เครื่องมือที่ใช้ในการแฮคเชื่อว่ามีการพัฒนาขึ้นในอิหร่านถูกเปิดเผยใน Telegram

เครื่องมือที่ใช้ในการแฮคในที่นี้เรียกว่า Jason โดยนักวิจัยด้านความปลอดภัย Omri Segev Moyal กล่าวว่า Jason เป็นเครื่องมือสำหรับโจมตี Microsoft Exchange email servers ด้วยวิธี brute-force ชื่อผู้ใช้งานและรหัสผ่าน เครื่องมือดังกล่าวถูกสร้างขึ้นในปี 2558 โดยอ้างอิงจากข้อมูลการ compile ตัวโปรแกรม ซึ่งหมายความว่าแฮกเกอร์ชาวอิหร่านใช้เครื่องมือนี้อย่างน้อยสี่ปีที่ผ่านมา

โดยก่อนหน้านี้ในช่วงเดือนเมษายน 2562 มีการเปิดเผยข้อมูลเกี่ยวกับกลุ่มผู้โจมตีทางไซเบอร์ภายใต้ชื่อ APT34, Oilrig, หรือ HelixKitten ออกมา โดยเป็นที่เชื่อกันว่ากลุ่มดังกล่าวมีเจ้าหน้าที่รัฐของอิหร่านเป็นสมาชิกอยู่ด้วย โดยมีการเปิดเผยข้อมูลทั้งชื่อจริง เบอร์โทรศัพท์ รูปถ่าย รวมถึงเครื่องมือใช้ในการแฮกจำนวน 6 ตัว

www.

แจ้งเตือนช่องโหว่ RCE ในซอฟต์แวร์ Exim คาดกระทบอีเมลเซิร์ฟเวอร์กว่าครึ่งหนึ่งของโลก

ซอฟต์แวร์ Exim ซึ่งเป็นซอฟต์แวร์ประเภท mail transfer agent (MTA) ถูกระบุว่ามีช่องโหว่ประเภท Remote Code Execution โดย Qualys วันนี้

ช่องโหว่ที่รหัส CVE-2019-10149 หรือในอีกชื่อซึ่งถูกเรียกว่า "Return off the WIZard" โดย Qualys นั้นเป็นช่องโหว่ประเภท Remote Code Execution ที่มีลักษณะที่คล้ายกับช่องโหว่เก่าแก่อย่าง WIZ และ DEBUG ในซอฟต์แวร์ sendmail ในอดีต การโจมตีช่องโหว่นี้สามารถทำได้สองรูปแบบคือแบบ local attack ซึ่งผู้ใช้งานที่มีอีเมลอยู่บนเซิร์ฟเวอร์อยู่แล้วทำการโจมตี และแบบ remote attack ซึ่งถูกระบุว่ามีความซับซ้อนสูง เนื่องจากผู้โจมตีจะต้องมีการรักษา connection ที่เชื่อมต่อกับเซิร์ฟเวอร์ที่มีช่องโหว่เอาไว้กว่า 7 วัน และยังไม่มีการโจมตีช่องโหว่จากระยะไกลที่ง่ายไปกว่านี้

ช่องโหว่กระทบ Exim ตั้งแต่เวอร์ชัน 4.87 ถึง 4.91 โดยผู้ใช้งานสามารถทำการอัปเกรดซอฟต์แวร์เพื่อรับแพตช์จากโครงการต้นน้ำได้ตั้งแต่วันนี้เป็นต้นไป

ที่มา : zdnet

แพตช์ช่องโหว่ Android ประจำเดือนมิถุนายน 2562 มาแล้ว ทั้งหมด 22 ช่องโหว่ถูกแพตช์

Google ประกาศแพตช์ด้านความปลอดภัยสำหรับ Android ประจำเดือนมิถุนยายน 2562 วันนี้โดยมีช่องโหว่ระดับวิกฤติ (critical) จำนวน 8 ช่องโหว่จากทั้งหมด 22 ช่องโหว่ที่ถูกแพตช์ในรอบนี้

สำหรับช่องโหว่ร้ายแรงระดับวิกฤติ คอมโพเนนต์ของระบบที่ยังคงปรากฎช่องโหว่เหล่านี้เป็นจำนวนมากยังได้แก่ส่วนที่เป็น Media Framework ซึ่งผู้โจมตีสามารถสร้างไฟล์ซึ่งเมื่อถูกประมวลผลด้วย Media Framework จะทำให้ผู้โจมตีสามารถรันโค้ดที่เป็นอันตรายได้ อีกหนึ่งช่องโหว่มาจากส่วน System ในโมดูลที่เกี่ยวข้องกับไฟล์ PAC และส่วนที่เหลือเป็นช่องโหว่ระดับวิกฤติจากคอมโพเนนต์ของ Qualcomm

ผู้ใช้งานสามารถรับแพตช์ได้ทันทีตั้งแต่วันนี้เป็นต้นไป โดยความช้า-เร็วในการรับแพตช์จะขึ้นอยู่กับผู้ผลิตในแต่ละราย ข้อมูลเกี่ยวกับช่องโหว่แบบมีรายละเอียดครบถ้วนสามารถตรวจสอบได้ที่ https://source.

โครงการ phpMyAdmin ประกาศแพตช์สำหรับช่องโหว่ SQL Injection และ CSRF

โครงการ phpMyAdmin ประกาศแพตช์สำหรับช่องโหว่รหัส CVE-2019-11768 (PMSA-2019-3) และ CVE-2019-12616 (PMSA-2019-4) วันนี้ โดยเป็นช่องโหว่ SQL Injection และ CSRF ตามลำดับ

ช่องโหว่ CVE-2019-11768 เป็นช่องโหว่ SQL Injection ในส่วน Designer Feature โดยตรวจพบกับ phpMyAdmin เวอร์ชันก่อน 4.8.6 ซึ่งจะเกิดขึ้นเมื่อผู้โจมตีมีการสร้างฐานข้อมูลด้วยชื่อแบบพิเศษซึ่งจะทำให้เกิดเงื่อนไขของ SQL Injection

ในส่วนของช่องโหว่ CVE-2019-12616 นั้น เป็นช่องโหว่ประเภท CSRF ที่หน้าล็อกอินของ phpMyAdmin โดยผู้โจมตีสามารถทำการโจมตีผ่าน HTML tag ที่มีการพัฒนาอย่างไม่ปลอดภัยเพื่อใช้สิทธิ์ของผู้ใช้งานในการส่งคำสั่งที่เป็นอันตรายไปยังระบบได้ ช่องโหว่นี้กระทบ phpMyAdmin ก่อนรุ่น 4.9.0 โดยให้ทำการอัปเดตเป็นเวอร์ชันใหม่กว่าเพื่อรับการแก้ไขช่องโหว่

ที่มา: PMASA-2019-3 , PMASA-2019-4

ผู้สร้าง GandCrab ransomware ประกาศว่าจะหยุดให้บริการ Ransomware-as-a-Service เพราะได้เงินพอแล้ว

ในช่วงปลายเดือนที่ผ่านมาผู้สร้าง GandCrab ransomware ได้ประกาศว่าจะทำการปิดการทำงานของ Ransomware-as-a-Service (RaaS) ด้วยเหตุผลที่ว่าผู้สร้างสามารถที่จะทำเงินได้มากพอแล้ว (มากกว่า 2 พันล้านเหรียญ) และวางแผนที่จะยกเลิกการให้บริการภายในหนึ่งเดือน

มัลแวร์เรียกค่าไถ่ (Ransomware) เป็นการโจมตีในรูปแบบการเข้ารหัสไฟล์ในเครื่องผู้ใช้งาน เหยื่อต้องจ่ายเงินให้แก่ผู้โจมตีเพื่อแลกกับการถอดรหัสเพื่อให้ได้ไฟล์คืนมา โดยพบว่ามัลแวร์เรียกค่าไถ่ที่อยู่ในตระกูล GandCrab ได้รายได้จากการขาย GandCrab RaaS ให้กับผู้ต้องการและส่วนแบ่งจากเงินเรียกค่าไถ่ที่เหยื่อจ่ายมา จากประกาศดังกล่าวยังมีการระบุว่า ผู้สร้างวางแผนจะทำการลบคีย์สำหรับถอดรหัสทิ้งด้วย ซึ่งจะส่งผลให้ผู้ที่ตกเป็นเหยื่อไม่สามารถกู้คืนไฟล์ได้ แต่นักวิจัยก็เชื่อว่าการประกาศลบคีย์สำหรับถอดรหัสนี้อาจจะเป็นแค่แผนการเพื่อกระตุ้นให้ผู้ที่ตกเป็นเหยื่อตื่นตระหนกและรีบทำการชำระค่าไถ่ก็เป็นไปได้

อย่างไรก็ตามหากอ้างอิงถึงเหตุการณ์ลักษณะเดียวกัน ที่ผู้ผลิตมัลแวร์เรียกค่าไถ่ประกาศจะปิดกระบวนการทำงานของมัลแวร์ อย่างเช่น TeslaCrypt, XData, Crysis และ FilesLocker ผู้สร้างมัลแวร์เหล่านั้นมักจะปล่อยคีย์สำหรับถอดรหัสออกมาให้เหยื่อฟรีๆ มากกว่า ดังนั้นทางเลือกที่ดีที่สุดคือ ไม่ติดเลยจะดีกว่า หรือควรมีแผนสำหรับกู้คืนระบบเมื่อตกเป็นเหยื่อจริงๆ อย่างเช่น การมีระบบ Backup ข้อมูลของเครื่องสำคัญๆ อย่างสม่ำเสมอ

ที่มา: zdnet

พบ Phishing campaign ใหม่ ปลอมเป็นการแจ้งเตือนจาก Office 365 Team ที่ระบุว่า "Unusual volume of file deletion" บนบัญชีผู้ใช้งาน

เมื่อหลงเชื่อกดลิงก์ View alert details" ในอีเมล จะมีการเปิดหน้า Office 365 ปลอมที่สร้างไว้บนบริการ Web Hosting ของ Microsoft ทำให้เว็บไซต์ปลอมดังกล่าวมีการใช้งาน SSL Certificate ที่เป็นของ Microsoft เพื่อหลอกให้ป้อนรหัสผ่าน

ข้อมูลที่กรอกจะถูกส่งไปที่ hxxps://moxxesd.

Flipboard ผู้ให้บริการข่าวผ่านแอฟได้แจ้งเตือนผู้ใช้งานให้ทำการ รีเซ็ตตั้งพาสเวิดใหม่เนื่องจาก hacker สามารถเข้าถึงฐานข้อมูลของลูกค้ามาได้นานกว่า 9 เดือน

รายงานระบุว่าข้อมูลที่ถูกเข้าถึง มีทั้งชื่อบัญชีผู้ใช้งาน, รหัสผ่าน, อีเมล และดิจิตอลโทเค็นที่เชื่อมโยงกับ Third-party บางรายการ โดยพบว่าข้อมูลถูกเข้าถึงตั้งแต่วันที่ 2 มิถุนายน 2561 ถึง 23 มีนาคม 2562 และครั้งที่สองระหว่างวันที่ 21 เมษายนถึง 22 เมษายน 2562 อย่างไรก็ตามยังมีข่าวดีบ้าง เมื่อ Flipboard ให้ข้อมูลว่ารหัสผ่านถูกจัดเก็บในรูปแบบของค่า Hash ด้วย bcrypt ที่มีการใช้ร่วมกับค่า Salt ทำให้ยากต่อการ crack แม้จะมีบัญชีผู้ใช้งานบางรายที่มีการเปลี่ยนรหัสผ่านก่อนวันที่ 14 มีนาคม ที่จะถูกเก็บในรูปแบบ SHA-1 ซึ่งมีความปลอดภัยที่ต่ำกว่า

Flipboard ไม่เปิดเผยจำนวนบัญชีที่ได้รับผลกระทบ และได้ทำการแจ้งผู้ใช้งานให้ทำการตั้งค่ารหัสผ่านใหม่ รวมทั้ง รีเซ็ตโทเคนที่มีการเชื่อมต่อกับ แอพพลิเคชั่นอื่นๆ อย่าง Facebook, Twitter google และ Samsung แล้ว

ที่มา: zdnet

Cisco อัพเกรด 3 ช่องโหว่ที่เกี่ยวข้องกับ remote code execution (RCE) ส่งผลกระทบกับ web management interfaces ความรุนแรงระดับ Critical ตามที่ Cisco เผยแพร่ล่าสุดวันที่ 15 พฤษภาคมและอัปเดตวันที่ 16 พฤษภาคมที่ผ่านมา พบช่องโหว่ CVE-2019-1821 ซึ่งผู้โจมตีสามารถอาศัยช่องโหว่ดังกล่าวเพื่อเข้าถึง admin interface ได้ทันทีโดยไม่ต้องระบุตัวตน ส่วนช่องโหว่ CVE-2019-1822 และ CVE-2019-1823 ยังต้องการ credentials ของผู้ดูแลระบบที่บันทึกไว้เพื่อเข้าถึง admin interface ช่องโหว่ทั้งสามนี้มีผลต่อซอฟต์แวร์เวอร์ชันต่อไปนี้: Cisco PI Software รุ่นก่อนหน้า 3.4.1, 3.5 และ 3.6 และ EPN Manager รุ่นก่อนหน้า 3.0.1

นอกจากนี้ยังพบช่องโหว่ SQL injection ระดับความรุนแรงสูง CVE-2019-1824 และ CVE-2019-1825 ซึ่ง อนุญาตให้ผู้โจมตีจากระยะไกล ผลิตภัณฑ์ที่อาจถูกโจมตีจากผู้โจมตีโดยการใช้ประโยชน์จากปัญหาซอฟต์แวร์ทั้งสองนี้คือ Cisco PI Software รุ่นก่อนหน้า 3.4.1, 3.5 และ 3.6 และ EPN Manager รุ่นก่อนหน้า 3.0.1

ที่มา : bleepingcomputer

SandboxEscaper เผยแพร่ช่องโหว่ zero-day ของระบบปฏิบัติการวินโดวส์อีกครั้งในวันที่ 23 พฤษภาคม 2019 โดยปล่อยช่องโหว่ดังกล่าวหลังจาก Microsoft ออกแพตช์ประจำเดือนพฤษภาคม 2019 เพียง 1 สัปดาห์

ซึ่งช่องโหว่นี้เป็นครั้งที่ห้าที่ SandboxEscaper ออกมาเผยแพร่โดยเริ่มจากเมื่อปลายเดือนสิงหาคม 2018 ช่องโหว่ในครั้งนี้เป็นช่องโหว่ที่ทำให้ผู้ใช้งานที่มีสิทธิ์จำกัดสามารถควบคุมไฟล์ที่เข้าถึงได้เฉพาะสิทธิ์สูงสุดอย่าง SYSTEM และ TrustedInstaller เท่านั้น

เช่นเดียวกับช่องโหว่ที่เคยถูกเผยแพร่ SandboxEscaper จะมุ่งเน้นการหาช่องโหว่ใน Task Scheduler โดยใช้ Task Scheduler นำเข้าระบบ tasks เก่าๆ เช่น นำเข้า Task ในรูปแบบ .JOB ซึ่งเป็นรูปแบบ Task ในสมัย Windows XP แต่ยังสามารถเพิ่ม .JOB ในระบบปฏิบัติการเวอร์ชันที่ใหม่กว่าได้

เมื่อ Task Scheduler นำเข้าไฟล์ .JOB ที่มี DACL (discretionary access control list) ที่ไม่ถูกต้อง ระบบจะให้สิทธิ์การเข้าถึงไฟล์แก่ผู้ใช้อย่างเต็มรูปแบบ โดย SandboxEscaper ทำการโจมตี Task Scheduler บน Windows 10 โดยการเรียกใช้คำสั่ง executables 'schtasks.

Apple ได้ทำการปล่อยอัพเดตแพตช์ด้านความปลอดภัยเพื่อแก้ไขช่องโหว่ในหลายผลิตภัณฑ์ ได้แก่
• watchOS 5.2.1
• Safari 12.1.1
• Apple TV Software 7.3
• tvOS 12.3
• iOS 12.3 และ
• macOS Mojave 10.14.5, Security Update 2019-003 High Sierra, Security Update 2019-003 Sierra
ช่องโหว่ที่มีความรุนแรงสูงสุดที่ถูกแก้ไขในแพตช์นี้สามารถถูกผู้โจมตีใช้ควบคุมเครื่องได้จากระยะไกล ผู้โจมตีสามารถติดตั้งโปรแกรมอยู่กับสิทธิที่เกี่ยวข้องกับผู้ใช้ ดูการเปลี่ยนแปลงหรือลบข้อมูล หรือสร้างบัญชีใหม่ที่มีสิทธิผู้ใช้เต็มรูปแบบ แนะนำให้ผู้ใช้งานทำการอัปเดตแพตช์

ที่มา : us-cert