ทีมนักวิจัย Unit 42 จาก Palo Alto Networks ได้เผยถึงการพบเวิร์ม cryptojacking ที่มีชื่อว่า “Black-T” จากกลุ่ม TeamTNT ซึ่งเป็นกลุ่มที่รู้จักกันในการกำหนดเป้าหมายเพื่อโจมตี AWS จากนั้นทำการใช้ Monero (XMR) cryptocurrency โดยเวิร์มที่ถูกค้นพบนั้นได้ถูกพัฒนาใหม่ทั้งการเพิ่มความสามารถในการขโมยรหัสผ่านและเครื่องสแกนเครือข่ายเพื่อให้ง่ายต่อการแพร่กระจายไปยังอุปกรณ์ที่มีช่องโหว่อื่นๆ

จากรายงานของทีมนักวิจัย Unit 42 พบว่า TeamTNT ได้เพิ่มความสามารถของมัลแวร์ในการใช้เครื่องมือ zgrab ซึ่งเป็นเครื่องมือสแกนเครือข่ายชนิดเดียวกับ pnscan และ masscan ที่อยู่ภายใน Black-T อยู่แล้วทำการสแกนเป้าหมาย ทั้งนี้เครื่องมือสแกน masscan ที่ใช้โดย Black-T ก็ได้รับการอัปเดตเพื่อกำหนดเป้าหมายเป็นพอร์ต TCP 5555 ซึ่งอาจบอกเป็นนัยว่า TeamTnT อาจกำหนดเป้าหมายไปที่อุปกรณ์ Android นอกจากนี้ Black-T ยังได้เพิ่ม Mimikatz แบบโอเพนซอร์สสองตัวคือ mimipy (รองรับ Windows / Linux / macOS) และ mimipenguin (รองรับ Linux) ทำการอ่านข้อมูลรหัสแบบ plaintext ภายในหน่วยความจำของระบบที่ถูกบุกรุกและส่งไปยังเซิร์ฟเวอร์ C&C ของ TeamTNT

ด้วยการรวมเทคนิคและขั้นตอนทั้งหมดเข้าด้วยกัน TeamTNT สามารถใช้บ็อตเน็ตของเซิร์ฟเวอร์ที่ถูกบุกรุกเพื่อทำการสแกนหา Docker daemon API เพิ่มเติม ภายในเครือข่ายโดยใช้เครื่องมือ masscan, pnscan และ zgrab และเมื่อมัลแวร์สามารถบุกรุกแล้วได้จะทำการติดตั้ง Kubernetes และ Docker และหลังจากนั้นจะปรับใช้ payload binary ใน container เพื่อทำการเริ่มต้น Monero (XMR) cryptocurrency ภายในเครื่องที่บุกรุก

ทั้งนี้ผู้ดูแลระบบควรทำการตรวจสอบให้แน่ใจว่า Docker daemon API บนระบบคลาวด์ของท่านไม่ถูกเปิดเผยและสามารถเข้าถึงได้จากอินเตอร์เน็ตและเพื่อเป็นการป้องกันการตกเป็นเหยือของมัลแวร์ ผู้ดูแลระบบควรใช้ทำการติดตั้งและใช้งาน Next-Generation Firewall ในระบบของท่าน

ที่มา : bleepingcomputer

อดีตวิศวกรของ Yahoo ถูกตัดสินให้ถูกคุมขังและถูกกักบริเวณในบ้านเป็นเวลาห้าปี หลังจากทำการแฮกเข้าสู่บัญชีส่วนตัวของผู้ใช้ Yahoo Mail กว่า 6,000 รายเพื่อทำการค้นหารูปภาพและวิดีโอส่วนตัวของเข้าของบัญชี โดย Reyes Daniel Ruiz วัย 34 ปีจาก Tracy รัฐ California ถูกศาลตัดสินให้จ่ายค่าปรับเป็นเงิน $ 5,000 (156,235 บาท) และอีก $118,456 (3,701,394 บาท) ให้กับ Yahoo เพื่อชดใช้ความเสียหายที่เกิดขึ้น

เอกสารประกอบคำตัดสินเปิดเผยว่า Ruiz ก่ออาชญากรรมของเขาในขณะที่ทำงานที่ Yahoo ในฐานะวิศวกร ระหว่างปี 2009 ถึงกรกฎาคม 2019 โดย Reyes ใช้สิทธ์ในการเข้าถึง backend ของ Yahoo เพื่อทำการเข้าถึงรหัสผ่านถูกเข้าด้วยฟังก์ชันแฮชแล้วจึงทำการถอดค้าหารหัสผ่านแบบ plaintext จากค่าแฮชดังกล่าวเพื่อเข้าถึงบัญชี Yahoo Mail ของแฟนสาว, เพื่อนและเพื่อนร่วมงานของเขา เมื่อเข้าถึงบัญชีได้เขาทำการค้นหารูปภาพและวีดีโอส่วนตัวของเจ้าของบัญชีจากนั้นทำการดาวน์โหลดและเก็บไว้ในฮาร์ดไดรฟ์ส่วนตัวที่บ้าน

นักวิจัยยังกล่าวด้วยว่า Ruiz ยังใช้บัญชีอีเมล Yahoo ที่ถูกแฮกทำการหลอกล่อหยื่อเพื่อเข้าถึงบัญชีและที่จัดเก็บไฟล์ส่วนบุคคล ในบริการต่างๆ เช่น Apple iCloud, Gmail, Hotmail, Dropbox และ Photobucket และคาดว่ามีผู้ที่ตกเป็นเหยื่อจำนวน 6,000 คน

การแฮกของ Ruiz ถูกตรวจพบโดยวิศวกรของ Yahoo คนอื่นในเดือนมิถุนายน 2018 และได้รายงานต่อเจ้าหน้าที่หลังจากตรวจพบ โดยหลังจากถูกตรวจพบ Ruiz ได้ทำการทำลายฮาร์ดไดรฟ์ที่ใช้เก็บข้อมูลที่เข้าทำการละเมิดข้อมูล ซึ้งมีข้อมูลอยู่ในนั้นเป็นจำนวน 2 TB ซึ่งเชื่อกันว่ามีภาพและวิดีโอส่วนตัวระหว่าง 1,000 ถึง 4,000 ภาพ

เนื่องจาก Ruiz ทำลายฮาร์ดไดรฟ์ส่วนตัวของเขาอัยการสหรัฐฯ กล่าวว่าพวกเขาสามารถระบุเหยื่อได้เพียง 3,137 คนจากเหยื่อทั้งหมด 6,000 คนเท่านั้น

ที่มา: zdnet

เตือนภัยสำหรับผู้ WFH: พบช่องโหว่ระดับ “Critical” ใน D-Link Router รุ่นเก่า

นักวิจัยจาก Palo Alto Networks Unit 42 ได้เปิดเผยถึงช่องโหว่ระดับ “Critical” ใน D-Link DIR-865L จำนวน 6 รายการ โดย  นั้นได้ End Of Support ไปแล้วในสหรัฐอเมริกาและกำลังจะหยุดการจำหน่ายในทวีปยุโรป โดยรายละเอียดของช่องโหว่มีดังนี้

CVE-2020-13782 (CVSS 9.8): เป็นช่องโหว่ที่ผู้โจมตีสามารถใช้ Command Injection ได้บนเราเตอร์ด้วยสิทธิ์ระดับผู้ดูแลระบบ ซึ่งถือว่าเป็นช่องโหว่ที่มีความอันตรายอย่างมาก
CVE-2020-13786 (CVSS 8.8): เป็นช่องโหว่ Cross-Site Request Forgery (CSRF)
CVE-2020-13785 (CVSS 7.5): ช่องโหว่เกิดจาการเข้ารหัสของอุปกรณ์ที่ไม่มีความเเข็งแกร่งเพียงพอ
CVE-2020-13784 (CVSS 7.5): ช่องโหว่สามารถทำให้ผู้โจมตีทำการสร้าง Session Cookie ได้ถ้ารู้เวลาการเข้าใช้ของผู้ใช้งาน
CVE-2020-13783 (CVSS 7.5): ช่องโหว่สามารถทำให้ผู้โจมตีสามารถค้นหารหัสผ่านและทราบรหัสผ่านได้ เนื่องจากอุปกรณ์ทำการจัดเก็บข้อมูลแบบ Plain text
CVE-2020-13787 (CVSS 7.5): ช่องโหว่เกิดจากการใช้งานโปรโตคอล WEP บนอุปกรณ์ ทำให้ผู้โจมตีสามารถดักจับข้อมูลได้แบบ plaintext
นักวิจัยจาก Palo Alto Networks Unit 42 ยังกล่าวอีกว่าหลังจากการรายงานช่องโหว่ D-Link ได้ทำการปล่อย Beta Firmware เพื่อเเก้ไขช่องโหว่เพียง 3 ช่องโหว่จากช่องโหว่ทั้งหมด ซึ่ง BleepingComputer ได้ทำการสอบถามถึงการเเก้ไขช่องโหว่ D-Link ได้เเจ้งกับ BleepingComputer ว่า D-Link DIR-865L นั้นได้ End Of Support ไปแล้วในประเทศสหรัฐอเมริกา ทาง D-Link จึงขอเเนะนำให้ผู้ใช้งานทำการเปลื่ยนเราเตอร์เป็นรุ่นใหม่ที่สามรถรองรับการอัพเดต Firmware ได้

ทั้งนี้นักวิจัยจาก Unit 42 นั้นได้ออกคำเเนะนำให้ผู้ใช้งาน D-Link DIR-865L ทำการตั้งค่าเราเตอร์ให้เปลื่ยนไปใช้งาน HTTPS เพื่อป้องกันการโจมตี Session Hijacking และทำการเปลื่ยน Time Zone บนเราเตอร์เพื่อป้องกันการโจมตีแบบสุ่มการสร้าง Session ID

ที่มา:bleepingcomputer  threatpost   hackread

บัญชี LiveJournal จำนวน 26 ล้านบัญชีถูกนำมาเผยเเพร่บนแฮกเกอร์ฟอรัม
พบฐานข้อมูลบัญชีผู้ใช้ LiveJournal มากกว่า 26 ล้านบัญชีถูกแชร์บนแฮกเกอร์ฟอรัม นักวิจัยตั้งข้อสันนิษฐานว่าฐานข้อมูลบัญชี LiveJournal นี้น่าจะถูกละเมิดตั้งเเต่ปี 2014 และน่าจะมีข้อมูลผู้ใช้มากกว่า 33 ล้านคน

ฐานข้อมูลบัญชีผู้ใช้ LiveJournal ที่ถูกพบบนแฮกเกอร์ฟอรัมนั้นประกอบไปด้วย อีเมล, ชื่อบัญชีของผู้ใช้, โปรไฟล์ URL และรหัสผ่านแบบ plaintext ที่ถูกถอดแฮชจากฟังก์ชันแฮช MD5
ทั้งนี้ผู้ใช้งาน LiveJournal ควรทำการตรวจสอบอีเมลของผู้ใช้งานบนเว็บไซต์ haveibeenpwned ที่ให้บริการตรวจสอบการรั่วไหลของอีเมล ถ้าหากบริการ Have I Been Pwned แสดงว่ามีอีเมลอยู่ในฐานข้อมูลเว็บไซต์ ผู้ใช้งานควรทำการเปลี่ยนรหัสผ่าน LiveJournal ทันทีเพื่อความปลอดภัยของบัญชีผู้ใช้

ที่มา: bleepingcomputer, zdnet

โทรจัน AnarchyGrabber3 รุ่นใหม่ปรับความสามารถในการขโมยบัญชี Discord

MalwareHunterteam ได้เผยถึงการค้นพบโทรจัน AnarchyGrabber3 เวอร์ชันใหม่ที่ได้รับการปรับปรุงให้มีความสามารถขโมยรหัสผ่านและโทเค็นของผู้ใช้รวมไปถึงทำการปิดการใช้งาน 2FA และสามารถกระจายมัลแวร์ไปยังเพื่อนของผู้ที่ตกเหยื่อ โดยการเเพร่กระจายโทรจัน AnarchyGrabber3 ใน Discord นั้นทำโดยการเเสร้งว่าเป็นซอฟต์แวร์เครื่องมือโกงเกม, บอทเกมหรือซอฟต์แวร์ที่มีลิขสิทธิ์

เมื่อติดตั้งซอฟต์แวร์แล้ว AnarchyGrabber3 ที่ถูกเเฝงมาจะทำการแก้ไขไฟล์ %AppData%\Discord\<version>\modules\discord_desktop_core\index.

ผู้ให้บริการอีเมลของอิตาลีกล่าวยืนยันว่าข้อมูลของผู้ใช้บริการ Email.it มากกว่า 600,000 รายกำลังถูกขายบน Dark Web ทั้งนี้ข้อมูลที่ถูกขโมยไปไม่มีข้อมูลทางการเงินถูกเก็บไว้ในเซิร์ฟเวอร์ที่ถูกแฮ็ก

กลุ่มแฮกเกอร์ชื่อ NN (No Name) Hacking Group อ้างว่าพวกเขาทำการบุกรุกและขโมยข้อมูลในเดือนมกราคม 2561 เมื่อ 2 ปีก่อนและได้ทำการเเจ้งกับ Email.

Facebook ออกแถลงการณ์ยอมรับว่าได้เก็บรหัสผ่านของผู้ใช้ Instagram นับล้านผู้ใช้ในรูปแบบการจัดเก็บเป็นข้อความธรรมดาบน log ของเซิร์ฟเวอร์ภายใน

Facebook ออกแถลงการณ์เพื่ออัปเดตข้อมูลจากเหตุการณ์เมื่อเดือนที่แล้วที่พบว่ามีการจัดเก็บรหัสผ่านของผู้ใช้จำนวนมากในรูปแบบการจัดเก็บเป็นข้อความธรรมดาบน log ของเซิร์ฟเวอร์ภายใน ประกอบไปด้วยรหัสผ่านของผู้ใช้งาน Facebook Lite จำนวนหลายร้อยล้านผู้ใช้ รหัสผ่านของผู้ใช้ Facebook จำนวนหลายสิบล้านผู้ใช้และรหัสผ่านของบัญชี Instagram จำนวนหลายหมื่นผู้ใช้ แต่จากการตรวจสอบเพิ่มเติมล่าสุด Facebook พบว่ามีการจัดเก็บรหัสผ่านของบัญชี Instagram มากกว่านั้นเป็นจำนวนกว่าล้านผู้ใช้งาน

โดยรหัสผ่านดังกล่าวถูกจัดเก็บในรูปแบบข้อความธรรมดา (plain text) บน log ของเซิร์ฟเวอร์ภายในของ Facebook โดย log สามารถเข้าถึงได้โดยพนักงานของ Facebook เท่านั้น และจากการสอบสวนพบว่ายังไม่มีการใช้งานรหัสผ่านดังกล่าวในทางที่ผิดจากการพนักงานของ Facebook ซึ่งจะมีการแจ้งผู้ใช้งานที่ได้รับผลกระทบต่อไป

ทั้งนี้ผู้ใช้งาน Instagram ควรทำการเปลี่ยนรหัสผ่านเพื่อความปลอดภัย

ที่มา: www.