เมื่อวันศุกร์ที่ผ่านมา ระบบในหลายโรงงานผลิตของ Taiwan Semiconductor Manufacturing Co. (TSMC) ซึ่งเป็นโรงงานผลิตอุปกรณ์ Apple ติดไวรัส

เมื่อวันศุกร์ที่ผ่านมา ระบบในหลายโรงงานผลิตของ Taiwan Semiconductor Manufacturing Co. (TSMC) ซึ่งเป็นโรงงานผลิตอุปกรณ์ Apple ติดไวรัส TSMC เป็นผู้ผลิตชิปรายใหญ่ที่สุดในโลกสำหรับ บริษัทยักษ์ใหญ่ด้านเทคโนโลยี ได้แก่ Apple และ Qualcomm Inc.

Drupal ระบบการจัดการเนื้อหาของเว็บไซต์ open-source content management system ที่ถูกนิยมใช้งานอย่างแพร่หลาย ได้ประกาศเปิดตัวเวอร์ชั่นใหม่เพื่อแก้ไขช่องโหว่ด้านความปลอดภัยที่ทำให้แฮกเกอร์สามารถโจมตีระยะไกลและเข้าควบคุมเว็บไซต์ที่ได้รับผลกระทบได้ คือช่องโหว่ CVE-2018-14773 ใน third-party library ของบริษัท Symfony HttpFoundation ซึ่งถูกใช้งานใน Drupal Core เวอร์ชัน 8 ขึ้นไป

เนื่องจากคอมโพเนนต์ของ Symfony เป็นการทำงาน web application ที่เป็นส่วนประกอบของชุดคำสั่ง PHP ที่ถูกใช้งานอย่างแพร่หลายมีช่องโหว่เสี่ยงต่อการถูกแฮกได้ แฮกเกอร์สามารถใช้ประโยชน์จากค่า header HTTP 'X-Original-URL' หรือ 'X-Rewrite-URL ที่สร้างขึ้นมาเป็นพิเศษเพื่อหลีกเลี่ยงข้อจำกัด ในการเข้าถึงและทำให้ระบบเป้าหมายแสดงผล URL อื่นแทน URL ที่ถูกเรียกจริง

นอกจากนี้ ทีมงาน Drupal Core ยังพบช่องโหว่ทีคล้ายกัน ที่อยู่ในไลบรารี Zend Feed และ Diactoros ที่รวมอยู่ใน Drupal Core ซึ่งมีชื่อว่า 'URL Rewrite vulnerability' หากผู้ใช้งาน Drupal Core ไม่ได้ใช้ฟังก์ชันที่มีช่องโหว่ดังกล่าว แต่แนะนำให้ผู้ใช้งานแก้ไขเว็บไซต์ที่มีการใช้ Zend Feed หรือ Diactoros โดยการอัปเดตแพทช์ให้เป็นเวอร์ชั่นล่าสุด

ผลกระทบ
ส่งผลกระทบกับผู้ใช้ Drupal 8 ที่ใช้เวอร์ชันต่ำกว่า 8.5.6

คำแนะนำ
อัปเดต Symfony เป็นเวอร์ชัน 2.7.49, 2.8.44, 3.3.18, 3.4.14, 4.0.14 และ 4.1.3 และอัปเดต Drupal 8 ที่ใช้เวอร์ชันต่ำกว่า 8.5.6 เป็น 8.5.6

ที่มา: thehackernews

FBI ออกคำแนะนำเพื่อความปลอดภัยในการใช้งาน IOT

สำนักงานสอบสวนกลางแห่งสหรัฐอเมริกา หรือ FBI ออกบทความแนะนำเกี่ยวกับความปลอดภัยในการใช้อุปกรณ์ที่สามารถต่ออินเตอร์เน็ตได้ที่เรียกรวมๆกันว่า Internet of Thing หรือ IoT หลังจากพบแนวโน้มการถูกนำไปใช้ในการก่ออาชญากรรมไซเบอร์ต่างๆ

ปัจจุบัน IoT ได้รับความนิยมมากขึ้นจากแนวโน้มในการทำบ้านให้เป็น Smart home โดยการเพิ่มระบบอัตโนมัติต่างๆที่เชื่อมต่อกับอินเตอร์เน็ต ทำให้ผู้ใช้งานสามารถสั่งงานอุปกรณ์ต่างๆในบ้านได้ผ่านโทรศัพท์มือถือ และเนื่องจากความนิยมดังกล่าวอาชญากรไซเบอร์จึงหันมาใช้ IoT เป็นตัวกลาง (proxy) เพื่อบังหน้าในการก่ออาชญากรรมไซเบอร์ต่างๆ เพราะเมื่ออาชญากรทำการโจมตีผ่านตัวกลาง IP ของการโจมตีที่ตรวจสอบได้จะกลายเป็น IP ของ IoT ของเหยื่อแทน ทำให้ยากต่อการตรวจจับ และป้องกัน ตัวอย่างอุปกรณ์ที่ตกเป็นเป้าหมาย ได้แก่ router, อุปกรณ์รับสัญญาณดาวเทียม, นาฬิกาอัจฉริยะ, อุปกรณ์สตรีมมิ่งภาพยนตร์, Raspberry Pi, ลูกบิดประตูอัจฉริยะ เป็นต้น

อาชญากรมักจะใช้ IoT เป็นตัวกลางเพื่อส่ง spam email, ซ่อนตัวเพื่อให้ตรวจจับยาก, ซื้อขายของผิดกฏหมาย, หลบหลีกการตรวจจับ และขโมยบัญชีผู้ใช้และรหัสผ่าน เป็นต้น
โดยจะพุ่งเป้าไปยังอุปกรณ์ IoT ที่มีการยืนยันตัวตนที่ไม่เข้มงวด, ไม่มีการอัปเดตแพตช์, มีช่องโหว่ที่เป็นที่รู้จัก หรือใช้บัญชีผู้ใช้และรหัสผ่านที่เป็นค่าตั้งต้นจากผู้ผลิต

โดยผู้ใช้สามารถสังเกตความผิดปกติของอุปกรณ์ IoT ได้จากการใช้งานอินเตอร์เน็ตที่สูงมากกว่าปกติ, อุปกรณ์มีอาการช้าหรือค้าง, มีการเรียก DNS แปลกๆ เป็นต้น

วิธีการป้องกัน

(1) ทำการ Reboot อุปกรณ์เป็นระยะ เนื่องจากมัลแวร์ส่วนมากอยู่ในหน่วยความจำที่จะถูกล้างเมื่อเครื่อง reboot
(2) ไม่ใช้บัญชีผู้ใช้และรหัสผ่านที่เป็นค่าตั้งต้นจากผู้ผลิต
(3) ตรวจสอบและอัปเดตให้อุปกรณ์ IoT เป็นเวอร์ชั่นล่าสุด
(4) ตั้งค่า network firewalls เพื่อบล็อก IP แปลกๆ และปิด port forwarding
(5) แยกวงเน็ตเวิร์คของอุปกรณ์ IoT ออกจากการใช้งานหลัก

ที่มา : ic3

Google เพิ่มฟังก์ชันใหม่ในการเตือนองค์กรที่มีการใช้งาน G Suite หากเชื่อว่าบัญชีผู้ใช้งานในองค์กรตกเป็นเป้าหมายโดยแฮกเกอร์ที่ได้รับการสนับสนุนจากรัฐบาล

หากผู้ดูแลระบบ G Suite ขององค์กรเปิดฟังก์ชันนี้ไว้ (ค่าเริ่มต้นจะปิดอยู่) จะทำให้ได้รับการแจ้งเตือน E-mail เมื่อ Google เชื่อว่าผู้โจมตีที่ได้รับการสนับสนุนจากรัฐบาล มีความพยายามเข้าถึงบัญชีผู้ใช้หรือคอมพิวเตอร์โดยการใช้ฟิชชิ่ง, มัลแวร์ หรือวิธีอื่นๆ เมื่อได้รับคำเตือนแล้วผู้ดูแลระบบสามารถเลือกที่จะแชร์ข้อมูลการแจ้งเตือนไปยังผู้ใช้งาน และเพิ่มความปลอดภัยให้กับบัญชีผู้ใช้อื่นได้

โดยการแจ้งเตือนเหล่านี้สามารถเกิดขึ้นได้ หากผู้ใช้ได้รับ E-mail ที่มีไฟล์แนบหรือ Link ของซอฟต์แวร์ที่เป็นอันตรายรวมถึงเว็บไซต์ปลอมที่ออกแบบมาเพื่อหลอกขโมยรหัสผ่านหรือข้อมูลส่วนบุคคลอื่นๆ ซึ่งลักษณะการโจมตีด้วยฟิชชิ่งที่เชื่อว่ามีรัฐบาลอยู่เบื้องหลังนั้นเคยมีตัวอย่างให้เห็นแล้ว อย่างเช่นในกรณีที่กระทรวงยุติธรรมของสหรัฐอเมริกาได้กล่าวหารัสเซียว่าเป็นผู้อยู่เบื้องหลังในการสนับสนุนกลุ่มแฮกเกอร์ให้ทำการโจรกรรมข้อมูลของพรรค Democratic ซึ่งเริ่มต้นจากการใช้ฟิชชิ่งเพื่อหลอกเหยื่อ

ที่มา: zdnet

นักวิจัยค้นพบ Calisto มัลแวร์ใน macOS ซึ่งเป็นมัลแวร์ตั้งต้นของมัลแวร์ชื่อดัง Proton

นักวิจัยด้านมัลแวร์จาก Kaspersky Labเปิดเผยมัลแวร์ Calisto ซึ่งเน้นโจมตี macOS โดยเชื่อว่าน่าจะเป็นมัลแวร์ตั้งต้นของมัลแวร์ Proton ที่แพร่ระบาดในปี 2017
Proton เป็นมัลแวร์ที่โจมตีเครื่องคอมพิวเตอร์ที่ใช้ macOS เป็น remote access trojan (RAT) เมื่อคอมพิวเตอร์ดังกล่าวติดเชื้อแล้วจะทำให้ผู้โจมตีสามารถควบคุมคอมพิวเตอร์ที่ติดเชื้อได้เต็มรูปแบบ ชื่อของ Proton เริ่มเป็นที่รู้จักครั้งแรกในเดือนมีนาคม ปี 2017 เมื่อนักวิจัยจาก Sixgill เจอการซื้อขาย Proton ในเว็บบอร์ดแฮกเกอร์ใต้ดินด้วยราคาตั้งแต่ 1200 ดอลลาร์สหรัฐ (ประมาณ 40,000 บาท) ไปจนถึง 820,000 ดอลลาร์สหรัฐ (ประมาณ27ล้านบาท) หลังจากนั้นไม่นานในเดือนพฤษภาคม ปี 2017 มีการแฮกเว็บไซต์ HandBrake (โปรแกรมแปลงไฟล์แบบโอเพ่นซอร์ส) และเปลี่ยนโปรแกรม HandBrake สำหรับ macOS เป็นไฟล์ที่ฝัง Proton ไว้ด้านในโปรแกรมตัวจริง และในเดือนตุลาคม ปี 2017 Proton แพร่ระบาดอีกครั้งด้วยการแฮกเว็บไซต์ Eltima Player แล้วฝังProton ไว้ด้านในโปรแกรมเช่นกัน

ในวันที่ 20 กรกฏาคม 2018 นักวิจัยด้านมัลแวร์จาก Kaspersky Lab ได้เปิดเผยการค้นพบมัลแวร์ชื่อ Calisto ซึ่งน่าจะเป้นมัลแวร์ตั้งต้นในการพัฒนามัลแวร์ Proton มัลแวร์ Calisto ถูกพัฒนาตั้งแต่ปี 2016 และถูกอัพโหลดขึ้นเว็บไซต์ VirusTotal (เว็บไซต์ให้บริการตรวจสอบไฟล์และ URL ที่อาจเป็นอันตราย) ตั้งแต่ปี 2016 ทั้งนี้ไฟล์ที่มี Calisto ไม่ถูกแจ้งว่าเป็นไฟล์อันตรายมาตลอดจนกระทั้งเมื่อนักวิจัยไปเจอในเดือนพฤษภาคม ปี 2018
ในผลวิเคราะห์ Calisto จากนักวิจัยด้านมัลแวร์จาก Kaspersky Lab กล่าวว่า Calisto เป็น remote access trojan (RAT) เช่นกัน โดยมีความสามารถหลายอย่าง เช่น ทำให้ผู้โจมตีล็อกอินเข้าเครื่อง macOS ที่ติดเชื้อได้จากระยะไกล เปิดระบบ screen sharing สร้าง root account ลับให้มัลแวร์ใช้ ขโมยไฟล์แล้วส่งไปยังเซิร์ฟเวอร์ที่ควบคุม

ทั้งนี้ Calisto ยังอยู่ระหว่างการพัฒนาและไม่มีอันตรายเท่ากับ Proton นอกจากนี้ Calisto และถูกพัฒนาออกมาก่อนที่ Apple ออก SIP (System Integrity Protection) ซึ่ง SIP ออกแบบมาให้มัลแวร์ไม่สามารถเปลี่ยนแปลงไฟล์และการตั้งค่าของระบบที่สำคัญได้ ถึงแม้ว่าจะเข้าถึงระบบในระดับ root ก็ตาม ผู้ใช้ macOS ที่เปิดการใช้จึง SIP จะปลอดภัยจาก Calisto
ทั้งนี้เพื่อความปลอดภัยจาก Calisto Proton และมัลแวร์ในกลุ่มเดียวกัน

ผู้ใช้ macOS ควรจะ อัปเดต OS ให้เป็นปัจจุบันอยู่เสมอ ไม่ปิดการใช้งาน SIP ใช้ software จากแหล่งน่าเชื่อถือเท่านั้น เช่น จาก App Store ติดตั้ง antivirus software ที่มีการอัปเดตเป็นปัจจุบัน

ที่มา securityaffairs

Reddit ถูกแฮกจากการดักรับ SMS ที่เป็น 2FA ของพนักงาน ข้อมูลทั้งหมดตั้งแต่ปี 2007 หลุดรวมถึงข้อมูลผู้ใช้งาน

Reddit เว็บบอร์ดขนาดใหญ่ที่ก่อตั้งตั้งแต่ปี 2005 ออกประกาศข่าวการถูกแฮก โดยผู้โจมตีได้ข้อมูลของผู้ใช้งาน Reddit ปัจจุบันไปบางส่วน และฐานข้อมูลสำรองของปี 2007 ทั้งหมด ซึ่งมีข้อมูลทั้งหมดของเว็บไซต์ตั้งแต่ก่อตั้งจนถึงเดือนพฤษภาคม ปี 2007 ซึ่งการถูกแฮกครั้งนี้เกิดจากผู้โจมตีสามารถเข้าถึง SMS ซึ่งเป็น two factor authentication (2FA) ของพนักงาน Reddit ได้และใช้เข้าถึงข้อมูลดังกล่าว

Reddit พบว่าในวันที่ 19 มิถุนายน 2018 ที่ผ่านมา ผู้โจมตีสามารถทำการโจมตีบัญชีของพนักงาน Reddit ที่เป็นผู้ดูแลระบบทำให้สามารถเข้าถึงข้อมูลและ infrastructure ของ Reddit ได้ ถึงแม้ว่าข้อมูลและ infrastructure จะมีการป้องกันโดยการใช้ two factor authentication (2FA) ในการเข้าถึงก็ตาม โดยต้องยืนยันตนสองขั้นโดยใช้สองวิธียืนยันตัวตนที่แตกต่างกันร่วมกันเช่น ใช้สิ่งที่ผู้ใช้ทราบ (เช่น รหัสผ่านหรือ PIN) ร่วมกับสิ่งที่ผู้ใช้มี (เช่น SMS หรือ authenticator app หรือ usb token) ก็ตาม แต่เนื่องจากบัญชีพนักงานดังกล่าวใช้ SMS เพิ่มจากรหัสผ่านในการยืนยันตัวตน ทำให้สามารถถูกโจมตีด้วยการดักรับ SMS ดังกล่าวและใช้เข้าสู่ระบบได้

Reddit แจ้งว่าข้อมูลที่ผู้โจมตีได้ไปคือ ข้อมูลทั้งหมดของ Reddit ตั้งแต่ก่อตั้งเว็บจนถึงเดือนพฤษภาคม ปี 2007, รายชื่อ email ของผู้ใช้งานปัจจุบันสำหรับส่ง email เสนอแนะหัวข้อที่น่าสนใจในบอร์ดและ source code ของระบบ ซึ่งข้อมูลหลุดที่กระทบกับผู้ใช้งานคือส่วนที่เป็นข้อมูลทั้งหมดของ Reddit ตั้งแต่ก่อตั้งเว็บจนถึงเดือนพฤษภาคม ปี 2007 โดย Reddit ได้แจ้งเตือนผู้ใช้ที่ได้รับผลกระทบในสองส่วนดังกล่าวแล้ว และได้แจ้งหน่วยงานทางกฏหมายให้ทราบถึงเหตุการณ์นี้แล้ว

ทั้งนี้ Reddit ได้แนะนำผู้ใช้เพิ่มเติมดังนี้

1. ตรวจสอบว่าตัวเองได้รับผลกระทบหรือไม่ ด้วยการตรวจสอบว่าเป็นผู้ใช้ที่สมัคร Reddit ตั้งแต่ก่อนปี2007 หรือ เป็นผู้ใช้ที่ได้รับ email จาก noreply@redditmail.

พบช่องโหว่บลูทูธใหม่ กระทบอุปกรณ์จำนวนมากนับล้าน

พบช่องโหว่ตัวใหม่ในบลูทูธ CVE-2018-5383 เกิดจากการดำเนินการเข้ารหัสที่ไม่สมบูรณ์ในระดับ Firmware โดยกระทบอุปกรณ์จำนวนมากจากบริษัทรายใหญ่ ไม่ว่าจะเป็น Apple Broadcom Intel และ Qualcomm โดยกระทบทั้งมือถือ เครื่องคอมพิวเตอร์ และอุปกรณ์อื่นๆที่มีความสามารถในการรับส่งบลูทูธ

เมื่อวันที่23 กรกฏาคม 2018 ที่ผ่านมามีประกาศเตือนถึงช่องโหว่ตัวใหม่ในบลูทูธ ซึ่งเกิดจากการดำเนินการเข้ารหัสที่ไม่สมบูรณ์ในบลูทูธ บลูทูธเป็นมาตรฐานในการส่งข้อมูลแบบไร้สายโดยอาศัยคลื่นวิทยุและมีระยะทางในการส่งไม่เกิน 10 เมตรโดยใช้กระบวนการเข้ารหัส Elliptic curve Diffie–Hellman หรือ ECDH ในการส่งข้อมูลระหว่างอุปกรณ์ ทั้งนี้ในกระบวนการ ECDH ดังกล่าว ต้องมีการตรวจสอบ elliptic curve parameters เพื่อยีนยันความถูกต้อง
ซึ่งช่องโหว่ของบลูทูธที่ค้นพบใหม่นี้ เกิดจากไม่มีการตรวจสอบ elliptic curve parameters ดังกล่าว ซึ่งทำให้ผู้โจมตีในระยะสัญญาณบลูทูธสามารถทำการโจมตีแบบ man-in-the-middle โดยดักจับ key ที่ใช้ในการเข้ารหัส ดักจับข้อมูลที่ส่งผ่านบลูทูธ และนำมาถอดรหัสข้อมูลดังกล่าวได้ ดัดแปลงข้อมูลที่ถูกรับส่งระหว่างทาง หรือแม้กระทั่งฝังมัลแวร์ได้

ช่องโหว่ดังกล่าวกระทบอุปกรณ์จำนวนมากที่มีความสามารถในการรับส่งบลูทูธจากหลายบริษัท ไม่ว่าจะเป็น Apple Broadcom Intel และ Qualcomm ซึ่งบริษัทบางส่วนได้ออกอัปเดตเพื่อแก้ไขบ้างแล้ว เช่น
- Apple ได้แก้ไขช่องโหว่ดังกล่าวไปใน macOS Excessive Sierra 10.13.5, iOS 11.4, watchOS 4.3.1, และ tvOS 11.4
- Intel ออกไดรว์เวอร์ให้กับอุปกรณ์ที่มีผลกระทบ โดยสามารถดูรายละเอียดอุปกรณ์ที่ได้รับผลกระทบได้ที่ https://www.

วันนี้ธนาคารแห่งประเทศไทย(ธปท.)ได้มีการออกข่าวประชาสัมพันธ์ให้สถาบันการเงินในประเทศยกระดับมาตรการป้องกันภัยทางไซเบอร์

สืบเนื่องจาก นายรณดล นุ่มนนท์ ผู้ช่วยผู้ว่าการ สายกำกับสถาบันการเงิน ธนาคารแห่งประเทศไทย ได้มีการเปิดเผยว่า มีข้อมูลบางส่วนซึ่งไม่เกี่ยวข้องกับธุรกรรมการเงินจากธนาคาร 2 แห่ง ได้แก่ ธนาคารกสิกรไทย จำกัด (มหาชน) และธนาคารกรุงไทย จำกัด (มหาชน) หลุดออกไป โดยจากรายงานข้อมูลที่หลุดออกไปของธนาคารกสิกรไทยเป็นข้อมูลลูกค้านิติบุคคลที่เป็นข้อมูลสาธารณะ ส่วนของธนาคารกรุงไทย เป็นข้อมูลคำขอสินเชื่อของลูกค้ารายย่อยและนิติบุคคลบางส่วน หลังจากธนาคารทั้ง 2 แห่งทราบปัญหาดังกล่าวได้มีการตรวจสอบทันที และพบว่ายังไม่มีลูกค้าที่ได้ผลกระทบจากกรณีข้อมูลรั่วไหลดังกล่าวนี้ พร้อมทั้งได้ดำเนินการปิดช่องโหว่ดังกล่าวโดยทันที ทั้งนี้ ธปท. ได้สั่งการ และกำชับให้ธนาคารทั้ง 2 แห่งยกระดับมาตราป้องกันภัยทางไซเบอร์อย่างเข้มงวดโดยทันที

ล่าสุดนี้ทางธนาคารทั้ง 2 แห่ง ได้แก่ธนาคารกรุงไทย จำกัด (มหาชน) และธนาคารกสิกรไทย จำกัด (มหาชน) ได้มีการชี้แจงกรณีดังกล่าวออกมาแล้ว นายผยง ศรีวณิช กรรมการผู้จัดการใหญ่ ธนาคารกรุงไทย เปิดเผยว่าจากการตรวจสอบระบบพบว่า ในช่วงก่อนวันหยุดยาวที่ผ่านมาข้อมูลเบื้องต้นที่ส่วนใหญ่เป็นข้อมูลคำขอสินเชื่อพื้นฐานของลูกค้ารายย่อยที่สมัครสินเชื่อทางออนไลน์ทั้งสิ้น 1.2 แสนราย แบ่งเป็นนิติบุคคล 3 พันรายได้ถูกแฮกด้วยเทคนิคชั้นสูงจากระบบของธนาคาร และธนาคารยืนยันว่ายังไม่พบว่าความเสียหายเกิดขึ้นกับบัญชีของกลุ่มลูกค้าที่ได้รับผลกระทบดังกล่าว

ทั้งนี้ธนาคารได้มีการติดต่อกับกลุ่มลูกค้าดังกล่าว เพื่อแจ้งให้ทราบถึงเหตุการณ์ และให้คำแนะนำเพื่อป้องกันความเสี่ยงแล้ว ในส่วนของธนาคารกสิกรไทย นายพิพิธ เอนกนิธิ กรรมการผู้จัดการ ธนาคารกสิกรไทย เปิดเผยว่า เมื่อวันที่ 25 กรกฎาคมที่ผ่านมา ธนาคารตรวจพบว่าอาจมีข้อมูลรายชื่อลูกค้าองค์กรของธนาคารประมาณ 3 พันรายที่ใช้เว็บให้บริการหนังสือค้ำประกันหลุดออกไปสู่สาธารณะ ซึ่งข้อมูลที่หลุดออกไปไม่เกี่ยวข้องกับข้อมูลสำคัญด้านธุรกรรมการเงินของลูกค้า และยังไม่พบว่ามีลูกค้าที่ได้รับผลกระทบดังกล่าวได้รับความเสียหายใดๆ โดยคาดว่าเกิดจากการแฮกเช่นเดียวกัน ทั้งนี้ธนาคารได้มีแผนที่จะแจ้งให้ทางลูกค้าที่ได้รับผลกระทบทราบเป็นรายองค์กรแล้ว

อย่างไรก็ตามขณะนี้กลุ่มผู้เชี่ยวชาญด้านความปลอดภัยทางไซเบอร์จากสถาบันการเงินต่างๆในประเทศ ได้ร่วมมือกับทาง TB-CERT และผู้เชี่ยวชาญท่านอื่นๆ ช่วยกันสืบสวนหาสาเหตุที่แท้จริงอยู่ คาดว่าหากมีความคืบหน้าเพิ่มเติมน่าจะมีการแจ้งให้ทราบต่อไป

ที่มา : การเงินธนาคาร , ธปท.

นักวิจัยของ Cisco Talos ค้นพบมัลแวร์แบบเจาะจงเป้าหมายบน iPhone 13 เครื่องในอินเดีย โดยใช้ Mobile Device Management (MDM) system ในการแพร่กระจาย

Mobile Device Management (MDM) system เป็นซอร์ฟแวร์สำหรับติดตั้ง และควบคุมการลงแอพพลิเคชั่นลงบนเครื่องที่ลงทะเบียนไว้กับ management system นอกจากนี้ยังสามารถตรวจสอบการJailbreak หรือ Root, ลบข้อมูลบนเครื่อง, ล็อกเครื่องจากระยะไกล และอื่นๆ การลงทะเบียนเครื่องใดๆเข้าระบบ MDM นั้น จำเป็นต้องติดตั้ง certificate ก่อน โดยวิธีที่สามารถติดตั้งบนเครื่องเหยื่อได้มี 2 วิธีคือ ผู้โจมตีสามารถเข้าถึงเครื่องได้ หรือ ผู้โจมตีหลอกผู้ใช้ด้วยวิธี social engineering ว่า certificate ดังกล่าวปลอดภัย ทำให้ผู้ใช้ยอมติดตั้ง certificate ทั้งนี้นักวิจัยคาดการณ์ว่าผู้โจมตีในครั้งนี้ใช้วิธี social engineering เนื่องจากค้นพบURL ชื่อ [hxxp://ios-certificate-update][.]com เกี่ยวข้องกับ MDM ที่ใช้ในการเผยแพร่ครั้งนี้

หลังจากที่ลงทะเบียน iPhone เข้าระบบ MDM แล้ว ผู้โจมตีได้ใช้เทคนิค BOptions sideloading ติดตั้งโค้ดอันตรายให้กับแอพที่ได้รับการยอมรับอย่าง Telegram และ WhatsApp จากนั้นทำการเผยแพร่แอพให้กับเครื่อง iPhone ที่ถูกลงทะเบียนไว้กับ MDM เมื่อเครื่องที่ถูกลงทะเบียนได้รับแอพดังกล่าวแล้ว โค้ดอันตรายจะทำการเก็บข้อมูลต่างๆบนเครื่องผู้ใช้ และส่งข้อมูลกลับมายัง server ที่ใช้ในการสั่งการมัลแวร์ นักวิจัยพบว่ามัลแวร์ดังกล่าวถูกใช้มาตั้งแต่เดือนสิงหาคม 2015 จากการวิเคราะห์ log ที่ MDM server และ server ที่ใช้ในการสั่งการ โดยยังไม่ทราบเป้าหมายที่แท้จริงของผู้โจมตีที่เผยแพร่มัลแวร์ดังกล่าว และการแพร่กระจายมัลแวร์ด้วย MDMนี้ทำการโจมตีแค่ iPhone 13 เครื่องในอินเดียเท่านั้น จึงสรุปว่าเป็นการโจมตีที่มีเป้าหมายเฉพาะเจาะจง ทั้งนี้นักวิจัยได้ประสานงานกับ Apple เพื่อยกเลิก certificates ที่เกี่ยวข้องกับมัลแวร์แล้ว

ทั้งนี้ ผู้ใช้งานควรใช้ความระมัดระวังในการคลิกlink ที่ไม่คุ้นเคย ควรใช้ความระมัดระวังในการติดตั้งสิ่งใดๆลงในเครื่อง ควรทราบว่าการลง certificate ของระบบ MDM นั้นทำให้ผู้ควบคุมระบบสามารถเข้าถึงเครื่องได้ทั้งหมด และควรทราบว่าตนเองอาจตกเป็นเหยื่อการโจมตีแบบเดียวกันได้หากลง certificate ที่ไม่ได้รับการรับรองจาก Apple

ที่มา:talosintelligence

นักวิจัยจาก Trend Micro ค้นพบว่า Andariel กลุ่ม Hacker ที่มีความเชื่อมโยงกับเกาหลีเหนือ ได้มีการพัฒนา script ซึ่งเมื่อไม่กี่เดือนก่อนหน้านี้พบว่าถูกใช้ในการระบุเครื่องเป้าหมาย(Reconnaissance) ที่มีช่องโหว่ zero-day ของ ActiveX object เพื่อโจมตี

เมื่อปลายเดือนมิถุนายนที่ผ่านมา ได้พบว่ามีการฝัง script บนเว็ปไซต์ 4 แห่งในเกาหลีใต้ คาดว่าจุดมุ่งหมายน่าจะเป็นการระบุเครื่องเป้าหมายที่มีช่องโหว่เพื่อทำการโจมตี จากการตรวจสอบ script นักวิจัยพบว่ามีความคล้ายคลึงกับ script ที่เคยถูกใช้โดยกลุ่มที่มีชื่อ "Andariel" โดยถูกใช้เพื่อค้นหาเป้าหมายที่ใช้ Internet Explorer(IE) และมีช่องโหว่ของ ActiveX object แต่ script ที่พบล่าสุดนี้มีความแตกต่างออกไปจากของเดิม โดยนักวิจัยพบว่าได้มีการเพิ่ม ActiveX object เข้าไปอีก 2 รายการ ได้แก่ "DSDOWNCTRL.DSDownCtrlCtrl.