พบการโจมตีด้วย CobaltStrike beacons จากผู้ไม่ประสงค์ดีโดยมีเป้าหมายเป็น App Domain (AppDomain Injection)

    การโจมตีที่เริ่มขึ้นในเดือนกรกฎาคม 2024 อาศัยเทคนิคที่ไม่ค่อยพบมากนักที่เรียกว่า AppDomain Manager Injection ซึ่งสามารถทำให้แอปพลิเคชัน Microsoft .NET ใด ๆ บน Windows กลายเป็นอาวุธได้

เทคนิคนี้มีมาตั้งแต่ปี 2017 และมีการปล่อยแอปพลิเคชันต้นแบบหลายตัวออกมาตลอดหลายปีที่ผ่านมา อย่างไรก็ตาม เทคนิคนี้มักถูกใช้ในงานของทีมสีแดง (red team engagements) และไม่ค่อยพบในการโจมตีที่เป็นอันตราย โดยผู้ป้องกันไม่ได้ติดตามเทคนิคนี้อย่างจริงจัง

    หน่วยงานสาขาญี่ปุ่นของ NTT ได้ติดตามการโจมตีที่ลงท้ายด้วยการปล่อย CobaltStrike beacon ที่มุ่งเป้าไปยังหน่วยงานรัฐบาลในไต้หวัน กองทัพในฟิลิปปินส์ และองค์กรพลังงานในเวียดนาม

ยุทธวิธี เทคนิค และกระบวนการ (TTP) รวมถึงโครงสร้างพื้นฐานที่มีความคล้ายคลึงกับรายงานล่าสุดจาก AhnLab และแหล่งข้อมูลอื่น ๆ บ่งชี้ว่ากลุ่มภัยคุกคาม APT 41 ที่ได้รับการสนับสนุนจากรัฐจีนอาจอยู่เบื้องหลังการโจมตีเหล่านี้ แม้ว่าการระบุแหล่งที่มานี้จะมีความมั่นใจต่ำ

AppDomain Manager Injection

    คล้ายกับการโหลด DLL แบบมาตรฐานจากที่ต่าง ๆ (DLL side-loading) เทคนิค AppDomainManager Injection ก็เกี่ยวข้องกับการใช้ไฟล์ DLL เพื่อบรรลุเป้าหมายที่เป็นอันตรายบนระบบที่ถูกเจาะ

อย่างไรก็ตาม AppDomain Manager Injection ใช้ประโยชน์จากคลาส AppDomainManager ของ .NET Framework ในการฝังและรันโค้ดที่เป็นอันตราย ทำให้เทคนิคนี้ซ่อนตัวได้ดีกว่าและมีความยืดหยุ่นมากกว่า

ผู้ไม่ประสงค์ดีจะเตรียมไฟล์ DLL ที่เป็นอันตรายซึ่งมีคลาสที่อยู่ในคลาส AppDomainManager และไฟล์การกำหนดค่า (exe.config) ที่เปลี่ยนเส้นทางการโหลดของแอสเซมบลีที่ถูกต้องไปยังไฟล์ DLL ที่เป็นอันตราย

    ผู้ไม่ประสงค์ดีเพียงแค่วางไฟล์ DLL ที่เป็นอันตรายและไฟล์การกำหนดค่าในไดเรกทอรีเดียวกับไฟล์ที่รันเป้าหมาย โดยไม่จำเป็นต้องใช้ชื่อเดียวกับ DLL ที่มีอยู่เหมือนในเทคนิค DLL side-loading

เมื่อแอปพลิเคชัน .NET รันขึ้นมา ไฟล์ DLL ที่เป็นอันตรายจะถูกโหลดและโค้ดของมันจะถูกดำเนินการภายในบริบทของแอปพลิเคชันที่ถูกต้องตามกฎหมาย

ต่างจากเทคนิค DLL side-loading ที่ซอฟต์แวร์รักษาความปลอดภัยสามารถตรวจจับได้ง่ายกว่า AppDomainManager Injection นั้นตรวจจับได้ยากกว่า เนื่องจากพฤติกรรมที่เป็นอันตรายจะดูเหมือนมาจากไฟล์ที่เป็นแอปพลิเคชันที่ถูกต้องและลงนามแล้ว

การโจมตี GrimResource

    การโจมตีที่ NTT พบเริ่มต้นด้วยการส่งไฟล์ ZIP ไปยังเป้าหมายที่มีไฟล์ MSC (Microsoft Script Component) ที่เป็นอันตราย

เมื่อเป้าหมายเปิดไฟล์ โค้ดที่เป็นอันตรายจะถูกดำเนินการทันทีโดยไม่ต้องมีการโต้ตอบหรือคลิกเพิ่มเติมจากผู้ใช้ โดยใช้เทคนิคที่เรียกว่า GrimResource ซึ่งอธิบายโดยละเอียดโดยทีมรักษาความปลอดภัยของ Elastic ในเดือนมิถุนายน

    GrimResource เป็นเทคนิคการโจมตีใหม่ที่ใช้ประโยชน์จากช่องโหว่การข้ามไซต์ (XSS) ในไลบรารี apds.dll ของ Windows เพื่อดำเนินการโค้ดตามที่ต้องการผ่าน Microsoft Management Console (MMC) โดยใช้ไฟล์ MSC ที่สร้างขึ้นมาโดยเฉพาะ

เทคนิคนี้ทำให้ผู้ไม่ประสงค์ดีสามารถรัน JavaScript ที่เป็นอันตราย ซึ่งจะรันโค้ด .NET ผ่านวิธีการ DotNetToJScript

ไฟล์ MSC ในการโจมตีครั้งล่าสุดที่ NTT พบ สร้างไฟล์ exe.config ในไดเรกทอรีเดียวกันกับไฟล์ Microsoft ที่ถูกต้องและลงนามแล้ว (เช่น oncesvc.exe)

    ไฟล์การกำหนดค่านี้จะเปลี่ยนเส้นทางการโหลดแอสเซมบลีบางตัวไปยัง DLL ที่เป็นอันตราย ซึ่งมีคลาสที่อยู่ในมาจากคลาส AppDomainManager ของ .NET Framework และถูกโหลดแทนแอสเซมบลีที่ถูกต้องตามกฎหมาย

    ในที่สุด DLL นี้จะรันโค้ดที่เป็นอันตรายภายในบริบทของไฟล์ที่เป็นแอปพลิเคชันของ Microsoft ที่ถูกต้องและลงนามแล้ว ทำให้สามารถหลีกเลี่ยงการตรวจจับและข้ามมาตรการรักษาความปลอดภัยได้อย่างสมบูรณ์

    ขั้นตอนสุดท้ายของการโจมตีคือการโหลด CobaltStrike beacon ลงในเครื่อง ซึ่งผู้ไม่ประสงค์ดีอาจใช้เพื่อดำเนินการกระทำที่เป็นอันตรายได้หลากหลาย รวมถึงการนำเสนอ payload เพิ่มเติมและการเคลื่อนที่ข้ามเครือข่าย แม้ว่าจะไม่แน่ใจว่ากลุ่ม APT41 เป็นผู้รับผิดชอบการโจมตีเหล่านี้ แต่การใช้เทคนิค AppDomainManager Injection และ GrimResource ร่วมกันบ่งชี้ว่าผู้ไม่ประสงค์ดีมีความเชี่ยวชาญทางเทคนิคในการผสมผสานเทคนิคใหม่และน้อยคุ้นเคยในกรณีปฏิบัติจริง

Ref: bleepingcomputer

“Find My” ของ Apple อาจถูกนำไปใช้เพื่อขโมยข้อมูลจาก keylogged password

    ผู้เชี่ยวชาญด้านความปลอดภัยค้นพบเครือข่ายระบุตำแหน่ง "Find My" ของ Apple อาจถูกนำไปใช้โดยผู้ไม่หวังดี เพื่อส่งข้อมูลที่มีความสำคัญจาก keylogger ซึ่งติดตั้งใน keyboard ไว้อย่างลับ ๆ

    “Find My” คือเครือข่าย และแอปพลิเคชันที่ได้รับการออกแบบมาเพื่อช่วยให้ผู้ใช้ค้นหาอุปกรณ์ Apple ที่สูญหายหรือวางไว้ผิดที่ รวมถึง iPhone, iPad, Mac, Apple Watch, AirPods และ Apple Tags โดยบริการดังกล่าวจะใช้ข้อมูล GPS และ Bluetooth ที่รวบรวมมาจากอุปกรณ์ Apple หลายล้านเครื่องทั่วโลกเพื่อค้นหาอุปกรณ์ที่รายงานว่าสูญหายหรือถูกขโมย แม้ว่าอุปกรณ์นั้นจะ offline ก็ตาม โดยอุปกรณ์ที่สูญหายจะส่งสัญญาณ Bluetooth แบบวนซ้ำอย่างต่อเนื่องซึ่งอุปกรณ์ Apple ที่อยู่ใกล้เคียงตรวจพบ ซึ่งจะถ่ายทอดตำแหน่งของตนไปยังเจ้าของโดยไม่เปิดเผยตัวตนผ่าน “Find My” network

   ทั้งนี้ความสามารถของ Find My สามารถนำไปใช้การส่งข้อมูลนอกเหนือจากตำแหน่งของอุปกรณ์นั้น โดยช่องโหว่ดังกล่าวได้ถูกค้นพบครั้งแรกเมื่อ 2 ปีที่แล้วโดยผู้เชี่ยวชาญด้านความปลอดภัยด้านความปลอดภัย Fabian Bräunlein และทีมของเขา รวมถึงทาง Apple ยังได้แก้ไขช่องโหว่นี้แล้ว และผู้เชี่ยวชาญด้านความปลอดภัยได้เผยแพร่วิธีการของพวกเขาบน GitHub ที่เรียกว่า 'Send My' ซึ่งผู้อื่นสามารถใช้ประโยชน์จากการอัปโหลดข้อมูลที่กำหนดเองไปยังเครือข่าย Find My ของ Apple และดึงข้อมูลจากอุปกรณ์ที่เปิดใช้งานอินเทอร์เน็ตได้ทุกที่ในโลก

การถ่ายทอดข้อมูลโดยไม่ได้รับอนุญาต

    ตามรายงานครั้งแรกของผู้เชี่ยวชาญด้านความปลอดภัยได้สร้างอุปกรณ์ฮาร์ดแวร์ที่พิสูจน์แนวคิด Proof-of-Concept (PoC) เพื่อเน้นย้ำถึงความเสี่ยงต่อสาธารณะได้ดียิ่งขึ้น โดยผู้เชี่ยวชาญด้านความปลอดภัยได้ติดตั้ง keylogger เข้ากับเครื่องส่งสัญญาณบลูทูธ ESP32 และ USB keyboard เพื่อแสดงให้เห็นว่าสามารถส่งต่อรหัสผ่าน และข้อมูลที่มีความสำคัญอื่น ๆ ที่พิมพ์บนแป้นพิมพ์ผ่านเครือข่าย Find My ผ่านทางบลูทูธได้

    การส่งผ่านบลูทูธนั้นซับซ้อนกว่า WLAN keylogger หรืออุปกรณ์ Raspberry Pi ที่สามารถสังเกตเห็นได้ง่ายในสภาพแวดล้อมที่มีการป้องกันอย่างดี รวมถึงแพลตฟอร์ม Find My สามารถใช้ประโยชน์จากอุปกรณ์ Apple ที่มีอยู่ทั่วไปทุกหนทุกแห่งสำหรับการส่งข้อมูล

    รวมถึง keylogger ไม่จำเป็นต้องใช้ AirTag หรือชิปที่รองรับอย่างเป็นทางการ เนื่องจากอุปกรณ์ Apple ได้รับการปรับแต่งให้ตอบสนองต่อข้อความบลูทูธ หากข้อความนั้นมีรูปแบบที่เหมาะสม อุปกรณ์ Apple ที่รับจะสร้างรายงานตำแหน่ง และอัปโหลดไปยังเครือข่าย Find My

    ผู้ส่งจำเป็นต้องสร้าง public encryption keys ที่แตกต่างกันเล็กน้อย โดยจำลอง AirTags หลายรายการ และเข้ารหัสข้อมูลที่กำหนดเองลงในคีย์โดยการกำหนดบิตเฉพาะที่ตำแหน่งที่กำหนดไว้ล่วงหน้าในคีย์

  ด้วยวิธีนี้รายงานหลายฉบับที่ดึงมาจากระบบคลาวด์สามารถต่อ และถอดรหัสที่ส่วนรับเพื่อดึงข้อมูลที่กำหนดเองได้ ในกรณีนี้คือการบันทึกของ keylogger

 นักวิจัยกล่าวว่าค่าใช้จ่ายรวมของอุปกรณ์ที่ใช้ดูดข้อมูลอยู่ที่ประมาณ 50 เหรียญสหรัฐฯ โดยใช้ 'EvilCrow' keylogger เวอร์ชันที่ใช้ Bluetooth และแป้นพิมพ์ USB แบบมาตรฐาน

    โดยการสาธิตการโจมตี PoC มีอัตราการส่งข้อมูลอยู่ที่ 26 ตัวอักษร/วินาที และอัตราการรับ 7 ตัวอักษร/วินาที โดยมีเวลาแฝงระหว่าง 1 ถึง 60 นาทีขึ้นอยู่กับการมีอยู่ของอุปกรณ์ Apple ที่ระยะของ keylogger แม้ว่าจะส่งข้อมูลไม่เร็วนัก แต่หากเป็นเป้าหมายในการขโมยข้อมูลอันมีค่า เช่น รหัสผ่าน การรอหลายชั่วโมง หรือหลายวันก็ไม่มีผลต่อการตั้งเป้าหมายการโจมตีอยู่ดี

    ทาง Apple ก็ได้มีการป้องกันการติดตาม โดยได้มีการแจ้งเตือนผู้ใช้ว่า Air Tags อาจกำลังติดตามพวกเขาไม่ได้เปิดใช้งานโดย keylogger ที่อยู่กับที่ภายในแป้นพิมพ์ ดังนั้นอุปกรณ์ดังกล่าวจะยังคงซ่อนอยู่ และไม่ถูกค้นพบ

Ref : bleepingcomputer

การตั้งค่าให้ moodle สามารถเข้าใช้งานผ่าน Application ได้

กรณีที่เราทำการตั้งค่า และใช้งาน  moodle อยู่แล้ว และต้องการเพิ่มความสามารถให้ใช้งานได้ผ่าน Application (ทั้ง Android และ iOS)

ต้องมีการตั้งค่า ที่ Server เล็กน้อย

หากเราไม่ได้ทำการตั้งค่า ที่ Server เมื่อทำการติดตั้ง Application แล้วทำการเชื่อมต่อ จะมีหน้าจอแจ้งเตือนดังนี้

นอกจากนี้ การที่เราจะสามารถเปิดให้ moodle ใช้งานบน Application ได้ ตัว moodle เองจะต้องมีเวอร์ชัน 2.4 ขึ้นไป

ขั้นแรกในเว็บไซต์ให้มองมุมซ้ายล่าง ในส่วนของผู้ดูแล

เลือก Advanced features > ติ๊ก ที่ช่อง enable Web Services

ต่อมาให้เลือก Plugins > Web services  > Mobile ติ๊ก ที่ช่อง Enable web services for mobile devices

***การใช้งานผ่าน Application ไม่สามารถเข้าใช้งานใน user admin ได้ เนื่องจากเป็นระบบรักษาความปลอดภัย

สามารถเข้าใช้งาน ได้จาก user teacher , student เท่านั้น

เข้าโปรแกรม moodle mobile ได้ทั้ง iOS , Android ใส่ url moodle ที่เราจะเข้าลงไป

ด้านบนจะขึ้น url ที่เราใส่ลงไปเมื่อสักครู่

ใส่ username กับ password ลงไป

เมื่อเข้ามาก็จะเป็นหน้าแรกของเว็บทีเราเข้ามา