แคมเปญมัลแวร์ปลอมใบรับรองความปลอดภัยให้ผู้ใช้ปรับปรุง

ผู้เชี่ยวชาญด้านความปลอดภัยจาก Kaspersky Lab ได้ค้นพบเทคนิคการโจมตีแบบใหม่ที่แฮกเกอร์ใช้ เพื่อโจมตีโดยการแจกจ่ายมัลแวร์หลอกล่อให้ผู้ใช้ติดตั้ง “การปรับปรุงใบรับรองความปลอดภัย” ที่เป็นอันตรายเมื่อเยี่ยมชมเว็บไซต์ที่ถูกบุกรุก โดยแคมเปญนี้พบผู้ใช้งานเริ่มติดมัลแวร์ตั้งแต่ 16 มกราคม 2563 ที่ผ่านมา

เว็บไซต์ที่ถูกโจมตีจะแสดงข้อความที่อ้างว่า ใบรับรองความปลอดภัยของเว็บไซต์นั้นหมดอายุ และจะให้ผู้เยี่ยมชมติดตั้ง “การปรับปรุงใบรับรองความปลอดภัย” เพื่อดูเนื้อหาของเว็บไซต์ โดยใบรับรองความปลอดภัยที่ไม่ถูกต้อง จะฝังข้อความลงใน iframe และดาวโหลดโค้ดอันตรายผ่าน ldfidfa[.]PW/jQuery.

พบการโจมตีผ่าน email แบบใหม่ชื่อว่า ROPEMAKER ซึ่งทำให้ผู้โจมตีสามารถเปลี่ยนข้อมูลภายในของเมลที่ผู้รับได้รับผ่านไฟล์ CSS ที่มีการดาวโหลดมาจาก server (remote CSS files) ROPEMAKER มีชื่อเต็มว่า “Remotely Originated Post-delivery Email Manipulation Attacks Keeping Email Risky” โดยมีแนวคิดในการโจมตีด้วยการส่ง email ให้เหยื่อในรูปแบบฟอร์ม HTML แต่แทนที่จะใช้ inline หรือ embedded CSS code ในการตกแต่งตัว text ของเมลนั้น จะใช้ไฟล์ CSS ที่โหลดมาจาก server ในเครื่องของผู้โจมตีแทน
การโจมตี ROPEMAKER เกิดขึ้นเมื่อตอนที่ผู้ใช้งานทำการเปิดอีเมลอ่าน ทำให้การโจมตีสามารถข้ามผ่านระบบป้องกันหลายระบบได้ ROPEMAKER มีอยู่สองแบบ แบบแรก ROPEMAKER Switch จะเกี่ยวข้องกับการใช้ฟังก์ชัน CSS Display เพื่อเปลี่ยนข้อมูลที่แสดงภายในเมล และแบบที่สอง ROPEMAKER Matrix จะเกี่ยวกับการฝัง matrices ของ ASCII characters สำหรับทุกตัวอักษรภายในเมล
Mimecast บริษัทรักษาความปลอดภันในบอสตันออกมาให้ข้อมูลถึงเรื่องนี้ว่า ที่จริงแล้ว ROPEMAKER ไม่ใช่ช่องโหว่ หรือแม้กระทั่งบัค ยกตัวอย่างเช่น Outlook.

นักวิจัยด้านความปลอดภัยนามปากกา MLT ได้ออกมาเปิดเผยถึงช่องโหว่ Cross-site Scripting (XSS) บนเว็บไซต์ eBay ซึ่งช่วยให้แฮกเกอร์สามารถแอบส่งโค้ดเข้าไปปลอมแปลงหน้า Login เพื่อหลอกขโมยรหัสผ่านจากผู้ใช้บริการหลายร้อยล้านคนได้อย่างแนบเนียน
ช่องโหว่ XSS ที่ค้นพบนี้อยู่บน URL Parameter ที่ช่วยให้แฮกเกอร์สามารถลอบส่งโค้ด iFrame เข้ามายังเว็บไซต์ของ eBay ได้ ส่งผลให้แฮกเกอร์สามารถเชื่อมโยง iFrame ดังกล่าวกับหน้า Page สำหรับทำ Phishing เพื่อหลอกให้ผู้ใช้บริการมากรอก Username และ Password เพื่อขโมยออกไป ซึ่งทั้งหมดนี้ยังคงแสดงผลอยู่บนหน้าเว็บไซต์ปกติของ eBay
หน้า Page สำหรับทำ Phishing แทบจะมีหน้าตาเหมือนหน้า Login ปกติของ eBay ทุกประการ ต่างกันเพียงแค่ URL ในส่วนช่วงหลังเท่านั้น ซึ่งผู้ใช้บริการส่วนใหญ่จะไม่สามารถจับสังเกตได้

เมื่อผู้ใช้บริการกรอก Username และ Password ลงไปบนหน้าเว็บ Phishing นี้จะไม่สามารถเข้าใช้ระบบของ eBay ได้และข้อมูลทั้งหมดจะถูกส่งไปยังแฮกเกอร์ทันที

MLT ได้ส่งรายละเอียดช่องโหว่ไปยัง eBay ตั้งแต่เมื่อวันที่ 11 ธันวาคม หลังจากที่ eBay ได้รับเรื่องและมีการสอบถามข้อมูลเพิ่มเติม เรื่องก็เงียบหายไป ไม่มีแม้กระทั่งแพทช์ออกมาอัพเดท MLT จึงตัดสินใจเปิดเผยช่องโหว่นี้สู่สาธารณะ ซึ่งก็เปิดไปตามคาด เพียงไม่กี่วันถัดมา eBay ก็ได้ออกแพทช์เพื่ออุดช่องโหว่เป็นที่เรียบ อย่างไรก็ตาม ยังคงแนะนำให้ผู้ใช้ทุกคนเปลี่ยนรหัสผ่านใหม่ เพื่อความมั่นใจว่ารหัสผ่านล่าสุดจะไม่ได้ถูกขโมยไป

ที่มา : thehackernews

บริษัทความปลอดภัย Fox IT จากเนเธอร์แลนด์ พบว่าโฆษณาบนหน้าเว็บ yahoo.com (ซึ่งมาจากโดเมน ads.yahoo.com ของยาฮูเอง) จำนวนหนึ่งติดมัลแวร์

เมื่อผู้ชมเข้าหน้าเว็บ yahoo.

กลุ่มแฮกเกอร์ได้มีการใช้ข่าวการระเบิดของโรงงานทำปุ๋ยในรัฐเท็กซัสในการแพร่กระจายมัลแวร์หลังจากเหตุการณ์เพิ่งเกิดขึ้นได้เพียงแค่ 1 วันเท่านั้น โดยแฮกเกอร์จะส่งอีเมลที่มีการใช้หัวข้ออีเมลว่า "CAUGHT ON CAMERA: Fertilizer Plant Explosion Near Waco, Texas"(ภาพการระเบิดของโรงงานทำปุ๋ยใกล้เมือง Waco ในรัฐเท็กซัสที่ถูกจับภาพได้) ซึ่งในอีเมลนั้นจะแนบลิงค์มาด้วย ถ้าเหยื่อกดคลิกที่ลิงค์ก็จะเป็นการ redirect ไปยังเว็บเพจที่มีการฝังคลิป Youtube เอาไว้และในหน้าเว็บเพจนั้นแฮกเกอร์จะฝัง iFrame ครอบหน้าเว็บเพจนั้นไว้อีกทีหนึ่ง ซึ่ง iFrame ตัวนี้จะทำการ exploit เครื่องของเหยื่อโดยการใช้ Redkit exploit kit หลังจาก exploit เครื่องของเหยื่อแล้วมันจะสั่งให้ดาวโหลดโทรจันที่มีชื่อว่า Troj/ExpJS-II และ Troj/Iframe-JG มาลงที่เครื่องของเหยื่อเพื่อเปิด backdoor เอาไว้ เราสามารถป้องกันการโจมตีแบบนี้ได้ง่ายๆโดยการ เข้าไปอ่านข่าวตามเว็บไซด์ข่าวที่น่าเชื่อถือโดยตรงแทนที่จะคลิกลิงค์ในอีเมลที่ส่งมาเพื่ออ่านข่าว

ที่มา: nakedsecurity.

กลุ่มแฮกเกอร์ได้มีการใช้ข่าวการระเบิดของโรงงานทำปุ๋ยในรัฐเท็กซัสในการแพร่กระจายมัลแวร์หลังจากเหตุการณ์เพิ่งเกิดขึ้นได้เพียงแค่ 1 วันเท่านั้น โดยแฮกเกอร์จะส่งอีเมลที่มีการใช้หัวข้ออีเมลว่า "CAUGHT ON CAMERA: Fertilizer Plant Explosion Near Waco, Texas"(ภาพการระเบิดของโรงงานทำปุ๋ยใกล้เมือง Waco ในรัฐเท็กซัสที่ถูกจับภาพได้) ซึ่งในอีเมลนั้นจะแนบลิงค์มาด้วย ถ้าเหยื่อกดคลิกที่ลิงค์ก็จะเป็นการ redirect ไปยังเว็บเพจที่มีการฝังคลิป Youtube เอาไว้และในหน้าเว็บเพจนั้นแฮกเกอร์จะฝัง iFrame ครอบหน้าเว็บเพจนั้นไว้อีกทีหนึ่ง ซึ่ง iFrame ตัวนี้จะทำการ exploit เครื่องของเหยื่อโดยการใช้ Redkit exploit kit หลังจาก exploit เครื่องของเหยื่อแล้วมันจะสั่งให้ดาวโหลดโทรจันที่มีชื่อว่า Troj/ExpJS-II และ Troj/Iframe-JG มาลงที่เครื่องของเหยื่อเพื่อเปิด backdoor เอาไว้ เราสามารถป้องกันการโจมตีแบบนี้ได้ง่ายๆโดยการ เข้าไปอ่านข่าวตามเว็บไซด์ข่าวที่น่าเชื่อถือโดยตรงแทนที่จะคลิกลิงค์ในอีเมลที่ส่งมาเพื่ออ่านข่าว

ที่มา: nakedsecurity.