มีแอปพลิเคชันบน iOS จำนวนมากกำลังใช้ background processes ที่ถูกเรียกใช้โดยการแจ้งเตือนแบบ push notifications เพื่อรวบรวมข้อมูลผู้ใช้งานเกี่ยวกับอุปกรณ์ ซึ่งอาจทำให้เกิดการสร้างโปรไฟล์การใช้งานที่ใช้สำหรับการติดตามพฤติกรรมได้ (more…)

Apple ออกแพตช์อัปเดตด้านความปลอดภัยเพื่อแก้ไขช่องโหว่ Zero-day ที่ผู้โจมตีสามารถใช้ประโยชน์จากช่องโหว่ในการโจมตีไปยังอุปกรณ์ Mac และ Apple Watch

ในคำแนะนำด้านความปลอดภัยที่ออกมาเมื่อวันจันทร์จาก Apple มีการระบุว่าทาง Apple ได้รับทราบถึงรายงานของช่องโหว่ด้านความปลอดภัยนี้แล้ว และยังคาดว่าอาจมีการนำไปใช้ในการโจมตีจริง นักวิจัยที่ไม่ได้ระบุชื่อเป็นผู้รายงานช่องโหว่ดังกล่าว และได้รับการแก้ไขจาก Apple ใน macOS Big Sur 11.6, watchOS 8.6 และ tvOS 15.5 โดยช่องโหว่เกิดจาก out-of-bounds write issue (CVE-2022-22675) ใน AppleAVD (kernel extension สำหรับการถอดรหัสเสียง และวิดีโอ) ที่ทำให้แอปสามารถสั่งรันโค้ดได้ตามต้องการด้วยสิทธิ์ของ kernel

อุปกรณ์ที่ได้รับผลกระทบ ได้แก่ Apple Watch Series 3 หรือใหม่กว่า, Mac ที่ใช้ macOS Big Sur, Apple TV 4K, Apple TV 4K (รุ่นที่ 2) และ Apple TV HD

แม้ว่า Apple ได้เปิดเผยรายงานว่าคาดว่าน่าจะมีการโจมตีเกิดขึ้นจริงแล้ว แต่ก็ยังไม่มีข้อมูลเพิ่มเติมเกี่ยวกับการโจมตีดังกล่าว

Apple ตั้งเป้าอัปเดตด้านความปลอดภัยบน Apple Watch และ Mac ให้กับผู้ใช้งานให้ได้มากที่สุด ก่อนที่ผู้โจมตีจะรู้รายละเอียดของ Zero-day และเริ่มนำมาปรับใช้ในการโจมตีส่วนอื่นๆ แม้ว่า Zero-day นี้ส่วนใหญ่จะใช้โจมตีได้แค่บางอุปกรณ์เท่านั้น แต่ทาง Apple ก็แนะนำให้ผู้ใช้งานรีบอัปเดต macOS และ watchOS โดยเร็วที่สุดเพื่อป้องกันการโจมตีที่อาจจะเกิดขึ้น

5 Zero-days ที่ถูกแพตช์ในปี 2022

ในเดือนมกราคม Apple ได้ทำการแพตช์ Zero-days อีกสองตัวที่ถูกใช้ในการโจมตีเป็นวงกว้าง โดยผู้โจมตีสามารถเรียกใช้โค้ดด้วยสิทธิ์เคอร์เนล (CVE-2022-22587) และเก็บข้อมูลการเข้าใช้งานเว็บไซต์, ข้อมูลประจำตัวผู้ใช้แบบเรียลไทม์ (CVE-2022-22594)

หนึ่งเดือนต่อมา Apple ได้เผยแพร่การอัปเดตด้านความปลอดภัยเพื่อแก้ไขช่องโหว่ Zero-days (CVE-2022-22620) ใหม่ ซึ่งถูกใช้ในการแฮ็ก iPhone, iPad และ Mac ซึ่งสามารถทำให้เกิด OS crashes รวมถึงการสั่งรันโค้ดที่เป็นอันตรายบนอุปกรณ์ Apple ที่ถูกโจมตีได้

ในเดือนมีนาคมก็มีการพบ Zero-days อีกสองตัวใน Intel Graphics Driver (CVE-2022-22674) และ AppleAVD media decoder (CVE-2022-22675) ใน macOS เวอร์ชันเก่า, watchOS 8.6 และ tvOS 15.5

Zero-days ทั้ง 5 นี้ส่งผลกระทบต่อ iPhone (iPhone 6s ขึ้นไป), Mac ที่ใช้ macOS Monterey และ iPad หลายรุ่น

ซึ่งตลอดปีที่ผ่านมา Apple ยังได้ออกแพตซ์แก้ไขช่องโหว่ Zero-days อีกจำนวนมากที่ถูกมุ่งเป้าโจมตีไปยังอุปกรณ์ iOS, iPadOS และ macOS

ที่มา: bleepingcomputer

นักวิจัยด้านภัยคุกคามของ Citizen Lab ได้ค้นพบช่องโหว่ zero-click iMessage ซึ่งใช้ในการติดตั้งสปายแวร์ NSO Group บน iPhone ของนักการเมือง นักข่าว และนักเดินทางชาวคาตาลัน

ก่อนหน้านี้มีการพบช่องโหว่ด้านความปลอดภัยแบบ Zero-click ของ iOS มีชื่อว่า HOMAGE มีผลกระทบกับบางเวอร์ชัน ที่เป็นเวอร์ชันก่อน iOS 13.2 (เวอร์ชัน iOS ที่เสถียรล่าสุดคือ 15.4) มันถูกใช้ในแคมเปญที่มุ่งเป้าไปยังบุคคลอย่างน้อย 65 รายด้วย Pegasus Spyware ของ NSO ระหว่างปี 2017-2020 โดยการใช้ช่องโหว่จาก Kismet iMessage และช่องโหว่จาก WhatsApp

ในบรรดาผู้ที่ตกเป็นเหยื่อของการโจมตีนี้ Citizen Lab กล่าวถึงสมาชิกชาวคาตาลัน ของรัฐสภายุโรป (MEPs) ประธานาธิบดีคาตาลันทุกคนตั้งแต่ปี 2010 รวมถึงสมาชิกสภานิติบัญญัติแห่งคาตาลัน ลูกขุน นักข่าว และสมาชิกขององค์กรภาคประชาสังคม และครอบครัวของพวกเขา

“ในบรรดาเป้าหมายที่เป็นชาวคาตาลัน ไม่พบว่ามีเครื่องที่ใช้ iOS เวอร์ชันที่สูงกว่า 13.1.3 ที่ถูกโจมตีจาก HOMAGE ซึ่งเป็นไปได้ว่าช่องโหว่ดังกล่าวได้รับการแก้ไขไปแล้วใน iOS 13.2”

"เรายังไม่พบว่าช่องโหว่แบบ zero-day, zero-click ถูกใช้กับเป้าหมายชาวคาตาลัน สำหรับ iOS เวอร์ชัน 13.1.3 จนถึง iOS 13.5.1"

(more…)

Apple ได้เผยแพร่การอัปเดตด้านความปลอดภัยเพื่อแก้ไขช่องโหว่ Zero-day สองช่องโหว่ที่ถูกพบในการโจมตี iPhone และ Mac เพื่อติดตั้งสปายแวร์ Pegasus

ช่องโหว่นี้คือ CVE-2021-30860 และ CVE-2021-30858 โดยช่องโหว่ทั้งสองส่งผลทำให้สามารถมีการรันโค้ดที่เป็นอันตรายที่ถูกฝังไว้ในเอกสารที่ผู้โจมตีสร้างขึ้นได้

ช่องโหว่ CVE-2021-30860 CoreGraphics เป็นบั๊ก integer overflow ที่ค้นพบโดย Citizen Lab ซึ่งช่วยให้ผู้โจมตีสามารถสร้างเอกสาร PDF ที่เป็นอันตรายซึ่งรันคำสั่งเมื่อเปิดใน iOS และ macOS

CVE-2021-30858 เป็นช่องโหว่บน WebKit ที่เมื่อมีการเข้าถึงหน้าเว็ปไซต์ที่ผู้โจมตีสร้างขึ้นด้วย iPhone และ macOS จะทำให้สามารถถูกรันคำสั่งที่เป็นอันตรายที่อยู่บนหน้าเว็ปไซต์ได้ เบื้องต้นทาง Apple ระบุว่าช่องโหว่นี้ถูกเปิดเผยแพร่ออกสู่สาธารณะแล้วอีกด้วย

แม้ว่า Apple จะไม่เปิดเผยข้อมูลเพิ่มเติมเกี่ยวกับวิธีการใช้ช่องโหว่ในการโจมตี แต่ Citizen Lab ได้ยืนยันว่า CVE-2021-30860 เป็นการใช้ประโยชน์จาก iMessage แบบ zero-day zero-click ที่ชื่อว่า 'FORCEDENTRY'

พบว่ามีการใช้ช่องโหว่ของ FORCEDENTRY เพื่อหลีกเลี่ยงระบบความปลอดภัยบน iOS BlastDoor เพื่อติดตั้งสปายแวร์ NSO Pegasus บนอุปกรณ์ที่เป็นของนักเคลื่อนไหวชาวบาห์เรน

BleepingComputer ได้ติดต่อ Citizen Lab พร้อมคำถามเพิ่มเติมเกี่ยวกับการโจมตี แต่ยังไม่ได้รับการตอบกลับในขณะนี้

Apple Zero-days อาละวาดในปี 2021
เป็นปีที่หนักมากสำหรับ Apple เพราะดูเหมือนว่าจะมีช่องโหว่ Zero-days อย่างต่อเนื่อง ซึ่งใช้ในการโจมตีเป้าหมายเป็นอุปกรณ์ iOS และ Mac

การโจมตีจาก FORCEDENTRY เปิดเผยในเดือนสิงหาคม (ก่อนหน้านี้ถูกติดตามโดย Amnesty Tech ในชื่อ Megalodon)
iOS zero-days สามช่องโหว่ (CVE-2021-1870, CVE-2021-1871, CVE-2021-1872) ที่ถูกใช้ในการโจมตีในเดือนกุมภาพันธ์
zero-day ใน iOS หนึ่งช่องโหว่ (CVE-2021-30661) ในเดือนมีนาคม ที่อาจมีการใช้ในการโจมตีเป็นวงกว้างได้ในอนาคต
หนึ่งช่องโหว่ zero-days ใน macOS (CVE-2021-30657) เดือนเมษายน ถูกใช้โจมตีโดยมัลแวร์ Shlayer
iOS zero-days อีกสามตัว (CVE-2021-30663, CVE-2021-30665 และ CVE-2021-30666) ในเดือนพฤษภาคม ที่สามารถทำให้มีการรันโค้ดที่เป็นอันตรายจากระยะไกลได้ (RCE) จากการเข้าเว็บไซต์ที่เป็นอันตราย
macOS zero-day (CVE-2021-30713) ในเดือนพฤษภาคม ซึ่งถูกใช้โดยมัลแวร์ XCSSET เพื่อเลี่ยง TCC privacy protections ของ Apple
zero-day ของ iOS สองช่องโหว่ (CVE-2021-30761 และ CVE-2021-30762) ในเดือนมิถุนายนที่ถูกใช้ในการแฮ็คเข้าสู่อุปกรณ์ iPhone, iPad และ iPod รุ่นเก่า
Project Zero ยังได้มีการเปิดเผยช่องโหว่ Zero-day อีก 11 ช่องโหว่ในปีนี้ ซึ่งใช้ในการโจมตีที่กำหนดเป้าหมายไปยังอุปกรณ์ Windows, iOS และ Android

อัปเดต 9/13/21: ยืนยันจาก Citizen Labs ว่าการอัปเดตนี้แก้ไขช่องโหว่ของ FORCEDENTRY ได้เรียบร้อยแล้ว

ที่มา : bleepingcomputer

พบบั๊กในการตั้งชื่อเครือข่ายไร้สายในระบบปฏิบัติการ iOS ของ Apple ที่ทำให้ iPhone ไม่สามารถเชื่อมต่อกับเครือข่าย Wi-Fi ได้

นักวิจัยด้านความปลอดภัย Carl Schou พบว่าฟังก์ชัน Wi-Fi ของโทรศัพท์จะถูกปิดใช้งานอย่างถาวร หลังจากเชื่อมต่อกับเครือข่าย Wi-Fi ที่มีชื่อผิดปกติว่า "%p%s%s%s%s%n" แม้ว่าจะทำการรีบูตหรือเปลี่ยนชื่อเครือข่าย เช่น service set identifier หรือ SSID แล้วก็ตาม

ผู้ไม่หวังดีสามารถใช้ประโยชน์จากปัญหานี้ เพื่อวางฮอตสปอต Wi-Fi หลอกลวงด้วยการตั้งชื่อที่เป็นปัญหา เพื่อหยุดการทำงานเครือข่ายไร้สายของ iPhone

Zhi Zhou ซึ่งเป็น Senior Security Engineer ของ Ant Financial Light-Year Security Labs เปิดเผยการวิเคราะห์สั้นๆว่า ปัญหาเกิดจากบั๊กในการจัดรูปแบบสตริง ที่ iOS แยกการวิเคราะห์อินพุต SSID จึงทำให้เกิด Denial of Service ระหว่างการประมวลผล แต่วิธีการนี้ไม่น่าจะส่งผลกระทบให้เกิดการโจมตีในลักษณะการเข้าควบคุมเครื่องได้

หากจะโจมตีให้สำเร็จโดยใช้บั๊กนี้ จะต้องมีการเชื่อมต่อกับ Wi-Fi นั้นๆก่อน ซึ่งหากเหยื่อเห็น SSID ที่มีชื่อแปลกๆก็อาจไม่ได้ทำการเชื่อมต่อ ซึ่งหากตั้งใจหาผลประโยชน์จากการโจมตีผ่าน Wi-Fi จริงๆ การโจมตีด้วยวิธีการ Phishing ผ่าน Wi-Fi Portal น่ามีประสิทธิภาพมากกว่า

อุปกรณ์ Android ไม่ได้รับผลกระทบจากปัญหานี้ แต่ผู้ใช้งาน iPhone ที่ได้รับผลกระทบจะต้องรีเซ็ตการตั้งค่าเครือข่าย iOS โดยไปที่การตั้งค่า > ทั่วไป > รีเซ็ต > รีเซ็ตการตั้งค่าเครือข่าย แล้วยืนยันการดำเนินการ

ที่มา : thehackernews

แพตช์ที่ออกมาเป็นการแก้ปัญหา zero-day ที่พบ โดยอุปกรณ์ที่ได้รับผลกระทบครอบคลุมทั้ง iPhones, iPads และ Apple Watches ที่ยังรองรับการใช้งานระบบปฏิบัติการ iOS 12 อยู่ มีรายการเวอร์ชันอัปเดต ดังต่อไปนี้

iOS 14 (iPhones ล่าสุด) ให้อัปเดตเป็น 14.4.2
iOS 12 (iPhones เก่า และ iPads) ให้อัปเดตเป็น 12.5.2
iPadOS 14 ให้อัปเดตเป็น 14.4.2
watchOS ให้อัปเดตเป็น 7.3.3

เป็นการแก้ปัญหาช่องโหว่ในส่วนของ WebKit ที่เป็น core web browser ของ Apple, cross-site scripting (XSS) และ Same Origin Policy (SOP) โดยช่องโหว่ดังกล่าว มีผลให้ผู้ไม่หวังดีสามารถเข้าถึงข้อมูลส่วนตัวที่ไม่ต้องการเปิดเผย, สั่งรันคำสั่งอันตรายบนเครื่อง (RCE) หรือ ยกระดับสิทธิ์ (EoP) ได้

ที่มา: nakedsecurity

แคมเปญมัลแวร์ Poisoned News: มุ่งโจมตีผู้ใช้ iPhone ในฮ่องกงด้วยช่องโหว่และแบ็คดอร์ iOS ที่ช่วยให้ผู้โจมตีสามารถสอดแนมได้

เมื่อวันที่ 19 กุมภาพันธ์ ผู้เชี่ยวชาญด้านความปลอดภัยที่ Trend Micro ได้เปิดช่องโหว่โจมตีเป้าหมายผู้ใช้ iOS ด้วย URL ที่ชี้ไปยังเว็บไซต์ที่เป็นอันตราย แคมเปญนี้มีชื่อว่า” Operation Poisoned News” ที่มุ่งโจมตี iPhone ของผู้ใช้ในฮ่องกงด้วยการติดตามแบ็คดอร์ iOS lightSpy

ผู้โจมตีใช้ลิงค์ที่เป็นอันตรายซึ่งจะกระจายผ่านการโพสต์บนฟอรัมที่ได้รับความนิยมม, พาดหัวข่าว clickbait เกี่ยวกับการระบาดของ COVID-19 ในฮ่องกง และนำผู้ใช้ไปยังเว็บไซต์ข่าวจริงที่ถูกบุกรุกและเเฝงโค้ดที่จะโหลดและเรียกใช้มัลแวร์

การโจมตีใช้ประโยชน์จากช่องโหว่ความปลอดภัย CVE-2019-8605 ที่อนุญาตให้ผู้โจมตีได้รับสิทธิ์ root มีผลต่ออุปกรณ์ Apple iPhone 6S จนถึง iPhone X ที่ใช้ iOS 12.1 และ 12.2 ที่ไม่ได้รับการอัพเดตแพตช์และจะทำการฝังมัลแวร์แบ็คดอร์ lightSpy ที่สามารถเข้าควบคุมอุปกรณ์เป้าหมายได้อย่างสมบูรณ์

แบ็คดอร์ lightSpy ยังทำการเก็บข้อมูลประวัติการใช้ WiFi ที่เชื่อมต่อ, รายชื่อ, ตำแหน่ง GPS, ข้อมูลฮาร์ดแวร์, iOS keychain, ประวัติการโทร, เว็บเบราว์เซอร์ Safari และ Chrome, ข้อความ SMS, IP Address, แอปพลิเคชัน Telegram, QQ และ WeChat

ที่มา: securityaffairs, zdnet

หลังจากปล่อย iOS 12.1 ออกมาได้ไม่นาน ก็มีผู้ค้นพบช่องโหว่ที่สามารถผ่าน Passcode ของเครื่อง และสามารถเข้าถึงข้อมูลรายชื่อผู้ติดต่อที่อยู่บนเครื่องที่ถูกล๊อคอยู่ได้

Jose Rodriguez นักวิจัยด้านการรักษาความปลอดภัยของสเปนได้ให้ข้อมูล และยืนยันว่าค้นพบปัญหาที่ช่วยให้สามารถเข้าถึงข้อมูลของผู้ใช้งาน iPhone ในระบบปฏิบัติการ iOS 12.1 เวอร์ชันล่าสุด โดยปัญหานี้อาศัยช่องโหว่จากปัญหาของ Group FaceTime ซึ่งถูกเพิ่มขึ้นมาใหม่ใน iOS 12.1 ช่วยให้ผู้ใช้สามารถแชทวิดีโอกับคนอื่นได้มากกว่า 2 คน และมากสุดถึง 32 คน โดยสามารถผ่าน Passcode ได้แม้ไม่มีการเปิดใช้งาน Siri หรือ VoiceOver screen reader ไว้ ซึ่งแตกต่างและง่ายกว่าการค้นพบก่อนหน้านี้

โดยมีขั้นตอนทดสอบง่ายๆ ดังต่อไปนี้
1. โทรไปยังเครื่องเป้าหมาย หรือถ้าไม่รู้จริงๆ ก็ต้องถามผ่าน Siri หรือคุยผ่าน Siri ให้โทรไปหาเบอร์ของเรา
2. เมื่อโทรติดแล้ว ให้เลือกใช้งาน "Facetime"
3. กดเลือกไปที่ "Add Person"
4. กดเครื่องหมาย + เพื่อเข้าถึงรายชื่อผู้ติดต่อบนเครื่องเป้าหมาย และใช้ 3D Touch เพื่อเลือกดูข้อมูลของรายชื่อผู้ติดต่อแต่ละคน

หรือสามารถดูวิดีโอสาธิตได้จากลิงค์ที่มาด้านล่าง และในส่วนของปัญหานี้ยังไม่ได้รับการแก้ไขจาก Apple แต่อย่างไร

ที่มา : thehackernews

พบช่องโหว่ใหม่ใน iPhone ส่งผลให้สามารถเข้าถึงรูปภาพส่วนตัวบนเครื่องได้

Jose Rodriguez นักวิจัยด้านความปลอดภัยมือสมัครเล่นชาวสเปนได้ออกมาเปิดเผยถึงช่องโหว่บนระบบปฏิบัติ iOS 12 ใหม่ล่าสุดของ Apple ซึ่งช่วยให้แฮกเกอร์สามารถบายพาส Passcode ของ iPhone และเข้าถึงข้อมูลสำคัญภายใน ไม่ว่าจะเป็น รูปภาพ หมายเลขโทรศัพท์ หรืออีเมลได้ แม้แต่ iPhone XS ก็ได้รับผลกระทบ

การบายพาส Passcode ของ iPhone นี้ช่วยให้แฮกเกอร์สามารถเข้าถึงรายชื่อผู้ติดต่อที่เก็บอยู่บนเครื่อง ไม่ว่าจะเป็นหมายเลขโทรศัพท์หรืออีเมล รวมไปถึงสามารถเข้าถึง Camera Roll และโฟลเดอร์รูปถ่ายอื่นๆ ได้อีกด้วย โดยมีเงื่อนไขคือแฮ็กเกอร์ต้องเข้าถึงตัวเครื่อง iPhone ได้ จากนั้นจะใช้ประโยชน์จาก Siri และ VoiceOver เพื่อช่วยในการบายพาสการป้องกันของเครื่อง โดยหากต้องการทดสอบสามารถลองทำตามขั้นตอนต่างๆ ได้ตามลิงก์ที่มา

วิธีบายพาสรหัสผ่านนี้สามารถทำงานได้กับ iPhone ทั้งหมดในปัจจุบันรวมถึงอุปกรณ์ iPhone X และ XS ที่ใช้ระบบปฏิบัติการรุ่นล่าสุดเช่น iOS 12 ถึง 12.0.1 ทั้งนี้ผู้ใช้งานสามารถป้องกันเครื่องตนเองได้โดย "ปิดใช้งาน Siri" ไปก่อนจนกว่าจะมีแพทช์ใหม่จาก Apple ออกมา เพื่อแก้ไขปัญหานี้

ที่มา : thehackernews

มีการค้นพบการโจมตีด้วย CSS ส่งผลให้ระบบปฏิบัติการ iOS ทำการ restart หรือ respring (การเรียกใช้งานหน้าจอ Home ของ iPhone ใหม่อีกรอบ) และระบบปฏิบัติการ macOS ค้าง เพียงแค่เข้าไปชมเว็บไซต์ที่มี CSS และ HTML ที่เป็นอันตราย ผู้ใช้ Windows และ Linux ไม่ได้รับผลกระทบจากปัญหานี้

การโจมตีนี้ค้นพบโดย Sabri Haddouche นักวิจัยด้านความปลอดภัยของ Wire การโจมตีใช้จุดอ่อนในคุณสมบัติ webkit-backdrop- filter CSS การโจมตีนี้มีผลกับเบราว์เซอร์ทั้งหมดบน iOS เช่นเดียวกับ Safari และ Mail ใน macOS เพราะทั้งหมดใช้เครื่องมือการแสดงผล WebKit จากการทดสอบพบว่าหากเป็น iOS 12 อุปกรณ์จะทำการ reboot แต่ใน iOS 11.4.1 จะเกิดเพียงแค่การ respring และสำหรับ macOS การโจมตีจะทำให้เมล์และซาฟารีหยุดทำงานเป็นเวลาสองวินาทีและทำให้คอมพิวเตอร์ทำงานช้าลง

ทั้งนี้นักวิจัยได้มีการโพสต์ CSS และ HTML ที่ใช้ทดสอบดังกล่าวไว้ในหน้า GitHub ของเขา โดยผู้ที่สนใจจะต้องใช้ความระมัดระวังอย่างสูงในการทดสอบ เนื่องจากหากเผลอคลิกลิงค์ จะส่งผลทำให้ iOS เกิดปัญหาขึ้นหรือทำให้เกิดปัญหากับ Mac อย่างรวดเร็ว

ที่มา:bleepingcomputer