ผู้ไม่หวังดีกำลังใช้ประโยชน์จากช่องโหว่ ProxyShell เพื่อติดตั้งแบ็คดอร์สำหรับการเข้าถึง Microsoft Exchange
ProxyShell เป็นชื่อของการโจมตีที่ใช้ช่องโหว่ของ Microsoft Exchange ที่เกี่ยวข้องกันสามช่องโหว่ เพื่อเรียกใช้งานโค้ดที่เป็นอันตราย จากระยะไกลโดยไม่ผ่านการตรวจสอบสิทธิ์

ช่องโหว่ทั้งสามตามรายการ ถูกค้นพบโดย Orange Tsai นักวิจัยด้านความปลอดภัยของ Devcore Principal ซึ่งเชื่อมโยงช่องโหว่เหล่านี้เข้าด้วยกันเพื่อเข้าควบคุมเซิร์ฟเวอร์ Microsoft Exchange ในการแข่งขันแฮ็ก Pwn2Own 2021 ในเดือนเมษายน

CVE-2021-34473 - Pre-auth Path Confusion leads to ACL Bypass (Patched in April by KB5001779)
CVE-2021-34523 - Elevation of Privilege on Exchange PowerShell Backend (Patched in April by KB5001779)

CVE-2021-31207 - Post-auth Arbitrary-File-Write leads to RCE (Patched in May by KB5003435)

เมื่อสัปดาห์ที่แล้ว Orange Tsai ได้พูดใน Black Hat เกี่ยวกับช่องโหว่ของ Microsoft Exchange ล่าสุดที่เขาค้นพบ โดยพบช่องโหว่นี้ในตอนที่เขากำลังกำหนดเป้าหมายการโจมตีไปที่ Microsoft Exchange Client Access Service (CAS)Tsai เปิดเผยในการพูดคุยในงานว่าการโจมตีที่ใช้ ProxyShell นั้นอาศัยการค้นหาอัตโนมัติของ Microsoft Exchange เพื่อทำการโจมตี SSRF

หลังจากงาน Black Hat แล้ว นักวิจัยด้านความปลอดภัย PeterJson และ Nguyen Jang ได้เผยแพร่ข้อมูลทางเทคนิคโดยละเอียดเพิ่มเติมเกี่ยวกับการสร้าง Exploits ProxyShell ที่ใช้ในการโจมตีได้สำเร็จ

และ หลังจากนั้นไม่นาน นักวิจัยด้านความปลอดภัย Kevin Beaumont เริ่มสังเกตุเห็นผู้ไม่หวังดีสแกนหาเซิร์ฟเวอร์ Microsoft Exchange ที่เสี่ยงต่อการถูกโจมตีด้วย ProxyShell

Rich Warren นักวิจัยด้านช่องโหว่ของ Beaumont และ NCC Group ก็ได้มีเปิดเผยว่าผู้ไม่หวังดีได้โจมตี Honeypots ของ Microsoft Exchange โดยใช้ช่องโหว่ ProxyShell ในการโจมตี

เมื่อมีการโจมตีเซิร์ฟเวอร์ Microsoft Exchange ผู้ไม่หวังดีมักจะใช้ URL นี้ในการเริ่มโจมตี

https://Exchange-server/autodiscover/autodiscover.

นักวิจัยด้านความปลอดภัยทางไซเบอร์เปิดเผยช่องโหว่ใหม่ที่ทำให้ผู้โจมตีสามารถขโมยข้อมูลสำคัญออกจากระบบภายในได้ ซึ่งส่งผลกระทบกับผู้ให้บริการ DNS-as-a-Service (DNSaaS)

Shir Tamari และ Ami Luttwak นักวิจัยด้านความปลอดภัยทางไซเบอร์จาก Wiz ประกาศค้นพบช่องโหว่ง่ายๆ ที่อนุญาตให้ผู้โจมตีสามารถดักจับส่วนหนึ่งของการรับส่งข้อมูลบน DNS แบบไดนามิกจากการรับส่งข้อมูลทางอินเทอร์เน็ตทั้งหมด ที่ถูกกำหนดเส้นทางผ่านผู้ให้บริการ DNS เช่น Amazon และ Google หากโจมตีสำเร็จผู้โจมตีจะสามารถเข้าถึงข้อมูล และสามารถขโมยข้อมูลสำคัญออกจากระบบได้

ช่องโหว่ดังกล่าวเกิดจากการจัดการลงทะเบียนโดเมนบน Google Cloud DNS หรือ Amazon Route53 ที่ทำการกำหนดชื่อตรงกับชื่อของเซิร์ฟเวอร์ DNS ดังนั้นหากองค์กรมีการกำหนดโดเมนใหม่บนแพลตฟอร์ม Route53 ภายในเซิร์ฟเวอร์ AWS และชี้โฮสต์ไปยังเครือข่ายภายใน จะทำให้การรับส่งข้อมูล DNS แบบไดนามิกจากปลายทางของลูกค้า Route53 ถูกทำการ hijacked และส่งไปยังเซิร์ฟเวอร์ DNS อื่นหรือผู้โจมตีโดยตรงหากมีการลงทะเบียนชื่อ DNS ตรงกัน

นักวิจัยด้านความปลอดภัยทางไซเบอร์จาก Wiz กล่าวว่าพวกเขาสามารถดักการรับส่งข้อมูล DNS แบบไดนามิกจากองค์กรได้กว่า 15,000 แห่ง รวมถึง Fortune 500, หน่วยงานรัฐบาลของสหรัฐอเมริกา 45 แห่ง และหน่วยงานรัฐบาลระหว่างประเทศ 85 แห่ง โดยข้อมูลส่วนใหญ่เป็นข้อมูลที่สำคัญ อาทิ IP Address ภายใน, ชื่อเครื่องคอมพิวเตอร์, รายชื่อพนักงาน และที่อยู่ของบริษัท

เบื้องต้นทาง Amazon และ Google ได้ทำการแก้ไขปัญหาดังกล่าวแล้ว และทีมวิจัยของ Wiz ได้ทำการพัฒนาเครื่องมือเพื่อให้บริษัทต่างๆ ทดสอบว่าการอัปเดต DDNS ภายในรั่วไหลไปยังผู้ให้บริการ DNS หรือผู้โจมตีหรือไม่อีกด้วย

ที่มา : thehackernews.

อีเมลฟิชชิ่งปลอมเป็น WeTransfer โดยมีการแชร์ไฟล์สองไฟล์ให้กับเหยื่อ และลิงก์สำหรับดูไฟล์เหล่านั้น

Armorblox รายงานว่า ผู้โจมตีทำการปลอมแปลงเป็นอีเมลจากระบบของ WeTransfer เพื่อโจมตีแบบ credential phishing โดยอีเมลที่ถูกปลอมแปลงขึ้นมาจะนำไปสู่หน้าฟิชชิ่งที่มีรูปแบบของ Microsoft Excel ซึ่งเป้าหมายหลักของการโจมตีครั้งนี้ คือการขโมยข้อมูล email credentials Office 365 ของเหยื่อ

WeTransfer เป็นเว็บไซต์ให้บริการถ่ายโอนไฟล์ มักถูกใช้สำหรับการแชร์ไฟล์ที่มีขนาดใหญ่เกินไปที่จะส่งผ่านทางอีเมล

การโจมตี

อีเมลฟิชชิ่งจะถูกส่งโดย WeTransfer เนื่องจากมีชื่อผู้ส่งเป็น Wetransfer และมีชื่อไฟล์ที่แสดงการส่งผ่าน WeTransfer โดยมีความคล้ายคลึงกันกับอีเมล WeTransfer ของจริง และเนื้อหาของอีเมลยังอ้างอิงถึงองค์กรเพื่อให้ดูเหมือนถูกต้องอีกด้วย จึงสามารถหลอกผู้ใช้ที่ไม่ระวังได้อย่างง่าย

เนื้อหาอีเมลแจ้งว่า WeTransfer ได้แชร์ไฟล์สองไฟล์กับเหยื่อ และมีลิงก์สำหรับดูไฟล์เหล่านั้น เมื่อเหยื่อคลิกดูไฟล์ ลิงก์จะนำไปยังหน้าฟิชชิ่งที่คาดว่าน่าจะเป็นของ Microsoft Excel นอกจากนี้ยังมี spreadsheet ที่เบลอเป็นพื้นหลัง และแสดงแบบฟอร์มกำหนดให้เหยื่อต้องป้อนข้อมูลการเข้าสู่ระบบ

โดเมนของผู้ส่งอีเมลเป็นผู้ให้บริการเว็บโฮสติ้งชื่อ 'valueserver[.]jp.

ผู้เชี่ยวชาญเปิดเผยข้อมูลเกี่ยวกับ Malware-as-a-Service ของรัสเซียที่เขียนขึ้นใน Rust

 

มีการพบ Nascent ซึ่งเป็นมัลแวร์ขโมยข้อมูลที่เพิ่งเกิดขึ้นใหม่ มีการขาย และแจกจ่ายบนฟอรัมใต้ดินของรัสเซีย โดยมัลแวร์ถูกเขียนเป็นภาษา Rust โดย Rust เป็นภาษาโปรแกรมภาษาใหม่ที่พัฒนาโดย Mozilla ซึ่งเป็นสัญญาณบ่งบอกถึงแนวโน้มใหม่ที่ผู้โจมตีใช้ภาษาโปรแกรมที่แปลกใหม่มากขึ้นเพื่อหลีกเลี่ยงการรักษาความปลอดภัย หลบเลี่ยงการวิเคราะห์

มีการขนานนามผู้โจมตีนี้ว่า "Ficker Stealer" ซึ่งมีชื่อเสียงในด้านการเผยแพร่มัลแวร์ผ่านลิงก์เว็บโทรจัน และเว็บไซต์ที่ถูกบุกรุก ล่อเหยื่อให้เข้าสู่หน้า Landing Page ที่หลอกลวง โดยอ้างว่าให้บริการดาวน์โหลดฟรีของบริการที่ต้องชำระเงิน เช่น Spotify Music, YouTube Premium และแอปพลิเคชัน Microsoft Store อื่นๆ

Ficker ขายและแจกจ่าย Malware-as-a-Service (MaaS) ผ่านฟอรัมออนไลน์ของรัสเซีย ทีมวิจัย และข่าวกรองของ BlackBerry กล่าวในรายงานว่า "ผู้สร้างซึ่งมีนามแฝงคือ @ficker เสนอแพ็คเกจแบบชำระเงินหลายแบบโดยมีค่าธรรมเนียมการสมัครสมาชิกที่แตกต่างกันเพื่อใช้โปรแกรมที่เป็นอันตรายดังกล่าว"

มีการพบ Malware-as-a-Service ครั้งแรกในเดือนสิงหาคม 2020 เป็นมัลแวร์บน Windows ถูกใช้เพื่อขโมยข้อมูลที่ sensitive รวมถึงข้อมูลการเข้าสู่ระบบ ข้อมูลบัตรเครดิต กระเป๋าเงินดิจิตอล และข้อมูลเบราว์เซอร์ นอกเหนือจากการทำงานเป็นเครื่องมือในการดึงไฟล์ที่ sensitive ยังสามารถทำหน้าที่เป็นตัวดาวน์โหลดเพื่อดาวน์โหลด และเรียกใช้มัลแวร์อีกด้วย

นอกจากนี้ เป็นที่ทราบกันดีว่า Ficker ถูกส่งผ่านแคมเปญสแปม ซึ่งเกี่ยวข้องกับการส่งอีเมลฟิชชิ่งที่กำหนดเป้าหมายด้วยเอกสารแนบ Excel ซึ่งเมื่อเปิดขึ้นจะปล่อยตัวโหลด Hancitor ซึ่งจะทำให้เพย์โหลดทำงาน

มัลแวร์ยังมีการตรวจสอบการป้องกันการวิเคราะห์อื่นๆที่ป้องกันไม่ให้ทำงานในสภาพแวดล้อมเสมือนจริง(VM) และบนเครื่องเหยื่อที่อยู่ในอาร์เมเนีย อาเซอร์ไบจาน เบลารุส คาซัคสถาน รัสเซีย และอุซเบกิสถาน สิ่งที่น่าสังเกตเป็นพิเศษก็คือ Ficker ได้รับการออกแบบมาให้รันคำสั่ง และส่งข้อมูลโดยตรงไปยังผู้โจมตี ซึ่งแตกต่างจากผู้ขโมยข้อมูลแบบเดิมๆที่จะเขียนข้อมูลที่ถูกขโมยลงดิสก์ มัลแวร์ยังมีความสามารถในการจับภาพหน้าจอ ซึ่งช่วยให้ผู้ให้บริการมัลแวร์สามารถจับภาพหน้าจอของเหยื่อจากระยะไกล มัลแวร์ยังช่วยให้สามารถดึงไฟล์และดาวน์โหลดได้

ที่มา: thehackernews

การ Phishing แบบใหม่ที่ใช้การลอกเลียนแบบบริการจาก PayPal ผู้โจมตีใช้ออโต้สคริปต์ และช่องทาง Live Chat ในการโจมตีเพื่อหลีกเลี่ยงการตรวจจับของ Email Gateways จากพฤติกรรมของผู้โจมตีชี้ให้เห็นถึงความจำเป็นที่องค์กรต้องเพิ่มการป้องกันการโจมตีประเภทนี้ ซึ่งอาจมีเป้าหมายเป็นข้อมูลส่วนตัวของผู้ใช้งาน นักวิจัยของ Cofense Phishing Defense Center ระบุว่าผู้โจมตีแคมเปญนี้ไม่เพียงแต่สร้างหน้าแบบฟอร์มที่ปลอมแปลงเท่านั้น แต่ยังมีการใช้อีเมลที่สร้างขึ้นมาอย่างแนบเนียน ซึ่งดูเผินๆแล้วจะเหมือนเป็นอีเมลที่ถูกต้อง นอกจากว่าผู้ใช้งานจะเข้าไปดูในส่วนของอีเมลเฮดเดอร์

โดยหัวข้ออีเมลจะเป็นเรื่องการพยายามขอติดต่อผ่าน Live Chat เพื่อหารือเกี่ยวกับประกาศบริการที่เกี่ยวข้องกับบัญชี PayPal ของเป้าหมาย ดังนั้นจึงเป็นการเร่งให้เป้าหมายพยายามติดต่อรีบแก้ไขปัญหาอย่างรวดเร็ว อย่างไรก็ตามผู้โจมตีไม่ได้พยายามปิดบังชื่อผู้ส่งมากพอ ทำให้บางครั้งก็ยังสามารถระบุได้ว่าอีเมลดังกล่าวไม่ใช่อีเมลที่ถูกส่งมาจาก PayPal จริงๆ

นักวิจัย Geoghagan อธิบายว่าเมื่อวางเมาส์ไว้ที่ปุ่มที่ระบุว่า "ยืนยันบัญชีของคุณ" จะสังเกตได้ว่าจะไม่ใช่ ​​URL ของ PayPal แต่จะเป็น ​​URL direct[.]lc[.]chat หากผู้ใช้งานที่ใช้งาน PayPal อยู่เป็นประจำอาจจะสังเกตได้จากขั้นตอนนี้ เพราะ Live Chat จริงๆของ PayPal ที่ถูกต้องนั้นโฮสต์อยู่ในโดเมนของ PayPal และกำหนดให้คุณเข้าสู่ระบบก่อนเพื่อใช้งานเท่านั้น แต่หากเหยื่อหลงเชื่อเข้า Live Chat หลอกลวง ผู้โจมตีจะใช้ออโต้สคริปต์เพื่อเริ่มการสื่อสาร โดยจะพยายามขอรายละเอียดเกี่ยวกับอีเมล และหมายเลขโทรศัพท์จากเหยื่อ เพื่อใช้ในการพยายามหาข้อมูลในด้านอื่นๆต่อ

เมื่อผู้โจมตีได้รับหมายเลขโทรศัพท์ และรายละเอียดข้อมูลอีเมล ผู้โจมตีจะพยายามหาวิธีเข้าถึงข้อมูลบัตรเครดิตของเหยื่อ สุดท้ายรหัสยืนยันจะถูกส่งทาง SMS ไปยังหมายเลขโทรศัพท์ของเป้าหมายที่ให้ไว้ก่อนหน้านี้ เพื่อยืนยันว่าหมายเลขโทรศัพท์ที่เหยื่อให้มาใช้งานได้จริง และเหยื่อสามารถเข้าถึงอุปกรณ์ที่รับ SMS ได้จริง เมื่อได้ข้อมูลมากพอ ผู้โจมตีจะพยายามโทรหาเป้าหมายโดยตรงเพื่อดำเนินการหลอกลวงในขั้นตอนถัดไป

ที่มา: bankinfosecurity

Adobe ได้ออกแพตซ์อัปเดตความปลอดภัย Patch Tuesday ขนาดใหญ่ซึ่งแก้ไขช่องโหว่ที่สำคัญใน Magento และจุดบกพร่องที่สำคัญใน Adobe Connect

รายการผลิตภัณฑ์ Adobe ทั้งหมดที่ได้รับการอัปเดตความปลอดภัยในวันนี้ และจำนวนช่องโหว่ที่แก้ไขแล้วมีดังต่อไปนี้:

APSB21-64 มีการอัปเดตความปลอดภัยสำหรับ Magento
APSB21-66 มีการอัปเดตความปลอดภัยสำหรับ Adobe Connect

โดย Adobe ได้แก้ไขช่องโหว่ 29 รายการด้วยการอัปเดตในครั้งนี้

ช่องโหว่ที่สำคัญเกือบทั้งหมดอาจนำไปสู่การรันคำสั่งที่เป็นอันตรายบนเครื่องคอมพิวเตอร์ที่มีช่องโหว่ได้

จากการอัปเดตความปลอดภัยของ Adobe ที่เผยแพร่ในวันนี้ Magento มีการแก้ไขมากที่สุด โดยมีช่องโหว่มากถึง 26 รายการ

สิ่งที่น่ากังวลเป็นพิเศษคือ 10 ช่องโหว่เกี่ยวกับ pre-authentication ใน Magento ที่สามารถโจมตีได้โดยไม่ต้องมีการล็อกอิน

บางช่องโหว่ของ preauth เหล่านี้ คือการเรียกใช้โค้ดที่เป็นอันตรายได้จากระยะไกล และหลีกเลี่ยงการตรวจจับของระบบรักษาความปลอดภัยได้ ทำให้ผู้โจมตีสามารถควบคุมเว็ปไซต์ และเซิร์ฟเวอร์ของเว็ปไซต์นั้นๆได้

ติดตั้งการอัปเดตทันที

แม้ว่าจะไม่มีช่องโหว่แบบ Zero-day ที่ถูกใช้งานในการโจมตีจริง แต่ Adobe แนะนำให้ผู้ใช้งานอัปเดตเป็นเวอร์ชันล่าสุดโดยเร็วที่สุด

เหตุที่ต้องรีบอัพเดทแพตช์เป็นเพราะว่าผู้โจมตีสามารถเปรียบเทียบซอฟต์แวร์เวอร์ชันเก่ากับเวอร์ชันแพตช์ เพื่อตรวจสอบว่าโค้ดใดมีช่องโหว่ และใช้ผลประโยชน์จากช่องโหว่เหล่านั้นได้

ในกรณีส่วนใหญ่ ผู้ใช้สามารถอัปเดตซอฟต์แวร์ได้โดยใช้คุณลักษณะการอัปเดตอัตโนมัติของผลิตภัณฑ์โดยใช้ขั้นตอนต่อไปนี้:

โดยไปที่ Help > Check for Updates
สามารถดาวน์โหลดตัวติดตั้งการอัปเดตได้จาก Download Center ของ Adobe
ให้ผลิตภัณฑ์อัปเดตโดยอัตโนมัติโดยที่ผู้ใช้ไม่ต้องดำเนินการใดๆ เมื่อตรวจพบการอัปเดต

สำหรับการอัปเดต Magento คุณจะต้องดาวน์โหลดแพตช์ และติดตั้งด้วยตนเอง
หากไม่มีการอัปเดตใหม่ผ่านการอัปเดตอัตโนมัติ คุณสามารถตรวจสอบรายละเอียดได้ที่ลิงก์

https://helpx.

Microsoft ได้แก้ไขช่องโหว่ PrintNightmare ใน Windows Print Spooler โดยกำหนดให้ผู้ใช้ต้องมีสิทธิ์ระดับผู้ดูแลระบบเมื่อใช้คุณสมบัติ Point and Print เพื่อติดตั้งไดรเวอร์

ในเดือนมิถุนายน นักวิจัยด้านความปลอดภัยได้เปิดเผยช่องโหว่ zero-day ที่ชื่อว่า PrintNightmare (CVE-2021-34527) โดยไม่ได้ตั้งใจ เมื่อถูกโจมตี ช่องโหว่นี้จะอนุญาตให้สามารถรันโค้ดที่เป็นอันตรายจากระยะไกลได้ และทำให้สามารถเข้าควบคุมเครื่องด้วยสิทธิ์ของ SYSTEM

เมื่อเร็วๆนี้ Microsoft ได้อัปเดตความปลอดภัยที่แก้ไขในส่วนของการรันโค้ดที่เป็นอันตรายจากระยะไกล แต่ยังไม่ได้แก้ไขเรื่องการยกระดับสิทธิ์ในเครื่อง

อย่างไรก็ตาม นักวิจัยพบว่ามีความเป็นไปได้ที่จะใช้ประโยชน์จาก Point and Print เพื่อติดตั้งไดรเวอร์ที่เป็นอันตราย ซึ่งอนุญาตให้ผู้ใช้ที่มีสิทธิ์ต่ำยังสามารถโจมตี และสามารถยกระดับสิทธิ์ของผู้ใช้งานเป็น SYSTEM ได้

Point and Print เป็นคุณลักษณะของ Windows ที่ช่วยให้ผู้ใช้สามารถเชื่อมต่อกับ Pinter เซิร์ฟเวอร์ จึงทำให้แม้จะเป็นการเชื่อมต่อจากภายนอก ก็ยังสามารถสั่งดาวน์โหลด และติดตั้งไดรเวอร์ที่เป็นอันตรายได้โดยอัตโนมัติ

หลังการอัพเดทความปลอดภัย Patch Tuesday ในเดือนสิงหาคม 2564 เพื่อแก้ไขช่องโหว่ "PrintNightmare" จะทำให้ Point and Print ต้องใช้สิทธิ์ระดับผู้ดูแลระบบในการติดตั้งไดรเวอร์ Printer เท่านั้น

Microsoft แนะนำว่าอย่าปิดฟังก์ชั่นนี้ เนื่องจากจะทำให้มียังคงมีความเสี่ยงต่อการถูกโจมตีด้วยช่องโหว่ Windows Print Spooler ได้

ที่มา : bleepingcomputer.

LockBit 2.0 Ransomware กำลังหาคนภายในองค์กรต่าง ๆ เพื่อช่วยพวกเขาในการเจาะ และเข้ารหัสเครือข่ายขององค์กรนั้นๆ และสัญญากับผู้ที่ให้ข้อมูลขององค์กรตัวเองว่าจะจ่ายเงินให้ 1 ล้านเหรียญ

ในเดือนมิถุนายน 2021 LockBit ได้ประกาศเปิดตัวเวอร์ชั่นใหม่ของ LockBit 2.0 ransomware-as-a-service ในการเปิดตัวใหม่นี้รวมถึงเว็บไซต์ TOR ที่ออกแบบใหม่และคุณสมบัติขั้นสูงต่างๆ รวมถึงอุปกรณ์เข้ารหัสอัตโนมัติบนเครือข่ายผ่าน Group policy และด้วยการเปิดตัวใหม่นี้ LockBit ได้เปลี่ยน Windows wallpaper บนอุปกรณ์ที่ถูกเข้ารหัสเพื่อเสนอว่า “ล้านดอลลาร์ สำหรับบุคคลภายในองค์กรที่ให้ข้อมูล account ที่สามารถเข้าถึงเครือข่ายขององค์กร”

ข้อความเต็มๆเขียนไว้ว่า LockBit กำลังมองหา RDP, VPN, Credentials อีเมลขององค์กรที่สามารถใช้เข้าถึงเครือข่ายได้ และยังบอกด้วยว่าจะส่ง Virus ให้กับคนภายในที่จะดำเนินการบนคอมพิวเตอร์ ซึ่งจะทำให้กลุ่ม Ransomware เข้าถึงเครือข่ายจากระยะไกลได้ และยังได้ทิ้งช่องทางการติดต่อเป็น ToxID:xxxx เพื่อติดต่อกับทางแฮกเกอร์เกี่ยวกับรายละเอียดต่าง ๆ

ยังไงก็ตาม ดูเหมือนว่าข้อความนี้มีแนวโน้มที่จะมุ่งเป้าไปที่บุคคลที่สามจากภายนอกที่เป็นที่ปรึกษาด้าน IT ที่เห็นข้อความนี้ในขณะที่กำลังทำการตอบสนองต่อการโจมตี และแม้ว่าวิธีนี้อาจจะฟังดูยาก แต่ว่าก็ไม่ใช่ครั้งแรกที่แฮกเกอร์พยายามหาพนักงานภายในองค์กร หรือบุคคลที่สาม เพื่อเข้ารหัสเครือข่ายของบริษัท ยกตัวอย่างเช่นในเดือนสิงหาคม 2020 FBI ได้จับกุมชาวรัสเซียคนหนึ่งในข้อหาพยายามจ้างพนักงานของเทสลาเพื่อวางมัลแวร์บนเครือข่ายภายใน Tesla Neveda Gigafactory ด้วยเช่นกัน

ที่มา : bleepingcomputer.

บริษัท Accenture ยักษ์ใหญ่แห่งวงการที่ปรึกษาด้านไอทีระดับโลก ซึ่งเป็นที่รู้จักในการให้บริการในอุตสาหกรรมที่หลากหลาย ทั้งธุรกิจยานยนต์ ธนาคาร รัฐบาล เทคโนโลยี พลังงาน โทรคมนาคม และอื่นๆ อีกมากมาย โดยมีข่าวออกมาว่าบริษัท Accenture ถูกโดนโจมตีโดย LockBit Ransomware

โดยกลุ่ม Ransomware ที่รู้จักกันในชื่อ LockBit 2.0 ได้ทำการขู่ว่าจะทำการเผยแพร่ข้อมูลที่ได้อ้างว่าได้มาจากการโจมตี Accenture ในครั้งล่าสุด หากยังไม่มีการจ่ายค่าไถ่ภายในวันนี้ (11 สิงหาคม) และถึงแม้ว่าทาง LockBit จะยังไม่ได้แสดงหลักฐานการขโมยข้อมูลออกมา แต่พวกเขาได้บอกว่าพร้อมที่จะขายข้อมูลให้กับผู้ที่ได้ประโยชน์จากข้อมูลที่ขโมยมา โดยทาง LockBit ได้กล่าวใน Data leak site ว่า “ผู้ใช้งานไม่ได้มีความปลอดภัย หรือความเป็นส่วนตัวเลย จากที่พวกเราเข้าถึงระบบได้ในแบบเดียวกับคนภายในบริษัท พวกเราคิดว่าบริการของพวกเขา (Accenture) จะปลอดภัยกว่านี้ซะอีก ดังนั้นถ้าคณสนใจที่จะซื้อข้อมูลของพวกเขา ติดต่อเราได้เลย”

ส่วนทาง Accenture ได้บอกกับ BleepingComputer ว่า “ระบบที่ได้รับผลกระทบนั้นได้รับการกู้คืนจากข้อมูลที่สำรองไว้แล้ว และด้วยการควบคุมความปลอดภัย และวิธีการรับมือของเรา ทำให้สามารถระบุเหตุการณ์ที่ผิดปกติภายในองค์กร และได้ทำการแยก Server ที่ได้รับผลกระทบออกจากระบบทันที พร้อมกู้คืนระบบที่ได้รับผลกระทบอย่างเต็มที่จากการที่ได้สำรองข้อมูลไว้ และไม่ได้มีผลกระทบกับการดำเนินงานของ Accenture หรือระบบของลูกค้าแต่อย่างใด”

ซึ่งเมื่อดูจากข้อความที่มีการติดต่อกันระหว่างกลุ่มแฮ็กเกอร์กับทีมผู้เชี่ยวชาญของ Cyble กล่าวว่ากลุ่ม LockBit Ransomware อ้างว่าได้ขโมยข้อมูลจำนวน 6 TB จาก Accenture และได้เรียกค่าไถ่จำนวน 50 ล้านดอลลาร์ พร้อมทั้งบอกถึงวิธีการเข้าถึงเครือข่ายของ Accenture ว่าผ่านคนภายในขององค์กรเอง พร้อมทั้งมีแหล่งข่าวที่ไม่ได้มีการเปิดเผยได้บอกกับ BleepingComputer ว่า Accenture ได้ยืนยันการถูกโจมตีโดย Ransomware กับผู้ให้บริการ CTI(Cyber Threat Intelligence) อย่างน้อยหนึ่งราย และทาง Accenture ก็กำลังดำเนินการแจ้งลูกค้าเพิ่มเติมต่อไป และนอกจากนี้ Hudson Rock บริษัทด้านข่าวกรองอาชญากรรมทางอินเทอร์เน็ตได้เปิดเผยว่า Accenture มีคอมพิวเตอร์ถูกบุกรุกกว่า 2,500 เครื่อง ซึ่งเป็นของพนักงานและพาร์ทเนอร์

ที่มา : bleepingcomputer.

ในวันพฤหัสที่ผ่านมาใน Security Advisory Update ทาง Cisco ได้ออกมาเปิดเผยถึงช่องโหว่ที่สามารถรันโค้ดที่เป็นอันตรายได้จากระยะไกล (Remote code execution) ที่พบในอุปกรณ์ Adaptive Security Device Manager (ASDM) เมื่อเดือนที่ผ่านมา ซึ่งเป็น Zero-day และยังไม่ได้รับการแก้ไข

Cisco ASDM คือระบบจัดการไฟร์วอลล์ที่ทำหน้าที่ควบคุมไฟร์วอลล์ ของ Cisco เช่น Adaptive Security Appliance (ASA) และ AnyConnect Secure Mobility clients

โดย Cisco เปิดเผยว่า “ขณะนี้ Cisco มีแผนในการแก้ไขช่องโหว่ใน ASDM ดังกล่าว แต่ตอนนี้ยังไม่มีซอฟต์แวร์อัพเดทสำหรับแก้ปัญหานี้ รวมไปถึงยังไม่มี Workaround สำหรับกรณีนี้อีกด้วย” และทาง Cisco ได้ทำการปรับปรุงรายละเอียดของเวอร์ชันที่อาจจะถูกโจมตีได้จากเวอร์ชั่น '9.16.1 และก่อนหน้า' เป็น '7.16(1.150) และก่อนหน้า'

การตรวจสอบ Verification Signature ที่ไม่ถูกต้องระหว่าง ASDM และ Launcher ไม่ตรงกัน จะทำให้เกิดช่องโหว่ Zero-day นี้ขึ้น โดยปัจจุบันมีรหัสของช่องโหว่คือ CVE-2021-1585 หากผู้ไม่ประสงค์ดีสามารถใช้ช่องโหว่ดังกล่าวในการรันโค้ดที่เป็นอันตรายจากระยะไกลได้โดยไม่ต้องมีการพิสูจน์ตัวตน

Cisco อธิบายว่า “ผู้ไม่หวังดีสามารถใช้ช่องโหว่นี้หาประโยชน์ในลักษณะ Man-in-the-middle เพื่อแทรกการโจมตีด้วยโค้ดที่เป็นอันตรายระหว่างที่ ASDM และ Launcher มีการติดต่อกัน”

“หากจะโจมตีให้สำเร็จ ผู้โจมตีอาจจะต้องใช้วิธี Social Engineering เพื่อชักจูงให้ผู้ใช้งานทำการเชื่อมต่อระหว่าง Launcher ไปยัง ASDM”

อย่างไรก็ตาม Cisco ยืนยันว่า Product Security Incident Response Team (PSIRT) ยังไม่ได้รับข้อมูลว่ามีการโจมตีด้วยช่องโหว่นี้เกิดขึ้นจริง

Cisco ได้แก้ไขช่องโหว่ Zero-day CVE-2020-3556 ที่ถูกพบมามากกว่า 6 เดือนก่อนของอุปกรณ์ AnyConnect Secure Mobility Client VPN software เมื่อ 3 เดือนที่แล้ว จาก Exploit Code ที่ถูกปล่อยออกมา แต่ Cisco PSIRT แจ้งว่ายังไม่พบการโจมตีในวงกว้างเช่นกัน

Cisco รายงาน Zero-day นี้ในเดือน พฤศจิกายน 2020 โดยไม่มีการออกแพตซ์เพื่อแก้ไขช่องโหว่แต่อย่างใด มีเพียงเทคนิคการลดความเสี่ยงของช่องทางที่จะถูกใช้ในการโจมตี

CVE-2020-3556 ได้รับการแก้ไขในเดือน พฤษภาคม และถือเป็นความโชคดีที่ไม่มีความเสียหายอะไรเกิดขึ้นก่อนหน้านั้น อาจเนื่องมาจาก default VPN setups มีการป้องกันระบบเองอยู่แล้ว และการโจมตีโดยใช้ช่องโหว่นี้ต้องอาศัยผู้มีความเชี่ยวชาญสูงมาก

อย่างไรก็ดีหลังจากที่ทีม Offensive ของ Positive Technologies เปิดเผยช่องโหว่ของ Cisco ASA เมื่อเดือนที่ผ่านมา ก็เริ่มพบเห็นการโจมตีเกิดขึ้น ซึ่ง Cisco ออกการแก้ไขช่องโหว่บางส่วนในเดือนตุลาคม 2020 และแก้ไขช่องโหว่อย่างสมบูรณ์ในเดือนเมษายน 2021

ที่มา : ehackingnews.