นักวิจัยด้านความปลอดภัยออกมาเปิดเผยรายละเอียดสำหรับช่องโหว่ CVE-2018-8476 บนWindows Server ช่องโหว่ดังกล่าวถูกแก้ไขในแพตช์ประจำเดือนพฤศจิกายน ปี 2561 ที่ผ่านมา ช่องโหว่นี้ส่งผลทำให้แฮกเกอร์สามารถโจมตีด้วยวิธีแทรกแซง Windows Server installation และใช้บริการ Windows Deployment Services (WDS) ในทางที่ผิดเพื่อยึดเครื่องและวาง backdoor ได้ โดยช่องโหว่ดังกล่าวส่งผลกระทบต่อตั้งแต่ Windows Server 2008 SP2 ไปจนถึงรุ่นล่าสุดและกระทบ Windows Deployment Services (WDS) ที่มาพร้อมกับระบบ
Omri Herscovici นักวิจัย Check Point ได้ทดสอบสร้างแพ็กเก็ตที่มีรูปแบบไม่ถูกต้องซึ่งจะทำให้เกิดการเรียกใช้โค้ดที่เป็นอันตรายบน Windows Server ทำให้แฮกเกอร์สามารถเข้ายึด Windows Server ได้
ทั้งนี้หากแฮกเกอร์เข้าควบคุม Windows Server ได้เขาจะสามารถควบคุมเครือข่ายทั้งหมดได้อย่างสมบูรณ์และสามารถใช้บริการ WDS เดียวกันเพื่อลงโปรแกรมอันตราย เช่น backdoor ไปยังระบบภายในได้อย่างง่ายดาย
ทางด้าน Microsoft และ Herscovici ยังไม่พบการโจมตีใด ๆ จากช่องโหว่นี้ แต่หลังจากมีการเผยแพร่รายงานนี้อาจมีผู้ไม่หวังดีพยายามโจมตีช่องโหว่ได้
ข้อแนะนำ: ผู้ดูแลระบบควรอัพเดทแพทช์ประจำเดือนพฤศจิกายน 2561 ให้กับ Windows Server 2008 SP2 ไปจนถึงรุ่นล่าสุด

ที่มา: zdnet.

Necurs botnet ปัจจุบันเป็นบอทเน็ตที่มีขนาดใหญ่เป็นอันดับสอง โดยมันเรื่มมาตั้งแต่ปี 2012 และมันเกี่ยวข้องกับการแผ่ขยาย ransomware อย่าง Locky, Scarab และ โทรจันอย่าง Dridex ตามที่ผู้เชี่ยวชาญได้บอก Necurs botnet ปัจจุบันมีอยู่กว่า 570,000 ตัวที่ใช้งานได้กระจายทั่วโลกโดยมากสุดในประเทศอินเดีย อินโดนิเซีย เวียดนาม ตรุกี และ อิหร่าน และคาดการณ์ว่า Necurs botnet ที่ไม่สามารถติดต่อกับเซิร์ฟเวอร์ควบคุมได้กว่า 90,000 ตัวกระจายอยู่ทั่วโลก

โดย Necurs botnet หยุดการเคลื่อนไหวไปในช่วงต้นปี 2017 และกลับมาเคลื่อนไหวอีกครั้งในช่วงเมษายน 2017 โดยพบว่ามีการเพิ่มการใช้เทคโนโลยีใหม่ๆ เพื่อหลบการตรวจจับจากอุปกรณ์ต่างๆ ซึ่งในปัจจุบันผู้เชี่ยวชาญกล่าวว่า Necurs botnet มีการพัฒนาความสามารถในการหลบการตรวจจับจากอุปกรณ์ต่างๆ ให้ดีขึ้นรวมถึงพัฒนาความสามารถในการแพร่กระจาย

โดยผู้เชี่ยวชาญจาก Black Lotus Labs พบว่าเซิร์ฟเวอร์ควบคุม Necurs มีการทำงานเป็นรอบๆ โดยจะปิดตัวเอง ลงและเปิดกลับขึ้นใหม่เป็นระยะ ทำให้ตัว Necurs botnet หยุดการทำงานเป็นช่วงๆ ซึ่งทำให้ตรวจจับไม่พบ

ผู้เชี่ยวชาญ CenturyLink อธิบายถึงความพยายามที่จะทำลายโครงสร้างของ Necurs อย่างไรก็ตามการดำเนินการนั้นไม่ง่ายเพราะว่าโครงสร้างพื้นฐานของ Necurs มีการใช้งาน domain generation algorithm (DGA) เพื่อหลีกเลี่ยงการตรวจจับ เมื่อเจ้าของ Necurs botnet ทำการจด DGA โดเมนเพื่อใช้เป็นเซิร์ฟเวอร์ควบคุม โดเมนตัวนั้นจะไม่เชื่อมกับ IP ที่แท้จริงของเซิร์ฟเวอร์ควบคุมนั้น ทำให้นักวิจัยไม่สามารถหา IP ที่แท้จริงของเซิร์ฟเวอร์ควบคุมได้ และจัดการปิดได้ยากขึ้น แต่ DGA เป็นดาบสองคมเพราะช่วยให้นักวิจัยด้านความปลอดภัยสามารถวิเคราะห์ DNS และ network traffic เพื่อค้นหา Necurs botnet ได้เหมือนกัน

ที่มา:securityaffairs

Adobe ได้ประกาศอัปเดตช่องโหว่ที่สำคัญในระบบ ColdFusion (CVE-2019-7816) ส่งผลให้ให้ผู้ไม่หวังดีสามารถสั่งรันคำสั่งที่เป็นอันตรายบนเครื่องที่มีปัญหาผ่านบริการของ ColdFusion ได้

ช่องโหว่เป็นข้อบกพร่องในส่วนของการป้องกันการอัพโหลดไฟล์ ผู้ไม่หวังดีจึงสามารถอัพโหลดไฟล์ที่เป็นอันตรายไปยังไดเรกทอรีที่สามารถเข้าถึงได้แบบออนไลน์ จากนั้นจึงสั่งรันไฟล์อันตรายดังกล่าวผ่านทาง HTTP นอกจากนี้เมื่อเดือนพฤศจิกายนก็ได้มีการค้นพบช่องโหว่ที่เป็นปัญหาเกี่ยวกับการจำกัดสิทธิ์ของการอัพโหลดไฟล์ใน ColdFusion (CVE-2018-15961) เช่นเดียวกัน และพบว่าช่องโหว่ดังกล่าวถูกใช้โจมตีโดยกลุ่มอาชญากรรมทางไซเบอร์จากประเทศจีน เพื่อทำการอัพโหลดไฟล์อันตรายที่มีชื่อว่า "China Chopper"

ผู้ใช้งานที่มีการใช้ ColdFusion 2018, ColdFusion 2016 และ ColdFusion 11 ควรทำการอัปเดตเพื่อแก้ไขปัญหาดังกล่าว

ที่มา:securityaffairs

Cisco แนะนำให้ลูกค้าทำการอัพเดตอุปกรณ์ wireless VPN และ firewall router เนื่องจากพบช่องโหว่ (CVSS 9.8) ทำให้โจมตีได้จากระยะไกลโดยที่ไม่ต้องตรวจสอบสิทธิ์ก่อน เพื่อสั่งรันคำสั่งที่เป็นอันตรายได้

ช่องโหว่ CVE-2019-1663 ถูกค้นพบโดยนักวิจัยด้านความปลอดภัยจาก Pen Test Partners ส่งผลกระทบต่อ Cisco RV110W Wireless-N VPN Firewall, Cisco RV130W Wireless-N Multifunction VPN Router, และ Cisco RV215W Wireless-N VPN Router ช่องโหว่ดังกล่าวพบว่าอยู่ในส่วนการจัดการผ่านเว็บ (web-based management interface) สำหรับเราเตอร์ ทั้ง 3 รุ่น ผู้โจมตีสามารถส่งคำขอ HTTP ที่เป็นอันตรายไปยังอุปกรณ์เป้าหมายที่ได้รับผลกระทบและรันโค้ดที่เป็นอันตราย

Ryan Seguin วิศวกรของ Tenable กล่าวว่าช่องโหว่นี้เกิดจากปัญหาของ Input field สำหรับการ authentication เพื่อเข้าสู่ระบบ ส่งผลให้เกิด buffer overflow และสามารถสั่งรันคำสั่งได้จากหน่วยความจำของอุปกรณ์

ที่มา:threatpost

นักวิจัยได้มีการเปิดเผยข้อมูลเกี่ยวกับ Phishing Campaign ล่าสุดที่พุ่งเป้าไปยังผู้ใช้งาน Online banking มีการพยายามปลอมเป็น Google เพื่อขโมยข้อมูลสำคัญ

จากรายงานของนักวิจัยจาก Sucuri ระบุว่าผู้โจมตีมีเป้าหมายเป็นผู้ใช้งานและธนาคารในโปแลนด์ โดยอาศัยการแอบอ้างว่าเป็นระบบ Google reCAPTCHA
อีเมลดังกล่าวจะมีเนื้อหาที่แจ้งว่าพบการทำรายการ (transaction) ที่ผิดปกติ หากพบว่าเป็นรายการที่ไม่ถูกต้องให้กดปุ่ม "verify" เพื่อยืนยันความผิดปกติที่เกิดขึ้น แทนที่จะใช้เป็นการเปลี่ยนเส้นทาง (redirect) ไปยังหน้าปลอมของธนาคารเหมือนการหลอกลวงอื่นๆ แต่กลับเป็นการเปิด PHP ที่จะแสดงหน้า error 404 ปลอมขึ้นมาแทน หน้าดังกล่าวจะมีสคริปต์สำหรับตรวจสอบว่าเป็นการเรียกจาก Google crawler หรือไม่ หากพบว่าไม่ใช่ก็จะแสดงหน้า Google reCAPTCHA ที่ถูกเขียนด้วย JavaScript และ HTML ขึ้นมา หากเหยื่อหลงเชื่อกด CAPTCHA สคริปต์จะทำการตรวจสอบว่าเรียกมาจากอุปกรณ์ใด หากเป็น Android จะมีการดาวน์โหลดไฟล์ .apk หากไม่ใช่จะทำการดาวน์โหลด .zip แทน แต่จากตัวอย่างที่พบส่วนมากจะเป็นมัลแวร์บน Android โดยตัวมัลแวร์จะทำการเก็บข้อมูลสถานะของอุปกรณ์มือถือ, ตำแหน่งที่ใช้งาน และรายชื่อผู้ติดต่อ, มีการตรวจสอบรายการข้อความบนเครื่อง และทำการส่งข้อความ หรือโทรศัพท์ออกไปผ่านเครื่องของเหยื่อ, มีการบันทึกเสียงผู้ใช้งาน รวมถึงขโมยข้อมูลสำคัญอื่นๆ ออกไป

มัลแวร์ดังกล่าวถูกตรวจจับได้แล้วด้วย anti-virus หลายๆ ตัว ที่มีการให้ signature แตกต่างกันออกไป ยกตัวอย่างเช่น Banker, BankBot, Evo-gen, Artemis และอื่นๆ การหลีกเลี่ยงที่จะตกเป็นเหยื่อ ผู้ใช้งานควรจะมีการสังเกตและตรวจสอบความถูกต้องของอีเมลที่ได้รับมาทั้งชื่อผู้ส่ง (sender), เนื้อหา (content) และลิงก์ที่ถูกระบุมาในอีเมลว่าถูกต้องจริงๆ หรือไม่ก่อนทำการเปิดไฟล์แนบ หรือกดลิงก์ใดๆ

ที่มา: www.

นักวิจัยจาก Kaspersky Lab พบ ATM มัลแวร์ตัวใหม่ชื่อว่า "WinPot" หรือ "ATMPot"

WinPot เป็น ATM มัลแวร์ พบครั้งแรกในเดือนมีนาคม 2018 บนเว็บไซต์ใต้ดิน มีการระบุเพียงว่ามีผลกระทบกับตู้ ATM ของบริษัทที่นิยมใช้งานในปัจจุบัน หน้าตาของมัลแวร์ตัวดังกล่าวถูกออกแบบมาให้คล้ายคลึงกับ slot machine โดยจะถูกแบ่งออกเป็น 4 ช่อง แต่ละช่องจะหมายถึง cash-out cassettes (กล่องสำหรับใส่ธนบัตรในตู้ ATM) ซึ่งแต่ละตู้จะมีได้สูงสุด 4 กล่อง โดยแต่ละช่องจะมีปุ่มที่ชื่อว่า "spin" เมื่อกดจะทำให้ตู้ ATM จ่ายเงินออกมา นอกจากนี้ยังมีปุ่ม "stop" สำหรับสั่งให้เครื่องหยุดจ่ายเงิน และปุ่ม "scan" สำหรับสั่งให้มัลแวร์ทำการ scan จำนวน cash-out cassettes และจำนวนธนบัตรที่เหลืออยู่ใหม่ ล่าสุดมีการพบมัลแวร์ WinPot ที่คาดว่าเป็นเวอร์ชั่นใหม่ (v.3) บนเว็บไซต์ใต้ดินที่มีชื่อเรียกว่า "ShowMeMoney" มัลแวร์มีการปรับปรุงหน้าตาการแสดงผลใหม่

ทั้งนี้เชื่อว่ามัลแวร์ "WinPot" น่าจะมีความเกี่ยวข้องกับ ATM มัลแวร์ที่มีชื่อว่า "Cutlet Maker" เป็น ATM มัลแวร์ที่พบว่าถูกติดตั้งบนเครื่อง ATM ผ่าน USB ถูกวางขายในราคา $5,000 บนเว็บไซต์ใต้ดินเมื่อปี 2017 อย่างไรก็ตามปัจจุบันราคาได้ลดลงไปอยู่ระหว่าง $500 - $1,000

Kaspersky แนะนำว่า วิธีการปกป้อง ATM จากภัยคุกคามประเภทนี้คือ ต้องมีการควบคุมให้เฉพาะอุปกรณ์และซอฟต์แวร์ที่ได้รับอนุญาตสามารถทำงานได้บนเครื่อง ATM เท่านั้น

ที่มา: zdnet

SAP ประกาศแก้ไขด้านความปลอดภัยของระบบประจำเดือนกุมภาพันธ์ 2019 จำนวน 13 ช่องโหว่ ใน SAP HANA XSA ประกอบด้วยช่องโหว่ด้านความปลอดภัย 13 รายการ แก้ไขช่องโหว่ระดับความรุนแรงสูงมาก 3 รายการ ระดับความรุนแรงสูง 4 รายการ และระดับความรุนแรงระดับปานกลาง 10 รายการ

โดยเป็นการแก้ไขปัญหาข้อบกพร่องในผลิตภัณฑ์ SAP มีดังต่อไปนี้: Business Client, HANA XSA, ABAP Platform (SLD Registration), Disclosure Management, Solution Tools Plug-In (ST-PI), Note Assistant, Business Objects, Manufacturing Integration and Intelligence, Business One Mobile Android App, และ WebIntelligence BILaunchPad (Enterprise)

ช่องโหว่ที่สำคัญในการแก้ไขประจำเดือนกุมภาพันธ์ 2019 ได้แก่ ช่องโหว่ #2742027 มีผลกับ SAP HANA XSA เป็นการเพิ่มการตรวจสอบสิทธิ์ ซึ่งการที่ไม่มีการตรวจสอบสิทธิ์ก่อนหน้านี้อาจทำให้ผู้โจมตีสามารถอ่าน แก้ไขหรือลบข้อมูลสำคัญได้

โดยสามารถอ่านรายละเอียดช่องโหว่ต่างๆ ของเดือนกุมภาพันธ์ตามลิงค์ด้านล่าง https://www.

กลุ่ม Gnostic players ขายข้อมูลบัญชีผู้ใช้งานเพิ่มอีก 92 ล้านในตลามืด

เมื่อสัปดาห์ที่แล้ว กลุ่มแฮกเกอร์ที่ชื่อว่า Gnostic players ได้ขโมยข้อมูลส่วนตัวไปขายในตลาดมืด ที่เรียกว่า Dream Market โดยมีรายละเอียดของบัญชีเกือบ 126 ล้านบัญชีที่ถูกขโมยจากเว็บไซต์
โดยในสัปดาห์นี้ ทางกลุ่มแฮกเกอร์ Gnosticplayers ได้ทำการโพสต์ขายข้อมูลส่วนตัวจากบัญชีผู้ใช้ที่ถูกแฮกอีกครั้ง โดยคราวนี้มีปริมาณข้อมูลบัญชีผู้ใช้งานมากกว่า 92 ล้านคน
โดยรายการข้อมูลเว็บไซต์ที่ถูกนำบัญชีมาขายรวมทั้งสองครั้งในปี 2019 มีดังนี้
Ge.tt 1.83 ล้านบัญชี
Ixigo 18 ล้านบัญชี
Roll20 4 ล้านบัญชี
Houzz 57 ล้านบัญชี
Coinmama 486,297 บัญชี
YouNow 40 ล้านบัญชี
Stronghold Kingdoms 5 ล้านบัญชี
PetFlow 1 ล้านบัญชี
Legendas.

North Country Business Products (NCBP) ซึ่งเป็นผู้ให้บริการผลิตภัณฑ์เครื่องบันทึกเงินสด (POS) ที่ตั้งอยู่ในรัฐมินนิโซตา สหรัฐอเมริกา ประกาศว่าพบการละเมิดความปลอดภัยเมื่อสัปดาห์ที่แล้ว ทางบริษัท NCBP กล่าวว่าแฮกเกอร์ได้ทำการบุกรุกระบบไอที และต่อมาได้ทำการปล่อยมัลแวร์ POS บนเครือข่ายของลูกค้าบางรายที่ใช้บริการ POS ของบริษัท

NCBP ได้เผยแพร่รายชื่อสถานที่ตั้งกว่า 139 แห่งที่แฮกเกอร์ได้ทำการโจมตีและปรับใช้มัลแวร์ POS บนเครือข่ายเครื่องบันทึกเงินสดทั้งหมด ซึ่งมีทั้งบาร์ ร้านกาแฟ และร้านอาหารทั่วสหรัฐอเมริกาที่ถูกโจมตี

มัลแวร์ดังกล่าวสามารถเก็บข้อมูลชื่อผู้ถือบัตร, หมายเลขบัตรเครดิต, วันหมดอายุ และเลข CVV แต่ว่าจนถึงปัจจุบันทางบริษัท NCBP ยังไม่ได้รับรายงานว่ามีความพยายามใช้ข้อมูลเหล่านี้ในทางที่ผิด ซึ่งทางบริษัท NCBP ได้เสนอข้อมูลในหน้าแรกของเว็บไซต์ของ NCBP ไว้สำหรับลูกค้าที่อาจได้รับผลกระทบ สามารถอ่านรายละเอียดข้อมูลเพิ่มเติมได้ที่นี่ https://oag.

นักวิจัยด้านความปลอดภัย Steven Myer แสดงให้เห็นว่ารหัสผ่าน 8 ตัวอักษร (53- บิต) สามารถถูกคาดเดา (Brute force) ได้ใน 44 วัน หรืออาจถูกคาดเดาได้ภายใน 14 วินาทีหากใช้ HashCat 6.0.0 ควบคู่ไปกับ rainbow tables โดยใช้ความเร็วของ GPU ในการโจมตี จากการทดสอบนักวิจัยได้ใช้ Nvidia GTX 2080Ti GPUs 8 ตัว ในการโจมตีแบบออฟไลน์ เพื่อเดารหัสผ่านในการเข้าถึงเครื่องผ่าน NTLM และพบว่าสามารถทำการคาดเดาได้ถึง 100GH/s (gigahashes per second)

อย่างไรก็ตามการตั้งรหัสผ่านด้วยความยาวอย่างน้อย 8 ตัวนั้น ถูกใช้เป็นเกณฑ์มาตรฐานที่ได้รับการแนะนำให้ปฏิบัติตามโดย NIST แต่ก็ยังมีผู้ให้บริการหลายรายที่ไม่ได้ปรับปรุงระบบตัวเองให้รองรับตามคำแนะนำดังกล่าว ทั้งนี้ปัจจุบัน Hardware มีการพัฒนาอย่างต่อเนื่อง ส่งผลทำให้เกิดประสิทธิภาพการทำงานที่ดียิ่งขึ้น ดังนั้นในอนาคตข้อแนะนำต่างๆ ด้านความปลอดภัยอาจต้องมีการปรับตัวตามให้ทัน

ที่มา: theregister