Toyota ยืนยันเหตุการณ์ข้อมูลรั่วหลังจากข้อมูลที่ถูกขโมยถูกเผยแพร่บนฟอรัมแฮ็กเกอร์

    โตโยต้ายืนยันว่าเครือข่ายของบริษัทถูกโจมตีหลังจากผู้ไม่ประสงค์ดีเผยแพร่ไฟล์เก็บข้อมูลขนาด 240GB ที่ถูกขโมยจากระบบของบริษัทบนฟอรัมแฮ็กเกอร์

    "เรารับทราบถึงสถานการณ์นี้แล้ว ปัญหาดังกล่าวมีขอบเขตจำกัดและไม่ใช่ปัญหาที่เกิดขึ้นทั่วทั้งระบบ" โตโยต้ากล่าวกับ BleepingComputer เมื่อถูกถามเพื่อยืนยันคำกล่าวอ้างของผู้ไม่ประสงค์ดี

    ยังกล่าวเสริมว่า "ได้ทำการติดต่อกับผู้ที่ได้รับผลกระทบและจะให้ความช่วยเหลือหากจำเป็น" แต่ยังไม่ได้ให้ข้อมูลเกี่ยวกับเวลาที่ค้นพบการละเมิด วิธีที่ผู้โจมตีเข้าถึงข้อมูล และจำนวนผู้ที่ข้อมูลถูกเปิดเผยในเหตุการณ์นี้

    ZeroSevenGroup (กลุ่มผู้ไม่ประสงค์ดีที่เผยแพร่ข้อมูลที่ถูกขโมย) ระบุว่าพวกเขาได้เจาะระบบสาขาหนึ่งในสหรัฐอเมริกาและสามารถขโมยไฟล์ขนาด 240GB ซึ่งมีข้อมูลของพนักงานและลูกค้าของโตโยต้า รวมถึงสัญญาและข้อมูลทางการเงิน

    พวกเขายังอ้างว่าได้รวบรวมข้อมูลโครงสร้างพื้นฐานของเครือข่าย รวมถึงข้อมูลประจำตัว โดยใช้เครื่องมือ ADRecon แบบโอเพ่นซอร์สที่ช่วยดึงข้อมูลจำนวนมากจากสภาพแวดล้อมของ Active Directory

"เราทำการเจาะระบบสาขาในสหรัฐอเมริกาของหนึ่งในผู้ผลิตรถยนต์รายใหญ่ที่สุดในโลก (TOYOTA) เรามีความยินดีอย่างยิ่งที่จะแชร์ไฟล์เหล่านี้ให้คุณฟรีๆ ขนาดของข้อมูล: 240 GB," ผู้ไม่ประสงค์ดีกล่าว

ทุกอย่างเช่น รายชื่อผู้ติดต่อ, การเงิน, ลูกค้า, โครงการ, พนักงาน, รูปภาพ, ฐานข้อมูล, โครงสร้างพื้นฐานเครือข่าย, อีเมล, และข้อมูลที่สมบูรณ์แบบอีกมากมาย

    แม้ว่าโตโยต้าจะยังไม่ได้เปิดเผยวันที่ของการละเมิดข้อมูล แต่ BleepingComputer พบว่าไฟล์ดังกล่าวถูกขโมยหรือถูกสร้างขึ้นเมื่อวันที่ 25 ธันวาคม 2022 วันที่นี้อาจบ่งชี้ว่าผู้ไม่ประสงค์ดีเข้าถึงเซิร์ฟเวอร์สำรองที่เก็บข้อมูลดังกล่าวได้

    เมื่อปีที่แล้ว บริษัท Toyota Financial Services (TFS) ซึ่งเป็นบริษัทลูกของโตโยต้า ได้แจ้งเตือนลูกค้าในเดือนธันวาคมว่าข้อมูลส่วนบุคคลและข้อมูลทางการเงินที่สำคัญของพวกเขาถูกเปิดเผยจากการละเมิดข้อมูลที่เกิดจากการโจมตีด้วย Medusa ransomware ซึ่งส่งผลกระทบต่อแผนกยุโรปและแอฟริกาของผู้ผลิตรถยนต์สัญชาติญี่ปุ่นรายนี้ในเดือนพฤศจิกายน

    ไม่กี่เดือนก่อนหน้านั้น ในเดือนพฤษภาคม โตโยต้าเปิดเผยการละเมิดข้อมูลอีกครั้งและเปิดเผยว่าข้อมูลตำแหน่งรถยนต์ของลูกค้า 2,150,000 รายถูกเปิดเผยเป็นเวลา 10 ปี ตั้งแต่วันที่ 6 พฤศจิกายน 2013 ถึง 17 เมษายน 2023 เนื่องจากการตั้งค่าฐานข้อมูลผิดพลาดในสภาพแวดล้อมคลาวด์ของบริษัท

ไม่กี่สัปดาห์ต่อมา พบบริการคลาวด์ที่ตั้งค่าผิดพลาดเพิ่มเติมสองรายการซึ่งทำให้ข้อมูลส่วนบุคคลของลูกค้าโตโยต้ารั่วไหลเป็นเวลากว่าเจ็ดปี

    หลังจากเหตุการณ์ทั้งสองนี้ โตโยต้าระบุว่าได้ใช้ระบบอัตโนมัติเพื่อตรวจสอบการตั้งค่าคลาวด์และการตั้งค่าฐานข้อมูลในทุกสภาพแวดล้อมเพื่อป้องกันการรั่วไหลในอนาคต

นอกจากนี้ บริษัทย่อยด้านการขายของโตโยต้าและเล็กซัสหลายแห่งยังถูกโจมตีระบบในปี 2019 เมื่อผู้โจมตีขโมยและเผยแพร่สิ่งที่บริษัทอธิบาย ณ เวลานั้นว่ามี "ข้อมูลลูกค้ามากถึง 3.1 ล้านรายการ"

Ref:bleepingcomputer

Meta ลบบัญชี Instagram ของเครือข่ายขนาดใหญ่ที่ใช้ในการขู่กรรโชกทางเพศกว่า 63,000 บัญชี

    Meta ได้ทำการลบ Account ผู้ใช้งานกว่า 63,000 Account จากไนจีเรียที่พบว่ามีส่วนเกี่ยวข้องกับการขู่กรรโชกทางเพศ โดยรวมไปถึงความเกี่ยวข้องกับAccountผู้ประสานงานกว่า 2,500 Account ที่เชื่อมโยงไปยัง 20 บุคคลซึ่งส่วนใหญ่เป็นชายวัยกลางคนในสหรัฐฯ

    โดย Instagram ระบุว่า Account ดังกล่าวมีส่วนเกี่ยวข้องกับองค์กรของกลุ่มผู้ก่ออาชญากรรมทางไซเบอร์ ชื่อ ‘Yahoo Boys’ ซึ่งได้ดำเนินการขยายฐานปฏิบัติการเมื่อไม่นานมานี้ นอกเหนือจากการกวาดล้าง Account ผู้ใช้งาน Instagram ทาง Meta ได้ลบ Account ผู้ใช้งาน Facebook กว่า 1,300 Account, Page Facebook กว่า 200 pages และกลุ่ม Facebook กว่า 5,700 กลุ่มที่มีฐานอยู่ในประเทศไนจีเรีย ซึ่งถูกใช้เพื่อดำเนินการปฏิบัติการการหลอกลวงในรูปแบบต่าง ๆ

   ทาง Meta ยังมีการใช้มาตรการในการป้องกันแบบอัตโนมัติหากทางมิจฉาชีพพยายามสร้าง Account ผู้ใช้งานใหม่บนแพลตฟอร์ม Social media หลังจากถูกลบ Account ไปแล้ว

    กลุ่มผู้ไม่ประสงค์ดีที่หลอกลวงเหยื่อเพื่อขู่กรรโชกทางเพศคืออีกรูปแบบหนึ่งของการก่ออาชญากรรมทางไซเบอร์ โดยทางมิจฉาชีพจะบีบบังคับให้เหยื่อส่งภาพ หรือวิดิโอเปลือยเพื่อนำมาข่มขู่ว่าจะเปิดเผยต่อสาธารณะหากไม่จ่ายค่าไถ่ หรือส่งภาพ หรือวิดิโอเพิ่มเติม

    กลุ่มผู้ไม่ประสงค์ดีเหล่านี้ จะดำเนินการโดยอาศัยการแอบอ้างตัวตนที่ปลอมแปลงขึ้นมา โดยจะพยายามเข้าถึงถึงเหยื่อในเชิงชู้สาวเพื่อสร้างความสัมพันธ์ และสร้างความเชื่อใจ โดยหลังจากนั้นมิจฉาชีพจะพยายามโน้มน้าวให้เหยื่อส่งรูปภาพ หรือคลิปวิดิโอลับ ซึ่งหากเหยื่อหลงเชื่อส่งไป ทางมิจฉาชีพจะนำรูป หรือคลิปที่ได้มาข่มขู่ว่าจะเผยแพร่ข้อมูลดังกล่าวกับเพื่อนของเหยื่อ ครอบครัวของเหยื่อ หรือแม้กระทั่งสาธารณะถ้าหากเหยื่อไม่จ่ายเงิน

    กลุ่มผู้ไม่ประสงค์ดีที่หลอกลวงเหยื่อเพื่อขู่กรรโชกทางเพศสามารถสร้างความเสียหายอย่างร้ายแรง และมีผลระยะยาวต่อเหยื่อ ดังนั้นแพลตฟอร์ม Social media ที่ถูกใช้เป็นเครื่องมือของการก่ออาชญากรรมนี้ จึงต้องทำงานอย่างหนักในการระบุตัวตนของมิจฉาชีพ และลบAccountดังกล่าว

Meta ระบุว่า ความสำเร็จครั้งนี้ดีขึ้นกว่าเดิมจากการเพิ่มการสืบสวนสอบสวนโดยใช้บุคคลจริง พร้อมกับการใช้งานข้อมูลสัญญาณเทคนิคใหม่ซึ่งสามารถระบุการกระทำที่ต้องสงสัยได้ดียิ่งขึ้น

ระบบป้องกันของ Meta และมาตรการต่อต้านการขู่กรรโชก :

• ป้องกันภาพเปลือย(เบลออัตโนมัติ) ในการสื่อสารผ่านกล่องข้อความ ซึ่งรวมถึงแชทที่มีการเข้ารหัสจากต้นทางถึงปลายทางด้วย
• เพิ่มความเข้มงวดในการใช้งานแชทกับผู้ใช้งานที่ยังไม่บรรลุนิติภาวะ โดยจะบล็อครายชื่อผู้ติดต่อที่ไม่ต้องการ และดำเนินการแจ้งเตือนเพื่อป้องกันการหลอกลวงที่อาจเกิดขึ้น
• ซ่อนโปรไฟล์ผู้ใช้งานที่ยังไม่บรรลุนิติภาวะจากมิจฉาชีพที่เข้าข่าย หรือซ่อนปุ่ม “ข้อความ”
• ข้อความป๊อปอัปถึงผู้ใช้งานที่มีปฏิสัมพันธ์กับมิจฉาชีพ ซึ่งจะแสดงข้อความให้พวกเขาศึกษาข้อมูลเพิ่มเติม เช่น Stop Sextortion Hub portals
• เปิดเผยข้อมูลAccountที่เกี่ยวข้องกับขบวนการขู่การโชกกับบริษัทเทคโนโลยีอื่น ๆ ผ่านช่องทาง Lantern เพื่อขัดขวางปฏิบัติการต่าง ๆ บนแพลตฟอร์มหลักทั้งหมด

    FBI ได้รายงานเมื่อไม่นานมานี้ว่าการก่ออาชญากรรมในรูปแบบนี้ได้มุ่งเป้าไปที่ชายหนุ่มหลายคนซึ่งพบว่ามีเหยื่อหลายรายหลงเชื่อจำนวนมาก โดยในบางเคสได้ส่งผลให้เหยื่อทำร้ายตัวเอง หรือกระทั่งฆ่าตัวตาย

วิธีการป้องกันหรือเมื่อถูกกรรโชก

    ผู้เสียหายจากการขู่กรรโชกทางเพศ ควรรายงานต่อเจ้าหน้าที่รักษากฏหมายโดยทันที รวมถึงสามารถปรึกษา หรือหาข้อมูลเพิ่มเติมที่เกี่ยวข้องกับการขู่กรรโชกทางเพศ และวิธีการป้องกันจากทาง webpage ได้

Ref: bleepingcomputer

พบ Linux Ransomware ตัวใหม่ใช้ชื่อว่า "PLAY"

    กลุ่ม Play Ransomware เป็นกลุ่ม Ransomware ใหม่ที่ถูกกล่าวถึงและมีการใช้ Linux Locker ที่เฉพาะเพื่อเข้ารหัสเครื่อง VMware ESXi

    Trend Micro ได้ออกมาเปิดเผยว่า ได้มีการค้นพบ Ransomware รูปแบบใหม่ และยังมีการใช้ Locker ที่ออกแบบมาเพื่อใช้โจมตีบน VMware ESXi โดยที่จะตรวจสอบก่อนการโจมตี และยังสามารถหลบเลี่ยงการตรวจสอบความปลอดภัยของ Linux ได้อีกด้วย และยังเสริมด้วยอีกว่าในการพัฒนาขีดความสามารถของ Ransomware Linux ในครั้งนี้

    ชี้ให้เห็นว่าในอนาคตอาจจะมีขยายการโจมตีให้ครอบคลุม Linux มากขึ้นไปอีกและอาจจะส่งผลให้กับผู้ใช้งานเพิ่มมากขึ้นไปอีก การปิดเครื่อง VMware ESXi จะส่งผลกระทบให้กับองค์กรอย่างประเมินค่าไม่ได้

    ในการตรวจสอบครั้งนี้ทาง Trend Micro ยังตรวจพบว่ากลุ่มนี้ยังใช้บริการ ย่อ URL ที่ถูกตั้งชื่อว่า Prolific Puma อีกด้วยเมื่อ Play Ransomware ถูกติดตั้งมันจะเริ่มทำการสแกนเครื่อง VM และเมื่อเงื่อนไขของ VM เข้ากับ Ransomware จะทำการสั่ง Lock และ ปิดเครื่องและทำการเปลี่ยนนามสกุลของไฟล์เป็น .PLAY ที่ส่วนท้ายของทุก ๆ ไฟล์ เพื่อทำการปืดเครื่อง VMware ESXi Script ที่ใช้รันจะใช้โค้ดต่อไปนี้

/bin/sh -c "for vmid in $(vim-cmd vmsvc/getallvms | grep -v Vmid | awk '{print $1}'); do vim-cmd vmsvc/power.off $vmid; done"

    นอกจากนี้ Play Ransomware ถ้าเป้าหมายถูกโจมตีสำเร็จจะมีการทิ้งบันทึกเรียกค่าไถ่ใว้ใน Directory Root ของ VM ซึ่งจะปรากฏในพอล์ทัลการเข้าสู่ระบบของ Client ESXi

    เมื่อทำการตรวจสอบเพิ่มเติม พบว่า Play Ransomware ถูกใช้โจมตีมาตั้งแต่ มิถุนายน 2022 จนเมื่อเดือนธันวาคม ในปีเดียวกัน Play Ransomeware ได้โจมตีไปทั่วโลกประมาณ 300 แห่งจนถึงเดือนตุลาคม 2023
หน่วยงานความมั่นคงปลอดภัย CISA ออกประกาศและแจ้งเตือนไปยังผู้ดูแลระบบและผู้ใช้งานถึงวิธีการป้องกัน สามารถทำได้ดังนี้

• เปิดโหมดการยืนยันแบบหลายปัจจัยในระบบที่สามารถทำได้ทันที
• สำรองข้อมูลแบบ Offline 
• Update Software ให้เป็นปัจจุบัน

Ref: bleepingcomputer

เครือข่ายองค์กร TeamViewer ถูกโจมตีจากกลุ่มผู้ไม่ประสงค์ดี

    TeamViewer บริษัทซอฟต์แวร์สำหรับ Remote Access ออกมายืนยันว่าระบบของบริษัทได้ถูกโจมตีทางไซเบอร์เมื่อวันที่ 26 มิถุนายน ที่ผ่านมา โดยบริษัทคาดว่าผู้โจมตีเป็นกลุ่ม APT

    ทาง Team Viewer ได้เผยว่า ได้ใช้มาตรการ และขั้นตอนด้านความปลอดภัยทันที เริ่มจากการสอบสวนร่วมกับทีมผู้เชี่ยวชาญด้านความปลอดภัยทางไซเบอร์ที่มีชื่อเสียงระดับโลก และดำเนินการแก้ไขที่จำเป็น

    ระบบไอทีภายในของ TeamViewer ถูกแยกออกจากระบบหลักโดยสิ้นเชิง ยังไม่มีหลักฐานที่แสดงให้เห็นว่าระบบหลัก หรือข้อมูลของลูกค้าได้รับผลกระทบ แต่การตรวจสอบยังคงมีการดำเนินต่อไป และเป้าหมายหลักของบริษัทยังคงเป็นการรักษาความสมบูรณ์ของระบบ

    TeamViewer เป็นซอฟต์แวร์สำหรับ Remote Access ที่ได้รับความนิยมอย่างมาก ซึ่งช่วยให้ผู้ใช้สามารถควบคุมคอมพิวเตอร์จากระยะไกล และใช้งานได้ราวกับว่านั่งอยู่หน้าอุปกรณ์ บริษัทระบุว่าปัจจุบันมีลูกค้าใช้งานมากกว่า 640,000 รายทั่วโลก และมีการติดตั้งบนอุปกรณ์มากกว่า 2.5 พันล้านเครื่องนับตั้งแต่บริษัทเปิดตัว

   แม้ว่า TeamViewer จะระบุว่าไม่มีหลักฐานว่าระบบหลัก หรือข้อมูลของลูกค้าถูกละเมิด แต่การใช้งานอย่างแพร่หลายทั้งในระดับผู้บริโภค และระดับองค์กร ทำให้การถูกโจมตีของ TeamViewer เป็นเรื่องที่น่ากังวลอย่างมาก เนื่องจากอาจจะทำให้ผู้โจมตีสามารถเข้าถึงเครือข่ายภายในได้อย่างเต็มรูปแบบในปี 2019 TeamViewer เคยยืนยันเหตุการณ์การถูกโจมตีในปี 2016 ที่เชื่อมโยงกับกลุ่มแฮ็กเกอร์ชาวจีน เนื่องจากการใช้แบ็กดอร์ Winnti โดยบริษัทระบุว่าไม่ได้เปิดเผยการถูกโจมตีในช่วงเวลานั้น เนื่องจากไม่มีการขโมยข้อมูลจากการโจมตี

กลุ่ม APT ที่ถูกกล่าวหาว่าอยู่เบื้องหลังการโจมตี

    ข่าวการโจมตีถูกเปิดเผยครั้งแรกบน Mastodon โดย Jeffrey ผู้เชี่ยวชาญด้านความปลอดภัยด้านไอที ซึ่งแชร์ส่วนหนึ่งของการแจ้งเตือนบน Dutch Digital Trust Center ซึ่งเป็นเว็บพอร์ทัลที่ใช้โดยรัฐบาล ผู้เชี่ยวชาญด้านความปลอดภัย และบริษัทในเนเธอร์แลนด์เพื่อแบ่งปันข้อมูลเกี่ยวกับภัยคุกคามด้านความปลอดภัยทางไซเบอร์

 การแจ้งเตือนจากบริษัทด้านความปลอดภัยทางไซเบอร์ NCC Group ระบุว่า ทีม Global Threat Intelligence ของ NCC Group ได้รับทราบถึงการถูกโจมตีของ TeamViewer โดยกลุ่ม APT เนื่องจากการใช้งานซอฟต์แวร์นี้อย่างแพร่หลาย การแจ้งเตือนต่อไปนี้จึงถูกส่งต่อเพื่อความปลอดภัยของลูกค้า

    การแจ้งเตือนจาก Health-ISAC ซึ่งเป็นชุมชนสำหรับผู้เชี่ยวชาญด้านการดูแลสุขภาพเพื่อแบ่งปันข้อมูลด้านภัยคุกคาม ได้แจ้งเตือนในวันนี้ว่าบริการของ TeamViewer ถูกโจมตีจากกลุ่มแฮ็กเกอร์ชาวรัสเซีย APT29 ซึ่งรู้จักกันในชื่อ Cozy Bear, NOBELIUM และ Midnight Blizzard

    แม้ว่าการแจ้งเตือนจากทั้งสองบริษัทจะเป็นเวลาเดียวกับที่ TeamViewer เปิดเผยเหตุการณ์ แต่ยังไม่ชัดเจนว่ามีความเกี่ยวข้องกันหรือไม่ เนื่องจากการแจ้งเตือนของ TeamViewer และ NCC กล่าวถึงการโจมตีระบบขององค์กร ในขณะที่การแจ้งเตือนของ Health-ISAC เน้นไปที่การโจมตีการเชื่อมต่อของ TeamViewer มากกว่า

อัปเดต: ปัจจุบัน TeamViewer ระบุว่าการโจมตีดังกล่าวมาจากกลุ่มแฮ็กเกอร์ที่ได้รับการสนับสนุนจากรัฐบาลรัสเซียที่รู้จักกันในชื่อ Midnight Blizzard

REF : bleepingcomputer

Apple เผยผลการป้องกันการโกงบนบริการ App Store ถึงมูลค่า 7 พันล้านดอลลาร์สหรัฐในระยะ 4 ปีที่ผ่านมา

    Apple ระบุในการวิเคราะห์การป้องกันการฉ้อโกงประจำปีล่าสุดว่า ด้วยเทคโนโลยีในการต่อต้านการฉ้อโกงของ Apple ได้ปิดกั้นการทำธุรกรรมที่อาจเป็นการฉ้อโกงมูลค่ามากกว่า 7 พันล้านดอลลาร์สหรัฐ

หรือประมาณ 2 แสนล้านบาท ในระยะเวลาสี่ปีที่ผ่านมา

    ตั้งแต่ปี 2020 ถึง 2023 บริษัทตรวจพบบัตรเครดิตที่ถูกขโมยมาใช้มากกว่า 14 ล้านใบ และบล็อกไม่ให้ทำธุรกรรมบนแพลตฟอร์มพร้อมกับบัญชี 3.3 ล้าน accounts สถิติในปีที่แล้วแสดงให้เห็นว่า Apple หยุดธุรกรรมที่น่าสงสัยมูลค่า 1.8 พันล้านดอลลาร์ ซึ่งน้อยกว่าในปี 2022 ที่บล็อกธุรกรรมที่น่าสงสัยไป 2 พันล้านดอลลาร์เล็กน้อย

    รายงานยังระบุว่า ตลอดปี 2023 Apple ยังป้องกันการใช้งานบัตรเครดิตที่ถูกขโมยมากว่า 3.5 ล้านใบสำหรับการซื้อที่ App Store และแบน accounts มากกว่า 1.1 ล้าน accounts จากการทำธุรกรรมอีกครั้ง

    ในแง่ของความปลอดภัย และการบังคับใช้นโยบายความเป็นส่วนตัว เมื่อปีที่ผ่านมา Apple ปฏิเสธที่แอปที่ถูกส่งเข้ามามากกว่า 1.7 ล้านรายการที่ไม่เป็นไปตามมาตรฐานของ App Store ในด้านความเป็นส่วนตัว ความปลอดภัย และเนื้อหา

• ในจำนวนนี้ 248,000 รายการถูกปฏิเสธเนื่องจากเป็นสแปม ลอกเลียนแบบ หรือทำให้ผู้ใช้งานเข้าใจผิด
• 38,000 รายการถูกปฏิเสธเนื่องจากมีคุณลักษณะที่ซ่อนอยู่ หรือไม่มีเอกสารอ้างอิง
• 375,000 รายการถูกปฏิเสธเนื่องจากการละเมิดความเป็นส่วนตัวต่าง ๆ
• 47,000 รายการถูกปฏิเสธเนื่องจากเป็นแอปที่ผิดกฎหมายละเมิดลิขสิทธิ์
• 40,000 รายการถูกถอดออก หรือปฏิเสธเพราะใช้กลยุทธ์ "bait-and-switch"
• และ 98,000 รายการคาดว่า "อาจฉ้อโกง" และถูกบล็อกไว้ก่อน

    ทีมตรวจสอบแอปซึ่งประกอบด้วยผู้เชี่ยวชาญ 500 คน ตรวจสอบแอปที่ส่งเข้ามา 6.9 ล้านรายการในปี 2023 และพบการละเมิดที่นำไปสู่การปฏิเสธคำขอ 1.7 ล้านคำขอ นอกจากนี้ ปีที่แล้ว Apple ได้แบน accounts ไป 118,000 accounts และ turned down accounts ไป 91,000 accounts

    ในส่วนของ accounts ของลูกค้า พบว่ามีการฉ้อโกง 153 ล้าน accounts หรือมีส่วนร่วมในกิจกรรมที่ผิดกฎหมาย 374 ล้าน accounts ซึ่งนำไปสู่การบล็อก หรือปิดการใช้งาน

    สุดท้ายนี้ จากคะแนน และรีวิวแอป 1.1 พันล้านรายการที่ผู้ใช้ส่งไปยัง App Store ในปี 2023 มี 152 ล้านรายการที่ถูกพิจารณาว่าเป็นแอปปลอม/ฉ้อโกง และถูกลบออก

    Apple แสดงความมุ่งมั่นที่จะยกระดับความความปลอดภัย และความสมบูรณ์ของ App Store การลงทุนด้านความปลอดภัย ขยายโครงการต่อต้านการฉ้อโกง และเสริมความแข็งแกร่งให้กับเทคโนโลยีการชำระเงินที่ปลอดภัย เช่น Apple Pay และ StoreKit

อย่างไรก็ตาม ผู้ใช้ยังงานสามารถดำเนินการเพื่อปกป้องตนเองจากการฉ้อโกงได้ดังนี้:

• ดาวน์โหลดเฉพาะแอปจาก App Store อย่างเป็นทางการเท่านั้น หลีกเลี่ยงการใช้งาน third-party แอป
• อ่าน reviews ของผู้ใช้งานอื่น ๆ อย่างละเอียด และมองหาสัญญาณของการฉ้อโกง เช่น การให้คะแนนที่สูงอย่างน่าสงสัย พร้อม reviews ที่มีรายละเอียดเพียงเล็กน้อย
• ใช้ซอฟต์แวร์จากนักพัฒนาที่มีชื่อเสียงซึ่งมีผลงานจากโครงการที่น่าเชื่อถือเท่านั้น
• สังเกตการขอ permissions ที่แอปร้องขอ และปฏิเสธการเข้าถึงที่ไม่จำเป็น
• อัปเดตระบบปฏิบัติการ และแอปของอุปกรณ์ให้เป็นเวอร์ชันล่าสุดอยู่เสมอ
• ลบแอปที่ไม่ได้ใช้งาน และเพิกถอน permissions สำหรับแอปที่ไม่ได้ใช้

    แม้จะมีนโยบายที่เข้มงวดสำหรับแอปพลิเคชันที่จะเข้าสู่ App Store แต่ผู้โจมตีบางรายยังคงสามารถหลีกเลี่ยงกลไกการตรวจสอบ และส่งแอปที่เป็นอันตรายเข้าสู่ App Store ได้ ในปีนี้ มีกรณีแอปปลอมที่มีชื่อเสียงโด่งดังสองกรณีถูกเพิ่มเข้าไปใน App Store ของ Apple โดยกรณีหนึ่งเป็นการเลียนแบบเครื่องมือจัดการรหัสผ่าน LastPass และอีกกรณีหนึ่งแอบอ้างเป็นกระเป๋าเงินดิจิทัลของ Leather

Ref : bleepingcomputer

AnyDesk ถูกผู้ไม่ประสงค์ดีโจมตีเข้าไปยังเซริฟ์เวอร์ที่ใช้งาน และทำการรีเซ็ตรหัสผ่านของระบบเซริฟ์เวอร์

ทาง AnyDesk ออกมายืนยันถึงการถูกโจมตีจากผู้ประสงค์ดี ซึ่งทำให้ผู้ไม่ประสงค์ดีเข้าถึงระบบสำคัญของบริษัทได้

และในระหว่างการโจมตีนี้ผู้ไม่ประสงค์ดียังสามารถขโมย source code และ private code ออกไปด้วย

ด้วย AnyDesk นั้นมีลูกค้าถึง 170,000 รายรวมถึง 7-eleven, Comcast, Samsung, MIT, NVIDIA, SIEMENS และองค์กรสหประชาชาติ

จากการที่ถูกโจมตีด้วยผู้ไม่ประสงค์ดีในครั้งแรกทาง CrowdStrike ได้ออกมาทำการตรวจสอบการโจมตีในครั้งนี้แต่ไม่ได้ทำการแจ้งกับผู้ใช้งาน

ถึงรายละเอียดในการโจมตี แต่ทาง AnyDesk ยืนยันว่าแรนซั่มแวร์ไม่เกี่ยวข้องแต่ไม่ได้เปิดเผยข้อมูลมากเกินไปเกี่ยวกับการโจมตี

นอกเหนือจากการบอกว่าเซิร์ฟเวอร์ของพวกเขาถูกละเมิด โดยคำแนะนำมุ่งเน้นไปที่วิธีที่พวกเขาตอบสนองต่อเหตุการณ์เป็นหลัก

และได้ ทำการถอน security-related certificates และทำการเปลี่ยใบใหม่ทันที พวกเขายังให้ความมั่นใจแก่ลูกค้าว่า AnyDesk ปลอดภัยในการใช้งาน และไม่มีหลักฐานว่าอุปกรณ์ของผู้ใช้ปลายทางได้รับผลกระทบจากเหตุการณ์ดังกล่าว anydesk

ทาง AnyDesk แนะนำว่าให้ผู้ใช้งานทุกท่านเปลี่ยนไปใช้ซอฟต์แวร์เวอร์ชันใหม่ เนื่องจากใบรับรองการลงนามรหัสเก่าจะถูกถอนในไม่ช้า

และให้ผู้ใช้งาน เปลี่ยนรหัสผ่านของตน นอกจากนี้ หากพวกเขาใช้รหัสผ่าน AnyDesk ที่ไซต์อื่น ก็ควรเปลี่ยนรหัสผ่านที่นั่นเช่นกัน

Microsoft ออกมาอธิบายกรณี Exchange Online account ถูกโจมตี

    Microsoft ออกมายืนยันว่ากลุ่มผู้ไม่ประสงค์ดีซึ่งเป็นหน่วยข่าวกรองต่างประเทศของรัสเซีย ได้มีการเจาะระบบ เข้าสู่บัญชีอีเมลของผู้บริหารของ Microsoft ในเดือนพฤศจิกายน 2023 รวมถึงการโจมตีองค์กรอื่น ๆ ซึ่งเป็นส่วนหนึ่งของรูปแบบการโจมตีที่กำหนดเป้าหมายไปที่ Exchange Online

    Midnight Blizzard (Nobelium หรือ APT29) เป็นกลุ่มที่ได้รับการสนับสนุนจากรัฐบาล ซึ่งเชื่อมโยงกับหน่วยข่าวกรองต่างประเทศของรัสเซีย (SVR) โดยมีเป้าหมายหลักคือองค์กรภาครัฐ องค์กรพัฒนาเอกชน นักพัฒนาซอฟต์แวร์ และผู้ให้บริการด้านไอทีในสหรัฐอเมริกา และยุโรป

    โดยในวันที่ 12 มกราคม 2024 Microsoft พบว่ากลุ่ม APT29 ได้เจาะระบบของ Microsoft ในเดือนพฤศจิกายน 2023 และขโมยข้อมูลอีเมลจากกลุ่มผู้บริหาร ทีมความปลอดภัยทางไซเบอร์ และทีมกฎหมาย ซึ่งอีเมลเหล่านี้บางฉบับมีข้อมูลเกี่ยวกับกลุ่ม ผู้ไม่ประสงค์ดี ต่าง ๆ ทำให้ ผู้ไม่ประสงค์ดี ได้ข้อมูลในสิ่งที่ Microsoft รู้เกี่ยวกับกลุ่ม ผู้ไม่ประสงค์ดี ต่าง ๆ

    Microsoft ระบว่า กลุ่ม Nobelium หรือ APT29 เริ่มการโจมตีโดยสร้าง residential proxy และโจมตีแบบ brute-force attack ไปยังเป้าหมายในรูปแบบ "password spraying" เพื่อกำหนดเป้าหมายไปยังบัญชีจำนวนหนึ่ง โดยหนึ่งในบัญชีเหล่านั้นเป็น "บัญชีทดสอบแบบที่ไม่ใช่การใช้งานจริง หรือ non-production test tenant account" เป้าหมายของการโจมตีดังกล่าวคือการหลบเลี่ยงการตรวจจับ และหลีกเลี่ยงการบล็อกบัญชีที่มีการพยายามล็อคอินผิดจำนวนมาก

    ทั้งนี้ Microsoft ไม่สามารถยืนยันได้ว่าบัญชีทดสอบมีการเปิด MFA ไว้หรือไม่ และสามารถเข้าถึงระบบหลังจากนั้นได้อย่างไร แต่ระบุว่าบัญชีทดสอบดังกล่าว สามารถเข้าถึงแอปพลิเคชัน OAuth พร้อมการเข้าถึงสภาพแวดล้อมองค์กรในระดับที่สูงขึ้น การเข้าถึงระดับสูงนี้ทำให้ ผู้ไม่ประสงค์ดี สามารถสร้างแอปพลิเคชัน OAuth เพิ่มเติมเพื่อเข้าถึง mailboxes ขององค์กรอื่น ๆ ได้

    โดย Microsoft ตรวจพบหลักฐานการโจมตีได้จาก log ของ Exchange Web Services (EWS) รวมกับกลยุทธ์ และขั้นตอนที่ทำให้สามารถทราบถึงกลุ่ม ผู้ไม่ประสงค์ดี ที่ใช้วิธีการโจมตีคล้ายกัน นั้นคือกลุ่ม APT29 ซึ่งกำหนดเป้าหมายไปที่องค์กรอื่น ซึ่งได้ข้อมูลมาจาก Microsoft Threat Intelligence

    นอกจากนี้ทาง Hewlett Packard Enterprise (HPE) ยังได้รายงานการค้นพบกลุ่ม APT29 สามารถเข้าถึงระบบอีเมล Microsoft Office 365 และได้ทำการขโมยข้อมูลออกไปตั้งแต่เดือนพฤษภาคม 2023 แต่ทาง HPE ไม่ได้เปิดเผยว่าใครเป็นผู้พบการโจมตีดังกล่าว ทำให้ทาง BleepingComputer คาดการว่า HPE อาจเป็นอีกหนึ่งองค์กรที่ได้รับผลกระทบจากรูปแบบการโจมตีดังกล่าวเช่นกัน

    รวมถึงในเดือนกันยายน 2023 มีการเปิดเผยว่ากลุ่ม Storm-0558 ของจีน ได้ขโมยอีเมล 60,000 ฉบับ จากบัญชีกระทรวงการต่างประเทศสหรัฐฯ หลังจากโจมตี Exchange email server บน cloud ของ Microsoft

คำแนะนำการป้องกัน

Microsoft ได้ให้คำแนะนำวิธีการตรวจจับ และป้องกันการโจมตีที่มาจากกลุ่ม APT29 โดยมุ่งเน้นไปที่การใช้การแจ้งเตือนจาก XDR และ SIEM ในการตรวจจับการโจมตี

• ตรวจจับกิจกรรมที่เพิ่มขึ้นในแอปคลาวด์ที่เข้าถึงใน cloud app ที่อาจเป็นการขโมยข้อมูลออกไป
• พบการ Spike ใน API call หลังการอัปเดตข้อมูลรับรองในแอปที่ไม่ใช่ Microsoft OAuth ซึ่งบ่งบอกถึงการพยายามเข้าถึงโดยไม่ได้รับอนุญาต
• พบการเพิ่มการใช้งาน Exchange Web Services API ในแอปที่ไม่ใช่ Microsoft OAuth ซึ่งอาจบ่งบอกถึงการขโมยข้อมูล
• พบ OAuth app ที่ไม่ใช่ของ Microsoft ซึ่งมีข้อมูลที่มีความเสี่ยง ซึ่งอาจเกี่ยวข้องกับการละเมิดข้อมูล
• พบ OAuth app ที่สร้างโดยผู้ใช้จากเซสชันที่มีความเสี่ยงสูง ซึ่งอาจเกี่ยวข้องกับการโจมตีจากบัญชีที่ถูกขโมย

Ref : bleepingcomputer

Firewall SonicWall มากกว่า 178,000 เครื่อง มีโอกาศเสี่ยงต่อการถูกโจมตีในรูปแบบ DoS และ RCE

    ผู้เชี่ยวชาญด้านความปลอดภัยพบ Firewall ของ SonicWall (Next-Generation Firewalls) มากกว่า 178,000 เครื่อง ที่เปิดให้เข้าถึง management interface ได้จากอินเทอร์เน็ต ซึ่งทำให้มีความเสี่ยงที่จะถูกโจมตีในรูปแบบ Denial-of-Service (DoS) และการเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกล (Remote Code Execution)

    อุปกรณ์เหล่านี้ได้รับผลกระทบจากช่องโหว่ด้านความปลอดภัยในรูปแบบ Denial-of-Service (DoS) สองรายการ ได้แก่

• ช่องโหว่ CVE-2022-22274 
• ช่องโหว่ CVE-2023-0656 

    ซึ่งช่องโหว่แรกมีความเสี่ยงที่ทำให้สามารถโจมตีด้วยการเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกลได้ด้วย Jon Williams วิศวกรด้านความปลอดภัยจาก Bishop Fox เปิดเผยว่า"จากการใช้แหล่งข้อมูลของ BinaryEdge ผู้เชี่ยวชาญได้ทำการสแกนไฟร์วอลล์ SonicWall ที่เปิดให้เข้าถึง management interface ได้จากอินเทอร์เน็ต พบว่า 76% (178,637 จากทั้งหมด 233,984) มีความเสี่ยงไม่ช่องโหว่ใดก็ช่องโหว่หนึ่ง หรือทั้งสองช่องโหว่"

    Bishop Fox ระบุเพิ่มเติมว่า "ช่องโหว่ทั้งสองรายการจะมีลักษณะที่คล้ายกัน เนื่องจากมีการนำรูปแบบโค้ดที่มีช่องโหว่เดียวกันกลับมาใช้ใหม่ ซึ่งทำให้ผู้ไม่หวังดีสามารถนำมาใช้ในการโจมตี HTTP URI paths ที่แตกต่างกันได้"และยังเปิดเผยอีกว่า"จากการตรวจสอบในเบื้องต้นของเราตรงกับคำยืนยันของ SonicWall ว่ายังไม่มีการนำช่องโหว่มาใช้ในการโจมตี แต่เมื่อเราสามารถระบุโค้ดที่มีช่องโหว่ได้ ก็พบว่าเป็นปัญหาเดียวกันกับช่องโหว่ CVE-2023-0656 ที่ถูกเปิดเผยในอีกหนึ่งปีถัดมา"

    "เราพบว่าช่องโหว่ CVE-2022-22274 เกิดจากรูปแบบโค้ดที่มีช่องโหว่เดียวกันในตำแหน่งอื่น และการโจมตีโดยใช้ประโยชน์จากช่องโหว่นี้สามารถใช้งานได้กับสาม URI paths"

    แม้ว่าผู้ไม่ประสงค์ดีจะไม่สามารถรันโค้ดบนอุปกรณ์ของเหยื่อได้ แต่ผู้ไม่ประสงค์ดีสามารถใช้ช่องโหว่เพื่อบังคับให้อุปกรณ์เข้าสู่โหมด Maintenance ซึ่งจะต้องให้ผู้ดูแลระบบเข้ามาทำการแก้ไขเพื่อกู้คืนฟังก์ชันการทำงานมาตรฐานกลับมา

    ถึงแม้ว่า ยังไม่มีหลักฐานเกี่ยวกับการโจมตีในรูปแบบของ RCE ว่าสามารถโจมตีได้จริงหรือไม่ แต่ผู้ไม่หวังดีสามารถใช้ช่องโหว่เหล่านี้เพื่อปิดใช้งาน Firewall และการเข้าถึง VPN ที่ให้บริการกับเครือข่ายขององค์กรได้

    ปัจจุบันมี Firewall SonicWall มากกว่า 500,000 เครื่องที่เปิดให้เข้าถึงได้จากอินเทอร์เน็ต โดยมีมากกว่า 328,000 เครื่องในสหรัฐอเมริกา

    Product Security Incident Response Team (PSIRT) ของ SonicWall เปิดเผยว่าพวกเขาไม่มีข้อมูลเกี่ยวกับการโจมตีโดยใช้ประโยชน์จากช่องโหว่เหล่านี้ แต่พบว่ามี Proof-of-Concept (PoC) อย่างน้อยหนึ่งรายการที่ถูกเผยแพร่อยู่ในอินเทอร์เน็ต คือช่องโหว่ CVE-2022-22274

    Williams เปิดเผยว่า"SSD Labs ได้เผยแพร่บทความทางเทคนิคเกี่ยวกับช่องโหว่ พร้อมกับ POC และระบุเส้นทาง URI ที่สามารถทำให้เกิดการโจมตีได้"

คำแนะนำ

    ผู้ดูแลระบบควรตรวจสอบให้แน่ใจว่า management interface ของอุปกรณ์ SonicWall (NGFW) ไม่ได้เปิดให้เข้าถึงได้จากอินเทอร์เน็ต และควรอัปเดต firmware ให้เป็นเวอร์ชันล่าสุดโดยเร็วที่สุด

Ref : bleepingcomputer

Trap Stealer HAAS ใหม่สามารถขโมยข้อมูลในเวลาเพียง 6 วินาที

Trap Stealer เป็นโอเพนซอร์สที่ใช้ Python ในการดึงข้อมูลที่สำคัญจำนวนมากจากระบบที่ถูกโจมตีได้ภายในเวลาเพียง 6 วินาที โดยผู้ไม่ประสงค์ดีจะพยายามหลอกลวงเป้าหมายผ่านเครื่องมือสร้างบัตร Gift card, Webhook Spamming และ Fake Webhook Deletion ซึ่งกระบวนการทั้งหมดถูกออกแบบมาเพื่อดึงดูดความสนใจให้ผู้ใช้งานดาวน์โหลดเครื่องมือมาใช้งาน

โดยผู้ไม่ประสงค์ดีสามารถขโมยข้อมูลที่มีความสำคัญได้ เช่น ข้อมูลรายละเอียดของระบบ, ข้อมูลผู้ใช้จากเว็บเบราวเซอร์ต่าง ๆ, Discord tokens, ไฟล์จากแอปพลิเคชัน WhatsApp(Desktop) และอื่น ๆ และใช้ Discord webhook เป็นช่องทางในการส่งข้อมูล
ในวันที่ 25 ตุลาคม นักวิจัยจาก CRIL ได้พบ Trap Stealer โอเพนซอร์สตัวใหม่ผ่าน Virus Total และยังพบว่าผู้ไม่ประสงค์ดีมีความสามารถในการพัฒนาโปรแกรมมี code ต้นฉบับทั้งหมดบน GitHub ซึ่งโปรแกรมนี้สามารถใช้ขโมยข้อมูลของเป้าหมายได้ในเวลาเพียง 6 วินาทีเท่านั้น

ผู้พัฒนาโปรแกรมกำลังเพิ่มความสามารถของโปรแกรมตลอดเวลา โดยพบว่ามีการเพิ่มฟีเจอร์ใหม่ ๆ อย่างต่อเนื่อง

ข้อมูลที่ถูกเก็บรวบรวมจะถูกจัดรูปแบบ และส่งไปยัง Discord webhook ของผู้ไม่ประสงค์ดีในช่วงเวลาที่กำหนด

นอกจากนี้ ยังมีโมดูลสำหรับการบังคับให้ระบบล่มเมื่อส่งข้อมูลเสร็จสมบูรณ์อีกด้วย

Ref : cyble

LOOSE NEXUS กลุ่มไซเบอร์ในประเทศจีน หรือที่รู้จักกันในชื่อ APT41 มุ่งเป้าไปที่การโจมตีไปโรงงานไฟฟ้าในเอเชีย

    LOOSE NEXUS กลุ่มผู้ไม่ประสงค์ดีในประเทศจีน หรือที่รู้จักกันในชื่อ APT41 ที่มีการโจมตีด้วยมัลแวร์หรือมุ่งเน้นการโจมตีไปในเรื่องของการเงิน โดยปัจจุบันการโจมตีของกลุ่มนี้มีแนวโน้มที่จะมุ่งเป้าไปที่ โรงงานไฟฟ้า ในทวีปเอเชีย

    ทีม Threat Hunter ของ Symantec เปิดเผยว่ากลุ่มผู้ไม่ประสงค์ดีชาวจีนที่เชื่อมต่อกับ APT41 ซึ่ง Symantec เรียกกลุ่มนี้ว่า RedFly ได้ทำการโจมตีเครือข่ายคอมพิวเตอร์ของระบบส่งไฟฟ้าระดับชาติในแถบประเทศในเอเชีย ซึ่งยังไม่สามารถระบุชื่อประเทศที่เป็นเป้าหมายเกิดขึ้นในเดือนกุมภาพันธ์ของปีนี้และต่อเนื่องมาเป็นระยะเวลา 6 เดือนได้ โดยนักวิจัยจาก Mandiant ชี้ให้เห็นเบาะแสว่าเหตุการณ์ในครั้งนี้ แฮกเกอร์อาจเป็นกลุ่มเดียวกับที่เคยก่อเหตุก่อนหน้านี้โดยมุ่งเป้าไปที่ระบบสาธารณูปโภคด้านไฟฟ้าในอินเดีย การค้นพบของ Symantec เกิดขึ้นหลังจากคำเตือนจากหน่วยงาน Microsoft และหน่วยงานของสหรัฐอเมริกา รวมถึงหน่วยงานรักษาความปลอดภัยทางไซเบอร์และโครงสร้างพื้นฐาน (CISA) และหน่วยงานความมั่นคงแห่งชาติ (NSA) ว่ากลุ่มผู้ไม่ประสงค์ดีกลุ่มอื่นที่ได้รับการสนับสนุนจากรัฐจีน ซึ่งรู้จักกันในชื่อ Volt Typhoon ได้เจาะระบบสาธารณูปโภคด้านไฟฟ้าของสหรัฐฯ รวมถึง Guam ของสหรัฐอเมริกา ซึ่งอาจเป็นการเตรียมการสำหรับการโจมตีทางไซเบอร์ในกรณีที่เกิดข้อขัดแย้ง เช่น การเผชิญหน้าทางทหารในไต้หวัน

    หลักฐานบางอย่างบ่งชี้ว่าการโจมตีที่เน้นไปที่อินเดียในปี 2021 และการโจมตี โรงงานไฟฟ้าใหม่ที่ค้นพบโดย Symantec นั้นดำเนินการโดยผู้ไม่ประสงค์ดีกลุ่มเดียวกันซึ่งมีลิงก์ไปยังกลุ่มสายลับที่รัฐจีนสนับสนุนซึ่งรู้จักกันในชื่อ APT41 ซึ่งบางครั้งเรียกว่า Wicked Panda หรือ Barium, Symantec ตั้งข้อสังเกตว่าแฮกเกอร์ใช้มัลแวร์ตัวหนึ่งที่เรียกว่า ShadowPad ซึ่งถูกใช้งานโดยกลุ่มย่อย APT41 ในปี 2017 เพื่อติดตั้งคีย์ล็อกเกอร์ ซึ่งจะซ่อนอยู่ในระบบที่ติดไวรัสภายใต้ชื่อไฟล์ต่างๆ เช่น winlogon.exe และ hphelper.exe เพื่อแพร่เครื่องในการโจมตี เผยแพร่โดยบริษัทซอฟต์แวร์ NetSarang และในหลาย ๆ เหตุการณ์ที่เกิดขึ้นตั้งแต่นั้นมา ในปี 2020 สมาชิกที่ถูกกล่าวหา 5 คนของ APT41 ถูกฟ้องและระบุว่าทำงานให้กับกระทรวงความมั่นคงแห่งรัฐของจีนที่รู้จักกันในชื่อเฉิงตู 404 แต่แม้กระทั่งเมื่อปีที่แล้ว หน่วยสืบราชการลับของสหรัฐฯ ก็เตือนว่าแฮกเกอร์ภายใน APT41 ได้ขโมยเงินหลายล้านในสหรัฐจากกองทุนบรรเทาทุกข์ โควิด19 ซึ่งเป็นกรณีอาชญากรรมทางไซเบอร์ที่รัฐสนับสนุนซึ่งมุ่งเป้าไปที่รัฐบาลอื่น ซึ่งเกิดขึ้นไม่บ่อยนัก

    แม้ว่า Symantec จะไม่เชื่อมโยงกลุ่ม RedFly กับกลุ่มย่อยเฉพาะของ APT41 นักวิจัยจากบริษัทรักษาความปลอดภัยทางไซเบอร์ Mandiant ก็ชี้ให้เห็นว่า RedFly และแคมเปญแฮ็กโรงงานไฟฟ้าของอินเดียเมื่อหลายปีก่อนใช้โดเมนเดียวกันเป็นคำสั่ง และควบคุมเซิร์ฟเวอร์สำหรับมัลแวร์: Websencl.com นั่นแสดงให้เห็นว่ากลุ่ม RedFly อาจเชื่อมโยงกับเหตุการณ์ทั้งสองกรณีได้

Ref : wired

ช่องโหว่ระดับ Critical ใน GitHub ทำให้ Repositories มากกว่า 4,000 รายการถูกโจมตีด้วยวิธีการ Repojacking

    พบช่องโหว่ใหม่ใน GitHub อาจทำให้ repositories หลายพันรายการเสี่ยงต่อการถูกโจมตีด้วยวิธีการ Repojacking

    จากรายงานของ Elad Rapoport นักวิจัยด้านความปลอดภัยของ Checkmarx ที่เผยแพร่ผ่านกับ The Hacker News ระบุว่า ช่องโหว่นี้อาจทำให้ผู้ไม่ประสงค์ดีสามารถใช้ประโยชน์จาก race condition ในการดำเนินการสร้าง repository และเปลี่ยนชื่อผู้ใช้ของ GitHub

หากสามารถโจมตีช่องโหว่นี้ได้สำเร็จ จะส่งผลกระทบต่อชุมชน open-source โดยการ hijacking แพ็กเกจมากกว่า 4,000 รายการในภาษาต่าง ๆ เช่น Go, PHP และ Swift รวมถึง GitHub actions

ช่องโหว่นี้ได้รับการแก้ไขโดย Microsoft ไปแล้วในวันที่ 1 กันยายน 2023 หลังจากมีการเปิดเผยเมื่อวันที่ 1 มีนาคม 2023

    มาตรการป้องกันนี้ จะป้องกันไม่ให้ผู้ใช้งานรายอื่นสามารถสร้าง repository ที่มีชื่อเดียวกับ repository ที่มีการโคลนมากกว่า 100 ครั้ง ในขณะที่บัญชีผู้ใช้นั้นถูกเปลี่ยนชื่อ กล่าวคือ ชื่อผู้ใช้ และชื่อ repository นั้นถือว่า "retired (ไม่สามารถใช้งาน หรือสร้างใหม่ได้)"

ซึ่งหากการป้องกันด้วยวิธีการนี้ถูกหลีกเลี่ยงเพียงเล็กน้อย จะทำให้ผู้ไม่ประสงค์ดีสามารถสร้างบัญชีใหม่ด้วยชื่อผู้ใช้เดียวกัน และอัปโหลด repositories ที่เป็นอันตราย ซึ่งอาจนำไปสู่การโจมตีแบบ supply chain attack ของซอฟต์แวร์ได้

    วิธีการใหม่ที่ถูกระบุโดย Checkmarx คือการใช้ประโยชน์จาก race condition ที่อาจเกิดขึ้นระหว่างการสร้าง repository และการเปลี่ยนชื่อผู้ใช้ เพื่อทำการ repojacking โดยเฉพาะ ซึ่งประกอบด้วยขั้นตอนต่อไปนี้

1. เหยื่อเป็นเจ้าของพื้นที่เก็บข้อมูลชื่อ "victim_user/repo"
2. เหยื่อเปลี่ยนชื่อจาก "victim_user" เป็น "renamed_user"
3. repository "victim_user/repo" ถูก retired แล้ว
4. ผู้ไม่ประสงค์ดีที่มีชื่อผู้ใช้ "attacker_user" สร้างที่เก็บข้อมูลชื่อ "repo" และเปลี่ยนชื่อผู้ใช้ "attacker_user" เป็น "victim_user" พร้อม ๆ กัน

Ref : thehackernews