Microsoft ออกแพตช์อัปเดตเดือนสิงหาคม 2022 "Patch Tuesday" เพื่อแก้ไขช่องโหว่ Zero-day บน Windows ที่ถูกเผยแพร่ออกสู่สาธารณะ และกำลังถูกใช้โจมตีอยู่ในปัจจุบัน โดยช่องโหว่มีหมายเลข CVE-2022-34713 และถูกเรียกว่า DogWalk โดยช่องโหว่เป็นลักษณะ path traversal บน Windows Support Diagnostic Tool (MSDT) ที่ทำให้ผู้โจมตีสามารถใช้ประโยชน์จากช่องโหว่เพื่อสั่งรันโค้ดที่เป็นอันตรายจากระยะไกลได้ โดยผู้โจมตีอาจใช้วิธีการส่งไฟล์ .diagcab ที่ถูกสร้างขึ้น เพื่อหลอกให้ผู้ใช้งานเปิดใช้งานผ่านทางอีเมลล์ หรือดาวน์โหลดผ่านหน้าเว็ปไซต์ โดยมันจะทำงานโดยอัตโนมัติ หลังจากมีการรีสตาร์ทระบบ และทำการดาวน์โหลดเพย์โหลดของมัลแวร์อื่นๆเพิ่มเติม

DogWalk ได้รับการเผยแพร่ออกสู่สาธารณะโดย Imre Rad นักวิจัยด้านความปลอดภัยเมื่อสองปีที่แล้วในเดือนมกราคม 2020 แต่ Microsoft แจ้งว่าช่องโหว่ดังกล่าวจะไม่มีการแก้ไข เนื่องจาก Microsoft มองว่าไม่ได้เป็นปัญหาทางด้านความปลอดภัย แต่อย่างไรก็ตามช่องโหว่ Microsoft Support Diagnostics Tool ดังกล่าวถูกพบอีกครั้งเมื่อเร็วๆ นี้ และถูกรายงานโดยนักวิจัยด้านความปลอดภัย j00sean

จากข้อมูลของ Microsoft DogWalk จะมีผลกับ Windows ทุกรุ่น รวมถึงไคลเอนต์ และเซิร์ฟเวอร์เวอร์ชันล่าสุด Windows 11 และ Windows Server 2022 โดยรวมแล้ว Microsoft ได้แก้ไขช่องโหว่ 112 รายการในเดือนสิงหาคม 2022 ซึ่งรวมถึงช่องโหว่ที่สำคัญ 17 รายการ ที่สามารถสั่งรันโค้ดที่เป็นอันตรายจากระยะไกล และยกระดับสิทธิ์ได้

ที่มา : bleepingcomputer

ตามรายงานของผู้เชี่ยวชาญจาก Cyble มีการค้นพบ Ransomware ตัวใหม่ ที่มีการเปิดตัวภายใต้ชื่อ 'Lilith' ซึ่งเป็น Ransomware ที่ถูกพัฒนาโดยภาษา C/C++ เป้าหมายคือระบบปฏิบัติการ Windows 64 Bit ซึ่งคล้ายกับ Ransomware ที่เคยถูกพบก่อนหน้านี้อย่าง RedAlert และ 0mega โดย Lilith จะทำการโจมตีแบบ double-extortions คือจะทำการขโมยข้อมูลก่อนที่จะเข้ารหัสอุปกรณ์

(more…)

ช่องโหว่ที่ค้นพบนี้ สาเหตุเกิดจาก URI Protocol ที่มีชื่อว่า search-ms ซึ่งทำหน้าที่ให้ Application ต่างๆ และ HTML Link สามารถใช้งานการฟีเจอร์ Windows Search ได้ตามที่ต้องการ

แม้ว่าการค้นหาของ Windows ส่วนใหญ่จะทำการค้นหาจาก Index บนเครื่อง แต่ด้วยลักษณะการทำงานของ search-ms จึงมีความเป็นไปได้ที่ผู้ไม่หวังดีจะบังคับให้ Windows Search ทำการค้นหาไฟล์จากที่อื่น เพียงแค่ระบุชื่อไปยังโฮสต์ดังกล่าว

ลักษณะการทำงาน

ยกตัวอย่างโปรแกรมยอดนิยมอย่าง Sysinternals ที่เป็นฟรีแวร์สำหรับช่วยแก้ปัญหาต่างๆบนระบบ โดยโปรแกรมนี้ระบุให้ผู้ใช้งานเปิด Network Share ไปยัง live.

เมื่อวันที่ 17 พฤษภาคม พ.ศ. 2565 มีผู้ไม่หวังดีได้อัปโหลดไฟล์อันตรายชื่อ 'pymafka' ไปยัง PyPI ที่เป็นคลังโปรแกรม และไลบรารีเสริมของ Python โดยไฟล์อันตรายนี้ได้มีชื่อคล้ายกับ PyKafka ซึ่งเป็น Client ของ Apache Kafka ที่ใช้กันอย่างแพร่หลาย โดยต่างกันเพียงเปลี่ยนจาก 'K' เป็น 'M'

Sonatype ซึ่งเป็นผู้ค้นพบ pymafka ได้รายงานไปยัง PyPI ทำให้ไฟล์ดังกล่าวถูกลบออกไปจากระบบเรียบร้อย นอกจากนี้ยังมีการแจ้งไปยังนักพัฒนาที่ดาวน์โหลดไฟล์มาให้ทำการลบไฟล์ทิ้ง และตรวจสอบระบบของพวกเขาทั้งหมดที่อาจถูกฝัง Cobalt Strike Beacon และ Linux Backdoors ไว้ อย่างไรก็ตามพบว่ามีผู้ดาวโหลดไฟล์นี้กว่า 325 ครั้ง ทำให้อาจจะยังมีผู้ได้รับผลกระทบ เนื่องจากไฟล์ดังกล่าวมีการขออนุญาตเข้าถึงข้อมูลภายในของผู้พัฒนาระบบจำนวนมาก

(more…)

Sysrv botnet กำหนดเป้าหมายเซิร์ฟเวอร์ Windows และ Linux ด้วยช่องโหว่ใหม่

Microsoft กล่าวว่า Sysrv botnet กำลังใช้ประโยชน์จากช่องโหว่ใน Spring Framework และ WordPress เพื่อติดตั้งมัลแวร์ cryptomining บนเซิร์ฟเวอร์ Windows และ Linux ที่มีช่องโหว่

Microsoft ค้นพบมัลแวร์ Sysrv สายพันธุ์ใหม่ที่ชื่อว่า Sysrv-K ที่ถูกพัฒนาให้มีความสามารถมากขึ้น และยังสามารถสแกนหา WordPress ที่ไม่ได้แพตช์ และมีการใช้ Spring

โดยทีม Microsoft Security Intelligence กล่าวในเธรดบน Twitter ถึง Sysrv-K ที่มีความสามารถเข้าควบคุมเว็บเซิร์ฟเวอร์ได้โดยใช้ประโยชน์จากช่องโหว่ต่างๆ โดยช่องโหว่เหล่านี้ได้มีการแก้ไขแล้วด้วยการอัปเดตความปลอดภัย รวมถึงช่องโหว่เก่าใน WordPress plugins และช่องโหว่ใหม่ๆ เช่น CVE-2022-22947

CVE-2022-22947 เป็นช่องโหว่ Code injection บน Spring Cloud Gateway library ที่ทำให้ถูกโจมตีในรูปแบบ remote code execution บนระบบที่ยังไม่ได้อัปเดตแพตช์ได้ โดยในส่วนหนึ่งของความสามารถใหม่เหล่านี้ Sysrv-K จะสแกนหา configuration files และ backups ของ WordPress เพื่อขโมย database credentials และใช้ในการเข้าควบคุมเว็บเซิร์ฟเวอร์

Sysrv กำลังสแกนจากอินเทอร์เน็ต เพื่อหาเซิร์ฟเวอร์ Windows และ Linux ที่มีช่องโหว่ในองค์กร เพื่อติดตั้ง Monero (XMRig) miners และเพย์โหลดมัลแวร์อื่นๆ

ในการแฮ็กเข้าสู่เว็บเซิร์ฟเวอร์เหล่านี้ botnet จะใช้ประโยชน์จากช่องโหว่ในเว็บแอป และฐานข้อมูล เช่น PHPUnit, Apache Solar, Confluence, Laravel, JBoss, Jira, Sonatype, Oracle WebLogic และ Apache Struts

หลังจากติดตั้ง cryptocurrency miners และปรับใช้ payloads ของตัวเองแล้ว Sysrv ยังแพร่กระจายตัวเองโดยอัตโนมัติบนเครือข่ายผ่านการ brute force attacks โดยใช้ SSH private keys ที่รวบรวมจากเซิร์ฟเวอร์ที่ติดมัลแวร์ (เช่น bash history, ssh config, and known_hosts files)

botnet propagator จะสแกนไปบนอินเทอร์เน็ตเพื่อหาระบบ Windows และ Linux ที่มีช่องโหว่ให้มากขึ้น เพื่อทำการเพิ่ม Monero mining bots

ที่มา : www.

โปรแกรมป้องกันไวรัสของ Trend Micro ได้แก้ไขข้อผิดพลาด ที่ส่งผลให้ Apex One endpoint ตรวจจับการอัปเดต Microsoft Edge ว่าเป็นมัลแวร์ และทำให้ registry ของ Windows ถูกแก้ไขอย่างไม่ถูกต้อง

ตามรายงานจากผู้ใช้งานหลายร้อยรายเมื่อต้นสัปดาห์นี้ในฟอรัมของบริษัท และบนเครือข่ายสังคมออนไลน์ ว่าเกิดการตรวจจับที่ผิดพลาดกับแพทช์การอัปเดตของ Microsoft Edge  โดย Trend Micro Apex One ระบุว่าการอัปเดตเบราว์เซอร์ลักษณะดังกล่าวเป็นไวรัส/มัลแวร์: TROJ_FRS.VSNTE222 และไวรัส/มัลแวร์: TSC_GENCLEAN

(more…)

พบช่องโหว่ Zero-day ในแอปพลิเคชัน 7-zip โดยช่องโหว่ที่พบนี้สามารถยกระดับสิทธิ์ผู้โจมตีให้เป็นผู้ดูแลระบบได้ ช่องโหว่นี้ถูกค้นพบโดยผู้ใช้ GitHub ที่ชื่อว่า Kagancapar โดยมีหมายเลข CVE-2022-29072

7-zip เป็นแอปพลิเคชันที่สามารถใช้งานได้หลายแพลตฟอร์ม แต่ช่องโหว่นี้ส่งผลกระทบกับ Windows โดยตรง เนื่องการโจมตีต้องอาศัย Windows help application ที่ชื่อว่า hh.

Microsoft พบมัลแวร์ตัวใหม่ซึ่งถูกใช้โดยกลุ่มแฮ็กเกอร์ Hafnium ที่คาดว่าได้รับการสนับสนุนจากจีน โดยตัวมันจะพยายามแฝงตัวอยู่บนเครื่องที่ควบคุมไว้โดยการสร้าง schedule tasks และซ่อนไว้

ก่อนหน้านี้กลุ่ม Hafnium ได้มุ่งเป้าการโจมตีไปที่บริษัทที่ทำธุรกิจด้านการป้องกันประเทศ ของสหรัฐฯ สถาบันที่มีการรวมกลุ่มผู้เชี่ยวชาญจากสาขาวิชาต่างๆทั้งภาครัฐ และเอกชน นักวิจัยผู้เชี่ยวชาญด้านการโจมตีทางไซเบอร์ นอกจากนี้ยังเป็นกลุ่มเดียวกับที่ Microsoft กล่าวหาว่าเกี่ยวข้องกับการโจมตีช่องโหว่ ProxyLogon ซึ่งส่งผลกระทบต่อ Microsoft Exchange ทุกเวอร์ชัน

พยายามแฝงตัวอยู่บนเครื่องที่ควบคุมด้วยการลบค่า Registry ของ Windows

Microsoft Detection and Response Team (DART) กล่าวว่า Microsoft ยังคงติดตามความเคลื่อนไหวกลุ่ม HAFNIUM ที่มักโจมตีโดยการใช้ช่องโหว่ Zero-day

จากข้อมูลล่าสุดพบการพยายามเชื่อมต่อไปยังเครื่องอื่นๆภายในเครือข่ายของเหยื่อ และหลีกเลี่ยงการตรวจจับโดยการซ่อน schedule tasks ที่ถูกสร้างขึ้นด้วยเครื่องมือที่เรียกว่า Tarrask

เครื่องมือที่ชื่อว่า Tarrask นี้จะใช้ช่องโหว่ของ Windows เพื่อซ่อน schedule tasks จาก "schtasks /query" และ Task Scheduler โดยการลบค่า Registry ของ Security Descriptor

กลุ่ม Hafnium จะใช้ schedule tasks ที่ถูกซ่อนเหล่านี้เพื่อเข้าถึงอุปกรณ์ที่ถูกแฮ็ก แม้ว่าจะทำการรีบูตแล้วก็ตาม มันจะทำการเชื่อมต่อใหม่ด้วยคำสั่ง cmd อีกครั้ง

วิธีป้องกันการโจมตีจาก Tarrask

schedule tasks "ที่ซ่อนอยู่" จะเห็นได้จากการตรวจสอบ Windows Registry โดยดูได้จาก Tasks ที่ไม่มีค่า SD (security descriptor)
ผู้ดูแลระบบสามารถเปิดใช้งาน Security.

เมื่อไม่กี่วันที่ผ่านมามีข้อมูลว่าบริษัทด้าน SI (Systems Integrator) รายใหญ่ในประเทศไทย ถูกโจมตีจาก Snatch Ransomware และมีข้อมูลรั่วไหลออกมาประมาณ 1.5 GB จากข่าวดังกล่าวยังไม่ได้รับการยืนยันว่าเป็นเรื่องจริงหรือไม่

Snatch Ransomware คืออะไร?

Snatch Ransomware ถูกตรวจพบมาเป็นเวลานานแล้ว โดยเป็นมัลแวร์ที่สามารถทำงานใน Safe Mode ของ Windows ได้ จึงทำให้มันสามารถ bypass การตรวจจับของ Antivirus ได้ นอกจากที่ Snatch Ransomware จะสามารถทำงานได้บน Safe Mode ได้แล้ว ยังพบว่าผู้โจมตียังใช้เครื่องมือ เช่น Process Hacker, IObit Uninstaller, PowerTool, และ PsExec ในการพยายามปิดการทำงานของ Antivirus อีกด้วย

วิธีการโจมตี

Snatch Ransomware เคยถูกพบว่าโจมตีเครื่องของเหยื่อด้วยวิธีการ Brute Force Attack ไปที่เครื่องที่มีการเปิด RDP ไว้จาก Internet จากนั้นเมื่อได้ account ของ domain administrator แฮ็กเกอร์จะโจมตีต่อไปยังเครื่อง Domain Controller

หลังจากนั้นผู้โจมตีจะนำเครื่องมือต่างๆมาติดตั้งลงเครื่องของเหยื่อที่ Path C:
Windows เมื่อติดตั้งเสร็จเรียบร้อยก็จะทำการเชื่อมต่อกลับไปยัง C2 Server ที่อยู่บน TOR Network ผ่านทาง RDP tunnel ที่สร้างขึ้น ถัดมาก็จะมีการสร้าง reverse shell กลับไปยัง C2 Server ผ่าน HTTPS/443 ไปที่ IP 91.229.77.161 ผ่าน Process cplXen.

Microsoft กำลังจะเปิดใช้งาน "Attack Surface Reduction" บน Microsoft Defender เป็นค่าเริ่มต้น เพื่อความปลอดภัยจากการโจมตีของแฮกเกอร์เพื่อขโมยข้อมูลของ Windows จาก LSASS Process

เมื่อผู้โจมตีสามารถเข้าถึงเครือข่ายได้ มักจะพยายามโจมตีไปยังอุปกรณ์อื่น ๆ ในระบบต่อโดยใช้ Credential ที่หามาได้ หรือใช้ประโยชน์จากช่องโหว่อื่น ๆ

วิธีการปกติที่มักถูกใช้ในการขโมย Credential บน Windows คือหลังจากได้สิทธิ์ผู้ดูแลระบบในอุปกรณ์ที่ทำการโจมตีได้สำเร็จ ผู้โจมตีจะทำการ dump เอาข้อมูลบน memory ของ Process LSASS (Local Security Authority Server Service) ที่ทำงานอยู่บน Windows

ข้อมูลที่ได้มาจะประกอบไปด้วย NTLM hashes ของ Windows Credentials ของผู้ใช้ที่ลงชื่อเข้าใช้คอมพิวเตอร์ที่สามารถนำไปใช้ในการโจมตีแบบ Pass-the-Hash เพื่อลงชื่อเข้าใช้อุปกรณ์อื่น

(more…)