Microsoft ได้ออกแพตช์อัปเดตการรักษาความปลอดภัยเป็นกรณีฉุกเฉินสำหรับ Microsoft Exchange เพื่อแก้ไขช่องโหว่ Zero-day 4 รายการที่สามารถใช้ประโยชน์ในการโจมตีแบบกำหนดเป้าหมาย หลัง Microsoft พบกลุ่มแฮกเกอร์ที่ได้รับการสนับสนุนจากประเทศจีนที่มีชื่อว่า “Hafnium" ใช้ช่องโหว่ Zero-day เหล่านี้ทำการโจมตีองค์กรและบริษัทหลาย ๆ เเห่ง ในสหรัฐอเมริกาเพื่อขโมยข้อมูล

กลุ่ม Hafnium เป็นกลุ่ม APT ที่มีความเชื่อมโยงและได้รับการสนับสนุนจากจีน มีเป้าหมายคือหน่วยงานในสหรัฐอเมริกาเป็นหลัก และในหลาย ๆ อุตสาหกรรม รวมไปถึงองค์กรที่ทำการวิจัยโรคติดเชื้อ, สำนักงานกฎหมาย, สถาบันการศึกษาระดับสูง, ผู้รับเหมาด้านการป้องกันประเทศ, องค์กรกำหนดนโยบายและองค์กรพัฒนาเอกชน สำหรับเทคนิคการโจมตีของกลุ่ม Hafnium ใช้ประโยชน์จากช่องโหว่ Zero-day ใน Microsoft Exchange มีดังนี้

CVE-2021-26855 (CVSSv3: 9.1/10 ) เป็นช่องโหว่ Server-Side Request Forgery (SSRF) ใน Microsoft Exchange โดยช่องโหว่จะทำให้ผู้โจมตีที่ส่ง HTTP request ที่ต้องการ ไปยังเซิฟเวอร์สามารถเข้าถึงเซิร์ฟเวอร์ Microsoft Exchange ได้
CVE-2021-26857 (CVSSv3: 7.8/10 ) เป็นช่องโหว่ insecure deserialization ในเซอร์วิส Unified Messaging deserialization โดยช่องโหว่ทำให้ข้อมูลที่ไม่ปลอดภัยบางส่วนที่สามารถถูกควบคุมได้ ถูก deserialized โดยโปรแกรม ผู้โจมตีสามารถใช้ประโยชน์จากช่องโหว่นี้ทำการรันโค้ดเพื่อรับสิทธ์เป็น SYSTEM บนเซิร์ฟเวอร์ Microsoft Exchange
CVE-2021-26858 (CVSSv3: 7.8/10 ) เป็นช่องโหว่ Arbitrary file write หรือช่องโหว่ที่สามารถเขียนไฟล์โดยไม่ได้รับอนุญาตหลังจากพิสูจน์ตัวตนแล้ว (Authenticated) บนเซิร์ฟเวอร์ Exchange ซึ่งผู้โจมตีที่สามารถใช้ประโยชน์จากช่องโหว่ CVE-2021-26855 (SSRF) ได้จะสามารถเข้าสู่ระบบได้ผ่านการ Bypass Credential ของผู้ดูแลระบบที่ถูกต้อง
CVE-2021-27065 (CVSSv3: 7.8/10 ) เป็นช่องโหว่ Arbitrary file write ที่มีหลักการทำงานคล้าย ๆ กับ CVE-2021-26858

หลังจากที่สามารถเข้าถึงเซิร์ฟเวอร์ Microsoft Exchange ที่มีช่องโหว่แล้ว กลุ่ม Hafnium จะทำการติดตั้ง Webshell ซึ่งถูกเขียนด้วย ASP และจะถูกใช้เป็น backdoor สำหรับทำการขโมยข้อมูลและอัปโหลดไฟล์หรือดำเนินการใด ๆ ตามคำสั่งของกลุ่มบนเซิร์ฟเวอร์ที่ถูกบุกรุก ซึ่งหลังจากติดตั้ง Webshell เสร็จแล้ว กลุ่ม Hafnium ได้มีการดำเนินการด้วยเครื่องมือ Opensource ต่าง ๆ โดยมีขั้นตอนดังนี้

จะใช้ซอฟต์แวร์ Procdump เพื่อทำการ Dump โปรเซส LSASS
จากนั้นจะทำการใช้ซอฟต์แวร์ 7-Zip เพื่อบีบอัดข้อมูลที่ทำการขโมยลงในไฟล์ ZIP สำหรับ exfiltration
ทำการเพิ่มและใช้ Exchange PowerShell snap-ins เพื่อนำข้อมูล mailbox ออกมา
จากนั้นปรับใช้ซอฟต์แวร์เครื่องมือที่ชื่อว่า Nishang ทำ Invoke-PowerShellTcpOneLine เพื่อสร้าง reverse shell
จากนั้นใช้เครื่องมือชื่อว่า PowerCat เพื่อเปิดการเชื่อมต่อกับเซิร์ฟเวอร์ของกลุ่ม

การตรวจสอบว่าเซิร์ฟเวอร์ Microsoft Exchange ถูกบุกรุกหรือไม่

สำหรับการตรวจสอบและการป้องกันภัยคุกคามโดยการวิเคราะห์พฤติกรรมที่น่าสงสัยและเป็นอันตรายบนเซิร์ฟเวอร์ Exchange พบว่าเมื่อใดก็ตามที่ผู้โจมตีทำการติดต่อกับ Webshell และรันคำสั่งจะมี Process chain, เซอร์วิส และพาทที่มีการใช้งาน โดยโปรเซสที่น่าสงสัยและมักถูกผู้โจมตีเรียกใช้ด้วยเทคนิค living-off-the-land binaries (LOLBins) คือ net.

ผู้ใช้ Android สามารถใช้ฟีเจอร์ Password Checkup ของ Google ได้แล้วหลังจากที่ Google เปิดฟีเจอร์ให้สามารถใช้งานใน Chrome เบราว์เซอร์เมื่อปลายปี 2019 ที่ผ่านมา

ฟีเจอร์ Password Checkup ของ Google เป็นฟีเจอร์การตรวจสอบรหัสผ่านว่าเคยรั่วไหลทางออนไลน์หรือไม่จากฐานข้อมูลที่มีบันทึกหลายพันล้านรายการจากการละเมิดข้อมูลสาธารณะและถูกจัดให้เป็นเป็นส่วนหนึ่งของ Autofill with Google ที่ถูกใช้ในระบบปฏิบัติเพื่อเลือกข้อความจากแคชและกรอกแบบฟอร์ม

Google กล่าวว่าการใช้งานฟีเจอร์ Password Checkup นั้น กลไกการตรวจสอบรหัสผ่านนี้จะไม่เปิดเผยข้อมูล Credential ของผู้ใช้เนื่องจากฟีเจอร์จะทำการตรววจสอบเฉพาะแฮชของข้อมูล Credential เท่านั้น จากนั้นเซิร์ฟเวอร์ทำการตรวจสอบแฮชจากฐานข้อมูลและจะส่งคืนค่ารายการแฮชที่เข้ารหัสของข้อมูล Credential ที่ทำการตรวจสอบเพื่อแจ้งให้ผู้ใช้ทราบว่าข้อมูลเคยถูกละเมิดหรือไม่

ฟีเจอร์ Password Checkup ของ Google นี้ผู้ใช้ Android 9+ ทุกคนสามารถใช้งานได้วันนี้ โดยสามารถเปิดใช้งานการได้โดยเข้าไปที่ Settings จากนั้นไปที่ System > Languages & input > Advanced จากนั้นมองหา Autofill service เพื่อเปิดการใช้งาน ทั้งนี้ผู้ใช้ iOS 14 มีฟีเจอร์การตรวจสอบรหัสผ่านที่คล้ายกันอยู่แล้วตั้งเเต่กลางปี 2019 ที่ผ่านมา

ที่มา: zdnet

T-Mobile ผู้ให้บริการโทรคมนาคมสัญชาติอเมริกันได้เปิดเผยถึงการละเมิดข้อมูลหลังจากที่ลูกค้าไม่ทราบจำนวนได้รับผลกระทบจากการโจมตีด้วยเทคนิค SIM Swap Attack

T-Mobile ได้ทำการแจ้งเตือนเรื่องการละเมิดข้อมูลถึงลูกค้าที่ได้รับผลกระทบเมื่อวันที่ 9 กุมภาพันธ์ 2564 และยื่นคำร้องต่อสำนักงานอัยการสูงสุดของสหรัฐอเมริกาเพื่อขออนุมัติการหยุดให้บริการช่วยคราวกับลูกค้าที่ได้รับผลกระทบเพื่อสืบสวนเหตุต่อเหตุการณ์การโจมตีและเพื่อป้องกันข้อมูลของลูกค้ารั่วไหล

T-Mobile เปิดเผยว่าผู้โจมตีสามารถเข้าถึงข้อมูลบัญชีของลูกค้ารวมถึงข้อมูลส่วนบุคคลและหมายเลขประจำตัวส่วนบุคคล (PIN) และยังไม่เเน่ชัดว่าผู้โจมตีสามารถเข้าถึงบัญชีของพนักงานหรือเข้าถึงผ่านบัญชีของผู้ใช้ที่ถูกบุกรุกได้หรือไม่ เนื่องจากผู้โจมตีสามารถโอนข้อมูลหมายเลขโทรศัพท์ของลูกค้าไปยังผู้โจมตี ซึ่งจะทำให้ผู้โจมตีสามารถเข้าถึง SMS-based multi-factor authentication (MFA) ของลูกค้าได้และยังสามารถทำการโอนเงินจากบัญชีบริการออนไลน์ของเหยื่อไปยังบัญชีของผู้โจมตี

T-Mobile ได้ให้ความเห็นต่อว่าข้อมูลที่แฮกเกอร์เข้าถึงอาจรวมไปถึงชื่อ - นามสกุลของลูกค้า, อีเมล,หมายเลขบัญชีหมายเลขประกันสังคม (SSN), หมายเลขประจำตัวของบัญชี (PIN), คำถามและคำตอบด้านความปลอดภัยของบัญชี, วันเดือนปีเกิดและข้อมูลแผน

ทั้งนี้ T-Mobile ได้หยุดให้บริการชั่วคราวกับลูกค้าที่ได้รับผลกระทบและได้ออกคำแนะนำให้ผู้ที่ได้รับผลกระทบทำการเปลี่ยน PIN และรหัสผ่านของบัญชีผู้ใช้ตลอดจนคำถามและคำตอบเพื่อความปลอดภัยของบัญชี

ที่มา: bleepingcomputer

นักวิจัยภายในเครือ KU Leuven ซึ่งประกอบไปด้วย Yana Dimova, Gunes Acar, Wouter Joosen, Tom Van Goethem และ Lukasz Olejnik ได้ออกเอกสารการวิจัยซึ่งได้พบว่า บริษัทเทคโนโลยีด้านการโฆษณากำลังพยายามติดตามข้อมูลการใช้งานและข้อมูลอื่น ๆ ผ่านทางเบราว์เซอร์โดยใช้เทคนิคทางด้าน DNS มาใช้เพื่อหลบเลี่ยงการป้องกันจากผู้พัฒนาเบราว์เซอร์และรุกล้ำความเป็นส่วนตัวของผู้ใช้

เทคนิคดังกล่าวถูกเรียกว่า CNAME Cloaking ซึ่งจะถูกนำเสนอในเดือนกรกฎาคมที่จะถึงนี้ในงาน Privacy Enhancing Technologies Symposium ครั้งที่ 21 (PETS 2021) เทคนิคดังกล่าวเป็นเทคนิคการติดตามผู้ใช้โดยใช้ประโยชน์จาก CNAME record บน Subdomain เพื่อให้เบราว์เซอร์มองเว็บไซต์จาก Subdomain เป็นเว็บไซต์เดียวกันเพื่อสร้างความน่าเชื่อถือและเพื่อ Bypass การป้องกันการบล็อกคุกกี้ของผู้ใช้ที่เยื่ยมชมจากแอปพลิเคชัน Third-party ที่ถูกใช้โดยผู้ใช้หรือจากเบราว์เซอร์เอง

นอกจากนี้นักวิจัยยังพบอีกว่าการติดตามผู้ใช้ด้วย CNAME ทำให้เกิดช่องโหว่ด้านความปลอดภัยสองรายการในการใช้งาน โดยผู้ประสงค์ร้ายสามารถทำให้เว็บไซต์มีความเสี่ยงต่อการโจมตีจากเทคนิค Session fixation และเทคนิค XSS กับผู้ที่เยื่ยมชมเว็บไซต์ด้วย

ทั้งนี้ผู้พัฒนาเบราว์เซอร์อย่าง Google Chrome, Firefox, Safari, Brave กำลังพยายามแก้ไขปัญหาและคาดว่าจะมีการปล่อยการแก้ไขออกมาในลักษณะของแพตช์ด้านความปลอดภัยในเร็ววันนี้

ที่มา: thehackernews, theregister

บริษัท Emsisoft และ Coveware ได้ประกาศว่าจะทำการช่วยถอดรหัส Ransomware และเจรจาต่อรองการชำระเงินค่าไถ่ Ransomware ให้กับผู้บริการด้านการดูแลสุขภาพและโรงพยาบาลฟรี ระหว่างการระบาดของไวรัส Coronavirus เพื่ออำนวยความสะดวกทางการแพทย์ให้กับโรงพยาบาลและห้องปฏิบัติการที่ต้องการความช่วยเหลือ

บริษัท Emsisoft ได้เสนอการช่วยเหลือถอดรหัสและเเก้ไขจุดบกพร่องบนระบบที่จะสามารถนำสู่การติดไวรัส Ransomware ฟรี ทั้งนี้ทางบริษัท Emsisoft ยังได้เสนอการช่วยเหลือกู้คืนระบบและถอดรหัสสำหรับผู้ให้บริการด้านการดูแลสุขภาพและโรงพยาบาล ที่ต้องชำระเงินค่าไถ่เพื่อกู้คืนระบบ แต่พบว่าตัวถอดรหัสที่ได้รับไม่สามารถใช้งานได้

ทางด้านบริษัท Coveware ได้เสนอช่วยเหลือในการเจรจาต่อรองที่ส่วนลดค่าไถ่จากไวรัส Ransomware ให้แก่ผู้ให้บริการด้านการดูแลสุขภาพ, โรงพยาบาลและห้องปฏิบัติการที่ต้องการความช่วยเหลือ เพื่ออำนวยความสะดวกในช่วงระหว่างการระบาดของไวรัส Coronavirus หรือ (Covid-19)

ที่มา: bleepingcomputer

บริษัท Mozilla Corporation ผู้ให้บริการเว็บเบราว์เซอร์ Firefox ได้ประกาศแผนการเพื่อยกเลิกการรองรับโปรโตคอล FTP จากเว็บเบราว์เซอร์ Firefox ผู้ใช้จะไม่สามารถดาวน์โหลดไฟล์ผ่านโปรโตคอล FTP และดูเนื้อหาและโฟลเดอร์ภายในเว็บเบราว์เซอร์ Firefox

Michal Novotny วิศวกรซอฟต์แวร์ของบริษัท Mozilla Corporation กล่าวว่า Mozilla วางแผนที่จะปิดการใช้งานและการสนับสนุนโปรโตคอล FTP ด้วยการเปิดตัว Firefox เวอร์ชั่น 77 ซึ่งมีกำหนดการอัพเดตในเดือนมิถุนายนปีนี้ ผู้ใช้จะยังสามารถดูเนื้อหาและดาวน์โหลดไฟล์ผ่าน FTP ได้แต่จะต้องทำการเปิดใช้งานการสนับสนุน FTP ผ่านการตั้งค่าในหน้า about:config ในปี 2021 เว็บเบราว์เซอร์จะหยุดการให้บริการจัดการเนื้อหาบนโปรโตคอล FTP ทั้งหมด

การตัดสินใจยกเลิกการรองรับโปรโตคอล FTP ของ Mozilla มาจากที่การที่บริษัท Google ได้ทำการตัดสินใจที่คล้ายกันเกี่ยวกับโปรโตคอล FTP ใน Google Chrome เมื่อปีที่แล้วในเดือนสิงหาคม 2019 Google ประกาศแผนการที่จะลบความสามารถในการเข้าถึงและดูลิงก์ FTP จาก Google Chrome การสนับสนุน FTP จะถูกปิดใช้งานตามค่าเริ่มต้นใน Google Chrome เวอร์ชั่น 81

ที่มา: zdnet

Work from Home จากระยะไกล อย่าลืมระวังภัย BEC

ในช่วง COVID-19 กำลังระบาดแบบนี้ หลายๆ บริษัทอาจมีการปรับการทำงานเพื่อลดความเสี่ยงในการติดเชื้อ ไม่ว่าจะเป็นการให้พนักงานสามารถ Work from Home หรือเปลี่ยนรูปแบบการจ่ายเงินจากการรับเช็คไปเป็นการโอนผ่านบัญชีธนาคาร ซึ่งพฤติกรรมที่ปรับเปลี่ยนไปนี้อาจเป็นช่องทางให้ผู้ไม่หวังดีสามารถทำการโจมตีได้

เมื่อวันศุกร์ 13 มีนาคม 2020 ที่ผ่านมา นักวิจัยจาก Agari Cyber Intelligence Division (ACID) พบการโจมตีแบบ Business Email Compromise (BEC) ในธีม COVID-19 ขึ้นแล้วเป็นครั้งแรก โดยมีวิธีการโจมตีคือจดโดเมนชื่อคล้ายๆ จากนั้นส่งอีเมลปลอมไปหาบริษัทคู่ค้าระบุว่ามีความจำเป็นต้องเปลี่ยนบัญชีสำหรับโอนเงินเนื่องจากการแพร่ระบาดของ COVID-19 ซึ่งหากคู่ค้าหลงเชื่อก็จะโอนเงินเข้าไปยังเลขบัญชีของผู้โจมตีแทน

นอกจากการใช้อีเมลปลอมเป็นคู่ค้าแล้ว ยังมีเทคนิคการโจมตีแบบอื่นๆ เพื่อหลอกให้หลงโอนเงินไปยังบัญชีของผู้โจมตีอีกหลายรูปแบบ ไม่ว่าจะเป็นการปลอมเป็นผู้บริหารสั่งให้โอนเงินด่วน ไม่สร้างโดเมนปลอมแต่ใช้วิธีฟิชชิงหลอกเอารหัสผ่านอีเมลจริงๆ ไปใช้ส่งอีเมลเปลี่ยนเลขบัญชี เป็นต้น โดยสามารถอ่านรายละเอียดเกี่ยวกับ Business Email Compromise (BEC) เพิ่มเติมได้จาก https://www.

แคมเปญมัลแวร์ปลอมใบรับรองความปลอดภัยให้ผู้ใช้ปรับปรุง

ผู้เชี่ยวชาญด้านความปลอดภัยจาก Kaspersky Lab ได้ค้นพบเทคนิคการโจมตีแบบใหม่ที่แฮกเกอร์ใช้ เพื่อโจมตีโดยการแจกจ่ายมัลแวร์หลอกล่อให้ผู้ใช้ติดตั้ง “การปรับปรุงใบรับรองความปลอดภัย” ที่เป็นอันตรายเมื่อเยี่ยมชมเว็บไซต์ที่ถูกบุกรุก โดยแคมเปญนี้พบผู้ใช้งานเริ่มติดมัลแวร์ตั้งแต่ 16 มกราคม 2563 ที่ผ่านมา

เว็บไซต์ที่ถูกโจมตีจะแสดงข้อความที่อ้างว่า ใบรับรองความปลอดภัยของเว็บไซต์นั้นหมดอายุ และจะให้ผู้เยี่ยมชมติดตั้ง “การปรับปรุงใบรับรองความปลอดภัย” เพื่อดูเนื้อหาของเว็บไซต์ โดยใบรับรองความปลอดภัยที่ไม่ถูกต้อง จะฝังข้อความลงใน iframe และดาวโหลดโค้ดอันตรายผ่าน ldfidfa[.]PW/jQuery.

เบราว์เซอร์จะเริ่มต้นบล็อกการเข้าถึงเว็บไซต์ HTTPS ที่ใช้ TLS 1.0 และ 1.1 ในเดือนนี้

เว็บเบราว์เซอร์ อาทิ Firefox และ Google Chrome จะเริ่มแสดงข้อความแจ้งเตือนหากผู้ใช้งานมีการพยายามเข้าถึงเว็บไซต์ผ่านโปรโตคอล HTTPS เวอร์ชั่นเก่าในเดือนนี้ สืบเนื่องมาจากความพยายามในการผลักดันให้เว็บไซต์พยายามใช้โปรโตคอลใหม่ ที่มีความปลอดภัยสูงกว่า

บริษัท Netcraft เปิดเผยว่าเว็บไซต์กว่า 850,000 แห่งยังคงใช้โปรโตคอล TLS 1.0 และ 1.1 ซึ่งมีกำหนดการลบออกจากเบราว์เซอร์หลักส่วนใหญ่ในปลายเดือนนี้ TLS 1.0 และ 1.1 ต่างเป็นที่รู้จักกันในเรื่องของช่องโหว่และปํญหาในการโจมตี ซึ่งอาจนำไปสู่การดักอ่านข้อมูลเข้ารหัสได้

ด้วยเหตุนี้เองเจ้าตลาดยักษ์ใหญ่อย่าง Microsoft, Google, Apple และ Firefox จึงเป็นแกนนำผลักดันการยกเลิกใช้โปรโตคอลดังกล่าวมาระยะหนึ่งแล้ว โดยเริ่มต้นจากการแสดง Not Secure มาตั้งแต่ปีที่แล้วหลัง TLS 1.3 ออกมาในปี 2018 และในปลายเดือนนี้เบราว์เซอร์ส่วนใหญ่จะแสดงคำเตือนที่ซ่อนอยู่ เพื่อแสดงข้อผิดพลาดเมื่อผู้ใช้เข้าถึงเว็บไซต์ที่ใช้ TLS 1.0 หรือ TLS 1.1 ทันที

ที่มา : zdnet

ข้อบกพร่อง Intel CSME ทำให้การ Patch ถึงขั้นต้องเปลื่ยน Hardware

นักวิจัยด้านความปลอดภัย Mark Ermolov จาก Positive Technologies ได้ออกมาให้ข้อมูลเกี่ยวกับช่องโหว่ ซึ่งทางบริษัทได้ค้นพบและเปิดเผยล่าสุดคือ CVE-2019-0090 ซึ่งจะทำให้ผู้โจมตีที่มีสิทธิ์เข้าถึง CPU ถึงขั้น Physical Access สามารถใช้ช่องโหว่เพื่อเพิ่มสิทธิ์ และเรียกใช้งานโค้ดจากภายใน CSME และเทคโนโลยีอื่นๆที่เกี่ยวข้องของ Intel เช่น Intel TXE (Trusted Execution Engine) และ SPS (Server Platform Services)

นอกจากนี้ยังมีช่องโหว่ที่ทำให้มัลแวร์สามารถใช้ประโยชน์จาก Local Access โดยไม่จำเป็นต้องมีการเข้าถึง Physical Access ของระบบ และมัลแวร์จะสามารถยกระดับสิทธิ์ OS (Root Privileges) เพื่อการเข้าถึงและเรียกใช้โค้ดระดับ BIOS ได้

Mark ยังกล่าวว่าจุดบกพร่องใน CPU ของ Intel ที่ได้รับการ Patch เมื่อปีที่แล้วนั้นแย่กว่าที่คิดไว้มาก การตรวจจับการถูกโจมตีจะยากมากและการ Patch Firmware เพื่อแก้ไขปัญหาจะทำได้เพียงบางส่วนเท่านั้น ความเป็นไปได้ในการช่วยลดผลกระทบเพียงกรณีเดียวในตอนนี้คือ เปลี่ยนฮาร์ดแวร์ไปใช้ CPU Intel Gen 10th ขึ้นไป ที่ไม่ได้รับผลกระทบจากช่องโหว่

ที่มา : zdnet