ต้นเหตุเพราะปลั๊กอิน! เว็บหน่วยงานราชการ UK ติด CoinHive กว่า 4,000 เว็บไซต์

เว็บหน่วยงานราชการของอังกฤษตกเป็นเป้าหมายการโจมตีอีกครั้งหลังจากแฮกเกอร์ทำการโจมตีช่องโหว่บนปลั๊กอิน Browsealoud เพื่อฝังสคริปต์สำหรับสร้างผลกำไรในสกุลเงินออนไลน์เสมือนกว่า 4,000 เว็บไซต์

ปลั๊กอินเจ้าปัญหา Browsealoud นั้นเป็นปลั๊กอินที่ช่วยให้ผู้พิการสามารถใช้งานเว็บไซต์ได้ง่ายมากขึ้น ในขณะเดียวกัน Texthelp ซึ่งเป็นผู้ผลิตปลั๊กอินดังกล่าวยืนยันว่าในขณะนี้ปลั๊กอิน Browsealoud กำลังถูกตรวจสอบเพื่อหาปัญหาด้านความปลอดภัยอย่างถี่ถ้วนอีกครั้ง และยืนยันว่าไม่มีการเข้าถึงหรือการขโมยข้อมูลที่เกี่ยวข้องกับผู้ใช้งานใดๆ
Recommendation หากเว็บไซต์ใดมีการใช้งาน Browsealoud อยู่ ทาง Texthelp ได้แนะนำให้ผู้ดูแลเว็บไซต์หรือระบบนำปลั๊กอินออกก่อน จนกว่าจะมีรายละเอียดและแพตช์ด้านความปลอดภัยที่สามารถช่วยลดผลกระทบได้

ที่มา : hackread

นักวิจัยจาก McAfee Advanced Threat Research (ATR) ได้มีการเปิดเผยแคมเปญการโจมตีล่าสุดภายใต้ชื่อ HaoBao ซึ่งพุ่งเป้าโจมตีผู้ครอบครองบิทคอยน์และสถาบันการเงินผ่านช่องทางอีเมลพร้อมไฟล์แนบอันตรายที่ดาวโหลดและติดตั้งมัลแวร์

McAfee ATR เชื่อว่าผู้ที่อยู่เบื้องหลังการโจมตีครั้งนี้นั้นเกี่ยวข้องกับกลุ่มแฮกเกอร์ Lazarus ซึ่งเคยฝากผลงานในการแฮก Sony อ้างอิงจากการใช้งานลักษณะอีเมลฟิชชื่งที่คล้ายกับที่ Lazarus เคยใช้

อีเมลที่ใช้แพร่กระจายมัลแวร์นั้นถูกปลอมแปลงเป็นอีเมลเกี่ยวกับการสมัครงานโดยมีลิงค์สำหรับดาวโหลดเอกสารเชื่อมไปยัง Dropbox โดยเอกสารดังกล่าวจะมีการฝังมาโครสคริปต์เพื่อดาวโหลดและติดตั้งมัลแวร์ ตัวมัลแวร์เองมีความสามารถในการขโมยข้อมูลออกจากเครื่องที่มีการแพร่กระจายรวมไปถึงสแกนหาการใช้งานที่เกี่ยวข้องกับบิทคอยน์ด้วย
Recommendation แนะนำให้ตรวจสอบพฤติกรรมการทำงานของระบบเทียบเคียงกับ IOC ที่ปรากฎตามแหล่งที่มา และดำเนินการตามความเหมาะสมหากพบเจอการแพร่กระจายของมัลแวร์อย่างเร็วที่สุด

ที่มา : securingtomorrow.

ระบบที่เกี่ยวข้องกับมหกรรมโอลิมปิกฤดูหนาวประจำปี 2018 ซึ่งจัดขึ้นที่เมืองพย็องชัง เกาหลีใต้ ถูกรบกวนและโจมตีอย่างหนักในช่วงก่อนและระหว่างพิธีเปิดเป็นเวลากว่า 12 ชั่วโมง ส่งผลให้หลายระบบล่มและไม่สามารถให้บริการได้ เชื่อ "เกาหลีเหนือ", "จีน" และ "รัสเซีย" อยู่เบื้องหลังการโจมตี

Cisco Talos ได้ออกมาให้รายละเอียดเกี่ยวกับการโจมตีภายใต้ชื่อแคมเปญ "Olympic Destroyer" ในภายหลังว่า การโจมตีทางไซเบอร์ในครั้งนี้นั้นมุ่งหวังไปที่การทำลายและขัดขวางการทำงานของระบบเป็นสำคัญ หลังจากมีการตรวจพบมัลแวร์ที่มุ่งลบข้อมูลและแพร่กระจายโดยอาศัยการหาข้อมูลการเข้าถึงระบบจากเครื่องที่มีการติดเชื้อแล้ว

ในขณะนี้รายละเอียดที่ยังไม่ชัดเจนคือวิธีการที่ผู้โจมตีทำการปล่อยมัลแวร์เข้ามาในระบบ อย่างไรก็ตามการทำงานของมัลแวร์ประเภทนี้นั้นเผยให้เห็นเด่นชัดถึงจุดประสงค์การโจมตี มัลแวร์มีการแพร่กระจายโดยอาศัยโปรแกรท PsExec หลังจากนั้นจึงมีการลบข้อมูลสำคัญ เช่น ไฟล์สำรองของระบบและบันทึกการทำงาน รวมไปถึงปิดการใช้งานฟังก์ชันการกู้คืนระบบและทุกเซอร์วิสเพื่อทำให้ระบบไม่สามารถเปิดใช้งานได้

ที่มา : Bleepingcomputer

Lenovo ประกาศแจ้งเตือนอุปกรณ์ที่ได้รับผลกระทบเพิ่มจากช่องโหว่บนเฟิร์มแวร์ Wi-Fi ของ Broadcom (CVE-2017-11120) โดยมีอุปกรณ์ที่ได้รับผลกระทบจากช่องโหว่นี้กว่าหลายสิบรุ่น

ช่องโหว่ CVE-2017-11121 เป็นช่องโหว่ buffer overflow บนเฟิร์มแวร์ของ Broadcom ซึ่งถูกค้นพบโดย Gal Beniamini จาก Google Project Zero ช่องโหว่ดังกล่าวถูกระบุความร้ายแรงอยู่ในระดับสูงสุด (critical) และได้มีการทยอยแพตช์ไปกับอุปกรณ์บางส่วนแล้วโดย Google และ Apple

Recommendation : ทั้งนี้ Lenovo แนะนำให้ผู้ใช้งานติดตามข่าวสารจาก advisory เป็นระยะๆ และหากพบว่าอุปกรณ์ที่ใช้งานอยู่นั้นอาจได้รับผลกระทบจากช่องโหว่ ให้ดำเนินการปฏิบัติตามคำแนะนำที่ https://support.

Felix Krause นักวิจัยด้านความปลอดภัยจาก Fastlane Tools ได้มีการเปิดเผยเทคนิคใหม่ซึ่งใช้ API ของ macOS ในการถ่ายรูปหรือ live stream จากหน้าจอผู้ใช้งานและใช้ OCR เพื่อขโมยข้อมูล

CGWIndowListCreateImage ซึ่งเป็น API ตัวปัญหานั้นสามารถถูกเรียกได้จากแอปแม้ว่าจะถูกควบคุมโดยใช้ sandbox ไว้อยู่ หลักจากที่ข้อมูลที่เก็บอยู่ในลักษณะของมีเดียแล้ว Krause ได้สาธิตการใช้ OCR (optical character recognition) เพื่อวิเคราะห์แล้วดึงข้อมูลตัวอักษรออกมาจากมีเดียได้

Krause ได้ดำเนินการแจ้งเรื่องนี้แก่ Apple แล้ว แต่อย่างไรก็ตาม Apple ยังไม่มีทีท่าที่จะทำการแก้ไข โดย Krause ยังให้คำแนะนำแก่ Apple เพิ่มเติมว่า Apple เคยกำหนดให้มีการขออนุญาตจากผู้ใช้งานก่อนที่จะมีการพยายามถ่ายภาพหน้าจอใดๆ รวมไปถึงมีการแจ้งเตือนด้วย

Recommendation ยังไม่มีวิธีการป้องกันและแก้ไขใดๆ จากเทคนิคการโจมรูปแบบนี้
Affected Platform macOS

ที่มา : Bleepingcomputer

บริษัท TELCO สัญชาติสวิตเซอร์แลนด์ "Swisscom" ออกมาประกาศแจ้งเตือนผู้ใช้งานหลังจากตรวจพบการเข้าถึงข้อมูลที่อาจส่งผลให้ข้อมูลของผู้ใช้งานกว่า 800,000 คนรั่วไหล

ในเบื้องต้นทาง Swisscom ได้ออกมาแถลงการณ์ในเบื้องต้นนั้นมีที่มาจากการกำหนดสิทธิ์ที่ไม่เหมาะสมกับฝั่งคู่ค้า ทำให้ฝั่งคู่ค้าสามารถนำข้อมูลสำหรับเข้าสู่ระบบไปใช้ในลักษณะที่ประสงค์ร้ายได้ และยืนยันว่าไม่ได้มีการโจมตีระบบในลักษณะอื่นใดเข้ามา

ในขณะนี้ Swisscom ได้ดำเนินการแจ้งต่อคณะกรรมการและหน่วยงานที่เกี่ยวข้องพร้อมทั้งระงับการเข้าถึงข้อมูลใดๆ จากฝั่งคู่ค้าแล้ว โดยจะทำการเยียวยาผู้ใช้งานและปรับปรุงระบบให้มีความปลอดภัยมากขึ้นต่อไป

ที่มา : Securityweek

นักวิจัยด้านความปลอดภัย Robery Neumann และ Luke Somerbille จาก Forcepoint ได้ทำการวิเคราะห็มัลแวร์ซึ่งเชื่อกันกว่าเป็นมัลแวร์ที่มุ่งโจมตีระบบ PoS สายพันธุ์ใหม่ โดยมีพฤติกรรมสำคัญคือการใช้ DNS เป็น covert channel ในการขโมยข้อมูลออกไป

มัลแวร์สายพันธุ์นี้ซึ่งในภายหลังถูกตั้งชื่อว่า UDPoS ถูกพัฒนาให้เลียนแบบแอปพลิเคชันชื่อดัง "LogMeIn" อีกทั้งยังมีการใช้ชื่อเซิร์ฟเวอร์ C&C เป็น service-logmeln.

นักวิจัยด้านความปลอดภัย Jason Reaves จาก Fidelis Cybersecurity ได้เป็นเผยเทคนิคการทำ covert channel โดยอาศัยการฝังข้อมูลที่ต้องการขโมยไว้ในฟิลด์ของใบรับรองแบบ X.509 ซึ่งมักจะไม่ถูกตรวจสอบหรือบล็อคโดยระบบป้องกัน

หนึ่งในตัวอย่างทดสอบนั้น Reaves ทำการแก้ไขฟิลด์ SubjectKeyIdentifier เพื่อสอดแทรกข้อมูลที่เป็นอันตรายลงไป Reaves ยืนยันว่านอกเสียจากจะตรวจสอบค่าทุกค่าในใบรับรองแบบ X.509 แล้ว ก็ไม่มีวิธีอื่นใดที่จะตรวจจับวิธีการในลักษณะนี้ได้

ดูตัวอย่างการสาธิตเทคนิคนี้ได้จาก https://www.

ทีมนักวิจัยชาวจีนจาก Qihoo 360 Netlab ได้ประกาศการค้นพบมัลแวร์ ADB.Miner ที่สามารถแพร่กระจา่ยตัวเองได้บนระบบปฏิบัติการแอนดรอยด์ซึ่งมีเป้าหมายในการแสวงหาผลกำไรจากสกุลเงินออนไลน์เสมือนผ่านทางการแสกนหาอุปกรณ์ที่มีช่องโหว่

พฤติกรรมของ ADB.Miner ถูกออกแบบมาให้เลียนแบบการทำงานของบ็อตเน็ตชื่อดังอย่าง Mirai โดยมันจะทำการสแกนหาอุปกรณ์ที่ใช้แอนดรอยด์ทั้งหมดไม่ว่าจะเป็นโทรศัพท์มือถือ สมาร์ททีวีหรืออุปกรณ์อื่นๆ ที่เปิดให้สามารถเข้าถึงจากระยะไกลที่พอร์ต 5555/TCP เพื่อทำการติดตั้งมัลแวร์ ซึ่งอย่างไม่มีการเปิดเผยในขณะนี้ว่ามีการใช้เทคนิคใดร่วมด้วยหรือเปล่า

พอร์ต 5555/TCP เป็นพอร์ตของซอฟต์แวร์ Android Debug Bridge (ADB) ซึ่งเป็นซอฟต์แวร์สำหรับช่วยให้นักพัฒนาสามารถตรวจสอบการทำงานของแอปแอนดรอยด์ได้จากคอมพิวเตอร์
Recommendation แนะนำให้ตรวจสอบการใช้งานของอุปกรณ์แอนดรอยด์เพื่อหาความผิดปกติอย่างสม่ำเสมอ ไม่ติดตั้งแอปที่ต้องสงสัยและปฏิบัติตามข้อควรปฏิบัติเพื่อการใช้งานที่ปลอดภัยอย่างเคร่งครัด

แนะนำให้ตรวจสอบการใช้งานของอุปกรณ์แอนดรอยด์เพื่อหาความผิดปกติอย่างสม่ำเสมอ ไม่ติดตั้งแอปที่ต้องสงสัยและปฏิบัติตามข้อควรปฏิบัติเพื่อการใช้งานที่ปลอดภัยอย่างเคร่งครัด

ที่มา : TheHackerNews

กลุ่มนักวิจัยด้านความปลอดภับจาก RIPS Technologies ได้มีการเปิดเผยถึงการค้นพบช่องโหว่ secord-order SQL injection ใน Joomla! เวอร์ชันก่อนหน้า 3.8.4 และมากกว่า 3.7.0 ซึ่งส่งผลให้ผู้โจมตีสามารถยกระดับสิทธิ์ตัวเองเป็นผู้ดูแลระบบเว็บไซต์ได้

ช่องโหว่นี้ได้รับการแพตช์ในแพตช์ด้านความปลอดภัยที่ถูกเผยแพร่ออกมาในวันที่ 30 มกราคม แนะนำให้ผู้ใช้งาน Joomla! ทำการตรวจสอบและอัปเดตโดยด่วน
Affected Platform - Joomla! รุ่นน้อยกว่า 3.8.4 และ มากกว่า 3.7.0

ที่มา : Ripstech