นักวิจัยด้านความปลอดภัย Alex Birsan และ Justin Gardner ได้มีการเผยแพร่เทคนิคการโจมตีใหม่ภายใต้ชื่อ Dependency Confusion ซึ่งอาศัยช่องโหว่ของการดาวน์โหลดและติดตั้งแพ็คเกจของนักพัฒนาในการลักลอบนำแพ็คเกจซึ่งเป็นอันตรายไปรันใน Environment ภายในของนักพัฒนา วิธีการนี้ถูกใช้ทดสอบกับกว่า 35 บริษัท Tech ซึ่งรวมไปถึง Microsoft, Apple, PayPal, Shopify, Netflix, Yelp, Tesla, และ Uber และสามารถใช้โจมตีได้จริง

คีย์หลักของการโจมตีนั้นอยู่ในจุดที่ว่า หากผู้โจมตีทราบถึงชื่อของไลบรารีหรือแพ็คเกจที่นักพัฒนาจะใช้งานภายในกระบวนการพัฒนาแอป ผู้โจมตีจะใช้ข้อมูลดังกล่าวในการนำไปสร้างเป็นไลบรารีหรือแพ็คเกจที่มีชื่อเหมือนกันใน Public repository แทนและสอดแทรกโค้ดที่เป็นอันตรายเข้าไปในลักษณะที่คล้ายกับ Supply-chain attack การโจมตีในลักษณะนี้ส่วนหนึ่งเกิดขึ้นได้เนื่องจากพฤติกรรมของ Package manager ที่จะใช้ความสำคัญกับแพ็คเกจที่อยู่บน Public repository มากกว่าที่อยู่ในระบบภายใน

สองนักพัฒนาได้ทำการทดสอบช่องโหว่นี้กับ Package manager อย่าง npm, RubyGems, PyPI, JFrog และ NuGet พบว่าสามารถใช้การโจมตีนี้ได้ทั้งหมด

การค้นพบช่องโหว่ดังกล่าวนำไปสู่การแจ้งเตือนยังบริษัทที่ได้รับผลกระทบ และส่งผลให้นักวิจัยทั้งสองได้รับรางวัลจากโครงการ Bug Bounty ไปกว่า 130,000 ดอลลาร์สหรัฐฯ หรือประมาณเกือบ 4 ล้านบาท

หลังจากมีการแจ้งช่องโหว่ ไมโครซอฟต์ได้มีการจัดทำ Whitepaper ขึ้นมาเพื่อให้คำแนะนำและระบุความเสี่ยงของเทคนิคการโจมตีนี้ เราขอแนะนำให้นักพัฒนาศึกษารายละเอียดเพิ่มเติมจาก azure เพื่อลดความเสี่ยงในการถูกโจมตี

บล็อกงานวิจัยต้นฉบับ: medium

ที่มา: zdnet, bleepingcomputer

Emsisoft ประกาศเมื่อสัปดาห์ที่ผ่านมาว่าทางบริษัทได้มีการตรวจสอบการตั้งค่าที่ผิดพลาดในฐานข้อมูล ซึ่งในส่วนระบบที่ใช้สำหรับประเมินประสิทธิภาพผลิตภัณฑ์และทดสอบ บันทึกการใช้งานตรวจพบการเข้าถึงบางส่วนของฐานข้อมูลแต่ไม่สามารถยืนยันได้ว่ามีข้อมูลมากน้อยแค่ไหนที่ถูกเข้าถึงไปบ้าง

ในการตรวจสอบเบื้องต้น ฐานข้อมูลดังกล่าวถูกติดตั้งผิดพลาดไว้ตั้งแต่วันที่ 18 มกราคม จนถึงวันที่ 3 กุมภาพันธ์ ซึ่งเป็นช่วงเวลาที่การตั้งค่าผิดพลาดนั้นถูกตรวจพบ การตรวจสอบพบว่าในฐานข้อมูลดังกล่าวนั้นมีข้อมูลส่วนบุคคลเฉพาะในลักษณะที่เป็นอีเมลทั้งหมด 14 รายการ จาก 7 องค์กร/บริษัท ที่แตกต่างกันออกไป

ข้อมูลในส่วนอื่นซึ่งคาดว่าได้รับผลกระทบนั้น ได้ว่า Technical log ซึ่งเกิดจากการทำงานของโซลูชัน Endpoint protection ของ Emsisoft เองซึ่งไม่มีข้อมูลส่วนบุคคลประกอบอยู่ รวมไปถึงไม่มีข้อมูลใด ๆ เกี่ยวกับลูกค้าหรือผู้ใช้งาน การตรวจสอบเหตุการณ์ไม่พบหลักฐานที่ยืนยันการโจมตีดังกล่าวตั้งใจพุ่งเป้ามาที่บริษัท และไม่พบผลกระทบต่อระบบ Production

Emsisoft ได้มีการประสานงานกับผู้ได้รับผลกระทบและดำเนินการเสริมความปลอดภัยตามความเหมาะสมแล้ว

ที่มา: securityweek

VMware ประกาศแพตช์ด้านความปลอดภัยให้กับช่องโหว่รหัส CVE-2020-3999 ซึ่งเป็นช่องโหว่ DoS ส่งผลกระทบต่อผลิตภัณฑ์ในกลุ่ม ESXi, Workstation, Fusion และ Cloud Foundation

ช่องโหว่ CVE-2020-3999 ถูกค้นพบโดย Lucas Leong และ Murray McAllister โดยผลลัพธ์ของช่องโหว่นั้นทำให้ผู้ใช้งานซึ่งมีสิทธิ์เป็นแค่ผู้ใช้งานทั่วไปในระบบที่สามารถเข้าถึง virtual machine ต่าง ๆ ได้สามารถสร้างเงื่อนไขเพื่อทำให้โปรเซส vmx ของ virtual machine นั้น crash และทำให้เกิดเงื่อนไขของการปฏิเสธการให้บริการ

ผู้ดูแลระบบสามารถตรวจสอบเวอร์ชันของผลิตภัณฑ์ที่ได้รับผลกระทบเพิ่มเติมได้จากหัวข้อ Response Matrix จากลิงค์ในแหล่งที่มาข่าว

ที่มา: vmware

นักวิจัยด้านความปลอดภัย M. Shahpasandi ได้เปิดเผยถึงความเคลื่อนไหวล่าสุดจากผู้ดูแลระบบ Ziggy Ransomware ซึ่งได้ทำการประกาศผ่านทาง Telegram ว่ากำลังปิดระบบการทำงานของ Ziggy Ransomware และจะปล่อยคีย์ถอดรหัสทั้งหมดให้เเก่ผู้ที่ตกเป็นเหยื่อ

ผู้ดูแลระบบ Ziggy Ransomware กล่าวว่าพวกเขารู้สึกผิดเกี่ยวกับการกระทำและมีความกังวลเกี่ยวกับการดำเนินการบังคับใช้กฏหมายซึ่งเกิดขึ้นแล้วกับ Emotet และ Netwalker Ransomware เป็นเหตุให้ผู้ดูแลระบบจึงตัดสินใจปิดระบบและปล่อยคีย์ทั้งหมดให้เเก่ผู้ที่ตกเป็นเหยื่อ

ผู้ดูแลระบบ Ziggy Ransomware ได้ทำการโพสต์ไฟล์ SQL ที่มีคีย์ถอดรหัสจำนวน 922 คีย์สำหรับเหยื่อที่ถูกเข้ารหัส ซึ่งไฟล์ SQL จะแสดงคีย์สามคีย์ที่จำเป็นในการถอดรหัสไฟล์ นอกจากนี้ผู้ดูแลระบบแรนซัมแวร์ยังโพสต์ตัวถอดรหัสและซอร์สโค้ดสำหรับตัวถอดรหัสอื่นที่ทำให้สามารถสร้างซอฟต์แวร์ถอดรหัสแบบออฟไลน์ เพื่อถอดรหัสให้กับเหยื่อที่ติดไวรัสและไม่สามารถเชื่อมต่อกับอินเทอร์เน็ตหรือไม่สามารถเข้าถึงเซิร์ฟเวอร์ที่ดูแลควบคุมได้

ทั้งนี้ BleepingComputer ได้แนะนำให้ผู้ที่ตกเป็นเหยื่อใช้ตัวถอดรหัสของบริษัทรักษาความปลอดภัยอย่าง Emsisoft แทนที่จะเป็นตัวถอดรหัสที่มาจากกลุ่ม Ziggy Ransomware เพื่อ ป้องกันมัลแวร์อื่น ๆ เช่นแบ็คดอร์ที่อาจเเฝงไว้กับตัวถอดรหัส

ที่มา: bleepingcomputer

 

Google ได้ลบและบังคับให้ถอนการติดตั้ง Extension ที่มีชื่อว่า “The Great Suspender” ออกจาก Chrome web store โดย The Great Suspender เป็น Extension ที่นิยมอย่างมากและมีผู้ใช้มากกว่า 2,000,000 ราย หลังจากมีการตรวจพบว่า The Great Suspender มีโค้ดของมัลแวร์ฝังอยู่

Great Suspender เป็น Extension ใน Google Chrome ที่จะระงับแท็บที่ไม่ได้ใช้งานและยกเลิกการโหลดทรัพยากรเพื่อลดการใช้หน่วยความจำของเบราว์เซอร์ ซึ่งเมื่อผู้ใช้พร้อมที่จะใช้แท็บอีกครั้งผู้ใช้คลิกที่แท็บเพื่อใช้งานต่อได้

Google ได้ตรวจสอบ Extension และพบว่าผู้พัฒนา Extension ที่ได้ทำการซึ้อ โปรเจกต์ในเดือนมิถุนายน 2020 เพื่อนำไปพัฒนาต่อได้ทำการเพิ่มฟีเจอร์ที่ทำให้สามารถเรียกใช้โค้ดได้โดยผู้ใช้ไม่ได้อนุญาตจากเซิร์ฟเวอร์ระยะไกลรวมถึง Extension มีโค้ดในการติดตามผู้ใช้ทางออนไลน์และกระทำการแฝงโฆษณาไว้ ซึ่งฟีเจอร์ดังกล่าวอยู่ใน The Great Suspender เวอร์ชัน 7.1.8

ทั้งนี้สำหรับผู้ที่ต้องการใช้ Extension ที่ชื่อว่า The Great Suspender อย่างถูกต้องและเวอร์ชันดังเดิมสามารถเข้าไปดาวน์โหลดได้ที่ GitHub ซึ่งเป็นเวอร์ชันสุดท้ายของ Extension คือเวอร์ชัน 7.1.6 ได้ที่: github

ที่มา: bleepingcomputer, thehackernews

เว็บไซต์ SitePoint เว็บสอนด้านการพัฒนาและออกแบบเว็บไซต์ชื่อดังออกมายอมรับว่าระบบของตนตกเป็นเหยื่อในการโจมตีหลังจากมีการพบฐานข้อมูลของเว็บไชต์ SitePoint ถูกขายในฟอรั่มแฮกเกอร์กว่าหนึ่งล้านราย โดยการโจมตีนั้นเกิดขึ้นในเดือนธันวาคม 2020

ฐานข้อมูลที่ถูกพบประกอบด้วยข้อมูลของสมาชิกผู้ใช้งานเว็บไชต์ SitePoint จำนวน 1,020,959 คน ซึ่งมีรายละเอียดคือ ชื่อบัญชีผู้ใช้งาน, อีเมลรหัสผ่านที่แฮชฟังก์ชั่น bcrypt และ slate, วันเดือนปีเกิด, ประเทศ, IP address และข้อมูลอื่น ๆ

SitePoint ได้ทำการสอบสวนเหตุการณ์การบุกรุก พบว่าผู้ประสงค์ร้ายได้เข้าถึงเครือข่ายผ่านการละเมิดเครื่องมือสำหรับ third party และคีย์ API ที่ถูกขโมยเพื่อเข้าถึง codebase และระบบของ SitePoint

ทั้งนี้ SitePoint ได้ทำการรีเซ็ตรหัสผ่านของผู้ใช้งานแล้วผู้ใช้ที่เข้าสู่ระบบต้องทำการตั้งรหัสผ่านใหม่เป็นจำนวน 10 ตัวอักษรขึ้นไปก่อนเข้าสู่ระบบ อย่างไรก็ดีหากมีการใช้รหัสผ่าน SitePoint ของผู้ใช้ในเว็บไซต์อื่น ๆ ผู้ใช้ควรเปลี่ยนรหัสผ่านใหม่ซึ่งใช้แยกจากระบบอื่น ๆ และควรระมัดระวังการโจมตีแบบฟิชชิงจากอีเมลด้วย

ที่มา: zdnet, bleepingcomputer

นักวิจัยด้านความปลอดภัย Matt Dunn จาก Raxis ได้เปิดเผยปัญหา Timing attack ใน Remote Desktop (RD) Web Access ของไมโครซอฟต์ซึ่งเป็นเว็บแอปสำหรับฟีเจอร์ Remote desktop ปัญหาดังกล่าวถูกเรียกว่า Timing attack ที่ส่งผลให้ผู้โจมตีสามารถคาดเดาชื่อบัญชีผู้ใช้งานได้

ปัญหาดังกล่าวนั้นเกิดขึ้นในขั้นตอนของการพิสูจน์ตัวตน หากมีการพยายามพิสูจน์ตัวตนด้วยบัญชีผู้ใช้งานที่ไม่มีอยู่จริง ระบบเบื้องหลังของ RD Web Access จะใช้เวลาประมวลผลประมาณ 4000 มิลลิวินาที ในขณะเดียวกันหากมีการใช้ชื่อบัญชีที่มีอยู่จริงแต่รหัสผ่านผิด ระบบเบื้องหลังจะตอบกลับมาโดยใช้เวลาเพียงแค่ประมาณ 232 มิลลิวินาทีเท่านั้น อัตราส่วนความแตกต่างของเวลาในการตอบกลับทำให้ผู้โจมตีสามารถใช้ปัจจัยดังกล่าวในการระบุหาชื่อบัญชีผู้ใช้งานได้ หากผู้โจมตีทราบชื่อของโดเมน Active Directory

ปัญหานี้เกิดขึ้นกับ Windows Server 2016 และ 2019 และมีการพัฒนาโมดูลของ Metasploit ขึ้นมาเพื่อใช้โจมตีแล้วที่ตำแหน่ง auxiliary/scanner/http/rdp_web_login

Raxis ได้มีการรายงานปัญหาดังกล่าวไปยังไมโครซอฟต์ อย่างไรก็ตามอ้างอิงจากไทม์ไลน์การแจ้งช่องโหว่ Microsoft ปฏิเสธที่จะสนับสนุนและแก้ไขปัญหาด้านความปลอดภัยนี้

เราขอแนะนำให้ผู้ดูแลระบบตั้งค่าการเข้าถึง RD Web Access ผ่าน VPN เพื่อให้สามารถควบคุมการเข้าถึงได้, เปิดใช้ ISA หรือเซอร์วิส Microsoft Federation และบังคับให้ RD Web Access ต้องวิ่งผ่านเพื่อลดผลกระทบจากการโจมตี รวมไปถึงเปิดใช้ Multi factor authentication ด้วย

ที่มาFebruary: raxis

 

Google เปิดโครงการฐานข้อมูลช่องโหว่ Open Source Vulnerabilities (OSV) ซึ่งรวมรายการของช่องโหว่ในโครงการโอเพนซอร์สเอาไว้ ในปัจจุบันข้อมูลจาก OSV นั้นมาจากผลลัพธ์ของโครงการ OSS-Fuzz ซึ่งใช้เทคนิคแบบ Fuzzing ในการค้นหาช่องโหว่

เมื่อ OSS-Fuzz ค้นพบช่องโหว่ OSV จะทำหน้าที่หลักในการ triage ข้อมูลของช่องโหว่นั้นให้สามารถเข้าถึงได้จากช่องทางหรือแพลตฟอร์มอื่น ๆ โดยโครงการที่มีอยู่ก่อนหน้าอย่าง CVE ก็สามารถอ้างอิงรูปแบบของ OSV ในการอ้างถึงรายละเอียดของช่องโหว่ได้ ในขณะเดียวกันผู้ใช้งานและผู้พัฒนาก็สามารถอ้างอิงช่องโหว่ผ่านทางระบบ API ของ OSV ได้ด้วย

ผู้ที่สนใจสามารถเข้าถึง OSV ได้ที่ osv.

นักวิจัยด้านความปลอดภัยตรวจพบกลุ่มแรนซัมแวร์กำลังใช้ประโยชน์จากช่องโหว่ในผลิตภัณฑ์ VMWare ESXi เพื่อเข้ายึดครองและเข้ารหัสฮาร์ดไดรฟ์ของ Virtual Machine (VM) ที่ถูกใช้งานในองค์กร

ตามรายงานจากนักวิจัยด้านความปลอดภัยที่ให้ข้อมูลกับ ZDNet พบว่ากลุ่มแรมซัมแวร์กำลังใช้ประโยชน์จากช่องโหว่ CVE-2019-5544 และ CVE-2020-3992 ซึ่งเป็นช่องโหว่ในไฮเปอร์ไวเซอร์โซลูชันที่จะอนุญาตให้เครื่อง VM หลาย ๆ เครื่องแชร์ที่เก็บข้อมูลฮาร์ดไดรฟ์เดียวกันผ่าน Service Location Protocol (SLP) ช่องโหว่ดังกล่าวจะทำให้ผู้โจมตีที่อยู่ภายในเครือข่ายเดียวกันสามารถส่งคำขอ SLP ที่เป็นอันตรายไปยังอุปกรณ์ ESXi และเข้าควบคุมได้

ตามรายงานจากนักวิจัยด้านความปลอดภัยระบุอีกว่ากลุ่ม RansomExx ได้เริ่มต้นใช้ประโยชน์จากช่องโหว่ดังกล่าวในการโจมตีอินสแตนซ์ ESXi และเข้ารหัสฮาร์ดดิสก์ของเครื่อง VM ที่อยู่ภายในเครือข่าย โดยหลังจากเหตุการณ์ นักวิจัยได้พบข้อมูลการประกาศการโจมตีในลักษณะเดียวกันโดยกลุ่ม Babuk Locker ransomware ในฟอรั่มใต้ดิน

ทั้งนี้ผู้ดูแลระบบ VMWare ESXi ควรรีบอัปเดตแพตช์ความปลอดภัยให้เป็นเวอร์ชันล่าสุดโดยด่วนเพื่อป้องกันการตกเป็นเป้าหมายของกลุ่มปฏิบัติการโจมตีด้วยแรมซัมแวร์

ที่มา: zdnet

กลุ่มอาชญากรรมทางไซเบอร์ที่อยู่เบื้องหลัง Fonix Ransomware ได้ประกาศหยุดปฏิบัติการโจมตีด้วย Fonix Ransomware และวางแผนจะแจกจ่ายมาสเตอร์คีย์ถอดรหัสเพื่อให้เหยื่อสามารถกู้คืนไฟล์ที่ถูกเข้ารหัสได้ฟรี

Fonix Ransomware หรือที่รู้จักกันในชื่อ Xinof และ FonixCrypter ได้เริ่มปฏิบัติการการโจมตีด้วย Fonix Ransomware ในเดือนมิถุนายน 2020 และได้เข้ารหัสเหยื่ออย่างต่อเนื่อง แต่การดำเนินการโจมตีด้วย ransomware ไม่ได้เกิดในวงกว้างเหมือนอย่าง ransomware ตระกูลอื่น ๆ เช่น REvil, Netwalker หรือ STOP

การประกาศหยุดปฏิบัติโจมตีเกิดขึ้นโดยผู้ใช้ Twitter ผู้ที่อ้างว่าเป็นผู้ดูแลระบบ Fonix ransomware ได้ประกาศว่าจะหยุดปฏิบัติการโจมตีด้วย Fonix Ransomware โดยจะทำการลบข้อมูลทั้งหมดและจะเเจกจ่ายมาสเตอร์คีย์ถอดรหัสเพื่อให้เหยื่อสามารถกู้คืนไฟล์ที่ถูกเข้ารหัสได้ฟรี

Michael Gillespie นักวิจัยด้านความปลอดภัยจาก Emsisoft ได้ทำการตรวจสอบมาสเตอร์คีย์ถอดรหัสที่ใช้ในการถอดรหัส Fonix Ransomware พบว่ามาสเตอร์คีย์ใช้งานได้กับ Fonix ransomware บางเวอร์ชันเท่านั้น

ทั้งนี้ Gillespie ได้แนะนำให้ผู้ที่ตกเป็นเหยื่อให้ทำการรอตัวถอดรหัสของ Emsisoft ก่อนแทนที่จะใช้คีย์ถอดรหัสที่มาจากกลุ่ม FonixCrypter ซึ่งอาจมีมัลแวร์อื่น ๆ เช่นแบ็คดอร์เเฝงไว้

ที่มา: zdnet, decrypterbleepingcomputer