ตรวจพบสายพันธุ์ ransomware ใหม่ ชื่อ MegaCortex ที่กำหนดเป้าหมายไปยังภาคธุรกิจ

Sophos บริษัท รักษาความปลอดภัยไซเบอร์แห่งสหราชอาณาจักรรายงานว่ามีการตรวจพบการโจมตี ransomware ในปลายสัปดาห์ที่ผ่านมาจากสายพันธุ์ใหม่ที่ชื่อว่า MegaCortex และดูเหมือนจะได้รับการออกแบบมาเพื่อโจมตีองค์กรขนาดใหญ่คล้ายกับ Ryuk, Bitpaymer, Dharma, SamSam, LockerGoga และ Matrix

MegaCortex ได้ถูกพบครั้งแรกเมื่อปลายเดือนมกราคมเมื่อมีคนอัพโหลดตัวอย่างบนบริการสแกนมัลแวร์ VirusTotal นับตั้งแต่นั้นมาจำนวนการโจมตีเพิ่มขึ้น เมื่อกลางสัปดาห์ที่ผ่านมาได้ตรวจพบการโจมตี 47 ครั้ง

Sophos กล่าวว่าบล็อกการโจมตีที่ตรวจพบซึ่งมาจากเครือข่ายองค์กรหลายแห่งที่ตั้งอยู่ในสหรัฐอเมริกา แคนาดา เนเธอร์แลนด์ ไอร์แลนด์ อิตาลี และฝรั่งเศส อย่างไรก็ตามการโจมตีอื่น ๆ อาจเกิดขึ้นในที่อื่น ๆ ที่ Sophos ไม่ครอบคลุม

ที่มา:www.

แฮกเกอร์เรียกค่าไถ่แลกกับการไม่เปิด git repository เป็นสาธารณะ หากผู้ที่ตกเป็นเหยื่อไม่ชำระเงินใน 10 วัน

แฮกเกอร์อ้างว่าซอร์สโค้ดทั้งหมดได้รับการดาวน์โหลดและเก็บไว้ในเซิร์ฟเวอร์ตัวใดตัวหนึ่งแล้วให้เหยื่อจ่ายเงินค่าไถ่ 10 วัน ชำระเงินเป็น 0.1 Bitcoin (~ $ 570) มิฉะนั้นพวกเขาจะทำให้ซอร์สโค้ดเป็นสาธารณะ การโจมตีครั้งนี้เกิดกับหลายๆ บริการโฮสติ้ง Git ทั้ง GitHub Bitbucket และ GitLab และยังไม่ชัดเจนว่าเกิดขึ้นได้อย่างไร
โดยแฮกเกอร์จะลบซอร์สโค้ดทั้งหมดและ commit ล่าสุดจากบริการโฮสติ้ง Git ของเหยื่อ

จากการสำรวจของ GitHub พบว่า git repository บน GitHub อย่างน้อย 392 แห่งได้ถูกเรียกค่าไถ่แล้ว และจากข้อมูลของ BitcoinAbuse.

หน่วยงานความมั่นคงปลอดภัยและโครงสร้างพื้นฐานทางไซเบอร์ (CISA) ของสหรัฐอเมริกาออกมาแจ้งเตือนให้ผู้ใช้งานตรวจสอบการตั้งค่าที่ไม่ปลอดภัยบนอุปกรณ์ หรือระบบ SAP ของตนเอง ซึ่งอาจถูกใช้เป็นช่องทางในการโจมตีของผู้ไม่หวังดี

ในงานสัมมนาด้านความปลอดภัยทางไซเบอร์ Operation for Community Development and Empowerment (OPCDE) เมื่อเดือนเมษายนที่ผ่านมา ได้มีการนำเสนอปัญหาการตั้งค่าที่ไม่ปลอดภัยบน SAP ที่เปิดให้สามารถเข้าถึงจากภายนอกได้ อาจจส่งผลให้ผู้ไม่หวังดีสามารถใช้เป็นช่องทางในการโจมตีผ่านการใช้เครื่องมือที่ชื่อว่า "10KBLAZE"

โดยมีส่วนที่ควรต้องตรวจสอบ ดังต่อไปนี้
SAP Gateway ACL
SAP Gateway เป็นส่วนที่อนุญาตให้แอปพลิเคชันที่ไม่ใช่ SAP สื่อสารกับแอปพลิเคชัน SAP ได้ โดยจะมีการตั้งค่า Access Control Lists (ACLs) เป็นตัวควบคุม แต่ถ้าหากมีการตั้งค่าที่ไม่เหมาะสม เช่น gw/acl_mode = 0 จะส่งผลให้ผู้ใช้งานที่ไม่ระบุตัวตน (Anonymous) สามารถสั่งรันคำสั่งระดับระบบปฏิบัติการ (OS) ได้ พบว่ามีระบบ SAP ประมาณ 900 รายการ ในสหรัฐอเมริกา ที่มีการตั้งค่าไม่เหมาะสมและสามารถเข้าถึงได้จากภายนอก

SAP Router secinfo
SAP Router เป็นโปรแกรมที่ช่วยเชื่อมต่อระบบ SAP กับเครือข่ายภายนอก โดยเริ่มต้นจะมีการกำหนดค่าตัวแปร "secinfo" ของ SAP Gateway อนุญาตให้โฮสต์ภายในสามารถสั่งรันคำสั่ง OS โดยไม่ต้องระบุตัวตน (Anonymous) ดังนั้นถ้าหากผู้โจมตีสามารถเข้าถึง SAP Router ที่มีใช้งานการกำหนดค่าแบบเริ่มต้นได้ จะส่งผลให้ผู้ไม่หวังดีสามารถใช้ router เพื่อทำหน้าที่เป็นโฮสต์ภายในและ Proxy เพื่อส่งคำสั่งที่เป็นอันตรายได้ (remote code execution) พบว่ามี SAP Router ประมาณ 1,811 รายการในสหรัฐอเมริกาที่สามารถเชื่อมต่อกับภาย เสี่ยงต่อการถูกโจมตี

SAP Message Server
SAP Message Server จะทำหน้าที่เป็นตัวกลางระหว่าง Application Servers (AS) โดยการตั้งค่าเริ่มต้นจะกำหนดให้มีการเปิด Port 39xx เอาไว้ และไม่มีการตรวจสอบสิทธิ์ (authentication) เพื่อใช้งาน ดังนั้นหากผู้ไม่หวังดีสามารถเข้าถึง Message Server ได้ จะส่งผลให้สามารถเปลี่ยนเส้นทาง และ/หรือทำตัวเป็น Man-in-the-middle (MITM) เพื่อดักการส่งข้อมูล และขโมยข้อมูลสำคัญ (credentials) เพื่อนำไปใช้ในการเข้าถึง Application Servers (AS) และสั่งรันคำสั่งที่เป็นอันตรายได้ พบว่ามี Message Server ประมาณ 693 รายการในสหรัฐอเมริกาที่สามารถเข้าถึงได้จากภายนอก และเสี่ยงต่อการถูกโจมตี ทั้งนี้ผู้ใช้งานที่มีการใช้งาน IPS หรือ IDS สามารถใช้ Snort signature ที่มีมาให้ในลิงก์ที่มาเพื่อช่วยในการตรวจจับหรือป้องกันได้

CISA แนะนำให้ผู้ดูแลระบบ SAP ดำเนินการดังต่อไปนี้ เพื่อลดความเสี่ยงที่ระบบของตนเองอาจตกเป็นเหยื่อจากการโจมตี
- ตรวจสอบระบบของตนเอง เพื่อให้แน่ใจว่าการกำหนดค่านั้นมีความปลอดภัยเพียงพอแล้วหรือยัง
- จำกัดการเข้าถึง SAP Message Server โดย:
1. กำหนดค่า ACL ให้เฉพาะผู้ที่มีสิทธิ์เข้าถึงบน Gateways (gw/acl_mode และ secinfo) และ Message Server (ms/acl_info) สามารถศึกษาได้จาก SAP Notes 1408081 และ 821875
2. แยก Message Server Internal และ Public (rdisp/msserv=0 rdisp/msserv_internal=39NN) สามารถศึกษาได้จาก SAP Note 1421005
3. จำกัดการเข้าถึงพอร์ตภายในของ Message Server (tcp / 39NN) สำหรับผู้ใช้งานหรือจากภายนอก
- เปิดใช้งาน Secure Network Communications (SNC) สำหรับผู้ใช้งาน

* ตรวจสอบให้แน่ใจว่าระบบ SAP ในองค์กร ไม่ว่าจะเป็นส่วนใดก็ตาม ไม่ควรที่จะสามารถเข้าถึงได้จากภายนอก

ที่มา: www.

Cisco แก้ไขข้อบกพร่องความรุนแรงระดับสูง 2 รายการที่ผู้โจมตีสามารถโจมตีระยะไกลมายังเครื่องเป้าหมายได้จนเกิดการหยุดทำงาน (DoS) เมื่อวันที่ 3 พฤษภาคม 2019

ช่องโหว่ที่มีผลกระทบได้กว้างที่สุดคือ CVE-2019-1721 ซึ่งเป็นข้อบกพร่องในส่วน phone-book ของ Cisco Expressway Series และ Cisco TelePresence Video Communication Server ซึ่ง Cisco แจ้งลูกค้าเมื่อวันศุกร์ที่ผ่านมาซึ่งระบุว่าข้อบกพร่องดังกล่าวอาจทำให้ผู้โจมตีควบคุมเครื่องจากระยะไกล สามารถทำให้ CPU เพิ่มการใช้งานได้ถึง 100 เปอร์เซ็นต์จนเกิดการหยุดทำงาน

อีกช่องโหว่ที่ทำให้เกิดการหยุดทำงานได้นั้นถูกสร้างขึ้นเมื่อเกิดการโจมตีโดยใช้จุดบกพร่องที่มีความรุนแรงสูง (CVE-2019-1694) ในส่วนประมวลผล TCP ของซอฟต์แวร์ Cisco Adaptive Security Appliance (ASA) และซอฟต์แวร์ Cisco Firepower Threat Defense (FTD) ในทุกอุปกรณ์ของ Cisco เครื่องเราเตอร์ Cisco 7600 series ไปจนถึง Adaptive Security Virtual Appliance

นอกจากนี้ Cisco ยังแก้ไขข้อผิดพลาดความรุนแรงระดับปานกลางอื่นๆ เมื่อวันที่ 3 พฤษภาคม 2019 อีกด้วย ได้แก่ ข้อผิดพลาด (CVE-2019-1712) ซึ่งเชื่อมโยงกับคุณสมบัติ Protocol Independent Multicast (PIM) ของซอฟต์แวร์ Cisco IOS XR ซึ่งใช้ในเราเตอร์ Cisco ASR 9000 ซีรี่ส์จำนวนหนึ่ง และช่องโหว่ (CVE-2019-1844) อาจทำให้ผู้โจมตีสามารถโจมตีจากระยะไกล สามารถข้ามฟังก์ชันการกรองของ Cisco Email Security Appliance ที่ได้รับผลกระทบ ทำให้ผู้โจมตีสามารถส่งอีเมลที่มีข้อความอันตรายได้

ผู้ดูแลระบบควรศึกษาคำแนะนำของ Cisco เพื่ออัปเดตผลิตภัณฑ์จาก tools.

พบกล้องวงจรปิดมากกว่า 2 ล้านตัว มีช่องโหว่ที่ร้ายแรงทำให้ผู้โจมตีควบคุมและใช้เพื่อแอบดูพฤติกรรมของผู้ใช้งานได้ ปัจจุบันยังไม่มีการแก้ไขข้อบกพร่องนี้

Paul Marrapese วิศวกรด้านความปลอดภัยที่ค้นพบข้อบกพร่องกล่าวว่า มีอุปกรณ์มากกว่า 2 ล้านรายการที่มีการใช้งานซอฟต์แวร์ iLnkP2P ที่ถูกติดตั้งไว้ในอุปกรณ์ IoT ซึ่งมีผู้ผลิตอุปกรณ์จำนวนมากที่ใช้งานซอฟต์แวร์ดังกล่าว อาทิเช่น HiChip, TENVIS, SV3C, VStarcam, Wanscam, NEO Coolcam, Sricam, Eye Sight และ HVCAM ทำให้สามารถระบุอุปกรณ์ที่มีช่องโหว่ได้ยาก มีการแจ้งปัญหาไปยัง Shenzhen Yunni Technology ที่เป็นผู้พัฒนาซอฟต์แวร์ดังกล่าวแล้ว แต่ไม่มีการตอบสนองใดๆ กลับมา จึงมีการตัดสินใจเปิดเผยช่องโหว่ดังกล่าวนี้ออกมาเมื่อวันที่ 24 เมษายนที่่ผ่านมา

การโจมตีเกิดจากปัญหาการสื่อสารแบบเพียร์ทูเพียร์ (P2P) ในซอฟต์แวร์ iLnkP2P ส่งผลให้ผู้โจมตีสามารถเข้าถึงอุปกรณ์ได้โดยไม่ต้องมีการกำหนดค่า configuration ใดๆ เพิ่มเติม ช่องโหว่ที่พบมี 2 รายการด้วยกัน คือ ช่องโหว่ CVE-2019-11219 ที่ส่งผลให้ผู้ไม่หวังดีสามารถเชื่อมต่อเพื่อเข้าถึงอุปกรณ์ที่ออนไลน์อยู่ และช่องโหว่ CVE-2019-11220 เป็นปัญหาการตรวจสอบความถูกต้องในการ Authentication เข้าสู่ระบบ ส่งผลให้ผู้ไม่หวังดีสามารถโจมตีจากระยะไกลเพื่อดักการรับส่งข้อมูลของผู้ใช้กับอุปกรณ์ที่อยู่ในรูปแบบ cleartext ซึ่งรวมถึง Video Streaming และข้อมูลสำคัญของอุปกรณ์

ผู้ใช้งานสามารถตรวจสอบว่าอุปกรณ์ของตนเองได้รับผลกระทบหรือไม่จากชุดอักษรตัวหน้าของ UID บนอุปกรณ์ โดยสามารถดูรายการของชุดตัวอักษรได้จากลิงก์ที่มาด้านล่าง ทั้งนี้มีคำแนะนำจากผู้ค้นพบช่องโหว่นี้ระบุว่า ให้ผู้ใช้งานที่พบว่าได้รับผลกระทบปิดการเชื่อมต่อผ่าน Port 32100/UDP ที่จะออกไปภายนอก หรือทำการซื้ออุปกรณ์ใหม่มาทดแทนอุปกรณ์ที่มีปัญหา

ที่มา:threatpost

พบการโจมตีช่องโหว่ระดับวิกฤติใน Oracle WebLogic

เมื่อวันที่ 21 เมษายน 2019 ทีม KnownSec 404 จาก ZoomEye ประกาศการค้นพบช่องโหว่ระดับวิกฤติใน Oracle WebLogic ได้รับ CVE-2019-2725 ช่องโหว่ดังกล่าวกระทบ Oracle WebLogic Server รุ่น 10.3.6.0 และรุ่น 12.1.3.0 ด้วยความร้ายแรงของช่องโหว่นี้ทำให้ Oracle ได้ออกแพตช์เฉพาะกิจมาเพื่อแก้ไขช่องโหว่ดังกล่าวในวันที่ 26 เมษายน 2019 โดยสามารถอ่านรายละเอียดของแพตช์ดังกล่าวได้จาก [https://www.

ช่องโหว่หมายเลข CVE-2019-0859 ที่ส่งผลให้มีการเพิ่มระดับสิทธิ์ และมีการแอบฝัง PowerShell backdoor ไปยังระบบปฎิบัติการ Windows ได้ ปัจจุบันได้ถูกแก้ไขแพทช์ล่าสุดของ Microsoft และมีการอัพเดทแพทช์ ประจำเดือนเมษายน 2019 แล้ว

ทาง Kaspersky กล่าวว่าช่องโหว่นี้เกิดจากข้อผิดพลาดในการใช้งานฟรี จะถูกใช้โดยนักแสดงการคุกคามที่ไม่มีชื่อในการดำเนินการ PowerShell ซึ่งเป็นงานอัตโนมัติของ Microsoft และการจัดการการกำหนดค่าเพื่อพยายามดาวน์โหลดสคริปต์ขั้นที่สองจาก Pastebin สคริปต์ระยะที่สองนี้เรียกใช้สคริปต์อื่นที่คลายการใช้ shellcode และ shellcode สร้าง HTTP reverse shell ที่ทำให้ผู้โจมตีสามารถควบคุมอุปกรณ์เป้าหมายได้อย่างสมบูรณ์ ส่วนใหญ่จะถูกโจมตีสำหรับ Windows รุ่น 64 บิต (ตั้งแต่ Windows 7 ไปจนถึงรุ่นเก่ากว่าของ Windows 10) และใช้ประโยชน์จากช่องโหว่โดยใช้เทคนิค HMValidateHandle ที่รู้จักกันดีในการเลี่ยง ASLR

ส่วนช่องโหว่อื่นๆของ Windows เช่น (CVE-2019-0803) ที่คล้ายกับช่องโหว่ที่ระบุโดย Kaspersky นั้นได้รับการแก้ไขในเดือนนี้โดย Microsoft ข้อบกพร่องดังกล่าวซึ่งรายงานโดย บริษัท Donghai Zhu ของทีมรักษาความปลอดภัยข่าวกรอง Cloud ของ Alibaba ก็ถูกนำไปใช้เช่นกัน แต่ก็ไม่มีรายละเอียดใด ๆ เกี่ยวกับการโจมตี

ที่มา: www.

Facebook ออกแถลงการณ์ยอมรับว่าได้เก็บรหัสผ่านของผู้ใช้ Instagram นับล้านผู้ใช้ในรูปแบบการจัดเก็บเป็นข้อความธรรมดาบน log ของเซิร์ฟเวอร์ภายใน

Facebook ออกแถลงการณ์เพื่ออัปเดตข้อมูลจากเหตุการณ์เมื่อเดือนที่แล้วที่พบว่ามีการจัดเก็บรหัสผ่านของผู้ใช้จำนวนมากในรูปแบบการจัดเก็บเป็นข้อความธรรมดาบน log ของเซิร์ฟเวอร์ภายใน ประกอบไปด้วยรหัสผ่านของผู้ใช้งาน Facebook Lite จำนวนหลายร้อยล้านผู้ใช้ รหัสผ่านของผู้ใช้ Facebook จำนวนหลายสิบล้านผู้ใช้และรหัสผ่านของบัญชี Instagram จำนวนหลายหมื่นผู้ใช้ แต่จากการตรวจสอบเพิ่มเติมล่าสุด Facebook พบว่ามีการจัดเก็บรหัสผ่านของบัญชี Instagram มากกว่านั้นเป็นจำนวนกว่าล้านผู้ใช้งาน

โดยรหัสผ่านดังกล่าวถูกจัดเก็บในรูปแบบข้อความธรรมดา (plain text) บน log ของเซิร์ฟเวอร์ภายในของ Facebook โดย log สามารถเข้าถึงได้โดยพนักงานของ Facebook เท่านั้น และจากการสอบสวนพบว่ายังไม่มีการใช้งานรหัสผ่านดังกล่าวในทางที่ผิดจากการพนักงานของ Facebook ซึ่งจะมีการแจ้งผู้ใช้งานที่ได้รับผลกระทบต่อไป

ทั้งนี้ผู้ใช้งาน Instagram ควรทำการเปลี่ยนรหัสผ่านเพื่อความปลอดภัย

ที่มา: www.

Drupal ระบบการจัดการเนื้อหาแบบ open-source ที่ได้รับนิยมเผยแพร่การปรับปรุงด้านความปลอดภัยเพื่อแก้ไขช่องโหว่ความรุนแรงระดับ Moderately Critical ใน Drupal Core ที่อาจทำให้ผู้โจมตีจากระยะไกลสามารถแฮ็กเว็บไซต์ได้

ผู้พัฒนาของ Drupal ระบุว่าช่องโหว่ด้านความปลอดภัยทั้งหมดของ Drupal ที่ได้รับการปรับปรุงในเดือนนี้เกิดจากการใช้งาน Libraries ภายนอก (third-party libraries) ซึ่งรวมอยู่ใน Drupal 8.6, Drupal 8.5 หรือก่อนหน้า รวมไปถึง Drupal 7 หนึ่งในข้อบกพร่องด้านความปลอดภัยดังกล่าวคือช่องโหว่ cross-site scripting (XSS) ที่อยู่ใน JQuery ซึ่งเป็น JavaScript library ที่ได้รับความนิยมมากที่สุดที่ถูกใช้งานโดยเว็บไซต์หลายล้านแห่ง รวมถึงได้รับการติดตั้งรวมมากับ Drupal Core ทำให้เมื่อ JQuery ได้เปิดตัว jQuery 3.4.0 เวอร์ชั่นล่าสุด เพื่อแก้ไขช่องโหว่ดังกล่าว Drupal จึงจำเป็นต้องอัปเดตเพื่อแก้ไขช่องโหว่นี้ด้วย

ช่องโหว่ด้านความปลอดภัยอีก 3 ช่องโหว่ที่ได้รับการปรับปรุงในเดือนนี้ อยู่ในส่วนของ Symfony PHP components ที่ใช้โดย Drupal Core ซึ่งอาจส่งผลให้เกิดการโจมตี Cross-site Scripting (CVE-2019-10909), Remote Code Execution (CVE-2019-10910) และ Authentication Bypass (CVE-2019-1091)

แนะนำให้อัปเดต Drupal เป็นเวอร์ชันล่าสุดเพื่อลดความเสี่ยงจากการถูกโจมตีจากช่องโหว่โดย
ในกรณีที่ใช้ Drupal 8.6 ควรอัปเดตให้เป็นรุ่น 8.6.15
ในกรณีที่ใช้ Drupal 8.6 ควรอัปเดตให้เป็นรุ่น 8.5.15
หรือในกรณีที่ใช้ Drupal ควรอัปเดตให้เป็นรุ่น 7 7.66

ที่มา: thehackernews.

กลุ่มแฮกเกอร์ชื่อว่า "Sea Turtle" ที่เชื่อว่าได้รับการสนับสนุนจากรัฐบาล โจมตีเพื่อทำการควบคุม DNS ในหลายประเทศ (DNS Hijacking) และใช้เป็นเครื่องมือในการเปลี่ยนเส้นทาง เพื่อหลอกลวงเหยื่อไปยังเว็บไซต์ปลอมและขโมยข้อมูลสำคัญ

เมื่อสัปดาห์ที่ผ่านมามีรายงานจาก Cisco Talos ระบุว่าพบมีหน่วยงานและองค์กรทั้งจากภาครัฐและเอกชนประมาณ 40 แห่งใน 13 ประเทศของตะวันออกกลางและอเมริกาเหนือตกเป็นเหยื่อการโจมตีที่ยาวนานมาตั้งแต่เมื่อประมาณสองปีที่แล้ว โดยผู้โจมตีจะทำการควบคุม DNS Server ของเหยื่อ เพื่อกำหนดเส้นทางการรับส่งข้อมูลไปยังเว็บไซต์ที่ถูกสร้างขึ้นให้เหมือนเว็บไซต์จริงที่ถูกต้อง เพื่อขโมยข้อมูลสำคัญ อย่างเช่นชื่อผู้ใช้งาน และรหัสผ่านสำหรับเข้าสู่ระบบ เพื่อนำไปใช้ขโมยข้อมูลสำคัญในองค์กรต่อไป อย่างเช่น SSL Certificate เป็นต้น

ทั้งนี้เชื่อว่าวิธีการที่กลุ่มแฮกเกอร์ใช้ในการโจมตีครั้งนี้มีทั้งการหลอกให้พนักงานที่อยู่ในบริษัทที่รับจดทะเบียนโดเมนติดตั้งมัลแวร์ผ่านอีเมลหลอกลวงที่ส่งมา (Spear Phishing) และอาศัยช่องโหว่ในระบบเพื่อเข้าถึงระบบ โดยหนึ่งในช่องโหว่ที่เชื่อว่าถูกนำมาใช้คือ ช่องโหว่ที่อนุญาตให้สามารถรันคำสั่งอันตราย (RCE) ผ่าน Telnet ใน Cluster Management Protocol ของ Cisco IOS และ IOS XE Router (CVE-2017-3881)

Cisco Talos ได้แนะนำให้องค์กรที่มีการใช้งาน DNS Record เลือกที่จะใช้งาน Registry Lock Service เพื่อแจ้งให้ทราบเมื่อพบว่ามีความพยายามเปลี่ยนแปลง DNS Record หรือเลือกใช้งาน multi-factor authentication เช่น DUO เพื่อเข้าถึง DNS Record ขององค์กร นอกเหนือจากนี้ไม่ควรมองข้ามการแพทช์เครื่อง server ให้อัพเดทอย่างสม่ำเสมอ

สามารถอ่านข้อมูล IOCs ได้จากรายงานฉบับเต็ม:blog.