News

ตำรวจฝรั่งเศสประกาศจับกุมหนึ่งในสมาชิกของกลุ่ม Egregor ransomware ได้ที่ยูเครน

สถานีวิทยุ France Inter ของฝรั่งเศสได้รายงานถึงการจับกุมหนึ่งในสมาชิกของกลุ่ม Egregor ransomware ในยูเครนเมื่อสัปดาห์ที่ผ่านมา โดยการจับกุมซึ่งยังไม่ได้รับการประกาศอย่างเป็นทางการเป็นผลมาจากการสืบสวนร่วมกันระหว่างตำรวจฝรั่งเศสและยูเครน

ตามรายงานของ France Inter ระบุว่าผู้ต้องสงสัยที่ถูกจับกุมได้เชื่อว่าเป็นบริษัทในเครือ (หรือหุ้นส่วน) ของกลุ่ม Egregor ransomware ซึ่งในขณะนี้ยังไม่มีการเปิดเผยรายชื่อผู้ต้องสงสัย

Egregor ransomware ได้เริ่มปฏิบัติการโจมตีด้วยแรนซัมแวร์ในเดือนกันยายนปี 2020 โดยใช้โมเดล Ransomware-as-a-Service (RaaS) ซึ่งกลุ่ม Egregor ได้ทำการเช่าแรนซัมแวร์สายพันธุ์หนึ่ง จากนั้นอาศัยอาชญากรรมทางไซเบอร์กลุ่มอื่นๆ ในการบุกรุกเข้าสู่เครือข่ายขององค์กรและใช้แรนซัมแวร์ที่เข้ารหัสไฟล์กับเครือข่ายขององค์กรที่ถูกบุกรุก โดยผู้ที่ตกเป็นเหยื่อและไม่ยอมจ่ายค่าไถ่จะถูกปล่อยไฟล์ที่ถูกบุกรุกลงเว็บไซต์ของกลุ่มเพื่อกดดันให้ทำการจ่ายเงินค่าไถ่ นอกจากนี้กลุ่ม Egregor จะทำการฟอกเงินค่าไถ่เหล่านี้ผ่านระบบของ Bitcoin เพื่อหลีกเลี่ยงการตรวจสอบ

เจ้าหน้าตำรวจของฝรั่งเศสได้ระบุว่าการสอบสวนเริ่มขึ้นเมื่อปีที่แล้วหลังจากที่กลุ่ม Egregor ได้มีส่วนเกี่ยวกับการโจมตีบริษัทของฝรั่งเศสหลายบริษัท เช่น Ubisoft และ Gefco ซึ่งตำรวจฝรั่งเศสพร้อมกับหน่วยงาน European counterpart ได้สามารถติดตามจับกุมสมาชิกของกลุ่ม Egregor พร้อมกับเซิฟเวอร์ที่เป็นโครงสร้างพื้นฐานได้ที่ยูเครน

ทั้งนี้ Egregor ransomware เป็นแรนซัมแวร์สายพันธุ์ที่มีส่วนแบ่งทางการตลาดถึง 14.9% ตามรายงานของ Coveware ที่ได้ทำการตีพิมพ์ในเดือนที่ผ่านมา ซึ่งแรนซัมแวร์ได้รับการประเมินว่าเป็นแรนซัมแวร์หนึ่งในสองสายพันธุ์ที่ถูกใช้งานมากที่สุดในไตรมาส 4 ปี 2020 ซึ่งมีรายได้ค่าไถ่อยู่ที่ระหว่าง 40 ล้านถึง 50 ล้านดอลลาร์

ที่มา: zdnet.

พนักงานของบริษัท Yandex ทำการขายข้อมูลการเข้าถึงกล่องข้อความในบริการอีเมลของผู้ใช้

Yandex บริษัทผู้ให้บริการอินเทอร์เน็ต, อีเมลและบริการค้นหาของรัสเซียได้ประกาศถึงการตรวจพบการละเมิดข้อมูล โดยพนักงานคนหนึ่งของบริษัทได้ทำการขายข้อมูลที่ทำการเข้าถึงบัญชีอีเมลของผู้ใช้หลายพันรายการโดยไม่ได้รับอนุญาต

เหตุการณ์ดังกล่าวบริษัทได้ระบุว่าผู้ดูแลระบบหนึ่งในสามคนที่มีสิทธิ์การเข้าถึงที่จำเป็นเพื่อให้การสนับสนุนด้านเทคนิคสำหรับบริการ Yandex.

นักวิจัยพบช่องโหว่ในฟีเจอร์ Secret Chat บน Telegram ที่ไม่ทำการลบไฟล์เองโดยอัตโนมัติหลังจากผู้ใช้ลบหรือออกจากการแชท

Dhiraj Mishra นักวิจัยด้านความปลอดภัยได้เปิดเผยถึงช่องโหว่ในฟีเจอร์ Secret Chat บน Telegram เวอร์ชัน 7.3 โดยช่องโหว่ดังกล่าวส่งผลให้ Telegram ไม่ทำการลบไฟล์สื่อต่างๆ เองโดยอัตโนมัติออกจากอุปกรณ์ของผู้ใช้หลังจากผู้ใช้ลบหรือออกจากการแชทในโหมด Secret Chat

Telegram ได้นำเสนอฟีเจอร์ Secret Chat ที่ให้ความเป็นส่วนตัวเพิ่มขึ้นกว่าการแชทมาตรฐานและเมื่ออยู่ในการแชทโหมด Secret Chat การเชื่อมต่อจะเข้ารหัสแบบ end-to-end ทั้งหมด ผู้ใช้จะไม่สามารถส่งต่อข้อความไปยังผู้ใช้รายอื่นได้และข้อความและสื่อทั้งหมดจะสามารถกำหนดค่าให้ทำลายตัวเองได้โดยอัตโนมัติและจะถูกลบออกจากอุปกรณ์ทั้งหมดหลังจากครบเวลาที่กำหนด

Mishra กล่าวว่าในขณะทำการตรวจสอบความปลอดภัยของ Telegram บน macOS เขาได้พบการรั่วไหลของ Sandbox Path ที่ถูกใช้ในการเก็บไฟล์วิดีโอและเสียงที่ได้รับ ซึ่ง Mishra ได้ทำการตรวจสอบ Path และโฟลเดอร์ในขณะการทำงานภายใต้โหมด Secret Chat เขาพบว่าถึงแม้จะลบข้อความและสื่อออกจาก Secret Chat แล้วแต่ไฟล์ดังกล่าวยังไม่ทำลายตัวเองและยังสามารถเข้าถึงได้ผ่านโฟลเดอร์ที่ถูกใช้เก็บไฟล์

นอกจากปัญหาด้านความปลอดภัยของโหมด Secret Chat แล้ว Mishra ยังพบว่า Telegram ได้ทำการจัดเก็บรหัสผ่านในรูปแบบ Plaintext ในเครื่องของผู้ใช้เพื่อใช้ปลดล็อกแอปบนอุปกรณ์

ทั้งนี้ Mishra ได้ทำการรายงานช่องโหว่ทั้งสองแล้วเมื่อวันที่ 26 ธันวาคม 2020 ที่ผ่านมาและช่องโหว่ได้รับการแก้ไขแล้วใน Telegram เวอร์ชัน 7.4 ซึ่งสำหรับการรายงานช่องโหว่ทั้งสอง Mishra ได้รับเงินรางวัลด้านความปลอดภัย 3,000 ดอลลาร์จาก Telegram

ที่มา: bleepingcomputer.

ฟีเจอร์ใหม่ใน iOS 14.5 ทำพร็อกซีเพิ่มความเป็นส่วนตัวเมื่อมีการส่งเช็ค URL กับบริการ Google Safe Browsing

โดยปกติในอุปกรณ์ที่ใช้ iOS นั้น หากผู้ใช้งานมีการตั้งค่า Fraudulent Website Warning ไว้ในแอป Safari เมื่อผู้ใช้งานพยายามจะเข้าเว็บไซต์ใด Safari จะทำการส่งข้อมูลที่เกี่ยวข้องกับการเข้าถึงแบบไม่สามารถระบุตัวตนได้ไปยังบริการ Safe Browsing ของ Google เพื่อตรวจสอบความเป็นอันตรายของการเข้าถึงดังกล่าว ผู้ใช้งานจะได้รับการแจ้งเตือนเป็นหน้าสีแดงหากผลลัพธ์ออกมาว่าเว็บไซต์ที่ผู้ใช้งานกำลังจะเข้าถึงนั้นเป็นอันตราย

อย่างไรก็ตามแม้ว่าข้อมูลที่ Safari ส่งให้กับ Safe Browsing จะอยู่ในสถานะที่ปราศจากข้อมูลส่วนบุคคลหรือข้อมูลที่บ่งชี้พฤติกรรมการใช้งานได้ Google ก็ยังคงทราบหมายเลขไอพีแอดเดรสของอุปกรณ์ที่ส่งข้อมูลมาอยู่ดี

หลังจากความตั้งใจของแอปเปิลเกี่ยวกับการพยายามเพิ่มความเป็นส่วนตัวของผู้ใช้งานซึ่งแสดงให้เห็นจากหลายฟีเจอร์ที่ถูกเพิ่มเข้ามาใน iOS หนึ่งในฟีเจอร์อีกหนึ่งอย่างที่กำลังจะเพิ่มเข้ามาใน iOS 14.5 นั้นคือการทำพร็อกซีให้กับแอป Safari ก่อนที่จะมีการส่งข้อมูลไปยัง Safe Browsing ซึ่งจะส่งผลให้หมายเลขไอพีแอดเดรสทั้งหมดที่ Safe Browsing จะเห็นนั้นเป็นหมายเลขไอพีเดียวกัน

ฟีเจอร์นี้ได้ถูกอิมพลีเมนต์ลงไปแล้วใน iOS 14.5 beta หลังจากที่ถูกค้นพบโดยผู้ใช้งาน Reddit ซึ่งใช้ชื่อบัญชีว่า jaydenkieran โดย Apple อาจมีจะมีการปล่อย iOS รุ่นใหม่นี้ในช่วงเดือนกุมภาพันธ์/มีนาคมที่จะถึงนี้

ที่มา: zdnet

แฮกเกอร์บุกรุกระบบของโรงบำบัดน้ำในเมือง Oldsmar และทำการแก้ไขระดับสารเคมีที่ใช้ในโรงบำบัด

Bob Gualtieri นายอำเภอของเขต Pinellas County เมือง Oldsmar รัฐฟลอริดา ประเทศสหรัฐอเมริกา ได้แถลงถึงกรณีที่แฮกเกอร์ได้ทำการบุกรุกเข้าถึงระบบคอมพิวเตอร์ของโรงบำบัดน้ำในเมือง Oldsmar และได้ทำการปรับเปลี่ยนระบบการควบคุมระดับสารเคมีที่ใช้ในโรงบำบัดให้เป็นระดับที่เป็นอันตราย

การบุกรุกเกิดขึ้นในวันศุกร์ที่ 5 กุมภาพันธ์ที่ผ่านมา โดยการโจมตีดังกล่าวเกิดขึ้นก่อนการแข่งขัน Super Bowl LV ของ NFL ใน Tampa Bay เพียงสองวัน ซึ่งแฮกเกอร์ได้เข้าถึงระบบคอมพิวเตอร์ที่สามารถตั้งค่าการควบคุมระบบการบำบัดน้ำได้จากระยะไกลผ่านซอฟต์แวร์ TeamViewer ครั้งแรกเวลา 8.00 น และครั้งที่สอง 13.30 น. โดยการเข้าถึงระบบครั้งที่สองนี้เจ้าหน้าที่ผู้ปฏิบัติงานที่กำลังตรวจสอบระบบและเห็นแฮกเกอร์กำลังเลื่อนเคอร์เซอร์ของเมาส์บนหน้าจอเพื่อเข้าถึงซอฟต์แวร์ที่ใช้ในการบำบัดน้ำ

แฮกเกอร์ได้ทำการการตั้งค่าสารโซเดียมไฮดรอกไซด์ที่ถูกใช้เพื่อควบคุมความเป็นกรดของน้ำและกำจัดโลหะออกจากน้ำดื่มในโรงบำบัดน้ำ จากประมาณ 100 ส่วนต่อล้านเป็น 11,100 ส่วนต่อล้าน ซึ่งเป็นการเพิ่มขึ้นอย่างมีนัยสำคัญและอาจเป็นอันตรายต่อประชาชนในเมืองได้

เนื่องจากการโจมตีดังกล่าวถูกเจ้าหน้าที่ผู้ปฏิบัติงานตรวจจับได้ทันเวลาก่อนที่ระดับสารเคมีในน้ำจะถูกนำไปใช้ในระบบการส่งน้ำในเมืองและหลังจากการตรวจจับการโจมตี เจ้าหน้าที่ผู้ปฏิบัติงานได้ทำการแก้ไขระบบการตั้งค่าระดับสารเคมีให้กลับมาเป็นปกติทันที

ปัจจุบันทางการเมือง Pinellas County, หน่วยงาน FBI และหน่วย Secret Service ของสหรัฐ กำลังร่วมกันสอบสวนหาผู้กระทำการโจมตีครั้งนี้

ที่มา: zdnet, bleepingcomputer

Singtel ถูกโจมตีผ่านช่องโหว่ในผลิตภัณฑ์ File Transfer ความเสียหายยังไม่ทราบแน่ชัด

Singtel บริษัทเทเลคอมสัญชาติสิงคโปร์ประกาศการค้นพบการบุกรุกเครือข่ายซึ่งมีที่มาจากช่องโหว่ของผลิตภัณฑ์ Accellion File-transfer Appliance (FTA) หลังจากที่มีการตรวจพบและมีการแก้ไขแพตช์ไปบางส่วนแล้วเมื่อช่วงต้นปีที่ผ่านมา เหยื่อจากการโจมตี จากช่องโหว่ยังรวมไปถึงหน่วยงานวิจัยด้านสุขภาพในออสเตรเลียด้วย

อ้างอิงจากประกาศของ Accellion ผลิตภัณฑ์ FTA ถูกตรวจพบว่ามีช่องโหว่ตั้งแต่ในช่วงกลางเดือนธันวาคมโดยทางบริษัทได้ดำเนินการแก้ไขแพตช์โดยทันที อย่างไรก็ตามการแก้ไขแพตช์ที่เกิดขึ้นนั้นครอบคลุมช่องโหว่เพียงแค่บางส่วน Accellion ระบุว่าทางบริษัทมีการตรวจพบในภายหลังว่ามีช่องโหว่อยู่อีกหลายรายการ จนดำเนินการมาถึงช่วงเดือนมกราคมที่ช่องโหว่ถูกนำมาใช้ในการโจมตี ในปัจจุบัน แพตช์ล่าสุดของอุปกรณ์ได้รับการปล่อยไปแล้วในวันที่ 27 ธันวาคม อย่างไรก็ตามความสามารถในการรับแพตช์ไปอัปเดตก็อาจเป็นปัญหาหนึ่งที่ผู้โจมตีนำมาใช้เพื่อฉวยโอกาสในการโจมตีได้

จากประกาศของ Singtel ทางบริษัทยังไม่สามารถระบุความเสียหาย ผลกระทบ รวมไปถึงเป้าหมายในการโจมตีได้อย่างชัดเจน เนื่องจาก Singtel มีบริการอยู่ในหลายประเทศรวมไปถึงกับทาง AIS ในประเทศไทย การประเมินผลกระทบจึงจำเป็นต้องทำอย่างถี่ถ้วนเพื่อให้แน่ใจถึงขอบเขตของความเสียหายอย่างชัดเจน ไอ-ซีเคียวจะรายงานหากมีข้อมูลเพิ่มเติมต่อไป

ที่มา: threatpost

Adobe ออกแพตช์แก้ไขช่องโหว่ 50 รายการ ในการอัปเดตแพตช์ประจำเดือนกุมภาพันธ์ 2021

Adobe ได้เปิดตัวแพตช์อัปเดตด้านความปลอดภัยประจำเดือนกุมภาพันธ์ 2021 โดยในเดือนกุมภาพันธ์นี้ Adobe ได้ทำการแก้ไขช่องโหว่ 50 รายการที่ส่งผลกระทบต่อผลิตภัณฑ์ 7 รายการ ได้แก่ Adobe Reader, Acrobat, Magento, Photoshop, Animate, Illustrator และ Dreamweaver

ช่องโหว่ที่สำคัญระดับความรุนแรง “Critical” ถูกติดตามด้วยรหัส CVE-2021-21017 ซึ่งเป็นช่องโหว่ Heap-based Buffer Overflow ที่อาจทำให้ผู้โจมตีที่เเฝงโค้ดที่เป็นอันตรายบนเว็บไซต์สามารถเรียกใช้โค้ดจากระยะไกลบนคอมพิวเตอร์ที่มีช่องโหว่ได้ รวมถึงการรันคำสั่งและติดตั้งมัลแวร์บนคอมพิวเตอร์ของเหยื่อได้ โดยช่องโหว่ดังกล่าวจะมีผลกระทบกับ Adobe Acrobat และ Reader สำหรับ Windows และ macOS

นอกเหนือจากช่องโหว่ของผลิตภัณฑ์ Reader แล้ว Adobe ยังได้แก้ไขช่องโหว่ที่สำคัญอื่น ๆ ในผลิตภัณฑ์ Magento จำนวน 18 รายการ, Acrobat และ Reader จำนวน 23 รายการ, Photoshop จำนวน 5 รายการ, Adobe Animate จำนวน 1 รายการ, Adobe Illustrator จำนวน 2 รายการและ Adobe Dreamweaver จำนวน 1 รายการ

Adobe แนะนำให้ผู้ใช้ทำการรีบอัปเดตแพตช์ด้านความปลอดภัยให้เป็นเวอร์ชันล่าสุดอย่างเร่งด่วนเพื่อป้องกันผู้ประสงค์ร้ายใช้ประโยชน์จากช่องโหว่เพื่อทำการโจมตีระบบที่ไม่ได้รับการอัปเดตแพตช์ด้านความปลอดภัย

ที่มา: bleepingcomputer

Microsoft Patch Tuesday ประจำเดือนกุมภาพันธ์ 2021 มาแล้ว พบบางช่องโหว่ถูกใช้โจมตีจริง แนะนำให้ทำการแพตช์โดยด่วน

ไมโครซอฟต์ประกาศแพตช์ช่องโหว่ด้านความปลอดภัยใน Patch Tuesday รอบเดือนกุมภาพันธ์ 2021 เมื่อวานนี้ ซอฟต์แวร์ที่ได้รับแพตช์ในรอบนี้สูงสุดยังคงเป็น Windows ซึ่งได้รับแพตช์ไปทั้งหมด 28 รายการจากทั้งหมด 64 CVE ในมุมของผลกระทบนั้น มีช่องโหว่ทั้งหมด 11 รายการที่ถูกระบุอยู่ในเกณฑ์ Critical

จากรายการที่ประกาศ ทีมนักวิจัยจาก DB App Security ได้ตรวจพบว่าช่องโหว่ CVE-2021-1732 ซึ่งเป็นช่องโหว่ Privilege escalation ใน Windows Kernel ได้ถูกนำมาใช้โจมตีจริงโดยกลุ่ม APT ทีมนักวิจัยได้มีการเขียนรายงานการตรวจพบและการวิเคราะห์ช่องโหว่เอาไว้ ซึ่งสามารถอ่านเพิ่มได้ที่ dbappsecurity

ในขณะเดียวกัน มีการค้นพบช่องโหว่ RCE ระดับ Critical (CVSS 9.8/10) ใน TCP/IP stack ของ Windows ทั้งหมด 2 รายการ จากลักษณะของช่องโหว่ มีความเป็นไปได้สูงว่าช่องโหว่สามารถถูกโจมตีได้จากระยะไกลเพื่อรันโค้ดที่เป็นอันตราย

แพตช์ล่าสุดในรอบนี้ยังมีการแก้แพตช์ช่องโหว่รหัส CVE-2021-1733 ซึ่งเป็นช่องโหว่ Privilege escalation ในเครื่องมือ PsExec ด้วย ช่องโหว่นี้ได้เคยมีการพยายามแก้ไขแพตช์ในเครื่องมือ PsExec แล้วเมื่อเดือนมกราคม อย่างไรก็ตามนักวิจัยด้านความปลอดภัย David Wells ระบุว่าแพตช์ที่เกิดขึ้นในเดือนมกราคมนั้นไม่สมบูรณ์ ซึ่งส่งผลให้แพตช์ถูกบายพาสและยังคงโจมตีช่องโหว่ได้

ขอให้ผู้ใช้งานและผู้ดูแลระบบดำเนินการอัปเดตแพตช์โดยด่วนเพื่อจัดการความเสี่ยงที่จะมีการโจมตีโดยใช้ช่องโหว่เหล่านี้

ที่มา: zdnet,dbappsecurity,twitter,bleepingcomputer

บริษัทเกมชื่อดัง CD Projekt Red ถูกมัลแวร์เรียกค่าไถ่ HelloKitty ลั่นไม่หนี! ไม่หาย! ไม่จ่าย! เดี๋ยวกู้จากแบ็คอัพเอา!

บริษัทเกมชื่อดัง CD Projekt Red ผู้ผลิตเกมชื่อดังอย่าง Cyberpunk 2077 ออกมาประกาศว่าบริษัทตกเป็นเหยื่อล่าสุดของการโจมตีแบบพุ่งเป้าโดยมัลแวร์เรียกค่าไถ่ โดยผู้โจมตีได้เข้าถึงระบบภายใน เก็บและโอนถ่ายข้อมูลบางส่วนออก จากนั้นทำการเข้ารหัสข้อมูลส่วนที่เหลือพร้อมกับเรียกค่าไถ่

เคสการโจมตี CD Projekt Red นับว่าเป็นกรณีศึกษาที่ดีมากกรณีหนึ่ง เนื่องจากทางบริษัทได้มีการทำแบ็คอัพระบบเอาไว้เสมอ และแบ็คอัพดังกล่าวนั้นไม่ได้รับผลกระทบจากการโจมตี ทางบริษัทจึงมีแผนที่จะไม่จ่ายค่าไถ่และกู้คืนระบบขึ้นมาจากแบ็คอัพโดยทันที นอกจากนั้น CD Projekt Red ยังได้มีการออกแถลงการณ์อย่างเป็นทางการ และให้ข้อมูลเกี่ยวกับการโจมตีซึ่งรวมไปถึงโน้ตเรียกค่าไถ่ที่ผู้โจมตีทิ้งเอาไวด้วย

จากข้อมูลที่เผยแพร่โดย CD Projekt Red นักวิจัยด้านความปลอดภัย Fabian Wosar จาก Emsisoft ได้เชื่อมโยงข้อมูลดังกล่าวและพบความสอดคล้องกับกลุ่มมัลแวร์เรียกค่าไถ่ที่ใช้ชื่อว่า HelloKitty ซึ่งเริ่มมีปฏิบัติการตั้งแต่เดือนพฤศจิกายนปีที่แล้ว เป็นต้นมา กลุ่ม HelloKitty ยังเคยทำการโจมตีบริษัทด้านพลังงานสัญชาติบราซิลอย่าง CEMIG ด้วย

ในขณะนี้ข้อมูลเกี่ยวกับผู้โจมตีและภัยคุกคามยังมีเพียงแค่ส่วนที่เป็นมัลแวร์เรียกค่าไถ่ ยังไม่ปรากฎข้อมูลเพิ่มเติมว่าผู้โจมตีมีพฤติกรรมการโจมตีอย่างไรบ้างจนสามารถรันมัลแวร์เรียกค่าไถ่ได้ในท้ายที่สุด ขอให้ติดตามการอัปเดตข้อมูลในอนาคตต่อไป

ผลจากการโจมตี CD Projekt Red เริ่มทำให้มีผู้แอบอ้างว่าได้ครอบครองข้อมูลจากการโจมตีบริษัทฯ และพร้อมจะนำมาเปิดประมูลขายให้กับผู้ให้ราคาสูงสุด ทั้งนี้ยังไม่มีการประกาศขายหรือการประมูลใดที่มีข้อมูลยืนยันและน่าเชื่อมากพอว่าผู้ที่ประกาศขายนั้นมีการครอบครองข้อมูลจริง

ที่มา: twitter, facebook, bleepingcomputer, securityweek, theregister, threatpost, zdnet, bleepingcomputer, twitter

เทคนิคการโจมตีใหม่ Dependency Confusion ใช้แฮกไปแล้ว 35 บริษัท Tech ไมโครซอฟต์ออก Whitepaper แจ้งเตือน

นักวิจัยด้านความปลอดภัย Alex Birsan และ Justin Gardner ได้มีการเผยแพร่เทคนิคการโจมตีใหม่ภายใต้ชื่อ Dependency Confusion ซึ่งอาศัยช่องโหว่ของการดาวน์โหลดและติดตั้งแพ็คเกจของนักพัฒนาในการลักลอบนำแพ็คเกจซึ่งเป็นอันตรายไปรันใน Environment ภายในของนักพัฒนา วิธีการนี้ถูกใช้ทดสอบกับกว่า 35 บริษัท Tech ซึ่งรวมไปถึง Microsoft, Apple, PayPal, Shopify, Netflix, Yelp, Tesla, และ Uber และสามารถใช้โจมตีได้จริง

คีย์หลักของการโจมตีนั้นอยู่ในจุดที่ว่า หากผู้โจมตีทราบถึงชื่อของไลบรารีหรือแพ็คเกจที่นักพัฒนาจะใช้งานภายในกระบวนการพัฒนาแอป ผู้โจมตีจะใช้ข้อมูลดังกล่าวในการนำไปสร้างเป็นไลบรารีหรือแพ็คเกจที่มีชื่อเหมือนกันใน Public repository แทนและสอดแทรกโค้ดที่เป็นอันตรายเข้าไปในลักษณะที่คล้ายกับ Supply-chain attack การโจมตีในลักษณะนี้ส่วนหนึ่งเกิดขึ้นได้เนื่องจากพฤติกรรมของ Package manager ที่จะใช้ความสำคัญกับแพ็คเกจที่อยู่บน Public repository มากกว่าที่อยู่ในระบบภายใน

สองนักพัฒนาได้ทำการทดสอบช่องโหว่นี้กับ Package manager อย่าง npm, RubyGems, PyPI, JFrog และ NuGet พบว่าสามารถใช้การโจมตีนี้ได้ทั้งหมด

การค้นพบช่องโหว่ดังกล่าวนำไปสู่การแจ้งเตือนยังบริษัทที่ได้รับผลกระทบ และส่งผลให้นักวิจัยทั้งสองได้รับรางวัลจากโครงการ Bug Bounty ไปกว่า 130,000 ดอลลาร์สหรัฐฯ หรือประมาณเกือบ 4 ล้านบาท

หลังจากมีการแจ้งช่องโหว่ ไมโครซอฟต์ได้มีการจัดทำ Whitepaper ขึ้นมาเพื่อให้คำแนะนำและระบุความเสี่ยงของเทคนิคการโจมตีนี้ เราขอแนะนำให้นักพัฒนาศึกษารายละเอียดเพิ่มเติมจาก azure เพื่อลดความเสี่ยงในการถูกโจมตี

บล็อกงานวิจัยต้นฉบับ: medium

ที่มา: zdnet, bleepingcomputer