นักวิจัยด้านความปลอดภัย Matt Dunn จาก Raxis ได้เปิดเผยปัญหา Timing attack ใน Remote Desktop (RD) Web Access ของไมโครซอฟต์ซึ่งเป็นเว็บแอปสำหรับฟีเจอร์ Remote desktop ปัญหาดังกล่าวถูกเรียกว่า Timing attack ที่ส่งผลให้ผู้โจมตีสามารถคาดเดาชื่อบัญชีผู้ใช้งานได้

ปัญหาดังกล่าวนั้นเกิดขึ้นในขั้นตอนของการพิสูจน์ตัวตน หากมีการพยายามพิสูจน์ตัวตนด้วยบัญชีผู้ใช้งานที่ไม่มีอยู่จริง ระบบเบื้องหลังของ RD Web Access จะใช้เวลาประมวลผลประมาณ 4000 มิลลิวินาที ในขณะเดียวกันหากมีการใช้ชื่อบัญชีที่มีอยู่จริงแต่รหัสผ่านผิด ระบบเบื้องหลังจะตอบกลับมาโดยใช้เวลาเพียงแค่ประมาณ 232 มิลลิวินาทีเท่านั้น อัตราส่วนความแตกต่างของเวลาในการตอบกลับทำให้ผู้โจมตีสามารถใช้ปัจจัยดังกล่าวในการระบุหาชื่อบัญชีผู้ใช้งานได้ หากผู้โจมตีทราบชื่อของโดเมน Active Directory

ปัญหานี้เกิดขึ้นกับ Windows Server 2016 และ 2019 และมีการพัฒนาโมดูลของ Metasploit ขึ้นมาเพื่อใช้โจมตีแล้วที่ตำแหน่ง auxiliary/scanner/http/rdp_web_login

Raxis ได้มีการรายงานปัญหาดังกล่าวไปยังไมโครซอฟต์ อย่างไรก็ตามอ้างอิงจากไทม์ไลน์การแจ้งช่องโหว่ Microsoft ปฏิเสธที่จะสนับสนุนและแก้ไขปัญหาด้านความปลอดภัยนี้

เราขอแนะนำให้ผู้ดูแลระบบตั้งค่าการเข้าถึง RD Web Access ผ่าน VPN เพื่อให้สามารถควบคุมการเข้าถึงได้, เปิดใช้ ISA หรือเซอร์วิส Microsoft Federation และบังคับให้ RD Web Access ต้องวิ่งผ่านเพื่อลดผลกระทบจากการโจมตี รวมไปถึงเปิดใช้ Multi factor authentication ด้วย

ที่มาFebruary: raxis

 

รวมข่าว BlueKeep ระหว่างวันที่ 1 - 11 พฤศจิกายน 2019

BlueKeep คืออะไร

BlueKeep หรือช่องโหว่ CVE-2019-0708 เป็นช่องโหว่ที่สามารถรันคำสั่งอันตรายจากระยะไกลได้ พบใน Remote Desktop Services กระทบ Windows 7, Windows Server 2008 R2, Windows Server 2008, Windows Server 2003 และ Windows XP

ช่องโหว่นี้ได้รับแพตช์ความปลอดภัยแล้วเมื่อเดือนพฤษภาคม 2019 ที่ผ่านมา โดยช่องโหว่นี้มีคำเตือนให้ผู้ใช้งานเร่งอัปเดตเพราะว่าช่องโหว่นี้สามารถเอามาทำเวิร์มแพร่กระจายได้เหมือน WannaCry ที่ใช้ช่องโหว่ CVE-2017-0144 EternalBlue (Remote Code Execution ใน SMB)

พบการโจมตีด้วยช่องโหว่ BlueKeep แล้ว

2 พฤศจิกายน 2019 Kevin Beaumont นักวิจัยผู้ตั้งชื่อเล่นให้ CVE-2019-0708 ว่า BlueKeep เปิดเผยการค้นพบการโจมตีด้วยช่องโหว่ BlueKeep บน honeypot ที่เขาเปิดล่อเอาไว้ทั่วโลกตั้งแต่เดือนพฤษภาคม 2019 ซึ่งการโจมตีครั้งนี้ทำให้เหล่า honeypot เกิดจอฟ้า

จากการวิเคราะห์ crash dump ที่ได้จากเหล่า honeypot พบว่าการโจมตีดังกล่าวยังไม่ได้แพร่โดยเวิร์ม แต่เกิดจากการใช้ Metasploit พยายามรันคำสั่งอันตรายเพื่อติดตั้งมัลแวร์ขุดเหมือง เนื่องจากโมดูลสำหรับโจมตีด้วย BlueKeep ใน Metasploit ยังไม่ค่อยเสถียร เลยทำให้เกิดจอฟ้า

อ่านต่ออย่างละเอียด thehackernews

ไม่ใช่เวิร์มแต่ก็อันตรายนะ ไมโครซอฟต์ออกมาเตือนอีกรอบ

8 พฤศจิกายน 2019 ไมโครซอฟต์ออกรายงานวิเคราะห์การโจมตี BlueKeep ร่วมกับ Kevin Beaumont และ Marcus Hutchins ด้วยมัลแวร์ขุดเหมืองดังกล่าว พร้อมกับเตือนให้ผู้ใช้งานเร่งแพตช์ เพราะต้องมีการโจมตีที่รุนแรงกว่านี้ตามมาแน่นอน

อ่านต่ออย่างละเอียด https://www.

 

เมื่อวันที่ 6 กันยายน 2019 Metasploit ได้ปล่อย exploit สำหรับช่องโหว่ CVE-2019-0708 BlueKeep ที่สามารถโจมตีแบบรันคำสั่งอันตรายบนระบบที่มีช่องโหว่จากระยะไกล (RCE) ออกมาแล้ว

ช่องโหว่ CVE-2019-0708 หรือ BlueKeep เป็นช่องโหว่ Remote Code Execution ใน Remote Desktop Protocol ใน Windows XP, Windows 2003, Windows 7, Windows Server 2008 และ Windows Server 2008 R2 ที่มีการเปิดใช้งาน RDP

โดย Microsoft ได้ออกแพตช์มาให้อัปเดตกันตั้งแต่เดือนพฤษภาคม 2019 ที่ผ่านมา และระบุคำเตือนให้ผู้ใช้งานเร่งอัปเดตเพราะว่าช่องโหว่นี้สามารถเอามาทำเวิร์มแพร่กระจายได้เหมือน WannaCry ที่ใช้ช่องโหว่ CVE-2017-0144 EternalBlue (Remote Code Execution ใน SMB)

แต่จากตรวจสอบผ่านเว็บไซต์ binaryedge.

Mohamed A. Baset ชาวเม็กซิโกพบช่องโหว่ CSRF บน Metasploit Project ในส่วนของหน้าเว็บ ได้หมายเลข CVE-2017-5244 มีผลกระทบกับ Metasploit รุ่น Express, Community และ Professional ที่เป็นเวอร์ชั่นต่ำกว่า 4.14.0 หากเหยื่อคลิกลิงค์ที่มีโค้ดสำหรับโจมตี CSRF (สร้าง HTTP Request ไปยัง https://127.0.0.1:3790/tasks/stop_all) จะทำให้ Metasploit ที่กำลังสแกนอยู่ทั้งหมดนั้น หยุดสแกนทันที ผู้ใช้งาน Metasploit ควรอัพเดทเป็นเวอร์ชั่น 4.14.0 (Update 2017051801) เพื่อแก้ไขช่องโหว่

ที่มา : Seekurity Blog

โดเมน Metasploit.com ถูกแฮกและเปลี่ยนหน้าเว็บไซต์โดยกลุ่ม Kdms Team โดยก่อนหน้านี้กลุ่มแฮกเกอร์กลุ่มนี้ได้ทำการแฮกและเปลี่ยนหน้าเว็บไซต์ของ whatapp, avira, alexa และเว็บไซต์อื่นๆอีกมากมายซึ่งทางด้าน Mr. HD Moore (หัวหน้าฝ่ายวิจัยของ Rapid7.com และหัวหน้าทีมสถาปนิก Metasploit) ได้ออกมาทวิตข้อความถึงวิธีที่ใช้แฮก Metasploit.