แจ้งเตือนช่องโหว่ด้านความปลอดภัยบน FireEye AX 5400 ทำให้มัลแวร์สามารถเข้าถึง Appliance ได้

Andreas Dewald ได้เปิดเผยช่องโหว่ด้านความปลอดภัยบนอุปกรณ์ FireEye AX รุ่น 5400 ซึ่งส่งผลให้มัลแวร์หรือโปรแกรมซึ่งถูกสร้างมาเป็นพิเศษเพื่อโจมตีช่องโหว่ดังกล่าวสามารถเข้าถึง appliance หรือโจมตีเพื่อแพร่ระบาดตัวเองไปยังโฮสต์อื่นในเครือข่ายได้

FireEye AX เป็นอุปกรณ์ที่ถูกออกแบบมาเพื่อใช้ในการตรวจสอบและพิสูจน์มัลแวร์หรือไฟล์ที่เป็นอันตรายในสภาพแวดล้อมที่มีการควบคุม (sandbox) อุปกรณ์ดังกล่าวมีรูปแบบการทำงานอยู่ด้วยกัน 2 ลักษณะคือ รูปแบบการทำงานแบบ sandbox และรูปแบบการทำงานแบบ live โดยในรูปแบบการทำงานแบบ sandbox นั้น สภาพแวดล้อมในการทดสอบจะถูกควบคุมอย่างเข้มงวด แตกต่างกันในรูปแบบการทำงานแบบ live ที่มีการยินยอมให้โปรแกรมที่เป็นอันตรายส่งข้อมูลออกไปยังอินเตอร์เน็ตได้

Andreas Dewald ค้นพบว่า เมื่ออุปกรณ์ถูกตั้งค่าให้ทำงานในรูปแบบ live โปรแกรมที่ถูกวิเคราะห์นั้นสามารถเข้าถึงพอร์ตของ SSH ที่ใช้ในการตั้งค่าของอุปกรณ์ได้ด้วย ทำให้โปรแกรมที่เป็นอันตรายนั้นสามารถทำการโจมตีแบบ brute force หรือหากรู้รหัสผ่านอยู่แล้วก็สามารถเข้าควบคุมอุปกรณ์ผ่านทาง SSH ได้ ผู้โจมตีเพียงแค่ส่งไฟล์ที่เป็นอันตรายในช่องทางใดๆ ก็ตามที่อุปกรณ์จะทำการวิเคราะห์ เช่น ช่องทางอีเมล ก็จะสามารถโจมตีช่องโหว่ดังกล่าวได้

Recommendation: ช่องโหว่ดังกล่าวได้ถูกแก้ไขแล้วในซอฟต์แวร์รุ่น 7.7.7 และ 8.0.1 แนะนำให้ผู้ใช้งานอุปกรณ์ดังกล่าวอยู่ทำการอัพเกรดซอฟต์แวร์เป็นเวอร์ชันล่าสุดโดยทันที รายละเอียดของช่องโหว่และโค้ดสำหรับทดสอบโจมตีช่องโหว่สามารถตรวจสอบได้จากแหล่งที่มา

ที่มา: insinuator

ทาง Microsoft ได้ออกแพตช์ให้อัพเดทประจำเดือน กันยายน 2560 สำหรับช่องโหว่ที่มีความสำคัญในผลิตภัณฑ์ต่างๆ สำหรับเดือนนี้รวมทั้งหมด 81 ช่องโหว่ โดยมีรายละเอียดดังนี้
• ช่องโหว่ที่อยู่ในระดับรุนแรง(critical) มีทั้งหมด 27 รายการ
• ช่องโหว่ที่มีความสำคัญ(important) มีทั้งหมด 52 รายการ
• ช่องโหว่ที่อยู่ในระดับปานกลาง(moderate) มีทั้งหมด 2 รายการ
ช่องโหว่ดังกล่าวส่วนใหญ่จะมีผลกระทบครอบคลุมผลิตภัณฑ์ตามรายการที่สำคัญดังนี้
• Edge
• Internet Explorer
• Adobe Flash Player ที่ถูกติดตั้งอยู่ใน Edge และ Internet Explorer
• Hyper-V
• Office
• Remote Desktop Protocol
• Sharepoint
• Windows Graphic Display Interface
• Windows Kernel Mode Drivers
• Etc.

สรุปบทความ เรื่อง Incident Insight สรุปการโจมตี Equifax รายละเอียดดังนี้ PAGE FACEBOOK : i-SECURE

บริษัทด้านความปลอดภัยบน IoT(Internet of Things) ของ Palo Alto ชื่อว่า "Armis" ได้ค้นพบช่องโหว่ของ Bluetooth ที่ถูกตั้งชื่อว่า "BlueBorne" ซึ่งหากถูกโจมตีจะทำให้ผู้โจมตีสามารถเข้าควบคุมอุปกรณ์ได้อย่างสมบูรณ์ ครอบคลุมระบบปฎิบัติการ Android, iOS, Linux และ Windows ที่เปิดใช้งาน Bluetooth เอาไว้ เพียงแค่อยู่ในรัศมีที่ไม่เกิน 32 ฟุต จากเครื่องเป้าหมาย และสามารถโจมตีได้โดยที่ตัวอุปกรณ์ไม่จำเป็นต้องจับคู่ (Pair) กับอุปกรณ์ที่ใช้โจมตี รวมถึงไม่จำเป็นต้องเปิดโหมดค้นหาอุปกรณ์ (Discovery mode) แต่อย่างใด
ช่องโหว่ BlueBorne คล้ายกับการโจมตีด้วย Broadcom Wi-Fi ที่ถูกค้นพบเมื่อต้นปีนี้ในเดือนเมษายนและกรกฎาคม การโจมตีทำให้ผู้โจมตีสามารถโจมตีระยะไกลได้กับอุปกรณ์ iPhones และอุปกรณ์ Android เกือบทั้งหมด

ระบบที่ได้รับผลกระทบ
• ระบบปฏิบัติการ iOS เวอร์ชัน 9.3.5 หรือต่ำกว่า
• ระบบปฏิบัติการ Android ที่ยังไม่ได้ติดตั้งแพตช์ประจำเดือนกันยายน 2560
• ระบบปฏิบัติการ Windows ที่ยังไม่ได้ติดตั้งแพตช์ประจำเดือนกันยายน 2560
• ระบบปฏิบัติการ Linux ที่ยังไม่ได้ติดตั้งแพตช์หลังจากวันที่ 12 กันยายน 2560
• ระบบปฏิบัติการ macOS เวอร์ชัน 10.11 หรือต่ำกว่า

ทั้งนี้ผู้ใช้งาน Android สามารถดาวน์โหลดแอพพลิเคชั่นเพื่อใช้ตรวจสอบช่องโหว่ BlueBorne ซึ่งถูกพัฒนาโดยทีมจาก Armis ซึ่งเป็นผู้พบช่องโหว่ดังกล่าว ได้จาก Link ด้านล่าง
https://play.

ทีมนักวิจัยด้านความปลอดภัยจาก Check Point ได้มีการเปิดเผยเทคนิคของมัลแวร์ชนิดใหม่ "Bashware" ซึ่งใช้ในการหลบเลี่ยงการตรวจจับจากระบบตรวจจับและป้องกันต่างๆ ที่ติดตั้งไว้บนเครื่อง เทคนิคนี้อาศัยฟีเจอร์ Subsystem for Linux (WSL) ซึ่งพึ่งมีการเปิดตัวใน Windows 10

ฟีเจอร์ Subsytem for Linux (WSL) เป็นฟีเจอร์ที่ทำให้ผู้ใช้งานบนระบบปฏิบัติการ Windows 10 สามารถรันโปรแกรมและดำเนินการต่างๆ ได้เสมือนกับการดำเนินการบนระบบปฏิบัติการลินุกซ์ ฟีเจอร์ WSL นี้ใช้รูปแบบของการแชร์การทำงานบนระบบปฏิบัติการเดียวกันแทนที่จะเป็นการใช้เทคโนโลยีจำลองการทำงาน (virtualization) ซึ่งทำให้ใช้ทรัพยากรของระบบน้อยกว่าวิธีการจำลองการทำงานเยอะมาก

เทคนิค Bashware นี้ อาศัยฟีเจอร์ WSL ในการติดตั้งโปรแกรม เช่น wine ซึ่งทำให้โปรแกรมแบบ executable บนวินโดวส์ (นามสกุล .EXE) สามารถรันบนสภาพแวดล้อมของลินุกซ์ได้ หลังจากนั้นจึงใช้ wine ในการรันไฟล์ที่เป็นอันตราย จากการทดสอบของ Check Point นั้นแสดงให้เห็นอย่างชัดเจนว่าระบบป้องกันบางระบบนั้นไม่สามารถตรวจหาการรันของโปรแกรมที่เป็นอันตรายซึ่งถูกรันอยู่ภายใต้ฟีเจอร์ WSL ได้
Recommendation แม้ว่าฟีเจอร์ WSL จะไม่ได้มีการเปิดการทำงานเป็นค่าเริ่มต้น แต่ผู้โจมตีก็สามารถเปิดฟีเจอร์ดังกล่าวได้อัตโนมัติ ดังนั้นการป้องกันที่ดีที่สุดคือการไม่ติดตั้งไฟล์ที่อันตรายหรือต้องสงสัยซึ่งเป็นต้นเหตุของการแพร่กระจายของมัลแวร์จะเป็นการดีที่สุด

ที่มา : checkpoint

นักวิจัยด้านความปลอดภัย Logan Kipp จาก SIteLock ได้มีการรายงานการค้นพบช่องโหว่ XSS บนส่วนเสริม Product Vendors เวอร์ชัน 2.0.35 และก่อนหน้าของปลั๊กอิน WooCommerce ซึ่งถูกใช้งานในเว็บไซต์ขายของออนไลน์กว่า 28% ซึ่งส่งผลให้ผู้โจมตีอาจสามารถใช้ช่องโหว่ดังกล่าวในการเข้าถึงข้อมูลที่เป็นความลับของระบบได้

Logan Kipp กล่าวว่าช่องโหว่ในลักษณะ reflected XSS นี้อาจนำไปสู่การบังคับรันสคริปต์ที่เป็นอันตรายโดยที่ผู้ใช้งานไม่รู้ตัวได้ อีกทั้งอาจทำให้ผู้โจมตีได้รับสิทธิ์ของผู้ดูแลเว็บไซต์ที่สามารถจัดการการตั้งค่าต่างๆ ของเว็บไซต์ได้

ผู้พัฒนาเว็บไซต์สามารถลดความเสี่ยงจากช่องโหว่นี้ได้โดยการเปิดใช้งานฟีเจอร์ Automatic Updates ซึ่งจะช่วยในการอัพเดตปลั๊กอินต่างๆ ให้เป็นเวอร์ชันล่าสุดโดยอัตโนมัติ

ที่มา : threatpost

ข้อมูลลูกค้า 5,400 รายของ AXA Insurance ในประเทศสิงคโปร์รั่วไหล

AXA Insurance บริษัทประกันภัยระดับโลก สัญชาติฝรั่งเศส ได้มีการเปิดเผยว่าข้อมูลลูกค้าในกลุ่มประกันภัยด้านสุขภาพทั้งเก่าและปัจจุบันในประเทศสิงคโปร์จำนวน 5,400 ราย ได้รั่วไหล โดยข้อมูลที่ได้มาสามารถนำไปใช้ในการเข้าสู่ระบบผ่านหน้า Health Portal ซึ่งใช้สำหรับการเข้าสู่ระบบบน Website

จากรายงานระบุว่าข้อมูลที่รั่วไหลเป็นเพียงข้อมูลส่วนบุคคลบางรายการ เช่น E-mail, วันเกิด และเบอร์โทรศัพท์มือถือที่ใช้ในการส่ง OTP โดยได้รับการยืนยันว่าไม่มีข้อมูลบัตรเครดิต, ธนาคาร, ข้อมูลสุขภาพ และเลขประจำตัวประชาชนรั่วไหล คาดว่าผู้โจมตีน่าจะใช้วิธี Phishing เพื่อหลอกให้เหยื่อกรอกข้อมูล

ทั้งนี้ได้มีการส่ง E-mail แจ้งไปยังผู้ใช้งานที่ได้รับผลกระทบตั้งแต่วันพฤหัสบดีที่ผ่านมา และมีคำแนะนำให้ทำการเปลี่ยน Password ของ E-mail account ที่รั่วไหล เพื่อความปลอดภัย อย่างไรก็ตามมีความเห็นจากนักวิจัยของ Fortinet ว่าข้อมูลที่รั่วไหลนี้อาจจะถูกนำไปใช้ในการโจมตีรอบใหม่ เพื่อได้มาซึ่งข้อมูลสำคัญอื่นๆ เช่น การเงิน หรือข้อมูล Social Media อื่นๆ เพิ่มเติมในอนาคต

ที่มา : zdnet, gov

โรงพยาบาลบางแห่งของ NHS Lanarkshire board ถูกโจมตีด้วย Bit Paymer ransomware โดยโรงพยาบาลที่เป็นส่วนหนึ่งของ NHS Lanarkshire board นั้น เช่น Hairmyres Hospital in East Kilbride, Monklands Hospital เป็นต้น การถูกโจมตีครั้งนี้เกิดขึ้นเมื่อวันศุกร์ที่ 25 สิงหาคม 2017 และทางเจ้าหน้าของทาง NHS Lanarkshire ทราบเรื่องทันทีในวันนั้น ในวันต่อมาทางบอร์ดบริหารได้ออกให้ข่าวว่าควบคุมสถานการณ์ไว้แล้ว และกำลังกู้ระบบต่างๆกลับขึ้นมาอยู่ ซึ่งคาดการณ์ว่าจะใช้เวลาจนถึงวันจันทร์ที่ 28 สิงหาคม 2017 มีเพียงข้อมูลเรื่องของกระบวนการและกำหนดการเพียงเล็กนอยที่ถูกยกเลิกไปเนื่องจากเหตุการณ์โจมตีครั้งนี้
Bit Paymer Ransomware เริ่มเป็นที่รู้จักครั้งแรกเมื่อวันที่ 21 มิถุนายน 2017 เมื่อมีนักวิจัยทวีตข้อมูลตัวอย่างของมัลแวร์ที่เขาได้ upload ไปยัง VirusTotal (web-based file scanning service) หรือบริการการสแกนไฟล์แบบเว็บ สิ่งที่ทำให้ต่างจาก ransomware ตัวอื่นๆ ในปัจจุบันคือ Bit Paymer มีการเขียนโค้ดที่ดีมากทำให้ดูเหมือนว่าเป็นการเขียนของ programmer ที่มีประสบการณ์สูง
เจ้าหน้าที่ด้านความปลอดภัยของทาง Emsisoft เชื่อว่า ransomware ถูกลงลงไว้ในเครื่องหลังจากผู้โจมตีทำการโจมตีแบบ brute-force ไปยัง RDP endpoints ที่ไม่ได้รับการป้องกัน เมื่อผู้โจมตีเข้ามาในระบบหนึ่งได้แล้ว จะย้ายไปยังระบบอื่นเรื่อยๆ เพื่อลงตัว Bit Paymer ransomware ไว้ที่ทุกๆระบบที่สามารถเข้าไปได้ การเข้ารหัสไฟล์จะเป็นการรวมกันของ RC4 และ RSA-1024 ซึ่งทางนักวิจัยบอกว่ายังไม่มีวิธีในการถอดรหัสไฟล์ดังกล่าวได้ ไฟล์ที่ถูกเข้ารหัสจะมี ".locked" ต่อท้ายที่ชื่อไฟล์เดิม และมีการสร้างไฟล์ text ทิ้งไว้ทุกๆ จุดที่ไปเข้ารหัสไฟล์ โดยในไฟล์ text จะบอกรายละเอียดเรื่องของการจ่ายเงิน รูปแบบของการจ่ายเงินจะแปลกกว่า ransomware ตัวอื่นๆ ตรงที่จะให้ส่ง 1 Bitcoin confirmation มาสามครั้งก่อนการจ่ายเงินจริงเพื่อป้องกันการส่งเงินไปผิดที่อยู่

bleepingcomputer

พบช่องโหว่ในตัว Android Bootloader จาก 5 ผู้ผลิต chipset ซึ่งทำให้เสีย CoT (Chain of Trust) ระหว่างที่กำลังทำการ boot-up ซึ่งทำให้ตัวเครื่องสามารถถูกโจมตีได้ CoT คือสิ่งที่ถูกสร้างขึ้นจากการตรวจสอบทั้ง hardware และ software จากส่วนย่อย ซึ่งจุดประสงค์ก็เพื่อทำให้แน่ใจว่ามีเพียง software และ hardware ที่ไว้ใจได้เท่านั้นที่อนุญาติให้ใช้งานได้ โดยที่ภาพรวมยังคงประสิทธิภาพเดิมอยู่ ทีมนักวิจัยจึงเริ่มทำการวิจัยเกี่ยวกับช่องโหว่นี้ พบว่าเนื่องจากส่วนต่างๆ ในตัว Android bootloaders เป็น closed source และมักจะไม่มี typical metadata (program headers หรือ debugging symbols) ที่พบในโปรแกรมปกติทั่วไป จึงทำให้การวิเคราะห์ข้อมูลทำได้ยาก ซึ่งข้อมูลเลห่านี้จะช่วยในเรื่องของการทำ reverse engineering และการทำ security audits
งานวิจัยส่วนใหญ่จะเน้นไปที่การพัฒนาเครื่องมือใหม่ที่ชื่อว่า BootStomp ซึ่งจะช่วยในเรื่องของการทำ test และวิเคราะห์ bootloaders ในกรณีนี้จากการใช้ BootStomp เข้ามาทดสอบพบว่ามีช่องโหว่ 7 จุดโดยที่เป็นช่องโหว่ใหม่ 6 ตัวและ ที่เคยพบมาแล้วอีก 1 ตัว(CVE-2014-9798) ช่องโหว่ดังกล่าวบางตัวอาจทำให้ผู้โจมตีสามารถ execute arbitrary code หรือทำการโจมตีแบบ Dos ทีมนักวิจัยได้ให้ข้อมูลเพิ่มเติมว่าเครื่องมือ BootStomp ยังตรวจเจอช่องโหว่อีกสองตัวที่อาจช่วยให้ผู้โจมตีสามารถยกระดับสิทธิ์การเข้าใช้งานของตัวเองให้เป็นสิทธิ์ root บนระบบได้

ที่มา : bleepingcomputer

WikiLeaks รายงานการรั่วไหลของข่าวเกี่ยวกับเรื่องที่ว่า CIA ทำการสอดแนมพันธมิตรด้านข่าวกรองทั่วโลกซึ่งรวมไปถึง FBI, DHS, NSA เพื่อเก็บรวบรวมข้อมูลจากองค์กรเหล่านั้นอย่างลับๆ CIA เสนอระบบเก็บข้อมูลแบบ Biometric (biometric collection system) ให้กับทางตัวแทนพันธมิตรด้านข่าวกรอง ซึ่งระบบมีการตั้งค่าต่างๆ มาให้แล้วทั้ง hardware, OS, และ software เพื่อช่วยให้รวมและใช้ข้อมูลร่วมกันระหว่างองค์กรได้ง่ายขึ้น แต่เนื่องจากไม่มีองค์กรไหนที่ยอมแบ่งปันข้อมูลด้วยระหว่างกัน ทำให้หน่วยงานย่อยใน CIA ชื่อว่า Office of Technical Services (OTS) พัฒนาเครื่องมือสอดแนมข้อมูลขึ้นมาอย่างลับๆ
เนื้อหาในข่าวที่รั่วไหลออกมาระบุว่า software สอดแนมตัวนี้ชื่อว่า Expresslane จะถูกลงโปรแกรมโดยเจ้าหน้าที่จาก CIA ให้เป็นส่วนหนึ่งของ Biometric system routine Upgrade รายงานยังระบุเพิ่มเติมอีกว่า OTS officers ซึ่งเป็นผู้ดูแล biometric collection systems จะทำการลงโปรแกรมตัวนี้ ในระหว่างที่หน้าจอกำลังแสดงแถบ upgrade โดย Software ดังกล่าวประกอบด้วยสองส่วนคือ Create Partition ซึ่งมีหน้าที่ช่วยให้สร้าง partition โดยจะซ่อนอยู่ในระบบเพื่อใช้เป็นที่เก็บข้อมูลที่สอดแนมมาได้ และส่วนที่สองคือ Exit Ramp ช่วยให้ดึงข้อมูลจาก partition ที่สร้างไว้ในตอนแรกเพียงแค่เสียบ USB
เวอร์ชันล่าสุดของ Expresslane คือ ExpressLane 3.1.1 โดยค่า default คือการลบตัวเองทิ้งหลังจากการลงโปรแกรม 6 เดือน เพื่อเป็นการป้องกันการแกะรอย ถึงแม้ว่าเจ้าหน้าที่ OTA จะสามารถเปลี่ยนจำนวนวันดังกล่าวได้ก็ตาม

ที่มา : thehackernews