คลังเก็บป้ายกำกับ: THREATS_UPDATE

24 เว็บไซต์ดังถูกแฮ็ก ข้อมูลผู้ใช้กว่า 834 ล้านรายชื่อถูกขายใน Dark Web

เว็บไซต์ The Hacker News ออกมาแจ้งเตือนถึงเหตุการณ์ Data Breach บนเว็บไซต์ชื่อดังรวม 24 เว็บไซต์ ส่งผลให้ข้อมูลส่วนบุคคลของผู้ใช้กว่า 834 ล้านรายชื่อถูกขายบน Dark Web แนะนำให้ผู้ที่มีบัญชีอยู่ในรายการเว็บไซต์ด้านล่างนี้รีบเปลี่ยนรหัสผ่านใหม่ทันที

Credit: ShutterStock.com

สัปดาห์ที่ผ่านมาแฮ็กเกอร์ชาวปากีสถานได้ติดต่อมายังเว็บไซต์ The Hacker News ระบุว่าตัวเองได้ทำการแฮ็กเว็บไซต์ชื่อดังรายแห่ง แล้วนำข้อมูลส่วนบุคคลของผู้ใช้ที่ได้ไปขายให้แก่กลุ่มอาชญากรไซเบอร์และขายบน Dark Web ซึ่งจนถึงตอนนี้เว็บไซต์บางรายยังไม่รู้ตัวว่าตนเองเกิดเหตุ Data Breach ด้วยซ้ำ

เว็บไซต์ที่ถูกแฮ็กแบ่งออกเป็น 2 ล็อต ล็อตแรกจำนวน 16 เว็บไซต์ โดยมีแฮ็กเกอร์ที่ใช้ชื่อว่า gnosticplayers กำลังวางขายข้อมูลผู้ใช้ที่ได้มารวม 617 ล้านรายชื่อบน Dark Web Marketplace ที่ชื่อว่า Dream Market ด้วยมูลค่าประมาณ 630,000 บาทในรูปของ Bitcoin ดังนี้

  • Dubsmash — 162 ล้านรายชื่อ
  • MyFitnessPal — 151 ล้านรายชื่อ
  • MyHeritage — 92 ล้านรายชื่อ
  • ShareThis — 41 ล้านรายชื่อ
  • HauteLook — 28 ล้านรายชื่อ
  • Animoto — 25 ล้านรายชื่อ
  • EyeEm — 22 ล้านรายชื่อ
  • 8fit — 20 ล้านรายชื่อ
  • Whitepages — 18 ล้านรายชื่อ
  • Fotolog — 16 ล้านรายชื่อ
  • 500px — 15 ล้านรายชื่อ
  • Armor Games — 11 ล้านรายชื่อ
  • BookMate — 8 ล้านรายชื่อ
  • CoffeeMeetsBagel — 6 ล้านรายชื่อ
  • Artsy — 1 ล้านรายชื่อ
  • DataCamp — 700,000 รายชื่อ

เว็บไซต์แชร์รูปยอดนิยมอย่าง 500px ได้ออกมายืนยันแล้วว่ามีเหตุ Data Breach เกิดขึ้นจริงเมื่อเดือนกรกฎาคม 2018 ที่ผ่านมา ส่งผลให้ข้อมูลส่วนบุคคล ได้แก่ ชื่อนามสกุล ชื่อผู้ใช้ อีเมล รหัสผ่านที่ถูกแฮช ที่อยู่ วันเกิด และเพศของผู้ใช้ราว 14.8 ล้านคนถูกขโมยออกไป ซึ่งสอดคล้องกับตัวเลขที่แฮ็กเกอร์ระบุมาพอดี นอกจากนี้ Artsy, DataCamp, CoffeeMeetsBagel, MyFitnessPal, MyHeritage และ Animoto ก็ออกมายืนยันว่าเว็บไซต์ของตนถูกแฮ็กเมื่อปีที่ผ่านมาเช่นเดียวกัน

แฮ็กเกอร์ได้ลบข้อมูลล็อตแรกออกจาก Dream Market ก่อนที่จะวางขายข้อมูลผู้ใช้อีก 127 ล้านรายชื่อจาก 8 เว็บไซต์ที่แฮ็กได้ในล็อตที่ 2 โดยคิดมูลค่า 456,000 บาทในรูปของ Bitcoin เช่นกัน ประกอบด้วย

  • Houzz — 57 ล้านรายชื่อ
  • YouNow — 40 ล้านรายชื่อ
  • Ixigo — 18 ล้านรายชื่อ
  • Stronghold Kingdoms — 5 ล้านรายชื่อ
  • Roll20.net — 4 ล้านรายชื่อ
  • Ge.tt — 1.83 ล้านรายชื่อ
  • Petflow and Vbulletin forum — 1.5 ล้านรายชื่อ
  • Coinmama (Cryptocurrency Exchange) — 420,000 รายชื่อ

สำหรับล็อตที่ 2 นี้มีเพียง Houzz ที่ออกมายืนยันว่าเพิ่งเกิดเหตุ Data Breach ไปเมื่อต้นเดือนที่ผ่านมา ส่งผลให้ข้อมูลสาธารณะของลูกค้าและข้อมูลบัญชีผู้ใช้ภายในถูกขโมยออกไป

หลายเว็บไซต์ที่ถูกแฮ็กเหล่านี้ได้บังคับรีเซ็ตรหัสผ่านของผู้ใช้ใหม่เพื่อป้องกันปัญหาที่อาจจะเกิดขึ้นในอนาคตแล้ว แนะนำให้ผู้ใช้ทุกทคนที่ใช้บริการเว็บไซต์เหล่านี้รีบเปลี่ยนรหัสผ่านใหม่ทันที และหลีกเลี่ยงกันใช้รหัสผ่านเดียวกันในหลายๆ เว็บ

ที่มา: https://thehackernews.com/2019/02/data-breach-website.html

from:https://www.techtalkthai.com/24-popular-websites-breaches-834-million-records-sold-in-dark-web/

โฆษณา

พบมัลแวร์ .exe พุ่งเป้าผู้ใช้ macOS โดยเฉพาะ

ได้ยินถูกแล้วครับ มัลแวร์ Windows EXE สามารถแพร่กระจายไปยังอุปกรณ์ macOS ได้ด้วยเช่นกัน Trend Micro ผู้ให้บริการโซลูชันด้านความมั่นคงปลอดภัยแบบครบวงจร ได้ออกมาแจ้งเตือนถึงวิธีที่แฮ็กเกอร์ใช้บายพาสระบบป้องกันของ macOS โดยลอบส่งไฟล์มัลแวร์ EXE ที่ปกติจะใช้รันบน Windows เข้าไปรันบน macOS แทน พบมีผู้เสียหายจากการโจมตีดังกล่าวในหลายประเทศทั่วโลกแล้ว

Credit: ShutterStock.com

ทีมนักวิจัยจาก Trend Micro พบมัลแวร์นามสกุล .dmg หลายตัวอย่างที่แสร้งปลอมเป็น Installer ของซอฟต์แวร์ยอดนิยมแพร่กระจายผ่านทางเว็บไซต์ Torrent ซึ่งภายในมัลแวร์จะมีไฟล์ EXE ที่ถูกคอมไพล์โดย Mono Framework อยู่ ส่งผลให้สามารถรันไฟล์ EXE ข้ามแพลตฟอร์มรวมไปถึง macOS ได้

โดยปกติแล้ว การรันไฟล์ EXE บน macOS จะเกิด Error ขึ้น ทำให้กลไกการป้องกันบน macOS เช่น Gatekeeper ไม่สนใจที่จะสแกนไฟล์ดังกล่าว แฮ็กเกอร์จึงใช้ช่องโหว่ตรรกะตรงจุดนี้ในการสร้างไฟล์ EXE ที่รันบน macOS ได้ขึ้นมาแทนเพื่อบายพาสระบบป้องกัน

จากการตรวจสอบ Installer ปลอม พบว่าไฟล์ดังกล่าวจะทำการติดตั้งแอปพลิเคชัน Little Snitch Firewall พร้อมกับ Payload นามสกุล .exe ที่ถูกคอมไพล์โดยใช้ Mono โดย Payload นี้ถูกออกแบบมาสำหรับรวบรวมข้อมูลเกี่ยวกับระบบของเป้าหมายแล้วส่งกลับมายัง C&C Server ของแฮ็กเกอร์ นอกจากนี้ หลังจากติดตั้งแล้ว มัลแวร์ .exe จะทำการดาวน์โหลด Adware มาติดตั้งบนเครื่องของเหยื่ออีกด้วย ซึ่ง Adware บางตัวก็มาในรูปของ Adobe Flash Player ปลอมเช่นกัน

Trend Micro ยังระบุอีกว่า จนถึงตอนนี้ยังไม่พบ “รูปแบบการโจมตีที่เฉพาะเจาะจง” ที่เกี่ยวข้องกับมัลแวร์ดังกล่าว แต่มัลแวร์นี้ก็ได้แพร่ระบาดไปยังหลายประเทศทั่วโลกแล้ว ไม่ว่าจะเป็น สหราชอาณาจักร ออสเตรเลีย อาร์เมเนีย ลักเซมเบิร์ก แอฟริกาใต้ และสหรัฐฯ ที่น่าสนใจคือไฟล์มัลแวร์ EXE นี้กลับไม่สามารถรันบน Windows ได้ นั่นหมายความว่ามัลแวร์นี้ถูกออกแบบมาเพื่อพุ่งเป้าผู้ใช้ macOS โดยเฉพาะ

รายละเอียดเชิงเทคนิค: https://blog.trendmicro.com/trendlabs-security-intelligence/windows-app-runs-on-mac-downloads-info-stealer-and-adware/

ที่มา: https://thehackernews.com/2019/02/macos-windows-exe-malware.html

from:https://www.techtalkthai.com/exe-malware-targets-macos-users/

เตือนช่องโหว่บน macOS เสี่ยงถูก App สอดส่องดูประวัติการใช้ Safari ได้

Jeff Johnson นักพัฒนาแอปพลิเคชันได้ออกมาเปิดเผยช่องโหว่ใหม่บน macOS Mojave ซึ่งช่วยให้แอปพลิเคชันอื่นในเครื่อง รวมไปถึงมัลแวร์สามารถเข้าถึงข้อมูลที่จัดเก็บอยู่ในโฟลเดอร์หวงห้าม เช่น ประวัติการใช้ Safari ของผู้ใช้ได้ จนถึงตอนนี้ยังไม่มีแพตช์สำหรับอุดช่องโหว่

โดยปกติแล้ว บางโฟลเดอร์บน macOS Mojave จะมีการจำกัดสิทธิ์ในการเข้าถึงมาจากโรงงานด้วยเหตุผลด้านความมั่นคงปลอดภัยของข้อมูล เช่น ~/Library/Safari ซึ่งจะอนุญาตให้บางแอปพลิเคชัน เช่น Finder เข้าถึงได้เท่านั้น อย่างไรก็ตาม Johnson กลับค้นพบวิธีบายพาสการจำกัดสิทธิ์ในการเข้าถึงเหล่านั้น ซึ่งช่วยให้แอปพลิเคชันทั่วไป รวมไปถึงมัลแวร์สามารถเข้าถึงโฟลเดอร์หวงห้าม เช่น ~/Library/Safari ได้โดยไม่จำเป็นต้องได้รับการอนุญาตจากผู้ใช้หรือระบบปฏิบัติการ ส่งผลให้สามารถดูประวัติการใช้ Safari ของผู้ใช้ได้

Johnson ระบุว่า ช่องโหว่นี้ส่งผลกระทบบน macOS Mojave ทุกเวอร์ชัน รวมไปถึง Mojave 10.14.3 Supplemental Update ที่เพิ่งออกมาเมื่อวันที่ 7 กุมภาพันธ์ที่ผ่านมาด้วย อย่างไรก็ตาม ช่องโหว่นี้ใช้ไม่ได้กับ Safari Extension และ Sandboxed Apps
Johnson ได้รายงานช่องโหว่นี้ไปยังทีมรักษาความมั่นคงปลอดภัยของ Apple เรียบร้อย และคาดว่าจะยังไม่มีแพตช์สำหรับอุดช่องโหว่ออกมาจนกว่าจะถึงรอบอัปเดตถัดไป

Johnson จึงยังไม่เปิดเผยรายละเอียดเชิงเทคนิคเพื่อป้องกันไม่ให้ผู้ไม่ประสงค์ดีใช้ช่องโหว่นี้ในทางที่ผิด

รายละเอียดเพิ่มเติม: https://lapcatsoftware.com/articles/mojave-privacy3.html

ที่มา: https://thehackernews.com/2019/02/macos-mojave-privacy-hack.html

from:https://www.techtalkthai.com/macos-mojave-flaw-allows-malicious-apps-spy-on-safari-browsing-history/

ลูกค้าธนาคารอังกฤษถูกดักขโมย SMS จากช่องโหว่ SS7 ถูกขโมยเงินจากบัญชีหลายราย

ถึงแม้เราจะทราบกันดีกว่าการโจมตีระบบ Signaling System 7 หรือ SS7 ที่เป็นระบบโครงสร้างพื้นฐานของโทรศัพท์นั้นมีมานานหลายปีแล้ว แต่ที่ผ่านมาก็ยังไม่เคยมีเหตุการณ์การโจมตีอย่างร้ายแรงมาก่อน แต่ในครั้งนี้ Motherboard ได้ออกมารายงานว่าลูกค้าของธนาคาร Metro Bank ในสหราชอาณาจักรถูกดักฟัง SMS ที่ใช้ในการทำ Two-Factor Authentication ด้วยการโจมตีช่องโหว่ของ SS7 และนำมาซึ่งการเจาะระบบเข้าถึงบัญชีธนาคารของลูกค้าได้

Credit: ShutterStock.com

การโจมตีครั้งนี้ได้สร้างความตื่นตัวเป็นวงกว้าง เพราะหลายระบบนั้นยังคงใช้ SMS เป็นช่องทางในการทำ 2-Factor Authentication อยู่ และทำให้ความน่าเชื่อถือของการใช้ SMS ร่วมในการยืนยันตัวตนนี้ยิ่งลดน้อยลงไปอีก

อย่างไรก็ดี เนื่องจากช่องโหว่ของระบบ SS7 นี้เป็นช่องโหว่บนระบบ IT Infrastructure ของผู้ให้บริการสัญญาณโทรศัพท์ ดังนั้นทางธนาคาร Metro Bank จึงไม่สามารถอุดช่องโหว่ได้ด้วยตัวเอง แต่ทาง BT บริษัทผู้ให้บริการโทรศัพท์ในสหราชอาณาจักรก็ออกมาบอกว่าตนเองได้ทำการอัปเกรดระบบให้ใหม่ล่าสุดอยู่เสมอ ส่วนทาง Reuters นั้นก็ออกมารายงานว่าการโจมตีลักษณะเดียวกันนี้อาจไม่ได้เกิดขึ้นกับเพียงแค่ Metro Bank เท่านั้น แต่ธนาคารอื่นเองก็อาจมีสิทธิ์ตกเป็นเหยื่อได้เช่นกัน

HackerOne ได้ออกมาระบุว่าไม่ว่าการโจมตีนี้จะเกิดจากการโจมตีแบบ Man-in-the-Middle บน SS7 หรือการทำ SIM Card Swapping ก็ตาม การโจมตีครั้งนี้ก็เป็นสัญญาณที่ชัดเจนว่าการยืนยันตัวตนแบบ 2-Factor Authentication โดยใช้ SMS ร่วมนั้นไม่ใช่หนทางที่ปลอดภัยที่สุดอีกต่อไป การหันไปใช้ Authenticator App หรือ Time-based One-time Password (TOTP) นั้นจึงถือเป็นหนทางที่ปลอดภัยกว่าในยามนี้

ที่มา: https://www.infosecurity-magazine.com/news/flaw-in-ss7-lets-attackers-empty/

from:https://www.techtalkthai.com/uk-bank-accounts-were-hijacked-via-ss7-flaw/

ผู้เชี่ยวชาญพบการโจมตีอุปกรณ์ Ubiquity ที่พอร์ต UDP 10,001

Jim Troutman ที่ปรึกษาและผู้อำนวยการ Northern New England Neutral Internet Exchange (NNENIX) ได้พบกับการโจมตีอุปกรณ์ Ubiquiti ผ่านพอร์ต UDP 10,001 ซึ่งอาจนำไปสู่การทำ DDoS Amplification Attack ได้

ไอเดียก็คือ Ubiquiti มีการรัน Discovery Service ที่พอร์ต UDP 10,001 ซึ่งทาง Rapid 7 กล่าวว่าบริการนี้ถูกใช้เพื่อบริหารจัดการอุปกรณ์ได้ว่าอยู่ที่ไหน อย่างไรก็ตามบริการนี้มีจุดอ่อนคือคนร้ายสามารถส่งแพ็กเกจขนาดเล็กราว 56 ไบต์และได้รับการตอบกลับที่ขนาดใหญ่กว่าราว 3.67 เท่าซึ่งเชื่อว่าปัจจุบันแฮ็กเกอร์กำลังทดสอบการโจมตีนี้อยู่ แต่ผู้เชี่ยวชาญก็ชี้ว่าสามารถทำ Amplification Attack ได้ถึง 30 – 35 เท่า ถึงกระนั้นโชคดีที่ไม่ได้พบช่องโหว่ว่ามีการตอบกลับแบบหลายแพ็กเก็จก็ถือว่าเป็นเรื่องยากทีเดียวที่จะสร้างการโจมตีแบบ DDoS ขนาดใหญ่แต่ไม่ควรประมาท

ในฝั่งผู้ผลิตเองก็กำลังเร่งมือแก้ไขปัญหาดังกล่าวซึ่งเบื้องต้นแนะนำให้ผู้ใช้งานบล็อกพอร์ท 10,001 ไปเสียก่อนจนกว่าจะมีแพทช์ สำหรับอุปกรณ์ Ubiquiti ที่ได้รับผลกระทบนั้นทาง Rapid 7 เผยว่ากระทบอุปกรณ์ในหลายผลิตภัณฑ์ เช่น NanoStation, AirGrid, LiteBeam, PowerBeam และ NanoBeam เป็นต้น โดยมีจำนวนรวมกันกว่า 490,000 อุปกรณ์ (ดูภาพประกอบได้ตามด้านบน) ผู้สนใจสามารถศึกษารายงานของ Rapid 7 ได้ที่นี่

ที่มา : https://www.zdnet.com/article/over-485000-ubiquiti-devices-vulnerable-to-new-attack/ และ https://www.securityweek.com/flaw-possibly-affecting-500000-ubiquity-devices-exploited-wild

from:https://www.techtalkthai.com/ubiquiti-amplification-ddos-attack-udp-10001/

พบ Backdoor ตัวใหม่ ‘SpeakUp’ มุ่งโจมตีเซิร์ฟเวอร์ Linux

นักวิจัยด้านความมั่นคงปลอดภัยจาก Check Point ได้พบกับมัลแวร์ตัวใหม่เมื่อประมาณ 3 สัปดาห์ที่แล้วซึ่งตั้งชื่อว่า ‘SpeakUp’ และสามารถทำงานได้บนเซิร์ฟเวอร์ Linux ถึง 6 Distribution รวมถึง macOS ด้วย โดยขั้นแรกในโจมตีจะอาศัยช่องโหว่ของ ThinkPHP Framework ที่ถูกสร้างขึ้นและได้รับความนิยมในหมู่นักพัฒนาในจีน สำหรับขั้นตอนสุดท้ายคือเรียกติดตั้งตัวขุดเหมือง Monero

credit : Check Point

ไอเดียก็คือในขั้นแรกของการโจมตี SpeakUp จะใช้ช่องโหว่ ThinkPHP หมายเลข CVE-2018-20062 เพื่อเจาะระบบเข้าไปก่อน เมื่อเข้าไปได้แล้วก็จะสร้างการเชื่อมต่อกับเซิร์ฟเวอร์ C&C และ แก้ไข Cron Utility เพื่อทำให้อยู่รอดจากการรีบูต สำหรับคำสั่งจากเซิร์ฟเวอร์มี 3 คำสั่งหลักดังนี้ 

1.newtask – สั่งให้รันโค้ด, ดาวน์โหลดและรันไฟล์, สั่ง Kill หรือถอนการติดตั้งโปรแกรม และสั่งอัปเดตข้อมูล

2.notask – สั่ง Sleep 3 วินาทีและรอขอคำสั่งเพิ่มเติม

3.newerconfig – อัปเดตการตั้งค่าตัวขุดเหมืองที่ดาวน์โหลดเข้ามา

ขั้นที่สอง SpeakUp ยังมีสคิร์ปต์ไพธอนที่ใช้เพื่อนสแกนหาเครื่องใน LAN และพยายามเจาะเครื่อง Linux อื่นเพิ่มอีกด้วย รวมถึงสามารถทำการโจมตี Brute-force และสามารถใช้ช่องโหว่อื่นๆ อีก 6 รายการได้เพิ่มเติมดังนี้

  • CVE-2012-0874 – ช่องโหว่บน JBoss Enterprise Application 
  • JBoss 3/4/5/6 – ช่องโหว่สั่งรันคำสั่งได้จากทางไกล
  • CVE-2010-1871 – ช่องโหว่ลอบรันคำสั่งจากทางไกลบน JBoss Seam Framework
  • CVE-2010-10271 – ช่องโหว่ Deserialization RCE บน Oracle WebLogic wls-wsat
  • ช่องโหว่รันคำสั่งบนตัวจัดการทรัพยากรบน Hadoop YARN 
  • CVE-2018-2894 – ช่องโหว่บน Oracle WebLogic ในส่วนประกอบของ Fusion Middleware

Check Point ได้ติดตามการโจมตีในหลายประเทศพบว่าเหยื่อส่วนใหญ่อยู่ในจีนแต่ที่การโจมตีได้ขยายวงออกไปสาเหตุมาจากการใช้ช่องโหว่ในขึ้นที่สองเพราะพบมัลแวร์ในโซนประเทศแถวอเมริกาใต้ด้วย (ดูรูปประกอบได้ตามด้านบน) อย่างไรก็ตามเชื่อว่ากลุ่มแฮ็กเกอร์หวังผลจากการใช้ทรัพยากรบนเครื่องเหยื่อเพื่อขุดเหมืองหารายได้ซึ่งตอนนี้ทำรายได้แล้วประมาณ 4,500 ดอลล่าร์สหรัฐ

ที่มา : https://www.zdnet.com/article/security-researchers-discover-new-linux-backdoor-named-speakup/ และ https://www.securityweek.com/new-backdoor-targets-linux-servers

from:https://www.techtalkthai.com/speakup-backdoor-attacks-linux-server/