Drive-By Download วิวัฒนาการแห่งการโจมตี

ในปัจจุบันคงไม่มีใครไม่ใช้งานเว็บไซด์หรืออินเตอร์เน็ต เพราะไม่ว่าจะเป็นการใช้งานทางด้านบันเทิงใดๆหรือการทำงานกิจวัตรประจำวันใดๆก็สามารถทำได้บนเว็บไซด์ต่างๆได้ไม่ว่าจะเป็น ดูหนัง ฟังเพลง ติดตามข่าวสาร จดตารางนัดหมายงาน สนทนากับเพื่อนฝูง โอนถ่ายไฟล์ให้กับเพื่อนหรือใช้ในเรื่องงานก็ตาม หรือแม้กระทั่งประชุมออนไลน์แบบเห็นหน้าก็ทำได้เช่นกัน และในเมื่อมันเป็นอะไรที่ใกล้ตัวขนาดนี้ มันก็เป็นธรรมดาที่จะต้องมีคนต้องการหาประโยชน์จากผู้ที่เข้ามาใช้งานเว็บไซด์ต่างๆนั่นเอง หรือที่เราๆเรียกกันว่า Hacker นั่นเอง (ซึ่งจริงๆแล้วต้องเรียกว่า Cracker ครับรายละเอียดจะเล่าให้ฟังในภายภาคหน้าครับ)

การโจมตีต่างๆไปยังเว็บไซด์ต่างๆนั้นส่วนใหญ่จะมุ่งเน้นไปเพื่อการขโมยข้อมูลหรือการลบข้อมูลของผู้ใช้งานเว็บไซด์นั้นๆจากระบบนั่นเอง และด้วยความที่ผู้ใช้งานเว็บไซด์ส่วนใหญ่มักจะใช้ Username และ Password เหมือนกันทุกเว็บไซด์ที่ใช้งานนั่นเอง ซึ่งหาก Hackerได้ Username และ Password ของผู้ใช้งานจากเว็บไซด์ใดๆไปก็อาจจะสามารถเข้าไปใช้งานเว็บไซด์อื่นๆโดยเข้าสู่ระบบเป็นผู้ใช้งานนั้นๆได้เลยก็เป็นได้ ลองคิดดูว่าหากว่า Hacker ได้ Username และ Password จากเว็บใดๆไปแล้วสามารถเข้าสู่ระบบของ Paypal หรือเว็บไซด์ธุรกรรมทางการเงินใดๆของคุณได้จะเกิดอะไรขึ้น ดังนั้นหากเป็นไปได้ควรใช้งานเว็บไซด์ต่างๆด้วย Username หรือ Password ที่แตกต่างต่างกันครับ หากคิดว่าจะจำไม่ได้ว่าเว็บไซด์นั้นเว็บไซด์นี้ใช้ Username และ Password อะไร มันก็มี Tool หลายตัวที่เอาไว้ช่วยจำครับยกตัวอย่างเช่น โปรแกรม Keepass เป็นต้นครับ

ทีนี้ในช่วงปี 2009-2010 ที่ผ่านมานั้น Hacker ก็เปลี่ยนแนวทางการโจมตีซะใหม่มุ่งเน้นไปที่ผู้ใช้งานแทน ซึ่งวิธีนี้ก็คือ Drive-By Download นั่นเอง โดยวิธีนั้นจะเริ่มต้นด้วย Hacker จะเข้าไปฝัง script หรือ iframe เข้าไปใช้ HTML Content ซึ่งตัวเว็บไซด์นั้นจะดูปกติทุกอย่างเหมือนไม่มีอะไรเกิดขึ้นแต่เมื่อผู้ใช้งานนั้นเข้าไปในเว็บไซด์หรือทำการ Click ในส่วนใดๆของเว็บไซด์ ก็จะมี Popup ในการไปดึง malware และทำการฝัง Backdoor หรือมีการสั่งการติดตั้ง ActiveX (ในกรณีที่เป็น Internet Explorer) ที่ประสงค์ร้าย(malicious code)เข้าไปในเครื่องของผู้ใช้งานทันที

อ้างอิงตัวอย่างการโจมตีแบบ Drive-by Download จากการพูดในหัวข้อ Drivesploit ของงาน DefCON2010 โดยWane Huang
เมื่อทำการติดตั้งและรันสำเร็จเครื่องผู้ใช้งานก็จะทำการเปิด PORT รอรับ Connection จากเครื่อง Hacker หรือไม่ก็ทำการสร้าง Connection เชื่อมต่อกับไปยัง C&C Server (Command & Control Server) ของ Hacker นั่นเอง จากนั้น Hacker ก็เข้าไปในเครื่องผู้ใช้งานหรือสั่งงานไปยัง Malware ในเครื่องผู้ใช้งานในการทำงานต่างๆไม่ว่าจะเป็นการขโมย Password ของเครื่อง หรือแม้กระทั่งการดึง Username และ Password ที่ได้เคยเข้าผ่านเว็บบราวเซอร์ต่างๆแล้วส่งกลับมาให้ Hacker หรือแม้กระทั่งส่งเมล์พร้อม Link ที่เป็นหน้าเว็บไซด์ที่ฝัง malicious code ไปยังเพื่อนของผู้ใช้งานก็เป็นได้
จากที่เห็นการโจมตีนี้ส่งผลมากกว่าเดิมมาก เพราะ Hacker นั้นจะสามารถทำได้ทั้งการควบคุมเครื่องของเหยื่อรวมถึงการขโมยข้อมูลของเหยื่อไปด้วยในตัว อีกทั้งยังสามารถเข้ามาใช้งานเครื่องผู้ใช้งานได้อีกทุกเมื่อหาก Hacker ต้องการ ดังนั้นผมจึงจะทำการแนะนำวิธีป้องกันแบบง่ายๆให้ดังนี้
1. Update ระบบปฎิบัติการ(เช่น Windows XP เป็นต้น)อยู่เสมอ
2. Update Anti-Virus ทุกวัน อย่างน้อยวันละ 1 ครั้ง
3. เปลี่ยน Password ของเว็บไซด์ต่างๆทุกๆ 30 วัน
4. พยายามไม่จำ Password ไว้ในเว็บบราวเซอร์
5. เมื่อมี Popup ใดๆปรากฎขึ้นมาอย่ากด Agree, OK โดยทันทีควรอ่านให้รอบคอบก่อนว่ามันคืออะไร ถ้าเป็นไปได้ตอบสิ่งที่เป็นตรงข้ามกับการตกลงไว้ก่อน
6. พยายามอย่า Click ในจุดใดๆก็ตามในเว็บเพจ
7. หมั่นอ่านข่าวเกี่ยวกับ Security อยู่เสมอเพื่ออัพเดจความรู้และสอดส่องว่าเว็บไซด์ที่เราใช้งานนั้นโดนโจมตีหรือไม่
ผมมักจะบอกกับผู้ใช้งานทั่วไปอยู่เสมอว่าอินเตอร์เน็ตนั้นมีประโยชน์ที่เปรียบไม่ได้ แต่มันก็มีอันตรายหรือโทษที่แฝงมาด้วยเช่นกัน หรือถ้าพูดอีกอย่างก็คือที่ใดที่มีแสงสว่างที่นั่นย่อมมีเงาหรือความมืดเป็นธรรมดา ดังนั้นเราควรจะใช้งานอย่างระมัดระวังครับ เพราะเดี๋ยวนี้เทคโนโลยีนี้นั้นใกล้ตัวเราเหลือเกิน สำหรับบทความนี้หวังว่าคงจะเป็นประโยชน์ให้กับผู้ใช้งานต่างๆไม่มากก็น้อยครับ

Argentina Ministry of Defence hacked & confidential documents leaked by LulzSecPeru

กระทรวงกลาโหมของประเทศอาร์เจนตินาถูกแฮกจากกลุ่มแฮกเกอร์ LulzSecPeru และยังได้ทำการเปลี่ยนหน้าเว็บไซต์ โดยมีข้อมูลเอกสารสำคัญของทางการรั่วไหล ได้แก่ ข้อมูลอาวุธ ข้อมูลการบิน ข้อมูลเรดาร์เรือดำน้ำ นำไปโพสต์ไว้ที่เว็บไซต์ www.

Identity Theft Is a Growing Risk in Health Care: Ponemon Report

จากรายงานของสถาบัน “Ponemon” เผยถึงข้อมูลของการโจรกรรมข้อมูลประจำตัว (Identity Theft) มีอัตราเพิ่มสูงขึ้นใน “สถานที่บริการด้านสุขภาพ” โดยผลสำรวจข้อมูลจากองค์กรที่ให้บริการด้านสุขภาพกว่า 80 ราย พบว่าร้อยละ 94 เคยมีประการณ์เกี่ยวกับข้อมูลสูญหายใน 2 ปีที่ผ่านมา ร้อยละ 45 กล่าวว่า เคยมีประการณ์เกี่ยวกับข้อมูลสูญหาย 5 ครั้งหรือมากกว่านั้นใน 2 ปีที่ผ่านมา ซึ่งเห็นได้ว่าการโจรกรรมข้อมูลประจำตัวนั้นกำลังเป็นปัญหาที่สูงขึ้นในอุตสาหกรรมสถานที่บริการด้านสุขภาพ ร้อยละ 52 ขององค์กรเหล่านี้มีการแจ้งรายงานกี่ยวกับการโจรกรรมข้อมูลประจำตัว หลายๆกรณีมีเป็นเหตุที่ทำให้ข้อมูลของคนไข้ไม่ถูกต้องและในบางกรณีมีผลกระทบต่อการรักษาคนไข้ จากรายงานยังมีข้อมูลอีกว่า ร้อยละ 54 ขององค์กรเหล่านี้ ไม่มันใจว่าองค์กรมีการเตรียมพร้อมหรือมีเพียงเล็กน้อยเท่านั้น เกี่ยวกับการตรวจจับการสูญหายหรือการถูกโจรกรรมของข้อมูลคนไข้ ทั้งนี้ยังมีประเด็นเกี่ยวกับการนำอุปกรณ์พกพาส่วนตัวมาใช้ในการทำงาน (bring-your-own-device: BYOD) ซึ่งสามารถเข้าถึงข้อมูลคนไข้ได้และเป็นสาเหตุหนึ่งที่ทำให้เกิดการโจรกรรมข้อมูลประจำตัว

ที่มา : eweek

Identity Theft Is a Growing Risk in Health Care: Ponemon Report

จากรายงานของสถาบัน “Ponemon” เผยถึงข้อมูลของการโจรกรรมข้อมูลประจำตัว (Identity Theft) มีอัตราเพิ่มสูงขึ้นใน “สถานที่บริการด้านสุขภาพ” โดยผลสำรวจข้อมูลจากองค์กรที่ให้บริการด้านสุขภาพกว่า 80 ราย พบว่าร้อยละ 94 เคยมีประการณ์เกี่ยวกับข้อมูลสูญหายใน 2 ปีที่ผ่านมา ร้อยละ 45 กล่าวว่า เคยมีประการณ์เกี่ยวกับข้อมูลสูญหาย 5 ครั้งหรือมากกว่านั้นใน 2 ปีที่ผ่านมา ซึ่งเห็นได้ว่าการโจรกรรมข้อมูลประจำตัวนั้นกำลังเป็นปัญหาที่สูงขึ้นในอุตสาหกรรมสถานที่บริการด้านสุขภาพ ร้อยละ 52 ขององค์กรเหล่านี้มีการแจ้งรายงานกี่ยวกับการโจรกรรมข้อมูลประจำตัว หลายๆกรณีมีเป็นเหตุที่ทำให้ข้อมูลของคนไข้ไม่ถูกต้องและในบางกรณีมีผลกระทบต่อการรักษาคนไข้ จากรายงานยังมีข้อมูลอีกว่า ร้อยละ 54 ขององค์กรเหล่านี้ ไม่มันใจว่าองค์กรมีการเตรียมพร้อมหรือมีเพียงเล็กน้อยเท่านั้น เกี่ยวกับการตรวจจับการสูญหายหรือการถูกโจรกรรมของข้อมูลคนไข้ ทั้งนี้ยังมีประเด็นเกี่ยวกับการนำอุปกรณ์พกพาส่วนตัวมาใช้ในการทำงาน (bring-your-own-device: BYOD) ซึ่งสามารถเข้าถึงข้อมูลคนไข้ได้และเป็นสาเหตุหนึ่งที่ทำให้เกิดการโจรกรรมข้อมูลประจำตัว

ที่มา : eweek

Critical zero-day hole in Internet Explorer

ช่องโหว่ของ IE เวอร์ชัน 6, 7 และ 8 ที่อนุญาตให้แฮกเกอร์สามารถสั่งรันโค้ดอันตรายได้ นักวิจัยจาก FireEye ได้แจ้งเตือนบุกรุกเว็บไซต์ CFR.org อีกทั้งยืนยันว่าเว็บไซต์นี้มีการฝังโค้ดเพื่อทำการโจมตีผู้เยี่ยมชมด้วย

จากการตรวจสอบพบว่าโค้ดดังกล่าวนี้มีไว้เพื่อโจมตีช่องโหว่ของ IE ที่ยังไม่ได้รับการเปิดเผย โดยจากการวิเคราะห์คาดว่าแฮกเกอร์พยายามจะทำการโจมตี "watering hole" หรือการพยายามใช้เว็บไซต์ที่ถูกแฮกเพื่อเรียกร้องความสนใจ และใช้ช่องโหว่นี้โจมตีผู้เข้าชมอีกที ซึ่งบางรายงานมีการอ้างด้วยว่าเป็นฝีมือของแฮกเกอร์ชาวจีน

ทางฝั่งไมโครซอฟท์ได้ออกมายืนยันช่องโหว่นี้แล้ว รวมถึงขั้นตอนเพื่อป้องกันการโจมตีผ่านทางช่องโหว่นี้ด้วย เบื้องต้นผู้ใช้งานควรทำการอัพเกรดเวอร์ชันของ IE ให้เป็นเวอร์ชันล่าสุด รวมถึงติดตั้งแพตซ์รักษาความปลอดภัยให้ครบถ้วนด้วย

ที่มา : h-online

ไมโครซอฟท์ออกแคมเปญ "ลงวินโดวส์เถื่อน-แถมมัลแวร์" ในจีน

ไมโครซอฟท์ประเทศจีนออกแคมเปญโฆษณาต่อต้านการใช้ซอฟต์แวร์ละเมิดลิขสิทธิ์ โดยชูประเด็นเรื่องความปลอดภัยขึ้นมาให้ผู้ใช้สนใจ   แคมเปญนี้ไมโครซอฟท์ใช้วิธีซื้อพีซีตามร้านต่างๆ ในจีนจำนวน 169 เครื่อง และพบว่าทุกเครื่องติดตั้งวินโดวส์ละเมิดลิขสิทธิ์ โดย 91% ของเครื่องทั้งหมดพบมัลแวร์หรือช่องโหว่ด้านความปลอดภัยที่เป็นอันตรายกับผู้ใช้ แบ่งเป็นมัลแวร์โดยตรง 59%, ตั้งค่า IE ให้ผู้ใช้พบกับเว็บหลอกลวง 72%, ปิดการอัพเดตวินโดวส์และไฟร์วอลล์ 70%   ที่น่าสนใจคือพีซีเหล่านี้มีทุกยี่ห้อ เช่น Acer, Asus, Dell, HP, Lenovo รวมถึงแบรนด์ย่อยของประเทศจีน แต่ไมโครซอฟท์ก็อธิบายว่ามัลแวร์ถูกติดตั้งโดยผู้ค้าปลีก ไม่ใช่ผู้ผลิตพีซีโดยตรง (อันนี้คงคล้ายๆ กับบ้านเรา)  จากตัวเลขของ BSA ระบุว่าซอฟต์แวร์ละเมิดลิขสิทธิ์ในจีนมีมูลค่าสูงถึง 9 พันล้านดอลลาร์ ในขณะที่ซอฟต์แวร์ถูกลิขสิทธิ์มีมูลค่าเพียง 2.7 พันล้านดอลลาร์เท่านั้น

ที่มา : blognone

Facebook Patches Webcam Snooping Vulnerability

เมื่ออาทิตย์ที่ผ่านมา Social Network อย่าง Facebook ได้ทำการ patch ช่องโหว่ด้านความปลอดภัยในแพลตฟอร์มที่สามารถทำการ Remote ไปเปิด Webcam  ของผู้ใช้งานคนอื่นๆและสามารถโพสวิดีโอไปยังโปรไฟล์ของคนอื่นๆได้  ช่องโหว่ดังกล่าวถูกพบในเดือนกรกฎาคม โดยบริษัทด้านความปลอดภัย XY Sec ของอินเดีย โดย Aditya Gupta และ Subho Halder กล่าวกับ Bloomberg ว่า Facebook จำเป็นต้องคิดจริงจังกับ bug เพราะว่า Facebook ได้จ่ายค่า bug bounty แก่ XY Sec.

WordPress plugin W3 Total Cache critical Vulnerability disclosed

"W3 Total Cache" เป็นหนึ่งในปลั๊กอินของ WordPress ที่ได้รับความนิยมอย่างมาก ในการนำไปใช้เพื่อเพิ่มประสิทธิภาพของเว็บไซต์ด้วยการ caching และมีผู้ใช้งานอย่างแพร่หลาย แต่ในวันคริสมาสที่ผ่านมามีผู้ออกมาเปิดเผยว่าเว็บไซต์ที่มีการติดตั้งปลั๊กอินนี้มีข้อผิดพลาดเกี่ยวกับ misconfiguration ซึ่งนำไปสู่ปัญหาเรื่องของการถูกแฮก CMS “Wordpress” ได้
โดยปกติแล้ว ถ้าเปิดใช้งาน  W3TC จะทำการการเก็บแคชในการเข้าถึงฐานข้อมูลไว้ใน Directory   แต่ ข้อมูลแคชถูกเก็บไว้ใน Directory นั้นไม่ได้มีการกำหนดสิทธิ์การเข้าถึง ซึ่งโดยปกติแล้วการเก็บข้อมูลของปลั๊กอินจะถูกเก็บไว้ที่ "https://pronto-core-cdn.prontomarketing.com/2/wp-content/w3tc/dbcache/" และถ้ามีการเปิดใช้งาน Directory ก็จะทำให้แฮกเกอร์สามารถเข้าไปดูข้อมูลและสามารถดาวน์โหลดออกมาได้ ซึ่งทำให้ผู้โจมตีสามารถนำ Password และ ข้อมูลอื่นๆจาก Database กลับมาใช้งานได้
ดังนั้นหากมีการใช้งานปลั๊กอินดังกล่าวก็ควรมีการอัพเดทเวอร์ชั่นใหม่หรือกำหนดสิทธิ์ในการการเข้าถึงโฟล์เดอร์ directory ของปลั๊กอิน

ที่มา : thehackernews

Facebook camera app vulnerability allows hackers to hijack accounts

นักวิจัยความปลอดภัยของข้อมูลชาวอียิปต์ ชื่อว่า Mohamed Ramadan ได้ตรวจพบช่องโหว่ร้ายแรงบนแอพพลิเคชั่น Facebook Camera บน IPHONE เมื่อใช้งานโปรแกรมนี้และเชื่อมต่อ WIFI จะมีโอกาศที่ผู้โจมตีสามารถขโมยข้อมูลการเข้าใช้งานไม่ว่าจะเป็นชื่อการเข้าใช้งานหรือรหัสผ่าน โดยช่องโหว่ดังกล่าวเป็นช่องโหว่ที่เกิดขึ้นจากการยอมรับ SSL Certification ได้จากทุกๆที่มาโดยไม่ตรวจสอบ ทำให้ผู้โจมตีสามารถใช้วิธีการโจมตี Man in the Middle เพื่อดักจับข้อมูลได้ โดยเวอร์ชันของโปรแกรมดังกล่าวที่เกิดผลกระทบคือก่อนเวอร์ชัน 1.1.2 ลงไป

ที่มา : ehackingnews