รายงานจาก SpiderLabs Trustwave แฮกเกอร์ได้ขโมยชื่อผู้ใช้และรหัสผ่านมากกว่าสองล้านบัญชีจากผู้ใช้ facbebook, Gmail, Twitter, LinkedIn และ yahoo ด้วยมัลแวร์ "Pony Botnet"

นักวิจัยด้านความปลอดภัยที่ Trustwave ได้รับข้อมูลการเข้าถึงแผงควบคุมของผู้ดูแลระบบจากมัลแวร์ Pony โดยมีการจัดเก็บหนังสือรับรองเป็นจำนวนมาก ซึ่งข้อมูลที่ถูกขโมยนั้นมาจากเครื่องที่ติดมัลแวร์

ตามรายงานดังกล่าว สิทธิ์เข้าสู่ระบบที่ถูกขโมยดังนี้:

1,580,000 สิทธิ์เข้าสู่ระบบเว็บไซต์ที่ถูกขโมย (รวม 318,121 สิทธิ์เข้าสู่ระบบ Facebook, 21,708 บัญชี Twitter, 54,437 บัญชีที่ใช้ Google และ 59,549 บัญชีที่ใช้ Yahoo)
สิทธิ์ของบัญชีอีเมล์ที่ถูกขโมย 320,000
บัญชี FTP 41,000 ที่ถูกขโมย
สิทธิ์ของ Remote Desktop 3,000 ที่ถูกขโมย
สิทธิ์บัญชี Secure Shell 3,000 ที่ถูกขโมย

Spider Labs ยังระบุรหัสผ่านที่ใช้กันมากที่สุดดังนี้:

123456 - ใช้สำหรับ 15,820 บัญชี
123456789 - ใช้สำหรับ 4,875 บัญชี
1234 - ใช้สำหรับ 3,135 บัญชี
password - ใช้สำหรับ 2,212 บัญชี
12345 - ใช้สำหรับ 2,094 บัญชี

นักวิจัยได้แนะนำเพื่อปกป้องระบบของผู้ใช้จากปัญหามัลแวร์ดังกล่าว ให้ผู้ใช้อัพเดทคอมพิวเตอร์และเบราว์เซอร์และสแกนไวรัส

ที่มา : thehackernews

D-Link ได้ออกเฟิร์มแวร์สำหรับเราเตอร์รุ่นเก่าซึ่งได้พบช่องโหว่ของการรักษาความปลอดภัยซึ่งช่องโหว่ดังกล่าวถูกพบในเดือนตุลาคม โดยทางทีมวิจัยรักษาความปลอดภัยของทาง D-Link Craig Heffner ได้ออกมายืนยันถึงปัญหาของช่องโหว่ดังกล่าวที่ถูกค้นพบซึ่งรายงานการวิเคราะห์ของเราท์เตอร์ D-Link พบว่าในเว็บเซิร์ฟเวอร์สำหรับการเข้าแก้ไขค่าคอนฟิกมีสตริงแปลกๆ เมื่อทำการวิเคราะห์ย้อนกลับไปพบว่าบราวเซอร์ที่มี User-Agent มีสตริงนี้จะสามารถเข้าควบคุมเราเตอร์ได้โดยไม่ต้องล็อกอิน

ทางบริษัท D-Link ได้ออกมาแนะนำผู้ใช้ถึงวิธีการป้องกันการถูกโจมตีดังกล่าว โดยให้ผู้ใช้ได้ทำการปิดการใช้งาน Remote Management และได้เตือนอีกว่าตอนนี้มีอีเมลเพื่อลวงให้ผู้ใช้คลิกลิงค์เพื่อเข้าจัดการเราเตอร์ ซึ่งทาง D-Link จีงออกประกาศว่าทางบริษัทไม่ได้ส่งอีเมลเหล่านั้น

โดยช่องโหว่แบบเดียวกันยังมีรายงานในเราเตอร์ D-Link DIR-100, DIR-120, DI-624S, DI-524UP, DI-604S, DI-604UP, DI-604+, TM-G5240 Router PlanexBRL-04R, BRL-04UR, BRL-04CW routers; และ Alpha Networks routers และมีเราเตอร์ได้รับแพตซ์แก้ปัญหา ได้แก่ DI-524, DI-524UP, DIR-604+, DIR-604UP, DIR-624S, TM-G5240, DIR-100 และ DIR-120

ทีี่มา : net-security

มีการค้นพบช่องโหว่ในวินโดส์ XP และ วินโดว์เซิร์ฟเวอร์ 2003 โดยช่องโหว่นี้จะอยู่ใน NDProxy.sys ซึ่งเป็นไฟล์ไดรเวอร์ที่ทำงานร่วมกับ Telephony Application Programming Interfaces (TAPI) เซอร์วิส ช่องโหว่นี้จะทำให้แฮกเกอร์สามารถเข้าถึงสิทธิ์ที่สูงกว่าสิทธิ์ที่ตัวเองใช้อยู่ได้อย่างเช่น สิทธิ์แอดมิน เป็นต้น แต่ช่องโหว่นี้ไม่ได้เป็นการ remote ไปยังเครื่องเป้าหมายดังนั้นถ้าจะโจมตีผ่านช่องโหว่นี้แฮกเกอร์จะต้องสามารถเข้าถึงเครื่องเป้าหมายโดยใช้สิทธิ์อื่นๆก่อน จากการสืบสวนของบริษัท FireEye พบว่าช่องโหว่นี้ได้ถูกใช้ร่วมกับการโจมตีที่โจมตีผ่านช่องโหว่ของโปรแกรม Adobe Reader อีกทีหนึ่ง ตอนนี้วิธีป้องกันที่ดีที่สุดคือ เปลี่ยนไปใช้ระบบปฎิบัติการที่ใหม่กว่านี้ เนื่องจากระบบปฎิบัติการที่ใหม่กว่านี้จะยังมีการสนับสนุนจากไมโครซอฟท์อยู่

ที่มา : COMPUTERWORLD

นักวิจัยของ Symantec ได้คนพบเวิร์มที่ทำงานบนระบบปฎิบัติการลีนุกซ์ตัวใหม่ โดยตั้งชื่อว่า “Darlloz” เวิร์มตัวนี้ไม่ได้แค่โจมตีคอมพิวเตอร์ของผู้ใช้ทั่วไปเท่านั้น แต่มันยังโจมตีไปยังอุปกรณ์ที่เชื่อมต่อกับอินเทอร์เน็ตแบบอื่นๆ ด้วย อย่างเช่น เราเตอร์ที่ใช้ตามบ้าน, กล้องวงจรปิดที่มีการเชื่อมต่อกับอินเทอร์เน็ต, กล่องรับสัญญาณ TV ที่สามารถเชื่อมต่อกับอินเทอร์เน็ตได้ และ ระบบควบคุมในอุตสาหกรรมต่างๆ เป็นต้น เวิร์มตัวนี้จะเริ่มทำการโจมตีโดยแทรกตัวเองไปยังอุปกรณ์เป้าหมายผ่านช่องโหว่ PHP ที่ถูกแพทช์แก้ไขไปในเดือนพฤษภาคมปี 2012 ตอนนี้เวิร์มจะโจมตีเฉพาะเครื่องที่ใช้ระบบ Intel x86 เท่านั้น แต่นักวิจัยได้พบว่าแฮกเกอร์สร้างเวิร์มชนิดอื่นๆที่สามารถโจมตีเครื่องที่ใช้ระบบ ARM, PPC, MIPS และ MIPSEL ได้ โชคดีที่เวิร์มตัวนี้ยังไม่พบการแพร่กระจายในวงกว้าง ดังนั้นนักวิจัยจึงแนะนำให้ผู้ใช้อัพเดทแพทช์โปรแกรมในเครื่อง, ใช้รหัสที่มีความแข็งแกร่ง และ บล็อคการร้องขอ HTTP POST ที่ร้องขอมาจากภายนอก เพื่อไม่ให้เวิร์มตัวนี้สามารถแพร่กระจายได้

ที่มา : net-security

เครื่องคอมพิวเตอร์ทั่วโลกประมาณ 5 หมื่นเครื่องที่ติดมัลแวร์ซึ่งมัลแวร์จะทำการขโมยข้อมูลต่างๆที่เป็นความลับ  ตามรายงานจาก NRC.nl ระบุว่าเอกสารที่ได้รับโดย US whistleblower Edward Snowden มีการรายงานถึงการปฏิบัติการที่เรียกว่า Computer Network Exploitation (CNE) ซึ่งมีมัลแวร์ที่กำลังถูกอ้างถึงคือ "digital Sleeper cell" โดยมัลแวร์ตัวนี้จะถูกควบคุมภายใต้หน่วยงานของ NSA ซึ่งพวกเขาสามารถที่จะเข้าถึงโดยการรีโมทเพื่อที่จะควบคุมการเปิดหรือปิดเครื่อง โดยจำนวนเครื่องที่ติดมัลแวร์ตัวนี้ในปี 2008 มีเกินกว่า 2 หมื่นเครื่อง และประมาณกลางปี 2012 จำนวนเครื่องที่ติดมัลแวร์ตัวนี้เพิ่มขึ้นไปถึง 5 หมื่นเครื่อง

ที่มา : ehackingnews

เครื่องคอมพิวเตอร์ทั่วโลกประมาณ 5 หมื่นเครื่องที่ติดมัลแวร์ซึ่งมัลแวร์จะทำการขโมยข้อมูลต่างๆที่เป็นความลับ  ตามรายงานจาก NRC.nl ระบุว่าเอกสารที่ได้รับโดย US whistleblower Edward Snowden มีการรายงานถึงการปฏิบัติการที่เรียกว่า Computer Network Exploitation (CNE) ซึ่งมีมัลแวร์ที่กำลังถูกอ้างถึงคือ "digital Sleeper cell" โดยมัลแวร์ตัวนี้จะถูกควบคุมภายใต้หน่วยงานของ NSA ซึ่งพวกเขาสามารถที่จะเข้าถึงโดยการรีโมทเพื่อที่จะควบคุมการเปิดหรือปิดเครื่อง โดยจำนวนเครื่องที่ติดมัลแวร์ตัวนี้ในปี 2008 มีเกินกว่า 2 หมื่นเครื่อง และประมาณกลางปี 2012 จำนวนเครื่องที่ติดมัลแวร์ตัวนี้เพิ่มขึ้นไปถึง 5 หมื่นเครื่อง

ที่มา : ehackingnews

บริษัทรักษาความปลอดภัย Trend Micro รายงานว่า พบมัลแวร์ แฝงตัวอยู่ในโปรแกรม Autocad ที่มีลิขสิทธิ์ถูกต้องตามกฏหมาย โดยมัลแวร์ดังกล่าวจะฝังตัวอยู่ในไฟล์ที่ใช้นามสกุล .FAS

หากเป้าหมายมีการใช้งานพอร์ต 137 to 139 และ 445 ซึ่งเป็นพอร์ตที่เกี่ยวกับ NETBIOS ที่จะอนุญาตให้ผู้ใช้ที่อยู่บนเครื่องหนึ่งสามารถใช้ไฟล์ที่อยู่ในอีกเครื่องหนึ่งโดยเปรียบเสมือนว่าไฟล์นั้นอยู่ในเครื่องของผู้ใช้เองได้ (Share)

ดังนั้น มัลแวร์ดังกล่าวจะทำการแพร่กระจายไปยังเครื่องคอมพิวเตอร์ต่างๆที่มีการแชร์ข้อมูลร่วมกันได้ และผู้โจมตีสามารถที่จะเข้าถึง หรือขโมยข้อมูลที่สำคัญของเป้าหมายได้โดยง่าย

ที่มา : ehackingnews

Oren Hafif นักวิจัยด้านความปลอดภัยค้นพบช่องโหว่ในขั้นตอนการรีเซ็ต password ของบัญชี Google ที่ช่วยให้ผู้โจมตีสามารถ Hijack ไปยังบัญชีของผู้ใช้อื่น ๆ ได้

วิธีการคือ ผู้โจมตีจะส่งอีเมล “Confirm account ownership” ที่อ้างว่ามาจาก Google ไปยังเหยื่อ ซึ่งในอีเมลจะมีลิงค์ไปยังเว็บเพจเพื่อใช้ในการยืนยันตัวตนและข้อความเตือนให้เหยื่อทำการเปลี่ยนรหัสผ่าน เมื่อเหยื่อทำการคลิกลิงค์สามารถสังเกตุได้ว่า URL ที่ปรากฏจะเป็น HTTPS Google.

Oren Hafif นักวิจัยด้านความปลอดภัยค้นพบช่องโหว่ในขั้นตอนการรีเซ็ต password ของบัญชี Google ที่ช่วยให้ผู้โจมตีสามารถ Hijack ไปยังบัญชีของผู้ใช้อื่น ๆ ได้

วิธีการคือ ผู้โจมตีจะส่งอีเมล “Confirm account ownership” ที่อ้างว่ามาจาก Google ไปยังเหยื่อ ซึ่งในอีเมลจะมีลิงค์ไปยังเว็บเพจเพื่อใช้ในการยืนยันตัวตนและข้อความเตือนให้เหยื่อทำการเปลี่ยนรหัสผ่าน เมื่อเหยื่อทำการคลิกลิงค์สามารถสังเกตุได้ว่า URL ที่ปรากฏจะเป็น HTTPS Google.

การรักษาความปลอดภัยขั้นสุดท้ายเป็นปัญหาสำคัญขององค์กรจำนวนมาก เช่น รหัส root ของเครื่องเซิร์ฟเวอร์หลักในระบบ รหัสผ่านเพื่อเข้าถึง private key บนสมาร์ทการ์ด การเก็บรักษาข้อมูลเหล่านี้ส่วนมากต้องอาศัยการพิมพ์ออกมาเป็นกระดาษแล้วนำไปเก็บรักษาไว้ที่ปลอดภัยเช่นตู้เซฟธนาคารที่ต้องการกุญแจสองดอกให้เปิดพร้อมกันจึงนำข้อมูลออกมาใช้งานได้ ตอนนี้ CloudFlare ผู้ให้บริการ reverse proxy รายใหญ่ก็นำโครงการภายในที่ชื่อว่า Red October ออกมาให้ใช้งานกัน
Red October คือเซิร์ฟเวอร์เข้ารหัสและถอดรหัส โดยไม่มีข้อมูลที่ต้องการเก็บรักษาอยู่บนเซิร์ฟเวอร์จริง ในตัวเซิร์ฟเวอร์ของ Red October นั้นจะเก็บกุญแจ RSA ของผู้ใช้ทุกคนเอาไว้ เมื่อมีการร้องขอให้เข้ารหัสข้อมูลใดๆ เซิร์ฟเวอร์จะ

สร้างกุญแจสมมาตรโดยสุ่มเลขขึ้นมาใหม่
เข้ารหัสข้อมูลด้วยกุญแจสมมาตรนั้น
จับกลุ่มทุกกลุ่มที่เป็นไปได้ ตามที่ผู้ขอให้เข้ารหัสกำหนด เช่น กำหนดผู้ใช้ที่มีสิทธิ์ถอดรหัส 3 คน โดยต้องใช้ 2 คนถอดรหัส จะจับได้ 3 กลุ่ม (3 เลือก 2)
ใช้กุญแจสาธารณะของแต่ละคนในแต่ละกลุ่มเข้ารหัสกุญแจสมมาตรเป็นชั้นๆ จนครบจำนวนคนแล้วจัดเก็บ

กระบวนการถอดรหัสนั้นกลับข้างกัน โดยผู้ใช้จะต้องล็อกอินในระบบแล้ว "ให้สิทธิ์" (delegate) ในการเข้าถึงกุญแจส่วนตัว (private key) กับเซิร์ฟเวอร์โดยระบุระยะเวลา การให้สิทธิ์ต้องระบุระยะเวลาและจำนวนครั้งที่ใช้งานได้ เมื่อมีผู้ใช้ร้องขอการถอดรหัสข้อมูล ข้อมูลที่ใส่เข้ามาจะมีข้อมูลอยู่แล้วว่าใครเป็นผู้ถอดรหัสได้บ้าง เซิร์ฟเวอร์จะเข้าไปตามหาว่าผู้ใช้เหล่านั้นได้ให้สิทธิ์ไว้หรือไม่ หากให้สิทธิ์ไว้ครบจำนวนคนก็จะถอดรหัสไปได้

ในการใช้งานจริง เช่น ผู้ดูแลระบบต้องการเข้าถึงรหัส root ของเซิร์ฟเวอร์ตัวหนึ่ง เขาอาจจะต้องเดินไปบอกหัวหน้าฝ่ายสองคนพร้อมกัน หัวหน้าฝ่ายทั้งสองคนก็ล็อกอินเข้ามาให้สิทธิ์กับเซิร์ฟเวอร์คนละสิบนาที เราสามารถดึงไฟล์รหัสผ่านที่เข้ารหัสไว้ แล้วนำมาขอถอดรหัสได้

กระบวนการนี้เลียนแบบการปล่อยอาวุธนิวเคลียร์ที่มีกฎ two-man rule คือ ห้ามมีใครคนใดคนหนึ่งมีสิทธิ์ปล่อยอาวุธนิวเคลียร์ด้วยตัวเอง Red October คงมีจุดอ่อนสำคัญคือการวางกุญแจส่วนตัว RSA ไว้ในเซิร์ฟเวอร์ หากเซิร์ฟเวอร์ถูกเจาะไปได้และมีการดัดแปลงโค้ดเพื่อเก็บรหัสผ่านสำหรับการเปิดไฟล์กุญแจลับนี้ก็คงทำให้แฮกเกอร์ดึงข้อมูลออกไปได้ แต่ทั้งนี้มันเป็นระบบจัดการสิทธิ์ที่พึ่งรหัสวิทยาอย่างมากเทียบกับระบบ workflow อื่นๆ ที่มักไม่มีการเข้ารหัสใดๆ ทาง CloudFlare เปิดให้ดาวน์โหลด Red October ไปใช้งานได้ฟรี รวมถึงนำซอร์สโค้ดไปตรวจสอบความปลอดภัยได้

ที่มา : blognone