Flipboard ผู้ให้บริการข่าวผ่านแอฟได้แจ้งเตือนผู้ใช้งานให้ทำการ รีเซ็ตตั้งพาสเวิดใหม่เนื่องจาก hacker สามารถเข้าถึงฐานข้อมูลของลูกค้ามาได้นานกว่า 9 เดือน

รายงานระบุว่าข้อมูลที่ถูกเข้าถึง มีทั้งชื่อบัญชีผู้ใช้งาน, รหัสผ่าน, อีเมล และดิจิตอลโทเค็นที่เชื่อมโยงกับ Third-party บางรายการ โดยพบว่าข้อมูลถูกเข้าถึงตั้งแต่วันที่ 2 มิถุนายน 2561 ถึง 23 มีนาคม 2562 และครั้งที่สองระหว่างวันที่ 21 เมษายนถึง 22 เมษายน 2562 อย่างไรก็ตามยังมีข่าวดีบ้าง เมื่อ Flipboard ให้ข้อมูลว่ารหัสผ่านถูกจัดเก็บในรูปแบบของค่า Hash ด้วย bcrypt ที่มีการใช้ร่วมกับค่า Salt ทำให้ยากต่อการ crack แม้จะมีบัญชีผู้ใช้งานบางรายที่มีการเปลี่ยนรหัสผ่านก่อนวันที่ 14 มีนาคม ที่จะถูกเก็บในรูปแบบ SHA-1 ซึ่งมีความปลอดภัยที่ต่ำกว่า

Flipboard ไม่เปิดเผยจำนวนบัญชีที่ได้รับผลกระทบ และได้ทำการแจ้งผู้ใช้งานให้ทำการตั้งค่ารหัสผ่านใหม่ รวมทั้ง รีเซ็ตโทเคนที่มีการเชื่อมต่อกับ แอพพลิเคชั่นอื่นๆ อย่าง Facebook, Twitter google และ Samsung แล้ว

ที่มา: zdnet

เมื่อวันที่ 20 มีนาคม 2562 ที่ผ่านมา ทาง Atlassian ได้ทำการปล่อยแพตช์แก้ไขช่องโหว่ที่มีระดับความรุนแรงสูงสุดคือ CVE-2019-3396 ส่งผลกระทบกับ Confluence Server และ Confluence Data Center โดยช่องโหว่นี้กำลังถูกโจมตีหลายแบบที่ Confluence Server เช่น ถูกวาง ransomware, ถูกใช้เพื่อหา cryptocurrency และถูกวางมัลแวร์ที่ใช้การโจมตีแบบ DDos

3 สัปดาห์ต่อมาจากการแพตช์ ทางนักวิจัยด้านความปลอดภัยรายงานว่าแฮกเกอร์ทำการโจมตีอีกครั้งโดยใช้ช่องโหว่เดิม พบว่าเป็นการโจมตีจาก IP ที่มาจากประเทศโรมาเนียที่พยายามวางมัลแวร์ชื่อ Dofloo DDoS

และในวันที่ 7 พฤษภาคม 2019 นักวิจัยได้พบรูปแบบการโจมตีใหม่โดยใช้ช่องโหว่เดียวกันนี้อีก โดยเป็นการแพร่มัลแวร์ Kerberods ที่มีความสามารถในการหา cryptocurrency และวาง rootkit การโจมตีแบบใหม่นี้จะเริ่มต้นจากการส่งคำสั่งเพื่อดาวน์โหลดคำสั่งถัดไปจาก Pastebin โดยจะดาวน์โหลดคำสั่งเป็นขั้นๆ หลายครั้งจนกว่าจะถึงคำสังที่ใช้ดาวน์โหลดมัลแวร์ Kerberods

เมื่อมัลแวร์ Kerberods ถูกติดตั้ง มันจะใช้ทรัพยากรของเครื่องเซิร์ฟเวอร์เพื่อหา cryptocurrency จากนั้นจะวาง rootkit เพื่อซ่อนการทำงานและแพร่กระจายตัวเองต่อไป จากข่าวรายงานว่า rootkit มาในรูปแบบการเข้ารหัสและได้รับการคอมไพล์เป็นไบนารีด้วยระบบ GNU Compiler Collection (GCC) โดย rootkit มีวิธีการแพร่กระจายด้วยตนเองหลายวิธีโดยใช้การเชื่อมต่อ SSH และโมดูล Metasploit สำหรับหาช่องโหว่ CVE-2019-1003001 ในเซิร์ฟเวอร์ Jenkins อัตโนมัติ

ผู้ดูแลระบบ Confluence ควรทำการอัปเดตแพตช์ CVE-2019-3396 เพื่อความปลอดภัย
ที่มา: bleepingcomputer.

ตรวจพบสายพันธุ์ ransomware ใหม่ ชื่อ MegaCortex ที่กำหนดเป้าหมายไปยังภาคธุรกิจ

Sophos บริษัท รักษาความปลอดภัยไซเบอร์แห่งสหราชอาณาจักรรายงานว่ามีการตรวจพบการโจมตี ransomware ในปลายสัปดาห์ที่ผ่านมาจากสายพันธุ์ใหม่ที่ชื่อว่า MegaCortex และดูเหมือนจะได้รับการออกแบบมาเพื่อโจมตีองค์กรขนาดใหญ่คล้ายกับ Ryuk, Bitpaymer, Dharma, SamSam, LockerGoga และ Matrix

MegaCortex ได้ถูกพบครั้งแรกเมื่อปลายเดือนมกราคมเมื่อมีคนอัพโหลดตัวอย่างบนบริการสแกนมัลแวร์ VirusTotal นับตั้งแต่นั้นมาจำนวนการโจมตีเพิ่มขึ้น เมื่อกลางสัปดาห์ที่ผ่านมาได้ตรวจพบการโจมตี 47 ครั้ง

Sophos กล่าวว่าบล็อกการโจมตีที่ตรวจพบซึ่งมาจากเครือข่ายองค์กรหลายแห่งที่ตั้งอยู่ในสหรัฐอเมริกา แคนาดา เนเธอร์แลนด์ ไอร์แลนด์ อิตาลี และฝรั่งเศส อย่างไรก็ตามการโจมตีอื่น ๆ อาจเกิดขึ้นในที่อื่น ๆ ที่ Sophos ไม่ครอบคลุม

ที่มา:www.

แฮกเกอร์เรียกค่าไถ่แลกกับการไม่เปิด git repository เป็นสาธารณะ หากผู้ที่ตกเป็นเหยื่อไม่ชำระเงินใน 10 วัน

แฮกเกอร์อ้างว่าซอร์สโค้ดทั้งหมดได้รับการดาวน์โหลดและเก็บไว้ในเซิร์ฟเวอร์ตัวใดตัวหนึ่งแล้วให้เหยื่อจ่ายเงินค่าไถ่ 10 วัน ชำระเงินเป็น 0.1 Bitcoin (~ $ 570) มิฉะนั้นพวกเขาจะทำให้ซอร์สโค้ดเป็นสาธารณะ การโจมตีครั้งนี้เกิดกับหลายๆ บริการโฮสติ้ง Git ทั้ง GitHub Bitbucket และ GitLab และยังไม่ชัดเจนว่าเกิดขึ้นได้อย่างไร
โดยแฮกเกอร์จะลบซอร์สโค้ดทั้งหมดและ commit ล่าสุดจากบริการโฮสติ้ง Git ของเหยื่อ

จากการสำรวจของ GitHub พบว่า git repository บน GitHub อย่างน้อย 392 แห่งได้ถูกเรียกค่าไถ่แล้ว และจากข้อมูลของ BitcoinAbuse.

หน่วยงานความมั่นคงปลอดภัยและโครงสร้างพื้นฐานทางไซเบอร์ (CISA) ของสหรัฐอเมริกาออกมาแจ้งเตือนให้ผู้ใช้งานตรวจสอบการตั้งค่าที่ไม่ปลอดภัยบนอุปกรณ์ หรือระบบ SAP ของตนเอง ซึ่งอาจถูกใช้เป็นช่องทางในการโจมตีของผู้ไม่หวังดี

ในงานสัมมนาด้านความปลอดภัยทางไซเบอร์ Operation for Community Development and Empowerment (OPCDE) เมื่อเดือนเมษายนที่ผ่านมา ได้มีการนำเสนอปัญหาการตั้งค่าที่ไม่ปลอดภัยบน SAP ที่เปิดให้สามารถเข้าถึงจากภายนอกได้ อาจจส่งผลให้ผู้ไม่หวังดีสามารถใช้เป็นช่องทางในการโจมตีผ่านการใช้เครื่องมือที่ชื่อว่า "10KBLAZE"

โดยมีส่วนที่ควรต้องตรวจสอบ ดังต่อไปนี้
SAP Gateway ACL
SAP Gateway เป็นส่วนที่อนุญาตให้แอปพลิเคชันที่ไม่ใช่ SAP สื่อสารกับแอปพลิเคชัน SAP ได้ โดยจะมีการตั้งค่า Access Control Lists (ACLs) เป็นตัวควบคุม แต่ถ้าหากมีการตั้งค่าที่ไม่เหมาะสม เช่น gw/acl_mode = 0 จะส่งผลให้ผู้ใช้งานที่ไม่ระบุตัวตน (Anonymous) สามารถสั่งรันคำสั่งระดับระบบปฏิบัติการ (OS) ได้ พบว่ามีระบบ SAP ประมาณ 900 รายการ ในสหรัฐอเมริกา ที่มีการตั้งค่าไม่เหมาะสมและสามารถเข้าถึงได้จากภายนอก

SAP Router secinfo
SAP Router เป็นโปรแกรมที่ช่วยเชื่อมต่อระบบ SAP กับเครือข่ายภายนอก โดยเริ่มต้นจะมีการกำหนดค่าตัวแปร "secinfo" ของ SAP Gateway อนุญาตให้โฮสต์ภายในสามารถสั่งรันคำสั่ง OS โดยไม่ต้องระบุตัวตน (Anonymous) ดังนั้นถ้าหากผู้โจมตีสามารถเข้าถึง SAP Router ที่มีใช้งานการกำหนดค่าแบบเริ่มต้นได้ จะส่งผลให้ผู้ไม่หวังดีสามารถใช้ router เพื่อทำหน้าที่เป็นโฮสต์ภายในและ Proxy เพื่อส่งคำสั่งที่เป็นอันตรายได้ (remote code execution) พบว่ามี SAP Router ประมาณ 1,811 รายการในสหรัฐอเมริกาที่สามารถเชื่อมต่อกับภาย เสี่ยงต่อการถูกโจมตี

SAP Message Server
SAP Message Server จะทำหน้าที่เป็นตัวกลางระหว่าง Application Servers (AS) โดยการตั้งค่าเริ่มต้นจะกำหนดให้มีการเปิด Port 39xx เอาไว้ และไม่มีการตรวจสอบสิทธิ์ (authentication) เพื่อใช้งาน ดังนั้นหากผู้ไม่หวังดีสามารถเข้าถึง Message Server ได้ จะส่งผลให้สามารถเปลี่ยนเส้นทาง และ/หรือทำตัวเป็น Man-in-the-middle (MITM) เพื่อดักการส่งข้อมูล และขโมยข้อมูลสำคัญ (credentials) เพื่อนำไปใช้ในการเข้าถึง Application Servers (AS) และสั่งรันคำสั่งที่เป็นอันตรายได้ พบว่ามี Message Server ประมาณ 693 รายการในสหรัฐอเมริกาที่สามารถเข้าถึงได้จากภายนอก และเสี่ยงต่อการถูกโจมตี ทั้งนี้ผู้ใช้งานที่มีการใช้งาน IPS หรือ IDS สามารถใช้ Snort signature ที่มีมาให้ในลิงก์ที่มาเพื่อช่วยในการตรวจจับหรือป้องกันได้

CISA แนะนำให้ผู้ดูแลระบบ SAP ดำเนินการดังต่อไปนี้ เพื่อลดความเสี่ยงที่ระบบของตนเองอาจตกเป็นเหยื่อจากการโจมตี
- ตรวจสอบระบบของตนเอง เพื่อให้แน่ใจว่าการกำหนดค่านั้นมีความปลอดภัยเพียงพอแล้วหรือยัง
- จำกัดการเข้าถึง SAP Message Server โดย:
1. กำหนดค่า ACL ให้เฉพาะผู้ที่มีสิทธิ์เข้าถึงบน Gateways (gw/acl_mode และ secinfo) และ Message Server (ms/acl_info) สามารถศึกษาได้จาก SAP Notes 1408081 และ 821875
2. แยก Message Server Internal และ Public (rdisp/msserv=0 rdisp/msserv_internal=39NN) สามารถศึกษาได้จาก SAP Note 1421005
3. จำกัดการเข้าถึงพอร์ตภายในของ Message Server (tcp / 39NN) สำหรับผู้ใช้งานหรือจากภายนอก
- เปิดใช้งาน Secure Network Communications (SNC) สำหรับผู้ใช้งาน

* ตรวจสอบให้แน่ใจว่าระบบ SAP ในองค์กร ไม่ว่าจะเป็นส่วนใดก็ตาม ไม่ควรที่จะสามารถเข้าถึงได้จากภายนอก

ที่มา: www.

Cisco แก้ไขข้อบกพร่องความรุนแรงระดับสูง 2 รายการที่ผู้โจมตีสามารถโจมตีระยะไกลมายังเครื่องเป้าหมายได้จนเกิดการหยุดทำงาน (DoS) เมื่อวันที่ 3 พฤษภาคม 2019

ช่องโหว่ที่มีผลกระทบได้กว้างที่สุดคือ CVE-2019-1721 ซึ่งเป็นข้อบกพร่องในส่วน phone-book ของ Cisco Expressway Series และ Cisco TelePresence Video Communication Server ซึ่ง Cisco แจ้งลูกค้าเมื่อวันศุกร์ที่ผ่านมาซึ่งระบุว่าข้อบกพร่องดังกล่าวอาจทำให้ผู้โจมตีควบคุมเครื่องจากระยะไกล สามารถทำให้ CPU เพิ่มการใช้งานได้ถึง 100 เปอร์เซ็นต์จนเกิดการหยุดทำงาน

อีกช่องโหว่ที่ทำให้เกิดการหยุดทำงานได้นั้นถูกสร้างขึ้นเมื่อเกิดการโจมตีโดยใช้จุดบกพร่องที่มีความรุนแรงสูง (CVE-2019-1694) ในส่วนประมวลผล TCP ของซอฟต์แวร์ Cisco Adaptive Security Appliance (ASA) และซอฟต์แวร์ Cisco Firepower Threat Defense (FTD) ในทุกอุปกรณ์ของ Cisco เครื่องเราเตอร์ Cisco 7600 series ไปจนถึง Adaptive Security Virtual Appliance

นอกจากนี้ Cisco ยังแก้ไขข้อผิดพลาดความรุนแรงระดับปานกลางอื่นๆ เมื่อวันที่ 3 พฤษภาคม 2019 อีกด้วย ได้แก่ ข้อผิดพลาด (CVE-2019-1712) ซึ่งเชื่อมโยงกับคุณสมบัติ Protocol Independent Multicast (PIM) ของซอฟต์แวร์ Cisco IOS XR ซึ่งใช้ในเราเตอร์ Cisco ASR 9000 ซีรี่ส์จำนวนหนึ่ง และช่องโหว่ (CVE-2019-1844) อาจทำให้ผู้โจมตีสามารถโจมตีจากระยะไกล สามารถข้ามฟังก์ชันการกรองของ Cisco Email Security Appliance ที่ได้รับผลกระทบ ทำให้ผู้โจมตีสามารถส่งอีเมลที่มีข้อความอันตรายได้

ผู้ดูแลระบบควรศึกษาคำแนะนำของ Cisco เพื่ออัปเดตผลิตภัณฑ์จาก tools.

พบการโจมตีช่องโหว่ระดับวิกฤติใน Oracle WebLogic

เมื่อวันที่ 21 เมษายน 2019 ทีม KnownSec 404 จาก ZoomEye ประกาศการค้นพบช่องโหว่ระดับวิกฤติใน Oracle WebLogic ได้รับ CVE-2019-2725 ช่องโหว่ดังกล่าวกระทบ Oracle WebLogic Server รุ่น 10.3.6.0 และรุ่น 12.1.3.0 ด้วยความร้ายแรงของช่องโหว่นี้ทำให้ Oracle ได้ออกแพตช์เฉพาะกิจมาเพื่อแก้ไขช่องโหว่ดังกล่าวในวันที่ 26 เมษายน 2019 โดยสามารถอ่านรายละเอียดของแพตช์ดังกล่าวได้จาก [https://www.