พบแคมเปญการโจมตีใหม่ที่ใช้เทคนิค ClickFix โดยมีการโจมตีทั้งระบบปฏิบัติการ Windows และ Linux ผ่านคำสั่งที่ออกแบบมาให้สามารถติดมัลแวร์ได้บนทั้งสองระบบปฏิบัติการ (more…)

ตั้งแต่ต้นปีที่ผ่านมา กลุ่มแฮ็กเกอร์ ColdRiver ที่ได้รับการสนับสนุนจากรัฐบาลรัสเซีย ได้ใช้มัลแวร์ตัวใหม่ที่มีชื่อว่า LostKeys เพื่อขโมยไฟล์ข้อมูล โดยมีเป้าหมายเป็นรัฐบาลชาติตะวันตก, นักข่าว, ศูนย์วิจัยนโยบาย และองค์กรพัฒนาเอกชน (NGOs) (more…)

หน่วยงานให้ความช่วยเหลือด้านกฎหมาย (LAA) ซึ่งเป็นหน่วยงานบริหารภายใต้กระทรวงยุติธรรมแห่งสหราชอาณาจักร มีหน้าที่ดูแลเงินทุนสนับสนุนด้านกฎหมายมูลค่าหลายพันล้านปอนด์ ได้แจ้งเตือนสำนักงานกฎหมายต่าง ๆ เกี่ยวกับเหตุการณ์ด้านความปลอดภัย และระบุว่าผู้โจมตีอาจเข้าถึงข้อมูลทางการเงินได้ (more…)

กลุ่มแฮ็กเกอร์จากรัสเซีย ใช้ช่องโหว่ OAuth 2.0 authentication เพื่อแฮ็กบัญชี Microsoft 365 ของพนักงานในองค์กรที่เกี่ยวข้องกับยูเครน และองค์กรด้านสิทธิมนุษยชน

ผู้โจมตีแอบอ้างตัวเป็นเจ้าหน้าที่จากประเทศในยุโรป และติดต่อเป้าหมายผ่านแอปส่งข้อความอย่าง WhatsApp และ Signal โดยเป้าหมายคือการโน้มน้าวให้เหยื่อใส่รหัส authorization codes สำหรับ Microsoft หรือทำการคลิกลิงก์อันตราย เพื่อเก็บข้อมูลการล็อกอิน และรหัสผ่านแบบ One-Time Codes

บริษัทด้านความปลอดภัยทางไซเบอร์ Volexity สังเกตเห็นพฤติกรรมนี้ตั้งแต่ช่วงต้นเดือนมีนาคม 2025 หลังจากที่เคยเกิดเหตุการณ์ในลักษณะเดียวกันนี้ในเดือนกุมภาพันธ์ ซึ่งเคยถูกรายงานโดย Volexity และ Microsoft โดยในครั้งนั้นผู้โจมตีใช้เทคนิคฟิชชิงผ่าน Device Code Authentication เพื่อขโมยบัญชี Microsoft 365

Volexity ได้ติดตามกลุ่มผู้โจมตีที่อยู่เบื้องหลังการโจมตีทั้งสองแคมเปญในชื่อ UTA0352 และ UTA0355 และประเมินด้วยความมั่นใจในระดับปานกลางว่าทั้งสองกลุ่มเป็นชาวรัสเซีย

ลำดับการโจมตี

ในรายงานที่เผยแพร่วันที่ 25 เมษายน 2025 นักวิจัยได้อธิบายว่า การโจมตีเริ่มต้นจากการส่งข้อความผ่านแอปพลิเคชัน Signal หรือ WhatsApp

โดย Volexity ระบุว่า ในบางกรณี ข้อความดังกล่าวถูกส่งมาจากบัญชีของรัฐบาลยูเครนที่ถูกโจมตี

โดยผู้โจมตีจะแอบอ้างเป็นเจ้าหน้าที่ทางการเมืองของยุโรป หรือเจ้าหน้าที่การทูตของยูเครน และหลอกเป้าหมายด้วยคำเชิญให้เข้าร่วมการประชุมวิดีโอส่วนตัวเพื่อหารือเกี่ยวกับประเด็นที่เกี่ยวข้องกับยูเครน

เมื่อสามารถสร้างช่องทางการสื่อสารกับเป้าหมายได้แล้ว ผู้โจมตีจะส่ง phishing URL ในรูปแบบ OAuth โดยอ้างว่าเป็นลิงก์ที่จำเป็นสำหรับเข้าร่วมการประชุม

กลุ่ม UTA0352 อาจส่งคำแนะนำในการเข้าร่วมประชุมในรูปแบบไฟล์ PDF พร้อมกับลิงก์อันตรายที่ถูกออกแบบมาให้ใช้สำหรับล็อกอินเข้าสู่ระบบ Microsoft และแอปของ third-party ซึ่งใช้ในขั้นตอน OAuth ของ Microsoft 365

หลังจากเป้าหมายทำการยืนยันตัวตนเรียบร้อยแล้ว นักวิจัยระบุว่า จะมีการเปลี่ยนเส้นทางผู้ใช้ไปยัง Visual Studio Code เวอร์ชันในเบราว์เซอร์ ซึ่งโฮสต์อยู่ที่ insiders.

การโจมตีแบบ SIM swapping ยังคงเป็นภัยคุกคามที่สำคัญต่อบุคคล และสถาบันการเงิน แม้จะมีความพยายามอย่างต่อเนื่องจากผู้ให้บริการโทรคมนาคม และหน่วยงานกำกับดูแลในการเพิ่มมาตรการด้านความปลอดภัย

การโจมตีประเภทนี้เกี่ยวข้องกับผู้ไม่หวังดีที่ควบคุมหมายเลขโทรศัพท์ของเหยื่อจากการแลกเปลี่ยน หรือย้ายหมายเลข SIM โดยส่วนใหญ่จะใช้ข้อมูลส่วนตัว และข้อมูลทางการเงินที่ถูกขโมยมา ผ่านการโจมตีแบบฟิชชิ่ง หรือ social engineering

การพัฒนากลยุทธ์การโจมตีแบบ SIM swapping

โดยทั่วไปแล้ว ผู้ไม่หวังดีจะเริ่มการขอเปลี่ยน SIM โดยการใช้ช่องโหว่ในระบบของผู้ให้บริการโทรคมนาคม โดยส่วนมากจะใช้แอปพลิเคชันมือถือในการยื่นคำขอเปลี่ยน SIM

เพื่อหลีกเลี่ยงมาตรการป้องกันความปลอดภัย เช่น แพลตฟอร์มการยืนยันตัวตนทางอิเล็กทรอนิกส์ของรัฐบาลที่ต้องการการยืนยันตัวตนด้วยลายนิ้วมือ หรือการอนุมัติการเข้าสู่ระบบ ผู้ไม่หวังดีจะหลอกเหยื่อให้อนุมัติการแลกเปลี่ยน SIM โดยที่เหยื่อไม่รู้ตัว

การหลอกลวงนี้มักจะทำได้โดยการแอบอ้างเป็นตัวแทนจากบริการที่น่าเชื่อถือ เช่น การสมัครงาน หรือการอัปเดตบัญชี

เมื่อ SIM ของเหยื่ออยู่ภายใต้การควบคุมแล้ว ผู้ไม่หวังดีสามารถดักจับรหัสการยืนยันตัวตนแบบสองขั้นตอน (2FA) ผ่าน SMS ซึ่งทำให้สามารถทำธุรกรรมที่ไม่ได้รับอนุญาต และเข้าถึงบัญชีที่มีข้อมูลสำคัญได้

เว็บไซต์ฟิชชิ่งมีบทบาทสำคัญในการโจมตีแบบ SIM swapping เนื่องจากเว็บไซต์เหล่านี้ถูกออกแบบมาเพื่อเลียนแบบบริการที่น่าเชื่อถือ เช่น บริการที่เกี่ยวข้องกับรถยนต์, แพลตฟอร์มการจ้างงาน และสถาบันของรัฐบาล

ตามรายงานของ Group-IB เว็บไซต์เหล่านี้จะเก็บข้อมูลที่สำคัญจากผู้ใช้งานที่ไม่ทันระวัง ซึ่งข้อมูลเหล่านี้จะถูกนำไปใช้ในการดำเนินการแลกเปลี่ยน SIM และการเข้ายึดบัญชี

กรณีที่น่าสนใจเกี่ยวข้องกับเครือข่ายฟิชชิ่งที่มุ่งเป้าไปที่ลูกค้าประกันภัย ซึ่งมีหลายโดเมนที่เชื่อมโยงกับเครือข่ายของเว็บไซต์ปลอม แสดงให้เห็นถึงความจำเป็นในการร่วมมือกันในอุตสาหกรรม และการใช้ข้อมูลภัยคุกคามเชิงรุกเพื่อขัดขวางการดำเนินการเหล่านี้ตั้งแต่เนิ่น ๆ

ผลกระทบทางการเงิน

ผลกระทบทางการเงินจากการโจมตีแบบ SIM swapping อาจทำให้สูญเสียเงินตั้งแต่ไม่กี่ร้อยดอลลาร์จนถึงมากกว่า 160,000 ดอลลาร์ในกรณีที่ร้ายแรง

เพื่อลดความเสี่ยงเหล่านี้ สถาบันการเงินได้รับคำแนะนำให้ทำการระงับธุรกรรมที่มีความเสี่ยงสูงโดยอัตโนมัติเมื่อมีการตรวจพบการแลกเปลี่ยน SIM และต้องการการยืนยันตัวตนเพิ่มเติม

ผู้ใช้งานสามารถป้องกันได้โดยการเปลี่ยนการยืนยันตัวตนแบบสองขั้นตอนที่ใช้ SMS เป็นแอปพลิเคชันยืนยันตัวตนแทน และควรระมัดระวังการแจ้งเตือนด้านความปลอดภัยที่ผิดปกติ

ที่มา : gbhackers

 

นักวิจัยพบระบบจัดการการเข้าถึง (Access Management Systems - AMS) ที่ตั้งค่าผิดพลาด และถูกเปิดเผยกว่า 49,000 รายการในหลายอุตสาหกรรม และหลายประเทศ ซึ่งอาจส่งผลกระทบต่อความเป็นส่วนตัว และความปลอดภัยทางกายภาพในภาคส่วนที่สำคัญ (more…)

Insight Partners บริษัทด้านการลงทุนจากทุนร่วม และทุนเอกชนที่ตั้งอยู่ในนิวยอร์ก เปิดเผยว่าระบบของพวกเขาถูกโจมตีในเดือนมกราคม 2025 ภายหลังจากการโจมตีทางไซเบอร์แบบ Social Engineering

(more…)

แคมเปญฟิชชิ่งที่มุ่งเป้าไปที่ฝ่ายบริการช่วยเหลือ (help desk) ได้โจมตีบริการ Microsoft Active Directory Federation Services (ADFS) ขององค์กร โดยใช้หน้าเข้าสู่ระบบปลอมเพื่อขโมยข้อมูลการเข้าสู่ระบบ และ Bypass การยืนยันตัวตนหลายขั้นตอน (MFA) (more…)

เขตการศึกษาทางตะวันออกเฉียงเหนือของรัฐเทนเนสซีสูญเงินมากกว่า 3 ล้านดอลลาร์เมื่อต้นปีนี้ หลังจากที่พนักงานคนหนึ่งถูกหลอกให้โอนเงินทุนสำหรับจัดทำเนื้อหาหลักสูตรออนไลน์ไปให้ผู้ที่ไม่หวังดี

ในเดือนมีนาคมผู้อำนวยการฝ่ายการเงินของคณะกรรมการการศึกษา Johnson County ซึ่งมีนักเรียนประมาณ 4,500 คน ได้รับอีเมลจากบุคคลที่อ้างเป็นตัวแทนของ Pearson บริษัทที่ให้บริการหลักสูตรออนไลน์และสื่ออื่น ๆ สำหรับการเรียนรู้แบบดิจิทัล โดยผู้ส่งใช้ที่อยู่อีเมลที่ลงท้ายด้วย pearson.

กลุ่มผู้โจมตีจากเกาหลีเหนือถูกพบว่าใช้ LinkedIn เป็นช่องทางในการโจมตีนักพัฒนาซอฟต์แวร์ โดยใช้วิธีการล่อลวงเหยื่อจากเรื่องของการรับสมัครงานปลอม

Mandiant บริษัทในเครือของ Google ระบุในรายงานฉบับใหม่เกี่ยวกับภัยคุกคาม Web3 sector ว่า การโจมตีเหล่านี้ใช้การทดสอบการเขียนโค้ดเป็นวิธีหลักในการเริ่มต้นการแพร่กระจายมัลแวร์

(more…)