นักวิจัยด้านความปลอดภัยจาก CheckPoint ประกาศการค้นพบมัลแวร์บนแอนดรอยด์ตัวใหม่ "CopyCat" แพร่กระจายไปแล้วกว่า 14 ล้านเครื่อง และน่าจะขโมยข้อมูลบัตรเครดิตไปแล้วจากกว่า 4.4 ล้านเครื่อง
CheckPoint กล่าวว่า ในจำนวนกว่า 14 ล้านเครื่องที่มีการแพร่กระจายนั้นจะมีเหยื่ออยู่ในประเทศกลุ่มเอเชียใต้และเอเชียตะวันออกเฉียงใต้เป็นหลัก โดยมีอินเดียที่มีการตรวจพบว่ามีการติดเชื้อมากที่สุด รวมไปถึงในปากีสถาน, บังกลาเทศ, อินโดนีเซียและพม่า (ยังไม่ยืนยันว่าเจอในไทย) ส่วนในอเมริกาก็มีอุปกรณ์ที่ตรวจพบมัลแวร์แล้วกว่า 280,000 เครื่อง
จากการวิเคราะห์มัลแวร์ดังกล่าว CheckPoint เปิดเผยว่า มัลแวร์มีการใช้หลายช่องโหว่ในการ "รูท" อุปกรณ์เพื่อให้ได้สิทธิ์สูงสุดในระบบ กระทบแอนดรอย์หลายรุ่นด้วยกัน หลังจากที่มัลแวร์มีสิทธิ์สูงสุดในระบบแล้ว มันจะทำการปิดฟีเจอร์รักษาความปลอดภัยทั้งหมดรวมไปถึงแก้ไขการตั้งค่าของแอพและอุปกรณ์เพื่อให้มีการแสดงโฆษณาเพื่อสร้างรายได้ รวมไปถึงขโมยข้อมูลต่างๆ
CheckPoint ยังไม่สามารถระบุแน่ชัดถึงช่องทางในการแพร่กระจายได้ แต่เชื่อกันว่า CopyCat น่าจะแพร่กระจายผ่านทาง third-party app ที่ไม่ได้อยู่บน Google Play Store และทางฟิชชิ่ง CheckPoint ยังระบุว่าผู้อยู่เบื้องหลังของ CopyCat อาจจะเป็นบริษัทโฆษณาในจีนเนื่องจากมีการตรวจพบความคล้ายคลึงและพฤติกรรมที่คล้ายกันใน CopyCat กับเครือข่ายโฆษณา MobiSummer
การป้องกัน CopyCat อย่างดีที่สุดคือการไม่ติดตั้งแอพแปลกปลอมหรือแอพที่มีที่มาที่ไม่เชื่อถือ หากสงสัยว่ามีการติดเชื้อแล้ว แนะนำทำการสำรองข้อมูลและติดตั้งระบบใหม่จะดีที่สุด

ที่มา : TheHackerNew

ช่วงก่อนหน้านี้ทาง NCR ได้ออกมาแจ้งเตือนถึงเหตุการณ์โจรกรรมข้อมูลแบบ Eavesdropping หรือ รูปแบบของการดักจับข้อมูลที่กำลังถูกนำมาใช้กับบัตรที่ใช้แทบแม่เหล็กในการอ่านค่ากับตู้ ATM model Personas และล่าสุดทาง NCR ได้ออกมาแจ้งเตือนอีกครั้งถึงการโจมตีในรูปแบบเดิมนี้กับ SelfServ ATM ใน USA
เทคนิค การทำงานของ Eavesdropping Skimming Attack คือผู้ไม่หวังดีจะทำการเจาะรูบริเวณของตัวตู้ ATM จากนั้นจะฝังอุปกรณ์ไว้เพื่ออ่านค่าจากแทบแม่เหล็กของตัวบัตรที่ผู้ใช้งานสอดเข้าไป การโจมตีที่ Personas ATM เจอนั้นคือการดักจับข้อมูลที่มุ่งเป้าหมายไปที่บอร์ดแม่เหล็กที่ทำหน้าที่เป็นตัวควบคุมบัตร ในการโจมตีครั้งใหม่กับ SelfServ ATM นั้นวิธีการได้ถูกยกระดับขึ้น แต่ยังคงหลักการทำงานเดิมอยู่
เป้าหมายการโจมตีครั้งนี้คือ model 6634 โดยผู้ไม่หวังดีทำการเจารูตู้เป็นรูปกรอบสี่เหลี่ยมบริเวณด้านข้างที่อยู่ระหว่าง ATM monitor และ Card Reader และใช้รูนี้ในการฝังตัว Eavesdropping Skimmer ไว้ข้างใต้ Card Reader เพื่อที่ตัวดักจับข้อมูลนี้จะเชื่อมต่อกับหัวอ่านค่าบัตรของตู้ได้พอดี จากนั้นก็จะทำการปกปิดร่องรอยที่เจาะไว้ ส่วนการดักจับ PIN ก็คือการแอบติดกล้องไว้เหนือแป้นกดรหัสเพื่อดูว่าผู้ใช้งานกดรหัสตัวไหนไปบ้าง
ข้อเสนอแนะ
ควรตรวจสอบตู้ ATM ให้บ่อยมากขึ้น ตรวจดูว่ามีการติดตั้งกล้องเพื่อแอบดูรหัส PIN หรือมีการติดตั้ง Skimmers เพื่อแอบลอบดึงข้อมูลจากบัตรอิเล็กทรอนิกส์หรือไม่ รวมไปถึงการติดตั้งอุปกรณ์ตรวจหา Deep Insert Skimmers

ที่มา : NRC

Joomla! ได้มีการประกาศเวอร์ชันล่าสุดคือเวอร์ชัน 3.7.3 เมื่อวันอังคารที่ผ่านมาโดยนอกเหนือจากการแก้ไขปัญหาบั๊กของโปรแกรมโดยทั่วไปแล้ว ในเวอร์ชันนี้ยังมีการแก้ปัญหาด้านความปลอดภัยทั้งหมด 3 ช่องโหว่ด้วย

ช่องโหว่แรกเป็นช่องโหว่ Information Disclosure ซึ่งกระทบตั้งแต่ Joomla! ในรุ่น 1.7.3 ถึง 3.7.2 มีความรุนแรงระดับสูง, ช่องโหว่ที่สองเป็นช่องโหว่ XSS กระทบ1.7.3 ถึง 3.7.2 และช่องโหวที่สามเป็นช่องโหว่ XSS ซึ่งกระทบ 1.5.0 ถึง 3.6.5 โดยช่องโหว่ที่สองมีความรุนแรงระดับสูงส่วนช่องโหว่ที่สามมีความรุนแรงระดับต่ำ

แนะนำให้ทำการอัพเดตเพื่อลดความเสี่ยงที่จะถูกโจมตีระบบโดยด่วน

ที่มา : joomla

สองนักจัยจากมหาวิทยาลัยเวอร์จิเนีย ได้พัฒนาระบบช่วยการจัดรหัสผ่านที่แตกต่างจากที่เคยมีในท้องตลาด โดยทีมนักวิจัยได้อธิบายว่า Horcrux จะแทรกข้อมูลประจำตัวปลอมเข้าในฟอร์มของผู้ใช้ เนื่องจากเวลาผู้ใช้กรอกข้อมูลลงในแบบฟอร์มนั้น จะมี JSscripts ที่แอบเก็บข้อมูลในแบบฟอร์มไปก่อนที่ผู้ใช้จะกดส่งข้อมูล ทั้งสองกล่าวว่าพวกเขาป้องกันการโจมตีนี้โดย Horcrux จะใส่ข้อมูลประจำตัวปลอม(dummy)ในช่องข้อมูลเพื่อหลอก JSscripts แต่เมื่อผู้ใช้กดส่งข้อมูล Horcrux ก็จะดักจับการดำเนินการส่งฟอร์มและส่งข้อมูลจริงให้กับทางระบบ

คุณลักษณะที่สองที่ทำให้ Horcrux โดดเด่นเมื่อเทียบกับไคลเอ็นต์การจัดการรหัสผ่านอื่นๆคือ Horcrux จะกระจายข้อมูลการรับรองผู้ใช้ไปยัง Server หลายเครื่อง ซึ่งหมายความว่าหากผู้โจมตีสามารถเข้าถึงเซิร์ฟเวอร์ตัวใดตัวหนึ่งได้เขาจะไม่สามารถเข้าถึงรหัสผ่านทั้งหมดของผู้ใช้เพื่อจำกัดความเสียหายของเหตุการณ์ด้านความปลอดภัย นอกจากนี้ข้อมูลประจำตัวที่จัดเก็บไว้ในเซิร์ฟเวอร์หลายเครื่องยังมีการแบ่งปันข้อมูลลับโดยใช้ Cuckoo Hashing Algorithm ซึ่งช่วยจำกัดความสามารถในการกู้คืนข้อมูลรหัสผ่านของผู้บุกรุกได้แม้ว่าจะสามารถจัดการกับเซิร์ฟเวอร์เก็บรหัสผ่านได้หลายเครื่องก็ตาม แต่ข้อดีนี้ก็ตามมาด้วยข้อเสียคือผู้ใช้ต้อง Host Server เก็บรหัสผ่านของตนเองเพื่อใช้ Horcrux ซึ่งเป็นสิ่งที่ผู้ใช้ส่วนมากไม่สามารถมีเงินทุนจ่ายให้ได้

ที่มา : bleepingcomputer

แม้ว่ามัลแวร์ Petya รุ่นปี 2017 จะมีปัญหาในการถอดรหัสไฟล์ซึ่งทำให้ไม่สามารถถอดรหัสไฟล์ได้ บัญชีบิทคอยน์ที่ถูกแสดงโดยมัลแวร์ก็ยังมีการอัพเดตโดยมีการโอนเงินเข้าอย่างสม่ำเสมอจนกระทั่งเมื่อวานนี้เมื่อมีการระบุถึงการเปลี่ยนแปลงของบัญชีในลักษณะที่เป็นการโอนเงินออกไปยังบัญชีอื่น

บัญชีบิทคอยน์ของ Petya รุ่นปี 2017 เริ่มมีการโอนเงินออกไปในบัญชีอื่นในช่วงเวลา 21:30 ถึงประมาณ 22:10 เมื่อวานนี้โดยมีทั้งหมด 3 รายการ แต่ละรายการมีการโอนเงินในจำนวนที่แตกต่างกันไปยังบัญชีบิทคอยน์ปลายทางที่แตกต่างกัน

แม้ว่าในระบบของบล็อคเชนนั้นทุกๆ การทำรายการจะมีการเปิดเผยอย่างสาธารณะ แต่ในความจริงนั้นการสืบเสาะและตามรอยการเปลี่ยนถ่ายของเงินก็ยังคงทำได้ยากอยู่ ผู้พัฒนามัลแวร์อาจสามารถโอนเงินไปยังบริการที่รับและเปลี่ยนและให้บริการดังกล่าวทำการสับเปลี่ยนเงินเพื่อให้สามารถติดตามได้ยากขึ้นได้

หากใครอยากดูการเปลี่ยนแปลงของบัญชีบิทคอยน์ดังกล่าว สามารถเข้าไปดูได้ที่ https://blockchain.

หลุดมาอีกตัว โปรเจค OutlawCountry แอบเปลี่ยนเส้นทางเน็ตเวิร์กเราต์ติ้งโดย CIA

วิกิลีคส์มีการเปิดเผยข้อมูลของโปรเจค OutlawCountry ใน Vault 7 ซึ่งเป็นข้อมูลที่มีการอ้างว่ารั่วไหลามาจาก CIA เมื่อช่วงปลายเดือนมิถุนายนที่ผ่านมา โดยโปรเจคดังกล่าวมีเป้าหมายในการแอบเปลี่ยนแปลงการตั้งค่าเราต์ติ้งของเน็ตเวิร์กให้มาที่เครื่องที่ต้องการได้

โปรเจค OutlawCountry พุ่งเป้าไปที่ระบบปฏิบัติการลินุกซ์ เช่น CentOS/RHEL 6.x การโจมตีโดยใช้โปรเจค OutlawCountry จะเป็นการเพิ่มโมดูลของเคอร์เนลเข้าไป โมดูลดังกล่าวจะทำการใช้งานเครื่องมือ packet filtering อาทิ netfilter และ/หรือ iptables ในการควบคุมทราฟิก การตรวจจับการมีอยู่อาจเป็นไปได้ยากถ้าไม่รู้รายละเอียดของการตั้งค่าดังกล่าว เช่น ชื่อของ iptables และ netfilter table
แนะนำให้ผู้ใช้งานตรวจสอบการตั้งค่าของ iptables ปัจจุบันว่ามีการตั้งค่าที่แปลกปลอมหรือไม่ หากพบเจอแนะนำให้รีบแก้ไขโดยด่วน

ที่มา: hothardware

แฝงตัวในเงา มัลแวร์เรียกค่าไถ่ FakeCry โจมตีระบบในยูเครนในช่วงเวลาเดียวกับ ExPetr/Petya

นักวิจัยด้านความปลอดภัยของ Kaspersky ได้เปิดเผยผลการวิเคราะห์มัลแวร์เรียกค่าไถ่ FakeCry ซึ่งใช้โอกาสในการแพร่กระจายของ ExPetr/Petya แพร่กระจายโจมตีระบบในยูเครน
แต่เดิมนั้น ExPetr/Petya ใช้วิธีการแพร่กระจายในหลายช่องทางซึ่งมีทั้งการแพร่กระจายด้วยลักษณะของการโจมตีแบบ watering hole และการแฝงตัวเข้าไปในอัพเดตของโปรแกรม MeDoc ทีมของ Kaspersky ตรวจพบว่าตามช่องทางการอัพเดตของโปรแกรม MeDoc นั้น ซอฟต์แวร์ของ Kaspersky ยังตรวจพบมัลแวร์อีกประเภทหนึ่งนอกจาก ExPetr/Petya

มัลแวร์อีกชนิดหนึ่งที่ถูกตรวจพบนั้นยังคงเป็นมัลแวร์เรียกค่าไถ่ทีมีลักษณะใกล้เคียงกับ WannaCry แต่ถูกพัฒนาโดยใช้ .NET ทีมจาก Kaspersky ยังคงหาความสัมพันธ์อื่นระหว่างมัลแวร์ตัวนี้ซึ่งภายหลังถูกเรียกว่า FakeCry กับ ExPetr/Petya ไม่ได้ว่ามีความเกี่ยวข้องกันอย่างไร หลักฐานเพียงอย่างเดียวคือการแพร่กระจายในช่วงเวลาที่ใกล้เคียงกันและในช่องทางเดียวกัน

ที่มา: securelist

บริษัทความปลอดภัย Darktrace ระบุว่าเริ่มค้นพบมัลแวร์รูปแบบใหม่ๆ ที่นำเทคนิคด้าน AI มาใช้งาน เพื่อให้มัลแวร์สามารถเรียนรู้สภาพแวดล้อม และปลอมตัวได้เนียนกว่าเดิม

Nicole Eagan ซีอีโอของ Darktrace กล่าวว่ามัลแวร์กลุ่มนี้จะปรับพฤติกรรมไปเรื่อยๆ เพื่อให้อยู่ในระบบโดยไม่ถูกตรวจจับได้นานที่สุดเท่าที่จะทำได้ อย่างไรก็ตาม มัลแวร์กลุ่มนี้ยังไม่ได้มีศักยภาพด้าน AI เต็มขั้น แต่ก็เริ่มหยิบบางส่วนมาใช้งาน

อีกประเด็นที่น่าสนใจคือมัลแวร์เหล่านี้ถูกพบในประเทศกำลังพัฒนา มากกว่าประเทศพัฒนาแล้ว เนื่องจากบริษัทยักษ์ใหญ่ในประเทศพัฒนาแล้วมีระบบป้องกันทางไอทีที่เข้มแข็งกว่า ส่งผลให้แฮ็กเกอร์หันไปทดสอบมัลแวร์ของตัวเองในประเทศที่ไม่ได้สนใจความปลอดภัยไซเบอร์มากนัก ตัวอย่างที่โด่งดังคือ การแฮ็กธนาคารกลางของบังกลาเทศ ที่ในภายหลัง Symantec พบการโจมตีรูปแบบเดียวกัน ถูกใช้ในอีก 31 ประเทศ

ที่มา : BLOGNONE

CISCO ประกาศข่าวน่าตกใจว่าพบช่องโหว่ Buffer Overflow ในส่วน Simple Network Management Protocol (SNMP) Service ในทุกๆ version ที่ให้บริการใน CISCO IOS, IOS XE

CISCO กล่าวว่า SNMP ทุกๆ version (v1,v2c,v3) ที่ให้บริการใน CISCO IOS, IOS XE นั้นมีช่องโหว่ Buffer Overflow อยู่ทำให้สามารถถูก exploit แล้วกลายเป็น Denila of Service (ส่งผลให้เครื่องไม่สามารถให้บริการได้) หรือ Remote Code Execution (สั่งงานเครื่องจากระยะไกล) ได้ โดยหากเป็นบริการ SNMP v1,v2c ผู้โจมตีสามารถโจมตีได้โดยที่จำเป็นต้องรู้ SNMP community string แต่หากเป็น SNMPv3 จำเป็นต้องมี username, password ด้วย

โดยช่องโหว่ดังกล่าวนี้มี CVE 9 CVE คือ CVE-2017-6736, CVE-2017-6737, CVE-2017-6738, CVE-2017-6739, CVE-2017-6740, CVE-2017-6741, CVE-2017-6742, CVE-2017-6743, CVE-2017-6744 และ CVE แต่ละตัวจะเกี่ยวข้องกับ SNMP Management Information Bases (MIBs) ต่อไปนี้ :

ADSL-LINE-MIB
ALPS-MIB
CISCO-ADSL-DMT-LINE-MIB
CISCO-BSTUN-MIB
CISCO-MAC-AUTH-BYPASS-MIB
CISCO-SLB-EXT-MIB
CISCO-VOICE-DNIS-MIB
CISCO-VOICE-NUMBER-EXPANSION-MIB
TN3270E-RT-MIB
ตอนนี้ทาง CISCO ยังคงทำ patch update ไม่เสร็จ ดังนั้นในระหว่างนี้หากไม่มีความจำเป็นใดๆแนะนำให้ทำการปิด SNMP Access ไปก่อน หรือปิดการใช้งาน MIBs ที่มีช่องโหว่ครับ

ที่มา : TheRegister
แปลโดย : Techsuii

ทาง Ubuntu ประกาศว่ามีการพบช่องโหว่ Remote Code Execcution ใน Systemd ซึ่งทำให้ client นั้นอาจถูกแฮ็คได้ทันที เมื่อได้รับ DNS Response ที่ถูกสร้างขึ้นมาโดยเฉพาะ

Ubuntu ประกาศเมื่อวันที่ 27/06/2017 ที่ผ่านมาว่าพบช่องโหว่ Denial of Service และ Remote Code Execution จากการรับ DNS Response ที่ถูกสร้างขึ้นมาเฉพาะใน systemd-resolved ซึ่งได้รับ CVE เป็น CVE-2017-9445 หากใครใช้งาน Ubuntu version 16.10 หรือ 17.04 แนะนำให้ทำการ update systemd ด่วนครับ

ผลกระทบ: Remote Code Execution or DoS
ระบบที่ได้รับผลกระทบ: Ubuntu 16.10 , 17.04
วิธีแก้ไขหรือป้องกัน: ทำการ upgrade Systemd เป็น 231-9ubuntu5 (16.10) หรือ 232-21ubuntu5 (17.04)

ที่มา : Ubuntu