เมื่อวันพฤหัสบดีที่ผ่านมา CISA ได้แจ้งเตือนหน่วยงานรัฐบาลสหรัฐฯ ให้รักษาความปลอดภัยระบบของตนจากการโจมตีที่ใช้ประโยชน์จากช่องโหว่ระดับความรุนแรงสูงในซอฟต์แวร์ VMware Aria Operations และ VMware Tools ของ Broadcom

ช่องโหว่นี้มีหมายเลข CVE-2025-41244 และเพิ่งได้รับการอัปเดตแพตช์เมื่อหนึ่งเดือนที่แล้ว โดยทำให้ผู้โจมตีในระดับ local ที่มีสิทธิ์ระดับทั่วไป สามารถเข้าถึงเครื่อง virtual machine (VM) ที่มี VMware Tools และบริหารจัดการโดย Aria Operations พร้อมเปิดใช้งาน SDMP ให้สามารถยกระดับสิทธิ์ของตนเองเป็น root บน VM เครื่องนั้นได้

CISA ได้เพิ่มช่องโหว่นี้เข้าไปในบัญชี Known Exploited Vulnerabilities ซึ่งเป็นรายการช่องโหว่ด้านความปลอดภัยที่หน่วยงานฯ ระบุว่ากำลังถูกใช้ในการโจมตีจริง หน่วยงานฝ่ายบริหารพลเรือนของรัฐบาลกลาง (FCEB) มีเวลาสามสัปดาห์ หรือจนถึงวันที่ 20 พฤศจิกายน ในการอัปเดตแพตช์ระบบของตนเพื่อป้องกันการโจมตีที่กำลังดำเนินอยู่ ตามที่กำหนดไว้ในคำสั่งปฏิบัติการที่มีผลผูกพัน (BOD) 22-01 ซึ่งออกเมื่อเดือนพฤศจิกายน 2021

แม้ว่าคำสั่ง BOD 22-01 จะมีผลบังคับใช้เฉพาะกับหน่วยงานรัฐบาลกลาง แต่ CISA ก็ได้เตือนให้ทุกองค์กรจัดลำดับความสำคัญในการแพตช์ช่องโหว่นี้โดยเร็วที่สุด

CISA เตือนว่า "ช่องโหว่ประเภทนี้มักถูกใช้เป็นช่องทางการโจมตีของผู้ไม่หวังดี และก่อให้เกิดความเสี่ยงอย่างมากต่อหน่วยงานรัฐบาลกลาง" "ขอให้ใช้มาตรการลดผลกระทบ ตามคำแนะนำของผู้ผลิต ปฏิบัติตามคำแนะนำ BOD 22-01 ที่เกี่ยวข้องสำหรับบริการคลาวด์ หรือยุติการใช้งานผลิตภัณฑ์หากไม่มีมาตรการลดผลกระทบ"

ถูกนำไปใช้ในการโจมตีตั้งแต่เดือนตุลาคมที่ผ่านมา

Broadcom พบว่า CVE-2025-41244 ถูกใช้ประโยชน์ในการโจมตีจริงแล้วในวันนี้ ซึ่งเป็นเวลาหนึ่งเดือนหลังจากที่ Maxime Thiebaut จาก NVISO บริษัทความปลอดภัยทางไซเบอร์ของยุโรป รายงานว่า UNC5174 ซึ่งเป็นกลุ่มภัยคุกคามที่ได้รับการสนับสนุนจากรัฐบาลจีน ได้ใช้ประโยชน์จากช่องโหว่นี้ในการโจมตีมาตั้งแต่กลางเดือนตุลาคม 2024

ในขณะนั้น Thiebaut ยังได้เผยแพร่ PoC code ซึ่งแสดงให้เห็นว่า CVE-2025-41244 สามารถถูกใช้ในการโจมตีเพื่อยกระดับสิทธิ์บนระบบที่ใช้ VMware Aria Operations (ใน credential-based mode) และ VMware Tools (ใน credential-less mode) ที่มีช่องโหว่ได้อย่างไร ซึ่งท้ายที่สุดทำให้ผู้โจมตีสามารถสั่งรันโค้ดในระดับ root บน VM ได้

นักวิเคราะห์ความปลอดภัยของ Google Mandiant ซึ่งระบุว่า UNC5174 ได้รับการสนับสนุนจากกระทรวงความมั่นคงแห่งรัฐ (MSS) ของจีน สังเกตเห็นกลุ่มผู้โจมตีนี้ขายสิทธิ์การเข้าถึงเครือข่ายของผู้รับเหมาด้านกลาโหมของสหรัฐฯ หน่วยงานรัฐบาลของสหราชอาณาจักร และสถาบันต่าง ๆ ในเอเชีย ในช่วงปลายปี 2023 หลังจากการโจมตีที่ใช้ประโยชน์จากช่องโหว่ F5 BIG-IP remote code execution (CVE-2023-46747)

ในเดือนกุมภาพันธ์ 2024 UNC5174 ยังได้ใช้ประโยชน์จากช่องโหว่ ConnectWise ScreenConnect (CVE-2024-1709) เพื่อเจาะระบบสถาบันหลายร้อยแห่งในสหรัฐฯ และแคนาดา และในเดือนพฤษภาคม ก็มีความเชื่อมโยงกับการโจมตีที่ใช้ช่องโหว่ NetWeaver สำหรับการอัปโหลดไฟล์โดยไม่ผ่านการยืนยันตัวตน (CVE-2025-31324) ซึ่งช่วยให้ผู้โจมตีสามารถสั่งรันโค้ดจากระยะไกลบนเซิร์ฟเวอร์ NetWeaver Visual Composer ที่ยังไม่ได้อัปเดตแพตช์

ตั้งแต่ต้นปีที่ผ่านมา Broadcom ได้แก้ไขช่องโหว่ zero-day ของ VMware อื่น ๆ ที่ถูกโจมตีอย่างต่อเนื่อง อีก 3 รายการ (CVE-2025-22224, CVE-2025-22225 และ CVE-2025-22226) ที่ถูกรายงานโดย Microsoft Threat Intelligence Center และได้ออกแพตช์ความปลอดภัยเพื่อแก้ไขช่องโหว่ระดับความรุนแรงสูงของ VMware NSX อีก 2 รายการ (CVE-2025-41251 และ CVE-2025-41252) ที่รายงานโดยสำนักงานความมั่นคงแห่งชาติของสหรัฐฯ (NSA)

 

ที่มา : bleepingcomputer.

แฮ็กเกอร์กำลังใช้ LinkedIn เพื่อมุ่งเป้าโจมตีผู้บริหารทางด้านการเงิน ด้วยการโจมตีแบบฟิชชิงผ่าน direct-message โดยปลอมแปลงเป็นคำเชิญให้เข้าร่วมคณะกรรมการบริหาร โดยมีเป้าหมายเพื่อขโมยข้อมูล credentials ของ Microsoft

แคมเปญนี้ถูกตรวจพบโดย Push Security ซึ่งระบุว่าเมื่อเร็ว ๆ นี้ บริษัทได้บล็อกหนึ่งในการโจมตีแบบฟิชชิงเหล่านี้ซึ่งเริ่มต้นจากข้อความ LinkedIn ที่มีลิงก์อันตราย

BleepingComputer ได้รับข้อมูลว่า ข้อความฟิชชิงเหล่านี้อ้างว่าเป็นคำเชิญให้ผู้บริหารเข้าร่วมคณะกรรมการบริหารของกองทุนรวม 'Common Wealth' ที่จัดตั้งขึ้นใหม่

ข้อความฟิชชิงบน LinkedIn ระบุว่า "ผมรู้สึกตื่นเต้นที่จะมอบคำเชิญสุดพิเศษให้คุณเข้าร่วมเป็นคณะกรรมการบริหารของกองทุนรวม Common Wealth ในอเมริกาใต้ โดยร่วมมือกับ AMCO สาขาการจัดการสินทรัพย์ของเรา ซึ่งเป็นกองทุนร่วมลงทุนใหม่ที่โดดเด่น ซึ่งกำลังเปิดตัวกองทุนเพื่อการลงทุนในอเมริกาใต้"

ข้อความฟิชชิงเหล่านี้จะจบลงด้วยการบอกให้ผู้รับคลิกลิงก์เพื่อเรียนรู้เพิ่มเติมเกี่ยวกับโอกาสดังกล่าว

อย่างไรก็ตาม Push Security ระบุว่า เมื่อผู้รับคลิกลิงก์ พวกเขาจะถูกเปลี่ยนเส้นทางหลายขั้นตอน การเปลี่ยนเส้นทางครั้งแรกจะผ่าน Google open redirect ซึ่งจะนำไปสู่เว็บไซต์ที่ผู้โจมตีควบคุม จากนั้นจะเปลี่ยนเส้นทางไปยังหน้า landing page ที่สร้างขึ้นเองซึ่งโฮสต์อยู่บน firebasestorage.

สำนักงานความมั่นคงปลอดภัยทางไซเบอร์ และโครงสร้างพื้นฐาน (CISA) และสำนักงานความมั่นคงแห่งชาติ (NSA) ได้เผยแพร่คำแนะนำเพื่อช่วยผู้ดูแลระบบในการยกระดับความปลอดภัยให้กับ Microsoft Exchange Server บนเครือข่ายของตนเพื่อป้องกันการโจมตี

แนวทางปฏิบัติที่แนะนำ ได้แก่ การยกระดับความปลอดภัยของการ authentication และการเข้าถึงของผู้ใช้, การลด surfaces การโจมตีของแอปพลิเคชัน และการสร้างความแข็งแกร่งของ network encryption

หน่วยงานทั้งสองยังแนะนำให้ผู้ดูแลระบบยุติการใช้งาน Exchange servers แบบ on-premises หรือแบบ hybrid ที่ end-of-life หลังจากเปลี่ยนไปใช้ Microsoft 365 แล้ว เนื่องจากการคง Exchange servers ตัวสุดท้ายไว้ในระบบโดยที่ไม่ได้อัปเดต อาจทำให้องค์กรตกเป็นเป้าของการโจมตี และเพิ่มความเสี่ยงต่อการละเมิดความปลอดภัยอย่างมีนัยสำคัญ

นอกจากนี้ แม้ว่าจะไม่ได้กล่าวถึงในคำแนะนำของ CISA และ NSA แต่การเฝ้าระวังกิจกรรมที่เป็นอันตราย หรือน่าสงสัย และการวางแผนรับมือเหตุการณ์ที่อาจเกิดขึ้น และการกู้คืนข้อมูล ก็มีความสำคัญอย่างยิ่งเช่นกัน ในการลดความเสี่ยงที่เกี่ยวข้องกับ Exchange servers ภายในองค์กร

หน่วยงานทั้งสองกล่าวสรุปในรายงาน โดยมีศูนย์ความมั่นคงปลอดภัยทางไซเบอร์แห่งออสเตรเลีย (ACSC) และศูนย์ความมั่นคงปลอดภัยทางไซเบอร์แห่งแคนาดา (Cyber Centre) เข้าร่วมด้วย โดยระบุว่า "ด้วยการจำกัดสิทธิ์การเข้าถึงระดับผู้ดูแลระบบ, การใช้การยืนยันตัวตนแบบหลายปัจจัย, การบังคับใช้การกำหนดค่าความปลอดภัยการรับส่งข้อมูลที่เข้มงวด และการนำหลักการความปลอดภัยแบบ Zero Trust (ZT) มาใช้ โดยองค์กรต่าง ๆ จะสามารถเสริมสร้างการป้องกันการโจมตีทางไซเบอร์ที่อาจเกิดขึ้นได้อย่างมาก"

"นอกจากนี้ เนื่องจาก Exchange Server บางเวอร์ชันเพิ่งสิ้นสุดอายุการใช้งาน (EOL) หน่วยงานฯ จึงขอแนะนำอย่างยิ่งให้องค์กรต่าง ๆ ดำเนินมาตรการเชิงรุกเพื่อลดความเสี่ยง และป้องกันกิจกรรมที่เป็นอันตราย"

CISA, NSA และพันธมิตร ได้แชร์คำแนะนำด้านความปลอดภัยที่สำคัญกว่า 10 ข้อ สำหรับผู้ดูแลระบบเครือข่าย ซึ่งรวมถึงการอัปเดตเซิร์ฟเวอร์ให้เป็นปัจจุบันอยู่เสมอ, การย้ายระบบจาก Exchange เวอร์ชันที่ไม่รองรับ, การเปิดใช้งานบริการบรรเทาผลกระทบฉุกเฉิน, การเปิดใช้งานฟีเจอร์ป้องกันสแปม และมัลแวร์ในตัว, การจำกัดสิทธิ์การเข้าถึงระดับผู้ดูแลระบบเฉพาะจากส่วนการทำงานที่ได้รับอนุญาต และการใช้มาตรฐานความปลอดภัยพื้นฐาน สำหรับทั้งระบบ Exchange Server และ Windows

หน่วยงานต่าง ๆ ยังแนะนำให้เสริมความแข็งแกร่งของการยืนยันตัวตนด้วยการเปิดใช้งาน MFA, Modern Auth, การใช้ประโยชน์จาก OAuth 2.0, การใช้ Kerberos และ SMB แทน NTLM เพื่อรักษาความปลอดภัยกระบวนการยืนยันตัวตน และการกำหนดค่า Transport Layer Security เพื่อปกป้องความสมบูรณ์ของข้อมูล และ Extended Protection เพื่อป้องกันการโจมตีแบบ Adversary-in-the-Middle (AitM), การโจมตีแบบ relay และ forwarding

องค์กรต่าง ๆ ควรเปิดใช้งาน certificate-based signing สำหรับ Exchange Management Shell และใช้ HTTP Strict Transport Security (HSTS) เพื่อให้มั่นใจว่าการเชื่อมต่อเบราว์เซอร์มีความปลอดภัย นอกจากนี้ องค์กรควรใช้ role-based access control เพื่อจัดการสิทธิ์ของผู้ใช้ และผู้ดูแลระบบ, กำหนดค่า Download Domains เพื่อบล็อกการโจมตีแบบ Cross-Site Request Forgery (CSRF) และเฝ้าระวังความพยายามในการแก้ไข P2 FROM header เพื่อป้องกันการ spoofing sender

คำแนะนำร่วมฉบับนี้ เป็นการต่อยอดจากคำสั่งฉุกเฉิน (ED 25-02) ที่ CISA ออกเมื่อเดือนสิงหาคม 2025 ซึ่งสั่งการให้หน่วยงานฝ่ายบริหารพลเรือนของรัฐบาลกลาง (FCEB) รักษาความปลอดภัยระบบของตนจากช่องโหว่ระดับความรุนแรงสูงของ Microsoft Exchange แบบ hybrid (CVE-2025-53786) ภายใน 4 วัน

ตามที่ Microsoft เตือนไว้ในขณะนั้น ช่องโหว่นี้ส่งผลกระทบต่อ Microsoft Exchange Server 2016, 2019 และ Subscription Edition โดยเปิดช่องให้ผู้โจมตีที่สามารถเข้าถึงสิทธิ์ผู้ดูแลระบบของ Exchange Server แบบ on-premises สามารถโจมตีต่อไปยังระบบ Cloud ของ Microsoft ได้ ซึ่งอาจนำไปสู่การโจมตีโดเมนทั้งหมด

เพียงไม่กี่วันหลังจากที่ CISA สั่งการให้หน่วยงานรัฐบาลกลางอัปเดตแพตช์เซิร์ฟเวอร์ของตน Shadowserver ซึ่งเป็นองค์กรเฝ้าระวังทางอินเทอร์เน็ต พบว่ายังมีเซิร์ฟเวอร์ Exchange กว่า 29,000 เครื่อง ที่ยังคงเสี่ยงต่อการถูกโจมตีผ่านช่องโหว่ CVE-2025-53786

ในช่วงไม่กี่ปีที่ผ่านมา กลุ่มแฮ็กเกอร์ที่ได้รับการสนับสนุนจากรัฐบาล และกลุ่มที่มีแรงจูงใจทางด้านการเงิน ได้ใช้ประโยชน์จากช่องโหว่ความปลอดภัยของ Exchange หลายรายการเพื่อเจาะระบบเซิร์ฟเวอร์ รวมถึงช่องโหว่แบบ zero-day อย่าง ProxyShell และ ProxyLogon ตัวอย่างเช่น ในเดือนมีนาคม 2021 มีกลุ่มแฮ็กเกอร์อย่างน้อย 10 กลุ่มที่ใช้ประโยชน์จากช่องโหว่ ProxyLogon ซึ่งรวมถึงกลุ่ม Silk Typhoon ซึ่งได้รับการสนับสนุนจากรัฐบาลจีน

ที่มา : bleepingcomputer

WhatsApp เปิดตัวการสำรองข้อมูลแบบ passkey-encrypted สำหรับอุปกรณ์ iOS และ Android ซึ่งช่วยให้ผู้ใช้งานสามารถเข้ารหัสประวัติการแชทของตนโดยใช้ลายนิ้วมือ, สแกนใบหน้า หรือรหัสล็อกหน้าจอ

Passkeys เป็นวิธีการยืนยันตัวตนแบบไม่ต้องใช้รหัส ช่วยให้ผู้ใช้งาน sign in เข้าใช้โดยใช้ข้อมูลไบโอเมตริก (เช่น การจดจำใบหน้า หรือลายนิ้วมือ), PIN หรือรูปแบบความปลอดภัย แทนรหัสผ่านแบบเดิม โดยช่วยให้สามารถล็อกอินเข้าสู่เว็บไซต์ บริการออนไลน์ หรือแอปต่าง ๆ ได้โดยไม่จำเป็นต้องจำรหัสผ่านที่ซับซ้อน หรือใช้โปรแกรมจัดการรหัสผ่าน

เมื่อสร้าง Passkeys อุปกรณ์ของผู้ใช้งานจะสร้าง cryptographic key pair ที่ไม่ซ้ำกัน ซึ่งประกอบด้วย private key ที่จัดเก็บไว้ในอุปกรณ์ และ public key ที่ส่งไปยังเว็บไซต์ หรือแอปฯ ด้วยเหตุนี้ Passkeys จึงให้ความปลอดภัยที่สูงกว่าการยืนยันตัวตนแบบทั่วไปอย่างมาก เนื่องจากไม่สามารถถูกขโมยจากเหตุการณ์ข้อมูลรั่วไหลได้ เพราะ private key จะไม่หลุดออกจากอุปกรณ์ของผู้ใช้งานเลย

WhatsApp ระบุว่า "Passkeys จะช่วยให้ผู้ใช้งานใช้ลายนิ้วมือ, สแกนใบหน้า หรือรหัสล็อกหน้าจอเพื่อ encrypt การสำรองข้อมูลแชทแทนที่จะต้องจดจำรหัสผ่าน หรือ 64-digit encryption key ที่ยุ่งยาก"

"ตอนนี้ เพียงแค่แตะ หรือสแกนหน้า ความปลอดภัยแบบเดียวกับที่ปกป้องแชทส่วนตัว และการโทรของผู้ใช้งานบน WhatsApp ก็จะถูกนำไปใช้กับการสำรองข้อมูลแชท เพื่อให้ข้อมูลเหล่านั้นปลอดภัย เข้าถึงได้ และเป็นส่วนตัวอยู่เสมอ"

ในการเริ่มต้น ให้เปิดใช้งานฟีเจอร์ความปลอดภัยนี้โดยไปที่ การตั้งค่า WhatsApp จากนั้นเลือก Chats > Chat backup  > End-to-end encrypted backup

Meta ได้เริ่มทยอยเปิดตัวฟีเจอร์นี้ทั่วโลก โดยคาดว่าจะทยอยเปิดตัวให้ผู้ใช้ทุกคนได้ใช้งานในอีกไม่กี่สัปดาห์ และเดือนข้างหน้า

WhatsApp ได้เปิดตัวการสำรองข้อมูล end-to-end encrypted (E2EE) บน iOS และ Android เมื่อ 4 ปีก่อนในเดือนตุลาคม 2021 ซึ่งช่วยให้ผู้ใช้ iOS สามารถจัดเก็บข้อมูลสำรองไว้บน iCloud และผู้ใช้ Android สามารถจัดเก็บไว้บน Google Drive ได้

เมื่อเปิดใช้งานแล้ว การสำรองข้อมูลแชท E2EE จะช่วยให้ผู้ใช้ WhatsApp สามารถกู้คืนข้อความบนอุปกรณ์ใดก็ได้ หากมีรหัสผ่าน หรือ Passkeys ที่ใช้ในการ encrypt ข้อมูล

เมื่อหนึ่งปีที่แล้ว WhatsApp ยังได้เริ่ม encrypt ฐานข้อมูลผู้ติดต่อเพื่อการซิงโครไนซ์ที่รักษาความเป็นส่วนตัว เมื่อสัปดาห์ที่แล้ว ก็ได้เพิ่มเครื่องมือใหม่เพื่อช่วยผู้ใช้ป้องกันตนเองจากการหลอกลวงที่อาจเกิดขึ้น

ที่มา : bleepingcomputer

พบกลุ่ม Qilin Ransomware ได้ใช้ Linux encryptors ใน Windows โดยใช้ Windows Subsystem for Linux (WSL) เพื่อหลบเลี่ยงการตรวจจับจากเครื่องมือรักษาความปลอดภัยแบบเดิม

(more…)

ศูนย์ความมั่นคงทางไซเบอร์ของแคนาดา (CCCS) ได้ออกคำเตือนเมื่อวันที่ 29 ตุลาคม เกี่ยวกับการแทรกซึมระบบโครงสร้างพื้นฐานที่สำคัญของประเทศหลายครั้งโดยกลุ่ม Hacktivists การกระทำดังกล่าวทำให้กลุ่ม Hacktivists สามารถ modify industrial controls ซึ่งอาจนำไปสู่สถานการณ์ที่เป็นอันตรายได้

(more…)

ปลั๊กอิน Anti-Malware Security และ Brute-Force Firewall ของ WordPress ที่มีผู้ติดตั้งกว่า 100,000 เว็บไซต์ มีช่องโหว่ที่ทำให้สมาชิก (subscribers) สามารถอ่านไฟล์ใดบนเซิร์ฟเวอร์ได้ตามต้องการ ซึ่งอาจทำให้ข้อมูลส่วนตัวรั่วไหลได้

(more…)

X ออกประกาศเตือนให้ผู้ใช้ทำการลงทะเบียน security keys หรือ passkeys สำหรับ two-factor authentication (2FA) ใหม่อีกครั้งก่อนวันที่ 10 พฤศจิกายน มิเช่นนั้นผู้ใช้อาจถูกล็อกไม่ให้เข้าถึงบัญชีของตนจนกว่าจะดำเนินการลงทะเบียนใหม่

ในบนแพลตฟอร์ม X บริษัทระบุว่า การเปลี่ยนแปลงนี้จะมีผลเฉพาะกับผู้ใช้ที่ใช้ หรือ hardware-based security keys เช่น YubiKey เท่านั้น

ทั้งสองวิธีการยืนยันตัวตนนี้ จะมีการป้องกันที่แข็งแกร่งต่อการโจมตีแบบฟิชชิง โดยใช้ cryptographic keys ที่ถูกจัดเก็บไว้อย่างปลอดภัยภายในอุปกรณ์ หรือระบบปฏิบัติการในการตรวจสอบตัวตนของผู้ใช้ แทนที่จะพึ่งพาข้อมูล credentials แบบเดิมซึ่งเสี่ยงต่อการถูกขโมยจากมัลแวร์ หรือการโจมตีแบบฟิชชิง

บัญชีทางการด้านความปลอดภัย (Safety) ของ X โพสต์เมื่อสัปดาห์ที่แล้วว่า ภายในวันที่ 10 พฤศจิกายนนี้ บัญชีผู้ใช้ทั้งหมดที่ใช้ security keys เป็นวิธีการยืนยันตัวตนแบบ two-factor authentication (2FA) จะต้องทำการลงทะเบียน keys ของตนใหม่ เพื่อให้สามารถเข้าถึง X ได้ตามปกติ

ผู้ใช้มีทางเลือกลงทะเบียน security keys ใหม่ได้สองวิธีคือ ลงทะเบียน security keys ที่มีอยู่แล้วซ้ำ หรือเพิ่ม security keys ใหม่ อย่างไรก็ตาม หากเลือกเพิ่ม security keys ใหม่ keys เก่าทั้งหมดจะไม่สามารถใช้งานได้อีกต่อไปจนกว่าจะลงทะเบียนซ้ำ

หลังวันที่ 10 พฤศจิกายน บัญชีที่ไม่ได้ลงทะเบียน security keys ใหม่จะถูกล็อก การเข้าถึงบัญชีจะกลับมาเป็นปกติเมื่อผู้ใช้ลงทะเบียน security keys ใหม่ ใช้วิธี 2FA แบบอื่น หรือปิดใช้งาน 2FA ทั้งนี้ X ยังคงแนะนำให้เปิดใช้งาน 2FA เพื่อความปลอดภัยสูงสุดของบัญชี

ทั้งนี้ X ชี้แจงว่าการเปลี่ยนแปลงดังกล่าวไม่ได้เกิดจากเหตุการณ์ด้านความปลอดภัย แต่เป็นผลจากการย้ายระบบจากโดเมน twitter.

ช่องโหว่ระดับ Critical ใน ChatGPT Atlas Browser ที่ OpenAI เพิ่งเปิดตัวใหม่ ทำให้ผู้โจมตีสามารถ inject คำสั่งที่เป็นอันตรายเข้าไปในหน่วยความจำของ ChatGPT และรันโค้ดจากระยะไกลบนระบบของผู้ใช้ได้

ช่องโหว่นี้ถูกค้นพบโดย LayerX โดยใช้ประโยชน์จากการโจมตีแบบ Cross-Site Request Forgery (CSRF) เพื่อเข้ายึดเซสชันที่ผ่านการ authentication ซึ่งอาจทำให้อุปกรณ์ติดมัลแวร์ หรือให้สิทธิ์การเข้าถึงโดยไม่ได้รับอนุญาต การค้นพบนี้แสดงให้เห็นถึงความเสี่ยงที่เพิ่มสูงขึ้นใน Agentic AI browsers ซึ่ง integrated LLMs เข้าไปด้วยนั้น ยิ่งขยายผลการโจมตีทางเว็บไซต์แบบดั้งเดิมให้รุนแรงขึ้น

ช่องโหว่ถูกรายงานไปยัง OpenAI ภายใต้โปรโตคอลการเปิดเผยข้อมูลอย่างรับผิดชอบ โดยช่องโหว่นี้จะส่งผลกระทบต่อผู้ใช้ ChatGPT ในทุกเบราว์เซอร์ แต่ก่อให้เกิดอันตรายร้ายแรงกว่าสำหรับผู้ที่ใช้ Atlas เนื่องจากระบบ always-on authentication และการป้องกันฟิชชิงที่แย่กว่า

การทดสอบของ LayerX แสดงให้เห็นว่า Atlas สามารถบล็อกความพยายามทำฟิชชิงได้เพียง 5.8% เท่านั้น เมื่อเทียบกับ Chrome และ Edge ที่บล็อกได้ 47-53% ซึ่งทำให้ผู้ใช้มีความเสี่ยงเพิ่มขึ้นถึง 90% แม้ว่า OpenAI จะยังไม่ได้เปิดเผยรายละเอียดแพตช์ต่อสาธารณะ แต่ผู้เชี่ยวชาญเรียกร้องให้มีมาตรการลดผลกระทบทันที เช่น การปรับปรุงการตรวจสอบ Token

วิธีการใช้ช่องโหว่ CSRF โจมตี ChatGPT Memory

การโจมตีเริ่มต้นขึ้นเมื่อผู้ใช้ล็อกอินเข้าสู่ ChatGPT ซึ่งมีการจัดเก็บคุกกี้ หรือ Token สำหรับการ authentication ไว้ในเบราว์เซอร์ ผู้โจมตีจะหลอกเหยื่อไปยังหน้าเว็บที่เป็นอันตรายผ่านลิงก์ฟิชชิง ซึ่งจะส่ง CSRF request โดยใช้ประโยชน์จากจากเซสชันที่ใช้อยู่

Request ที่ถูกปลอมแปลงนี้จะ injects คำสั่งที่ซ่อนอยู่เข้าไปในฟีเจอร์ “Memory” ของ ChatGPT ซึ่งออกแบบมาเพื่อรักษาการตั้งค่า และ context ในแต่ละเซสชัน โดยไม่จำเป็นต้องสั่งการซ้ำอย่างชัดเจน

ไม่เหมือนกับผลกระทบของ CSRF แบบทั่วไป เช่น unauthorized transactions โดยมุ่งเป้าไปที่ระบบ AI ด้วยการโจมตีไปยัง “หน่วยความจำถาวร” ของ LLM

เมื่อคำสั่งอันตรายถูก injects ลงไปแล้ว มันจะถูกสั่งให้ทำงานระหว่างการป้อนคำสั่งตามปกติ ทำให้ ChatGPT สร้างผลลัพธ์ที่เป็นอันตราย เช่น การเรียกใช้โค้ดจากเซิร์ฟเวอร์ที่ผู้โจมตีควบคุมอยู่ การโจมตีนี้จะยังคงดำเนินต่อไปในอุปกรณ์ หรือเบราว์เซอร์ใดก็ตามที่ผูกอยู่กับบัญชี ทำให้การตรวจจับ และการแก้ไขมีความซับซ้อนมากขึ้น

Diagram นี้แสดงให้เห็นถึงขั้นตอนการโจมตี ตั้งแต่การขโมยข้อมูล credential ไปจนถึงการแทรกคำสั่งเข้าสู่หน่วยความจำ และการสั่งรันโค้ดจากระยะไกล

การเข้าสู่ระบบ ChatGPT แบบเริ่มต้นของ Atlas ทำให้ข้อมูล credentials พร้อมใช้งานอยู่เสมอ ซึ่งช่วยให้การโจมตีแบบ CSRF ทำได้ง่ายขึ้น โดยไม่จำเป็นต้องทำฟิชชิงเพื่อขโมย Token เพิ่มเติม

LayerX ได้ประเมิน Atlas เทียบกับการโจมตีจริง 103 ครั้ง พบว่าประสบความสำเร็จ 94.2% ซึ่งแย่กว่าคู่แข่งอย่าง Comet ของ Perplexity อย่างมาก ที่สามารถสกัดกั้นการโจมตีได้ถึง 93% ในการทดสอบก่อนหน้านี้ สาเหตุนี้เกิดจากการขาดการป้องกันในตัว ทำให้เบราว์เซอร์กลายเป็นช่องทางหลักสำหรับภัยคุกคามเฉพาะด้าน AI เช่น prompt injection

งานวิจัยในวงกว้างก็สะท้อนข้อกังวลเหล่านี้เช่นกัน การวิเคราะห์เบราว์เซอร์ AI ของ Brave ซึ่งรวมถึง Atlas ได้เปิดเผยถึงการโจมตีแบบ indirect prompt injection ที่แทรกคำสั่งไว้ในหน้าเว็บเพจ หรือภาพหน้าจอ ซึ่งนำไปสู่การขโมยข้อมูล หรือการดำเนินการที่ไม่ได้รับอนุญาต

ฟีเจอร์ที่ทำงานแบบ Agentic ของ OpenAI ซึ่งช่วยให้สามารถทำงานได้อย่างอิสระ ทำให้ความเสี่ยงรุนแรงขึ้น ด้วยการมอบอำนาจการตัดสินใจให้แก่ AI เหนือข้อมูล และระบบของผู้ใช้

Proof-of-Concept : ‘Vibe Coding’ ที่เป็นอันตราย

ในสถานการณ์จำลองการโจมตี ผู้โจมตีมุ่งเป้าไปที่ “vibe coding” ซึ่งเป็นรูปแบบที่นักพัฒนาใช้งาน AI ในโปรเจกต์ แทนที่การเขียนโค้ดแบบ rigid syntax

คำสั่งที่ถูกแทรกเข้าไปในหน่วยความจำนี้จะเปลี่ยนแปลงผลลัพธ์อย่างแนบเนียน โดยแทรก backdoors หรือโค้ดสำหรับขโมยข้อมูลไว้ในสคริปต์ที่ถูกสร้างขึ้น เช่น การดึงมัลแวร์จากเซิร์ฟเวอร์อย่าง “server.

LastPass กำลังแจ้งเตือนลูกค้าว่าขณะนี้มีแคมเปญฟิชชิงที่ส่งอีเมลหลอกลวง โดยภายในอีเมลมีคำขอเข้าถึง password vaults ภายใต้ข้ออ้างว่าเป็นขั้นตอนในกระบวนการสืบทอดบัญชี

กิจกรรมดังกล่าวเริ่มต้นขึ้นราวกลางเดือนตุลาคม โดยพบว่าโดเมน และโครงสร้างพื้นฐานที่ใช้มีความเชื่อมโยงกับกลุ่มผู้โจมตีซึ่งมีแรงจูงใจทางด้านการเงินที่รู้จักกันในชื่อ CryptoChameleon (UNC5356)

กลุ่ม CryptoChameleon ใช้ชุดเครื่องมือฟิชชิงที่พัฒนาเฉพาะเพื่อขโมยสินทรัพย์ดิจิทัล โดยมุ่งเป้าไปที่กระเป๋าเงินคริปโตหลายแพลตฟอร์ม เช่น Binance, Coinbase, Kraken และ Gemini ผ่านหน้าเข้าสู่ระบบปลอมของบริการชื่อดังอย่าง Okta, Gmail, iCloud และ Outlook

ผู้ใช้ LastPass เคยถูกกลุ่มเดียวกันนี้โจมตีมาแล้วในเดือนเมษายน ปี 2024 แต่ดูเหมือนว่าแคมเปญล่าสุดจะมีความซับซ้อน และครอบคลุมมากกว่าเดิม โดยคราวนี้ยังขยายเป้าหมายไปถึง passkey อีกด้วย

อีเมลฟิชชิงที่ส่งถึงผู้ใช้ LastPass แอบอ้างว่ามีสมาชิกในครอบครัวร้องขอการเข้าถึง LastPass vault ของผู้ใช้ โดยอัปโหลด “ใบมรณบัตร” เพื่อใช้เป็นเอกสารประกอบคำขอ

กระบวนการสืบทอดสิทธิ์ของ LastPass เป็นฟีเจอร์การเข้าถึงฉุกเฉินที่อนุญาตให้บุคคลที่เจ้าของบัญชีกำหนดสามารถขอเข้าถึง password vault ของตนได้ในกรณีที่เสียชีวิต หรือทุพพลภาพ

ปกติแล้วเมื่อมีการเปิดคำขอดังกล่าว เจ้าของบัญชีจะได้รับอีเมล และหลังจากระยะเวลารอสิ้นสุดลง ผู้ติดต่อจะได้รับสิทธิ์เข้าถึงโดยอัตโนมัติ

คำขอสืบทอดปลอมดังกล่าวถูกออกแบบให้ดูน่าเชื่อถือยิ่งขึ้นด้วยการใส่ หมายเลข Agent ID เพื่อสร้างความสมจริง เพื่อให้ผู้รับรีบดำเนินการยกเลิกคำขอนั้น หากตนเอง “ยังไม่เสียชีวิต” โดยคลิกที่ลิงก์ในอีเมล

อย่างไรก็ตาม ลิงก์นั้นจะนำเหยื่อไปยังเว็บไซต์ปลอม lastpassrecovery[.]com ซึ่งมีแบบฟอร์มเข้าสู่ระบบปลอม ซึ่งหลอกให้ผู้ใช้กรอกรหัสผ่าน master password ของตนลงไป

LastPass เปิดเผยว่า ในบางกรณี ผู้โจมตีได้โทรศัพท์หาผู้เสียหายโดยแอบอ้างเป็นเจ้าหน้าที่ของบริษัท และหลอกให้เหยื่อกรอกข้อมูลเข้าสู่ระบบบนเว็บไซต์ฟิชชิงที่จัดเตรียมไว้ล่วงหน้า

บริษัทระบุเพิ่มเติมว่า หนึ่งในองค์ประกอบสำคัญของการโจมตีโดยกลุ่ม CryptoChameleon ที่มุ่งเป้าไปยังผู้ใช้ LastPass คือการใช้โดเมนฟิชชิงที่เน้นการขโมย passkey โดยเฉพาะ เช่น mypasskey[.]info และ passkeysetup[.]com ซึ่งแสดงให้เห็นถึงความพยายามในการขโมยข้อมูล passkey ของเหยื่อ

ทั้งนี้ passkey เป็นมาตรฐานการยืนยันตัวตนแบบไม่ใช้รหัสผ่าน (passwordless authentication) ที่พัฒนาบนโปรโตคอล FIDO2 / WebAuthn โดยอาศัยระบบเข้ารหัสแบบ assymmetric แทนการใช้รหัสผ่านที่ต้องจดจำ

Password managers ยุคใหม่อย่าง LastPass, 1Password, Dashlane และ Bitwarden สามารถจัดเก็บ และซิงก์ passkey ข้ามอุปกรณ์ได้แล้ว ซึ่งทำให้กลุ่มผู้ไม่หวังดีเริ่มหันมาโจมตีพวกเขาโดยตรง

ในปี 2022 LastPass ประสบเหตุข้อมูลรั่วไหลครั้งใหญ่ เมื่อผู้โจมตีขโมยข้อมูลสำรองของ password vaults ที่เข้ารหัสไว้ เหตุการณ์นี้เชื่อมโยงกับการโจมตีแบบเจาะจงเป้าหมายในภายหลัง ส่งผลให้เกิดความสูญเสียสกุลเงินดิจิทัลราว 4.4 ล้านดอลลาร์สหรัฐ

 

ที่มา : bleepingcomputer.