พบช่องโหว่ในเครื่องควบคุมการให้สารละลายทางหลอดเลือด (infusion pump) สามารถถูกโจมตีและควบคุมได้จากระยะไกล

นักวิจัยด้านความปลอดภัยอิสระ Scott Gayou ได้เปิดเผยการค้นพบ 8 ช่องโหว่ด้านความปลอดภัยในอุปกรณ์ควบคุมการให้สายละลายทางหลอดเลือดของ Medfusion รุ่น 4000 ผลิตโดย Smiths Medical ซึ่งช่องโหว่ที่ร้ายแรงที่สุดนั้นอาจทำให้ผู้โจมตีสามารถควบคุมการทำงานของอุปกรณ์ได้ หมายถึงผู้โจมตีอาจควบคุมปริมาณยาหรือสารละลายที่ให้แก่ผู้ป่วยได้

หนึ่งใน 8 ช่องโหว่นั้นคือช่องโหว่ CVE-2017-12725 ซึ่งมีคะแนน CVSS ทั้งหมด 9.8 (เต็ม 10) โดยเกิดขึ้นหากผู้ใช้อุปกรณ์ไม่ได้มีการเปลี่ยนแปลงรหัสผ่านที่ถูกตั้งมาเป็นค่าเริ่มต้น ทำให้ผู้โจมตีสามารถเข้าถึงอุปกรณ์แบบไร้สายได้ด้วยรหัสผ่านเริ่มต้นดังกล่าว นอกเหนือจากนั้นอุปกรณ์ยังมีช่องโหว่ buffer overlow (CVE-2017-12718) ที่ทำให้ผู้โจมตีสามารถโจมตีด้วยวิธีการ remote code execution ด้วย

ช่องโหว่ทั้งหมดส่งผลกระทบกับเฟิร์มแวร์ของอุปกรณ์ในรุ่น 1.1, 1.5 และ 1.6 โดยทาง Smiths Medical มีการประกาศว่าเฟิร์มแวร์รุ่นใหม่ (1.6.1) ซึ่งแก้ปัญหาด้านความปลอดภัยทั้งหมดแล้ว จะถูกปล่อยออกมาในเดือนมกราคม 2018 นี้

ที่มา : thehackernews

นักวิจัยด้านปลอดภัยจาก Cisco Talos เตือนผู้ใช้ที่ดาวน์โหลดโปรแกรม CCleaner เวอร์ชั่น 5.33 โปรแกรมกำจัดขยะในคอมพิวเตอร์ยอดฮิตในวันที่ระหว่าง 15 สิงหาคม - 12 กันยายน เนื่องจากพบว่าโปรแกรมดังกล่าวได้ถูกฝัง Floxif มัลแวร์ไว้ โดยมัลแวร์ดังกล่าวจะทำหน้าที่เก็บข้อมูลของเครื่องเหยื่อและส่งไปยัง C&C Server

สำหรับตอนนี้ CCleaner ได้ออกเวอร์ชั่นใหม่ 5.34 แล้ว โดยแนะนำให้ทำการ Restore ระบบกลับไปยังวันก่อนหน้าที่ติดตั้งโปรแกรม

แนะนำให้ทำการ Restore ระบบกลับไปยังวันก่อนหน้าที่ติดตั้งโปรแกรม

ที่มา : TALOS

แจ้งเตือนช่องโหว่ OPTIONSBLEED บน Apache2 ข้อมูลในหน่วยความจำรั่วไหลได้
นักวิจัยด้านความปลอดภัย Hanno Böck ได้ออกมาประกาศการค้นพบช่องโหว่ใหม่บน Apache ที่รหัส CVE-2017-9798 ซึ่งอาจส่งผลให้ข้อมูลที่อยู่บนหน่วยความจำรั่วไหลออกมาได้เพียงแค่ส่ง HTTP request โดยใช้เมธอด OPTIONS

เมธอด OPTIONS บนโปรโตคอล HTTP เป็นเมธอดที่ทำให้ผู้ร้องขอข้อมูลโดยใช้เมธอดดังกล่าวเห็นได้ว่าเว็บเซิร์ฟเวอร์ให้บริการการเข้าถึงข้อมูลด้วยเมธอดใดบ้าง โดยเมื่อเว็บเซิร์ฟเวอร์ได้รับการร้องขอข้อมูลด้วยเมธอด OPTIONS เว็บเซิร์ฟเวอร์จะทำการตอบกลับด้วยข้อความ Allow เพื่อด้วยชื่อเมธอดที่สามารถใช้งานได้ เช่น Allow: GET, POST, OPTIONS

ที่มาของช่องโหว่ดังกล่าวมาจากการที่ Apache มีการตั้งค่า (directive) ชื่อว่า "Limit" ที่สามารถใช้จำกัดการใช้งานเมธอดในรายผู้ใช้งานได้ ช่องโหว่เกิดขึ้นเมื่อการตั้งค่าชื่อเมธอดของ Limit ในไฟล์ .htaccess นั้นไม่ได้เป็นเมธอดที่ถูกต้อง ส่งผลให้เกิดช่องโหว่ use-after-free เมื่อเว็บเซิร์ฟเวอร์พยายามส่งข้อความ Allow กลับซึ่งทำให้ข้อมูลในหน่อยความจำรั่วไหลได้

ในด้านของความเสียหายนั้น OPTIONSBLEED สร้างความเสียหายน้อยมากเมื่อเทียบกับ Heartbleed เนื่องจากข้อมูลที่รั่วไหลออกมาจากหน่อยความจำนั้นมีน้อยกว่า และไม่ได้ส่งผลกระทบต่อเว็บเซิร์ฟเวอร์ไม่ได้มีการเปลี่ยนแปลงค่าใดๆ เมื่อติดตั้ง จะส่งผลหากเว็บเซิร์ฟเวอร์มีการตั้งค่าที่ผิดเท่านั้น

แนะนำให้ผู้ใช้งานและผู้ดูแลระบบทำการอัพเดตรุ่นของ Apache ให้เป็นรุ่นล่าสุด หรือทำการใช้แพตช์เฉพาะซึ่งสามารถดาวโหลดได้จากแหล่งที่มา

ที่มา : The Fuzzing Project

Shadow Brokers, กลุ่ม hacker ชื่อดังที่เคยเป็นข่าวจากการปล่อยเครื่องมือชื่อว่า EternalBlue ที่ต่อมานำไปใช้สร้าง Wannacry ransomware ที่แพร่ระบาดอย่างหนักอยู่ช่วงหนึ่ง ล่าสุดได้ทำการปล่อยเครื่องมือที่ใช้ในการ hack ของ NSA ออกมาอีกครั้ง โดยมีชื่อว่า “UNITEDRAKE” ซึ่งกลไกหลักคือทำหน้าที่เก็บรวบรวมข้อมูลจากเครื่องเหยื่อโดยควบคุมจากระยะไกล (Remotely access control) มาพร้อมกับส่วนเสริมอีกจำนวนหนึ่งเพื่อช่วยให้สามารถ remote เข้าควบคุมเครื่องได้อย่างเต็มตัว นอกจากนี้ยังมีการปล่อยไฟล์ที่ไม่ได้เข้ารหัส ซึ่งก็คือคู่มือการใช้งาน UNITEDRAKE ที่พัฒนาขึ้นมาโดย NSA ข้อมูลในคู่มือระบุว่า UNITEDRAKE เป็น malware ปรับแต่งที่มีความสามารถในการ ดักจับภาพจาก webcam และเสียงจาก microphone, จดจำแป้นที่ถูกใช้พิมพ์ (log keystrokes), การเข้าถึงข้อมูลบน external drives เพื่อสอดแนมเป้าหมาย
UNITEDRAKE ประกอบไปด้วย 5 ส่วนหลักคือ server, system management interface (SMI), database (ใช้เก็บข้อมูลที่ขโมยมาได้), plug-in modules (ใช้ปรับแต่งระบบเพื่อเพิ่มความสามารถ), client (เครื่องของเหยื่อ) UNITEDRAKE เป็นที่รู้จักครั้งแรกเมื่อปี 2014 โดยเป็นส่วนหนึ่งของข้อมูลที่รั่วไหลออกมาจากผู้ทำสัญญาเก่าของ NSA ที่ชื่อว่า Edward Snowden เนื้อหาในเอกสารที่รั่วไหลของ Edward Snowden ระบุถึงเครื่องมืออื่นๆ ที่ทาง NSA ใช้ในการสอดแนมเช่น CAPTIVATEDAUDIENCE, GUMFISH, FOGGYBOTTOM, GROK, และ SALVAGERABBIT ทาง Shadow Brokers มีข้อเรียกร้องที่เปลี่ยนไปคือให้จ่ายเงินในหน่วย ZCash (ZEC) จากเดิมที่ใช้ Monero โดยในเดือนมิถุนายนค่าข้อมูลจะอยู่ที่ 100 ZEC แต่ปัจจุบัน กลุ่ม hacker ได้เรียกร้องเพิ่มเติมเป็น 16,000 ZEC หากต้องการเข้าถึงข้อมูลดังกล่าว โดยปัจจุบัน Zcash มีอัตราแลกเปลี่ยนที่ $248 ต่อหน่วย

ที่มา : thehackernews

Cisco ได้มีการประกาศการตรวจสอบด้านและแจ้งเตือนความปลอดภัยของซอฟต์แวร์บางส่วนหลังจากมีความเป็นไปได้ว่าซอฟต์แวร์บางรายการนั้นอาจจะได้รับผลกระทบจากช่องโหว่ Apache Struts
ช่องโหว่ Apache Struts ดังกล่าวนั้น เป็นช่องโหว่ที่ทำให้ผู้โจมตีสามารถทำการโจมตีแบบ remote code execution เพื่อเข้าสั่งการเครื่องเป้าหมายได้จากระยะไกล อ้างอิงจากการประกาศของ Cisco ซอฟต์แวร์ที่ได้รับผลกระทบโดยส่วนมากเป็นซอฟต์แวร์ในกลุ่ม VoIP และซอฟต์แวร์จัดการเครือข่าย ผู้ใช้งานและผู้ดูแลระบบสามารถตรวจสอบรายการของซอฟต์แวร์ที่ได้รับผลกระทบได้จากลิงค์ด้านล่าง
https://tools.

ผู้เชี่ยวชาญด้านความปลอดภัยจาก Palo Alto Networks เปิดเผยรายละเอียดการโจมตีบนฟีเจอร์ของ Android ที่เรียกว่า Toast Notification ซึ่งทำให้มัลแวร์ หรือผู้โจมตีได้รับสิทธิ์ระดับ Admin
Toast Notification ถูกใช้ในการแสดงข้อความแจ้งเตือนบนหน้าจอ ซึ่ง Toast Notification จะแสดงอยู่ในตำแหน่งล่าง ๆ ของหน้าจอ เป็น pop-up แสดงข้อความสั้น ๆ ให้ผู้ใช้ทราบ เช่น เมื่อมีการเพิ่มข้อมูล และบันทึกข้อมูลเรียบร้อยแล้ว หรือหน้าต่างสำหรับยืนยันการทำงานต่างๆ
เมื่อเหยื่อหลงกลติดตั้งแอพพลิเคชั่นแล้ว จะมี pop-up แจ้งเตือนให้ผู้ใช้งานดำเนินการบางอย่าง โดยใช้ความสามารถของ Toast Notification ซึ่งจะทำให้ pop-up นั้นได้สิทธิ์ Admin เหนือแอพพลิเคชั่นอื่นๆโดยปริยาย หรือที่เรียกว่า "Draw on top"
Android ที่ได้รับผลกระทบคือ ทุกเวอร์ชันก่อน Android 8.0 Oreo (CVE-2017-0752) จึงแนะนำให้ผู้ใช้อุปกรณ์ Android อัพเกรดเป็นเวอร์ชันล่าสุด 8.0 Oreo หรือดาวน์โหลดแพตซ์ได้ที่ https://source.

Microsoft แพตซ์ช่องโหว่ด้านความปลอดภัยบน Office ซึ่งพบว่าถูกใช้ในการโจมตีกลุ่มเป้าหมายที่เป็นผู้ใช้ภาษารัสเซีย โดยมีจุดมุ่งหมายเพื่อลง spyware สำหรับสอดแนมที่ชื่อว่า "FinSpy"
นักวิจัย FireEye พบช่องโหว่ zero-day ที่ส่งผลให้มัลแวร์แพร่กระจายโดยไฟล์เอกสาร Microsoft Office RTF เมื่อเปิดเอกสาร ทำให้เครื่องคอมพิวเตอร์เป้าหมายโดนติดตั้ง spyware ที่ชื่อว่า "FinSpy" ซึ่งเป็นซอฟต์แวร์สอดแนมของบริษัทในเครือ Gamma Group ซึ่งเป็นบริษัทที่ขายโปรแกรมสอดแนมให้กับรัฐบาลทั่วโลก
ในปี 2014 WikiLeaks เคยเปิดเผยข้อมูลว่ารัฐบาลใหญ่ ๆ หลายแห่งอยู่ในรายชื่อลูกค้าที่ใช้งาน "FinFisher" ซึ่งเป็น spyware เช่นเดียวกับ "FinSpy" โดย FireEye ไม่สามารถระบุได้อย่างชัดเจนว่าใครเป็นผู้โจมตี แต่คาดว่าน่าจะเป็นบุคคลจากรัฐบาลประเทศใดสักแห่ง และเหตุการณ์อาจเริ่มตั้งแต่ช่วงต้นเดือนกรกฎาคม แต่เพิ่งจะถูกตรวจพบ
Microsoft ได้จัดให้ช่องโหว่ดังกล่าวอยู่ในระดับ "important" โดยล่าสุด Microsoft ได้มีการปล่อยให้อัพเดท เพื่อแก้ไขช่องโหว่ล่าสุดทั้งหมด 81 รายการ ใน Tuesday Patch ประจำเดือนกันยายน ซึ่งรวมช่องโหว่นี้ด้วย

ที่มา : zdnet

KHRAT เป็น Backdoor ที่ถูกใช้ในการจารกรรมข้อมูลความลับของกลุ่มแฮกเกอร์จากจีน ที่รู้จักกันในนาม 'DragonOK' ซึ่งก่อนหน้านี้เคยมีการใช้มัลแวร์ เช่น NetTraveler (TravNet), PlugX, Saker, Netbot, DarkStRat และ ZeroT โจมตีองค์กรในรัสเซียและประเทศอื่น ๆ โดยล่าสุดมุ่งเป้าหมายไปที่เหยื่อในกัมพูชา

มัลแวร์ถูกออกแบบมาให้ทำการเข้าถึงข้อมูลในเครื่องของเหยื่อ เช่น Username, ภาษาของระบบและ IP โดยใช้เทคนิค RAT เพื่อส่งข้อมูลกลับไปให้ C&C server เสมือนกับการลงทะเบียนเครื่องที่มีการแพร่กระจายแล้ว
นักวิจัยจาก Palo Alto ได้สรุปว่าแฮกเกอร์ได้มีการพัฒนาความสามารถของ spear phishing, ปรับหน้าตา และใช้วิธีหลากหลายในการดาวน์โหลดและเรียกใช้ payload เพิ่มเติม โดยใช้แอพพลิเคชัน built-in ของ Windows

นอกจากนี้แฮกเกอร์ยังขยายขนาดของไฟล์โฮสติ้ง โดยเลียนแบบ Dropbox ซึ่งเป็นไฟล์โฮสติ้งที่รู้จักกันดีในระบบคลาวด์เพื่อหลอกลวงเหยื่อ
แม้ว่าจะยังไม่มีการแพร่ระบาดมากนัก แต่ในช่วงสองเดือนที่ผ่านมาพบว่ามีการโจมตีเป้าหมายในกัมพูชา จากการพบเอกสาร Word ที่มีพฤติกรรมการติดต่อออกไปยังไฟล์โฮสติ้ง เมื่อช่วงเดือนมิถุนายนที่ผ่านโดยนีกวิจัยจาก Palo Alto

ที่มา: securityweek

พบการโจมตีที่ชื่อว่า IDN homograph โดยมีการใช้งานเว็บไซต์ปลอมเป็นตัวแพร่กระจายมัลแวร์ Beta Bot backdoor ซึ่งจะเป็นมัลแวร์ที่ใช้ในการแพร่กระจายมัลแวร์ขโมยข้อมูลและขุดบิทคอยน์ต่อ การโจมตี IDN homograph นี้จะเป็นการโจมตีที่อาศัยการจดชื่อโดเมนเนม (ชื่อเว็บไซต์) โดยใช้อักขระที่มีความคล้ายกับชื่อโดเมนเนมจริงหรืออักขระที่เมื่อเปิดผ่านโปรแกรมเว็บเบราว์เซอร์แล้วจะเห็นเป็นโดเมนเนมของจริง เช่น “apple.

นักวิจัยด้านความปลอดภัย Brad Duncan จาก Palo Alto Networks และ MalwareHunter ได้แจ้งเตือนถึงการตรวจพบการใช้ CDN (Content Delivery Network) ซึ่งเป็นลักษณะของเซิร์ฟเวอร์ซึ่งกระจายอยู่ทั่วโลกเพื่อให้ผู้ใช้งานสามารถเข้าถึงเนื้อหาต่างๆ ได้อย่างรวดเร็วของบริการที่มีชื่อเสียง อาทิ Facebook, Dropbox และ Google ในการเก็บไฟล์อันตรายหรือมัลแวร์เพื่อแพร่กระจาย สืบเนื่องมาจากหลายองค์กรหรือหลายระบบความปลอดภัยนั้นอนุญาตให้ผู้ใช้งานเข้าถึงข้อมูลซึ่งมาจากแหล่งเหล่านี้ได้

ในการโจมตีนั้น กลุ่มแฮกเกอร์ดังกล่าวจะทำการแนบลิงค์ของ CDN สำหรับดาวโหลดไฟล์ไปกับอีเมลซึ่งถูกปลอมแปลงให้มีลักษณะคล้ายกับอีเมลของหน่วยงานราชการ เมื่อผู้ใช้งานดาวโหลดไฟล์มัลแวร์จาก CDN แล้ว ไฟล์มัลแวร์ดังกล่าวจะเป็นไฟล์ลิงค์ (LNK) ที่ถูกบีบอัดให้เป็นไฟล์ RAR หรือ ZIP เมื่อผู้ใช้งานเปิดไฟล์ลิงค์ดังกล่าวแล้ว ไฟล์ลิงค์จะทำการรันคริปสต์ batch หรือ powershell เพื่อดาวโหลดและติดตั้งมัลแวร์ตัวจริงอีกครั้ง กระบวนการทั้งหมดมีชื่อเรียกอย่างไม่เป็นทางการว่าเทคนิค Squiblydoo

จุดที่น่าสนใจในการโจมตีนี้นั้นอยู่ที่การเลือกเป้าหมาย นักวิจัยด้านความปลอดภัยมีการค้นพบว่า มัลแวร์จะทำการตรวจสอบประเทศของเป้าหมายจากหมายเลขไอพีแอดเดรส ซึ่งหากเป้าหมายไม่ได้อยู่ในประเทศที่กำหนดไว้แล้วก็จะไม่ทำการดาวโหลดมัลแวร์เพื่อโจมตีด้วย ในขณะนี้บริการที่มีการใช้ CDN และถูกใช้ในการโจมตีได้ถูกดำเนินการตรวจสอบแล้ว ผู้ใช้ควรระมัดระวังการโจมตีในลักษณะเดียวกันกับบริการอื่นๆ ไว้ด้วย

ที่มา: bleepingcomputer