การโจมตี Zloader รูปแบบใหม่มีการปิดการใช้งาน Windows Defender เพื่อหลบเลี่ยงการตรวจจับ

การโจมตี Zloader รูปแบบใหม่มีการปิดการใช้งาน Windows Defender เพื่อหลบเลี่ยงการตรวจจับ

แคมเปญการโจมตี Zloader ที่กำลังดำเนินอยู่ใช้ infection chain รูปแบบใหม่เพื่อปิดใช้งาน Microsoft Defender Antivirus (เดิมคือ Windows Defender) บนคอมพิวเตอร์ของเหยื่อเพื่อหลบเลี่ยงการตรวจจับ

จากสถิติของ Microsoft Microsoft Defender Antivirus เป็นโซลูชันป้องกันมัลแวร์ที่ติดตั้งไว้ล่วงหน้าบนระบบมากกว่า 1 พันล้านเครื่องที่ใช้ Windows 10

ผู้โจมตีได้เปลี่ยนช่องทางการส่งมัลแวร์จากอีเมลสแปม หรือฟิชชิ่งเป็นโฆษณา TeamViewer บน Google ที่เผยแพร่ผ่าน Google Adwords แทน โดยเมื่อมีการเข้าถึงผู้ใช้งานจะถูกนำไปยังไซต์ดาวน์โหลดปลอม (more…)

Windows Push Notifications ถูกนำไปใช้เพื่อหลอกขโมยข้อมูลเหยื่อ

จากรายงานของ McAfee ปัจจุบันผู้ไม่หวังดีใช้ Browser Push Notifications ซึ่งมีลักษณะที่คล้ายกับ Windows Push Notifications มาใช้ในการหลอกล่อให้เหยื่อดำเนินการตามที่ต้องการ

โดยจะปลอมการแจ้งเตือนที่มีลักษณะเหมือนการแจ้งเตือนปกติ เพื่อให้เหยื่อหลงเชื่อ และดำเนินการกดติดตั้ง ซอฟต์แวร์ ที่เป็นอันตราย ซึ่งซอฟต์แวร์เหล่านั้นจะทำหน้าที่ในการเก็บรวบรวมข้อมูลของผู้ใช้งาน

ในรายงานผู้เชี่ยวชาญอธิบายวิธีการโจมตีในรูปแบบ Social Engineering นี้ จะหลอกให้เหยื่อนั้นทำการติดตั้ง Windows Defender ปลอม ซึ่งความจริงแล้วเป็นซอฟต์แวร์อันตราย

แทนที่จะใช้วิธีส่งอีเมลล์สำหรับโจมตีด้วยวิธีการ Phishing ผู้โจมตีจะแฮ็คการแจ้งเตือนแบบ Pop-up ของเว็ปไซต์ และใช้ข้อความโดยใช้ชื่อ และ Logo ของ McAfee โดยทำเหมือนว่าเป็น Windows Defender Update และเมื่อเหยื่อกดที่ข้อความแจ้งเตือนนั้น ก็จะเป็นการนำเหยื่อให้เข้าสู่หน้าเว็บไซต์ปลอม หลังจากนั้นก็จะเป็นการแจ้งข้อมูลหลอกเหยื่อต่างๆ เช่น McAfee ของพวกเขาหมดอายุ, McAfee ตรวจพบภัยคุกคามในระบบของพวกเขา, หรือ ข้อความที่อ้างว่าเป็นลิงก์โดยตรงที่ใช้ในการสมัครสมาชิก McAfee

Craig Schmugar วิศวกรอาวุโสของ McAfee ได้เขียนอธิบายวิธีการไว้ใน blog post "ในการหลอกเหยื่อ ผู้ไม่หวังดีจะใช้ปุ่มลบโฆษณา, ปุ่มลบเเจ้งเตือน หรือ ปุ่มที่คล้ายๆ กันนำเหยื่อไปยังเว็บไซต์ที่ผู้ไม่หวังดีต้องการ ซึ่งส่วนใหญ่จะเป็นเว็บไซต์ที่ต้องการให้ผู้ใช้อนุญาตให้มีการแจ้งเตือนเพิ่มเติม ซึ่งหากเหยื่อเข้าไปยังเว็บไซต์เหล่านั้นก็จะทำให้เกิด pop-up แจ้งเตือนขึ้นจำนวนมาก"

ซอฟต์แวร์ ที่เป็นอันตรายถ้าหากถูกติดตั้งไปแล้วนั้นสามารถที่จะขโมยข้อมูลระบบได้ซึ่งประกอบไปด้วย ข้อมูล process, ข้อมูลของไดรฟ์, Serial numbers, ข้อมูลของ Ram และ ข้อมูลของ Graphics card
นอกจากนี้ยังสามารถเข้าถึงข้อมูลโปรไฟล์แอปพลิเคชันเช่น Chrome, Exodus wallets, Ethereum wallets, Opera และ Telegram Desktops และข้อมูลบัตรเครดิตของเหยื่อได้

"ในขณะที่การ Phishing ด้วยอีเมลนั้นยังเป็นที่นิยมในโจมตีของเหล่าผู้ไม่หวังดี แต่พวกเขานั้นก็ยังพยายามที่จะแสวงหาช่องทางอื่นๆ อีกในการโจมตี เช่น ทางโซเชียลมีเดีย หรือ ในเหตุการณ์นี้ที่พวกเขานั้นใช้ Windows Push Notifications เพื่อหวังว่าเหยื่อนั้นจะหลงเชื่อ และกดติดตั้ง ซอฟต์แวร์ ที่เป็นอันตรายตามที่พวกเขาต้องการ" Javvad Malik security awareness advocate ของ KnowBe4. กล่าว

ผลกระทบในภายภาคหน้า
Malik กล่าวว่า "หากเหยื่อเชื่อว่าไฟล์ที่ดาวน์โหลดมานั้นเป็นไฟล์ที่ถูกต้อง พวกเขาก็อาจจะมองข้ามคำเตือนด้านความปลอดภัย หรือแจ้งเตือนด้านความปลอดภัย ในบางกรณีพวกเขาอาจจะทำการปิดการทำงานของ ซอฟต์แวร์รักษาความปลอดภัย เพื่อที่จะให้การดาวน์โหลดนั้นดำเนินการได้สะดวก เมื่อซอฟต์แวร์ที่เป็นอันตรายทำการติดตั้งสำเร็จ ผู้ไม่หวังดีก็จะสามารถเข้าถึงเครื่องของเหยื่อได้ และสามารถทำอะไรก็ได้ตามที่พวกเขาต้องการไม่ว่าจะเป็น ปล่อย Ransomware, ขโมยข้อมูล, หรือ การเคลื่อนย้ายจากเครื่องของเหยื่อเข้าไปยังองค์กรของพวกเขา เพื่อวัตถุประสงค์อื่นๆ อีกต่อไป"

นักวิจัยตั้งข้อสังเกตว่า "เว็บไซต์ปลอมของผู้ไม่หวังดีนั้นจะมีไฟล์ ms-appinstaller (MSIX) ให้ดาวน์โหลด เมื่อไฟล์ถูกดาวน์โหลด และถูกเรียกใช้ เหยื่อก็จะได้รับแจ้งให้ติดตั้ง Defender Update จาก 'Publisher: Microsoft' หลังจากติดตั้งแอปพลิเคชัน 'Defender Update' จะปรากฏในเมนูเริ่มต้นเหมือนกับแอป Windows อื่นๆ"

แทนที่จะไปอัปเดตจริง ผู้ไม่หวังดีก็จะหลอกให้เหยื่อคลิ้กผ่านทางลัดที่เป็นซอฟต์แวร์อันตรายที่ถูกติดตั้งไป หลังนั้นซอฟต์แวร์ดังกล่าวก็จะไปดาวน์โหลดโทรจันเพื่อมาขโมยข้อมูลของเหยื่อ

คำแนะนำในการลดความเสี่ยง

เหล่านักวิจัยเรียกร้องให้องค์กรต่างๆ ให้ความรู้แก่พนักงานในการอ่านข้อความแจ้งเตือน รวมไปถึงการอนุญาตให้สิทธ์ต่างๆ อย่างถี่ถ้วน และคลิก "อนุญาต" บนไซต์ที่เชื่อถือได้เท่านั้น นอกจากนี้พวกเขายังแนะนำให้ปิดการใช้งานการแจ้งเตือนบนหน้าเว็บเพื่อลดความเสี่ยง

"ในปัจจุบันกลโกงต่างๆ นั้นทำได้แนบเนียน และน่าเชื่อถือ ดังนั้นสิ่งที่จะดีกว่าการ Block ที่รวดเร็วคือการอ่าน และทำความเข้าใจอย่างช้าๆ ก่อนที่จะอนุญาตอะไรไป" Schmugar กล่าว และ เขาแนะนำเพิ่มเติมว่า สำหรับการอัปเดตระบบปฏิบัติการ Windows นั้นพนักงานควรทำการตรวจสอบด้วยตนเอง และอัปเดตผ่านเมนูเริ่มต้น หรือป้อนที่อยู่เว็บที่ถูกต้องด้วยตนเอง แทนที่จะคลิกลิงก์ที่ได้รับมา

ที่มา : bankinfosecurity

Revamped DLL side-load attack hits Myanmar

Sophos ออกรายงานการโจมตีทางไซเบอร์ในพม่า ใช้โปรแกรมของ Windows Defender ทำ "DLL side-loading" ในการโจมตี

Sophos ออกรายงานแจ้งเตือนพฤติกรรมการโจมตีโดยกลุ่ม APT จีนในพม่า พุ่งเป้าโจมตีบริษัทเอกชนและด้านการค้าในประเทศพม่า จุดน่าสนใจของการโจมตีอยู่ที่การใช้เทคนิคการโจมตีซึ่งถูกค้นพบในปี 2013 ในชื่อ DLL side-loading เพื่อหลอกให้ระบบเมื่อมีการเอ็กซีคิวต์โปรแกรมใดๆ แล้ว ให้เรียกใช้ DLL ปลอมซึ่งเป็นอันตรายแทน DLL จริง

ในกรณีของการโจมตีที่ตรวจพบ แฮกเกอร์จีนมีการใช้โปรแกรม MsMpEng.

Microsoft แก้ไขข้อบกพร่องการสแกนของ Windows Defender ด้วยอัพเดทแพตช์ใหม่

Microsoft ได้แก้ไขข้อผิดพลาดการทำงานของ Windows Defender ข้อผิดพลาดเกิดขึ้นจากการที่ Windows Defender Antivirus สแกนข้ามรายการที่สแกนเนื่องจากการยกเว้นหรือการตั้งค่าการสแกนเครือข่าย ทำให้การแจ้งเตือนของ Windows Defender เกิดข้อผิดพลาด

ข้อผิดพลาดเกิดจากการอัปเดตสแกนเนอร์ของ Windows Defender ที่ปิดใช้งานการสแกนเครือข่ายโดยอัตโนมัติสำหรับรุ่นที่ใหม่กว่าหลังจากที่เปิดการใช้งานมาแล้วก่อนหน้านี้

Microsoft แก้ไขปัญหาด้วยการเปิดตัวแพตช์อัพเดต KB4052623 ที่จะเพิ่มเวอร์ชันของเอ็นจินการสแกนเป็น 4.18.2003.8 และจะป้องกันการแจ้งเตือนของไฟล์ที่ถูกข้ามไม่ให้ปรากฏ ผู้ใช้ควรทำการอัปเดตแพตช์ KB4052623 ได้โดยอัตโนมัติผ่านทาง Windows Update แพตช์อัพเดต KB4052623 สามารถอัพเดตได้ใน Windows 10 (รุ่น Enterprise, Pro และ Home), Windows Server 2019 และ Windows Server 2016

ที่มา: bleepingcomputer

Microsoft releases out-of-band security update to fix IE zero-day & Defender bug

Microsoft ออกแพตช์ด่วนให้ช่องโหว่ zero-day IE และบัคใน Defender

Microsoft ออกแพตช์ฉุกเฉินเพื่อแก้ไขปัญหาด้านความปลอดภัยช่องโหว่ ได้แก่ช่องโหว่ zero-day ใน Internet Explorer scripting engine และข้อบกพร่องของ Microsoft Defender โดยพบการโจมตีที่ใช้ช่องโหว่ของ Internet Explorer ดังกล่าวแล้ว

ผู้ใช้ Windows ควรติดตั้งการอัปเดตโดยเร็วที่สุด โดยแพตช์สำหรับ IE จะต้องอัปเดตด้วยตนเองในขณะที่ Defender bug จะได้รับการแก้ไขผ่านการอัปเดตแบบอัตโนมัติ

ช่องโหว่ของ Internet Explorer ดังกล่าวเป็นช่องโหว่ที่ร้ายแรงมากเป็นช่องโหว่ remote code execution (RCE) โดยได้รับ CVE-2019-1255 ซึ่งจะทำให้ผู้โจมตีสามารถรันโค้ดได้จากระยะไกลได้เมื่อทำให้หน่วยความจำเสียหาย

ผู้โจมตีที่ประสบความสำเร็จในการใช้ประโยชน์จากช่องโหว่จะได้รับสิทธิ์ผู้ใช้เช่นเดียวกับ User ที่กำลังใช้งาน Internet Explorer ซึ่งผู้โจมตีสามารถทำการโจมตีโดยหลอกให้เหยื่อเข้าชมเว็บไซต์ที่เป็นอันตราย

ผู้ใช้งาน Internet Explorer ควรศึกษาคำแนะนำของ Microsoft ที่แนะนำวิธีอัปเดตและวิธีลดความเสี่ยงในกรณีที่ไม่สามารถอัปเดตได้จาก https://portal.

Microsoft makes Windows Defender anti-phishing plugin available for Chrome

Microsoft ได้เผยแพร่ใน ปลั๊กอินที่ป้องการฟิชชิ่ง ของ Windows Defender ใน Chrome ตั้งแต่วันนี้ถึงวันที่ 18 เมษายน 2018 เป้าหมายหลักของ บริษัท คือการปกป้องผู้ใช้จากรายการลิงก์ที่เป็นอันตรายที่เป็นที่รู้จัก
สามารดาวน์โหลดได้ใน Chrome ไม่ขัดแย้งกับมาตรการรักษาความปลอดภัยอื่น ๆ ที่อาจมีการตั้งค่าไว้ในเครื่องคอมพิวเตอร์และจะไม่เป็นการรบกวนการป้องกันในตัวของ Chrome
ฟิชชิ่งถือว่าเป็นภัยคุกคามความปลอดภัยในโลกไซเบอร์ที่ใหญ่ที่สุดแห่งหนึ่งในปัจจุบัน ผู้ไม่หวังดีมักจะส่งอีเมลปลอมอ้างว่าเป็นธนาคารของเหยื่อหรือบริการด้านภาษีและเพิ่มลิงก์เรียกผู้กระทำความผิดเพื่อทำหน้าที่ เมื่อเหยื่อคลิกที่ลิงค์มีความเป็นไปได้ที่เขา / เธอจะดาวน์โหลดรูปแบบของมัลแวร์

ที่มา: zdnet

Microsoft Out-Of-Band Security Update Patches Malware Protection Engine Flaw

วันที่ 3 เมษายน Microsoft ประกาศอัปเดตแพตช์ด้านความปลอดภัยฉุกเฉินผ่านทาง Windows Update ซึ่งเป็นการแก้ไขช่องโหว่ CVE-2018-0986 ที่เป็นช่องโหว่ระดับ critical ใน Microsoft Malware Protection Engine (MMPE)

MMPE (mpengine.