หลังจากที่ GitHub ถูกโจมตีด้วย DRDoS โดยใช้หลักการความแตกต่างระหว่าง request/response ที่ถูกส่งไปยังเซิร์ฟเวอร์ Memcached พร้อมกับการทำ IP spoofing ด้วยปริมาณข้อมูลถึง 1.3 Tbps ซึ่งเป็นสถิติของการโจมตี DDoS ที่ใหญ่ที่สุดของโลก เมื่อวันจันทร์ที่ผ่านมาสถิติกลับถูกทุบด้วยการโจมตีที่มีปริมาณใหญ่กว่าถึง 1.7 Tbps

สำหรับการโจมตีในครั้งนี้นั้นยังคงมีการใช้เซิร์ฟเวอร์ Memcached เพื่อทำการโจมตีแบบ DRDoS เช่นเดิม โดยเป้าหมายในครั้งเป็นผู้ให้บริการรายหนึ่ง อย่างไรก็ตามผลลัพธ์การโจมตีกลับไม่ได้ทำให้ระบบไม่สามารถให้บริการได้อันเนื่องมาจากการป้องกันและตอบสนองที่ดีพอ อ้างอิงจากรายงานของ Arbor Networks

เมื่อวันพุธที่ผ่านมา HackerNews มีการรายงานหลังจากที่ตรวจพบการเผยแพร่โปรแกรมสำหรับโจมตี DRDoS ใส่ระบบอื่นโดยการใช้เซิร์ฟเวอร์ Memcached อีกทั้งตัวโปรแกรมสำหรับโจมตีนั้นยังมีการแนบรายการของเซิร์ฟเวอร์ Memcached ที่สามารถใช้ในการโจมตีได้มาด้วยกว่า 17,000 รายการ

สคริปต์ที่มีการค้นพบนั้นมีอยู่ 2 เวอร์ชันคือเวอร์ชันที่ถูกพัฒนาด้วยภาษา C และอีกเวอร์ชันที่ถูกพัฒนามาจากภาษา Python โดยสำหรับสคริปต์โจมตีที่ถูกพัฒนาในภาษา Python มีการใช้บริการของ Shodan ในการหาเซิร์ฟเวอร์ Memcached ที่สามารถใช้โจมตีได้มาใช้งานด้วย

กลุ่มนักวิจัยจาก Corero Network Security ประกาศการค้นพบเทคนิคใหม่ที่ทำให้เหยื่อที่ถูกโจมตี DRDoS จากเซิร์ฟเวอร์ Memcached นั้นสามารถหยุดการโจมตีได้ทันที

Kill Switch ในรอบนี้นั้นคือการส่งคำสั่งเพื่อ flush ข้อมูลออกจากแคชของ Memcached เซิร์ฟเวอร์ด้วยการส่งคำสั่ง "shutdown\r\n" หรือ "flush_all\r\n" กลับไปที่เซิร์ฟเวอร์โดยตรงซึ่งอาจทำได้ผ่านโปรแกรม nc/netcat โดยใช้คำสั่ง nc x.x.x.x 11211 < "flush_all"

ที่มา : Theregister

แพตช์ประจำเดือนของแอนดรอยด์หรือ Android Security Bulletin ประจำเดือนมีนาคม 2018 ถูกประกาศออกมาแล้ว โดยภายในเดือนนี้นั้นมีช่องโหว่ระดับร้ายแรงสูงสุด (critical) จำนวน 11 จากทั้งหมด 37 ช่องโหว่ที่ถูกแพตช์ ซึ่งส่วนมากเป็นช่องโหว่ที่ทำให้ผู้โจมตีสามารถรันโค้ดที่เป็นอันตรายได้จากระยะไกล

สำหรับช่องโหว่ที่ร้ายแรงที่สุดในรอบนี้ก็ยังหนีไม่พ้นที่จะมาจากตำแหน่งโดยกับที่ช่องโหว่ Stagefright เคยอยู่คือส่วนของ Media Framework การโจมตีช่องโหว่ดังกล่าวสามารถทำได้โดยการส่งไฟล์มีเดียที่ถูกสร้างแบบพิเศษไปให้ผู้ใช้งานเปิด เมื่อการโจมตีช่องโหว่สำเร็จ ผู้โจมตีจะสามารถรันโค้ดอันตรายได้ด้วยสิทธิ์เดียวกับโปรเซสที่ถูกโจมตี

ที่มา : Threatpost

กลุ่มนักวิจัยด้านความปลอดภัยจากบริษัท Devcore ได้มีการเปิดเผยการค้นพบช่องโหว่บนซอฟต์แวร์ Exim หลังจากมีการปล่อยแพตช์ช่องโหว่ดังกล่าวออกมา โดยแพตช์ดังกล่าวนั้นถูกยืนยันว่า *กระทบ Exim ทุกเวอร์ชัน* ซึ่งทำให้ผู้โจมตีสามารถรันโค้ดที่เป็นอันตรายได้จากระยะไกลก่อนจะมีการพิสูจน์ตัวตน (Pre-auth Remote Code Execution)

ช่องโหว่ดังกล่าวนั้นเกิดขึ้นจากการคำนวณขนาดของ buffer เมื่อมีการถอดรหัสข้อมูลจากอัลกอริธึม Base64 ที่ผิดพลาด ส่งผลให้เกิดช่องโหว่แบบ one-byte heap overflow หรือ off-by-one ซึ่งอาจส่งผลให้เกิดการนำไปใช้งานเพื่อทำให้เกิดเงื่อนไขที่ผู้โจมตีสามารถทำการรันโค้ดได้จากระยะไกลจากปกติที่เกิดเพียงแค่การเขียนข้อมูลทับข้อมูลอื่นในหน่วยความจำ

Recommendation : ช่องโหว่ดังกล่าวส่งผลกระทบ Exim ในทุกๆ เวอร์ชัน แนะนำให้อัปเดตเป็นเวอร์ชันที่มีการแพตช์แล้วคือ 4.90.1 หรือใหม่กว่าโดยด่วน

Affected Platform : Exim ทุกเวอร์ชัน

ที่มา : Andreafortuna

ทีมนักวิจัยด้านความปลอดภัยจาก CheckPoint ได้ออกมาเปิดเผยถึงแคมเปญการโจมตีล่าสุดเพื่อแพร่กระจายมัลแวร์ Coinminer โดยมีเป้าหมายเป็นเซิร์ฟเวอร์ Jenkins ที่มีช่องโหว่ด้านความปลอดภัย จากการประเมินเบื้องต้น ผู้ประสงค์สามารถสร้างรายได้กว่า 3 ล้านดอลลาร์สหรัฐฯ เมื่อแปลงจากสกุลเงิน Monero แล้ว แนะนำให้รีบแพตช์ช่องโหว่โดยด่วน

สำหรับช่องโหว่ที่ผู้ประสงค์ร้ายมุ่งโจมตีนั้นเป็นช่องโหว่รหัส CVE-2017-1000353 ซึ่งมีที่มาจากกระบวนการ serialization/deserialization อย่างไม่ปลอดภัยของ Jenkins CLI ทำให้ผู้ประสงค์ร้ายมีโอกาสในการสแกนหาเซิร์ฟเวอร์ Jenkins ที่สามารถเข้าถึงได้จากอินเตอร์เน็ตและทำการทดลองโจมตีช่องโหว่ดังกล่าวเพื่อที่จะรันโค้ดที่เป็นอันตรายจากระยะไกลเพื่อควบคุมการทำงานของระบบเป้าหมายได้ ช่องโหว่ดังกล่าวส่งผลกระทบจนถึงเวอร์ชัน 2.56 สำหรับ main line release และจนถึงเวอร์ชัน 2.46.1 สำหรับ LTS release

Recommendation : โครงการ Jenkins ได้ออกมาคำแนะนำให้ผู้ใช้งานทำการอัปเกรด Jenkins เป็นเวอร์ชันล่าสุดก่อน (2.57 สำหรับ main line release และ 2.46.2 สำหรับ LTS release) จากนั้นให้ทำการปิดการเข้าถึงจากระยะไกลผ่านทาง CLI โดยเปลี่ยนขั้นตอนในการเข้าถึงเป็นโปรโตคอลอื่นๆ อาทิ HTTP หรือ SSH แทน

Affected Platform : Jenkins main line release จนถึงเวอร์ชัน 2.56 และ Jenkins LTS release จนถึงเวอร์ชัน 2.46.1

ที่มา : hackread

FireEye ได้มีการออกประกาศเพิ่มเติมวันนี้หลังจากมีกการตรวจพบการใช้ช่องโหว่ Adobe Flash Player (CVE-2018-4847) ในการโจมตีระบบเพื่อแพร่กระจายมัลแวร์ ในเบื้องต้นคาดว่าเป็นกลุ่มแฮกเกอร์จากเกาหลีเหนือที่มีจุดประสงค์เพื่อจารกรรรมและขโมยข้อมูล

APT37 หรือ Reaper ซึ่งเป็นชื่อเรียกของกลุ่มแฮกเกอร์โดย FireEye พุ่งเป้าโจมตีไปที่เกาหลีใต้ ญี่ปุ่น เวียดนามรวมไปถึงประเทศในกลุ่มตะวันออกกลาง โดยเน้นไปที่องค์กรหรือบรรษัทขนาดใหญ่ กระบวนการโจมตีเริ่มต้นจากการใช้เทคนิค social engineering แบบเจาะจงบุคคลรวมไปถึงโจมตีเว็บไซต์ที่เกี่ยวข้องกับเป้าหมายเพื่อแพร่กระจายมัลแวร์ ในส่วนของเทคโนโลยีนั้น APT37 มีการใช้ช่องโหว่ Adobe Flash Player (CVE-2018-4847) และช่องโหว่ของ Hangul Word Processor (HWP) เพื่อลักลอบรันโค้ดที่เป็นอันตรายหรือมัลแวร์ซึ่งจะฝังตัวอยู่ในระบบเป็นเวลานานเพื่อทยอยขโมยข้อมูลออกจากระบบ
Recommendation ในขณะนี้ยังไม่พบการโจมตีหรือการแพร่กระจายของมัลแวร์ในไทย แต่ทางไอ-ซีเคียวก็ขอแนะนำให้ผู้ใช้งานดำเนินการป้องกันการโดยการตรวจสอบความทันสมัยของโปรแกรมและแพตช์ด้านความปลอดภัยอย่างสม่ำเสมอ โดยควรมีการติดตามอัปเดตทุกครั้งเมื่อมีการประกาศจากผู้ผลิตซอฟต์แวร์

ที่มา : FireEye

Tavis Ormandy จาก Google Project Zero ได้ออกมาประกาศการค้นพบช่องโหว่บนโปรโตคอล JSON-RPC ซึ่งใช้ในโปรแกรม uTorrent รวมไปถึง Bittorrent ซึ่งทำให้ผู้โจมตีสามารถอัปโหลดไฟล์ที่เป็นอันตรายไปยังเครื่องที่มีช่องโหว่ได้ พร้อมช่องโหว่เล็กน้อยๆ อื่นอีกจำนวนหนึ่ง แนะนำให้อัปเดตเป็นเวอร์ชันเบต้าโดยด่วน

หนึ่งในช่องโหว่ที่มีความร้ายแรงสูงนั้นเกิดขึ้นจากการที่ uTorrent มีการรองรับการเชื่อมต่อผ่านโปรโตคอล JSON-RPC เป็นค่าเริ่มต้นและมีการเก็บข้อมูลซึ่งเกี่ยวข้องกับการพิสูจนต์ตัวตนที่ไม่ปลอดภัย ทำให้ผู้โจมตีสามารถใช้เทคนิคการโจมตีที่เรียกว่า DNS rebinding attack เพื่อลักลอบดึงข้อมูลที่เกี่ยวข้องกับการพิสูจน์ตัวตนดังกล่าวมาใช้งาน และควบคุมโปรแกรมให้ทำการอัปโหลด/ดาวโหลดไฟล์ไปยังตำแหน่งต่างๆ ในระบบได้

นอกเหนือจากช่องโหว่ที่เกี่ยวข้องกับ JSON-RPC นั้น โปรแกรม uTorrent ยังไม่มีการรองรับฟีเจอร์การป้องกันการของระบบ เช่น ASLR และมีการใช้ฟังก์ชันในการสร้าง token สำหรับพิสูจน์ตัวตนที่ไม่ปลอดภัยอีกด้วย Tavis ยังค้นพบว่า Bittorent นั้นก็ได้รับผลกระทบจากช่องโหว่ JSON-RPC เดียวกัน

Recommendation ในขณะนี้ uTorrent ได้มีการประกาศ uTorrent รุ่น 3.5.3 Beta ซึ่งมีการแก้ไขช่องโหว่ดังกล่าวแล้ว แนะนำให้ผู้ใช้งานทำการอัปเดตโปรแกรมเป็นเวอร์ชันล่าสุดโดยด่วน

ที่มา : Chromium

ทีมนักวิจัยด้านความปลอดภัย MalwareHunterTeam ได้ประกาศการค้นพบมัลแวร์เรียกค่าไถ่สายพันธุ์ใหม่ "Saturn" เข้ารหัสไฟล์พร้อมแก้นามสกุลไฟล์เป็น .saturn ยังไม่มีวิธีการถอดรหัสโดยไม่จ่ายค่าไถ่ในขณะนี้
แมในตอนนี้ยังไม่มีการเปิดเผยข้อมูลถึงวิธีการแพร่กระจายของมัลแวร์เรียกค่าไถ่ Saturn ได้พฤติกรรมและรูปแบบการแพร่กระจายที่ไม่ได้มีการเพิ่มขึ้นอย่างรวดเร็วมากนัก จึงอาจสรุปได้ว่า Saturn ยังคงแพร่กระจายได้วิธีการอย่างอีเมลพร้อมไฟล์แนบ การเข้าเว็บไซต์ที่มีการแสดงโฆษณาและมีการฝังสคริปต์ที่เป็นอันตราย มัลแวร์เรียกค่าไถ่ Saturn ยังไม่มีพฤติกรรมในการลบไฟล์ข้อมูลสำรองจากฟีเจอร์ Volume Shadow Copies, Windows Backup Catalog และปิดการทำงาน Windows Startup Repair
Recommendation
แนะนำให้เพิ่มความระมัดระวังก่อนเปิดไฟล์ที่ต้องสงสัยใดๆ รวมไปถึงการตั้งค่าระบบให้ปลอดภัยเพื่อป้องกันการโจมตีระบบเพื่อแพร่กระจายมัลแวร์เรียกค่าไถ่
ที่มา : bleepingcomputer

นักวิจัยด้านความปลอดภัยชาวอิตาเลียนจาก Mobile World แจ้งเตือนหลังจากมีการค้นพบช่องโหว่ใหม่ซึ่งกระทบเกือบทุกอุปกรณ์ของแอปเปิล โดยเป็นผลมาจากตัวอักษรเพียงตัวอักษรเดียวซึ่งเมื่อถูกเปิดด้วยแอปพลิเคชันบางประเภทที่อยู่บนอุปกรณ์แล้ว อาจทำให้อุปกรณ์ค้างจนหรือปิดตัวเองได้

ตัวอักษรดังกล่าวนั้นเป็นตัวอักษรในภาษาอินเดียซึ่งเรียกว่า Telugu ในการโจมตีช่องโหว่นี้นั้น ผู้โจมตีเพียงแค่ทำการส่งตัวอักษรไปยังช่องทางต่างๆ โดยหากทำการส่งตัวอักษรไปซ้ำๆ กันหลายครั้ง ระบบปลายทางที่รับตัวอักษรดังกล่าวจะค้างและทำการรีบูตตัวเองทันที

ในขณะนี้แอปพลิเคชันที่คาดว่าได้รับผลกระทบได้แก่ WhatsApp, Facebook Messenger, Outlook for iOS, และ Gmail ทางแอปเปิลได้รับทราบถึงการมีอยู่ของช่องโหว่ดังกล่าวแล้ว โดยจะมีการแก้ไขใน iOS 11.3 ซึ่งจะถูกปล่อยในช่วงฤดูใบไม้ผลิ

Recommendation
ในส่วนของการป้องกันสำหรับผู้ใช้งานทั่วไปนั้น หากผู้ใช้งานค้นพบพฤติกรรมที่ผิดปกติ เช่น ระบบมีการรีบูตตัวเองหรือแอปที่ใช้งานอยู่นั้นปิดตัวเองโดยอัตโนมัติ ให้พยายามระบุหาข้อความซึ่งอาจมีตัวอักษร Telegu นี้ผสมอยู่แล้วดำเนินการลบการสนทนาหรือข้อความนั้นออกโดยทันที

ที่มา : thehackernews

ไมโครซอฟต์ประกาศ Patch Tuesday ประจำเดือนกุมภาพันธ์ 2018 แล้วเมื่อวานนี้ โดยในรอบนี้นั้นมีแพตช์ช่องโหว่ด้านความปลอดภัยทั้งหมด 50 รายการ ซึ่งมี 14 รายการเป็นแพตช์ระดับร้ายแรง (critical) รวมไปถึงแพตช์ปรับปรุงสำเร็จช่องโหว่ Spectre และ Meltdown ด้วย

หนึ่งในแพตช์ที่น่าสนใจในรอบนี้มาจากช่องโหว่รหัส CVE-2018-0852 สำหรับผลิตภัณฑ์ Microsoft Outlook มีการค้นพบว่าผู้โจมตีสามารถรันโค้ดที่อันตรายบนระบบของเหยื่อ ติดตั้งมัลแวร์หรือขโมยข้อมูลที่สำคัญออกไปได้เพียงแค่ส่งอีเมลที่มีโค้ดสำหรับโจมตีช่องโหว่อยู่และถูกเปิดโดย Microsoft Outlook นั้นรุ่นที่มีช่องโหว่

Recommendation
แนะนำให้ตรวจสอบและอัปเดตแพตช์ผ่านทางช่องทางต่างๆ เพื่อลดผลกระทบหากมีการโจมตีช่องโหว่ดังกล่าวโดยด่วน

Affected Platform
- IE 9, 10, 11
- Microsoft Edge
- Windows 7, 8.1, RT 8.1, 10, Server 2008/2008 R2, Sever 2012, 2012 R2, Server 2016
- SharePoint Server 2016
- Project Server 2013
- Outlook/Word/Office 2007, 2010, 2013, 2016
- ChakraCore
- Adobe Flash

ที่มา : bleepingcomputer

กลุ่มนักวิจัยด้านความปลอดจาก NewSky Security ประกาศแจ้งเตือนหลังจากตรวจพบมัลแวร์ประเภทบ็อตเน็ต "DoubleDoor" ซึ่งมีการใช้ช่องโหว่ CVE-2015-7755 และ CVE-2016-10401 ซึ่งส่งผลให้เกิดการบายพาสไฟร์วอลล์ Juniper Netscreen เพื่อไปโจมตีเราท์เตอร์ ZyXEL ได้ อย่างไรก็ตามยังไม่มีการชี้ชัดถึงความร้ายแรงและพฤติกรรมที่เป็นอันตรายของมัลแวร์ชนิดนี้

สำหรับช่องโหว่ที่มัลแวร์มีการใช้นั้น CVE-2015-7755 เป็นช่องโหว่ชื่อดังซึ่งทำให้ผู้โจมตีสามารถเข้าถึงระบบด้วยชื่อผู้ใช้งานใดๆ ก็ได้เพียงแค่ใช้รหัสผ่านเป็น <<< %s(un=’%s’) = %u ส่วน CVE-2016-10401 เป็นช่องโหว่ในลักษณะเดียวกันคือผู้โจมตีสามารถเข้าถึงระบบได้ด้วยชื่อผู้ใช้งาน admin และรหัสผ่าน CenturyL1nk ก่อนจะใช้รหัสผ่านลับที่ฝังอยู่ภายใน zyad5001 เพื่อยกระดับสิทธิ์ตัวซึ่งสามาถควบคุมการทำงานของอุปกรณ์ได้ทั้งหมด

Recommendation
แนะนำให้ตรวจสอบรายละเอียดของอุปกรณ์ที่ได้รับผลกระทบจากรหัส CVE ที่ปรากฎและทำการอัปเดตรุ่นของเฟิร์มแวร์โดยด่วน

Affected Platform
Juniper ScreenOS 6.2.0r15 ถึง 6.2.0r18, 6.3.0r12 ถึงก่อน 6.3.0r12b, 6.3.0r13 ถึงก่อน 6.3.0r13b, 6.3.0r14 ถึงก่อน 6.3.0r14b, 6.3.0r15 ถึงก่อน 6.3.0r15b, 6.3.0r16 ถึงก่อน 6.3.0r16b, 6.3.0r17 ถึงก่อน 6.3.0r17b, 6.3.0r18 ถึงก่อน 6.3.0r18b, 6.3.0r19 ถึงก่อน 6.3.0r19b, และ 6.3.0r20 ถึงก่อน 6.3.0r21

ที่มา : bleepingcomputer