กลุ่มแฮกเกอร์จากเวียดนามกำลังใช้ประโยชน์จากช่องโหว่ของเว็บไซต์ในการแพร่กระจายมัลแวร์ที่รวบรวมไว้ ตามรายงานของ ESET กลุ่ม APT 32 หรือที่รู้จักกันในนาม OceanLotus เป็นกลุ่มแฮกเกอร์ที่เชื่อว่ามีความเชื่อมโยงกับรัฐบาลเวียดนามได้ดำเนินการโจมตีเว็บไซต์ที่มีช่องโหว่ต่างๆ อย่างน้อย 21 แห่งทั้งของภาครัฐและองค์กรอื่นๆ ได้แก่ เว็บไซต์กระทรวงกลาโหมกัมพูชา เว็บไซต์กระทรวงการต่างประเทศกัมพูชา, เว็บไซต์สโมสรกอล์ฟกัมพูชา เป็นต้น

ตั้งแต่เดือนกันยายน 2018 ซึ่ง ESET ได้ทำการแจ้งเตือนไปยังเว็บไซต์ต่างๆ เหล่านั้นแล้ว แต่เหมือนผู้ดูแลเว็บไซต์เหล่านั้นยังคงไม่สนใจกับความไม่ปลอดภัยที่เกิดขึ้น เพราะ ESET ยังคงพบโค้ดอันตรายบนเว็บไซต์เหล่านั้นอยู่ในขณะนี้
โดยการโจมตีในครั้งนี้ของกลุ่ม APT32 แสดงถึงเทคโนโลยีที่ใช้มีความซับซ้อนมากขึ้นในการโจมตีมากกว่าการโจมตีครั้งก่อนๆ โดยมีการหลบเลี่ยงการตรวจสอบและสามารถแพร่กระจายมัลแวร์ที่ติดตั้ง payloads เพิ่มเติมไปยังระบบอื่นๆได้

กลุ่ม APT 32 ทำการโจมตีโดย inject โค้ด Javascript อันตรายลงไปบนหน้าเว็บ หรือ แก้ไข Javascript ที่กลุ่ม APT 32 สามารถเข้าถึงได้บนเซิร์ฟเวอร์ของเว็บไซต์ ทำให้สามารถเปลี่ยนเส้นทางการเข้าถึงของเว็บของผู้ใช้งานไปยังโดเมนของผู้โจมตีหรือที่เป็นอันตรายได้ เพื่อขโมยข้อมูลต่างๆจากผู้ใช้งานและทำการเข้ารหัสก่อนส่งข้อมูลกับไปยังเซิร์ฟเวอร์ของผู้โจมตี ซึ่งทาง ESET ได้แจ้งว่าไม่สามารถตรวจสอบไฟล์ที่ถูกเข้ารหัสไปยังเซิร์ฟเวอร์ของผู้โจมตีได้

ที่มา: cyberscoop

VMware อัพเดต patch เพื่อแก้ไขปัญหาช่องโหว่ใน vSphere Data Protection ผู้โจมตีสามารถใช้ประโยชน์จากช่องโหว่เข้าควบคุมระบบได้ เป็นช่องโหว่ร้ายแรงมาก ( Critical) แนะนำให้ผู้ใช้งานหรือผู้ดูแลระบบตรวจสอบ VMware Security Advisory VMSA-2018-0029 ทำการ update patch ที่จำเป็น

รายละเอียดเพิ่มเติม : https://www.

ทีมนักวิจัยด้านความปลอดภัยของธนาคารจาก Positive Technologies เปิดเผยข้อมูลการโจมตีเครื่องเอทีเอ็มโดยระบุว่าส่วนใหญ่สามารถถูกแฮ็กได้ภายในเวลาไม่ถึง 20 นาทีหรือน้อยกว่าสำหรับวิธีการโจมตีบางประเภท

ทีมนักวิจัยได้ทำการทดสอบตู้เอทีเอ็มจาก NCR, Diebold Nixdorf และ GRGBanking โดยทดลองใช้วิธีการโจมตีแบบปกติและเทคนิคการที่กลุ่มแฮกเกอร์นิยมใช้อย่าง skimming จากการทดสอบพบว่ามีตู้เอทีเอ็มประมาณ 85 เปอร์เซ็นต์ที่ผู้โจมตีสามารถเข้าถึงระบบเครือข่ายได้ ด้วยวิธีการ Unplugging หรือ tapping ผ่านสาย Ethernet หรือด้วยการ spoofing การเชื่อมต่อ wireless หรืออุปกรณ์ที่เครื่องเอทีเอ็มเชื่อมต่ออยู่ และ 23 เปอร์เซ็นต์ของเครื่องเอทีเอ็มอาจถูกโจมตีและใช้ประโยชน์จากอุปกรณ์เครือข่ายอื่น ๆ ที่เชื่อมต่อกับเครื่องเอทีเอ็มเช่น GSM โมเด็มหรือเราท์เตอร์

นักวิจัยกล่าวว่า "การโจมตีทางเครือข่าย" โดยทั่วไปใช้เวลาไม่ถึง 15 นาทีในการโจมตี แต่นักวิจัยสามารถทำการโจมตีแบบ "Black Box" ซึ่่งใช้เวลาประมาณ 10 นาที ซึ่งใช้เวลาเร็วกว่าเดิมในการโจมตีได้ การโจมตีด้วย Black Box คือการที่แฮกเกอร์เปิดตู้เอทีเอ็มหรือทำการเจาะรูไปเพื่อเข้าถึงสายเคเบิลที่เชื่อมต่อกับคอมพิวเตอร์ของเครื่องเอทีเอ็มเพื่อให้สามารถเข้าถึงเอทีเอ็ม cash box (หรือ safe) จากนั้นผู้โจมตีจะทำการเชื่อมต่อด้วยเครื่องมือที่สร้างขึ้นเอง (custom-made tool) ที่เรียกว่า Black Box ซึ่งจะทำให้เครื่องเอทีเอ็มสามารถสั่งจ่ายเงินสดได้ตามความต้องการ โดย 69 เปอร์เซ็นต์ของเครื่องเอทีเอ็มที่ทำการทดสอบมีความเสี่ยงที่จะถูกโจมตีด้วยวิธีการดังกล่าวและ 16 เปอร์เซ็นต์ของเครื่องเอทีเอ็มไม่มีการป้องกันการโจมตีในลักษณะนี้

อีกหนึ่งวิธีที่นักวิจัยค้นพบคือการโจมตีโดยการลองออกจากโหมด kiosk ซึ่งเป็นโหมดของระบบปฏิบัติการที่อินเทอร์เฟซของเครื่องเอทีเอ็มทำงานอยู่ โดยการ plugging อุปกรณ์เข้ากับช่องใดช่องหนึ่งของเอทีเอ็ม อย่างเช่น USB หรือ PS/2 ทำให้เครื่องเอทีเอ็มออกจากโหมด kiosk และสามารถเรียกใช้คำสั่งบนระบบปฏิบัติการหลักเพื่อจ่ายเงินสดออกจากเครื่องเอทีเอ็มได้ โดยใช้เวลาไม่ถึง 15 นาทีและ 76 เปอร์เซ็นต์ของเครื่องเอทีเอ็มที่ทำการทดสอบมีความเสี่ยง

อีกหนึ่งวิธีโจมตีที่ใช้เวลานานที่สุดแต่ได้ผลลัพท์ที่ดีที่สุดคือการ bypassed ฮาร์ดไดรฟ์ภายในตู้เอทีเอ็ม และเปลี่ยนให้ทำการบูตเข้าระบบจากภายนอก ซึ่งปกติจะใช้เวลาไม่เกิน 20 นาทีในการเปลี่ยนคำสั่งการบูตใน BIOS ใหม่โดยบูตจากฮาร์ดไดร์ของผู้โจมตีและทำการเปลี่ยนแปลงระบบปฏิบัติของเครื่องเอที่เอ็มใหม่ โดยพบว่าเครื่องเอทีเอ็มที่ทำการทดสอบ 92 เปอร์เซ็นต์สามารถถูกโจมตีด้วยวิธีดังกล่าว

นอกจากนี้นักวิจัยยังพบว่าผู้โจมตีสามารถเข้าถึงเครื่องเอทีเอ็มได้โดยทางกายภาพเพื่อทำการรีสตาร์ทและบูตเพื่อเข้าสู่ safe/debug โหมด การโจมตีใช้เวลาไม่ถึง 15 นาทีในการดำเนินการและนักวิจัยพบว่าร้อยละ 42 ของตู้เอทีเอ็มที่ทดสอบมีความเสี่ยง

และท้ายที่สุดคือนักวิจัยสามารถดักข้อมูลบัตรที่ส่งระหว่างเครื่องเอทีเอ็มและศูนย์ประมวลผลของธนาคาร ซึ่งคิดเป็น 58 เปอร์เซ็นต์ของเครื่องเอทีเอ็มที่ทำการทดสอบ แต่สามารถดักจับข้อมูลบัตรขณะทำการประมวลผลภายในเครื่อง ATM ได้ 100 เปอร์เว็นต์ เช่นระหว่างการส่งข้อมูลจากเครื่องอ่านบัตรไปยังระบบปฏิบัติการของ ATM การโจมตีครั้งนี้ใช้เวลาไม่ถึง 15 นาที

ที่มา : SECURITYWEEK

สำนักงานสืบสวนกลาง (FIA) เปิดเผยว่าธนาคารเกือบทุกแห่งของปากีสถานได้รับผลกระทบจากการละเมิดความปลอดภัย

ผู้เชี่ยวชาญจาก Group-IB ได้พบการขายข้อมูลของบัตรที่ออกโดยธนาคารในปากีสถานและธนาคารอื่นๆ จำนวนมากใน Joker's Stash ซึ่งเป็นหนึ่งในเครือข่ายใต้ดินที่ใช้สำหรับขายข้อมูลบัตรที่ได้มาอย่างผิดกฎหมาย ซึ่งได้รับความนิยมมากที่สุดแห่งหนึ่ง โดยข้อมูลบัตรที่ถูกโจรกรรมเมื่อวันที่ 13 พฤศจิกายนที่ผ่านมา เป็นชุดสำเนาข้อมูลดิจิทัลที่มีอยู่ในแถบแม่เหล็กของบัตรเครดิต มีรายละเอียดการทำธุรกรรมการเงินของบัตรจำนวน 177,878 ใบ ทั้งจากปากีสถานและธนาคารระหว่างประเทศอื่น ๆ

จากรายงานของ Group-IB ระบุว่าตั้งแต่มิถุนายน 2017 จนถึงสิงหาคม 2018 มีข้อมูลมากกว่า 1.8 ล้านรายการได้ถูกอัพโหลดขึ้นไปยังเครือข่ายใต้ดินในแต่ละเดือน คาดว่าการใช้วิธีการวาง Trojan บน POS น่าจะเป็นเป็นวิธีหลักที่ถูกใช้ในการโจรกรรมข้อมูลบัตรเครดิต รวมถึงเหตุการณ์ในครั้งนี้ด้วย

ที่มา : securityaffairs

Script engine ของ Internet Explorer เป็นเป้าหมายที่ได้รับความสนใจจากกลุ่มผู้โจมตีทางไซเบอร์ของเกาหลีเหนือในปีนี้ หลังจากที่แฮกเกอร์ได้ใช้ช่องโหว่ zero-day ทั้งใหม่และเก่าเพื่อเป็นเครื่องมือในการโจมตี

DarkHotel กลุ่มผู้โจมตีทางไซเบอร์ที่ McAfee และผู้เชี่ยวชาญจากหลายๆ องค์กรเชื่อว่าน่าจะเกี่ยวข้องกับเกาหลีเหนือ ซึ่งเคยถูกระบุในรายงานของ Kaspersky เมื่อปี 2014 ว่าเป็นกลุ่มที่ทำการโจมตีระบบ WiFi ของโรงแรมมากกว่า 100 แห่งเพื่อทำการแพร่กระจายมัลแแวร์ ล่าสุดกลุ่มดังกล่าวก็ได้ลงมืออีกครั้งในปีนี้ผ่านการใช้ช่องโหว่ของ VBScript engine ของ Internet Explorer 2 ตัว ได้แก่ CVE-2018-8174 ในเดือนเมษายน และ CVE-2018-8373 ในเดือนสิงหาคม ซึ่งทั้งสองช่องโหว่ได้รับการแพทช์โดย Microsoft ไปเรียบร้อยแล้ว และที่เพิ่งถูกรายงานออกมาล่าสุดจาก Qihoo 360 Core ได้ระบุว่ากลุ่มนี้มีการใช้วิธีการโจมตีใหม่ผ่านช่องโหว่ของ IE Script เก่า 2 ตัว คือ CVE-2017-11869 และ CVE-2016-0189

ทั้งนี้ Internet Explorer เป็นจุดที่ค่อนข้างน่ากังวลมากด้านความปลอดภัย เนื่องจากถูกพัฒนามานานมากแล้ว ทำให้ Code บางส่วนอาจจะไม่ปลอดภัยในปัจจุบัน Microsoft เองก็ได้เล็งเห็นถึงจุดนี้ ในเดือนกรกฎาคมปี 2017 จึงได้ปิดความสามารถการรัน VBScript อัตโนมัติบน IE เวอร์ชั่นใหม่ๆ การปรับปรุงในครั้งนั้นอาจจะช่วยป้องกันให้ผู้โจมตีไม่สามารถรัน VBScript ที่เป็นอันตรายบนเครื่อง Windows 10 ผ่าน IE ได้ แต่ก็ไม่สามารถหยุดการโจมตีจากกลุ่ม DarkHotel ซึ่งได้เปลี่ยนวิธีการใหม่เป็นการแนบ Code ไปในเอกสาร Word เพื่อทำการเรียกหน้าเว็บผ่าน IE Frame แทน

ที่มา : zdnet

Microsoft ออกแพตช์อัปเดตด้านความปลอดภัยประจำเดือนพฤศจิกายน 2018 เพื่อแก้ไขช่องโหว่จำนวนมากซึ่งรวมไปถึงช่องโหว่ที่กำลังมีการใช้โจมตีจริงและช่องโหว่ที่ถูกเผยแพร่วิธีการโจมตี
แพตช์อัปเดตด้านความปลอดภัยประจำเดือนพฤศจิกายน 2018 นี้มีการแก้ไขช่องโหว่กว่า 60 ช่องโหว่ ซึ่งมีการแก้ไขช่องโหว่ Zero-day หลายช่องโหว่ ได้แก่
CVE-2018-8589 เป็นช่องโหว่ใน win32k.sys ที่ทำให้สามารถยกระดับสิทธิ์ของผู้ใช้ได้ ถูกค้นพบโดย Kaspersky Labs และกำลังถูกใช้โจมตีอยู่ในตะวันออกกลาง
CVE-2018-8566 ช่องโหว่ใน BitLocker ที่ทำให้สามารถดูข้อมูลที่ถูกเข้ารหัสได้เนื่องจากความผิดพลาดในการเข้ารหัสของ SSD
CVE-2018-8584 ช่องโหว่ใน Windows ALPC ที่ทำให้สามารถยกระดับสิทธิ์ของผู้ใช้ได้ ซึ่งถูกเผยแพร่ เมื่อ 24 ตุลาคม 2018 ในทวิตเตอร์ของ @SandboxEscaper

ผู้ใช้ควรตรวจสอบและอัปเดตเพื่อลดความเสี่ยงที่จะเกิดขึ้นจากช่องโหว่ต่างๆ โดยสามารถอ่านรายละเอียดของแพตช์อัปเดตด้านความปลอดภัยประจำเดือนพฤศจิกายน 2018 ได้จาก https://blogs.

ค้นพบตัวแปรใหม่สำหรับ Linux Crypto Miners ซึ่งพยายามซ่อนสถานะการใช้งานโดยใช้ คำสั่ง Rootkit
เมื่อความนิยม cryptocurrencyเพิ่มขึ้น จำนวนของ Tojans cryptominer ที่ถูกสร้างขึ้นและแจกจ่ายให้กับผู้ที่ไม่สงสัย เพื่อให้ยากที่จะระบุกระบวนการ cryptominer ที่ใช้ CPU ทั้งหมดได้มีการค้นพบตัวแปรใหม่สำหรับ Linux ซึ่งพยายามซ่อนสถานะโดยใช้ rootkit
ตามรายงานใหม่ของ TrendMicro คำสั่งผสม cryptominer + rootkit ใหม่นี้จะทำให้เกิดปัญหาเรื่องประสิทธิภาพเนื่องจากมีการใช้งาน CPU สูง แต่ผู้ดูแลระบบจะไม่สามารถตรวจสอบได้ว่ากระบวนการใดเป็นสาเหตุของปัญหานี้
เมื่อเร็ว ๆ นี้เราได้พบมัลแวร์การทำเหมืองข้อมูล cryptocurrency-mining (ที่ Trend Micro ตรวจพบว่าเป็น Coinminer.

VMware ประกาศแพตช์ช่องโหว่ด้านความปลอดภัยระดับวิกฤติหลังจากทีมผู้เชี่ยวชาญด้านความปลอดภัยจาก Chaitin Tech ได้มีการเปิดเผยช่องโหว่ในการแข่งขันด้านความปลอดภัย GeekPwn ซึ่งหนึ่งในช่องโหว่ด้านความปลอดภัยนั้นส่งผลให้ผู้โจมตีสามารถรันโปรแกรม "ทะลุ" เทคโนโลยี virtualization และเข้าถึงข้อมูลบนระบบ Host ได้

สำหรับรายละเอียดเกี่ยวกับช่องโหว่นั้น ช่องโหว่รหัส CVE-2018-6981 ส่งผลกระทบต่อ ESXi, Fusion และ Workstaion ซึ่งทำให้ผู้โจมตีสามารถรันโค้ดที่เป็นอันตรายในเครื่อง Host ได้ ส่วนช่องโหว่ CVE-2018-6982 ซึ่งส่งผลกระทบเฉพาะกับ ESXi ทำให้ผู้โจมตีสามารถเข้าถึงข้อมูลข้อมูลในเครื่อง Host จากในเครื่อง Guest ได้ โดยทั้งสองช่องโหว่เกิดจากปัญหาด้านความปลอดภัยในระดับหน่วยความจำซึ่งมีการใช้ network adapter "vmxnet3" ซึ่งจะต้องมีการใช้งานอยู่เท่านั้นถึงจะเกิดความเสี่ยง

ความเสี่ยงของสองช่องโหว่นี้อาจส่งผลต่อระบบ virtualization ซึ่งใช้ผลิตภัณฑ์ของ VMware และมีการใช้งานร่วมกันเป็นจำนวนมาก ซึ่งหากมีการเปิดเผยโค้ดของช่องโหว่ออกมา ผู้ใช้งานทั่วไปสามารถเข้าถึงระบบ Host และใช้ระบบ Host เพื่อโจมตีระบบ Guest อื่นๆ ที่แชร์ไว้ร่วมกันได้ทันที

โดย VMware ESXI รุ่น 6.0, 6.5 และ 6.7, VMware Workstaion รุ่น 14.x และ 15.x และ VMware Fusion รุ่น 10.x และ 11.x

ผู้ใช้งานผลิตภัณฑ์ของ VMWare สามารถทำการอัปเดตได้โดยใช้ฟีเจอร์อัปเดตของซอฟต์แวร์ และสามารถดูข้อมูลเพิ่มเติมของแพตช์และวิธีการอัปเดตได้ที่ https://www.

นักวิจัยช่องโหว่ของรัสเซีย เผยแพร่ข้อมูลเกี่ยวกับช่องโหว่ zero-day ใน VirtualBox พร้อมขั้นตอนการทดสอบโจมตี

Sergey Zelenyuk ได้ทำการทดสอบเจาะช่องโหว่ VirtualBox ที่ติดตั้งบน Ubuntu 16.04 และ 18.04 ทั้ง x86 และ x64 ได้สำเร็จและทำการเผยแพร่โดยยังไม่แจ้งให้ทางผู้พัฒนาทราบ โดยอาศัยช่องโหว่ใน Network Address Translation (NAT) บน Intel PRO / 1000 MT Desktop (82540EM) ซึ่งเป็นค่าเริ่มต้นที่อนุญาตให้ Guest สามารถเข้าถึงเครือข่ายภายนอกได้ ช่องโหว่ส่งผลให้ผู้โจมตีที่มีสิทธิ์ root / administrator ใน Guest สามารถเพิ่มสิทธิ์ของตนเองได้ถึง ring 3 หรือ user mode ของ hardware (จากทั้งหมด 4 ระดับ) ได้ จากนั้นสามารถใช้เทคนิคที่มีอยู่เพื่อเพิ่มสิทธิ์ไปเป็น ring 0 หรือ kernel mode ได้ ผ่าน /dev/vboxdrv แล้วเข้าควบคุมระบบทั้งหมด โดยอาศัยช่องโหว่ที่เกิดจากทำ overflow

ก่อนหน้านี้ Sergey Zelenyuk ได้มีการรายงานช่องโหว่ของตัว VirtualBox สำหรับเวอร์ชัน 5.2.10 แต่ด้วยเหตุผลบางอย่าง Oracle ได้แก้ไขปัญหาในเวอร์ชัน 5.2.18 โดยไม่ได้ให้เครดิตแก่นักวิจัยในการค้นหาและรายงานช่องโหว่นี้

ที่มา: bleepingcomputer

ธนาคาร HSBC เปิดเผยเหตุการณ์การละเมิดข้อมูลที่เกิดขึ้นเมื่อวันจันทร์ซึ่งส่งผลกระทบต่อลูกค้า

ธนาคารได้เขียนจดหมายแจ้งต่อเจ้าหน้าที่รัฐแคลิฟอร์เนีย ในเหตุการณ์ที่ผู้ใช้ซึ่งไม่ได้รับอนุญาตได้ทำการเข้าถึงบัญชีลูกค้าในวันที่ 4 ตุลาคม 2561 ถึงวันที่ 14 ตุลาคม พ.ศ. 2561

ธนาคาร HSBC ได้ระงับการเข้าถึงบัญชีออนไลน์สำหรับลูกค้าที่ได้รับผลกระทบทุกรายและแจ้งให้มีการเปลี่ยนรหัสผ่านไปยังบัญชีเหล่านั้น ซึ่งเป็นการรักษาความปลอดภัยพิเศษของบัญชี HSBC แต่ยังไม่ได้มีการให้รายละเอียดเพิ่มเติมรวมถึงจำนวนลูกค้าที่ได้รับผลกระทบ

แนวโน้มของการโจมตีอาจเกี่ยวข้องกับการพยายามคาดเดารหัสผ่าน (brute-force password-guessing) ซึ่งแฮกเกอร์พยายามใช้ชื่อผู้ใช้และรหัสผ่านที่ได้รับจากการละเมิดข้อมูลของบริษัทอื่นๆ เนื่องจากคาดว่าผู้ใช้บางรายจะใช้ข้อมูลที่ซ้ำๆ กันในเว็บไซต์ต่างๆ HSBC ยืนยันว่าบางการโจมตีประสบความสำเร็จ ทำให้แฮกเกอร์สามารถเข้าถึงรายละเอียดของลูกค้าได้ ข้อมูลที่ถูกเปิดเผยอาจมี ชื่อ ที่อยู่ หมายเลขโทรศัพท์ ที่อยู่อีเมล วันเกิด หมายเลขบัญชี ยอดคงเหลือบัญชี ประวัติการทำรายการ ข้อมูลบัญชีผู้รับเงินและstatement ซึ่งทาง HSBC จะทำการตรวจสอบเครดิตฟรีและการป้องกันการโจรกรรมข้อมูลประจำตัวสำหรับผู้ใช้ที่ได้รับผลกระทบทั้งหมด

ที่มา:bleepingcomputer