VMware ได้ออกมาแจ้งเตือนถึงการค้นพบช่องโหว่หลายรายการบน vSphere Data Protection (VDP) และออก VMSA-2017-0010 เพื่อรวมประเด็นปัญหาด้านความมั่นคงปลอดภัยเหล่านี้เอาไว้ด้วยกัน พร้อมตั้งระดับความรุนแรงเป็นระดับสูงสุด

สำหรับปัญหาแรกที่พบนั้นก็คือปัญหา VDP Java Deserialization ที่เปิดให้ผู้โจมตีสามารถทำ Remote Command Execution ได้บน VDP ส่วนอีกปัญหาหนึ่งคือการที่ VDP นั้นมีการเก็บ Credential ของ vCenter Server เอาไว้ ทำให้ผู้โจมตีสามารถเข้าถึง Credential ของ vCenter ได้จาก VDP

ทั้งนี้ VMware แนะนำให้ผู้ใช้งานทำการอัปเดต VDP ไปใช้รุ่น 6.0.5 หรือ 6.1.4 ซึ่งแก้ไขช่องโหว่เหล่านี้ไปเรียบร้อยแล้วแทนรุ่นเดิมที่ใช้งานอยู่

ที่มา: techtalkthai , vmware

ตำรวจญี่ปุ่นสร้างผลงานตามจับผู้เขียน Ransomware ได้เป็นคนแรกโดยผู้เขียนนั้นมีอายุเพียง 14 ปีเท่านั้น โดยผู้เขียนได้ทำการ upload code ขึ้น internet เป็นที่เรียบร้อยแล้ว

จากสื่อญี่ปุ่นได้กล่าวว่าทางตำรวจได้จับผู้เขียน "cyberpatrolling" Ransomware ตัวที่มีคนติดในญี่ปุ่นได้ ซึ่งพบว่าเป็นเยาวชนอายุ 14 ปีเท่านั้น อาศัยอยู่ที่ Takatsuki ทางผู้ต้องหาเล่าว่าเรียนรู้การเขียนโค้ดดังกล่าวด้วยการนำ project open source online แล้วนำมาเขียนเพิ่มด้วยตัวเอง และทำไปเพราะความอยากรู้อยากเห็นเท่านั้น หลังจากที่เขียนเสร็จ เค้าไม่ได้เป็นคนกระจาย ransomware นี้ด้วยการ spam หรือผ่าน exploit kit แต่อย่างใด เพียงแต่ upload ขึ้น internet เท่านั้น

โดยทางผู้ต้องหาได้มีการทำโฆษณาผ่านทาง Social Network ต่างๆ เช่น Twitter เป็นต้น โดยใช้คำโฆษณาว่า "ผมสร้าง Ransomware ขึ้นมา, อยากใช้ก็โหลดไปใช้ได้เลย" ผู้ต้องหาบอกว่ากระทำไปเพราะอยากดังเท่านั้นเอง

ที่มา: bleepingcomputer

มีคนแจ้งช่องโหว่ว่าพบวิธีการหนีออกจาก Parallel Desktop ซึ่งเป็น Virtual Machine (คล้ายๆกับ VMWare, Virtualbox) ใน MacOS ซึ่งจากการตรวจสอบได้ผลดัง VDO ด้านล่าง
จาก VDO จะเห็นว่าน่าจะออกมาจาก Parallel Desktop ได้จริงๆ แต่เมื่อลองดูการทำงานแบบละเอียดของ Script แล้วพบการทำงานของ script จะเป็นดังนี้

1. script สร้างไฟล์ command ขึ้นมา
2. script ใช้การแชร์ application ของ Parallel Desktop กับ mac ให้เป็นประโยชน์ โดยการเปิดไฟล์ command ที่สร้างโดยใช้ application ที่ share ระหว่าง mac กับ guest ภายใน parallel desktop
3. จากนั้นจึงทำการเรียกใช้งาน application ปกติ

ซึ่งจากการทำงานดังกล่าวจะเห็นว่ามันไม่ใช่เป็นการโจมตีช่องโหว่แต่อย่างใด เป็นการเน้นลูกเล่นการใช้งาน Application Sharing ระหว่างเครื่อง Host กับ Guest เสียมากกว่า
วิธีป้องกันคือการหยุด share application ระหว่าง Windows กับ Mac

ที่มา: exploit-db

Security Researcher พบไฟล์ Powerpoint ซึ่งพยายามให้ user รัน powershell หลังจากที่เมาส์วางไว้เหนือ link ใน slide ของ Powershell โดยไม่จำเป็นต้องเปิดการใช้งาน Macro แต่อย่างใด

โดยปกติ file malware ที่เป็น document ใดๆ จะมีการพยายามรันผ่าน Macro, Javascript, VBA แต่ตัวที่ Security Researcher คนนี้พบ กลับไม่ต้องพึ่งสิ่งเหล่านั้นแต่อย่างใด ขอเพียงแค่นำเมาส์ไปวางไว้เหนือ Link URL ก็จะพยายามให้ user รัน powershell ที่ถูกซ่อนไว้ทันที โดย Powerpoint ไฟล์ดังกล่าว จะมี slide แค่ slide เดียว โดย slide ดังกล่าวจะมี Link URL พร้อมกับข้อความเขียนไว้ว่า "Loading…Please wait" ซึ่งวิธีการที่ทำให้ส่วน Link URL ดังกล่าวกระทำการเปิด powershell เมื่อมีเมาส์ไปอยู่เหนือคำ "Loading.

Kaspersky ประกาศสิ่งที่น่าสนใจในเรื่องของ WannaCry ขึ้นมาว่า การทำงานบางส่วนของ WannaCry อาจทำงานไม่สมบูรณ์และทำให้มีความเป็นไปได้ที่จะกู้ไฟล์กลับมาได้โดยไม่ต้องจ่ายเงินแต่อย่างใด
Kaspersky พบว่าเมื่อ WannaCry เริ่มทำการเข้ารหัสมันจะทำการอ่านไฟล์ต้นฉบับ แล้วเริ่มทำการเข้ารหัสเนื้อหาของไฟล์และ save เป็นไฟล์นามสกุล ".WNCRYT" หลังจากทำการเข้ารหัสจะเปลี่ยนจาก ".WNCRYT" ไปเป็น ".WNCRY" และลบไฟล์ต้นฉบับทิ้ง ซึ่งการกระทำนี้ขึ้นอยู่กับตำแหน่งและคุณสมบัติไฟล์ของเหยื่อด้วย

ถ้าโปรแกรมมองว่า folder ที่จะทำการเข้ารหัสเป็น folder "ที่สำคัญ" เช่น Desktop และ Documents เป็นต้น จากนั้นไฟล์หลักจะถูกเขียนทับด้วยข้อมูลแบบ random ก่อนจะลบทิ้ง ซึ่งหากเป็นแบบนั้น จะไม่สามารถกู้ไฟล์ใดๆได้เลย แต่ถ้าไม่ใช่ตำแหน่งที่โปรแกรมที่คิดว่าสำคัญ โปรแกรมต้นฉบับจะถูกย้ายไปที่ %TEMP%\%d.WNCRYT โดย %d จะเป็นตัวเลข ไฟล์เหล่านี้จะมีข้อมูลต้นฉบับอยู่และไฟล์ดังกล่าวก็ไม่ได้ถูกเขียนทับด้วย ตัว WannaCry จะทำการลบไฟล์ไปเฉยๆ นั่นหมายความว่าเราสามารถมีโอกาสที่จะกู้ไฟล์เหล่านี้ขึ้นมาได้ด้วยโปรแกรม recovery ต่างๆ
อีกทั้งหากไฟล์ไม่ได้อยู่ใน drive file-system เช่น D:\ เป็นต้น, WannaCry จะทำการสร้าง folder $RECYCLE folder แล้ว set hidden+system (ทำตัวเป็น folder system และซ่อนไว้) หลังจากไฟล์ถูกเข้ารหัส WannaCry จะโยนไฟล์ต้นฉบับเข้าไปใน folder ดังกล่าว

แต่อย่างไรก็ตามด้วยการทำงานผิดพลาดไม่ว่าจะด้วยเหตุผลใดๆก็ตาม ไฟล์เหล่านั้นจะไม่ได้ถูกโยนเข้า $RECYCLE ทำให้ไฟล์ต้นฉบับจะถูกลบทิ้งในรูปแบบที่ไม่ปลอดภัย ทำให้สามารถ restore ไฟล์ต้นฉบับเหล่านั้นด้วย software การกู้ไฟล์เช่นกัน และ Kaspersky ยังพบอีกว่าหากมีไฟล์ที่เป็น read-only file (อ่านได้อย่างเดียว) อยู่ในเครื่อง ตัวโปรแกรมจะไม่เข้ารหัสไฟล์เหล่านั้น จะแค่ทำการเข้ารหัสไฟล์ที่ copy มาจากไฟล์เหล่านั้นอีกทีแทน ส่วนไฟล์ที่เป็น read-only ก็จะกลายเป็นถูกซ่อน(เปลี่ยนสถานะของไฟล์เป็น hidden)แทนที่จะลบทิ้ง ซึ่งทำให้ง่ายที่จะได้ไฟล์เหล่านั้นคืนมา

ที่มา: securelist

ค้นพบบั๊กร้ายแรงบน sudo ใน Linux ที่เปิดให้ผู้ที่มี Shell Account สามารถเข้ามายกระดับสิทธิ์ของตนเองเป็น Root ได้

ช่องโหว่ดังกล่าวเกิดจากปัญหาในการ Parse เนื้อหาในคำสั่ง sudo ที่ผิดพลาด ทำให้ผู้โจมตีในระบบ Linux ที่มีการตั้งค่าไว้ในบางรูปแบบสามารถใช้ปัญหานี้ในการ Overwrite ไฟล์ใดๆ บนระบบ, Bypass การจำกัดสิทธิ์ต่างๆ ไปจนถึงการยกระดับสิทธิ์ตัวเองเป็น Root ได้

โดยปัญหานี้เกิดขึ้นกับ Linux จำนวนมาก และส่งผลกระทบไปถึง Linux ที่ใช้ SELinux ด้วย ซึ่งรายการของ Linux ที่ได้รับผลกระทบมีดังนี้

Red Hat Enterprise Linux 6 (sudo)
Red Hat Enterprise Linux 7 (sudo)
Red Hat Enterprise Linux Server (v. 5 ELS) (sudo)
Debian wheezy
Debian jessie
Debian stretch
Debian sid
Ubuntu 17.04
Ubuntu 16.10
Ubuntu 16.04 LTS
Ubuntu 14.04 LTS
SUSE Linux Enterprise Software Development Kit 12-SP2
SUSE Linux Enterprise Server for Raspberry Pi 12-SP2
SUSE Linux Enterprise Server 12-SP2
SUSE Linux Enterprise Desktop 12-SP2
OpenSuse

สำหรับคำแนะนำเพื่อแก้ปัญหานี้คือการอัปเดต Patch ดังนี้

Debian/Ubuntu ใช้ sudo apt update และ sudo apt upgrade
CentOS/RHEL ใช้ sudo yum update
Fedora ใช้ sudo dnf update
SUSE ใช้ sudo zypper update
Arch Linux ใช้ sudo pacman -Syu
Alpine ใช้ apk update && apk upgrade

ที่มา : TECHTALKTHAI , cyberciti

Checkpoint ได้ทำการสำรวจ Google Play Store พบ Android Application ที่มีการแฝงโฆษณาจาก Server ของผู้ผลิตเพื่อให้ผู้ใช้งานกด link โฆษณาโดยไม่รู้ตัว
Checkpoint พบ Android Application ทั้งหมด 41 ตัวที่ถูกผลิตโดยบริษัทพัฒนา Application ของเกาหลีที่ชื่อว่า Kiniwini (ชื่อที่ใช้ใน Google Play Store คือ ENISTUDIO Corp) โดยใน Android Application เหล่านั้นจะมี program ที่ชื่อว่า Judy ฝังอยู่ ซึ่งตัว Android Application ที่เอาขึ้น Google Play Store นั้นจะไม่มี malicious code แต่อย่างใด ทำให้ผ่านการตรวจสอบของ Google Play Store ไปได้ แต่หลังจากที่ทำการติดตั้ง Android Application นี้ไปแล้ว ตัว Application จะทำการติดต่อไปยัง Command & Control Server และได้รับ Javascript code ที่เป็นอันตรายกลับมาแทน
"Android Application จะเปิด URL โดยใช้ user-agent เป็น PC เปิด webpage แบบซ่อน จากนั้นก็จะถูก redirect ไปยังเว็บไซด์อื่น เมื่อไปยังเว็บไซด์ได้สำเร็จตัว Javascript ก็จะทำการตรวจสอบ banner ในเพจแล้วทำการ click ให้โดยอัตโนมัติ
List Application ที่ทาง Checkpoint พบว่ามาจากบริษัทดังกล่าวมีดังนี้
Fashion Judy: Snow Queen style
Animal Judy: Persian cat care
Fashion Judy: Pretty rapper
Fashion Judy: Teacher style
Animal Judy: Dragon care
Chef Judy: Halloween Cookies
Fashion Judy: Wedding Party
Animal Judy: Teddy Bear care
Fashion Judy: Bunny Girl Style
Fashion Judy: Frozen Princess
Chef Judy: Triangular Kimbap
Chef Judy: Udong Maker – Cook
Fashion Judy: Uniform style
Animal Judy: Rabbit care
Fashion Judy: Vampire style
Animal Judy: Nine-Tailed Fox
Chef Judy: Jelly Maker – Cook
Chef Judy: Chicken Maker
Animal Judy: Sea otter care
Animal Judy: Elephant care
Judy’s Happy House
Chef Judy: Hotdog Maker – Cook
Chef Judy: Birthday Food Maker
Fashion Judy: Wedding day
Fashion Judy: Waitress style
Chef Judy: Character Lunch
Chef Judy: Picnic Lunch Maker
Animal Judy: Rudolph care
Judy’s Hospital: Pediatrics
Fashion Judy: Country style
Animal Judy: Feral Cat care
Fashion Judy: Twice Style
Fashion Judy: Myth Style
Animal Judy: Fennec Fox care
Animal Judy: Dog care
Fashion Judy: Couple Style
Animal Judy: Cat care
Fashion Judy: Halloween style
Fashion Judy: EXO Style
Chef Judy: Dalgona Maker
Chef Judy: ServiceStation Food
Judy’s Spa Salon
หากใครพบว่าลงไว้ก็แนะนำให้ทำการถอนการติดตั้ง

ที่มา: thehackernews

โชคดีสำหรับผู้โดน Crysis Ransomware!!! ตอนนี้ถอดรหัสได้แล้ว
Crysis Ransomware ถือเป็น Ransomware อีกตัวที่โดนกันมากในปี 2016 เนื่องด้วยการแพร่กระจายทำหลายทางไม่ว่าจะเป็นการแนบไปกับ email หรือการโจมตีไปยัง Remote Desktop ที่สามารถเข้าถึงได้จากภายนอกก็ตาม
Key ที่ใช้เข้ารหัสถูก Upload ขึ้น pastebin(เว็บไซต์สำหรับการแปะ code หรือข้อความใดๆตามที่ต้องการ) โดยไม่ทราบว่าใครเป็นผู้กระทำ เมื่อ security researcher ของทาง ESET ไปพบเข้าก็ได้นำ key เหล่านั้นมาทำการทดสอบถอดรหัสไฟล์ที่ถูกเข้ารหัสโดย Crysis Ransomware ดู ซึ่งปรากฏว่าสามารถถอดรหัสได้
ESET จึงได้ทำการสร้างเครื่องมือสำหรับการถอดรหัสไฟล์ใดๆ ที่ถูกเข้ารหัสโดย Crysis Ransomware โดยผู้อ่านสามารถ Download ได้จาก Link ด้านล่าง
https://www.

Anand Prakash ชาวอินเดียพบช่องโหว่ Insecure Direct Object References จำนวน 4 ช่องโหว่ที่พารามิเตอร์ owner_id บนเว็บไซต์ studio.twitter.

Zomato เว็บไซต์สำหรับการแนะนำร้านอาหารชื่อดังในอินเดีย ถูกแฮกข้อมูลของผู้ใช้งาน เช่น ชื่อผู้ใช้, อีเมล์ รหัสผ่านของลูกค้ากว่า 17 ล้านบัญชีนั้น ถูกขโมยออกไป Deepinder Goyal, CEO ของ Zomato
ได้ออกมาอธิบายว่าเกิดอะไรขึ้นว่า
- เริ่มต้นจากเหตุการณ์ที่ 000webhost ซึ่งเป็นเว็บโฮสติ้งฟรี ถูกแฮกเมื่อเดือนพฤศจิกายนปี 2015 ทำให้ข้อมูลผู้ใช้ และรหัสผ่านรั่วไหลออกมา โดยมีรหัสผ่านเป็น plaintext (ไม่มีการเข้ารหัส)
- หนึ่งในนักพัฒนาของ Zomato มีการใช้งาน 000webhost เช่นกันทำให้ข้อมูลของเขารั่วไหลออกไป
- นักพัฒนารายนั้นใช้อีเมล์ และรหัสผ่านเดียวกันกับบัญชีของ Github ที่ใช้เก็บโค้ดของ Zomato และไม่ได้เปิดใช้งาน 2 factor authentication
- ทำให้แฮกเกอร์สามารถ Login เข้าสู่ระบบ Github ของนักพัฒนานั้นได้และทำการรีวิวซอสโค้ดบางส่วนของ Zomato ได้
- จากจุดนี้แฮกเกอร์ยังไม่สามารถเข้าถึงฐานข้อมูลของ Zomato เนื่องจากระบบได้ทำการจำกัดไอพีที่สามารถเข้าถึงระบบต่างๆ ไว้
- แฮกเกอร์จึงทำการสแกนหาช่องโหว่จากโค้ดที่สามารถเข้าถึงได้ และพบกับช่องโหว่ Remote Code Execution ที่ทำให้แฮกเกอร์สามารถเข้าถึงฐานข้อมูลได้ในภายหลัง
จากเหตุการณ์ข้างต้นเป็นตัวอย่างที่ผู้ใช้งานอินเตอร์เน็ต ไม่ควรที่จะใช้รหัสผ่านเดียวกันกับทุกเว็บไซต์หรือบริการอื่นๆ
และควรใช้โปรแกรมจำพวก Password Manager ในการจดจำรหัสผ่านเพื่อเพิ่มความปลอดภัย

ที่มา : Zomato,ZomatoHacked