ช่องโหว่ร้ายแรงใน Veeam Backup Enterprise Manager ที่ถูกเปิดเผย

 

            มีช่องโหว่ร้ายแรง (CVE-2024-29849) ใน Veeam Backup Enterprise Manager (VBEM) ช่องโหว่นี้ทำให้ผู้ไม่ประสงค์ดีสามารถโจมตีเข้าควบคุม VBEM โดยไม่ต้องใช้รหัสผ่าน ซึ่งหมายความว่าผู้ไม่ประสงค์ดีสามารถลบหรือทำลายการสำรองข้อมูล ขโมยข้อมูลสำคัญ และติดตั้งมัลแวร์บนระบบ
รายละเอียดช่องโหว่ Veeam Backup Enterprise Manager (VBEM)

            นักวิจัยด้านความปลอดภัยไซเบอร์ Sina Kheirkha ได้อธิบายรายละเอียดทางเทคนิคของช่องโหว่นี้ ดังนี้

            บริการที่ได้รับผลกระทบ

                        'Veeam.Backup.Enterprise.RestAPIService.exe' - บริการนี้ทำงานบนพอร์ต TCP 9398 ทำหน้าที่เป็นเซิร์ฟเวอร์ REST API สำหรับเว็บแอปพลิเคชันหลักของ VBEM

            วิธีการโจมตี

                        ผู้ไม่ประสงค์ดีใช้ Veeam API เพื่อส่ง Token พิเศษเลียนแบบการรับรองความถูกต้องแบบ single-sign-on (SSO) ของ VMware ไปยังบริการ VBEM ที่มีช่องโหว่

            Token ปลอม ประกอบด้วยสองส่วน

                        คำขออนุญาตปลอมแปลงเป็นผู้ดูแลระบบ

                        URL ของบริการ SSO ซึ่ง Veeam ไม่ได้ตรวจสอบความถูกต้อง

            การยืนยันปลอม

                        Token ที่เข้ารหัสแบบ base64 จะถูกถอดรหัสและแปลงเป็นรูปแบบ XML

                        ระบบ VBEM จะส่งคำขอ SOAP ไปยัง URL ที่ผู้ไม่ประสงค์ดีควบคุม เพื่อยืนยันความถูกต้องของ Token

                        เซิร์ฟเวอร์ปลอมที่ผู้ไม่ประสงค์ดีสร้างขึ้น จะตอบกลับคำขอว่าถูกต้องเสมอ

        ผลของการโจมตี

                        เนื่องจากได้รับการตอบกลับยืนยันปลอม VBEM จึงยอมรับ Token และอนุญาตสิทธิ์การเข้าถึงระดับผู้ดูแลระบบแก่ผู้ไม่ประสงค์ดี

            ตัวอย่างการโจมตี

                        บทความวิจัยของ Kheirkha สาธิตขั้นตอนการโจมตีทั้งหมด รวมถึงการตั้งค่าเซิร์ฟเวอร์ปลอม การส่ง Token ปลอม, และการดึงรายการเซิร์ฟเวอร์ไฟล์เพื่อเป็นหลักฐานความสำเร็จ

การรับมือกับช่องโหว่ Veeam Backup Enterprise Manager (VBEM)

                        แม้ว่ายังไม่มีรายงานการโจมตีช่องโหว่นี้ (CVE-2024-29849) ในระบบจริง แต่การที่มีวิธีการโจมตีเผยแพร่สาธารณะ ก็มีความเสี่ยงที่สถานการณ์จะเปลี่ยนแปลงเร็วๆ นี้ ดังนั้น การอัปเดต Veeam Backup Enterprise Manager (VBEM) เป็นเวอร์ชัน 12.1.2.172 หรือใหม่กว่า

            สำหรับผู้ดูแลระบบที่ไม่สามารถอัปเดต VBEM ทันที ควรปฏิบัติตามคำแนะนำเหล่านี้

            จำกัดการเข้าถึงเว็บอินเตอร์เฟส VBEM

                        อนุญาตให้เฉพาะที่อยู่ IP ที่เชื่อถือได้เท่านั้นเข้าถึง VBEM ผ่านการกำหนดค่าเครือข่าย

            ใช้ Policy Firewall  

                        ตั้งค่ากฎเพื่อบล็อกการเข้าถึงพอร์ตที่บริการ Veeam ใช้ เช่น พอร์ต 9398 สำหรับ REST API

            เปิดใช้งานการรับรองความถูกต้องแบบหลายปัจจัย (MFA)

                        กำหนดให้บัญชีผู้ใช้ทั้งหมดที่เข้าถึง VBEM ต้องใช้ MFA เพื่อเพิ่มความปลอดภัย

            ใช้ Web Application Firewall (WAF)

                        ติดตั้ง WAF เพื่อช่วยตรวจจับและบล็อกการโจมตีที่มุ่งเป้าไปยัง VBEM

            ตรวจสอบบันทึกการเข้าถึง

                         ตรวจสอบบันทึกการเข้าถึง VBEM อย่างสม่ำเสมอเพื่อหาความพยายามเข้าถึงที่น่าสงสัยหรือไม่ได้รับอนุญาต ตั้งค่าการแจ้งเตือนเมื่อมีการพยายามเข้าสู่ระบบจากที่อยู่ IP ที่ไม่น่าเชื่อถือ

            แยกเซิร์ฟเวอร์ VBEM

                        แยกเซิร์ฟเวอร์ VBEM ออกจากระบบสำคัญอื่นๆ ภายในเครือข่าย เพื่อลดความเสี่ยงกรณีผู้โจมตีสามารถเข้าถึง VBEM แล้วแพร่กระจายไปยังระบบอื่นๆ

โดยสรุป: ช่องโหว่นี้เกี่ยวข้องกับการปลอมแปลง Token  SSO เพื่อหลอกระบบ VBEM ให้ยอมรับและอนุญาตสิทธิ์การเข้าถึงระดับผู้ดูแลระบบแก่ผู้ไม่ประสงค์ดี และการอัปเดต VBEM เป็นวิธีการป้องกันที่ดีที่สุด แต่หากยังไม่สามารถอัปเดตได้ ควรปฏิบัติตามคำแนะนำเหล่านี้เพื่อลดความเสี่ยง

Ref : bleepingcomputer

Patch Tuesday ของ Microsoft ประจำเดือน มิถุนายน 2567

แพทช์วันอังคารประจำเดือนมิถุนายน 2567 ของ Microsoft ที่ได้ทำการอับเดตความปลอดภัยสำหรับช่องโหว่ถึง 51 รายการ ช่องโหว่การเรียกใช้โค้ดจากระยะไกล RCE จำนวน 18 รายการ และช่องโหว่แบบ Zero-day ที่ถูกเปิดเผยอีก 1 รายการ

รายละเอียดการอัปเดตความปลอดภัยของ Microsoft ของ RCE จำนวน 18 รายการแต่มีเพียง 1 รายการที่มีความเสี่ยงร้ายแรงรายการนั้นคือ

ช่องโหว่การเรียกใช้โค้ดจากระยะไกลใน Microsoft Message Queuing (MSMQ)

• รายการอื่น ๆ ตามหมวดต่าง ๆ ดังนี้:
• 25 Elevation of Privilege Vulnerabilities
• 18 Remote Code Execution Vulnerabilities
• 3 Information Disclosure Vulnerabilities
• 5 Denial of Service Vulnerabilities

หากต้องการศึกษารายละเอียดการอัปเดตในด้านอื่น ๆ ที่ไม่เกี่ยวข้องกับความปลอดภัยสามารถศึกษาได้ที่:

• Windows 11-KB5039212
• Windows 10-KB5039211

Zero-day ที่แก้ไขในรอบนี้

Keytrap (Link) ในโปรโตคอล DNS ที่ Microsoft ได้แก้ไขในรอบนี้แล้ว

ถูกระบุเป็นเลข CVE-2023-50868 MITRE: CVE-2023-50868 NSEC3 closest encloser proof can exhaust CPU หรือการใช้ DNSSEC เรียกใช้งานระบบมากเกินไปทำให้เกิดการปฏิเสธการให้บริการ

ส่วนการอัปเดทอื่น ๆ จากทาง Microsoft ที่น่าสนใจคือ การเรียกใช้งานจากระยะไกลของ Microsoft Office และ Outlooks RCEs การแก้ไขการยกระดับสิทธิ์ใน Windows Kernel อีก 7 รายการ

การอัปเดทจากผู้ผลิตอื่น ๆ

- Apple แก้ไขข้อบกพร่องใน VisionOS 1.2

- Cisco แก้ไขความปลอดภัยของ Cisco Finesse และ Webex (Link)

- PHP แก้ไขข้อบกพร่องของ RCE (Link)

- VMware แก้ไขข้อบกพร่องแบบ Zero-Day 3 รายการ (Link)

Ref: bleepingcomputer

Microsoft ประกาศยุติการใช้งาน New Technology LAN Manager (NTLM) authentication บน Windows

    Microsoft ประกาศยุติการให้บริการ authentication ผ่าน NTLM บน Windows server อย่างเป็นทางการ โดยระบุว่าจะเปลี่ยนไปใช้การ authentication ผ่าน Kerberos หรือ Negotiation แทน เพื่อแก้ไขปัญหาการโจมตีผ่าน NTLM

    New Technology LAN Manager หรือที่รู้จักกันดีในชื่อ NTLM เป็น authentication protocol ที่เปิดตัวครั้งแรกในปี 1993 โดยเป็นส่วนหนึ่งของ Windows NT 3.1 และเป็นตัวแทนของ LAN Manager (LM) protocol

    โดย NTLM ได้ถูกใช้งานอย่างแพร่หลายจนถึงปัจจุบัน ซึ่ง Microsoft ประกาศว่า NTLM จะไม่ได้รับการพัฒนาอีกต่อไปในเดือนมิถุนายน 2024 และจะค่อย ๆ ยุติการใช้งานลง เพื่อรองรับทางเลือกอื่น ๆ ที่มีความปลอดภัยยิ่งขึ้น ภายในเดือนตุลาคม 2024 ซึ่ง Microsoft แนะนำให้ผู้ดูแลระบบทำการย้ายไปใช้ Kerberos authentication และระบบการ authentication อื่น ๆ เช่น Negotiate

  เนื่องจาก NTLM มักถูกผู้ใช้งานนำไปใช้ในการโจมตีที่เรียกว่า 'NTLM Relay Attacks' ซึ่งจะทำให้ Windows domain controller ถูกเข้าควบคุม โดยการบังคับให้ทำการ authentication กับเซิร์ฟเวอร์ที่เป็นอันตราย แม้ว่า Microsoft จะมีการเปิดตัวมาตรการใหม่เพื่อป้องกันการโจมตีเหล่านั้น เช่น SMB security signing แต่การโจมตี NTLM ก็ยังคงเกิดขึ้น

    ตัวอย่างการโจมตี เช่น การขโมย password hash และนำมาใช้ในการโจมตีแบบ "pass-the-hash", การโจมตีแบบฟิชชิ่ง และการดึงข้อมูลโดยตรงจาก Active Directory database หรือหน่วยความจำของเซิร์ฟเวอร์ รวมไปถึงผู้ใช้งานยังสามารถ crack password hash เพื่อทำให้ได้รหัสผ่านแบบ plaintext ของผู้ใช้ได้ เนื่องจากวิธีการเข้ารหัสที่ไม่ดีพอ

    Microsoft จึงได้แนะนำให้เปลี่ยนไปใช้ protocol ที่มีความปลอดภัยกว่า เช่น Kerberos ที่มีการเข้ารหัสที่ดีกว่า

Ref: bleepingcomputer

Ransomware Target Company เวอร์ชัน Linux มุ่งเป้าโจมตีไปที่ VMware ESXi

        

        นักวิจัยพบ Ransomware TargetCompany เวอร์ชันใหม่บนระบบ Linux ที่มุ่งโจมตี VMware ESXi โดยใช้ Shell Script เพื่อส่งผ่านข้อมูลและวางไฟล์ข้อมูลที่เครื่องเป้าหมาย

        ผู้ไม่ประสงค์ดีที่ใช้ Ransomware TargetCompany  โจมตีนั้นยังเป็นที่รู้จักในชื่อ  Mallox, FARGO  และ  Tohnichi  ปรากฏตัวขึ้นในเดือนมิถุนายน 2021 โดยมุ่งโจมตีฐานข้อมูล MySQL, Oracle, SQL Server ขององค์กรต่างๆ ในไต้หวัน เกาหลีใต้ ไทย และอินเดีย

        ในเดือนกุมภาพันธ์ 2022 บริษัทรักษาความปลอดภัย AvastAvast ประกาศแจกฟรีเครื่องมือถอดรหัสสำหรับ Ransomware เวอร์ชันต่างๆ ที่ออกก่อนหน้านั้น แต่ถึงเดือนกันยายน กลุ่มโจมตีก็กลับมาโจมตีอีกครั้ง มุ่งเป้าไปยังเซิร์ฟเวอร์ Microsoft SQL ที่มีช่องโหว่ และข่มขู่เหยื่อว่าจะปล่อยข้อมูลที่ขโมยไปผ่าน Telegram

Ransomware Target Company เวอร์ชันใหม่บน Linux

        บริษัทด้านความปลอดภัยไซเบอร์  Trend Micro  รายงานว่า Ransomware TargetCompany  เวอร์ชันใหม่บน  Linux  จะตรวจสอบสิทธิ์การเป็นผู้ดูแลระบบก่อนที่จะดำเนินการโจมตีต่อ ผู้ไม่หวังดีใช้เขียน Script ไฟล์เพื่อดาวน์โหลดและรันเพย์โหลดของ Ransomware โดย Script นี้ยังสามารถขโมยข้อมูลไปยังเซิร์ฟเวอร์แยกต่างหากสองเครื่อง เพื่อป้องกันกรณีมีปัญหาทางเทคนิคกับเครื่องเป้าหมาย หรือกรณีเครื่องเป้าหมายถูกโจมตี

        เมื่อเข้าสู่ระบบเป้าหมายแล้ว เพย์โหลดจะตรวจสอบว่ามีระบบ VMware ESXi หรือไม่ โดยใช้คำสั่ง uname และค้นหาคำว่า "vmkernel" จากนั้น จะสร้างไฟล์ "TargetInfo.txt" และส่งไปยังเซิร์ฟเวอร์ควบคุม (C2) ไฟล์นี้มีข้อมูลของเหยื่อ เช่น ชื่อโฮสต์, ที่อยู่ IP, รายละเอียดระบบปฏิบัติการ, ผู้ใช้ที่เข้าสู่ระบบและสิทธิ์, และรายละเอียดเกี่ยวกับไฟล์และไดเร็กทอรี่ที่ถูกเข้ารหัส

        Ransomware จะเข้ารหัสไฟล์ที่มีนามสกุลเกี่ยวข้องกับ VM (vmdk, vmem, vswp, vmx, vmsn, nvram) โดยจะต่อด้วยนามสกุล “.locked” กับไฟล์ที่ถูกเข้ารหัส

        สุดท้าย Ransomware จะวางไฟล์เรียกค่าไถ่ชื่อ “HOW TO DECRYPT.txt” ซึ่งมีคำแนะนำสำหรับเหยื่อเกี่ยวกับวิธีจ่ายค่าไถ่และรับคีย์ถอดรหัสที่ถูกต้อง หลังจากดำเนินการทั้งหมดเสร็จสิ้น สคริปต์เชลล์จะลบเพย์โหลดโดยใช้คำสั่ง rm -f x เพื่อลบร่องรอยทั้งหมดที่อาจใช้ในการตรวจสอบเหตุการณ์หลังการโจมตีออกจากเครื่องที่ได้รับผลกระทบ

 

ข้อมูลเพิ่มเติมจากนักวิเคราะห์ของ Trend Micro

        นักวิเคราะห์ของ  Trend Micro  เชื่อว่า การโจมตีด้วย  Ransomware TargetCompany สายพันธุ์  Linux  ใหม่นี้เป็นฝีมือของผู้ร่วมขบวนการชื่อ “vampire” ซึ่งน่าจะเป็นคนเดียวกับที่ปรากฏในรายงานของ Sekoia เมื่อเดือนที่แล้ว

        ที่อยู่ IP ที่ใช้สำหรับส่งเพย์โหลดและรับไฟล์ข้อความที่มีข้อมูลของเหยื่อนั้น ถูกติดตามไปยังผู้ให้บริการอินเทอร์เน็ต (ISP) ในประเทศจีน อย่างไรก็ตาม ข้อมูลนี้ยังไม่เพียงพอที่จะระบุแหล่งที่มาของผู้โจมตีได้อย่างแม่นยำ

        Ransomware TargetCompany มุ่งโจมตีเครื่อง Windows แต่การเปิดตัวสายพันธุ์ Linux และการเปลี่ยนไปโจมตีและเข้ารหัสเครื่อง VMware ESXi แสดงให้เห็นถึงวิวัฒนาการของกลุ่มโจมตี

คำแนะนำจาก Trend Micro

        Trend Micro แนะนำให้เปิดใช้งานการยืนยันตัวตนหลายปัจจัย (MFA), สำรองข้อมูล, และอัปเดตระบบให้เป็นเวอร์ชันล่าสุด นักวิจัยยังให้รายการตัวบ่งชี้การรั่วไหล (Indicators of Compromise: IOC) พร้อมค่าแฮช (Hash) สำหรับ Ransomware เวอร์ชัน Linux, สคริปต์เชลล์แบบกำหนดเอง และตัวอย่างที่เกี่ยวข้องกับผู้ร่วมขบวนการ "vampire"

Ref: bleepingcomputer

GhostEngine mining Malware ที่มีความสามารถในการสั่ง "หยุดการทำงานของ EDR โดยใช้ไดรเวอร์ที่มีช่องโหว่"

    รูปแบบการโจมตีของ Malware แบบขุดคริปโตเคอเรนซีที่มีชื่อว่า 'REF4578' ถูกพบว่ากำลังพยายามใช้ Pay load ที่เป็นอันตรายในชื่อ GhostEngine ซึ่งมีการใช้ไดรเวอร์ที่มีช่องโหว่เพื่อปิดการทำงานของอุปกรณ์ป้องกันด้านความปลอดภัย และติดตั้ง XMRig miner

    นักวิจัยจาก Elastic Security Labs เป็นผู้รายงานถึงความซับซ้อนของการโจมตีจาก Malware ขุดคริปโตเคอเรนซีเหล่านี้ เพื่อช่วยให้ผู้ใช้งานสามารถระบุ และหยุดการโจมตีเหล่านั้นได้อย่างทันท่วงที

อย่างไรก็ตาม ยังไม่มีรายงานที่ระบุว่าพฤติกรรมดังกล่าวมาจากกลุ่มผู้ไม่ประสงค์ดีกลุ่มใด และยังไม่มีการเผยรายละเอียดของเหยื่อ ดังนั้นจึงทำให้ยังไม่ทราบที่มา และขอบเขตของรูปแบบการโจมตี

GhostEngine

    ยังไม่เป็นที่แน่ชัด ว่าผู้ไม่ประสงค์ดีเข้าถึง และ โจมตีบนเครื่องแม่ข่ายได้อย่างไร แต่การโจมตีของผู้ไม่ประสงค์ดีเริ่มต้นด้วยการเรียกใช้ไฟล์ชื่อ 'Tiworker.exe' ซึ่งปลอมเป็นไฟล์บน Windows ที่ดูปกติ โดยไฟล์ปฏิบัติการนี้เป็นเพย์โหลดเริ่มต้นสำหรับ GhostEngine ซึ่งเป็นสคริปต์ PowerShell ที่จะดาวน์โหลดโมดูลต่าง ๆ เพื่อดำเนินการลักษณะการทำงานที่แตกต่างกันบนอุปกรณ์ที่ติด Malware 

  เมื่อ Tiworker.exe เมื่อถูกเรียกใช้งานจะดาวน์โหลดสคริปต์ PowerShell ชื่อ 'get.png' จากเซิร์ฟเวอร์ command and control (C2) ของผู้ไม่ประสงค์ดี ซึ่งทำหน้าที่เป็น loader หลักของ GhostEngine สคริปต์ PowerShell นี้จะดาวน์โหลดโมดูลเพิ่มเติม และการตั้งค่าการปิดใช้งาน Windows Defender, เปิดใช้งาน remote services และลบ Windows event logs ต่าง ๆ จากนั้น get.png จะตรวจสอบว่าระบบมีพื้นที่ว่างอย่างน้อย 10 เมกะไบต์หรือไม่ ซึ่งจะจำเป็นสำหรับการโจมตีต่อไป โดยมันจะสร้าง scheduled tasks ชื่อ OneDriveCloudSync, DefaultBrowserUpdate และ OneDriveCloudBackup

    จากนั้นสคริปต์ PowerShell จะดาวน์โหลด และเรียกใช้งานไฟล์ smartsscreen.exe ซึ่งทำหน้าที่เป็นเพย์โหลดหลักของ GhostEngine

    Malware นี้มีหน้าที่สำคัญในการหยุดการทำงาน และลบซอฟต์แวร์ EDR ออกไป รวมถึงการดาวน์โหลด และเรียกใช้งาน XMRig เพื่อทำการขุดคริปโตเคอเรนซี โดยหากต้องการหยุดการทำงานของซอฟต์แวร์ EDR นั้น GhostEngine จะโหลด kernel drivers ที่มีช่องโหว่สองตัว ได้แก่ aswArPots.sys (ไดรเวอร์ Avast) ซึ่งใช้เพื่อหยุดการทำงานของ EDR process และ IObitUnlockers.sys (ไดรเวอร์ Iobit) เพื่อลบไฟล์ปฏิบัติการที่เกี่ยวข้อง

รายการ Process ที่เป็นเป้าหมายในการหยุดการทำงานของ EDR มีดังนี้

    DLL ที่ชื่อว่า 'oci.dll' จะถูกโหลดโดย Windows service ชื่อ 'msdtc' เมื่อเริ่มทำงาน DLL นี้จะดาวน์โหลดสำเนาใหม่ของ 'get.png' เพื่อติดตั้ง GhostEngine เวอร์ชันล่าสุดบนเครื่อง

แม้ว่าทีม Elastic จะพบว่า Wallet ID ของ Malware ดังกล่าวทำเงินจากการขุดคริปโตเคอเรนซีได้ไม่มากนัก แต่ก็เป็นไปได้ที่เหยื่อแต่ละรายจะมี wallet ที่ไม่ซ้ำกัน ดังนั้นจำนวนเงินโดยรวมของการขุดคริปโตของ Malware อาจมีจำนวนมากกว่าที่เห็น

การป้องกัน GhostEngine

    นักวิจัยแนะนำให้ผู้ใช้งานระวังการทำงานของ PowerShell ที่น่าสงสัย, พฤติกรรมที่ผิดปกติ และการรับส่งข้อมูลบนเครือข่ายที่ชี้ไปยัง crypto-mining pools นอกจากนี้การพบการใช้ไดรเวอร์ที่มีช่องโหว่ และการสร้าง kernel mode services ควรถือว่าเป็นพฤติกรรมที่เป็นอันตรายไว้ก่อน    มาตรการเชิงรุกคือการบล็อกการสร้างไฟล์จากไดรเวอร์ที่มีช่องโหว่ เช่น aswArPots.sys และ IobitUnlockers.sys และปรับใช้ YARA rules ในรายงานเพื่อช่วยระบุการติด Malware  GhostEngine

Ref: bleepingcomputer