Threats Update

สัปดาห์ที่ผ่านมา Magento ได้ออกแพทช์ชุดใหญ่สำหรับอุดช่องโหว่แพลทฟอร์ม E-commerce ของตน ซึ่งหนึ่งในนั้นเป็นช่องโหว่ Cross-site Scripting (XSS) ความรุนแรงสูงที่ช่วยให้แฮ็คเกอร์สามารถโจมตีเพื่อเข้าควบคุมเว็บไซต์ได้ แนะนำให้ผู้ดูแลระบบรีบอุดช่องโหว่โดยเร็ว

DDoS Attack อาจเรียกได้ว่าเป็นเทคนิคการโจมตีแบบ Brute Force ระดับสูงที่อาศัย Botnet หรือเครือข่ายของอุปกรณ์คอมพิวเตอร์ที่ติดมัลแวร์กลายเป็น Zombie และถูกควบคุมตามคำสั่งของแฮ็คเกอร์ โดยปกติแล้วจำนวน Botnet อาจมีได้ถึงหลักหมื่นหรือแสนเครื่องเลยทีเดียว ซึ่งการถล่มเว็บไซต์ถือว่าเป็นเป้าหมายหลักของการโจมตี DDoS Attack

Foxglove Security ที่ปรึกษาด้านความปลอดภัยชื่อดัง ออกมาเปิดเผยช่องโหว่บนระบบปฏิบัติการ Windows หลายเวอร์ชันที่ช่วยให้แฮ็คเกอร์สามารถโจมตีเพื่อแทรกซึมเข้ามายังคอมพิวเตอร์ แล้วยกระดับสิทธิ์ของตนเองเพื่อควบคุมคอมพิวเตอร์นั้นๆได้ โดยเรียกการโจมตีนี้ว่า Hot Potato

จากรายงาน 2015 Data Breach Investigations Report ของ Verizon ระบุว่าการโจมตีเว็บแอพพลิเคชันเป็นหนึ่งในช่องทางสำคัญที่แฮ็คเกอร์ใช้เจาะระบบ มากกว่า 50% ของการขโมยข้อมูลบัตรเครดิตเกี่ยวข้องกับการใช้เว็บแอพพลิเคชันทั้งสิ้น บทความนี้จึงนำเสนอ 5 ขั้นตอนการโจมตีเว็บแอพพลิเคชันที่แฮ็คเกอร์มักนิยมใช้ในรูปของ Infographic อย่างง่าย เพื่อให้แต่ละองค์กรสามารถหาวิธีรับมือได้อย่างถูกวิธี

หลังจากที่สัปดาห์ก่อนๆ มีข่าวเรื่องการค้นพบ Hardcoded Login หรือการใส่ Username/Password แบบตายตัวลงไปบน Fortinet FortiOS หลายรุ่น ทำให้ผู้ประสงค์ร้ายสามารถ SSH เข้าไปเป็น Admin ได้ และนำมาสู่การสันนิษฐานว่าอาจจะเป็นระบบ Backdoor ของ Fortinet จนทาง Fortinet ได้ออกมาปฏิเสธว่าเป็นเพียงปัญหาทางด้านระบบยืนยันตัวตนเท่านั้น ตอนนี้ได้มีการออกมาเปิดเผยแล้วว่ารุ่นของ FortiOS ที่ได้รับผลกระทบนั้นมีมากกว่าที่รายงานระบุไว้ในตอนแรก

Trend Micro ผู้ให้บริการโซลูชันด้านความปลอดภัยชื่อดัง ออกมาระบุ ปัจจุบันนี้ แฮ็คเกอร์ให้ความสนใจในการขโมยข้อมูลบัตรเครดิตน้อยลง แต่กลับมุ่งขโมย Uber, Paypal และ Netflix Account แทน เนื่องจาก Account เหล่านี้ ในตลาดมืด “Deep Web” ให้ราคาที่สูงกว่าข้อมูลบัตรเครดิตเป็นอย่างมาก

Malwarebytes ผู้ให้บริการโซลูชัน Anti-malware ชื่อดัง ได้ออกมาเผยถึง Malvertising แคมเปญใหม่อาศัยแพลทฟอร์มโฆษณาของ AdSpirit ในการแอบส่งมัลแวร์เรียกค่าไถ่ (Ransomware) ชื่อดังอย่าง CryptoWall เข้าไปยังเครื่องของเหยื่อ เมื่อเหยื่อเผลอกดโฆษณาบนหน้าโฮมเพจของ MSN

Dr.WEB บริษัทแอนตี้ไวรัสสัญชาติรัสเซีย ออกมาประกาศเตือนถึงมัลแวร์ตัวใหม่บน Linux ซึ่งช่วยให้แฮ็คเกอร์สามารถถ่ายรูปหน้าจอคอมพิวเตอร์เพื่อแอบสอดส่องพฤติกรรมของผู้ใช้ได้โดยที่ผู้ใช้ไม่รู้ตัว Dr.WEB เรียกมัลแวร์นี้ว่า Linux.Ekoms.1

มาถึงรอบ Patch แรกของปีนี้แล้ว ซึ่งปกติ Oracle จะปล่อย Patch ออกมาทุกๆ 3 เดือน และที่ผ่านมามีการอุดช่องโหว่โดยเฉลี่ยประมาณ 100 ช่องโหว่ต่อครั้ง แต่คราวนี้ Oracle ออก Patch อุดช่องโหว่มากถึง 248 ช่องโหว่เลยทีเดียว และครอบคลุมผลิตภัณฑ์ที่รู้จักกันดีอย่าง Oracle Database, Java SE, PeopleSoft, Oracle WebLogic, , Solaris, MySQL และ Oracle VM Virutal Box พร้อมผลิตภัณฑ์อื่นๆ ของ Oracle อีกเป็นจำนวนมาก ซึ่งในจำนวนนี้ก็มี Critical Patch ไม่น้อยเลยทีเดียว

Apple เพิ่งประกาศออก iOS รุ่น 9.2.1 มา เพื่ออุดช่องโหว่ไปด้วยกันทั้งสิ้น 13 CVE ซึ่ง 6 ช่องโหว่ในนั้นนำไปสู่การโจมตี Remote Code Execution ได้, แก้ปัญหาบางเครื่องติดตั้ง App ไม่ได้

SplashData ผู้ให้บริการซอฟต์แวร์สำหรับบริหารจัดการรหัสผ่านชื่อดัง ได้ออกมาเปิดเผยถึง 25 รหัสผ่านยอดนิยม หรืออาจเรียกว่าเป็นรหัสผ่านยอดแย่ประจำปี 2015 ที่ผ่านมา ซึ่งอันดับหนึ่งยังคงเป็น “123456” ตามด้วย “password” เช่นเดียวกับปี 2014

Perception Point บริษัท Startup ทางด้าน Security จากอิสราเอล ได้ออกมาประกาศถึงช่องโหว่ Zero-day ที่เพิ่งค้นพบซึ่งเปิดให้ผู้โจมตีสามารถยกระดับสิทธิ์ตัวเองเป็น Root ได้ และคาดว่าอุปกรณ์ Linux ทั่วโลกกว่า 66% จะได้รับผลกระทบจากช่องโหว่นี้

เช้าวันนี้ Perception Point บริษัทที่ปรึกษาด้านความปลอดภัยบนโลกไซเบอร์ ประเทศอิสราเอล ได้ออกมาเปิดเผยช่องโหว่ Zero-day ใหม่บน Android และ Linux ที่ช่วยให้แฮ็คเกอร์สามารถยกระดับสิทธิ์ (Privilege Escalation) ของตนและได้สิทธิ์ Root โดยไม่ได้รับอนุญาติได้

ปี 2015 ที่ผ่านมา มีผู้ใช้บริการ Facebook มากกว่า 1,550 ล้านคนทั่วโลกในแต่ละเดือน นับว่าเป็นหนึ่งในช่องทางในการติดต่อสื่อสารและแลกเปลี่ยนข้อมูลที่ใหญ่ที่สุดในโลก เช่นเดียวกัน Facebook ยังนับว่าเป็นช่องทางที่ใช้ในการก่ออาชญากรรมบนโลกไซเบอร์ที่มีผู้คนตกเป็นเหยื่อมากที่สุด ไม่ว่าจะเป็นเรื่องการปลอมแปลงตัวตน การหลอกลวงต้มตุ๋น ซึ่งอาจรุนแรงถึงขั้นกระทบต่อชีวิตจริงได้

วันที่ 16 มกราคมที่ผ่านมา กลุ่ม 2600 Thailand ร่วมกับมหาวิทยาลัยกรุงเทพฯ ได้จัดงาน Red Pill 2016 – An Offensive Security Conference ขึ้น เพื่อแลกเปลี่ยนความรู้ทางด้านความมั่งคงปลอดภัยบนโลกไซเบอร์ โดยมีผู้สนใจเข้าร่วมงานหลายร้อยคนจากภาคธุรกิจต่างๆ และวันนี้ กลุ่ม 2600 Thailand ได้เผยแพร่เอกสารประกอบการนำเสนอให้ผู้ที่สนใจดาวน์โหลดได้ฟรี

Akamai ผู้ให้บริการะบบ CDN ขนาดใหญ่ที่สุดในโลก ออกมาเปิดเผยถึงแคมเปญการทำ SEO แบบใหม่ของแฮ็คเกอร์ที่ใช้ SQL Injection ในการโจมตีเว็บไซต์ ส่งผลให้เว็บไซต์ดังกล่าวถูกสอดแทรกด้วยลิงค์ HTML ที่ทำให้ Search Engine Bot สับสนและส่งผลกระทบต่อการจัดอันดับเว็บไซต์จากการค้นหา

ถัดจากตู้เย็น กาต้มน้ำ ครั้งนี้ถึงคราว “กริ่งประตูบ้านอัจฉริยะ” หรือ Smart Doorbell ที่เสี่ยงถูกแฮ็คเกอร์ใช้เป็นเครื่องมือเพื่อแฮ็ครหัสผ่าน Wi-Fi

Qualys บริษัทที่ปรึกษาด้านความปลอดภัยชื่อดังได้ออกมาเปิดเผยถึงช่องโหว่ความรุนแรงสูงบน OpenSSH ที่ช่วยให้แฮ็คเกอร์สามารถบังคับเอาข้อมูล Private SSH Key จากเครื่องผู้ใช้ได้ แนะนำให้รีบอัพเดทแพทช์เพื่ออุดช่องโหว่โดยเร็ว

นักวิจัยด้านความปลอดภัยนามปากกา MLT ได้ออกมาเปิดเผยถึงช่องโหว่ Cross-site Scripting (XSS) บนเว็บไซต์ eBay ซึ่งช่วยให้แฮ็คเกอร์สามารถลอบส่งโค้ดเข้าไปปลอมแปลงหน้า Login เพื่อหลอกขโมยรหัสผ่านจากผู้ใช้บริการหลายร้อยล้านคนได้อย่างแยบยล