Permalink แฮ็กเกอร์ขโมยบัญชี Steam ด้วยการโจมตีแบบ Browser-in-the-Browser

พบการโจมตีในรูปแบบ Browser-in-the-Browser เพื่อใช้ในการขโมยข้อมูลบัญชีของผู้ใช้งาน Steam ผ่านทางแคมเปญฟิชชิ่ง

เทคนิค Browser-in-the-Browser กำลังเป็นที่นิยมของกลุ่มผู้โจมตี ด้วยการสร้างหน้าเว็ป browser ปลอมทับหน้าเว็ป browser ที่กำลังใช้งานอยู่ และแสดงหน้า pop-up ที่ดูเหมือนหน้าสำหรับเข้าสู่ระบบทั่วไป

ช่วงเดือนมีนาคม 2565 BleepingComputer รายงานเป็นครั้งแรกว่าพบเครื่องมือสำหรับสร้างหน้าเพจฟิชชิ่ง ที่ถูกสร้างขึ้นจากนักวิจัยที่ชื่อว่า mr.

Permalink พบช่องโหว่ 0-Day ใหม่บน Windows ที่กำลังถูกใช้โจมตี ผู้ใช้งานควรรีบอัปเดตโดยด่วน

เมื่อวันอังคารที่ผ่านมา Microsoft ได้ออกแพตช์ความปลอดภัยแก้ไขช่องโหว่ทั้งหมด 71 รายการใน Microsoft Windows และซอฟต์แวร์อื่นๆ รวมถึงการแก้ไขช่องโหว่การยกระดับสิทธิ์ ที่ใช้ประโยชน์จากช่องโหว่ที่สามารถใช้ร่วมกันกับช่องโหว่ในการเรียกใช้โค้ดจากระยะไกลเพื่อเข้าควบคุมระบบที่มีช่องโหว่

2 ช่องโหว่ระดับ Critical, 68 ช่องโหว่ระดับ Important และอีก 1 ช่องโหว่ระดับต่ำ โดย 3 ช่องโหว่ในนี้ถูกระบุว่าเป็นช่องโหว่ที่ถูกเปิดเผยออกสู่สาธารณะเรียบร้อยแล้ว

ส่วน 4 ช่องโหว่ zero-days มีดังนี้

CVE-2021-40449 (CVSS score: 7.8) - Win32k Elevation of Privilege Vulnerability
CVE-2021-41335 (CVSS score: 7.8) - Windows Kernel Elevation of Privilege Vulnerability
CVE-2021-40469 (CVSS score: 7.2) - Windows DNS Server Remote Code Execution Vulnerability
CVE-2021-41338 (CVSS score: 5.5) - Windows AppContainer Firewall Rules Security Feature Bypass Vulnerability

ที่ด้านบนสุดของรายการคือ CVE-2021-40449 ช่องโหว่ use-after-free ในไดรเวอร์เคอร์เนล Win32k ที่ Kaspersky ตรวจพบว่ามีการใช้ในการโจมตีเป็นวงกว้างในช่วงปลายเดือนสิงหาคม และต้นเดือนกันยายน 2564 โดยมุ่งเป้าไปที่บริษัทไอที บริษัทผู้ค้าอาวุธ และหน่วยงานทางการทูต โดย Kaspersky ตั้งชื่อกลุ่มผู้โจมตีว่า "MysterySnail"

"ความคล้ายคลึงกันของโค้ด และการนำ C2 [command-and-control] กลับมาใช้ใหม่ที่เราค้นพบ ทำให้เราสามารถเชื่อมโยงการโจมตีเหล่านี้กับผู้โจมตีที่รู้จักกันในชื่อ IronHusky และ Chinese-speaking APT กิจกรรมดังกล่าวย้อนหลังไปถึงปี 2012" นักวิจัยของ Kaspersky Boris Larin และ Costin Raiu กล่าว

การโจมตีนี้จะนำไปสู่การใช้โทรจันเพื่อการเข้าถึงระยะไกลที่สามารถรวบรวม และขโมยข้อมูลระบบจากเครื่องที่ถูกโจมตีก่อนที่จะพยายามติดต่อไปยังเซิร์ฟเวอร์ C2

ช่องโหว่อื่น ๆ ได้แก่ช่องโหว่การเรียกใช้โค้ดจากระยะไกลที่ส่งผลต่อ Microsoft Exchange Server (CVE-2021-26427), Windows Hyper-V (CVE-2021-38672 และ CVE-2021-40461), SharePoint Server (CVE-2021-40487 และ CVE- 2021-41344) และ Microsoft Word (CVE-2021-40486) รวมถึงช่องโหว่ที่อาจนำไปสู่การเปิดเผยข้อมูลใน Rich Text Edit Control (CVE-2021-40454)

CVE-2021-26427 ซึ่งมีคะแนน CVSS 9.0 และถูกพบโดย US National Security Agency "เซิร์ฟเวอร์ Exchange เป็นเป้าหมายที่มีมูลค่าสูงสำหรับแฮกเกอร์ที่ต้องการเจาะเครือข่ายธุรกิจ" Bharat Jogi จาก Qualys กล่าว

October Patch Tuesday แก้ไขอีกช่องโหว่สองจุดที่พึ่งถูกค้นพบใน Print Spooler CVE-2021-41332 และ CVE-2021-36970 ด้วย

ซอฟต์แวร์แพตช์จากผู้ให้บริการรายอื่น

นอกจากไมโครซอฟต์แล้ว ผู้ให้บริการรายอื่นๆยังได้ออกแพตซ์เพื่อแก้ไขช่องโหว่หลายรายการ ได้แก่

Adobe
Android
Apple
Cisco
Citrix
Intel
Linux distributions Oracle Linux, Red Hat, and SUSE
SAP
Schneider Electric
Siemens, and
VMware

ที่มา: thehackernews.

Permalink เซิร์ฟเวอร์ Microsoft Exchange ถูกแฮ็กผ่าน ProxyShell Exploits

ผู้ไม่หวังดีกำลังใช้ประโยชน์จากช่องโหว่ ProxyShell เพื่อติดตั้งแบ็คดอร์สำหรับการเข้าถึง Microsoft Exchange
ProxyShell เป็นชื่อของการโจมตีที่ใช้ช่องโหว่ของ Microsoft Exchange ที่เกี่ยวข้องกันสามช่องโหว่ เพื่อเรียกใช้งานโค้ดที่เป็นอันตราย จากระยะไกลโดยไม่ผ่านการตรวจสอบสิทธิ์

ช่องโหว่ทั้งสามตามรายการ ถูกค้นพบโดย Orange Tsai นักวิจัยด้านความปลอดภัยของ Devcore Principal ซึ่งเชื่อมโยงช่องโหว่เหล่านี้เข้าด้วยกันเพื่อเข้าควบคุมเซิร์ฟเวอร์ Microsoft Exchange ในการแข่งขันแฮ็ก Pwn2Own 2021 ในเดือนเมษายน

CVE-2021-34473 - Pre-auth Path Confusion leads to ACL Bypass (Patched in April by KB5001779)
CVE-2021-34523 - Elevation of Privilege on Exchange PowerShell Backend (Patched in April by KB5001779)

CVE-2021-31207 - Post-auth Arbitrary-File-Write leads to RCE (Patched in May by KB5003435)

เมื่อสัปดาห์ที่แล้ว Orange Tsai ได้พูดใน Black Hat เกี่ยวกับช่องโหว่ของ Microsoft Exchange ล่าสุดที่เขาค้นพบ โดยพบช่องโหว่นี้ในตอนที่เขากำลังกำหนดเป้าหมายการโจมตีไปที่ Microsoft Exchange Client Access Service (CAS)Tsai เปิดเผยในการพูดคุยในงานว่าการโจมตีที่ใช้ ProxyShell นั้นอาศัยการค้นหาอัตโนมัติของ Microsoft Exchange เพื่อทำการโจมตี SSRF

หลังจากงาน Black Hat แล้ว นักวิจัยด้านความปลอดภัย PeterJson และ Nguyen Jang ได้เผยแพร่ข้อมูลทางเทคนิคโดยละเอียดเพิ่มเติมเกี่ยวกับการสร้าง Exploits ProxyShell ที่ใช้ในการโจมตีได้สำเร็จ

และ หลังจากนั้นไม่นาน นักวิจัยด้านความปลอดภัย Kevin Beaumont เริ่มสังเกตุเห็นผู้ไม่หวังดีสแกนหาเซิร์ฟเวอร์ Microsoft Exchange ที่เสี่ยงต่อการถูกโจมตีด้วย ProxyShell

Rich Warren นักวิจัยด้านช่องโหว่ของ Beaumont และ NCC Group ก็ได้มีเปิดเผยว่าผู้ไม่หวังดีได้โจมตี Honeypots ของ Microsoft Exchange โดยใช้ช่องโหว่ ProxyShell ในการโจมตี

เมื่อมีการโจมตีเซิร์ฟเวอร์ Microsoft Exchange ผู้ไม่หวังดีมักจะใช้ URL นี้ในการเริ่มโจมตี

https://Exchange-server/autodiscover/autodiscover.