ข้อมูลเบื้องต้น
ผู้เชี่ยวชาญจาก ThreatLabz ของ Zscaler ตรวจพบแคมเปญนี้ในเดือนพฤษภาคม โดยพบว่าการโจมตีในครั้งนี้มุ่งเป้าไปที่หน่วยงานต่างๆของสหรัฐอเมริกา นอกจากนี้ยังมีบริษัทด้านความปลอดภัยของซอฟต์แวร์ ผู้ให้บริการโซลูชันด้านความปลอดภัย การทหาร การดูแลสุขภาพ และเภสัชกรรมที่ตกเป็นเป้าหมายอีกด้วย
ซึ่ง Zscaler ที่เป็นบริษัทที่ตรวจพบแคมเปญนี้ก็เป็นหนึ่งในองค์กรเป้าหมายด้วยเช่นเดียวกัน

ลักษณะการโจมตี
1. การโจมตีเริ่มต้นจากการส่งอีเมลไปยังเป้าหมาย โดยระบุว่ามีข้อความเสียงอยู่ในไฟล์แนบ
2. เมื่อเป้าหมายเปิดไฟล์แนบ สคริป HTML จะทำงาน และเปลี่ยนเส้นทางไปยังหน้าใส่ CAPTCHA ซึ่งการใส่ CAPTCHA จะช่วยให้ผู้โจมตีสามารถหลบเลี่ยงเครื่องมือสแกน URL แบบอัตโนมัติได้
3. หลังจากใส่ CAPTCHA เสร็จมันจะเปลี่ยนเส้นทางเป็น Login Microsoft ปลอมที่เป็นชื่อของเอนทิตีเป้าหมาย และโดเมนของผู้โจมตีเพื่อให้ใส่อีเมล และรหัสผ่าน หากผู้ใช้งานใส่รหัสผ่านเสร็จ จะมีแจ้งเตือนขึ้นว่าไม่มีบัญชีผู้ใช้งานนี้

นอกจากนี้ยังพบว่าฟิลด์ "From" ของอีเมลจะถูกสร้างขึ้นให้สอดคล้องกับบริษัทของผู้รับ เช่น เมื่อมีการกำหนดเป้าหมายพนักงานของ Zscaler URL ของหน้าจะใช้รูปแบบ zscaler.

Affected Platform : Microsoft Office Outlook

Microsoft ได้เผยแพร่โปรแกรมสำหรับแก้ไขปัญหาช่องโหว่ที่มีผลต่อ Microsoft Office การใช้ช่องโหว่ดังกล่าวอาจทำให้ผู้บุกรุกสามารถควบคุมระบบที่ไม่ได้รับการอัพเดตได้

CVE-2017-8663 | ช่องโหว่ของ Microsoft Office Outlook ที่เกิดขึ้นจากหน่วยความจำ
ช่องโหว่นี้จะเปิดโอกาสให้ผู้ไม่หวังดีสามารถส่งไฟล์อันตรายผ่านทาง Microsoft Office Outlook ที่ไม่ได้รับการอัพเดต เมื่อเหยื่อทำการเปิดไฟล์แล้ว จะทำให้ผู้ไม่หวังดีสามารถเข้ามาควบคุมเครื่องได้ และสามารถติดตั้งโปรแกรม เปลี่ยนหรือลบข้อมูล ทำได้แม้กระทั่งการสร้างบัญชีใหม่ที่มีสิทธิ์การเข้าถึงระบบอย่างเต็มรูปแบบ โดยการอัพเดตความปลอดภัยนี้จะแก้ไขปัญหาช่องโหว่โดยการที่ Microsoft Office Outlook จะช่วยทำการวิเคราะห์ และแยกแยะเนื้อหาของอีเมล์ให้

CVE-2017-8572 | ช่องโหว่ของ Microsoft Office Outlook ที่จะเปิดเผยข้อมูลของหน่วยความจำที่ถูกใช้งาน
ช่องโหว่จะเปิดเผยข้อมูลของหน่วยความจำที่มีการใช้งาน โดยผู้ไม่หวังดีจะใช้ข้อมูลนี้เพื่อระบุตำแหน่งของหน่วยความจำที่ใช้ในการสร้างวัตถุ(Object) และจะใช้ช่องโหว่นี้เพื่อสร้างไฟล์เอกสารที่มีการฝัง script ไว้ เมื่อเหยื่อเปิดไฟล์ขึ้นมา จะทำให้ผู้ไม่หวังดีสามารถเข้าถึงคอมพิวเตอร์หรือข้อมูลของเหยื่อได้ โดยการอุดช่องโหว่นี้งจะทำการเปลี่ยนวิธีการจัดการฟังก์ชันบางอย่างในหน่วยความจำ

ที่มา : us-cert

ทีมนักวิจัยของ Symantec ได้ออกมาประกาศแจ้งเตือนผู้ที่ใช้งาน Gmail, Outlook และ Yahoo Mail ว่าให้ระวังเทคนิคการหลอกลวงรูปแบบใหม่ของผู้ไม่ประสงค์ดี เริ่มต้นโดยผู้ไม่ประสงค์ดีต้องทราบอีเมล์และเบอร์โทรศัพท์ของเหยื่อก่อน ซึ่งปัจจุบันนี้ข้อมูล 2 อันนี้หาได้ง่ายมากจาก Social Network ต่างๆ เช่น Facebook, LinkedIn หรือจากการสอบถามผู้อื่น จากนั้นผู้ไม่ประสงค์ดีจะระบุอีเมล์ของเหยื่อและใช้ฟีเจอร์ Password Recovery ที่ใช้สำหรับกรณีที่เจ้าของอีเมล์ลืมรหัสผ่านของตนเอง มาเป็นเครื่องมือในการแอบหลอกขโมยรหัสผ่าน

หลังจากที่เรียกใช้ฟีเจอร์ Password Recovery แล้ว ระบบอีเมล์จะทำการส่ง Verification Code ไปยังมือถือของเหยื่อตามเบอร์โทรศัพท์ที่ได้ลงทะเบียนไว้ ผู้ไม่ประสงค์ดีจะทำการส่งข้อความตามไปทันที ใจความประมาณว่า “Google has detected unusual activity on your account.

โครงการ Zero-Day Initiative (ZDI) ของเอชพีเปิดเผยบั๊ก CVE-2014-1770 หรือ ZDI-14-140 ที่เปิดเผยให้กับไมโครซอฟท์ตั้งแต่ช่วงเดือนตุลาคมปีที่แล้ว จนตอนนี้บั๊กนี้ครบระยะเวลารอแพตซ์จากผู้ผลิต 180 วัน ทาง ZDI ก็เปิดเผยบั๊กนี้ออกมา
บั๊กนี้อาศัยช่องโหว่ของออปเจกต์ CMarkup ทำให้แฮกเกอร์สามารถนำพอยเตอร์กลับมาใช้ใหม่ได้หลังคืนหน่วยความจำไปแล้ว (use-after-free) และแฮกเกอร์สามารถรันโค้ดภายใต้โปรเซสปัจจุบันได้
ไมโครซอฟท์ตอบกลับมายัง ZDI ยืนยันว่าพบบั๊กนี้จริงโดยผู้ใช้ต้องถูกล่อให้เปิดหน้าเว็บ หรือเปิดไฟล์ที่เจาะช่องโหว่นี้ การเปิดเว็บที่ถูกควบคุมเฉพาะเช่น การเปิดเว็บที่ฝังมาบนอีเมล์ใน Outlook หรือ Windows Mail ไม่สามารถเจาะช่องโหว่นี้ได้ และแนะนำให้ติดตั้ง Enhanced Mitigation Experience Toolkit (EMET) เพื่อลดความเสี่ยงจากบั๊กนี้
ทาง ZDI แจ้งไมโครซอฟท์ครั้งสุดท้ายเมื่อวันที่ 8 ที่ผ่านมาว่าครบกำหนดการเปิดเผยบั๊ก แล้วจึงเปิดเผยบั๊กออกมาในวันนี้

ที่มา : theregister