Application Security

ผู้เชี่ยวชาญด้านความมั่นคงปลอดภัยรายหนึ่งแสดงวิธีการที่คนร้ายทำการโพสต์สแปมบนหน้า Wall ของ Facebook เหยื่อได้ โดยอาศัยบั้กที่ชื่อว่า Clickjacking ที่ถูกรายงานเข้าไปนานแล้วแต่ทาง Facebook ไม่ยอมแก้เพราะอ้างว่าไม่ได้กระทบกับการเปลี่ยนแปลงสถานะของบัญชีผู้ใช้

ในขณะที่อุตสาหกรรมด้านความมั่นคงปลอดภัยต่างเริ่มนำเทคโนโลยี Machine Learning และ Artificial Intelligence (AI) เข้ามาสนับสนุนการค้นหา ตรวจจับ และวิเคราะห์ด้านความมั่นคงปลอดภัยเพื่อรับมือกับภัยคุกคามระดับสูง ฝั่งอาชญากรไซเบอร์เองก็เริ่มนำเทคโนโลยีดังกล่าวมาใช้เพื่อค้นหาช่องโหว่และโจมตีเป้าหมายด้วยเช่นกัน

Microsoft ได้เผยถึงฟีเจอร์ใหม่ ‘Windows Sandbox’ หรือการสร้างสภาพแวดล้อมจำลองขึ้นมาซึ่งคอนเซปต์ก็เหมือน VM ทั่วไปซึ่งจะปล่อยมาให้ใช้งานได้ในปีหน้า อย่างไรก็ตามฟีเจอร์นี้จะออกมาเฉพาะ Windows 10 Pro หรือ Enterprise Build 18301 ขึ้นไปเท่านั้น โดยจุดประสงค์ก็เพื่อช่วยให้ผู้ใช้สามารถทดสอบซอฟต์แวร์หรือทำงานบางอย่างที่กังวลเรื่องของความมั่นคงปลอดภัย

Cisco Talos ได้ทำรายงานศึกษาเจาะลึกถึงกลุ่มอาชญากรทางไซเบอร์ที่มุ่งเน้นเจาะระบบบริการระดับองค์ เช่น Jenkins, Hadoop, Jboss และ Struts2 เพื่อทำการแอบขุดเหมืองเงินดิจิทัล โดยแบ่งเป็น 3 กลุ่มหลักคือ Rocke, 8220 Mining และ Tor2Mine

ทีมงานของ Slow Mist Technology ได้ทำการเผยแพร่โค้ด PoC ที่ใช้ช่องโหว่หมายเลข CVE-2018-17246 ซึ่งเป็นช่องโหว่ File Inclusion ที่ส่งผลกระทบกับ Kibana ในเวอร์ชันก่อน 6.4.3 และ 5.6.13 ดังนั้นแนะนำผู้ใช้รีบอัปเดต

ทีมงานด้านความมั่นคงปลอดภัยของ Tencent ได้ค้นพบช่องโหว่บน SQLite ที่ทำให้ผู้โจมตีสามารถรันโค้ดได้ โดยตั้งชื่อช่องโหว่ว่า ‘Megellan’ ดังนั้นแนะนำให้ผู้ใช้งานติดตามการอัปเดตแพตช์ในผลิตภัณฑ์ที่ภายในมีการเรียกใช้ SQLite

Qihoo 360 ทีมผู้เชี่ยวชาญด้านความมั่นคงปลอดภัยจากจีนและ Gigamon ผู้ให้บริการโซลูชันด้านเครือข่ายได้ตรวจพบการโจมตีแบบ APT ที่ใช้ช่องโหว่บน Flash Player เกิดขึ้นกับคลีนิกเสริมความงามแห่งหนึ่งในรัสเซียที่มีลูกจ้างระดับสูงของสหภาพโซเวียตเข้าไปใช้บริการจึงคาดว่าน่าจะเป็นประเด็นทางการเมือง โดยการโจมตีครั้งนี้ถูกเรียกว่า “Operation Poison Needles”

ดูเหมือนว่าความง่ายของเทคโนโลยีจะเล่นเราเข้าให้แล้วเพราะวันนี้ได้มีผู้รายงานพบแอปพลิเคชันออกกำลังกาย 2 ตัวบน iOS ที่หลอกผู้ใช้ให้แตะ Touch ID เพื่อเข้าถึงข้อมูลแต่อันที่จริงแล้วไปสั่งตัดเงินจากบัญชีของเราประมาณ 99$ – 119$ ดอลล่าร์สหรัฐฯ หรือราว 3 พันกว่าบาท

เมื่อช่วงปลายเดือนที่แล้วทาง Cisco ได้ออกแพตช์อุตช่องโหว่บนผลิตภัณฑ์ WebEx ไปแล้วแต่หลังจากที่ได้เผยแพร่โค้ด PoC ออกไป มีนักวิจัยจาก SecureAuth ได้พบว่าแพตช์ของ Cisco นั้นยังไม่สมบูรณ์จึงได้แจ้งกลับไปยัง Cisco และเป็นที่มาของแพตช์ในเวอร์ชันล่าสุดนี้

BMC ผู้ให้บริการซอฟต์แวร์ IT Service Management ชั้นนำ เปิดให้ดาวน์โหลด eBook เรื่อง “SecOps for Dummies” เพื่อช่วยลดความเสี่ยงด้านความมั่นคงปลอดภัยขององค์กรโดยการปิดช่องว่างด้านการติดต่อสื่อสารระหว่างทีม Security และ Operations ผู้ที่สนใจสามารถดาวน์โหลด eBook ไปศึกษาได้ฟรี

มีรายงานพบไลบรารี JavaScript ชื่อ ‘Event-Stream’ ที่ถูกดาวน์โหลดไปแล้วหลายล้านครั้งได้ถูกแฮ็กเกอร์ฝังโค้ดอันตรายเข้ามาเพื่อมุ่งขโมย Bitcoin และ Bitcoin Cash จากแอปพลิเคชันกระเป๋าเงิน Bitcoin ที่ชื่อ Copay

Facebook ประกาศเพิ่มเงินรางวัลสำหรับผู้ที่ค้นพบช่องโหว่บนเว็บไซต์และแอปพลิเคชันบนสมาร์ตโฟนที่ช่วยให้แฮ็กเกอร์สามารถเข้าควบคุมบัญชีของผู้ใช้ได้ผ่านทาง Bug Bounty Program โดยจะมอบเงินรางวัลให้โดยเฉลี่ยสูงถึง $40,000 หรือประมาณ 1,300,000 บาท

TSS บริษัทด้านความมั่นคงปลอดภัยสัญชาติออสเตรเลียได้รายงานพบช่องโหว่หลายรายการบนผลิตภัณฑ์ Avamar และ Integration Data protection Appliance (IDPA) นอกจากนี้ยังส่งผลกระทบไปถึงผลิตภัณฑ์ vSphere Data Protection (VDP) ที่มีพื้นฐานมากจาก Avamar Virtual Edition จึงต้องออกแพตช์มาด้วย

Cisco Talos ทีมนักวิจัยด้าน Threat Intelligence ของ Cisco ออกมาแจ้งเตือนถึงช่องโหว่ความรุนแรงระดับสูง 3 รายการบน Atlantis Word Processor ซึ่งช่วยให้แฮ็กเกอร์สามารถลอบรันโค้ดแปลกปลอมจากระยะไกลและเข้าควบคุมระบบคอมพิวเตอร์ได้

Lukas Stefanko นักวิจัยจาก ESET ได้เผยถึงแอปพลิเคชันเกมจำลองการขับรถประเภทต่างๆ รวมกว่า 13 แอปจากผู้พัฒนาคนเดียวกันที่ชื่อ ‘Luiz O Pinto’ ซึ่งได้มีพฤติกรรมหลอกลวงเพราะหลังจากติดตั้งจะไปแอบติดตั้งแอปอื่นมาทำการแสดงโฆษณาหลังจากผู้ใช้ปลดล็อกเครื่อง ยิ่งกว่านั้นคือยอดดาวน์โหลดรวมกันแล้งสูงถึง 5 แสนครั้งเลยทีเดียว

Adobe ได้แพตช์อุตช่องโหว่ 3 รายการในผลิตภัณฑ์ Flash Player, Acrobat and Reader และ Photoshop CC ประจำเดือนพฤศจิกายน แนะนำผู้ใช้ควรอัปเดต

นักวิจัยด้านความมั่นคงปลอดภัยจาก Cymulate ออกมาเปิดเผยถึงช่องโหว่บนฟีเจอร์ “Online Video” บน Microsoft Word 2016 และเวอร์ชันที่ต่ำกว่า ซึ่งช่วยให้แฮ็กเกอร์แอบฝังมัลแวร์ลงบนไฟล์เอกสารได้ เสี่ยงถูกรันมัลแวร์บนคอมพิวเตอร์โดยไม่รู้ตัว

นักพัฒนาที่ชื่อว่า Sebastien Lechance ได้บังเอิญไปพบกับ Bug ใน Windows 10 ที่เกิดขึ้นภายหลังการอัปเดตแพตช์ในเดือนตุลาคมนี้ ซึ่งทำให้ไม่ปรากฏหน้าจอสอบถามสิทธิ์ของ UWP Application ในการเข้าถึง File System ต่อผู้ใช้งาน ทำให้อาจจะเป็นช่องทางกับแอปพลิเคชันที่ไม่หวังดีได้

PACKT Publishing เปิดให้ดาวน์โหลด eBook เรื่อง “Kali Linux Cookbook – 2nd Edition” ฟรีภายในวันนี้เท่านั้น (ก่อน 7 โมงเช้าของวันที่ 1 พฤศจิกายน 2018 ตามเวลาประเทศไทย) ผู้ที่สนใจเรียนรู้การใช้งาน Kali Linux ไม่ว่าจะเป็นการสแกนหาช่องโหว่บนเซิร์ฟเวอร์ การแคร็กรหัสผ่าน หรือการเจาะช่องโหว่เพื่อเข้าควบคุมระบบคอมพิวเตอร์สามารถดาวน์โหลดไปศึกษาได้ทันที

วันนี้ Apple ได้ออกอัปเดตเวอร์ชันใหม่ในหลายผลิตภัณฑ์ประกอบด้วย iOS 12.1, Safari 12.0.1, iCloud สำหรับ Windows, iTunes, watchOS 5.1, tvOS 12.1 และ macOS ซึ่งในการอัปเดตดังกล่าวมีการแก้ไขด้านความมั่นคงปลอดภัยหลายรายการ เช่น การยกระดับสิทธิ์, การเปิดเผยข้อมูล และ การลอบรันโค้ด ดังนั้นแนะนำผู้ใช้ควรทำการอัปเดตผลิตภัณฑ์ที่ใช้งาน