การค้นหาเท็กซ์บุ๊คและเรียงความอิเล็กทรอนิกส์บนอินเตอร์เน็ตทำให้กลุ่มนักเรียนมีโอกาสถูกโจมตีจากการค้นพบของนักวิจัย Kaspersky Lab พบการโจมตีมากกว่า 365,000 ครั้งในหนึ่งปี

หลังจากการตรวจสอบการโจมตีด้วยเอกสารแพร่กระจายมัลแวร์ที่ใช้ชื่อไฟล์เกี่ยวกับการศึกษาในผู้ใช้ Kaspersky พบว่ามีผู้เป็นเหยื่อกว่า 365,000 ครั้งในหนึ่งปีการศึกษา มัลแวร์ส่วนมากที่พบในการโจมตีดังกล่าวคือ MediaGet torrent application downloader, WinLNK.Agent.

แฮกเกอร์หันมาใช้ SharePoint และเอกสาร OneNote ที่ถูกแฮกเพื่อโจมตีเหยื่อในธุรกิจธนาคารและการเงินโดยการทำฟิชชิ่ง
ผู้โจมตีใช้ประโยชน์จากโดเมนที่ใช้โดยแพลตฟอร์มการทำงานร่วมกันบน SharePoint ของ Microsoft ที่มักจะถูกมองข้ามโดยการรักษาความปลอดภัยเกตเวย์ของอีเมล ซึ่งจะทำให้ข้อความฟิชชิ่งมักเข้าถึงกล่องข้อความเป้าหมายได้โดยไม่มีการตรวจพบ

อีเมลฟิชชิ่งดังกล่าวจะถูกส่งโดยบัญชีที่ถูกแฮกและขอให้เป้าหมายประเมินข้อกฎหมายส่วนบุคคลผ่าน URL SharePoint ที่มากับข้อความภายในอีเมล เมื่อเหยื่อเข้าไปตามลิงค์ดังกล่าวจะพบเอกสารที่อ่านไม่ได้ที่มีลิงค์นำไปยังหน้าฟิชชิ่ง เมื่อเป้าหมายเข้าถึงหน้าฟิชชิ่ง พวกเขาจะเห็นเป็นหน้าเลียนแบบ OneDrive for Business และมีข้อความว่า “เอกสารนี้ปลอดภัย โปรดเข้าสู่ระบบเพื่อดู แก้ไข หรือดาวน์โหลด เลือกตัวเลือกด้านล่างเพื่อดำเนินการต่อ” โดยจะมีตัวเลือกจะให้เลือกว่าจะเข้าสู่ระบบด้วยบัญชี Office 365 หรือบัญชีผู้ให้บริการอีเมลอื่น ซึ่งเทคนิคฟิชชิ่งถูกออกแบบมาในการเก็บข้อมูลส่วนตัวถ้าเป้าหมายไม่ได้ต้องการเข้าสู่ระบบด้วยบัญชี Microsoft

เมื่อเหยื่อหลงกรอกข้อมูล ข้อมูลของเหยื่อจะถูกเก็บด้วยฟิชชิ่ง kit ของ BlackShop Tools และบัญชีของเหยื่อก็ถูกใช้โจมตีต่อไป

ผู้ที่สนใจสามารถอ่านรายงานการค้นพบดังกล่าวพร้อมกับดูรายการ IOC ของแคมเปญนี้ได้จากรายงานของ Cofense ที่ https://cofense.

Check Point Software แก้ช่องโหว่ยกระดับสิทธิ์ใน Endpoint Client

Check Point Software แก้ช่องโหว่ที่พบในซอฟต์แวร์ Check Point Endpoint Security Initial Client สำหรับวินโดว์ที่ยอมให้ผู้โจมตียกระดับสิทธิ์และรันโค้ดโดยใช้สิทธิ์ SYSTEM

ช่องโหว่ดังกล่าวได้รับ CVE-2019-8461 ทำให้ผู้โจมตีสามารถรันเพย์โหลดที่เป็นอันตรายโดยใช้สิทธิ์ system-level เช่นเดียวรวมทั้งหลีกเลี่ยงการตรวจจับมัลแวร์โดยเลี่ยง application whitelisting ซึ่งเป็นเทคนิคที่ใช้กันโดยไปทั่วไปเพื่อป้องกันการเรียกใช้แอปที่ไม่รู้จักหรืออาจเป็นอันตราย

Peleg Hadar นักวิจัยผู้ค้นพบช่องโหว่ดังกล่าวระบุว่าช่องโหว่นี้อาจถูกใช้เพื่อยกระดับสิทธิ์และคงอยู่บนเครื่องถาวรโดยการเรียกใช้ DLL เป็นอันตรายด้วย Windows services ที่ถูกใช้โดย Check Point Endpoint Security

ที่มา : bleepingcomputer

FireEye บริษัทความมั่งคงทางไซเบอร์ในสหรัฐฯ พบการแฮกบนเว็บไซต์ด้านสุขภาพจากประเทศอินเดีย โดยทำการขโมยข้อมูลไปมากกว่า 6.8 ล้านข้อมูลของทั้งแพทย์และคนไข้
FireEye ไม่ได้ระบุชื่อเว็บไซต์ แต่ได้กล่าวว่านี่เป็นอาชญากรไซเบอร์ที่ส่วนใหญ่มาจากจีน โดยจะขายข้อมูลที่ขโมยมาจากเว็บไซต์ทั่วโลก

“ในเดือนกุมภาพันธ์ ผู้ไม่หวังดีนามแฝงว่า “fallensky519” ได้ขโมย 6.8 ล้านข้อมูลที่เกี่ยวกับข้อมูลด้านสุขภาพชาวอินเดียบนเว็บไซต์ ที่มีข้อมูลทั้งคนไข้และแพทย์ที่สามารถระบุตัวตนได้ รวมถึงรหัสผ่าน” FireEye แถลงรายงานร่วมกับ IANS
ตามที่ FireEye กล่าวในระหว่างวันที่ 1 ตุลาคม 2018 ถึง 31 มีนาคม 2019 ทีมข่าวกรองพบข้อมูลหลายตัวที่มีประวัติสุขภาพได้ถูกขายในราคา $2,000 ซึ่งข้อมูลที่ขายเกี่ยวข้องกับงานวิจัยเกี่ยวกับมะเร็ง ซึ่งสะท้อนให้เห็นถึงความกังวลของจีนต่อการเพิ่มอัตราการเกิดโรคมะเร็งและการเสียชีวิต รวมถึงค่าใช้จ่ายด้านการดูแลสุขภาพระดับชาติ

ที่มา : ehackingnews

โปรดระวัง พบมัลแวร์ในแอป CamScanner ฟรีเวอร์ชันในอุปกรณ์ Android ที่มีผู้ใช้มากกว่า 100 ล้านคนผ่านการดาวน์โหลดจาก Google Play Store ซึ่ง Google ได้ทำการลบแอปพลิเคชันดังกล่าวออกจาก Google Play Store เป็นที่เรียบร้อยแล้ว ผู้ใช้งานที่ยังมีแอป CamScanner ฟรีเวอร์ชั่นอยู่บนเครื่องควรลบแอปออกจากเครื่องด้วย

นักวิจัยพบ Trojan Dropper module ที่ถูกซ่อนอยู่ภายในแอปพลิเคชัน CamScanner โดยสามารถโจมตีแบบ remote attack สามารถดาวน์โหลดและติดตั้งโปรแกรมที่เป็นอันตรายบนอุปกรณ์ Android ของผู้ใช้โดยไม่รู้ตัว

ถ้าหากผู้ใช้งานดาวน์โหลดแอปพลิเคชัน CamScanner เวอร์ชั่นที่ต้องชำระเงินก็จะไม่พบปัญหาดังกล่าว เนื่องจากจะไม่มีโฆษณาจากผู้ไม่ประสงค์ดีและไม่พบ malicious module นอกจากนี้แล้วผู้ใช้งานควรสังเกตการรีวิวแอปพลิเคชันจากผู้ใช้งานคนอื่นๆ ตรวจสอบสิทธิ์การเข้าถึงข้อมูลต่างๆ บนอุปกรณ์ Android

รายละเอียดทางเทคนิคเพิ่มเติมเกี่ยวกับมัลแวร์ Trojan Dropper ที่ถูกค้นพบในแอปพลิเคชัน CamScanner โดยนักวิจัย Kaspersky สามารถอ่านเพิ่มเติมได้จาก https://securelist.

Cisco Talos พบการกลับมาใช้งาน China Chopper อีกครั้ง ในเลบานอนและประเทศอื่นๆ ในเอเชีย

เครื่องมือการแฮกอย่าง web shell ที่รู้กันในนาม China Chopper พบครั้งแรกเมื่อเก้าปีที่แล้วและถูกใช้โดยกลุ่มที่เกี่ยวข้องกับการแฮกที่ได้รับการสนับสนุนจากรัฐบาลจีน ถูกพบการกลับมาใช้งานอีกครั้ง web shell คือสคริปต์ที่ยอมให้ผู้โจมตีควบคุมการเข้าถึงเซิฟเวอร์ที่ทำงานบนเว็บแอปพลิเคชัน การใช้ช่องโหว่นี้มักไม่สามารถตรวจพบได้

“China Chopper คือ web shell ที่แนบเนียนโดยไม่ได้รับความสนใจมากนัก” นักวิจัย FireEye กล่าวในปี 2013 โดยจาก China Chopper เวอร์ชั่นที่ Cisco Talos พบในปัจจุบันใช้โค้ดเพียง 1 บรรทัด

แม้จะซ่อนตัวอย่างแนบเนียน แต่ก็พบการใช้งานหลายครั้งในช่วงหลายปีที่ผ่านมา China Chopper ถูกใช้ไปในวงกว้างและจำนวนผู้ไม่หวังดีที่ใช้มันก็มีโอกาสจะเพิ่มขึ้นเรื่อยๆ ในระยะสองปีให้หลัง

Cisco Talos ยกตัวอย่างการใช้ China Chopper สามเคส ซึ่งน่าจะเกิดจากกลุ่มคนละกลุ่ม
* แคมเปญแรกที่มีเป้าหมายเป็นองค์กรของรัฐบาลเอเชียเพื่อขโมยเอกสารและสำเนาดาต้าเบสโดยการติดตั้ง China Chopper บนเว็บเซิฟเวอร์ไม่กี่ตัว
* ในแคมเปญที่สองที่เผยให้ทราบว่ามีผู้โจมหลายคน ransomware หลายตัว รวมถึง Sodinokibi และ GandCrab ที่ถูกใช้โดยมีเป้าหมายเป็นองค์กรในเลบานอน การโจมตีในกรณีนี้จะขโมยรหัสผ่านบางตัวใน local memory และใช้ remote access tool อย่าง Gh0stRAT และ Venom
* แคมเปญที่สามในสองปีที่ผ่านมา ได้ระบุเป้าหมายเป็นผู้ให้บริการเว็บโฮสต์ในเอเชีย และทำการบุกรุกวินโดว์เซิฟเวอร์นานกว่าสิบเดือน

นักวิจัยหลายคนได้เชื่อมโยงการโจมตีของ China Chopper ก่อนหน้านี้กับแฮกเกอร์ชาวจีน แต่ Talos คิดว่ามันไม่สอดคล้องกับแคมเปญล่าสุด

นักวิจัย Cybereason ได้ระบุว่า China Chopper ในปีที่ผ่านมา ได้ถูกใช้ในเชิง “การโจมตีถาวรแบบขั้นสูง” ในการต่อต้านผู้ให้บริการโทรคมนาคมที่ใช้เครื่องมือและเทคนิคโดยเกี่ยวข้องกับผู้ไม่หวังดีชาวจีน เช่น APT10

ผู้ที่มีรัฐหนุนหลังมีความเชื่อมโยงกับชาวจีน เช่น กลุ่ม cyber-espionage Leviathan หรือ Threat Group-3390 มักจะใช้ China Chopper ตามที่ MITRE กล่าว Leviathan กลุ่มที่นักวิจัย FireEye ใน APT40 โดย FireEye คาดการณ์ว่าเหล่าสมาชิกผู้ก่อการร้ายนี้เป็นผู้ขับเคลื่อนความสามารถของกองทัพเรือจีนให้ทันสมัย

web shell นี้แพร่หลาย จึงทำให้ผู้ไม่หวังดีกลุ่มไหนก็ใช้มันได้ นี่หมายความว่าแทบเป็นไปไม่ได้เลยที่จะระบุว่ากลุ่มไหนโจมตีโดยอ้างจากการใช้ China Chopper เท่านั้น ซึ่งจากการ forensic ระบุว่ามีการใช้คำสั่ง RAR ที่เจาะจงในการโจมตี ทำให้ Talos เชื่อว่าการพบการใช้งาน China Chopper ในครั้งนี้แตกต่างจากกลุ่มที่เคยพบมาก่อนอย่างแฮกเกอร์ชาวจีน

ที่มา:cyberscoop

Hostinger ผู้ให้บริการเว็บโฮสติงทำการรีเซตรหัสผ่านของลูกค้าทั้งหมด หลังจากพบว่าแฮกเกอร์สามารถเข้าถึงระบบและฐานข้อมูลที่มีข้อมูลจำนวนนับล้านรายการ เมื่อวันที่ 23 สิงหาคมที่ผ่านมา ซึ่งส่งผลกระทบกับผู้ใช้ถึง 14 ล้านคน

Daugirdas Jankus หัวหน้าเจ้าหน้าที่การตลาดของ Hostinger ได้อธิบายว่า "แฮกเกอร์สามารถเข้าถึงระบบ API ภายในของบริษัท และสามารถเข้าถึงรหัสผ่านที่มีการจัดเก็บในรูปแบบของ Hash และข้อมูลอื่นๆ ที่ไม่ใช่ข้อมูลทางการเงินของลูกค้า อาทิ ชื่อผู้ใช้, ที่อยู่เมล์, ip addresses แต่ทางบริษัทยื่นยันว่าการละเมิดข้อมูลดังกล่าวไม่กระทบกับข้อมูลทางการเงินของลูกค้าเนื่องจากมีการจัดเก็บข้อมูลไว้กับ Third-party

ลูกค้าที่ได้รับผลกระทบควรระมัดระวังการโจมตีในลักษณะของ Phishing ที่อ้างว่ามาจาก Hostinger

ที่มา Grahamcluley

พบแฮกเกอร์โจมตีช่องโหว่ใน Webmin, Pulse Secure VPN และ Fortinet VPN
บริษัททั่วโลกมีความเสี่ยงหลังจากแฮกเกอร์เริ่มโจมตีจากสามผลิตภัณฑ์ที่เป็นที่นิยมมาก ซึ่งทั้งสามผลิตภัณฑ์ถูกเปิดเผยรายละเอียดช่องโหว่รวมถึงโค้ดตัวอย่างสำหรับโจมตีในเดือนนี้
การโจมตีเริ่มขึ้นเมื่อช่วงต้นสัปดาห์ (24 สิงหาคม 2019) โดยผู้โจมตีมุ่งเป้าไปที่ Webmin เครื่องมือบริหารจัดการระบบ UNIX และยังรวมถึงผู้ให้บริการ VPN เช่น Pulse Secure และ FortiGate ของ Fortinet คงไม่ผิดนักถ้าจะกล่าวว่าการโจมตี Webmin, Pulse Secure และ Fortinet FortiGate นี้เป็นเรื่องที่เลวร้ายที่สุดในรอบปี
การโจมตี Webmin เกิดเมื่อมีข่าวใหญ่พบ backdoor ใน Webmin ซอร์สโค้ด หลังจากที่ผู้หวังไม่ดีทำการบุกรุกเซิฟเวอร์ของผู้พัฒนา Webmin และ backdoor อยู่มานานมากกว่าหนึ่งปีก่อนจะถูกพบ
การแสกนหาช่องโหว่นี้เริ่มหลังจากนักวิจัยความปลอดภัยได้นำเสนอที่ DEF CON งานประชุมด้านความปลอดภัย ซึ่งกล่าวถึงรายละเอียดของช่องโหว่ (ภายหลังพิสูจน์ว่าเป็น backdoor) ในเชิงลึก
ซึ่งมีผู้ไม่หวังดีกำลังใช้ประโยชน์จากช่องโหว่ของ Webmin หนึ่งในนั้นคือเจ้าของ IoT botnet ชื่อ Cloudbot
แนะนำให้ผู้ดูแล Webmin ทำการอัปเดทสู่ v1.930 ที่ปล่อยออกมาเมื่อวันอาทิตย์เพื่อป้องกันระบบต่อ CVE-2019-15107 (ช่องโหว่ RCE/backdoor) เพราะจากโค้ดตัวอย่างสำหรับโจมตีที่นักวิจัยปล่อยออกมานี้ ทำให้การโจมตีง่ายและนำไปใช้โจมตีแบบอัตโนมัติได้แม้ผู้โจมตีไม่เก่ง
การโจมตี Pulse Secure และ Fortinet FortiGate VPN เริ่มจากการเปิดเผยช่องโหว่ในงานสัมมนา Black Hat ในหัวข้อที่มีชื่อว่า “Infiltrating Corporate Intranet Like NSA: Pre-auth RCE on Leading SSL VPNs," ที่มีรายละเอียดเกี่ยวกับช่องโหว่ความปลอดภัยในผู้ให้บริการ VPN หลายตัว
อย่างไรก็ตาม เป้าหมายการโจมตีไม่ใช่โปรดักส์ VPN ทุกตัวที่พูดคุยในงานนี้ แต่โจมตีเฉพาะ Pulse Secure VPN และ FortiGate VPN ของ Fortinet
มีความเป็นได้ไปสูงที่ผู้โจมตีจะใช้รายละเอียดเทคนิคและแนวคิดพื้นฐานจากเนื้อหาภายในบล็อกของ Devcore บริษัทที่ผู้พูดหัวข้อดังกล่าวทำงานอยู่
โดยในบล็อกมีรายละเอียดและตัวอย่างโค้ดสำหรับช่องโหว่หลายๆ ช่องโหว่ในสอง VPN ดังกล่าว อย่างไรก็ตาม ผู้โจมตีเลือกเพียงสองจากช่องโหว่เหล่านั้นที่ชื่อ CVE-2019-11510 (ส่งผลต่อ Pulse Secure) และ CVE-2018-13379 (ส่งผลต่อ FortiGate)
ทั้งสองตัวคือ "pre-authentication file reads" หมายถึงประเภทของช่องโหว่ที่อนุญาตให้แฮกเกอร์ดึงไฟล์จากระบบเป้าหมายโดยไม่ต้องพิสูจน์ตัวตน
จาก Bad Packets และนักวิจัยคนอื่นๆ บน Twitter แฮกเกอร์ได้แสกนบนอินเตอร์เน็ตเพื่อหาอุปกรณ์ที่มีช่องโหว่ และจากนั้นพวกเขาจะทำการดึงไฟล์รหัสผ่านของระบบจาก Pulse Secure VPNs และไฟล์ VPN session จาก FortiGate VPN ทำให้ผู้โจมตีล็อกอินเข้าสู่อุปกรณ์หรือทำการใช้ VPN session ปลอมได้
Bad Packets กล่าวว่า มีเกือบ 42,000 Pulse Secure VPN ที่ออนไลน์อยู่ และกว่า 14,500 ที่ยังไม่ได้อัปเดทแพตช์ ถึงแม้ว่าแพตช์จะถูกปล่อยออกมาเป็นเดือนแล้ว
จำนวน FortiGate VPNs นั้นเชื่อกันว่ามีอยู่หลายแสนผู้ใช้ แม้ว่าจะไม่มีสถิติที่แน่นอนเกี่ยวกับระบบที่ยังไม่รับการป้องกันซึ่งมีความเสี่ยงที่จะถูกโจมตี ซึ่งเจ้าของอุปกรณ์ได้ถูกแนะนำให้อัปเดทให้เร็วสุด
ผู้วิจัยความปลอดภัยจาก Bad Packets ได้ยกตัวอย่างการใช้ Pulse Secure VPNs บนเครือข่ายของ :
กองทัพสหรัฐอเมริกา, รัฐบาลกลาง, รัฐ และหน่วยงานรัฐบาลท้องถิ่น
มหาวิทยาลัยและโรงเรียนสาธารณะ
โรงพยาบาลและศูนย์บริการสุขภาพ
สถาบันการเงินหลัก
บริษัทในการจัดอันดับ Fortune 500

ที่มา: Zdnet

Kubernetes ออกแพตช์แก้ช่องโหว่ DoS

Kubernetes ออกแพตช์แก้สองช่องโหว่ร้ายแรงที่มีผลกระทบต่อทุกเวอร์ชัน ช่องโหว่ดังกล่าวยอมให้ผู้โจมตีทำให้ระบบหยุดทำงาน (DoS)

Kubernetes เป็น open-source สำหรับการจัดการ Container ที่เริ่มต้นพัฒนามาจาก Google ด้วยภาษา Go มันถูกออกแบบมาเพื่อให้การ deploy การปรับขนาด และการจัดการ Container เป็นไปอย่างอัตโนมัติ

ปัญหาด้านความปลอดภัยได้ถูกพบในไลบรารี่ net/http ของภาษา Go ที่กระทบต่อทุกเวอร์ชันและทุก component ของ Kubernetes ช่องโหว่นี้สามารถทำให้เกิด DoS ในกระบวนที่เกี่ยวของกับ HTTP หรือ HTTPS listener ซึ่งช่องโหว่นี้เกี่ยวข้องกับช่องโหว่ที่ Netflix พบช่องโหว่ที่เกี่ยวข้องกับ HTTP/2 เมื่อวันที่ 13 สิงหาคมที่ผ่านมา

จากทั้งหมด 8 ช่องโหว่ที่ Netflix พบ มีเพียงสองช่องโหว่ที่กระทบ Kubernetes คือ CVE-2019-9512 และ CVE-2019-9514

CVE-2019-9512 หรือที่เรียกว่า Ping Flood
แฮกเกอร์สามารถทำการ Ping อย่างต่อเนื่องจนระบบล่ม

CVE-2019-9514 หรือที่เรียกว่า Reset Flood
แฮกเกอร์ขอ streams จำนวนมากและส่งคำขอไม่ถูกต้องทำให้เกิด RST_STREAM จำนวนมาก ส่งผลทำให้ CPU ถูกใช้งานมากเกินไปทำให้ระบบล่มได้

Kubernetes ได้ปล่อยแพตช์ใหม่ที่แก้ไขช่องโหว่นี้และแนะนำให้อัพเดทให้เร็วที่สุดเท่าที่จะทำได้

ด้านล่างนี้เป็น Kubernetes รุ่นใหม่ที่สร้างมาจากภาษา Go รุ่นที่แก้ปัญหาแล้ว

* Kubernetes รุ่น1.15.3 สร้างมาจากภาษา Go 1.12.9
* Kubernetes v1.14.6 สร้างมาจากภาษา go1.12.9
* Kubernetes v1.13.10 สร้างมาจากภาษา go1.11.13

ผู้ดูแลระบบ Kubernetes สามารถอัปเกรดได้ทุกแพลตฟอร์มบนเพจ Kubernetes Cluster Management

ที่มา: bleepingcomputer

Apple ได้ทำการออกแพทต์อัพเดตเวอร์ชั่นล่าสุด iOS 12.4.1 เพื่อแก้ไขด้านความปลอดภัย ที่ถูกนักวิจัย Pwn20wnd ใช้ในการ Jailbreak

ช่องโหว่ CVE-2019-8605 ทำให้ผู้ไม่หวังดีรันคำสั่งที่เป็นอันตรายบนอุปกรณ์ได้ด้วยสิทธิ์ของระบบ ช่องโหวดังกล่าวถูกพบโดย Ned Williamson จาก Google Project Zero ช่องโหว่ดังกล่าวถูกใช้ใน Sock Puppet exploit สำหรับ Jailbreak อุปกรณ์ iOS

Apple แนะนำให้ผู้ใช้งานทำการอัพเดตแพตช์

ที่มา: bleepingcomputer