LockBit Ransomware กลับมาโจมตีอีกครั้งด้วย Encryption และ server ใหม่

    กลุ่ม LockBit ransomware ได้กลับมาเริ่มโจมตีอีกครั้ง พร้อมตัวเข้ารหัสที่ได้รับการอัปเดต และ server ตัวใหม่ หลังจากที่ทาง NCA, FBI และ Europol ได้ทำการประสานงานเพื่อปิดบริการการดำเนินการของ LockBit ransomware ในชื่อ “Operation Cronos”

    ในการดำเนินการครั้งนี้ หน่วยงานบังคับใช้กฎหมายได้เข้ายึดระบบโครงสร้างพื้นฐาน, ตัวเข้ารหัส รวมถึงได้แก้ไขหน้าเว็บไซต์ของ data leak ให้กลายหน้าเว็บไซต์ของ FBI แทน

    ต่อมากลุ่ม LockBit ransomware ได้ทำการแก้ไขหน้าเว็บไซต์ของ data leak คืน พร้อมทั้งฝากข้อความไปยัง FBI โดยอ้างว่าทาง FBI ได้ทำการโจมตี server โดยใช้ช่องโหว่ของ PHP ทั้งนี้กลุ่ม LockBit ransomware ได้ประกาศว่าจะกลับมาพร้อมกับโครงสร้างพื้นฐานที่ได้รับการอัปเดตความปลอดภัยใหม่ เพื่อป้องกันไม่ให้หน่วยงานรัฐสามารถทำการโจมตีระบบปฏิบัติการ และเข้าถึงตัวถอดรหัสได้อีกครั้ง

การอัปเดต LockBit encryptor ที่ใช้ในการโจมตี

    ต่อมาได้พบว่ากลุ่ม LockBit ransomware ได้กลับมาเริ่มโจมตีอีกครั้งด้วยการเข้ารหัสใหม่ รวมถึงการตั้งค่าโครงสร้างพื้นฐานสำหรับเว็บไซต์ data leak และเว็บไซต์การเจรจาต่อรองในรูปแบบใหม่

    Zscaler รายงานว่ากลุ่ม LockBit ได้อัปเดตบันทึกค่าไถ่ของตัวเข้ารหัสด้วย URL ของ Tor สำหรับโครงสร้างพื้นฐานใหม่ของกลุ่ม ต่อมา BleepingComputer พบตัวอย่างของตัวเข้ารหัสตัวใหม่ที่ถูกอัปโหลดไปยัง VirusTotal โดย MalwareHunterTeam

    รวมถึง BleepingComputer ได้ยืนยันว่า server ที่ใช้ในการเจรจาต่อรองค่าไถ่กลับมาใช้งานได้อีกครั้ง แต่ใช้งานได้เฉพาะกับเหยื่อของการโจมตีครั้งใหม่เท่านั้น

    โดยกลุ่ม LockBit ransomware มีพันธมิตรในเครือข่ายประมาณ 180 ราย ที่ทำงานร่วมกันเพื่อทำการโจมตีเป้าหมายต่าง ๆ รวมถึงยังมีการรับสมัคร Pentester ที่มีประสบการณ์เพื่อเข้าร่วมปฏิบัติการโจมตี ซึ่งอาจนำไปสู่การโจมตีที่เพิ่มขึ้นในอนาคต

    ดังนั้นการติดตามความเคลื่อนไหวของกลุ่ม LockBit ransomware ยังคงมีต่อไปเนื่องจากเป็นกลุ่ม Hacker ที่มีความสามารถ และมีเครือข่ายที่ขว้างขวาง ที่สามารถสร้างผลกระทบเป็นวงกว้างได้

ref : https://www.bleepingcomputer.com/news/security/lockbit-ransomware-returns-to-attacks-with-new-encryptors-servers/

Apple ได้แก้ไขช่องโหว่ iOS ที่เกิดขึ้นสองช่องโหว่

    Apple ได้ออกอัปเดตความปลอดภัยฉุกเฉินเพื่อแก้ไขช่องโหว่ zero-day iOS สองช่องโหว่ที่ถูกใช้ในการโจมตี iphone ในรายงานการให้คําปรึกษาที่ออกเมื่อวันอังคารที่ผ่านมาบริษัทกล่าวว่า"แอ็ปเปิ้ลรู้ว่ามีรายงานว่าปัญหานี้อาจถูกใช้ประโยชน์

   ช่องโหว่ทั้งสองนี้ถูกค้นพบใน Kernel iOS CVE-2024-23225 และRTK CVE-2024-23296  ซึ่งทั้งสองช่องโหว่ช่วยทำให้ผู้ไม่ประสงค์ดีมีความสามารถในสิทธิ์การอ่าน เขียน Kernel ภายในระบบ สามารถหลีกเลี่ยงการป้องกันหน่วยความจํา Kernel 

    Apple  ได้แก้ไขข้อบกพร่องด้านความปลอดภัยของอุปกรณ์ที่ใช้  iOS17.4,  iPadOS 17.4,  iOS 16.76,  iPad 16.7.6  และรายการอุปกรณ์ Apple รุ่นที่ได้รับผลกระทบ

            iPhone XS และรุ่นที่สูงกว่า, iPhone 8, iPhone 8 Plus, iPhone X, iPad 5th generation, iPad Pro 9.7-inch, and iPad Pro 12.9-inch 1st generation

            iPad Pro 12.9-inch 2nd generation  และรุ่นที่สูงกว่า  iPad Pro 10.5-inch,  iPad Pro 11-inch 1st generation และรุ่นที่สูงกว่า,  iPad Air 3rd generation และรุ่นที่สูงกว่า,  iPad 6th generation และรุ่นที่สูงกว่า, iPad mini 5th generation และรุ่นที่สูงกว่า

    Apple ไม่ได้เปิดเผยว่าข้อมูลผู้ค้นพบช่องโหว่ zero-day และไม่ได้เผยแพร่ข้อมูลเกี่ยวกับการใช้ประโยชน์จากช่องโหว่ iOS zero-day ในการโจมตีด้วย spy-ware ไปที่รัฐบาล และบุคคลทางการเมืองของประเทศ จากการโจมตีนี้ผู้ไม่ประสงค์ดีมีการกําหนดเป้าหมายที่เฉพาะเจาะจง แต่ว่าทาง Apple ประกาศให้อัปเดตความปลอดภัยโดยเร็วที่สุดเพื่อป้องกันการโจมตีที่อาจเกิดขึ้น

    ช่องโหว่ zero-day ที่เกิดขึ้นใหม่เกิดขึ้นในเดือนมกราคม 2024 และทาง Apple ได้มีดำเนินการแก้ไขทั้งหมด 20 ช่องโหว่ ที่เกิดขึ้นในปีที่ผ่านมาได้แก่

            twozero-days (CVE-2023-42916 and CVE-2023-42917)ในเดือนพฤศจิกายน

            twozero-days (CVE-2023-42824 and CVE-2023-5217) ในเดือนตุลาคม

      fivezero-days (CVE-2023-41061, CVE-2023-41064, CVE-2023-41991, CVE-2023-41992, and CVE-2023-41993)  ในเดือนกันยายน

            two zero-days (CVE-2023-37450 and CVE-2023-38606)ในเดือนกรกฎาคม

            threezero-days (CVE-2023-32434, CVE-2023-32435, and CVE-2023-32439) ในเดือนมิถุนายน

            threemore zero-days (CVE-2023-32409, CVE-2023-28204, and CVE-2023-32373) ในเดือนพฤษภาคม

            twozero-days (CVE-2023-28206 and CVE-2023-28205) ในเดือนเมษายน

            และ WebKit zero-day (CVE-2023-23529) ในเดือนกุมภาพันธ์

 

Ref : bleepingcomputer

ช่องโหว่ใหม่ที่มีความเสี่ยงร้ายแรง TeamCity ของ JetBrains ได้รับการแก้ไขแล้ว

    มีช่องโหว่ร้ายแรง CVE-2024-27198 ใน CI/CD ภายในของ TeamCity ของ JetBrains ที่ช่วยให้ผู้ไม่ประสงค์ดีโจมตีจากระยะไกล RAT ที่ไม่ได้รับการตรวจสอบสิทธิ์สามารถควบคุมเซิร์ฟเวอร์โดยใช้สิทธิ์ผู้ดูแลระบบ 

    เนื่องจากมีรายละเอียดทางเทคนิคที่สมบูรณ์สําหรับใช้ในการการสร้างช่องโหว่จากสิทธิ์ผู้ดูแลระบบ แนะนําให้อัปเดตซอฟแวร์ของระบบให้เป็นเวอร์ชันล่าสุด หรือติดตั้งปลั๊กอินแพทช์ความปลอดภัยเวอร์ชันล่าสุด

    JetBrains ได้เปิดตัวผลิตภัณฑ์เวอร์ชันใหม่ซึ่งรวมถึงแก้ไขปัญหาช่องโหว่ด้านความปลอดภัยที่รุนแรงจาก CVE-2024-27199 ซึ่งช่วยให้สามารถปรับเปลี่ยนการตั้งค่าระบบจํานวนจํากัดโดยไม่ต้องรับรองความถูกต้อง

    ปัญหาทั้งสองนี้ส่งผลถึงซอฟต์แวร์เวอร์ชันทั้งหมดที่ติดตั้งภายในเครื่อง โดยจากทาง TeamCity ได้ตรวจสอบและแก้ไขปัญหาอย่างต่อเนื่อง CI/CD และช่วยให้นักพัฒนาซอฟต์แวร์สร้างและทดสอบผลิตภัณฑ์ของตนโดยอัตโนมัติ

ช่องโหว่ที่ยังไม่ได้รับการแก้ไข

    ช่องโหว่ทั้งสองนี้ถูกค้นพบโดย Stephen Nino หัวหน้านักวิจัยด้านความปลอดภัยของ Rapid 7 และรายงานไปยัง JetBrains ในช่วงกลางเดือนกุมภาพันธ์

    CVE-2024-27198 ช่องโหว่มีความเสี่ยงร้ายแรง ความรุนแรง 9.8 มีช่องโหว่ในการหลีกเลี่ยงการตรวจสอบสิทธิ์ที่สร้างขึ้น ไปยังส่วนสำคัญของ TeamCity

  CVE-2024-27199 ช่องโหว่มีความเสี่ยงสูง ความรุนแรง 7.3  มีช่องโหว่ในการอนุญาตผ่านการตรวจสอบสิทธิ์เข้าไปยังส่วนสำคัญ TeamCity

   นักวิจัยเตือนว่า CVE-2024-27198 ช่วยให้ผู้ไม่ประสงค์ดีโจมตีโดยสามารถควบคุมเซิร์ฟเวอร์ภายในของ TeamCity ได้อย่างสมบูรณ์รวมถึงการเรียกใช้งานรันคำสั่งระยะไกล 

  Rapid 7 พิสูจน์ความรุนแรงของช่องโหว่โดยการสร้างช่องโหว่ที่สร้างการตรวจสอบสิทธิ์และอนุญาตให้เข้าถึง shell Meterpreter บนเซิร์ฟเวอร์ TeamCity

    Rapid 7 ให้คําอธิบายเกี่ยวกับสาเหตุของช่องโหว่ และวิธีการเรียกใช้และใช้ประโยชน์จากช่องโหว่เพื่อสร้างบัญชีผู้ดูแลระบบใหม่ หรือสร้าง token การเข้าถึงผู้ดูแลระบบใหม่เพื่อให้สามารถควบคุมเซิร์ฟเวอร์เป้าหมายได้อย่างสมบูรณ์ โดยจุดประสงค์ของผู้ไม่หวังดีจําเป็นต้องอยู่ในเครือข่ายของเหยื่อต่อเพื่อให้สามารถควบคุมได้จากระยะไกล 

    Rapid 7 อธิบายว่าผู้ไม่ประสงค์ดีที่โจมตีสามารถสร้างเงื่อนไข DoS บนเซิร์ฟเวอร์ได้โดยการเปลี่ยนหมายเลขพอร์ต HTTPS หรืออัปโหลดใบรับรองที่ไม่ได้รับการตรวจสอบจาก Client

วิธีการแก้ไขและปรับปรุง

    ก่อนหน้านี้ JetBrains ประกาศเปิดตัว TeamCity 2023.11.4  ซึ่งแก้ไขช่องโหว่ทั้งสองนี้แต่ไม่ได้ให้รายละเอียดเกี่ยวกับปัญหาด้านความปลอดภัยที่แก้ไขแล้ว

    ในบทความบล็อกที่สองบริษัทได้เปิดเผยถึงความรุนแรงของปัญหา และผลกระทบจากการใช้ประโยชน์จากปัญหาเหล่านี้และชี้ให้เห็นว่า เวอร์ชันทั้งหมดก่อน 2023.11.3 ได้รับผลกระทบจากช่องโหว่ 

    ขอแนะนําให้ผู้ดูแลระบบอัปเดตเซิร์ฟเวอร์เป็นเวอร์ชัน 2023.11.4 หากไม่สามารถทําได้มีปลั๊กอินแพทช์รักษาความปลอดภัยสําหรับ  TeamCity 2018.2 และสําหรับ TeamCity 2018.1 

    JetBrains Cloud ของเซิร์ฟเวอร์ได้รับการแก้ไขและไม่มีข้อบ่งชี้ว่าผู้ไม่ประสงค์ดีพยายามโจมตีจากช่องโหว่ทั้งสองนี้

 

 Ref : bleepingcomputer 

 

ตั้งแต่เดือนสิงหาคมข้อผิดพลาดของ Kernel ของ Windows ที่ถูกโจมตีจากผู้ไม่ประสงค์ดีในเดือนที่แล้วได้รับการแก้ไขแล้ว

  

           ในเดือนกุมภาพันธ์ของปีที่ผ่านมา Microsoft ได้แก้ไขช่องโหว่ในการอัพเกรดสิทธิ์  Kernel  ของ  Windows  ที่มีความร้ายแรงสูง และหกเดือนต่อมา  Microsoft  ได้รับแจ้งว่าช่องโหว่  Zero-day

       ช่องโหว่ด้านความปลอดภัยถูกติดตามเป็น  CVE-2024-21338  โดยนักวิจัยด้านมัลแวร์อาวุโสของ  Avast Jan Vojt hiek  พบในโปรแกรมควบคุมappid.sys Windows AppLockerและรายงานไปยังMicrosoftในเดือนสิงหาคมปีที่แล้วว่าเป็นช่องโหว่zero-dayที่ใช้งานอยู่

        ช่องโหว่นี้ส่งผลกระทบต่อระบบที่ใช้  Windows 10  และ  Windows  11  หลายรุ่น (รวมถึงเวอร์ชันล่าสุด) และ  Windows Server 2019  และ   2022

หลังจาก 6 เดือนจากการพบช่องโหว่

        Avast ยังออกมากล่าวว่าผู้ไม่ประสงค์ดีจากประเทศเกาหลีเหนือกลุ่ม  Lazarus  ได้ใช้ช่องโหว่ในการโจมตี  zero-day  ตั้งแต่เดือนสิงหาคม  2023  เพื่อเพิ่มสิทธิ์เข้าถึงระดับ  kernel  และปิดเครื่องมือรักษาความปลอดภัยเพื่อหลีกเลี่ยงการใช้เทคโนโลยี BYOVD   ที่ตรวจจับได้ง่ายขึ้น

        การโจมตีนี้จากผู้ไม่ประสงค์ดีในระดับ kernel อาจถูกโจมตีในส่วนซอฟต์แวร์ความปลอดภัยของระบบ ปิดการตรวจจับ แพร่กระจาย Malware เข้าสู่ระบบไฟล์ข้อมูลและระบบเน็ตเวิร์ค ปิดการใช้งานโหมดKernel telemetry

        นอกจากนี้ความปลอดภัยของ   PPL  (protected process light )  ขึ้นอยู่กับขอบเขตของผู้ดูแลระบบไปยังเคอร์เนล โดยผู้ไม่ประสงค์ดีสามารถปลอมแปลงกระบวนการที่ได้รับการป้องกัน หรือเพิ่มการป้องกันไปยังกระบวนการอื่น ๆ อาจมีผลให้ประสิทธิภาพ lsass ที่ได้รับการป้องกันโดย runAsPPL อาจทำให้สามารถหลีกเลี่ยง PPL ทำให้ผู้ไม่ประสงค์ดีสามารถถ่ายโอนข้อมูลไปยังที่ไม่สามารถเข้าถึงได้

        กลุ่มผู้ไม่ประสงค์ดี Lazarus ใช้ประโยชน์จากช่องโหว่นี้เพื่อสร้าง  Primitives Kernel  ที่อ่านและเขียนซึ่งทำให้  rootkit FudModule สามารถดําเนินการที่  kernel  ได้โดยตรง

       โดยการอัปเดต FudModule ใหม่นี้มีการซ่อนตัวจากระบบ และปรับปรุงคุณลักษณะที่สําคัญรวมถึงเทคโนโลยี  rootkit  ใหม่ที่ปรับปรุงใหม่นี้เพื่อป้องกันการหลีกเลี่ยงการตรวจจับ และปิดการรักษาความปลอดภัย  AhnLab V3, Windows Defender, CrowdStrike Falcon และ the HitmanPro security protections

        การวิเคราะห์การโจมตีจาก Avast ยังพบ Malware Trojan RAT ที่ไม่รู้จักก่อนหน้านี้ที่ใช้โดยกลุ่มผู้ไม่ประสงค์ดี Lazarus  ซึ่งจะเป็นจุดสนใจ  BlackHat Asia  ในเดือนเมษายน

        โดยทาง Avast แนะนำให้ผู้ใช้งาน Windows ติดตั้ง Patch Update  ประจำเดือนกุมภาพันธ์  2024  ให้เร็วที่สุดในวันอังคารเพื่อหยุดการโจมตี  CVE-2024-21338  จากกลุ่มผู้ไม่ประสงค์ดี  Lazarus

Ref : bleepingcomputer

Bifrost Malware ใหม่บน Linux เลียนแบบโดเมน VMware เพื่อหลีกเลี่ยงการตรวจจับ

 

        Malware Bifrost Remote Access Trojan รูปแบบใหม่บนระบบปฏิบัติการ Linux และบนโดเมนใน VMware โดยสามารถหลีกเลี่ยงจากระบบตรวจจับได้มากขึ้น

        Bifrost ถูกค้นพบครั้งแรกเมื่อ  20  ปีก่อนเป็น  Malware  ที่โจมตีโดยการล่อลวงผู้ใช้งานผ่านไฟล์แนบอีเมล  จากเว็บไซต์เว็ปไซต์ทั่วไป และไฟล์ที่ถูกดาวน์โหลดจากเว็ปไซต์

        นักวิจัยจาก Palo Alto Network Unit 42 ได้ตรวจพบว่าถึง Malware Bifrost มีรูปแบบวิธีการใหม่หลากหลายที่จะสามารถฝังตัวอยู่ภายในระบบ และหลีกเลี่ยงการตรวจจับ

กลยุทธใหม่ของ Malware Bitfrost

        การวิเคราะห์ตัวอย่าง Bitfrost ล่าสุดโดยนักวิจัยจาก Palo Alto Network Unit 42 พบการปรับปรุง Malware lที่น่าสนใจซึ่งช่วยเพิ่มการทำงานในการหลีกเลี่ยงการตรวจจับ Malware

        เริ่มจาก เซิร์ฟเวอร์ Command and Control (C2) ที่เชื่อมต่อกับมัลแวร์ใช้โดเมน  download.vmfare[.] com ซึ่งมีลักษณะคล้ายกับโดเมน VMware ที่ถูกต้องจึงทำให้พลาดในระหว่างการตรวจสอบได้ง่าย โดยชื่อโดเมนที่หลอกลวงถูกโปรแกรมวิเคราะห์ DNS ตรวจสอบพบว่ามาจากประเทศไต้หวัน ทำให้การติดตามและบล็อกยากขึ้น

        ในทางเทคนิคของ Malware ไฟล์ส่วนต่าง  ๆ จะถูกแยกออกโดยในแต่ละไฟล์จะไม่ถูกคอมไฟล์ไม่ผ่านการ Debug จึงยากต่อการวิเคราะห์

        Bitfrost   จะรวบรวมชื่อโฮสต์  ที่อยู่  IP  และรหัสผ่านภายในระบบของเหยื่อ จากนั้นใช้การเข้ารหัส  RC4  เพื่อรักษาความปลอดภัยก่อนส่ง  จากนั้นส่งผ่านไปยัง  C2  และส่งออกผ่านซ็อกเก็ต  TCP  ที่สร้างขึ้นใหม่

        การค้นพบใหม่อีกอย่างในรายงานของโดยนักวิจัยจาก Palo Alto Network Unit 42  คือ Malware เวอร์ชัน ARM ของ Bitfrost ซึ่งมีฟังก์ชันเหมือนกับตัวอย่าง x86 การค้นพบของเวอร์ชันเหล่านี้แสดงให้เห็นว่าผู้ไม่ประสงค์ดีมีความตั้งใจที่จะขยายขอบเขตเป้าหมายไปสู่สถาปัตยกรรมระบบที่ใช้ ARM ซึ่งเป็นที่นิยมในการใช้งาน

        แม้ Bitfrost จะไม่ได้เป็นความเสี่ยงที่มีความซับซ้อนอย่างสูงหรือเป็นหนึ่งใน Malware ที่แพร่หลายมากที่สุด การค้นพบโดยนักวิจัยจาก Palo Alto Network Unit 42  ได้ทำขึ้น ทำให้ผู้ดูแลระบบเกิดความระมัดระวังเพิ่มขึ้น

        ผู้ไม่ประสงค์ดีที่พัฒนาทีอยู่เบื้องหลัง Malware มีเป้าหมายที่ชัดเจนในการปรับให้เป็นภัยคุกคามให้มีประสิทธิภาพมากขึ้น และยังทำให้สามารถใช้งานบนระบบปฏิบัติการที่หลากหลายระบบ

Ref : bleepingcomputer