Waze แอพฯ แผนที่พร้อมข้อมูลจราจรที่ถูกกูเกิลซื้อไปด้วยเงินกว่า 1.3 พันล้านเหรียญ ถูกนักศึกษาปริญญาเอกจากมหาวิทยาลัยเทคโนโลยี Technion ในเมืองไฮฟา สร้างโปรแกรมเพื่อโจมตีระบบของ Waze ได้สำเร็จแล้ว

ไอเดียการโจมตี Waze ครั้งนี้เริ่มต้นจาก Nimrod Partush นักศึกษาปริญญาเอก และศาสตราจารย์ Eran Yahav ที่คิดขึ้นได้ว่า ถ้าหากทำให้ Waze เห็นว่ามีรถติดในถนนเส้นที่พวกเขากำลังจะไปเพื่อบีบให้ระบบของ Waze นำทางผู้ขับคนอื่นไปยังถนนสายอื่น
จะช่วยให้พวกเขาสามารถใช้ถนนเส้นนั้นได้โดยที่ไม่ต้องเจอกับรถติด แต่พวกเขาก็พักความคิดเรื่องนี้ไว้ จนกระทั่งมาเจอกับนักศึกษาอีกสองราย (Shir Yadid และ Maytal Ben Sinai) ที่สนใจทำโปรเจคนี้ขึ้นมาจริงๆ

วิธีการที่ใช้โจมตีครั้งนี้คือ การเขียนโปรแกรมเพื่อใช้สมัครบัญชีผู้ใช้ปลอมของ Waze อัตโนมัติ โดยทีมของ Partush ต้องเรียนรู้การทำงานของโปรแกรม และจำลองฟังก์ชันเหมือนบนสมาร์ทโฟนขึ้นมา และปลอม GPS ให้บังคับผู้ใช้ปลอมเหล่านั้นไปอยู่ในพื้นที่ที่ต้องการได้
และขั้นตอนยากที่สุดคือการใช้บัญชีปลอมเหล่านั้น รายงานสภาพจราจรปลอมๆ ให้ระบบของ Waze นั้นสับสนพอที่จะแนะนำให้ผู้ใช้รายอื่นหลีกเลี่ยงการใช้ถนนเส้นดังกล่าว ซึ่งท้ายที่สุดแล้ว ทีมนี้ใช้บัญชีปลอมเป็นจำนวนกว่าพันบัญชี

ผลลัพธ์ของการทดสอบครั้งนี้ ทีมของ Partush ประสบความสำเร็จในการสร้างปรากฏการณ์รถติดเสมือนได้เป็นชั่วโมงๆ และทำให้ผู้ขับขี่ถูก Waze บังคับให้ใช้ถนนเส้นอื่นหลายร้อยราย ส่วนการโจมตีในครั้งนี้ ทาง Waze ได้รับทราบข้อมูลเป็นที่เรียบร้อยแล้ว และบอกว่าจะหาทางแก้ไข

ที่มา : nocamel

ไมโครซอฟท์รายงานบั๊ก Microsoft Word ทำให้แฮกเกอร์สามารถส่งไฟล์เข้าควบคุมเครื่องได้ โดยโค้ดที่ฝังอยู่ในไฟล์ RTF จะมีสิทธิเท่ากับผู้ใช้ที่ล็อกอินอยู่

ปัจจุบันยังไม่มีแพตซ์อออกมาแก้ไข คำแนะนำระหว่างนี้คือปิดความสามารถในการเปิดไฟล์ RTF ของ Microsoft Word ไปชั่วคราวเพื่อรอแพตซ์ต่อไป, ส่งอีเมล์หากันเป็นเท็กซ์, และเปิดใช้งาน Enhanced Mitigation Experience Toolkit ไปก่อน ระหว่างนี้ไมโครซอฟท์กำลังดูความเป็นไปได้ว่าจะปิดบั๊กตัวนี้อย่างถาวรได้อย่างไร โดยอาจจะออกแพตซ์ในรอบหน้าหรือออกแพตซ์นอกรอบ

ผลกระทบของบั๊กนี้เกิดขึ้นตั้งแต่ Word 2003 เป็นต้นมา รวมถึง Word 2013 RT, Microsoft Office Web Apps, และ Word Automation Services บน SharePoint ไมโครซอฟท์ระบุว่าเริ่มมีการใช้บั๊กนี้โจมตีในวงจำกัดแล้ว ดังนั้นองค์กรไหนมีการส่งไฟล์ RTF ควรระวังมากยิ่งขึ้น

ที่มา : theregister

หลังจากมีคำสั่งห้ามใช้ทวิตเตอร์ในประเทศตุรกี ผู้ใช้นับล้านคนได้ใช้ Google's DNS service ในการ bypassing censorship เพื่อทำการเชื่อมต่อกับทวิตเตอร์

สาเหตุที่รัฐบาลตุรกีออกคำสั่งห้ามใช้ทวิตเตอร์ในประเทศ เนื่องจากมีคลิปเสียงของนายกรัฐมนตรีรั่วไหลออกมาบน Youtube และ ทวิตเตอร์ ซึ่่งรวมถึงคลิปเสียงของนายกรัฐมนตรี Recep Tayyip Erdoğan

รัฐบาลตุรกีพยายามที่จะปิดช่องโหว่ทั้งหมดที่อนุญาตให้ผู้ใช้สามารถหลีกเลี่ยงคำสั่งเพื่อเข้าถึงทวิตเตอร์ได้ ซึ่งล่าสุดเจ้าหน้าที่สามารถทำการบล็อก Google DNS service (8.8.8.8 และ 8.8.4.4) ได้เป็นที่เรียบร้อย

อย่างไรก็ตาม หลังจากที่รัฐบาลมีการกำหนดห้ามใช้งานทวิตเตอร์ ทำให้จำนวนทวิตเตอร์มีปริมาณเพิ่มมากขึ้น 138% ภายใน 24 ชั่วโมงที่ผ่านมา และประชาชนเกือบ 2.5 ล้านคนได้ทำการโพสต์ข้อความต่างๆ เนื่องจากผู้ใช้ในประเทศตุรกีสามารถใช้ Open DNS, VPN และ SMS services และผู้ใช้ที่มีความชำนาญด้านเทคโนโลยีสามารถเข้าถึงทวิตเตอร์ผ่าน Virtual Private Networks (VPN) หรือ Tor Browser Bundle ได้

ผู้ใช้ในประเทศตุรกีสามารถใช้ DNS Servers สำรองต่อไปนี้ในการเข้าถึงทวิตเตอร์ได้
•    Level31:    209.244.0.3 และ 209.244.0.4
•    Google2:    8.8.8.8 และ 8.8.4.4
•    Comodo Secure DNS:    8.26.56.26 และ 8.20.247.20
•    OpenDNS Home3:    208.67.222.222 และ 208.67.220.220
•    DNS Advantage:    156.154.70.1 และ 156.154.71.1
•    Norton ConnectSafe4:    199.85.126.10 และ 199.85.127.10
•    GreenTeamDNS5:    81.218.119.11 และ 209.88.198.133
•    SafeDNS6:    195.46.39.39 และ 195.46.39.40
•    OpenNIC7:    216.87.84.211 และ 23.90.4.6
•    Public-Root8:    199.5.157.131 และ 208.71.35.137
•    SmartViper:    208.76.50.50 และ 208.76.51.51
•    Dyn:    216.146.35.35 และ 216.146.36.36
•    censurfridns.

เมื่อวันที่ 16 มีนาคมที่ผ่านมา นักวิจัยด้านความมั่นคงปลอดภัยได้ค้นพบช่องโหว่ร้ายแรงในระบบปฏิบัติการ Android เวอร์ชันตั้งแต่ 4.0 เป็นต้นไป สาเหตุของช่องโหว่ดังกล่าวเกิดจากการเขียนโค้ดจัดการหน่วยความจำไม่ดี ทำให้เมื่อติดตั้งไฟล์ .apk ใดๆ ก็ตามที่มีค่าพารามิเตอร์ appname ในไฟล์ strings.

เมื่อวันที่ 16 มีนาคมที่ผ่านมา นักวิจัยด้านความมั่นคงปลอดภัยได้ค้นพบช่องโหว่ร้ายแรงในระบบปฏิบัติการ Android เวอร์ชันตั้งแต่ 4.0 เป็นต้นไป สาเหตุของช่องโหว่ดังกล่าวเกิดจากการเขียนโค้ดจัดการหน่วยความจำไม่ดี ทำให้เมื่อติดตั้งไฟล์ .apk ใดๆ ก็ตามที่มีค่าพารามิเตอร์ appname ในไฟล์ strings.

ไมโครซอฟท์รายงานบั๊ก Microsoft Word ทำให้แฮกเกอร์สามารถส่งไฟล์เข้าควบคุมเครื่องได้ โดยโค้ดที่ฝังอยู่ในไฟล์ RTF จะมีสิทธิเท่ากับผู้ใช้ที่ล็อกอินอยู่

ปัจจุบันยังไม่มีแพตซ์อออกมาแก้ไข คำแนะนำระหว่างนี้คือปิดความสามารถในการเปิดไฟล์ RTF ของ Microsoft Word ไปชั่วคราวเพื่อรอแพตซ์ต่อไป, ส่งอีเมล์หากันเป็นเท็กซ์, และเปิดใช้งาน Enhanced Mitigation Experience Toolkit ไปก่อน ระหว่างนี้ไมโครซอฟท์กำลังดูความเป็นไปได้ว่าจะปิดบั๊กตัวนี้อย่างถาวรได้อย่างไร โดยอาจจะออกแพตซ์ในรอบหน้าหรือออกแพตซ์นอกรอบ

ผลกระทบของบั๊กนี้เกิดขึ้นตั้งแต่ Word 2003 เป็นต้นมา รวมถึง Word 2013 RT, Microsoft Office Web Apps, และ Word Automation Services บน SharePoint ไมโครซอฟท์ระบุว่าเริ่มมีการใช้บั๊กนี้โจมตีในวงจำกัดแล้ว ดังนั้นองค์กรไหนมีการส่งไฟล์ RTF ควรระวังมากยิ่งขึ้น

ที่มา : theregister

Symantec บริษัทด้านรักษาความปลอดภัยคอมพิวเตอร์และอินเทอร์เน็ต ได้รายงานว่า เมื่อเร็วๆ นี้มีข้อความที่หลอกลวงกลุ่มผู้ใช้ Google Docs และ Google Drive โดยสร้างหัวข้อจดหมายง่ายๆ ว่า “Documents” จูงใจให้ผู้รับเปิดดูเอกสารสำคัญบน Google Docs โดยการคลิ๊กลิงค์ที่แนบมาในอีเมล์ จะพาเหยื่อเข้าสู่เว็บปลอม ซึ่งหน้าเว็บนั้นคล้ายกับหน้าเข้าสู่ระบบของบริการต่างๆ ของ Google โดยหน้าเพจปลอมถูกฝากไว้บนเซิร์ฟเวอร์ของ Google จริงๆ และให้บริการผ่าน SSL ทำให้หน้าดังกล่าวมีความน่าเชื่อถือมากขึ้น แฮกเกอร์มีการสร้างโฟลเดอร์แบบง่ายๆ ภายในบัญชี Google Drive ทำเครื่องหมายให้เป็น public ที่สามารถอัพโหลดไฟล์ขึ้นไปไว้ได้ จากนั้นจึงใช้คุณลักษณะแสดงตัวอย่างของ Google Drive เพื่อรับ URL ที่เข้าถึงได้แบบสาธารณะ สำหรับรวมไว้ในข้อความของพวกเขา

เป็นเรื่องธรรมดามากสำหรับการแจ้งผู้ใช้ให้ลงทะเบียนเข้าสู่ระบบ เมื่อมีการเข้าถึงลิงค์ของ Google Docs และหลายคนอาจจะป้อนข้อมูลส่วนตัวโดยขาดการตรวจสอบ หลังจากเหยื่อกดปุ่ม “Sign in” แล้ว ข้อมูลส่วนตัวผู้ใช้จะถูกส่งไปยังสคริปต์ PHP บนเว็บเซิร์ฟเวอร์ที่เป็นอันตราย จากนั้นเพจนี้จะถูกเปลี่ยนเส้นทางไปยังเอกสาร Google Docs จริง ทำให้การโจมตีทั้งหมดมีความน่าเชื่อถือมาก บัญชีกูเกิ้ลเป็นเป้าหมายที่มีค่าสำหรับเหล่าแฮกเกอร์ที่สร้างหน้าเว็บปลอมนี้ ซึ่งพวกเขาสามารถนำไปใช้ การเข้าถึงบริการต่างๆ มากมาย รวมถึง Gmail และ Google Play ซึ่งสามารถใช้ในการซื้อโปรแกรม และ Content สำหรับระบบปฏิบัติการแอนดรอยด์

ดังนั้นหากคุณใช้บริการ google drive, google docs และบริการต่างๆ ของ Google โปรดตรวจสอบจดหมายและระวังอย่าคลิ๊กลิงค์ที่แนบมาในอีเมล์ที่ส่งโดยคนแปลกหน้า และที่เป็นหัวข้อจดหมายแบบแปลกๆ ไม่บอกรายละเอียดอย่าง document, pic เพราะหัวข้อลักษณะนี้ส่วนใหญ่จะมีโอกาสที่จะได้รับไวรัส มัลแวร์ หรือการหลอกให้คุณ sign in บนหน้าเว็บปลอม

ที่มา : it24hrs

ผู้สื่อข่าวรายงานว่า เมื่อช่วงกลางดึกที่ผ่านมาวันที่ 23 มี.ค.ที่ผ่านมา เว็บไซต์ทางการของสำนักงานตำรวจแห่งชาติใช้ชื่อว่า www.

ทีมนักวิจัยจากมหาวิทยาลัยอินเดียนา และไมโครซอฟท์ได้ทำการตีพิมพ์รายงานเกี่ยวกับข้อบกพร่องด้านความปลอดภัยแบบใหม่ที่เรียกว่า “Pileup flaws” ซึ่งเป็นช่องโหว่ที่อยู่ในแพ็กเก็จการบริหารการจัดการ (Package Management Service (PMS)) ในระบบปฏิบัติการแอนดรอยด์

เมื่อผู้ใช้ทำการอัพเดทแอนดรอย์เวอร์ชั่นล่าสุด จะทำให้แอพพลิเคชั่นอันตรายไม่มีสิทธิ์เข้าถึงข้อมูล โดยที่ตัวมันสามารถที่จะเจาะช่องโหว่ได้โดยการอัพเดทตัวมันเอง และตั้งค่าการอนุญาตเข้าถึงข้อมูลได้ ซึ่งผู้โจมตีจะอาศัยช่องโหว่ตรงนี้ในการขโมยข้อมูลที่สำคัญ และเปลื่ยนการตั้งค่าการความปลอดภัย และป้องกันการติดตั้งระบบป้องกัน

นักวิจัยกล่าวว่า พวกเขาได้รับการยืนยันช่องโหว่การรักษาความปลอดภัยในทุกเวอร์ชั่นของระบบปฎิบัติการแอนดรอยด์  โดยที่นักวิจัยได้พัฒนาบริการที่เรียกว่า “SecUp” ซึ่งมีความสามารถในการตรวจสอบแอพพลิเคชั่นที่เป็นอันตรายที่ออกแบบมาเพื่อใช้ประโยชนากช่องโหว่ PileUp

ที่มา : ehackingnews

ทีมนักวิจัยจากมหาวิทยาลัยอินเดียนา และไมโครซอฟท์ได้ทำการตีพิมพ์รายงานเกี่ยวกับข้อบกพร่องด้านความปลอดภัยแบบใหม่ที่เรียกว่า “Pileup flaws” ซึ่งเป็นช่องโหว่ที่อยู่ในแพ็กเก็จการบริหารการจัดการ (Package Management Service (PMS)) ในระบบปฏิบัติการแอนดรอยด์

เมื่อผู้ใช้ทำการอัพเดทแอนดรอย์เวอร์ชั่นล่าสุด จะทำให้แอพพลิเคชั่นอันตรายไม่มีสิทธิ์เข้าถึงข้อมูล โดยที่ตัวมันสามารถที่จะเจาะช่องโหว่ได้โดยการอัพเดทตัวมันเอง และตั้งค่าการอนุญาตเข้าถึงข้อมูลได้ ซึ่งผู้โจมตีจะอาศัยช่องโหว่ตรงนี้ในการขโมยข้อมูลที่สำคัญ และเปลื่ยนการตั้งค่าการความปลอดภัย และป้องกันการติดตั้งระบบป้องกัน

นักวิจัยกล่าวว่า พวกเขาได้รับการยืนยันช่องโหว่การรักษาความปลอดภัยในทุกเวอร์ชั่นของระบบปฎิบัติการแอนดรอยด์  โดยที่นักวิจัยได้พัฒนาบริการที่เรียกว่า “SecUp” ซึ่งมีความสามารถในการตรวจสอบแอพพลิเคชั่นที่เป็นอันตรายที่ออกแบบมาเพื่อใช้ประโยชนากช่องโหว่ PileUp

ที่มา : ehackingnews