Tags:
Thunderbolt

เมื่อไม่นานมานี้ เคยมีนักวิจัยด้านความปลอดภัย Trammell Hudson สร้างต้นแบบมัลแวร์ชื่อ Thunderstrike ที่กระจายตัวผ่านเฟิร์มแวร์พอร์ต Thunderbolt เมื่อนำไปเสียบกับเครื่องแมค (หรือพีซีที่มี Thunderbolt) จะแพร่กระจายไปได้เรื่อยๆ ทั้งบนคอมพิวเตอร์และอุปกรณ์เสริม

แอปเปิลแพตช์แก้ช่องโหว่นี้แล้วใน OS X 10.10.2 แต่ทางทีมวิจัยพบว่าแอปเปิลยังแพตช์ช่องโหว่ไม่ครบ และสร้าง Thunderstrike 2 ที่สามารถกระจายตัวได้แบบเดียวกัน แถมยังโหดกว่าเดิม เพราะ Thunderstrike เวอร์ชันแรกต้องอาศัยการเสียบอุปกรณ์ที่ติดมัลแวร์เข้ากับเครื่องแมคโดยตรง แต่ Thunderstrike 2 สามารถกระจายตัวได้ผ่านอินเทอร์เน็ตด้วย ถ้าหากผู้ใช้โดนหลอกให้ดาวน์โหลดไฟล์มัลแวร์มารัน และมีอุปกรณ์ Thunderbolt เสียบอยู่ก็จะติดมัลแวร์ทันที (แถมกระจายไปติดเครื่องแมคอื่นๆ ที่นำอุปกรณ์ชิ้นนั้นไปเสียบด้วย)

จุดเด่นของมัลแวร์ที่ระดับของเฟิร์มแวร์คือตรวจสอบได้ยากมากเพราะไม่อยู่ในแรมหรือดิสก์ ทำให้แอนตี้ไวรัสตรวจสอบไม่พบ อย่างไรก็ตาม ตัว Hudson เองยังไม่เผยแพร่รายละเอียดของเทคนิคนี้ และ Thunderstrike 2 มีสถานะเป็นแค่มัลแวร์ต้นแบบ (proof-of-concept) เพื่อสาธิตว่าสามารถเจาะช่องโหว่ได้เท่านั้น ที่เหลือคงต้องรอแอปเปิลและผู้ผลิตพีซีรายอื่นๆ แพตช์แก้ช่องโหว่กันต่อไปครับ

ที่มา - Wired, Ars Technica

Tags:
Yahoo!

บริษัทความปลอดภัย Malwarebytes รายงานว่าในรอบสัปดาห์ที่ผ่านมา (นับตั้งแต่ 28 ก.ค.) มีแฮ็กเกอร์ใช้เครือข่ายโฆษณาของ Yahoo เผยแพร่มัลแวร์ครั้งใหญ่ที่สุดครั้งหนึ่งในประวัติศาสตร์วงการไอที

Malwarebytes ตรวจสอบพบว่าแฮ็กเกอร์รายนี้เช่าเซิร์ฟเวอร์ Azure บวกกับเซิร์ฟเวอร์ของตัวเอง แล้วลงโฆษณาผ่านระบบของ Yahoo ให้อยู่ในรูปไฟล์ Flash โดยฝังโค้ดประสงค์ร้ายไว้ในโฆษณา ถ้าหากผู้ใช้ที่โชคร้ายเปิดมาพบโฆษณาชุดนี้ และ Flash Player ในเครื่องไม่ได้อัพเดตเป็นเวอร์ชันล่าสุด ก็จะโดนเจาะผ่านช่องโหว่ของ Flash ทันที

ความร้ายแรงของการแพร่มัลแวร์รอบนี้อาศัยช่องโหว่ที่ผู้ใช้จำนวนมากไม่ยอมอัพเดต Flash บวกกับเครือข่ายโฆษณาของ Yahoo ที่เข้าถึงเว็บใหญ่ๆ เป็นจำนวนมาก ทำให้มีคนที่ได้รับผลกระทบในวงกว้าง

โฆษณาที่ว่านี้แสดงเป็นเวลานานประมาณ 1 สัปดาห์ หลังจากที่ Malwarebytes พบเข้าจึงแจ้งไปยัง Yahoo และบริษัทก็สั่งปิดโฆษณาทันที

ที่มา - Malwarebytes, Bits

Tags:
Yosemite

บริษัทความปลอดภัย Malwarebytes รายงานว่าพบช่องโหว่ zero-day ของ OS X สามารถสั่งแก้ไฟล์ sudoer ของระบบได้ ทำให้มัลแวร์สามารถแก้สิทธิการ sudo ไม่ต้องใส่รหัสผ่าน และติดตั้งแอพประสงค์ร้ายตัวอื่นๆ ลงในเครื่องแมคของผู้ใช้ได้เลย

ช่องโหว่ตัวนี้เกิดจากฟังก์ชัน DYLD_PRINT_TO_FILE ของ OS X เอง ที่เปิดให้รันสคริปต์เพื่อแก้ค่าไฟล์ใดๆ ในระบบ จนมัลแวร์นำไปใช้แก้ไฟล์ sudoer ที่กำหนดสิทธิการ sudo และเปิดโอกาสให้ติดตั้งแอพโดยผู้ใช้งานไม่รู้เรื่องได้เลย

แอปเปิลทราบข้อมูลช่องโหว่นี้จากนักวิจัยด้านความปลอดภัยมาก่อนแล้ว แต่ยังไม่แก้ไขอุดรูรั่ว ตอนนี้ผู้ใช้ OS X (รวมถึงรุ่นล่าสุด 10.10.4) ก็ต้องอยู่กับความเสี่ยงไปจนกว่าแอปเปิลจะออกแพตช์ครับ

ที่มา - Malwarebytes, Ars Technica

Tags:

มีรายงานพบช่องโหว่ของ BIND ซอฟต์แวร์โอเพนซอร์สสำหรับสร้าง DNS Server ทำให้สามารถยิง DoS ให้เซิร์ฟเวอร์แครชได้

ช่องโหว่นี้เกิดจากความผิดพลาดของ BIND ในการจัดการคิวรีประเภท TKEY ที่พบได้ไม่บ่อยนัก ที่เป็นอันตรายคือบริษัทความปลอดภัย Sucuri รายงานว่าพบการยิง DoS ถล่มเซิร์ฟเวอร์ BIND แล้ว

ทีม Internet Systems Consortium (ISC) ผู้ดูแลโครงการ BIND ได้ออกแพตช์แก้มาตั้งแต่สัปดาห์ที่แล้ว ใครดูแลเซิร์ฟเวอร์ BIND ก็อัพเดตแพ็กเกจกันด่วนครับ

ที่มา - ISC, Sucuri

Tags:
F-Secure

ประเด็นเรื่องความปลอดภัยคอมพิวเตอร์ กลายเป็นเรื่องใหญ่มากขึ้นเรื่อยๆ ในรอบไม่กี่ปีมานี้ ส่วนหนึ่งคงเป็นเพราะโลกเราใช้ระบบคอมพิวเตอร์กันมากขึ้นมาก แต่กรอบวิธีคิดด้านความปลอดภัยอาจยังพัฒนาไม่ทันช่องโหว่ที่มีมากขึ้น

ในงานสัมมนา Rise 2015 ที่ฮ่องกง หัวข้อหนึ่งที่น่าสนใจและผมได้เข้าฟัง คือการบรรยายของ Mikko Hypponen ประธานเจ้าหน้าที่ฝ่ายวิจัย (Chief Research Officer) จากบริษัทซอฟต์แวร์ความปลอดภัยชื่อดัง F-Secure ที่มาสะท้อนมุมมองในฐานะที่ทำงานสายความปลอดภัยมายาวนาน ว่ามีอะไรที่เปลี่ยนไปจากในอดีตบ้าง และเรากำลังจะเจอกับอะไรบ้าง

Tags:
Cisco

ซิสโก้รายงานมัลแวร์เข้ารหัสไฟล์เรียกค่าไถ่ CTB Locker ใช้เทคนิคใหม่ในการล่อให้ผู้ใช้ดาวน์โหลดไฟล์มารัน ด้วยการระบุว่าตัวเองเป็นไฟล์อัพเดต Windows 10 และปลอมที่อยู่ผู้ส่งเป็น update@microsoft.com พร้อมแนบไฟล์ Win10Installer.zip

อีเมลเซิร์ฟเวอร์ที่ใช้ส่งไปยังเหยื่อมาจากประเทศไทย

ตัวอีเมลพยายามล่อหลอกให้ผู้ใช้ดาวน์โหลดไฟล์ไปรันด้วยการลงท้ายอีเมลเหมือนอีเมลจากไมโครซอฟท์ และมีข้อความว่าอีเมลได้รับการสแกนไวรัสแล้ว

หากผู้ใช้หลงเชื่อก็จะเป็นการรันมัลแวร์ ไฟล์ในเครื่องจะถูกเข้ารหัส และตัวมัลแวร์จะให้เวลา 96 ชั่วโมงเพื่อจ่ายเงินค่าไถ่

ที่มา - Cisco

Tags:

องค์การอาหารและยาสหรัฐฯ (FDA) ออกประกาศแจ้งเตือนโรงพยาบาลให้หยุดใช้งานเครื่องควบคุมการให้สารละลายทางหลอดเลือดยี่ห้อ Symbiq Infusion System ที่ผลิตโดยบริษัท Hospira เพราะเสี่ยงต่อการถูกแฮกทำให้แฮกเกอร์บุกเข้าเครื่องมาปรับระดับยาจนเป็นอันตรายต่อคนไข้ได้

เครื่อง Symbiq Infusion System เลิกผลิตไปแล้วและทาง Hospira ก็กำลังทำงานร่วมกับลูกค้าเพื่อย้ายไปใช้ระบบใหม่กว่า แต่ยังมีบางโรงพยาบาลใช้งานอยู่และอาจจะเพิ่งซื้อเครื่องมาจากผู้ขายอื่นๆ ที่ยังมีสต็อก

ทาง FDA แนะนำโรงพยาบาลที่ไม่มีเครื่องยี่ห้ออื่นมาทดแทน ดังนี้

  • ถอดเครื่องออกจากเครือข่ายจะช่วยให้ปลอดภัยจากการถูกโจมตี แต่ควรระวังว่าการถอดจากเครือข่ายจะทำให้ต้องอัพเดตฐานข้อมูลยาด้วยตัวเอง ซึ่งจะเสี่ยงต่อความผิดพลาดได้
  • ปิดพอร์ต 20 (FTP) และ 23 (telnet)
  • มอนิเตอร์การเข้าใช้งานพอร์ต 20, 23, และ 8443 ติดต่อ Hospira เพื่อเปลี่ยนรหัสผ่านบนพอร์ต 8443 หรือปิดการใช้งานพอร์ตนี้ไป

ที่มา - FDA

Tags:
Android

ช่องโหว่ Stagefright ที่ทำให้แฮกเกอร์โจมตีเครื่องได้เพียงแค่ส่ง MMS เข้าไปยังเครื่องของเหยื่อดูจะเลวร้ายกว่าที่คิดไว้ เมื่อทาง Trend Micro ออกมาเปิดเผยว่าช่องโหว่เดียวกันนี้สามารถเจาะได้ถึงสามช่องทาง คือ การเปิดไฟล์ MP4 ผ่านเว็บ, ผ่านแอพพลิเคชั่น, และผ่าน MMS

ด้วยช่องโหว่ที่โจมตีได้ง่ายเช่นนี้ และยังไม่มีแนวทางป้องกันตัวเองเหมือนช่องทาง MMS ที่ผู้ใช้ยังสามารถปิดเองได้ ทำให้ช่องโหว่นี้เลวร้ายกว่าที่คาดไว้

ตอนนี้ที่ทำได้คงต้องไปกดดันผู้ผลิตให้ออกแพตช์ครับ

ที่มา - Trend Micro

Tags:
Tor

นักวิจัยด้านความปลอดภัย ได้เสนอปรับปรุงเทคนิคการโจมตีเปิดเผยตัวตนผู้ใช้ด้วยข้อมูลจังหวะการพิมพ์ ทำให้ผู้ใช้ที่ต้องการปิดบังตัวตน เช่น ใช้งานอินเทอร์เน็ตผ่าน Tor มีความเสี่ยงที่จะไม่สามารถปิดบังตัวตนได้สำเร็จ

โดยเทคนิคดั้งเดิมนั้น จะอาศัยข้อมูลระยะเวลาระหว่างการกดตัวอักษรใดๆ บนแป้นคีย์บอร์ด มาสร้างเป็นโปรไฟล์ของผู้ใช้หนึ่งๆ หลังผ่านช่วงการฝึกป้อนข้อมูลตัวอย่างเพื่อสร้างโปรไฟล์แล้ว เว็บไซต์ที่มีข้อมูลโปรไฟล์ดังกล่าว จะสามารถแยกแยะได้ว่าการใช้งานเกิดจากผู้ใช้ตัวจริงหรือไม่ เพราะจังหวะการพิมพ์นั้นถือเป็นเอกลักษณ์เฉพาะบุคคล

ในด้านของการโจมตีนั้น คุณ Runa Sandvik อดีตนักพัฒนา Tor แสดงความกังวลว่า หากเว็บไซต์ใหญ่ๆ หันมาทำโปรไฟล์ผู้ใช้เช่นนี้ อาจทำให้สามารถวิเคราะห์เชื่อมโยงตัวตนของบุคคลที่มีหลายบัญชีได้ และยังสามารถเชื่อมโยงตัวตนระหว่างเว็บไซต์ได้หากภาครัฐเข้ามาควบคุมข้อมูลดังกล่าว

ส่วนใครที่ไม่สบายใจกับแนวคิดการโดนโจมตีเช่นนี้ ตอนนี้สามารถติดตั้งส่วนเสริมสำหรับ Google Chrome ที่ช่วยหน่วงเวลาการส่งตัวอักษรแต่ละตัวไปยังเว็บไซต์ได้ครับ

ที่มา: Ars Technica

Tags:
Android

นักวิจัยความปลอดภัยระบบไอทีของ Zimperium ประกาศข่าวเรื่องการค้นพบช่องโหว่ Stagefright ซึ่งเป็นช่องโหว่ในระบบปฏิบัติการ Android ที่ผู้ไม่หวังดีอาจใช้เป็นช่องทางในการเจาะเข้าสู่อุปกรณ์ที่รันระบบปฏิบัติการดังกล่าวด้วยการส่ง MMS ซ่อนมัลแวร์มาล่อผู้ใช้

กระบวนการนี้อาจต้องการหรือไม่ต้องการการกดรับจากผู้ใช้ก็ได้ ทั้งนี้ขึ้นอยู่กับว่าผู้ใช้ตั้งค่าให้แอพใดเป็นแอพที่ทำงานกับ MMS เป็นหลัก หากใช้ Messenger อันเป็นแอพดั้งเดิมของ Android สำหรับเปิด MMS มันจะไม่ทำการยุ่งเกี่ยวใดๆ กับ MMS ที่แฝงมัลแวร์มาตราบใดที่ผู้ใช้ไม่เปิดอ่านข้อความภาพนั้นเอง แต่หากผู้ใช้เลือกให้ Hangouts เป็นแอพหลักสำหรับเปิด MMS แล้ว มันจะทำการโหลดเนื้อหาของ MMS มาให้ผู้ใช้ก่อนแม้ว่าตัวผู้ใช้เองจะยังไม่กดเรียกดู MMS แต่อย่างใด ซึ่งในกรณีหลังก็ถือเป็นการเริ่มกระบวนการทำงานของมัลแวร์ได้ทันที

Google เองรู้ตัวเกี่ยวกับช่องโหว่อันนี้แล้ว แต่การที่จะอุดช่องโหว่นี้ได้ ก็ต้องรอให้ผู้ผลิตสมาร์ทโฟน Android เป็นผู้ปล่อยอัพเดตเฟิร์มแวร์กันเอง โดยจนถึงขณะนี้ Zimperium ยืนยันว่ามีเพียงแค่ Nexus 6 และ Blackphone เท่านั้นที่มีการปิดช่องโหว่นี้เรียบร้อยแล้ว

ผู้ใช้ Android ยี่ห้ออื่นก็พึงระวังกันไว้ดีๆ และได้แต่หวังว่าค่ายมือถือ Android แต่ละรายจะรีบปล่อยเฟิร์มแวร์ให้อัพเดตปิดช่องโหว่นี้โดยเร็วที่สุด

ที่มา - Engadget

Tags:
Hacking Team

อีเมลของ Hacking Team ที่ถูกเปิดเผยออกมานอกจากแสดงรายชื่อลูกค้าแล้ว อีกด้านที่สำคัญอย่างมากคือรายชื่อผู้ขายช่องโหว่ อีเมลเปิดหลุดออกมาแสดงให้เห็นกระบวนการเปลี่ยนแปลงของบริษัทที่เปลี่ยนจากบริษัทที่ปรึกษาด้านความปลอดภัยมาเป็นบริษัทขายซอฟต์แวร์ดักฟังข้อมูล

Hacking Team เริ่มสะสมช่องโหว่จากบริษัทภายนอกตั้งแต่ปี 2009 โดยซื้อช่องโหว่จาก D2Sec และ VUPEN แต่ปรากฎว่าช่องโหว่ที่ซื้อมายังไม่เป็นตามที่หวัง ในปี 2013 Hacking Team พยายามหานักวิจัยรายใหม่ๆ เพื่อติดต่อซื้อช่องโหว่ รวมถึงสร้างทีมงานภายในเพื่อหาช่องโหว่ด้วยตัวเอง

Tags:
Google

ที่งานประชุมวิชาการ Symposium On Usable Privacy and Security ปีนี้ ทีมวิจัยของกูเกิลได้สำรวจความแตกต่างระหว่างผู้เชี่ยวชาญความปลอดภัยและผู้ใช้ทั่วไปว่ามีแนวทางการป้องกันตัวเองต่างกันอย่างไรบ้าง

แบบสำรวจส่งให้กับผู้เชี่ยวชาญผ่านเว็บบล็อคของกูเกิล และชักชวนออนไลน์ โดยต้องทำงานเกี่ยวกับความปลอดภัยคอมพิวเตอร์มาอย่างน้อยห้าปี เทียบกับแบบสำรวจผ่านจากผู้ใช้ Amazon Mechanical Turk ที่ความน่าเชื่อถือสูง (ผ่านงานมาอย่างน้อย 500 งาน และได้มี approval rate 95% ขึ้นไป) คำถามหลักของแบบสำรวจคือ ให้บอกรายการ 3 สิ่งที่สำคัญที่สุดเพื่อความปลอดภัยออนไลน์

แบบสำรวจแสดงให้เห็นว่าผู้เชี่ยวชาญจำนวนมากให้ความสำคัญกับการอัพเดตซอฟต์แวร์เป็นอย่างมาก ขณะที่ผู้ใช้ทั่วไปแทบไม่ให้ความสำคัญเลย ขณะที่ผู้ใช้โดยทั่วไปกลับพึ่งพิงกับซอฟต์แวร์ป้องกันไวรัส

ห้าอันดับแรกของความปลอดภัยออนไลน์จากผู้เชี่ยวชาญ ได้แก่ อัพเดตซอฟต์แวร์, ใช้รหัสผ่านไม่ซ้ำกัน, ใช้การยืนยันตัวตนด้วยสองขั้นตอน, ใช้รหัสผ่านที่แข็งแกร่ง, และใช้ซอฟต์แวร์จัดการรหัสผ่าน

ห้าอันดับแรกของผู้ใช้ทั่วไปกลับต่างออกไป ได้แก่ ใช้ซอฟต์แวร์ป้องกันไวรัส, ใช้รหัสผ่านที่แข็งแกร่ง, เข้าเว็บเฉพาะเว็บที่รู้จัก, เปลี่ยนรหัสผ่านสม่ำเสมอ, และไม่แชร์ข้อมูลให้คนอื่น

ที่มา - Comparing Expert and Non-Expert Security Practices (PDF)

Tags:
Steam

มีผู้ใช้งาน Steam จำนวนหนึ่งถูกขโมยบัญชี เนื่องจากช่องโหว่ในหน้าจอรีเซ็ตรหัสผ่านของ Steam เอง

ช่องโหว่นี้เกิดกับหน้าจอรีเซ็ตรหัสผ่านที่มีช่องให้ยืนยันอีเมล แต่ผู้รีเซ็ตสามารถกดยืนยันได้โดยไม่ต้องกรอกอีเมล และเข้าไปยังหน้าจอตั้งรหัสผ่านใหม่ได้เลย ทำให้การขโมยบัญชีง่ายมากขอเพียงแค่รู้ชื่อบัญชีเท่านั้น

Valve ออกมาให้ข้อมูลว่าช่องโหว่นี้เกิดระหว่างวันที่ 21-25 กรกฎาคมที่ผ่านมา ตอนนี้ช่องโหว่ถูกอุดแล้ว และบริษัทก็รีเซ็ตรหัสผ่านของบัญชีที่ต้องสงสัย พร้อมทั้งอีเมลแจ้งเจ้าของบัญชีนั้นแล้ว

ที่มา - Kotaku, PCWorld

Tags:

Chaouki Bekrar ผู้ก่อตั้ง VUPEN บริษัทวิจัยความปลอดภัยซอฟต์แวร์รายสำคัญที่ชนะการแข่งขันเจาะช่องโหว่ความปลอดภัยหลายรายการหันมาเปิดบริษัทใหม่ ZERODIUM ทำหน้าที่เป็นนายหน้ารับซื้อช่องโหว่ซอฟต์แวร์

ZERODIUM จะรับซื้อช่องโหว่ที่สามารถเจาะซอฟต์แวร์ได้จริง โดยไม่รับซื้อช่องโหว่ที่ลดความปลอดภัยในทางทฎษฎีหรือไม่สามารถเจาะได้จริง รายการซอฟต์แวร์ที่รับซื้อนั้นครอบคลุมแทบทุกอย่างที่เราใช้งานกัน ทั้งระบบปฎิบัติการ, เบราว์เซอร์, ซอฟต์แวร์อ่านไฟล์เอกสาร (Flash, PDF Reader, VLC), เว็บเซิร์ฟเวอร์, เมลเซิร์ฟเวอร์, ซอฟต์แวร์ทำเว็บ (WordPress, Drupal, Joomla), ไปจนถึงอุปกรณ์เครือข่ายและซอฟต์แวร์ป้องกันอื่นๆ

ทาง ZERODIUM ระบุว่าบริษัทจ่ายเงินให้กับช่องโหว่ที่สามารถใช้เจาะได้จริงเท่านั้น แม้จะมีหลายโครงการจ่ายเงินรางวัลให้กับช่องโหว่ความปลอดภัยอยู่แล้ว แต่หากขายให้กับบริษัทจะได้รับเงินรางวัลสูงกว่า

จากเอกสารของ Hacking Team แสดงให้เห็นกระบวนการซื้อช่องโหว่อย่างละเอียด การขายช่องโหว่แบบไม่ใช่การขายขาดสามารถขายได้ถึง 45,000 ดอลลาร์ต่อช่องโหว่ หากเป็นราคาขายขาดก็จะแพงกว่านี้ไปอีกมาก

ที่มา - ThreatPost

Tags:
Chrysler

ต่อจากข่าว ช่องโหว่รถยนต์ Chrysler ที่ติดตั้งระบบ Uconnect ควบคุมรถได้จากระยะไกล วันนี้ทาง Chrysler ประกาศให้รถยนต์รุ่นที่ได้รับผลกระทบจากช่องโหว่นี้จำนวน 1.4 ล้านคันในสหรัฐไปอัพเดตซอฟต์แวร์แล้ว

Chrysler จะส่งไดรฟ์ USB ให้เจ้าของรถยนต์ 1.4 ล้านคันทางไปรษณีย์เพื่ออัพเดตรถยนต์ของตัวเอง หรือจะเลือกเข้าศูนย์ใกล้บ้านเพื่อให้เจ้าหน้าที่อัพเดตให้ก็ได้เช่นกัน รถยนต์รุ่นที่เข้าข่ายมีทั้งแบรนด์ Jeep, Dodge, Ram รุ่นระหว่างปี 2013-2015 (รายชื่อตามลิงก์ต้นข่าว)

นอกจากการอัพเดตซอฟต์แวร์ให้รถยนต์แล้ว Chrysler ยังประกาศเพิ่มมาตรการรักษาความปลอดภัยในระดับเครือข่าย โดยทดสอบแล้วว่าสามารถบล็อคการแฮ็กระบบที่อาศัยช่องโหว่ตามข่าวได้

ที่มา - Chrysler

Tags:

ZDI รายงานช่องโหว่ของ Internet Explorer สี่รายการ ทั้งหมดค้นพบตั้งแต่ปลายปีที่แล้วถึงเดือนมกราคมปีนี้

ช่องโหว่ทั้งสี่มีหมายเลขประจำตัว ZDI-15-359, ZDI-15-360, ZDI-15-361,และ ZDI-15-362 มีคะแนนความร้ายแรงตามมาตรฐาน CVSS 7.5, 6.8, 6.8, และ 6.8 ตามลำดับ

ช่องโหว่ ZDI-15-359 ที่ร้ายแรงที่สุดอาศัยความผิดพลาดในการประมวลผลอาเรย์ (array) ในหน่วยความจำเมื่อประมวลผลตารางใน HTML เมื่อใส่ค่าที่เจาะจงจะสามารถบังคับให้ IE ใช้หน่วยความจำเกินจำนวนช่องอาเรย์ได้

ช่องโหว่ ZDI-15-359 นี้รายงานไปยังไมโครซอฟท์ครั้งแรกเมื่อวันที่ 12 ธันวาคมปีที่แล้วจากงาน Mobile Pwn2Own ตามนโยบาย 120 วันของ ZDI ไมโครซอฟท์จะมีเวลาถึงช่วงเดือนมีนาคม แต่ทางไมโครซอฟท์ยื่นขอเลื่อนกำหนดไปเป็นวันที่ 19 กรกฎาคมที่ผ่านมา หลังจากเจรจากันหลายรอบและทางไมโครซอฟท์ออกแพตช์ไม่ทัน ทาง ZDI จึงเปิดเผยช่องโหว่นี้ในวันที่ 20 กรกฎาคมที่ผ่านมาพร้อมๆ กับช่องโหว่อื่นๆ

ทางไมโครซอฟท์ให้เหตุผลที่ยังไม่ได้แก้ไขช่องโหว่นี้ว่า การป้องกันด้วย ASLR บนระบบ 64 บิตนั้นมีประสิทธิภาพดี และระบบ Memory Protection จะช่วยลดความเสี่ยงไปได้มาก

ตอนนี้ยังไม่มีแพตช์ ทางออกตอนนี้ทาง ZDI แนะนำให้ปิดการทำงานของ Active Scripting หรือเปิดใช้งานเฉพาะอินทราเน็ตเท่านั้นหากจำเป็น

ที่มา - ThreatPost

Tags:

เมื่อเราวางโครงสร้างสำหรับการทำธุรกิจ ไม่ว่าจะเป็นโครงสร้างที่เป็นทรัพย์สินอย่างเซิร์ฟเวอร์, อุปกรณ์, ซอฟต์แวร์, หรืออาคาร ทุกคนล้วนพยายามวางโครงสร้างชั้นดีเพื่อให้ธุรกิจเดินหน้าไปได้อย่างไม่ติดขัด แต่ในโลกความเป็นจริงเหตุการณ์ที่เหนือความคาดหมายเกิดขึ้นได้เสมอ เช่น ระบบไฟฟ้าอาจจะขัดข้องเป็นเวลานาน ไฟไหม้อาคารสำนักงาน หรือเหตุการณ์น้ำท่วมครั้งใหญ่

Tags:
Hacking Team

Trend Micro ออกรายงานวิเคราะห์การทำงานของ RCSAndroid ซอฟต์แวร์ดักฟังแบบเจาะลึกจาก Hacking Team ที่หลุดออกมาพร้อมเอกสารจำนวนมาก

เอกสารแสดงให้เห็นว่ากระบวนการเจาะระบบของ Hacking Team สำหรับแอนดรอยด์แบ่งออกเป็นสี่ส่วน ได้แก่ การเจาะระบบ, ซอฟต์แวร์ระดับล่างที่เป็นโค้ดเนทีฟ, ซอฟต์แวร์ระดับบนเป็นจาวา, และเซิร์ฟเวอร์ควบคุมสั่งการ

กระบวนการเจาะระบบเข้าไปยังเครื่องของเหยื่อนั้น Hacking Team จะสร้างลิงก์ส่งไปให้ลูกค้า ลิงก์เหล่านี้เมื่อลูกค้าส่งไปยังเครื่องของเหยื่อแล้วเครื่องจะถูกเจาะเข้าเพื่อเข้าไปดาวน์โหลดแอพพลิเคชั่นหลักเข้ามาติดตั้งได้ ลิงก์นี้สามารถถูกส่งผ่านทางอีเมลหรือเว็บก็ได้ อีกทางหนึ่งคือการเจาะด้วยการล่อให้เหยื่อติดตั้งแอพพลิเคชั่นใน Google Play ที่สามารถเจาะเครื่องได้ ไม่ว่าจะใช้ช่องทางใด เมื่อเจาะสำเร็จแล้วก็จะดาวน์โหลดมัลแวร์มาติดตั้งเหมือนกัน

ตัวมัลแวร์นั้นลูกค้าจะเป็นคนสร้างขึ้นมาจาก RCS Console ที่ซื้อมาจาก Hacking Team เองเป็นไฟล์ APK โดยต้องเลือกรุ่นโทรศัพท์ที่ต้องการเจาะล่วงหน้า มัลแวร์แบ่งออกเป็นสองส่วน คือ Evidence Collector ทำหน้าที่เก็บข้อมูลทุกอย่างที่เก็บได้จากเครื่องของเหยื่อ เช่นการอัดเสียงสนทนา อีกส่วนคือ Event Action Trigger กำหนดเงื่อนไขเพื่อให้รันคำสั่ง เช่น ส่งข้อมูลกลับเซิร์ฟเวอร์, รันคำสั่ง, ส่ง SMS, ทำลายข้อมูลที่เก็บมา, ปิดกรทำงานเครือข่าย, และถอดการติดตั้งตัวเอง

ข้อมูลล่าสุดของ RCSAndroid คือรองรับถึง Android 4.4.4 จากข้อมูลในอีเมลทาง Hacking Team กำลังพัฒนาเวอร์ชั่นใหม่เพื่อรองรับ Android 5.0 ขึ้นไปอยู่

ที่มา - Trend Micro

Tags:

Charlie Miller และ Chris Valasek นักวิจัยด้านความปลอดภัยเตรียมเปิดเผยช่องโหว่ของรถยนต์ Chrysler ที่ติดตั้งระบบ Uconnect ระบบคอมพิวเตอร์เพื่อให้บริการด้านความบันเทิง, ระบบนำทาง, ระบบแนะนำการขับอย่างประหยัดน้ำมัน

นักวิจัยทั้งสองคนสามารถเจาะเข้าไปแก้ไขเฟิร์มแวร์ของ Uconnect ให้ส่งคำสั่งเข้าไปยังระบบควบคุมรถผ่าน CAN bus ได้สำเร็จ ทำให้สามารถเข้าควบคุมความเร็วรถ และเป็นไปได้ว่าจะควบคุมพวงมาลัย

ความน่ากลัวของช่องโหว่นี้คือระบบ Uconnect นั้นเชื่อมต่ออินเทอร์เน็ตผ่านเครือข่ายโทรศัพท์มือถือ ทำให้แฮกเกอร์ควบคุมรถจากระยะไกลหลายกิโลเมตร

ทาง Chrysler รับทราบปัญหานี้และออกแพตช์แก้ไขออกมาแล้วตั้งแต่วันที่ 16 ที่ผ่านมา หลังจากนักวิจัยทั้งสองรายงานช่องโหว่ไปยังบริษัทเกือบเก้าเดือน ปัญหาคือแพตช์นี้จะต้องอัพเดตผ่าน USB หรือเข้าศูนย์เท่านั้น

ทั้งสองจะเปิดเผยช่องโหว่ในงาน Black Hat 2015 วันที่ 5-6 สิงหาคมนี้ ทาง Chrysler แสดงความขอบคุณนักวิจัยทั้งสองที่แจ้งช่องโหว่ แต่แสดงความไม่เห็นด้วยต่อการเปิดเผยข้อมูลสู่สาธารณะ

ที่มา - Wired

Tags:
OpenSSH

นักวิจัยความปลอดภัยใช้ชื่อว่า KingCope รายงานช่องโหว่ของ OpenSSH ในส่วนการยืนยันตัวตนผู้ใช้ด้วยรหัสผ่านเมื่อเปิดออปชั่น KbdInteractiveDevices ขึ้นใช้งาน (บน FreeBSD เปิดเป็นค่าเริ่มต้น) จะทำให้แฮกเกอร์สามารถเดารหัสผ่านได้จนกว่าช่วงเวลาล็อกอินจะหมด

ค่าเริ่มต้นของช่วงเวลาล็อกอินคือ 2 นาทีทำให้แฮกเกอร์อาจจะเดารหัสผ่านได้ถึง 10,000 รหัสในการล็อกอินแต่ละครั้ง สูงกว่าการล็อกอินโดยทั่วไปที่มักล็อกให้ทดลองรหัสได้เพียงสามครั้งเท่านั้น

KingCope รายงานว่าช่องโหว่นี้ใช้งานได้กับ OpenSSH 6.2 บน FreeBSD 10.1 ยังไม่มีรายงานเพิ่มเติมว่ากระทบเวอร์ชั่นใดแล้วบ้าง

ช่องโหว่นี้ยังไม่มีแพตช์ออกมา ระหว่างนี้สำหรับคนที่มีเซิร์ฟเวอร์ FreeBSD อาจจะต้องตั้งรหัสให้หนาแน่นกว่าเดิมหรืออนุญาตให้ใช้กุญแจเข้ารหัสสำหรับการล็อกอินเท่านั้น

ผมทดสอบลินุกซ์หลายรุ่นพบว่าช่องโหว่นี้ใช้การไม่ได้ ผลกระทบก็น่าจะไม่กว้างนัก

ที่มา - ArsTechnica, KingCope