นักวิจัยความปลอดภัยของ Trend Micro ได้เปิดเผยว่าพบแคมเปญการใช้เครื่องมือ TeamViewer เพื่อแพร่กระจายมัลแวร์
เมื่อวันที่ 20 มกราคม นักวิจัยด้านความปลอดภัยที่ใช้ชื่อว่า "FewAtoms" บน Twitter พบ URL ที่เป็นอันตรายซึ่งพบว่ามีการเก็บไฟล์ประเภท self-extracting archive (ไฟล์ที่ถูกบีบอัดอย่าง rar หรือ zip ที่สามารถแตกตัวได้เอง) ที่เป็นมัลแวร์ประเภท Trojan หรือ Spyware จากการตรวจสอบโดยนักวิจัยของ Trend Micro พบว่าไฟล์ดังกล่าวถูกทำให้ดูเหมือนไฟล์ของ TeamViewer เพื่อรวบรวมและขโมยข้อมูลของผู้ใช้ ข้อมูลจะถูกส่งไปยัง C&C (hxxp://intersys32 [.] com)
นอกจากนี้นักวิจัยได้ตรวจสอบ C&C ดังกล่าวเพิ่มเติม และพบว่ามีมัลแวร์อื่นๆ ที่เกี่ยวข้องกับโดเมนดังกล่าวด้วย อย่างเช่น CoinSteal และ Fareit ซึ่งมัลแวร์ทั้งสองเป็นที่รู้จักกันดีในการถูกใช้เพื่อขโมยข้อมูลจากคอมพิวเตอร์ที่ตกเป็นเหยื่อ
อย่างไรก็ตามนี่ไม่ใช่ครั้งแรกที่ชื่อของ TeamViewer ถูกนำไปใช้เพื่อจุดประสงค์ในการแพร่กระจายมัลแวร์ ก่อนหน้านี้แฮ็กเกอร์ก็เคยใช้ TeamViewer ปลอมเพื่อขโมยข้อมูลผู้ใช้ และถูกตั้งชื่อว่า "TeamSpy"
เพื่อหลีกเลี่ยงการตกเป็นเหยื่อ ผู้ใช้งานควร
- หลีกเลี่ยงการดาวน์โหลดซอฟต์แวร์จาก third-party ที่ไม่ใช่เว็บไซต์ทางการ
- อัปเดตระบบปฏิบัติการและซอฟต์แวร์ที่ใช้งานอยู่ให้ล่าสุดอยู่เสมอ
- ใช้งานโปรแกรมจำพวก Anti-virus หรือ Endpoint Protection และอัปเดตให้ใหม่อยู่เสมอ รวมทั้งสแกนเครื่องอย่างสม่ำเสมอ
ที่มา: hackread

CERT/CC ได้เผยข้อมูลรายละเอียดช่องโหว่การโจมตี NTLM Relay ที่มีผลต่อ Microsoft Exchange 2013 และ Microsoft Exchange เวอร์ชันที่ใหม่กว่า ซึ่งทำให้อาชญากรไซเบอร์สามารถโจมตีจากระยะไกล (remote attacker) เพื่อใช้ช่องโหว่นี้เข้ามาควบคุมระบบของเครื่องเป้าหมายได้
แนะนำให้ผู้ใช้และผู้ดูแลระบบเข้าไปตรวจสอบรายละเอียดของช่องโหว่ VU#465632 เพิ่มเติมได้ที่ https://www.

พบช่องโหว่ร้ายแรงมากใน phpMyAdmin ผู้ดูแลระบบควรอัปเดตแพตช์
เมื่อวันที่ 22 มกราคม 2019 phpMyAdmin ได้ออกแพตช์สำหรับแก้ไขช่องโหว่สองช่องโหว่ คือ CVE 2019-6798 และ CVE 2019-6799 ช่องโหว่ทั้งสองส่งผลกระทบกับ phpMyAdmin รุ่น 4.0 ไปจนถึงรุ่น 4.8.4
โดย CVE 2019-6798 เป็นช่องโหว่ที่ทำให้ผู้ไม่หวังดีสามารถอ่านไฟล์ใดๆ บน web server ได้ ส่วนช่องโหว่ CVE 2019-6799 เป็นช่องโหว่ที่ทำให้สามารถทำ SQL injection ได้จากหน้า Designer feature ของ phpMyAdmin
ผู้ดูแลระบบควรอัปเดต phpMyAdmin ให้เป็นรุ่น 4.8.5 หรือใหม่กว่า
ที่มา https://www.

แฮกเกอร์มุ่งโจมตีเราเตอร์ Cisco RV320 และ RV325 หลังจากนักวิจัยเผยแพร่วิธีโจมตีช่องโหว่ล่าสุด
เมื่อวันที่ 23 มกราคม 2019 ที่ผ่านมา Cisco ได้ออกแพตช์แก้ไขช่องโหว่ CVE-2019-1653 และ CVE-2019-1652 ในเราเตอร์ Cisco รุ่น RV320 และ RV325
ช่องโหว่ทั้งสองมีความร้ายแรงมาก โดยช่องโหว่ CVE-2019-1653 ทำให้ผู้โจมตีสามารถเข้าถึงการตั้งค่าของเราเตอร์ได้จากระยะไกลโดยไม่ต้องใช้รหัสผ่าน และช่องโหว่ CVE-2019-1652 ทำให้ผู้โจมตีสามารถส่งคำสั่งในระดับผู้ดูแล (admin command) บนเราเตอร์ได้จากระยะไกลโดยไม่ต้องใช้รหัสผ่าน
ทั้งนี้ในวันที่ 24 มกราคม 2019 ห่างจากวันที่มีการออกแพตช์เพียงหนึ่งวัน นักวิจัยชื่อ David Davidson ได้เผยแพร่วิธีการโจมตีสำหรับช่องโหว่ทั้งสองสู่อินเตอร์เน็ต ทำให้เกิดการนำวิธีโจมตีดังกล่าวไปใช้ในการโจมตีอยู่ในขณะนี้
Troy Mursch ผู้ค้นพบการโจมตีช่องโหว่บนเราเตอร์ Cisco รุ่น RV320 และ RV325 กล่าวว่ายังมีเราเตอร์ทั้งสองรุ่นรวมกันกว่า 9,657 เครื่องที่ยังไม่ได้ทำการอัปเดตแพตช์ ทำให้มีความเสี่ยงในการถูกโจมตีอย่างมาก
Recommendation
ผู้ใช้งานและผู้ดูแลเราเตอร์ Cisco รุ่น RV320 และ RV325 ควรทำการอัปเดตเราเตอร์ให้เป็นรุ่นล่าสุด โดยศึกษาวิธีอัปเดตได้จาก https://tools.

เซิร์ฟเวอร์ดาวน์โหลดไลบรารีภาษา PHP หรือ PHP Extension and Application Repository (PEAR) ประกาศปิดเว็บไซต์ไม่มีกำหนดเพราะถูก Hack

go-pear.

กระทรวงความมั่นคงแห่งมาตุภูมิของสหรัฐอเมริกา (DHS) ได้ประกาศ "คำสั่งฉุกเฉิน" ซึ่งมีรายละเอียดและคำแนะนำเกี่ยวกับเหตุการณ์ DNS hijacking จากอิหร่าน

คำสั่งฉุกเฉินสั่งให้หน่วยงานของรัฐตรวจสอบ DNS records ว่ามีการแก้ไขที่ไม่ได้รับอนุญาตหรือไม่ สั่งให้เปลี่ยนรหัสผ่านและเปิดใช้งานการตรวจสอบความถูกต้องหลายปัจจัย (multi-factor authentication) สำหรับบัญชีทั้งหมดที่สามารถจัดการ DNS records ได้ นอกจากนี้เอกสารของ DHS ยังเรียกร้องให้บุคลากรด้านไอทีของรัฐบาลตรวจสอบใบรับรอง Certificate Transparency (CT) ด้วย

รายงานระบุรายละเอียดเกี่ยวกับแคมเปญที่มีการประสานงานกันระหว่างกลุ่มที่หน่วยสืบราชการลับทางไซเบอร์เชื่อว่าเป็นการดำเนินการนอกอิหร่าน มีจัดการ DNS records สำหรับโดเมนของบริษัทเอกชนและหน่วยงานรัฐบาล โดยวัตถุประสงค์ของ DNS hijacks เพื่อเปลี่ยนเส้นทางการรับส่งข้อมูลทางเว็บของบริษัท และเซิร์ฟเวอร์อีเมลของหน่วยงานไปสู่เซิร์ฟเวอร์ที่เป็นอันตราย ซึ่งแฮกเกอร์ชาวอิหร่านจะทำการรวบรวมรายละเอียดการเข้าสู่ระบบของเหยื่อ

ตอนนี้เจ้าหน้าที่ DHS ต้องการทราบผลกระทบของเหตุการณ์นี้ในทุกหน่วยงานรัฐบาลของสหรัฐอเมริกาและให้หน่วยงานจัดทำแผนปฏิบัติการสี่ขั้นตอนที่มีรายละเอียดในเอกสารคำสั่ง

ที่มา: www.

Phobos ปรากฏตัวครั้งแรกในเดือนธันวาคมที่ผ่านมา โดยนักวิจัยที่ CoveWare ได้ให้รายละเอียดว่า ransomware ตัวนี้จะมีหลักการทำงานคล้ายคลึงกับ Dharma ransomware โดยมีเป้าหมายการโจมตีคือธุรกิจต่างๆทั่วโลก โดยการโจมตีแบบ Phobos ransomware คืออาชญากรไซเบอร์จะใช้ประโยชน์จาก RDP Port ที่เปิดเอาไว้และมีความปลอดภัยต่ำ ทำให้ถูกผู้ไม่ประสงค์ดีแอบเข้าไปในเครือข่ายได้และทำการโจมตีโดยการเข้ารหัสไฟล์และทำการเรียกค่าไถ่ โดยอ้างว่าถ้าเหยือจ่ายเป็น bitcoin ถึงจะทำการคืนไฟล์ที่ถูกเข้ารหัสให้ Phobos ransomware จะทำให้ไฟล์ในเครื่องของเหยือถูกล็อคด้วยนามสกุลไฟล์ .PHOBOS และเพิ่มไฟล์ Phobos.

ทีมนักวิจัยด้านความปลอดภัยจาก 360 Threat Intelligence และ Palo Alto Networks ได้มีการเปิดเผยที่แคมเปญการโจมตีใหม่ซึ่งพุ่งเป้าไปที่กลุ่มประเทศในตะวันออกกลางโดยมีชื่อของกลุ่มผู้โจมตีคือ DarkHydrus APT กลุ่มผู้โจมตีนี้ใช้วิธีการแพร่กระจายโทรจันชื่อ RougeRobin ด้วยการโจมตีในรูปแบบฟิชชิ่งโดยมัลแวร์สายพันธุ์สามารถใช้ติดต่อกับเซิร์ฟเวอร์ที่ใช้ออกคำสั่งและควบคุมด้วยโปรโตคอล DNS รวมไปถึงมีการใช้บริการ Google Drive เป็นเซิร์ฟเวอร์ที่ใช้ออกคำสั่งและควบคุมด้วย

มัลแวร์ RougeRobin จะถูกดาวน์โหลดและติดตั้งผ่านทางมาโครสคริปต์อันตรายที่ฝังอยู่ในไฟล์เอกสาร โดยตัวมัลแวร์เองนั้นถูกพัฒนาด้วยภาษา C# และใช้เทคนิคในการเรียกโปรแกรม regsvr32.exe เพื่อเริ่มการทำงานของมัลแวร์ มัลแวร์ยังมีความสามารถสูงในการหลีกเลี่ยงการวิเคราะห์ทั้งจากระบบ sandbox และระบบจำลองต่างๆ ด้วย

สำหรับฟังก์ชันในการใช้บริการ Google Drive เป็นเซิร์ฟเวอร์ออกคำสั่งและควบคุมนั้น มัลแวร์จะกระทำโดยการอัปโหลดไฟล์ไปยังบัญชี Google Drive และคอยมอนิเตอร์การเปลี่ยนแปลงของไฟล์นี้ หากผู้โจมตีมีการแก้ไขไฟล์ดังกล่าวด้วยคีย์เวิร์ดพิเศษที่ถูกตั้งค่าเอาไว้แล้ว มัลแวร์จะมีการปฏิบัติตามคำสั่งนั้นโดยทันที

ขอแนะนำให้ผู้ใช้งานเพิ่มความระมัดระวังเมื่อต้องเปิดไฟล์แนบทางอีเมลซึ่งถูกส่งมาจากบุคคลที่ไม่รู้จัก และไม่ควรยินยอมให้มีการรันมาโครสคริปต์ในไฟล์เอกสารโดยไม่มีความจำเป็นโดยเด็ดขาด

ที่มา : thehackernews

Joomla 3.9.2 มีการแก้ไขช่องโหว่ด้านความปลอดภัย 4 รายการ และมีการแก้ไขข้อผิดพลาด พร้อมทั้งปรับปรุงมากกว่า 50 รายการ
• Low Priority - XSS ใน mod_banners (ส่งผลกระทบต่อ Joomla 2.5.0 ถึง 3.9.1)
• Low Priority - XSS ใน com_contact (ส่งผลกระทบต่อ Joomla 2.5.0 ถึง 3.9.1)
• Low Priority - XSS ใน Global Configuration textfilter (ส่งผลกระทบต่อ Joomla 2.5.0 ถึง 3.9.1)
• Low Priority - XSS Global Configuration URL (ส่งผลกระทบต่อ Joomla 2.5.0 ถึง 3.9.1)

แก้ไขข้อผิดพลาดและการปรับปรุง
• แก้ไข states ใน com_finder, com_banners, com_messages, com_users โน้ต
• ลบ Caching field ใน languages, syndicate, random image, and login modules
• เพิ่มเติมความสามารถของ Editors API
• ใน Menu Item Alias เปลี่ยนให้ redirection เป็น optional
• ปรับให้ชื่อไฟล์เหมาะสมต่อการใช้งานแบบ drag and drop ใน com_media
• ปรับปรุงส่วนของ Code cleanup และ namespace

ที่มา: www.

Ransomware ที่เรียกว่า BlackRouter ได้ถูกค้นพบว่า ได้มีการเลื่อนขั้นเป็น Ransomware-as-a-service บน Telagram ซึ่งค้นพบโดยนักพัฒนาชาวอิหร่าน ก่อนหน้านี้ก็มีการกระจาย Ransomware อีกตัวที่มีชื่อเรียกว่า BlackRouter และส่งเสริมการติดเชื้ออื่นๆ เช่น RAT

BlackRouter นั้นถูกค้นพบครั้งแรกในเดือนพฤษภาคมปี 2018 และมีช่วงเวลาที่มีชื่อเสียงเมื่อ TrandMicro ค้นพบว่าถูกทิ้งพร้อมกับโปรแกรมการเข้าถึงระยะไกลและ Keyloggers บนคอมพิวเตอร์

ในช่วงเดือนมกราคม BlackRoter Ransomware รุ่นใหม่ถูกค้นพบโดยนักวิจัยด้านความปลอดภัยชื่อ Petrovic ซึ่งแชร์ตัวอย่างไว้บน Twitter นอกจากนี้ MalwareHunterTeam ระบุว่าตัวแปรเบื้องต้นเดียวกับตัวแปรก่อนหน้านี้ แต่มี GUI ที่ดูดีขึ้นและเพิ่มตัวจับเวลา

หลังจากค้นพบ BlackRouter ไม่นาน นักวิจัยด้านความปลอดภัยอีกคนชื่อ Shadow บอกกับ BleedingComputer ว่า Ransomware นี้ได้รับการโปรโมทในฐานะ RaaS ในช่องแฮ็คบน Telagram โดยนักพัฒนาชาวอิหร่าน

ใครก็ตามในบริษัทในเครือที่เข้าร่วม RaaS นี้และกระจาย Ransomware ของ BlackRouter จะได้รับ 80% จากเงินที่เรียกค่าไถ่ และอีก 20% จะเป็นผู้พัฒนา

นอกจากนี้ยังมีการส่งเสริมให้ Trojan สามารถเข้าถึงได้จากระยะไกล ชื่อว่า BlackRAT ซึ่งกล่าวว่า มีคุณสมบัติเช่น encrypted communications, AV evasion, small size, plugins, เปิดการใช้งาน RDP, กำหนดค่า miner, ขโมยเงินจากกระเป๋าเงินดิจิตอล, keylogger, password-stealer และอื่นๆ

ดูเหมือนว่า BlackRouter ไม่ได้มีการเผยแพร่อย่างหนัก โดยมีการส่ง ID Ransomware เพียงครั้งเดียวตั้งแต่วันที่ 31 ธันวาคม

จากที่กล่าวมา Ransomware เชช่น BlackRouter มีการกระจายทั่สไปผ่านไปยัง RDP หรือผ่าน Crack และการดาวน์โหลดปลอม ดงันั้นตรวจสอบให้แน่ใจว่าไม่ได้อนุญาตให้ RDP เชื่อมต่อโดยตรงกับอินเตอร์เน็ตและตรวจสอบให้แน่ใจว่าได้ทำการสแกนทุกสิ่งที่คุณดาวน์โหลดจากแหล่งที่ไม่มีความน่าเชื่อถือ

ที่มา:bleepingcomputer