Microsoft Patch Tuesday เดือนกุมภาพันธ์ 2025 แก้ไขช่องโหว่ Zero-day จำนวน 4 รายการ และช่องโหว่รวม 55 รายการ

วันนี้เป็นวัน Microsoft Patch Tuesday ประจำเดือนกุมภาพันธ์ 2025 ซึ่งมีUpdate ความปลอดภัยสำหรับช่องโหว่ 55 รายการ รวมถึงช่องโหว่ Zero-day จำนวน 4 รายการ โดยมี 2 รายการที่ถูกใช้โจมตีแล้ว

Patch Tuesday ครั้งนี้ยังแก้ไขช่องโหว่ "Critical" จำนวน 3 รายการ ซึ่งทั้งหมดเป็นช่องโหว่แบบ Remote Code Execution

จำนวนช่องโหว่ที่พบในแต่ละประเภทมีดังนี้:

19 ช่องโหว่การยกระดับสิทธิ์ (Elevation of Privilege Vulnerabilities)

2 ช่องโหว่การข้ามฟีเจอร์ความปลอดภัย (Security Feature Bypass Vulnerabilities)

22 ช่องโหว่การเรียกใช้โค้ดจากระยะไกล (Remote Code Execution Vulnerabilities)

1 ช่องโหว่การเปิดเผยข้อมูล (Information Disclosure Vulnerabilities)

9 ช่องโหว่การปฏิเสธการให้บริการ (Denial of Service Vulnerabilities)

3 ช่องโหว่การปลอมแปลง (Spoofing Vulnerabilities)

ตัวเลขข้างต้นไม่รวมถึงช่องโหว่ระดับวิกฤติของ Microsoft Dynamics 365 Sales ที่เกี่ยวกับการยกระดับสิทธิ์ และช่องโหว่ 10 รายการของ Microsoft Edge ที่ได้รับการแก้ไขไปแล้วเมื่อวันที่ 6 กุมภาพันธ์

หากต้องการเรียนรู้เพิ่มเติมเกี่ยวกับUpdate ที่ไม่ใช่ด้านความปลอดภัยในวันนี้ คุณสามารถดูบทความเฉพาะเกี่ยวกับ Update สะสม KB5051987 และ KB5051989 สำหรับ Windows 11 รวมถึง Update KB5051974 สำหรับ Windows 10

ช่องโหว่ Zero-day ที่ถูกโจมตีสองรายการที่ได้รับการเปิดเผย

ใน Patch Tuesday ของเดือนนี้ Microsoft ได้แก้ไขช่องโหว่ Zero-day สองรายการที่ถูกโจมตีแล้ว และอีกสองรายการที่ได้รับการเปิดเผยสู่สาธารณะ

Microsoft จัดประเภทช่องโหว่ Zero-day ว่าเป็นช่องโหว่ที่ถูกเปิดเผยต่อสาธารณะหรือถูกโจมตีโดยที่ยังไม่มีการแก้ไขอย่างเป็นทางการ

ช่องโหว่ Zero-day ที่ถูกโจมตีแล้ว

1. CVE-2025-21391 - Windows Storage Elevation of Privilege Vulnerability

• ช่องโหว่นี้เกี่ยวข้องกับการยกระดับสิทธิ์ที่สามารถใช้ลบไฟล์ได้
• Microsoft ระบุว่า “ผู้โจมตีจะสามารถลบไฟล์เป้าหมายบนระบบเท่านั้น”
• ช่องโหว่นี้ไม่ทำให้เกิดการรั่วไหลของข้อมูลลับ แต่สามารถลบข้อมูลที่อาจทำให้บริการไม่สามารถใช้งานได้
• ยังไม่มีข้อมูลเกี่ยวกับวิธีการโจมตีและผู้ที่เปิดเผยช่องโหว่นี้

2. CVE-2025-21418 - Windows Ancillary Function Driver for WinSock Elevation of Privilege Vulnerability

• ช่องโหว่นี้ช่วยให้ผู้โจมตีสามารถยกระดับสิทธิ์เป็น SYSTEM บน Windows ได้
• ยังไม่มีข้อมูลว่าใช้ในการโจมตีอย่างไร และ Microsoft ระบุว่าช่องโหว่นี้ถูกเปิดเผยโดยไม่ระบุชื่อ

ช่องโหว่ Zero-day ที่เปิดเผยสู่สาธารณะ

1. CVE-2025-21194 - Microsoft Surface Security Feature Bypass Vulnerability

• ช่องโหว่นี้เกี่ยวข้องกับไฮเปอร์ไวเซอร์ (Hypervisor) ที่ช่วยให้สามารถข้าม UEFI และเข้าถึง secure kernel ได้
• Microsoft ระบุว่าเป็นช่องโหว่ที่กระทบต่อ Virtual Machines บนเครื่องที่ใช้ UEFI
• อาจเกี่ยวข้องกับช่องโหว่ PixieFail ซึ่งเป็นชุดช่องโหว่ 9 รายการที่ส่งผลกระทบต่อโปรโตคอล IPv6 ใน Tianocore’s EDK II ที่ใช้ใน Microsoft Surface และผลิตภัณฑ์ไฮเปอร์ไวเซอร์

2. CVE-2025-21377 - NTLM Hash Disclosure Spoofing Vulnerability

• ช่องโหว่นี้เปิดเผย NTLM hash ของผู้ใช้ Windows ทำให้ผู้โจมตีสามารถล็อกอินในฐานะผู้ใช้นั้นได้
• การเปิดช่องโหว่สามารถเกิดขึ้นจากการโต้ตอบเพียงเล็กน้อย เช่น การคลิกเลือกไฟล์หรือคลิกขวาเพื่อดูรายละเอียด
• ช่องโหว่นี้อาจคล้ายกับช่องโหว่ NTLM hash อื่น ๆ ที่เมื่อ Windows เชื่อมต่อกับเซิร์ฟเวอร์ระยะไกล NTLM hash ของผู้ใช้จะถูกส่งไป ทำให้ผู้โจมตีสามารถรวบรวมและนำไปใช้ใน Pass-the-Hash Attack ได้
• ช่องโหว่นี้ถูกค้นพบโดยทีมนักวิจัยจาก Cathay Pacific, Securify B.V., และ ACROS Security (0patch)

Patch Tuesday ครั้งนี้เป็น Update ที่สำคัญ เนื่องจากมีช่องโหว่ Zero-day ที่ถูกใช้งานแล้วถึงสองรายการ ทำให้ผู้ใช้ Windows ควรติดตั้ง Update โดยเร็วที่สุด

Update ล่าสุดจากบริษัทอื่น ๆ

บริษัทอื่น ๆ ที่ออก Update หรือคำแนะนำด้านความปลอดภัยในเดือนกุมภาพันธ์ 2025 ได้แก่:

Adobe ออก Update ความปลอดภัยสำหรับผลิตภัณฑ์หลายรายการ รวมถึง Adobe Photoshop, Substance3D, Illustrator และ Animate

AMD ออกมาตรการลดความเสี่ยงและอัปเดตเฟิร์มแวร์เพื่อแก้ไขช่องโหว่ที่สามารถใช้โหลด microcode ของ CPU ที่เป็นอันตราย

Apple ออก Update ความปลอดภัยสำหรับช่องโหว่ Zero-day ที่ถูกใช้ในการโจมตีที่ มีความซับซ้อนสูงมาก

Cisco ออก Update ความปลอดภัยสำหรับผลิตภัณฑ์หลายรายการ รวมถึง Cisco IOS, ISE, NX-OS และ Identity Services

Google แก้ไขช่องโหว่ Zero-day ที่ถูกโจมตีแล้วใน USB Video Class driver ของ Android Kernel

Ivanti  ออก Update ความปลอดภัยสำหรับ Connect Secure, Neurons for MDM และ Cloud Service Application

Fortinet ออก Update ความปลอดภัยสำหรับผลิตภัณฑ์หลายรายการ รวมถึง FortiManager, FortiOS, FortiAnalyzer และ FortiSwitchManager

Netgear แก้ไขช่องโหว่ระดับวิกฤติ 2 รายการที่มีผลกระทบต่อ เราเตอร์ WiFi หลายรุ่น

SAP ออก Update ความปลอดภัยสำหรับผลิตภัณฑ์หลายรายการ

Update ความปลอดภัย Patch Tuesday เดือนกุมภาพันธ์ 2025

ด้านล่างเป็นรายการช่องโหว่ที่ได้รับการแก้ไขทั้งหมดใน Update Patch Tuesday เดือนกุมภาพันธ์ 2025

หากต้องการดูรายละเอียดฉบับเต็มของแต่ละช่องโหว่และระบบที่ได้รับผลกระทบ คุณสามารถดูได้ที่ รายงาน

Tag	CVE ID	CVE Title	Severity
Active Directory Domain Services	CVE-2025-21351	Windows Active Directory Domain Services API Denial of Service Vulnerability	Important
Azure Network Watcher	CVE-2025-21188	Azure Network Watcher VM Extension Elevation of Privilege Vulnerability	Important
Microsoft AutoUpdate (MAU)	CVE-2025-24036	Microsoft AutoUpdate (MAU) Elevation of Privilege Vulnerability	Important
Microsoft Digest Authentication	CVE-2025-21368	Microsoft Digest Authentication Remote Code Execution Vulnerability	Important
Microsoft Digest Authentication	CVE-2025-21369	Microsoft Digest Authentication Remote Code Execution Vulnerability	Important
Microsoft Dynamics 365 Sales	CVE-2025-21177	Microsoft Dynamics 365 Sales Elevation of Privilege Vulnerability	Critical
Microsoft Edge (Chromium-based)	CVE-2025-21267	Microsoft Edge (Chromium-based) Spoofing Vulnerability	Low
Microsoft Edge (Chromium-based)	CVE-2025-21279	Microsoft Edge (Chromium-based) Remote Code Execution Vulnerability	Important
Microsoft Edge (Chromium-based)	CVE-2025-21342	Microsoft Edge (Chromium-based) Remote Code Execution Vulnerability	Important
Microsoft Edge (Chromium-based)	CVE-2025-0445	Chromium: CVE-2025-0445 Use after free in V8	Unknown
Microsoft Edge (Chromium-based)	CVE-2025-0451	Chromium: CVE-2025-0451 Inappropriate implementation in Extensions API	Unknown
Microsoft Edge (Chromium-based)	CVE-2025-0444	Chromium: CVE-2025-0444 Use after free in Skia	Unknown
Microsoft Edge (Chromium-based)	CVE-2025-21283	Microsoft Edge (Chromium-based) Remote Code Execution Vulnerability	Important
Microsoft Edge (Chromium-based)	CVE-2025-21404	Microsoft Edge (Chromium-based) Spoofing Vulnerability	Low
Microsoft Edge (Chromium-based)	CVE-2025-21408	Microsoft Edge (Chromium-based) Remote Code Execution Vulnerability	Important
Microsoft Edge for iOS and Android	CVE-2025-21253	Microsoft Edge for IOS and Android Spoofing Vulnerability	Moderate
Microsoft High Performance Compute Pack (HPC) Linux Node Agent	CVE-2025-21198	Microsoft High Performance Compute (HPC) Pack Remote Code Execution Vulnerability	Important
Microsoft Office	CVE-2025-21392	Microsoft Office Remote Code Execution Vulnerability	Important
Microsoft Office	CVE-2025-21397	Microsoft Office Remote Code Execution Vulnerability	Important
Microsoft Office Excel	CVE-2025-21381	Microsoft Excel Remote Code Execution Vulnerability	Critical
Microsoft Office Excel	CVE-2025-21394	Microsoft Excel Remote Code Execution Vulnerability	Important
Microsoft Office Excel	CVE-2025-21383	Microsoft Excel Information Disclosure Vulnerability	Important
Microsoft Office Excel	CVE-2025-21390	Microsoft Excel Remote Code Execution Vulnerability	Important
Microsoft Office Excel	CVE-2025-21386	Microsoft Excel Remote Code Execution Vulnerability	Important
Microsoft Office Excel	CVE-2025-21387	Microsoft Excel Remote Code Execution Vulnerability	Important
Microsoft Office SharePoint	CVE-2025-21400	Microsoft SharePoint Server Remote Code Execution Vulnerability	Important
Microsoft PC Manager	CVE-2025-21322	Microsoft PC Manager Elevation of Privilege Vulnerability	Important
Microsoft Streaming Service	CVE-2025-21375	Kernel Streaming WOW Thunk Service Driver Elevation of Privilege Vulnerability	Important
Microsoft Surface	CVE-2025-21194	Microsoft Surface Security Feature Bypass Vulnerability	Important
Microsoft Windows	CVE-2025-21337	Windows NTFS Elevation of Privilege Vulnerability	Important
Open Source Software	CVE-2023-32002	HackerOne: CVE-2023-32002 Node.js `Module._load()` policy Remote Code Execution Vulnerability	Important
Outlook for Android	CVE-2025-21259	Microsoft Outlook Spoofing Vulnerability	Important
Visual Studio	CVE-2025-21206	Visual Studio Installer Elevation of Privilege Vulnerability	Important
Visual Studio Code	CVE-2025-24039	Visual Studio Code Elevation of Privilege Vulnerability	Important
Visual Studio Code	CVE-2025-24042	Visual Studio Code JS Debug Extension Elevation of Privilege Vulnerability	Important
Windows Ancillary Function Driver for WinSock	CVE-2025-21418	Windows Ancillary Function Driver for WinSock Elevation of Privilege Vulnerability	Important
Windows CoreMessaging	CVE-2025-21358	Windows Core Messaging Elevation of Privileges Vulnerability	Important
Windows CoreMessaging	CVE-2025-21184	Windows Core Messaging Elevation of Privileges Vulnerability	Important
Windows DHCP Client	CVE-2025-21179	DHCP Client Service Denial of Service Vulnerability	Important
Windows DHCP Server	CVE-2025-21379	DHCP Client Service Remote Code Execution Vulnerability	Critical
Windows Disk Cleanup Tool	CVE-2025-21420	Windows Disk Cleanup Tool Elevation of Privilege Vulnerability	Important
Windows DWM Core Library	CVE-2025-21414	Windows Core Messaging Elevation of Privileges Vulnerability	Important
Windows Installer	CVE-2025-21373	Windows Installer Elevation of Privilege Vulnerability	Important
Windows Internet Connection Sharing (ICS)	CVE-2025-21216	Internet Connection Sharing (ICS) Denial of Service Vulnerability	Important
Windows Internet Connection Sharing (ICS)	CVE-2025-21212	Internet Connection Sharing (ICS) Denial of Service Vulnerability	Important
Windows Internet Connection Sharing (ICS)	CVE-2025-21352	Internet Connection Sharing (ICS) Denial of Service Vulnerability	Important
Windows Internet Connection Sharing (ICS)	CVE-2025-21254	Internet Connection Sharing (ICS) Denial of Service Vulnerability	Important
Windows Kerberos	CVE-2025-21350	Windows Kerberos Denial of Service Vulnerability	Important
Windows Kernel	CVE-2025-21359	Windows Kernel Security Feature Bypass Vulnerability	Important
Windows LDAP - Lightweight Directory Access Protocol	CVE-2025-21376	Windows Lightweight Directory Access Protocol (LDAP) Remote Code Execution Vulnerability	Critical
Windows Message Queuing	CVE-2025-21181	Microsoft Message Queuing (MSMQ) Denial of Service Vulnerability	Important
Windows NTLM	CVE-2025-21377	NTLM Hash Disclosure Spoofing Vulnerability	Important
Windows Remote Desktop Services	CVE-2025-21349	Windows Remote Desktop Configuration Service Tampering Vulnerability	Important
Windows Resilient File System (ReFS) Deduplication Service	CVE-2025-21183	Windows Resilient File System (ReFS) Deduplication Service Elevation of Privilege Vulnerability	Important
Windows Resilient File System (ReFS) Deduplication Service	CVE-2025-21182	Windows Resilient File System (ReFS) Deduplication Service Elevation of Privilege Vulnerability	Important
Windows Routing and Remote Access Service (RRAS)	CVE-2025-21410	Windows Routing and Remote Access Service (RRAS) Remote Code Execution Vulnerability	Important
Windows Routing and Remote Access Service (RRAS)	CVE-2025-21208	Windows Routing and Remote Access Service (RRAS) Remote Code Execution Vulnerability	Important
Windows Setup Files Cleanup	CVE-2025-21419	Windows Setup Files Cleanup Elevation of Privilege Vulnerability	Important
Windows Storage	CVE-2025-21391	Windows Storage Elevation of Privilege Vulnerability	Important
Windows Telephony Server	CVE-2025-21201	Windows Telephony Server Remote Code Execution Vulnerability	Important
Windows Telephony Service	CVE-2025-21407	Windows Telephony Service Remote Code Execution Vulnerability	Important
Windows Telephony Service	CVE-2025-21406	Windows Telephony Service Remote Code Execution Vulnerability	Important
Windows Telephony Service	CVE-2025-21200	Windows Telephony Service Remote Code Execution Vulnerability	Important
Windows Telephony Service	CVE-2025-21371	Windows Telephony Service Remote Code Execution Vulnerability	Important
Windows Telephony Service	CVE-2025-21190	Windows Telephony Service Remote Code Execution Vulnerability	Important
Windows Update Stack	CVE-2025-21347	Windows Deployment Services Denial of Service Vulnerability	Important
Windows Win32 Kernel Subsystem	CVE-2025-21367	Windows Win32 Kernel Subsystem Elevation of Privilege Vulnerability	Important

Ref : bleepingcomputer.com

CISA ประกาศข้อบังคับให้หน่วยงานรัฐบาลกลางดำเนินการรักษาความปลอดภัย Microsoft 365 Tenants

    หน่วยงานรักษาความปลอดภัยทางไซเบอร์ และโครงสร้างพื้นฐานของสหรัฐอเมริกา (CISA) ได้ออกคำสั่งปฏิบัติภาคบังคับ (Binding Operational Directive - BOD 25-01) เพื่อให้หน่วยงานของรัฐบาลกลางได้นำไปปฏิบัติเพื่อรักษาความปลอดภัยให้กับระบบคลาวด์

    ในช่วงที่ CISA ได้กำหนดมาตรฐานการตั้งค่าความปลอดภัย (Secure Configuration baselines - SCBs) สำหรับ Microsoft 365 เสร็จสมบูรณ์แล้วนั้น ก็ยังมีแผนที่จะประกาศมาตรฐานเพิ่มเติมสำหรับแพลตฟอร์มคลาวด์อื่น ๆ เช่นกัน โดยเริ่มที่ Google Workspace (ซึ่งคาดการณ์ว่าจะถูกรวมอยู่ในประกาศในไตรมาสที่ 2 ของปีงบประมาณ 2025)

    คำสั่งปฏิบัติการนี้นั้นมีเป้าหมายเพื่อลด attack surface ในระบบเครือข่ายของรัฐบาล โดยกำหนดให้มีการปฏิบัติตามมาตรฐานที่เหมาะสมเพื่อป้องกันระบบ และทรัพย์สินของหน่วยงานของรัฐบาลกลาง (Federal Civilian Executive Branch - FCEB)

    BOD 25-1 กำหนดให้หน่วยงาน FCEB ติดตั้งเครื่องมือประเมินการตั้งค่า ซึ่งถูกพัฒนาโดย CISA (ScubaGear for Microsoft 365 audits), รวมเข้ากันกับระบบโครงสร้างพื้นฐานของระบบตรวจสอบความปลอดภัยทางไซเบอร์อย่างต่อเนื่องของหน่วยงาน, และดำเนินการแก้ไขการตั้งค่าที่แตกต่างไปจากค่ามาตรฐานภายในระยะเวลาที่กำหนด

    CISA ยังระบุเพิ่มเติมในวันที่ 17 ธันวาคม 2024 ว่า “เหตุการณ์ความเสียหายด้านความมั่นคงปลอดภัยไซเบอร์ล่าสุดนั้น แสดงให้เห็นถึงความเสี่ยงสำคัญ ซึ่งส่วนใหญ่เกิดจากการตั้งค่าที่ผิดพลาด และระบบควบคุมความปลอดภัยที่อ่อนแอ จึงทำให้ผู้ไม่ประสงค์ดีสามารถใช้งานช่องโหว่ดังกล่าวในการเข้าถึงข้อมูลโดยไม่ได้รับอนุญาต, การโจรกรรมข้อมูล หรือรบกวนการให้บริการได้”

    "คำสั่งปฏิบัติการนี้ กำหนดให้หน่วยงานพลเรือนดำเนินการระบุ Cloud tenants, ติดตั้งเครื่องมือสำหรับประเมินผล และทำให้สภาพแวดล้อมของคลาวด์สอดคล้องกับมาตรการการตั้งค่าความปลอดภัยสำหรับแอปพลิเคชันธุรกิจบนระบบคลาวด์ (Secure Cloud Business Applicaitons - SCuBA) ของ CISA"

สำหรับ Cloud Tenants ที่อยู่ในขอบเขตของคำสั่งนี้, หน่วยงาน FCEB ต้องดำเนินการตามขั้นตอนดังต่อไปนี้:

• ระบุ Cloud Tenants ในขอบเขตของคำสั่งปฏิบัติการนี้ทั้งหมดให้แล้วเสร็จ ไม่เกินวันศุกร์ที่ 21 กุมภาพันธ์ 2025
• ติดตั้งเครื่องมือประเมินผล SCuBA สำหรับ Cloud Tenant ทั้งหมดในขอบเขตของคำสั่งปฏิบัติการนี้ให้แล้วเสร็จ ไม่เกินวันศุกร์ที่ 25 เมษายน 2025 และเริ่มรายงานผลอย่างต่อเนื่องตามข้อกำหนดของคำสั่งนี้
• ดำเนินการตามนโยบาย SCuBA ที่เป็นภาคบังคับทั้งหมดที่มีผลตั้งแต่วันที่ออกคำสั่งนี้ให้แล้วเสร็จภายในวันศุกร์ที่ 20 มิถุนายน 2025
• ใช้งานการอัปเดตที่จะเกิดขึ้นในอนาคตตามนโยบาย SCuBA
• ใช้งานการตั้งค่าความปลอดภัย SCuBA ที่เป็นภาคบังคับทั้งหมด และเริ่มตรวจสอบอย่างต่อเนื่องในส่วนของ Cloud Tenants ใหม่ ก่อนที่จะอนุมัติสิทธิ์ให้ใช้งาน (Authorization to Operate - ATO)
• ในปัจจุบัน สามารถตรวจสอบรายการนโยบายที่เป็นข้อบังคับได้ทางเว็บไซต์ Requred Configurations ซึ่งในขณะนี้ประกอบไปด้วยมาตรฐานการตั้งค่าความปลอดภัยสำหรับผลิตภัณฑ์ Microsoft 365, รวมถึง Azure Active Directory / Entra ID, Microsoft Defender, Exchange Online, Power Platform, SharePoint Online & OneDrive และ Microsoft Teams

    ถึงแม้ว่า BOD 25-01 จะบังคับใช้กับหน่วยงานของรัฐบาลกลางเพียงเท่านั้น แต่ทาง CISA ยังคงแนะให้หน่วยงาน หรือองค์กรอื่น ๆ ให้ตระหนักถึงความสำคัญของความปลอดภัยในสภาพแวดล้อมคลาวด์ รวมทั้งนำคำสั่งนี้ไปใช้งานเพื่อลด Attack Surface และความเสี่ยงจากการละเมิดข้อมูลอย่างมีนัยสำคัญ

    ในปีที่แล้ว CISA ได้ออกคำสั่งปฏิบัติภาคบังคับ (BOD 23-02) เพื่อให้หน่วยงานของรัฐบาลกลางรักษาความปลอดภัยอุปกรณ์เครือข่ายที่เชื่อมต่อกับอินเทอร์เน็ต หรือเมื่อมีการตั้งค่าผิดพลาดภายใน 14 วัน นับตั้งแต่วันที่พบการตั้งค่าดังกล่าว

    ก่อนหน้านั้นสองปี, คำสั่งปฏิบัติภาคบังคับ (BOD 22-1) ของหน่วยงานความมั่นคงปลอดภัยทางไซเบอร์ ได้กำหนดให้หน่วยงาน FCEB ลดความเสี่ยงที่เพิ่มขึ้นจากช่องโหว่ที่เคยถูกโจมตี โดยการลดความเสี่ยง (Mitigation) ภายในระยะเวลาที่กำหนดอย่างเข้มงวด

Ref : bleepingcomputer

Microsoft แก้ไขปัญหาการส่งอีเมลบน Outlook สำหรับผู้ใช้ที่มีโฟลเดอร์จำนวนมาก

Microsoft ได้แก้ไขปัญหาที่ส่งผลต่อผู้ใช้ Outlook for Microsoft 365 ที่ทำให้เกิดปัญหาในการส่งอีเมลสำหรับผู้ที่มีโฟลเดอร์ซ้อนกันมากเกินไป

Microsoft พบปัญหาดังกล่าวครั้งแรกในเดือนธันวาคม 2023 โดยปัญหาดังกล่าวเกี่ยวข้องกับ mailbox ที่มี shared folder มากกว่า 500 โฟลเดอร์ ซึ่งข้อจำกัดดังกล่าวได้ถูกยกเลิกไปในปี 2019 โดยยกเลิกข้อจำกัด 500 โฟลเดอร์ใน Outlook อย่างไรก็ตามเชื่อว่าปัญหาดังกล่าวยังส่งผลต่อผู้ใช้ที่มีโฟลเดอร์จำนวนใกล้เคียงกันในกล่องจดหมายหลักของตนด้วย

Microsoft ระบุว่า ผู้ใช้งานที่พยายามส่งอีเมลจาก Outlook desktop app อาจได้รับรายงานการแจ้งเตือน Non-Delivery Report (NDR) พร้อม error code 0x80040305

โดยผู้ใช้ที่ได้รับผลกระทบจะได้รับการแจ้งเตือนด้วยว่าอีเมลของตนส่งไปไม่ถึงผู้รับบางส่วน หรือทั้งหมด โดยข้อความ NDR จะแนะนำให้ส่งใหม่อีกครั้งในภายหลังหรือติดต่อ network administrator

Outlook Team ได้พัฒนาวิธีแก้ไขปัญหา ซึ่งจะเผยแพร่ในช่วงเดือนตุลาคม หรือในเดือนธันวาคม 2024

• Beta Channel : เวอร์ชัน 2410 (Build 18127.15020) คาดว่าจะออกในช่วงต้นเดือนตุลาคม 2024
• Current Channel Preview : เวอร์ชัน 2410 (Build 18129.20000) คาดว่าจะออกในวันที่ 9 ตุลาคม 2024
• Current Channel : เวอร์ชัน 2410 (บิลด์ 20000) คาดว่าจะออกในวันที่ 29 ตุลาคม 2024
• Monthly Enterprise Channel : เวอร์ชัน 2410 (บิลด์ 20000) คาดว่าจะออกในวันที่ 10 ธันวาคม 2024
• แนวทางการแก้ไข

ในระหว่างที่รอการแก้ไข ทาง Microsoft ได้แนะนำแนวทางแก้ไขปัญหาชั่วคราว โดยกำหนดให้ลดจำนวนโฟลเดอร์ที่มีโฟลเดอร์ย่อยให้ต่ำกว่า 500 โฟลเดอร์ โดยตั้งเป้าไว้ที่ 450 โฟลเดอร์ที่ซ้อนกัน และอีกวิธี คือการยุบโฟลเดอร์กล่องจดหมายทั้งหมดแทนที่จะขยาย

ซึ่งหากไม่สามารถดำเนินการอย่างใดอย่างหนึ่งข้างต้นได้ ให้หลีกเลี่ยงการดำเนินการออนไลน์ใน Outlook การดำเนินการดังกล่าวรวมถึงการใช้ปุ่ม 'View on Server' และ ' Click here to view more on Microsoft Exchange' หรือการใช้ ' Include older results' เมื่อค้นหา รวมถึงหากใช้บริการเหล่านี้ควรรีสตาร์ท Outlook ทันทีเพื่อประสิทธิภาพในการใช้งาน

ในเดือนกันยายน 2024 Microsoft ได้แก้ไขช่องโหว่ที่ทำให้ Microsoft 365 apps เช่น Outlook, Word, Excel และ OneNote หยุดทำงานขณะพิมพ์ หรือตรวจสอบการสะกดข้อความ รวมถึงในเดือนสิงหาคม 2024 ได้แบ่งปันแนวทางแก้ปัญหาชั่วคราวสำหรับปัญหาการลงชื่อเข้าใช้ Gmail สำหรับผู้ใช้ Outlook แบบคลาสสิก และทำให้ Outlook หยุดทำงานหลังจากเปิดใช้งาน

Ref : bleepingcomputer

Microsoft เปิดเผยสาเหตุการล่มครั้งใหญ่ของ Azure เกิดจากการโจมตีแบบ DDoS

    Microsoft ออกมาเปิดเผยข้อมูลหลังเกิดเหตุการณ์บริการ Microsoft 365 และ Azure ทั่วโลกหยุดทำงานนานกว่าเก้าชั่วโมง โดยเป็นผลมาจากการโจมตีแบบ distributed denial-of-service (DDoS)

    โดยการหยุดให้บริการดังกล่าวได้ส่งผลกระทบต่อ Microsoft Entra, Microsoft 365 และ Microsoft Purview บางส่วน (รวมถึง Intune, Power BI และ Power Platform) เช่นเดียวกับ Azure App Services, Application Insights, Azure IoT Central, Azure Log Search Alerts, Azure Policy และ Azure portal

    ทาง Microsoft ออกมายืนยันว่าสาเหตุหลักเบื้องหลังการหยุดให้บริการ เกิดจากการโจมตีแบบ DDoS ถึงแม้ว่าจะยังไม่ได้เชื่อมโยงการโจมตีกับกลุ่ม ผู้ไม่ประสงค์ดี รายใดโดยเฉพาะก็ตาม

    Microsoft ระบุว่าการหยุดให้บริการเกิดจากการการโจมตีแบบ Distributed Denial-of-Service (DDoS) ซึ่งทำให้กลไกการป้องกัน DDoS ทำงาน แต่แทนที่จะบรรเทาผลกระทบ กลับไปทำให้ผลกระทบของการโจมตีรุนแรงขึ้นแทน โดยหลังจากนี้ทาง Microsoft จะเปลี่ยนแปลงการกำหนดค่าเครือข่ายในการป้องกัน DDoS และดำเนินการสำรองข้อมูลเพื่อสลับเส้นทางเครือข่ายเพื่อลดผลกระทบจากปัญหาที่เกิดขึ้น

    การเปิดเผยข้อมูลดังกล่าวเกิดขึ้นหลังจากที่ Microsoft ระบุว่า ในขณะที่ทำการแก้ไขปัญหาการหยุดให้บริการว่าสาเหตุเกิดจาก "การใช้งานที่เพิ่มขึ้นอย่างไม่คาดคิด" ซึ่ง "ส่งผลให้คอมโพเนนต์ของ Azure Front Door (AFD) และ Azure Content Delivery Network (CDN) ทำงานได้ต่ำกว่ามาตรฐานปกติ ส่งผลให้เกิดข้อผิดพลาดเป็นระยะ ๆ และเกิด timeout และ latency เพิ่มขึ้น

    Microsoft มีแผนที่จะเผยแพร่ผลการตรวจสอบเบื้องต้นหลังเกิดเหตุการณ์ Preliminary Post-Incident Review (PIR) ภายใน 72 ชั่วโมง และการตรวจสอบครั้งสุดท้ายหลังเกิดเหตุภายในสองสัปดาห์ข้างหน้า พร้อมด้วยรายละเอียดเพิ่มเติม และบทเรียนที่ได้รับจากเหตุการณ์ที่เกิดขึ้นในครั้งนี้

    ในเดือนมิถุนายน 2023 Microsoft ยังได้ยืนยันว่ากลุ่มผู้ไม่ประสงค์ดีที่รู้จักกันในชื่อ Anonymous Sudan (Storm-1359) ที่มีความเชื่อมโยงกับรัสเซียได้โจมตี Azure, Outlook และ OneDrive web portals ด้วยการการโจมตีในรูปแบบ Layer 7 DDoS attacks

    รวมถึงเมื่อต้นเดือนที่ผ่านมา ลูกค้า Microsoft 365 หลายหมื่นรายได้รับผลกระทบจากเหตุขัดข้องอีกครั้งเป็นวงกว้าง ซึ่งเกิดจากสิ่งที่ Microsoft อธิบายว่าเป็นการเปลี่ยนแปลงการกำหนดค่าของ Azure

อีกทั้งการหยุดให้บริการครั้งใหญ่ครั้งอื่น ๆ ยังส่งผลกระทบต่อบริการ Microsoft 365 ในเดือนกรกฎาคม 2022 หลังจากการปรับใช้ Enterprise Configuration Service (ECS) ที่มีข้อผิดพลาด และในเดือนมกราคม 2023 หลังจากการเปลี่ยนแปลงของ Wide Area Network IP

Ref:bleepingcomputer

Microsoft แก้ไขปัญหาที่เกิดขึ้นบน ผลิดภัณฑ์ที่เกี่ยวกับ E-Mail Outlook

    ไมโครซอฟท์ได้แก้ปัญหาที่เกิดขึ้น ที่เกิดจากโปรแกรมอีเมลบนเดสก์ท็อป และมือถือที่ล้มเหลวในการเชื่อมต่อเมื่อใช้บัญชี Outlook.com ได้ดำเนินการเปลี่ยนแปลงบริการในวันที่ 31 มกราคม 2024 เพื่อแก้ไขปัญหาการเชื่อมต่อที่มีปัญหาด้านการพิสูจน์ตัวตนที่ไม่ถูกต้องและสามารถหลีกเลี่ยงการตรวจสอบได้
    สำหรับ Outlook 2013 และ 2016 หากคุณยังเห็นการแจ้งขอการพิสูจน์ตัวตน โปรดตรวจสอบให้แน่ใจว่าคุณได้เปิดใช้งานการตรวจสอบสองขั้นตอน (MFA) หรือไม่ และทำการสร้างรหัสผ่านสำหรับแอปโดยเฉพาะ แทนรหัสที่ท่านใช้งานทั่ว ๆ ไปหรือเหมือนกันในหลาย ๆ แอป
    รายละเอียดเพิ่มเติมเกี่ยวกับวิธีใช้รหัสผ่านแอป กับแอปที่ไม่รองรับการตรวจสอบสองขั้นตอน สามารถพบได้ในเอกสารสนับสนุนนี้ ผู้ใช้งาน Outlook ที่ได้รับผลกระทบจากปัญหาดังกล่าว ได้เริ่มแชร์รายงานความผิดปกตินี้ไปยังแพลตฟอร์มชุมชน ของไมโครซอฟท์ และโซเชียลเน็ตเวิร์กอื่น ๆ เช่น Reddit ตั้งแต่วันอังคารที่ผ่านมา

    วิธีการสังเกตุ ผู้ใช้งานที่ได้รับผลกระทบจะมีการแจ้งเตือนป๊อปอัพที่ต้องการให้พิมพ์รหัสผ่านของบัญชีของพวกเขา และมีตัวเลือกให้ จดจำข้อมูลการเข้าสู่ระบบของผู้ใช้งาน Credential แม้ให้พวกเขากรอกรหัสผ่านที่ถูกต้อง หน้าต่างเข้าสู่ระบบก็ยังจะป๊อปอัพขึ้น เมื่อแอปพยายามเชื่อมต่อกับบัญชี Outlook.com

    ปัญหาเกิดขึ้นครั้งแรกเมื่อ 23/1/24 ผู้ใช้งานรายงานว่ามีปัญหาในการเชื่อมต่อ Outlook 2013, Outlook 2016, Outlook for Microsoft 365, Thunderbird, และแอปบนมือถือ เมื่อเชื่อมต่อด้วยวิธีการ POP, IMAP, และ Exchange บางผู้ใช้งานได้รายงานว่าการเข้าสู่ระบบด้วยรหัสผ่านแอปเชื่อมต่อใช้งานได้ แต่ในภายหลังกลับไปอยู่ในสถานะที่ยังไม่ได้เชื่อมต่อการใช้งาน

การแก้ปัญหาสำหรับปัญหา Outlook อื่น ๆ

    ผู้ใช้งาน Outlook.com ประสบปัญหาอื่นๆ ในช่วงไม่กี่เดือนที่ผ่านมา ซึ่งผู้ใช้งานไม่สามารถค้นหาเนื้อหาอีเมล ทำให้อีเมลของผู้ใช้งานค้นหาอีเมลล้มเหลว

    สองเดือนที่ผ่านมา ทีม Outlook ได้แก้ไขปัญหาอื่น ๆ ซึ่งทำให้ Outlook บนเดสก์ท็อปไม่สามารถใช้งานได้ ขณะที่ทำการส่งอีเมลจากบัญชี Outlook.com ในเวอร์ชัน 2311 Build 17029.20068

    หลังจากแก้ไขปัญหาแล้ว ไมโครซอฟท์แนะนำให้ผู้ใช้งานที่ปิดการอัปเดตอัตโนมัติคลิก

Update Now > under File > Office Account > Update Options to get the fix.

Ref : bleepingcomputer

CISA แจ้งเตือนพบช่องโหว่ระดับ Critical ใน Microsoft SharePoint ที่กำลังถูกใช้ในการโจมตี

    U.S. Cybersecurity and Infrastructure Security Agency หรือ หน่วยงานรักษาความปลอดภัยทางไซเบอร์ และโครงสร้างพื้นฐานของสหรัฐอเมริกา (CISA) ออกมาแจ้งเตือนการพบกลุ่ม ผู้ไม่ประสงค์ดีได้มุ่งเป้าหมายการโจมตีไปยัง Microsoft SharePoint โดยใช้ช่องโหว่ระดับ Critical ซึ่งเป็นช่องโหว่การยกระดับสิทธิ์ (privilege escalation)

    CVE-2023-29357 (คะแนน CVSS 9.8/10 ความรุนแรงระดับ Critical) เป็นช่องโหว่ที่ทำให้ ผู้ไม่ประสงค์ดี สามารถยกระดับสิทธิ์ผู้ดูแลระบบได้จากภายนอก บนเซิร์ฟเวอร์ที่มีช่องโหว่ ด้วยการหลีกเลี่ยงการตรวจสอบสิทธิ์โดยใช้ JWT auth token ปลอม

    รวมไปถึงผู้ไม่ประสงค์ดียังสามารถเรียกใช้คำสั่งที่เป็นอันตรายจากระยะไกลบน SharePoint server ที่ถูกโจมตี เมื่อใช้ร่วมกับช่องโหว่ CVE-2023-24955 (คะแนน CVSS 7.2/10 ความรุนแรงระดับ High) ที่ถูกใช้ในการสาธิตการโจมตีโดยนักวิจัยของ STAR Labs ในระหว่างการแข่งขัน Pwn2Own เมื่อเดือนมีนาคม 2023 ที่เมืองแวนคูเวอร์ โดยได้รับรางวัล 100,000 ดอลลาร์ จากการค้นพบช่องโหว่ดังกล่าว

   ผู้เชี่ยวชาญได้เผยแพร่การวิเคราะห์ทางเทคนิคเมื่อวันที่ 25 กันยายน 2023 โดยอธิบายกระบวนการโจมตีโดยละเอียด และต่อมาก็ได้ปล่อยชุดสาธิตการโจมตี proof-of-concept exploit (PoC) ของช่องโหว่ CVE-2023-29357 บน GitHub

  ทั้งนี้แม้จะยังไม่ได้มีรายงานการใช้ช่องโหว่ CVE-2023-29357 ในการโจมตีอย่างกว้างขวาง แต่ทาง CISA ได้เพิ่มช่องโหว่ดังกล่าวใน Known Exploited Vulnerabilities Catalog หรือช่องโหว่ที่ถูกใช้ในการโจมตี และกำหนดให้หน่วยงานรัฐบาลกลางของสหรัฐอเมริกาทำการแก้ไขให้เสร็จสิ้นภายในสิ้นเดือนนี้ในวันที่ 31 มกราคม 2024

Ref : bleepingcomputer

Microsoft ประกาศสิ้นสุดการสนับสนุน Microsoft Exchange Server 2019

    Microsoft ประกาศกำหนดสิ้นสุดการสนับสนุนสำหรับซอฟแวร์ Exchange Server 2019 on-premises ในวันที่ 9 มกราคม 2024

    ตั้งแต่วันที่ 9 มกราคม 2024 เป็นต้นไป Microsoft จะไม่รับคำขอแก้ไข Bug และคำขอเปลี่ยนแปลงการออกแบบ Design Change Requests (DCR) อีกต่อไป แต่จะยังคงออกแพตช์เพื่อแก้ไขปัญหาด้านความปลอดภัย หรือช่องโหว่ที่ถูกพบต่อไป

    แม้ว่า Exchange Server 2019 จะมีการขยายการสนับสนุนจนถึงวันที่ 14 ตุลาคม 2025 ซึ่งในปี 2024 จะมีการออกอัปเดต 2 ครั้งคือ CU14 (H1 2024) ซึ่งจะเผยแพร่ในเดือนมกราคม 2024 และ CU15 (H2 2024) ในช่วงครึ่งหลังของปี 2024

    โดย CU14 จะมาพร้อมกับการรองรับ TLS 1.3, การแก้ไขการควบคุม S/MIME, Extended Protection ที่เปิดใช้งานตามค่าเริ่มต้น และอื่น ๆ อีกมากมาย

อนาคตของ Exchange Server

    ปัจจุบัน Microsoft ยังไม่ได้ให้คำแนะนำเพิ่มเติมเกี่ยวกับการสิ้นสุดการสนับสนุน Exchange 2019 รวมถึงการเปิดตัว Exchange Server on-premises mail server เวอร์ชันใหม่

• Exchange Server 2016 ยังอยู่ในการสนับสนุนเพิ่มเติมจนถึงเดือนตุลาคม 2025 หลังจากการประกาศสิ้นสุดการสนับสนุนในเดือนตุลาคม 2020
• Exchange Server 2013 ได้สิ้นสุดการขยายสิ้นสุดการสนับสนุน (EOS) ไปแล้วเมื่อวันที่ 11 เมษายน 2023

    ทั้งนี้ทาง Microsoft ได้แนะนำให้ผู้ดูแลระบบควรเปลี่ยนไปใช้ Exchange 2019 (จนถึงเดือนตุลาคม 2025) เพื่อให้สามารถอัปเดตสำหรับช่องโหว่ด้านความปลอดภัยใหม่ ๆ หรือย้ายไปยัง Exchange Online ของ Microsoft (Office 365 subscription หรือ stand-alone service) โดยทาง Microsoft ได้ทำเอกสารประกอบเพื่อแนะนำให้ผู้ดูแลระบบย้ายไปใช้งานบน Exchange Online แทน

Ref : bleepingcomputer

W3LL phishing kit โจมตีบัญชี Microsoft 365 นับพันบัญชีด้วยการ bypasses MFA

    ผู้ไม่ประสงค์ดีที่รู้จักกันในชื่อ W3LL ได้พัฒนาฟิชชิงที่สามารถ bypass multi-factor authentication พร้อมกับเครื่องมืออื่น ๆ ที่ทำให้สามารถโจมตีบัญชี Microsoft 365 ขององค์กรมากกว่า 8,000 บัญชี ในระยะเวลา 10 เดือน ผู้เชี่ยวชาญด้านดวามปลอดภัยด้านความปลอดภัยพบว่าเครื่องมือ และโครงสร้างพื้นฐานของ W3LL ถูกใช้ในการสร้างฟิชชิงประมาณ 850 ครั้ง ซึ่งกำหนดเป้าหมายไปที่ข้อมูลส่วนบุลคลของบัญชี Microsoft 365 มากกว่า 56,000 บัญชี

การพัฒนาของ W3LL

    ผู้ไม่ประสงค์ดีอย่างน้อย 500 รายได้ใช้เครื่องมือฟิชชิ่งแบบ custom ของ W3LL ในการโจมตีแบบ Business Email Compromise (BEC) ทำให้เกิดความสูญเสียทางการเงินหลายล้านดอลลาร์สหรัฐฯ ผู้เชี่ยวชาญด้านดวามปลอดภัยระบุว่า W3LL ครอบคลุมเกือบทั้งหมดสำหรับการโจมตีแบบ BEC และสามารถใช้งานได้โดย "ผู้ไม่ประสงค์ดีที่มีทักษะทางเทคนิคในทุกระดับ"

    ในรายงานจากบริษัทรักษาความปลอดภัยทางไซเบอร์ Group-IB ได้ให้รายละเอียดเกี่ยวกับ W3LL ที่กลายมาเป็นหนึ่งในนักพัฒนามัลแวร์ขั้นสูงสำหรับกลุ่มผู้ไม่ประสงค์ดีที่มักใช้วิธี BEC หลักฐานแรกในการดำเนินการของ W3LL ถูกพบครั้งแรกในปี 2017 เมื่อผู้พัฒนาเริ่มใช้เครื่องมือ custom สำหรับการส่งอีเมลจำนวนมากที่ชื่อว่า "W3LL SMTP Sender" ซึ่งถูกใช้สำหรับการส่งสแปม ความนิยม และธุรกิจของกลุ่มผู้ไม่ประสงค์ดีเริ่มเติบโตขึ้นเมื่อเริ่มมีการขายชุดเครื่องมือฟิชชิงแบบ custom ที่มุ่งเน้นไปที่บัญชีองค์กรของ Microsoft 365

    ผู้เชี่ยวชาญด้านดวามปลอดภัยระบุว่า ในปี 2018 W3LL ได้เปิดตัว W3LL Store ซึ่งเป็นตลาดภาษาอังกฤษที่สามารถโปรโมต และขายเครื่องมือของตนให้กับ community ของอาชญากรทางไซเบอร์ "เครื่องมือหลักของ W3LL คือ W3LL Panel ซึ่งอาจถือเป็นหนึ่งในชุดเครื่องมือสำหรับการโจมตีแบบฟิชชิงที่ล้ำสมัยที่สุดในระดับเดียวกัน โดยมีฟังก์ชันการทำงานแบบ adversary-in-the-middle, API, การป้องกันซอร์สโค้ด และความสามารถเฉพาะทางอื่น ๆ"

ชุดเครื่องมือของ W3LL สำหรับการโจมตีแบบ BEC

นอกจาก W3LL Panel ซึ่งถูกออกแบบเพื่อ bypass multi-factor authentication (MFA) ผู้ไม่ประสงค์ดียังมีเครื่องมืออีก 16 รายการที่เตรียมไว้สำหรับการโจมตี BEC (Business Email Compromise) รวมถึง:

• SMTP senders PunnySender และ W3LL Sender
• เครื่องมือ link stager ที่เป็นอันตรายชื่อ W3LL Redirect
• เครื่องมือสแกนช่องโหว่ชื่อ OKELO
• เครื่องมือค้นหาบัญชีอัตโนมัติชื่อ CONTOOL
• โปรแกรมตรวจสอบอีเมลชื่อ LOMPAT

    สำหรับการโจมตี BEC มีขั้นตอนเริ่มต้นที่การเลือกเป้าหมาย, การโจมตีแบบฟิชชิงผ่านอีเมลที่ที่มีไฟล์แนบ (ค่าเริ่มต้น หรือปรับแต่งเองได้), ไปจนถึงการส่งอีเมลฟิชชิงเข้าไปในกล่องจดหมายของเหยื่อ ผู้เชี่ยวชาญด้านดวามปลอดภัยระบุว่า W3LL เชี่ยวชาญมากพอที่จะปกป้องเครื่องมือของตนจากการถูกตรวจจับ หรือปิดกั้นได้ โดยการนำไปใช้งานบนโฮสต์เซิร์ฟเวอร์ และบริการที่โจมตีมาอีกที อย่างไรก็ตาม ผู้ใช้งานยังมีตัวเลือกในการใช้เครื่องมือสแกน OKELO ของ W3LL เพื่อค้นหาระบบที่มีช่องโหว่ และเข้าถึงระบบได้ด้วยตนเอง

Bypassing filters และ security agents

    บางเทคนิคที่ W3LL ใช้ คือการ bypass email filters และ security agents รวมถึงปลอมแปลงหัวเรื่องอีเมล และเนื้อหาในข้อความ (Punycode, แท็ก HTML, รูปภาพ, ลิงก์ที่มีเนื้อหาจากภายนอก) phishing links ใช้วิธีการหลายอย่างเพื่อหลีกเลี่ยงการตรวจจับ หนึ่งในนั้นคือการแนบไฟล์ฟิชชิง แทนที่จะฝังไว้ในเนื้อหาของอีเมลนักวิจัยพบว่าลิงก์นั้นถูกวางไว้ในไฟล์ HTML ที่แนบมา เมื่อเหยื่อเปิดไฟล์ HTML ที่เป็นอันตรายซึ่งอาจปลอมเป็นเอกสาร หรือข้อความเสียง เบราว์เซอร์จะเปิดขึ้นพร้อมกับการแสดงผลที่คล้ายกับ MS Outlook animation     ซึ่งนี่คือ W3LL Panel phishing page ที่พร้อมใช้งานสำหรับการเก็บข้อมูลของบัญชี Microsoft 365 ในการวิเคราะห์ไฟล์แนบจากการโจมตีแบบฟิชชิงจาก W3LL ที่พบ Group-IB ได้สังเกตว่าเป็นไฟล์ HTML ที่แสดงเว็ปไซต์ใน iframe โดยใช้ JavaScript ที่ถูกเข้ารหัส base64

W3LL phishing attachment observed in the wild

    ในเวอร์ชันใหม่ล่าสุด ซึ่งอัปเดตในช่วงปลายเดือนมิถุนายน W3LL ได้เพิ่ม การสร้างความสับสน และการเข้ารหัสแบบ multiple layers โดยจะโหลดสคริปต์โดยตรงจาก W3LL Panel แทนที่จะรวมไว้ในโค้ด HTML

ลำดับการทำงานสำหรับเวอร์ชันล่าสุดมีลักษณะดังนี้ :

Updated W3LL phishing attachment

การโจมตีบัญชีองค์กร Microsoft 365

  นักวิจัยของ Group-IB อธิบายว่าลิงก์เริ่มต้นในการโจมตีฟิชชิงไม่ได้นำไปสู่หน้าการเข้าสู่ระบบ Microsoft 365 ที่ถูกปลอมแปลงใน W3LL Panel การเชื่อมต่อลักษณะดังกล่าวถูกกำหนดขึ้นเพื่อป้องกันการตรวจสอบหน้าฟิชชิงของ W3LL Panel เพื่อที่ W3LL จะโจมตีบัญชี Microsoft 365 นั้นจะใช้เทคนิค Adversary/Man-in-the-middle (AitM/MitM) โดยการเชื่อมต่อระหว่างเหยื่อ และเซิร์ฟเวอร์ของ Microsoft จะผ่าน W3LL Panel และ W3LL Store ที่ทำหน้าที่เป็นระบบ backend

   เป้าหมายคือการได้มาซึ่งคุกกี้เซสชันการ authentication ของเหยื่อ สำหรับวิธีนี้ W3LL Panel จำเป็นต้องดำเนินการหลายขั้นตอน ซึ่งรวมถึง:

• ผ่านการตรวจสอบ CAPTCHA
• ตั้งค่าหน้าการเข้าสู่ระบบที่ปลอมแปลงให้เหมือนจริง
• ตรวจสอบบัญชีของเหยื่อ
• ได้มาซึ่งอัตลักษณ์ขององค์กรเป้าหมาย (เช่น ชื่อแบรนด์, โลโก้ฯ)
• รับคุกกี้สำหรับการเข้าสู่ระบบ
• ระบุประเภทของบัญชี
• ตรวจสอบรหัสผ่าน
• รับรหัสผ่านแบบใช้ครั้งเดียว (OTP)
• รับคุกกี้เซสชันที่ผ่านการ authentication

    หลังจากที่ W3LL Panel ได้รับคุกกี้เซสชันที่ผ่านการ authentication แล้ว บัญชีจะถูกเข้าถึงได้ และเหยื่อจะเห็นเอกสาร PDF เพื่อทำให้ดูเหมือนการเข้าสู่ระบบนั้นถูกต้อง

ขั้นตอนการค้นหาบัญชี

   เมื่อใช้ CONTOOL ผู้ไม่ประสงค์ดีสามารถทำให้การค้นหาอีเมล, เบอร์โทรศัพท์, ไฟล์แนบ, เอกสาร, หรือ URL ที่เหยื่อใช้โดยอัตโนมัติ ซึ่งอาจช่วยในการโจมตีไปยังระบบอื่น ๆ เครื่องมือนี้ยังสามารถตรวจสอบ กรอง และแก้ไขอีเมลที่เข้ามาได้ รวมทั้งรับการแจ้งเตือนผ่านบัญชี Telegram โดยขึ้นอยู่กับ keywords ที่ระบุไว้

ตามรายงานของ Group-IB ผลลัพธ์ทั่วไปของการโจมตีคือ :

• การขโมยข้อมูล
• ใบแจ้งหนี้ปลอมที่มีข้อมูลการชำระเงินของผู้ไม่ประสงค์ดี
• การปลอมตัวเป็นบริการเพื่อส่งคำขอชำระเงินปลอมให้กับลูกค้า
• Classic BEC fraud - เพื่อเข้าถึงผู้บริหารระดับสูง และดำเนินการเพื่อสั่งให้พนักงานโอนเงิน หรือซื้อสินค้า
• แพร่กระจายมัลแวร์

การทำเงินของกลุ่ม W3LL

    รายงานของ Group-IB ได้ศึกษาลึกลงไปในฟังก์ชันของ W3LL Panel โดยอธิบายในระดับเทคนิคว่าคุณสมบัติบางอย่างทำงานอย่างไรเพื่อให้บรรลุเป้าหมายที่ตั้งไว้ ไม่ว่าจะเป็นการหลบเลี่ยงการตรวจจับ หรือการรวบรวมข้อมูล โดยเป็นส่วนสำคัญที่มีค่าแก่ผู้พัฒนา และมีราคา 500 ดอลลาร์สหรัฐสำหรับการใช้งานระยะเวลา 3 เดือน และราคาต่ออายุ 150 ดอลลาร์สหรัฐฯ ต่อเดือน ซึ่งผู้ใช้จำเป็นต้องซื้อ license เพื่อเปิดใช้งานด้วยอีกด้วย

W3LL Store and Panel

    กลุ่มผู้ไม่ประสงค์ดี W3LL ก่อตั้งขึ้นเมื่อประมาณ 5 ปีที่แล้ว และมีแฮ็กเกอร์ใช้งานมากกว่า 500 คน โดยมีฟีเจอร์ให้เลือกใช้งานมากกว่า 12,000 รายการ นอกจากเครื่องมือที่เกี่ยวข้องกับการโจมตีด้วยฟิชชิ่ง และ BEC ที่กล่าวมาแล้ว W3LL ยังให้บริการเข้าถึงบริการเว็ปไซต์ที่ถูกโจมตี (web shell, อีเมล, ระบบการจัดการเนื้อหา) และเซิร์ฟเวอร์ SSH และ RDP, บัญชีโฮสติ้ง และบริการคลาวด์, โดเมนอีเมลธุรกิจ, บัญชี VPN, และบัญชีอีเมลที่ถูกยึดครอง (hijacked email accounts) ให้บริการอีกด้วย นักวิจัยจาก Group-IB รายงานว่า ระหว่างเดือนตุลาคม ปี 2022 ถึงกรกฎาคม ปี 2023 W3LL ขายเครื่องมือนี้ได้มากกว่า 3,800 รายการ โดยมีรายได้โดยประมาณมากกว่า 500,000 ดอลลาร์สหรัฐ

Ref : bleepingcomputer