รายงานจากทาง WikiLeaks ระบุเกี่ยวกับ โปรเจค Angelfire ของทาง CIA ซึ่งเป็นการพัฒนา Malware Framework เพื่อนำไปใช้กับระบบคอมพิวเตอร์ที่มีระบบปฏิบัติการเป็น Windows ส่วนประกอบหลักของ Angelfire มีอยู่ 5 ส่วน คือ Solartime, Wolfcreek, Keystone, BadMFS, และ Windows Transitory File System

ทั้งนี้ Angelfire เป็นเพียงแค่หนึ่งในหลายๆ เครื่องมือที่ทาง CIA พัฒนาขึ้นมาเพื่อใช้ hack ระบบคอมพิวเตอร์ Grasshopper, ELSA, AfterMidnight และ Assassin คือ Framework รุ่นก่อนๆ ที่ CIA เคยใช้ในการ hack
เมื่อเทียบกับเครื่องมือตัวอื่นๆ แล้ว Angelfire ยังไม่ใช้เครื่องมือที่ดีมากนัก เพราะยังมีข้อเสียอยู่หลายอย่าง เช่น Security Software บนตัวเครื่องผู้ใช้งานอาจตรวจเจอระบบไฟล์ของ BadMFS จากไฟล์ที่ชื่อว่า “zf” และผู้ใช้งานอาจเห็น popup เมื่อส่วนนึ่งของ Angelfire Framework เกิดการ crash และ Keystone สามารถปลอมเป็น Process ที่อยู่ C:\Windows\system32\svchost.

นักวิจัยด้านความปลอดภัยจาก Malwarebytes ค้นพบวิธีการแพร่กระจาย Locky ransomware จากกลุ่มซึ่งใช้ชื่อแฝงว่า Locky ID#5 และ Locky ID# 3 ผ่านช่องทางต่างๆ หลายรูปแบบ
Marcelo Rivero นักวิจัยด้านความปลอดภัยจาก Malwarebytes ได้ค้นพบการแพร่กระจาย spam ผ่านไฟล์เอกสารด้วยมาโครสคริปต์โดยการทำงานจะต่างจากปกติคือมาโครสคริปต์จะไม่มีการรันจนกว่าผู้ใช้จะทำการปิดไฟล์เอกสาร ซึ่งจะทำให้โซลูชั่นในการรักษาความปลอดภัยต่างๆ ไม่สามารถ สแกนเจอไฟล์ที่เป็นอันตราย
อีกวิธีที่ใช้ในการแพร่กระจาก Locky คือการส่งอีเมลโดยใช้บัญชีของ Dropbox เพื่อหลอกให้ผู้ใช้ทำการยืนยันตัวตน นอกจากนี้ผู้โจมตียังมีการใช้เทคนิคป๊อปอัป "HoeflerText" ซึ่งจะใช้ประโยชน์จากมัลแวร์และ exploit kit โดยเปลี่ยนเส้นทางการรับส่งข้อมูลไปยังหน้าเว็บที่เป็นอันตรายที่มีข้อความว่า "HoeflerText font missing" แสดงเป็นป๊อปอัพขึ้นมา เพื่อหลอกให้ผู้ใช้ดาวโหลดและติดตั้งฟอนต์ที่แท้จริงแล้วเป็นไฟล์จาวาสคริปต์ (ดาวโหลดเป็นไฟล์สคริปต์ JS) โดยเบราว์เซอร์ที่ได้รับผลกระทบคือ Firefox และในตระกูล Chrome เท่านั้น

ที่มา: hbleepingcomputer

รายงานจากทาง WikiLeaks ระบุเกี่ยวกับ โปรเจค Angelfire ของทาง CIA ซึ่งเป็นการพัฒนา Malware Framework เพื่อนำไปใช้กับระบบคอมพิวเตอร์ที่มีระบบปฏิบัติการเป็น Windows ส่วนประกอบหลักของ Angelfire มีอยู่ 5 ส่วน คือ Solartime, Wolfcreek, Keystone, BadMFS, และ Windows Transitory File System
ทั้งนี้ Angelfire เป็นเพียงแค่หนึ่งในหลายๆ เครื่องมือที่ทาง CIA พัฒนาขึ้นมาเพื่อใช้ hack ระบบคอมพิวเตอร์ Grasshopper, ELSA, AfterMidnight และ Assassin คือ Framework รุ่นก่อนๆ ที่ CIA เคยใช้ในการ hack
เมื่อเทียบกับเครื่องมือตัวอื่นๆ แล้ว Angelfire ยังไม่ใช้เครื่องมือที่ดีมากนัก เพราะยังมีข้อเสียอยู่หลายอย่าง เช่น Security Software บนตัวเครื่องผู้ใช้งานอาจตรวจเจอระบบไฟล์ของ BadMFS จากไฟล์ที่ชื่อว่า “zf” และผู้ใช้งานอาจเห็น popup เมื่อส่วนนึ่งของ Angelfire Framework เกิดการ crash และ Keystone สามารถปลอมเป็น Process ที่อยู่ C:\Windows\system32\svchost.

ConnMan คือ Network Manager ที่ถูกพัฒนาขึ้นมาไว้ใช้กับอุปกรณ์ต่างๆ ที่มีการลง Operating System เอาไว้ในตัว ซึ่งถูกใช้อย่างแพร่หลายในอุปกณ์ IoT ConnMan ถูกพบว่ามีช่องโหว่ร้ายแรงในฟังก์ชัน DNS-Proxy เวอร์ชันที่ได้รับผลกระทบคือ ConnMan 1.34 และรุ่นก่อนหน้า ช่องโหว่ดังกล่าวมีความเสี่ยงต่อการเกิด Buffer Overflow ซึ่งอาจทำให้เกิด DoS และ Remote Code Execution ช่องโหว่นี้สามารถถูกทำให้เกิดซ้ำๆได้ ตราบเท่าที่ผู้โจมตีสามารถนำไปพัฒนาต่อเพื่อใช้ในการโจมตีเป้าหมายที่ต้องการ
ข้อแนะนำ ให้อัพเดท ConnMan เป็นเวอร์ชัน 1.35 ขึ้นไป และไม่ควรเชื่อมต่อปุกรณ์ IoT กับ Network ที่ไม่มีความน่าเชื่อถือ เช่น Free Access Point

ที่มา : NRI-SECURE

พบช่องโหว่ใน RubyGems ซึ่งเป็นเครื่องมือที่ใช้ในการจัดการภาษา Ruby รายละเอียดช่องโหว่ที่พบมีดังนี้
• DNS request hijacking vulnerability.

Google เริ่มมีการส่งการแจ้งเตือนไปยัง Web Admin ของ Website ต่างๆ เพื่อให้ทำการเปลี่ยนการใช้งานจาก HTTP ไปเป็น HTTPS เพื่อความปลอดภัยที่มากขึ้น จดหมายเตือนถูกส่งไปยังเจ้าของเว็บไซต์โดยเฉพาะเว็บไซต์ที่มีการใช้ฟอร์ม or บนเว็บ ข้อความในการแจ้งเตือนบอกว่า Google มีแผนที่จะทำให้เวอร์ชันต่อไปของ Chrome ที่ถูกปล่อยออกมามีความเสถียรมากขึ้น เพราะฉะนั้น Google จึงระบุว่าเว็บไซต์ต่างๆ จำเป็นจะต้องมี SSL certificate หากไม่ต้องการให้มีข้อความแจ้งเตือน “NOT SECURE” เด้งขึ้นมา

การแจ้งเตือนครั้งนี้ไม่เป็นที่ประหลาดใจมากเท่าไร เพราะก่อนหน้านี้ได้มีการพูดถึงเรื่องนี้อยู่เป็นระยะๆ การเข้า Incognito mode หรือโหมดไม่ระบุตัวตน ก็จะมีข้อความแจ้งเตือนเด้งขึ้นมาเช่นเดียวกันกับโหมดปกติ ในอีเมลยังมีข้อแนะนำต่างๆ สำหรับ Web Admin ในการย้ายจาก HTTP ไปยัง HTTPS การเปลี่ยนแปลงครั้งนี้ถูกกำหนดไว้ในช่วงเดือนตุลาคม 2017

ที่มา: threatpost

Instagram ได้มีการออกประกาศเตือนผู้ใช้งานในกรณีที่มีกลุ่มแฮกเกอร์ได้โจมตีช่องโหว่บน API ทำให้ผู้โจมตีสามารถเข้าถึงข้อมูลส่วนตัว อาทิ อีเมลที่ใช้ในการสมัครสมาชิกและเบอร์โทรศัพท์ได้ โดยทาง Instagram ได้ดำเนินการแจ้งผู้ใช้งานที่ได้รับผลกระทบแล้ว และยืนยันว่าการโจมตีช่องโหว่ดังกล่าวนั้นไม่ได้ส่งผลให้ข้อมูลที่เป็นชื่อบัญชีผู้ใช้งานหรือรหัสผ่านรั่วไหล

ต่อมานักวิจัยด้านความปลอดภัยได้มีการค้นพบเว็บไซต์ซึ่งประกาศขายข้อมูลดังกล่าว โดยเปิดให้ผู้ที่ต้องการซื้อสามารถทำการค้นหาโดยใช้ชื่อบัญชีที่ต้องการและซื้อข้อมูลที่มีในราคา 10 ดอลลาร์สหรัฐฯ ต่อบัญชีผู้ใช้ได้

Recommendation: จากการตรวจสอบเบื้องต้น ข้อมูลที่รั่วไหลออกมาดังกล่าวบางส่วนมีข้อมูลของดาราและผู้มีชื่อเสียงในไทยเป็นจำนวนมาก แนะนำให้เตรียมการหากมีการนำข้อมูลไปใช้ในการหลอกลวงผู้อื่นต่อ รวมถึงเพิ่มมาตรการรักษาความปลอดที่จำเป็นครับ

ที่มา: theregister

พบว่า Spambot ที่ถูกเรียกว่า "Onliner" ได้ทำการรวบรวมชื่อผู้ใช้, รหัสผ่าน และข้อมูลการเข้าสู่ระบบ Email Server หลายล้านรายการ เพื่อใช้ในการส่งสแปมผ่านเซิร์ฟเวอร์ที่ "ถูกต้องตามกฎหมาย" และสามารถหลบหลีกการตรวจจับจากตัวกรองสแปมได้

นักวิจัยด้านความปลอดภัยจาก Paris ที่ใช้ชื่อว่า "Benkow" ระบุว่าค้นพบ Web Server ในประเทศเนเธอร์แลนด์ ซึ่งเก็บไฟล์ข้อมูลจำนวนมากประกอบด้วยข้อมูล Email Address , Password และ Email Server จำนวนมากที่ใช้ในการส่งสแปม ข้อมูลดังกล่าวทั้งหมดนี้ได้รับการรวบรวมมาจากแหล่งต่างๆ เช่น จากการแฮก LinkedIn และ Badoo(เครือข่ายการหาคู่เดท) รวมถึงแหล่งข้อมูลที่ไม่รู้จักอื่นๆรวมแล้วประมาณ 80 ล้านบัญชี

Spambot เหล่านี้จะถูกใช้ในการกระจาย Banking Malware ที่มีชื่อว่า "Ursnif" โดยจะมีการแนบไฟล์ เช่น ใบแจ้งหนี้จากโรงแรม หรือบริษัทประกันภัย เมื่อไฟล์ถูกเปิด malware จะถูกดาวน์โหลดมาลงในเครื่อง เพื่อทำการขโมยข้อมูลส่วนบุคคลต่างๆ เช่น ชื่อผู้ใช้งาน, รหัสผ่าน และข้อมูลเครดิตการ์ด โดยเป้าหมายหลักคือเครื่องที่เป็น Windows และปัจจุบันอาจมี Email ที่โดนโจมตีไปแล้วมากถึง 711 ล้านบัญชี

ที่มา:zdnet

Michael Gillespie จาก ID-Ransomware ได้ค้นพบ ตัวใหม่โดยมีการเพิ่ม Extension .arena ลงในไฟล์ที่เข้ารหัส
โดยยังไม่ทราบแน่ชัดว่ามัลแวร์นี้มีการกระจายอย่างไร แต่ในอดีต Crysis จะแพร่กระจายโดยการ Remote Desktop และติดตั้ง ransomware ด้วยตนเอง

เมื่อมีการติดตั้ง ransomware เครื่องจะสแกนคอมพิวเตอร์เพื่อหาไฟล์บางชนิดและเข้ารหัสข้อมูลเหล่านั้น เมื่อไฟล์ถูกเข้ารหัสจะต่อท้ายนามสกุลของไฟล์ในรูปแบบ ". id- [id] [email] .arena" เช่นไฟล์ชื่อ test.

นักวิจัยด้านความปลอดภัย Victor Gevers จาก GDI Foundation ได้พบรายการชื่อผู้ใช้งาน รหัสผ่านรวมไปถึงหมายเลขไอพีของอุปกรณ์ IoT มากกว่า 8,233 รายการ โดยเป็นรายการชื่อผู้ใช้งานและรหัสผ่านของอุปกรณ์ที่เข้าถึงได้จาก Telnet ทั้งหมด 2,174 รายการ ซึ่งโพสต์ไว้ในเว็บไซต์ Pastebin โดยได้ถูกโพสต์เป็นครั้งแรกในเดือนมิถุนายน แต่ได้รับการอัปเดตหลายครั้งนับจากวันที่โพสต์ ข้อมูลนี้จะทำให้ใครก็ตามที่มีสามารถเข้าถึงอุปกรณ์ IoT และทำให้กลายเป็น Botnet ที่อันตราย
รหัสผ่าน 10 อันดับแรกที่ได้รับการตีพิมพ์ ได้แก่

รหัส admin จำนวน 4,621 รายการ
รหัส 123456 จำนวน 698 รายการ
รหัส 12345 จำนวน 575 รายการ
รหัส xc3511 จำนวน 530 รายการ
รหัส GMB182 จำนวน 495 รายการ
รหัส Zte521 จำนวน 415 รายการ
รหัส password จำนวน 399 รายการ
รหัส oelinux123 จำนวน 385 รายการ
รหัส jauntech จำนวน 344 รายการ
รหัส 1234 จำนวน 341 รายการ

คำแนะนำสำหรับเหตุการณ์นี้คือผู้ใช้งานอุปกรณ์ IoT ควรเปลี่ยนรหัสจากค่าเริ่มต้น (Default) ให้เป็นรหัสที่ปลอดภัยอย่างน้อย 12 ตัวอักษร และควรเปิดการใช้งานระยะไกลเมื่อจำเป็นเท่านั้น

ที่มา: arstechnica