Google แก้ไขช่องโหว่แบบ Zero-Day บน Browser Google Chrome เป็นครั้งที่ 5 ในตั้งแต่ต้นปี 2024

    Google ออกแพตซ์ความปลอดภัยสำหรับ Chrome browser เพื่อแก้ไขช่องโหว่ Zero-Day ครั้งที่ 5 ที่กำลังถูกนำไปใช้ในการโจมตีอย่างแพร่หลายตั้งแต่ต้นปี 2024

    โดยช่องโหว่มีหมายเลข CVE-2024-4671 ความรุนแรงระดับ High เป็นช่องโหว่ “use after free” ใน Visuals component ที่จัดการการเรนเดอร์ และการแสดงเนื้อหาบน browser ซึ่งถูกพบ และรายงานโดยนักวิจัยนิรนาม ซึ่งช่องโหว่ดังกล่าวกำลังถูกนำไปใช้ในการโจมตีแบบ Zero-Day

    Use after-free flaws คือช่องโหว่ด้านความปลอดภัยที่เกิดขึ้นเมื่อโปรแกรมยังคงใช้ pointer หลังจากที่หน่วยความจำสำหรับ pointer ไม่ได้ถูกใช้งานแล้วหลังจากเสร็จสิ้นการดำเนินการ เนื่องจาก freed memory ที่ว่างอาจมีข้อมูลที่แตกต่างกัน หรือถูกใช้โดยซอฟต์แวร์ หรือส่วนประกอบอื่น การเข้าถึงหน่วยความจำอาจส่งผลให้เกิดการรั่วไหลของข้อมูล การเรียกใช้โค้ด หรือการหยุดการทำงานของระบบ

    Google ได้แก้ไขปัญหาช่องโหว่ด้วยการอัปเดตแพตซ์เวอร์ชัน 124.0.6367.201/.202 สำหรับ Mac /Windows และ 124.0.6367.201 สำหรับ Linux

    สำหรับผู้ใช้งานทาง 'Extensed Stable' จะมีการออกอัปเดตในเวอร์ชัน 124.0.6367.201 สำหรับ Mac และ Windows

    ทั้งนี้โดยปกติ Chrome จะอัปเดตโดยอัตโนมัติเมื่อมีการอัปเดตความปลอดภัย แต่ผู้ใช้สามารถตรวจสอบได้ว่ากำลังใช้งานเวอร์ชันล่าสุดหรือไม่ โดยไปที่การตั้งค่า > About Chrome หลังจากการอัปเดตเสร็จสิ้น จากนั้นคลิกที่ปุ่ม ‘Relaunch’ เพื่อใช้งาน

    ทั้งนี้นี่เป็นการออกอัปเดตเพื่อแก้ไขช่องโหว่ใน Google Chrome ครั้งที่ 5 ในปี 2024 โดยมีอีก 3 รายการที่ถูกค้นพบในระหว่างงาน Pwn2Own hacking ในเดือนมีนาคม 2024 ที่เมืองแวนคูเวอร์

รายการช่องโหว่แบบ Zero-day ของ Chrome ทั้งหมดที่ได้รับการแก้ไขตั้งแต่ต้นปี 2024 มีดังต่อไปนี้:

• CVE-2024-0519 (คะแนน CVSS 8.8/10 ความรุนแรงระดับ High) : ช่องโหว่ในการเข้าถึง out-of-bounds memory ภายใน Chrome V8 JavaScript engine ที่ทำให้ Hacker สามารถโจมตีจากระยะไกลจาก heap corruption ของ HTML ที่สร้างขึ้นมาเป็นพิเศษ ซึ่งนำไปสู่การเข้าถึงข้อมูลที่มีความสำคัญโดยไม่ได้รับอนุญาต
• CVE-2024-2887 : ช่องโหว่ confusion flaw ความรุนแรงระดับสูงใน WebAssembly (Wasm) standard ซึ่งอาจนำไปสู่การเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกล (RCE) โดยใช้ประโยชน์จากเพจ HTML ที่สร้างขึ้นมาเป็นพิเศษ
• CVE-2024-2886 : ช่องโหว่แบบ use-after-freeใน WebCodecs API ที่เว็บแอปพลิเคชันใช้เพื่อเข้ารหัส และถอดรหัสเสียง และวิดีโอ ทำให้ Hacker สามารถโจมตีจากระยะไกล เพื่ออ่าน และเขียนคำสั่งผ่านหน้า HTML ที่สร้างขึ้นมาเป็นพิเศษ ซึ่งนำไปสู่การเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกล
• CVE-2024-3159 (คะแนน CVSS 8.8/10 ความรุนแรงระดับ High) : ช่องโหว่ความรุนแรงระดับสูงที่เกิดจาก out-of-bounds read ใน Chrome V8 JavaScript engine ที่ทำให้ Hacker สามารถโจมตีจากระยะไกล โดยใช้หน้า HTML ที่สร้างขึ้นมาเป็นพิเศษเพื่อเข้าถึงข้อมูลที่อยู่นอกเหนือ memory buffer ที่จัดไว้ ส่งผลให้เกิด heap corruption ที่สามารถใช้ประโยชน์เพื่อดึงข้อมูลที่มีความสำคัญได้

bleepingcomputer

ไซต์ที่ถูกยึดของ Lockbit กลับมาเปิดให้บริการอีกครั้งเพื่อลงประกาศโดย CIA และ ตำรวจสหรัฐ

    หน่วยงาน NCA, FBI และ Europol ได้ทำการเปิดไซต์เพื่อเผยแพร่ข้อมูลรั่วไหลของกลุ่ม LockBit ransomware ที่ถูกยึดไป เพื่อบอกเป็นนัยถึงข้อมูลใหม่ที่จะถูกเปิดเผยโดยหน่วยงานบังคับใช้กฎหมายในวันอังคารนี้

    เมื่อวันที่ 19 กุมภาพันธ์ ปฏิบัติการบังคับใช้กฎหมายที่เรียกว่า Operation Cronos ได้ยึดระบบโครงสร้างพื้นฐานของกลุ่ม LockBit รวมถึงเซิร์ฟเวอร์ 34 เครื่องที่โฮสต์ไซต์เผยแพร่ข้อมูลรั่วไหล และข้อมูลที่ขโมยมาจากเหยื่อ ที่อยู่ของสกุลเงินดิจิทัล คีย์การถอดรหัส 1,000 รายการ และ panel สำหรับพันธมิตรที่นำไปใช้งาน

    ส่วนหนึ่งของการจัดการครั้งนี้ ตำรวจได้แปลงไซต์เผยแพร่ข้อมูลรั่วไหลแห่งหนึ่งให้เป็นไซต์แถลงข่าว โดยสำนักงานอาชญากรรมแห่งชาติของสหราชอาณาจักร (NCA), FBI และ Europol จะใช้แบ่งปันข้อมูลเกี่ยวกับสิ่งที่พบระหว่างปฏิบัติการ รายชื่อบริษัทในเครือ และวิธีที่ LockBit โกหกเหยื่อโดยไม่ลบข้อมูลที่ถูกขโมยทุกครั้งหลังจากชำระค่าไถ่แล้ว

    หนึ่งในประกาศมีชื่อว่า "ใครคือ LockBitSupp?" ซึ่งเป็นการใบ้ว่าหน่วยงานบังคับใช้กฎหมายจะเปิดเผยข้อมูลเกี่ยวกับผู้ที่อยู่เบื้องหลังการทำงานของกลุ่ม LockBit ransomware

อย่างไรก็ตาม หลังจากผ่านมาหลายวัน โพสต์บล็อกก็ระบุเพียงว่า "เรารู้ว่าเขาเป็นใคร เราทราบว่าเขาอาศัยอยู่ที่ไหน เรารู้ว่าเขามีมูลค่าเท่าไร LockBitSupp ได้อยู่ในเป้าหมายของหน่วยงานบังคับใช้กฎหมายแล้ว"

    ในที่สุด หน่วยงานบังคับใช้กฎหมายก็ปิดไซต์ลงหลังจากนั้นไม่กี่วัน โดยหลายคนมองว่าโพสต์ "LockBitSupp" เป็นความผิดพลาดของหน่วยงานบังคับใช้กฎหมายในการโฆษณาประกาศ และไม่เปิดเผยอะไรเลย และเป็นชัยชนะของ LockBitSupp ผู้ซึ่งยังคงไม่ถูกเปิดเผยตัวตน

เมื่อวันอาทิตย์ที่ผ่านมา หน่วยงานบังคับใช้กฎหมายระหว่างประเทศได้กลับมาเปิดไซต์เผยแพร่ข้อมูลรั่วไหล/ข่าวประชาสัมพันธ์ของ LockBit อีกครั้ง โดยคราวนี้มีบล็อกโพสต์ใหม่ 7 โพสต์ที่เผยแพร่พร้อมกันทั้งหมดในวันอังคาร เวลา 14.00:00 UTC (10.00 น. EST)

    โพสต์บนบล็อกเหล่านี้ล้อเลียนด้วยข้อความต่าง ๆ เช่น "เราได้เรียนรู้อะไรบ้าง" "มีแฮ็กเกอร์ LB ถูกเปิดเผยมากขึ้น" "เรากำลังทำอะไรอยู่" และสิ่งที่หลายคนหวังว่าจะเป็นการยุติปฏิบัติการแรนซัมแวร์ให้ลดน้อยลงคือการรู้ว่า “ล็อคบิตซัพพ์คือใคร?”

    ตอนนี้อาจจะต้องรอเพื่อตรวจสอบว่าหน่วยงานบังคับใช้กฎหมายจะเปิดเผยข้อมูลที่สำคัญใด ๆ เกี่ยวกับผู้ควบคุม LockBit หรือไม่ หรือว่านี่จะเป็นความผิดหวังอีกครั้ง

นับตั้งแต่ปฏิบัติการบังคับใช้กฎหมาย LockBit ก็พยายามอย่างหนักที่จะกลับไปสู่ระดับที่เคยเป็นมาก่อนหน้า โดยผู้ที่เกี่ยวข้องทั้งหมดเริ่มระมัดระวังว่าการปฏิบัติการดังกล่าวจะถูกจับได้ เนื่องจากกำลังถูกหน่วยงานบังคับใช้กฎหมายเฝ้าจับตามองอย่างใกล้ชิด

    อย่างไรก็ตาม นั่นไม่ได้หมายความว่ากลุ่ม ransomware จะสิ้นสุดลง เนื่องจากการโจมตียังคงดำเนินต่อไป และปฏิบัติการนี้ยังคงเป็นความเสี่ยงต่อองค์กรทั่วโลก

bleepingcomputer

Python backdoor ตัวใหม่ ที่มุ่งเป้าไปยัง developer โดยการส่ง Job Interview

    พบรูปแบบการโจมตีใหม่ในชื่อ “Dev Popper” ซึ่งกำหนดเป้าหมายไปยัง software developers ด้วยการส่งนัดสัมภาษณ์งานปลอม โดยการส่ง job interview เพื่อให้เป้าหมายติดตั้ง Python Remote Access Trojan (RAT)

  ซึ่งเป้าหมายจะถูกขอให้ทำสิ่งต่าง ๆ ระหว่างการสัมภาษณ์ เช่น การดาวน์โหลด และเรียกใช้โค้ดจาก GitHub เพื่อทำให้กระบวนการทั้งหมดดูปกติ แต่เป้าหมายของผู้ไม่ประสงค์ดีคือการให้เป้าหมายทำการดาวน์โหลดซอฟต์แวร์ที่เป็นอันตรายซึ่งจะทำการรวบรวมข้อมูลของระบบ และเปิดใช้งานการเข้าถึงเครื่องจากระยะไกล

    จากการวิเคราะห์ของของ Securonix ระบุว่า จากวิธีการโจมตีรูปแบบการโจมตีดังกล่าวน่าจะมีที่มาจากผู้ไม่ประสงค์ดีชาวเกาหลีเหนือ แม้ว่าข้อมูลอาจจะยังไม่เพียงพอที่จะสามารถระบุแหล่งที่มาได้

การโจมตีแบบ Multi-stage infection chain

    การโจมตี “Dev Popper” เป็นรูปแบบ multi-stage infection chain โดยอาศัยวิธีการ social engineering ซึ่งออกแบบมาเพื่อหลอกลวงเป้าหมายผ่านกระบวนการอย่างต่อเนื่องผู้ไม่ประสงค์ดี เริ่มต้นการติดต่อโดยสวมรอยเป็นนายจ้างที่เสนอตำแหน่ง developer ซึ่งในระหว่างการสัมภาษณ์ ผู้สมัครจะถูกขอให้ดาวน์โหลด และเรียกใช้งาน present ที่เป็น standard coding task จาก GitHub repository

ตัวอย่างไฟล์ ZIP ที่มี NPM package ซึ่งมี README.md รวมถึง frontend และ backend directory

    เมื่อ developer รัน NPM package ไฟล์ JavaScript ที่อันตราย (“imageDetails.js”) ที่ซ่อนอยู่ใน backend directory จะถูกเปิดใช้งาน โดยเรียกใช้คำสั่ง 'curl' ผ่าน Node.js process เพื่อดาวน์โหลดไฟล์เพิ่มเติม (“p.zi”) จากเซิร์ฟเวอร์ภายนอก

    ภายในไฟล์คือเพย์โหลดสำหรับขั้นตอนถัดไป ซึ่งเป็นสคริปต์ Python ที่ใช้สร้างความสับสน (“npl”) ซึ่งทำหน้าที่เป็น RAT เมื่อ RAT ทำงานบนระบบของเหยื่อ มันจะรวบรวมข้อมูล และส่งข้อมูลระบบพื้นฐานไปยัง command and control (C2) server ซึ่งรวมไปถึงประเภทของระบบปฏิบัติการ ชื่อโฮสต์ และข้อมูลเครือข่ายของเป้าหมาย

Securonix รายงานว่า RAT มีความสามารถดังต่อไปนี้ :

• การเชื่อมต่อแบบแฝงตัวในเครื่องของเป้าหมายเพื่อการควบคุมอย่างต่อเนื่อง
• เรียกใช้คำสั่ง File system เพื่อค้นหา และขโมยไฟล์ หรือข้อมูลเฉพาะ
• ความสามารถในการดำเนินการคำสั่งจากระยะไกลสำหรับการโจมตีเพิ่มเติม หรือเรียกใช้มัลแวร์
• ขโมยข้อมูล FTP โดยตรงจากโฟลเดอร์ที่มีชื่อน่าสนใจ เช่น ‘Documents’ และ ‘Downloads’
• การบันทึก Clipboard และการกดแป้นพิมพ์ เพื่อตรวจสอบการใช้งานของผู้ใช้ และการบันทึกข้อมูล credentials

    แม้จะยังไม่รู้ว่าผู้ไม่ประสงค์ดีได้ทำการโจมตีด้วย Dev Popper ไปมากแค่ไหน แต่กลยุทธ์ในการใช้เหยื่อล่อดังกล่าว ยังคงถูกใช้งานอย่างแพร่หลาย ดังนั้นจึงควรระมัดระวังความเสี่ยงในการถูกโจมตี

    ทั้งนี้พบว่ากลุ่มผู้ไม่ประสงค์ดีชาวเกาหลีเหนือใช้กลยุทธ์ "fake job offer" ในการดำเนินงานหลายครั้งในช่วงหลายปีที่ผ่านมาเพื่อเข้าควบคุมเครื่องเป้าหมายบนแพลตฟอร์มต่าง ๆ

    รวมถึงมีรายงานจำนวนมากในปี 2023 เกี่ยวกับกลุ่มผู้ไม่ประสงค์ดีชาวเกาหลีเหนือที่ใช้ "fake job offer" เพื่อติดต่อ และหลอกลวงนักวิจัยด้านความปลอดภัย องค์กรสื่อ นักพัฒนาซอฟต์แวร์ (โดยเฉพาะสำหรับแพลตฟอร์ม DeFi) หรือพนักงานของบริษัทการบิน และอวกาศ ซึ่งในการโจมตีแบบ spear-phishing attack กลุ่มผู้ไม่ประสงค์ดีชาวเกาหลีเหนือได้ปลอมตัวเป็นนักข่าวเพื่อรวบรวมข้อมูลจากนักวิจัย ศูนย์กลางการวิจัย และองค์กรวิชาการต่าง ๆ

Ref : bleepingcomputer

MaaS ด้วยวิธีการใช้ประโยชน์จากเด็กเข้าไปใน Honeytrap เพื่อทำการใช้ Ransomware Attack

    พบวิธีการโจมตีด้วย Malware ตัวใหม่ที่กำลังกำหนดเป้าหมายไปยังกลุ่มคนที่แสวงหาผลประโยชน์จากเด็ก

    ตั้งแต่ปี 2012 ผู้โจมตีได้สร้าง Malware และ Ransomware หลากหลายรูปแบบที่ปลอมแปลงเป็นหน่วยงานของรัฐเพื่อเตือนผู้ใช้งานที่ติด Malware ว่าพวกเขากำลังกระทำความผิดจากการเข้าชม CSAM (Child Sexual Abuse Material) โดย Malware จะแจ้งให้เหยื่อยอมจ่ายค่าปรับ เพื่อป้องกันไม่ให้ข้อมูลของพวกเขาถูกส่งไปยังหน่วยงานบังคับใช้กฎหมาย

    หนึ่งในการดำเนินการของ Ransomware ในยุคใหม่ เรียกว่า Anti-Child Porn Spam Protection หรือ ACCDFISA ซึ่งใช้กลยุทธ์การขู่กรรโชกนี้ รวมกับการล็อคเดสก์ท็อป Windows และการเข้ารหัสไฟล์

    ต่อมาก็จะมีกลุ่ม Malware อื่น ๆ ที่แอบอ้างเป็นหน่วยงานบังคับใช้กฎหมายที่ออกค่าปรับจากการเข้าชม CSAM เช่น โทรจัน Harasom, Urausy และ Reveton

    สัปดาห์ที่แล้ว MalwareHunterTeam นักวิจัยด้านความปลอดภัยทางไซเบอร์ได้แชร์ตัวอย่าง Malware ชื่อ 'CryptVPN' โดยใช้กลยุทธ์การขู่กรรโชกที่คล้ายกัน ซึ่งมุ่งเป้าไปยังผู้ที่แสวงหาสื่อลามกอนาจารเด็ก

BleepingComputer พบว่าผู้โจมตีสร้างเว็บไซต์เพื่อปลอมตัวเป็น UsenetClub ซึ่งเป็นบริการสมัครสมาชิกสำหรับการเข้าถึงรูปภาพ และวิดีโอที่ดาวน์โหลดจาก Usenet แบบไม่มีการเซ็นเซอร์

    Usenet เป็นแพลตฟอร์มการสนทนาออนไลน์ที่ช่วยให้ผู้คนสามารถสนทนาหัวข้อต่าง ๆ ในกลุ่มข่าวสารที่พวกเขาสมัครเป็นสมาชิกได้ แม้ว่า Usenet จะใช้สำหรับการสนทนาที่ถูกต้องในประเด็นต่าง ๆ มากมาย แต่ก็เป็นแหล่งที่ทราบกันดีว่าเป็นแหล่งของสื่อลามกอนาจารเด็กด้วยเช่นเดียวกัน

    เว็บไซต์ปลอมที่สร้างขึ้นโดยผู้โจมตีจะปลอมแปลงเป็น UsenetClub โดยเสนอระดับการสมัครสมาชิกสามระดับสำหรับเนื้อหาของเว็บไซต์ สองรายการแรกเป็นแบบชำระค่าสมาชิกตั้งแต่ $69.99 ต่อเดือน ถึง $279.99 ต่อปี ส่วนตัวเลือกที่สามอ้างว่าให้สิทธิ์การเข้าถึงฟรีหลังจากที่ทำการติดตั้งซอฟต์แวร์ "CryptVPN" ฟรี และใช้เพื่อเข้าถึงเว็บไซต์

    การคลิกที่ปุ่ม "ดาวน์โหลด และติดตั้ง" จะดาวน์โหลดไฟล์ CryptVPN.zip จากเว็บไซต์ ซึ่งเมื่อแตกไฟล์แล้วจะมีไฟล์ shortcut ของ Windows ที่ชื่อว่า "CLICK-HERE-TO-INSTALL"

    ไฟล์นี้เป็นไฟล์ shortcut ไปยัง PowerShell.exe พร้อมคำสั่งเพื่อดาวน์โหลดไฟล์ปฏิบัติการ CryptVPN.exe และบันทึกลงใน C:\Windows\Tasks.exe และสั่งดำเนินการ

    ไฟล์ปฏิบัติการของ Malware นั้นถูกบีบอัดไฟล์ด้วย UPX แต่เมื่อคลายแพ็กเก็ตออกมาแล้วจะมีสตริง PDB ที่ระบุชื่อMaaSว่า "PedoRansom"

C:\Users\user\source\repos\PedoRansom\x64\Release\PedoRansom.pdb

    Malware ไม่มีอะไรเป็นพิเศษ สิ่งเดียวที่มันทำคือเปลี่ยนวอลเปเปอร์ของเป้าหมายเป็นข้อความขู่กรรโชก และบันทึกเรียกค่าไถ่ชื่อ README.TXT บนเดสก์ท็อป ซึ่งมีข้อความขู่กรรโชกที่คล้ายกัน

    ข้อความที่ผู้ไม่ประสงค์ดีทิ้งใว้ระบุว่า “คุณมีการค้นหาเนื้อหาเกี่ยวกับการแสวงหาผลประโยชน์จากเด็ก หรือการล่วงละเมิดทางเพศเด็ก และคุณถูกแฮ็ก เราได้รวบรวมข้อมูลของคุณทั้งหมดแล้ว ตอนนี้คุณต้องจ่ายค่าไถ่เรา ไม่เช่นนั้นชีวิตของคุณจะจบลง” ที่ผู้ไม่ประสงค์ดีทิ้งใว้ระบุต่อไปว่า ”คุณจะต้องจ่ายเงิน 500 ดอลลาร์ให้กับที่อยู่ Bitcoin ของ bc1q4zfspf0s2gfmuu8h5k0679sxgxjkd7aj5e6qyl ภายในสิบวัน มิฉะนั้นข้อมูลการทำความผิดของคุณจะถูกปล่อย"

    ซึ่งจากการตรวจสอบพบว่าไอดี bitcoin นี้ได้รับการชำระเงินเพียงประมาณ $86 เท่านั้นในปัจจุบัน

    ผู้โจมตีใช้วิธีที่ผู้ไม่ประสงค์ดีทิ้งใว้เกี่ยวกับเรื่องเพศมาเป็นเวลานาน โดยมักจะส่งอีเมลไปยังผู้คนจำนวนมากเพื่อพยายามขู่ให้พวกเขาจ่ายเงินตามข้อเรียกร้องที่ผู้ไม่ประสงค์ดีทิ้งใว้ ซึ่งวิธีการลักษณะนี้ทำงานได้ดีมากในช่วงแรก โดยผู้ส่งอีเมลสามารถทำเงินได้มากกว่า 50,000 ดอลลาร์ต่อสัปดาห์ในช่วงแรก

    อย่างไรก็ตาม เมื่อเวลาผ่านไป และผู้ที่ได้รับอีเมลลักษณะนี้มีข้อมูลมากขึ้น วิธีการที่ผู้ไม่ประสงค์ดีทิ้งใว้ที่เกี่ยวกับเพศก็ไม่ได้สร้างรายได้เหมือนกับในช่วงแรกที่เคยทำได้

    แม้ว่าวิธีการนี้จะมีความคิดสร้างสรรค์ และอาจทำให้หลายคนกลัวที่กำลังมองหาเนื้อหาประเภทนี้ แต่เราน่าจะไม่เห็นการเพิ่มขึ้นของคนที่ยอมจ่ายเงินตามคำเรียกร้องที่ผู้ไม่ประสงค์ดีทิ้งใว้นี้

bleepingcomputer

กลุ่มผู้ไม่ประสงค์ดี ArcaneDoor ใช้ช่องโหว่ของ Cisco โจมตีเครือข่ายภาครัฐ

กลุ่มผู้ไม่ประสงค์ดี

ArcaneDoor  เป็นกลุ่มผู้ไม่ประสงค์ดีที่ได้รับการสนับสนุนจากรัฐบาล  ซึ่งเชื่อกันว่ามีฐานปฏิบัติการในเกาหลีเหนือ

กลุ่มนี้มีความเชี่ยวชาญ ในการโจมตีทางไซเบอร์ต่อเป้าหมาย  เช่น รัฐบาล องค์กร และบริษัทขนาดใหญ่

ArcaneDoor เคยใช้มัลแวร์และเทคนิคการโจมตีที่หลากหลาย รวมถึงการโจมตีแบบ phishing การโจมตีแบบ spear-phishing และการโจมตีแบบ zero-day

ช่องโหว่ที่ถูกใช้โจมตี

ช่องโหว่ CVE-2024-20353 ส่งผลกระทบต่อ Cisco ASA และ FTD firewalls และอนุญาตให้ผู้โจมตีรีสตาร์ทอุปกรณ์จากระยะไกล ซึ่งอาจนำไปสู่การโจมตีแบบปฏิเสธบริการ (DoS)

ช่องโหว่ CVE-2024-20359 ส่งผลกระทบต่อ Cisco ASA และ FTD firewalls และอนุญาตให้ผู้โจมตีรันโค้ดโดยพลการบนอุปกรณ์ ซึ่งอาจนำไปสู่การควบคุมอุปกรณ์โดยสมบูรณ์

เหยื่อ

เหยื่อของการโจมตีเหล่านี้เป็นเครือข่ายภาครัฐทั่วโลก

ยังไม่มีข้อมูลเกี่ยวกับจำนวนเหยื่อที่แน่นอน

เชื่อกันว่ากลุ่มแฮ็กเกอร์ได้โจมตีเครือข่ายภาครัฐหลายสิบแห่ง

แรงจูงใจในการโจมตี

แรงจูงใจของกลุ่มแฮ็กเกอร์ยังไม่เป็นที่ทราบแน่ชัด

เป็นไปได้ว่ากลุ่มแฮ็กเกอร์กำลังขโมยข้อมูลลับ เช่น ข้อมูลส่วนบุคคล ข้อมูลทางการเงิน หรือความลับทางการค้า

เป็นไปได้ว่ากลุ่มแฮ็กเกอร์กำลังก่อวินาศกรรมหรือขัดขวางการดำเนินงานของรัฐบาล

ผลกระทบ

            ผลกระทบของการโจมตีเหล่านี้ยังไม่เป็นที่ทราบแน่ชัด

            เป็นไปได้ว่ารัฐบาลที่ถูกโจมตีสูญเสียข้อมูลลับ หรือถูกก่อวินาศกรรมหรือขัดขวางการดำเนินงาน

            ยังไม่มีข้อมูลเกี่ยวกับความเสียหายทางการเงินที่เกิดขึ้น

การตอบสนอง

            Cisco  ได้ออกการแก้ไขสำหรับช่องโหว่  CVE-2024-20353  ในเดือนมีนาคม  2567  และสำหรับช่องโหว่  CVE-2024-20359  ในเดือนเมษายน 2567

            ผู้ดูแลระบบควรติดตั้งการแก้ไขโดยเร็วที่สุดเพื่อป้องกันเครือข่ายจากการโจมตี

            รัฐบาลที่ถูกโจมตีได้ขอความช่วยเหลือจากหน่วยงานด้านความปลอดภัยไซเบอร์

 

 

Ref : BleepingComputer