มีรายงานจาก NHS ซึ่งเป็นหน่วยงานให้บริการการรักษาของอังกฤษถูกโจมตีด้วย Ransomware ที่ชื่อว่า WannaCryptor ในหลายๆหน่วยงานทั่วประเทศไม่ว่าจะเป็น คลีนิค, โรงพยาบาล ต่างก็ได้รับผลกระทบไปด้วย โดย ransomware ดังกล่าวจะทำการ lock user ออกจากเครื่องและทำ popup ขึ้นมาให้จ่ายเงินเพื่อให้สามารถเข้าถึงเครื่องได้ และบางเครื่องสามารถเข้าใช้งานได้แต่ไฟล์ที่สำคัญต่างๆก็จะถูกเข้ารหัสไว้

โดยข้อมูลที่ถูกเข้ารหัสมีด้วยกันหลายประเภทด้วยกันไม่ว่าจะเป็น ข้อมูลคนไข้, ตารางนัดหมาย, ข้อมูลโทรศัพท์ภายใน, email โดยไฟล์ที่ถูกเข้ารหัสโดย ransomware ดังกล่าวจะมีนามสกุลเป็น (.WCRY) ทั้งนี้ทางหน่วยงาน NHS Digital กล่าวว่ามีหน่วยงานหลากหลายประเภทมากที่โดน ransomware เล่นงาน ทางทีมงาน NHS Digital จึงได้ร่วมมือกับ National Crime Agency ซึ่งถือว่าเป็นหน่วยงานเทียบเท่า FBI ในอังกฤษได้เริ่มทำการสอบสวนเหตุการณ์ที่เกิดขึ้นแล้ว โดยตอนนี้ยังไม่มีหลักฐานใดๆบ่งบอกถึงการที่ข้อมูลคนป่วยถูกเข้าถึงแต่อย่างใด อีกทั้งทางทีมงาน NHS Digital ได้ร่วมมือกับ National Cyber Security Center เพื่อจัดการและหาวิธีแก้ไขอย่างถูกวิธีแล้วอีกด้วย

จาก report ของคนทำงาน IT ของ NHS กล่าวว่าระบบเมล์เริ่มใช้งานไม่ได้ตั้งแต่วันที่ 11 12:30pm จากนั้นก็ตามมาด้วยระบบที่เกี่ยวกับคลีนิคมากมากที่ใช้งานไม่ได้ จากนั้นก็เป็นระบบคนไข้ และจาก report เครื่องส่วนใหญ่จะถูกขู่ให้จ่ายเงินประมาณ 300$ การถูกโจมตีครั้งนี้ถือเป็นครั้งที่ร้ายแรงที่สุดในรอบ 6 ปีเลยทีเดียว

รายงานล่าสุดพบ ransomware ตัวนี้ในไทยแล้วนะครับระวังกันให้ดี ซึ่งเป็นการโจมตีโดยใช้การโจมตีของเครื่องมือ NSA ที่หลุดมาช่วงเดือนก่อน นั่นคือ MS17-010 หรือ EternalBlue นั่นเอง ทั้งนี้แนะนำให้ทำการปิด port 445 หรือยกเลิกการใช้งาน SMBv1 เพื่อลดความเสี่ยงที่เกิดขึ้นจาก WannaCryptor

วิธีการป้องกัน
1. Update patched Windows ให้เป็น version ล่าสุด.
2. ปิด port remote การเข้าถึงอย่าง RDP และ SMB จาก internet
3. Disable SMBv1 และ protocol ใดๆที่เก่า
4. นำเครื่องใดๆที่ไม่สามารถ patch ได้ให้ไปอยู่ในส่วนที่มี security control

วิธีการแก้ไขเมื่อติด WannaCryptor
1. เข้า Windows ในลักษณะ Safe Mode
2. เข้าไปที่ msconfig.

นักวิจัยจาก modzero พบว่าชุดโปรแกรมไดร์ฟเวอร์เสียง Conexant HD Audio Driver ของค่าย HP นั้นมีการแอบติดตั้งโปรแกรม Keylogger หรือโปรแกรมแอบดักการพิมพ์คีย์บอร์ดคอมพิวเตอร์ ไว้ในเครื่องผู้ใช้ด้วยในชื่อ MicTray.

หากใครยังจำกันได้ในช่วงเดือนกุมภาพันธ์ที่ผ่านมา Wikileaks ได้มีการนำข้อมูลซึ่งอ้างว่าเป็นเครื่องมือสำหรับสอดแนมและโจมตีที่ถูกพัฒนาและใช้โดย CIA ภายใต้ชื่อ "Vault7" ออกมาปล่อยออกสู่สาธารณะ หนึ่งในข้อมูลที่ถูกปล่อยนั้นมีช่องโหว่อันตรายร้ายแรงบน Cisco IOS และ IOS ที่อยู่ใน Cluster Management Protocol (CMP) อยู่ด้วน ช่องโหว่ดังกล่าวได้รับแพตช์แล้วเมื่อช่วงวันจันทร์ที่ผ่านมา
ผลของช่องโหว่รหัส CVE-2017-3881 ทำให้ผู้โจมตีสามารถร้นโค้ดที่เป็นอันตรายาจากระยะไกลได้ผ่านทางการสร้างแพ็คเกต CMP ที่ออพชั่นพิเศษในระหว่างที่พยายามจะทำการสร้างการเชื่อมต่อกับอุปกรณ์
นอกเหนือจากนั้น Cisco ยังมีการออกแพตช์สำหรับ Cisco WebEx Meetings Server ที่มีช่องโหว่ที่ทำให้มีการรั่วไหลของข้อมูลอีกด้วย แนะนำให้ทำการอัพเดตทั้งสองช่องโหว่เพื่อลดความเสี่ยงที่จะถูกโจมตีครับ
ที่มา : Cisco
ที่มา : Cisco

สำหรับเทศกาล Patch Tuesday ของ Microsoft ในเดือนนี้นั้น Microsoft ได้มีการประกาศแพตช์ด้านความปลอดภัยให้กับหลายผลิตภัณฑ์ ทั้งหมด 55 ช่องโหว่ รวมไปถึงแพตช์ฉุกเฉินสำหรับช่องโหว่ Microsoft Malware Protection Engine ที่พึ่งถูกค้นพบโดย Google Project Zero ตามรายละเอียดดังต่อไปนี้
สำหรับรายการแพตช์ทั่วไป ผลิตภัณฑ์ที่จำเป็นต้องมีการอัพเดตแพตช์ได้แก่ Internet Explorer, Microsoft Edge, Microsoft Windows (ทั้งแบบเดสทอปก์และแบบเซิร์ฟเวอร์), Microsoft Office และ .NET Framework โดยมีช่องโหว่ร้ายแรงอยู่ที่ช่องโหว่ของ Microsoft Office ที่ทำให้ผู้โจมตีสามารถรรันโค้ดที่เป็นอันตรายได้จากระยะไกลผ่านไฟล์ EPS และพบการโจมตีช่องโหว่นี้แล้ว รวมไปถึงช่องโหว่ยกระดับสิทธิ์ใน Windows Kernel ซึ่งก็ตรวจพบการใช้ช่องโหว่นี้ในการโจมตีแล้วเช่นเดียวกัน
นอกเหนือจากรายการแพตช์ทั่วไปแล้ว Microsoft ยังได้มีการออกแพตช์ด้านความปลอดภัยฉุกเฉินสำหรับช่องโหว่ใน Microsoft Malware Protection Engine ซึ่งถูกค้นพบโดยทีมแฮกเกอร์จาก Google Project Zero ด้วย แนะนำให้อัพเดตทุกๆ แพตช์โดยด่วนที่สุดครับ
ที่มา : Microsoft

แพตช์ด้านความปลอดภัยสำหรับผลิตภัณฑ์ของ Adobe ประจำเดือนพฤกษาคม 2017 ได้ถูกประกาศออกมาแล้วเมื่อวานที่ผ่านมา โดยในรอบนี้นั้นมีซอฟต์วแวร์ที่จำเป็นต้องมีการอัพเดตอยู่สองรายการได้แก่ Adobe Flash Player และ Adobe Experience Manager Forms
สำหรับ Adobe Flash Player นั้น แพตช์ที่ออกมาจะปกป้องผู้ใช้งานจาก 7 ช่องโหว่ใหญ่ซึ่งกระทบทุกๆ ระบบปฏิบัติการตั้งแต่ Windows, Mac, Linux ไปจนถึง Chrome OS ผู้ใช้งานสามารถเข้าไปตรวจสอบเวอร์ชันปัจจุบันที่ใช้อยู่ได้ที่ http://www.

Google Project Zero (Natalie Silvanovich และ Tavis Ormandy) พบช่องโหว่ใน Malware Protection service (MsMpEng) ซึ่งเป็น module ที่ถูก enable โดย default ใน Windows 8, 8.1, 10 และ Windows Server 2012 และอื่นๆ ทำให้ผู้ใช้งานทั่วไปตกเป็นเหยื่อของการยึดเครื่องจากระยะไกลได้

MsMpEng ถูก enable ใน Windows รุ่นต่างๆ รวมถึงเป็น core engine ที่ใช้งานร่วมกับ Windows Security Essential, System Centre Endpoint Protection, และ product ทางด้าน security ใดๆของ Microsoft อีกด้วย ซึ่ง MsMpEng ถูกรันโดยใช้สิทธิ์ NT AUTHORITY\SYSTEM อีกทั้ง engine ดังกล่าวไม่มีการรันผ่าน Sandbox และสามารถเข้าถึง service ได้โดยไม่จำเป็นต้อง authentication ผ่าน service ต่างๆไม่ว่าจะเป็น Windows services, Exchange, IIS และอื่นๆอีกด้วย ทำให้หากมีการโจมตีเกิดขึ้น Hacker จะสามารถได้ทั้งสิทธิ์สูงสุดของเครื่องพร้อมทั้งสามารถสั่งงานเครื่องได้ทันทีโดยไม่ต้องเหนื่อย bypass Sandbox แต่อย่างใด

ตัว MsMpEng มีส่วน scan และ analysis ที่ชื่อว่า mpengine ซึ่งเป็นช่องโหว่ของการโจมตีขนาดใหญ่และซับซ้อน เนื่องด้วย engine ดังกล่าวมีการ scan และ analysis ไฟล์ที่หลากหลายมาก ทำให้ Hacker สามารถเข้าถึงได้หลากหลายนั่นเอง โดย NScript เป็นส่วนหนึ่ง (Component) ของ mpengine ที่จะใช้ประเมิณ filesystem และการใช้งานทางด้าน network ใดๆที่ดูแล้วน่าจะเป็น javascript แต่ NScript ไม่มีการตรวจสอบ input ที่ดีพอทำให้เกิด Remote Code Execution (RCE) ได้

หากเป็นเครื่อง Workstation ใช้งานทั่วไป Hacker สามารถเข้าถึง Engine ดังกล่าวได้โดยการส่ง email ไปยัง user หาก user ทำการกด link ใน browser หรือใดๆก็แล้วแต่ MsMpEng ก็จะทำงานขึ้นมาเพื่อทำการตรวจสอบ filesystem ต่างๆที่เกิดจาก event การเปิดไฟล์นั้น ซึ่งจะทำให้ MsMpEng ได้รับไฟล์ input จากที่ Hacker เขียนลงไปใน Harddisk ซึ่งไฟล์ดังกล่าวจะเป็นการเขียนไฟล์อันตรายที่ทำให้เกิด Remote Code Execution หรือ Privilege Escalation ได้นั่นเอง

ตอนนี้ทาง Microsoft ได้ออก patch ออกมาแก้ไขแล้วครับ (CVE-2017-0290)
ระบบที่ได้รับผลกระทบ: Microsoft Malware Protection version About จะพบ Engine Version

ที่มา: technet.

ความขัดแย้งระหว่างผู้ผลิตเบราว์เซอร์หลักสองรายคือกูเกิลและมอซิลล่า (ผู้สร้างไฟร์ฟอกซ์) กับธุรกิจออกใบรับรองดิจิตอลของไซแมนเทคยังไม่จบและความขัดแย้งยังดูไม่มีทีท่าว่าจะหาทางออกที่พอใจทั้งสองฝ่ายได้ หลังจากที่กูเกิลเสนอให้บีบอายุใบรับรองของไซแมนเทคเหลือเพียง 9 เดือน ล่าสุดกูเกิลก็ส่งตัวแทนไปเจรจากับไซแมคเทคอีกครั้ง และได้ข้อเสนอใหม่ออกมา

ข้อเสนอใหม่ของกูเกิลระบุให้ไซแมนเทคสร้าง sub-CA ขึ้นใหม่พร้อมกับ cross-sign กับ root CA ของไซแมนเทคเอง แต่ sub-CA นี้จะต้องดำเนินการจากผู้ให้บริการอื่นที่ได้รับความเชื่อถือ ขณะที่ตัวไซแมนเทคเองจะกลายเป็นเพียงฝ่ายขายที่ทำหน้าที่ขายใบรับรองอย่างเดียว ส่วนลูกค้าจะยังคงเห็นใบรับรองว่ามาจากไซแมนเทคอยู่

การเจรจาระหว่างกูเกิลและไซแมนเทคเป็นการเจรจาภายใน ไซแมนเทคได้เปิดเผยข้อมูลแผนการปรับปรุงระบบของตัวเองที่ยังไม่เปิดเผยต่อสาธารณะ ข้อเสนอของกูเกิลอ้างถึงการปรับปรุงนั้นว่าหลังจากทำเรียบร้อยแล้วไซแมนเทคจะสามารถดึงการดำเนินการ CA กลับมาจากผู้ให้บริการอื่นมาให้บริการต่อเอง

กูเกิลระบุว่าหากไซแมนเทคดำเนินการตามนี้ก็จะมีแนวทางการแก้ไขให้ลูกค้าเดิม โดยไม่ต้องติดข้อกำหนดอายุใบรับรอง 9 เดือนหรือถูกถอดสิทธิ์การแสดง EV แต่อย่างใด
Gervase Markham นักพัฒนาจากมอซิลล่าออกมาแสดงความเห็นด้วยกับแนวทางของกูเกิลโดยรวม โดยระบุว่าหากไซแมนเทคไม่ทำตามข้อเสนอของกูเกิลไฟร์ฟอกซ์จะจำกัดอายุใบรับรองจากไซแมนเทคเหลือ 13 เดือน ทั้งใบรับรองเดิมและใบรับรองใหม่ แต่เขาไม่เห็นด้วยที่จะถอดสิทธิ์การออกใบรับรอง EV เพราะเป็นส่วนที่ไม่ได้รับผลกระทบจากความผิดพลาด

ด้านไซแมนเทคออกมาตอบข้อเสนอของทั้งสองหน่วยงาน ระบุว่าบริษัทได้เสนอแนวทางการปรับปรุงไปแล้ว โดยจะมีการตรวจสอบจากภายนอกใหม่ แม้ทั้งการปรับปรุงระบบและตรวจสอบใบรับรองที่ออกไปแล้วทั้งหมด ตอนนี้กระบวนการตรวจสอบใบรับรองโดย Registration Authority (RA - หน่วยงานภายนอกที่ออกใบรับรองด้วยระบบของไซแมนเทค) ดำเนินการไปแล้วระหว่าง 85-99% โดยพบความผิดพลาดตั้งแต่ 0.3-5% บางกรณีเป็นความผิดพลาดเล็กน้อยเช่นการเรียกชื่อเมืองผิด

ตัวเลขล่าสุดของไซแมนเทคแสดงให้เห็นว่ามีใบรับรองที่ออกโดย RA มากกว่า 30,000 ใบตรงกับที่กูเกิลระบุในรายงานครั้งแรก และตอนนี้พบใบรับรองผิดพลาดแล้วมากกว่า 500 ใบซึ่งมากกว่ารายงานจากไซแมนเทคซึ่งระบุว่ามีเพียง 127 ใบถึงสี่เท่าตัว และการตรวจสอบยังไม่เสร็จสิ้น

ที่มา: blognone, docs.

โปรแกรม PuTTY ได้ถูกปล่อยเวอร์ชันใหม่ในเวอร์ชัน 0.69 เมื่อช่วงปลายเดือนเมษายนที่ผ่านมา โดยในรุ่นล่าสุดนั้น PuTTY ได้ถูกแก้ไขช่องโหว่ DLL Hijacking บนแพลตฟอร์มของวินโดวส์ ที่ผู้โจมตีสามารถสร้างไฟล์ DLL ด้วยชื่อเฉพาะที่เป็นอันตรายและให้มีการโหลดขึ้นมาทำงานทันทีที่ PuTTY เริ่มการทำงานได้

นอกเหนือจากนั้นยังมีการแก้ปัญหาการรองรับการทำงานบน Kerberos ที่พบในเวอร์ชันก่อนหน้าพร้อมทั้งปัญหาทั่วไปอื่นๆ ด้วย
สำหรับผู้ที่ต้องการอัพเดตเป็นเวอร์ชันใหม่ แนะนำให้ทำการดาวน์โหลดจากแหล่งที่เชื่อถือได้และตรวจสอบความสมบูรณ์ของไฟล์ด้วยทุกครั้งเพื่อลดความเสี่ยงที่จะถูกโจมตีหรือถูกขโมยจากโปรแกรมที่ถูกดัดแปลง

ที่มา : chiark

นักวิจัยด้านความปลอดภัย Pali Rohár ได้ค้นพบช่องโหว่ซึ่งถูกเรียกว่า Riddle ซึ่งเป็นช่องโหว่ที่อนุญาตให้ผู้โจมตีทำการ MITM ได้อันเนื่องมาจากความบกพร่องในการตรวจสอบคุณสมบัติด้านความปลอดภัยของการเชื่อมต่อ ช่องโหว่ Riddle ได้ถูกแพตช์ไปแล้วโดยใน MySQL 5.5.55

Again Riddle เป็นช่องโหว่ที่ถูกค้นพบอีกครั้งบน MySQL 5.5.55 โดยเป็นช่องโหว่ในลักษณะเดียวกันกับ Riddle คือ หากไฟล์ libmyclient.

ยังคงวนเวียนกับช่องโหว่ของ WordPress โดยก่อนหน้านี้ได้เคยพูดถึงช่องโหว่ RCE ใน WordPress 4.6 มาคราวนี้ก็ยังเจอในส่วนเดิมคือการจัดการ SERVER_NAME ที่ไม่ดีพอของ WordPress แต่คราวนี้เป็น WordPress ตัวใหม่สุดคือ 4.7.4 และช่องโหว่ดังกล่าวยังไม่มี patch ออกมาแก้ไขอีกด้วย

ผู้ที่ค้นพบช่องโหว่นี้คือ Dawid Golunski ได้รับ CVE เป็น CVE-2017-8295 โดย Dawid พบว่าการ reset password ของ WordPress มีการนำค่าของ SERVER_NAME (ซึ่งสามารถกำหนดได้ผ่าน HOST Header ใน HTTP Request) ไปเป็นค่า From/Return-Path header ของการเมล์ตอบกลับไป reset password หรือก็คือหาก Attacker กำหนด Host เป็น attackers-mxserver.