CIS ออกประกาศการค้นพบช่องโหว่หลายช่องโหว่บนซอฟต์แวร์ PHP เมื่อช่วงต้นเดือนที่ผ่านมา โดยช่องโหว่ที่ร้ายแรงที่สุดนั้นส่งผลให้ผู้โจมตีสามารถรันโค้ดที่เป็นอันตรายในระบบได้

ในการประกาศนี้นั้นมีจำนวนช่องโหล่รวมกันถึง 54 รายการ กระทบ PHP ก่อนหน้า 7.2.1 สำหรับตระกูล 7.2, ก่อนหน้า 7.1.13 สำหรับตระกูล 7.1, ก่อนหน้า 7.0 สำหรับตระกูล 7.0.27 และก่อนหน้า 5.6.33 สำหรับตระกูล 5.0

ในขณะนี้ยังไม่มีการตรวจพบการใช้ช่องโหว่ดังกล่าวในการโจมตี แต่อย่างไรก็ตามการอัปเดตซอฟต์แวร์จากรุ่นที่มีช่องโหว่ให้เป็นรุ่นล่าสุดที่ไม่มีช่องโหว่ก็เป็นข้อปฏิบัติด้านความปลอดภัยที่ควรดำเนินการอย่างเร่งด่วน

ที่มา : CIS

นักวิจัยด้านความปลอดภัยของ Google ค้นพบช่องโหว่ระดับ Critical ในเกม Blizzard ซึ่งอาจทำให้ผู้โจมตีจากระยะไกลสามารถรันโค้ดที่เป็นอันตรายในคอมพิวเตอร์ของผู้เล่นเกมได้

World of Warcraft, Overwatch, Diablo III, Hearthstone และ Starcraft II เป็นเกมออนไลน์ยอดนิยมที่สร้างโดย Blizzard Entertainment สำหรับการเล่นเกมออนไลน์ Blizzard โดยใช้เว็บเบราเซอร์ ผู้ใช้จำเป็นต้องติดตั้ง Client application ที่ชื่อว่า "Blizzard Update Agent" ลงบนระบบเพื่อรัน JSON-RPC Server ผ่านโปรโตคอล HTTP พอร์ต 1120 และยอมรับคำสั่งในการติดตั้ง, ถอนการติดตั้ง, เปลี่ยนแปลงการตั้งค่า, อัปเดตและทำการ Maintenance

Tavis Ormandy นักวิจัยจากทีม Google Project Zero พบว่า Blizzard Update Agent มีช่องโหว่ที่ใช้เทคนิค DNS Rebinding ในการโจมตีเพื่อทำให้เว็บไซต์สามารถเป็นทางเชื่อมระหว่าง Server ภายนอกกับ localhost ได้ โดยการสร้าง DNS entry เพื่อผูกกับหน้าเว็บที่ผู้โจมตีควบคุมด้วย localhost (127.0.0.1) และหลอกให้ผู้ใช้เข้าชมเว็บไซต์ดังกล่าว จากนั้นผู้โจมตีสามารถส่งคำสั่งพิเศษที่เป็น JavaScrip ไปรันยัง Blizzard Update Agent ได้ ซึ่งโดยปกติแล้ว Web browser จะไม่สามารถ Requests ไปยัง Hostname อื่นที่ไม่ใช่ตนเองได้ แต่ local Blizzard updater service ไม่ต้องยืนยัน Hostname ที่ Request

Ormandy ได้รายงานช่องโหว่ไปยัง Blizzard ในเดือนธันวาคมเพื่อแก้ไขปัญหาแต่ไม่มีการตอบรับใดๆ และมีการออกแพตช์เวอร์ชัน 5996 เพื่อแก้ไขปัญหาแต่ยังไม่สมบูรณ์ Ormandy จึงมีการเผยแพร่รายงานช่องโหว่สู่สาธารณะ หลังจากนั้น Blizzard ได้ติดต่อกลับและแจ้งให้ทราบว่ามีการออกแพตซ์ให้สมบูรณ์แล้ว

ที่มา : The Hacker News

กลุ่มแฮกเกอร์สามารถเข้าถึงเว็บไซต์และขโมยข้อมูลขององค์กรด้านการดูแลสุขภาพ (Health South-East RHF) ซึ่งอาจส่งผลกระทบต่อประชากรมากกว่าครึ่งหนึ่งของประเทศเนื่องจาก Health South-East RHF ทำหน้าที่ในการจัดการหน่วยงานด้านสุขภาพทั้งหมด 9 มณฑล 18 จังหวัดของประเทศนอร์เวย์ ซึ่งประกอบไปด้วย Akershus (รวมถึงเมืองหลวงของนอร์เวย์ Oslo), Aust-Agder, Buskerud, Hedmark, Oppland, Østfold, Telemark, Vest-Agder และ Vestfold ซึ่งเป็นพื้นที่ใหญ่ที่สุดในนอร์เวย์ 4 แห่ง

จากรายงานกลุ่มแฮกเกอร์สามารถเข้าถึงระบบของ Health South-East Regional Health Authority (RHF) โดยสามารถขโมยข้อมูลส่วนบุคคลและข้อมูลด้านสุขภาพของชาวนอร์เวย์จำนวน 2.9 ล้านคนจากจำนวนประชากรทั้งหมด 5.2 ล้านคน

ปัจจุบันกลุ่มแฮกเกอร์จะมีเป้าหมายมุ่งเน้นมาที่องค์กรด้านสาธารณะสุข , องค์กรด้านสาธารณูปโภค และการคมนาคม ต่างๆ เนื่องจากองค์กรเหล่านี้เป็นส่วนหนึ่งของโครงสร้างพื้นฐานที่สำคัญระดับชาติ

ที่มา : BLEEPINGCOMPUTER

WordPress 4.9.2 พร้อมแพตช์ปิดช่องโหว่ด้านความปลอดภัยมาแล้ว

เมื่อสัปดาห์ที่ผ่านมาโครงการ WordPress ได้ประกาศเวอร์ชันล่าสุดของซอฟต์แวร์ WordPress รุ่น 4.9.2 ซึ่งในเวอร์ชันนี้นั้นเป็นการประกาศที่เน้นไปที่การแก้ไขปัญหาด้านความปลอดภัยที่ส่งผลกระทบย้อนหลังกลับไปที่เวอร์ชัน 3.7 โดย WordPress ได้แนะนำให้ผู้ใช้งานทำการอัปเดตให้เป็นเวอร์ชันล่าสุดโดยเร็วที่สุด

สำหรับในเวอร์ชัน 4.9.2 นี้นั้น WordPress ได้มีการแก้ปัญหาที่เกี่ยวกับการใช้งานโดยทั่วไปทั้งหมด 21 จุด และอีก 1 จุดซึ่งเป็นช่องโหว่ XSS ของไลบรารี MediaElement 4.x

ผู้ใช้งานสามารถเข้าไปตรวจสอบรายละเอียดและดาวโหลดเวอร์ชันล่าสุดของ WordPress ได้จากแหล่งที่มา

ที่มา : wordpress

Oracle ประกาศแพตช์ด้านความปลอดภัยประจำเดือนมกราคม 2018 โดยแพตช์ด้านความปลอดภัยนั้นมีจำนวนรวมกว่า 238 รายการและยังรวมไปถึงแพตช์ช่องโหว่ชื่อดังอย่าง Spectre/Meltdown

ใน 238 รายการนั้น มีแพตช์ที่น่าสนใจและมีความร้ายแรงสูงอยู่หลายรายการ อาทิ แพตช์สำหรับช่องโหว่รหัส CVE-2017-10352 ซึ่งเป็นช่องโหว่ประเภท remote code execution บนซอฟต์แวร์ Oracle WebLogic Server ที่ได้คะแนนความร้ายแรงไป 9.9 จาก 10 คะแนนเต็ม และยังรวมไปถึงช่องโหว่บน Java SE รหัส CVE-2018-2638 และ CVE-2018-2639 ที่ได้คะแนนความร้ายแรงไป 8.3 จาก 10 คะแนนเต็ม

แนะนำให้ผู้ใช้งานที่มีการใช้งานซอฟต์แวร์ตามรายการและเวอร์ชันที่ปรากฎในแหล่งที่มาทำการอัปเดตแพตช์ด้านความปลอดภัยโดยด่วน

ที่มา : ORACLE

นักวิจัยด้านความปลอดภัยจาก ICEBRG ค้นพบ extensions ปลอมบน Chrome Web Store ทั้งหมด 4 รายการ ที่ถูกออกแบบมาเพื่อให้ผู้โจมตีสามารถรันคำสั่ง JavaScript ที่เป็นอันตรายไปยังเบราว์เซอร์ของผู้ใช้งาน โดยจากการตรวจสอบพบผู้ใช้งานดาวน์โหลด Extensions ดังกล่าวมากกว่า 500,000 ครั้งจาก Chrome Web Store

Extensions ที่ตรวจพบทั้ง 4 รายการได้แก่
- Change HTTP Request Header (ppmibgfeefcglejjlpeihfdimbkfbbnm)
- Nyoogle - Custom Logo for Google (ginfoagmgomhccdaclfbbbhfjgmphkph)
- Lite Bookmarks (mpneoicaochhlckfkackiigepakdgapj)
- Stickies - Chrome's Post-it Notes (djffibmpaakodnbmcdemmmjmeolcmbae)

หลังจากที่ ICEBRG ตรวจพบพฤติกรรมที่ผิดปกติได้ทำการแจ้งไปยังหน่วยงานต่างๆ ดังนี้
- The National Cyber Security Centre of The Netherlands (NCSC-NL)
- The United States Computer Emergency Readiness Team (US-CERT)
- The Google Safe Browsing Operations team

Chrome Web Store ได้ทำการลบ Extensions ที่เป็นอันตรายออกไปแล้วทั้งหมด 3 รายการ ซึ่งทางบริษัทได้เผยแพร่รายละเอียดเกี่ยวกับพฤติกรรมที่เป็นอันตรายของ Extensions ดังกล่าว โดยคาดหวังว่าผู้ใช้จะทำการตรวจสอบเบราว์เซอร์และลบ Extensions ที่เป็นอันตรายออกจากเครื่อง

ที่มา : BLEEPINGCOMPUTER

นักวิจัยด้านความปลอดภัยจาก Kaspersky Lab ได้ค้นพบ Spyware ตัวใหม่บน Android โดยตั้งชื่อว่า Skygofree ซึ่งเชื่อว่าถูกสร้างขึ้นโดยบริษัท Italian IT โดยมีเป้าหมายเป็นผู้ใช้ในประเทศอิตาลีเท่านั้น

นักวิจัยกล่าวว่าในโค้ดของสปายแวร์มี Multiple strings และ Comments ที่เป็นภาษาอิตาลี และพบข้อความ "negg" ซึ่งตรงกับชื่อของบริษัท ซอฟต์แวร์ด้านไอทีของอิตาลี (Negg International) ที่ให้บริการเกี่ยวกับโฆษณารวมถึงการรักษาความปลอดภัยในโลกไซเบอร์ มือถือ และพัฒนาแอพบนเว็บ ทาง Kaspersky ยังไม่สามารถยืนยันได้ว่า negg เป็นผู้สร้าง Skygofree โดยอาจพัฒนาขึ้นเพื่อใช้ในทางกฎหมายของอิตาลีเพื่อช่วยในการจับกุมผู้ต้องสงสัยในการสืบสวนอย่างเป็นทางการ ซึ่งเครื่องมือดังกล่าวเรียกว่า "lawful intercept" หรือ "lawful surveillance"

Skygofree เป็นเครื่องมือสอดแนมบน Android ซึ่งในเชิงเทคนิคถือว่ามีประสิทธิภาพมาก เช่น การใช้ประโยชน์จากช่องโหว่หลายอย่างเพื่อให้ได้รับสิทธิ์ root ,โครงสร้างของ Payload ที่ซับซ้อน และความสามารถอื่นๆ ของ Skygofree ซึ่งสรุปจากการวิเคราะห์ของ Kaspersky ได้แก่
- บันทึกเสียงและอัพโหลดไฟล์บนเซิร์ฟเวอร์จากระยะไกล
- บันทึกเสียงรอบด้านในสถานที่ที่กำหนด
- การติดตามตำแหน่งด้วยการตรวจจับการเคลื่อนไหว
- การติดตาม GSM (CID, LAC, PSC)
- ขโมยข้อมูลจากคลิปบอร์ดของโทรศัพท์
- Keylogging features
- ค้นหาไฟล์และอัพโหลดไฟล์ที่ถูกขโมยไปยังเซิร์ฟเวอร์ได้จากระยะไกล
- Skygofree สามารถควบคุมผ่านโปรโตคอล HTTP, XMPP, binary SMS และ FirebaseCloudMessaging
- สร้างการเชื่อมต่อ Wi-Fi ใหม่และบังคับให้โทรศัพท์ของผู้ใช้เชื่อมต่อ
- สามารถเพิ่มตัวเองลงในรายการ "Protected Apps" บนอุปกรณ์ Huawei ได้ แอปในรายการนี้ได้รับอนุญาตให้ทำงานเมื่อปิดหน้าจอโทรศัพท์
- reverse shell สำหรับการส่งคำสั่งไปยังอุปกรณ์ที่ติดไวรัส
- ใช้ประโยชน์จากช่องโหว่ (CVE-2013-2094, CVE-2013-2595, CVE-2013-6282, CVE-2014-3153, CVE-2015-3636)
- สามารถดึงข้อมูลจากแอพพลิเคชัน IM เช่น Line, Viber, WhatsApp, Facebook และ Facebook Messenger
- อ่านบทสนทนาใน WhatsApp

แม้ว่าจะเป็นหนึ่งในมัลแวร์แอนดรอยด์ที่ทันสมัยที่สุด แต่ Skygofree ไม่ใช่โค้ดต้นฉบับ มัลแวร์ดังกล่าวถูกใช้ร่วมกันโดยใช้โครงการโอเพนซอร์สหลายโครงการบน GitHub เช่น PRISM (reverse shell), Android-rooting-tools (Android rooting tools), El3ct71k Keylogger (keylogger) และ Xenotix Python Keylogger ( Windows keylogger)

ที่มา : BLEEPINGCOMPUTER

มัลแวร์แอนดรอยด์ที่เขียนขึ้นโดย Kotlin พบใน Play Store

นักวิจัยด้านความปลอดภัยด้านไอทีของ Trend Micro ได้ค้นพบ Android OS Androidos_Bkotklind.

Patrick Wardle ได้วิเคราะห์มัลแวร์ตัวใหม่ที่ออกแบบมาเพื่อโจมตีไปที่การตั้งค่า DNS บนอุปกรณ์ macOS ชื่อ OSX / MaMi หรือ "SBMaMiSettings" ปัจจุบันสามารถตรวจจับได้โดย ESET และ Ikarus มีชื่อ Signature ว่า OSX / DNSChanger.

นักวิจัยจาก Check Point พบ Adware ตัวใหม่ที่เรียกว่า LightsOut ในแอพพลิเคชั่นอย่างน้อย 22 รายการ บน Google Play Store ขณะนี้แอพพลิเคชั่นเหล่านี้ถูกนำออกไปเรียบร้อยแล้ว แต่พบว่ามีการดาวน์โหลดไปแล้วอย่างน้อย 1.5 ล้านครั้ง

แอพพลิเคชั่นเหล่านี้จะมีการฝังสคริปท์ที่เป็นอันตราย เมื่อมีความพยายามที่จะกำหนดค่าเพื่อให้หยุดการแสดงโฆษณาดังกล่าว จะทำให้สคริปท์ที่ฝังไว้ทำงาน และไอคอนของแอพพลิเคชั่นจะถูกซ่อนไว้เพื่อป้องกันการถูกลบจากอุปกรณ์ นักวิจัยของ Check Point ได้มีวิดีโอเพื่อแสดงให้เห็นถึงวิธีการต่างๆที่ทำให้มัลแวร์ตัวนี้เปิดโฆษณาขึ้นมาบนมือถือ เช่น หลังจากวางสาย, การปลดล็อกหน้าจอ, การชาร์จ หรือการเปิดใช้งาน Wi-Fi

Check Point ได้มีการเปิดเผยมัลแวร์ตัวนี้ผ่านบล็อกของตัวเองเมื่อวันที่ 5 มกราคม และแนะนำให้เลือกดาวน์โหลดแอพพลิเคชันที่น่าเชื่อถือเท่านั้น รวมถึงแนะนำให้ติดตั้งซอฟต์แวร์ป้องกันไวรัสบนมือถือ

ที่มา : hackread