Google ได้ทำการแก้ไข 2 ช่องโหว่สำคัญ (critical) ที่เกี่ยวกับ remote code execution และช่องโหว่ระดับความรุนแรงสูง (high) 9 ช่องโหว่ ที่เกี่ยวกับการยกระดับสิทธิ์ และช่องโหว่การเปิดเผยข้อมูล ของ Android Open Source Project (AOSP) ซึ่งเป็นแหล่งรวบรวมข้อมูล และ Source Code สำหรับให้นักพัฒนา Android นำไปใช้งาน เมื่อช่วงต้นเดือนที่ผ่านมา

CVE-2019-2027 และ CVE-2019-2028 เป็นช่องโหว่ที่สำคัญที่ส่งผลกระทบต่อ Media framework ซึ่งอาจทำให้ผู้โจมตีสามารถสั่งรันโค้ดอันตรายบนระบบได้ ส่งผลกระทบต่อ Android 7.0 หรือใหม่กว่าทั้งหมด ช่องโหว่อีก 9 ช่องโหว่เป็นการยกระดับสิทธิ์เพื่อเปิดเผยข้อมูล (CVE-2019-2026) ส่งผลกระทบต่ออุปกรณ์ Android 8.0 หรือใหม่กว่า ผู้ใช้งานควรทำการอัพเดตแพทซ์ล่าสุดเพื่อลดความเสี่ยง

ที่มา: bleepingcomputer.

นักวิจัยได้มีการเปิดเผยข้อมูลเกี่ยวกับ Phishing Campaign ล่าสุดที่พุ่งเป้าไปยังผู้ใช้งาน Online banking มีการพยายามปลอมเป็น Google เพื่อขโมยข้อมูลสำคัญ

จากรายงานของนักวิจัยจาก Sucuri ระบุว่าผู้โจมตีมีเป้าหมายเป็นผู้ใช้งานและธนาคารในโปแลนด์ โดยอาศัยการแอบอ้างว่าเป็นระบบ Google reCAPTCHA
อีเมลดังกล่าวจะมีเนื้อหาที่แจ้งว่าพบการทำรายการ (transaction) ที่ผิดปกติ หากพบว่าเป็นรายการที่ไม่ถูกต้องให้กดปุ่ม "verify" เพื่อยืนยันความผิดปกติที่เกิดขึ้น แทนที่จะใช้เป็นการเปลี่ยนเส้นทาง (redirect) ไปยังหน้าปลอมของธนาคารเหมือนการหลอกลวงอื่นๆ แต่กลับเป็นการเปิด PHP ที่จะแสดงหน้า error 404 ปลอมขึ้นมาแทน หน้าดังกล่าวจะมีสคริปต์สำหรับตรวจสอบว่าเป็นการเรียกจาก Google crawler หรือไม่ หากพบว่าไม่ใช่ก็จะแสดงหน้า Google reCAPTCHA ที่ถูกเขียนด้วย JavaScript และ HTML ขึ้นมา หากเหยื่อหลงเชื่อกด CAPTCHA สคริปต์จะทำการตรวจสอบว่าเรียกมาจากอุปกรณ์ใด หากเป็น Android จะมีการดาวน์โหลดไฟล์ .apk หากไม่ใช่จะทำการดาวน์โหลด .zip แทน แต่จากตัวอย่างที่พบส่วนมากจะเป็นมัลแวร์บน Android โดยตัวมัลแวร์จะทำการเก็บข้อมูลสถานะของอุปกรณ์มือถือ, ตำแหน่งที่ใช้งาน และรายชื่อผู้ติดต่อ, มีการตรวจสอบรายการข้อความบนเครื่อง และทำการส่งข้อความ หรือโทรศัพท์ออกไปผ่านเครื่องของเหยื่อ, มีการบันทึกเสียงผู้ใช้งาน รวมถึงขโมยข้อมูลสำคัญอื่นๆ ออกไป

มัลแวร์ดังกล่าวถูกตรวจจับได้แล้วด้วย anti-virus หลายๆ ตัว ที่มีการให้ signature แตกต่างกันออกไป ยกตัวอย่างเช่น Banker, BankBot, Evo-gen, Artemis และอื่นๆ การหลีกเลี่ยงที่จะตกเป็นเหยื่อ ผู้ใช้งานควรจะมีการสังเกตและตรวจสอบความถูกต้องของอีเมลที่ได้รับมาทั้งชื่อผู้ส่ง (sender), เนื้อหา (content) และลิงก์ที่ถูกระบุมาในอีเมลว่าถูกต้องจริงๆ หรือไม่ก่อนทำการเปิดไฟล์แนบ หรือกดลิงก์ใดๆ

ที่มา: www.

พบมัลแวร์ใหม่ที่ปลอมตัวเป็นโปรแกรม Google Update เพื่อขโมยข้อมูล และติดตั้งมัลแวร์เพิ่มเติม

นักวิจัยด้านความปลอดภัยจาก Minerva Labs ตรวจพบมีการขโมยข้อมูลโดยใช้โทรจัน AZORult ซึ่งโทรจันดังกล่าวจะทำการปลอมตัวเป็นโปรแกรม Google Update เมื่อติดตั้งบนเครื่องเหยื่อแล้ว มัลแวร์จะแทนที่การทำงานของ Google Update ตัวจริง

โปรแกรมดังกล่าวถูกพัฒนาให้มีรูปแบบที่เหมือนกับโปรแกรมที่ถูกต้องของ Google เช่นมีการใช้ไอคอนของ Google และมีการรับรอง (signed) ด้วยใบรับรอง (certificate) ที่ยังไม่หมดอายุ แต่จากการตรวจสอบเพิ่มเติมอย่างละเอียดพบว่า ใบรับรอง (certificate) ดังกล่าวออกให้กับ "Singh Agile Content Design Limited" แทนที่จะเป็นการออกให้กับ "Google" โดยออกเมื่อวันที่ 19 พฤศจิกายน

หลังจากการวิเคราะห์อย่างละเอียดพบว่ามัลแวร์ AZORult มีรูปแบบการทำงาน ดังต่อไปนี้

- ส่งคำขอ HTTP POST ไปที่ /index.

ระหว่างปี 2015 และมีนาคม 2018 พบช่องโหว่ใน Google Plus เครือข่ายสังคมออนไลน์ของ Google ที่ส่งผลให้ข้อมูลส่วนตัว อาทิเช่น ชื่อผู้ใช้ ที่อยู่อีเมล วันเดือนปีเกิด เพศ รูปถ่าย ที่อยู่อาศัย สถานภาพความสัมพันธ์และอาชีพ ถูกเปิดเผยไปยังนักพัฒนาซอฟต์แวร์จากความผิดพลาดของ API

รายงานระบุว่าในเดือนมีนาคม 2018 Google เลือกที่จะไม่เปิดเผยต่อสาธารณชนว่า บริษัทไม่สามารถปกป้องข้อมูลส่วนบุคคลของผู้ใช้เป็นเวลาหลายปี เนื่องจากในช่วงเวลาดังกล่าว Facebook ที่เป็นคู่แข่งอยู่กำลังมีข่าวเกี่ยวกับการนำข้อมูลไปใช้โดยไม่ได้รับอนุญาตของ Cambridge Analytica อย่างไรก็ตามในที่สุดเมื่อเดือนตุลาคมที่ผ่านมา Google ก็ออกมายอมรับถึงปัญหาดังกล่าว พร้อมทั้งระบุว่ามีผู้ใช้งานประมาณ 5 แสนบัญชีที่ได้รับผลกระทบ และมีแอพพลิเคชั่น 438 รายการเข้าถึงข้อมูลดังกล่าวโดยไม่ได้รับอนุญาต โดย Google ได้ออกมาประกาศว่าจะทำการปิดตัว Google Plus ปลายเดือนสิงหาคม 2019

แค่นั้นยังไม่พอ ล่าสุด Google ออกมายอมรับว่าในขณะนี้ Google Plus ได้มีปัญหาด้านความปลอดภัยอื่นๆ ส่งผลให้ข้อมูลของผู้ใช้งาน 52 ล้านบัญชี สามารถถูกเข้าถึงโดยแอพพลิเคชั่นและนักพัฒนาซอฟต์แวร์ของบริษัทอื่นโดยไม่ได้รับอนุญาต

ดังนั้นถ้าหากคุณเป็นหนึ่งในผู้ใช้งานที่มีบัญชีของ Google Plus ข้อมูลของคุณ เช่น ชื่อ อีเมล อาชีพหรืออื่นๆ ซึ่งแม้จะตั้งไว้เป็น "not public" ข้อมูลเหล่านั้นก็จะสามารถเข้าถึงได้โดยบุคคลที่ไม่ได้รับอนุญาต และล่าสุด Google ได้ออกมาประกาศอีกครั้งว่าจะปิดตัว Google Plus แต่จะปิดในเดือนเมษายน 2019 แทนที่จะเป็นเดือนสิงหาคม 2019 ซึ่งเร็วกว่าประกาศเดิม 5 เดือน

ที่มา : GRAHAM CLULEY

พบปัญหาใน Gmail ที่ส่งผลต่อผู้ใช้งานผ่านเว็บ ทำให้สามารถปกปิดอีเมลของผู้ส่งได้ ซึ่งอาจถูกใช้เป็นเครื่องมือจากผู้ไม่หวังดี

การปลอมแปลงข้อมูลในส่วนของ From ด้วยการแทรก Tag object, script หรือ img เข้าไปแทน ทำให้ข้อมูลอีเมลของผู้ส่งกลายเป็นค่าว่าง ส่งผลให้ผู้ใช้งานที่ได้รับอีเมลไม่สามารถระบุคนส่งได้ และสามารถถูกใช้โดยผู้ไม่หวังดีในการส่งอีเมลฟิชชิ่งได้

Tim Cotten เป็นผู้ค้นพบว่าปัญหาดังกล่าว จากการทดสอบโดยใช้เป็นวิธีการ reply email ก็ไม่สามารถช่วยให้เห็นข้อมูลของผู้ที่ส่งมาได้ รวมถึงการเปิดดูจากเมนู Show Original ก็ไม่สามารถแสดงอีเมลของผู้ส่งได้เช่นเดียวกัน แต่อย่างไรก็ตามจากการทดสอบโดยดูจาก raw data พบว่ามีข้อมูลอีเมลของผู้ส่งฝังอยู่ด้านหลัง Tag img

Tim Cotten ได้ทำการแจ้งเตือนข้อผิดพลาดดังกล่าวไปยัง Google เป็นที่เรียบร้อยแต่ยังไม่ได้รับการตอบกลับจาก Google

ที่มา :bleepingcomputer.

Google ได้เริ่มทยอยปล่อย patch ด้านความปลอดภัยของ Android ประจำเดือนพฤศจิกายนให้กับผู้ให้บริการและผู้ผลิตอุปกรณ์ชุดใหม่เพื่อติดตั้ง สำหรับผู้ใช้งานคาดว่าจะเริ่มทยอยปล่อยในอีกไม่ช้า

Google แก้ไขช่องโหว่ 3 ช่องโหว่ เกี่ยวข้องกับการ Remote Code Execution (RCE) ได้รับการจัดอันดับความรุนแรงเป็น critical 2 ช่องโหว่ (CVE-2018-9527, CVE-2018-9531) และความรุนแรง high อีก 1 ช่องโหว่ (CVE-2018-9521) นอกจากนี้ยังมีการแก้ไขช่องโหว่เกี่ยวกับการยกระดับสิทธิ์ (Privilege Escalation) อีก 2 ช่องโหว่ (CVE-2018-9536, CVE-2018-9537) จัดอยู่ในระดับความรุนแรง critical เช่นกัน โดยช่องโหว่ทั้งหมด พบได้ในส่วนของมีเดีย framework บน Android

ทั้งนี้ส่วนที่น่าจะได้รับความสนใจสำหรับแพทช์ในรอบนี้น่าจะเป็นช่องโหว่ 18 รายการ ที่เกี่ยวข้องกับไลบรารี่ Libxaac ของ Android นอกเหนือจากนี้ยังมีการแก้ไขช่องโหว่ในส่วนของ Qualcomm CPU ที่ถูกใช้ในอุปกรณ์ของ Android ด้วย แต่ยังไม่มีการให้รายละเอียดเพิ่มเติมใดๆ เนื่องจาก Qualcomm จะเป็นผู้ให้ข้อมูลเอง

ที่มา: theregister

Google ได้เปิดตัวเทคโนโลยี reCAPTCHA v3 เป็นเวอร์ชันที่มีการปรับปรุงใหม่ของเทคโนโลยี reCAPTCHA

ข่าวดีก็คือเวอร์ชั่นใหม่นี้ไม่จำเป็นต้องรอให้ผู้ใช้เลือกหรือพิมพ์อะไรเลย ต่างจากใน reCAPTCHA v1 ที่ผู้ใช้ต้องพยายามอ่านข้อความที่ถูกบิดเบือนจากภาพ และใน v2 ที่อาจรู้สึกรำคาญเมื่อต้องคลิกภาพที่ไม่มีที่สิ้นสุดของ "store fronts" "roads" และ "cars" แต่ reCAPTCHA v3 จะใช้เทคโนโลยีที่คิดค้นโดย Google ที่จะเรียนรู้ว่าอะไรคือการเข้าใช้งานเว็บไซต์ตามปกติ และอะไรเป็นพฤติกรรมปกติของผู้ใช้งาน จากการสังเกตว่าผู้ใช้ทั่วไปมีปฏิสัมพันธ์กับเว็บไซต์และส่วนต่างๆของเว็บไซต์อย่างไร Google จะสามารถตรวจพบความผิดปกติ และสามารถระบุได้ว่าเป็นบอทหรือการกระทำที่ผิดปกติหรือไม่

ผู้เข้าชมเว็บไซต์จะได้รับ "risk scores" ตามแหล่งที่มาหรือการกระทำที่พวกเขาทำบนเว็บไซต์ โดยมีคะแนนจาก 0.1 (แย่) ถึง 1 (ดี) ซึ่งผู้ดูแลระบบสามารถตัดสินใจว่าเว็บไซต์ของตนจะตอบสนองตาม risk scores อย่างไร โดยสิ่งที่ผู้ดูแลระบบต้องทำคือเพิ่มแท็ก "action" ใหม่ลงในหน้าเว็บที่ต้องการป้องกัน และจาก risk scores ที่กำหนดไว้จะช่วยให้ผู้ดูแลระบบสามารถตัดสินใจได้ว่าจะให้ทำอย่างไรเมื่อพบการใช้งานที่ต้องสงสัย เช่น ให้พิสูจน์ตัวตน (verification) ผ่านโทรศัพท์ก่อนที่จะอนุญาตให้ดำเนินการต่อไปได้ และ Google ยังได้ระบุว่าเวอร์ชั่นใหม่นี้สามารถถูกนำมาใช้เป็นทางเลือกสำหรับตรวจสอบการใช้งานของเว็บไซต์ที่เป็น local site ได้ด้วย

ทั้งนี้ระบบใหม่นี้จะมีความซับซ้อนมากขึ้นเมื่อเทียบกับ reCAPTCHA v2 แต่เจ้าของเว็บไซต์สามารถทดสอบการใช้งานตั้งแต่เดือนพฤษภาคมที่ผ่านมาแล้ว และประโยชน์ที่เห็นได้ชัดของ reCAPTCHA v3 คือเจ้าของเว็บไซต์สามารถควบคุมและตัดสินใจว่าเว็บไซต์ของตนจะตอบสนองยังไงต่อพฤติกรรมของบอทและการเข้าชมที่ไม่เหมาะสม โดยไม่ต้องให้ Google เป็นคนตัดสินใจให้

reCAPTCHA v3 จะปล่อยให้ใช้งานจริงในปลายสัปดาห์นี้ ผู้สนใจสามารถติดตามข้อมูลได้จากเว็บไซต์ของ Google ตามลิงค์ด้านล่าง

ลิงค์ --> https://webmasters.

Google จะเปลี่ยนนโยบายของ Play Strore หลังจากที่มีการรั่วไหลข้อมูลของ Google+

Google ได้เปิดตัวนโยบาย Play Strore ใหม่ เพื่อป้องกันแอพพลิเคชั่นบนมือถือไม่ให้รวบรวมบันทึกการโทรและข้อความของผู้ใช้
การตัดสินใจเปลี่ยนแปลงนโยบายนี้เกิดขึ้นหลังจากการรั่วไหลของข้อมูล Google+ ซึ่งได้เปิดเผยข้อมูลที่สำคัญของผู้คนนับล้านทั่วโลก การเปลี่ยนแปลงนโยบายในครั้งนี้ส่งผลให้นักพัฒนาที่ก่อนหน้านี้ได้รับอิสระในการจัดการแพลตฟอร์มถูกจำกัดสิทธิ์เพิ่มมากขึ้น

Google กล่าวว่าเฉพาะแอพพลิเคชั่นที่ผู้ใช้เลือกเป็น "แอพพลิเคชั่นเริ่มต้น (default apps)" และมีความสามารถในการเข้าถึงบันทึกการโทรและข้อความเท่านั้นที่จะสามารถขอการเข้าถึงข้อมูลดังกล่าวได้ นโยบายใหม่นี้มีผลบังคับใช้ตั้งแต่เมื่อวันที่ 9 ตุลาคมที่ผ่านมา อย่างไรก็ตาม Google ได้ให้เวลา 90 วันแก่นักพัฒนาเพื่ออัพเดทแอพพลิเคชั่นของตนเองให้เป็นไปตามข้อกำหนดตามนโยบายใหม่แอพพลิเคชั่นใดๆ ก็ตามที่จำเป็นต้องเข้าถึงข้อมูลดังกล่าวโดยตรงจำเป็นที่จะต้องถูกเปลี่ยนไปใช้ API ที่เป็นทางเลือกอื่นๆ เช่น SMS Retriever API, SMS Intent API, Share Intent API หรือ Dial Intent API แทน

นโยบายใหม่ที่ Google ออกมานี้เป็นนโยบายที่พยายามคำนึงถึงผู้ใช้งานเป็นหลักและช่วยปกป้องความเป็นส่วนตัวของพวกเขาขณะที่เพิ่มข้อจำกัด สำหรับนักพัฒนาแอพพลิเคชั่น
ประกาศจาก Google : [https://play.

เมื่อสัปดาห์ที่แล้วหลังจากที่มีข่าวว่า Google ยังสามารถทำการติดตามการไปที่ต่างๆของผู้ใช้งานแม้จะปิดฟังค์ชันปิดไปแล้วก็ตาม ตอนนี้ได้มีการเปิดเผยว่ามีการเซ็นสัญญาแบบลับๆกับบริษัท Mastercard

เชื่อว่า Google ได้จ่ายเงินหลายล้านดอลล่าเพื่อแลกเปลี่ยนกับการเข้าถึงข้อมูลนี้ ทั้ง Google และ Mastercard ไม่มีการเปิดเผยการเป็นพันธมิตรทางธุรกิจนี้ออกมา แต่ธุรกิจนี้ได้ถูกเปิดเผยออกมาโดย Bloomberg เชื่อว่าการดำเนินการดังกล่าวนี้สามารถบรรลุข้อตกลงกันได้หลังจากที่ได้มีการเจรจาต่อรองกันมา 4 ปี ทำให้ Google จะได้รับข้อมูลการทำธุรกรรมของชาวอเมริกัน ซึ่งจะถูกเข้ารหัสก่อนส่งมา

โดย Google ได้ทำการเพิ่มข้อมูลใส่ไปในเครื่องมือสำหรับโฆษณาโดยตั้งชื่อว่า Store Sales Measurement และปัจจุบันกำลังทดสอบเครื่องมือกับกลุ่มเล็กๆของผู้โฆษณาในการโฆษณาบนโลกออนไลน์ ปีที่แล้ว Google ประกาศว่าบริการ Store Sales Measurement service มีการเข้าถึงข้อมูลประมาณ 70% ของบัตรเครดิตและบัตรเดบิต แต่ไม่ได้มีการเปิดเผยชื่อ จากที่ได้กล่าวมาทำให้เชื่อว่าไม่ใช่มีแค่ Mastercard แต่ Google มีข้อตกลงกับ บริษัทบัตรเครดิตอื่น ๆ เช่นกัน ซึ่งทั้งหมดเป็นข้อมูลการทำธุรกรรมในประเทศสหรัฐอเมริกา แต่ดูเหมือนว่าผู้ใช้สามารถที่จะเลือกเอาการติดตามของโฆษณาแบบออฟไลน์ออกได้โดยการเลือกปิด "Web and App Activity" ในบัญชี Google ของพวกเขา

Mastercard ได้ออกมาปฏิเสธแล้วว่าบริษัทไม่ได้มีการให้ข้อมูลส่วนบุคคลใดๆ กับบุคคลที่สาม และ Google เองก็ได้มีการออกมาระบุว่า บริษัทไม่ได้มีการเข้าถึงข้อมูลส่วนบุคคลใดๆ ของบริษัทที่เป็นพันธมิตร และไม่มีการแบ่งปันข้อมูลส่วนบุคคลใดๆ ให้กับบริษัทพันธมิตรเช่นเดียวกัน

ที่มา: thehackernews

Google เตือนธุรกิจต่างๆให้ระวัง Phishing Attack ที่มีรัฐบาลหนุนหลัง

การโจมตีแบบฟิชชิ่งอาจไม่ใช่ปัญหาใหม่ แต่ก็ไม่ใช่เรื่องง่ายที่บริษัทจะป้องกันการโจมตี ซึ่งเป็นเรื่องสำคัญของความปลอดภัยที่จะต้องสนใจ ไม่เสมอไปที่ผู้โจมตีจะต้องใช้ช่องโหว่ zero day หรือเขียนมัลแวร์ที่มีความสามารถในการดักจับการพิมพ์ (keystroke) แต่ทั้งหมดที่ต้องทำคือหลอกล่อให้ผู้ใช้งานคลิ๊กไปยังเว็บไซต์ที่ดูเหมือนจะน่าเชื่อถือ เพื่อที่จะขโมยรหัสผ่าน

เมื่อไม่นานมานี้มีการโจมตีแบบฟิชชิ่งเป็นจำนวนมากซึ่งดูเหมือนว่าแฮกเกอร์ได้รับการหนุนหลังจากหน่วยงานรัฐบาล การโจมตีแบบฟิชชิ่งนี้อาจพบได้น้อยกว่าการขโมยข้อมูลส่วนตัวและอาชญากรออนไลน์ทั่วไป แต่อย่างไรก็ตามการรั่วไหลของข้อมูลก็ยังคงที่เป็นที่ต้องติดตามและให้ความสนใจ ฟิชชิ่งแบบที่มีรัฐบาลหนุนหลังนั้นอาจจะมีเป้าหมาย เช่น นักข่าว นักวิจารณ์การเมือง และองค์กรต่าง ๆ อย่างไรก็ตามหากไม่สามารถได้ข้อมูลที่ต้องการจากบัญชี Gmail ของบุคคลเหล่านี้ได้ ก็อาจะทำการเปลี่ยนเป้าหมายเป็นคนใดคนหนึ่งที่ทำงานอยู่ในองค์กรแทน

ธุรกิจกว่า 4 ล้านรายทั่วโลก มีการใช้งาน G Suite ที่ประกอบด้วยเครื่องมือหลากหลายใช้งานอยู่บนระบบ Cloud ของ Google ที่ถูกออกแบบมาเพื่อให้พนักงานทำงานอย่างมีประสิทธิภาพ ซึ่งไม่ต้องแปลกใจเลยว่าเหตุใดจึงเป็นที่สนใจของหน่วยงานและรัฐบาลทั่วโลก และเพื่อปกป้องลูกค้าขององค์กรให้ดียิ่งขึ้น เมื่อต้นเดือนที่ผ่านมา Google ได้ประกาศว่าให้ผู้ดูแลระบบ G Suite สามารถรับคำเตือนเมื่อ Google เชื่อว่าผู้บุกรุกที่ได้รับการสนับสนุนจากรัฐบาลมีความพยายามที่จะเข้าถึงข้อมูลผู้ใช้หรือเข้าถึงคอมพิวเตอร์โดยใช้วิธีการฟิชชิ่งหรือวิธีอื่น ๆ

ที่มา: Business Insights