นักวิจัยของ Kaspersky Lab ที่ชื่อ Denis Maslennikov ได้พบแอพพลิเคชั่นของแอนดรอยบน Google Play ที่ถูกออกแบบมาเพื่อชโมย mobile transaction authentication numbers (mTANs)(เลขรหัสยืนยันการทำธุรกรรมทางการเงินแบบออนไลน์) ที่ส่งจากทางธนาคารไปยังลูกค้าที่ทำธุรกรรมทางการเงินแบบออนไลน์ โดยส่งผ่านทาง SMS (Short Message Service) แอพพลิเคชั่นตัวนี้ได้ถูกตั้งชื่อว่า Carberp-in-the-Mobile (CitMo) และถูกสร้างโดยกลุ่มที่ใช้ชื่อว่า “Carberp” โดยมีเป้าหมายอยู่ที่เหยื่อที่อยู่ในรัสเซียและคนที่ใช้ภาษารัสเซีย มัลแวร์ตัวนี้มีหลักการทำงานคือ อันดับแรก เหยื่อจะถูกหลอกให้โหลดและติดตั้งแอพพลิเคชั่นตัวนี้ลงในเครื่องของเหยื่อ โดยการขึ้นข้อความหลอกบนเวบไซด์ของธนาคารเมื่อเหยื่อเข้าเวบไซด์ของธนาคารผ่านทางเครื่องคอมพิวเตอร์ที่ติดมัลแวร์ หลังจากเหยื่อติดตั้งแอพพลิเคชั่นเรียบร้อยแล้ว เมื่อเหยื่อทำธุรกรรมทางการเงินแบบออนไลน์ SMS ที่ถูกส่งจากธนาคารไปยังเครื่องของเหยื่อจะถูกแอพพลิเคชั่นนี้ซ่อนเอาไว้ และจะเอา SMS ที่ได้แอบส่งไปยังเซอเวอร์ของแฮกเกอร์ มัลแวร์ตัวนี้ได้ถูกขายอยู่ในตลาดมืดโดยมีราคาตั้งแต่ 5,000 ดอลล่าห์จนถึง 40,000 ดอลล่าห์โดยราคาที่ขายจะขึ้นอยู่กับเวอร์ชั่นและฟังก์ชั่นของมัลแวร์ตัวนั้น ทาง Google ได้ลบแอพพลิเคชั่นตัวนี้ออกจาก Google Play ไปตั้งแต่วันที่ 13/12/2012 นักวิเคราะห์ภัยคุกคามของ Bitdefender ที่ชื่อ Bogdan Botezatu ได้ออกมาให้ความเห็นว่า เป็นการยากที่ Google's Bouncer(โปรแกรมกรองแอพพลิเคชั่นที่เป็นอันตรายของทาง Google) จะตรวจเจอแอพพลิเคชั่นที่มีการฝัง Zeus-in-the-Mobile (ZitMo), SpyEye-in-the-Mobile (SpitMo) หรือ  CitMo เพราะว่าฟังก์ชั่นการทำงานบางอย่างของมัลแวร์เหล่านี้มีการทำงานที่คล้ายกับการทำงานของแอพพลิเคชั่นที่ถูกกฎหมายอย่างเช่น แอพพลิเคชั่น SMS management

ที่มา : pcworld

มีรายงานว่าตอนนี้มีแฮกเกอร์พยายามโจมตีเว็บไซต์ที่สร้างโดย Joomla และ WordPress โดยที่แฮกเกอร์จะฝั่ง iframe ลงในเว็บเหล่านี้และมันจะ redirect ผู้ใช้ให้เข้าไปยังเว็บไซต์ที่แฮกเกอร์ต้องการ
สำหรับ Joomla นั้นแฮกเกอร์จะใช้ช่องโหว่ของ JCE (Joomla content editor) ซึ่งเป็นปลั๊กอินที่ทำให้สร้างเว็บได้โดยไม่ต้องมีความรู้เรื่องโค๊ด HTML, XHTML หรือ CSS ก็สามารถสร้างเว็ปได้ โดยที่แฮกเกอร์จะสร้างสคริปต์ที่ฝังโค้ด php และแปลงมาเป็นไฟล์ GIF แล้วจึงส่งเข้ามาในเว็บ จากนั้นแฮกเกอร์สามารถเรียก php shell ดังกล่าวนั้นให้ทำงานขึ้นมา ก็จะสร้าง iframe ฝั่งลงไปในไฟล์ Javascript

วิธีการแก้ไขสำหรับ Web Admin ที่ใช้ Joomla นั้นควรตรวจสอบว่ามีการติดตั้ง JCE (Joomla content editor) เอาไว้หรือไม่ ถ้ามีควรถอนออกหรืออัพเดทเป็นเวอร์ชั่นล่าสุด คือ JCE 2.3.1 และควรตรวจสอบอีกว่าใน JCE เวอร์ชั่นเก่านั้นมี iframe ที่แปลกปลอมเข้ามาด้วยหรือไม่
ส่วนทาง WordPress นั้นยังไม่เป็นที่แน่ชัดว่าแฮกเกอร์ใช้วิธีอะไร แต่พบว่ามีการใช้วิธี brute force มาจาก IP สอง IP เพื่อที่จะเข้าถึงสิทธิ์ admin ของเว็บที่เป็น WordPress

ที่มา : securityweek

แฮกเกอร์ที่เรียกตัวเองว่า “Darwinare” ได้แฮกข้อมูลจากเซิฟเวอร์ของ University of New South Wales (UNSW) โดยเป็นข้อมูลของนักเรียนที่ยื่นสมัครกับ The Australian Defence Force Academy (ADFA) และ University of New South Wales (UNSW) ซึ่งเป็นมหาลัยที่นักเรียนนายร้อยจะมาเรียนวิชาสามัญกับทางมหาลัยด้วย ประกอบด้วย ชื่อ นามสกุล ที่อยู่ (ข้อมูลส่วนตัว) รวมไปถึงข้อมูลของพนักงานของมหาวิทยาลัยอีกด้วย ยิ่งไปกว่านั้นแฮกเกอร์ยังพบข้อมูล Username และรหัสผ่านเครื่องคอมพิวเตอร์ในมหาลัยซึ่งเป็นเก็บไว้เป็น Plain-text แฮกเกอร์บอกว่ารหัสผ่านเหล่านี้มี Algorithm ในการสร้างที่ล้าสมัยเทียบเท่ากับยุค 70 เนื่องจากมีแค่ตัวอักษร 8 ตัวเท่านั้น และเป็นเพียงอักษรตัวเล็กอีกด้วย มีรูปแบบที่นำคำที่สุ่มมาผสมกับคำหลังว่า –poo ตามรูปภาพประกอบ ซึ่งแฮกเกอร์ได้นำข้อมูลทั้งหมดไปโพสไว้ในเวปแห่งนึงไม่ได้บอกชื่อไว้

ที่มา : nakedsecurity

Hacker ชาว อียิปต์ ชื่อว่า “ViruS_HimA” ได้ออกมาเปิดเผยว่า ตนเองได้ค้นพบช่องโหว่ที่ร้ายแรงบน Yahoo server ที่ทำให้สามารถเข้าถึงไฟล์ได้ทั้งหมดในหนึ่งของ โดเมนของ Yahoo และยังสามารถเข้าถึง 12 ฐานข้อมูล ของ Yahoo ได้อีกด้วย โดยนำ screenshots บางส่วนที่แสดงให้เห็นถึงไฟล์ที่ได้มาจากเว็บเซิร์ฟเวอร์ไปโพสไว้บน Pastebin (http://pastebin.

จากบล็อคของ Seculert ได้ระบุว่ามีการค้นพบมัลแวร์ตัวใหม่ที่ชื่อ Dexter โดยมัลแวร์ตัวนี้ได้มีการแพร่กระจายอยู่ในระบบ Point-of-sale (POS) ซึ่งเป็นระบบซื้อขายสินค้าโดยการแสกนบาร์โค้ดสินค้า มัลแวร์ตัวนี้ได้มีการแพร่กระจายอยู่ในระบบ POS มากกว่า 40 ประเทศโดยบริษัทที่เป็นเป้าหมายจะเป็น บริษัทค้าปลีก, โรงแรม, ร้านอาหาร และ ผู้ให้บริการลานจอดรถ ประเทศที่มีอัตราการแพร่สูงสุด 3 อันดับแรกได้แก่ 1. ประเทศสหรัฐอเมริกา คิดเป็น 30 เปอร์เซ็นต์ 2. ประเทศอังกฤษ คิดเป็น 19 เปอร์เซ็นต์ และ 3. ประเทศแคนาดา คิดเป็น 9 เปอร์เซ็นต์ นี่ไม่ใช่ครั้งแรกที่มีการโจมตีระบบ POS โดยก่อนหน้านี้ก็มีมัลแวร์ที่ชื่อ cybercrooks ได้เล่นงานระบบ POS เช่นกัน  มัลแวร์ Dexter มีการทำงานต่างจากมัลแวร์ cybercrooks ตรงที่มัลแวร์ cybercrooks จะใช้ช่องโหว่ Remote Desktop exploits เข้ามาที่เครื่องเป้าหมายเพื่อจับรูปภาพหน้าจอของเครื่อง POS ที่มีข้อมูลบัตรเครดิต แต่มัลแวร์ Dexter จะส่งรายการ active processes ของเครื่องเป้าหมายไปที่ Command and Control (C&C) Server ถ้าเซอเวอร์ดูรายการ active processes ของเครื่องเป้าหมายแล้วเจอ Process ที่เป็นของโปรแกรม POS ที่เซอเวอร์รู้จัก เซอเวอร์จะสั่งให้มัลแวร์ Dexter ก็อปปี้ข้อมูลความจำของ Process นั้นซึ่งจะมีข้อมูลของบัตรเครดิตด้วย หลังจากก็อปปี้แล้วก็จะส่งข้อมูลเหล่านั้นไปยัง C&C Server ตอนนี้ยังไม่รู้ว่ามัลแวร์ Dexter ใช้วิธีการไหนในการแพร่กระจายไปยังเครื่องที่ลงระบบ POS เอาไว้ ในเดือนพฤศจิกายนที่ผ่านมาได้มีแฮกเกอร์ชาวโรมาเนียถูกจับและตั้งข้อหาเนื่องจากพวกเขาได้แฮกเข้าไปในระบบ POS ของร้าน Subway sandwich จำนวน 150 ร้านในสหรัฐอเมริกาซึ่งจากการแฮกครั้งนี้ทำให้พวกเขาได้เงินไปถึง 10 ล้านดอลล่าห์ในระยะเวลา 2 ปีที่พวกเขาทำการแฮก

ที่มา : theregister

TrendMicro ได้ค้นพบ Reveton Ransomware(มัลแวร์ที่จะล็อคเครื่องของเหยื่อให้ใช้งานไม่ได้และจะหลอกให้เหยื่อจ่ายเงินถ้าต้องการปลดล็อคเครื่อง) เวอร์ชั่นใหม่โดย Ransomware เวอร์ชั่นใหม่นี้จะเพิ่มคลิปเสียงเข้ามาเพื่อหลอกล่อให้เหยื่อจ่ายเงินและเสียงที่พูดจะแตกต่างไปตามประเทศที่เครื่องของเหยื่อตั้งค่าไว้ ซึ่งจะต่างกับเวอร์ชั่นก่อนหน้านี้ที่แค่โหลดไฟล์ .WAVE ลงมาที่เครื่องของเหยื่อเท่านั้น

ที่มา : ehackingnews

จากการวิเคราะห์บอทเนทที่ชื่อว่า Skynet ของนักวิจัยของ Rapid7 ได้อธิบายว่าบอทเนทตัวนี้มีการติดต่อระหว่างเครื่อง Command and Control Server กับเครื่อง Zombie(เหยื่อ) ผ่านทาง Tor Network มัลแวร์ Skynet มีขนาดประมาณ 15 MB, มีโปรแกรมแอนตี้ไวรัสเพียงแค่ 7 โปรแกรมจาก 42 โปรแกรมเท่านั้นที่สามารถตรวจจับได้ มัลแวร์ Skynet จะประกอบไปด้วย 1.โปรแกรมบอทเนท Zeus ที่ได้รับการปรับแต่งมา 2. Tor client สำหรับวินโดว์ 3. โปรแกรม CGMiner Bitcoin mining สำหรับการทำ Bitcoins mining 4. ไฟล์ OpenCL.dll ซึ่งถูกใช้โดย CGMiner โดยใช้สำหรับการคำนวณหาค่า Hash เมื่อมัลแวร์ถูกรันขึ้นมามันจะก็อปปี้ตัวเองไปวางไว้ในพาธ AppData แบบสุ่มโดยจะทำเสมือนตัวเองเป็น Internet Explorer หรือเป็น svchost.

จากการวิเคราะห์บอทเนทที่ชื่อว่า Skynet ของนักวิจัยของ Rapid7 ได้อธิบายว่าบอทเนทตัวนี้มีการติดต่อระหว่างเครื่อง Command and Control Server กับเครื่อง Zombie(เหยื่อ) ผ่านทาง Tor Network มัลแวร์ Skynet มีขนาดประมาณ 15 MB, มีโปรแกรมแอนตี้ไวรัสเพียงแค่ 7 โปรแกรมจาก 42 โปรแกรมเท่านั้นที่สามารถตรวจจับได้ มัลแวร์ Skynet จะประกอบไปด้วย 1.โปรแกรมบอทเนท Zeus ที่ได้รับการปรับแต่งมา 2. Tor client สำหรับวินโดว์ 3. โปรแกรม CGMiner Bitcoin mining สำหรับการทำ Bitcoins mining 4. ไฟล์ OpenCL.dll ซึ่งถูกใช้โดย CGMiner โดยใช้สำหรับการคำนวณหาค่า Hash เมื่อมัลแวร์ถูกรันขึ้นมามันจะก็อปปี้ตัวเองไปวางไว้ในพาธ AppData แบบสุ่มโดยจะทำเสมือนตัวเองเป็น Internet Explorer หรือเป็น svchost.

Rootkit ที่ชื่อว่า “Necurs” ซึ่งในเดือนพฤศจิกายนที่ผ่านมา พบว่ามีเครื่องคอมพิวเตอร์กว่า 83,427 เครื่องติด Rootkit ตัวนี้ โดย Rootkit ตัวนี้สามารถทำงานได้ทั้งใน Windows แบบ 32 บิทและ 64 บิท แพร่กระจายผ่านทางเว็ปไซต์ที่มีการฝัง Blackhole exploit kit เอาไว้ โดยเจ้าของ Rootkit ดังกล่าวสามารถเข้าไปยังเครื่องของเหยื่อเพื่อตรวจดูกิจกรรมต่างๆของเหยื่อ, ส่งสแปมเมล์หรือติดตั้ง scareware (มัลแวร์ประเภทที่ข่มขู่เหยื่อให้จ่ายค่าปรับหรือให้โอนเงินเพื่อเหตุผลอย่างใดอย่างหนึ่งเพื่อแก้ไขสิ่งผิดปกติที่มัลแวร์แจ้งให้เหยื่อทราบ) นอกจากนี้ Rootkit ตัวนี้ยังสามารถหยุดการทำงานของโปรแกรมด้านความปลอดภัยบนเครื่องของเหยื่อได้อีกด้วย Rootkit ดังกล่าวถูกตั้งชื่อว่า “Trojan:Win32/Necurs” และมันจะดาวน์โหลดตัวมันเองไปเก็บไว้ในโฟลเดอร์ "%windir%Installer" ของเครื่องเหยื่อ และยังพบอีกว่ามัลแวร์บางตัวในตระกูลนี้สามารถฝังโค้ดของมันลงไปทุกๆ Process ที่ทำงานอยู่ หรือที่รู้จักกันในชื่อ “dead byte” ส่งผลให้เครื่องของเหยื่อต้อง Restart ตัวเอง และยังมีฟีเจอร์ที่ป้องกันตัวเองเพื่อไม่ให้ถูกลบออกจากเครื่องเหยื่อ โดยมี Necurs Driver ที่ป้องกันการกระทำใดๆบนเครื่องเหยื่อที่พยายามกำจัดองค์ประกอบของ Rootkit ตัวนี้

ที่มา : thehackernews

บริษัทผลิตน้ำมันรายใหญ่ที่สุดของประเทศซาอุดิอาระเบีย “Aramco” ออกมาเปิดเผยว่ากรณีที่เกิดการโจมตี Cyber Attack ในเดือนสิงหาคมที่ผ่านมา ซึ่งส่งให้เครื่องคอมพิวเตอร์กว่า 30,000 เครื่อง ติดไวรัสเพื่อเป้าหมายของแฮกเกอร์ท่ต้องการหยุดการผลิตน้ำมันและก๊าซของบริษัทที่ส่งออกน้ำมันรายใหญ่นี่เอง

โดยการโจมตีดังกล่าวทำโดยกลุ่มแฮกเกอร์จากหลายๆประเทศเท่านั้น โดยมีชื่อกลุ่มว่า “Cutting Sword of Justice” ที่ออกมาอ้างความรับผิดชอบ ไม่เกี่ยวกับพนักงานหรือผู้รับจ้างของ Aramco เป้าหมายของการโจมตีดังกล่าวคือต้องการจะหยุดการส่งออกน้ำมันของบริษัทไปสู่ตลาดทั้งภายในและภายนอกประเทศ ซึ่งไม่สำเร็จ จากคำกล่าวของรองประธานบริษัท Aramco

รายละเอียดของการโจมตีดังกล่าวใช้คอมพิวเตอร์ไวรัสที่รู้จักกันในชื่อ Shamoon ซึ่งแพร่กระจายไปยังคอมพิวเตอร์ในเครื่อข่ายของ Aramco และลบข้อมูลจากฮาร์ดไดร์ฟของคอมพิวเตอร์เหล่านั้น แต่จากเหตุการณ์นี้มีผลกระทบเพียงคอมพิวเตอร์ของออฟฟิตเท่านั้น ไม่ได้มีผลกระทบกับระบบที่ส่งผลต่อการดำเนินงาน

ที่มา : thehackernews