นักวิจัยด้านความปลอดภัยของ SophosLabs ได้ค้นพบมัลแวร์แอนดรอยด์ตัวใหม่ในแอปพลิเคชัน QR reader หลายรายการบน Google Play Store ที่ถูกพัฒนาขึ้นเพื่อคอยแสดงโฆษณาเป็นจำนวนมากแก่ผู้ใช้งาน สร้างรายได้เป็นจำนวนมากให้แก่ผู้ประสงค์ร้าย

มัลแวร์บนแอนดรอดย์ดังกล่าวนั้นถูกระบุในชื่อสายพันธุ์ Andr/HiddnAd-AJ โดยพบมัลแวร์ประเภทดังกล่าวในแอปอ่าน QR code จำนวน 6 แอป และในแอปพลิเคชัน Smart compass อีกหนึ่งแอป การทำงานของมัลแวร์ตัวนี้เมื่อถูกติดตั้งในอุปกรณ์แล้วจะมีการรอถึง 6 ชั่วโมงก่อนจะเริ่มสแปมอุปกรณ์ด้วยโฆษณาและส่งการแจ้งเตือนลิงค์โฆษณาเข้ามา

มีการรายงานไปยัง Google และดำเนินการลบแอปพลิเคชันที่ติดมัลแวร์ออกเรียบร้อยแล้ว แต่คาดว่ามีผู้ใช้แอปบางส่วนได้ดาวน์โหลดไปแล้วกว่า 500,000 ครั้ง

ที่มา:hackread

กลุ่มนักวิจัยด้านความปลอดภัยจากบริษัท Kromtech เผยผลการทดสอบความเร็วในการแพร่กระจายของมัลแวร์เรียกค่าไถ่ที่มีเป้าหมายโจมตีเซิร์ฟเวอร์ MongoDB ที่มีช่องโหว่ ค้นพบว่ามัลแวร์ใช้เวลาเพียงแค่ 3 ชั่วโมงในการค้นหาเซิร์ฟเวอร์ที่มีช่องโหว่และอีก 13 วินาทีเพื่อลบฐานข้อมูล

ปัญหาหลักของเซิร์ฟเวอร์ MongoDB โดยส่วนมากนั้นมีที่มาจากการตั้งค่าที่ไม่ปลอดภัยซึ่งมักจะถูกตั้งค่ามาทันทีที่เริ่มติดตั้งและมีการใช้งาน บริการ Shodan ตรวจพบเซิร์ฟเวอร์ MongoDB กว่า 30,000 รายที่ยังคงมีความเสี่ยงที่จะถูกโจมตีและได้รับผลกระทบจากมัลแวร์เรียกค่าไถ่

รูปแบบการโจมตีที่แฮกเกอร์ดำเนินการนั้น ทันทีที่แฮกเกอร์สามารถเข้าถึงฐานข้อมูลได้จากระยะไกล แฮกเกอร์จะทำการลบฐานข้อมูลรวมไปถึงไฟล์บันทึกการเข้าถึงต่างๆ เพื่อลบร่องรอยตัวเอง หลังจากนั้นแฮกเกอร์จะทำการสร้างฐานข้อมูลใหม่เพื่อแจ้งให้ผู้ใช้งานทราบและเรียงร้องค่าไถ่

Recommendation : การป้องกันในเบื้องต้นนั้น แนะนำให้ผู้ใช้งานและผู้ดูแลระบบทำการตั้งค่าระบบตาม Security Best Practices (https://www.

นักวิจัยจาก Kaspersky Lab ได้มีการเปิดเผยข้อมูลว่าฟังก์ชันเดิมของ Prilex คือการปรับแต่ง Malware ด้วยฟังก์ชันพิเศษเพื่อขโมยข้อมูลบัตรจากระบบ POS หมายความว่าระบบ POS เมื่อติด Malware แล้วอาจถูกปรับแต่ง และทำให้บุคคลที่สามสามารถเข้ามาดักจับข้อมูลระหว่างทางได้ โดยช่วงระยะทางดังกล่าวคือตอนที่ลูกค้ามีการจ่ายเงินผ่านระบบ POS ที่ติด Malware ข้อมูลดังกล่าวจะถูกส่งไปให้กับ Hacker โดยอัตโนมัติ ในประเทศบราซิลกลุ่ม Hacker ได้มีการพัฒนาโคงสร้างของ Malware และสร้างบัตรปลอมขึ้นมา มีข้อผิดพลาดเกิดขึ้นในการพัฒนาตัว EMV( ระบบรักษาความปลอดภัยสำหรับการทำธุรกรรมทางการเงิน) ซึ่งนั่นทำให้ข้อมูลที่ผ่านกระบวนการยืนยันไม่ได้รับการยืนยัน และที่แน่ไปกว่านั้นคือบัตรปลอมเหล่านี้สามารถใช้ได้กับทุกระบบ POS ในบราซิล

นักวิจัยจาก Kaspersky Lab ระบุถึงรายละเอียดโครงสร้างตัว Prilex ว่ามี Java applet และแอพพลิเคชันชื่อว่า Daphne ซึ่งเขียนข้อมูลลงบนบัตรปลอม และจะประเมินจำนวนข้อมูลที่สามารถดึออกมาได้ Prilex ยังมีฐานข้อมูลที่เอาไว้เก็บรหัสของบัตรต่างๆ ข้อมูลจะถูกขายเป็นแพ็คเกจในบราซิล โดยปกติเมื่อมีการใช้บัตรที่ระบบ POS จะประกอบไปด้วย 4 ขั้นตอน Namely Initialization, Data Authentication, Cardholder Verification, และ Transaction มีเพียงแค่ขั้นตอนแรกและสุดท้ายที่จำเป็น สองอันตรงกลางสามารถข้ามขั้นตอนไปได้ เมื่อมีการใช้บัตรปลอมดังกล่าว ระบบ POS จะได้รับสัญญาณว่าข้ามขั้นตอน data authentication ได้ และตัวระบบไม่จำเป็นต้องมองหา Cryptographic Keys ของบัตร

Santiago Pontiroli นักวิจัยจาก Kaspersky ได้ออกมาบอกว่า Orilex ในเวลานี้เป็น Malware ที่รองรับการใช้งานของ Hacker แบบเต็มตัวเพราะมีหน้า UI ที่ออกแบบมาดี และมีไฟล์ต้นแบบในการสร้างโครงสร้างบัตรต่างๆ ทำให้กลายเป็นธุรกิจในตลาดมืด

ที่มา : hackread

VMware ปล่อยแพตช์ด้านความปลอดภัยเพื่อแก้ไขช่องโหว่ Denial-of-service (CVE-2018-6957) บน VMware Workstation และ Fusion ที่ถูกค้นพบโดย Lilith Wyatt นักวิจัยด้านความปลอดภัยจาก Cisco
ช่องโหว่ดังกล่าวเกิดจากผู้ใช้สามารถเปิด VMC เซสชั่นได้จำนวนมาก ส่งผลกระทบกับ VMware Workstation (14.x ก่อน 14.1.1, 12.x) และ Fusion (10.x ก่อน 10.1.1 และ 8.x)

เวอร์ชั่นที่ได้รับการแก้ไขแล้วคือ VMware Workstation 14.1.1 และ Fusion 10.1.1 สำหรับ VMware Workstation 12.x และ Fusion 8.x. สามารถดูวิธีแก้ไขได้จาก KB52934

Recommendation
แนะนำให้ผู้ใช้ทำการอัพเดทแพตช์เพื่อแก้ไขช่องโหว่ดังกล่าว

ที่มา : blogs.

Nabeel Ahmed นักวิจัยด้านความปลอดภัยจาก Trend Micro Zero Day Initiative พบช่องโหว่ในฟีเจอร์ Windows Remote Assistance (Quick Assist) (CVE-2018-0878) บน Windows ที่มีผลกระทบต่อ Windows ทุกเวอร์ชันรวมถึง Windows 10, 8.1, RT 8.1 และ 7 ช่องโหว่ดังกล่าวช่วยให้ผู้โจมตีสามารถเข้าถึงเครื่องเป้าหมายจากระยะไกลเพื่อขโมยข้อมูลสำคัญได้

Windows Remote Assistance เป็นเครื่องมือที่ช่วยให้ผู้ใช้สามารถเข้าถึงเครื่องคอมพิวเตอร์ได้จากระยะไกล เพื่อให้ผู้ใช้สามารถแก้ไขปัญหาได้จากทั่วโลก
ฟีเจอร์ดังกล่าวใช้เซอร์วิช Remote Desktop Protocol (RDP) เพื่อสร้างการเชื่อมต่อที่ปลอดภัยระหว่างผู้ใช้

ช่องโหว่ดังกล่าวมีผลต่อ Microsoft Windows Server 2016, Windows Server 2012 และ R2, Windows Server 2008 SP2 และ R2 SP1, Windows 10 (ทั้ง 32 บิตและ 64 บิต), Windows 8.1 (ทั้ง 32 บิตและ 64 บิต) และ RT 8.1 และ Windows 7 (ทั้ง 32 บิตและ 64 บิต)

Recommendation
ทาง Windows ได้ทำการแก้ไขช่องโหว่ดังกล่าวในแพทช์ประจำเดือนมีนาคม แนะนำให้ผู้ใช้งานอัพเดทแพทช์เพื่อแก้ไขช่องโหว่ดังกล่าว

ที่มา : thehackernews

Orbitz หนึ่งในบริษัทจัดการด้านการท่องเที่ยวระดับโลกและหนึ่งในบริษัทลูกภายใต้ Expedia ได้ออกมาประกาศว่า ระบบของผู้บริษัทได้ถูกโจมตี และผู้โจมตีสามารถเข้าถึงข้อมูลสำคัญซึ่งรวมไปถึงข้อมูลเครดิตของผู้ใช้งาน Orbitz ได้ โดยส่งผลกระทบกับผู้ใช้งานกว่าเกือบ 880,000 คน

อ้างอิงจากการวิเคราะห์ในเบื้องต้น การโจมตีระบบดังกล่าวนั้นได้ถูกค้นพบเมื่อเดือนที่ผ่านมาแต่ผู้โจมตีนั้นน่าจะมีการเข้าถึงระบบมาได้ก่อนแล้วก่อนที่จะพยายามขโมยข้อมูลออกไป ช่วงเวลาเกิดเหตุนั้นถูกระบุว่าอยู่ในช่วงเดือนตุลาคม 2016 จนถึงเดือนธันวาคม 2017

อย่างไรก็ตามยังไม่มีการระบุจากทาง Orbitz และบริษัทแม่ Expedia ถึงสาเหตุของการรั่วไหลของข้อมูลในครั้งนี้ ในการประกาศอย่างเป็นทางการนั้น Orbitz รับปากแต่เพียงว่าจะดำเนินการแจ้งเตือนผู้ใช้ที่ได้รับผลกระทบโดยเร็วที่สุดและจะมีการให้บริการมอนิเตอร์เครดิตและปกป้องข้อมูลส่วนตัวฟรีหนึ่งปีเพื่อให้ผู้ใช้งานทีได้รับผลกระทบนั้นมีช่องทางในการป้องกันการนำข้อมูลไปใช้โดยมิชอบได้

ที่มา : thehackernews

งาน Pwn2Own 2018 จัดขึ้นโดย Trend Micro Zero Day Initiative ที่ CanSecWest Vancouver ได้มีการเปิดเผยช่องโหว่ด้านความปลอดภัยที่มีอยู่ในผลิตภัณฑ์ยอดนิยมเช่น Apple, Microsoft, Mozilla และ Oracle ซึ่งมีแฮกเกอร์จากทั่วโลกเข้ามาค้นหาช่องโหว่ Zero-day จากผลิตภัณฑ์ดังกล่าว

ในวันแรก (14 มีนาคม 2018) Richard Zhu ได้กำหนดเป้าหมายไปที่ Safari ของ Apple เพื่อหลบหลีกการทำงานของ Sandbox แต่ไม่สามารถบรรลุเป้าหมายในเวลาที่กำหนดไว้ 30 นาทีได้ แต่เมื่อเปลี่ยนเป้าหมายเป็นเบราว์เซอร์ Edge ของ Microsoft โดยใช้ประโยชน์จากข้อบกพร่องด้านความปลอดภัยแบบ use-after-free ทำให้ Zhu สามารถแฮ็กเบราว์เซอร์ได้ ได้รับเงินรางวัลจำนวน 70,000 เหรียญ

ในวันเดียวกัน แฮ็กเกอร์จากทีม phoenhex ได้กำหนดเป้าหมายไปที่ Oracle VirtualBox โดยใช้ช่องโหว่ซึ่งทำให้สามารถรันแอปทะลุ virtualization ได้ ทำให้ได้รับเงินรางวัล 27,000 เหรียญ

แฮ็กเกอร์ Samuel Groß จากทีม phoenhex ใช้ช่องโหว่จาก Safari ทะลุไปจนถึง macOS Kernel ได้ โดยช่องโหว่ที่ใช้เป็น JIT Optimization ที่อยู่บนเบราเซอร์ และ Logic bug ของ macOS ทำให้ได้รับรางวัล 65,000 เหรียญ

ในวันที่สอง (15 มีนาคม 2018) Richard Zhu ได้กลับมาโดยการแฮ็ก Firebox โดยใช้ช่องโหว่ out-of-bounds และ integer overflow ใน Windows kernel และรันโค้ดของเขาด้วยการยกระดับสิทธิ์ สำหรับการแฮ็ก Firefox นั้น Zhu ได้รับเงินรางวัลจำนวน 50,000 เหรียญรวมทั้งรางวัล Master of Pwn โดย Zhu ได้รับเงินรางวัลทั้งหมด 120,000 เหรียญจากการแฮก Microsoft Edge และ Firefox

ทีมสุดท้ายคือ MWR Labs กลุ่มแฮกเกอร์ Alex Plaskett, Georgi Geshev และ Fabi Beterke ได้เล็งเป้าหมายไปที่ Apple Safari ด้วยการหลบหลีกการทำงานของ Sandbox โดยใช้ประโยชน์จาก buffer underflow ของ heap ในเบราว์เซอร์และปัญหา stack uninitialized ใน macOS ทำให้ได้รับเงินรางวัล 55,000 เหรียญ และ 5 Master of Pwn points

สำหรับการประกวดสองวันกลุ่มแฮกเกอร์ได้รับรางวัลรวม 267,000 เหรียญ ในขณะที่แฮกเกอร์ค้นพบข้อบกพร่องของ Mozilla 1 รายการ Oracle 2 รายการ Microsoft 4 รายการและข้อบกพร่องของ Apple รายการ

ที่มา : hackread

Imperva ค้นพบการโจมตีเซิร์ฟเวอร์ PostgreSQL เพื่อติดตั้งมัลแวร์การทำเหมืองข้อมูล cryptocurrency ซึ่งมัลแวร์นี้ถูกซ่อนไว้ในภาพดารา Hollywood ชื่อดังอย่าง Scarlett Johansson

ผู้บุกรุกทำการโจมตี PostgreSQL ผ่านการใช้ module ที่ได้รับการดัดแปลงสำหรับหลีกเลี่ยงการตรวจจับใน Metasploit เมื่อได้ shell ของเครื่องแล้ว สิ่งแรกที่ทำคือการตรวจสอบข้อมูลของ CPU และ GPU ว่าเหมาะสมต่อการทำ cryptocurrency mining ขนาดไหน จากนั้นจะทำการดาวน์โหลดภาพของ Scarlett Johansson จากเว็บไฟล์โฮสติ้ง เมื่อทำการตรวจสอบภาพดังกล่าวพบว่ามีข้อมูลไบนารีที่ผิดปกติซ่อนไว้

จากการตรวจสอบ wallet address ของแฮ็กเกอร์พบว่ามี coin มูลค่าประมาณ 90,000 เหรียญ ซึ่งหมายความว่าผู้โจมตีน่าจะมีการฝังโปรแกรมขุดไว้บนเซิร์ฟเวอร์หลายเครื่องแล้ว

แต่ทำไมผู้โจมตีใช้รูปภาพของคนดังเพื่อฝังมัลแวร์? นักวิจัยเชื่อว่าการทำเช่นนี้เป็นการหลอกลวงโปรแกรมรักษาความปลอดภัยเนื่องจากเทคนิคการผนวกรหัสไบนารีกับไฟล์รูปภาพหรือเอกสารที่แท้จริงทำให้ไฟล์ดูถูกต้องปลอดภัยและสามารถผ่านซอฟต์แวร์ป้องกันไวรัสส่วนใหญ่ได้

ที่มา : hackread

นักวิจัยจาก Kroll Cyber Security ค้นพบมัลแวร์ขนาดเล็กซึ่งมีขนาดประมาณ 6k โดยจัดอยู่ในกลุ่มของ Point-of-sale malware ถูกเรียกว่า "PinkKite" ด้วยขนาดที่เล็กทำให้มัลแวร์หลีกเลี่ยงการตรวจจับได้ง่าย

มัลแวร์ยังมีการใช้ obfuscation โดยใช้การเข้ารหัสด้วย double-XOR ซึ่งเข้ารหัสตัวเลข 16 หลักของหมายเลขบัตรเครดิตด้วยคีย์ที่กำหนดไว้ล่วงหน้าเพื่อให้การตรวจจับทำได้ยาก นอกจากนี้ยังมีการใช้ memory-scraping เพื่อดึงข้อมูลสำคัญจาก Memory ของเครื่อง

ผู้โจมตีได้ใช้สำนักหักบัญชีทั้งหมดสามแห่งในเกาหลีใต้ แคนาดาและเนเธอร์แลนด์เพื่อรับข้อมูลที่ถูกขโมย แทนที่จะส่งไปยัง C&C โดยตรง โดยข้อมูลบัตรเครดิตจะถูกเก็บไว้ในไฟล์บีบอัดที่มีชื่อเช่น. f64, .n9 หรือ. sha64 แต่ละแฟ้มข้อมูลสามารถมีได้สูงสุด 7,000 หมายเลขบัตรเครดิต และทำการจัดส่งผ่านเซอร์วิส Remote Desktop ไปยังหนึ่งในสามสำนักหักบัญชี

Kroll คาดว่าผู้โจมตีทำการโจมตีที่ระบบหลักจากนั้นใช้ PsExec เพื่อโจมตีระบบอื่นๆภายในเครือข่าย และทำการวาง malware ใน POS นอกจากนี้ผู้โจมตียังมีการใช้เครื่องมือที่ได้รับความนิยมอย่าง Mimikatz เพื่อดึงข้อมูล credentials จาก Local Security Authority Subsystem Service (LSASS) ทำให้สามารถเข้าถึงจากระยะไกลผ่านเซอร์วิส Remote Desktop (RDP) เพื่อลบข้อมูลบัตรเครดิตภายหลังได้

ที่มา : threatpost

พบการระบาดของมัลแวร์ กระทบผู้ใช้ส่วนใหญ่ในรัสเซียและตุรกีกว่า 400,000 คน ภายในช่วงระยะเวลา 12 ชั่วโมง จากการใช้ backdoor บน BitTorrent สัญชาติรัสเซีย ที่ชื่อว่า "MediaGet"

ไมโครซอฟท์เปิดเผยรายงานเชิงลึกเกี่ยวกับการทำงานของโทรจันตัวนี้ ที่มีชื่อว่า Dofoil หรือ Smoke Loader โดยจะถูกติดตั้งลงบนคอมพิวเตอร์ของผู้ใช้ผ่านทางไฟล์ชื่อ my.