กลุ่ม APT จากจีนมุ่งเป้าการโจมตีไปยังสำนักงานตำรวจแห่งชาติของไทยด้วยรูปแบบมัลแวร์

    Cado Security Labs ได้ระบุถึงรูปแบบการโจมตีด้วยมัลแวร์ที่มุ่งเป้าไปยังสำนักงานตำรวจแห่งชาติของประเทศไทย โดยรูปแบบนี้ใช้เอกสารที่ดูเหมือนจะถูกต้อง ซึ่งมีเนื้อหาเกี่ยวกับ FBI เพื่อส่งไฟล์ Shortcut ที่ในที่สุดจะทำให้เกิดการรัน Yokai backdoor และแฝงตัวอยู่ในระบบของเป้าหมาย การดำเนินการที่พบในรูปแบบนี้สอดคล้องกับกลุ่ม APT จีนที่ชื่อว่า Mustang Panda

    ผลการวิเคราะห์ทางเทคนิค ไฟล์เริ่มต้นเป็นไฟล์ rar archive ที่มีชื่อว่า "ด่วนมาก เชิญเข้าร่วมโครงการความร่วมมือฝึกอบรมหลักสูตร FBI.rar แม้ว่าช่องทางการโจมตีจะยังไม่แน่ชัด แต่มีความเป็นไปได้สูงว่าไฟล์นี้จะถูกส่งผ่านทางอีเมลฟิชชิ่ง โดยที่ภายในไฟล์ rar archive จะมีไฟล์ LNK (ไฟล์ shortcut) ชื่อว่า ด่วนมาก เชิญเข้าร่วมโครงการความร่วมมือฝึกอบรมหลักสูตร FBI.docx.lnk, ไฟล์ PDF ปลอม และโฟลเดอร์ที่ชื่อว่า $Recycle.bin

    โดยไฟล์ shortcut จะเรียกใช้งาน ftp.exe (File Transfer Protocol) และจะทำการประมวลผลคำสั่งภายในไฟล์ PDF (แบบตอบรับ.pdf) ที่เป็นสคริปต์อัตโนมัติที่ดำเนินการตามคำสั่ง FTP ชุดคำสั่ง

    โดยไฟล์แบบตอบรับ.pdf เป็นไฟล์ PDF ปลอมที่มีคำสั่ง Windows ชุดคำสั่ง ซึ่งจะถูกดำเนินการโดย cmd.exe โดยที่เป้าหมายไม่จำเป็นต้องเปิด PDF โดยตรง แต่หากมีการเปิดไฟล์นี้ขึ้นมา เอกสารจะดูเหมือนแบบฟอร์มตอบรับตามปกติ

    ชุดคำสั่งจะทำการย้ายไฟล์ docx จากโฟลเดอร์ $Recycle.bin ที่แตกออกมาไปยังโฟลเดอร์หลักโดยแทนที่ไฟล์ LNK ด้วยไฟล์ decoy docx โดยที่ไฟล์ “PDF” ในโฟลเดอร์ $Recycle.bin ที่แตกออกมาจะถูกย้ายไปยัง c:\programdata\PrnInstallerNew.exe และเรียกใช้งาน โดยเอกสาร decoy จะแทนที่ไฟล์ shortcut หลังจากที่ลบตัวเองออกเพื่อลบร่องรอยของการติดมัลแวร์ เพื่อให้ดูเหมือนว่าเอกสารนี้ไม่มีอันตราย

File: PrnInstallerNew.exe

MD5: 571c2e8cfcd1669cc1e196a3f8200c4e

    PrnInstallerNew.exe เป็นไฟล์ 32-bit executable ที่เป็น Trojan ของซอฟต์แวร์ PDF-XChange Driver Installer ซึ่งเป็นซอฟต์แวร์ PDF printing โดยมัลแวร์จะแก้ไขการเรียกใช้งานฟังก์ชันแบบไดนามิกผ่าน GetProcAddress() โดยจัดเก็บไว้ในโครงสร้างเพื่อหลีกเลี่ยงการตรวจจับ โดยมัลแวร์มักจะหลีกเลี่ยงการ hardcoding API ฟังก์ชัน ด้วยการสร้างแบบไดนามิกในขณะที่ดำเนินการ ทำให้การตรวจจับโดยเครื่องมือด้านความปลอดภัยทำได้ยากขึ้น แทนที่จะอ้างอิงฟังก์ชันโดยตรง เช่น send() โดยมัลแวร์จะจัดเก็บ characters แต่ละตัวใน array และประกอบชื่อฟังก์ชันทีละตัวอักษรก่อนจะแก้ไขด้วย GetProcAddress() เทคนิคนี้ช่วยหลีกเลี่ยงเครื่องมือตรวจจับด้านความปลอดภัยได้ เนื่องจากโดยปกติเครื่องมือตรวจจับด้านความปลอดภัยจะสแกนหา API names ที่รู้จักภายในไบนารี เมื่อสร้างชื่อฟังก์ชันแล้ว มันจะถูกส่งต่อไปยัง GetProcAddress() ซึ่งจะดึงข้อมูลที่อยู่ในหน่วยความจำของฟังก์ชัน ทำให้มัลแวร์สามารถดำเนินการทางอ้อมโดยไม่ต้องเปิดเผย API calls ใน import tables ของฟังก์ชัน และเพื่อให้ยังคงสามารถแฝงตัวได้ ไบนารีจะเพิ่มตัวเองเป็นคีย์รีจิสทรี “MYAccUsrSysCmd_9EBC4579851B72EE312C449C” ใน HKEY_CurrentUser/Software/Windows/CurrentVersion/Run ซึ่งจะทำให้มัลแวร์ดำเนินการเมื่อผู้ใช้เข้าสู่ระบบ

    นอกจากนี้ ยังมีการสร้าง mutex “MutexHelloWorldSysCmd007” ซึ่งสันนิษฐานว่าเพื่อตรวจสอบอินสแตนซ์ที่กำลังทำงานอยู่

    หลังจากทำการแก้ไข ws_32.dll ซึ่งเป็นไลบรารีของ Windows สำหรับ sockets แล้ว มัลแวร์จะเชื่อมต่อกับ IP 154[.]90[.]47[.]77 ผ่านพอร์ต TCP 443 โดยใช้ฟังก์ชัน connect() โดย location ของเป้าหมายจะถูกตรวจสอบผ่าน IP เนื่องจากมัลแวร์ถูกล็อกโลเคชันไว้ที่ประเทศไทย ซึ่ง IP นี้จะถูกใช้ในรูปแบบที่กำหนดเป้าหมายไปที่เจ้าหน้าที่ของไทยตามที่ Netskope รายงานไว้ก่อนหน้านี้ โดย Yokai backdoor จะส่งชื่อโฮสต์ไปยัง C2 ซึ่งจะตอบกลับ ชุดคำสั่ง หลังจากผ่านการตรวจสอบแล้ว

การระบุแหล่งที่มา

    การกำหนดเป้าหมายเป็นตำรวจไทยดูเหมือนจะเป็นส่วนหนึ่งของรูปแบบใหญ่ที่กำหนดเป้าหมายไปที่เจ้าหน้าที่ของไทยในช่วงไม่กี่เดือนที่ผ่านมา อย่างไรก็ตาม การกำหนดเป้าหมายไปยังรัฐบาลไทยไม่ใช่เรื่องใหม่ เนื่องจากกลุ่ม APT ต่าง ๆ เช่น กลุ่ม APT ของจีนอย่าง Mustang Panda และ CerenaKeeper ก็ได้กำหนดเป้าหมายมาที่ประเทศไทยมาหลายปีแล้ว

    Mustang Panda เป็นกลุ่ม APT ที่มีฐานการดำเนินการอยู่ในจีน ซึ่งเคลื่อนไหวมาตั้งแต่ปี 2014 เป็นอย่างน้อย และมักจะกำหนดเป้าหมายไปที่รัฐบาล และองค์กรพัฒนาเอกชนในเอเชีย ยุโรป และสหรัฐอเมริกาเพื่อทำการจารกรรม โดยรูปแบบของ Mustang Panda ล่าสุด ได้ใช้วิธีการที่คล้ายคลึงกัน โดยใช้เทคนิคเอกสารล่อลวง และไฟล์ shortcut แม้ว่าจะไม่พบในรูปแบบนี้ แต่ Mustang Panda มักจะใช้วิธีการ DLL Sideloading เพื่อเรียกใช้เพย์โหลดที่เป็นอันตรายภายใต้กระบวนการที่ดูเหมือนถูกต้องตามปกติ ดังที่พบในงานวิจัยของ Netskope แทนที่จะใช้ DLL Sideloading เวอร์ชันนี้ สิ่งที่น่าสนใจอย่างหนึ่งในไบนารีที่รายงานโดย Netskope มีโค้ดที่ตรงกันกับ WispRider ซึ่งเป็นมัลแวร์บน USB ซึ่งถูกใช้โดย Mustang Panda

Key Takeaways

    การกำหนดเป้าหมายประเทศไทยอย่างต่อเนื่องโดยกลุ่ม APT ของจีน เน้นย้ำถึงภูมิทัศน์ของการจารกรรมทางไซเบอร์ในเอเชียตะวันออกเฉียงใต้ เนื่องจากความตึงเครียดทางภูมิรัฐศาสตร์ และการแข่งขันทางเศรษฐกิจที่ทวีความรุนแรงมากขึ้น รวมถึงประเทศไทยยังคงเป็นจุดรวมศูนย์ที่สำคัญสำหรับการปฏิบัติการทางไซเบอร์ที่มุ่งเป้าไปที่การรวบรวมข่าวกรอง, อิทธิพลทางการเมือง และความได้เปรียบทางเศรษฐกิจ เพื่อลดผลกระทบจากภัยคุกคามเหล่านี้ องค์กรและหน่วยงานภาครัฐต้องจัดลำดับความสำคัญของมาตรการรักษาความปลอดภัยทางไซเบอร์อย่างเข้มงวด, การแบ่งปันข่าวกรองเกี่ยวกับภัยคุกคาม และความร่วมมือระดับภูมิภาค

Ref : cadosecurity.com

VS Code Extension ถูกฝังโค้ดที่เป็นอันตรายโจมตีเพื่อโจมตีนักพัฒนา ถูกติดตั้งไปแล้วกว่า 9 ล้านครั้ง

    Microsoft ได้ลบ extensions ของ Visual Studio Code (VS Code) ที่มีการใช้งานอย่างแพร่หลาย 2 รายการ ได้แก่ “Material Theme Free” และ “Material Theme Icons Free” ออกจาก Marketplace หลังจากผู้เชี่ยวชาญด้านความปลอดภัยทางไซเบอร์พบว่ามีโค้ดอันตรายฝังอยู่ภายใน

    Extensions เหล่านี้ได้รับการพัฒนาโดย Mattia Astorino (หรือที่รู้จักในชื่อ equinusocio) และมียอดติดตั้งรวมกันเกือบ 9 ล้านครั้ง โดยมีการดาวน์โหลด extensions ทั้งหมดของ Astorino รวมกว่า 13 ล้านครั้ง

หลังจากการลบ extensions ออก ผู้ใช้งานจะได้รับการแจ้งเตือนว่ามีการปิดใช้งาน extensions เหล่านี้ด้วยเหตุผลด้านความปลอดภัย

    การตรวจสอบพบว่าโค้ดอันตรายมีแนวโน้มที่จะถูกเพิ่มเข้ามาผ่านไลบรารีที่ถูกโจมตี หรือระหว่างการอัปเดตล่าสุด แสดงให้เห็นถึงความเป็นไปได้ของการโจมตีแบบ Supply Chain Attack หรือการเข้าถึงบัญชีของนักพัฒนาโดยไม่ได้รับอนุญาต

    ผู้เชี่ยวชาญพบว่าธีมใน VS Code ควรจะประกอบไปด้วยไฟล์ JSON ที่เป็นข้อมูลสถิติตามปกติ ไม่ควรมีการเรียกโค้ด หรือสคริปต์ใด ๆ ดังนั้นการซ่อน JavaScript ภายใน extensions เหล่านี้จึงเป็นสัญญาณอันตรายที่สำคัญ

Malicious Intent Uncovered

    พฤติกรรมอันตรายได้รับการแจ้งเตือนครั้งแรกโดยผู้เชี่ยวชาญด้านความปลอดภัยทางไซเบอร์ Amit Assaraf และ Itay Kruk ซึ่งเชี่ยวชาญในการตรวจจับ VS Code extensions ที่เป็นอันตราย

    การวิเคราะห์พบว่าโค้ดที่ซ่อน JavaScript ใน extensions เหล่านี้ รวมถึงการอ้างอิงถึงชื่อผู้ใช้งาน และรหัสผ่าน

    แม้ว่าจุดประสงค์ที่แท้จริงของโค้ดนี้จะยังไม่สามารถระบุได้ เนื่องจากความซับซ้อนของเหตุการณ์ แต่การมีอยู่ของโค้ดก็เพียงพอที่จะทำให้ Microsoft ต้องดำเนินการทันที

    Astorino ปฏิเสธข้อกล่าวหาการกระทำผิดโดยเจตนา โดยชี้แจงว่าปัญหานี้เกิดจากไลบรารี Sanity.io ที่ล้าสมัย ซึ่งใช้งานมาตั้งแต่ปี 2016 และได้วิจารณ์ Microsoft ที่ไม่แจ้งเตือนพวกเขาก่อนที่จะลบ extensions ออก โดยอ้างว่าการแก้ไขไลบรารีจะเป็นกระบวนการที่รวดเร็วกว่า

    อย่างไรก็ตาม การวิเคราะห์ของ Microsoft ยืนยันผลการค้นพบของผู้เชี่ยวชาญ ซึ่งนำไปสู่การลบ extensions ทั้งหมดที่เกี่ยวข้องกับ Astorino ออกจาก Marketplace

ความเสี่ยงที่อาจเกิดขึ้น และคำแนะนำ

    เหตุการณ์ดังกล่าวแสดงให้เห็นถึงความเสี่ยงที่เกิดจาก components ที่เป็นอันตรายใน supply chains ของซอฟต์แวร์

    ผู้ไม่ประสงค์ดีดีมักใช้ประโยชน์จากแพลตฟอร์มโอเพ่นซอร์ส เช่น VS Code Marketplace เพื่อแพร่กระจายโค้ดที่เป็นอันตรายใน extensions ที่ดูเหมือนจะถูกต้อง ในกรณีนี้นักพัฒนาที่ติดตั้ง extensions ที่ถูกโจมตีเหล่านี้อาจไม่รู้ตัวว่ากำลังเปิดเผยข้อมูลที่สำคัญ หรือระบบให้เสี่ยงต่อการถูกโจมตี

เพื่อลดความเสี่ยง นักพัฒนาควรถอนการติดตั้ง extensions ทั้งหมดที่เผยแพร่โดย equinusocio รวมถึง

• equinusocio.moxer-theme
• equinusocio.vsc-material-theme
• equinusocio.vsc-material-theme-icons
• equinusocio.vsc-community-material-theme
• equinusocio.moxer-icons

    เหตุการณ์นี้แสดงให้เห็นถึงความสำคัญของการตรวจสอบไลบรารีจาก third-party และการรักษามาตรการด้านความปลอดภัยใน Supply chain นักพัฒนาควรทำการตรวจสอบเครื่องมือของตนเป็นประจำ และหลีกเลี่ยงการติดตั้ง extensions ที่มีโค้ดที่น่าสงสัย

Ref : gbhackers.com

อาชญากรไซเบอร์สามารถโคลนเว็บไซต์ของแบรนด์ใดก็ได้ภายในไม่กี่นาทีโดยใช้ Darcula PhaaS v3

    ผู้ไม่ประสงค์ดีที่อยู่เบื้องหลังรูปแบบการโจมตี Darcula Phishing-as-a-Service (PhaaS) กำลังเตรียมเปิดตัวเวอร์ชันใหม่ที่ช่วยให้ผู้ใช้งานสามารถโคลนเว็บไซต์ที่ถูกต้องของแบรนด์ใดก็ได้ และสร้างเว็บไซต์ปลอมขึ้นมาเพื่อใช้ในการฟิชชิ่ง ซึ่งทำให้การโจมตีฟิชชิ่งง่ายขึ้น และไม่จำเป็นต้องมีความเชี่ยวชาญทางเทคนิคสูง

 ตามที่ Netcraft ระบุในการวิเคราะห์ล่าสุดว่า "การอัปเดตครั้งนี้ของชุดเครื่องมือฟิชชิ่งเป็นการเปลี่ยนแปลงครั้งใหญ่ในความสามารถของอาชญากรไซเบอร์ โดยลดอุปสรรคในการเข้าถึงให้ผู้ไม่หวังดีสามารถโจมตีแบรนด์ใดก็ได้ด้วยแคมเปญฟิชชิ่งที่ซับซ้อน และปรับแต่งได้"

    บริษัทด้านความปลอดภัยทางไซเบอร์รายงานว่า ได้ตรวจพบ และบล็อกโดเมนฟิชชิ่งใหม่ของ Darcula มากกว่า 95,000 โดเมน, ที่อยู่ IP กว่า 31,000 รายการ และลบเว็บไซต์ปลอมมากกว่า 20,000 เว็บไซต์ นับตั้งแต่ที่รูปแบบการโจมตีนี้ถูกเปิดเผยครั้งแรกในปลายเดือนมีนาคม 2024

    การเปลี่ยนแปลงที่ใหญ่ที่สุดใน Darcula คือ ความสามารถของผู้ใช้งานทุกคนที่จะสร้างชุดเครื่องมือฟิชชิ่งสำหรับแบรนด์ใดก็ได้ตามความต้องการ

    ทีมพัฒนาหลักของบริการนี้ระบุในโพสต์เมื่อวันที่ 19 มกราคม 2025 ในช่อง Telegram ที่มีสมาชิกมากกว่า 1,200 คนว่า "เวอร์ชันใหม่ที่ได้รับการปรับปรุงพร้อมสำหรับการทดสอบแล้ว ตอนนี้ผู้ใช้ยังสามารถปรับแต่งหน้าตาของเว็บไซต์ได้เอง โดยใช้ darcula-suite คุณสามารถสร้างหน้าเลียนแบบของเว็บไซต์ในเวลาเพียง 10 นาที”

    ลูกค้าสามารถทำได้ง่าย ๆ โดยใช้แค่ URL ของเว็บไซต์แบรนด์ที่ต้องการเลียนแบบผ่านทางอินเทอร์เฟซเว็บ โดยรูปแบบการโจมตีจะใช้เครื่องมืออัตโนมัติอย่าง Puppeteer เพื่อดึงข้อมูล HTML และทรัพยากรที่จำเป็นทั้งหมดออกมา

    ผู้ใช้สามารถเลือกองค์ประกอบของ HTML ที่ต้องการเปลี่ยนแปลง และแทรกเนื้อหาฟิชชิ่ง (เช่น แบบฟอร์มการชำระเงิน หรือช่องกรอกข้อมูลเข้าสู่ระบบ) เพื่อให้มันดูเหมือนกับหน้าเว็บของแบรนด์ที่แท้จริง จากนั้นหน้าฟิชชิ่งที่สร้างขึ้นจะถูกอัปโหลดไปยัง admin panel

    Harry Freeborough นักวิจัยด้านความปลอดภัยระบุว่า "เหมือนกับการใช้งาน Software-as-a-Service ทั่วไป รูปแบบการโจมตี darcula-suite PhaaS มี admin dashboards ที่ทำให้มิจฉาชีพสามารถจัดการแคมเปญต่าง ๆ ของพวกเขาได้ง่าย เมื่อสร้างชุดเครื่องมือฟิชชิ่งเสร็จแล้ว ชุดเครื่องมือเหล่านี้จะถูกอัปโหลดไปยังรูปแบบการโจมตีอีกแห่งที่มิจฉาชีพสามารถจัดการแคมเปญที่กำลังดำเนินอยู่ ค้นหาข้อมูลที่ถูกขโมยมา และติดตามแคมเปญฟิชชิ่งที่ได้ปล่อยออกไปได้"

    นอกจากจะมี Dashboards ที่แสดงสถิติรวมของแคมเปญฟิชชิ่งแล้ว, Darcula v3 ยังเพิ่มฟีเจอร์ใหม่ที่ช่วยให้สามารถแปลงรายละเอียดบัตรเครดิตที่ถูกขโมยมาไปเป็นภาพเสมือนของบัตรของเหยื่อที่สามารถสแกน และเพิ่มเข้าไปในกระเป๋าเงินดิจิทัลเพื่อใช้ในทางผิดกฎหมายได้ โดยเฉพาะบัตรเหล่านี้จะถูกโหลดลงในโทรศัพท์มือถือชั่วคราว และขายให้กับมิจฉาชีพอื่น ๆ

    เครื่องมือนี้กำลังอยู่ในขั้นตอนการทดสอบภายใน และในโพสต์ล่าสุดวันที่ 10 กุมภาพันธ์ 2025 ผู้พัฒนามัลแวร์ได้โพสต์ข้อความว่าช่วงนี้เขายุ่งมาก ดังนั้นการอัปเดตเวอร์ชัน v3 จะถูกเลื่อนออกไปอีกไม่กี่วันหลังจากนี้

Ref: thehackernews.com

Microsoft แจ้งเตือนให้ระวังผู้ไม่ประสงค์ดีทำการขโมยอีเมลจากการฟิชชิ่งด้วยรหัสของอุปกรณ์

    รูปแบบการโจมตีจากผู้ไม่ประสงค์ดีที่มีความเชื่อมโยงกับประเทศรัสเซีย กำลังมุ่งเป้าไปที่บัญชี Microsoft 365 ของบุคคลในองค์กรที่เป็นเป้าหมาย โดยใช้เทคนิคการฟิชชิ่งผ่านรหัสอุปกรณ์ เป้าหมายของการโจมตีอยู่ในภาคส่วนรัฐบาล, องค์กรไม่แสวงหากำไร, บริการด้านไอที และเทคโนโลยี, กระทรวงกลาโหม, โทรคมนาคม, สุขภาพ และพลังงาน/น้ำมัน และก๊าซ ในยุโรป อเมริกาเหนือ แอฟริกา และตะวันออกกลาง

    Microsoft Threat Intelligence Center กำลังติดตามกลุ่มผู้ไม่ประสงค์ดีที่อยู่เบื้องหลังรูปแบบการโจมตีผ่านรหัสอุปกรณ์ภายใต้ชื่อ 'Storm-237' โดยอ้างอิงจากเป้าหมาย วิธีการโจมตี และแนวทางของกลุ่ม นักวิจัยมีความมั่นใจในระดับปานกลางว่าการดำเนินการนี้เกี่ยวข้องกับปฏิบัติการของรัฐที่สอดคล้องกับผลประโยชน์ของรัสเซีย

การโจมตีฟิชชิ่งผ่านรหัสอุปกรณ์

    อุปกรณ์ที่จำกัดอินพุต - อุปกรณ์ที่ไม่รองรับแป้นพิมพ์ หรือเบราว์เซอร์ เช่น สมาร์ททีวี และอุปกรณ์ IoT บางประเภท จะต้องอาศัยการตรวจสอบสิทธิ์ด้วยรหัสเพื่อให้ผู้ใช้งานลงชื่อเข้าใช้แอปพลิเคชันได้โดยการพิมพ์รหัสอนุญาตบนอุปกรณ์แยกต่างหาก เช่น สมาร์ทโฟน หรือคอมพิวเตอร์

    นักวิจัยของ Microsoft ค้นพบว่า ตั้งแต่เดือนสิงหาคมปีที่แล้ว กลุ่มผู้ไม่ประสงค์ดี Storm-2372 ได้ใช้ช่องทางการยืนยันตัวตนนี้ในการโจมตี โดยหลอกให้เหยื่อกรอกรหัสอุปกรณ์ที่สร้างขึ้นโดยผู้ไม่ประสงค์ดีลงในหน้าลงชื่อเข้าใช้ที่ถูกต้อง

    กลุ่มผู้ไม่ประสงค์ดีจะเริ่มต้นการโจมตีโดยสร้างการเชื่อมต่อกับเป้าหมายผ่านแพลตฟอร์มการส่งข้อความ เช่น WhatsApp, Signal และ Microsoft Teams โดยแอบอ้างเป็นบุคคลสำคัญที่เกี่ยวข้องกับเป้าหมาย

    ผู้ไม่ประสงค์ดีจะค่อย ๆ สร้างความน่าเชื่อถือ ก่อนที่จะส่ง Link ประชุมออนไลน์ปลอมผ่านอีเมลหรือข้อความ ตามที่นักวิจัยระบุ เหยื่อจะได้รับคำเชิญเข้าร่วมประชุมผ่าน Microsoft Teams ซึ่งภายในมีรหัสอุปกรณ์ที่สร้างขึ้นโดยผู้ไม่ประสงค์ดี

    Microsoft ระบุว่า "คำเชิญเหล่านี้หลอกให้เหยื่อดำเนินการยืนยันตัวตนผ่านรหัสอุปกรณ์ โดยเลียนแบบบริการส่งข้อความ ซึ่งช่วยให้กลุ่ม Storm-2372 สามารถเข้าถึงบัญชีของเหยื่อในเบื้องต้น และดำเนินการรวบรวมข้อมูลผ่าน Graph API เช่น การดึงข้อมูลอีเมล"

    วิธีนี้ช่วยให้ผู้ไม่ประสงค์ดีสามารถเข้าถึงบริการของ Microsoft เช่น อีเมล และพื้นที่จัดเก็บข้อมูลบนคลาวด์ของเหยื่อได้ โดยไม่ต้องใช้รหัสผ่าน ตราบใดที่โทเค็นที่ถูกขโมยมายังคงมีผลใช้งานอยู่

    อย่างไรก็ตาม Microsoft ระบุว่า ขณะนี้ผู้ไม่ประสงค์ดีกำลังใช้ Client ID เฉพาะของ Microsoft Authentication Broker ในกระบวนการลงชื่อเข้าใช้ด้วยรหัสอุปกรณ์ ซึ่งจะช่วยให้พวกเขาสามารถสร้างโทเค็นใหม่ได้

    วิธีการนี้เปิดโอกาสให้เกิดการโจมตีรูปแบบใหม่ และการแฝงตัวอยู่ในระบบ เนื่องจากผู้ไม่ประสงค์ดีสามารถใช้ Client ID ดังกล่าวเพื่อลงทะเบียนอุปกรณ์กับ Entra ID ซึ่งเป็นโซลูชันจัดการตัวตน และการเข้าถึงบนคลาวด์ของ Microsoft

    Microsoft ระบุว่า "เมื่อมีโทเค็นเดียวกัน และอุปกรณ์ที่ลงทะเบียนใหม่ Storm-2372 สามารถขอรับ Primary Refresh Token (PRT) และเข้าถึงทรัพยากรขององค์กรได้ โดยพบว่า Storm-2372 ใช้อุปกรณ์ที่เชื่อมต่อนี้ในการรวบรวมอีเมลของเหยื่อ"

การป้องกันภัยคุกคามจาก Storm-2372

    เพื่อป้องกันการโจมตีฟิชชิ่งด้วยรหัสอุปกรณ์ที่ใช้โดย Storm-2372 Microsoft เสนอให้ปิดใช้งานการลงชื่อเข้าใช้ด้วยรหัสอุปกรณ์หากทำได้ และบังคับใช้นโยบายการเข้าถึงใน Microsoft Entra ID เพื่อจำกัดการใช้งานเฉพาะกับอุปกรณ์ หรือเครือข่ายที่เชื่อถือได้เท่านั้น หากสงสัยว่ามีการฟิชชิ่งโดยใช้รหัสอุปกรณ์ ให้ revoke โทเค็นของผู้ใช้ทันทีโดยใช้ 'revokeSignInSessions' และกำหนดนโยบายการเข้าถึงเพื่อบังคับให้มีการตรวจสอบสิทธิ์ใหม่อีกครั้งสำหรับผู้ใช้งานที่อาจจะถูกโจมตี

    สุดท้ายนี้ ควรใช้ sign-in logs ของ Microsoft Entra ID เพื่อตรวจสอบ และระบุความพยายามในการยืนยันตัวตนจำนวนมากในช่วงเวลาสั้น ๆ , การเข้าสู่ระบบด้วยรหัสอุปกรณ์จาก IP ที่ไม่รู้จัก และการแจ้งเตือนที่ผิดปกติสำหรับการยืนยันตัวตนด้วยรหัสอุปกรณ์ที่ส่งไปยังผู้ใช้หลายราย

Ref: www.bleepingcomputer.com

กลุ่มผู้ไม่ประสงค์ดี RedMike จากจีนกำลังโจมตีผู้ให้บริการโทรคมนาคมผ่านช่องโหว่ในอุปกรณ์ Cisco

    กลุ่มผู้ไม่ประสงค์ดีที่มีชื่อเสียง และได้รับการสนับสนุนจากรัฐบาลจีนได้มุ่งเป้าการโจมตีไปยังบริษัทโทรคมนาคมในสหรัฐฯ

    กลุ่มผู้ไม่ประสงค์ดีที่เป็นที่รู้จักในชื่อ RedMike ได้พยายามในการบังคับใช้กฎหมายของสหรัฐฯ ที่ต้องการทำลายระบบ back-end และหยุดการโจมตีทางไซเบอร์ โดยการโจมตีล่าสุดของ ผู้ไม่ประสงค์ดีกลุ่มนี้ มุ่งเป้าไปที่ช่องโหว่ที่เป็นที่รู้จักในอุปกรณ์ของ Cisco

    ผู้เชี่ยวชาญแนะนำให้ผู้ดูแลระบบควรตรวจสอบ และอัปเดตอุปกรณ์เครือข่ายที่เชื่อมต่อกับอินเทอร์เน็ตทั้งหมด

    นักวิจัยจาก Recorded Future Insikt Group ระบุว่า พบกลุ่มผู้ไม่ประสงค์ดีกำลังโจมตีผู้ให้บริการโทรคมนาคมทั่วโลก รวมถึงผู้ให้บริการในสหรัฐอเมริกา

นอกจากนี้กลุ่ม RedMike ยังได้มุ่งเป้าการโจมตีไปที่สถาบันการศึกษาทั่วโลก โดยมีเป้าหมาย ได้แก่ อาร์เจนตินา, บังกลาเทศ, อินโดนีเซีย, มาเลเซีย, เม็กซิโก, เนเธอร์แลนด์, ไทย, สหรัฐอเมริกา และเวียดนาม ระบุว่า "RedMike ได้พยายามโจมตีโดยใช้ช่องโหว่ในอุปกรณ์ Cisco มากกว่า 1,000 เครื่องทั่วโลก"

    กลุ่ม RedMike มุ่งเป้าไปที่อุปกรณ์ Cisco IOS XE โดยการใช้ช่องโหว่สองรายการ คือ CVE-2023-20198 และ CVE-2023-2027

    ช่องโหว่ทั้งสองรายการ เป็นช่องโหว่ที่เกี่ยวข้องกับการยกระดับสิทธิ์ ซึ่งหากถูกใช้ในการโจมตีจะทำให้ผู้ไม่หวังดีสามารถควบคุมอุปกรณ์ด้วยสิทธิ์ของผู้ดูแลระบบได้

    แม้ว่าอุปกรณ์เครือข่ายอาจดูเหมือนไม่ได้ตกเป็นเป้าหมายที่สำคัญสำหรับผู้ไม่หวังดี แต่มันสามารถเป็นจุดเริ่มต้นที่สำคัญสำหรับกลุ่ม APT ที่ต้องการโจมตีเข้าไปในเครือข่ายภายในขององค์กร

นักวิจัยจากผู้ให้บริการด้านความปลอดภัย NCC Group ระบุว่า "โดยภาพรวมในระหว่างการโจมตี กลุ่มผู้ไม่ประสงค์ดีได้แสดงให้เห็นถึงความเข้าใจในเชิงลึกเกี่ยวกับสภาพแวดล้อมของเป้าหมาย รวมถึงการระบุช่องโหว่ เพื่อเตรียมตัวสำหรับการกลับมาโจมตีใหม่อีกครั้ง และยังใช้กลยุทธ์การโจมตีหลายรูปแบบ โดยผสมผผสานเครื่องมือที่เป็นที่รู้จัก และ backdoor ที่ถูกสร้างขึ้นเอง ซึ่งทำให้ยากต่อการตรวจจับ และป้องกัน"

    ในกรณีนี้เชื่อว่ากลุ่ม RedMike กำลังใช้วิธีการโจมตีใน 2 แนวทาง โดยผู้ไม่หวังดีจะพยายามเข้าถึงฐานข้อมูล และเซิร์ฟเวอร์ที่เก็บข้อมูลทรัพย์สินทางปัญญา และข้อมูลวิจัยที่มีค่าจากองค์กรที่เป็นเป้าหมาย รวมถึงการโจมตีเพื่อสอดแนมในบริษัทโทรคมนาคม

    Insikt Group อธิบายว่า "มหาวิทยาลัยส่วนใหญ่มีความเกี่ยวข้องกับงานวิจัยที่ทันสมัย จึงเป็นเป้าหมายหลักของกลุ่มผู้ไม่ประสงค์ดีที่ได้รับการสนับสนุนจากรัฐบาลจีน เพื่อขโมยข้อมูลวิจัยที่มีค่า และทรัพย์สินทางปัญญา"

    การโจมตีเหล่านี้มีความน่าสนใจ เนื่องจากมันเกิดขึ้นท่ามกลางความตั้งใจของหน่วยงานบังคับใช้กฎหมายของสหรัฐฯ ที่จะทำลายเครือข่ายของ RedMike โดยการปิดบริษัทโฮสติ้งที่เชื่อว่าให้การสนับสนุนโครงสร้างพื้นฐานสำหรับการควบคุม และสั่งการของกลุ่มผู้ไม่ประสงค์ดี

    การโจมตีล่าสุด แสดงให้เห็นว่าในประเทศจีนยังมีผู้ให้บริการหลายรายที่ให้การสนับสนุนกลุ่มผู้ไม่ประสงค์ดี

    นักวิจัยอธิบายเพิ่มเติมว่า "ถึงแม้ว่าจะมีการรายงานจากสื่อจำนวนมาก และมีการคว่ำบาตรจากสหรัฐฯ แต่ Insikt Group คาดว่ากลุ่ม RedMike จะยังคงมุ่งเป้าโจมตีผู้ให้บริการโทรคมนาคมในสหรัฐฯ และทั่วโลกต่อไป เนื่องจากมีข้อมูลการสื่อสารที่มีมูลค่าสูงจำนวนมากที่ถูกส่งผ่านเครือข่ายเหล่านี้ สิ่งนี้แสดงให้เห็นด้วยการกำหนดเป้าหมายก่อนหน้านี้ของ RedMike ต่อการปฏิบัติการสกัดกั้นโดยชอบด้วยกฎหมายของสหรัฐฯ และการสื่อสารของบุคคลสำคัญทางการเมืองของสหรัฐฯ"

Ref : scworld.com

ผู้ไม่ประสงค์ดีมือใหม่ติด Malware กว่า 18,000 รายจากเครื่องมือสร้าง Malware ปลอม

    ผู้ไม่ประสงค์ดีกำลังมุ่งเป้าไปที่ผู้ไม่ประสงค์ดีมือใหม่ที่เรียกว่า "script kiddies" โดยใช้เครื่องมือสร้าง Malware ปลอมที่ถูกซ่อน Malware ไว้ เพื่อให้คอมพิวเตอร์ของคนเหล่านั้นติดตั้ง backdoor เพื่อขโมยข้อมูล และเข้าควบคุมคอมพิวเตอร์

    จากการรายงานของนักวิจัยด้านความปลอดภัยจาก CloudSEK พบว่า  Malware นี้ได้แพร่กระจายไปยังอุปกรณ์มากถึง 18,459 เครื่องทั่วโลก โดยส่วนใหญ่จะพบในประเทศรัสเซีย, สหรัฐอเมริกา, อินเดีย, ยูเครน และตุรกี

    รายงาน CloudSEK ยังระบุว่า เวอร์ชันที่ถูกดัดแปลงของเครื่องมือ XWorm RAT ถูกนำมาใช้ในการโจมตีครั้งนี้ และได้ถูกเผยแพร่ไปยังผู้ใช้งานจำนวนมาก

"มันถูกออกแบบมาเพื่อโจมตีโดยเฉพาะกับกลุ่ม script kiddies ที่เป็นมือใหม่ในด้านความปลอดภัยทางไซเบอร์ และมักจะดาวน์โหลดเครื่องมือต่าง ๆ แล้วใช้ทันที ซึ่งก็แสดงให้เห็นว่าแม้แต่ในกลุ่มผู้ไม่ประสงค์ดีเองก็ไม่มีความซื่อสัตย์ต่อกัน"

    นักวิจัยจาก CloudSEK พบว่า  Malware นี้มีฟังก์ชันที่เรียกว่า ‘kill switch’ ซึ่งสามารถลบ Malware ออกจากเครื่องที่ติด Malware หลายเครื่องได้ แต่ยังมีบางเครื่องที่ยังคงถูกโจมตีอยู่ เนื่องจากมีข้อจำกัดในการดำเนินการ

เครื่องมือสร้าง RAT ปลอมหลอกติดตั้ง Malware 

    นักวิจัยระบุว่า พวกเขาพบเครื่องมือสร้าง XWorm RAT ที่ถูกดัดแปลงเป็น Trojan กำลังถูกเผยแพร่ผ่านช่องทางต่าง ๆ เช่น GitHub repositories, แพลตฟอร์ม file hosting, ช่อง Telegram, วิดีโอใน YouTube และเว็บไซต์ต่าง ๆ

    ช่องทางเหล่านี้ถูกใช้โปรโมตเครื่องมือสร้าง RAT โดยอ้างว่าเครื่องมือนี้จะช่วยให้ผู้ไม่ประสงค์ดีคนอื่นสามารถใช้ Malware ได้โดยไม่ต้องจ่ายเงิน

    แทนที่จะเป็นเครื่องมือสร้าง XWorm RAT จริง ๆ มันกลับแอบติดตั้ง Malware ในอุปกรณ์ของพวกเขา

เมื่อคอมพิวเตอร์ติด Malware  มันจะตรวจสอบ Windows Registry ว่าเครื่องนั้นทำงานในสภาพแวดล้อม virtualized หรือไม่ ถ้าพบว่ามันทำงานในเครื่อง virtual มันจะหยุดทำงาน แต่ถ้าพบว่าไม่ใช่ มันจะทำการเปลี่ยนแปลงบางอย่างในระบบเพื่อให้มันยังคงทำงานได้ทุกครั้งที่เปิดเครื่องใหม่

    ทุกระบบที่ติด Malware จะถูก register กับเซิร์ฟเวอร์ที่ใช้ Telegram เป็นระบบควบคุมคำสั่ง (C2) โดยใช้ Telegram bot ID และโทเค็นที่ฝังไว้ในตัว Malware 

    Malware ยังสามารถขโมยโทเค็นของ Discord, ข้อมูลระบบ และข้อมูลตำแหน่ง (จาก IP address) โดยอัตโนมัติ และส่งข้อมูลเหล่านั้นไปยังเซิร์ฟเวอร์ C2 แล้วรอคำสั่งอื่น ๆ จากผู้ไม่ประสงค์ดี

จากคำสั่งทั้งหมด 56 คำสั่ง ตัวอย่างต่อไปนี้คือคำสั่งที่เป็นอันตรายโดยเฉพาะ:

• /machine_id*browsers - ขโมยรหัสผ่านที่บันทึกไว้, คุกกี้ และ autofill data จากเว็บเบราว์เซอร์
• /machine_id*keylogger - บันทึกทุกสิ่งที่เป้าหมายพิมพ์บนคอมพิวเตอร์
• /machine_id*desktop - จับภาพหน้าจอของเป้าหมายในขณะที่กำลังใช้งาน
• /machine_id*encrypt<password>{*} - เข้ารหัสไฟล์ทั้งหมดในระบบด้วยรหัสผ่านที่กำหนด
• /machine_id*processkill<process>* - ปิดการทำงานของโปรแกรมที่กำลังทำงานอยู่ รวมถึงซอฟต์แวร์รักษาความปลอดภัย
• /machine_id*upload<file>* - ขโมยไฟล์ที่ระบุไว้โดยเฉพาะจากระบบที่ติด Malware 
• /machine_id*uninstall - ถอนการติดตั้ง Malware จากอุปกรณ์

    CloudSEK พบว่า ผู้ไม่ประสงค์ดีได้ขโมยข้อมูลจากอุปกรณ์ที่ติด Malware ประมาณ 11% โดยส่วนใหญ่จะเป็นการจับภาพหน้าจอของอุปกรณ์ที่ติด Malware และขโมยข้อมูลจากเบราว์เซอร์

การหยุดการทำงานด้วย kill switch

    นักวิจัยจาก CloudSEK ได้ใช้เครื่องมือพิเศษที่ฝังอยู่ใน Malware เพื่อหยุดการทำงานของเครือข่ายคอมพิวเตอร์ที่ถูกโจมตี (Botnet) โดยการใช้ API token ที่ถูกตั้งค่าไว้ล่วงหน้า และฟังก์ชัน kill switch ที่สามารถลบ Malware ออกจากเครื่องที่ติด Malware ได้

    พวกเขาส่งคำสั่งถอนการติดตั้งจำนวนมากไปยังเครื่องที่กำลังเชื่อมต่อทั้งหมด โดยการวนผ่าน ID เครื่องทั้งหมดที่พวกดึงออกมาจาก Telegram logs ที่มีอยู่ก่อนหน้านี้ พวกเขายังใช้วิธีการ brute-force โดยการเดาหมายเลขเครื่องจาก 1 ถึง 9999 โดยคาดเดาว่าหมายเลขเครื่องจะเป็นลำดับตัวเลข

    แม้ว่าคำสั่งที่ส่งไปจะช่วยลบ Malware จากเครื่องที่ติด Malware ได้หลายเครื่อง แต่เครื่องที่ไม่ได้ออนไลน์ตอนที่ส่งคำสั่งจะยังคงติด Malware อยู่

    นอกจากนี้ Telegram มีการจำกัดจำนวนข้อความที่สามารถส่งได้ในแต่ละช่วงเวลา ทำให้คำสั่งถอนการติดตั้งบางคำสั่งอาจหายไประหว่างทาง

    การที่ผู้ไม่ประสงค์ดีโจมตีผู้ไม่ประสงค์ดีเป็นสถานการณ์ที่เราเห็นได้บ่อยในโลกไซเบอร์

บทเรียนจากการค้นพบของ CloudSEK คือ อย่าไว้ใจซอฟต์แวร์ที่ไม่ได้รับการรับรอง โดยเฉพาะซอฟต์แวร์ที่ถูกเผยแพร่โดยอาชญากรไซเบอร์รายอื่น และควรติดตั้งเครื่องมือสร้าง Malware ในสภาพแวดล้อมที่ใช้ทดสอบ หรือวิเคราะห์เท่านั้น

Ref : bleepingcomputer

ช่องโหว่ Apache Tomcat CVE-2024-56337 ทำให้เซิร์ฟเวอร์เสี่ยงต่อการถูกโจมตีแบบ RCE

    Apache Software Foundation (ASF) ออกแพตซ์อัปเดตด้านความปลอดภัยเพื่อแก้ไขช่องโหว่ระดับ Critical ในซอฟต์แวร์ Tomcat Server ที่อาจทำให้เกิดการเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกล (RCE) ภายใต้เงื่อนไขบางอย่าง

    ช่องโหว่ดังกล่าวมีหมายเลข CVE-2024-56337 ถูกระบุว่าเป็นการแก้ไขปัญหาที่ไม่สมบูรณ์ของช่องโหว่ CVE-2024-50379 (คะแนน CVSS: 9.8) ซึ่งเป็นช่องโหว่ด้านความปลอดภัยระดับ Critical อีกช่องโหว่หนึ่งในผลิตภัณฑ์เดียวกัน และเคยได้รับการแก้ไขไปแล้วเมื่อวันที่ 17 ธันวาคม 2024

    นักพัฒนาได้ระบุในคำแนะนำเมื่อสัปดาห์ที่แล้วว่า "ผู้ใช้ที่ใช้งาน Tomcat บนระบบไฟล์ที่ไม่คำนึงถึงตัวพิมพ์เล็ก-ใหญ่ (case insensitive) และเปิดใช้งานการเขียน default servlet (ตั้งค่าพารามิเตอร์ readonly เริ่มต้นเป็นค่า false ซึ่งไม่ใช่ค่าเริ่มต้น) อาจจำเป็นต้องตั้งค่าเพิ่มเติม เพื่อแก้ไขช่องโหว่ CVE-2024-50379 ให้สมบูรณ์ แต่ก็ขึ้นอยู่กับเวอร์ชั่นของ Java ที่ใช้งานร่วมกับ Tomcat ด้วย"

    ช่องโหว่ทั้งสองรายการเป็นช่องโหว่แบบ Time-of-check Time-of-use (TOCTOU) ที่อาจส่งผลให้เกิดการเรียกใช้โค้ดบนระบบไฟล์ที่ไม่แยกความแตกต่างระหว่างตัวอักษรพิมพ์เล็ก-พิมพ์ใหญ่ เมื่อมีการเปิดใช้งาน default servlet สำหรับการเขียน

    Apache ระบุไว้ในการแจ้งเตือนสำหรับ CVE-2024-50379 "การอ่าน และการอัปโหลดพร้อมกันภายใต้โหลดของไฟล์เดียวกัน สามารถหลีกเลี่ยงการตรวจสอบความแตกต่างของตัวอักษรพิมพ์เล็ก-พิมพ์ใหญ่ของ Tomcat และทำให้ไฟล์ที่อัปโหลดถูกมองว่าเป็น JSP ซึ่งจะนำไปสู่การเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกลได้"

CVE-2024-56337 ส่งผลกระทบต่อ Apache Tomcat ตามเวอร์ชันต่อไปนี้

• Apache Tomcat 11.0.0-M1 ถึง 11.0.1 (แก้ไขแล้วในเวอร์ชั่น 11.0.2 หรือเวอร์ชันใหม่กว่า)
• Apache Tomcat 10.1.0-M1 ถึง 10.1.33 (แก้ไขแล้วในเวอร์ชั่น 10.1.34 หรือเวอร์ชันใหม่กว่า)
• Apache Tomcat 9.0.0.M1 ถึง 9.0.97 (แก้ไขแล้วในเวอร์ชั่น 9.0.98 หรือเวอร์ชันใหม่กว่า)

    นอกจากนี้ ผู้ใช้งานจำเป็นต้องดำเนินการเปลี่ยนแปลงการตั้งค่าต่อไปนี้ ขึ้นอยู่กับเวอร์ชันของ Java ที่กำลังใช้งาน

• Java 8 หรือ Java 11: กำหนดค่า system property sun.io.useCanonCaches เป็น false โดยเฉพาะ (ค่าเริ่มต้นคือ true)
• Java 17: ตั้งค่า system property sun.io.useCanonCaches เป็น false หากมีการตั้งค่าไว้แล้ว (ค่าเริ่มต้นคือ false)
• Java 21 และเวอร์ชันที่ใหม่กว่า: ไม่จำเป็นต้องดำเนินการใด ๆ เนื่องจาก system property นี้ถูกลบออกไปแล้ว

    ASF ได้ให้เครดิตแก่ทีมนักวิจัยด้านความปลอดภัย Nacl, WHOAMI, Yemoli, และ Ruozhi สำหรับการค้นพบ และรายงานช่องโหว่ทั้งสองรายการ นอกจากนี้ยังขอบคุณทีม KnownSec 404 ที่รายงานช่องโหว่ CVE-2024-56337 พร้อมกับโค้ดตัวอย่าง (Proof-of-Concept: PoC)

    รายงานนี้เกิดขึ้นในขณะที่ Zero Day Initiative (ZDI) ได้เผยแพร่รายละเอียดของช่องโหว่ระดับ Critical ใน Webmin (CVE-2024-12828, คะแนน CVSS: 9.9) ซึ่งอนุญาตให้ผู้โจมตีที่ผ่านการยืนยันตัวตน จะสามารถเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกลได้

    ZDI ระบุว่า "ช่องโหว่นี้เกิดขึ้นในกระบวนการจัดการ CGI request และปัญหาเกิดจากการขาดการตรวจสอบค่าที่ผู้ใช้กรอก ก่อนที่จะใช้ค่าดังกล่าวเพื่อเรียกใช้ system call ผู้โจมตีจึงสามารถใช้ประโยชน์จากช่องโหว่นี้เพื่อเรียกใช้โค้ดด้วยสิทธิ์ของ root ได้"

Ref : thehackernews

7-Zip ได้แก้ไขข้อบกพร่องที่ช่วยให้สามารถหลีกเลี่ยงคำเตือนความปลอดภัยของ Windows MoTW ได้แล้วควรอัปเดตแพตช์ทันที

    มีการค้นพบช่องโหว่ความรุนแรงสูงในโปรแกรมบีบอัดไฟล์ 7-Zip ที่ช่วยให้ผู้โจมตีสามารถหลีกเลี่ยงฟีเจอร์ความปลอดภัย Mark of the Web (MotW) ของ Windows และรันโค้ดบนคอมพิวเตอร์ของผู้ใช้เมื่อทำการแตกไฟล์อันตรายจากไฟล์เก็บข้อมูลซ้อนกัน (nested archives)

    7-Zip ได้เพิ่มการรองรับฟีเจอร์ MotW ตั้งแต่เดือนมิถุนายน 2022 ในเวอร์ชัน 22.00 โดยจะเพิ่มแฟล็ก MotW (ข้อมูลสตรีม Zone.Id แบบพิเศษ) ให้กับทุกไฟล์ที่ถูกแตกจากไฟล์เก็บข้อมูลที่ดาวน์โหลดมาโดยอัตโนมัติ

    แฟล็กนี้จะช่วยแจ้งเตือนระบบปฏิบัติการเบราว์เซอร์ และแอปพลิเคชันอื่น ๆ ว่าไฟล์อาจมาจากแหล่งที่ไม่น่าเชื่อถือและควรได้รับการพิจารณาด้วยความระมัดระวัง เมื่อผู้ใช้ดับเบิลคลิกเปิดไฟล์ที่มีความเสี่ยงซึ่งถูกแตกไฟล์โดย 7-Zip ระบบจะแสดงคำเตือนว่าการเปิดหรือรันไฟล์ดังกล่าวอาจนำไปสู่พฤติกรรมอันตราย เช่น การติดตั้งมัลแวร์บนอุปกรณ์ของผู้ใช้

    Microsoft Office ก็มีการตรวจสอบแฟล็ก MotW เช่นกัน โดยหากพบแฟล็กนี้ ไฟล์จะถูกเปิดในโหมด Protected View ซึ่งเป็นโหมดอ่านอย่างเดียวและปิดใช้งานแมโครโดยอัตโนมัติ

    อย่างไรก็ตาม บริษัท Trend Micro ได้ออกคำแนะนำเมื่อสุดสัปดาห์ที่ผ่านมาเกี่ยวกับช่องโหว่ด้านความปลอดภัยที่ได้รับการติดตามภายใต้รหัส CVE-2025-0411 ซึ่งช่วยให้ผู้โจมตีสามารถหลีกเลี่ยงคำเตือนความปลอดภัยและรันโค้ดที่เป็นอันตรายบนคอมพิวเตอร์ของเป้าหมายได้

    "ช่องโหว่นี้ช่วยให้ผู้โจมตีทางไกลสามารถหลีกเลี่ยงกลไกการป้องกัน Mark-of-the-Web บน 7-Zip ที่ได้รับผลกระทบ โดยต้องอาศัยการกระทำของผู้ใช้ เช่น การเยี่ยมชมหน้าเว็บที่เป็นอันตรายหรือเปิดไฟล์ที่เป็นอันตราย" Trend Micro กล่าว

    "ข้อบกพร่องเฉพาะเกิดขึ้นในการจัดการไฟล์เก็บข้อมูล โดยเมื่อแตกไฟล์จากไฟล์เก็บข้อมูลที่มีเครื่องหมาย MotW โปรแกรม 7-Zip ไม่ได้ถ่ายทอดเครื่องหมาย MotW ไปยังไฟล์ที่ถูกแตกออกมา ผู้โจมตีสามารถใช้ช่องโหว่นี้เพื่อรันโค้ดอันตรายในบริบทของผู้ใช้ปัจจุบัน"

    โชคดีที่นักพัฒนา 7-Zip นาย Igor Pavlov ได้ออกแพตช์แก้ไขช่องโหว่นี้แล้วเมื่อวันที่ 30 พฤศจิกายน 2024 ด้วยการปล่อยเวอร์ชัน 7-Zip 24.09

"โปรแกรม 7-Zip File Manager ไม่ได้ถ่ายทอดสตรีม Zone.Identifier ไปยังไฟล์ที่แตกออกมาจากไฟล์เก็บข้อมูลซ้อนกัน (กรณีเปิดไฟล์เก็บข้อมูลภายในไฟล์เก็บข้อมูลอื่น)" Pavlov กล่าว

ช่องโหว่ลักษณะเดียวกันถูกนำไปใช้ในการโจมตีมัลแวร์

    เนื่องจาก 7-Zip ไม่มีฟีเจอร์อัปเดตอัตโนมัติ ผู้ใช้จำนวนมากยังคงใช้เวอร์ชันที่มีช่องโหว่อยู่ ซึ่งอาจถูกผู้ไม่หวังดีใช้โจมตีเพื่อแพร่กระจายมัลแวร์ได้ ผู้ใช้ 7-Zip ทุกคนควรทำการอัปเดตโดยด่วน เนื่องจากช่องโหว่ลักษณะนี้มักถูกใช้ในแคมเปญโจมตีมัลแวร์บ่อยครั้ง

    ตัวอย่างเช่น ในเดือนมิถุนายนที่ผ่านมา Microsoft ได้แก้ไขช่องโหว่การหลีกเลี่ยงความปลอดภัย Mark of the Web (CVE-2024-38213) ซึ่งถูกกลุ่มผู้โจมตี DarkGate ใช้เป็น zero-day ตั้งแต่เดือนมีนาคม 2024 เพื่อหลีกเลี่ยงการป้องกันของ SmartScreen และติดตั้งมัลแวร์ที่ปลอมแปลงเป็นตัวติดตั้งซอฟต์แวร์ชื่อดัง เช่น Apple iTunes, NVIDIA และ Notion

    กลุ่มผู้ไม่ประสงค์ดีที่มีแรงจูงใจทางการเงินชื่อ Water Hydra (หรือที่รู้จักในชื่อ DarkCasino) ก็เคยใช้ช่องโหว่ MotW อื่น (CVE-2024-21412) ในการโจมตีช่องทาง Telegram ของการซื้อขายหุ้นและฟอรัมฟอเร็กซ์เพื่อแพร่กระจายมัลแวร์ DarkMe remote access trojan (RAT)

Ref : bleepingcomputer.com

พบช่องโหว่ระดับ Critical ในปลั๊กอินป้องกันสแปมของ WordPress เว็บไซต์กว่า 200,000+ แห่งอาจถูกโจมตี

    VMware ได้เปิดเผยช่องโหว่ระดับ Critical หลายรายการในผลิตภัณฑ์ Aria Operations โดยช่องโหว่ที่อันตรายที่สุดเป็นช่องโหว่ที่ทำให้ผู้โจมตีสามารถยกระดับสิทธิ์เป็น root บนระบบที่มีช่องโหว่ได้คำแนะนำเกี่ยวกับช่องโหว่นี้มีหมายเลข VMSA-2024-0022 ถูกเผยแพร่เมื่อวันที่ 26 พฤศจิกายน 2024 โดยมีช่องโหว่ 5 รายการ ดังนี้

• CVE-2024-38830 (คะแนน CVSS v3 7.8/10): เป็นช่องโหว่การยกระดับสิทธิ์แบบ local
• CVE-2024-38831 (คะแนน CVSS v3 7.8/10): เป็นช่องโหว่การยกระดับสิทธิ์แบบ local อีกหนึ่งรายการ
• CVE-2024-38832 (คะแนน CVSS v3 7.1/10): เป็นช่องโหว่ Stored Cross-Site Scripting (XSS)
• CVE-2024-38833 (คะแนน CVSS v3 6.8/10): เป็นช่องโหว่ Stored XSS

    ช่องโหว่การยกระดับสิทธิ์แบบ local ทั้งสองรายการ (CVE-2024-38830 และ CVE-2024-38831) ถือเป็นช่องโหว่ที่น่ากังวลเป็นพิเศษ

    ช่องโหว่การยกระดับสิทธิ์แบบ local ดังกล่าว สามารถทำให้ผู้โจมตีที่มีสิทธิ์การเข้าถึงในระดับผู้ดูแลระบบ สามารถยกระดับสิทธิ์เป็นผู้ใช้ root บนอุปกรณ์ที่รัน VMware Aria Operations ซึ่งอาจทำให้ผู้โจมตีสามารถเข้าควบคุมระบบที่ได้รับผลกระทบทั้งหมดได้

    ช่องโหว่ Stored XSS (CVE-2024-38832, CVE-2024-38833, และ CVE-2024-38834) สามารถทำให้ผู้โจมตีที่มีสิทธิ์ในการแก้ไข components ต่าง ๆ (เช่น มุมมอง, เทมเพลตอีเมล และการตั้งค่าผู้ให้บริการคลาวด์) สามารถ inject สคริปต์ที่เป็นอันตรายได้ โดยสคริปต์เหล่านี้อาจถูกเรียกใช้เมื่อมีผู้ใช้รายอื่นเข้าถึงพื้นที่ที่ได้รับผลกระทบของแอปพลิเคชัน

    ช่องโหว่เหล่านี้ส่งผลกระทบต่อ VMware Aria Operations เวอร์ชัน 8.x ถึง 8.18.1 และ VMware Cloud Foundation เวอร์ชัน 4.x, 5.x

Patches Released

    VMware ได้ออกแพตช์เพื่อแก้ไขช่องโหว่เหล่านี้แล้ว โดยผู้ใช้งานควรรีบอัปเดตเป็น VMware Aria Operations เวอร์ชัน 8.18.2 ซึ่งจะแก้ไขช่องโหว่ทั้ง 5 รายการข้างต้น และปัจจุบันยังไม่มีวิธีการลดผลกระทบด้วยวิธีการอื่น ดังนั้นองค์กรควรจะต้องทำการอัปเดตแพตซ์โดยเร็วที่สุด

1. Update Immediately: องค์กรที่ใช้ VMware Aria Operations ควรทำการอัปเดตเป็นเวอร์ชัน 8.18.2
2. Access Control: ใช้การควบคุมการเข้าถึงที่เข้มงวดเพื่อจำกัดจำนวนผู้ใช้ที่มีสิทธิ์ผู้ดูแลระบบ
3. Monitor Systems: เฝ้าระวังระบบอย่างใกล้ชิด เพื่อตรวจสอบพฤติกรรมที่น่าสงสัย ซึ่งอาจบ่งชี้ถึงความพยายามในการโจมตี
4. Security Audits: ทำการตรวจสอบความปลอดภัยอย่างละเอียดเพื่อให้มั่นใจว่าไม่มีการเปลี่ยนแปลงที่ไม่ได้รับอนุญาตในระบบ

    VMware ได้ให้เครดิตนักวิจัยด้านความปลอดภัยหลายราย รวมถึงกลุ่ม MoyunSec Vlab, Bing, และสมาชิกของทีม Michelin CERT ที่รายงานช่องโหว่เหล่านี้

Ref : thehackernews.com

Microsoft แก้ไขช่องโหว่ Zero-Day บน Windows ที่ถูกนำมาใช้ในการโจมตียูเครน

    ผู้ไม่ประสงค์ดีที่คาดว่าเป็นชาวรัสเซีย มีการตรวจพบในการพยายามใช้ช่องโหว่บนระบบปฏิบัติการ Windows ที่เพิ่งได้รับการแก้ไขในการโจมตีที่มุ่งเป้าหมายไปที่หน่วยงานของยูเครน

• CVE-2024-43451 (คะแนน CVSS 6.5/10 ความรุนแรงระดับ Medium) เป็นช่องโหว่ NTLM Hash Disclosure spoofing ที่สามารถใช้เพื่อขโมย NTLMv2 hash ของผู้ใช้ที่ล็อกอินโดยบังคับให้เชื่อมต่อกับเซิร์ฟเวอร์ที่ควบคุมโดย ผู้ไม่ประสงค์ดีจากระยะไกล (C2 Server) ที่ถูกค้นพบ และรายงานโดยนักวิจัยด้านความปลอดภัยของ ClearSky

    ClearSky ได้ตรวจพบแคมเปญการโจมตีในเดือนมิถุนายน 2024 หลังจากสังเกตเห็น phishing email ที่ออกแบบมาเพื่อใช้โจมตีในแคมเปญ โดยอีเมลเหล่านี้มี hyperlink ที่จะดาวน์โหลด Internet shortcut file ที่โฮสต์บนเซิร์ฟเวอร์ที่ถูกโจมตีก่อนหน้านี้ (osvita-kp.gov[.]ua) ซึ่งเป็นของแผนกการศึกษา และวิทยาศาสตร์ของสภาเมือง Kamianets-Podilskyi ทั้งนี้เมื่อผู้ใช้โต้ตอบกับ URL file ด้วยการคลิกขวา ลบ หรือย้ายไฟล์ การโจมตีช่องโหว่ก็จะเริ่มขึ้น

    โดยเมื่อเกิดการโต้ตอบกับ URL file การเชื่อมต่อกับ C2 Server จะถูกสร้างขึ้นเพื่อดาวน์โหลด malware payload ซึ่งรวมถึง SparkRAT ที่เป็นเครื่องมือ open-source สำหรับการเข้าถึงจากระยะไกล และใช้งานได้หลายแพลตฟอร์ม ทำให้ ผู้ไม่ประสงค์ดีสามารถควบคุมระบบที่โจมตีได้จากระยะไกล

    ในขณะทำการสืบสวนเหตุการณ์ดังกล่าว นักวิจัยยังได้รับการแจ้งเตือนถึงความพยายามในการขโมย NTLM hash ผ่าน Server Message Block (SMB) protocol ซึ่ง password hash เหล่านี้สามารถนำมาใช้ในการโจมตีแบบ " pass-the-hash " หรือถอดรหัสเพื่อให้ได้รหัสผ่านแบบ plaintext password ของผู้ใช้งานได้

ClearSky ได้แบ่งปันข้อมูลนี้กับทีม Ukraine's Computer Emergency Response Team (CERT-UA) ซึ่งได้เชื่อมโยงการโจมตีเข้ากับกลุ่ม ผู้ไม่ประสงค์ดีชาวรัสเซีย และถูกระบุในชื่อ UAC-0194

    Microsoft ได้แก้ไขช่องโหว่ดังกล่าวไปแล้ว โดยเป็นส่วนหนึ่งของแพตช์ประจำเดือนพฤศจิกายน 2024 และยืนยันการค้นพบของ ClearSky โดยระบุว่าจำเป็นต้องมีการโต้ตอบจากผู้ใช้จึงจะทำให้สามารถโจมตีได้สำเร็จ

    CISA ยังได้เพิ่มช่องโหว่ดังกล่าวลงใน Known Exploited Vulnerabilities Catalog แล้ว โดยสั่งให้รักษาความปลอดภัยระบบที่มีช่องโหว่บนเครือข่ายภายในวันที่ 3 ธันวาคม 2024 ตามที่กำหนดโดย Binding Operational Directive (BOD) 22-01

    ทั้งนี้ CISA แจ้งเตือนว่าช่องโหว่ประเภทนี้มักเป็นช่องทางการโจมตีของกลุ่ม ผู้ไม่ประสงค์ดีและก่อให้เกิดความเสี่ยงต่อองค์กรของรัฐบาลกลาง

Ref : bleepingcomputer.com

CERT India รายงานช่องโหว่ในผลิตภัณฑ์ QNAP หลายรายการ

    เมื่อไม่นานมานี้ CERT-In (Indian Computer Emergency Response Team) ได้ออกคำแนะนำเกี่ยวกับช่องโหว่หลายรายการในผลิตภัณฑ์ QNAP ต่าง ๆ

    QNAP เป็นที่รู้จักในด้านระบบ Network-Attached Storage (NAS) ที่ใช้กันอย่างแพร่หลายในองกรค์ต่าง ๆ ช่องโหว่เหล่านี้ส่งผลกระทบหลักต่อระบบปฏิบัติการ QTS และ QuTS Hero ซึ่งเป็นส่วนสำคัญของ QNAP

ผลิตภัณฑ์ QNAP ที่ได้รับผลกระทบ

• QTS 5.1.0.2823 และเวอร์ชันก่อนหน้า
• QTS hero h5.1.0.2823 และเวอร์ชันก่อนหน้า
• QTS 4.5.4.2790 และเวอร์ชันก่อนหน้า
• QTS hero h4.5.4.2790 และเวอร์ชันก่อนหน้า
• QuTS h5.2.0.2782 และเวอร์ชันก่อนหน้า

    ช่องโหว่เหล่านี้สามารถถูกโจมตีได้จากระยะไกล เพื่อดำเนินกิจกรรมที่เป็นอันตรายได้หลากหลายรูปแบบ ด้วยจำนวน และขนาดของผู้ใช้ที่ได้รับผลกระทบ จึงมีความจำเป็นที่ต้องแก้ไขช่องโหว่นี้ทันที ไม่เช่นนั้นอาจนำไปสู่ผลกระทบดังนี้

• ผู้ไม่ประสงค์ดีสามารถดึงข้อมูลสำคัญที่เก็บไว้บนอุปกรณ์ NAS ที่ได้รับผลกระทบออกมาได้จากระยะไกล
• ช่องโหว่เหล่านี้เปิดโอกาสให้ผู้ไม่ประสงค์ดีข้ามขั้นตอนการตรวจสอบสิทธิ์ที่ผู้ใช้งานตั้งค่าไว้ได้สำเร็จ
• ผู้ใช้ที่ไม่ได้รับอนุญาตสามารถยกระดับสิทธิ์ เพื่อขยายขอบเขตของกิจกรรมที่เป็นอันตรายได้มากขึ้น
• ช่องโหว่เหล่านี้ทำให้สามารถเรียกใช้งานโค้ดที่กำหนดเองได้ ซึ่งอาจก่อให้เกิดความเสียหายอย่างร้ายแรง เนื่องจากจะสามารถสั่งการคำสั่งที่เป็นอันตรายได้ และอาจส่งผลกระทบต่อระบบทั้งหมด

รายละเอียดช่องโหว่

สาเหตุของช่องโหว่เหล่านี้เกิดจากปัญหาที่เป็นที่รู้จักหลายประการ ซึ่งได้อธิบายรายละเอียดไว้ในคำแนะนำของ CERT-In ซึ่งด้านล่างนี้คือข้อสรุปคร่าว ๆ ของปัญหา

• Boundary Errors: ทำให้ผู้ไม่ประสงค์ดีสามารถจัดการกับพื้นที่ในหน่วยความจำได้
• Improper Input Validation: ทำให้ผู้ไม่ประสงค์ดีสามารถแทรกข้อมูลที่เป็นอันตรายเข้าสู่ระบบได้
• OS Command Injection Vulnerability: เป็นช่องโหว่ที่ช่วยให้ผู้ไม่ประสงค์ดีสามารถแทรกคำสั่งที่เป็นอันตรายลงในระบบปฏิบัติการได้
• Improper Restriction of Authentication Attempts: ทำให้ผู้ไม่ประสงค์ดีสามารถใช้วิธีการ brute force เพื่อเข้าสู่ระบบได้
• Heap-based Buffer Overflow: ทำให้เกิดความเสียหายของหน่วยความจำจากข้อมูลเกินขนาดใน heap อาจทำให้ระบบหยุดการทำงาน หรือเปิดโอกาสให้ผู้ไม่ประสงค์ดีใช้ประโยชน์จากช่องโหว่ได้

    ช่องโหว่ด้านความปลอดภัยที่ระบุไว้ข้างต้น สามารถเปิดโอกาสให้ผู้ไม่หวังดีสร้างความเสียหายต่อหน่วยความจำ, แทรกคำสั่งจากระยะไกล, ใช้วิธีการ Brute force เพื่อเจาะเข้าสู่ระบบ QNAP

หมายเลขช่องโหว่ CVEs

    เพื่อการติดตาม และรายงาน คำแนะนำของ CERT-In ยังได้ระบุ Common Vulnerabilities and Exposures (CVEs) ดังนี้

• CVE-2023-34974
• CVE-2023-34979
• CVE-2023-39298
• CVE-2024-21906
• CVE-2024-32763
• CVE-2024-32771
• CVE-2024-38641

    แต่ละ CVE เชื่อมโยงกับช่องโหว่เฉพาะที่ถูกผู้ไม่หวังดีใช้ประโยชน์ เช่น การแทรกคำสั่ง หรือการยกระดับสิทธิ์ ผู้ดูแลระบบควรตรวจสอบข้อมูลเฉพาะของแต่ละ CVE เพื่อทำความเข้าใจว่าช่องโหว่เหล่านี้อาจส่งผลกระทบต่อระบบของตนอย่างไร

ผลกระทบที่อาจเกิดขึ้น

• หากใช้ช่องโหว่ได้สำเร็จ อาจส่งผลกระทบร้ายแรงดังนี้
• การรั่วไหลของข้อมูล อาจนำไปสู่ความเสียหายด้านชื่อเสียงอย่างมาก โดยเฉพาะสำหรับธุรกิจที่จัดการกับข้อมูลลูกค้า
• การเรียกใช้งานโค้ดที่อันตรายอาจทำให้ระบบหยุดการทำงาน ซึ่งจะทำให้การดำเนินธุรกิจหยุดชะงัก
• การเข้าถึงที่ไม่ได้รับอนุญาต รวมถึงการยกระดับสิทธิ์อาจทำให้ผู้ไม่ประสงค์ดีได้รับสิทธิ์ผู้ดูแลระบบ ซึ่งทำให้สามารถควบคุมระบบ NAS ได้อย่างสมบูรณ์
• ผลกระทบทางการเงิน และกฎหมาย ขึ้นอยู่กับประเภทของข้อมูลที่ถูกเปิดเผย องค์กรอาจเผชิญกับความสูญเสียทางการเงิน และบทลงโทษตามระเบียบข้อบังคับ

ขั้นตอนถัดไปในการรักษาความปลอดภัยของระบบ และลดผลกระทบจากช่องโหว่เหล่านี้

    เพื่อช่วยลดความเสี่ยง QNAP ได้เร่งดำเนินการแพตช์ระบบที่ได้รับผลกระทบพร้อมกับคำแนะนำโดยละเอียด แนะนำให้ผู้ดูแลระบบดาวน์โหลด และติดตั้งแพตช์เหล่านี้โดยเร็วที่สุด เพื่อป้องกันไม่ให้ช่องโหว่เหล่านี้ถูกใช้ประโยชน์ในการโจมตีระบบขององค์กร

https://cyble.com/blog/cert-india-reports-vulnerabilities-in-multiple-qnap-products/

• QNAP Security Advisory QSA-24-28
• QNAP Security Advisory QSA-24-32
• QNAP Security Advisory QSA-24-33

Ref : cyble.com

GitLab แจ้งเตือนช่องโหว่ระดับ Critical ในการดำเนินการ Pipeline

    GitLab ได้ออกแพตช์แก้ไขช่องโหว่หลายรายการ โดยช่องโหว่ที่ร้ายแรงที่สุดหมายเลข CVE-2024-6678 เป็นช่องโหว่ที่อนุญาตให้ผู้ไม่ประสงค์ดีเรียกใช้ pipelines ตามที่ต้องการภายใต้เงื่อนไขบางประการได้

    การออกแพตช์ครั้งนี้ สำหรับผู้ใช้งานเวอร์ชัน 17.3.2, 17.2.5 และ 17.1.7 ทั้งในส่วนของ GitLab Community Edition (CE) และ Enterprise Edition (EE) รวมไปถึงแพตช์ที่มีปัญหาด้าน security ทั้งหมด 18 รายการ ซึ่งเป็นการออกแพตช์อัปเดตความปลอดภัยทุก ๆ สองเดือน (ตามกำหนดการ)

    ช่องโหว่หมายเลข CVE-2024-6678 (คะแนน CVSS:9.9/10) ความรุนแรงระดับ critical เป็นช่องโหว่ที่อาจทำให้ผู้ไม่ประสงค์ดีสามารถหยุดการทำงานของระบบด้วยสิทธื์เจ้าของระบบได้

    ความรุนแรงของช่องโหว่เกิดจากความเสี่ยงในการถูกโจมตีจากระยะไกล และไม่จำเป็นต้องมีการโต้ตอบกับผู้ใช้งาน รวมไปถึงไม่จำเป็นต้องมีสิทธิ์สูงก็สามารถใช้ประโยชน์จากช่องโหว่นี้ได้

    GitLab แจ้งเตือนว่าปัญหาดังกล่าวส่งผลต่อ CE/EE ตั้งแต่เวอร์ชั่น 8.14 ถึง 17.1.7 และเวอร์ชั่น 17.2 ถึง 17.2.5 รวมไปถึงเวอร์ชั่น 17.3 ถึง 17.3.2

คำแนะนำ สำหรับเวอร์ชั่นที่ได้รับผลกระทบให้ทำการอัปเดตเป็นเวอร์ชั่นล่าสุดโดยเร็วที่สุด

    GitLab pipelines คือ ระบบ automated workflows ที่ใช้สร้าง ทดสอบ และ deploy code ซึ่งเป็นส่วนหนึ่งของระบบ CI/CD (Continuous Integration/Continuous Delivery) ของ GitLab

    โดยมันถูกออกมาแบบมาเพื่อปรับกระบวนการพัฒนาซอฟต์แวร์ให้มีประสิทธิภาพมากขึ้น ด้วยวิธีให้มีการทำงานซ้ำ ๆ ในรูปแบบอัตโนมัติ และมีการตรวจสอบการเปลี่ยนแปลง codebase ในการทดสอบและนำไปใช้งานอยู่เสมอ

ในช่วงหลายเดือนที่ผ่านมา GitLab ได้แก้ไขช่องโหว่ arbitrary pipeline หลายครั้ง โดยมีข้อมูลดังนี้

• เดือนกรกฎาคม 2024 มีการแก้ไขช่องโหว่หมายเลข CVE-2024-6385
• เดือนมิถุนายน 2024 มีการแก้ไขช่องโหว่หมายเลข CVE-2024-5655
• เดือนกันยายน 2023 มีการแก้ไขช่องโหว่หมายเลข CVE-2023-5009

ซึ่งช่องโหว่ทั้งหมดจัดอยู่ในความรุนแรงระดับ critical

    ในรายงานได้ระบุช่องโหว่ระดับ High อีก 4 รายการ โดยมีคะแนนระหว่าง 6.7 – 8.5 โดยเป็นช่องโหว่ที่อาจทำให้ผู้ไม่ประสงค์ดีสามารถเรียกใช้คำสั่งที่ไม่ได้รับอนุญาต และเข้าถึงข้อมูลที่สำคัญ รวมไปถึงสามารถหยุดการทำงานของระบบได้ ซึ่งมีรายละเอียด ดังนี้

• CVE-2024-8640 : เป็นช่องโหว่ที่เกิดจาก improper input filtering ซึ่งทำให้ผู้ไม่ประสงค์ดีสามารถ inject commands ลงในเซิร์ฟเวอร์ Cube ที่เชื่อมต่อผ่านการกำหนดค่าใน YAML ได้ อาจทำให้ส่งผลกระทบต่อ data integrity ใน GitLab EE ตั้งแต่เวอร์ชัน 16.11 เป็นต้นไป
• CVE-2024-8635 : เป็นช่องโหว่ที่ผู้ไม่ประสงค์ดีสามารถใช้ประโยชน์จากช่องโหว่ Server-Side Request Forgery (SSRF) ในการสร้าง custom Maven Dependency Proxy URL เพื่อส่ง request ไปยังภายในเครือข่าย ซึ่งอาจทำให้สามารถเข้าถึง และควบคุมโครงสร้างพื้นฐาน โดยส่งผลกระทบต่อ GitLab EE ตั้งแต่เวอร์ชัน 16.8 เป็นต้นไป
• CVE-2024-8124 : เป็นช่องโหว่ที่ผู้ไม่ประสงค์ดีสามารถทำให้เกิด DoS ได้โดยการส่งพารามิเตอร์ 'glm_source' จำนวนมาก ทำให้ระบบทำงานหนัก และไม่สามารถให้บริการต่อได้ ส่งผลกระทบต่อ GitLab CE/EE ตั้งแต่เวอร์ชัน 16.4 เป็นต้นไป
• CVE-2024-8641 : เป็นช่องโหว่ที่ผู้ไม่ประสงค์ดีใช้ประโยชน์จาก CI_JOB_TOKEN เพื่อเข้าถึงโทเค็นเซสชัน GitLab ของเป้าหมาย ซึ่งทำให้ผู้ไม่ประสงค์ดีสามารถแฮ็กเซสชันได้ ส่งผลกระทบต่อ GitLab CE/EE ตั้งแต่เวอร์ชัน 13.7 เป็นต้นไป

คำแนะนำ ควรดำเนินการอัปเดต source code และ packages โดยสามารถดาวน์โหลดการอัปเดตได้จาก GitLab’s official download portal และ GitLab Runner packages

Ref : bleepingcomputer

ผู้ไม่ประสงค์ดีชาวจีนใช้ประโยชน์จาก Visual Studio Code ในการโจมตีทางไซเบอร์ในเอเชียตะวันออกเฉียงใต้

    กลุ่ม Mustang Panda ซึ่งเป็นกลุ่มผู้ไม่ประสงค์ดีแบบ advanced persistent threat (APT) ที่มีความเชื่อมโยงกับรัฐบาลจีน มีการนำซอฟต์แวร์ Visual Studio Code มาใช้ในการโจมตีเพื่อขโมยข้อมูล โดยมีเป้าหมายคือ หน่วยงานของรัฐบาลในทวีปในเอเชียตะวันออกเฉียงใต้

    Tom Fakterman นักวิจัยจาก Palo Alto Networks Unit 42 ระบุว่า "ผู้ไม่ประสงค์ดีรายนี้ใช้ฟีเจอร์ Reverse Shell ที่อยู่ใน Visual Studio Code เพื่อเข้าถึงในเครือข่ายเป้าหมาย โดยถือว่าเป็นเทคนิคที่ค่อนข้างใหม่ ที่ได้รับการสาธิตครั้งแรกในเดือนกันยายน 2023 โดย ทรูวิส ธอร์นตัน"

    แคมเปญนี้ได้รับการประเมินว่าเป็นการสานต่อการโจมตีที่เคยมีก่อนหน้านี้ในช่วงปลายเดือนกันยายน 2023 ซึ่งมีเป้าหมายไปยังหน่วยงานรัฐในเอเชียตะวันออกเฉียงใต้ และไม่ได้มีการระบุชื่อหน่วยงาน

กลุ่ม Mustang Panda ที่รู้จักกันในชื่อ BASIN, Bronze President, Camaro Dragon, Earth Preta, HoneyMyte, RedDelta และ Red Lich ได้ปฏิบัติการมาตั้งแต่ปี 2012 โดยมักจะโจมตีไปยังเป้าหมายที่เป็นหน่วยงานของรัฐ และองค์กรศาสนาทั่วทั้งยุโรป และเอเชีย โดยเฉพาะหน่วยงานที่ตั้งอยู่ในประเทศแถบทะเลจีนใต้

    จากการตรวจสอบการโจมตีล่าสุด พบว่ามีการใช้ reverse shell ของ Visual Studio Code เพื่อเรียกใช้โค้ดที่ต้องการ และมีการส่ง additional payloads ในการโจมตี

    Fakterman ระบุว่า หากมีการใช้ Visual Studio Code ในการโจมตี ผู้ไม่ประสงค์ดีจะทำการใช้ code.exe ในรูปแบบ portable version (ไฟล์ปฏิบัติการสำหรับ Visual Studio Code) หรืออาจใช้ซอฟต์แวร์ เวอร์ชันที่มีการติดตั้งไว้แล้ว ทำการเรียกใช้คำสั่ง code.exe ทำให้ผู้ไม่ประสงค์ดีได้รับลิงก์การเข้าสู่ระบบ GitHub ด้วยบัญชีของตนเอง

    เมื่อขั้นตอนนี้เสร็จสมบูรณ์ ผู้ไม่ประสงค์ดีจะถูกเปลี่ยนเส้นทางไปยังเว็บ Visual Studio Code ที่เชื่อมต่อกับเครื่องที่ถูกโจมตี ซึ่งทำให้สามารถเรียกใช้คำสั่ง หรือสร้างไฟล์ใหม่ได้

 การโจมตีที่ใช้รูปแบบ หรือเทคนิคนี้ เคยถูกแจ้งเตือนจากบริษัทความปลอดภัยทางไซเบอร์ของเนเธอร์แลนด์ที่ชื่อว่า Mnemonic เมื่อต้นปีที่ผ่านมา โดยมีความเกี่ยวข้องกับการโจมตีช่องโหว่ในผลิตภัณฑ์เกตเวย์ Network Security ของ Check Point (CVE-2024-24919, คะแนน CVSS: 8.6)

    Unit 42 ระบุว่า กลุ่มผู้ไม่ประสงค์ดี Mustang Panda ใช้เทคนิคนี้เพื่อส่งมัลแวร์ รวบรวม และขโมยข้อมูลที่สำคัญ นอกจากนี้ผู้ไม่ประสงค์ดียังระบุอีกว่าได้ใช้ OpenSSH ในการเรียกใช้คำสั่ง ถ่ายโอนไฟล์ และแพร่กระจายมัลแวร์ไปทั่วเครือข่าย

    ทั้งนี้ จากการวิเคราะห์ environment ระบุได้ว่า การโจมตีทั้งสองรูปแบบเกิดขึ้นพร้อม ๆ กัน และบางครั้งก็เกิดขึ้นที่เป้าหมายเดียวกัน รวมถึงมีการใช้มัลแวร์ ShadowPad ซึ่งเป็น modular backdoor ของจีนที่ใช้โจมตีกันอย่างแพร่หลาย

    ปัจจุบัน ยังไม่ชัดเจนว่าการโจมตีทั้งสองรูปแบบเกี่ยวข้องกันหรือไม่ หรือเป็นกลุ่มที่แตกต่างกันสองกลุ่มคอยสนับสนุนการเข้าถึงของกันและกัน

    จากข้อมูลการ forensic evidence และ timeline อาจสรุปได้ว่าการโจมตีทั้งสองรูปแบบนี้เกิดจากผู้ไม่ประสงค์ดีรายเดียวกัน (Stately Taurus) นักวิจัย Fakterman ระบุว่า อาจจะมีข้อมูลที่พอจะระบุความเกี่ยวข้องของเหตุการณ์การโจมตีนี้ได้ เช่น การพยายามร่วมมือกันระหว่างผู้ไม่ประสงค์ดี APT ของจีนทั้งสองกลุ่ม

Ref: thehackernews

Ransomware "Cicada" บนระบบปฏิบัติการ Linux ซึ่งมุ่งเป้าโจมตีเซิร์ฟเวอร์ VMware ESXi โดยเฉพาะ

ผ

    มีการดำเนินการ Malware เรียกค่าไถ่แบบ Ransomware-as-a-Service หรือ RaaS ซึ่งแอบอ้างเป็นองค์กร Cicada 3301 ที่แท้จริง และได้ระบุเหยื่อจำนวน 19 ราย หลังจากที่ได้ทำการโจมตีบริษัทต่าง ๆ ทั่วโลกอย่างรวดเร็ว

    การดำเนินการอาชญากรรมไซเบอร์ใหม่นี้ได้รับชื่อและใช้โลโก้เดียวกับเกมออนไลน์/โลกจริงที่ลึกลับในช่วงปี 2012-2014 ชื่อ Cicada 3301 ซึ่งเกี่ยวข้องกับปริศนาการเข้ารหัสที่ซับซ้อน

    อย่างไรก็ตาม ไม่มีความเกี่ยวข้องใด ๆ ระหว่างทั้งสองฝ่าย โดยโครงการ Cicada 3301 ที่แท้จริงได้ออกแถลงการณ์ปฏิเสธการเชื่อมโยงใด ๆ กับผู้กระทำความผิดและประณามการกระทำของกลุ่มนี้

แถลงการณ์จากองค์กร Cicada 3301 ระบุว่า "เราไม่ทราบถึงตัวตนของอาชญากรที่อยู่เบื้องหลังการกระทำที่โหดร้ายเหล่านี้ และไม่มีความเกี่ยวข้องใด ๆ กับกลุ่มเหล่านี้."

    Cicada3301 RaaS เริ่มออกมาโจมตีตั้งแต่ต้นเดือนมิถุนายน 2024 ผ่านโพสต์ในฟอรัมที่เกี่ยวกับ Malware เรียกค่าไถ่และอาชญากรรมไซเบอร์ที่รู้จักกันในชื่อ RAMP

    อย่างไรก็ตาม BleepingComputer ทราบถึงการโจมตีของ Cicada ที่เกิดขึ้นตั้งแต่วันที่ 6 มิถุนายน ซึ่งบ่งชี้ว่ากลุ่มนี้ได้ดำเนินการเองอย่างอิสระก่อนที่จะพยายามรับสมัครผู้ร่วมงาน

    เช่นเดียวกับการดำเนินการของ Malware เรียกค่าไถ่อื่น ๆ Cicada3301 ใช้กลยุทธ์โชกสองขั้นตอน โดยจะเจาะเข้าสู่เครือข่ายขององค์กร ขโมยข้อมูล และเข้ารหัสอุปกรณ์ต่าง ๆ หลังจากนั้นจะใช้กุญแจถอดรหัสและขู่ที่จะเผยแพร่ข้อมูลที่ถูกขโมยมาเป็นเครื่องมือต่อรอง เพื่อบีบบังคับให้เหยื่อยอมจ่ายค่าไถ่

    กลุ่มผู้ไม่ประสงค์ดีมีการดำเนินการเว็บไซต์เผยแพร่ข้อมูลที่ใช้เป็นส่วนหนึ่งของแผนการขู่กรรโชกสองขั้นตอนนี้

    Truesec พบว่ามีความคล้ายคลึงอย่างมากระหว่าง Cicada3301 และ ALPHV/BlackCat ซึ่งบ่งชี้ว่าอาจเป็นการรีแบรนด์ใหม่หรือเป็นการพัฒนาต่อโดยทีมงานหลักเดิมของ ALPHV

ข้อมูลที่ใช้เป็นหลักฐานสนับสนุนประกอบไปด้วย:

• ทั้งคู่เขียนด้วยภาษา Rust
• ทั้งสองใช้อัลกอริทึม ChaCha20 สำหรับการเข้ารหัส
• ใช้คำสั่งการปิดเครื่องเสมือน (VM shutdown) และการลบ snapshot ที่เหมือนกัน
• ใช้พารามิเตอร์คำสั่งในอินเทอร์เฟซผู้ใช้ วิธีตั้งชื่อไฟล์ และวิธีถอดรหัสโน้ตเรียกค่าไถ่ที่เหมือนกัน
• ใช้การเข้ารหัสเป็นช่วง ๆ ในไฟล์ขนาดใหญ่

    สำหรับข้อมูลเพิ่มเติม ALPHV ได้ทำการหลอกลวง (exit scam) ในช่วงต้นเดือนมีนาคม 2024 โดยอ้างว่าถูก FBI เข้าจับกุ่ม หลังจากที่ขโมยเงินจำนวน 22 ล้านดอลลาร์จาก Change Healthcare โดยอ้างเป็นการชำระเงินจากผู้ร่วมงานคนหนึ่ง

    Truesec ยังพบข้อมูลที่บ่งบอกว่าการดำเนินการ Malware เรียกค่าไถ่ Cicada3301 อาจจะร่วมมือหรือใช้ประโยชน์จาก Brutus botnet สำหรับการเข้าถึงเครือข่ายองค์กรในเบื้องต้น โดยบอตเน็ตนี้เคยเกี่ยวข้องกับการโจมตีแบบบังคับรหัสผ่าน VPN ในระดับโลก ซึ่งมุ่งเป้าไปที่อุปกรณ์ของ Cisco, Fortinet, Palo Alto และ SonicWall

    ควรสังเกตว่ากิจกรรมของ Brutus ถูกพบครั้งแรกสองสัปดาห์หลังจาก ALPHV ปิดตัวลง ดังนั้นความเชื่อมโยงระหว่างกลุ่มทั้งสองยังคงมีอยู่ในแง่ของไทม์ไลน์

    อีกหนึ่งภัยคุกคามต่อ VMware ESXi Cicada3301 เป็น Malware เรียกค่าไถ่ที่เขียนด้วยภาษา Rust และมีทั้งตัวเข้ารหัสสำหรับ Windows และ Linux/VMware ESXi โดยในการรายงานของ Truesec นักวิจัยได้วิเคราะห์ตัวเข้ารหัสสำหรับ VMware ESXi บน Linux สำหรับการดำเนินการเรียกค่าไถ่นี้

    เช่นเดียวกับ BlackCat และMalware เรียกค่าไถ่ครอบครัวอื่น ๆ เช่น RansomHub ต้องมีการป้อนคีย์พิเศษเป็นอาร์กิวเมนต์ในบรรทัดคำสั่งเพื่อเรียกใช้ตัวเข้ารหัส คีย์นี้ใช้เพื่อถอดรหัสข้อมูล JSON ที่เข้ารหัสซึ่งมีการตั้งค่าที่ตัวเข้ารหัสจะใช้เมื่อเข้ารหัสอุปกรณ์

    Truesec กล่าวว่าตัวเข้ารหัสจะตรวจสอบความถูกต้องของคีย์โดยใช้เพื่อถอดรหัสโน้ตเรียกค่าไถ่ และหากสำเร็จ จะดำเนินการเข้ารหัสที่เหลือต่อไป ฟังก์ชันหลัก (linux_enc) ใช้ ChaCha20 stream cipher สำหรับการเข้ารหัสไฟล์ และเข้ารหัสคีย์สมมาตรที่ใช้ในกระบวนการด้วยคีย์ RSA โดยคีย์การเข้ารหัสถูกสร้างขึ้นแบบสุ่มโดยใช้ฟังก์ชัน 'OsRng'

    Cicada3301 มุ่งเป้าไปที่ไฟล์ที่มีนามสกุลเฉพาะที่ตรงกับเอกสารและไฟล์สื่อ และตรวจสอบขนาดของไฟล์เพื่อกำหนดว่าจะใช้การเข้ารหัสเป็นช่วง ๆ (>100MB) หรือเข้ารหัสเนื้อหาทั้งหมดของไฟล์ (<100MB)

เมื่อทำการเข้ารหัสไฟล์ ตัวเข้ารหัสจะเพิ่มนามสกุลสุ่มเจ็ดตัวอักษรเข้าไปในชื่อไฟล์ และสร้างโน้ตเรียกค่าไถ่ชื่อ 'RECOVER-[extension]-DATA.txt' ดังที่แสดงด้านล่าง ควรสังเกตว่าตัวเข้ารหัสของ BlackCat/ALPHV ก็ใช้วิธีการเพิ่มนามสกุลสุ่มเจ็ดตัวอักษรและโน้ตเรียกค่าไถ่ชื่อ 'RECOVER-[extension]-FILES.txt' เช่นเดียวกัน

    Malware เรียกค่าไถ่สามารถตั้งค่าพารามิเตอร์ "sleep" เพื่อหน่วงเวลาการทำงานของตัวเข้ารหัส ซึ่งอาจใช้เพื่อหลบเลี่ยงการตรวจจับในทันที

    พารามิเตอร์ "no_vm_ss" ยังสั่งให้ Malware เข้ารหัสเครื่องเสมือน VMware ESXi โดยไม่พยายามปิดเครื่องก่อน

    อย่างไรก็ตาม โดยค่าเริ่มต้น Cicada3301 จะใช้คำสั่ง 'esxcli' และ 'vim-cmd' ของ ESXi เพื่อปิดเครื่องเสมือนและลบ snapshot ของเครื่องเสมือนก่อนที่จะเข้ารหัสข้อมูล

esxcli –formatter=csv –format-param=fields==\”WorldID,DisplayName\” vm process list | grep -viE \”,(),\” | awk -F \”\\\”*,\\\”*\” \'{system(\”esxcli vm process kill –type=force –world-id=\”$1)}\’ > /dev/null 2>&1;

for i in `vim-cmd vmsvc/getallvms| awk \'{print$1}\’`;do vim-cmd vmsvc/snapshot.removeall $i & done > /dev/null 2>&1

    อัตราความสำเร็จของ Cicada3301 บ่งบอกถึงความเชี่ยวชาญของผู้กระทำที่รู้ว่ากำลังทำอะไร ซึ่งสนับสนุนสมมติฐานที่ว่าอาจเป็นการรีบูตของ ALPHV หรืออย่างน้อยก็เป็นการใช้ผู้ร่วมงานที่มีประสบการณ์ด้าน Malware เรียกค่าไถ่มาก่อน

    การที่Malware เรียกค่าไถ่ใหม่นี้มุ่งเน้นไปที่สภาพแวดล้อมของ ESXi แสดงให้เห็นถึงการออกแบบเชิงกลยุทธ์เพื่อสร้างความเสียหายสูงสุดในสภาพแวดล้อมขององค์กร ซึ่งเป็นเป้าหมายของผู้กระทำผิดหลายรายในปัจจุบันที่ต้องการผลกำไรที่สูง

    โดยการรวมการเข้ารหัสไฟล์กับความสามารถในการขัดขวางการทำงานของเครื่องเสมือน (VM) และลบตัวเลือกการกู้คืน Cicada3301 ทำให้การโจมตีมีผลกระทบสูงที่ส่งผลต่อเครือข่ายและโครงสร้างพื้นฐานทั้งหมด ซึ่งช่วยเพิ่มแรงกดดันต่อเหยื่อให้มากขึ้น

Ref: bleepingcomputer

ช่องโหว่บน WPML Plugin ระดับ Critical ใน WordPress เสี่ยงต่อการถูกโจมตีแบบ Remote Code Execution

    มีการเปิดเผยช่องโหว่ ระดับ critical ของ WPML WordPress multilingual plugin โดยเป็นช่องโหว่ที่อนุญาตให้ผู้ใช้งานที่ผ่านการยืนยันตัวตนสามารถรันโค้ดบางอย่างจากระยะไกลได้

    ช่องโหว่ดังกล่าวมีหมายเลข CVE-2024-6386 (คะแนน CVSS: 9.9) ส่งผลกระทบต่อปลั๊กอินทุกเวอร์ชั่นจนถึงเวอร์ชัน 4.6.13 เมื่อวันที่ 20 สิงหาคม 2567 ที่ผ่านมา

    ช่องโหว่นี้เกิดขึ้นจากการไม่ได้ตรวจสอบ input validation ทำให้ผู้ไม่ประสงค์ดีที่ผ่านการยืนยันตัวตนมีสิทธิ์เข้าถึง Contributor-level หรือสิทธิ์ที่สูงกว่า และสามารถเรียกใช้โค้ดบนเซิร์ฟเวอร์ได้

    โดย WPML เป็นปลั๊กอินที่ได้รับความนิยมที่ใช้สร้างเว็บไซต์ WordPress หลายภาษา ซึ่งมีการติดตั้งโปรแกรม และใช้งานมากกว่าหนึ่งล้านครั้ง

    ผู้เชี่ยวชาญด้านความปลอดภัยของ stealthcopter ซึ่งเป็นผู้ค้นพบ และรายงานช่องโหว่ CVE-2024-6386 ระบุว่าปัญหาอยู่ที่การจัดการกับ shortcodes ของ plugin ที่ใช้สำหรับแทรกเนื้อหาการโพสต์ เช่น เสียง รูปภาพ และวิดีโอ

    โดยระบุว่า ปลั๊กอินนี้ใช้เทมเพลต Twig เพื่อแสดงเนื้อหาใน shortcodes แต่ไม่สามารถจัดการกับ input ได้ ซึ่งทำให้เกิด server-side template injection (SSTI) ได้

    SSTI (Server-Side Template Injection) เกิดขึ้นเมื่อผู้ไม่ประสงค์ดีใช้ native template syntax เพื่อแฝงเนื้อหาที่เป็นอันตรายลงในเทมเพลตเว็บ จากนั้นจะรันโค้ดบนเซิร์ฟเวอร์จนทำให้เกิดช่องโหว่ และส่งผลให้ผู้ไม่ประสงค์ดีสามารถเข้าควบคุมเครื่องที่ถูกโจมตีได้

    OnTheGoSystems ของปลั๊กอิน WPML ระบุว่า การอัปเดตนี้แก้ไขช่องโหว่ที่อนุญาตให้ผู้ใช้ที่มีสิทธิ์บางอย่างจะไม่สามารถใช้งานได้เหมือนเดิม แต่ปัญหานี้ไม่น่าจะเกิดขึ้น เนื่องจากผู้ใช้ต้องมีสิทธิ์แก้ไขใน WordPress และเว็บไซต์ต้องมีการตั้งค่าที่เฉพาะเจาะจง

คำแนะนำ

ให้ผู้ใช้งานปลั๊กอินทำการอัปเดตแพตช์ล่าสุดเพื่อลดความเสี่ยงจากการถูกโจมตีที่อาจเกิดขึ้น

Ref : thehackernews

กลุ่มผู้ไม่ประสงค์ดีจากเกาหลีใต้ APT-C-60 ได้ใช้ประโยชน์จากช่องโหว่ zero-day ใน WPS Office เพื่อติดตั้ง Malware

กลุ่มผู้ไม่ประสงค์ดีเกาหลีใต้ APT-C-60 ได้ใช้ประโยชน์จากช่องโหว่ zero-day ในการเรียกใช้โค้ดใน WPS Office รุ่น Windows เพื่อติดตั้งโปรแกรมที่เป็นอันตรายที่ชื่อว่า SpyGlace บนเป้าหมายในเอเชียตะวันออก

WPS Office เป็นชุดซอฟต์แวร์สำหรับการทำงานที่พัฒนาโดยบริษัท Kingsoft ของจีน ซึ่งได้รับความนิยมในเอเชีย มีรายงานว่ามีผู้ใช้งานมากกว่า 500 ล้านคนทั่วโลก

ช่องโหว่ zero-day ที่ถูกติดตามในชื่อ CVE-2024-7262 ได้ถูกใช้ในการโจมตีในโลกความจริงตั้งแต่ปลายเดือนกุมภาพันธ์ 2024 แต่ส่งผลกระทบต่อรุ่นตั้งแต่ 12.2.0.13110 (สิงหาคม 2023) ถึง 12.1.0.16412 (มีนาคม 2024)

Kingsoft ได้แก้ไขปัญหาอย่างเงียบๆ ในเดือนมีนาคมปีนี้ โดยไม่ได้แจ้งให้ลูกค้าทราบว่าช่องโหว่นี้ถูกใช้ประโยชน์อยู่ ส่งผลให้ ESET ซึ่งเป็นผู้ค้นพบแคมเปญและช่องโหว่นี้ได้เผยแพร่รายงานรายละเอียดในวันนี้

นอกจาก CVE-2024-7262 แล้ว การสืบสวนของ ESET ยังเผยถึงช่องโหว่ที่ร้ายแรงอีกหนึ่งรายการที่ถูกติดตามในชื่อ CVE-2024-7263 ซึ่ง Kingsoft ได้แก้ไขในปลายเดือนพฤษภาคม 2024 ด้วยเวอร์ชัน 12.2.0.17119

การโจมตีโดย APT-C-60

CVE-2024-7262 อยู่ในวิธีการที่ซอฟต์แวร์จัดการกับตัวจัดการโปรโตคอลที่กำหนดเอง โดยเฉพาะ 'ksoqing://' ซึ่งอนุญาตให้เรียกใช้แอปพลิเคชันภายนอกผ่าน URL ที่สร้างขึ้นโดยเฉพาะภายในเอกสาร

เนื่องจากการตรวจสอบและการกรอง URL เหล่านี้ไม่ถูกต้อง ช่องโหว่นี้จึงอนุญาตให้ผู้โจมตีสามารถสร้างไฮเปอร์ลิงก์ที่เป็นอันตรายซึ่งนำไปสู่การเรียกใช้โค้ดที่กำหนดเองได้

APT-C-60 ได้สร้างเอกสารสเปรดชีต (ไฟล์ MHTML) ที่ฝังไฮเปอร์ลิงก์ที่เป็นอันตรายภายใต้รูปภาพลวงเพื่อล่อให้เหยื่อคลิก ซึ่งจะทำให้เกิดการโจมตี

พารามิเตอร์ URL ที่ถูกประมวลผลรวมถึงคำสั่งที่เข้ารหัสเป็น base64 เพื่อเรียกใช้ปลั๊กอินเฉพาะ (promecefpluginhost.exe) ที่พยายามโหลดไฟล์ DLL ที่เป็นอันตราย (ksojscore.dll) ซึ่งมีโค้ดของผู้โจมตีอยู่

DLL นี้คือส่วนประกอบดาวน์โหลดของ APT-C-60 ที่ออกแบบมาเพื่อดึงโหลดที่เป็นอันตรายสุดท้าย (TaskControler.dll) จากเซิร์ฟเวอร์ของผู้โจมตี ซึ่งเป็น backdoor แบบกำหนดเองที่ชื่อว่า 'SpyGlace'

ขอแนะนำให้ผู้ใช้ WPS Office อัปเกรดไปใช้เวอร์ชันล่าสุดโดยเร็วที่สุด หรืออย่างน้อยเวอร์ชัน 12.2.0.17119 เพื่อแก้ไขปัญหาช่องโหว่ในการเรียกใช้โค้ดทั้งสองรายการ

"การโจมตีนั้นฉลาดล้ำเพราะมันมีความสามารถในการหลอกลวงให้ผู้ใช้คลิกที่สเปรดชีตที่ดูเหมือนถูกต้อง ในขณะที่มีประสิทธิภาพและความน่าเชื่อถือสูงมาก" ESET เตือนในรายงาน

"การเลือกใช้รูปแบบไฟล์ MHTML ทำให้ผู้โจมตีสามารถเปลี่ยนช่องโหว่ในการเรียกใช้โค้ดให้เป็นการโจมตีระยะไกลได้"

ตรวจสอบที่เก็บข้อมูลบน GitHub นี้สำหรับรายการเต็มของตัวบ่งชี้การถูกโจมตี (IoCs) ที่เกี่ยวข้องกับกิจกรรมของ APT-C-60

Ref: bleepingcomputer

Malware ‘sedexp’ บนระบบปฏิบัติการณ์ Linux ที่แฝงตัวและไม่สามารถตรวจสอบได้มานานกว่า 2 ปี

    Stroz Friedberg ของบริษัท Aon Insurance เป็นผู้ค้นพบ 'sedexp'  Malware บน Linux ซึ่งได้แฝงตัวและหลีกเลี่ยงการตรวจจับมาได้ตั้งแต่ปี 2022 ทำให้สามารถสร้าง reverse shell สำหรับการเข้าถึงจากระยะไกล และขยายการโจมตีบนระบบต่อไปได้ โดยใช้เทคนิค persistence “udev rule” ที่ไม่มีอยู่ใน MITRE ATT&CK framework โดยตั้งข้อสังเกตว่า sedexp เป็น advanced threat ที่ซ่อนตัวอยู่ในเครือข่ายของเป้าหมาย

การแฝงตัวในระบบด้วย udev rules

    'udev' คือ ระบบการจัดการอุปกรณ์สำหรับ Linux kernel responsible ในการจัดการโหนดอุปกรณ์ใน /dev directory ซึ่งประกอบด้วยไฟล์ที่แสดงถึงส่วนประกอบฮาร์ดแวร์ที่มีอยู่ในระบบ เช่น storage drives, network interfaces และ USB drives

    Node file จะถูกสร้าง และลบแบบไดนามิกเมื่อผู้ใช้เชื่อมต่อ/ตัดการเชื่อมต่ออุปกรณ์ รวมถึง udev ยังทำหน้าที่จัดการการโหลดไดรเวอร์ที่เหมาะสมอีกด้วย

    Udev rules เป็น text configuration files ที่กำหนดว่าตัวจัดการควรจัดการอุปกรณ์ หรือเหตุการณ์บางอย่างอย่างไร โดยอยู่ใน '/etc/udev/rules.d/' หรือ '/lib/udev/rules.d/'

    rules เหล่านี้ประกอบด้วยพารามิเตอร์สามตัวที่ระบุความสามารถในการนำไปใช้ (ACTION== "add") ชื่ออุปกรณ์ (KERNEL== "sdb1") และสคริปต์ที่จะถูกรันเมื่อตรงตามเงื่อนไขที่ระบุ (RUN+="/path/to/script")

sedexp malware จะทำการเพิ่ม rules ต่อไปนี้บนระบบที่ถูกโจมตี :

ACTION=="add", ENV{MAJOR}=="1", ENV{MINOR}=="8", RUN+="asedexpb run:+"

    rules นี้จะทำงานทุกครั้งที่มีการเพิ่มอุปกรณ์ใหม่ลงในระบบ โดยตรวจสอบว่าหมายเลขหลัก และหมายเลขรองตรงกับ '/dev/random' หรือไม่ โดยจะโหลดเมื่อระบบบูต และใช้เป็นตัวสร้างตัวเลขสุ่มโดยแอป และ process ต่าง ๆ หลายรายการ

    rule component สุดท้าย (RUN+= "asedexpb run:+") จะดำเนินการเรียกใช้สคริปต์ 'asedexpb' ของ Malware  ดังนั้นการตั้งค่า /dev/random จึงเป็นเงื่อนไขเบื้องต้น ที่ผู้ไม่ประสงค์ดีจะสามารถมั่นใจได้ว่า Malware จะถูกเรียกใช้งานตลอด

    ที่สำคัญที่สุด /dev/random เป็นส่วนประกอบระบบที่สำคัญบน Linux ที่ security solutions ไม่ได้มีการตรวจสอบ ดังนั้นจึงทำให้ Malware สามารถใช้เพื่อหลีกเลี่ยงการตรวจจับได้

ความสามารถในการปฏิบัติงานเบื้องต้น

    โดย Malware จะตั้งชื่อ process ว่า 'kdevtmpfs,' ที่ได้เลียนแบบ process ของระบบปกติ จึงทำให้มีความยากในการตรวจจับความผิดปกติโดยใช้วิธีการทั่วไป

    ในส่วนความสามารถในการปฏิบัติการ Malware จะใช้ forkpty หรือ pipes และ process ใหม่ที่แยกออกมาเพื่อตั้งค่า reverse shell เพื่อให้ผู้ไม่ประสงค์ดีสามารถเข้าถึงอุปกรณ์จากระยะไกลได้

    Sedexp ยังใช้เทคนิคการจัดการหน่วยความจำเพื่อซ่อนไฟล์ใด ๆ ที่มีสตริง "sedexp" จากคำสั่ง เช่น "ls" หรือ "find" โดยปกปิดการมีอยู่ของไฟล์เหล่านั้นในระบบ รวมถึงสามารถแก้ไขเนื้อหาหน่วยความจำเพื่อแทรกคำสั่งที่เป็นอันตราย หรือเปลี่ยนแปลงพฤติกรรมของแอป และ process ของระบบที่มีอยู่ได้

    ทั้งนี้นักวิจัยได้รายงานว่า Malware ดังกล่าวถูกใช้อย่างมากมาตั้งแต่ปี 2022 โดย Malware ดังกล่าวปรากฏอยู่ใน online sandboxes หลายแห่ง และไม่ถูกตรวจพบ (ใน VirusTotal มีเพียงโปรแกรมป้องกัน Malware  2 รายการ เท่านั้นที่ระบุว่าเป็นอันตรายจากตัวอย่าง sedexp สามตัวอย่างที่มีอยู่ในรายงาน)

โดย Stroz Friedberg รายงานว่า Malware ดังกล่าวถูกนำมาใช้เพื่อซ่อน credit card scraping code บน web server ที่ถูกโจมตี ซึ่งบ่งชี้ถึงการมีส่วนเกี่ยวข้องในการโจมตีที่มีแรงจูงใจทางด้านการเงิน

Ref; bleepingcomputer

ผู้ไม่ประสงค์ดีชาวจีนใช้ช่องโหว่ Zero-Day ใน Cisco Switch เพื่อเข้าควบคุมระบบของเป้าหมาย

    มีการเปิดเผยรายละเอียดเกี่ยวกับกลุ่มผู้ไม่ประสงค์ดีชาวจีน ที่ได้โจมตีช่องโหว่ด้านความปลอดภัยที่เพิ่งถูกเปิดเผย และได้รับการแก้ไขไปแล้วในสวิตช์ของ Cisco โดยการใช้ช่องโหว่ zero-day เพื่อเข้าควบคุมอุปกรณ์ และหลบเลี่ยงการตรวจจับระบบความปลอดภัย

    การกระทำดังกล่าวถูกระบุว่าเป็นฝีมือของกลุ่ม Velvet Ant โดยถูกพบเมื่อต้นปีที่ผ่านมา และเกี่ยวข้องกับการโจมตีจากช่องโหว่ CVE-2024-20399 (คะแนน CVSS: 6.0) ในการติดตั้ง Malware ที่ออกแบบมาโดยเฉพาะ และยังสามารถเข้าควบคุมระบบที่ถูกโจมตีได้ ทำให้ผู้โจมตีสามารถขโมยข้อมูล และเข้าถึงระบบได้อย่างต่อเนื่อง

    Sygnia ระบุในรายงานว่า "ช่องโหว่จาก zero-day นี้ทำให้ผู้โจมตีมีสิทธิ์เป็นผู้ดูแลระบบของ Switch management console ทำให้สามารถ escape ออกจาก NX-OS Command Line Interface (CLI) และเรียกใช้คำสั่งใด ๆ ก็ตามบนระบบปฏิบัติการ Linux ที่อยู่เบื้องหลังได้"

    Velvet Ant ได้รับความสนใจจากนักวิจัยของบริษัท Israeli cybersecurity จากการเชื่อมโยงกับการโจมตีที่ได้ดำเนินมาอย่างยาวนานหลายปี โดยมีเป้าหมายเป็นองค์กรที่ไม่เปิดเผยชื่อในเอเชียตะวันออก และใช้การโจมตีจากอุปกรณ์ F5 BIG-IP รุ่นเก่าเป็นจุดเริ่มต้น เพื่อสร้างการเข้าถึงอย่างต่อเนื่องในระบบที่ถูกโจมตีได้แล้ว

การโจมตีจากช่องโหว่ CVE-2024-20399 อย่างแนบเนียนของกลุ่มผู้ไม่ประสงค์ดีนี้ ได้ถูกเปิดเผยเมื่อช่วงต้นเดือนที่ผ่านมา ส่งผลให้ Cisco ต้องออกการอัปเดตด้านความปลอดภัยเพื่อแก้ไขช่องโหว่ดังกล่าว

    สิ่งที่น่าสังเกตของเทคนิคการโจมตีนี้ คือระดับความซับซ้อน และกลยุทธ์ในการปรับเปลี่ยนรูปแบบที่กลุ่มผู้ไม่ประสงค์ดีนี้นำมาใช้ โดยเริ่มต้นจากการแทรกซึมเข้าสู่ระบบ Windows รุ่นใหม่ จากนั้นจะโจมตีต่อไปยังเซิร์ฟเวอร์ Windows รุ่นเก่า และอุปกรณ์เครือข่าย เพื่อพยายามที่จะหลบเลี่ยงการตรวจจับ

Sygnia ระบุว่า "การเปลี่ยนไปดำเนินการจากอุปกรณ์เครือข่ายภายในถือเป็นการยกระดับเทคนิคการหลบเลี่ยงอีกครั้ง เพื่อให้แน่ใจว่าการโจมตีดังกล่าวจะดำเนินต่อไปได้"

    การโจมตีครั้งล่าสุดเกี่ยวข้องกับการเจาะระบบบนอุปกรณ์ Cisco Switch โดยใช้ช่องโหว่ CVE-2024-20399 เพื่อดำเนินการสอดแนม จากนั้นจึงเปลี่ยนการโจมตีไปยังอุปกรณ์เครือข่ายอื่น ๆ และในที่สุดก็จะทำการเรียกใช้ไบนารี backdoor ผ่านสคริปต์ที่เป็นอันตราย

    Payload ที่เรียกว่า VELVETSHELL นั้นเป็นการผสมผสานระหว่างเครื่องมือโอเพนซอร์สสองตัว ได้แก่ backdoor บน Unix ที่ชื่อว่า Tiny SHell และโปรแกรมยูทิลิตี้พร็อกซี่ที่เรียกว่า 3proxy นอกจากนี้ยังรองรับความสามารถในการเรียกใช้คำสั่งตามที่ต้องการ เช่น การดาวน์โหลด/อัปโหลดไฟล์ และสร้างช่องทางสำหรับการทำ proxying network traffic

    วิธีการดำเนินงานของ 'Velvet Ant' แสดงให้เห็นถึงความเสี่ยงเกี่ยวกับอุปกรณ์ และแอปพลิเคชันของ third-party ที่องค์กรนำมาใช้ และเนื่องจากอุปกรณ์จำนวนมากมีลักษณะเหมือน black box ทำให้อุปกรณ์ฮาร์ดแวร์ หรือซอฟต์แวร์แต่ละชิ้นมีโอกาสกลายเป็นพื้นที่สำหรับการโจมตีที่ผู้โจมตีสามารถใช้จากช่องโหว่ดังกล่าวได้"

Ref: thehackernews