CISA ระบุว่าช่องโหว่ command injection (CVE-2024-12686) ใน Privileged Remote Access (PRA) และ Remote Support (RS) ของ BeyondTrust กำลังถูกนำไปใช้ในการโจมตีอย่างต่อเนื่องอยู่ในปัจจุบัน

ตามข้อกำหนด Binding Operational Directive (BOD) 22-01 หลังจากที่ช่องโหว่ได้ถูกเพิ่มเข้าไปใน Known Exploited Vulnerabilities catalog ของ CISA หน่วยงานของรัฐบาลกลางสหรัฐฯ จะต้องทำการแก้ไข รวมถึงรักษาความปลอดภัยเครือข่ายของตนจากการโจมตีที่มุ่งเป้าไปที่ช่องโหว่ดังกล่าวภายในสามสัปดาห์ หรือภายในวันที่ 3 กุมภาพันธ์ 2025

รวมถึง CISA ยังได้เพิ่มรายการช่องโหว่ command injection (CVE-2024-12356) อีกรายการที่มีความรุนแรงระดับ Critical ในผลิตภัณฑ์เดียวกันของ BeyondTrust ด้วย

BeyondTrust พบช่องโหว่ทั้ง 2 รายการ ในขณะที่กำลังสืบสวนเหตุการณ์โจมตี Remote Support SaaS instances บางส่วนในช่วงต้นเดือนธันวาคม โดย Hacker ได้ขโมย API key ออกไป ซึ่งต่อมาถูกนำไปใช้เพื่อรีเซ็ตรหัสผ่านสำหรับบัญชี local application

แม้ว่าการเปิดเผยข้อมูลของ BeyondTrust ในเดือนธันวาคม 2024 จะไม่ได้กล่าวถึงเรื่องนี้โดยตรง แต่คาดว่า Hacker น่าจะใช้ช่องโหว่ทั้ง 2 รายการเป็น Zero Days ในการโจมตีเข้าสู่ระบบของ BeyondTrust เพื่อเข้าถึงเครือข่ายของลูกค้า

ในช่วงต้นเดือนมกราคม 2025 กระทรวงการคลังเปิดเผยว่าเครือข่ายของกระทรวงถูกโจมตี โดยใช้รหัส API SaaS ของ Remote Support ที่ขโมยมาเพื่อเจาะระบบ BeyondTrust ที่หน่วยงานใช้งานอยู่

ตั้งแต่นั้นมา การโจมตีช่องโหว่ดังกล่าวก็ถูกเชื่อมโยงกับกลุ่ม Hacker ที่ได้รับการสนับสนุนจากรัฐบาลจีนในชื่อ Silk Typhoon ซึ่งเป็นที่รู้จักในด้านการโจมตีเพื่อขโมยข้อมูล และกลายเป็นที่รู้จักอย่างกว้างขวางหลังจากโจมตีเซิร์ฟเวอร์ไปแล้วประมาณ 68,500 ระบบในช่วงต้นปี 2021 โดยใช้ช่องโหว่ Zero-Days ของ Microsoft Exchange Server ProxyLogon

โดยกลุ่ม Hacker ได้มุ่งเป้าไปที่สำนักงานควบคุมทรัพย์สินต่างประเทศ (OFAC) โดยเฉพาะ ซึ่งเป็นหน่วยงานที่ดูแลโครงการคว่ำบาตรทางการค้า และเศรษฐกิจ และคณะกรรมการการลงทุนจากต่างประเทศในสหรัฐอเมริกา (CFIUS) ซึ่งตรวจสอบการลงทุนจากต่างประเทศเพื่อตรวจสอบความเสี่ยงต่อความมั่นคงของชาติ รวมถึงยังได้โจมตีระบบของสำนักงานวิจัยการเงินของกระทรวงการคลัง แต่ผลกระทบของเหตุการณ์นี้ยังอยู่ระหว่างการประเมิน เชื่อกันว่า Silk Typhoon ได้ใช้ BeyondTrust digital key ที่ขโมยมาเพื่อเข้าถึงข้อมูลที่ไม่เป็นความลับที่เกี่ยวข้องกับการดำเนินการคว่ำบาตรที่อาจเกิดขึ้นและเอกสารอื่น ๆ

BeyondTrust ระบุว่า ได้ติดตั้งแพตช์ด้านความปลอดภัยสำหรับช่องโหว่ CVE-2024-12686 และ CVE-2024-12356 บน cloud instances ทั้งหมดเรียบร้อยแล้ว อย่างไรก็ตามผู้ที่ใช้งานอินสแตนซ์ที่โฮสต์ด้วยตนเองจะต้องติดตั้งแพตช์อัปเดตด้วยตนเอง

อย่างไรก็ตาม คำแนะนำด้านความปลอดภัยที่ออกเมื่อธันวาคม 2024 ของ BeyondTrust ยังไม่ได้ระบุว่าช่องโหว่ด้านความปลอดภัยทั้ง 2 รายการนี้ได้ถูกนำไปใช้ในการโจมตี

ที่มา : bleepingcomputer.

CrowdStrike แจ้งเตือนแคมเปญฟิชชิงอีเมลเสนองานปลอมแอบอ้างเป็นบริษัท เพื่อหลอกเป้าหมายให้ติดมัลแวร์ติดมัลแวร์ขุดเหรียญคริปโตฯ Monero (XMRig)

CrowdStrike พบแคมเปญฟิชชิงดังกล่าวเมื่อวันที่ 7 มกราคม 2025 โดยอ้างอิงจากเนื้อหาในอีเมลฟิชชิง คาดว่าแคมเปญนี้อาจเริ่มต้นได้ไม่นานก่อนหน้านี้

การโจมตีเริ่มต้นจากอีเมลฟิชชิงที่ส่งไปยังผู้หางาน โดยแอบอ้างว่าเป็นตัวแทนฝ่ายจัดหางานของ CrowdStrike พร้อมขอบคุณผู้สมัครงานในตำแหน่งนักพัฒนาซอฟต์แวร์ของบริษัท

อีเมลดังกล่าวจะหลอกให้กลุ่มเป้าหมายดาวน์โหลดสิ่งที่อ้างว่าเป็น "แอปพลิเคชัน CRM สำหรับพนักงาน" จากเว็บไซต์ที่ออกแบบให้ดูเหมือนเป็นพอร์ทัลของ CrowdStrike จริง ๆ

โดยอ้างว่าเป็นส่วนหนึ่งของความพยายามของบริษัทในการปรับปรุงกระบวนการรับพนักงานใหม่ให้มีประสิทธิภาพมากขึ้นผ่านการเปิดตัวแอปพลิเคชัน CRM สำหรับผู้สมัครใหม่

ผู้สมัครที่คลิกลิงก์ในอีเมลจะถูกนำไปยังเว็บไซต์ชื่อ ("cscrm-hiring[.]com") ซึ่งมีลิงก์สำหรับดาวน์โหลดแอปพลิเคชันดังกล่าวสำหรับ Windows หรือ macOS

เครื่องมือที่ถูกดาวน์โหลดมาจะทำการตรวจสอบการทำงานของ sandbox ก่อนที่จะดาวน์โหลด payload เพิ่มเติมมาใช้งาน เพื่อให้แน่ใจว่ามันไม่ได้ทำงานอยู่ในสภาพแวดล้อมที่ใช้สำหรับการวิเคราะห์ เช่น การตรวจสอบ process number, จำนวน CPU core และการทำงานของ debugger

เมื่อการตรวจสอบเสร็จสิ้นแล้ว และไม่พบการทำงานบ sandbox แอปพลิเคชันจะสร้างข้อความแสดงข้อผิดพลาดปลอมเพื่อแจ้งให้ทราบว่าไฟล์ติดตั้งอาจเสียหาย

ในเบื้องหลัง downloader จะดึงไฟล์ configuration ที่มีพารามิเตอร์ที่จำเป็นสำหรับการรัน XMRig

จากนั้นมันจะดาวน์โหลดไฟล์ ZIP ที่มีโปรแกรมขุดเหรียญคริปโตฯ จาก GitHub repository และทำการแตกไฟล์ไปยังโฟลเดอร์ '%TEMP%\System.

Fortinet แจ้งเตือนการพบกลุ่ม Hacker กำลังมุ่งเป้าโจมตีช่องโหว่ Zero-Day ใหม่ใน FortiOS และ FortiProxy เพื่อเข้าควบคุม FortiGate Firewall และเข้าถึงระบบเครือข่ายขององค์กร

CVE-2024-55591 (คะแนน CVSS 9.8/10 ความรุนแรงระดับ Critical) เป็นช่องโหว่ authentication bypass ที่ส่งผลกระทบต่อ FortiOS 7.0.0 ถึง 7.0.16, FortiProxy 7.0.0 ถึง 7.0.19 และ FortiProxy 7.2.0 ถึง 7.2.12 ซึ่งหากสามารถโจมตีได้สำเร็จ อาจทำให้ผู้โจมตีได้รับสิทธิ์ super-admin โดยการส่ง requests ที่เป็นอันตรายไปยังโมดูล Node.

Casio ผู้ผลิตอุปกรณ์อิเล็กทรอนิกส์จากญี่ปุ่น เปิดเผยว่าเหตุการณ์การโจมตีจากแรนซัมแวร์ในเดือนตุลาคม 2024 ได้ทำให้ข้อมูลส่วนบุคคลประมาณ 8,500 รายการรั่วไหล

บุคคลที่ได้รับผลกระทบส่วนใหญ่เป็นพนักงานของ Casio และพันธมิตรทางธุรกิจ แต่ก็มีข้อมูลส่วนบุคคลของลูกค้าจำนวนเล็กน้อยที่รั่วไหลออกมาด้วย

การโจมตีของ Underground ransomware

การโจมตีเกิดขึ้นเมื่อวันที่ 5 ตุลาคม 2024 เมื่อกลุ่มผู้โจมตีแรนซัมแวร์ได้ใช้วิธีการฟิชชิงเพื่อโจมตีเครือข่ายของบริษัท ส่งผลให้ระบบ IT ไม่สามารถใช้งานได้

ในวันที่ 10 ตุลาคม กลุ่มแรนซัมแวร์ Underground ได้อ้างว่าเป็นผู้ทำการโจมตีครั้งนี้ พร้อมขู่ว่าจะเปิดเผยเอกสารลับ, ไฟล์ทางการเงิน, ข้อมูลโครงการ และข้อมูลพนักงาน หากไม่ได้รับการจ่ายค่าไถ่

ไม่นานหลังจากนั้น Casio ยืนยันว่ากลุ่ม Underground ได้ขโมยข้อมูลส่วนบุคคลของพนักงาน พันธมิตร และลูกค้า อย่างไรก็ตามบริษัทไม่ได้ระบุจำนวนผู้ที่ได้รับผลกระทบในตอนนั้น

เมื่อการสืบสวนเสร็จสิ้น Casio จึงสามารถเปิดเผยรายละเอียดทั้งหมดเกี่ยวกับขอบเขตของการละเมิดข้อมูลได้

ในประกาศล่าสุดของบริษัทได้ระบุข้อมูลที่รั่วไหลดังนี้:

ข้อมูลพนักงาน (6,456 คน): ชื่อ, หมายเลขพนักงาน, ที่อยู่อีเมล, หน่วยงานที่สังกัด, เพศ, วันเกิด, ข้อมูลครอบครัว, ที่อยู่, หมายเลขโทรศัพท์, หมายเลขผู้เสียภาษี และข้อมูลบัญชีระบบของสำนักงานใหญ่
ข้อมูลพันธมิตรทางธุรกิจ (1,931 คน): ชื่อ, ที่อยู่อีเมล, หมายเลขโทรศัพท์, ชื่อบริษัท, ที่อยู่บริษัท และข้อมูลบัตรประชาชนในบางกรณี
ข้อมูลลูกค้า (91 คน): ที่อยู่สำหรับจัดส่ง, ชื่อ, หมายเลขโทรศัพท์, วันที่ซื้อสินค้า และชื่อสินค้าที่ต้องการการจัดส่ง และติดตั้ง
ข้อมูลอื่นที่รั่วไหล: เอกสารภายใน เช่น ใบแจ้งหนี้, สัญญา และเอกสารประกอบการประชุม
เมื่อระบุตัวบุคคลที่ได้รับผลกระทบได้แล้ว พวกเขาจะได้รับการแจ้งเตือนส่วนบุคคลเกี่ยวกับเหตุการณ์ดังกล่าวจาก Casio

แม้ว่าพนักงานบางคนจะได้รับอีเมลซึ่งเชื่อว่ามีความเกี่ยวข้องกับเหตุการณ์แรนซัมแวร์ และการเปิดเผยข้อมูลที่มีความสำคัญ แต่บริษัทระบุว่ายังไม่มีความเสียหายใดเกิดขึ้นกับพวกเขา พันธมิตร หรือลูกค้า

Casio ระบุว่าไม่มีข้อมูลลูกค้า หรือข้อมูลบัตรเครดิตใดที่ถูกโจมตีจากแรนซัมแวร์ Underground เนื่องจากฐานข้อมูลที่เก็บข้อมูลลูกค้าไม่ได้รับผลกระทบจากเหตุการณ์นี้

Casio ยังชี้แจงอย่างชัดเจนว่าไม่ได้มีการเจรจากับกลุ่มผู้โจมตี

โดย Casio ระบุว่า "หลังจากปรึกษากับหน่วยงานบังคับใช้กฎหมาย ที่ปรึกษาภายนอก และผู้เชี่ยวชาญด้านความปลอดภัย Casio ไม่ได้ตอบสนองต่อข้อเรียกร้องที่ไม่สมเหตุสมผลใด ๆ จากกลุ่มแรนซัมแวร์ที่ดำเนินการเข้าถึงระบบของบริษัทโดยไม่ได้รับอนุญาต"

ที่มา : bleepingcomputer

หน่วยงานความมั่นคงทางไซเบอร์ และความปลอดภัยของโครงสร้างพื้นฐานของสหรัฐอเมริกา (CISA) ได้เพิ่มช่องโหว่ Oracle WebLogic Server และ Mitel MiCollab ลงในแค็ตตาล็อก Known Exploited Vulnerabilities (KEV)

CVE-2020-2883 (คะแนน CVSS 9.8) เป็นช่องโหว่ใน Oracle WebLogic Server (เวอร์ชัน 10.3.6.0.0, 12.1.3.0.0, 12.2.1.3.0, 12.2.1.4.0) โดยผู้โจมตีที่ไม่ผ่านการยืนยันตัวตนที่สามารถเข้าถึงเครือข่ายผ่าน IIOP หรือ T3 สามารถใช้ประโยชน์จากช่องโหว่นี้เพื่อโจมตี Oracle WebLogic Server ได้

รายงานที่เผยแพร่โดย ZDI ระบุว่า “ช่องโหว่นี้ทำให้ผู้โจมตีสามารถเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกลบน Oracle WebLogic ที่มีช่องโหว่ โดยไม่ต้องผ่านการยืนยันตัวตน โดยช่องโหว่นี้เกิดขึ้นในกระบวนการจัดการ T3 protocol โดยข้อมูลที่ถูกสร้างขึ้นใน T3 protocol message สามารถ trigger การ deserialization ข้อมูลที่ไม่น่าเชื่อถือได้ ทำให้ผู้โจมตีสามารถใช้ช่องโหว่นี้ในการรันโค้ดตามที่ต้องการด้วยสิทธิ์ของ Process ปัจจุบัน”

CVE-2024-41713 (คะแนน CVSS 9.8) เป็นช่องโหว่ Path Traversal ใน Mitel MiCollab (จนถึงเวอร์ชัน 9.8 SP1 FP2) โดยเป็นช่องโหว่ NuPoint Unified Messaging ที่ทำให้เกิดการโจมตีแบบ path traversal ได้โดยไม่ต้องผ่านการยืนยันตัวตน ซึ่งอาจเสี่ยงต่อความถูกต้องของข้อมูล และการกำหนดค่า

“ช่องโหว่ Path Traversal CVE-2024-41713 ใน NuPoint Unified Messaging (NPM) component ของ Mitel MiCollab อาจทำให้ผู้โจมตีที่ไม่ผ่านการยืนยันตัวตนสามารถทำการโจมตีแบบ path traversal ได้ เนื่องจากการตรวจสอบอินพุตที่ไม่เหมาะสม หากสามารถโจมตีช่องโหว่นี้ได้สำเร็จอาจทำให้ผู้โจมตีสามารถเข้าถึงระบบได้ ซึ่งอาจส่งผลต่อความถูกต้องสมบูรณ์ของข้อมูล รวมถึงความพร้อมใช้งานของระบบ ซึ่งช่องโหว่นี้สามารถถูกโจมตีได้โดยไม่ต้องผ่านการยืนยันตัวตน”

ในรายงานระบุเพิ่มเติมว่า “หากช่องโหว่นี้ถูกโจมตีได้สำเร็จ ผู้โจมตีอาจเข้าถึงข้อมูลการตั้งค่าที่ไม่ต้องผ่านการยืนยันตัวตน ซึ่งรวมถึงข้อมูลผู้ใช้ และเครือข่าย และดำเนินการที่เป็นอันตรายบนเซิร์ฟเวอร์ MiCollab ได้ โดยช่องโหว่นี้ถูกจัดระดับความรุนแรงเป็นระดับ Critical”

CVE-2024-55550 (คะแนน CVSS 9.8) เป็นช่องโหว่ Path Traversal ใน Mitel MiCollab (จนถึงเวอร์ชัน 9.8 SP2) ช่องโหว่นี้ทำให้ผู้โจมตีที่ผ่านการยืนยันตัวตน และมีสิทธิ์ระดับผู้ดูแลระบบสามารถอ่านไฟล์ภายในระบบได้ อย่างไรก็ตามการโจมตีโดยใช้ช่องโหว่นี้จำกัดเฉพาะข้อมูลที่ไม่มีความสำคัญเท่านั้น

“ช่องโหว่ Path Traversal, CVE-2024-55550, ใน Mitel MiCollab อาจทำให้ผู้โจมตีที่ผ่านการยืนยันตัวตน และมีสิทธิ์ระดับผู้ดูแลระบบสามารถอ่านไฟล์ในระบบได้ เนื่องจากการตรวจสอบข้อมูลอินพุตที่ไม่เพียงพอ”

ตามคำสั่งปฏิบัติการ (BOD) 22-01: การลดความเสี่ยงของช่องโหว่ที่กำลังถูกใช้ในการโจมตีอยู่ในปัจจุบัน หน่วยงาน FCEB จำเป็นต้องแก้ไขช่องโหว่ที่ระบุภายในระยะเวลาที่กำหนด เพื่อปกป้องเครือข่ายจากการโจมตีโดยใช้ช่องโหว่เหล่านี้

CISA ยังแนะนำให้องค์กรภาคเอกชนตรวจสอบช่องโหว่ที่อยู่ในแคตตาล็อก และแก้ไขช่องโหว่ในระบบของพวกเขาเช่นเดียวกัน

โดย CISA ได้สั่งให้หน่วยงานรัฐบาลกลางแก้ไขช่องโหว่นี้ภายในวันที่ 28 มกราคม 2025

ที่มา : securityaffairs.

นักวิจัยของ Check Point เผยแพร่รายงานการค้นพบมัลแวร์ Banshee Stealer เวอร์ชันใหม่สำหรับ macOS ในช่วง 2 เดือนที่ผ่านมา ที่สามารถหลีกเลี่ยงการตรวจจับได้โดยใช้การเข้ารหัส XProtect ของ Apple

Banshee เป็น information stealer ที่ใช้โจมตีระบบ macOS โดยเปิดตัวในช่วงกลางปี 2024 ในรูปแบบ stealer-as-a-service โดยให้บริการแก่ Hacker ในราคา 3,000 ดอลลาร์ ซึ่งต่อมา source code ของ Banshee ได้ถูกปล่อยออกมาบน XSS forums ในเดือนพฤศจิกายน 2024 ส่งผลให้โปรเจ็กต์ปิดตัวลง และเปิดโอกาสให้กับนักพัฒนามัลแวร์รายอื่นได้นำมาพัฒนาต่อไป

ตามรายงานการวิจัยของ Check Point ซึ่งค้นพบมัลแวร์ใหม่ชนิดหนึ่ง ซึ่งใช้วิธีการเข้ารหัสที่มีอยู่ใน Banshee ทำให้มัลแวร์สามารถผสานเข้ากับการทำงานปกติ และดูเหมือนว่าเป็นการใช้งานปกติ ขณะที่มัลแวร์กำลังรวบรวมข้อมูลที่มีความสำคัญจากโฮสต์ที่ถูกโจมตี รวมถึงการเปลี่ยนแปลงอีกประการหนึ่งคือจะไม่หลีกเลี่ยงการโจมตีระบบที่เป็นของผู้ใช้รัสเซียอีกต่อไป

การเข้ารหัส XProtect

XProtect ของ Apple เป็นเทคโนโลยีตรวจจับมัลแวร์ที่ติดตั้งมาใน macOS โดยใช้ set of rules ที่คล้ายกับ antivirus signatures เพื่อระบุ และบล็อกมัลแวร์ที่เป็นที่รู้จัก

โดย Banshee Stealer เวอร์ชันล่าสุดใช้อัลกอริธึมการเข้ารหัสสตริงที่ XProtect ใช้เพื่อปกป้องข้อมูลของมันเอง

การขโมยข้อมูลที่มีความสำคัญ

เวอร์ชันล่าสุดของ Banshee Stealer ได้ถูกเผยแพร่ผ่าน GitHub repositories ที่กำหนดเป้าหมายการโจมตีไปยังผู้ใช้ macOS ผ่านการแอบอ้างเป็นซอฟต์แวร์อื่น ทั้งนี้กลุ่ม Hacker ดังกล่าวยังได้กำหนดเป้าหมายการโจมตีไปยังผู้ใช้ Windows ด้วย แต่ใช้ Lumma Stealer แทน

Check Point รายงานว่าแม้ Banshee malware-as-a-service จะไม่พบการทำงานมาตั้งแต่เดือนพฤศจิกายน 2024 แต่ยังพบว่า phishing campaign หลายกลุ่มยังคงแพร่กระจายมัลแวร์ต่อไปนับตั้งแต่ที่ source code รั่วไหล

infostealer ได้กำหนดเป้าหมายการโจมตีไปที่ข้อมูลที่จัดเก็บไว้ในเบราว์เซอร์ยอดนิยม (เช่น Chrome, Brave, Edge และ Vivaldi) รวมถึง passwords, two-factor authentication extensions และ cryptocurrency wallet extensions

นอกจากนี้ยังรวบรวมข้อมูลระบบ และเครือข่ายพื้นฐานเกี่ยวกับโฮสต์ และหลอกล่อให้เหยื่อเข้าสู่ระบบเพื่อขโมยรหัสผ่านบน macOS อีกด้วย

ที่มา : bleepingcomputer

ในวันที่ 6 มกราคม 2025 องค์กรการบินพลเรือนระหว่างประเทศ (United Nations' International Civil Aviation Organization - ICAO) ประกาศว่าทางองค์กรกำลังอยู่ระหว่างการดำเนินการสืบสวนข้อเท็จจริงที่มาจากการรายงานการถูกเจาะระบบขององค์กร

ICAO ถูกก่อตั้งเมื่อปี 1944 ในรูปแบบขององค์กรรัฐบาลระหว่างประเทศ โดยที่หน่วยงานแห่งสหประชาชาตินี้ได้ร่วมมือกับอีก 193 ประเทศเพื่อสนับสนุนการพัฒนามาตรฐานเชิงเทคนิคให้เป็นที่ยอมรับร่วมกัน

ICAO ระบุในแถลงการณ์ว่า “ICAO อยู่ระหว่างการสืบสวนรายงานเกี่ยวกับเหตุการณ์ด้านความปลอดภัยของข้อมูล ซึ่งอาจมีความเชื่อมโยงกับผู้ก่อการร้ายที่มีเป้าหมายในการโจมตีองค์กรระหว่างประเทศ” “เรามีความจริงจังกับเรื่องนี้เป็นอย่างมาก และได้ดำเนินการตามมาตรฐานความปลอดภัยเรียบร้อยแล้ว พร้อมทั้งกำลังดำเนินการสืบสวนสอบสวนอย่างละเอียด”

หน่วยงานสหประชาชาติ (UN) ได้ระบุเพิ่มเติมว่า จะให้ข้อมูลเพิ่มเติมหลังจากการสืบสวนขั้นต้นที่เกี่ยวข้องกับการละเมิดความปลอดภัยที่อาจเกิดขึ้นนี้นั้นแล้วเสร็จ

ถึงแม้ว่า ICAO ยังไม่ได้ให้รายละเอียดเฉพาะเจาะจงเกี่ยวกับสาเหตุหลักที่ทำให้เกิดการสืบสวนนี้ แต่ก็มีข่าวซึ่งประกาศหลังจากการแถลงของ ICAO สองวัน โดยกลุ่มแฮ็กเกอร์ชื่อ “natohub” ประกาศว่ามีข้อมูลกว่า 42,000 รายการที่ขโมยมาจาก ICAO ใน BreachForums สำหรับแฮ็กเกอร์

หากเป็นไปตามที่ “natohub” กล่าวอ้างไว้ ข้อมูลที่ถูกโจรกรรมมาได้นั้นจะประกอบไปด้วย ชื่อ, วันเดือนปีเกิด, ที่อยู่, เบอร์โทรศัพท์, อีเมล และข้อมูลการศึกษา และประวัติการทำงาน ซึ่งมีกลุ่มแฮ็กเกอร์อีกรายแจ้งว่าไฟล์ข้อมูลกว่า 2GB นี้มีข้อมูลอีเมลที่แตกต่างกันกว่า 57,240 รายการ

ทาง BleepingComputer ได้มีการติดต่อไปที่ ICAO แต่ทางโฆษกของ ICAO ยังไม่สามารถให้รายละเอียดได้ในตอนนี้

ก่อนหน้าเหตุการณ์ของ ICAO ก็มีอีกหน่วยงานของสหประชาชาติที่ถูกโจรกรรมข้อมูล ซึ่งก็คือหน่วยงานโครงการพัฒนาแห่งสหประชาชาติ (UNDP) โดยมีการสืบสวนเหตุการณ์การโจมตีทางไซเบอร์มาตั้งแต่เดือนเมษายน 2024 หลังจากมีกลุ่มแรนซัมแวร์ชื่อ 8Base อ้างว่าเป็นผู้ก่อเหตุ ทั้งนี้ UNDP ยังไม่ได้มีการอัปเดตเกี่ยวกับการสอบสวนแต่อย่างใด

เดือนมกราคม 2021 หน่วยงานโครงการสิ่งแวดล้อมแห่งสหประชาชาติ (United Nations Environmental Programme - UNEP) ยอมรับว่าถูกละเมิดข้อมูลพนักงานกว่า 100,000 รายการ พร้อมทั้งข้อมูลส่วนบุคคลที่สามารถระบุตัวตนได้ (Personally Identifiable Information - PII) ซึ่งถูกนำไปเผยแพร่ทางออนไลน์อีกด้วย

ระบบเครือข่ายของสหประชาชาติในกรุงเวียนนา (Vienna) และกรุงเจนีวา (Geneva) เคยถูกละเมิดเมื่อเดือนกรกฎาคม 2019 ผ่านการโจมตี Sharepoint โดยทางผู้โจมตีได้รับสิทธิ์ในการเข้าถึงข้อมูลต่าง ๆ ซึ่งประกอบไปด้วย รายชื่อพนักงาน, ประกันสุขภาพ และสัญญาทางการค้า ซึ่งในส่วนนี้ทางสหประชาชาติได้อธิบายอย่างเป็นทางการว่าถือเป็นเหตุการณ์ร้ายแรงขององค์กร

ที่มา: bleepingcomputer

พบกลุ่ม Hacker กำลังใช้กลวิธีเพื่อหลอกล่อให้ผู้ใช้งานปิดฟีเจอร์ Phishing Protection สำหรับข้อความของ Apple iMessage และหลังจากนั้นก็เปิดกลับมาอีกครั้ง

(more…)

มีรายละเอียดใหม่เกี่ยวกับแคมเปญฟิชชิงที่กำหนดเป้าหมายไปยังผู้พัฒนา extension ของเบราว์เซอร์ Chrome ซึ่งนำไปสู่การถูกเจาะข้อมูลของ extension อย่างน้อย 35 รายการ เพื่อแทรกโค้ดที่ใช้สำหรับขโมยข้อมูลไว้ ซึ่งรวมถึง extension จากบริษัทด้านความปลอดภัยทางไซเบอร์อย่าง Cyberhaven ด้วย (more…)

Ivanti แจ้งเตือนการพบ Hacker กำลังมุ่งเป้าการโจมตีโดยใช้ช่องโหว่การเรียกใช้คำสั่งที่เป็นอันตรายจากระยะไกล (RCE) ของ Connect Secure หมายเลข CVE-2025-0282 ซึ่งเป็นช่องโหว่ Zero-Day ที่ถูกใช้เพื่อติดตั้งติดตั้งมัลแวร์บนอุปกรณ์

Ivanti พบช่องโหว่ดังกล่าว หลังจากที่ Ivanti Integrity Checker Tool (ICT) ตรวจพบพฤติกรรมที่เป็นอันตรายบนอุปกรณ์ของลูกค้า Ivanti จึงได้เริ่มการสอบสวน และยืนยันว่าพบ Hacker ใช้ช่องโหว่ CVE-2025-0282 โจมตีเป้าหมายในรูปแบบ Zero-Day

CVE-2025-0282 (คะแนน CVSS 9.0/10 ความรุนแรงระดับ Critical) เป็นช่องโหว่ Stack-Based Buffer Overflow ใน Ivanti Connect Secure ก่อนเวอร์ชัน 22.7R2.5, Ivanti Policy Secure ก่อนเวอร์ชัน 22.7R1.2 และ Ivanti Neurons สำหรับเกตเวย์ ZTA ก่อนเวอร์ชัน 22.7R2.3 ซึ่งทำให้ Hacker ที่ไม่ผ่านการยืนยันตัวตนสามารถเรียกใช้คำสั่งที่เป็นอันตรายจากระยะไกลได้

แม้ว่าช่องโหว่ดังกล่าวจะส่งผลกระทบต่อผลิตภัณฑ์ทั้ง 3 รายการ แต่ Ivanti เปิดเผยว่าพบเห็นการโจมตีในอุปกรณ์ Ivanti Connect Secure เท่านั้น โดย Ivanti ได้ออกอัปเดตเพื่อแก้ไขช่องโหว่ในเฟิร์มแวร์เวอร์ชัน 22.7R2.5 ในส่วนของอัปเดตเพื่อแก้ไขช่องโหว่สำหรับ Ivanti Policy Secure และ Ivanti Neurons สำหรับ ZTA Gateway จะถูกปล่อยในวันที่ 21 มกราคม 2025 ซึ่งจะพร้อมใช้งานใน Standard Download Portal

Ivanti Policy Secure เนื่องจากโซลูชันนี้ไม่ได้ถูกออกแบบให้เชื่อมต่อกับอินเทอร์เน็ต ซึ่งทำให้ความเสี่ยงในการถูกโจมตีช่องโหว่นี้ลดลงอย่างมาก ทั้งนี้ลูกค้าควรตรวจสอบให้แน่ใจเสมอว่าอุปกรณ์ IPS ของตนได้รับการกำหนดค่าตามคำแนะนำของ Ivanti และไม่เปิดให้เข้าถึงได้จากอินเทอร์เน็ต เนื่องจาก Ivanti Policy Secure อาจถูกโจมตีจากช่องโหว่ดังกล่าวได้

Ivanti Neurons for ZTA Gateways ไม่สามารถถูกโจมตีได้ เมื่ออยู่ในการใช้งานบน production แต่หากมีการสร้าง gateway สำหรับโซลูชันนี้ และไม่ได้เชื่อมต่อกับ ZTA controller ก็มีความเสี่ยงที่ gateway ที่ถูกสร้างขึ้นจะถูกโจมตีจากช่องโหว่ได้

Ivanti แนะนำให้ผู้ดูแลระบบ Ivanti Connect Secure ดำเนินการทำ ICT scan ทั้งภายใน และภายนอก หากสแกนพบสัญญาณของการโจมตี Ivanti แนะนำให้ผู้ดูแลระบบทำการ factory reset ก่อนอัปเดตเป็น Ivanti Connect Secure 22.7R2.5 แต่ถึงแม้หากผลการสแกนออกมาไม่พบสัญญาณของการโจมตี Ivanti ก็ยังคงแนะนำให้ผู้ดูแลระบบทำการ factory reset ก่อนอัปเดตเป็น Ivanti Connect Secure 22.7R2.5 เช่นเดียวกัน

ทั้งนี้ Ivanti ยังได้ออกอัปเดตช่องโหว่อีกรายการ คือ CVE-2025-0283 ซึ่งเป็นช่องโหว่ที่ทำให้ Hacker สามารถยกระดับสิทธิ์ได้ ซึ่งช่องโหว่นี้ไม่ได้เกี่ยวข้องกับช่องโหว่ CVE-2025-0282 และปัจจุบันยังไม่พบการโจมตีจากช่องโหว่ดังกล่าว

โดย Ivanti กำลังทำงานร่วมกับ Mandiant และ Microsoft Threat Intelligence Center เพื่อสืบสวนการโจมตี ซึ่งอาจจะมีรายงานที่เกี่ยวกับมัลแวร์ที่ตรวจพบเร็ว ๆ นี้

ในเดือนตุลาคม 2023 Ivanti ได้ออกอัปเดตด้านความปลอดภัยเพื่อแก้ไขการโจมตีช่องโหว่ Zero-Day บน Cloud Services Appliance (CSA) จำนวน 3 รายการที่กำลังถูกใช้ในการโจมตีอย่างต่อเนื่อง

ที่มา : bleepingcomputer