แฮ็กเกอร์ที่รู้จักกันในชื่อ W3LL ได้พัฒนาชุดเครื่องมือฟิชชิงที่สามารถ bypass multi-factor authentication พร้อมกับเครื่องมืออื่น ๆ ที่ทำให้สามารถโจมตีบัญชี Microsoft 365 ขององค์กรมากกว่า 8,000 บัญชี

ในระยะเวลา 10 เดือน นักวิจัยด้านความปลอดภัยพบว่าเครื่องมือ และโครงสร้างพื้นฐานของ W3LL ถูกใช้ในการสร้างฟิชชิงประมาณ 850 ครั้ง ซึ่งกำหนดเป้าหมายไปที่ข้อมูลส่วนบุลคลของบัญชี Microsoft 365 มากกว่า 56,000 บัญชี

การเติบโตของธุรกิจ

ผู้โจมตีอย่างน้อย 500 รายได้ใช้เครื่องมือฟิชชิ่งแบบ custom ของ W3LL ในการโจมตีแบบ Business Email Compromise (BEC) ทำให้เกิดความสูญเสียทางการเงินหลายล้านดอลลาร์สหรัฐฯ

นักวิจัยระบุว่า W3LL ครอบคลุมเกือบทั้งหมดสำหรับการโจมตีแบบ BEC และสามารถใช้งานได้โดย "ผู้โจมตีที่มีทักษะทางเทคนิคในทุกระดับ"

ในรายงานจากบริษัทรักษาความปลอดภัยทางไซเบอร์ Group-IB ได้ให้รายละเอียดเกี่ยวกับ W3LL ที่กลายมาเป็นหนึ่งในนักพัฒนามัลแวร์ขั้นสูงสำหรับกลุ่มผู้โจมตีที่มักใช้วิธี BEC

หลักฐานแรกในการดำเนินการของ W3LL ถูกพบครั้งแรกในปี 2017 เมื่อผู้พัฒนาเริ่มใช้เครื่องมือ custom สำหรับการส่งอีเมลจำนวนมากที่ชื่อว่า "W3LL SMTP Sender" ซึ่งถูกใช้สำหรับการส่งสแปม

ความนิยม และธุรกิจของกลุ่มแฮ็กเกอร์เริ่มเติบโตขึ้นเมื่อเริ่มมีการขายชุดเครื่องมือฟิชชิงแบบ custom ที่มุ่งเน้นไปที่บัญชีองค์กรของ Microsoft 365

นักวิจัยระบุว่า ในปี 2018 W3LL ได้เปิดตัว W3LL Store ซึ่งเป็นตลาดภาษาอังกฤษที่สามารถโปรโมต และขายเครื่องมือของตนให้กับ community ของอาชญากรทางไซเบอร์

"เครื่องมือหลักของ W3LL คือ W3LL Panel ซึ่งอาจถือเป็นหนึ่งในชุดเครื่องมือสำหรับการโจมตีแบบฟิชชิงที่ล้ำสมัยที่สุดในระดับเดียวกัน โดยมีฟังก์ชันการทำงานแบบ adversary-in-the-middle, API, การป้องกันซอร์สโค้ด และความสามารถเฉพาะทางอื่น ๆ"

ชุดเครื่องมือของ W3LL สำหรับการโจมตีแบบ BEC

นอกจาก W3LL Panel ซึ่งถูกออกแบบเพื่อ bypass multi-factor authentication (MFA) ผู้โจมตียังมีเครื่องมืออีก 16 รายการที่เตรียมไว้สำหรับการโจมตี BEC (Business Email Compromise) รวมถึง:

SMTP senders PunnySender และ W3LL Sender
เครื่องมือ link stager ที่เป็นอันตรายชื่อ W3LL Redirect
เครื่องมือสแกนช่องโหว่ชื่อ OKELO
เครื่องมือค้นหาบัญชีอัตโนมัติชื่อ CONTOOL
โปรแกรมตรวจสอบอีเมลชื่อ LOMPAT
สำหรับการโจมตี BEC มีขั้นตอนเริ่มต้นที่การเลือกเป้าหมาย, การโจมตีแบบฟิชชิงผ่านอีเมลที่ที่มีไฟล์แนบ (ค่าเริ่มต้น หรือปรับแต่งเองได้), ไปจนถึงการส่งอีเมลฟิชชิงเข้าไปในกล่องจดหมายของเหยื่อ

นักวิจัยระบุว่า W3LL เชี่ยวชาญมากพอที่จะปกป้องเครื่องมือของตนจากการถูกตรวจจับ หรือปิดกั้นได้ โดยการนำไปใช้งานบนโฮสต์เซิร์ฟเวอร์ และบริการที่โจมตีมาอีกที

อย่างไรก็ตาม ผู้ใช้งานยังมีตัวเลือกในการใช้เครื่องมือสแกน OKELO ของ W3LL เพื่อค้นหาระบบที่มีช่องโหว่ และเข้าถึงระบบได้ด้วยตนเอง

Bypassing filters และ security agents

บางเทคนิคที่ W3LL ใช้ คือการ bypass email filters และ security agents รวมถึงปลอมแปลงหัวเรื่องอีเมล และเนื้อหาในข้อความ (Punycode, แท็ก HTML, รูปภาพ, ลิงก์ที่มีเนื้อหาจากภายนอก)

phishing links ใช้วิธีการหลายอย่างเพื่อหลีกเลี่ยงการตรวจจับ หนึ่งในนั้นคือการแนบไฟล์ฟิชชิง แทนที่จะฝังไว้ในเนื้อหาของอีเมล

นักวิจัยพบว่าลิงก์นั้นถูกวางไว้ในไฟล์ HTML ที่แนบมา เมื่อเหยื่อเปิดไฟล์ HTML ที่เป็นอันตรายซึ่งอาจปลอมเป็นเอกสาร หรือข้อความเสียง เบราว์เซอร์จะเปิดขึ้นพร้อมกับการแสดงผลที่คล้ายกับ MS Outlook animation

ซึ่งนี่คือ W3LL Panel phishing page ที่พร้อมใช้งานสำหรับการเก็บข้อมูลของบัญชี Microsoft 365

ในการวิเคราะห์ไฟล์แนบจากการโจมตีแบบฟิชชิงจาก W3LL ที่พบ Group-IB ได้สังเกตว่าเป็นไฟล์ HTML ที่แสดงเว็ปไซต์ใน iframe โดยใช้ JavaScript ที่ถูกเข้ารหัส base64

ในเวอร์ชันใหม่ล่าสุด ซึ่งอัปเดตในช่วงปลายเดือนมิถุนายน W3LL ได้เพิ่ม การสร้างความสับสน และการเข้ารหัสแบบ multiple layers โดยจะโหลดสคริปต์โดยตรงจาก W3LL Panel แทนที่จะรวมไว้ในโค้ด HTML

ลำดับการทำงานสำหรับเวอร์ชันล่าสุดมีลักษณะดังนี้ :

การโจมตีบัญชีองค์กร Microsoft 365

นักวิจัยของ Group-IB อธิบายว่าลิงก์เริ่มต้นในการโจมตีฟิชชิงไม่ได้นำไปสู่หน้าการเข้าสู่ระบบ Microsoft 365 ที่ถูกปลอมแปลงใน W3LL Panel การเชื่อมต่อลักษณะดังกล่าวถูกกำหนดขึ้นเพื่อป้องกันการตรวจสอบหน้าฟิชชิงของ W3LL Panel

เพื่อที่ W3LL จะโจมตีบัญชี Microsoft 365 นั้นจะใช้เทคนิค Adversary/Man-in-the-middle (AitM/MitM) โดยการเชื่อมต่อระหว่างเหยื่อ และเซิร์ฟเวอร์ของ Microsoft จะผ่าน W3LL Panel และ W3LL Store ที่ทำหน้าที่เป็นระบบ backend

เป้าหมายคือการได้มาซึ่งคุกกี้เซสชันการ authentication ของเหยื่อ สำหรับวิธีนี้ W3LL Panel จำเป็นต้องดำเนินการหลายขั้นตอน ซึ่งรวมถึง:

ผ่านการตรวจสอบ CAPTCHA
ตั้งค่าหน้าการเข้าสู่ระบบที่ปลอมแปลงให้เหมือนจริง
ตรวจสอบบัญชีของเหยื่อ
ได้มาซึ่งอัตลักษณ์ขององค์กรเป้าหมาย (เช่น ชื่อแบรนด์, โลโก้ฯ)
รับคุกกี้สำหรับการเข้าสู่ระบบ
ระบุประเภทของบัญชี
ตรวจสอบรหัสผ่าน
รับรหัสผ่านแบบใช้ครั้งเดียว (OTP)
รับคุกกี้เซสชันที่ผ่านการ authentication
หลังจากที่ W3LL Panel ได้รับคุกกี้เซสชันที่ผ่านการ authentication แล้ว บัญชีจะถูกเข้าถึงได้ และเหยื่อจะเห็นเอกสาร PDF เพื่อทำให้ดูเหมือนการเข้าสู่ระบบนั้นถูกต้อง

ขั้นตอนการค้นหาบัญชี

เมื่อใช้ CONTOOL ผู้โจมตีสามารถทำให้การค้นหาอีเมล, เบอร์โทรศัพท์, ไฟล์แนบ, เอกสาร, หรือ URL ที่เหยื่อใช้โดยอัตโนมัติ ซึ่งอาจช่วยในการโจมตีไปยังระบบอื่น ๆ

เครื่องมือนี้ยังสามารถตรวจสอบ กรอง และแก้ไขอีเมลที่เข้ามาได้ รวมทั้งรับการแจ้งเตือนผ่านบัญชี Telegram โดยขึ้นอยู่กับ keywords ที่ระบุไว้

ตามรายงานของ Group-IB ผลลัพธ์ทั่วไปของการโจมตีคือ :

การขโมยข้อมูล
ใบแจ้งหนี้ปลอมที่มีข้อมูลการชำระเงินของผู้โจมตี
การปลอมตัวเป็นบริการเพื่อส่งคำขอชำระเงินปลอมให้กับลูกค้า
Classic BEC fraud - เพื่อเข้าถึงผู้บริหารระดับสูง และดำเนินการเพื่อสั่งให้พนักงานโอนเงิน หรือซื้อสินค้า
แพร่กระจายมัลแวร์
การทำเงินของกลุ่ม W3LL

รายงานของ Group-IB ได้ศึกษาลึกลงไปในฟังก์ชันของ W3LL Panel โดยอธิบายในระดับเทคนิคว่าคุณสมบัติบางอย่างทำงานอย่างไรเพื่อให้บรรลุเป้าหมายที่ตั้งไว้ ไม่ว่าจะเป็นการหลบเลี่ยงการตรวจจับ หรือการรวบรวมข้อมูล

โดยเป็นส่วนสำคัญที่มีค่าแก่ผู้พัฒนา และมีราคา 500 ดอลลาร์สหรัฐสำหรับการใช้งานระยะเวลา 3 เดือน และราคาต่ออายุ 150 ดอลลาร์สหรัฐฯ ต่อเดือน ซึ่งผู้ใช้จำเป็นต้องซื้อ license เพื่อเปิดใช้งานด้วยอีกด้วย

กลุ่มผู้โจมตี W3LL ก่อตั้งขึ้นเมื่อประมาณ 5 ปีที่แล้ว และมีแฮ็กเกอร์ใช้งานมากกว่า 500 คน โดยมีฟีเจอร์ให้เลือกใช้งานมากกว่า 12,000 รายการ

นอกจากเครื่องมือที่เกี่ยวข้องกับการโจมตีด้วยฟิชชิ่ง และ BEC ที่กล่าวมาแล้ว W3LL ยังให้บริการเข้าถึงบริการเว็ปไซต์ที่ถูกโจมตี (web shell, อีเมล, ระบบการจัดการเนื้อหา) และเซิร์ฟเวอร์ SSH และ RDP, บัญชีโฮสติ้ง และบริการคลาวด์, โดเมนอีเมลธุรกิจ, บัญชี VPN, และบัญชีอีเมลที่ถูกยึดครอง (hijacked email accounts) ให้บริการอีกด้วย

นักวิจัยจาก Group-IB รายงานว่า ระหว่างเดือนตุลาคม ปี 2022 ถึงกรกฎาคม ปี 2023 W3LL ขายเครื่องมือนี้ได้มากกว่า 3,800 รายการ โดยมีรายได้โดยประมาณมากกว่า 500,000 ดอลลาร์สหรัฐ

ที่มา : bleepingcomputer

ทีมตอบสนองเหตุภัยคุกคามทางคอมพิวเตอร์ของญี่ปุ่น (JPCERT) แชร์รูปแบบการโจมตี 'MalDoc in PDF' รูปแบบใหม่ที่ตรวจพบในเดือนกรกฎาคม 2023 ซึ่งสามารถหลีกเลี่ยงการตรวจจับได้โดยการฝังไฟล์ Word ที่เป็นอันตรายลงในไฟล์ PDF

ไฟล์ตัวอย่างที่ถูกวิเคราะห์โดย JPCERT เป็นไฟล์ polyglot ที่เครื่องมือการสแกนส่วนใหญ่รู้จักในรูปแบบ PDF แต่แอปพลิเคชัน Office ก็สามารถเปิดเป็นเอกสาร Word ปกติ (.doc) ได้

Polyglots เป็นไฟล์ที่มีรูปแบบไฟล์ที่แตกต่างกันสองรูปแบบ ซึ่งสามารถตีความ และดำเนินการเป็นไฟล์ได้มากกว่าหนึ่งประเภท ขึ้นอยู่กับแอปพลิเคชันที่อ่าน/เปิดไฟล์เหล่านั้น

ตัวอย่างเช่น เอกสารที่เป็นอันตรายในแคมเปญนี้เป็นการผสมระหว่างไฟล์ PDF และ Word documents ซึ่งสามารถเปิดได้ในทั้งรูปแบบไฟล์ทั้งสอง

โดยทั่วไปแล้วผู้โจมตีใช้ polyglots เพื่อหลบเลี่ยงการตรวจจับ หรือทำให้เครื่องมือวิเคราะไม่สามารถทำงานได้อย่างเต็มประสิทธิภาพ เนื่องจากไฟล์เหล่านี้อาจดูเหมือนไม่มีความอันตรายในรูปแบบหนึ่ง ในขณะที่ซ่อน code ที่เป็นอันตรายในอีกรูปแบบหนึ่งได้

ในกรณีนี้ PDF document ประกอบด้วย Word document ที่มี VBS macro เพื่อดาวน์โหลด และติดตั้งไฟล์มัลแวร์ MSI หากไฟล์ถูกเปิดในรูปแบบ .doc ใน Microsoft Office อย่างไรก็ตาม Japan CERT ไม่ได้เปิดเผยรายละเอียดเกี่ยวกับประเภทของมัลแวร์ที่ถูกติดตั้ง

อย่างไรก็ตามเป็นที่น่าสังเกตว่า MalDoc ในรูปแบบ PDF ไม่สามารถ bypass การตั้งค่าความปลอดภัยที่ปิดการทำงานอัตโนมัติของ macros บน Microsoft Office ได้ ดังนั้นมาตรการนี้ของ Microsoft Office ยังถือว่าเพียงพอในการป้องกันการโจมตี ซึ่งหาก MalDoc จะทำงานได้ ผู้ใช้งานจำเป็นต้องปิดการตั้งค่าความปลอดภัยด้วยตนเองโดยการคลิกที่ปุ่มที่เกี่ยวข้อง หรือยกเลิกการบล็อกไฟล์

JPCERT ได้เผยแพร่วิดีโอต่อไปนี้บน YouTube เพื่อสาธิตว่า MalDoc ในรูปแบบไฟล์ PDF ทำงานบน Windows อย่างไร

ตัวอย่าง MalDoc ในรูปแบบ PDF : hxxps://www[.]youtube.

ข้อมูลที่ถูกพบล่าสุดแสดงให้เห็นว่าผู้โจมตีสามารถใช้ประโยชน์จากเทคนิคการหลบเลี่ยงการตรวจจับมัลเเวร์ และ bypass endpoint security solutions โดยการปรับเเต่ง Windows Container Isolation Framework

การค้นพบนี้ถูกนำเสนอโดย Daniel Avinoam นักวิจัยด้านความปลอดภัยของ Deep Instinct ในการประชุมด้านความปลอดภัย DEF CON ที่จัดขึ้นเมื่อต้นเดือนที่ผ่านมา

โครงสร้างของ Microsoft container (และที่เกี่ยวข้องกับ Windows Sandbox) ใช้สิ่งที่เรียกว่า dynamically generated image เพื่อแยก file system ของแต่ละ container ไปยังโฮสต์ และในเวลาเดียวกันจะหลีกเลี่ยงการทำซ้ำของ file system

โดยมันเป็นเพียง "operating system image ที่มี clean copies ของไฟล์ที่สามารถเปลี่ยนแปลงได้ แต่เป็นลิงก์ไปยังไฟล์ที่ไม่สามารถเปลี่ยนแปลงได้ซึ่งอยู่ในอิมเมจ Windows ที่มีอยู่แล้วบนโฮสต์" จึงทำให้ขนาดโดยรวมของระบบปฏิบัติการเต็มลดลง

Avinoam ระบุในรายงานที่แชร์กับ The Hacker News ว่า "ผลลัพธ์ที่ได้คือ images ที่มี 'ghost files' ซึ่งไม่ได้เก็บข้อมูลจริง แต่จะชี้ไปยัง volume ที่แตกต่างกันของระบบ" ในจุดนี้จึงทำให้เกิดความคิดว่า จะเป็นอย่างไรถ้าสามารถใช้ redirection mechanism เพื่อซ่อนรายละเอียดกับ file system operation และทำให้เครื่องมือด้านความปลอดภัยไม่สามารถตรวจจับได้

นี่คือจุดที่ไดรเวอร์ minifilter ของ Windows Container Isolation FS (wcifs.

พบช่องโหว่ระดับ critical ใน VMware Aria Operations for Networks (เดิมเรียกว่า vRealize Network Insight) ซึ่งอาจทำให้ผู้โจมตีจากภายนอกสามารถ bypass SSH authentication และเข้าถึง private endpoints ได้

VMware Aria เป็นชุดโปรแกรมสำหรับการจัดการ และตรวจสอบ virtualized environments และ hybrid clouds, IT Automation, การจัดการ log, การสร้างข้อมูลวิเคราะห์, Network visibility, การรักษาความปลอดภัย และจัดสรรการวางแผนการใช้ทรัพยากร และการจัดการขอบเขตการทำงานทั้งหมด

เมื่อวันอังคารที่ผ่านมา VMware ได้เผยแพร่คำเตือนด้านความปลอดภัยเกี่ยวกับช่องโหว่ที่ส่งผลกระทบต่อ Aria เวอร์ชัน 6.x ทั้งหมด

ช่องโหว่ดังกล่าวถูกพบโดยนักวิเคราะห์จาก ProjectDiscovery Research ซึ่งมีหมายเลข CVE-2023-34039 และได้รับ CVSS v3: 9.8 ซึ่งถือว่าเป็นช่องโหว่ระดับ "critical"

"การแจ้งเตือนจาก VMware เกี่ยวกับช่องโหว่นั้นระบุว่า Aria Operations for Networks มีช่องโหว่ในการ Authentication Bypass เนื่องจากขาดการสร้าง Unique cryptographic key"

ผู้โจมตีที่เข้าถึงเครือข่ายไปยัง Aria Operations for Networks อาจสามารถ bypass SSH authentication เพื่อเข้าถึง Aria Operations for Networks CLI ได้

การใช้ประโยชน์จากช่องโหว่ CVE-2023-34039 อาจส่งผลให้เกิดการถูกขโมยข้อมูล, การแก้ไขข้อมูลผ่าน command line interface ของบริการ และอาจส่งผลให้เกิดความขัดข้องในระบบเครือข่าย, การแก้ไขการกำหนดค่า, การติดตั้งมัลแวร์ และการโจมตีต่อไปยังระบบอื่น ๆ ภายในเครือข่าย ขึ้นอยู่กับการกำหนดค่าไว้บนระบบ

VMware ยังไม่ได้ให้คำแนะนำ หรือการแก้ไขปัญหาชั่วคราวในกรณีที่ยังไม่สามารถอัปเดตได้ ดังนั้นวิธีการเดียวในการแก้ไขช่องโหว่ คือการอัปเกรดเป็นเวอร์ชัน 6.11 หรือใช้แพตช์ KB94152 บนเวอร์ชันก่อนหน้านี้

ช่องโหว่ที่สองที่มีความรุนแรงระดับ high (CVSS v3: 7.2) ได้รับการแก้ไขโดยแพตช์เดียวกันคือ CVE-2023-20890 ซึ่งเป็นช่องโหว่เกี่ยวกับการเขียนไฟล์ที่ไม่เกี่ยวข้อง อาจทำให้ผู้โจมตีที่มีสิทธิ์ administrative สามารถสั่งรันโค้ดจากระยะไกลได้

เนื่องจากซอฟต์แวร์นี้มักถูกใช้ในองค์กรขนาดใหญ่ แฮ็กเกอร์จึงอาจใช้ประโยชน์จากช่องโหว่นี้ทำให้ส่งผลกระทบต่อระบบได้

ในเดือนมิถุนายน 2023 VMware ได้แจ้งเตือนผู้ใช้งานเกี่ยวกับการใช้ประโยชน์จากช่องโหว่ CVE-2023-20887 ซึ่งเป็นช่องโหว่ในการเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกลที่ส่งผลกระทบต่อ Aria Operations for Networks

มีการ Scan และค้นหาช่องโหว่ภายในหนึ่งสัปดาห์ หลังจากที่ VMware ออกอัปเดตแพตซ์ความปลอดภัย และเพียงสองวันหลังจากที่มีการเผยแพร่ PoC (proof of concept) ออกมา

ที่มา : bleepingcomputer

มัลแวร์บน Apple macOS เวอร์ชันใหม่ที่เรียกว่า XLoader ได้ปรากฏตัวขึ้นโดยการปลอมแปลงฟีเจอร์ที่เป็นอันตรายภายใต้หน้ากากของแอปเพิ่มประสิทธิภาพการทำงานในสำนักงานที่เรียกว่า "OfficeNote"

นักวิจัยด้านความปลอดภัยจาก SentinelOne ชื่อ Dinesh Devadoss และ Phil Stokes ได้ระบุในรายงานการวิเคราะห์เมื่อวันจันทร์ที่ผ่านมา (21 ส.ค. 2023) ว่า "เวอร์ชันใหม่ของ XLoader ถูกรวมอยู่ในไฟล์ Apple disk image ด้วยชื่อ OfficeNote.

Juniper Networks บริษัทผู้ผลิตอุปกรณ์เครือข่าย ออกแพตซ์อัปเดตด้านความปลอดภัยแบบ "out-of-cycle" เพื่อแก้ไขช่องโหว่หลายรายการใน J-Web ของ Junos OS ที่เมื่อใช้ร่วมกันอาจทำให้เกิดการเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกลบนระบบที่มีช่องโหว่ได้

โดย 4 ช่องโหว่เหล่านี้มีคะแนนรวม CVSS ที่ 9.8 ซึ่งมีความรุนแรงในระดับ Critical และมีผลกระทบต่อเวอร์ชันทั้งหมดของ Junos OS ในตระกูล SRX และ EX Series

J-Web interface ช่วยให้ผู้ใช้งานสามารถกำหนดค่า, จัดการ และตรวจสอบอุปกรณ์ Junos OS โดยมีคำอธิบายสั้น ๆ เกี่ยวกับช่องโหว่ดังต่อไปนี้

CVE-2023-36844 และ CVE-2023-36845 (คะแนน CVSS: 5.3) - ช่องโหว่การปรับเปลี่ยนตัวแปร PHP สองรายการใน J-Web ของ Juniper Networks Junos OS บน EX Series และ SRX Series ทำให้ผู้โจมตีที่ไม่ได้รับอนุญาตสามารถควบคุมค่าพารามิเตอร์ที่สำคัญบางส่วนได้
CVE-2023-36846 และ CVE-2023-36847 (คะแนน CVSS: 5.3) - ช่องโหว่ที่เกี่ยวกับการ authentications สำหรับฟังก์ชันที่สำคัญ 2 รายการใน Juniper Networks Junos OS บน EX และ SRX Series ทำให้ผู้โจมตีที่ไม่ได้รับอนุญาต สามารถสร้างผลกระทบต่อ file system integrity ได้

ช่องโหว่ได้รับการแก้ไขในรุ่นต่อไปนี้:

EX Series - Junos OS versions 20.4R3-S8, 21.2R3-S6, 21.3R3-S5, 21.4R3-S4, 22.1R3-S3, 22.2R3-S1, 22.3R2-S2, 22.3R3, 22.4R2-S1, 22.4R3, และ 23.2R1

SRX Series - Junos OS versions 20.4R3-S8, 21.2R3-S6, 21.3R3-S5, 21.4R3-S5, 22.1R3-S3, 22.2R3-S2, 22.3R2-S2, 22.3R3, 22.4R2-S1, 22.4R3, และ 23.2R1

ผู้ใช้งานควรดำเนินการอัปเดตแพตซ์เพื่อลดผลกระทบจากการโจมตี หากยังไม่สามารถอัปเดตได้ในทันที Juniper Networks แนะนำให้ผู้ใช้งานปิดใช้งาน J-Web หรือจำกัดการเข้าถึงเฉพาะโฮสต์ที่ได้รับการยืนยันแล้วเท่านั้น

ที่มา : THEHACKERNEWS

นักวิจัยพบวิธีการโจมตีที่ไม่เคยตรวจพบมาก่อนที่ชื่อว่า NoFilter ซึ่งถูกพบว่าใช้ Windows Filtering Platform (WFP) เพื่อทำการยกระดับสิทธิ์ในระบบปฏิบัติการ Windows

(more…)

พบช่องโหว่ด้านความปลอดภัยใหม่ในโปรเซสเซอร์ที่ใช้สถาปัตยกรรม Zen 2 ของ AMD ซึ่งอาจถูกใช้ในการโจมตีเพื่อดึงข้อมูลที่สำคัญ เช่น Keys การเข้ารหัส และรหัสผ่าน

ช่องโหว่นี้ถูกพบโดยนักวิจัยจาก Google Project Zero ชื่อ 'Tavis Ormandy' และถูกเรียกว่า 'Zenbleed' โดยมีหมายเลข CVE-2023-20593 (CVSS: 6.5) ที่ทำให้สามารถดึงข้อมูลออกมาได้ที่อัตรา 30 kb ต่อ core ต่อวินาที

ช่องโหว่นี้เป็นส่วนหนึ่งของช่องโหว่ที่เรียกว่า การโจมตีด้วยการดำเนินการเชิงคาดเดา (speculative execution attacks) ซึ่งเป็นเทคนิคที่ใช้เพิ่มประสิทธิภาพที่ใช้กันอย่างแพร่หลายในหน่วยประมวลผลยุคใหม่ เพื่อเข้าถึง Keys การเข้ารหัสจาก CPU registers

AMD ระบุว่า "ภายใต้สถานการณ์ Microarchitectural การ register ใน CPU Zen 2 อาจเขียนค่า 0 อย่างไม่ถูกต้อง ทำให้ข้อมูลจาก process และ Thread อื่น ๆ ถูกจัดเก็บไว้ใน YMM register ซึ่งอาจทำให้ผู้โจมตีสามารถเข้าถึงข้อมูลที่มีความสำคัญได้"

โดย Cloudflare ตั้งข้อสังเกตว่า การโจมตีสามารถดำเนินการได้จากภายนอกผ่านสคริปต์ JavaScript บนเว็บไซต์ ซึ่งทำให้ไม่จำเป็นต้องมีการเข้าถึงเครื่องคอมพิวเตอร์ หรือเซิร์ฟเวอร์โดยตรง

Derek Chamorro และ Ignat Korchagin นักวิจัยของ Cloudflare ระบุว่า "การดำเนินการแบบ Vectorized สามารถดำเนินการได้อย่างมีประสิทธิภาพอย่างมาก โดยใช้ YMM registers ซึ่งแอปพลิเคชันที่ประมวลผลข้อมูลปริมาณมากจะได้รับประโยชน์จากเทคนิคนี้ แต่ในขณะเดียวกันก็เป็นจุดที่เป็นความเสี่ยงเช่นเดียวกัน"

การโจมตีนี้ดำเนินการโดยการแก้ไขไฟล์รีจิสเตอร์เพื่อบังคับให้คำสั่งคาดการณ์ผิด เนื่องจากไฟล์รีจิสเตอร์ถูกใช้ร่วมกันโดยกระบวนการทั้งหมดที่ทำงานบนคอร์เดียวกัน การโจมตีนี้สามารถใช้ดักฟังข้อมูลในการดำเนินการของระบบพื้นฐานได้ โดยการตรวจสอบข้อมูลที่ถูกส่งต่อระหว่างหน่วยประมวลผล และส่วนอื่น ๆ ของคอมพิวเตอร์

ปัจจุบันยังไม่มีหลักฐานที่แสดงให้เห็นว่าช่องโหว่นี้ถูกนำมาใช้ในการโจมตีจริง แต่แนะนำให้อัปเดต Microcode เพื่อลดความเสี่ยงที่อาจเกิดขึ้น เมื่อมีข้อมูลที่สามารถอัปเดตได้ผ่านทางผู้ผลิตอุปกรณ์ (OEMs)

อ้างอิง : https://thehackernews.

Apple ออกแพตซ์อัปเดตด้านความปลอดภัยสำหรับ iOS, iPadOS, macOS, tvOS, watchOS, และ Safari เพื่อแก้ไขช่องโหว่ด้านความปลอดภัยจำนวนมาก ซึ่งรวมไปถึงช่องโหว่แบบ Zero-day ที่กำลังถูกนำมาใช้ในการโจมตีอยู่ในปัจุบัน

โดย Zero-Day ดังกล่าวมีหมายเลข CVE-2023-38606 ซึ่งจะเข้าไปจัดการในส่วนของ kernel และจะอนุญาติให้ Application ที่เป็นอันตรายสามารถแก้ไข kernel state ที่มีความสำคัญได้ โดยทาง Apple ระบุว่าได้ทำการแก้ไขด้วยการปรับปรุง state management

โดย Apple ได้เร่งทำการอัปเดตแพตซ์แก้ไขช่องโหว่นี้ เนื่องจากได้รับรายงานว่าพบการโจมตีอย่างต่อเนื่องตั้งแต่เวอร์ชั่นก่อนหน้า iOS 15.7.1

น่าสังเกตว่า CVE-2023-38606 เป็นช่องโหว่ด้านความปลอดภัยลำดับที่สี่ ที่ถูกพบว่าเกี่ยวข้องกับ Operation Triangulation ซึ่งเป็นแคมเปญจารกรรมทางไซเบอร์บนมือถือที่มีความซับซ้อน ซึ่งกำหนดเป้าหมายไปยังอุปกรณ์ iOS ตั้งแต่ปี 2019 โดยใช้การโจมตีแบบ Zero-click exploit chain ส่วนอีก 2 ช่องโหว่ Zero-Day ที่ได้รับการแก้ไขโดย Apple เมื่อเดือนที่แล้วคือ CVE-2023-32434 และ CVE-2023-32435 ส่วนช่องโหว่ที่สาม CVE-2022-46690 ได้รับการแก้ไขโดยเป็นส่วนหนึ่งของการอัปเดตด้านความปลอดภัยที่เผยแพร่ในเดือนธันวาคม 2022 หกเดือนก่อนหน้าที่จะมีการเปิดเผยรายละเอียดการโจมตีออกสู่สาธารณะ

โดยนักวิจัยของ Kaspersky Valentin Pashkov, Mikhail Vinogradov, Georgy Kucherin, Leonid Bezvershenko และ Boris Larin ได้รับเครดิตในการค้นพบ และรายงานช่องโหว่ดังกล่าว

อัปเดตนี้สำหรับอุปกรณ์ และระบบปฏิบัติการต่อไปนี้

iOS 16.6 และ iPadOS 16.6 - iPhone 8 และใหม่กว่า, iPad Pro (ทุกรุ่น), iPad Air รุ่นที่ 3 และใหม่กว่า, iPad รุ่นที่ 5 และใหม่กว่า และ iPad mini รุ่นที่ 5 และใหม่กว่า
iOS 15.7.8 และ iPadOS 15.7.8 - iPhone 6s (ทุกรุ่น), iPhone 7 (ทุกรุ่น), iPhone SE (รุ่นที่ 1), iPad Air 2, iPad mini (รุ่นที่ 4) และ iPod touch (รุ่นที่ 7)
macOS Ventura 13.5, macOS Monterey 12.6.8 และ macOS Big Sur 11.7.9
tvOS 16.6 - Apple TV 4K (ทุกรุ่น) และ Apple TV HD
watchOS 9.6 - Apple Watch Series 4 และใหม่กว่า

การอัปเดตล่าสุดนี้ Apple ได้แก้ไขช่องโหว่ Zero-days ทั้งหมด 11 รายการ ที่ส่งผลกระทบต่อซอฟต์แวร์ตั้งแต่ต้นปี 2023 นอกจากนี้ยังเกิดขึ้นสองสัปดาห์หลังจากที่ Apple เผยแพร่การอัปเดตฉุกเฉินสำหรับช่องโหว่ที่กำลังถูกนำมาใช้โจมตีใน WebKit ซึ่งอาจนำไปสู่การสั่งรันโค้ดที่เป็นอันตรายตามที่ต้องการ (CVE-2023-37450)

ที่มา : https://thehackernews.

มัลแวร์ AsyncRAT สายพันธุ์ใหม่ที่ชื่อว่า HotRat กำลังแพร่กระจายผ่านซอฟต์แวร์ และยูทิลิตี้ละเมิดลิขสิทธิ์ อย่างเช่น วิดีโอเกม ซอฟต์แวร์แก้ไขภาพ และเสียง และ Microsoft Office

Martin a Milánek นักวิจัยด้านความปลอดภัยของ Avast ระบุว่า "มัลแวร์ HotRat มีความสามารถหลากหลายรูปแบบในการโจมตี รวมถึงการขโมยข้อมูลการเข้าสู่ระบบ ข้อมูลกระเป๋าเงินดิจิตอล การจับภาพหน้าจอ บันทึกการกดแป้นพิมพ์ การติดตั้งมัลแวร์เพิ่มเติม และการเข้าถึง หรือแก้ไขข้อมูลบนคลิปบอร์ด"

(more…)