พบแคมเปญมัลแวร์ StrelaStealer กำลังมุ่งเป้าโจมตีเพื่อขโมยข้อมูลบัญชีอีเมล โดยส่งผลกระทบต่อองค์กรกว่า 100 แห่งทั่วสหรัฐอเมริกา และยุโรป

StrelaStealer ถูกพบครั้งแรกในเดือนพฤศจิกายน 2022 โดยเป็นมัลแวร์สำหรับขโมยข้อมูลตัวใหม่ที่มีความสามารถในการขโมยข้อมูลบัญชีอีเมลจาก Outlook และ Thunderbird โดยมีความสามารถเด่น คือการใช้วิธีการติดมัลแวร์แบบ polyglot file (การรวมรูปแบบไฟล์สองรูปแบบขึ้นไปเข้าด้วยกันในลักษณะที่แต่ละรูปแบบสามารถทำงานได้โดยไม่มีข้อผิดพลาด เช่นไฟล์ JAR และ MSI) เพื่อหลบเลี่ยงการตรวจจับจากซอฟต์แวร์รักษาความปลอดภัย

ในช่วงแรกมัลแวร์ StrelaStealer มุ่งเป้าหมายการโจมตีไปยังผู้ใช้งานชาวสเปนเป็นส่วนใหญ่

ต่อมาตามรายงานล่าสุดโดย Unit42 ของ Palo Alto Networks พบว่ามัลแวร์ StrelaStealer ได้เปลี่ยนแปลงเป้าหมายการโจมตีไปยังผู้ใช้งานจากสหรัฐอเมริกาและยุโรปแทน

รวมถึงพบว่า StrelaStealer ได้เผยแพร่ผ่านทางแคมเปญฟิชชิ่งเพิ่มขึ้นอย่างมากในเดือนพฤศจิกายน 2023 โดยพบว่าได้มีการกำหนดเป้าหมายไปที่องค์กรมากกว่า 250 แห่ง จนถึง 500 แห่งในสหรัฐอเมริกา รวมถึงพบการกำหนดเป้าหมายอย่างน้อย 100 แห่งในยุโรป ซึ่งปริมาณการโจมตีผ่านแคมเปญฟิชชิ่งเพิ่มขึ้นอย่างต่อเนื่องจนถึงปี 2024 ตามข้อมูลการบันทึกกิจกรรมระหว่างปลายเดือนมกราคม 2024 ถึงต้นเดือนกุมภาพันธ์ 2024 ของนักวิเคราะห์ของ Unit42 ซึ่ง StrelaStealer ใช้ภาษาอังกฤษ และภาษายุโรปอื่น ๆ เพื่อปรับใช้ตามการโจมตีเป้าหมาย

ซึ่งหน่วยงานเป้าหมายในการโจมตีส่วนใหญ่เป็นองค์กรทางด้านเทคโนโลยีขั้นสูง ตามด้วยภาคส่วนต่าง ๆ เช่น ภาคการเงิน บริการด้านกฎหมาย ภาคการผลิต รัฐบาล สาธารณูปโภคและพลังงาน ประกันภัย และการก่อสร้าง

วิธีการโจมตีรูปแบบใหม่

วิธีการติดมัลแวร์แบบเดิมของ StrelaStealer ตั้งแต่ปลายปี 2022 คือการส่งอีเมลที่แนบไฟล์ .ISO ที่มีไฟล์ .Lnk shortcut และไฟล์ HTML ซึ่งใช้หลายภาษาเพื่อเรียกใช้ 'rundll32.exe' และดำเนินการเพย์โหลดของมัลแวร์

ต่อมาได้เปลี่ยนมาใช้วิธีการโจมตีโดยใช้ไฟล์แนบ ZIP เพื่อวางไฟล์ JScript บนระบบของเหยื่อ ซึ่งเมื่อวางไฟล์สำเร็จ สคริปต์จะปล่อย batch file และ base64-encode ซึ่งจะถอดรหัสเป็นไฟล์ DLL และดำเนินการผ่าน rundll32.exe อีกครั้งเพื่อปรับใช้เพย์โหลด StrelaStealer รวมถึงยังใช้วิธีการโจมตีที่สร้างความสับสนในระหว่างการโจมตีเพื่อทำให้การวิเคราะห์การโจมตียากยิ่งขึ้น และลบ PDB string เพื่อหลบเลี่ยงการตรวจจับโดยเครื่องมือที่ใช้ signature ในการตรวจจับ โดยฟังก์ชันหลักของ StrelaStealer ยังคงเหมือนเดิม นั่นคือเพื่อขโมยข้อมูลการเข้าสู่ระบบอีเมลจากไคลเอนต์อีเมลยอดนิยม และส่งไปยัง command and control (C2) server ของ Hacker

ดังนั้นผู้ใช้งานจึงควรระมัดระวังเมื่อได้รับอีเมลไม่พึงประสงค์ที่อ้างว่าเกี่ยวข้องกับการชำระเงิน หรือใบแจ้งหนี้ และหลีกเลี่ยงการดาวน์โหลดไฟล์แนบจากผู้ส่งที่ไม่รู้จัก เพื่อป้องกันการโจมตี

ที่มา : bleepingcomputer

แอปพลิเคชัน Instagram และ Facebook จะมีลิงก์เว็บไซต์ และโฆษณาต่าง ๆ มากมายภายในแอป โดยเมื่อผู้ใช้คลิกลิงก์เพื่อเปิดเว็บไซต์ แอปพลิเคชันจะเปิดเว็บไซต์ผ่านเว็บเบราว์เซอร์ของมันเอง ซึ่งจะมีการแทรกโค้ด JavaScript (connect.

Google เปิดตัว Chrome เวอร์ชัน 86.0.4240.183 สำหรับ Windows, Mac และ Linux เพื่อแก้ไขช่องโหว่ด้านความปลอดภัย 10 รายการรวมถึงช่องโหว่การเรียกใช้โค้ดจากระยะไกล (Rmote Code Execution - RCE) แบบ Zero-day หลังพบผู้ประสงค์ร้ายพยายามใช้ประโยชน์จากช่องโหว่ทำการโจมตี

ช่องโหว่ CVE-2020-16009 เป็นช่องโหว่ในการใช้งานที่ไม่เหมาะสมใน V8 ซึ่งเป็นเอ็นจิ้น JavaScript โอเพ่นซอร์สของ Chrome ซึ่งจะทำให้ผู้โจมตีสามารถดำเนินการเรียกใช้โค้ดจากระยะไกลได้ผ่านหน้า HTML ที่สร้างขึ้นมาเป็นพิเศษ นอกจากนี้ Google ยังแก้ไขช่องโหว่ CVE-2020-17087 ช่องโหว่การยกระดับสิทธ์ในเคอร์เนล, CVE-2020-16004, CVE-2020-16005, CVE-2020-16006, CVE-2020-16007, CVE-2020-16008 และ CVE-2020-16011 ใน Chrome เวอร์ชัน 86.0.4240.183

ทั้งนี้ผู้ใช้ควรทำการอัปเดต Google Chrome เป็นเวอร์ชัน 86.0.4240.183 หรือเวอร์ชันใหม่ล่าสุด โดยเข้าไปที่การตั้งค่า -> ความช่วยเหลือ -> เกี่ยวกับ Google Chrome จากนั้นเว็บเบราว์เซอร์จะทำการตรวจสอบการอัปเดตใหม่โดยอัตโนมัติและติดตั้งเมื่อพร้อมใช้งาน

ที่มา: bleepingcomputer

พบช่องโหว่ XSS บน WordPress ปลั๊กอินที่จะช่วยให้ผู้โจมตีสามารถยึดครองเว็บไซต์ได้

นักวิจัยจาก Sucuri Labs ได้ทำการค้นพบช่องโหว่นี้เป็นช่องโหว่ประเภท XSS บน WordPress ปลั๊กอินที่ชื่อ ”WP Product Review Lite” ที่ทำให้ผู้โจมตีสามารถยึดครองเว็บไซต์ได้ โดยพบว่าในขณะนี้มีเว็บไซต์ติดตั้งปลั๊กอินนี้มีจำนวน 40,000 เว็บไซต์

ปลั๊กอิน “WP Product Review Lite” เป็นปลั๊กอินที่จะช่วยให้ผู้ใช้งานทำการสร้างเนื้อหาและบทความอัตโนมัติโดยใช้เทมเพลตที่กำหนดไว้

ช่องโหว่เกิดจากการบายพาสพารามิเตอร์ถูกตั้งค่าภายในแอตทริบิวต์ HTML ซึ่งจะทำให้ผู้โจมตีสามารถส่งสคริปต์ที่เป็นอันตรายไปเพื่อทำการจัดเก็บข้อมูลในฐานข้อมูลของเว็บไซต์เป้าหมายหรือเพื่อทำการรีไดเร็คผู้ใช้งานไปเว็ปไซต์ที่เป็นอันตรายเพื่อขโมยคุกกี้เซสชันและตรวจสอบสิทธิ์ เมื่อได้ข้อมูลครบแล้วผู้โจมตีสามารถยึดครองเว็บไซต์ที่เป้นเป้าหมายได้

ผู้ใช้ควรทำการอัปเดตปลั๊กอิน ”WP Product Review Lite” เป็นเวอร์ชัน 3.7.6 เพื่อป้องกันการใช้ประโยชน์จากช่องโหว่ ทำการโจมตีเพื่อเข้ายึดเว็บไซต์และการรีไดเร็คผู้เยี่ยมชมหรือผู้ดูแลระบบไปยังเว็บไซต์ที่เป็นอันตราย

ที่มา: securityaffairs

นักวิจัยด้านความปลอดภัยจาก Vulnerability Lab พบช่องโหว่ของ WinRAR v5.21 โปรแกรมยอดนิยมในการใช้บีบอัดไฟล์
โดยช่องโหว่ดังกล่าวเป็นช่องโหว่ Remote Code Execution ช่องโหว่นี้อยู่ในออฟชั่นของการสร้างไฟล์แบบ Self-Extract (SFX) หรือการบีบไฟล์แบบไม่ต้องอาศัยโปรแกรมใดๆในการแตกไฟล์นั่นเอง
ผู้ไม่ประสงค์ดีสามารถใส่โค้ด HTML อันตรายลงในช่อง Text to display in SFX windows และบีบอัพไฟล์ดังกล่าว โดยจะส่งผลกระทบเมื่อผู้ใช้แตกไฟล์นั้น
อย่างไรก็ตาม Malwarebytes บริษัทด้านความมั่นคงปลอดภัยและซอฟต์แวร์จับมัลแวร์ชื่อดัง ออกมายืนยันแล้วว่ามีช่องโหว่ดังกล่าวจริง และยังไม่มีแพทช์ออกมาเพื่อแก้ไขช่องโหว่นี้
และแนะนำผู้ใช้ทั่วไปว่าหากเจอไฟล์ที่ต้องสงสัย และเครื่องของผู้ใช้งานมีโปรแกรม WinRAR SFX เวอร์ชั่น 5.21 ควรหลีกเลี่ยงการใช้งานไฟล์ดังกล่าว

ที่มา : thenextweb

นักวิจัยอิสระด้านความปลอดภัย Jan Soucek ประกาศค้นพบบั๊คสำคัญบนแอพพลิเคชั่น Mail ของ Apple iOS ซึ่งเป็นแอพพลิเคชั่นสำหรับรับส่งอีเมล์บน iPhone/iPad ที่ Apple ติดตั้งมาให้ตั้งแต่แรก โดยบั๊คดังกล่าวช่วยให้ผู้ไม่ประสงค์ดีสามารถปลอม Pop-up หน้าต่างล็อกอิน Apple iCloud ที่เหมือนจริงมาก เพื่อดักขโมยชื่อผู้ใช้และรหัสผ่านได้ทันที

Soucek ระบุว่า ช่องโหว่นี้ถูกค้นพบเมื่อเดือนมกราคม 2015 ที่ผ่านมา และเขาได้ทำการแจ้ง Apple เป็นที่เรียบร้อยแล้ว แต่ทาง Apple ยังไม่ยอมออกแพทช์เพื่ออุดช่องโหว่ จึงตัดสินใจเปิดเผยช่องโหว่ดังกล่าวออกสู่สาธารณะเพื่อเป็นการบังคับให้ Apple จัดการกับปัญหาดังกล่าวโดยเร็ว

ช่องโหว่นี้อนุญาตให้ผู้ไม่ประสงค์ดีสามารถโหลด HTML Content จากแบบรีโมทเพื่อทับเนื้อหาบนอีเมล์โดยที่ผู้รับอีเมล์ไม่อาจรู้ตัว ถึงแม้ว่าจะไม่สามารถใช้ JavaScript บน UIWebView นี้ได้ แต่แฮกเกอร์ก็ยังสามารถสร้างฟังก์ชันเพื่อเก็บข้อมูลรหัสผ่านจาก HTML และ CSS ได้อย่างไม่ยากนัก

ผู้ที่ใช้งาน Apple เป็นประจำคงทราบดีกว่า นานๆที Apple จะเด้ง Pop-up ให้ทำการล็อกอินใหม่อีกครั้ง อาจเพื่อเป็นการยืนยันตัวตนแบบสุ่ม หรือจะด้วยเหตุผลใดก็ตาม จุดนี้เอง ส่งผลให้ช่องโหว่ดังกล่าวก่อให้เกิด Phishing ที่มีความสมจริงสูง จนผู้ใช้งานทั่วไปไม่สามารถสังเกตได้ว่าเป็น Pop-up ปลอมที่เกิดจากบั๊คของแอพพลิเคชั่น

ณ ตอนนี้ ผู้ใช้สามารถป้องกันการโจมตีผ่านช่องโหว่ดังกล่าวได้ด้วยการปฏิเสธการใส่รหัสผ่าน ผ่าน Pop-up ที่อาจจะเด้งขึ้นมาตอนเริ่มใช้งานแอพพลิเคชั่น Mail และรอจนกว่าทาง Apple จะออกแพทช์เพื่อแก้ไขบั๊คนี้ต่อไป

ที่มา : net-security