QNAP ออกแพตช์แก้ไขช่องโหว่ zero-day ตัวที่ 2 ในปี 2567 ซึ่งถูกนำมาใช้ในการโจมตีในงาน Pwn2Own เพื่อยกระดับสิทธิ์เป็น root

    QNAP ได้ออกแพตช์เพื่อแก้ไขช่องโหว่ zero-day ที่ 2 ซึ่งถูกนักวิจัยด้านความปลอดภัยนำไปใช้โจมตีในการแข่งขันแฮ็ก Pwn2Own เมื่อสัปดาห์ที่ผ่านมา

    ช่องโหว่ระดับ Critical นี้เป็นช่องโหว่ SQL injection (SQLi) ที่มีหมายเลข CVE-2024-50387 เป็นช่องโหว่ใน SMB service ของ QNAP และได้รับการแก้ไขแล้วในเวอร์ชัน 4.15.002 ขึ้นไป และ h4.15.002 ขึ้นไป

    ช่องโหว่ zero-day นี้ได้รับการแก้ไขไปแล้วหนึ่งสัปดาห์หลังจากที่ YingMuo (ซึ่งทำงานร่วมกับโครงการฝึกงาน DEVCORE) สามารถเข้าถึงสิทธิ์ root และควบคุมอุปกรณ์ QNAP TS-464 NAS ได้ในงาน Pwn2Own Ireland 2024

    เมื่อวันอังคารที่ 29 ตุลาคม 2024 บริษัท QNAP ได้แก้ไขช่องโหว่ zero-day อีกรายการใน HBS 3 Hybrid Backup Sync ซึ่งเป็นโซลูชันสำหรับการกู้คืน และสำรองข้อมูล โดยช่องโหว่นี้ถูกทีม Viettel Cyber Security นำไปใช้โจมตีในงาน Pwn2Own เพื่อเรียกใช้คำสั่งตามที่ต้องการ และโจมตีอุปกรณ์ QNAP TS-464 NAS

    ทีม Viettel ชนะการแข่งขัน Pwn2Own Ireland 2024 หลังจากการแข่ง 4 วัน โดยมีการมอบรางวัลมูลค่ารวมกว่า 1 ล้านดอลลาร์ให้กับผู้เข้าร่วมการแข่งขันที่สามารถโจมตีด้วยช่องโหว่ zero-day ได้มากกว่า 70 รายการ

    แม้ว่า QNAP จะออกแพตช์สำหรับช่องโหว่ทั้ง 2 รายการภายในหนึ่งสัปดาห์ แต่โดยทั่วไปแล้วผู้ให้บริการมักใช้เวลานานกว่านั้นในการปล่อยแพตช์ความปลอดภัยหลังงาน Pwn2Own เนื่องจากมีเวลา 90 วันก่อนที่ Zero Day Initiative ของ Trend Micro จะเปิดเผยรายละเอียดของช่องโหว่ที่ถูกเปิดเผยในการแข่งขัน

    หากต้องการอัปเดตซอฟต์แวร์บนอุปกรณ์ NAS ให้เข้าสู่ระบบ QuTS hero หรือ QTS ในฐานะผู้ดูแลระบบ และไปที่ App Center ค้นหา "SMB Service" แล้วคลิก "Update" โดยปุ่มนี้จะไม่สามารถใช้งานได้หากซอฟต์แวร์เป็นเวอร์ชันล่าสุดแล้ว

    แนะนำให้อัปเดตแพตช์โดยเร็วที่สุด เนื่องจากอุปกรณ์ QNAP เป็นเป้าหมายที่นิยมของผู้โจมตี เพราะมักถูกใช้ในการสำรอง และเก็บข้อมูลส่วนบุคคลที่สำคัญ ซึ่งทำให้อุปกรณ์เหล่านี้ตกเป็นเป้าหมายในการติดตั้งมัลแวร์ขโมยข้อมูล และยังเป็นช่องทางในการบังคับให้เหยื่อจ่ายค่าไถ่เพื่อกู้คืนข้อมูล

    ตัวอย่างเช่น ในเดือนมิถุนายน 2020 QNAP ได้แจ้งเตือนเกี่ยวกับการโจมตีของแรนซัมแวร์ eCh0raix ซึ่งใช้ช่องโหว่ของแอป Photo Station ในการโจมตี และเข้ารหัสอุปกรณ์ QNAP NAS

    ในเดือนกันยายน 2020 QNAP ได้แจ้งเตือนลูกค้าเกี่ยวกับการโจมตีของแรนซัมแวร์ AgeLocker ซึ่งมุ่งเป้าไปที่อุปกรณ์ NAS ที่เข้าถึงได้จากอินเทอร์เน็ต ที่มีการใช้งาน Photo Station เวอร์ชันเก่า และมีช่องโหว่ โดยในเดือนมิถุนายน 2021 eCh0raix (หรือ QNAPCrypt) ได้กลับมาโจมตีอีกครั้งโดยใช้ช่องโหว่ที่รู้จัก และใช้การเดารหัสผ่านของบัญชี NAS ที่ใช้รหัสผ่านที่คาดเดาได้ง่าย

    การโจมตีอื่น ๆ ที่มีเป้าหมายการโจมตีไปยังอุปกรณ์ QNAP เช่น DeadBolt, Checkmate และ eCh0raix   ransomware ซึ่งจะใช้ประโยชน์จากช่องโหว่เพื่อเข้ารหัสข้อมูลในอุปกรณ์ NAS ที่เข้าถึงได้จากอินเทอร์เน็ต

Ref : bleepingcomputer.com

ตรวจพบการโจมตีรูปแบบใหม่โดยใช้ MSC files และช่องโหว่ Windows XSS เพื่อเข้าถึงเครือข่ายของเป้าหมาย

    พบเทคนิคการโจมตีรูปแบบใหม่ที่เรียกว่า 'GrimResource' โดยใช้ MSC ที่ถูกสร้างขึ้นมาเป็นพิเศษ (Microsoft Saved Console) และช่องโหว่ Windows XSS ที่ยังไม่ได้มีการอัปเดต เพื่อเรียกใช้คำสั่งผ่าน Microsoft Management Console

    ในเดือนกรกฎาคม 2022 Microsoft ได้ปิดใช้งาน Macro เป็นค่าเริ่มต้นของ Office ทำให้ผู้ไม่ประสงค์ดีต้องเปลี่ยนวิธีการไปใช้ไฟล์ประเภทใหม่ในการโจมตีแบบ phishing แทนโดยพบว่าผู้ไม่ประสงค์ดีได้เปลี่ยนมาใช้ ISO images และไฟล์ ZIP ที่มีการใส่รหัสผ่าน เนื่องจากไฟล์ประเภทดังกล่าวไม่สามารถถูกตรวจสอบได้จากฟีเจอร์ Mark of the Web (MoTW) ของ Windows

    ต่อมา Microsoft ได้แก้ไขปัญหาดังกล่าวใน ISO files และ 7-Zip ทำให้ผู้ไม่ประสงค์ดีต้องเปลี่ยนไปใช้ไฟล์แนบรูปแบบใหม่ เช่น Windows Shortcuts และ OneNote files

โดยปัจจุบันผู้ไม่ประสงค์ดีได้เปลี่ยนไปใช้ไฟล์ประเภทใหม่คือไฟล์ Windows MSC (.msc) ที่ถูกใช้ใน Microsoft Management Console (MMC) เพื่อจัดการแง่มุมต่าง ๆ ของระบบปฏิบัติการ หรือสร้างมุมมองที่กำหนดเองของ accessed tools

 จากรายงานของ Genian บริษัทรักษาความปลอดภัยทางไซเบอร์ของเกาหลีใต้ ได้ค้นพบการใช้ไฟล์ MSC ในการโจมตีโดยการฝังมัลแวร์ไว้ในไฟล์ รวมถึงทางนักวิจัยจาก Elastic ได้ค้นพบเทคนิคใหม่ในการแพร่กระจายไฟล์ MSC และใช้ช่องโหว่ของ Windows XSS ที่ยังไม่ถูกแก้ไขใน apds.dll เพื่อเรียกใช้ Cobalt Strike

    Elastic ได้พบตัวอย่าง ('sccm-updater.msc') ที่ถูกอัปโหลดไปยัง VirusTotal เมื่อวันที่ 6 มิถุนายน 2024 ซึ่งถูกเรียกว่า GrimResource แสดงให้เห็นว่าเทคนิคดังกล่าวได้ถูกใช้ในการโจมตีอย่างแพร่หลาย ทั้งนี้ไม่พบว่ามี antivirus engines บน VirusTotal ตัวใดที่แจ้งว่าไฟล์ดังกล่าวเป็นอันตราย

แม้ว่าแคมเปญนี้จะใช้เทคนิคดังกล่าวเพื่อติดตั้ง Cobalt Strike สำหรับการเข้าถึงเครือข่ายในเบื้องต้น แต่ก็อาจสามารถใช้เพื่อการดำเนินการอื่น ๆ ได้เช่นกัน

GrimResource ทำงานอย่างไร

    การโจมตีที่เรียกว่า GrimResource เริ่มต้นด้วยไฟล์ MSC ที่เป็นอันตรายซึ่งจะพยายามใช้ประโยชน์จากช่องโหว่ DOM-based cross-site scripting (XSS) ในไลบรารี 'apds.dll' ซึ่งช่วยให้สามารถเรียกใช้ JavaScript ได้ตามที่ต้องการผ่าน URL ที่สร้างขึ้น ช่องโหว่ดังกล่าวได้ถูกรายงานไปยัง Adobe และ Microsoft ในเดือนตุลาคม 2018 ซึ่ง Microsoft แจ้งว่ากรณีดังกล่าวไม่ตรงตามเกณฑ์สำหรับการแก้ไขช่องโหว่โดยทันที

    ในเดือนมีนาคม 2019 ช่องโหว่ XSS ยังคงไม่ได้รับการแก้ไข และไม่ชัดเจนว่าได้รับการแก้ไขไปแล้วหรือไม่ โดย BleepingComputer ได้ติดต่อไปยัง Microsoft เพื่อขอคำยืนยันว่าได้แก้ไขช่องโหว่ดังกล่าวไปแล้วหรือไม่ แต่ยังไม่ได้ข้อมูลการตอบกลับ

MSC file อันตราย ที่เผยแพร่โดยผู้โจมตีมีการ reference ถึง APDS resource ที่มีช่องโหว่ในส่วน StringTable section ทำให้เมื่อเป้าหมายเปิดไฟล์อันตรายขึ้นมา MMC จะทำการประมวลผล และดำเนินการ JS ด้วย 'mmc.exe'

    Elastic อธิบายว่าช่องโหว่ XSS สามารถใช้ร่วมกับเทคนิค 'DotNetToJScript' เพื่อรัน .NET code ที่กำหนดเองผ่าน JavaScript engine ได้โดยไม่ผ่านการตรวจสอบจากมาตรการรักษาความปลอดภัยที่มีอยู่

ตัวอย่างการใช้ 'transformNode' เพื่อหลีกเลี่ยงคำเตือนของ ActiveX ในขณะที่โค้ด JS สร้าง VBScript ขึ้นใหม่ที่ใช้ DotNetToJScript เพื่อโหลด .NET component ในชื่อ 'PASTALOADER'

    P   ASTALOADER จะทำการเรียกเพย์โหลด Cobalt Strike จาก environment variables ที่กำหนดโดย VBScript เพื่อสร้าง instance ใหม่ในชื่อ 'dllhost.exe' และ inject โดยใช้เทคนิค 'DirtyCLR' รวมกับ การทำ function unhooking และการทำ system calls

การป้องกัน GrimResource ทั้งนี้ผู้ดูแลระบบควรตรวจสิ่งเหล่านี้:

• การทำงานของไฟล์ที่เกี่ยวข้องกับ apds.dll ที่ถูกเรียกใช้โดย mmc.exe
• การดำเนินการที่น่าสงสัยผ่าน MCC โดยเฉพาะ Process ที่สร้างโดย mmc.exe พร้อมด้วย .msc file arguments
• การจัดสรรหน่วยความจำ RWX โดย mmc.exe ที่มาจาก script engines หรือ .NET components
• การสร้าง .NET COM object ที่ผิดปกติภายใน script interpreters ที่ไม่ได้มาตรฐาน เช่น JScript หรือ VBScript
• ไฟล์ Temporary HTML ที่สร้างขึ้นใน INetCache folder อันเป็นผลมาจากการเปลี่ยนเส้นทางของ APDS XSS

Ref: bleepingcomputer

NSA และ CISA เปิดเผยรายงาน 10 อันดับของการตั้งค่าที่ไม่ปลอดภัยบนระบบ

    สำนักงานความมั่นคงแห่งชาติ (NSA) และหน่วยงานรักษาความปลอดภัยทางไซเบอร์ และโครงสร้างพื้นฐาน (CISA) ได้เปิดเผยรายงานการค้นพบการตั้งค่าที่ไม่ปลอดภัยที่พบบ่อยที่สุด 10 อันดับ ซึ่งถูกพบโดย Red และ Blue Team ของบริษัทชั้นนำในโลก และหน่วยงานของรัฐบาล

    รวมไปถึงรายงานดังกล่าวยังให้ข้อมูลเกี่ยวกับ กลยุทธ์ เทคนิค และขั้นตอน (TTP) ที่ Hacker นำการตั้งค่าที่ไม่ปลอดภัยไปใช้ร่วมกับการโจมตีอย่างหลากหลาย เช่น การเข้าถึงระบบ (Initial Access), การแพร่กระจายไปในระบบ (Lateral Movement) และการขโมยข้อมูลที่สำคัญ (Exfiltration) โดยข้อมูลเหล่านี้ได้มา   จากผลการวิเคราะห์ในระหว่างการตอบสนองต่อเหตุการณ์ หรือ Incident Response 10 อันดับของการตั้งค่าที่ไม่ปลอดภัย ที่ถูกค้นพบ Red และ Blue Team รวมถึง ทีม NSA และ CISA Hunt และ Incident Response ได้แก่ :

1. การใช้การตั้งค่าเริ่มต้นของซอฟต์แวร์ และแอพพลิเคชัน (Default config)
2. การแยกสิทธิ์ของผู้ใช้งาน และผู้ดูแลระบบที่ไม่ถูกต้อง (Privilege control)
3. การตรวจสอบเครือข่ายภายในที่ไม่เพียงพอ (Network monitoring)
4. ไม่มีการแบ่งส่วนต่าง ๆ ของเครือข่ายในระบบ (Network segmentation)
5. การบริหารจัดการการอัปเดตซอฟต์แวร์ และแอพพลิเคชันที่ไม่มีประสิทธิภาพ (Patch Management)
6. การหลีกเลี่ยงการเข้าถึงระบบ (Bypass access controls)
7. การตั้งค่าการตรวจสอบสิทธิ์แบบหลายปัจจัยที่ไม่มีประสิทธิภาพ (Week MFA)
8. การทำรายการควบคุมการเข้าถึง (ACL) ที่ไม่ครอบคลุมในการแชร์เครือข่าย และบริการ
9. การใช้ credential ที่ไม่มีประสิทธิภาพ
10. การใช้ code ได้โดยไม่จำกัด (Unrestricted code execution)

    โดยข้อมูล 10 อันดับของการตั้งค่าที่ไม่ปลอดภัยนี้แสดงถึงความจำเป็นของผู้ผลิตซอฟต์แวร์ที่ต้องพัฒนา และปรับปรุงการออกแบบที่ปลอดภัย เพื่อแก้ไขการตั้งค่าที่ไม่ปลอดภัยได้อย่างมีประสิทธิภาพ ซึ่งต้องเริ่มต้นตั้งแต่การควบคุมความปลอดภัยเข้ากับสถาปัตยกรรมผลิตภัณฑ์ตั้งแต่ระยะเริ่มต้นของการพัฒนา และตลอดวงจรการพัฒนาซอฟต์แวร์ รวมถึงการใช้มาตรการป้องกันเชิงรุกเพื่อป้องกันช่องโหว่ทุกประเภท เช่น การใช้ภาษาการเขียนโค้ดที่ปลอดภัยสำหรับหน่วยความจำ หรือการการใช้คำสั่งแบบกำหนดพารามิเตอร์

    นอกจากนี้ควรมี multifactor authentication (MFA) สำหรับ privileged user และการกำหนดค่า MFA ให้เป็นค่าเริ่มต้น เพื่อเป็นแนวทางปฏิบัติตามมาตรฐานของการตั้งค่าที่ปลอดภัย

    NSA และ CISA ยังได้แนะนำให้ผู้ดูและระบบใช้มาตรการต่าง ๆ เพื่อลดความเสี่ยงในการถูกโจมตีจากการตั้งค่าที่ไม่ปลอดภัยดังนี้ :

• การยกเลิกการใช้ค่า Default config และ Default credential และเปลี่ยนไปตั้งค่าให้มีความแข็งแรงมากยิ่งขึ้น
• การปิดใช้งานบริการที่ไม่ได้ใช้ และตั้งค่าการใช้งาน access controls อย่างเข้มงวด
• การทำ Patch Management อย่างสม่ำเสมอ และจัดลำดับความสำคัญของการแก้ไขช่องโหว่ ให้แก่ช่องโหว่ที่ถูกใช้ในการโจมตี
• มีการควบคุม จำกัดตรวจสอบ และติดตาม administrative account หรือ privilege account อย่างต่อเนื่อง
• รวมถึงการนำ “MITRE ATT&CK for Enterprise framework” มาปรับใช้กับองค์กรเพื่อรับมือเหตุการณ์ด้านความปลอดภัยอีกด้วย

Ref : bleepingcomputer