Microsoft fixes Windows vulnerable driver blocklist sync issue

 Microsoft แก้ไขช่องโหว่ blocklist sync ของ Driver บน Windows

    Microsoft ประกาศเรื่องการแก้ไขปัญหาที่ทำให้ blocklist ของไดรเวอร์ที่มีช่องโหว่ไม่ถูกซิงค์กับระบบที่ใช้ Windows ในเวอร์ชันเก่า โดย blocklist นี้ (จัดเก็บไว้ในไฟล์ DriverSiPolicy.p7b) ได้รับการออกแบบมาเพื่อป้องกันการโจมตีแบบ Bring Your Own Vulnerable Driver (BYOVD) บนเครื่อง Windows ที่เปิดใช้งาน HVCI หรือผู้ที่ใช้ Windows ใน S Mode ซึ่งไดรเวอร์ที่มีช่องโหว่ในเคอร์เนลของ Windows จะทำให้สามารถปิดใช้งานโซลูชันด้านความปลอดภัย และควบคุมอุปกรณ์ รวมถึงการสั่งรันโค้ดที่เป็นอันตรายได้ ซึ่งเป็นเทคนิคการโจมตีที่ได้รับความนิยมในกลุ่มแฮ็กเกอร์ ตั้งแต่กลุ่มแรนซัมแวร์ไปจนถึงกลุ่มแฮ็กเกอร์ที่ได้รับการสนับสนุนจากรัฐ

    Microsoft ได้ประกาศว่า blocklist ของไดรเวอร์จะช่วยเสริมความแข็งแกร่งให้กับระบบ Windows ต่อไดรเวอร์ของบริษัทอื่นที่มีช่องโหว่ แต่ Will Dormann ผู้เชี่ยวชาญด้านความปลอดภัยจาก Analygence พบว่าไม่เป็นเช่นนั้น เนื่องจาก Windows 10 และ Windows 11 รวมทั้ง Windows Server ที่เป็นปัจจุบันก็ยังถูกโจมตีจาก BYOFD ได้อยู่

    เป็นระยะเวลามากกว่า 1 เดือนหลังจากที่ Dormann เปิดเผยว่ารายการไดรเวอร์ที่มีช่องโหว่นั้นยังไม่ได้รับการอัปเดตใน Windows 10 และระบบ Windows Server บางระบบ ในที่สุด Microsoft ก็ได้แก้ไขปัญหานี้ในที่สุด

    Microsoft ระบุกับ BleepingComputer ว่า "รายชื่อไดรเวอร์ที่มีช่องโหว่ได้รับการอัปเดตอยู่เป็นประจำ อย่างไรก็ตามมีข้อมูลว่ามีช่องโหว่ในการซิงโครไนซ์ข้ามเวอร์ชันของระบบปฏิบัติการ เราได้แก้ไขปัญหานี้แล้ว และจะอัปเดตใน Windows Updates ครั้งถัดไป และในอนาคต ในส่วนของเอกสารคำแนะนำจะได้รับการอัปเดตอีกครั้ง เมื่อมีการเผยแพร่การอัปเดตดังกล่าว"

    เมื่อวันอังคารที่ 25 ตุลาคมที่ผ่านมา Microsoft เริ่มอัปเดต Windows 11 (22H2) โดย blocklist จะถูกเปิดใช้งานโดยค่าเริ่มต้นในอุปกรณ์ทั้งหมด แต่การบล็อกไดรเวอร์อาจทำให้อุปกรณ์ หรือซอฟต์แวร์บางอย่างทำงานผิดพลาดได้ และไม่การันตีว่ารายการที่บล็อกจะสามารถบล็อกทุกไดรเวอร์ที่มีช่องโหว่ได้ สำหรับ Windows 10 และ Windows 11 (21H2) สามารถปิดใช้งาน blocklist ของไดรเวอร์ได้โดยการปิด Memory Integrity ในการตั้งค่า Core Isolation หรือหากใช้ Windows Defender Application Control (WDAC) ให้ปิดการใช้งานในการกำหนดค่า อย่างไรก็ตาม เนื่องจาก blocklist ของไดรเวอร์ถูกเปิดใช้งานโดยค่าเริ่มต้นถึงจะปิดใช้งาน Memory Integrity แต่ไม่รับรองว่าจะสามารถปิดใช้งาน blocklist ในระบบปฏิบัติการเวอร์ชันล่าสุดได้

 นอกจากนี้ Microsoft ยังให้คำแนะนำในการเปลี่ยนการตั้งค่า เพื่อปิดการใช้งาน blocklist ไดรเวอร์ ซึ่งตั้งค่าได้เฉพาะในเวอร์ชัน Windows Insider builds เท่านั้นแต่ BleepingComputer ลองทดสอบใน Insider Edition ก็ไม่สามารถหาวิธีการเปลี่ยนการตั้งค่าใน Windows 11 (22H2) เพื่อปิดการใช้งาน blocklist ได้ แต่ Dormann ระบุว่า blocklist สามารถปิดใช้งานได้โดยการตั้งค่าใน Registry แต่เนื่องจาก Microsoft ไม่มีเอกสารอย่างเป็นทางการเกี่ยวกับการตั้งค่า Registry นี้ ดังนั้นผู้ใช้งานจึงควรระมัดระวัง

Ref : BleepingComputer.com

New Alchimist attack framework targets Windows, macOS, Linux

รูปแบบการโจมตีใหม่ Framework Alchimist มุ่งเป้าไปที่ Windows, macOS, Linux

    ผู้เชี่ยวชาญด้านความปลอดภัยทางไซเบอร์พบการโจมตีรูปแบบใหม่ และเฟรมเวิร์ก C2 ที่ชื่อว่า "Alchimist" ซึ่งดูเหมือนจะถูกใช้ในการโจมตีที่มุ่งเป้าไปยังระบบปฏิบัติการ Windows, Linux และ Mac OS

    เฟรมเวิร์ก และไฟล์ทั้งหมดถูกเขียนขึ้นด้วยภาษาโปรแกรมมิ่งที่ชื่อว่า GoLang ซึ่งเป็นภาษาที่ทำให้ความเข้ากันได้ของโปรแกรมในแต่ละระบบปฏิบัติการต่าง ๆ ทำได้ง่ายขึ้นมาก Alchimist มี web-based interface ที่ใช้ภาษาจีน ซึ่งคล้ายกันกับ Manjusaka ที่เป็นเฟรมเวิร์กที่ถูกใช้หลังการโจมตี (post-exploitation) ที่พึ่งถูกพบเมื่อเร็ว ๆ นี้ ซึ่งกำลังเป็นที่นิยมในกลุ่มแฮ็กเกอร์ชาวจีน ผู้เชี่ยวชาญของ Cisco Talos พบว่าทั้ง 2 เฟรมเวิร์คนั้นมีความคล้ายกัน แต่ก็มีความแตกต่างทางเทคนิคมากพอที่จะสรุปได้ว่าผู้เขียนเฟรมเวิร์คทั้งสองตัวต่างคนต่างพัฒนาเฟรมเวิร์กเหล่านี้

วิธีการสร้างการโจมตี

    Alchimist ช่วยให้ผู้ไม่ประสงค์ดีมีเฟรมเวิร์กที่ใช้งานได้ง่าย ซึ่งช่วยให้สามารถสร้าง และกำหนดค่า Payload ที่ติดตั้งบนอุปกรณ์ที่ถูกโจมตี เพื่อบันทึกภาพหน้าจอจากระยะไกล สั่งรัน commands ต่าง ๆ และดำเนินการเรียกใช้ shellcode จากระยะไกลได้ เฟรมเวิร์กนี้ยังสนับสนุนการสร้าง mechanisms เพื่อติดตั้ง 'Insekt' (RAT) บนอุปกรณ์ของเหยื่อ และช่วยในการสร้าง PowerShell (สำหรับ Windows) และ wget (สำหรับ Linux) สำหรับการปรับใช้ RAT

Command snippets generated directly from the framework (Cisco)

 Payload ของ Insekt สามารถกำหนดค่าได้บนอินเทอร์เฟซของ Alchimist โดยใช้พารามิเตอร์ต่าง ๆ เช่น C2 IP/URL แพลตฟอร์ม (Windows หรือ Linux) โปรโตคอล (TLS, SNI, WSS/WS)

Alchimist's mechanisms for various communication protocols (Cisco)

    C2 Address จะถูกกำหนดไว้ในฮาร์ดโค้ด และมี self-signed certificate ซึ่งสร้างขึ้นในระหว่างการคอมไพล์ โดย C2 จะส่งคำสั่ง Ping 10 ครั้งทุกวินาที และหากความพยายามในการเชื่อมต่อทั้งหมดไม่สำเร็จ มัลแวร์จะลองใหม่อีกครั้งหลังจากผ่านไปหนึ่งชั่วโมง

Insekt RAT

เซิร์ฟเวอร์ Alchemist C2 จะส่งคำสั่งเพื่อดำเนินการ ซึ่งเป็นการฝัง Insekt ที่ใช้ดำเนินการบนระบบ Windows และ Linux ที่ถูกโจมตี

พฤติกรรมที่เป็นอันตรายที่ Insekt สามารถทำได้:

• Get file sizes รับข้อมูลขนาดไฟล์
• Get OS information. รับข้อมูลระบบปฏิบัติการ
• Run arbitrary commands via cmd.exe or bash. เรียกใช้คำสั่งโดยผ่าน cmd.exe หรือ bash
• Upgrade the current Insekt implant. อัพเกรด Insekt ปัจจุบัน
• Run arbitrary commands as a different user. รันคำสั่งด้วยชื่อผู้ใช้งานที่แตกต่างกัน
• Sleep for periods defined by the C2. ระยะเวลา sleep ที่กำหนดโดยการใช้ C2
• Start/stop taking screenshots. เริ่ม/หยุดการบันทึกภาพหน้าจอ

Running arbitrary commands on Windows and Linux (Cisco)

    นอกจากนี้ Insekt สามารถทำหน้าที่เป็น proxy (โดยใช้ SOCKS5) จัดการคีย์ SSH ทำการ scan port และ IP เขียนหรือแยกไฟล์ zip ไปยังดิสก์ และรัน shell โค้ดบน Host ทางทีม Cisco Talos ได้อธิบายในรายงานเกี่ยวกับ Insekt ใน Linux ว่ายังมีฟังก์ชันสำหรับแสดงรายการเนื้อหาของไดเร็กทอรี “.ssh” ในไดเร็กทอรี “Home” ของเหยื่อ และเพิ่มคีย์ SSH ใหม่ให้กับไฟล์ authorised_Keys” การใช้คุณสมบัตินี้ ทำให้ผู้ไม่ประสงค์ดีสามารถเชื่อมต่อกับเครื่องของเหยื่อจาก C2 ผ่าน SSH Alchimist ยังสามารถส่งคำสั่งที่กำหนดไว้ล่วงหน้าเช่นการสร้างผู้ใช้งานใหม่ ค้นหารายชื่อของผู้ดูแลระบบ เปิดใช้งานเทอร์มินัล และการปิดใช้งาน และการกำหนดค่าไฟร์วอลล์

การโจมตีบน macOS

    เนื่องจาก Insikt ยังไม่สามารถทำงานบน macOS ได้ ดังนั้น Alchimist จึงทดแทนช่องว่างนี้ด้วยการใช้ไฟล์ Mach-O ซึ่งเป็นไฟล์ 64 bit ที่เขียนด้วย GoLang ซึ่งเป็นเครื่องมือสำหรับโจมตีช่องโหว่ CVE-2021-4034 ซึ่งเป็นช่องโหว่ในการยกระดับสิทธิ์ในยูทิลิตี้ pkexec ของ Polkit เพื่อให้การโจมตีสำเร็จ แฮ็กเกอร์จะต้องติดตั้ง utility บนเครื่องเป้าหมายก่อน

Apple Releases Patch for New Actively Exploited iOS and iPadOS Zero-Day Vulnerability

Apple ออก Patch iOS 16.1 และ iPadOS 16 สำหรับแก้ไขช่องโหว่ Zero-Day บน iOS และ iPadOS

Apple ออกอัปเดต Patch iOS 16.1 และ iPadOS 16 เพื่อแก้ไขช่องโหว่ที่กำลังถูกนำมาใช้ในการโจมตีขณะนี้ ซึ่งเป็นช่องโหว่บน iOS และ iPadOSโดยช่องโหว่หลักที่กำลังถูกนำไปใช้ในการโจมตีอยู่ในปัจจุบัน เป็นช่องโหว่หมายเลข CVE-2022-42827 ซึ่งเป็นช่องโหว่ที่เกิดจาก Out-of-bounds write บน Kernel ซึ่งเป็นช่องโหว่ที่อาจถูกใช้โดยแอปพลิเคชั่นที่เป็นอันตรายเพื่อสั่งรันโค้ดที่เป็นอันตรายได้

อุปกรณ์ที่ได้รับผลกระทบจะมีตั้งแต่ iPhone 8 หรือสูงกว่า, iPad Pro ทุกรุ่น, iPad Air 3 หรือสูงกว่า, iPad 5 หรือสูงกว่า, และ iPad mini 5 หรือสูงกว่าและในการออกอัปเดต Patch ยังมีการแก้ไขช่องโหว่ Zero-Day ที่เกิดขึ้นตั้งแต่ต้นปีที่ผ่านมาอีก 8 รายการ ดังนี้

CVE-2022-22587 (IOMobileFrameBuffer) – เป็นช่องโหว่ที่ทำให้แอปพลิเคชันที่เป็นอันตรายสามารถรันโค้ดที่เป็นอันตรายได้โดย Kernel privileges

CVE-2022-22594 (WebKit Storage) – เว็บไซต์อาจสามารถเข้าถึงข้อมูลที่มีความสำคัญของผู้ใช้งานได้

CVE-2022-22620 (WebKit) – การประมวลผลเนื้อหาของเว็ปไซต์ที่ออกแบบมาเพื่อประสงค์ร้าย อาจทำให้เกิดการรันโค้ดที่เป็นอันตรายได้

CVE-2022-22674 (Intel Graphics Driver) – ทำให้แอปพลิเคชันสามารถอ่านหน่วยความจำ Kernel ได้

CVE-2022-22675 (AppleAVD) – แอปพลิเคชันอาจสามารถรันโค้ดได้ตามที่ต้องการด้วย Kernel privileges

CVE-2022-32893 (WebKit) – การประมวลผลเนื้อหาของเว็ปไซต์ที่ออกแบบมาเพื่อประสงค์ร้าย อาจทำให้เกิดการรันโค้ดที่เป็นอันตรายได้

CVE-2022-32894 (Kernel) – แอปพลิเคชันอาจสามารถรันโค้ดได้ตามที่ต้องการด้วย Kernel privileges

CVE-2022-32917 (Kernel) – แอปพลิเคชันอาจสามารถรันโค้ดได้ตามที่ต้องการด้วย Kernel privileges

Multiple Campaigns Exploit VMware Vulnerability to Deploy Crypto Miners and Ransomware

 ผู้ไม่ประสงค์ดีทำการโจมตีจากช่องโหว่ของ VMware เพื่อติดตั้ง Crypto Miners และ Ransomware

    ช่องโหว่ของ VMware Workspace ONE Access กำลังถูกใช้ในการโจมตีเพื่อติดตั้ง cryptocurrency miners และ Ransomware

    Cara Lin นักวิจัยของ Fortinet FortiGuard Labs รายงานว่า ผู้ไม่ประสงค์ดีตั้งใจที่จะใช้ทรัพยากรของเหยื่อให้มากที่สุดไม่เพียงแค่ติดตั้ง RAR1Ransom เท่านั้น แต่ยังเพื่อแพร่กระจาย GuardMiner เพื่อทำการขุด Crypto Miners โดยช่องโหว่นี้ติดหมายเลข CVE-2022-22954 (Score CVSS: 9.8) ซึ่งเป็นช่องโหว่ในการเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกล ซึ่งเกิดจาก server-side template injection แม้ว่าช่องโหว่ดังกล่าวจะได้รับการแก้ไขไปแล้วโดย VMware ในเดือนเมษายน พ.ศ. 2565 แต่ก็ยังมีการพยายามโจมตีอยู่อย่างต่อเนื่อง

    Fortinet ระบุว่าตรวจพบการโจมตีในเดือนสิงหาคม พ.ศ. 2565 ที่เป็นการพยายามโจมตีเพื่อติดตั้ง Mirai botnet บน Linux รวมถึง RAR1Ransom และ GuardMiner ซึ่งเป็นเวอร์ชันหนึ่งของ XMRig Monero miner

Mirai ถูกออกแบบมาเพื่อเปิดใช้การโจมตีแบบ DoS และ brute-force attacks โดยมุ่งเป้าไปที่อุปกรณ์ประเภท IoT การแพร่กระจายของ RAR1Ransom และ GuardMiner โดยใช้ PowerShell หรือเชลล์สคริปต์ขึ้นอยู่กับระบบปฏิบัติการ RAR1ransom จะใช้ประโยชน์จาก WinRAR เพื่อล็อคไฟล์โดยการใส่รหัสผ่าน

    นอกจากนี้ GuardMiner ยังมีความสามารถในการเผยแพร่ไปยังโฮสต์อื่น ๆ โดยใช้ช่องโหว่ในการเรียกใช้โค้ดจากระยะไกลในซอฟต์แวร์อื่น ๆ รวมถึงช่องโหว่ใน Apache Struts, Atlassian Confluence และ Spring Cloud Gateway

Ref: thehackernews.com                   

Researchers Detail Critical RCE Flaw Reported in Popular vm2 JavaScript Sandbox

 

ช่องโหว่ RCE ใน vm2 JavaScript Sandbox

    ช่องโหว่ด้านความปลอดภัยที่ปัจจุบันได้รับการแก้ไขไปแล้วใน vm2 JavaScript (sandbox module) ทำให้ผู้โจมตีสามารถ bypass การป้องกันจาก sandbox และสั่งรันโค้ดที่เป็นอันตรายบนเครื่องที่กำลังรัน sandbox ได้

ช่องโหว่มีหมายเลข CVE-2022-36067 ชื่อว่า Sandbreak โดยมีระดับความรุนแรงสูงสุดที่ 10 โดยปัจจุบันได้รับการแก้ไขไปแล้วในเวอร์ชัน 3.9.11 ที่เผยแพร่เมื่อวันที่ 28 สิงหาคม 2022 ทั้งนี้ VM2 เป็น Node library

ที่ค่อนข้างได้รับความนิยม เพื่อใช้ในการเรียกใช้งาน untrusted code ด้วย allowlisted built-in modules นอกจากนี้ยังเป็นหนึ่งในซอฟต์แวร์ที่มีการดาวน์โหลดจำนวนมากที่สุดอีกด้วย โดยมีการดาวน์โหลดเกือบ 3.5 ล้านครั้งต่อสัปดาห์

    Oxeye ผู้ค้นพบช่องโหว่นี้ระบุว่า ช่องโหว่นี้เกิดจากกลไลของ Node.js ที่มีการนำมาใช้เพื่อ bypass ระบบ Sand box ซึ่งหมายความว่าหากสามารถโจมตีช่องโหว่ CVE-2022-36067 ได้สำเร็จ

    อาจทำให้ผู้โจมตี bypass vm2 sandbox และเรียกใช้คำสั่งตามที่ต้องการบนระบบที่โฮสต์ sandbox ได้โดย Sand box system นั้นเป็นระบบที่ออกแบบมาเพื่อเพิ่มความปลอดภัยของระบบ อย่างเช่น ตรวจสอบไฟล์ที่แนบมาผ่าน Email, ตรวจสอบเว็บเบราว์เซอร์ และตรวจสอบการทำงานของ Application ที่ทำงานอยู่ในบางระบบ ซึ่งจะทำให้เป็นอันตรายอย่างมากถ้าผู้ใช้งาน VM2 ที่มี่ช่องโหว่ดังกล่าว และยังไม่ได้อัปเดตแพทช์เป็นปัจจุบัน