Rapid 7 เปิดเผยรายงาน ระบบกว่า 7 ล้านระบบยังมีการตั้งค่าโปรโตคอล RDP (Remote Desktop) ที่ไม่ปลอดภัย

โปรโตคอล RDP (Remote Desktop Protocol) ซึ่งให้บริการอยู่ที่พอร์ต TCP 3389 นั้นเป็นเป้าหมายสำคัญที่ผู้โจมตีมักใช้ในการเข้าถึงระบบรวมถึงแพร่กระจายมัลแวร์ เพราะเป็นช่องทางสำคัญที่ผู้โจมตีสามารถควบคุมระบบได้อย่างเบ็ดเสร็จโดยไม่จำเป็นต้องมีการโจมตีที่ซับซ้อน

Rapid 7 เปิดเผยรายงานว่า ระบบทั่วโลกกว่า 7.2 ล้านระบบ ยังคงมีการตั้งค่าการใช้งานโปรโตคอล RDP ที่ไม่ปลอดภัย หลังจากได้มีการทดสอบโดยการสแกนแบบกวาดเมื่อช่วงต้นปี 2017 ที่ผ่านมา ซึ่งหมายความว่ายังคงมีระบบที่เปิดให้ใครก็ได้สามารถพยายาม brute force และเข้าควบคุมได้อีกเป็นจำนวนมาก

อย่างไรก็ตาม Rapid 7 ยังเปิดเผยว่าระบบที่ตรวจพบว่ามีการเปิดใช้งาน RDP นั้นโดยส่วนมากกว่า 83% มีการใช้งานขั้นตอนการพิสูจน์ตัวตนที่ค่อนข้างปลอดภัย โดยมีเพียง 15% เท่านั้นที่ขั้นตอนการพิสูจน์ตัวตนยังไม่มีการเข้ารหัสและ/หรือใช้โปรโตคอลในรุ่นเก่า

อีกปัจจัยหนึ่งที่สำคัญคือการตั้งพาสเวิร์ดที่ระบบส่วนมากยังคงตั้งรหัสผ่านที่มีความแข็งแกร่งน้อยทำให้ง่ายต่อการเข้าถึงระบบ

ที่มา : bleepingcomputer

แจ้งเตือน Backdoor บนซอฟต์แวร์ Xmanager และ Xshell จาก NetSarang

นักวิจัยด้านความปลอดภัยจาก Kaspersky ได้เปิดเผยการค้นพบ backdoor "Shadowpad" หรือช่องทางลับบนซอฟต์แวร์จัดการเซิร์ฟเวอร์จาก NetSarang (อาทิ Xmaanger, Xshell)

Backdoor ดังกล่าวนั้นซ่อนอยู่ในไฟล์ nssock2.dll ซึ่งเมื่อถูกเริ่มการทำงาน มันจะทำการติดต่อไปยัง C&C server ผ่านโปรโตคอล DNS โดยเข้ารหัสข้อมูลและคำสั่งที่มีการรับส่ง ซึ่งเปิดโอกาสให้ผู้โจมตีสามารถเก็บข้อมูลของเซิร์ฟเวอร์ที่ซอฟต์แวร์มีการเชื่อมต่อและส่งกลับไปให้ผู้โจมตีได้

จากการวิเคราะห์เบื้องต้นนั้นเชื่อว่า ผู้โจมตีน่าจะมีการเข้าถึงระบบของ Netsarang เพื่อแอบใส่ backdoor เข้าไปในช่วงที่มีการพัฒนาซอฟต์แวร์ซึ่งส่งผลให้ลายเซ็นต์ดิจิตอลของซอฟต์แวร์นั้นไม่ถูกเปลี่ยนแปลง Kaspersky ยังตรวจพบความเหมือนกันของโค้ดที่มีการใช้งานเมื่อเปรียบเทียบกับมัลแวร์อย่าง PlugX และ Winnti ซึ่งถูกใช้โดยกลุ่มแฮกเกอร์จีน

เวอร์ชันของซอฟต์แวร์ที่ได้รับผลกระทบได้แก่:
- Xmanager Enterprise 5.0 Build 1232
- Xmanager 5.0 Build 1045
- Xshell 5.0 Build 1322
- Xftp 5.0 Build 1218
- Xlpd 5.0 Build 1220

Recommendation : แนะนำให้ตรวจสอบเวอร์ชันที่ใช้งานอยู่และอัพเดตโดยด่วน หากตรวจพบว่าใช้งานเวอร์ชันที่น่าจะมี backdoor แนะนำให้ทำการเปลี่ยนรหัสผ่านในทุกๆ ระบบที่เคยเชื่อมต่อด้วย

ที่มา : theregister

ตรวจพบปลั๊กอินบน Google Chrome ที่โดนแฮกเพิ่มขึ้นอีก 7 รายการ

นักวิจัยจาก Proofpoint ได้เปิดเผยการค้นพบเพิ่มเติมหลังจากมีการตรวจพบว่าปลั๊กอิน Web Developer ซึ่งนิยมใช้งานการในกลุ่มนักพัฒนานั้นถูกแก้ไขให้แสดงโฆษณาและส่งสแปม พบว่ายังมีปลั๊กอินอีกบางส่วนที่อาจได้รับผลกระทบด้วย

ที่มาของเหตุการณ์นี้นั้นมาจากการที่ข้อมูลของนักพัฒนาจาก A9t9 Software ซึ่งเป็นบริษัทพัฒนาซอฟต์แวร์ถูกแฮกผ่านทาง phishing ทำให้ผู้โจมตีสามารถเข้าถึงและแก้ไขซอร์สโค้ดของปลั๊กอินเพื่อแพร่กระจายสแปมหรือขโมยข้อมูลได้

ปลั๊กอินที่ได้รับผลกระทบได้แก่ Web Developer (0.4.9), Chrometana (1.1.3), Infinity New Tab (3.12.3), Web Paint (1.2.1), และ Social Fixer (20.1.1) รวมไปถึง TouchVPN และ Betternet VPN ด้วย

Recommendation : แนะนำให้ตรวจสอบ ปิดการใช้งานปลั๊กอินดังกล่าวและเปลี่ยนรหัสผ่านบัญชีผู้ใช้ใดๆ ที่เคยมีการใช้งานในเว็บเบราว์เซอร์ดังกล่าวโดยด่วน

ที่มา : threatpost

มัลแวร์ขโมยข้อมูลทางการเงินแพร่กระจายผ่านทางปลั๊กอินของ Google Chrome

นักวิจัยด้านความปลอดภัย Renato Marinho จาก Morphus Labs ได้เปิดเผยงานวิจัยล่าสุดเกี่ยวกับแคมเปญขโมยข้อมูลทางการเงินของมัลแวร์ที่มีแกนหลักเป็น extension หรือส่วนเสริมของโปรแกรเว็บเบราว์เซอร์ Google Chrome

ในการโจมตีนั้น ผู้โจมตีจะทำการหลอกลวงผู้ใช้ว่าทางธนาคารมีคำสั่งให้ติดตั้งปลั๊กอินหรือส่วนเสริมเพื่อเพิ่มความปลอดภัยในการใช้งาน โดยเมื่อติดตั้งปลั๊กอินดังกล่าวแล้ว ปลั๊กอินอันตรายนี้จะทำการบันทึกข้อมูลและรหัสผ่านเมื่อเหยื่อเข้าใช้งานเว็บไซต์ของธนาคาร และส่งกลับไปหาผู้โจมตี

ปลั๊กอินอันตรายรายนี้ถูกพัฒนาบนจาวาสคริปต์ซึ่งอาจช่วยในการหลีกเลี่ยงการตรวจจับได้ในบางกรณี Renato Marinho ได้ทำการตรวจสอบปลั๊กอินดังกล่าวกับซอฟต์แวร์ด้านความปลอดภัยหลายเจ้าผ่านทางบริการของ VirusTotal และพบว่ายังไม่มีซอฟต์แวร์ด้านความปลอดภัยรายใดระบุว่าปลั๊กอินปลอมนี้เป็นมัลแวร์

Recommendation: แนะนำให้ผู้ใช้งานเพิ่มความระมัดระวังเมื่อมีการใช้ internet banking และไม่มีติดตั้งโปรแกรมที่ไม่ทราบแหล่งที่มาหรือต้องสงสัย

ที่มา: isc.

Ubuntu ได้มีการปล่อยแพตช์ด้านความปลอดภัยสำหรับซอฟต์แวร์ PostgreSQL ซึ่งกระทบ Ubuntu ในรุ่น 17.04, 16.04 LTS และ 14.04 LTS โดยแพตช์ด้านความปลอดภัยที่ถูกปล่อยออกมานั้นครอบคลุม 3 ช่องโหว่สำคัญที่ทำให้ผู้โจมตีสามารถใช้ช่องโหว่ดังกล่าวโจมตีระบบได้จากระยะไกล

ตัวอย่างของช่องโหว่ที่ถูกแพตช์นั้นได้แก่ ช่องโหว่ CVE-2017-7546 ซึ่งทำให้ผู้โจมตีสามารถข้ามผ่านกระบวนการพิสูจน์ตัวตนในบางลักษณะโดยไม่จำเป็นต้องใช้รหัสผ่านได้ หรือช่องโหว่ CVE-2017-7547 นั้นส่งผลให้ผู้โจมตีสามารถเข้าถึงรหัสผ่านที่ใช้ในการพิสูจน์ตัวตนได้จากระยะไกล

เวอร์ชันของ PostgreSQL ที่ได้รับผลกระทบได้แก่เวอร์ชัน 9.3, 9.5 และ 9.6
Recommendation แนะนำให้ทำการอัพเดตแพตช์ด้านความปลอดภัยโดยด่วน

ที่มา : usn.

ในปัจจุบันการก่ออาชญากรรมทางไซเบอร์ดูเหมือนจะเป็นความท้าทายอย่างหนึ่งของเหล่าแฮคเกอร์ที่ต้องการก้าวข้ามความสำเร็จที่เคยทำได้ในอดีต DDoS คืออาวุธหลักที่มักถูกหยิบมาใช้โจมตีอยู่บ่อยครั้ง และเป้าหมายหลักก็มีหลายประเทศ อาทิ ประเทศจีน เกาหลีใต้ อิตาลี อังกฤษ เป็นต้น การโจมตี DDoS ครั้งล่าสุดถือเป็นประวัติการณ์และเป็นการทำลายสถิติ เพราะกินระยะเวลายาวนานถึง 11 วัน หรือ 227 ชั่วโมงโดยประมาณ รายงานของนักวิจัยจาก Kaspersky Lab ระบุว่าการโจมตีเกิดขึ้นในไตรมาสที่สองของปี 2017

การโจมตีในลักษณะของ DDoS ยังมีการพัฒนาไปเป็น Ransom DDoS โดยที่เหยื่อจำเป็นต้องจ่ายเงินเพื่อแลกกับการหยุดโจมตี โดยในช่วงสิ้นเดือนมิถุนายนที่ผ่านมากลุ่มแฮคเกอร์ Armada Collective ได้เรียกร้องเงินจำนวนกว่า 315,000 ดอลลาร์สหรัฐฯ ต่อสถาบันการเงินสัญชาติเกาหลีเพื่อแลกกับการหยุดโจมตีหรือไม่ถูกโจมตีแบบ DDoS

การโจมตีไม่ใช่ฝีมือของแฮคเกอร์ที่เก่งเสมอไป แต่บ่อยครั้งที่มาจากฝีมือของแฮคเกอร์ทั่วไปที่ไม่ได้มีความชำนาญในเรื่องของ DDoS แต่เพราะเพียงแค่ต้องการหาวิธีทำเงินแบบง่ายๆ เท่านั้นเอง

ที่มา: hackread

NIST ประกาศเตรียมยกเลิกการใช้งานอัลกอริธึมเข้าหรัส 3DES

อัลกอริธึมเข้ารหัส Triple Data Encryption Standard (3DES) ซึ่งถูกพัฒนาตั้งแต่ปี 1998 กำลังจะถูกประกาศให้ยกเลิกการใช้งานโดย NIST หลังจากที่มีการค้นพบข้อบกพร่องรวมไปถึงงานวิจัยหลายงานที่ออกมาเปิดเผยปัญหาซึ่งอาจส่งผลต่อคุณลักษณะด้านความปลอดภัยในการใช้งานอัลกอริธึมโดยตรง

หนึ่งในการโจมตีที่ส่งผลกระทบต่อ 3DES คือ Sweet32 ซึ่งแสดงให้ถึงความเป็นไปได้ในทางปฏิบัติที่ทำให้ผู้โจมตีสามารถสกัดข้อมูลที่ใช้งานได้ออกจากข้อมูลที่ถูกเข้ารหัสภายใต้เงื่อนไขการโจมตี เช่น ผู้โจมตีจะต้องทำการดักจับข้อมูลที่ถูกเข้ารหัสให้ถึงจุดหนึ่ง (ตามงานวิจัยคือ 785 GB) เพื่อให้สามารถหาการชนกัน (collision) ที่เป็นผลมาจากขนาดของบล็อคที่น้อยของอัลกอริธึมได้

NIST มีการวางแผนที่จะลดขนาดของบล็อคจาก 2^32 เป็น 2^20 โดยการเปลี่ยนแปลงนี้จะถูกประกาศในการแก้ไข Special Pulibcation 800-67 ซึ่งจะมีการเปิดให้ลงความเห็นในการเเปลี่ยนแปลงเร็วๆ นี้ โดยในระยะยาว NIST ก็จะมีการประกาศไทม์ไลน์เพื่อที่จะยกเลิกการใช้งาน 3DES เช่นเดียวกัน

ในขณะเดียวกัน NIST วางแผนที่จะไม่อนุญาตให้มีการใช้ 3DES ในโปรโตคอลอย่าง TLS หรือ IPSEC โดยแนะนำให้มีการเปลี่ยนไปใช้อัลกอริธึมที่มีวามแข็งแกร่งกว่าอย่าง AES แทน

ที่มา : nist

แจ้งเตือนกลุ่มแฮกเกอร์ Cobalt พุ่งเป้าโจมตีสถาบันทางการเงินในเอเชีย
ทีมนักวิจัยจาก Positive Technologies และกลุ่มบริษัทด้านความปลอดภัย เช่น Group-IB ได้มีการเผยแพร่การวิเคราะห์การโจมตีโดยกลุ่มซึ่งถูกเรียกว่า Cobalt หลังจากที่กลุ่ม Cobalt เริ่มมีการเปลี่ยนแปลงเทคนิค รูปแบบและวิธีการที่ใช้โจมตีที่เคยสร้างความเสียหายไปแล้วในมูลค่ากว่า 4 ล้านเหรียญสหรัฐฯ ในปี 2016

เป้าหมายของกลุ่ม Cobalt จะอยู่ในกลุ่มสถาบันการเงิน อาทิ ตลาดหลักทรัพย์ บริษัทประกันภัย บริษัทด้านการลงทุนและอื่นๆ

สำหรับข้อมูลเบื้องต้นของกลุ่ม Cobalt นั้น แรงจูงใจในการโจมตีหลักคือการโจมตีเพื่อขโมยเงิน โดยอาศัยรูปแบบการโจมตี Supply Chain Attack ซึ่งเป็นลักษณะการโจมตีเดียวกันกับการใช้ระบบของ M.E.Doc ในการแพร่กระจายมัลแวร์ NotPetya แฮกเกอร์จะอาศัยการโจมตีคู่ค้าหรือหุ้นส่วนเพื่อสร้างความน่าเชื่อถือมากขึ้นในการแพร่กระจายมัลแวร์ผ่านทางอีเมลฟิชชิ่ง

เมื่อแฮกเกอร์สามารถเข้าถึงเน็ตเวิร์กภายในของเป้าหมายอย่างเช่นธนาคารได้ แฮกเกอร์จะพยายามเข้าถึงระบบที่ใช้ในการดูแล ATM เพื่อใช้มัลแวร์ที่ถูกออกแบบมาพิเศษในการถอนเงินออกมา

ข้อมูลของกลุ่มแฮกเกอร์ Cobalt, รูปแบบของการโจมตีรวมไปถึงวิธีการลดผลกระทบเบื้องต้นยังมีรายละเอียดอีกมาก แนะนำให้อ่านข้อมูลเพิ่มเติมจากแหล่งที่มาของข่าวครับ

ที่มา : blog.

Hacker ที่อยู่เบื้องหลัง WannaCry Ransomware ถอนเงิน 143,000 เหรียญจากกระเป๋าเงิน Bitcoin

ผ่านมาเกือบ 3 เดือนแล้วที่ WannaCry Ransomware ระบาด และได้ทำให้ระบบของโรงพยาบาล การบริการโทรคมนาคม และธรุกิจจำนวนมากทั่วโลกกว่า 150 ประเทศไม่สามารถใช้งานได้ โดยเรียกเงินจากเหยื่อประมาณ 300-600 เหรียญ เพื่อแลกกับ Key ในการถอดรหัส โดยรวม Hacker ที่อยู่เบื้องหลัง WannaCry ได้เงินจากผู้ที่ตกเป็นเหยื่อเป็นจำนวนกว่า 140,000 เหรียญ แต่เกือบสามเดือนที่ผ่านมานี้ไม่มีการแตะต้องกระเป๋าเงิน Bitcoins เหล่านั้นเลย จนกระทั่งเมื่อวันพุธที่ 2 สิงหาคม เงินจำนวนดังกล่าวถูกถอนออก 7 ครั้งภายใน 15 นาที

ทั้งนี้ยังคงระบุไม่ได้ว่าใครคือผู้ที่อยู่เบื้องหลัง WannaCry Ransomware ตัวนี้ แม้ว่านักวิจัยบางกลุ่มได้สืบค้นไปจนถึงกลุ่ม Hacker ที่ชื่อว่า Lazarus ในเกาหลีเหนือที่ได้รับการสนับสนุนจากรัฐ ในขณะที่นักวิจัยอื่นๆ เชื่อว่าเป็นการกระทำจากประเทศจีน

ที่มา : thehackernews

McAfee ได้มีการปล่อยอัพเดทเพื่ออุดช่องโหว่ที่พบใน Web Gateway ซึ่งช่องโหว่เหล่านี้อาจทำให้ถูกโจมตี และเข้าควบคุมเครื่องจากระยะไกลได้ (remote attacking) โดยผู้ใช้งาน, ผู้ดูแลระบบสามารถเข้าไปศึกษารายละเอียด และทำการอัพเดทได้จากเว็บไซต์ของ McAfee (SB10205) ทั้งนี้ควรติดตามข่าวด้านความปลอดภัย และทำการอัพเดทอย่างสม่ำเสมอ

ที่มา : us-cert