พบความสามารถในการเข้าถึงข้อมูลส่วนบุคคลที่ร้ายแรงบน iPhone ซึ่งทำให้ผู้ไม่หวังดีสามารถเข้าโหมดถ่ายภาพและบันทึกวิดีโอโดยที่ผู้ใช้งานไม่รู้ตัว ช่องโหว่นี้ถูกค้นพบโดยนักพัฒนาชาวออสเตรียและวิศวกรของ Google Felix Krause ซึ่งระบุรายละเอียดลงในโพสต์บล็อกของเขา
การเข้าถึงกล้องบนแอพพลิเคชั่นมากมายเช่น Facebook, WhatsApp และ Snapchat ต้องมีการขอสิทธิ์เพื่อเข้าถึงกล้องของผู้ใช้ที่จะถ่ายภาพภายในแอพพลิเคชั่น แม้ส่วนนี้จะถูกมองว่าเป็นความสามารถของ Application แต่ก็สามารถถูกใช้เป็นช่องทางในการเข้าถึงความเป็นส่วนตัวของผู้ใช้จากผู้พัฒนาแอพพลิเคชั่นที่ไม่หวังดีด้วยเช่นกัน ส่งผลให้สามารถถ่ายภาพและบันทึกกิจกรรมของผู้ใช้ แล้วทำการอัพโหลดได้ทันที รวมทั้งสามารถเรียกใช้การตรวจจับใบหน้าเรียลไทม์(Face Detection) เพื่ออ่านลักษณะบนใบหน้าโดยไม่มีการแจ้งเตือนใดๆ โดยทั้งหมดนี้ส่งผลให้เกิดความไม่ปลอดภัยในเรื่องของความเป็นส่วนตัวสำหรับผู้ใช้งานได้โดยตรง
ทั้งนี้ Krause ก็ได้ทำการแจ้งไปยัง Apple เพื่อให้แนะนำวิธีที่สามารถกำหนดให้มีการใช้กล้องเพียงชั่วคราวภายในเวลาที่กำหนดเท่านั้น หรืออาจให้มีการแจ้งบนหน้าจอ หรือมีแสงไฟขึ้นเมื่อมีการใช้กล้องเพื่อผู้ใช้จะได้ทราบ อย่างเช่นการ Record Screen ที่จะมีแถบสีแดงขึ้น เป็นต้น และที่สำคัญที่สุดคือควรติดตั้ง Application ที่มาจาก App Store เท่านั้น รวมถึงควรจะอ่าน Review เกี่ยวกับ Application หรือ Developer จากผู้ใช้งานคนอื่นก่อนที่จะติดตั้ง อย่างไรก็ตามหากผู้ใช้งานคนไหนสะดวกที่ใช้วิธีติด Sticker ในส่วนของกล้องเหมือนกับ Mark Zuckerberg(Facebook CEO) และ James Comey(ex-FBI Director) ก็ถือเป็นทางเลือกหนึ่งในการป้องกันได้เช่นเดียวกัน

ที่มา : Thehackernews

McAfee บริษัทด้านความปลอดภัยไซเบอร์ ได้รายงานถึงการเพิ่มขึ้นของ Faceliker อย่างรวดเร็วในช่วงไตรมาสที่ 2 ที่ผ่านมา ซึ่งเป็นเรื่องที่น่าแปลกใจ

Faceliker เป็นมัลแวร์ที่จะทำการเพิ่มยอด like ให้กับ Content ที่ต้องการผ่านการสั่งงาน Javascript (click-jacking) มักจะพบว่าแฝงมากับโปรแกรมส่วนขยาย(Add-on) ของ Browser โดยเฉพาะส่วนขยายของ Chrome โดยผู้ใช้จะถูกล่อลวงให้ไปยังหน้าเว็บไซต์ที่หลอกให้ติดตั้งส่วนขยายเหล่านี้ผ่านทาง E-mail หรือสแปม บน Facebook Messenger ทั้งนี้ Faceliker ไม่ใช่มัลแวร์ใหม่แต่อย่างไร แต่ได้ปรากฎออกมาตั้งแต่ปีที่แล้ว

ผลกระทบจาก Faceliker Malware นั้นไม่มากมายนัก มีเพียงการที่ Page หรือ Post ของผู้ไม่หวังดีจะถูกพบเห็นบน Facebook News Feed ได้ง่ายขึ้นเท่านั้น แต่ก็อาจมีการพัฒนาให้ทำการขโมย Password บน Browser หรือทำการเพิ่มโฆษณาบนหน้าเวปไซต์ที่เข้าใช้งานปกติก็เป็นไปได้ แต่อย่างไรก็ตาม Facebook เองก็ได้คำนึงถึงจุดนี้จึงได้มี Feature ที่ให้ผู้ใช้งานสามารถเข้าไปดู Activity Log ของตนเอง เพื่อตรวจสอบว่ามีพฤติกรรมผิดปกติใดๆที่ตนเองไม่ได้กระทำหรือไม่ (โดยสามารถดูข้อมูลเพิ่มเติมได้จาก https://www.

นักวิจัยด้านความปลอดภัย Brad Duncan จาก Palo Alto Networks และ MalwareHunter ได้แจ้งเตือนถึงการตรวจพบการใช้ CDN (Content Delivery Network) ซึ่งเป็นลักษณะของเซิร์ฟเวอร์ซึ่งกระจายอยู่ทั่วโลกเพื่อให้ผู้ใช้งานสามารถเข้าถึงเนื้อหาต่างๆ ได้อย่างรวดเร็วของบริการที่มีชื่อเสียง อาทิ Facebook, Dropbox และ Google ในการเก็บไฟล์อันตรายหรือมัลแวร์เพื่อแพร่กระจาย สืบเนื่องมาจากหลายองค์กรหรือหลายระบบความปลอดภัยนั้นอนุญาตให้ผู้ใช้งานเข้าถึงข้อมูลซึ่งมาจากแหล่งเหล่านี้ได้

ในการโจมตีนั้น กลุ่มแฮกเกอร์ดังกล่าวจะทำการแนบลิงค์ของ CDN สำหรับดาวโหลดไฟล์ไปกับอีเมลซึ่งถูกปลอมแปลงให้มีลักษณะคล้ายกับอีเมลของหน่วยงานราชการ เมื่อผู้ใช้งานดาวโหลดไฟล์มัลแวร์จาก CDN แล้ว ไฟล์มัลแวร์ดังกล่าวจะเป็นไฟล์ลิงค์ (LNK) ที่ถูกบีบอัดให้เป็นไฟล์ RAR หรือ ZIP เมื่อผู้ใช้งานเปิดไฟล์ลิงค์ดังกล่าวแล้ว ไฟล์ลิงค์จะทำการรันคริปสต์ batch หรือ powershell เพื่อดาวโหลดและติดตั้งมัลแวร์ตัวจริงอีกครั้ง กระบวนการทั้งหมดมีชื่อเรียกอย่างไม่เป็นทางการว่าเทคนิค Squiblydoo

จุดที่น่าสนใจในการโจมตีนี้นั้นอยู่ที่การเลือกเป้าหมาย นักวิจัยด้านความปลอดภัยมีการค้นพบว่า มัลแวร์จะทำการตรวจสอบประเทศของเป้าหมายจากหมายเลขไอพีแอดเดรส ซึ่งหากเป้าหมายไม่ได้อยู่ในประเทศที่กำหนดไว้แล้วก็จะไม่ทำการดาวโหลดมัลแวร์เพื่อโจมตีด้วย ในขณะนี้บริการที่มีการใช้ CDN และถูกใช้ในการโจมตีได้ถูกดำเนินการตรวจสอบแล้ว ผู้ใช้ควรระมัดระวังการโจมตีในลักษณะเดียวกันกับบริการอื่นๆ ไว้ด้วย

ที่มา: bleepingcomputer

มีรายงานว่า CEO ของเฟสบุ๊คเครือข่ายสังคมออนไลน์ระดับโลก Mark Zuckerberg ถูกแฮกบัญชีผู้ใช้ในเว็บไซต์ต่างๆ ได้แก่ Pinterest, Twitter, Instagram และ Linkedin

โดยวันที่ 5 มิถุนายนที่ผ่านมา กลุ่มของแฮกเกอร์ที่ใช้ชื่อ OurMine Team ชาวซาอุดิอาราเบีย อ้างว่าสามารถแฮกบัญชีทวิตเตอร์ของ Mark Zuckerberg (@finkd) ได้และอธิบายว่านำรหัสผ่านที่เป็น SHA-1 ของ Mark มาจากไฟล์ที่รวมรหัสผ่านของ Linkedin ที่เป็นข่าวถูกแฮกตั้งแต่ปี 2012 ที่ผ่านมา นำมา Crack จนได้รหัส “dadada” และ Mark ใช้รหัสผ่านเดียวกันกับเว็บไซต์อื่นๆ ทำให้ถูกแฮก

อย่างไรก็ตามบัญชีทวิตเตอร์ของ Mark ไม่ได้ถูกใช้งานมาตั้งแต่ปี 2012 แล้วสำหรับผู้ใช้งานทั่วไปควรตั้งรหัสผ่านให้มีความแข็งแกร่ง ซับซ้อน และไม่ซ้ำกันกับเว็บไซต์อื่นๆ

ที่มา : thehackernews

Anand Prakash นักวิจัยด้านความปลอดภัยจากประเทศอินเดียพบช่องโหว่ Brute-force PIN Code ในขั้นตอนการ reset password ของ Facebook ส่งผลให้สามารถ takeover account หรือยึดบัญชีผู้ใช้ Facebook ของคนอื่นได้,
โดย Prakash ให้รายละเอียดว่าเมื่อผู้ใช้ลืมรหัสผ่านของ Facebook จะมีออฟชั่นให้เพื่อ reset password โดยใส่เบอร์โทรศัพท์และอีเมลเพื่อยืนยันการเป็นเจ้าของ Account จากนั้น Facebook จะส่ง code จำนวน 6 หลักมาให้กรอกเพื่อยืนยันและทำการตั้งรหัสผ่านใหม่ในขั้นตอนต่อไป, Prakash ได้ทำการทดลอง brute-force ตัวเลข 6 หลักไปที่ www.

ช่วงนี้หน้าวอลล์ Facebook ของเราอาจเห็นเพื่อนหลายคนเล่นแอพชื่อ “Most Used Words” ที่ช่วยวิเคราะห์ว่าเราพิมพ์คำไหนมากที่สุดเท่าที่ใช้งาน Facebook มา แอพตัวนี้ได้รับความนิยมอย่างสูงไปทั่วโลก มียอดแชร์มากกว่า 16 ล้านครั้งแล้ว

อย่างไรก็ตาม มีรายงานว่าแอพตัวนี้นำข้อมูลส่วนตัวของผู้ใช้ (ตามที่ขอตอนเรียกแอพครั้งแรกแต่คนมักไม่สนใจ) ไปขายต่อ ข้อมูลที่แอพดูดไปมีทั้งข้อมูลส่วนตัว, รายชื่อเพื่อน, รูปภาพ, ประวัติการไลค์, หมายเลขไอพี, และข้อมูลเกี่ยวกับอุปกรณ์ที่เราใช้งาน
แอพตัวนี้เป็นของบริษัทเกาหลีใต้ชื่อ Vonvon.

เมื่อวันอาทิตย์ที่ผ่านมา (01/11/2015) เว็บไซต์ vBulletin.com ถูกแฮกเกอร์ใช้นามแฝง Coldzer0 โจมตีด้วย 0day และเปลี่ยนหน้าเว็บไซต์เป็นคำว่า Hacked by Coldzer0

หลังจากนั้นไม่นานทางเว็บไซต์ vBulletin.

นักวิจัยด้านความปลอดภัย Stephen Sclafani ได้ค้นพบช่องโหว่ด้านความปลอดภัยที่สำคัญบน Facebook ที่อนุญาตให้แฮกเกอร์สามารถเข้าถึงบัญชีใดๆ ก็ได้ เพียงแค่ใช้ User ID ของเหยื่อ จากนั้นเขาสามารถอ่านข้อความส่วนตัว, ดูที่อยู่อีเมล์, สร้างหรือลบบันทึก รวมถึงเขาสามารถอัพเดตสถานะ, อัปโหลดภาพถ่ายและแท็กชื่อเพื่อนของเหยื่อได้
โดยเขาอธิบายในบล็อกของเขาว่า "misconfigured endpoint" อนุญาตให้ REST API เดิม เรียกใช้ facebook ในนามของผู้ใช้ใดๆ ก็ได้ โดยใช้เพียง User ID ของเหยื่อ

Stephen พบปัญหานี้ในวันที่ 23 เมษายนที่ผ่านมา และรายงานไปที่ Facebook และทาง Facebook ได้ทำการแก้ไขข้อผิดพลาดในวันที่ 30 เมษายน สำหรับการค้นหาและการรายงานข้อผิดพลาดดังกล่าว ทาง Facebook ได้มอบเงินรางวัลให้กับ Stephen จำนวน 20,000 ดอลล่าร์

ที่มา : ehackingnews

ข้อความหลอกลวง “ขอให้ไปสู่สุขคติ” หรือ “Rest in Peace” บนโซเชียลมีเดียยังคงเพิ่มขึ้นอย่างต่อเนื่อง คนดังหลายคนถูกอ้างว่าเสียชีวิตในข้อความหลอกลวงที่นำออกเผยแพร่ในช่วงที่ผ่านมา โดยข้อความดังกล่าวจะมีลิงค์เชื่อมโยงไปยังวิดีโอ ก่อนที่ผู้ใช้จะเห็นวิดีโอนั้น เขาจะถูกหลอกให้แชร์ข้อความดังกล่าวให้เพื่อนๆ ทุกคน เพื่อแพร่กระจายข้อความหลอกลวงในวงกว้าง ภายหลังการแชร์ข้อความโพสต์ ผู้ใช้จะยังคงไม่สามารถดูวิดีโอของปลอมได้ แต่จะถูกนำไปยังเว็บไซต์โฆษณา และหลอกให้คุณกรอกแบบสอบถาม และดาวน์โหลดปลั๊กอิน ซึ่งเป็นโค้ดที่แฮกเกอร์ได้สร้างขึ้น

ตอนนี้ผู้หลอกลวงบางรายมุ่งเน้นเรื่องราวของพอล วอคเกอร์ และโรเจอร์ โรดาส ซึ่งเสียชีวิตในอุบัติเหตุทางรถยนต์เมื่อไม่นานมานี้ แม้ว่าเรื่องราวนี้จะเป็นเรื่องจริง แต่ผู้หลอกลวงใช้กรณีการเสียชีวิตที่น่าเศร้านี้เพื่อเผยแพร่วิดีโอปลอมที่อ้างว่าเป็นภาพวิดีโอซึ่งไม่เคยเผยแพร่ที่ไหนมาก่อน โดยแฮกเกอร์กลุ่มหนึ่งที่มีความเชี่ยวชาญใช้ Java Script ที่ระบุตำแหน่งที่ตั้ง IP อย่างง่ายๆ ก็จะสามารถระบุตำแหน่งที่ตั้งของผู้ใช้ และเปลี่ยนทิศทางเบราว์เซอร์ไปยังแอพ Facebook ที่เป็นอันตราย

อย่างไรก็ดี ในบางครั้งการเปลี่ยนทิศทางดังกล่าวอาจข้ามคำเตือนของ Facebook เกี่ยวกับ URL อันตราย เมื่อผู้ใช้คลิกที่ลิงค์ในข้อความโพสต์บน Facebook เบราว์เซอร์จะถูกเปลี่ยนทิศทางไปยังสคริปต์การถ่ายโอนข้อมูล หาก Facebook คิดว่า URL ปลายทางมีลักษณะน่าสงสัย ก็จะแสดงข้อความคำเตือน เพื่อแจ้งผู้ใช้ให้ระมัดระวัง ซึ่ง Facebook พยายามอย่างเต็มที่ที่จะปิดลิงค์ดังกล่าวโดยเร็วที่สุด

ที่มา : iT24Hrs 

นักวิจัยความปลอดภัย Reginaldo Silva ค้นพบบั๊กในโมดูล OpenID ของ Drupal เมื่อปี 2013 รายงานบั๊กในระบบ OpenID ของ facebook ทำให้ผู้ใช้สามารถรันคำสั่งใดๆ ก็ได้บนเซิร์ฟเวอร์ของ facebook จากระดับความร้ายแรงของบั๊กทำให้เขาได้รับเงินรางวัลถึง 33,500 ดอลลาร์ หรือประมาณหนึ่งล้านบาท
ทีมวิศวกรของ facebook แก้ปัญหานี้ภายในเวลาไม่กี่ชั่วโมงหลังได้รับรายงาน

เมื่อวันที่ 19 พฤศจิกายนที่ผ่านมา นักวิจัยรายงานบั๊กไปยัง facebook ครั้งแรกและเกือบสองชั่วโมงต่อมา facebook ก็ติดต่อกลับมาซึ่งทางนักวิจัยได้ส่งตัวอย่างการโจมตีไปให้ภายใน 10 นาที ทีมงานแก้ปัญหาภายใน 2 ชั่วโมงและตอบมาว่ากำลังนำขึ้นระบบจริงภายในครึ่งชั่วโมง

จากรายงานกล่าวว่า ทาง Facebook ได้มีการพิจารณาเงินรางวัลใช้เวลากว่าหนึ่งเดือน ในการพิจารณาความร้ายแรงของปัญหานั้น และตัดสินใจจัดเป็นบั๊กที่มีโอกาสจะเป็นบั๊ก remote code execution (RCE) โดยไม่ยอมรับว่าเป็นบั๊ก RCE ตรงๆ

ที่มา : thehackernews