กิจกรรมการสแกนซึ่งมุ่งเป้าไปยังหน้า Portal สำหรับล็อกอิน GlobalProtect VPN ของ Palo Alto Networks ได้เพิ่มขึ้นถึง 40 เท่าภายในระยะเวลา 24 ชั่วโมง ซึ่งเป็นสัญญาณที่แสดงให้เห็นว่าเป็นแคมเปญการโจมตีที่มีการประสานงานกันอย่างเป็นระบบ

GreyNoise บริษัทผู้ให้บริการข้อมูล threat intelligence แบบ Real-time รายงานว่า กิจกรรมดังกล่าวได้เริ่มไต่ระดับสูงขึ้นเมื่อวันที่ 14 พฤศจิกายน และพุ่งแตะระดับสูงสุดในรอบ 90 วันภายในระยะเวลาเพียงหนึ่งสัปดาห์

ในประกาศดังกล่าวระบุว่า "GreyNoise ตรวจพบการยกระดับขึ้นอย่างมีนัยสำคัญของกิจกรรมที่เป็นอันตราย ซึ่งมุ่งเป้าไปยังหน้า Portal ของ Palo Alto Networks GlobalProtect"

"โดยเริ่มตั้งแต่วันที่ 14 พฤศจิกายน 2025 กิจกรรมดังกล่าวได้เพิ่มปริมาณสูงขึ้นอย่างรวดเร็ว จนพุ่งสูงขึ้นถึง 40 เท่าภายในระยะเวลา 24 ชั่วโมง และทำสถิติสูงสุดครั้งใหม่ในรอบ 90 วัน"

เมื่อช่วงต้นเดือนตุลาคม GreyNoise เคยรายงานว่าพบจำนวน IP address ที่เข้ามาสแกนโปรไฟล์ของ Palo Alto Networks GlobalProtect และ PAN-OS เพิ่มขึ้นถึง 500% โดย 91% ของจำนวนดังกล่าวถูกจัดประเภทว่าเป็น 'suspicious' และอีก 7% ระบุว่าเป็น 'clearly malicious'

ก่อนหน้านี้ในเดือนเมษายน 2025 GreyNoise ได้รายงานถึงกิจกรรมการสแกนที่พุ่งสูงขึ้นอีกระลอก โดยมีเป้าหมายที่หน้า Portal สำหรับล็อกอินของ Palo Alto Networks GlobalProtect ซึ่งเกี่ยวข้องกับ IP address ถึง 24,000 IP โดยส่วนใหญ่ถูกจัดประเภทว่าเป็น 'suspicious' และมี 154 IP ที่ระบุว่าเป็น 'malicious'

GreyNoise เชื่อว่ากิจกรรมล่าสุดนี้เชื่อมโยงกับแคมเปญที่เกี่ยวข้องกันก่อนหน้านี้ โดยพิจารณาจากข้อมูล Fingerprint แบบ TCP/JA4t ที่ปรากฏซ้ำ, การนำหมายเลข ASN (Autonomous System Numbers) เดิมกลับมาใช้ใหม่ และช่วงเวลาของการพุ่งขึ้นของกิจกรรมที่สอดคล้องกันในแต่ละแคมเปญ

ASN หลักที่ถูกใช้ในการโจมตีเหล่านี้ระบุได้ว่าเป็น AS200373 (3xK Tech GmbH) โดย 62% ของ IP มีที่ตั้งอยู่ในประเทศเยอรมนี และ 15% อยู่ในแคนาดา ส่วน ASN ที่ 2 ที่เกี่ยวข้องกับกิจกรรมดังกล่าว คือ AS208885 (Noyobzoda Faridduni Saidilhom)

การมุ่งเป้าโจมตีการล็อกอิน VPN

ระหว่างวันที่ 14 ถึง 19 พฤศจิกายน GreyNoise ตรวจพบ session การเชื่อมต่อถึง 2.3 ล้านครั้ง ที่พยายามเข้าถึง URI /global-protect/login.

วันที่ 20 พฤศจิกายนที่ผ่านมา SonicWall บริษัทด้านความปลอดภัยทางไซเบอร์สัญชาติอเมริกัน ได้แจ้งเตือนให้ลูกค้าให้เร่งทำการแพตช์แก้ไขช่องโหว่ที่มีระดับความรุนแรงสูงในระบบ SonicOS SSLVPN ที่อาจทำให้แฮ็กเกอร์สามารถโจมตี Firewall จนหยุดการทำงานได้

ช่องโหว่ดังกล่าวมีหมายเลข CVE-2025-40601 เป็นช่องโหว่ประเภท Denial-of-Service (DoS) ที่เกิดจากช่องโหว่ Stack-based Buffer Overflow โดยส่งผลกระทบต่อ firewall รุ่น Gen8 และ Gen7 (ทั้งแบบ Hardware และ Virtual)

SonicWall ระบุว่า "ช่องโหว่ Stack-based Buffer Overflow ในบริการ SonicOS SSLVPN จะทำให้ผู้โจมตีจากภายนอก สามารถเรียกใช้การโจมตีแบบ Denial of Service (DoS) ได้โดยไม่ต้องยืนยันตัวตน ซึ่งอาจส่งผลให้ Firewall ที่ได้รับผลกระทบหยุดการทำงานไปทันที

"ทางทีม PSIRT ของ SonicWall ระบุว่า ยังไม่พบการนำช่องโหว่ดังกล่าวไปใช้ในการโจมตีจริงในขณะนี้ อีกทั้งยังไม่มีการเปิดเผยโค้ด PoC สู่สาธารณะ และยังไม่ได้รับรายงานว่ามีการนำช่องโหว่ดังกล่าวไปใช้ในทางที่เป็นอันตรายแต่อย่างใด"

"อย่างไรก็ตาม ทางบริษัทได้แจ้งเพิ่มเติมว่า Firewall รุ่น Gen6 รวมถึงผลิตภัณฑ์ SSL VPN ในตระกูล SMA 1000 และ SMA 100 นั้นไม่ได้รับผลกระทบจากช่องโหว่ดังกล่าว"

"แม้ SonicWall จะยังไม่พบหลักฐานว่ามีการนำ CVE-2025-40601 ไปใช้ในการโจมตีจริง แต่ทางบริษัทก็ได้เน้นย้ำให้ผู้ดูแลระบบ Network ปฏิบัติตามแนวทางแก้ไขที่ได้ระบุไว้ในประกาศแจ้งเตือนความปลอดภัยของวันที่ 20 พฤศจิกายนที่ผ่านมา"

"สำหรับผู้ดูแลระบบที่ไม่สามารถติดตั้งอัปเดตความปลอดภัยได้ทันที แนะนำให้ทำการ ปิดการใช้งานบริการ SonicOS SSLVPN หรือ ปรับปรุง Rules เพื่อจำกัดสิทธิ์การเข้าถึงอุปกรณ์ Firewall ของ SonicWall ให้เหลือเฉพาะจากต้นทางที่เชื่อถือได้เท่านั้น

นอกจากนี้ ทางบริษัทยังได้ออกแพตช์แก้ไขอีก 2 ช่องโหว่ ที่ส่งผลกระทบต่ออุปกรณ์ Email Security (รุ่น ES Appliance 5000, 5050, 7000, 7050, 9000, VMWare และ Hyper-V) ซึ่งอาจทำให้ผู้โจมตีจากภายนอก สามารถเรียกใช้โค้ดอันตรายเพื่อแฝงตัวอยู่บนระบบได้ (CVE-2025-40604) และสามารถเข้าถึงข้อมูลที่มีการจำกัดสิทธิ์ได้ (CVE-2025-40605)

โดย SonicWall ได้ระบุในประกาศแจ้งเตือนแยกอีกฉบับว่า "ขอแนะนำให้ผู้ใช้งานผลิตภัณฑ์ Email Security (รุ่น ES Appliance 5000, 5050, 7000, 7050, 9000, VMWare และ Hyper-V) ทำการอัปเกรดระบบทันที"

เมื่อช่วงต้นเดือนที่ผ่านมา SonicWall ได้ยืนยันว่า กลุ่มแฮ็กเกอร์ที่ได้รับการสนับสนุนจากรัฐบาล คือผู้อยู่เบื้องหลังเหตุการณ์ความปลอดภัยเมื่อเดือนกันยายน ซึ่งส่งผลให้ไฟล์สำรองการตั้งค่าของ Firewall ลูกค้าเกิดการรั่วไหล โดยเหตุการณ์นี้เกิดขึ้นราวหนึ่งเดือนหลังจากที่นักวิจัยได้แจ้งเตือนว่า ผู้ไม่หวังดีได้เข้าควบคุมบัญชี SonicWall SSLVPN ไปกว่า 100 บัญชี ด้วยการใช้ข้อมูล Credential ที่ขโมยมา

นอกจากนี้ ในเดือนกันยายน บริษัทยังได้ปล่อยอัปเดต Firmware เพื่อช่วยให้ผู้ดูแลระบบ IT สามารถกำจัดมัลแวร์ Rootkit ที่ชื่อ OVERSTEP ซึ่งถูกฝังเข้ามาในการโจมตีที่มุ่งเป้าไปยังอุปกรณ์รุ่น SMA 100 อีกด้วย

ที่มา : bleepingcomputer

D-Link ได้ออกมาแจ้งเตือนเกี่ยวกับช่องโหว่ Remote Command Execution จำนวน 3 รายการ ซึ่งส่งผลกระทบต่อเราเตอร์รุ่น DIR-878 ทุกโมเดล และทุกเวอร์ชันของฮาร์ดแวร์ โดยแม้ว่าเราเตอร์รุ่นนี้จะสิ้นสุดระยะเวลาการ support ไปแล้ว แต่ก็ยังคงมีวางจำหน่ายอยู่ในหลายตลาด

รายละเอียดเชิงเทคนิค และโค้ด Proof-of-Concept (PoC) ที่แสดงให้เห็นถึงช่องโหว่ดังกล่าว ได้รับการเผยแพร่โดยนักวิจัยด้านความปลอดภัยที่ใช้นามแฝงว่า Yangyifan

เนื่องจาก เราเตอร์รุ่น DIR-878 เป็นรุ่นที่นิยมใช้งานกันทั่วไปภายในบ้าน และสำนักงานขนาดเล็ก โดยในช่วงที่เปิดตัวเมื่อปี 2017 นั้น รุ่นนี้ได้รับการยกย่องว่าเป็นเราเตอร์ไร้สายแบบ Dual-band ที่มีประสิทธิภาพสูง

แม้ว่าอุปกรณ์รุ่นนี้จะไม่ได้รับการ support แล้ว แต่ปัจจุบันก็ยังสามารถหาซื้อได้ทั้งในรูปแบบของใหม่ และมือสอง โดยมีราคาอยู่ที่ระหว่าง 75 ถึง 122 ดอลลาร์สหรัฐ

อย่างไรก็ตาม เนื่องจากรุ่น DIR-878 ได้เข้าสู่สถานะสิ้นสุดระยะเวลาการ support ไปแล้วตั้งแต่ปี 2021 ทาง D-Link จึงได้ออกคำเตือนว่าจะ ไม่มีการปล่อยอัปเดตความปลอดภัย สำหรับรุ่นนี้อีกต่อไป และแนะนำให้ผู้ใช้เปลี่ยนไปใช้ผลิตภัณฑ์รุ่นอื่นที่ยังคงได้รับการ support อยู่ในปัจจุบันแทน

สรุปโดยรวมแล้ว ประกาศแจ้งเตือนด้านความปลอดภัยของ D-Link ระบุถึงช่องโหว่ทั้งหมด 4 รายการ โดยในจำนวนนี้มีเพียงรายการเดียวเท่านั้นที่ผู้โจมตีจำเป็นต้องเข้าถึงตัวเครื่องโดยตรง หรือควบคุมอุปกรณ์ผ่าน USB จึงจะสามารถทำการโจมตีได้

CVE-2025-60672 - ช่องโหว่แบบ Remote unauthenticated command execution ผ่านพารามิเตอร์ SetDynamicDNSSettings ที่ถูกบันทึกไว้ใน NVRAM และถูกนำไปเรียกใช้ในคำสั่งของระบบ
CVE-2025-60673 - ช่องโหว่แบบ Remote unauthenticated command execution ผ่านการตั้งค่า SetDMZSettings โดยอาศัยค่า IPAddress ที่ไม่มีการตรวจสอบความปลอดภัย ซึ่งถูก inject เข้าไปในคำสั่ง iptables
CVE-2025-60674 - ช่องโหว่แบบ Stack overflow ในกระบวนการจัดการอุปกรณ์จัดเก็บข้อมูล USB สาเหตุมาจากฟิลด์ "Serial Number" มีขนาดใหญ่เกินกำหนด (ช่องโหว่ดังกล่าวเป็นการโจมตีที่ต้องเข้าถึงตัวเครื่องโดยตรง หรือทำผ่านอุปกรณ์ USB เท่านั้น)
CVE-2025-60676 - ช่องโหว่แบบ Arbitrary command execution ผ่าน field ข้อมูลที่ไม่มีการตรวจสอบความปลอดภัยในไฟล์ /tmp/new_qos.

การแพร่กระจายของชุดเครื่องมือฟิชชิง Tycoon 2FA ถือเป็นภัยคุกคามร้ายแรงต่อองค์กรทั่วโลก เนื่องจากชุดเครื่องมือสำเร็จรูปลักษณะนี้ถูกออกแบบมาให้ใช้งานได้ง่าย แม้แต่ผู้ที่ไม่มีความเชี่ยวชาญก็สามารถใช้เพื่อ Bypass ระบบยืนยันตัวตนหลายปัจจัย (MFA) และแอปยืนยันตัวตนที่องค์กรต่าง ๆ ใช้อยู่ ซึ่งปัจจุบันพบการนำมาใช้งานอย่างแพร่หลาย

จนถึงปีนี้ มีการติดตามการโจมตีไปแล้วมากกว่า 64,000 ครั้ง โดยหลายครั้งมุ่งเป้าไปที่ Microsoft 365 และ Gmail เพราะแพลตฟอร์มเหล่านี้คือเส้นทางที่ง่าย และรวดเร็วที่สุดในการเจาะเข้าสู่องค์กร

ฟิชชิงแบบ Service พร้อมใช้ ไม่ต้องมีทักษะใด ๆ

ความสามารถของ Tycoon 2FA อยู่ที่การไม่ต้องใช้ทักษะทางเทคนิค เนื่องจากมันเป็นชุดเครื่องมือ "Phishing as a Service" ที่พร้อมใช้งาน ฟังก์ชันครบถ้วน และเป็นระบบอัตโนมัติ แม้แต่ผู้ที่ไม่มีพื้นฐานการเขียนโค้ดก็สามารถใช้งานได้ ชุดเครื่องมือนี้จะแนะนำผู้ใช้ตั้งแต่การตั้งค่า การจัดเตรียมหน้าล็อกอินปลอม ไปจนถึงการเปิดเซิร์ฟเวอร์ reverse proxy ให้พร้อมใช้งาน

ชุดเครื่องมือจะทำทุกอย่างที่ยุ่งยากแทนผู้โจมตีทั้งหมด เหลือเพียงให้ผู้โจมตีส่งลิงก์ไปยังเหยื่อ แล้วรอแค่คนใดคนหนึ่งถูกหลอกเท่านั้น

Real-Time MFA Relay และการขโมยเซสชัน

Tycoon 2FA จะดำเนินการทันทีที่เหยื่อหลงกล โดยระบบจะดักจับชื่อผู้ใช้ และรหัสผ่านแบบเรียลไทม์, จัดเก็บ session cookies, และทำหน้าที่เป็นพร็อกซีในขั้นตอนที่ MFA ถูกส่งไปยัง Microsoft หรือ Google เหยื่อจะเข้าใจว่าตนเองกำลังดำเนินการยืนยันตัวตนตามปกติ แต่ในความเป็นจริงแล้ว พวกเขากำลังยืนยันตัวตนให้กับผู้โจมตี

ส่วนที่อันตรายที่สุดคือผู้ใช้ที่ได้รับการฝึกอบรมมาอย่างดีก็ยังอาจตกเป็นเหยื่อได้ เพราะทุกอย่างดูสมจริง หน้าเว็บเป็นแบบไดนามิก และสามารถแสดงผลข้อมูล responses จากเซิร์ฟเวอร์จริงได้

ตัวอย่างเช่น หาก Microsoft ขอให้กรอกรหัส หน้าเว็บก็จะอัปเดตทันที หรือถ้า Google ส่งข้อความแจ้ง (prompt) มันก็จะปรากฏขึ้นตามที่ควรจะเป็น

ไม่มีอะไรแตกต่างให้สังเกตเห็นได้ ไม่มีร่องรอยใด ๆ และไม่มีวิธีการใดที่ MFA แบบเดิม หรือแอปยืนยันตัวตนจะสามารถป้องกันการโจมตีนี้ได้ เนื่องจาก Tycoon ถูกออกแบบมาให้เป็นผู้โจมตีแบบ Man-in-the-Middle โดยตรง

ออกแบบมาเพื่อหลีกเลี่ยงการตรวจจับ

Tycoon 2FA มาพร้อมกับชั้นของการป้องกันการตรวจจับที่เทียบเท่ากับมัลแวร์ระดับสูงหลายตัว โดยใช้เทคนิคต่าง ๆ เช่น การเข้ารหัส Base64, การบีบอัดแบบ LZ string, เทคนิค DOM vanishing, การทำให้โค้ดอ่านไม่ออกด้วย CryptoJS, ระบบกรอง Bot อัตโนมัติ, CAPTCHA และการตรวจจับเครื่องมือ Debugging

ชุดเครื่องมือนี้จะซ่อนพฤติกรรมตัวเองจากเครื่องมือ Scan และนักวิจัยทุกวิถีทาง มันจะแสดงพฤติกรรมจริงก็ต่อเมื่อเป้าหมายเป็นมนุษย์จริง ๆ เท่านั้น และเมื่อมันทำขั้นตอนการยืนยันตัวตนสำเร็จ ผู้โจมตีก็จะได้สิทธิ์เข้าถึงเซสชันเต็มรูปแบบภายใน Microsoft 365 หรือ Gmail

จากจุดเริ่มต้นนั้น ผู้โจมตีสามารถขยายผลการโจมตีไปยังระบบต่าง ๆ ได้อย่างกว้างขวาง เช่น SharePoint, OneDrive, อีเมล, Teams, ระบบ HR, ระบบการเงิน และอื่น ๆ อีกมากมาย การฟิชชิงที่ประสบความสำเร็จเพียงครั้งเดียวอาจนำไปสู่การถูกเจาะระบบทั้งหมดได้

MFA แบบดั้งเดิมอาจไม่เพียงพอแล้ว

สาเหตุที่ MFA แบบดั้งเดิมไม่เพียงพอ เพราะรหัส SMS, การแจ้งเตือนแบบกดอนุมัติ (push) และแอป TOTP ล้วนมีจุดอ่อนเดียวกัน เนื่องจากขึ้นอยู่กับพฤติกรรมของผู้ใช้ และความคาดหวังว่าผู้ใช้จะสังเกตเห็นสิ่งผิดปกติด้วยตนเอง

ระบบเหล่านี้ใช้กลไกที่ผู้โจมตีสามารถดักจับ ส่งต่อ หรือนำมาใช้ซ้ำได้ Tycoon 2FA และเครื่องมืออีกนับสิบชนิดโจมตีจากช่องโหว่นี้ตรง ๆ พวกมันเปลี่ยนผู้ใช้ให้กลายเป็นช่องทางโจมตี และแม้แต่ passkey ก็เริ่มถูกเจาะได้แล้ว เมื่อมีการซิงก์ผ่านบัญชีคลาวด์ หรือมีช่องทางกู้คืน (recovery) ที่สามารถขโมยข้อมูลแบบ social engineering ได้

ผู้โจมตีเข้าใจเรื่องนี้ดีมาก กลุ่มอาชญากรรมอย่าง Scattered Spider, Octo Tempest และ Storm 1167 ใช้ชุดเครื่องมือเหล่านี้ทุกวัน มันคือวิธีโจมตีที่เพิ่มขึ้นเร็วที่สุดในโลก เพราะใช้ง่าย ขยายผลได้มาก และไม่ต้องการทักษะใด ๆ

หลายบริษัทเร่งนำระบบยืนยันตัวตนแบบหลายปัจจัย (MFA) และแอปยืนยันตัวตนมาใช้ แต่กลับพบว่าระบบเหล่านี้อาจไม่เพียงพอเมื่อเจอกับชุดเครื่องมือฟิชชิงที่ออกแบบมาโดยเฉพาะ หากผู้โจมตีสามารถหลอกให้ผู้ใช้งานกรอกรหัส หรืออนุมัติคำขอได้ ผู้โจมตีก็จะประสบความสำเร็จ ซึ่ง Tycoon ทำสิ่งนี้ได้อย่างแม่นยำ

ขั้นต่อไป MFA ที่ฟิชชิงไม่ได้จริง ๆ

ยังมีวิธีการแก้ไขที่ชัดเจน และสามารถเริ่มใช้งานได้รวดเร็ว นั่นคือระบบยืนยันตัวตนที่ป้องกันฟิชชิงด้วยข้อมูล biometric บนฮาร์ดแวร์ FIDO2 โดยใช้การยืนยันตัวตนแบบ proximity based, domain bound และไม่สามารถถูกรีเลย์ หรือปลอมแปลงได้ ระบบที่ไม่มีรหัสให้กรอก ไม่มีการอนุมัติแจ้งเตือน ไม่มี shared secrets ที่ถูกดักจับได้ และไม่มีวิธีใดที่หลอกให้ผู้ใช้งานช่วยผู้โจมตีได้อีกต่อไป

ระบบที่ปฏิเสธเว็บไซต์ปลอมโดยอัตโนมัติ ระบบที่บังคับให้มีการยืนยันแบบไบโอเมตริกซ์บนอุปกรณ์จริง ซึ่งต้องอยู่ใกล้คอมพิวเตอร์ที่กำลังล็อกอินเท่านั้น

ทั้งหมดนี้เปลี่ยนเกมไปอย่างสิ้นเชิง เพราะมันนำผู้ใช้ออกจากกระบวนการตัดสินใจ แทนที่จะหวังให้คนรู้ทันหน้าเว็บปลอม ตัวอุปกรณ์ยืนยันตัวตนจะตรวจสอบแหล่งที่มาแบบเข้ารหัสเอง

แทนที่จะหวังว่าผู้ใช้จะปฏิเสธการแจ้งเตือนที่เป็นอันตราย อุปกรณ์ยืนยันตัวตนจะไม่มีทางได้รับแจ้งเตือนแบบนั้นตั้งแต่แรก

โมเดลของโทเคน

นี่คือโมเดลที่อยู่เบื้องหลัง Token Ring และ Token BioStick ซึ่งป้องกันฟิชชิงด้วยสถาปัตยกรรม บังคับใช้ไบโอเมตริกซ์เป็นค่าเริ่มต้น อิงตาม Proximity based และผูกกับโดเมนผ่านการเข้ารหัส

การโจมตีจะไม่สำเร็จ เพราะไม่มีโค้ดให้ขโมย ไม่มีการอนุมัติให้หลอกลวง และไม่มีขั้นตอนกู้คืนบัญชีให้มิจฉาชีพใช้โจมตีได้เลย ต่อให้ผู้ใช้พลาดคลิกลิงก์น่าสงสัย หรือแม้แต่บอกรหัสผ่านออกไป (ถ้ายังมีรหัส) หรือโดน Social Engineering ที่แอบอ้างเป็นฝ่ายไอทีโทรมาหลอก การยืนยันตัวตนก็จะไม่สำเร็จอยู่ดี เพราะระบบจะตรวจสอบว่าโดเมนไม่ตรง และไม่มีการยืนยันไบโอเมตริกซ์บนอุปกรณ์จริง

องค์กรที่ใช้อุปกรณ์เหล่านี้พบว่าพนักงานยอมรับได้ง่ายมากกับโซลูชันไร้รหัสผ่านลักษณะนี้ การยืนยันตัวตนทำได้เร็ว (เพียง 2 วินาที) ไม่ต้องจำอะไร ไม่ต้องพิมพ์อะไร ไม่ต้องกดยืนยันอะไร มอบประสบการณ์ผู้ใช้ที่ดีกว่า และสร้างมาตรการความปลอดภัยที่แข็งแกร่งยิ่งกว่าเดิมมาก

ความจริงที่ทุกองค์กรต้องยอมรับ

ทุกองค์กรต้องยอมรับว่าผู้โจมตีได้พัฒนาไปอีกขั้นแล้ว และระบบป้องกันก็ต้องพัฒนาตามให้ทัน การยืนยันตัวตนแบบหลายปัจจัย (MFA) แบบเดิม ๆ รวมถึงแอปยืนยันตัวตน (Authenticator Apps) และแม้แต่ Passkey ก็ไม่อาจป้องกันภัยคุกคามนี้ได้ ดังที่ Tycoon 2FA ได้แสดงให้เห็นว่า ระบบใดก็ตามที่ยังต้องการให้ผู้ใช้ "กรอก" หรือ "กดอนุมัติ" จะสามารถถูกเจาะระบบได้ภายในเวลาไม่กี่วินาที

ที่มา : bleepingcomputer

เทคนิค Social Engineering ที่กำลังเพิ่มขึ้นอย่างรวดเร็วที่เรียกว่า ClickFix กลายเป็นหนึ่งในวิธีการที่ประสบความสำเร็จมากที่สุดในการแพร่กระจายมัลแวร์ในช่วงไม่กี่เดือนที่ผ่านมา

(more…)

Microsoft กำลังเปิดตัวฟีเจอร์ใหม่ของ Teams สำหรับลูกค้า Premium ซึ่งจะบล็อกการจับภาพหน้าจอ และการบันทึกโดยอัตโนมัติระหว่างการประชุม

(more…)

พบช่องโหว่ระดับ Critical ในปลั๊กอิน W3 Total Cache (W3TC) บน WordPress ซึ่งอาจทำให้ผู้ไม่หวังดีสามารถใช้ช่องโหว่ดังกล่าวเพื่อเรียกใช้คำสั่ง PHP บนเซิร์ฟเวอร์ได้ เพียงแค่ทำการโพสต์ Comment ที่มี Malicious payload แอบแฝงอยู่

(more…)

ASUS WRT routers หลายพันเครื่อง ซึ่งส่วนใหญ่เป็นอุปกรณ์ที่หมดอายุการใช้งาน หรือล้าสมัย ได้ถูกโจมตีในแคมเปญระดับโลกที่เรียกว่า Operation WrtHug ซึ่งใช้ประโยชน์จากช่องโหว่ 6 รายการ

(more…)

ชุดเครื่องมือ Phishing-as-a-Service (PhaaS) ที่ชื่อว่า Sneaky2FA ได้เพิ่มขีดความสามารถแบบ Browser-in-the-Browser (BitB) เข้ามา ซึ่งถูกนำมาใช้ในการโจมตีเพื่อขโมยข้อมูล Credentials ของ Microsoft และ session ที่กำลังใช้งานอยู่

(more…)

มัลแวร์ RondoDox botnet กำลังใช้การโจมตีจากช่องโหว่ Remote code execution (RCE) ระดับ Critical ใน XWiki Platform ซึ่งมีหมายเลข CVE-2025-24893

(more…)