นักวิจัยด้านความปลอดภัยชื่อ "SandboxEscaper" ได้เผยแพร่ช่องโหว่ Zero-day ใหม่ใน Windows บน Twitter ของตัวเองอีกครั้งเป็นครั้งที่สองในช่วงสองเดือนที่ผ่านมา และเปิดเผย proof-of-concept (POC) ของช่องโหว่ดังกล่าวบน GitHub
ช่องโหว่ดังกล่าวส่งผลกระทบกับ Microsoft Data Sharing (dssvc.
ช่องโหว่ zero-day ใน Task Scheduler บน Windows ถูกใช้โจมตีด้วยมัลแวร์แล้ว
หลังจากที่มีผู้เผยแพร่ช่องโหว่ zero-day ใน Task Scheduler บน Windows ในช่วงเช้าวันอังคารที่ 28 สิงหาคม ตามเวลาในประเทศไทย นักวิจัยจาก ESET ได้ค้นพบมัลแวร์ที่ใช้ประโยชน์จากช่องโหว่ดังกล่าวแล้วสร้างโดยกลุ่ม PowerPool ในสองวันต่อมา
กลุ่ม PowerPool ถูกตั้งชื่อตามวิธีในการโจมตี ซึ่งเป็นการโจมตีด้วยสคริปต์ PowerShell กลุ่ม PowerPool ทำการโจมตีไปทั่วโลกผ่านทาง spam อีเมลโดยพบเหยื่อจากหลายประเทศ ได้แก่ ชิลี เยอรมัน อินเดีย ยูเครน เป็นต้น อีเมลดังกล่าวประกอบด้วยไฟล์แนบอันตรายที่จะทำให้เครื่องของเหยื่อที่หลงเปิดติด backdoor หากกลุ่ม PowerPool คาดว่าเครื่องของเหยื่อมีข้อมูลสำคัญ จะทำการยกสิทธิ์ของ backdoor ด้วยช่องโหว่ zero-day ดังกล่าว
นักวิจัยจาก ESET กล่าวว่า ช่องโหว่นี้ถูกใช้โจมตีได้อย่างรวดเร็วเนื่องจากผู้เผยแพร่ช่องโหว่ได้เปิดเผย source code ที่ใช้ในการโจมตีด้วย ทำให้ง่ายต่อการนำไปใช้ต่อ ทั้งนี้มีการคาดการว่าไมโครซอฟต์จะทำการแพตช์ช่องโหว่ดังกล่าวในแพตช์ประจำเดือนกันยายน 2018
ที่มา : ZDNet
นักวิจัยด้านความปลอดภัย Dmitri Kaslov จาก Telspace Systems ได้ประกาศการค้นพบช่องโหว่ล่าสุดในส่วน Jscript ซึ่งอยู่ในระบบปฏิบัติการ Windows โดยอาจส่งผลให้เกิดการรันโค้ดที่เป็นอันตรายได้จากระยะไกล
ช่องโหว่ดังกล่าวเกิดขึ้นจากปัญหาในลักษณะ dangling pointer ซึ่งในช่องโหว่นี้นั้นคือการที่ pointer ของโปรแกรมยังคงชี้ไปยังจุดใดจุดหนึ่งในหน่วยความจำเคยถูกใช้งานแต่ถูกคืนพื้นที่กลับไปแล้ว อาจส่งผลให้ pointer ชี้ไปยังหน่วยความจำที่มีการใช้งานอยู่แต่ไม่เกี่ยวข้องกับการทำงานและเกิดเป็นพฤติกรรมของโปรแกรมที่ไม่สามารถคาดเดาได้ (undefined behavior)
ในการโจมตีช่องโหว่นี้นั้น ผู้โจมตีจำเป็นต้องหลอกล่อให้ผู้ใช้งานทำการเปิดไฟล์หรือเปิดหน้าเว็บเพจเพื่อรันโค้ดสำหรับโจมตี ซึ่งถึงแม้จะโจมตีสำเร็จ โค้ดอันตรายที่ถูกรันก็ยังคงถูกรันอยู่สภาพแวดล้อมควบคุม (sandbox) ทำให้ความเสียหายที่จะเกิดขึ้นนั้นค่อนข้างน้อย
ไมโครซอฟต์รับทราบถึงการมีอยู่ของช่องโหว่แล้ว และจะดำเนินการแก้ไขพร้อมกับปล่อยแพตช์ออกมาในเร็วๆ นี้
ที่มา : bleepingcomputer
Nabeel Ahmed นักวิจัยด้านความปลอดภัยจาก Trend Micro Zero Day Initiative พบช่องโหว่ในฟีเจอร์ Windows Remote Assistance (Quick Assist) (CVE-2018-0878) บน Windows ที่มีผลกระทบต่อ Windows ทุกเวอร์ชันรวมถึง Windows 10, 8.1, RT 8.1 และ 7 ช่องโหว่ดังกล่าวช่วยให้ผู้โจมตีสามารถเข้าถึงเครื่องเป้าหมายจากระยะไกลเพื่อขโมยข้อมูลสำคัญได้
Windows Remote Assistance เป็นเครื่องมือที่ช่วยให้ผู้ใช้สามารถเข้าถึงเครื่องคอมพิวเตอร์ได้จากระยะไกล เพื่อให้ผู้ใช้สามารถแก้ไขปัญหาได้จากทั่วโลก
ฟีเจอร์ดังกล่าวใช้เซอร์วิช Remote Desktop Protocol (RDP) เพื่อสร้างการเชื่อมต่อที่ปลอดภัยระหว่างผู้ใช้
ช่องโหว่ดังกล่าวมีผลต่อ Microsoft Windows Server 2016, Windows Server 2012 และ R2, Windows Server 2008 SP2 และ R2 SP1, Windows 10 (ทั้ง 32 บิตและ 64 บิต), Windows 8.1 (ทั้ง 32 บิตและ 64 บิต) และ RT 8.1 และ Windows 7 (ทั้ง 32 บิตและ 64 บิต)
Recommendation
ทาง Windows ได้ทำการแก้ไขช่องโหว่ดังกล่าวในแพทช์ประจำเดือนมีนาคม แนะนำให้ผู้ใช้งานอัพเดทแพทช์เพื่อแก้ไขช่องโหว่ดังกล่าว
ที่มา : thehackernews
ไมโครซอฟต์ออกประกาศเตรียมเพิ่มระบบปฏิบัติการที่สามารถใช้งาน Windows Defender Advanced Threat Protection (ATP) ได้โดยการเพิ่ม Windows 7 SP1 และ Windows 8.1 เข้าไปหลังจากแต่เดิมนั้นใช้ได้เพียง Windows 10 โดยจะเริ่มดำเนินการเร็วนี้ๆ
Windows Defender Advacned Threat Protection (ATP) เป็นบริการแบบเสียตังค์จากไมโครซอฟต์โดยมีแกนหลักเป็นระบบตรวจจับภัยคุกคามที่อาศัยเอนจินบนคลาวด์ โดยอาศัยการตรวจสอบทั้งจากพฤติกรรมของไฟล์ การใช้งานเครือข่ายหรือลักษณะของไฟล์ต่างๆ ในระบบ ATP ยังมีการเพิ่มประสิทธิภาพการตรวจจับโดยใช้เทคโนโลยี machine learning ร่วมด้วย
ที่มา : bleepingcomputer
เทคนิคใหม่ Process Doppelgänging ซ่อนมัลแวร์จากแอนติมัลแวร์และโปรแกรมตรวจสอบหลักฐานดิจิตอลได้
กลุ่มนักวิจัยด้านความปลอดภัยจาก Ensilo ได้แก่ Tal Liberman และ Enguene Kogan ได้เปิดเผยเทคนิคใหม่ภายใต้ชื่อ Process Doppelgänging ที่งานสัมมนาด้านความปลอดภัย Black Hat 2017 ซึ่งจัดที่ลอนดอนเมื่อช่วงกลางสัปดาห์ที่ผ่านมา โดยเทคนิคนี้สามารถช่วยซ่อนมัลแวร์ให้ตรวจพบได้ยากขึ้นได้
เทคนิค Process Doppelgänging ใช้ฟีเจอร์หนึ่งของวินโดวส์ชื่อว่า NTFS Transaction ซึ่งแต่เดิมเป็นฟีเจอร์ที่ใช้ในการจัดการไฟล์ในระบบไฟล์ NTFS ร่วมกับ process loader รุ่นเก่าที่มีมาตั้งแต่ Windows XP จนถึงรุ่นปัจจุบัน การดำเนินการใดๆ ที่อยู่ในลักษณะ transaction จะเกิดขึ้นบนหน่วยความจำเท่านั้นและไม่มีการเขียนไฟล์ลงบนดิสก์จริงๆ จนกว่าจะมีการ commit
เริ่มต้นจากการสร้าง transaction เพื่อแก้ไขไฟล์ที่ไม่เป็นอันตรายโดยการสอดแทรกเนื้อหาของมัลแวร์ลงไปในไฟล์ดังกล่าว (ซึ่งแน่นอนว่าเกิดขึ้นบนหน่วยความจำ) โดยการแก้ไขดังกล่าวนั้นมีค่าเทียบเท่ากับการสร้างพื้นที่บนหน่วยความจำที่มีโค้ดของมัลแวร์อยู่ จากนั้นเพื่อลบหลักฐานการแก้ไขไฟล์ไป ผู้โจมตีจะต้องดำเนินการ rollback เพื่อย้อนคืนการแก้ไขใดๆ บนไฟล์ดังกล่าวออก ท้ายที่สุดผู้โจมตีจะทำการใช้ process loader ในการสร้างโปรเซสโดยอ้างอิงไปยังพื้นที่บนหน่วยความจำที่มีโค้ดที่เป็นอันตรายและยังคงอยู่ ทำให้เกิดการรันโค้ดที่เป็นอันตรายโดยไม่ทิ้งร่องรอยไว้ได้
เทคนิค Process Doppelgänging ถูกทดสอบแล้วว่าสามารถใช้งานได้บนวินโดวส์ตั้งแต่ Vista จนถึงวินโดวส์ 10 และในขณะนี้โปรแกรมป้องกันมัลแวร์กว่า 12 รายการยังไม่สามารถตรวจพบเทคนิคนี้ได้ที่ https://thehackernews.
CERT/CC ออกประกาศได้ความปลอดภัย VU#817544 เมื่ออาทิตย์ที่ผ่านมาหลังจากมีการค้นพบข้อผิดพลาดใน Windows 8 หรือใหม่กว่าซึ่งเป็นผลการทำงานของฟังก์ชันด้านความปลอดภัยหนึ่งไม่สมบูรณ์ และอาจส่งผลต่อความปลอดภัยของระบบในภาพรวมได้
ฟังก์ชันหรือฟีเจอร์ด้านความปลอดภัยนี้มีชื่อว่า ASLR ซึ่งเริ่มใช้งานตั้งแต่ Windows Vista เป็นต้นมา ฟังก์ชันนี้ช่วยป้องกันการโจมตีแบบ code-reuse หรือที่รู้จักกันในชื่อ Return-oriented programming (ROP) ได้โดยการทำให้โมดูลหรือไลบรารีที่ถูกโหลดขึ้นมานั้นอยู่ในตำแหน่งแบบสุ่มแทนที่จะอยู่ในตำแหน่งที่คาดเดาได้จากผู้โจมตี
ตั้งแต่ Windows 8 เป็นต้นมา โปรแกรม EMET (หรือ Windows Defender Exploit Guard) เข้ามามีส่วนสำคัญในการอิมพลีเมนต์ ASLR ให้กับแอปพลิเคชันอื่นๆ อย่างไรก็ตามมีการค้นพบการอิมพลีเมนต์ ASLR โดยโปรแกรม EMET หรือ Windows Defender Exploit Guard ไม่สมบูรณ์และอาจทำให้โปรแกรมไม่ได้ถูกปกป้องโดย ASLR อย่างที่ผู้ใช้งานคาดหวังได้
Recommendation สำหรับวิธีการแก้ปัญหาในเบื้องต้น (workaround) นั้น ผู้ใช้งานสามารถดำเนินแก้ไขข้อผิดพลาดนี้ได้โดยการแก้ไขค่ารีจิสทรีตามข้อมูลจากแหล่งที่มา อย่างไรก็ตามเราแนะนำให้ผู้ใช้งานและผู้ดูแลระบบคอยตรวจสอบวิธีการในการแก้ไขปัญหาอย่างเป็นทางการจากทางไมโครซอฟต์อีกครั้ง
ที่มา : KB.Cert
รายงานจากทาง WikiLeaks ระบุเกี่ยวกับ โปรเจค Angelfire ของทาง CIA ซึ่งเป็นการพัฒนา Malware Framework เพื่อนำไปใช้กับระบบคอมพิวเตอร์ที่มีระบบปฏิบัติการเป็น Windows ส่วนประกอบหลักของ Angelfire มีอยู่ 5 ส่วน คือ Solartime, Wolfcreek, Keystone, BadMFS, และ Windows Transitory File System
ทั้งนี้ Angelfire เป็นเพียงแค่หนึ่งในหลายๆ เครื่องมือที่ทาง CIA พัฒนาขึ้นมาเพื่อใช้ hack ระบบคอมพิวเตอร์ Grasshopper, ELSA, AfterMidnight และ Assassin คือ Framework รุ่นก่อนๆ ที่ CIA เคยใช้ในการ hack
เมื่อเทียบกับเครื่องมือตัวอื่นๆ แล้ว Angelfire ยังไม่ใช้เครื่องมือที่ดีมากนัก เพราะยังมีข้อเสียอยู่หลายอย่าง เช่น Security Software บนตัวเครื่องผู้ใช้งานอาจตรวจเจอระบบไฟล์ของ BadMFS จากไฟล์ที่ชื่อว่า “zf” และผู้ใช้งานอาจเห็น popup เมื่อส่วนนึ่งของ Angelfire Framework เกิดการ crash และ Keystone สามารถปลอมเป็น Process ที่อยู่ C:\Windows\system32\svchost.
นักวิจัยด้านความปลอดภัยจาก Core Security’s CoreLabs พบช่องโหว่หลายช่องโหว่บนแอพพลิเคชั่น Lenovo SHAREit ของ Android และ Windows ที่ใช้สำหรับส่งไฟล์ รูป เพลงและแอพระหว่างเครื่องโดยไม่ต้องต่อเน็ต หนึ่งในนั้นคือมีช่องโหว่ที่มีการฝังรหัสผ่าน 12345678 ไว้ในแอพพลิเคชั่นดังกล่าว
ซึ่งสามารถใช้รหัสผ่าน 12345678 เข้าใช้ Wi-Fi ส่งผลให้สามารถดูไฟล์ต่างๆ แต่ไม่สามารถดาวน์โหลดได้ โดยจะทำงานผ่าน HTTP Request ไปยังเครื่องที่เปิดโปรแกรม SHAREit อยู่นั้นเอง อีกทั้งการถ่ายโอนไฟล์ที่ทำงานผ่าน HTTP ไม่มีการเข้ารหัสนั้นส่งผลให้อาจถูกดักข้อมูลระหว่าง Network หรือการทำ Man in the middle ได้อีกด้วย
ช่องโหว่นั้นมีผลกระทบกับ SHAREit เวอร์ชั่น 3.0.18_ww บน Android และ SHAREit เวอร์ชั่น 2.5.1.1 บน Windows อย่างไรก็ตามทาง Lenovo ได้ออกแพทช์อัพเดทมาเพื่อแก้ไขปัญหาดังกล่าวนี้แล้ว
ที่มา : threatpost
นักวิจัยจาก Kaspersky Lab ได้ค้นพบช่องโหว่บน Flash Player ซึ่งช่องโหว่นี้อยู่ในส่วน Pixel Blender ที่ออกแบบมาในการประมวลผลภาพและวิดีโอ โดยผู้บุกรุกสามารถใช้ช่องโหว่นี้เข้าควบคุมเครื่องระยะไกลได้
ช่องโหว่นี้จะมีผลกระทบกับผู้ใช้ Flash Player บน Mac เวอร์ชั่น 13.0.0.201 และเวอร์ชั่นที่ต่ำกว่า, บน Windows เวอร์ชั่น 13.0.0.182 และเวอร์ชั่นที่ต่ำกว่า, บน Linux เวอร์ชั่น 11.2.202.350 และเวอร์ชั่นที่ต่ำกว่า
สำหรับผู้ที่อยู่ในกลุ่มเสี่ยง Adobe แนะนำให้อัพเดตทันที โดยผู้ใช้ Chrome/IE11/Windows/Mac จะได้อัพเดตเวอร์ชั่น 13.0.0.206 (Chrome และ IE11 อัพเดตอัตโนมัติ) และผู้ใช้ Linux จะได้อัพเดตเวอร์ชั่น 11.2.202.356
นักวิจัยจาก Kaspersky Lab ได้ค้นพบช่องโหว่บน Flash Player ซึ่งช่องโหว่นี้อยู่ในส่วน Pixel Blender ที่ออกแบบมาในการประมวลผลภาพและวิดีโอ โดยผู้บุกรุกสามารถใช้ช่องโหว่นี้เข้าควบคุมเครื่องระยะไกลได้
ช่องโหว่นี้จะมีผลกระทบกับผู้ใช้ Flash Player บน Mac เวอร์ชั่น 13.0.0.201 และเวอร์ชั่นที่ต่ำกว่า, บน Windows เวอร์ชั่น 13.0.0.182 และเวอร์ชั่นที่ต่ำกว่า, บน Linux เวอร์ชั่น 11.2.202.350 และเวอร์ชั่นที่ต่ำกว่า
สำหรับผู้ที่อยู่ในกลุ่มเสี่ยง Adobe แนะนำให้อัพเดตทันที โดยผู้ใช้ Chrome/IE11/Windows/Mac จะได้อัพเดตเวอร์ชั่น 13.0.0.206 (Chrome และ IE11 อัพเดตอัตโนมัติ) และผู้ใช้ Linux จะได้อัพเดตเวอร์ชั่น 11.2.202.356
ที่มา : appleinsider