03/26/2023

Security Corner

เมือง Oakland ป่วนซ้ำ โดนแรนซัมแวร์โจมตีรอบสองในรอบไม่กี่สัปดาห์

ถือเป็นภัยที่คุกคามความก้าวหน้าของ Smart City เมื่อเมือง Oakland ในสหรัฐ ถูกแรนซัมแวร์โจมตีซ้ำอีกรอบ หลังจากที่เคยโดนโจมตีครั้งแรกเมื่อเดือนกุมภาพันธ์ที่ผ่านมา ไม่รู้ว่าเกิดจากความเก่งของแฮกเกอร์หรือความหละหลวมของระบบความปลอดภัยกันแน่

จะว่าไป เมือง Oakland ไม่ใช่องค์กรแรกๆ ที่โดนแรนซัมแวรืโจมตีติดๆ กันในช่วงไม่กี่สัปดาห์ เพราะรายงานของศุนย์เฝ้าระวัง Sophos X-Ops เปิดเผยเมื่อเดือนสิงหาคม 2565 บริษัทผลิตชิ้นส่วนยานยนต์แห่งหนึ่ง โดนแก๊งแรนซัมแวร์ที่แตกต่างกัน 3 กลุ่มภายในสองสัปดาห์ การโจมตีสองครั้งเกิดขึ้นภายในเวลาเพียงสองชั่วโมงเท่านั้น

โดยแก๊งแรนซัมแวร์ LockBit ออกมาอ้างว่าเป็นผู้อยู่เบื้องหลังการโจมตีในครั้งนี้ และขู่ว่าจะเผยแพร่ข้อมูลที่ขโมยมาภายในเดือนเมษายนหากไม่ได้รับค่าไถ่

แม้ว่าการโจมตีด้วยแรนซัมแวร์รอบสองนี้จะไม่ส่งผลกระทบต่อระบบแจ้งเหตุ 911 และบริการฉุกเฉินของเมือง แต่ระบบอื่นๆ ต้องหยุดการให้บริการ รวมถึงบริการโทรศัพท์และระบบที่ใช้ในการประมวลผลรายงาน เรียกเก็บเงิน และออกใบอนุญาตต่างๆ

ในการแถลงข่าวเมื่อวันจันทร์ที่ผ่านมา นายกเทศมนตรีเมือง Oakland กล่าวว่ากำลังเร่งฟื้นฟูระบบไอทีที่ได้รับผลกระทบ และเอฟบีไอยังให้ความช่วยเหลือในการสืบสวนเหตุการณ์ที่เกิดขึ้นแล้ว

เมื่อถูกถามว่าเมื่อใดระบบทั้งหมดของเมืองจะกลับมาออนไลน์อีกครั้งเมื่อไร ได้รับคำตอบว่า “เรามองในแง่ดีว่าระบบจะกลับมาทำงานอีกครั้ง ในอีกไม่กี่สัปดาห์ข้างหน้า หรืออาจจะเป็นเดือนหน้า”

ที่มา : bleepingcomputer

แฮกเกอร์เร่ขายข้อมูลคนไทย 55 ล้านรายการ

เมื่อเร็วๆ นี้ แฮกเกอร์ที่ใช้ชื่อว่า “9Near III” โพสต์ในฟอรัม BreachForums ประกาศขายข้อมูลคนไทย ที่ระบุว่ามีจำนวนมากถึง 55 ล้านรายการ

โดยอ้างว่าเป็นข้อมูลที่แฮกมาจากหน่วยงานราชการที่ไม่เปิดชื่อ ข้อมูลดังกล่าวประกอบด้วย ชื่อ ที่อยู่ หมายเลขบัตรประชาชน และเบอร์โทรศัพท์ พร้อมทั้งมีตัวอย่างข้อมูลบางส่วนให้ดูด้วย

ที่มา : Breach Forums

บริษัทซอฟท์แวร์บนคลาวด์ถูกปรับกว่า 100 ล้านบาท หลังปกปิดความเสียหายจากแรนซัมแวร์โจมตี

รายงานจาก ก.ล.ต. สหรัฐระบุว่า Blackbaud  บริษัทผู้ให้บริการซอฟท์แวร์บนคลาวด์ ให้บริการลูกค้าหลายหมื่นรายทั่วโลก ครอบคลุมองค์กรไม่แสวงหากำไร มูลนิธิ บริษัท สถาบันการศึกษา องค์กรด้านสุขภาพ องค์กรทางศาสนา ยอมจ่ายค่าปรับสูงถึง 100 ล้านบาท หลังจากไม่ยอมเปิดเผยข้อมูลทั้งหมดที่เกี่ยวกับการถูกโจมตีด้วยแรนซัมแวร์เมื่อปี 2020 ซึ่งส่งผลกระทบต่อลูกค้า 13000 ราย

ทั้งนี้บริษัทได้รายงานว่า ตรวจพบการเข้าถึงระบบโดยไม่ได้รับอนุญาตในวันที่ 14 พฤษภาคม 2020 ซึ่งส่งผลกระทบต่อลูกค้า 13,000 ราย เข้าใช้งานระบบบางส่วนไม่ได้ โดยเมื่อวันที่ 16 กรกฎาคม 2020 Blackbaud ประกาศว่าแก๊งค์แรนซัมแวร์ไม่สามารถเข้าถึงข้อมูลบัญชีธนาคารของผู้บริจาคหรือหมายเลขประกันสังคมได้

อย่างไรก็ตาม ตามคำสั่งเมื่อสัปดาห์ที่แล้ว ก.ล.ต. สืบสวนพบว่าเจ้าหน้าที่ของ Blackbaud ทราบดีว่าแรนซัมแวร์เข้าถึงข้อมูลบัญชีธนาคารและหมายเลขประกันสังคมของลูกค้าด้วย แต่บริษัทกลับไม่ได้แจ้งข้อมูลดังกล่าวแก่เจ้าหน้าที่ผู้เกี่ยวข้องและลูกค้าทราบ

โดยไม่ยอมรับหรือปฏิเสธข้อค้นพบของ ก.ล.ต. Blackbaud ยอมจ่ายค่าปรับทางแพ่งกว่าเป็นจำนวนเงินสูงกว่า 100 ล้านบาท

ที่มา : CSO ASEAN

Fortinet ระบุบักใน FortiOS ถูกใช้เป็น Zero-day เพื่อโจมตีเครือข่ายของรัฐบาลแล้ว

จากที่เราเคยเผยแพร่เรื่องราวของบั๊กที่ได้รับการแก้ไขแล้วใน FortiOS ก่อนหน้านั้น ล่าสุด Fortinet ออกมาเปิดเผยว่า มีแฮกเกอร์ใช้ช่องโหว่นี้ ในการโจมตีที่กำหนดเป้าหมายไปที่รัฐบาลและองค์กรขนาดใหญ่ สรา้งความเสียหายต่อระบบปฏิบัติการและไฟล์ข้อมูล

บทความที่เกี่ยวข้อง : ช่องโหว่รุนแรงใน FortiOS และ FortiProxy อาจทำให้ผู้โจมตีสามารถเข้าถึงระบบได้จากระยะไกล

ในขณะที่คำแนะนำของข้อบกพร่องไม่ได้ระบุว่าข้อบกพร่องนั้นถูกนำไปใช้จริงก่อนที่แพตช์จะถูกปล่อยออกมา รายงานของ Fortinet ที่เผยแพร่เมื่อสัปดาห์ที่แล้วเปิดเผยว่าช่องโหว่ CVE-2022-41328 ถูกใช้เพื่อแฮ็กและทำลายอุปกรณ์ไฟร์วอลล์ FortiGate หลายเครื่องของลูกค้า

เหตุการณ์ดังกล่าวถูกค้นพบหลังจากอุปกรณ์ Fortigate ที่ถูกบุกรุกปิดตัวลงพร้อมกับข้อความ “ระบบเข้าสู่โหมดข้อผิดพลาดเนื่องจากข้อผิดพลาด FIPS: การทดสอบความสมบูรณ์ของเฟิร์มแวร์ด้วยตนเองล้มเหลว” และไม่สามารถบูตได้อีกครั้ง

Fortinet กล่าวว่าสิ่งนี้เกิดขึ้นเนื่องจากอุปกรณ์ที่เปิดใช้งาน FIPS ตรวจสอบความสมบูรณ์ของส่วนประกอบของระบบ และได้รับการกำหนดค่าให้ปิดและหยุดการบูตโดยอัตโนมัติ เพื่อป้องกันการละเมิดเครือข่ายหากตรวจพบการบุกรุก

โดยไฟร์วอลล์ Fortigate เหล่านี้ถูกเจาะผ่าน FortiManager บนระบบเครือข่ายของเหยื่อ

การตรวจสอบในภายหลังพบว่าแฮกเกอร์แก้ไขอิมเมจเฟิร์มแวร์ของอุปกรณ์ (/sbin/init) เพื่อเปิดใช้งานเพย์โหลด (/bin/fgfm) ก่อนที่กระบวนการบูตจะเริ่มต้นขึ้น

มัลแวร์นี้สามารถขโมยข้อมูล ดาวน์โหลดและเขียนไฟล์ หรือเปิด remote shells เมื่อได้รับแพ็กเก็ต ICMP ที่มีสตริง “;7(Zu9YTsA7qQ#vm”

Fortinet สรุปว่าการโจมตีมีเป้าหมายสูง โดยมีหลักฐานบางอย่างที่แสดงว่าแฮกเกอร์มุ่งโจมตีเครือข่ายของรัฐบาล และ “มีความสามารถระดับสูง” รวมถึงสามารถเข้าไปจัดการกับระบบปฏิบัติการของอุปกรณ์ FortiGate ได้

Fortinet จึงแนะนำให้ลูกค้าอัปเกรดเป็น FortiOS เวอร์ชันที่ได้รับการแก้ไขทันที เพื่อป้องกันความพยายามโจมตีที่อาจเกิดขึ้นตามมาอีก

ที่มา : Bleepingcomputer

IceFire แรนซัมแวร์ตัวร้าย เล่นงานได้ทั้ง Linux และ Windows

หลังจากคุกคามระบบคอมพิวเตอร์ที่ใช้ Windows อยู่ระยะหนึ่ง ล่าสุดแรนซัมแวร์ตัวแสบอย่าง ได้พัฒนาตัวเองใหม่ ให้สามารถเล่นงานเครื่องที่ใช้ Linux

โดยนักวิจัยด้านความปลอดภัยของ SentinelLabs พบว่ากลุ่มคนร้ายเจาะระบบเครือข่ายขององค์กรด้านสื่อและความบันเทิงหลายแห่งทั่วโลกในช่วงไม่กี่สัปดาห์ที่ผ่านมา โดยเริ่มตั้งแต่กลางเดือนกุมภาพันธ์

เมื่อเข้าไปในเครือข่ายแล้ว ผู้โจมตีจะใช้มัลแวร์รูปแบบใหม่เพื่อเข้ารหัสไฟล์ Linux ของเหยื่อ

แรนซัมแวร์ IceFire จะเข้ารหัสและตั้งนามสกุลไฟล์ใหม่ว่า ‘.ifire’ จากนั้นก็จะทำการกลบเกลื่อนร่องรอย ด้วยการลบตัวเองและเอาข้อมูลออกจากไฟล์ไบนารี

ที่แสบคือ IceFire ไม่ได้เข้ารหัสไฟล์ทั้งหมดบน Linux แต่จะเลือกเข้ารหัสไฟล์อย่างมียุทธวิธี เพื่อให้ระบบยังคงสามารถทำงานอยู่ได้ แรนซัมแวร์หลีกเลี่ยงการเข้ารหัสเส้นทางเฉพาะอย่างมีกลยุทธ์ ช่วยให้ส่วนสำคัญของระบบยังคงทำงานได้

SentinelLabs ระบุว่า “เมื่อเปรียบเทียบกับ Windows แล้ว Linux นั้นติดตั้งแรนซัมแวร์ได้ยากกว่า ระบบ Linux จำนวนมากเป็นเซิร์ฟเวอร์ ”

ความเคลื่อนไหวของแรนซัมแวร์ IceFire ที่ขยายการจู่โจมไปยัง Linux หลังจากที่ก่อนหน้านี้เน้นไปที่การโจมตีเฉพาะระบบ Windows เป็นการเปลี่ยนแปลงเชิงกลยุทธ์ที่สอดคล้องกับกลุ่มแรนซัมแวร์อื่นๆ ที่เริ่มโจมตี Linux ในช่วงไม่กี่ปีที่ผ่านมา

SentinelLabs กล่าวว่า “วิวัฒนาการของ IceFire นี้เป็นการเสริมความแข็งแกร่งให้กับแรนซัมแวร์ที่มีเป้าหมายที่ Linux ซึ่งยังคงได้รับความนิยมเพิ่มขึ้นอย่างต่อเนื่องจนถึงปี 2023”

สิ่งเหล่านี้สอดคล้องกับแนวโน้มที่องค์กรเปลี่ยนไปสู่สภาพแวดล้อมเวอร์ชวลไลเซชัน VMware ESXi ที่ขับเคลื่อนด้วย Linux ซึ่งมีการจัดการอุปกรณ์ที่ได้รับการปรับปรุงและการจัดการทรัพยากรที่มีประสิทธิภาพมากขึ้น

ตัวเข้ารหัสที่คล้ายกันได้รับการเผยแพร่โดยแก๊งแรนซัมแวร์อื่น ๆ หลายตัว เช่น Conti, LockBit, HelloKitty, BlackMatter, REvil, AvosLocker, RansomEXX และ Hive

ที่มา : bleepingcomputer

Veeam ออกอัปเดตแก้ไขช่องโหว่ ที่ทำให้แฮกเกอร์เจาะโครงสร้างพื้นฐานการสำรองข้อมูลได้

Veeam แจ้งให้ลูกค้ารีบแก้ไขช่องโหว่ด้านความปลอดภัยของ Backup Service ที่มีความรุนแรงสูง ซึ่งส่งผลกระทบต่อซอฟต์แวร์ในการแบ็กอัปและทำสำเนาข้อมูล Backup & Replication

ข้อบกพร่อง CVE-2023-27532 ได้รับการรายงานเมื่อกลางเดือนกุมภาพันธ์โดยนักวิจัยด้านความปลอดภัยที่รู้จักกันในชื่อ Shanigen โดย Veeam Backup & Replication (VBR) ทุกเวอร์ชัน

ข้อบกพร่องนี้ ทำให้แฮกเกอร์ถอดรหัสข้อมูลการตั้งค่า VeeamVBR เพื่อเข้าถึงข้อมูลประจำตัว จากนั้นจึงใช้มันเพื่อเจาะเข้าถึงโฮสต์โครงสร้างพื้นฐานสำรองข้อมูล

ตามคำแนะนำของ Veeam advisory สาเหตุของข้อบกพร่องนี้คือไฟล์ Veeam.Backup.Service.exe (TCP 9401 ตามค่าเริ่มต้น) ที่อนุญาตให้ผู้ใช้ที่ไม่ผ่านการรับรองความถูกต้องสามารถขอข้อมูลประจำตัวที่เข้ารหัสได้

“เราได้พัฒนาแพตช์สำหรับ V11 และ V12 เพื่อบรรเทาช่องโหว่นี้ และเราขอแนะนำให้คุณอัปเดตการติดตั้งทันที” บริษัทกล่าวในอีเมลที่ส่งถึงลูกค้าเมื่อวันอังคาร

“หากคุณไม่ใช่ดูแลระบบของ Veeam โปรดส่งต่ออีเมลนี้ไปยังบุคคลที่เหมาะสม”

บริษัทได้ออกการอัปเดตความปลอดภัย เพื่อแก้ไขช่องโหว่นี้สำหรับ VBR V11 และ V12 โดยลูกค้าที่ใช้ซอฟท์แวร์รุ่นเก่าจะได้รับคำแนะนำให้อัปเดตเป็นผลิตภัณฑ์ให้รองรับหนึ่งในสองผลิตภัณฑ์นี้ก่อน

ที่มา : Bleepingcomputer

HPE ซื้อ Axis Security เสริมความแกร่งการรักษาความปลอดภัยบนสถาปัตยกรรม SASE

HPE วางแผนที่จะขยายศักยภาพของแพลตฟอร์ม Aruba SASE ด้วย Atmos จาก Axis Security ซึ่งเป็นโซลูชันระบบเครือข่ายและการรักษาความปลอดภัยแบบ edge-to-cloud ที่ครอบคลุมยิ่งขึ้น

Hewlett Packard Enterprise ได้ตกลงที่จะซื้อกิจการของผู้ให้บริการรักษาความปลอดภัยบนคลาวด์อย่าง Axis Security ถือเป็นการซื้อกิจการครั้งที่สามนับตั้งแต่เดือนมกราคม เพื่อเป็นทำให้ผลิตภัณฑ์ภายใต้สถาปัตยกรรม Unified Secure Access Service Edge (SASE) ที่มีอยู่แล้วแข็งแกร่งยิ่งขึ้น

การเข้าซื้อกิจการครั้งนี้มีเป้าหมายเพื่อรวมเอาแพลตฟอร์ม Axis Security Service Edge (SSE) เข้ากับความสามารถในการรักษาความปลอดภัยเครือข่ายแบบ Edge-to-Cloud ของ HPE เพื่อนำเสนอโซลูชันเครือข่ายและความปลอดภัยแบบบูรณาการในรูปแบบ as-a-service SSE

Phil Mottram รองประธานบริหารและผู้จัดการทั่วไปของ HPE กล่าวว่า “ในขณะที่เราเปลี่ยนผ่านจากโลกหลังการระบาดของโควิด และสภาพแวดล้อมการทำงานแบบ Hybrid กลายเป็นเรื่องปกติ แนวทางการรักษาความปลอดภัยรูปแบบใหม่จึงเป็นสิ่งจำเป็น”

โดย HPE จะรวม Aruba SASE เข้ากับ Atmos ของ Axis Security

HPE วางแผนที่จะผสานรวม Atmos ของ Axis Security เข้ากับ Aruba ซึ่งเป็นแพลตฟอร์มสำหรับเครือข่ายแบบ Edge-to-Cloud ด้วยระบบเครือข่ายอัตโนมัติที่ใช้ AI

HPE คาดว่าจะสรุปการซื้อกิจการภายในสิ้นเดือนเมษายน 2566 โดยขึ้นอยู่กับการปฏิบัติตามเงื่อนไขการปิดบัญชีบางประการ และจะทำให้ผลิตภัณฑ์พร้อมใช้งานภายในสิ้นเดือนกรกฎาคม

ที่มา : csoonline

Acer งานเข้าหลังถูกแฮกและขโมยข้อมูล

Acer ยักษ์ใหญ่ด้านคอมพิวเตอร์ของไต้หวันออกมายอมรับว่า ถูกแฮกระบบคอมพิวเตอร์และขโมยข้อมูลทางเทคนิคต่างๆ ออกไปจำนวนหนึ่ง อย่างไรก็ตาม บริษัทยืนยันว่า จากการตรวจสอบจนถึงขณะนี้ไม่ได้บ่งชี้ว่าเหตุการณ์ด้านความปลอดภัยนี้ส่งผลกระทบต่อข้อมูลลูกค้า

(more…)

ฟอร์ติการ์ด แล็ป เผยภัยไวรัสล้างข้อมูลอาละวาดหนักกว่าเดิมถึง 50%

เดเรค แมนคี หัวหน้าฝ่ายกลยุทธ์ด้านความปลอดภัยและรองประธานฝ่ายข่าวกรองภัยคุกคามจากฟอร์ติการ์ด แล็ป เผยว่า “สำหรับอาชญากรไซเบอร์ ยังคงมีการโจมตีและหลบเลี่ยงการตรวจจับอยู่เป็นจำนวนมาก และยังมีการพัฒนารูปแบบการโจมตีไม่น้อยหน้าการพัฒนาระบบรักษาความปลอดภัยทางไซเบอร์ที่ปกป้ององค์กรในทุกวันนี้ ปัจจุบันจะเห็นได้ว่าอาชญากรทางไซเบอร์ทั้งหลายมีการพัฒนาเทคนิคการสอดแนมที่แนบเนียนขึ้น

(more…)

Microsoft ออกอัปเดตความปลอดภัย Windows อุดช่องโหว่ของซีพียู Intel

Microsoft ได้ออกการอัปเดตความปลอดภัยสำหรับช่องโหว่ ‘Memory Mapped I/O Stale Data (MMIO)’ ใน CPU ของ Intel

ทั้งนี้ Intel เปิดเผยช่องโหว่ที่เกี่ยวข้องกับการทำงาน Mapped I/O เมื่อวันที่ 14 มิถุนายน 2022 โดยเตือนว่าช่องโหว่ดังกล่าวอาจทำให้แฮกเกอร์สามารถเข้าถึงข้อมูลจาก Virtual Machine ข้ามเครื่องได้

ช่องโหว่ถูกติดตามภายใต้ CVE ประกอบด้วย:

CVE-2022-21123 – Shared Buffer Data Read (SBDR)
CVE-2022-21125 – Shared Buffer Data Sampling (SBDS)
CVE-2022-21127 – Special Register Buffer Data Sampling Update (SRBDS Update)
CVE-2022-21166 – Device Register Partial Write (DRPW)

ไมโครซอฟท์ระบุว่า “ในสภาพแวดล้อมทรัพยากรที่ใช้ร่วมกัน (เช่น ที่มีอยู่ในการกำหนดค่าบริการคลาวด์บางอย่าง) แฮกเกอร์อาจใช้ช่องโหว่เหล่านี้เข้าถึงข้อมูลใน Virtual Machine ข้ามเครื่องได้”

ระบบปฏิบัติการ Windows ที่ต้องอัปเดตความปลอดภัยนี้ ประกอบด้วย

อย่างไรก็ตาม ยังมีความสับสนว่าอินเทลเองจะมีการออกตัวอัปเดทแก้ไขอย่างไรสำรับซีพียูของตนเองด้วยหรือไม่

ที่มา : bleepingcomputer

You may have missed


realme C55 มาแล้ว!เปิดจำหน่ายรอบ Exclusive เฉพาะที่ Lazadaจับจองก่อนใครในราคาสุดพิเศษ 27 มี.ค. – 1 เม.ย. นี้

อเมริกาเริ่มทดสอบ AI ‘CoPilot’ เพื่อช่วยแพทย์จดบันทึกดูแลผู้ป่วย

ครั้งแรกในเอเชียกับโซลูชันเมตาเวิร์สสุดล้ำจากทีเอ็มเอ็กซ์ เพื่อรองรับความต้องการที่เพิ่มขึ้นในภูมิภาค

ย้ำ 6 ความคุ้มค่ากับ HUAWEI WATCH Buds สมาร์ทวอทช์พร้อมหูฟังในตัว วางจำหน่ายที่ Lazada

NTT ทุ่ม 3 พันล้านเดินหน้าสร้างดาต้าเซ็นเตอร์ที่ใหญ่ที่สุดในประเทศไทย ในพื้นที่ EEC