Jeremiah Grossman ประธานกรรมการฝ่ายปฏิบัติการและเทคโนโลยีของ White Hat Security ได้กล่าวในงานประชุม Black Hat ว่าเพียงแค่ทำการสั่งซื้อสินค้าจากโฆษณาขายสินค้าออนไลน์ที่ถูกต้องตามกฎหมาย แฮกเกอร์ก็สามารถทำการสร้าง Botnetขนาดใหญ่ (Million Browser Botnet) จากเว็บเบราเซอร์ ซึ่ง Botnet ดังกล่าวมีความสามารถในการโจมตีแบบ distributed denial of service (DDoS) ,cracking Passwords และการโจมตีแบบ hashes หรือทำการกระจายมัลแวร์และสแปม

ที่มา : securityweek

Micha Sajdak นักวิจัยของ Securitum.pl พบช่องโหว่สำคัญเรื่องความปลอดภัยในเครื่องปริ้นเตอร์ HP Laserjet Pro โดยช่องโหว่ที่พบจะอนุญาตให้แฮกเกอร์ทำการเข้าถึงข้อมูลจากระยะไกลเพื่อ Extract รหัสผ่านของผู้ดูแลระบบที่ทำการเก็บจัดเก็บไว้ในรูปแบบ Plain text และข้อมูลอื่น ๆ เช่นการตั้งค่า Wifi และ PIN WPS

ปัญหาหลักของช่องโหว่คือระบบเครือข่ายบางส่วนของเครื่องปริ้นเตอร์ HP Laserjer Pro มี URL Hardcoded ซ่อนอยู่ใน Firmware ทำให้สามารถเข้าถึงได้โดยไม่ต้องทำการตรวจสอบ ตัวอย่างเช่น http ://IP_ADDRESS/dev/save_restore.

จากข่าว “FBI ใช้ช่องโหว่ Firefox ตามจับกุมผู้แพร่กระจายภาพอนาจารเด็กใน Tor” ถือเป็นปัญหาสำคัญสำหรับเครื่องมือนิรนามอย่าง Tor ที่มีช่องโหว่จนตามเจอตัวผู้ใช้งานได้

ล่าสุด Tor ก็ออกอัพเดตแก้ช่องโหว่นี้แล้ว โดยโครงการ Tor เองแนะนำให้ผู้ใช้อัพเดตซอฟต์แวร์เป็นรุ่นล่าสุดเสมอ, ปิดการทำงานของ JavaScript ถ้าไม่จำเป็น, ควรใช้ระบบปฏิบัติการแบบ live image แทนการติดตั้งระบบปฏิบัติการตามปกติ, และหลีกเลี่ยงการท่องเว็บบนระบบปฏิบัติการ Windows

ที่มา : blognone

เว็บไซต์หลักของทางบริษัท Crytek ถูกบุกรุกถึง 4 เว็บไซต์คือ Crytek.com, Mycryengine.com, Crydev.net และ MyCrysis.com ถ้าเข้าไปยังเว็บไซต์ตอนนี้ก็จะพบว่าเว็บไซต์อยู่ในสถานะ Offline
โดยทางบริษัทได้ออกมาบอกว่าพบพฤติกรรมแปลกๆ ในระบบ จึงทำให้ต้องรีบปิดเว็บไซต์ทั้ง 4 ให้เป็นสถานะ Offline เสียก่อน ซึ่งเป็นเหตุผลทางด้านความปลอดภัย

ทาง Crytek เองก็เตือนว่าหากใครเป็นสมาชิกของเว็บไซต์ดังกล่าวอยู่ก็ควรจะเปลี่ยนพาสเวิร์ด และเว็บไซต์จะกลับมาใช้งานได้ในเร็วๆนี้

ที่มา : vg247

นักวิจัยด้านความปลอดภัยชื่อว่า  Aaron Grattafiori และ Josh Yavor ได้สาธิตวิธีการเจาะระบบของสมาร์ททีวียี่ห้อซัมซุงในรุ่นปี 2012 ในงานสัมมนาด้านความปลอดภัย Black Hat เพื่อบังคับให้เปิดกล้องของตัวเครื่องสมาร์ททีวีและเข้าไปล้วงข้อมูลในแอพสังคมออนไลน์ต่าง ๆ เช่น Facebook, Twitter หรือแม้แต่ Skype
นอกจากนี้ยังสามารถเข้าถึงไฟล์และระบบการทำงานเบื้องต้นของสมาร์ททีวีได้อีกด้วย

แอพของเครื่องสมาร์ททีวีนั้น ส่วนใหญ่ก็เขียนด้วยแพลตฟอร์ม JavaScript หรือ HTML5 และตอนที่กำลังจะเจาะระบบนั้น ก็จะเจาะเข้าไปอย่างง่ายดาย ย่อมส่งผลไปยัง API ต่าง ๆ ที่อยู่ในระบบ

โดยนักวิจัย Grattafiori และ Yavor เจาะระบบผ่านระบบแชท หรือผ่านบราว์เซอร์ ซึ่งเมื่อแฮกเกอร์เจาะระบบได้แล้ว ก็เท่ากับว่าแฮกเกอร์สามารถควบคุมทีวีได้ทันที และก็เปรียบเสมือนว่า มันคือไวรัสประจำทีวีก็ว่าได้

ส่วนวิธีการป้องกันการเจาะระบบทีวีนั้นนักวิจัย Grattafiori และ Yavor บอกว่า หมั่นตรวจสอบอัพเดทแอพเป็นประจำ คอยระมัดระวังไม่ให้เข้าเว็บที่เราไม่รู้จักเป็นอันขาด

สำหรับตัวสมาร์ททีวีนั้นมีจำนวนกว่า 67 ล้านเครื่องทั่วโลกในปี 2012 และคาดว่าจะเพิ่มขึ้นเป็น 85 ล้านเครื่องในสิ้นปีนี้ ซึ่งนี่อาจจะกลายเป็นการเจาะระบบตามบ้านเรือนใหญ่ที่สุดเลยก็ว่าได้

ที่มา : mashable

นักวิจัยด้านความปลอดภัยชื่อว่า  Aaron Grattafiori และ Josh Yavor ได้สาธิตวิธีการเจาะระบบของสมาร์ททีวียี่ห้อซัมซุงในรุ่นปี 2012 ในงานสัมมนาด้านความปลอดภัย Black Hat เพื่อบังคับให้เปิดกล้องของตัวเครื่องสมาร์ททีวีและเข้าไปล้วงข้อมูลในแอพสังคมออนไลน์ต่าง ๆ เช่น Facebook, Twitter หรือแม้แต่ Skype
นอกจากนี้ยังสามารถเข้าถึงไฟล์และระบบการทำงานเบื้องต้นของสมาร์ททีวีได้อีกด้วย

แอพของเครื่องสมาร์ททีวีนั้น ส่วนใหญ่ก็เขียนด้วยแพลตฟอร์ม JavaScript หรือ HTML5 และตอนที่กำลังจะเจาะระบบนั้น ก็จะเจาะเข้าไปอย่างง่ายดาย ย่อมส่งผลไปยัง API ต่าง ๆ ที่อยู่ในระบบ

โดยนักวิจัย Grattafiori และ Yavor เจาะระบบผ่านระบบแชท หรือผ่านบราว์เซอร์ ซึ่งเมื่อแฮกเกอร์เจาะระบบได้แล้ว ก็เท่ากับว่าแฮกเกอร์สามารถควบคุมทีวีได้ทันที และก็เปรียบเสมือนว่า มันคือไวรัสประจำทีวีก็ว่าได้

ส่วนวิธีการป้องกันการเจาะระบบทีวีนั้นนักวิจัย Grattafiori และ Yavor บอกว่า หมั่นตรวจสอบอัพเดทแอพเป็นประจำ คอยระมัดระวังไม่ให้เข้าเว็บที่เราไม่รู้จักเป็นอันขาด

สำหรับตัวสมาร์ททีวีนั้นมีจำนวนกว่า 67 ล้านเครื่องทั่วโลกในปี 2012 และคาดว่าจะเพิ่มขึ้นเป็น 85 ล้านเครื่องในสิ้นปีนี้ ซึ่งนี่อาจจะกลายเป็นการเจาะระบบตามบ้านเรือนใหญ่ที่สุดเลยก็ว่าได้

ที่มา : mashable

นักวิจัยความปลอดภัยนำเสนอกระบวนการเจาะการเข้ารหัสเพื่อหาข้อความในเว็บที่เข้ารหัส HTTPS ได้ภายใน 30 วินาทีที่งาน Black Hat

BREACH (Browser Reconnaissance and Exfiltration via Adaptive Compression of Hypertext) อาศัยการดักฟังผู้ใช้ที่เข้าเว็บที่เข้ารหัสและบีบอัดข้อมูลแบบ DEFLATE ซึ่งเบราว์เซอร์รองรับเป็นมาตรฐาน และต้องบังคับให้ผู้ใช้เข้าเว็บที่มีสคริปต์ฝังอยู่
ซึ่งหากดักฟังแล้วก็ทำได้ง่าย เพราะใช้การโจมตีแบบ man-in-the-middle แทรกโค้ดเข้าไปยังเว็บอื่นๆ ที่ไม่ได้เข้ารหัสได้

หลังจากที่ฝังสคริปต์ได้แล้ว สคริปต์จะเรียกหน้าข้อความโดยพยายามให้มีเนื้อความเป็นข้อความที่กำหนดได้ เช่นสั่งเรียกหน้า reply โดยกำหนดอีเมลลงไป หลังจากนั้นจึงดูขนาดของเนื้อหาที่ส่งกลับมาว่ามีขนาดเท่าใด

หากแฮกเกอร์คาดเดาอีเมล์ได้ถูกต้อง ขนาดไฟล์ที่ส่งกลับมาจะมีขนาดเล็กลง แฮ็กเกอร์สามารถค่อยๆ เดาทีละตัวอักษรเพื่อรู้อีเมลแอดเดรสได้

กระบวนการนี้เป็นการโจมตีรูปแบบเดียวกับ CRIME ที่ใช้โจมตี SDPY เพียงแต่รอบนั้นเป็นการโจมตีที่การบีบอัดส่วนหัว (header) ของข้อความ การปิดการบีบอัดไม่เสียหายอะไรมากนัก แต่การบีบอัดเว็บนั้นมีการใช้งานกันโดยทั่วไป และช่วยให้เว็บทำงานได้เร็วขึ้นมาก
การปิดการทำงานของการบีบอัดคงเป็นเรื่องยากกว่ามาก

ที่มา : thehackernews

Facebook มีโครงการให้รางวัลกับผู้ที่พบบั๊กนี้มานาน แต่ก็ไม่ได้เปิดเผยออกมาภายนอกมากนัก รายงานล่าสุดระบุว่ามีการจ่ายเงินรางวัลไปแล้วกว่าล้านดอลลาร์ สรุปเป็นรายการได้ดังนี้
•    มีผู้ได้รับรางวัลทั้งหมด 329 คน
•    มี 2 คนในจำนวนนี้เข้าเป็นพนักงานในทีมระบบความปลอดภัย
•    ผู้รับรางวัลที่อายุน้อยที่สุดคือ 13 ปี
•    จำนวนผู้ได้รับรางวัลมาจาก สหรัฐฯ, อินเดีย, อังกฤษ, ตุรกี, และเยอรมัน ตามลำดับ
•    รางวัลที่ใหญ่ที่สุดคือ 20,000 ดอลลาร์
•    แต่ผู้ที่ได้รับรางวัลรวมกันสูงสุด ได้รับเกิน 100,000 ดอลลาร์แล้ว

ตัวอย่างบั๊กหนึ่งที่เคยมีการจ่ายเงินรางวัล คือ บั๊กการบล็อคผู้ใช้อื่นในกรุ๊ป เมื่อผู้ใช้เข้าร่วมกรุ๊ป แล้วบล็อคผู้ใช้คนอื่นออกทั้งหมด เฟซบุ๊กจะคิดว่าเหลือผู้ใช้ในกรุ๊ปคนเดียว และให้สิทธิแอดมินกับผู้ใช้คนนั้นโดยอัตโนมัติ บั๊กนี้ผู้รายงานได้รับรางวัล 10,000 ดอลลาร์

ที่มา : facebook

Eric Eoin Marques วัย 28 ปีชาวไอริชถูก FBI จับกุมด้วยความผิดฐานเผยแพร่ภาพอนาจารเด็ก ซึ่งเชื่อกันว่า Marques เป็นผู้ดูแลของ Freedom Hosting ซึ่งเป็นโฮสต์ที่ให้บริการในเครือข่าย Tor ที่ใหญ่ที่สุด และยังเชื่อกันว่าเป็นผู้เผยแพร่สื่อลามกเด็กที่ใหญ่ที่สุดในโลกด้วย

สิ่งที่น่าสนใจคือเครือข่าย Tor นั้นถูกพังทลายลงได้อย่างไร จากการตรวจสอบจากผู้ใช้ทั่วโลกพบว่า มีการฝังโค้ดเพื่อใช้การโจมตีช่องโหว่ของ Firefox ESR เวอร์ชัน 17 ในเว็บไซต์โดเมน .onion ซึ่งทำงานอยู่ในเครือข่าย Tor กว่าครึ่งของเครือข่ายทั้งหมด เนื่องจากชุดโปรแกรม Browser Bundle ของ Tor นั้นใช้ Firefox ESR รุ่นเดียวกันนี้เป็น Client ในการเชื่อมต่อ เมื่อผู้ใช้งานมีการคลิ๊กเข้าหน้าเพจเหล่านี้จะมีการเก็บค่า MAC Address และ Host Name ของเครื่องผู้ใช้เอาไว้เพื่อแกะรอยหาไอพีที่แท้จริง โดยเชื่อกันว่านี่เป็นฝีมือของ FBI

ในขณะนี้ทาง Tor Project ได้มีการปล่อยชุดโปรแกรม Browser Bundle หลังจากแพตซ์ช่องโหว่ดังกล่าวแล้ว ส่วนในเรื่องทางกฎหมายนั้นก็จะมีการส่งตัว Marques มาดำเนินคดีในสหรัฐฯ ต่อไป

ที่มา : thehackernews

Eric Eoin Marques วัย 28 ปีชาวไอริชถูก FBI จับกุมด้วยความผิดฐานเผยแพร่ภาพอนาจารเด็ก ซึ่งเชื่อกันว่า Marques เป็นผู้ดูแลของ Freedom Hosting ซึ่งเป็นโฮสต์ที่ให้บริการในเครือข่าย Tor ที่ใหญ่ที่สุด และยังเชื่อกันว่าเป็นผู้เผยแพร่สื่อลามกเด็กที่ใหญ่ที่สุดในโลกด้วย

สิ่งที่น่าสนใจคือเครือข่าย Tor นั้นถูกพังทลายลงได้อย่างไร จากการตรวจสอบจากผู้ใช้ทั่วโลกพบว่า มีการฝังโค้ดเพื่อใช้การโจมตีช่องโหว่ของ Firefox ESR เวอร์ชัน 17 ในเว็บไซต์โดเมน .onion ซึ่งทำงานอยู่ในเครือข่าย Tor กว่าครึ่งของเครือข่ายทั้งหมด เนื่องจากชุดโปรแกรม Browser Bundle ของ Tor นั้นใช้ Firefox ESR รุ่นเดียวกันนี้เป็น Client ในการเชื่อมต่อ เมื่อผู้ใช้งานมีการคลิ๊กเข้าหน้าเพจเหล่านี้จะมีการเก็บค่า MAC Address และ Host Name ของเครื่องผู้ใช้เอาไว้เพื่อแกะรอยหาไอพีที่แท้จริง โดยเชื่อกันว่านี่เป็นฝีมือของ FBI

ในขณะนี้ทาง Tor Project ได้มีการปล่อยชุดโปรแกรม Browser Bundle หลังจากแพตซ์ช่องโหว่ดังกล่าวแล้ว ส่วนในเรื่องทางกฎหมายนั้นก็จะมีการส่งตัว Marques มาดำเนินคดีในสหรัฐฯ ต่อไป

ที่มา : thehackernews