Dropbox discloses breach after hacker stole 130 GitHub repositories

 Dropbox ยอมรับเหตุการณ์ข้อมูลรั่วไหล ภายหลังแฮ็กเกอร์ขโมยข้อมูลของบริษัทออกไปจาก GitHub

    Dropbox ออกมายอมรับเหตุการณ์ข้อมูลรั่วไหล ซึ่งเกิดจากการที่ผู้โจมตีสามารถขโมย code repositories ของบริษัทออกไปกว่า 130 รายการ ภายหลังจากการเข้าถึงบัญชี GitHub โดยใช้ข้อมูลส่วนตัวของพนักงานที่ถูกขโมยจากการโจมตีแบบฟิชชิ่ง

     บริษัทพบว่าถูกแฮ็กเมื่อวันที่ 14 ตุลาคม 2565 ที่ผ่านมา เมื่อ GitHub แจ้งว่ามีพฤติกรรมที่น่าสงสัย ซึ่งเกิดขึ้นหนึ่งวันก่อนที่จะมีการส่งการแจ้งเตือน จนถึงปัจจุบัน (1 พฤศจิกายน 2565) จากการตรวจสอบพบว่าข้อมูลที่ผู้โจมตีรายนี้เข้าถึงส่วนใหญ่เป็นคีย์ API ที่ใช้โดยนักพัฒนาของ Dropbox ซึ่งรวมไปถึง source code, ข้อมูลชื่อ และที่อยู่อีเมลกว่า 2000-3000 รายการ ทั้งของพนักงาน Dropbox ของลูกค้าปัจจุบัน และลูกค้าในอดีต ซึ่งปัจจุบัน Dropbox มีผู้ใช้งานที่ลงทะเบียนมากกว่า 700 ล้านคน การโจมตีเริ่มมาจากอีเมลฟิชชิ่งที่ถูกส่งไปยังพนักงานของ Dropbox หลายคน โดยการใช้อีเมลปลอมที่แอบอ้างเป็นแพลตฟอร์ม CircleCI ซึ่งเมื่อคลิกลิงค์ จะถูก redirect ไปยังหน้า Landing Page ของฟิชชิ่งให้กรอกชื่อผู้ใช้ และรหัสผ่านของ GitHub รวมไปถึงการขอให้กรอก "One Time Password (OTP)” ด้วย

    หลังจากสามารถขโมยข้อมูลส่วนตัวของพนักงานของ Dropbox ได้ ผู้โจมตีจึงสามารถเข้าถึง GitHub ของ Dropbox และขโมย code repositories ออกไปกว่า 130 รายการ ซึ่งประกอบไปด้วยข้อมูลสำเนาของไลบรารีของ third-party ที่มีการปรับเปลี่ยนสำหรับการใช้งานของ Dropbox, ผลิตภัณฑ์ต้นแบบที่ใช้ภายใน, เครื่องมือ และ configuration files ที่ใช้โดย Security Team แต่ Dropbox ยืนยันว่า แฮ็กเกอร์ไม่สามารถเข้าถึง core apps หรือ infrastructure หลักได้ รวมไปถึงบัญชี รหัสผ่าน หรือข้อมูลการชําระเงินของลูกค้า เนื่องจากระบบเหล่านั้นมีการรักษาความปลอดภัยที่เข้มงวดมากกว่า

    เพื่อตอบสนองต่อเหตุการณ์ที่เกิดขึ้น Dropbox กําลังดําเนินการด้านความปลอดภัยเพิ่มเติม โดยการใช้ WebAuthn และ hardware tokens หรือ biometric factors

    ในเดือนกันยายนที่ผ่านมา ผู้ใช้งาน GitHub ทั่วๆ ไป ก็เคยตกเป็นเป้าหมายในการโจมตีในลักษณะคล้ายกัน โดยอีเมลฟิชชิ่งที่แอบอ้างเป็นแพลตฟอร์ม CircleCI และขอให้พวกเขาลงชื่อเข้าใช้บัญชี GitHub เพื่อยอมรับข้อกำหนดของผู้ใช้งาน และการอัปเดตนโยบายความเป็นส่วนตัวเพื่อใช้บริการต่อไป

    โดย GitHub ระบุว่ามักจะพบการขโมยข้อมูลออกไปทันทีหลังจากที่บัญชีของผู้ใช้งานถูกเข้าถึงได้ โดยจากการตรวจสอบพบว่าผู้โจมตีส่วนใหญ่จะใช้ VPN หรือบริการ Proxy เพื่อทำให้ติดตามได้ยากขึ้น

Ref : Bleepingcomputer

Google Issues Urgent Chrome Update to Patch Actively Exploited Zero-Day Vulnerability

Google ออกอัปเดตแพตซ์เร่งด่วนบน Chrome เพื่อแก้ไขช่องโหว่ Zero-Day

    เมื่อวันที่ 27 ตุลาคม 2022 ที่ผ่านมา Google ได้ออกอัปเดตแพตซ์เร่งด่วนเพื่อแก้ไขช่องโหว่ Zero Day บนWeb Browser Chrome โดยช่องโหว่ดังกล่าวมีหมายเลข CVE-2022-3723 ซึ่งเป็นช่องโหว่ Type Confusion ที่เกิดขึ้นกับ V8 JavaScript Engine

Jan Vojtěšek, Milánek และ Przemek Gmerek นักวิจัยจาก Avast เป็นผู้รายงานช่องโหว่นี้เมื่อ

วันที่ 25 ตุลาคม 2022

    Google ระบุว่ารับทราบถึงรายงานที่พบการโจมตีจากช่องโหว่ CVE-2022-3723 ดังกล่าวแล้ว แต่ไม่ได้ให้ข้อมูลรายละเอียดเพิ่มเติมเกี่ยวกับการโจมตีดังกล่าว

โดยช่องโหว่ CVE-2022-3723 เป็นช่องโหว่ Type Confusion ช่องโหว่ที่สาม ที่ถูกใช้ในการโจมตีผ่านช่องโหว่บน V8 JavaScript Engine ในปีนี้ ต่อจาก CVE-2022-1096 และ CVE-2022-1364

โดยช่องโหว่ดังกล่าวถือเป็น Zero Day ลำดับที่ 7 ของ Google Chrome ตั้งแต่ต้นปี 2565

• CVE-2022-0609 - ช่องโหว่ Use-after-free ใน Animation
• CVE-2022-1096 - ช่องโหว่ Type Confusion ใน V8
• CVE-2022-1364 - ช่องโหว่ Type Confusion ใน V8
• CVE-2022-2294 - ช่องโหว่ Heap buffer overflow ใน WebRTC
• CVE-2022-2856 - ช่องโหว่การตรวจสอบข้อมูล untrusted input ที่ไม่เพียงพอใน Web Intents
• CVE-2022-3075 - ช่องโหว่ใน Mojo ไลบรารี ซึ่งเป็นส่วนหนึ่งของ Chrome ที่ใช้ในการรับส่งข้อความระหว่าง Browser และระบบปฏิบัติการที่ทำงานอยู่

แนะนำ

ให้ผู้ใช้งาน Update เป็น version 107.0.5304.87 สำหรับ macOS และ Linux

Update เป็น version 107.0.5304.87/.88 สำหรับ Windows เพื่อลดความเสี่ยงจากการโจมตีที่อาจเกิดขึ้น

ส่วนผู้ใช้งานที่ใช้ Chromium-based Browsers เช่น Microsoft Edge, Brave, Opera และ Vivaldi แนะนำให้อัปเดตเช่นกันหากมีแพตซ์อัปเดตออกมา

Ref :The Hacker News

Online Shoppers Beware: Scammers Most Likely to Impersonate DHL

DHL, Microsoft และ LinkedIn ขึ้นแท่นบริษัทที่ถูกปลอมแปลงเพื่อโจมตีในรูปแบบ Phising มากที่สุด

   บริษัท DHL, Microsoft และ LinkedIn ได้ถูกจัดอันดับให้เป็นบริษัทที่ถูกนำมาแอบอ้างเพื่อโจมตีในรูปแบบ Phising มากที่สุด โดยคำนวนจากการพยายามโจมตีในรูปแบบ Phishing ทั่วโลก ในไตรมาสที่ 3 (กรกฏาคม - กันยายน) ของปีนี้ ซึ่ง DHL มีค่าเฉลี่ยถูกนำมาใช้กว่า 22% รองลงมาเป็น Microsoft 16% และ LinkedIn 11% ตามลำดับ ซึ่งในปีที่แล้วการโจมตีแบบ Phishing เป็นอาชญากรรมทางอินเทอร์เน็ตที่มีการรายงานบ่อยที่สุด โดยพบว่ามีการรายงานต่อ FBI กว่า 323,972 รายงาน และทำให้เหยื่อเสียหายกว่า 44.2 ล้านดอลลาร์

ลักษณะการโจมตี

    ในการโจมตี Phishing นั้น ผู้ไม่หวังดีส่วนใหญ่จะมีการใช้ชื่อหัวข้ออีเมล เช่น Urgent requests, Change a password และ Delivery or Payment ซึ่งมีประสิทธิภาพอย่างมากในการหลอกให้เหยื่อเชื่อถือ และขโมยข้อมูลของเหยื่อ ในการโจมตี ผู้ไม่หวังดีจะอ้างว่าเป็น DHL และจะส่งอีเมลจาก “info@lincssourcing[.]com” แต่ตั้งชื่อผู้ส่งให้เป็น DHL Express โดยตั้งชื่ออีเมลว่า “Undelivered DHL (Parcel/Shipment)”

    และมีการพยายามเขียนข้อความหลอกล่อให้เยื่อคลิกลิงค์ที่เป็นอันตรายโดยอ้างว่าให้ไปอัปเดตที่อยู่จัดส่งพัสดุ เพื่อรับพัสดุ ซึ่ง URL นั้นเป็นเว็บไซต์ปลอมของทางผู้ไม่หวังดีที่ต้องการให้เหยื่อกรอกข้อมูล ชื่อ และรหัสผ่าน

    ซึ่งหากผู้ไม่ประสงค์ดีสามารถโจมตีสำเร็จ ก็อาจจะถูกนำข้อมูลประจำตัวที่ถูกขโมยเหล่านี้ไปใช้เพื่อดึงข้อมูลบัญชีอื่น ๆ เช่น รายละเอียดการชำระเงิน หรือนำไปขายบน Darkweb เป็นต้น

แนวทางการป้องกัน

• ในการโจมตี Phishing ส่วนใหญ่จะเป็นการโจมตีโดยใช้ Email ดังนั้นองค์การส่วนใหญ่ควรมีการ Awareness Training ให้กับพนักงานภายในองค์กร
• พิจารณาการใช้งาน mail gateway เพื่อป้องกันการส่งไฟล์ หรือลิงค์ที่เป็นอันตรายได้ในระดับหนึ่ง
• พิจารณาใช้งาน Multi factor authentication เพื่อป้องกันหากมีข้อมูลบัญชีรั่วไหลออกไป

Ref: Internet Crime Report 2021

Exploited Windows zero-day lets JavaScript files bypass security warnings

ช่องโหว่ Zero-day บน Windows ทำให้ไฟล์ JavaScript bypass คำเตือนด้านความปลอดภัยได้

    ช่องโหว่ Zero-day ตัวใหม่บน Windows ช่วยให้ผู้ไม่ประสงค์ดีสามารถใช้ไฟล์ JavaScript ที่เป็นอันตราย เพื่อ bypass คำเตือนด้านความปลอดภัยของ Windows ที่เรียกว่า Mark-of-the-Web ได้ ซึ่งผู้ไม่ประสงค์ดีสามารถใช้ช่องโหว่ดังกล่าวในการโจมตีด้วย Ransomware ได้ ฟีเจอร์ที่เรียกว่า Mark-of-the-Web (MoTW) ของ Windows จะทำการระบุค่าสถานะของไฟล์ว่าถูกดาวน์โหลดมาจากอินเทอร์เน็ต ดังนั้นควรระมัดระวัง เนื่องจากอาจเป็นอันตรายได้ MoTW จะถูกเพิ่มลงในไฟล์ที่ถูกดาวน์โหลดมาจากอินเทอร์เน็ต หรือจากไฟล์แนบในอีเมล ที่เรียกว่า 'Zone.Identifier' ซึ่งสามารถดูได้โดยใช้คำสั่ง 'dir /R' และเปิดได้โดยตรงใน Notepad

The Mark-of-the-Web alternate data stream

    'Zone.Identifier' นี้จะระบุข้อมูล URL security zone (เลข 3 ตามภาพด้านบนคือมาจากอินเทอร์เน็ต), referrer และ URL ไปยังไฟล์เมื่อผู้ใช้พยายามเปิดไฟล์ที่มี Mark-of-the-Web Windows ระบบจะแสดงคำเตือนว่าไฟล์ควรได้รับความระมัดระวังโดย Microsoft Office ก็ใช้ MoTW เพื่อกำหนดว่าไฟล์ควรถูกเปิดใน Protected View ซึ่งจะทำให้ macros ที่อยู่ภายในไฟล์ถูกปิดการทำงาน MoTW บน Windows สามารถ bypass ได้ด้วยช่องโหว่ Zero-day

    ผู้เชี่ยวชาญด้านความปลอดภัยของ HP ได้รายงานเมื่อเร็ว ๆ นี้ว่า ผู้ไม่หวังดีกำลังโจมตีด้วย Magniber ransomware โดยการใช้ไฟล์ประเภท JavaScript โดยไฟล์ JavaScript ดังกล่าวไม่ใช่ไฟล์ในลักษณะที่ใช้กันทั่วไปในเว็บไซต์ แต่ไฟล์ .JS ที่ถูกใช้โดยผู้ไม่ประสงค์ดีเป็นไฟล์แนบ หรือไฟล์ดาวน์โหลดที่สามารถเรียกใช้นอกเว็บเบราว์เซอร์ได้ โดยไฟล์ JavaScript ที่ถูกใช้โดยกลุ่ม Magniber มี digitally signed ด้วย base64 encoded

 เมื่อ signed มีลักษณะแบบนี้ แม้ว่าไฟล์ .JS จะถูกดาวน์โหลดจากอินเทอร์เน็ต และได้รับ MoTW Microsoft จะไม่แสดงคำเตือนด้านความปลอดภัย และสคริปต์จะยังสามารถดำเนินการติดตั้ง Magniber ransomware ได้โดยอัตโนมัติ

  Dormann ได้ทดสอบการใช้ malformed signature นี้ในไฟล์ JavaScript และสามารถสร้างไฟล์ JavaScript ที่พิสูจน์ได้ว่าสามารถ bypass MoTW ของ Windows ได้

ไฟล์ JavaScript (.JS) ทั้งสองไฟล์นี้ถูกส่งให้กับ BleepingComputer และทั้งคู่ได้รับ Mark-of-the-Web เมื่อดาวน์โหลดจากเว็บไซต์

  ดังนั้นเมื่อใช้เทคนิคนี้ ผู้ไม่ประสงค์ดีจะสามารถ bypass คำเตือนความปลอดภัย ที่ปกติจะแสดงเมื่อเปิดไฟล์ JS ที่ดาวน์โหลดมาจากอินเทอร์เน็ต และเรียกใช้สคริปต์โดยอัตโนมัติ BleepingComputer สามารถทดสอบพฤติกรรมดังกล่าวกับ Windows 10 ได้สำเร็จ อย่างไรก็ตาม สำหรับ Windows 11 ช่องโหว่จะสามารถทำงานได้ก็ต่อเมื่อ เมื่อเรียกใช้ไฟล์ JS โดยตรงจาก archive เท่านั้น

    Dormann ระบุกับ BleepingComputer ว่าผู้โจมตีสามารถแก้ไขไฟล์ .EXE เพื่อ bypass MoTW ได้

โดยการใช้ hex editor ในการแก้ไขข้อมูลบางส่วนใน signature portion ของไฟล์ เมื่อ signature ถูกทำให้เสียหาย Windows จะไม่ตรวจสอบไฟล์โดยใช้ SmartScreen ราวกับว่าไม่มี MoTW และจะอนุญาตให้ไฟล์สามารถทำงานได้

Ref : BleepingComputer

Microsoft fixes Windows vulnerable driver blocklist sync issue

 Microsoft แก้ไขช่องโหว่ blocklist sync ของ Driver บน Windows

    Microsoft ประกาศเรื่องการแก้ไขปัญหาที่ทำให้ blocklist ของไดรเวอร์ที่มีช่องโหว่ไม่ถูกซิงค์กับระบบที่ใช้ Windows ในเวอร์ชันเก่า โดย blocklist นี้ (จัดเก็บไว้ในไฟล์ DriverSiPolicy.p7b) ได้รับการออกแบบมาเพื่อป้องกันการโจมตีแบบ Bring Your Own Vulnerable Driver (BYOVD) บนเครื่อง Windows ที่เปิดใช้งาน HVCI หรือผู้ที่ใช้ Windows ใน S Mode ซึ่งไดรเวอร์ที่มีช่องโหว่ในเคอร์เนลของ Windows จะทำให้สามารถปิดใช้งานโซลูชันด้านความปลอดภัย และควบคุมอุปกรณ์ รวมถึงการสั่งรันโค้ดที่เป็นอันตรายได้ ซึ่งเป็นเทคนิคการโจมตีที่ได้รับความนิยมในกลุ่มแฮ็กเกอร์ ตั้งแต่กลุ่มแรนซัมแวร์ไปจนถึงกลุ่มแฮ็กเกอร์ที่ได้รับการสนับสนุนจากรัฐ

    Microsoft ได้ประกาศว่า blocklist ของไดรเวอร์จะช่วยเสริมความแข็งแกร่งให้กับระบบ Windows ต่อไดรเวอร์ของบริษัทอื่นที่มีช่องโหว่ แต่ Will Dormann ผู้เชี่ยวชาญด้านความปลอดภัยจาก Analygence พบว่าไม่เป็นเช่นนั้น เนื่องจาก Windows 10 และ Windows 11 รวมทั้ง Windows Server ที่เป็นปัจจุบันก็ยังถูกโจมตีจาก BYOFD ได้อยู่

    เป็นระยะเวลามากกว่า 1 เดือนหลังจากที่ Dormann เปิดเผยว่ารายการไดรเวอร์ที่มีช่องโหว่นั้นยังไม่ได้รับการอัปเดตใน Windows 10 และระบบ Windows Server บางระบบ ในที่สุด Microsoft ก็ได้แก้ไขปัญหานี้ในที่สุด

    Microsoft ระบุกับ BleepingComputer ว่า "รายชื่อไดรเวอร์ที่มีช่องโหว่ได้รับการอัปเดตอยู่เป็นประจำ อย่างไรก็ตามมีข้อมูลว่ามีช่องโหว่ในการซิงโครไนซ์ข้ามเวอร์ชันของระบบปฏิบัติการ เราได้แก้ไขปัญหานี้แล้ว และจะอัปเดตใน Windows Updates ครั้งถัดไป และในอนาคต ในส่วนของเอกสารคำแนะนำจะได้รับการอัปเดตอีกครั้ง เมื่อมีการเผยแพร่การอัปเดตดังกล่าว"

    เมื่อวันอังคารที่ 25 ตุลาคมที่ผ่านมา Microsoft เริ่มอัปเดต Windows 11 (22H2) โดย blocklist จะถูกเปิดใช้งานโดยค่าเริ่มต้นในอุปกรณ์ทั้งหมด แต่การบล็อกไดรเวอร์อาจทำให้อุปกรณ์ หรือซอฟต์แวร์บางอย่างทำงานผิดพลาดได้ และไม่การันตีว่ารายการที่บล็อกจะสามารถบล็อกทุกไดรเวอร์ที่มีช่องโหว่ได้ สำหรับ Windows 10 และ Windows 11 (21H2) สามารถปิดใช้งาน blocklist ของไดรเวอร์ได้โดยการปิด Memory Integrity ในการตั้งค่า Core Isolation หรือหากใช้ Windows Defender Application Control (WDAC) ให้ปิดการใช้งานในการกำหนดค่า อย่างไรก็ตาม เนื่องจาก blocklist ของไดรเวอร์ถูกเปิดใช้งานโดยค่าเริ่มต้นถึงจะปิดใช้งาน Memory Integrity แต่ไม่รับรองว่าจะสามารถปิดใช้งาน blocklist ในระบบปฏิบัติการเวอร์ชันล่าสุดได้

 นอกจากนี้ Microsoft ยังให้คำแนะนำในการเปลี่ยนการตั้งค่า เพื่อปิดการใช้งาน blocklist ไดรเวอร์ ซึ่งตั้งค่าได้เฉพาะในเวอร์ชัน Windows Insider builds เท่านั้นแต่ BleepingComputer ลองทดสอบใน Insider Edition ก็ไม่สามารถหาวิธีการเปลี่ยนการตั้งค่าใน Windows 11 (22H2) เพื่อปิดการใช้งาน blocklist ได้ แต่ Dormann ระบุว่า blocklist สามารถปิดใช้งานได้โดยการตั้งค่าใน Registry แต่เนื่องจาก Microsoft ไม่มีเอกสารอย่างเป็นทางการเกี่ยวกับการตั้งค่า Registry นี้ ดังนั้นผู้ใช้งานจึงควรระมัดระวัง

Ref : BleepingComputer.com