LOOSE NEXUS กลุ่มไซเบอร์ในประเทศจีน หรือที่รู้จักกันในชื่อ APT41 มุ่งเป้าไปที่การโจมตีไปโรงงานไฟฟ้าในเอเชีย

    LOOSE NEXUS กลุ่มผู้ไม่ประสงค์ดีในประเทศจีน หรือที่รู้จักกันในชื่อ APT41 ที่มีการโจมตีด้วยมัลแวร์หรือมุ่งเน้นการโจมตีไปในเรื่องของการเงิน โดยปัจจุบันการโจมตีของกลุ่มนี้มีแนวโน้มที่จะมุ่งเป้าไปที่ โรงงานไฟฟ้า ในทวีปเอเชีย

    ทีม Threat Hunter ของ Symantec เปิดเผยว่ากลุ่มผู้ไม่ประสงค์ดีชาวจีนที่เชื่อมต่อกับ APT41 ซึ่ง Symantec เรียกกลุ่มนี้ว่า RedFly ได้ทำการโจมตีเครือข่ายคอมพิวเตอร์ของระบบส่งไฟฟ้าระดับชาติในแถบประเทศในเอเชีย ซึ่งยังไม่สามารถระบุชื่อประเทศที่เป็นเป้าหมายเกิดขึ้นในเดือนกุมภาพันธ์ของปีนี้และต่อเนื่องมาเป็นระยะเวลา 6 เดือนได้ โดยนักวิจัยจาก Mandiant ชี้ให้เห็นเบาะแสว่าเหตุการณ์ในครั้งนี้ แฮกเกอร์อาจเป็นกลุ่มเดียวกับที่เคยก่อเหตุก่อนหน้านี้โดยมุ่งเป้าไปที่ระบบสาธารณูปโภคด้านไฟฟ้าในอินเดีย การค้นพบของ Symantec เกิดขึ้นหลังจากคำเตือนจากหน่วยงาน Microsoft และหน่วยงานของสหรัฐอเมริกา รวมถึงหน่วยงานรักษาความปลอดภัยทางไซเบอร์และโครงสร้างพื้นฐาน (CISA) และหน่วยงานความมั่นคงแห่งชาติ (NSA) ว่ากลุ่มผู้ไม่ประสงค์ดีกลุ่มอื่นที่ได้รับการสนับสนุนจากรัฐจีน ซึ่งรู้จักกันในชื่อ Volt Typhoon ได้เจาะระบบสาธารณูปโภคด้านไฟฟ้าของสหรัฐฯ รวมถึง Guam ของสหรัฐอเมริกา ซึ่งอาจเป็นการเตรียมการสำหรับการโจมตีทางไซเบอร์ในกรณีที่เกิดข้อขัดแย้ง เช่น การเผชิญหน้าทางทหารในไต้หวัน

    หลักฐานบางอย่างบ่งชี้ว่าการโจมตีที่เน้นไปที่อินเดียในปี 2021 และการโจมตี โรงงานไฟฟ้าใหม่ที่ค้นพบโดย Symantec นั้นดำเนินการโดยผู้ไม่ประสงค์ดีกลุ่มเดียวกันซึ่งมีลิงก์ไปยังกลุ่มสายลับที่รัฐจีนสนับสนุนซึ่งรู้จักกันในชื่อ APT41 ซึ่งบางครั้งเรียกว่า Wicked Panda หรือ Barium, Symantec ตั้งข้อสังเกตว่าแฮกเกอร์ใช้มัลแวร์ตัวหนึ่งที่เรียกว่า ShadowPad ซึ่งถูกใช้งานโดยกลุ่มย่อย APT41 ในปี 2017 เพื่อติดตั้งคีย์ล็อกเกอร์ ซึ่งจะซ่อนอยู่ในระบบที่ติดไวรัสภายใต้ชื่อไฟล์ต่างๆ เช่น winlogon.exe และ hphelper.exe เพื่อแพร่เครื่องในการโจมตี เผยแพร่โดยบริษัทซอฟต์แวร์ NetSarang และในหลาย ๆ เหตุการณ์ที่เกิดขึ้นตั้งแต่นั้นมา ในปี 2020 สมาชิกที่ถูกกล่าวหา 5 คนของ APT41 ถูกฟ้องและระบุว่าทำงานให้กับกระทรวงความมั่นคงแห่งรัฐของจีนที่รู้จักกันในชื่อเฉิงตู 404 แต่แม้กระทั่งเมื่อปีที่แล้ว หน่วยสืบราชการลับของสหรัฐฯ ก็เตือนว่าแฮกเกอร์ภายใน APT41 ได้ขโมยเงินหลายล้านในสหรัฐจากกองทุนบรรเทาทุกข์ โควิด19 ซึ่งเป็นกรณีอาชญากรรมทางไซเบอร์ที่รัฐสนับสนุนซึ่งมุ่งเป้าไปที่รัฐบาลอื่น ซึ่งเกิดขึ้นไม่บ่อยนัก

    แม้ว่า Symantec จะไม่เชื่อมโยงกลุ่ม RedFly กับกลุ่มย่อยเฉพาะของ APT41 นักวิจัยจากบริษัทรักษาความปลอดภัยทางไซเบอร์ Mandiant ก็ชี้ให้เห็นว่า RedFly และแคมเปญแฮ็กโรงงานไฟฟ้าของอินเดียเมื่อหลายปีก่อนใช้โดเมนเดียวกันเป็นคำสั่ง และควบคุมเซิร์ฟเวอร์สำหรับมัลแวร์: Websencl.com นั่นแสดงให้เห็นว่ากลุ่ม RedFly อาจเชื่อมโยงกับเหตุการณ์ทั้งสองกรณีได้

Ref : wired

วิธีติดตั้ง FreePBX 16

1. ดาวน์โหลดไฟล์ ISO ไปที่ https://www.freepbx.org/

2. ไปที่แถบ Dowload และกด Dowload FreePBX 16
    

3. Boot ไฟล์ ISO FreePBX 16 เพื่อเริ่มขั้นตอนติดตั้ง

4. เลือก FreePBX 16 Installation (Asterisk 18) -Recommended

5. เลือก Graphical Installation - Output to VGA

6. เลือก FreePBX Standard

7. ตั้งรหัสผ่านของ root

8. เสร็จแล้วให้กด Done

9. จากนั้นรอให้ระบบติดตั้งจนเสร็จ

10. เมื่อติดตั้งเสร็จแล้ว ให้กด Reboot

11. Login ด้วย User Root

12. เปิด Web Browser และเข้าด้วย IP  จากนั้นให้กรอกข้อมูลเพื่อตั้งค่าระบบ

13. เมื่อตั้งค่าเสร็จ ก็จะได้หน้าของระบบที่พร้อมใช้งานแล้ว

NSA และ CISA เปิดเผยรายงาน 10 อันดับของการตั้งค่าที่ไม่ปลอดภัยบนระบบ

    สำนักงานความมั่นคงแห่งชาติ (NSA) และหน่วยงานรักษาความปลอดภัยทางไซเบอร์ และโครงสร้างพื้นฐาน (CISA) ได้เปิดเผยรายงานการค้นพบการตั้งค่าที่ไม่ปลอดภัยที่พบบ่อยที่สุด 10 อันดับ ซึ่งถูกพบโดย Red และ Blue Team ของบริษัทชั้นนำในโลก และหน่วยงานของรัฐบาล

    รวมไปถึงรายงานดังกล่าวยังให้ข้อมูลเกี่ยวกับ กลยุทธ์ เทคนิค และขั้นตอน (TTP) ที่ Hacker นำการตั้งค่าที่ไม่ปลอดภัยไปใช้ร่วมกับการโจมตีอย่างหลากหลาย เช่น การเข้าถึงระบบ (Initial Access), การแพร่กระจายไปในระบบ (Lateral Movement) และการขโมยข้อมูลที่สำคัญ (Exfiltration) โดยข้อมูลเหล่านี้ได้มา   จากผลการวิเคราะห์ในระหว่างการตอบสนองต่อเหตุการณ์ หรือ Incident Response 10 อันดับของการตั้งค่าที่ไม่ปลอดภัย ที่ถูกค้นพบ Red และ Blue Team รวมถึง ทีม NSA และ CISA Hunt และ Incident Response ได้แก่ :

1. การใช้การตั้งค่าเริ่มต้นของซอฟต์แวร์ และแอพพลิเคชัน (Default config)
2. การแยกสิทธิ์ของผู้ใช้งาน และผู้ดูแลระบบที่ไม่ถูกต้อง (Privilege control)
3. การตรวจสอบเครือข่ายภายในที่ไม่เพียงพอ (Network monitoring)
4. ไม่มีการแบ่งส่วนต่าง ๆ ของเครือข่ายในระบบ (Network segmentation)
5. การบริหารจัดการการอัปเดตซอฟต์แวร์ และแอพพลิเคชันที่ไม่มีประสิทธิภาพ (Patch Management)
6. การหลีกเลี่ยงการเข้าถึงระบบ (Bypass access controls)
7. การตั้งค่าการตรวจสอบสิทธิ์แบบหลายปัจจัยที่ไม่มีประสิทธิภาพ (Week MFA)
8. การทำรายการควบคุมการเข้าถึง (ACL) ที่ไม่ครอบคลุมในการแชร์เครือข่าย และบริการ
9. การใช้ credential ที่ไม่มีประสิทธิภาพ
10. การใช้ code ได้โดยไม่จำกัด (Unrestricted code execution)

    โดยข้อมูล 10 อันดับของการตั้งค่าที่ไม่ปลอดภัยนี้แสดงถึงความจำเป็นของผู้ผลิตซอฟต์แวร์ที่ต้องพัฒนา และปรับปรุงการออกแบบที่ปลอดภัย เพื่อแก้ไขการตั้งค่าที่ไม่ปลอดภัยได้อย่างมีประสิทธิภาพ ซึ่งต้องเริ่มต้นตั้งแต่การควบคุมความปลอดภัยเข้ากับสถาปัตยกรรมผลิตภัณฑ์ตั้งแต่ระยะเริ่มต้นของการพัฒนา และตลอดวงจรการพัฒนาซอฟต์แวร์ รวมถึงการใช้มาตรการป้องกันเชิงรุกเพื่อป้องกันช่องโหว่ทุกประเภท เช่น การใช้ภาษาการเขียนโค้ดที่ปลอดภัยสำหรับหน่วยความจำ หรือการการใช้คำสั่งแบบกำหนดพารามิเตอร์

    นอกจากนี้ควรมี multifactor authentication (MFA) สำหรับ privileged user และการกำหนดค่า MFA ให้เป็นค่าเริ่มต้น เพื่อเป็นแนวทางปฏิบัติตามมาตรฐานของการตั้งค่าที่ปลอดภัย

    NSA และ CISA ยังได้แนะนำให้ผู้ดูและระบบใช้มาตรการต่าง ๆ เพื่อลดความเสี่ยงในการถูกโจมตีจากการตั้งค่าที่ไม่ปลอดภัยดังนี้ :

• การยกเลิกการใช้ค่า Default config และ Default credential และเปลี่ยนไปตั้งค่าให้มีความแข็งแรงมากยิ่งขึ้น
• การปิดใช้งานบริการที่ไม่ได้ใช้ และตั้งค่าการใช้งาน access controls อย่างเข้มงวด
• การทำ Patch Management อย่างสม่ำเสมอ และจัดลำดับความสำคัญของการแก้ไขช่องโหว่ ให้แก่ช่องโหว่ที่ถูกใช้ในการโจมตี
• มีการควบคุม จำกัดตรวจสอบ และติดตาม administrative account หรือ privilege account อย่างต่อเนื่อง
• รวมถึงการนำ “MITRE ATT&CK for Enterprise framework” มาปรับใช้กับองค์กรเพื่อรับมือเหตุการณ์ด้านความปลอดภัยอีกด้วย

Ref : bleepingcomputer

Deadglyph: Advanced Backdoor New Malware

    ผู้เชี่ยวชาญด้านความปลอดภัยทางไซเบอร์พบ Advanced Backdoor ที่ยังไม่เคยมีการบันทึกไว้มาก่อนที่ถูกเรียกว่า "Deadglyph" ซึ่งถูกใช้โดยผู้ไม่ประสงค์ดีที่รู้จักกันในชื่อ "Stealth Falcon"

ESET ระบุในรายงานใหม่ที่แชร์กับ The Hacker News ว่า "โครงสร้างของ Deadglyph เป็นโครงสร้างที่ค่อนข้างผิดปกติ เนื่องจากประกอบด้วยส่วนประกอบที่ทำงานร่วมกัน - ส่วนหนึ่งเป็น x64 binary และอีกส่วนหนึ่งคือ .NET assembly"

    การรวมกันลักษณะนี้เป็นเรื่องผิดปกติ เนื่องจากมัลแวร์โดยทั่วไปจะใช้เพียงภาษาโปรแกรมเดียวสำหรับส่วนประกอบต่าง ๆ ความแตกต่างนี้อาจเป็นการบ่งชี้ถึงการพัฒนาส่วนประกอบทั้งสองนี้แยกกัน ในขณะเดียวกันก็ใช้ประโยชน์จากคุณสมบัติเฉพาะของภาษาโปรแกรมที่แตกต่างกัน

การใช้ภาษาโปรแกรมที่แตกต่างกันยังถูกสงสัยว่าเป็นกลยุทธ์ที่จงใจเพื่อป้องกันการวิเคราะห์ ทำให้มีความยากลำบากมากขึ้นในการตรวจสอบ และแก้ไขช่องโหว่

ต่างจาก Backdoor แบบดั้งเดิมที่มีลักษณะคล้ายกัน Backdoor Deadglyph จะรับคำสั่งจากเซิร์ฟเวอร์ที่ผู้ไม่ประสงค์ดีควบคุมในรูปแบบของโมดูลเพิ่มเติมที่ช่วยให้สร้าง process ใหม่ อ่านไฟล์ และรวบรวมข้อมูลจากระบบที่ถูกบุกรุก

    Stealth Falcon (aka FruityArmor) เป็นกลุ่มอาชญากรทางไซเบอร์ที่เชื่อว่ามีรัฐบาลสนับสนุน กลุ่มนี้ถูกพบครั้งแรกโดย Citizen Lab ในปี 2016 โดยเชื่อมโยงกับสปายแวร์แบบที่มุ่งเป้าหมายไปยังประเทศในตะวันออกกลาง โดยมีเป้าหมายเป็นนักข่าว นักเคลื่อนไหว และผู้เห็นต่างในสหรัฐอาหรับเอมิเรตส์

การสืบสวนครั้งต่อมาที่ดำเนินการโดย Reuters ในปี 2019 ได้เปิดเผยการปฏิบัติการลับชื่อ Project Raven ซึ่งเกี่ยวข้องกับกลุ่มอดีตเจ้าหน้าที่ข่าวกรองสหรัฐฯ ที่ได้รับการว่าจ้างจากบริษัทด้านความปลอดภัยไซเบอร์ชื่อ DarkMatter เพื่อสอดแนมเป้าหมายที่วิจารณ์สถาบันกษัตริย์อาหรับ

    Stealth Falcon และ Project Raven ถูกเชื่อว่าเป็นกลุ่มเดียวกัน เนื่องจากมีความเชื่อมโยงกันในด้านเทคนิคการโจมตี และเป้าหมาย กลุ่ม Stealth Falcon ได้ถูกเชื่อมโยงกับการใช้ประโยชน์จากช่องโหว่แบบ zero-day ใน Windows เช่น CVE-2018-8611 และ CVE-2019-0797 โดย Mandiant ระบุในเดือนเมษายน 2020 ว่ากลุ่มผู้ไม่ประสงค์ดีนี้ "ใช้ช่องโหว่แบบ zero-day ในการโจมตีมากกว่ากลุ่มอื่น ๆ" ในช่วงปี 2016 ถึง 2019 ในช่วงเวลาเดียวกัน ESET ได้อธิบายถึงการใช้ Backdoor ที่มีชื่อว่า Win32/StealthFalcon ซึ่งพบว่าใช้ Windows Background Intelligent Transfer Service (BITS) สำหรับการสื่อสารกับ C2 server และเพื่อให้ได้สิทธิ์ควบคุมอุปกรณ์ปลายทางอย่างสมบูรณ์ ตามรายงานระบุว่า Deadglyph เป็น Backdoor ล่าสุดที่กลุ่ม Stealth Falcon ใช้ โดยได้วิเคราะห์จากการโจมตีหน่วยงานรัฐบาลที่ไม่ระบุชื่อในตะวันออกกลาง

    วิธีที่ใช้ในการฝังมัลแวร์ไปยังเป้าหมาย ยังไม่เป็นที่ทราบแน่ชัด แต่ส่วนประกอบเริ่มต้นที่ใช้ในการเริ่มการดำเนินงานของมันคือโปรแกรม loader ของ shellcode ที่ถูกแยก และโหลด shellcode จาก Registry Windows ซึ่งจากนั้นจะเรียกใช้งาน Deadglyph's native x64 module ที่เรียกว่า Executor ของ Deadglyph

จากนั้น Executor จะดำเนินการโหลดส่วนประกอบ .NET ที่เรียกว่า Orchestrator ซึ่งจะสื่อสาร C2 server เพื่อรอรับคำสั่งเพิ่มเติม มัลแวร์ยังมีวิธีการเพื่อหลีกเลี่ยงการตรวจจับ ซึ่งรวมถึงความสามารถในการถอนการติดตั้งตัวเอง

 คำสั่งที่ได้รับจากเซิร์ฟเวอร์จะถูกเรียงลำดับไว้เพื่อรอการดำเนินการ และสามารถแบ่งออกเป็นสามประเภท ได้แก่ Orchestrator tasks, Executor tasks และ Upload tasks ESET รายงานว่า Executor tasks ช่วยให้สามารถจัดการกับ backdoor และเรียกใช้โมดูลเพิ่มเติมได้, Orchestrator tasks ช่วยให้สามารถจัดการการกำหนดค่าของโมดูล Network และ Timer และยังสามารถยกเลิก tasks ที่ค้างอยู่ได้ Executor tasks บางส่วนที่ระบุไว้ประกอบด้วยการสร้าง process การเข้าถึงไฟล์ และการรวบรวม metadata ของระบบ, โมดูล Timer ถูกใช้ในการตรวจสอบเซิร์ฟเวอร์ C2 โดยใช้ร่วมกับโมดูล Network ซึ่งใช้การสื่อสาร C2 โดยใช้การ request ผ่าน HTTPS POST ส่วน Upload tasks คือการให้สิทธิ์ให้ backdoor สามารถอัปโหลดผลลัพธ์จากคำสั่ง และข้อผิดพลาดได้

    ESET รายงานว่าสามารถระบุหน้าจอควบคุม (Control Panel, CPL) ที่ถูกอัปโหลดไปยัง VirusTotal จากประเทศกาตาร์ ซึ่งรายงานว่ามันเป็นจุดเริ่มต้นของการโจมตี multi-stage chain ซึ่งนำไปสู่การดาวน์โหลด shellcode ที่มีความคล้ายกับ Deadglyph แม้ลักษณะของ shellcode ที่ดึงมาจากเซิร์ฟเวอร์ C2 ยังคงไม่ชัดเจน แต่มีการสรุปว่าอาจจะใช้เป็นตัวติดตั้งสำหรับมัลแวร์ Deadglyph

 "Deadglyph ได้รับชื่อมาจากข้อมูลที่พบในตัว backdoor (hexadecimal IDs 0xDEADB001 และ 0xDEADB101 สำหรับโมดูล Timer และการกำหนดค่า) ร่วมกับการใช้การโจมตี homoglyph ที่ปลอมตัวเป็น Microsoft ("Microsoft Corporation") ใน Registry shellcode loader's VERSIONINFO resource."

  Deadglyph มีกลไกการป้องกันการตรวจจับที่หลากหลาย รวมถึงการตรวจสอบขั้นตอนการทำงานของระบบอย่างต่อเนื่อง และการใช้รูปแบบเครือข่ายแบบสุ่ม นอกจากนี้ Backdoor ยังสามารถถอนการติดตั้งตัวเองได้เพื่อลดความเสี่ยงในการถูกตรวจพบในบางกรณี

Ref : thehackernews

Google กำหนดให้ช่องโหว่ใหม่ใน libwebp ที่กำลังถูกใช้ในการโจมตี มีระดับความรุนแรงสูงสุด

    Google ได้กำหนด CVE ID ใหม่ (CVE-2023-5129) ให้กับช่องโหว่ด้านความปลอดภัย libwebp ที่ถูกใช้ในการโจมตีแบบ Zero-day และพึ่งมีแพตช์แก้ไขออกมาเมื่อสองสัปดาห์ก่อน

ในตอนแรก Google ได้เปิดเผยช่องโหว่ดังกล่าวว่าเป็นช่องโหว่ใน Chrome ที่มีหมายเลข CVE-2023-4863 มากกว่าที่จะกำหนดให้เป็นช่องโหว่ใน open-source ไลบรารี libwebp ที่ใช้สำหรับการ encode และ decode ภาพในรูปแบบ WebP

    โดยช่องโหว่นี้ได้รับการรายงานร่วมกันโดย Apple Security Engineering and Architecture (SEAR) และ Citizen Lab ที่ Munk School ของมหาวิทยาลัยโตรอนโตในวันพุธที่ 6 กันยายน และถูกแก้ไขโดย Google ในเวลาไม่ถึงหนึ่งสัปดาห์ต่อมา

    นักวิจัยด้านความปลอดภัยที่ Citizen Lab มีประวัติที่เป็นที่ยอมรับในการตรวจจับ และเปิดเผยข้อมูลช่องโหว่ zero-days ที่ถูกใช้ในการโจมตีจากสปายแวร์แบบกำหนดเป้าหมาย ซึ่งมักจะเกี่ยวข้องกับกลุ่มผู้โจมตีที่ได้รับการสนับสนุนจากรัฐบาล โดยมุ่งเป้าไปที่บุคคลที่มีความเสี่ยงสูงเป็นหลัก เช่น นักข่าว และนักการเมืองฝ่ายตรงข้าม

    การตัดสินใจในช่วงแรกว่าเป็นช่องโหว่ของ Chrome ทำให้เกิดความสับสนในกลุ่มนักวิจัยด้านความปลอดภัยทางไซเบอร์ ซึ่งทำให้เกิดคำถามเกี่ยวกับวิธีการของ Google ในการจัดหมวดหมู่ช่องโหว่ว่าเป็นของ Google Chrome แทนที่จะระบุว่าเป็นช่องโหว่ใน libwebp

    Ben Hawkes ผู้ก่อตั้งบริษัทที่ปรึกษาด้านความปลอดภัย (ซึ่งก่อนหน้านี้เคยเป็นผู้นำทีม Project Zero ของ Google) ยังได้เชื่อมโยง CVE-2023-4863 กับช่องโหว่ CVE-2023-41064 ที่ Apple แก้ไขเมื่อวันที่ 7 กันยายน และถูกใช้เป็นส่วนหนึ่งของการโจมตีแบบ zero-click ใน iMessage (หรือที่ถูกเรียกว่า BLAST PASS) ด้วย Pegasus Spyware ของ NSO Group บน iPhone ที่ถึงแม้จะได้รับการอัปเดตแพตช์อย่างเต็มรูปแบบก็ตาม

ระดับความรุนแรงของ CVE

    อย่างไรก็ตาม ขณะนี้ Google ได้กำหนด CVE ID ใหม่แล้วคือ CVE-2023-5129 ซึ่งระบุว่าเป็นความรุนแรงระดับ critical ใน libwebp โดยมีระดับความรุนแรงสูงสุด 10/10 การเปลี่ยนแปลงนี้มีผลกระทบอย่างมีนัยสำคัญต่อโปรเจ็กต์อื่น ๆ ที่ใช้ใน open-source ไลบรารี libwebp

    โดยขณะนี้ได้มีการยอมรับอย่างเป็นทางการแล้วว่าช่องโหว่ลักษณะดังกล่าวเป็นช่องโหว่ของ libwebp โดยเป็นช่องโหว่ heap buffer overflow ใน WebP ซึ่งส่งผลกระทบต่อ Google Chrome เวอร์ชันก่อนหน้า 116.0.5845.187

    ช่องโหว่นี้อยู่ภายในอัลกอริธึมการเข้ารหัส Huffman ที่ใช้โดย libwebp สำหรับ lossless compression และทำให้ผู้โจมตีสามารถ execute out-of-bounds memory writes โดยใช้หน้า HTML ที่สร้างขึ้นมาเป็นพิเศษ

    การใช้ประโยชน์จากช่องโหว่นี้อาจส่งผลร้ายแรง ตั้งแต่การหยุดการทำงาน ไปจนถึงการเรียกใช้โค้ดตามที่ต้องการ และการเข้าถึงข้อมูลที่มีความสำคัญโดยไม่ได้รับอนุญาต

    การจัดประเภทใหม่ของ CVE-2023-5129 ว่าเป็นช่องโหว่ใน libwebp มีความสำคัญมาก เนื่องจากในตอนแรกไม่มีใครสังเกตเห็นว่าเป็นภัยคุกคามที่อาจเกิดขึ้นสำหรับหลายโครงการที่ใช้ libwebp รวมถึง 1Password, Signal, Safari, Mozilla Firefox, Microsoft Edge, Opera และ Native เว็บเบราว์เซอร์ Android

รายชื่อแอพพลิเคชัน และซอฟแวร์ต่าง ๆ บางส่วน ที่อาจได้รับผลกระทบจากช่องโหว่ของ libwebp

Google Chrome

Microsoft Edge

Safari

Opera

Slack

Discord

GitHub Desktop

Mozilla FireFox

1Password

balenaEtcher

Basecamp 3

Beaker (web browser)

Bitwarden

CrashPlan

Cryptocat (discontinued)

Eclipse Theia

FreeTube

GitKraken

Joplin

Keybase

Lbry

Light Table

Logitech Options+

LosslessCut

Mattermost

Microsoft Teams