แคมเปญฟิชชิ่งขนาดใหญ่ได้โจมตี repositories บน GitHub เกือบ 12,000 รายการ โดยสร้าง "Security Alert" ปลอมเพื่อหลอกให้นักพัฒนาอนุญาตให้แอป OAuth ที่เป็นอันตรายเข้าถึงบัญชีของพวกเขา ซึ่งทำให้ผู้โจมตีสามารถเข้าควบคุมบัญชี และโค้ดได้อย่างเต็มที่

โดยข้อความในฟิชชิ่งบน GitHub จะระบุว่า "Security Alert: Unusual Access Attempt เราตรวจพบความพยายามเข้าสู่ระบบบัญชี GitHub ของคุณจากตำแหน่งที่ตั้ง หรืออุปกรณ์ใหม่"

ข้อความฟิชชิ่งทั้งหมดบน GitHub มีข้อความลักษณะเดียวกัน โดยเตือนผู้ใช้งานว่ามีการเข้าสู่ระบบที่ผิดปกติจากเมืองเรคยาวิก ประเทศไอซ์แลนด์ และจาก IP Address 53.253.117.8

นักวิจัยด้านความปลอดภัยทางไซเบอร์ Luc4m เป็นคนแรกที่พบการแจ้งเตือนความปลอดภัยปลอม ซึ่งเตือนผู้ใช้ GitHub ว่าบัญชีของพวกเขาถูกบุกรุก และแนะนำให้เปลี่ยนรหัสผ่าน ตรวจสอบ และจัดการเซสชันที่ใช้งานอยู่ และเปิดใช้งานตรวจสอบสิทธิ์สองขั้นตอน (2FA) เพื่อรักษาความปลอดภัยให้กับบัญชีของตน

อย่างไรก็ตาม ลิงก์ทั้งหมดที่แนบมากับคำแนะนำเหล่านี้กลับนำผู้ใช้ไปยังหน้าการให้สิทธิ์ ของ GitHub สำหรับแอป OAuth ชื่อ "gitsecurityapp" ซึ่งร้องขอสิทธิ์การเข้าถึงที่มีความเสี่ยงสูง และจะทำให้ผู้โจมตีสามารถเข้าควบคุมบัญชี และ repositories ของผู้ใช้ได้อย่างสมบูรณ์

รายการสิทธิ์ที่ขอ และการเข้าถึงที่ได้รับ

repo: ให้สิทธิ์เข้าถึง repositories สาธารณะ และส่วนตัวได้อย่างเต็มที่
user: สามารถอ่าน และเขียนข้อมูลโปรไฟล์ของผู้ใช้
read:org: อ่านข้อมูลสมาชิกองค์กร, โปรเจกต์ขององค์กร และการเป็นสมาชิกทีม
read:discussion, write:discussion: อ่าน และเขียนเพื่อการเข้าถึงการสนทนา
gist: เข้าถึง GitHub Gists
delete_repo: มีสิทธิ์ลบ repositories
workflows, workflow, write:workflow, read:workflow, update:workflow: ควบคุม GitHub Actions workflows ได้

หากผู้ใช้ GitHub ลงชื่อเข้าใช้ และอนุญาตให้แอป OAuth ที่เป็นอันตรายเข้าถึง ระบบจะสร้างโทเค็นการเข้าถึง และส่งกลับไปยัง callback address ของแอป ซึ่งในแคมเปญนี้พบว่าเป็นหน้าเว็บเพจที่โฮสต์บน onrender.

GSM หรือ GSMA ได้ประกาศอย่างเป็นทางการถึงการสนับสนุนการเข้ารหัสแบบ End-to-End (E2EE) เพื่อเพิ่มความปลอดภัยในการส่งข้อความผ่านโปรโตคอล Rich Communications Services (RCS) โดยเฉพาะสำหรับการสื่อสารข้ามแพลตฟอร์มระหว่าง Android และ iOS

ด้วยเหตุนี้ ข้อกำหนดใหม่ของ GSMA สำหรับ RCS รวมถึง E2EE ที่ใช้โปรโตคอล Messaging Layer Security (MLS) ผ่านสิ่งที่เรียกว่า RCS Universal Profile 3.0

Tom Van Pelt ผู้อำนวยการด้านเทคนิคของ GSMA ระบุว่า "ข้อกำหนดใหม่นี้กำหนดวิธีการใช้ MLS ในบริบทของ RCS โดยกระบวนการเหล่านี้ช่วยให้แน่ใจว่าข้อความ และเนื้อหาอื่น ๆ เช่น ไฟล์ จะยังคงเป็นความลับ และปลอดภัยในระหว่างการส่งผ่านข้อมูลของผู้ใช้งาน"

นอกจากนี้ ยังหมายความว่า RCS จะกลายเป็นบริการส่งข้อความขนาดใหญ่ (large-scale messaging service) รายแรก ที่รองรับการเข้ารหัสแบบ End-to-End (E2EE) ที่สามารถทำงานร่วมกันได้ระหว่างไคลเอนต์ต่าง ๆ จากผู้ให้บริการที่แตกต่างกันในอนาคตอันใกล้

มีข้อสังเกตว่า RCS ของ Google ที่ใช้ในแอป Messages บน Android ใช้โปรโตคอล Signal เพื่อรักษาความปลอดภัยในการสนทนา เนื่องจากยังไม่มีการป้องกันแบบ E2EE ในตัว อย่างไรก็ตาม การเข้ารหัสดังกล่าวยังคงจำกัดเฉพาะข้อความที่แลกเปลี่ยนผ่านแอป Messages เท่านั้น และยังไม่รองรับการเข้ารหัสสำหรับข้อความที่ส่งถึงผู้ใช้ iOS Messages หรือผู้ใช้ RCS รายอื่น ๆ บน Android

การพัฒนานี้เกิดขึ้นเมื่อประมาณ 6 เดือนแล้วหลังจากที่ GSMA ระบุว่า กำลังดำเนินการนำการเข้ารหัสแบบ End-to-End (E2EE) มาใช้ เพื่อเพิ่มความปลอดภัยในการส่งข้อความระหว่างระบบ Android และ iOS โดยการเคลื่อนไหวครั้งนี้เกิดขึ้นหลังจากที่ Apple ตัดสินใจเพิ่มการรองรับ RCS ในแอป Messages ของตนเองบน iOS 18

ในเดือนกรกฎาคม 2023 ที่ผ่านมา Google เปิดเผยว่ามีแผนที่จะเพิ่มการรองรับโปรโตคอล MLS ให้กับบริการ Messages ของตน รวมถึงการพัฒนาโอเพนซอร์สตามข้อกำหนดดังกล่าวอีกด้วย

Van Pelt ระบุว่า "RCS ยังคงรองรับฟังก์ชันการส่งข้อความที่สามารถทำงานร่วมกันได้ระหว่างผู้ใช้ iOS และ Android เช่น การส่งข้อความกลุ่ม, การแชร์ข้อมูล Media ที่มีความละเอียดสูง"

Google ได้แสดงความคิดเห็นโดยระบุว่า "เราให้ความสำคัญกับการมอบประสบการณ์การส่งข้อความที่ปลอดภัยมาโดยตลอด และผู้ใช้ Google Messages สามารถใช้งาน RCS ที่เข้ารหัสแบบ End-to-End (E2EE) ได้มาหลายปีแล้ว เรารู้สึกตื่นเต้นกับข้อกำหนดใหม่จาก GSMA และจะทำงานร่วมกับ mobile ecosystem อื่น ๆ ให้เร็วที่สุดเท่าที่จะเป็นไปได้ เพื่อปรับใช้ และขยายการป้องกันนี้ไปยังการส่งข้อความ RCS ระหว่างแพลตฟอร์ม"

ที่มา : thehackernews

Microsoft ประกาศว่าจะยุติการสนับสนุน Remote Desktop app ซึ่งสามารถดาวน์โหลดได้ผ่าน Microsoft Store ในวันที่ 27 พฤษภาคม 2025 และแทนที่ด้วย Windows App
โดยการเชื่อมต่อกับ Windows 365, Azure Virtual Desktop และ Microsoft Dev Box ผ่านแอป Remote Desktop จาก Microsoft Store จะถูกบล็อคหลังจากวันที่ 27 พฤษภาคม 2025 ซึ่งสามารถตรวจสอบข้อจำกัดในการย้ายจาก Remote Desktop app ไปยัง Windows App ได้จาก Known issues and limitations of Windows App

Windows App ได้รับการออกแบบมาสำหรับ Account แบบ work และ school และช่วยเชื่อมต่อกับ Azure Virtual Desktop, Windows 365, Microsoft Dev Box, Remote Desktop Services และ remote PCs โดยสามารถใช้งานได้จาก PCs, tablets, smartphones และ web browsers เพื่อเชื่อมต่อกับ cloud PCs, virtual desktops, local PCs across Windows 365, Remote Desktop, Remote Desktop Services, Azure Virtual Desktop และ Microsoft Dev Box ที่ถือว่าเป็น gateway to Windows ซึ่งได้เปิดทดลองให้ใช้งานตั้งแต่ปี 2023 และเปิดตัวอย่างเป็นทางการในเดือนกันยายน 2024

อย่างไรก็ตาม แม้ว่าจะอยู่ระหว่างการพัฒนาเป็นเวลาหลายปี แต่ Windows App ก็ยังไม่รองรับบริการ Remote Desktop และการเชื่อมต่อ Remote PC บน Windows แม้ว่าจะรองรับบนแพลตฟอร์มอื่น ๆ ทั้งหมดก็ตาม (เช่น macOS, iOS/iPadOS, Android, Chrome OS, เว็บ และ Meta Quest) จึงแนะนำให้ผู้ใช้ Remote Desktop และ Remote Desktop Services ใช้แอป Remote Desktop Connection ในตัวของ Windows เพื่อเชื่อมต่อกับ remote desktop

ทั้งนี้ผู้ใช้ที่เชื่อมต่อกับ remote desktops จาก Remote Desktop app ควรใช้การเชื่อมต่อ Remote Desktop Connection จนกว่าจะมีการรองรับประเภทการเชื่อมต่อนี้ใน Windows App
หากต้องการเชื่อมต่อกับอุปกรณ์ระยะไกลโดยใช้ Remote Desktop Connection ให้ค้นหา Remote Desktop Connection ในเมนู Start ของ Windows คลิกรายการ จากนั้นพิมพ์ชื่อพีซีที่คุณต้องการเชื่อมต่อ แล้วคลิก "Connect"

ที่มา : bleepingcomputer

อาชญากรไซเบอร์กำลังโปรโมตแอป Microsoft OAuth ที่เป็นอันตราย โดยปลอมตัวเป็นแอปของ Adobe และ DocuSign เพื่อติดตั้งมัลแวร์ และขโมยข้อมูล credentials ของบัญชี Microsoft 365

แคมเปญเหล่านี้ถูกพบโดยนักวิจัยจาก Proofpoint ซึ่งโพสต์ผ่านบน X โดยระบุว่า การโจมตีนี้เป็น "highly targeted" อย่างชัดเจน

แอป OAuth ที่เป็นอันตรายในแคมเปญนี้จะปลอมตัวเป็น Adobe Drive, Adobe Drive X, Adobe Acrobat และ DocuSign

แอปเหล่านี้จะขอการเข้าถึงสิทธิ์แบบ less sensitive permissions เช่น profile, email และ openid เพื่อหลีกเลี่ยงการถูกตรวจจับ และสร้างความสงสัย

หากได้รับอนุญาตให้เข้าถึงสิทธิ์เหล่านี้ ผู้โจมตีจะสามารถเข้าถึงข้อมูลต่อไปนี้

Profile : ชื่อ-นามสกุล, User ID, รูปโปรไฟล์, Username
Email : Email address หลัก (แต่ไม่สามารถเข้าถึงกล่องจดหมายได้)
Openid : ช่วยให้สามารถยืนยันตัวตนของผู้ใช้ และดึงข้อมูลรายละเอียดบัญชี Microsoft ได้

Proofpoint ให้ข้อมูลกับ BleepingComputer ว่า แคมเปญฟิชชิ่งเหล่านี้ถูกส่งจากองค์กรการกุศล หรือบริษัทขนาดเล็กที่ถูกโจมตีบัญชีอีเมล ซึ่งน่าจะเป็นบัญชี Office 365

อีเมลฟิชชิ่งเหล่านี้มุ่งเป้าไปยังหลายอุตสาหกรรมในสหรัฐอเมริกา และยุโรป รวมไปถึง government, healthcare, supply chain และ retail โดยอีเมลบางฉบับที่ Proofpoint พบ มีการใช้เทคนิคหลอกล่อผู้ใช้งาน เช่น RFPs และ สัญญาทางธุรกิจ เพื่อหลอกให้ผู้รับคลิกลิงก์

แม้ว่าสิทธิ์ที่ได้รับจากแอป Microsoft OAuth จะให้ข้อมูลกับผู้โจมตีเพียงบางส่วน แต่ข้อมูลดังกล่าวก็สามารถนำไปใช้ในการโจมตีแบบ targeted attacks ได้

นอกจากนี้ เมื่อผู้ใช้ให้สิทธิ์แอป OAuth แล้ว ระบบจะเปลี่ยนเส้นทางผู้ใช้ไปยังหน้า Landing Page ซึ่งอาจแสดงแบบฟอร์มฟิชชิ่งเพื่อขโมย Microsoft 365 credentials หรือแพร่กระจายมัลแวร์

Proofpoint ให้ข้อมูลกับ BleepingComputer ว่า "เหยื่อจะถูก redirect หลายครั้ง และหลายขั้นตอนหลังจากการอนุญาตแอป O365 OAuth ก่อนที่จะถูกนำไปยังการติดมัลแวร์ หรือหน้าเว็บฟิชชิ่งที่อยู่เบื้องหลัง"

ในบางกรณี เหยื่อถูกเปลี่ยนเส้นทางไปยังหน้า "O365 login" ปลอม ซึ่งโฮสต์อยู่บนโดเมนที่เป็นอันตราย และภายในเวลาไม่ถึงนาทีหลังจากการอนุญาตแอป OAuth ทาง Proofpoint พบว่าจะมีการ Login เข้าสู่ระบบที่น่าสงสัยในบัญชีของเหยื่อ

Proofpoint ระบุว่า ไม่สามารถระบุได้ว่ามัลแวร์ที่ถูกแพร่กระจายเป็นมัลแวร์แบบใด แต่พบว่าผู้โจมตีใช้เทคนิค ClickFix ซึ่งเป็นเทคนิคหนึ่งในการโจมตีแบบ Social Engineering ที่ได้รับความนิยมอย่างมากในช่วงปีที่ผ่านมา

การโจมตีเหล่านี้คล้ายกับเหตุการณ์ที่เคยถูกรายงานเมื่อหลายปีก่อน แสดงให้เห็นว่าแอป OAuth ยังคงเป็นวิธีที่มีประสิทธิภาพในการเข้าควบคุมบัญชี Microsoft 365 โดยไม่ต้องขโมยข้อมูล credentials

ขอแนะนำให้ผู้ใช้งานระมัดระวัง permission requests จากแอป OAuth และตรวจสอบแหล่งที่มา รวมถึงความน่าเชื่อถือของแอปก่อนที่จะอนุมัติการให้สิทธิ์

หากต้องการตรวจสอบการอนุมัติที่มีอยู่แล้ว ให้ไปที่ 'My Apps' (myapplications.

CISA แจ้งเตือนปฏิบัติการของกลุ่มแรนซัมแวร์ Medusa ได้ส่งผลกระทบต่อองค์กรมากกว่า 300 แห่งในภาคส่วนโครงสร้างพื้นฐานที่สำคัญในสหรัฐอเมริกาจนถึงเมื่อเดือนที่ผ่านมา

ข้อมูลนี้ถูกเปิดเผยในคำแนะนำที่ออกมาในวันนี้ (12 มีนาคม 2025) โดยประสานงานกับสำนักงานสอบสวนกลาง (FBI) และ ศูนย์แบ่งปัน และวิเคราะห์ข้อมูลจากหลายรัฐ (MS-ISAC)

CISA, FBI และ MS-ISAC ระบุว่า "เมื่อเดือนกุมภาพันธ์ 2025 กลุ่ม Medusa และพันธมิตร โจมตีเหยื่อมากกว่า 300 รายจากหลายภาคส่วนของโครงสร้างพื้นฐานที่สำคัญ โดยอุตสาหกรรมที่ได้รับผลกระทบประกอบด้วย การแพทย์, การศึกษา, กฎหมาย, ประกันภัย, เทคโนโลยี และการผลิต"

“FBI, CISA และ MS-ISAC สนับสนุนให้องค์กรต่าง ๆ ดำเนินการตามคำแนะนำในส่วนของการลดผลกระทบตามคำแนะนำฉบับนี้ เพื่อลดโอกาส และผลกระทบจากเหตุการณ์ที่เกี่ยวข้องกับแรนซัมแวร์ Medusa”

ตามที่คำแนะนำระบุไว้ เพื่อป้องกันการโจมตีจากแรนซัมแวร์ Medusa ผู้ป้องกันระบบควรใช้มาตรการต่อไปนี้ :

ลดความเสี่ยงจากช่องโหว่ด้านความปลอดภัยที่เป็นที่รู้จัก โดยควรดำเนินการให้ระบบปฏิบัติการ ซอฟต์แวร์ และเฟิร์มแวร์ได้รับการอัปเดตแพตช์ให้เป็นเวอร์ชันล่าสุดภายในระยะเวลาที่เหมาะสม
ดำเนินการทำ Networks Segment เพื่อลดการโจมตีในลักษณะ Lateral Movement ระหว่างอุปกรณ์ที่ติดมัลแวร์ และอุปกรณ์อื่น ๆ ภายในองค์กร
Filter Network Traffic โดยปิดกั้นการเข้าถึงจากแหล่งที่มาที่ไม่รู้จัก หรือไม่น่าเชื่อถือจาก remote services มายังระบบภายใน

ปฏิบัติการของแรนซัมแวร์กลุ่มนี้ ถูกพบครั้งแรกเมื่อ 4 ปีก่อนในเดือนมกราคม 2021 แต่การดำเนินการของกลุ่มนี้เพิ่งกลับมาเพิ่มขึ้นอีกครั้งเมื่อสองปีที่แล้วในปี 2023 เมื่อพวกเขาเปิดตัวเว็บไซต์ Medusa Blog เพื่อกดดันเหยื่อให้จ่ายค่าไถ่โดยใช้ข้อมูลที่ถูกขโมยมาเป็นเครื่องมือในการต่อรอง

Medusa เปิดตัวครั้งแรกในรูปแบบแรนซัมแวร์แบบปิด โดยที่กลุ่มผู้โจมตีเพียงกลุ่มเดียวจะรับผิดชอบในการพัฒนา และการดำเนินงานทั้งหมด แม้ว่า Medusa จะพัฒนาไปเป็น Ransomware-as-a-Service (RaaS) และนำเอาโมเดลพันธมิตรมาใช้ในภายหลัง แต่ผู้พัฒนายังคงดูแลการดำเนินการที่สำคัญ รวมถึงการเจรจาค่าไถ่

“นักพัฒนาของ Medusa มักจะรับสมัคร initial access brokers (IABs) จากฟอรัมของอาชญากรไซเบอร์เพื่อขอสิทธิ์ในการเข้าถึงเหยื่อที่มีศักยภาพ อาจมีการจ่ายเงินระหว่าง 100 ดอลลาร์สหรัฐฯ ถึง 1 ล้านดอลลาร์สหรัฐฯ สำหรับพันธมิตรที่ให้ข้อมูลเหล่านี้ พร้อมเสนอโอกาสทำงานกับ Medusa โดยเฉพาะ"

นอกจากนี้ยังพบว่ากลุ่มมัลแวร์หลายกลุ่ม และปฏิบัติการอาชญากรรมทางไซเบอร์ มีการใช้ชื่อ Medusa รวมถึง botnet ที่มีพื้นฐานจาก Mirai ซึ่งมีความสามารถในการโจมตีแรนซัมแวร์ และปฏิบัติการมัลแวร์ Malware-as-a-service (MaaS) สำหรับ Android ที่ค้นพบในปี 2020 (ที่รู้จักกันในชื่อ TangleBot)

เนื่องจากการใช้ชื่อที่พบบ่อยนี้ จึงมีรายงานที่ทำให้เกิดความสับสนเกี่ยวกับแรนซัมแวร์ Medusa โดยหลายคนคิดว่าเป็นการปฏิบัติการเดียวกับ MedusaLocker ซึ่งเป็นแรนซัมแวร์ที่รู้จักกันอย่างแพร่หลาย แม้ว่าทั้งสองจะเป็นการปฏิบัติการที่แตกต่างกันโดยสิ้นเชิง

การโจมตีด้วยแรนซัมแวร์ Medusa มีแนวโน้มเพิ่มขึ้น

ตั้งแต่ที่มีการเปิดโปง กลุ่ม Medusa ได้อ้างว่ามีเหยื่อกว่า 400 รายทั่วโลก และได้รับความสนใจมากขึ้นในเดือนมีนาคม 2023 หลังจากอ้างความรับผิดชอบในการโจมตีเขตการศึกษาของรัฐมินนีแอโพลิส (MPS) และมีการแชร์วิดีโอของข้อมูลที่ถูกขโมยออกมา

กลุ่ม Medusa ยังได้ปล่อยไฟล์ที่อ้างว่าเป็นข้อมูลที่ขโมยมาจาก Toyota Financial Services ซึ่งเป็นบริษัทในเครือของ Toyota Motor Corporation บน Dark Extortion Portal ในเดือนพฤศจิกายน 2023 หลังจากที่บริษัทปฏิเสธที่จะจ่ายค่าไถ่ 8 ล้านดอลลาร์สหรัฐฯ และแจ้งลูกค้าเกี่ยวกับการละเมิดข้อมูล

ทีม Threat Hunter ของ Symantec ระบุเมื่อสัปดาห์ที่แล้ว "การโจมตีด้วยแรนซัมแวร์ Medusa เพิ่มขึ้น 42% ระหว่างปี 2023 และ 2024 และปฏิบัติการนี้ยังคงเพิ่มสูงขึ้นอย่างต่อเนื่อง โดยการโจมตีด้วย Medusa ในเดือนมกราคม และกุมภาพันธ์ 2025 เพิ่มขึ้นเกือบสองเท่าเมื่อเทียบกับสองเดือนแรกของปี 2024"

เมื่อเดือนที่แล้ว CISA และ FBI เคยได้ออกการแจ้งเตือนร่วมกัน โดยเตือนว่าผู้เสียหายจากหลายอุตสาหกรรมทั่วโลกกว่า 70 ประเทศ รวมถึงโครงสร้างพื้นฐานที่สำคัญ ได้ถูกละเมิดในเหตุการณ์โจมตีของ Ghost ransomware

ที่มา : bleepingcomputer

Juniper Networks ได้ออกอัปเดตความปลอดภัยฉุกเฉินเพื่อแก้ไขช่องโหว่ของ Junos OS ที่กำลังถูกแฮ็กเกอร์ชาวจีนใช้โจมตีเพื่อเข้าถึงเราเตอร์ในลักษณะ backdoor เพื่อเข้าถึงเครือข่ายโดยไม่ถูกตรวจพบ (more…)

พบช่องโหว่ด้านความปลอดภัยระดับ Critical ใน Apache NiFi ซึ่งเป็นเครื่องมือโอเพนซอร์ส data integration ที่ได้รับความนิยม (more…)

กลุ่ม Ransomware ใหม่ที่ชื่อว่า 'Mora_001' กำลังใช้ประโยชน์จากช่องโหว่สองรายการใน Fortinet เพื่อเข้าถึงอุปกรณ์ Firewall โดยไม่ได้รับอนุญาต และติดตั้ง ransomware ที่ชื่อว่า SuperBlack (more…)

ผู้พัฒนาเบราว์เซอร์ Mozilla แนะนำให้ผู้ใช้งานทำการอัปเดต Firefox ให้เป็นเวอร์ชันล่าสุด เพื่อหลีกเลี่ยงปัญหาในการใช้งาน add-ons ต่าง ๆ อันเนื่องมาจาก root certificate ที่กำลังจะหมดอายุ (more…)

Meta ออกคำเตือนเกี่ยวกับช่องโหว่ด้านความปลอดภัยที่ส่งผลกระทบต่อ FreeType ซึ่งเป็นไลบรารีโอเพ่นซอร์สสำหรับการเรนเดอร์ฟอนต์ ที่กำลังถูกนำไปใช้ในการโจมตีจริง (more…)