกเก็บด้วยฟิชชิ่ง kit ของ BlackShop Tools และบัญชีของเหยื่อก็ถูกใช้โจมตีต่อไป

ผู้ที่สนใจสามารถอ่านรายงานการค้นพบดังกล่าวพร้อมกับดูรายการ IOC ของแคมเปญนี้ได้จากรายงานของ Cofense ที่ https://cofense.

Check Point Software แก้ช่องโหว่ยกระดับสิทธิ์ใน Endpoint Client

Check Point Software แก้ช่องโหว่ที่พบในซอฟต์แวร์ Check Point Endpoint Security Initial Client สำหรับวินโดว์ที่ยอมให้ผู้โจมตียกระดับสิทธิ์และรันโค้ดโดยใช้สิทธิ์ SYSTEM

ช่องโหว่ดังกล่าวได้รับ CVE-2019-8461 ทำให้ผู้โจมตีสามารถรันเพย์โหลดที่เป็นอันตรายโดยใช้สิทธิ์ system-level เช่นเดียวรวมทั้งหลีกเลี่ยงการตรวจจับมัลแวร์โดยเลี่ยง application whitelisting ซึ่งเป็นเทคนิคที่ใช้กันโดยไปทั่วไปเพื่อป้องกันการเรียกใช้แอปที่ไม่รู้จักหรืออาจเป็นอันตราย

Peleg Hadar นักวิจัยผู้ค้นพบช่องโหว่ดังกล่าวระบุว่าช่องโหว่นี้อาจถูกใช้เพื่อยกระดับสิทธิ์และคงอยู่บนเครื่องถาวรโดยการเรียกใช้ DLL เป็นอันตรายด้วย Windows services ที่ถูกใช้โดย Check Point Endpoint Security

ที่มา : bleepingcomputer