นักวิจัยจาก Kaspersky Lab ได้กล่าวว่าพวกเขามีตัวอย่างของ Nukebot Malware ที่มีเป้าหมายหลักเป็นธุรกิจกลุ่มธนาคารที่มีพฤติกรรมขโมยข้อมูล , รหัสผ่าน Email , รหัสผ่าน Browser โดยทางนักวิจัยได้รวบรวมตัวอย่างมาจากหลายแหล่งซึ่งดูเหมือนจะเป็นเพียงรุ่นทดสอบ บางตัวอย่างที่ Kaspersky Lab ครอบครองอยู่เป็นเพียงรูปแบบข้อความ แต่ตอนนี้นักวิจัยสามารถดึงรูปแบบคำสั่ง , ส่วนควบคุม Addresses , และข้อมูลอื่นๆที่ใช้ในการวิเคราะห์จากมัลแวร์ Nukebot ออกมาได้ แต่ข้อมูลที่ได้มาถูกเข้ารหัสไว้ การเข้ารหัสนี้ทำให้นักวิจัยจำเป็นต้องหาทางดึงคีย์ถอดรหัสออกเพื่อการสร้างค่าสตริง

ในส่วนการโจมตีแบบ Web Injections ต้องเลียนแบบการโต้ตอบกับเซิร์ฟเวอร์ C & C โดย C & C addresses จะหาได้ในขั้นตอนการเริ่มทำงานทำงาน Bot จะส่งคีย์ RC4 ที่ใช้ในการถอดรหัส Injections เราใช้วิธีเลียนแบบ Bot แล้วสามารถรวบรวมการแทรกเว็บจากเซิร์ฟเวอร์จำนวนมากได้

แต่ Nukebot บางรุ่นก็ไม่ได้ใช้ web injections แตใช้การกระจายตัวแบบ Droppers จากนั้น Malware จะดาวน์โหลด Password Recovery Utilities เพื่อใช้ในการเจาะรหัสผ่านมาจากเซิร์ฟเวอร์ระยะไกลภายใต้การควบคุมของผู้โจมตี

threatpost

ข้อมูลในจดหมายซึ่งถูกส่งไปที่กรมความมั่นคงแห่งมาตุภูมิ โดย Sen. Ron Wyden (D-OR) เมื่อวันอังคารที่ 18 July 2017 ที่ผ่านมาระบุว่าได้มีการเรียกร้องหน่วยงานรัฐบาลกลางให้ทำการพัฒนาวิธีการควบคุมเรื่อง e-mail ให้รัดกุมมากขึ้นเพื่อป้องกัน hacker จากการแอบอ้างตัวเองว่าเป็นคนจากหน่วยงานรัฐ Wyden เรียกการใช้ email protocol นี้ว่า Domain-based Message Authentication, Reporting and Conformance (DMARC) ซึ่งสามารถใช้ในการ filter หรือ block พวก spoofed email ซึ่งใช้ domain จริงในการส่ง แต่ว่าถูกส่งมาจากบุคคลที่สาม หรือจาก attacker
DMARC จะคอยปัด email spoofing ทิ้ง ซึ่งพวกนี้จะเป็นศูนย์กลางสำหรับการโจมตี Phishing อยู่แล้ว หลักการทำงานของ DMARC คือจะคอยตรวจเช็ค email กับ Domain Keys Identified Mail และกับ Sender Policy Framework validation systems ถ้าการตรวจสอบดังกล่าวผ่านทุกเงื่อนไข email ก็จะถูกปล่อยให้ผ่านไปยังผู้รับ แต่หากไม่ผ่านเงื่อนไข email นั้นจะถูกกักไว้ หรืออาจถูก blocked Phishing ยังคงเป็นภัยคุกคามที่ถูกใช้งานอย่างแพร่หลาย ไม่ใช่เพียงแค่จาก cybercriminals ซึ่งสนใจในเรื่องของการโกง และอาชญากรรมทางการเงินต่างๆ แต่ถูกใช้ในการโจมตีโดย nation-state attackers ด้วยเช่นกัน

ที่มา : threatpost

ปลายเดือนตุลาคมปี 2016 Talos ได้เปิดเผยข้อบกพร่องร้ายแรง 3 ข้อที่มีผลกระทบต่อ Memcached ซึ่งเป็นระบบหน่วยความจำแคชที่มีประสิทธิภาพสูง ช่องโหว่ที่ถูกระบุคือ CVE-2016-8704, CVE-2016-8705 และ CVE-2016-8706 ช่องโหว่ดังกล่าวอนุญาตให้ผู้บุกรุกสามารถสั่งรันโค้ดได้จากระบบที่มีช่องโหว่โดยการส่งคำสั่ง Memcached ที่สร้างขึ้นมาเป็นพิเศษและยังสามารถใช้ประโยชน์เพื่อให้ได้ข้อมูลที่สำคัญ ต่อมาช่องโหว่ถูก patched โดยนักพัฒนา Memcached ก่อนที่ Talos จะเปิดเผยผลการวิจัย ช่วงปลายเดือนกุมภาพันธ์และต้นเดือนมีนาคมปี 2017 นักวิจัยได้ทำการสแกนเพื่อค้นหาจำนวนองค์กรที่ติดตั้ง patched ดังกล่าว

ผลการสแกนพบว่ามีเซิร์ฟเวอร์มากกว่า 107,000 เครื่องเข้าถึงได้ผ่านทางอินเทอร์เน็ตและเกือบ 80% ของเซิร์ฟเวอร์เหล่านี้หรือประมาณ 85,000 เซิร์ฟเวอร์ยังคงมีช่องโหว่อยู่ เกือบ 30,000 เซิร์ฟเวอร์ที่มีช่องโหว่อยู่ในสหรัฐอเมริกาตามด้วยประเทศจีน (17,000) สหราชอาณาจักร (4,700) ฝรั่งเศส (3,200) เยอรมนี (3,000) ญี่ปุ่น (3,000) เนเธอร์แลนด์ (2,600) อินเดีย ( 2,500) และรัสเซีย (2,300) หลังจากสิ้นสุดการสแกน Cisco พยายามแจ้งให้องค์กรที่ได้รับผลกระทบทราบ

หกเดือนต่อมานักวิจัยทำการสแกนอีกครั้ง แต่สถานการณ์กลับดีขึ้นเพียงเล็กน้อย Talos เตือนว่าการติดตั้ง Memcached ที่มีช่องโหว่เหล่านี้อาจตกเป็นเป้าหมายในการโจมตีเรียกค่าไถ่ที่คล้ายกับเหตุการณ์ของ MongoDB ในช่วงต้นปี 2017 ถึงแม้ Memcached ไม่ใช่ฐานข้อมูลแต่ก็ยังสามารถเก็บข้อมูลที่สำคัญซึ่งอาจมีผลกระทบต่อบริการได้

ที่มา : securityweek

นักวิจัยด้านความปลอดภัยของ Emsisoft ที่ใช้นามแฝงว่า xXToffeeXx ได้ค้นพบ Ransomware ใหม่ชื่อว่า Reyptson ซึ่งกำลังมุ่งเป้าไปที่เหยื่อชาวสเปน และสังเกตเห็นว่า Reyptson มีความสามารถในการแจกจ่ายตัวเองผ่าน Spam Email ที่ปล่อยออกมาจากคอมพิวเตอร์ของเหยื่อ โดยการตรวจสอบว่ามี Thunderbird ติดตั้งอยู่หรือไม่และถ้ามีอยู่ก็จะพยายามอ่านข้อมูลประจำตัวผู้ใช้และรายชื่อผู้ติดต่อของเหยื่อ ซึ่งฟีเจอร์นี้นักวิจัยกล่าวว่าไม่เคยพบมาก่อนใน Ransomware
Email ที่ Reyptson ส่งออกไปจะมีหัวข้อ subject ว่า Folcan S.L. Facturación ที่มาพร้อมกลับไฟล์ factura.

มีการใช้ช่องโหว่ SambaCry เพื่อติดตั้งแบ็คดอร์บนอุปกรณ์ Linux ที่ใช้เซิร์ฟเวอร์แชร์ไฟล์ Samba เวอร์ชันเก่า

ผู้เชี่ยวชาญจากบริษัท Trend Micro กล่าวว่าการโจมตีส่วนใหญ่ได้มุ่งเป้าไปที่อุปกรณ์จัดเก็บข้อมูลแบบ NAS (Network-attached Storage) ซึ่งบางส่วนจะมาพร้อมกับเซิร์ฟเวอร์ Samba เพื่อให้สามารถทำงานร่วมกันระหว่างไฟล์ระบบปฏิบัติการต่างๆได้

มัลแวร์ที่นักวิจัยให้ชื่อว่า SHELLBIND ได้ใช้ประโยชน์จากช่องโหว่ SambaCry (หรือ EternalRed) ที่เปิดเผยต่อสาธารณในปลายเดือนพฤษภาคม 2017 ช่องโหว่ CVE-2017-7494 มีผลกับซอฟต์แวร์ Samba ทุกเวอร์ชันที่เปิดตัวในช่วงเจ็ดปีที่ผ่านมาตั้งแต่เวอร์ชัน 3.5.0 เป็นต้นไป สองสัปดาห์หลังจากที่ทีม Samba แก้ไขซอฟต์แวร์และรายละเอียดช่องโหว่แก่สาธารณะ มีการใช้ SambaCry เพื่อติดตั้งเซิร์ฟเวอร์ Linux และติดตั้งโปรแกรมเหมืองเงินดิจิทัล EternalMiner

นักวิจัยชี้ SHELLBIND เป็นโทรจันแบ็คดอร์ที่ช่วยให้ผู้โจมตีสามารถใช้ remote shell ที่เครื่องของเหยื่อได้ โทรจันนี้ได้รับการกำหนดค่าให้เปลี่ยนกฎไฟร์วอลล์และเปิดพอร์ต TCP 61422 ดังนั้นผู้โจมตีจึงสามารถเชื่อมต่อกับอุปกรณ์ที่ถูกบุกรุกได้

ที่มา : bleepingcomputer

เกิดเหตูการณ์ขโมยเงินดิจิตอล หรือที่รู้จักกันในชื่อ crypto-currency ซึ่งในปัจจุบันมีอยู่ด้วยกันหลายหน่วย ในรายงานนี้จะพูดถึงการขโมยเงิน $7M ใน Ethereum virtual money จาก CoinDash ซึ่งเป็น บริษัท start-up ที่ทำเกี่ยวกับ crypto-currency ทางบริษัทได้ออกมาบอกว่าระบบถูกเจาะซึ่ง page ของบริษัทที่มีคนเข้ามาใช้เป็นจำนวนมากเมื่อวันที่ 17 July 2017 ที่ผ่านมาถูก hacked ระหว่าง token sale event Hacker ดังกล่าวทำการแทนที่ official Ethereum address ด้วย fraudulent Ethereum address หมายความว่าผู้ใช้กำลังส่งเงินไปที่ address ปลอมซึ่ง Hacker กำลังควบคุมอยู่ ทางบริษัทจะทำการคืนเงินตามจำนวนที่ผู้ใช้บริการควรได้รับตามจริงโดยการส่งข้อมูลไปยัง address ที่ถูกต้อง ทาง CoinDash ได้ทำการสืบสวนเรื่องราวดังกล่าวเพื่อหาว่าผู้กระทำผิดคือใคร และได้มีการติดต่อไปยังหน่วยงานบังคับใช้กฎหมาย

ที่มา : infosecurity

Android RAT(โทรจันสั่งการระยะไกล)ตัวใหม่ที่ตรวจพบภายใต้ชื่อ GhostCtrl ถูกพบโดย Trend Micro ในขณะที่กำลังโจมตีองค์กรสุขภาพของประเทศอิสราเอล โทรจันชนิดนี้มีเป้าหมายหลักที่ระบบปฏิบัติการ Windows กับอุปกรณ์ Android ของผู้ที่เกี่ยวข้องกับองค์กร สามารถล็อกอุปกรณ์เคลื่อนที่ได้โดยการรีเซ็ต PIN และแสดงใบเสร็จค่าไถ่สำหรับผู้ที่ติดไวรัส

GhostCtrl RAT ถูกพัฒนาต่อยอดมาจาก OmniRAT ซึ่งเป็น RATs ยอดนิยมที่มีผู้นำไปพัฒนาต่อมากมายหลายแบบ มีความสามารถที่อันตรายหลายอย่าง เช่น
- สามารถ root อุปกรณ์ Android ได้
- สื่อสารกับ C&C Server ที่เปิดโดเมนโดยใช้ข้อมูลปลอม
- ควบคุมระบบฟังก์ชั่นในอุปกรณ์ เช่น การโทร , Wi-Fi , Mode ของโทรศัพท์
- Download , Upload หรือแก้ไขข้อมูลของ File ต่างๆได้

นอกจากนี้ยังพบฟังก์ชันการทำงานที่ไม่พบใน Android RATs ทั่วๆไป
- ลบหรือเปลี่ยนรหัสผ่านโดยผู้โจมตีได้
- เปลี่ยนแปลงการแจ้งเตือนต่างๆ
- ควบคุม Bluetooth เพื่อค้นหาและเชื่อมต่อกับอุปกรณ์อื่น

bleepingcomputer

การโจมตีทางคอมพิวเตอร์ หรือ cyber attack อาจสร้างความเสียหายต่อเศรษฐกิจโลกถึง $121.4bn สอดคล้องกับรายงานจาก Lloyd’s of London หนึ่งในบริษัทประกันที่ใหญ่ที่สุดในโลก โดยในรายงานซึ่งเป็นการเขียนร่วมกันกับทาง Cyence (analytics platform provider) การที่เศรษฐกิจได้รับผลกระทบจาก cyber attack โดยตรงจะทำให้เกิดการสูญเสียเป็นวงกว้าง ถ้า cloud service หากเกิดความเสียหาย หรือถูกรบกวนให้ใช้งานไม่ได้ ความเสียหายอาจสูงถึง $4.6bn ไปจนถึง $53.1bn แต่ความเสียหายของเศรษฐกิจจะสูงหรือต่ำนั้นขึ้นอยู่กับปัจจัยต่างๆ
CEO ของทาง Lloyd ออกมาบอกว่ารายงานนี้ได้ทำให้มีการตระหนักถึงผลกระทบที่อาจเกิดขึ้นได้ และอาจยกระดับไปถึงขนาดสร้างผลกระทบเศรฐกิจโลกได้ และอาจทำให้เกิดการเรียกร้องค่าประกันกันมากขึ้น
ที่มา : infosecurity

พบช่องโหว่ที่มีความสำคัญอย่างมากในส่วนขยายเบราว์เซอร์ WebEx ของระบบ Cisco สำหรับ Chrome และ Firefox

Cisco WebEx เป็นเครื่องมือสื่อสารยอดนิยมสำหรับกิจกรรมออนไลน์ รวมถึงการประชุม การสัมมนาทางเว็บและอื่นๆ ส่วนขยายนี้มีผู้ใช้งานอยู่ประมาณ 20 ล้านคน

ช่องโหว่ดังกล่าวถูกค้นพบโดย Tavis Ormandy จาก Google Project Zero และ Cris Neckar of Divergent Security เป็นข้อบกพร่องในการเรียกใช้โค้ดจากระยะไกล (CVE-2017-6753) ซึ่งเกิดจากข้อบกพร่องในการออกแบบในส่วนขยายของเบราเซอร์ WebEx เพื่อโจมตีช่องโหว่นี้ผู้โจมตีจะต้องทำให้เหยื่อเยี่ยมชมเว็บเพจที่มีโค้ดอันตรายซึ่งสร้างขึ้นเป็นพิเศษผ่านทางเบราว์เซอร์ที่มีการติดตั้งส่วนขยายที่ได้รับผลกระทบ การใช้ประโยชน์จากช่องโหว่นี้อาจส่งผลให้ผู้โจมตีสามารถรันโค้ดโดยพลการด้วยสิทธิ์พิเศษของเบราว์เซอร์และเข้าควบคุมระบบที่ได้รับผลกระทบ ตอนนี้ Cisco ได้ติดตั้งแพทช์ช่องโหว่นี้และได้เปิดตัวการอัปเดต "Cisco WebEx Extension 1.0.12" สำหรับเบราว์เซอร์ Chrome และ Firefox

Apple Safari, Microsoft's Internet Explorer และ Microsoft's Edge จะไม่ได้รับผลกระทบจากช่องโหว่นี้ และ ส่วนขยายของเบราว์เซอร์ Cisco WebEx สำหรับ Mac หรือ Linux และ Cisco WebEx ใน Microsoft Edge หรือ Internet Explorer ก็จะไม่ได้รับผลกระทบจากช่องโหว่ดังกล่าว

ที่มา : Thehackernews

เซิร์ฟเวอร์จัดเก็บข้อมูลของ Amazon Web Services มีการกำหนดค่าผิดพลาดทำให้ข้อมูลของผู้เช่าบริการรั่วไหลไปยังอินเทอร์เน็ต ดังนั้นบริษัทที่ใช้บริการ AWS S3 เพื่อจัดเก็บข้อมูลจึงมีความเสี่ยงที่จะถูกเปิดเผยข้อมูลที่เป็นความลับ เช่น ข้อมูลส่วนตัวของลูกค้า

ในรายงานที่ออกมาโดยที่ปรึกษาด้านความปลอดภัย Fryss Rosen จาก Detectify กล่าวว่าผู้ดูแลระบบเครือข่ายที่เช่าบริการ AWS S3 มักจะหละหลวมในการกำหนดค่า Access Control Lists (ACL) ของ AWS และผลที่ได้ก็ร้ายแรง Rosen ยืนยันว่ามีข้อผิดพลาดในเซิร์ฟเวอร์ AWS ที่ช่วยให้ผู้โจมตีสามารถระบุชื่อของ bucket S3 ได้ จากนั้นจะใช้ AWS Command Line เพื่อติดต่อกับ Amazon’s API โดยตรง แล้วผู้โจมตีสามารถเข้าถึงรายการ S3 list และอ่าน เขียน อัปโหลดไฟล์ลงใน bucket S3 หรือสามารถเปลี่ยนสิทธิ์การเข้าถึงโดยที่เจ้าหน้าที่ไม่สังเกตเห็น

การแก้ปัญหาทำได้ง่ายๆ เพราะ AWS มีเครื่องมือที่จะเปลี่ยนสิทธิ์ใน buckets และจำกัดสิทธิ์การเข้าถึงโดยทำตามขั้นตอนใน Link ต่อไปนี้ https://docs.