Microsoft ระบุว่า SMB signing (หรือถูกเรียกอีกอย่างว่า security signatures) จะเป็นค่าเริ่มต้นสำหรับการเชื่อมต่อทั้งหมดใน Windows 11 เพื่อป้องกันการโจมตีแบบ NTLM relay attack โดยจะเริ่มตั้งแต่ Windows build (รุ่น Enterprise) ที่ประกาศออกมาในวันนี้เป็นต้นไป โดยจะมีการปรับปรุงให้กับผู้ทดสอบภายในช่องทาง Canary Channel ก่อนเปิดให้ใช้งานทั่วไป

ในการโจมตีดังกล่าว ผู้ไม่หวังดีจะบังคับให้อุปกรณ์เครือข่าย (รวมถึง domain controllers) ตรวจสอบสิทธิ์กับเซิร์ฟเวอร์ที่เป็นอันตรายซึ่งอยู่ในการควบคุมของผู้โจมตี เพื่อปลอมเป็นอุปกรณ์เหล่านั้น และเพิ่มสิทธิ์เพื่อให้สามารถเข้าควบคุมโดเมนบน Windows ได้อย่างสมบูรณ์

Microsoft ระบุว่า "การเปลี่ยนแปลงในครั้งนี้ จะเปลี่ยนแปลงวิธีการเก่าของ Windows 10 และ 11 ที่จำเป็นจะต้องมีการ SMB signing เป็นค่าเริ่มต้น เฉพาะเมื่อเชื่อมต่อกับการแชร์แบบ SYSVOL และ NETLOGON และขณะที่ Active Directory domain controllers จำเป็นต้องมีการ SMB signing เมื่อมีการเชื่อมต่อกับไคลเอ็นต์"

SMB signing ช่วยป้องกันคำขอสำหรับการตรวจสอบสิทธิ์ที่เป็นอันตราย โดยการยืนยันตัวตนของผู้ส่ง และผู้รับผ่าน signatures และ hashes ที่อยู่ที่ส่วนท้ายของแต่ละข้อความ

เซิร์ฟเวอร์ SMB และ Remote shares ที่ปิดการใช้งาน SMB signing จะแสดงข้อความ errors ในการเชื่อมต่อด้วยข้อความต่าง ๆ เช่น "The cryptographic signature is invalid", "STATUS_INVALID_SIGNATURE", "0xc000a000", หรือ "-1073700864"

กลไกความปลอดภัยนี้มีมาตั้งแต่ Windows 98 และ 2000 และได้รับการอัปเดตใน Windows 11 และ Windows Server 2022 เพื่อปรับปรุงประสิทธิภาพ และการป้องกัน

การปรับปรุงความปลอดภัยอาจส่งผลกระทบต่อประสิทธิภาพการทำงาน

ในขณะที่การป้องกันการโจมตีแบบ NTLM relay attack เป็นเป้าหมายที่สำคัญสำหรับทีม security แต่ผู้ดูแลระบบ Windows อาจมีความเห็นที่แตกต่าง เนื่องจากวิธีการนี้อาจส่งผลให้ความเร็วในการใช้งานผ่าน SMB ช้าลง

Microsoft เตือนว่า "SMB signing อาจลดประสิทธิภาพของ SMB copy ลง ซึ่งสามารถแก้ปัญหานี้ได้ด้วยการเพิ่มจำนวนของ physical CPU cores หรือ virtual CPUs รวมถึงการใช้ CPU รุ่นใหม่ที่มีประสิทธิภาพ และความเร็วสูงขึ้น"

อย่างไรก็ตาม ผู้ดูแลระบบสามารถปิดใช้งาน SMB signing ในการเชื่อมต่อระหว่างเซิร์ฟเวอร์ และไคลเอ็นต์ได้ โดยการเรียกใช้คำสั่งต่อไปนี้จาก Windows PowerShell terminal ด้วยสิทธิ์ของผู้ดูแลระบบ:

Set-SmbClientConfiguration -RequireSecuritySignature $false
Set-SmbServerConfiguration -RequireSecuritySignature $false

แม้ว่าจะไม่จำเป็นที่จะต้องรีสตาร์ทระบบหลังจากใช้คำสั่งเหล่านี้ แต่การเชื่อมต่อ SMB ที่เปิดอยู่นั้นจะยังคงใช้ SMB signing ไปเรื่อย ๆ จนกว่าจะมีการปิดการเชื่อมต่อนั้น

Ned Pyle ผู้จัดการโปรแกรมหลักของ Microsoft ระบุว่า "การเปลี่ยนแปลงค่าเริ่มต้นสำหรับ SMB signing นี้จะนำมาใช้กับรุ่น Pro, Education และรุ่นอื่น ๆ ของ Windows ภายในไม่กี่เดือนข้างหน้า รวมถึง Windows Server ด้วย ขึ้นอยู่กับผลการทดสอบภายใน จากนั้นจึงจะเริ่มนำมาใช้กับรุ่นอื่น ๆ ต่อไป"

การประกาศในวันนี้เป็นส่วนหนึ่งของการปรับปรุงความปลอดภัยของ Windows และ Windows Server ซึ่ง Microsoft ได้แสดงให้เห็นตลอดปีที่ผ่านมา

โดยในเดือนเมษายน 2022 Microsoft ได้ประกาศเกี่ยวกับการปิดใช้งาน SMB1 ใน Windows โดยจะมีการปิดใช้งานโปรโตคอลการแชร์ไฟล์ที่มีอายุมากว่า 30 ปี โดยค่าเริ่มต้นสำหรับ Windows 11 Home Insiders

ห้าเดือนต่อมา Microsoft ได้ประกาศเพิ่มการป้องกันต่อการโจมตีด้วยวิธีการ Brute-force ด้วยการเพิ่ม 'SMB authentication rate limiter' เพื่อจัดการกับความพยายามในการร authentication ผ่าน NTLM

ที่มา : bleepingcomputer 

นักวิจัยด้านความปลอดภัยได้พัฒนาการใช้งาน PsExec utility ที่อยู่ในเครื่องมือ Sysinternals ของ Microsoft ให้สามารถเชื่อมต่อไปภายในเครือข่ายได้โดยการใช้พอร์ต TCP/135 ที่ปกติแล้วจะถูกตรวจสอบน้อยกว่าพอร์ตอื่น ๆ

โดย PsExec ได้รับการออกแบบมาเพื่อช่วยให้ผู้ดูแลระบบสั่งการทำงานเครื่องจากระยะไกลในเครือข่ายได้โดยไม่จำเป็นต้องติดตั้งไคลแอนท์ ทำให้ผู้โจมตีมักใช้เครื่องมือนี้ หลังจากการโจมตีระบบของเหยื่อได้สำเร็จ เพื่อทำการแพร่กระจาย มัลแวร์ หรือส่งคำสั่งไปยังระบบต่าง ๆ ในเครือข่าย

TCP Port ที่ใช้โดย PsExec

แม้ว่า PsExec ปกติแล้วจะมีอยู่ใน Sysinternals แต่ก็มีการนำไปใช้งานใน Impacket บน Python ซึ่งรองรับการทำงานกับโปรโตคอล SMB และโปรโตคอลอื่นๆ เช่น IP, UDP, TCP ที่เปิดใช้งานเพื่อเชื่อมต่อสำหรับ HTTP LDAP (Lightweight Directory Access Protocol) และ Microsoft SQL Server (MSSQL) แต่เวอร์ชันดั้งเดิม และ Impacket จะทำงานในลักษณะเดียวกัน คือจำเป็นต้องเปิดพอร์ต 445 เพื่อเชื่อมต่อผ่านโปรโตคอล SMB และยังสามารถใช้บริหารจัดการ Windows services เช่น create, execute, start stop ผ่าน Remote Procedure Calls (RPC) ซึ่งเป็นโปรโตคอลที่ใช้สำหรับสื่อสารกับระบบปฏิบัติการได้

สำหรับฟังก์ชันอื่น ๆ อาจจำเป็นต้องใช้พอร์ต 135 เพิ่มเติม และด้วยสาเหตุที่พอร์ต 445 จำเป็นมากกว่าต่อการใช้งาน PsExec จึงทำให้การป้องกันจึงมุ่งเน้นไปที่การบล็อกพอร์ต 445 ซึ่งจำเป็นสำหรับ PsExec ในการดำเนินการรันคำสั่ง หรือเรียกใช้ไฟล์

PsExec ที่ถูกพัฒนาขึ้นใหม่

จากไลบรารี Impacket นักวิจัยจาก Pentera ได้นำเครื่องมือ PsExec ไปใช้ทำงานบนพอร์ต 135 เท่านั้นได้สำเร็จ ซึ่งทำให้การบล็อกเพียงพอร์ต 445 เพื่อป้องกันการทำงานจาก PsExec นั้นไม่พออีกต่อไป

Yuval Lazar นักวิจัยด้านความปลอดภัยอาวุโสของ Pentera ระบุในรายงานที่ส่งให้กับ BleepingComputer ว่า คำสั่งต่างๆ จะดำเนินการผ่าน Distributed Computing Environment / Remote Procedure Calls (DCE/RPC)

การใช้งาน PsExec จาก Pentera จะใช้การเชื่อมต่อผ่าน RPC ที่ทำให้นักวิจัยสามารถเรียกใช้คำสั่งตามที่ต้องการโดยไม่ต้องเชื่อมต่อผ่านพอร์ต SMB 445

 

Lazar ระบุกับ BleepingComputer ว่า PsExec ตัวใหม่จะมีโอกาสสูงที่ไม่ถูกตรวจจับได้ในเครือข่าย เนื่องจากหลายองค์กรจับตาดูเพียงพอร์ต 445 และ SMB protocol

อีกจุดหนึ่งที่ Lazar นำเสนอคือการใช้งาน PsExec ปกติต้องใช้ SMB protocol เนื่องจากเป็นลักษณะ file-based แต่ของ Pentera จะเป็นลักษณะ fileless ซึ่งจะทำให้ตรวจจับได้ยากขึ้น

การวิจัยของ Lazar เกี่ยวกับ PsExec เกิดขึ้นในขณะที่ช่องโหว่ด้านความปลอดภัย เช่น PetitPotam และ DFSCoerce ได้แสดงให้เห็นถึงความเสี่ยงจาก RPC ซึ่งการป้องกันช่องโหว่ดังกล่าวไม่ได้เน้นที่การตรวจสอบ DCE/RPC แต่เป็นการป้องกันที่ NTLM relay

ซึ่ง Pentera สังเกตว่าปกติแล้วการรับส่งข้อมูลบน RPC ไม่ค่อยมีการตรวจสอบจากองค์กรต่าง ๆ ซึ่งอาจเกิดจากการที่ระบบป้องกันต่าง ๆ ไม่คิดว่า RPC จะสามารถทำให้เกิดความเสี่ยงด้านความปลอดภัยกับเครือข่ายได้

Will Dormann นักวิเคราะห์ช่องโหว่ของ CERT/CC ยืนยันว่าการบล็อกพอร์ต TCP 445 เพียงอย่างเดียวไม่เพียงพอ

PsExec ใช้การเชื่อมต่อผ่าน SMB และ RPC ซึ่งต้องใช้พอร์ต 445, 139 และ 135 อย่างไรก็ตาม Lazar กล่าวเสริมว่ามีการใช้งาน RPC บน HTTP ด้วย ซึ่งหมายความว่า PsExec ก็อาจทำงานบนพอร์ต 80 ได้เช่นกัน

PsExec เป็นที่นิยมในกลุ่มแรนซัมแวร์

แฮ็กเกอร์ใช้ PsExec ในการโจมตีมาเป็นเวลานาน โดยเฉพาะกลุ่มแรนซัมแวร์ ด้วยการโจมตีที่กินเวลาเพียงหนึ่งชั่วโมง NetWalker ransomware ใช้ PsExec เพื่อเรียกใช้เพย์โหลดได้บนทุกระบบในโดเมน

ตัวอย่างการโจมตีโดยใช้ PsExec

กลุ่ม Quantum ransomware อาศัย PsExec และ WMI ใช้เวลาเพียงสองชั่วโมงในการเข้ารหัสทั้งระบบของเหยื่อ หลังจากเข้าถึงผ่านมัลแวร์ IcedID
รายงานจาก Microsoft ในเดือนมิถุนายน BlackCat ransomware ใช้ PsExec เพื่อแพร่กระจายเพย์โหลดของแรนซัมแวร์
การถูกโจมตีของ Cisco ที่เปิดเผยเมื่อเร็วๆ นี้ ซึ่งกลุ่ม Yanluowang ใช้ PsExec เพื่อเพิ่มค่า Registry จากภายนอก

ที่มา: bleepingcomputer

QNAP ผู้จำหน่าย Network-attached storage (NAS) เตือนผู้ใช้งานให้เฝ้าระวังอุปกรณ์จากการถูกโจมตีโดย Checkmate ransomware

QNAP กล่าวว่าการโจมตีมุ่งเป้าไปที่อุปกรณ์ QNAP ที่เข้าถึงได้จากอินเทอร์เน็ต โดยมีการเปิดใช้งาน SMB และมีรหัสผ่านที่ไม่รัดกุม ซึ่งอาจทำให้สามารถถูกเดารหัสผ่านได้อย่างง่ายดาย

จากการตรวจสอบเบื้องต้นพบว่า *Checkmate ransomware* สามารถโจมตีผ่านโปรโตคอล SMB ที่เปิดให้เข้าถึงได้จากอินเทอร์เน็ต และใช้การโจมตีแบบ dictionary attack เพื่อโจมตีบัญชีที่มีรหัสผ่านที่ไม่รัดกุม

Checkmate เป็นแรนซัมแวร์ตัวใหม่ที่ถูกค้นพบเมื่อเร็วๆ นี้ ซึ่งถูกใช้ในการโจมตีเมื่อประมาณวันที่ 28 พฤษภาคม ซึ่งจะต่อท้ายนามสกุลไฟล์ที่ถูกเข้ารหัสด้วย .checkmate และทิ้งข้อความเรียกค่าไถ่ชื่อ !CHECKMATE_DECRYPTION_README

จากบันทึกเรียกค่าไถ่ที่ BleepingComputer ตรวจพบ ผู้โจมตีบังคับให้เหยื่อจ่ายเงิน Bitcoin มูลค่า 15,000 ดอลลาร์เพื่อแลกกับการถอดรหัส และคีย์ถอดรหัส

จากข้อมูลของ QNAP ผู้โจมตีที่อยู่เบื้องหลังแคมเปญนี้จะ remote เข้าสู่ระบบในอุปกรณ์ด้วยบัญชีที่ถูกโจมตี หลังจากเข้าถึงได้พวกเขาจะเริ่มเข้ารหัสไฟล์ในโฟลเดอร์

วิธีป้องกันการโจมตีจาก Checkmate ransomware

QNAP เตือนผู้ใช้งานไม่ควรเปิดให้เข้าถึง NAS ของตนได้จากอินเทอร์เน็ต และใช้ VPN ในการเข้าถึงแทน นอกจากนี้ผู้ใช้งาน QNAP ควรใช้รหัสผ่านที่มีความรัดกุม และทำการตรวจสอบบัญชี NAS ทั้งหมดในปัจจุบันของตน และทำการสำรองไฟล์ไว้อย่างสม่ำเสมอ

ควรปิดการใช้งาน SMB 1 โดยผู้ที่ใช้ QTS, QuTS hero หรือ QuTScloud ให้ไปที่ Control Panel > Network & File > Win/Mac/NFS/WebDAV > Microsoft Networking, เลือก "SMB 2 or higher" หลังจากคลิก Advanced Options.

“Nworm” มัลแวร์ใหม่จากค่าย TrickBot พุ่งเป้าเเพร่กระจายและขโมยข้อมูล

นักวิจัยจาก Palo Alto ได้เผยถึงรายงานการค้นพบใหม่ในมัลแวร์กลุ่ม Trickbot หลังจากที่นักพัฒนา TrickBot ได้ทำการเปิดตัวโมดูลใหม่ของ TrickBot ซึ่งใช้เทคนิคใหม่เพื่อหลบเลี่ยงการตรวจจับและเพิ่มประสิทธิภาพในการแพร่กระจายมัลแวร์สู่เครือข่าย โดยตั้งชื่อเรียกโมดูลใหม่ตัวนี้ว่า “nworm”

เมื่อเริ่มต้นทำการแพร่กระจาย มัลแวร์ TrickBot จะประเมินสภาพเเวดล้อมของเครื่องและเครือข่าย หลังจากนั้นจะทำการดาวโหลดโมดูลต่าง ๆ เพื่อทำการแพร่กระจายบนคอมพิวเตอร์ที่ติดเชื้อและในเครือข่าย

หาก TrickBot ตรวจพบว่ากำลังทำงานอยู่บน Windows Active Directory (AD) มัลแวร์จะทำการดาวโหลดโมดูลที่เรียกว่า “mworm” และ “mshare”เพื่อทำการแพร่กระจายมัลแวร์ TrickBot ไปยัง Domain Controller ที่มีช่องโหว่โดยการใช้ช่องโหว่ของ SMB

ข้อเเนะนำในการป้องกัน
เเนะนำผู้ใช้งานควรหลีกเลี่ยงการการดาวโหลดไฟล์จากเว็บไซต์ที่ไม่รู้จัก ให้ทำการอัพเดตโปรเเกรมป้องกันไวรัสอยู่เสมอเพื่อป้องกนการติดมัลแวร์และความเสี่ยงในการถูกขโมยข้อมูล

ที่มา: bleepingcomputer

 

รวมข่าว BlueKeep ระหว่างวันที่ 1 - 11 พฤศจิกายน 2019

BlueKeep คืออะไร

BlueKeep หรือช่องโหว่ CVE-2019-0708 เป็นช่องโหว่ที่สามารถรันคำสั่งอันตรายจากระยะไกลได้ พบใน Remote Desktop Services กระทบ Windows 7, Windows Server 2008 R2, Windows Server 2008, Windows Server 2003 และ Windows XP

ช่องโหว่นี้ได้รับแพตช์ความปลอดภัยแล้วเมื่อเดือนพฤษภาคม 2019 ที่ผ่านมา โดยช่องโหว่นี้มีคำเตือนให้ผู้ใช้งานเร่งอัปเดตเพราะว่าช่องโหว่นี้สามารถเอามาทำเวิร์มแพร่กระจายได้เหมือน WannaCry ที่ใช้ช่องโหว่ CVE-2017-0144 EternalBlue (Remote Code Execution ใน SMB)

พบการโจมตีด้วยช่องโหว่ BlueKeep แล้ว

2 พฤศจิกายน 2019 Kevin Beaumont นักวิจัยผู้ตั้งชื่อเล่นให้ CVE-2019-0708 ว่า BlueKeep เปิดเผยการค้นพบการโจมตีด้วยช่องโหว่ BlueKeep บน honeypot ที่เขาเปิดล่อเอาไว้ทั่วโลกตั้งแต่เดือนพฤษภาคม 2019 ซึ่งการโจมตีครั้งนี้ทำให้เหล่า honeypot เกิดจอฟ้า

จากการวิเคราะห์ crash dump ที่ได้จากเหล่า honeypot พบว่าการโจมตีดังกล่าวยังไม่ได้แพร่โดยเวิร์ม แต่เกิดจากการใช้ Metasploit พยายามรันคำสั่งอันตรายเพื่อติดตั้งมัลแวร์ขุดเหมือง เนื่องจากโมดูลสำหรับโจมตีด้วย BlueKeep ใน Metasploit ยังไม่ค่อยเสถียร เลยทำให้เกิดจอฟ้า

อ่านต่ออย่างละเอียด thehackernews

ไม่ใช่เวิร์มแต่ก็อันตรายนะ ไมโครซอฟต์ออกมาเตือนอีกรอบ

8 พฤศจิกายน 2019 ไมโครซอฟต์ออกรายงานวิเคราะห์การโจมตี BlueKeep ร่วมกับ Kevin Beaumont และ Marcus Hutchins ด้วยมัลแวร์ขุดเหมืองดังกล่าว พร้อมกับเตือนให้ผู้ใช้งานเร่งแพตช์ เพราะต้องมีการโจมตีที่รุนแรงกว่านี้ตามมาแน่นอน

อ่านต่ออย่างละเอียด https://www.