โทรจันที่มุ่งเป้าโจมตีระบบธนาคารบน Windows ที่รู้จักกันในชื่อ Coyote กลายเป็นมัลแวร์ตัวแรกที่ถูกพบว่าใช้ช่องโหว่ของระบบ accessibility framework ของ Windows ที่ชื่อว่า UI Automation (UIA) เพื่อขโมยข้อมูลสำคัญ

นักวิจัยด้านความปลอดภัยของ Akamai Tomer Peled ระบุในการวิเคราะห์ว่า “Coyote เวอร์ชันใหม่นี้มุ่งเป้าโจมตีผู้ใช้งานในประเทศบราซิล และใช้ UIA เพื่อดึงข้อมูลบัญชีผู้ใช้งานที่เชื่อมโยงกับที่อยู่เว็บไซต์ และการแลกเปลี่ยนเงินคริปโตฯ ของสถาบันการเงินจำนวน 75 แห่ง”

Coyote ถูกพบครั้งแรกโดย Kaspersky ในปี 2024 ซึ่งเป็นที่รู้จักในการโจมตีผู้ใช้งานในบราซิล โดยมาพร้อมกับความสามารถในการบันทึกการกดแป้นพิมพ์ ถ่ายภาพหน้าจอ และแสดง overlay บนหน้าล็อกอินของสถาบันทางการเงินต่าง ๆ

UIA ซึ่งเป็นส่วนหนึ่งของ Microsoft .NET Framework เป็นคุณสมบัติที่ Microsoft นำเสนอเพื่อให้โปรแกรมอ่านหน้าจอ และผลิตภัณฑ์เทคโนโลยีช่วยเหลืออื่น ๆ สามารถเข้าถึง user interface (UI) ได้ผ่านโปรแกรมบนเดสก์ท็อปได้ด้วยการเขียนโปรแกรม

ความสามารถของ UIA ที่อาจถูกนำมาใช้ในทางที่ผิด เช่น การขโมยข้อมูล เคยถูกสาธิตให้เห็นแล้วในรูปแบบ PoC โดย Akamai เมื่อเดือนธันวาคม 2024 โดยบริษัทโครงสร้างพื้นฐานเว็บรายนี้ระบุว่า UIA อาจถูกใช้เพื่อขโมยข้อมูลบัญชีผู้ใช้ หรือรันโค้ดก็ได้

ในบางแง่มุม วิธีการโจมตีล่าสุดของ Coyote มีลักษณะคล้ายกับ banking trojans บน Android หลายตัวที่ถูกตรวจพบ ซึ่งมักนำ accessibility services ของระบบปฏิบัติการมาใช้เป็นอาวุธเพื่อดึงข้อมูลที่มีความสำคัญ

จากการวิเคราะห์ของ Akamai พบว่ามัลแวร์นี้เรียกใช้ Windows API ที่ชื่อว่า GetForegroundWindow() เพื่อดึงชื่อหน้าต่างที่กำลังเปิดอยู่ แล้วนำไปเปรียบเทียบกับรายการเว็บไซต์ของธนาคาร และเว็บแลกเปลี่ยนคริปโตฯ ที่ฝังมาในโค้ด

Peled อธิบายว่า “หากไม่มีรายการใดตรงกัน Coyote จะใช้ UIA เพื่อวิเคราะห์องค์ประกอบย่อยของ UI ในหน้าต่างนั้น เพื่อพยายามตรวจจับแท็บเบราว์เซอร์ หรือ address bar”  “จากนั้นเนื้อหาขององค์ประกอบ UI เหล่านี้จะถูกนำมาเปรียบเทียบกับรายการเว็บไซต์เดิมอีกครั้ง”

สถาบันการเงินมากถึง 75 แห่งตกเป็นเป้าหมายของมัลแวร์เวอร์ชันล่าสุดนี้ ซึ่งเพิ่มขึ้นจาก 73 แห่งที่ Fortinet FortiGuard Labs บันทึกเมื่อต้นเดือนมกราคมที่ผ่านมา

Akamai ระบุเพิ่มเติมว่า “หากไม่มี UIA การวิเคราะห์องค์ประกอบย่อยของแอปพลิเคชันอื่นทำได้ยากมาก”

“เพื่อให้สามารถอ่านเนื้อหาขององค์ประกอบย่อยภายในแอปพลิเคชันอื่นได้อย่างมีประสิทธิภาพ นักพัฒนาจำเป็นต้องมีความเข้าใจอย่างดีว่าแอปพลิเคชันเป้าหมายนั้นมีโครงสร้างอย่างไร”

“Coyote สามารถทำการตรวจสอบได้โดยไม่ขึ้นกับว่ามัลแวร์อยู่ในโหมดออนไลน์ หรือออฟไลน์ ซึ่งเพิ่มโอกาสในการระบุธนาคาร หรือเว็บไซต์แลกเปลี่ยนคริปโตของเหยื่อได้สำเร็จ และขโมยข้อมูลบัญชีผู้ใช้”

ที่มา : thehackernews

CISA ออกคำเตือนว่ามีผู้โจมตีกำลังใช้ประโยชน์จากช่องโหว่ด้านความปลอดภัย 2 รายการ ในซอฟต์แวร์ IT Service Management (ITSM) ของ SysAid เพื่อเข้าควบคุมบัญชีผู้ดูแลระบบ

ช่องโหว่ทั้ง 2 รายการนี้เป็นประเภท XML External Entity (XXE) ที่ไม่ต้องมีการยืนยันตัวตน ซึ่งมีหมายเลข CVE-2025-2775 และ CVE-2025-2776 โดยถูกรายงานโดยนักวิจัยด้านความปลอดภัยจาก watchTowr Labs ในเดือนธันวาคม 2024 ที่ผ่านมา และได้รับการแก้ไขช่องโหว่แล้วในเดือนมีนาคม 2025 ด้วยการอัปเดตเวอร์ชัน SysAid On-Prem เป็นเวอร์ชัน 24.4.60

หนึ่งเดือนต่อมา watchTowr Labs ได้เผยแพร่โค้ดสาธิตการโจมตี (proof-of-concept) ซึ่งแสดงให้เห็นว่าช่องโหว่ใน SysAid นี้สามารถใช้โจมตีได้ง่ายมาก และช่วยให้ผู้โจมตีสามารถดึงไฟล์ภายในที่มีข้อมูลสำคัญออกมาได้

แม้ว่า CISA จะไม่ได้เปิดเผยรายละเอียดเพิ่มเติมเกี่ยวกับการโจมตีที่กำลังเกิดขึ้นนี้ แต่ก็ได้เพิ่มช่องโหว่ทั้ง 2 รายการนี้ลงใน Known Exploited Vulnerabilities Catalog แล้ว พร้อมทั้งสั่งการให้หน่วยงานฝ่ายบริหารของรัฐบาลกลาง (FCEB) มีเวลา 3 สัปดาห์ในการแก้ไขช่องโหว่หรือภายในวันที่ 12 สิงหาคม 2025 ที่จะถึงนี้ ตามข้อบังคับ Binding Operational Directive (BOD) 22-01 ที่ออกประกาศเมื่อเดือนพฤศจิกายน 2021

ถึงแม้ว่าคำสั่ง BOD 22-01 จะมุ่งเป้าไปที่หน่วยงานรัฐบาลกลางของสหรัฐฯ เป็นหลัก แต่ CISA ก็แนะนำให้ทุกองค์กร รวมถึงบริษัทเอกชน เร่งดำเนินการอัปเดตแพตช์เพื่อแก้ไขช่องโหว่ที่กำลังถูกใช้ในการโจมตีนี้โดยเร็วที่สุด

CISA เตือนว่า "ช่องโหว่ประเภทนี้มักถูกใช้เป็นช่องทางโจมตีหลักที่ผู้โจมตีทางไซเบอร์ใช้บ่อยครั้ง และก่อให้เกิดความเสี่ยงอย่างมากต่อระบบของรัฐบาลกลาง”

SysAid On-Prem เป็นระบบที่ติดตั้ง และใช้งานบนโครงสร้างพื้นฐานของลูกค้าเอง ช่วยให้ทีมไอทีสามารถบริหารจัดการบริการต่าง ๆ ภายในองค์กรได้อย่างมีประสิทธิภาพ จากข้อมูลของ Shadowserver พบว่าปัจจุบันมีเซิร์ฟเวอร์ SysAid หลายสิบเครื่องที่สามารถเข้าถึงได้จากอินเทอร์เน็ต ซึ่งส่วนใหญ่อยู่ในอเมริกาเหนือ และยุโรป

CISA ระบุว่า ยังไม่พบหลักฐานว่าช่องโหว่ทั้ง 2 รายการนี้ถูกใช้ในการโจมตีด้วย Ransomware อย่างไรก็ตาม ในปี 2023 กลุ่มอาชญากรไซเบอร์ที่มุ่งเป้าหมายทางด้านการเงินอย่าง FIN11 เคยใช้การโจมตีจากช่องโหว่ของ SysAid (CVE-2023-47246) ในการโจมตีแบบ Zero-day เพื่อติดตั้ง Clop ransomware บนเซิร์ฟเวอร์ที่ถูกโจมตี

โฆษกของ SysAid แจ้งกับ BleepingComputer โดยระบุว่า "SysAid ให้ความสำคัญกับความปลอดภัยเป็นอย่างมาก และขอให้ผู้ใช้มั่นใจว่าเราได้ดำเนินการแก้ไข และลดความเสี่ยงจากช่องโหว่เหล่านี้แล้วผ่านการอัปเดตแพตช์ที่เหมาะสม"

"SysAid ได้ให้ข้อมูลล่าสุดแก่ CISA เกี่ยวกับวิธีการแก้ไขช่องโหว่เหล่านี้ และขอแนะนำให้ลูกค้าตรวจสอบให้แน่ใจว่าระบบของตนได้รับการอัปเดตด้วยแพตช์ความปลอดภัยล่าสุดเรียบร้อยแล้ว"

ปัจจุบัน SysAid มีลูกค้ามากกว่า 5,000 ราย และมีผู้ใช้งานมากกว่า 10 ล้านคน ใน 140 ประเทศทั่วโลก โดยได้ให้บริการกับลูกค้าหลากหลายประเภท ตั้งแต่ธุรกิจขนาดเล็กไปจนถึงองค์กรขนาดใหญ่ในกลุ่ม Fortune 500 รวมถึงบริษัทชื่อดังอย่าง Xerox, IKEA, Coca-Cola, Honda, Michelin และ Motorola

ที่มา : bleepingcomputer

Google ออกอัปเดตแพตซ์ความปลอดภัยอย่างเร่งด่วนสำหรับเบราว์เซอร์ Chrome เพื่อแก้ไขช่องโหว่ระดับ Critical 3 รายการ ซึ่งอาจทำให้ผู้โจมตีสามารถรันโค้ดอันตรายบนระบบของผู้ใช้ได้

การอัปเดตเวอร์ชัน 138.0.7204.168/.169 บน Windows และ Mac, และ 138.0.7204.168 สำหรับ Linux กำลังทยอยเปิดให้ผู้ใช้ทั่วโลกสามารถอัปเดตได้ (more…)

Cisco ออกคำเตือนช่องโหว่ระดับ Critical 3 รายการใน Cisco Identity Services Engine (ISE) ที่เพิ่งได้รับการแก้ไขเมื่อเร็ว ๆ นี้ และกำลังถูกนำไปใช้ประโยชน์ในการโจมตีอย่างต่อเนื่อง

แม้ว่าทาง Cisco จะไม่ได้ระบุว่าช่องโหว่เหล่านี้ถูกนำไปใช้ในการโจมตีอย่างไร และประสบความสำเร็จหรือไม่ แต่การอัปเดตด้านความปลอดภัยโดยเร็วที่สุดถือเป็นสิ่งสำคัญอย่างยิ่ง (more…)

The House of Dior ในสหรัฐอเมริกา ได้เริ่มส่งจดหมายแจ้งเตือนลูกค้าเกี่ยวกับเหตุการณ์ความปลอดภัยทางไซเบอร์ที่เกิดขึ้นเมื่อเดือนพฤษภาคม โดยเหตุการณ์ดังกล่าวทำให้ข้อมูลส่วนบุคคลของลูกค้าบางรายถูกเข้าถึงโดยไม่ได้รับอนุญาต (more…)

ปัจจุบันมีเซิร์ฟเวอร์ CrushFTP กว่า 1,000 เครื่องที่เข้าถึงได้บนอินเทอร์เน็ติ ซึ่งมีช่องโหว่ระดับ critical ที่สามารถถูกโจมตีเพื่อเข้าควบคุมการใช้งานผ่านอินเทอร์เฟซเว็บในฐานะแอดมินได้ (more…)

Hewlett-Packard Enterprise (HPE) ได้ออกคำเตือนเกี่ยวกับการพบ hardcoded credentials ใน Aruba Instant On Access Points ซึ่งทำให้ผู้โจมตีสามารถเข้าถึงหน้าเว็บอินเทอร์เฟซของอุปกรณ์ได้โดยไม่ต้องผ่านการยืนยันตัวตนตามปกติ (more…)

EncryptHub หรือที่รู้จักในชื่อ LARVA-208 และ Water Gamayun เป็นกลุ่มภัยคุกคามที่มีแรงจูงใจทางด้านการเงิน โดยกลุ่มนี้อยู่เบื้องหลังแคมเปญล่าสุดที่มุ่งเป้าไปที่นักพัฒนา Web3 โดยมีเป้าหมายเพื่อติดตั้งมัลแวร์ขโมยข้อมูลบนอุปกรณ์ของเหยื่อ (more…)

ไวน์แล็บ (WineLab) ร้านค้าปลีกเครื่องดื่มแอลกอฮอล์รายใหญ่ของรัสเซียในเครือ Novabev Group ได้ประกาศปิดให้บริการร้านค้าทั้งหมด หลังเผชิญกับการโจมตีทางไซเบอร์จากแรนซัมแวร์ ซึ่งส่งผลกระทบต่อการดำเนินงาน และก่อให้เกิดปัญหาในการซื้อสินค้าของลูกค้า

(more…)

มัลแวร์ตระกูลใหม่ที่มีชื่อว่า LameHug กำลังใช้ large language model (LLM) เพื่อสร้างชุดคำสั่งสำหรับเรียกใช้บนระบบ Windows ที่ถูกโจมตีได้สำเร็จ

(more…)