ชุดเครื่องมือสำหรับการโจมตีแบบฟิชชิง และมัลแวร์ตัวใหม่ที่ชื่อว่า MatrixPDF ช่วยให้ผู้โจมตีสามารถแปลงไฟล์ PDF ทั่วไปให้เป็นเหยื่อล่อแบบ interactive ได้ ซึ่งจะ bypass การรักษาความปลอดภัยของอีเมล และเปลี่ยนเส้นทางของเหยื่อเพื่อขโมยข้อมูล credential หรือการดาวน์โหลดมัลแวร์

เครื่องมือใหม่นี้ถูกพบโดย Daniel Kelley นักวิจัยของ Varonis ซึ่งให้ข้อมูลกับ BleepingComputer ว่า MatrixPDF โดยถูกพบครั้งแรกในฟอรัมของกลุ่มแฮ็กเกอร์ โดยผู้ขายใช้ Telegram เป็นช่องทางเพิ่มเติมในการติดต่อกับผู้ซื้อ โดยโฆษณาเครื่องมือนี้ว่าเป็นเครื่องมือจำลองการโจมตีแบบฟิชชิง และเครื่องมือสำหรับ blackteaming

ข้อความโฆษณาที่แชร์กับ BleepingComputer ระบุว่า MatrixPDF: Document Builder - Advanced PDF Phishing with JavaScript Actions เป็นเครื่องมือสำหรับการสร้างไฟล์ PDF สำหรับจำลองการโจมตีแบบฟิชชิงที่เสมือนจริง ซึ่งถูกปรับแต่งมาสำหรับ black team และการฝึกอบรมสร้างความตระหนักด้านความปลอดภัยไซเบอร์”

“ด้วยการนำเข้าไฟล์ PDF แบบ drag-and-drop การแสดงตัวอย่างแบบเรียลไทม์ และ Security overlays ที่ปรับแต่งได้ MatrixPDF จึงสามารถจำลองสถานการณ์การโจมตีแบบฟิชชิงได้อย่างมืออาชีพ”

“ระบบป้องกันในตัว เช่น การเบลอเนื้อหา, กลไกการเปลี่ยนเส้นทางที่ปลอดภัย, Metadata Encryption, และ Bypass Gmail ช่วยให้มั่นใจในความถูกต้อง และความน่าเชื่อถือในสภาพแวดล้อมการทดสอบ”

เครื่องมือนี้มีระดับราคาที่หลากหลาย ตั้งแต่ 400 ดอลลาร์ต่อเดือน ไปจนถึง 1,500 ดอลลาร์สำหรับทั้งปี

ชุดเครื่องมือฟิชชิง MatrixPDF

รายงานฉบับใหม่จาก Varonis อธิบายว่า เครื่องมือสร้าง MatrixPDF ช่วยให้ผู้โจมตีสามารถอัปโหลดไฟล์ PDF ที่ถูกต้องตามปกติเพื่อใช้เป็นเหยื่อล่อ จากนั้นเพิ่มคุณสมบัติที่เป็นอันตราย เช่น การเบลอเนื้อหา, การแสดงข้อความปลอม "Secure Document" และ Overlays ที่สามารถคลิกได้ ซึ่งจะนำไปสู่ URL payload ภายนอก

MatrixPDF ยังสามารถ embed JavaScript ซึ่งจะ triggered เมื่อผู้ใช้เปิดเอกสาร หรือเมื่อเหยื่อคลิกปุ่ม JavaScript นี้จะพยายามเปิดเว็บไซต์ หรือดำเนินการที่เป็นอันตรายอื่น ๆ

คุณสมบัติการเบลอเนื้อหาช่วยให้ผู้โจมตีสามารถสร้างไฟล์ PDF ที่ดูเหมือนจะมีเนื้อหาที่ได้รับการป้องกัน และถูกเบลอไว้ และมีปุ่ม "Open Secure Document" การคลิกที่เอกสารจะเปิดเว็บไซต์ที่สามารถใช้เพื่อโฮสต์หน้าฟิชชิง หรือเผยแพร่มัลแวร์ได้

การทดสอบโดย Varonis แสดงให้เห็นว่าไฟล์ PDF ที่เป็นอันตรายสามารถถูกส่งไปยังบัญชี Gmail ได้โดย bypass phishing filters ทั้งนี้เป็นเพราะไฟล์ PDF ที่สร้างขึ้นไม่มีไฟล์ไบนารีที่เป็นอันตราย และมีเพียงลิงก์ภายนอกเท่านั้น

นักวิจัยจาก Varonis อธิบายว่า “โปรแกรมตรวจสอบ PDF ของ Gmail ไม่ได้รัน PDF JavaScript แต่จะอนุญาตให้ลิงก์ หรือคำอธิบายประกอบที่สามารถคลิกทำงานได้”

“ดังนั้น PDF ของผู้โจมตีจึงถูกสร้างขึ้นเพื่อให้การกดปุ่มเพียงแค่เปิดเว็บไซต์ภายนอกในเบราว์เซอร์ของผู้ใช้ การออกแบบที่ค่อนข้างฉลาดนี้ สามารถหลีกเลี่ยงระบบความปลอดภัยของ Gmail ได้ การสแกนมัลแวร์ในไฟล์ PDF จะไม่พบสิ่งผิดปกติ และเนื้อหาที่เป็นอันตรายจะถูกดึงมาต่อเมื่อผู้ใช้คลิกเท่านั้น ซึ่งจะทำให้ Gmail เห็นเป็น web request ที่เริ่มต้นโดยผู้ใช้”

การสาธิตอีกอย่างแสดงให้เห็นว่าเพียงแค่เปิด PDF มันก็จะพยายามที่จะเปิดเว็บไซต์ภายนอกแล้ว คุณสมบัตินี้ค่อนข้างจำกัด เนื่องจากโปรแกรม PDF viewers สมัยใหม่จะแจ้งเตือนผู้ใช้ว่า PDF พยายามที่จะเชื่อมต่อกับเว็บไซต์ภายนอก

Varonis เตือนว่า PDF เป็นช่องทางยอดนิยมสำหรับการโจมตีแบบฟิชชิง เพราะเป็นไฟล์ที่ใช้กันทั่วไป และแพลตฟอร์มอีเมลสามารถแสดงผลได้โดยไม่มีการแจ้งเตือน

บริษัทระบุว่า ระบบรักษาความปลอดภัยอีเมลที่ใช้งาน AI ซึ่งสามารถวิเคราะห์โครงสร้าง PDF, ตรวจจับ Overlays ที่เบลอ และข้อความแจ้งเตือนปลอม และตรวจสอบ URL ที่ฝังไว้ใน sandbox สามารถช่วยป้องกันไม่ให้ไฟล์เหล่านี้ไปถึงกล่องจดหมายของเป้าหมายได้

ที่มา : bleepingcomputer

Cado Security Labs ได้ระบุถึงแคมเปญการโจมตีด้วยมัลแวร์ที่มุ่งเป้าไปยังสำนักงานตำรวจแห่งชาติของประเทศไทย โดยแคมเปญนี้ใช้เอกสารที่ดูเหมือนจะถูกต้อง ซึ่งมีเนื้อหาเกี่ยวกับ FBI เพื่อส่งไฟล์ Shortcut ที่ในที่สุดจะทำให้เกิดการรัน Yokai backdoor และแฝงตัวอยู่ในระบบของเหยื่อ การดำเนินการที่พบในแคมเปญนี้สอดคล้องกับกลุ่ม APT จีนที่ชื่อว่า Mustang Panda (more…)

Zimperium รายงานเมื่อวันจันทร์ที่ผ่านมาว่า พบเทคนิคฟิชชิงรูปแบบใหม่ที่มุ่งเป้าไปที่อุปกรณ์มือถือ โดยใช้วิธีการซ่อนข้อมูลแบบใหม่ที่ไม่เคยถูกพบมาก่อน เพื่อซ่อนลิงก์ไปยังหน้าบริการไปรษณีย์ของสหรัฐอเมริกา (USPS) ปลอมภายในไฟล์ PDF (more…)

ทีมตอบสนองเหตุภัยคุกคามทางคอมพิวเตอร์ของญี่ปุ่น (JPCERT) แชร์รูปแบบการโจมตี 'MalDoc in PDF' รูปแบบใหม่ที่ตรวจพบในเดือนกรกฎาคม 2023 ซึ่งสามารถหลีกเลี่ยงการตรวจจับได้โดยการฝังไฟล์ Word ที่เป็นอันตรายลงในไฟล์ PDF

ไฟล์ตัวอย่างที่ถูกวิเคราะห์โดย JPCERT เป็นไฟล์ polyglot ที่เครื่องมือการสแกนส่วนใหญ่รู้จักในรูปแบบ PDF แต่แอปพลิเคชัน Office ก็สามารถเปิดเป็นเอกสาร Word ปกติ (.doc) ได้

Polyglots เป็นไฟล์ที่มีรูปแบบไฟล์ที่แตกต่างกันสองรูปแบบ ซึ่งสามารถตีความ และดำเนินการเป็นไฟล์ได้มากกว่าหนึ่งประเภท ขึ้นอยู่กับแอปพลิเคชันที่อ่าน/เปิดไฟล์เหล่านั้น

ตัวอย่างเช่น เอกสารที่เป็นอันตรายในแคมเปญนี้เป็นการผสมระหว่างไฟล์ PDF และ Word documents ซึ่งสามารถเปิดได้ในทั้งรูปแบบไฟล์ทั้งสอง

โดยทั่วไปแล้วผู้โจมตีใช้ polyglots เพื่อหลบเลี่ยงการตรวจจับ หรือทำให้เครื่องมือวิเคราะไม่สามารถทำงานได้อย่างเต็มประสิทธิภาพ เนื่องจากไฟล์เหล่านี้อาจดูเหมือนไม่มีความอันตรายในรูปแบบหนึ่ง ในขณะที่ซ่อน code ที่เป็นอันตรายในอีกรูปแบบหนึ่งได้

ในกรณีนี้ PDF document ประกอบด้วย Word document ที่มี VBS macro เพื่อดาวน์โหลด และติดตั้งไฟล์มัลแวร์ MSI หากไฟล์ถูกเปิดในรูปแบบ .doc ใน Microsoft Office อย่างไรก็ตาม Japan CERT ไม่ได้เปิดเผยรายละเอียดเกี่ยวกับประเภทของมัลแวร์ที่ถูกติดตั้ง

อย่างไรก็ตามเป็นที่น่าสังเกตว่า MalDoc ในรูปแบบ PDF ไม่สามารถ bypass การตั้งค่าความปลอดภัยที่ปิดการทำงานอัตโนมัติของ macros บน Microsoft Office ได้ ดังนั้นมาตรการนี้ของ Microsoft Office ยังถือว่าเพียงพอในการป้องกันการโจมตี ซึ่งหาก MalDoc จะทำงานได้ ผู้ใช้งานจำเป็นต้องปิดการตั้งค่าความปลอดภัยด้วยตนเองโดยการคลิกที่ปุ่มที่เกี่ยวข้อง หรือยกเลิกการบล็อกไฟล์

JPCERT ได้เผยแพร่วิดีโอต่อไปนี้บน YouTube เพื่อสาธิตว่า MalDoc ในรูปแบบไฟล์ PDF ทำงานบน Windows อย่างไร

ตัวอย่าง MalDoc ในรูปแบบ PDF : hxxps://www[.]youtube.

Ghostscript (โกสสคริปต์) ซึ่งเป็น open-source สำหรับภาษา PostScript และไฟล์ PDF ที่ใช้กันอย่างแพร่หลายใน Linux พบว่ามีความเสี่ยงต่อช่องโหว่การเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกลที่มีความรุนแรงระดับ critical

โดยช่องโหว่มีหมายเลข CVE-2023-3664 มีคะแนน CVSS v3 ที่ 9.8 และส่งผลกระทบต่อ Ghostscript ทุกรุ่นก่อนเวอร์ชัน 10.01.2 ซึ่งเป็นเวอร์ชันล่าสุดที่ถูกเผยแพร่เมื่อสามสัปดาห์ก่อน (more…)

พบช่องโหว่ใน PHP Libraries ที่ใช้สำหรับสร้างไฟล์ PDF (CVE-2018-17057)

Sam Thomas นักวิจัยด้านความปลอดภัยจาก Secarma พบช่องโหว่ที่มีความรุนแรงใน PHP Libraries ที่มีชื่อว่า "TCPDF" ซึ่งถูกใช้สำหรับแปลงค่า HTML เป็น PDF ส่งผลให้ผู้ไม่หวังดีสามารถสั่งรันคำสั่งอันตราย (remote code execution) ผ่านหน้าเว็บไซต์ที่ใช้รับข้อมูลจากผู้ใช้งานในการสร้างไฟล์ PDF หรือผ่านการใช้ cross-site scripting (XSS) บนเว็บไซต์ที่มีช่องโหว่เพื่อแทรกโค๊ดที่เป็นอันตราย

ช่องโหว่ดังกล่าวได้ถูกแจ้งไปยังทีมผู้พัฒนา Library ดังกล่าวตั้งแต่เดือนสิงหาคมที่ผ่านมา และล่าสุดได้ปล่อยเวอร์ชั่น TCPDF 6.2.20 และ TCPDF 6.2.22 ออกมาตามลำดับ เพื่อแก้ไขปัญหาดังกล่าว เนื่องจากความรุนแรงของช่องโหว่ที่พบ ทำให้นักวิจัยเพิ่งออกมาเปิดเผยรายละเอียดของช่องโหว่หลังจากได้รับการแก้ไขมาแล้ว 6 เดือน เพื่อให้ผู้ใช้งานมีเวลาในการติดตั้งแพทช์ใหม่ ผู้ใช้งานที่ได้รับผลกระทบควรดำเนินการอัพเดตทันที

ที่มา: www.

แจ้งเตือนช่องโหว่บนโปรแกรมอ่าน PDF หลายโปรแกรม หยุดการทำงานโปรแกรมได้

นักวิจัยด้านความปลอดภัยและนักพัฒนาซอฟต์แวร์ Hanno Böck ได้ประกาศการค้นพบช่องโหว่ในไลบรารีสำหรับอ่านไฟล์ PDF ซึ่งถูกใช้ในโปรแกรมอ่านไฟล์ PDF หลายโปรแกรมซึ่งส่งผลให้ไฟล์ PDF ที่ถูกสร้างมาแบบพิเศษเพื่อโจมตีช่องโหว่นี้ เมื่อถูกเปิดโดยโปรแกรมอ่านไฟล์ PDF ที่ใช้ไลบรารีที่มีช่องโหว่ สามารถหยุดการทำงานของโปรแกรมอ่านไฟล์ PDF หรือระบบ โดยการดึงทรัพยากรของระบบทั้งหมดได้

ช่องโหว่ดังกล่าวถูกค้นพบส่วนมากในโปรแกรมอ่าน PDF บนระบบปฏิบัติการลินุกซ์และโอเพนซอร์สซอฟต์แวร์ อาทิ Evince, PDFium (ไลบรารีที่ใช้ใน Chrome เพื่ออ่านไฟล์ PDF), pdf.

นักวิจัยด้านความปลอดภัยได้ค้นพบช่องโหว่ zero-day ที่สำคัญสองข้อในซอฟต์แวร์ Foxit Reader ซึ่งอาจทำให้ผู้โจมตีสามารถรันโค้ดที่ต้องการบนคอมพิวเตอร์เป้าหมายได้หากไม่ได้กำหนดค่าให้เปิดไฟล์ใน Safe Reading Mode

ช่องโหว่แรก (CVE-2017-10951) เป็นข้อผิดพลาดในการป้อนคำสั่งในฟังก์ชัน app.

แฮกเกอร์ได้ใช้ Google docs ในการหลอกให้ผู้ใช้งานใส่ ชื่อผู้ใช้ กับ รหัส ของอีเมลใน webmails widgets ที่แฮกเกอร์สร้างขึ้นมา โดยผู้ใช้จะถูกหลอกให้ใส่ข้อมูลเมื่อจะเปิดไฟล์ใน Google docs ที่แฮกเกอร์ได้แชร์ไว้ ไม่ว่าผู้ใช้จะเลือกตัวเลือกไหนก็ตาม เมื่อผู้ใช้ใส่ข้อมูลเสร็จ ผู้ใช้จะถูกพาไปยังหน้าโฮมเพจของ Google ทั้งหมด จากการตรวจสอบพบว่าเว็บไซต์ที่ใช้ในการแฮกมีโฮสอยู่ในประเทศอินเดีย

ที่มา : zscaler

แฮกเกอร์ได้ใช้ Google docs ในการหลอกให้ผู้ใช้งานใส่ ชื่อผู้ใช้ กับ รหัส ของอีเมลใน webmails widgets ที่แฮกเกอร์สร้างขึ้นมา โดยผู้ใช้จะถูกหลอกให้ใส่ข้อมูลเมื่อจะเปิดไฟล์ใน Google docs ที่แฮกเกอร์ได้แชร์ไว้ ไม่ว่าผู้ใช้จะเลือกตัวเลือกไหนก็ตาม เมื่อผู้ใช้ใส่ข้อมูลเสร็จ ผู้ใช้จะถูกพาไปยังหน้าโฮมเพจของ Google ทั้งหมด จากการตรวจสอบพบว่าเว็บไซต์ที่ใช้ในการแฮกมีโฮสอยู่ในประเทศอินเดีย

ที่มา : zscaler