VMware ออกแพตช์แก้ไขช่องโหว่ของ vRealize ที่ทำให้ผู้โจมตีรันคำสั่งด้วยสิทธิ root ได้

    VMware ออกแพตช์แก้ไขช่องโหว่ของ vRealize Log Insight ซึ่งทำให้ผู้โจมตีเรียกใช้คำสั่งที่เป็นอันตรายจากระยะไกล (Remote Code Execution) ไปยังเครื่องเป้าหมายที่ยังไม่ได้ทำการแพตช์ได้ vRealize Log Insight หรือปัจจุบันรู้จักกันในชื่อ VMware Aria Operations for Logs เป็นเครื่องมือ log analysis ที่ช่วยวิเคราะห์ application และ infrastructure log environment

รายละเอียดช่องโหว่

• CVE-2023-20864 (คะแนน CVSS: 9.8/10 ระดับความรุนแรงสูง) เป็นช่องโหว่ deserialization ที่สามารถเรียกใช้งานคำสั่งที่เป็นอันตรายจากระยะไกล Remote Code Execution (RCE) ด้วยสิทธิระดับสูง (Root) ได้โดยไม่ต้องผ่านการตรวจสอบสิทธิ์
• CVE-2023-20865 (คะแนน CVSS: 7.2/10 ระดับความรุนแรงสูง) เป็นช่องโหว่ที่แทรกคำสั่งของระบบปฏิบัติการ (OS) ใน VMware Aria Operations for Logs ด้วยสิทธิระดับสูง (Root) ได้โดยไม่ต้องผ่านการตรวจสอบสิทธิ์
• VMware ระบุว่า ยังไม่มีรายงานการโจมตีจากทั้งสองช่องโหว่นี้แต่อย่างใด โดยช่องโหว่ CVE-2023-20864 นั้นจะมีผลกับ VMware Aria Operations for Logs 8.10.2 เท่านั้น

คำแนะนำ

    ปัจจุบันทาง VMware ได้มีการปล่อย Patch อัปเดตสำหรับ VMware Aria Operations for Logs 8.12 ออกมาแล้ว แนะนำให้ผู้ใช้งานทำการ Update โดยเร็วที่สุด

Ref : bleepingcomputer

พบผู้ไม่ประสงค์ดีใช้ประโยชน์ Kubernetes RBAC ในการใช้เพื่อขุด Cryptocurrency

    รูปแบบการโจมตีที่ถูกค้นพบล่าสุดนั้น เป็นการใช้ประโยชน์จากคลัสเตอร์ Kubernetes – Role-Based Access Control หรือ K8s RBAC เพื่อสร้างแบ็คดอร์และรัน Cryptocurrency โดยใช้ DaemonSets เข้ามาช่วยในการดำเนินการโจมตี

    การโจมตีเริ่มต้นโดยผู้ไม่ประสงค์ดีสามารถเข้าถึงเซิร์ฟเวอร์ API ที่กำหนดค่าไม่ถูกต้อง จากนั้นจะใช้ดำเนินการ Malware miner บนเซิร์ฟเวอร์ที่ถูกโจมตี และต่อมาจะใช้ RBAC เพื่อตั้งค่าการคงอยู่ในระบบของเหยื่อ ในการโจมตีนั้น ถูกตรวจพบจากฮันนี่พอตของ K8s ซึ่งผู้ไม่ประสงค์ดีพยายามสร้างคีย์การเข้าถึง AWS เพื่อเข้าไปในระบบ, ขโมยข้อมูล และพยายามหลุดออกจากขอบเขตของคลัสเตอร์ K8s

  ขั้นตอนสุดท้ายของการโจมตีผู้ไม่ประสงค์ดีจะสร้าง DaemonSet เพื่อปรับใช้อิมเมจ   คอนเทนเนอร์ที่โฮสต์อยู่บน Docker : (“kuberntesio/kube-controller:1.0.1”) บนโหนดทั้งหมด โดยคอนเทนเนอร์ที่ถูกดึงออกมา 14,399 ครั้ง นับตั้งแต่อัปโหลดเมื่อ 5 เดือนที่แล้ว จะมี Cryptocurrency อยู่ด้วย

อิมเมจคอนเทนเนอร์ชื่อ ‘kuberntesio/kube-controller’ จะถูกเขียนขึ้นเพื่อแอบอ้างเป็นบัญชี ‘kubernetesio’ และยังเลียนแบบอิมเมจคอนเทนเนอร์ ‘kube-controller-manager’ ซึ่งเป็นส่วนประกอบที่สำคัญของการควบคุมการทำงานภายใน Pod บนโหนดหลักทุกโหนด โดยมีหน้าที่ตรวจจับและตอบสนองต่อความผิดปกติของโหนด

   จุดสังเกตที่น่าสนใจของกลวิธีบางอย่างในรูปแบบมีความคล้ายคลึงกับการดำเนินการขุด cryptocurrency ที่ผิดกฎหมายอื่น ๆ ซึ่งใช้ประโยชน์จาก DaemonSets เพื่อขุด Dero และ Monero แต่ขณะนี้ยังไม่ชัดเจนว่าการโจมตีทั้ง 2 ชุดมีความเกี่ยวข้องกันหรือไม่

คำแนะนำ

• ควรกำหนดสิทธิ์และจำกัดการเข้าถึง Resources ของ Root User 
• ควรบล็อคโดเมนที่ทำ Coin Mining ในไฟล์โฮสต์ 
• ควรเปิดใช้งาน AWS MFA หรือ Multi Factor Authentication 
• ควรตรวจสอบ Policy ที่ใช้งานอย่างสม่ำเสมอ

Ref: bleepingcomputer

ARES data leak forums แหล่งซื้อขายข้อมูลรั่วไหลแห่งใหม่ ที่มาแทน Breached forum

   กลุ่มผู้ไม่ประสงค์ดีในชื่อ ARES Group กำลังถูกพูดถึงเป็นอย่างมาก เนื่องจากการเปิดตัวเว็บไซต์ ARES Leaks forums ซึ่งเป็นแหล่งในการซื้อขายข้อมูลที่ถูกขโมยมาจากบริษัท และหน่วยงานของรัฐ ARES Group ปรากฎตัวบน Telegram ในช่วงปลายปี 2021 และมีความเกี่ยวข้องกับการดำเนินการของแรนซัมแวร์ RansomHouse และ KelvinSecurity รวมไปถึงแพลตฟอร์มการซื้อขายข้อมูลรั่วไหล และกลุ่ม Adrastea

    โดยการที่ ARES Group ออกมาประกาศเปิดตัวเว็บไซต์ ARES Leaks forums ซึ่งเป็นแหล่งในการซื้อขายข้อมูลรั่วไหล ที่อาจจะมาแทนที่ Breached forum ที่ปิดตัวลงไป นอกจากนี้ Cyfirma บริษัทด้านความปลอดภัยทางไซเบอร์ได้รายงานว่า ARES Group ได้พยายามสร้างความร่วมมือ และเป็นพันธมิตรกับกลุ่มผู้ไม่ประสงค์ดีอื่น ๆ เพื่อเข้าถึงข้อมูลจากกลุ่มต่าง ๆ อีกด้วย

ARES Leaks

    ARES Leaks มีการประกาศซื้อขายข้อมูลรั่วไหลจากกว่า 65 ประเทศ เช่น สหรัฐอเมริกา ฝรั่งเศส สเปน ออสเตรเลีย และอิตาลี โดยมีข้อมูลทุกประเภท ตั้งแต่หมายเลขโทรศัพท์, ที่อยู่อีเมล, รายละเอียดลูกค้า, B2B, SSN และฐานข้อมูลของบริษัท ไปจนถึงข้อมูล forex, ข้อมูลรั่วไหลของรัฐบาล และหนังสือเดินทาง ซึ่งสมาชิกสามารถซื้อข้อมูลเหล่านี้ได้ โดยการชำระเงินเป็น cryptocurrency

    นอกจากนี้ ARES Leaks ยังมีการประกาศขายช่องโหว่ที่สามารถใช้ในการโจมตี, การทดสอบเจาะระบบ, มัลแวร์ที่ถูกพัฒนาขึ้น และการโจมตีแบบ distributed denial of service (DDoS) อีกด้วย ARES Leaks มีช่องทางในการติดต่อส่วนตัว และช่องทาง VIP เพื่อซื้อขายข้อมูลขององค์กรที่มีชื่อเสียงซึ่งมีมูลค่าที่สูงกว่า รวมถึงการมุ่งเป้าหมายไปยังข้อมูลทางทหาร และฐานข้อมูลที่มีความสำคัญ โดยได้มีการประกาศ และโฆษณาไปยังแพลตฟอร์มต่าง ๆ ของกลุ่ม Hacker

LeakBase

    LeakBase เปิดตัวในต้นปี 2022 โดยเป็นโครงการที่ได้รับการสนับสนุนจากกลุ่ม ARES Group ซึ่งเป็นเว็บไซต์สำหรับกลุ่มผู้ไม่ประสงค์ดีโดยเฉพาะ โดยเปิดให้สามารถสมัครเข้าเป็นสมาชิกได้ฟรี นำเสนอฐานข้อมูลฟรี โดยเป็นพื้นที่ตลาดสำหรับการขายการข้อมูลรั่วไหล การขายช่องโหว่ และบริการการโจมตีต่าง ๆ โดยใช้ระบบการชำระเงิน escrow เพื่อสร้างความไว้วางใจ นอกจากนี้ยังมีพื้นที่สำหรับการเขียนโปรแกรม การเรียนรู้เคล็ดลับการเป็นผู้ไม่ประสงค์ดีเช่น hacking tips, การทำ social engineering, การเจาะระบบ, การเข้ารหัส การไม่เปิดเผยตัวตน และการสนทนาเกี่ยวกับ opsec

    Cyfirma พบเห็นฟอรัมที่กำลังเพิ่มมากขึ้นใน ARES Leaks ภายหลังจากที่ Breached forum ได้ปิดตัวลง รวมไปถึงคาดว่า LeakBase ก็จะค่อย ๆ เติบโต และกลายเป็นเหมือน Breached forum ในเร็ว ๆ นี้

Ref : bleepingcomputer

Google Chrome ออกแพตซ์อัปเดตเร่งด่วน แก้ไขช่องโหว่ Zero-day แรกของปี 2023

    Google ออกแพตซ์อัปเดตด้านความปลอดภัยเร่งด่วนสำหรับ Chrome เพื่อแก้ไขช่องโหว่ zero-day ที่กำลังถูกนำมาใช้ในการโจมตีเป็นครั้งแรกตั้งแต่ต้นปีนี้ โดย Google ระบุในคำแนะนำด้านความปลอดภัยที่เผยแพร่เมื่อวันศุกร์ที่ผ่านมาว่า (14 เมษายน 2566) ได้รับรายงานว่ากำลังมีการโจมตีโดยการใช้ประโยชน์จากช่องโหว่ CVE-2023-2033 อยู่ในปัจจุบันโดย Chrome เวอร์ชันใหม่ที่ออกมาจะทำให้ผู้ใช้งานทั้งหมดอัปเดตได้ครบถ้วนภายในอีกไม่กี่วัน หรือภายในสัปดาห์หน้า

    ผู้ใช้งาน Chrome ควรอัปเดตเป็นเวอร์ชัน 112.0.5615.121 โดยเร็วที่สุด โดยช่องโหว่ CVE-2023-2033 กระทบกับทั้งระบบ Windows, Mac และ Linux

รายละเอียดของการโจมตียังไม่มีการเปิดเผย

    มีการระบุข้อมูลของช่องโหว่ Zero-day CVE-2023-2033 ในเบื้องต้นว่าเกิดจากช่องโหว่ใน Chrome V8 JavaScript โดยช่องโหว่ได้รับการรายงานโดย Clement Lecigne จาก Google threat analysis group (TAG) ซึ่งเป้าหมายหลักของทีม TAG ของ Google คือการปกป้องผู้ใช้งานของ Google จากการโจมตีที่คาดว่าผู้โจมตีได้รับการสนับสนุนจากหน่วยงานรัฐบาล

    Google Tags มักจะรายงานช่องโหว่ Zero-day ที่ผู้โจมตีที่ได้รับการสนับสนุนจากหน่วยงานรัฐบาลนำมาใช้ประโยชน์จากการโจมตีเป้าหมายที่เป็นบุคคลระดับสูง เพื่อติดตั้งสปายแวร์บนอุปกรณ์ รวมไปถึงนักข่าว นักการเมืองฝ่ายค้าน และผู้ไม่เห็นด้วยกับรัฐบาลเหล่านั้นจากทั่วโลก

    แม้ว่าโดยทั่วไปช่องโหว่จะเกิดจากการทำให้เบราว์เซอร์หยุดการทำงานภายหลังจากการโจมตีได้สำเร็จผ่านทางการอ่าน หรือเขียนบนหน่วยความจำ แต่ผู้โจมตียังสามารถใช้ประโยชน์จากช่องโหว่เหล่านี้เพื่อเรียกใช้งานโค้ดที่เป็นอันตรายได้ตามที่ต้องการบนอุปกรณ์ที่ถูกโจมตี

    โดย Google ระบุว่าได้รับรายงานว่ากำลังมีการโจมตีโดยการใช้ประโยชน์จากช่องโหว่ CVE-2023-2033 แล้ว แต่จะยังไม่มีการเปิดเผยข้อมูลเพิ่มเติมเกี่ยวกับเหตุการณ์การโจมตีจนกว่าผู้ใช้งานส่วนใหญ่จะได้รับการอัปเดตแพตช์

  โดย Chrome จะทำการอัปเดตโดยอัตโนมัติ โดยที่ผู้ใช้งานไม่ต้องดำเนินการใด ๆ ส่วนหากต้องการอัปเดตด้วยตนเองสามารถเข้าไปที่ Chrome menu > Help > About Google Chrome เพื่ออัปเดตได้

Ref : bleepingcomputer

พบแฮกเกอร์ใช้ประโยชน์จากซอฟต์แวร์ WinRAR เพื่อติดตั้งแบ็คดอร์บนเครื่องเหยื่อ

    ผู้ไม่ประสงค์ดีเพิ่มฟังก์ชันการทำงานที่เป็นอันตรายลงในซอฟต์แวร์ WinRAR ผ่านการฝังไฟล์ SFX ลงไปเพื่อทำการติดตั้งแบ็คดอร์บนระบบของเป้าหมาย ซึ่งวิธีการนี้ส่งผลให้ผู้ไม่ประสงค์ดีสามารถหลบเลี่ยงการตรวจจับได้ โดยไฟล์ SFX จะมีไฟล์สำหรับเรียกใช้ PowerShell และตัวจัดการสิทธิ์การเข้าถึงของระบบ

    การโจมตีเริ่มต้นจากผู้ไม่ประสงค์ดีจะทำการฝังไฟล์ SFX ที่เข้ารหัสไว้ผ่าน WinRAR หรือ 7-Zip จากนั้นผู้ไม่ประสงค์ดีจะเข้าถึงระบบของเป้าหมายโดยการ compromised credentials และการใช้ Utility Manager (utilman[.] exe) ที่ถูกตั้งค่าให้กำหนดค่า debugger ใน Windows Registry ที่เป็นโปรแกรมเฉพาะ โดยจะเริ่มทำการ debug อัตโนมัติทุกครั้งที่เปิดโปรแกรม ต่อมาที่ utilman[.] exe จะเรียกใช้ไฟล์ SFX ที่ได้รับการออกแบบมาเพื่อเรียกใช้ PowerShell เพิ่มหลายคำสั่ง และสร้างไฟล์ SFX Archive เพื่อเปิดแบ็คดอร์บนระบบของเป้าหมาย

    ภายในไฟล์ SFX จะดูเหมือนว่าว่างเปล่า ส่งผลให้สามารถหลบเลี่ยงการตรวจจับจากโปรแกรมตรวจจับและผู้ดูแลระบบได้อย่างง่ายดาย แต่เมื่อไฟล์ SFX ได้ทำการ Combined เข้ากับ Registry Key เฉพาะ แล้วนั้นอาจทำให้ผู้ไม่ประสงค์ดีสร้างแบ็คดอร์อย่างถาวรบนระบบของเป้าหมายได้

    เหตุผลที่ผู้ไม่ประสงค์ดีเลือกใช้ utilman[.] exe นั้น เนื่องจากการใช้ utilman[.] exe ทำให้ผู้ไม่ประสงค์ดีสามารถกำหนดค่าแบ็คดอร์ผ่านตัว Image File Execution Options (IFEO) debugger ใน Registry Key ของ Windows ผู้ไม่ประสงค์ดีจะใช้ประโยชน์จาก IFEO Registry Key เพื่อเรียกใช้ไบนารี่ได้โดยไม่มีการตรวจสอบสิทธิ์และผ่านมาตรการรักษาความปลอดภัยบนระบบได้ แม้ว่าเป้าหมายจะไม่มีซอฟต์แวร์ WinRAR หรือ 7-Zip แต่ไฟล์ SFX ก็ยังสามารถแตกไฟล์และแสดงเนื้อหาบนเครื่องของเป้าหมายได้

คำแนะนำ

• ควรอัปเดตระบบปฏิบัติการและซอฟต์แวร์ป้องกันไวรัสอย่างสม่ำเสมอ
• ควรให้ความสนใจเป็นพิเศษกับคลังข้อมูล SFX
• ควรสแกนไฟล์ SFX Archives เพื่อหาฟังก์ชันที่ซ่อนอยู่เพิ่มเติม
• ไม่ควรดาวน์โหลดไฟล์หรือซอฟต์แวร์จากแหล่งที่ไม่น่าเชื่อถือ

Ref : cyware