Fortinet says critical auth bypass bug is exploited in attacks

Fortinet เตือนผู้ใช้งาน(ผู้ดูแลระบบ) แก้ไขช่องโหว่ ที่สามารถหลีกเลี่ยงการผ่านการตรวจสอบสิทธิ์ ในทันที

    ทาง Fortinet ได้ยืนยันช่องโหว่ในด้านความปอลดภัยที่ สามารถ หลีกเลี่ยงการตรวจสอบสิทธิ์การเข้าถึงระบบ ว่ามีการถูกใช้เป็นช่องทางในการโจมตีจากกลุ่มผู้ไม่ประสงค์ดี

    ข้อบกพร่องด้าวความปลอดภัย CVE-2022-40684 ที่เป็นช่องโหว่ด้านความปลอดภัย ที่สามารถหลีกเลี่ยงการตรวจสิทธิ์ความถูกต้องในการเข้าถึงด้วยสิทธิ์ของผู้ดูแล จากผู้ไม่ประสงค์ดีใช้งาน ควบคุม Remote จากระยะไกลทำให้สามารถเข้าถึงระบบ Firewall ของ FortiGate, Fortiproxy และ FortiSwitch Manager

    "การเลี่ยงผ่านการตรวจสอบสิทธิ์โดยใช้เส้นทางอื่นหรือช่องโหว่ของช่อง [CWE-288] ใน FortiOS, FortiProxy และ FortiSwitchManager อาจอนุญาตให้ผู้ไม่ประสงค์ดีที่ไม่ได้รับอนุญาตดำเนินการบนอินเทอร์เฟซการดูแลระบบผ่านคำขอ HTTP หรือ HTTPS ที่สร้างขึ้นเป็นพิเศษ" Fortinet กล่าวและให้ำทำการตรวจสอบในบันทึกอุปกรณ์ของคุณ

ผลิตภัณฑ์ที่มีช่องโหว่ของ Fortinet ที่อาจจะโดนโจมตีมีรายการดังนี้

• FortiOS : 7.2.1, 7.2.0, 7.0.6, 7.0.5, 7.0.4, 7.0.3, 7.0.2, 7.0.1, 7.0.0
• FortiProxy : 7.2.0, 7.0.6, 7.0.5, 7.0.4, 7.0.3, 7.0.2, 7.0.1, 7.0.0
• FortiSwitchManager : 7.2.0, 7.0.0

ทาง Fortinet เน้นย้ำให้ผู้ใช้งานทำการอัพเดท Patch ความปลอดภัยเป็น

• FortiOS 7.0.7 หรือ 7.2.2 หรือ ใหม่กว่า
• FortiProxy 7.0.7 หรือ 7.2.1 หรือใหม่กว่า
• FortiSwitchManager 7.2.1 หรือใหม่กว่า

    ผู้เชี่ยวชาญด้านความปลอดภัยของ Horizon3 Attack ได้พัฒนาโค้ดที่ใช้ช่องโหว่ดังกล่าวเป็นแนวทาง PoCด้วยการค้นหาผ่านทาง Shodan สามารถเข้าถึง Firewall ของ FortiGate ได้มากกกว่า 140,000 เครื่องบน Internet และมีโอกาศถูกโจมตีหาก User Interface ถูกเปิดเผยด้วย

    หากต้องการป้องกันการโจมตีจากผู้ไม่ประสงค์ดีจากระยะไกลไม่ให้ข้ามการตรวจสอบสิทธิ์และการเข้าสู่ระบบอุปกรณ์ที่มีช่องโหว่ ผู้ดูแลระบบควรปิดใช้งานอินเทอร์เฟซการดูแลระบบ HTTP/HTTPS หรือจำกัดที่อยู่ IP ที่สามารถเข้าถึงอินเทอร์เฟซการดูแลระบบ

  โดยใช้ Local in Policy ข้อมูลโดยละเอียดเกี่ยวกับวิธีปิดใช้งานอินเทอร์เฟซผู้ดูแลระบบที่มีช่องโหว่สำหรับ FortiOS, FortiProxy และ FortiSwitchManager หรือจำกัดการเข้าถึงตามที่อยู่ IP สามารถพบได้ในคำแนะนำ Fortinet PSIRT

Hundreds of Microsoft SQL servers backdoored with new malware

 

พบเซิร์ฟเวอร์ Microsoft SQL โดนโจมตีด้วย “Maggie Malware” นับหลายร้อยเครื่อง

    เซิร์ฟเวอร์ Microsoft SQL หลายร้อยแห่งทั่วโลกติด Malware ใหม่ โดยผู้เชี่ยวชาญด้านความปลอดภัย Johann Aydinbas และ Axel Wauer จาก DCSO CyTec ได้พบ Malware ตัวใหม่ที่ใช้ชื่อ Maggie ซึ่งได้พบว่ามีเซิร์ฟเวอร์ Microsoft SQL ติด Malware นี้ไปแล้วกว่า 250 เซิร์ฟเวอร์ทั่วโลก ซึ่งส่วนใหญ่อยู่ในเกาหลีใต้ อินเดีย เวียดนาม จีนรัสเซีย ไทย เยอรมนี และสหรัฐอเมริกา

    โดย Malware นี้จะมาในรูปแบบของ “Extended Stored Procedure” ซึ่งเป็นขั้นตอนการจัดเก็บที่เรียกใช้ฟังก์ชันจากไฟล์ DLL(“ sqlmaggieAntiVirus_64.dll ”) เมื่อโหลดเข้าสู่เซิร์ฟเวอร์ ผู้โจมตีจะสามารถควบคุมได้โดยใช้คำสั่ง SQL และมีฟังก์ชันการทำงานที่หลากหลายเพื่อเรียกใช้คำสั่งและโต้ตอบกับไฟล์ และ Backdoor ยังสามารถบังคับให้ล็อกอินเข้าสู่เซิร์ฟเวอร์ MSSQL อื่น ๆ เพื่อเพิ่ม Backdoor ฮาร์ดโค้ดพิเศษ

    นอกจากนี้ Backdoor ยังมีความสามารถในการบังคับให้เข้าสู่ระบบเซิร์ฟเวอร์ MS SQL อื่น ๆ ในขณะที่เพิ่มผู้ใช้Backdoor แบบฮาร์ดโค้ดพิเศษในกรณีที่การเข้าสู่ระบบ ของผู้ดูแลระบบที่ bruteforce ได้สำเร็จ จากการค้นพบนี้ ระบุเซิร์ฟเวอร์กว่า 250เซิร์ฟเวอร์ ที่ได้รับผลกระทบทั่วโลก โดยเน้นที่ภูมิภาคเอเชียแปซิฟิกอย่างชัดเจน และ Maggie Malware รองรับคำสั่งได้มากกว่า 51 คำสั่ง

    เพื่อรวบรวมข้อมูลระบบและเรียกใช้โปรแกรม นอกจากนี้ยังสามารถรองรับฟังก์ชันที่เกี่ยวข้องกับเครือข่าย เช่น การเปิดใช้งาน TermService การเรียกใช้พร็อกซีเซิร์ฟเวอร์ Socks5

    หรือการตั้งค่าการส่งต่อพอร์ตเพื่อให้ Maggie ทำหน้าที่เป็นบริดจ์เฮดในเซิร์ฟเวอร์สภาพแวดล้อมเครือข่าย ทั้งนี้ ในขณะนี้ยังคงไม่ทราบรายละเอียดหลังจากที่ถูกโจมตีด้วย Maggie แล้วจะส่งผลอย่างไร การฝัง Malware ในเซิร์ฟเวอร์ และใครอยู่เบื้องหลังการโจมตีเหล่านี้

Ref : bleepingcomputer

Hackers use PowerPoint files for 'mouseover' malware delivery

พบกลุ่มผู้ไม่ประสงค์ดีใช้ PowerPoint ในการโจมตีแบบ mouseover เพื่อติดตั้ง Malware

    ผู้เชี่ยวชาญด้านความปลอดภัยจาก Cluster25 รายงานถึงการโจมตีจากกลุ่ม APT28 (หรือ 'Fancy Bear') ซึ่งเป็นกลุ่มผู้ไม่ประสงค์ดีจาก Russian GRU (Main Intelligence Directorate of the Russian General Staff)

    ใช้เทคนิคการรันโค้ดโดยอาศัยการเคลื่อนไหวของเมาส์บน Slide Present ใน Microsoft PowerPoint เพื่อเรียกใช้สคริปต์ PowerShell ในการส่ง Malwaer ที่มีชื่อว่า Graphite ซึ่งไฟล์ Microsoft PowerPoint ที่ใช้โจมตีประกอบไปด้วยสองสไลด์ ทั้งสองสไลด์มีคำแนะนำเป็นภาษาอังกฤษ และฝรั่งเศสสำหรับใช้งานการประชุมทางวิดีโอของ Zoom โดยมี Hyper Link ที่ทำหน้าที่เป็น Trigger สำหรับการเรียกใช้สคริปต์ PowerShell ที่เป็นอันตรายผ่านยูทิลิตี้ SyncAppvPublishingServer

ลักษณะการทำงาน

• เมื่อเป้าหมายเปิดเอกสาร Microsoft PowerPoint ในโหมด Presentation และวางเมาส์บนไฮเปอร์ลิงก์สคริปต์ PowerShell ที่เป็นอันตรายจะทำงาน โดยดาวน์โหลดไฟล์ JPEG (“DSC0002.jpeg”) จากบัญชี Microsoft OneDrive

• ในไฟล์ JPEG เป็นไฟล์ DLL (lmapi2.dll) ที่เข้ารหัส ในแต่ละไฟล์สตริงในที่ดึงมาต้องการคีย์ XOR ที่แตกต่างกันสำหรับการถอดรหัส เมื่อถอดรหัสแล้วจะถูกวางไว้ในไดเร็กทอรี 'C:\ProgramData\' ซึ่งจะถูก Execute ในภายหลังผ่าน rundll32.exe นอกจากนี้ยังมีการสร้าง Registry เพื่อให้ตัวมันสามารถแฝงตัวอยู่บนระบบได้อีกด้วย
• ต่อมา lmapi2.dll จะดึงข้อมูล และถอดรหัสไฟล์ JPEG ไฟล์ที่สอง ซึ่งแต่ละไฟล์ที่ดึงมาต้องการคีย์ XOR ที่แตกต่างกันสำหรับการถอดรหัส เมื่อถอดรหัสแล้วมันจะถูกโหลดลงใน Memory ของระบบในส่วนของ Thread (หน่วยการทำงานย่อยที่อยู่ใน Process) ใหม่ที่ถูกสร้างโดย DLL ก่อนหน้านี้ ผลลัพธ์ที่ได้คือมัลแวร์ Graphite ในรูปแบบ portable executable (PE)
• เมื่อมันแวร์ถูกติดตั้งสำเร็จ มันจะใช้ Microsoft Graph API และ OneDrive เพื่อสื่อสารกับ C2 Server นอกจากนี้ผู้โจมตียังเข้าถึง Service โดยใช้ Fix Client ID เพื่อรับโทเค็น OAuth2
• ด้วยโทเค็น OAuth2 ที่ได้รับมา มัลแวร์จะทำการ Query Microsoft Graph APIs โดยวิธีการการแจกแจงไฟล์ย่อยที่อยู่ใน Subdirectory ของ OneDrive

    จุดประสงค์ของมัลแวร์ Graphite คือการอนุญาตให้ผู้โจมตีโหลดมัลแวร์อื่น ๆ ลงใน Memory ของระบบ โดยใช้ประโยชน์จาก Microsoft Graph API เพื่อใช้ OneDrive เป็น C2 Server

Ref : BleepingComputer

Okta: Credential stuffing accounts for 34% of all login attempts

   Okta ระบุพบการพยายามโจมตีด้วยวิธีการ Credential stuffing กับบัญชีผู้ใช้งานกว่า 34% ของการเข้าใช้งานทั้งหมดการโจมตีในรูปแบบ Credential stuffing ถูกพบเพิ่มขึ้นเป็นจำนวนมากในช่วงไตรมาสแรกของปี 2565 ซึ่งปริมาณการพยายามเข้าใช้งานบัญชีในลักษณะดังกล่าวแซงหน้าการพยายามเข้าสู่ระบบตามปกติจากผู้ใช้งานทั่วไปในบางประเทศการโจมตีประเภทนี้เป็นการใช้ประโยชน์จากรหัสผ่านที่รั่วไหลออกมาจากบริการต่าง ๆ ก่อนหน้านี้ เพื่อพยายามเข้าสู่ระบบในบริการอื่น ๆ ที่ผู้ใช้งานอาจใช้ login name และ password เดียวกัน

    รายงานจาก FBI เมื่อเร็ว ๆ นี้พบว่า การโจมตีลักษณะนี้มีจำนวนเพิ่มขึ้นเนื่องจากปริมาณข้อมูลบัญชีผู้ใช้งานจากระบบต่าง ๆ ที่รั่วไหลมากขึ้นและเครื่องมือของแฮ็กเกอร์ที่สามารถนำบัญชีเหล่านั้นนำมาใช้ทดสอบกับเว็บไซต์ต่าง ๆ ได้ง่ายขึ้น

    Okta รายงานว่าพบพฤติกรรมการพยายามเข้าสู่ระบบมากกว่า 1 หมื่นล้านครั้งบนแพลตฟอร์มของพวกเขาในช่วง 3 เดือนแรกของปี 2022 โดยคิดเป็นประมาณ 34% ของการเข้าใช้งานทั้งหมด ซึ่งหมายความว่าหนึ่งในสามของความพยายามเข้าสู่ระบบเป็นพฤติกรรมที่เป็นอันตรายเนื่องจากการโจมตีส่วนใหญ่เป็นการพยายามสุ่มใช้ข้อมูลส่วนตัวจำนวนมากในระยะเวลาอันสั้น แพลตฟอร์มที่ถูกโจมตีจะมีปริมาณของการใช้งานเพิ่มขึ้นอย่างรวดเร็วถึงสิบเท่าตัวอย่างในรายงานของ Okta คือการโจมตีอย่างต่อเนื่องเกือบสองเดือน จนสิ้นสุดในเดือนมกราคม 2022

    Okta รายงานว่าส่วนใหญ่ความพยายามจะมุ่งเป้าไปที่บัญชีของบริษัทประเภท ค้าปลีก, eCommerce นอกจากนี้ยังมีบัญชีของบริษัทที่เกี่ยวข้องกับการศึกษาพลังงาน บริการทางการเงิน และซอฟต์แวร์

    ตัวอย่างล่าสุดของการโจมตีด้วยวิธี credential stuffing บนแพลตฟอร์ม e-commerce กับลูกค้าของ North Face ซึ่งทำให้ผู้โจมตีสามารถเข้าถึงบัญชีของผู้ใช้ได้ประมาณ 200,000 บัญชีการป้องกันการโจมตีด้วยวิธี credential stuffing เป็นความรับผิดชอบหลักของแพลตฟอร์มต่าง ๆ ที่ควรใช้การตรวจสอบในเชิงรุก เช่น การแบนบัญชีผู้ใช้งานชั่วคราวสำหรับบัญชีที่น่าสงสัยส่วนในฝั่งของผู้ใช้งาน ควรเปิดการใช้งาน multi-factor authentication และการตั้งค่ารหัสผ่านที่รัดกุม และไม่ซ้ำกันสำหรับบัญชีออนไลน์ทั้งหมดซึ่งส่วนใหญ่สามารถป้องกันได้เพียงพอต่อการโจมตีด้วยวิธีนี้

Credential stuffing accounts for 34% of all login attempts

Microsoft confirms new Exchange zero-days are used in attacks

Microsoft ยืนยันพบ Exchange Zero-days ชนิดใหม่ออกอาละวาด

มีการออกมายืนยันจากทาง Microsoft แล้วว่า ตรวจพบ Zero-Days ที่เป้าหมายการโจมตีเป็น 

Microsoft Exchange Server 2013, 2016 และ 2019 ถึง 2 ช่องโหว่

• ช่องโหว่ที่ 1 ถูกระบุให้เป็น CVE-2022-41040 เป็นช่องโหว่บน Server-Side Request Forgery (SSRF)
• ช่องโหว่ที่ 2 ถูกระบุให้เป็น CVE-2022-41082 เป็นช่องโหว่ที่อนุญาตให้มีการเรียกรันคำสั่งจากระยะไกล เมื่อ PowerShell จากผู้ไม่ประสงค์ดีทาง

    Microsoft ยังกล่าวเสริมอีกว่าช่องโหว่ CVE-2022-41040 สามารถโจมตีได้ก็ต่อเมื่อมีการยืนยันสิทธิ์ในการเข้าถึงจากผู้ดูแลระบบเท่านั้นถึงจะเข้าใช้งานได้และในช่วงเวลานี้ขอยืนยันว่าทางผู้ใช้งานไม่ต้องทำการอันใดกับ Server เนื่องจากทาง Microsoft เองได้ดำเนินการหาทางแก้ไขและค่อยตรวจสอบตลอดเวลาและจะดำเนินการช่วยเหลือในกรณีที่เกิดเหตุขึ้นให้ได้มากที่สุด

  ตามรายงานที่พบของ GTSC หน่วยงานรักษาความปลอดภัยทางไซเบอร์ของประเทศเวียดนามตกเป็นเป้าหมายรายแรกของการโจมตีดังกล่าวโดยที่ Zero-Days นั้นแฝงใว้กับเว็บเชลล์ของจีน Chopper เพื่อการตรวจสอบเฝ้าสังเกตุพฤติกรรมของผู้ใช้จากผู้ไม่ประสงค์ดีโดยที่ GTSC ยังสันนิฐานว่าการโจมตีครั้งนี้มาจากประเทศจีนเพราะด้วยการเข้าระบบล็อกอินของ WebShell เป็นการใช้งานด้วย รูปแบบชุดอักษรจากทาง Microsoft ภาษาจีนโดยที่กลุ่มผู้ไม่ประสงค์ดีกลุ่มนี้ใช้งาน Open Source Antsword Chinese

   ทาง GTSC ได้รายงานข้อบกพร่องทั้งสองช่องให้ทาง Microsoft ผ่านทาง Zero Day Initiative โดยที่ผู้ใช้งาน Microsoft Exchangeในองค์กรของผู้ใช้ควรตรวจสอบและป้องกันการใช้งานตามคำแนะนำของทาง Microsoft ดังนี้

• 1. Open the IIS Manager.
• 2. Expand the Default Web Site.
• 3. Select Autodiscover.
• 4. In the Feature View, click URL Rewrite.
• 5.In the Actions pane on the right-hand side, click Add Rules.
• 6.Select Request Blocking and click OK.
• 7. Add String “.*autodiscover\.json.*\@.*Powershell.*” (excluding quotes) and click OK.
• 8. Expand the rule and select the rule with the Pattern ".*autodiscover\.json.*\@.*Powershell.*" and click Edit under Conditions.
• 9. Change the condition input from {URL} to {REQUEST_URI}

และยังแนะนำให้ดำเนินการ ปิด Port ที่ใช้งาน Remote PowerShell ระยะไกลเพื่อป้องกันการโจมตีที่

• HTTP: 5985
• HTPPS: 5986

และให้ดำเนินการตรวจสอบ Exchange Server ของผู้ใช้งานตรวจสอบ Server ของตนเองโดยใช้คำสั่ง

Get-ChildItem -Recurse -Path <Path_IIS_Logs> -Filter "*.log" | Select-String -Pattern 'powershell.*autodiscover\.json.*\@.*200'

Ref: bleepingcomputer