นักวิจัยพบ JavaScript ที่ดึงข้อมูลผู้ใช้จากปลั๊กอิน Login with Facebook ได้, เฟซบุ๊กแก้ไขแล้ว

By nismod Writer on Tag: Facebook, Security, Privacy, JavaScript
Facebook

นักวิจัยจาก Princeton's Center for Information Technology Policy รายงานการค้นพบ JavaScript ของ 3rd Party ที่ฝังอยู่บนหน้าเว็บไซต์ที่มีปลั๊กอิน Login with Facebook สามารถดึงข้อมูลผู้ใช้และ User ID มาจากเฟซบุ๊ก เสมือนเป็นหน้าเว็บไซต์ (1st Party) นั้น เมื่อผู้ใช้กดล็อกอินผ่านเฟซบุ๊ก

Read more

มีอีกเรื่อยๆ นักวิจัยพบ S3 Bucket ที่เปิดเป็น Public มีข้อมูลผู้ใช้โซเชียล 48 ล้านบัญชี

By mk Founder on Tag: Amazon S3, Social Network, Privacy, Data Breach, Security
Amazon S3

ประเด็นข้อมูลหลุดของ iTruemart บน S3 ยังเป็นที่สนใจของบ้านเรา แต่เคสแบบนี้ไม่ใช่เรื่องใหม่ เพราะเกิดขึ้นมาแล้วบ่อยครั้ง

ล่าสุดมีนักวิจัยความปลอดภัย Chris Vickery จากบริษัท UpGuard ค้นพบสตอเรจบน S3 ที่เปิดเป็น public bucket และมีข้อมูลส่วนบุคคลเยอะถึง 48 ล้านบัญชี ขนาดไฟล์รวม 1.2TB

Read more

ไมโครซอฟท์เปิดตัวส่วนเสริม Chrome ช่วยป้องกันมัลแวร์และ phishing

By nismod Writer on Tag: Microsoft, Chrome, Security, Malware, Phishing, Extension, Microsoft Defender
Microsoft

ไมโครซอฟท์เปิดตัว Windows Defender Browser Protection ซึ่งเป็นส่วนเสริม Chrome ช่วยป้องกันมัลแวร์และการ phishing เสริมเข้าไปกับฟีเจอร์ Safe Browsing ของ Chrome

ไมโครซอฟท์ระบุว่า Windows Defender Browser Protection ใช้เอนจินต์และฐานข้อมูลเดียวกับที่ใช้บน Microsoft Edge ที่ไมโครซอฟท์เคลมว่าป้องกันการ Phishing ได้ 99% สูงกว่า Chrome

ดาวน์โหลด Windows Defender Browser Protection ได้ที่นี่

Read more

อินเทลเปิดตัวเทคนิคความปลอดภัยใหม่ ใช้จีพียูช่วยสแกนหน่วยความจำแทนซีพียู

By mk Founder on Tag: Intel, Security, GPU, Microsoft Defender, Cisco
Intel

อินเทลเปิดตัวเทคโนโลยีด้านความปลอดภัย 2 ตัวในงานสัมมนา RSA 2018

ตัวแรกคือ Intel Threat Detection Technology (IDT) เป็นชุดของฟีเจอร์ในระดับฮาร์ดแวร์ ที่ช่วยให้ซอฟต์แวร์ตรวจจับมัลแวร์ทำงานได้ดีขึ้น ฟีเจอร์สองอย่างแรกของ IDT ประกอบด้วย

  • Accelerated Memory Scanning ระบบตรวจจับภัยคุกคามในปัจจุบันใช้วิธีสแกนหน่วยความจำเพื่อหาสิ่งผิดปกติ ปัญหาคือเปลืองทรัพยากรของซีพียูในการสแกน เทคนิคนี้เปลี่ยนมาใช้จีพียู (ออนบอร์ดของอินเทล) มาทำหน้าที่สแกนแทน ช่วยลดโหลดจากซีพียูเดิมที่ 20% ลงมาเหลือ 2% และตอนนี้ Microsoft Windows Defender Advanced Threat Protection (ATP) เริ่มใช้งานแล้ว
  • Advanced Platform Telemetry ฟีเจอร์นี้จะนำข้อมูล telemetry ที่ส่งจากเครื่องของผู้ใช้กลับไปยังบริษัท มาผนวกกับเทคนิค machine learning เพื่อวิเคราะห์หาภัยคุกคามได้แม่นยำขึ้น (ทำงานในระดับฮาร์ดแวร์) ตอนนี้ Cisco Tetration นำไปใช้งานแล้ว
Read more

พล.อ.อนุพงษ์ ระบุ ข้อมูลที่หลุดจาก True เป็นแค่หน้าบัตร แต่ข้อมูลเชิงลึกยังปลอดภัย

By BlackMiracle Writer on Tag: True, TrueMove H, Security, Data Breach, Privacy
True

จากเหตุการณ์ข้อมูลภาพบัตรประชาชนที่ใช้ลงทะเบียนซิมในเครือข่าย TrueMove H หลุดออกสู่สาธารณะ ที่ต่อมา True แถลงว่าเป็นข้อมูลบัตรประชาชนของลูกค้าที่ลงทะเบียนซิมกับ iTrueMart และกลายเป็นข่าวครึกโครมในช่วงนี้

ล่าสุด พล.อ.อนุพงษ์ เผ่าจินดา รัฐมนตรีว่าการกระทรวงมหาดไทย ได้กล่าวต่อสื่อถึงกรณีนี้ว่าข้อมูลที่หลุดเป็นเพียงข้อมูลหน้าบัตรประชาชนเท่านั้น แต่ "ข้อมูลเชิงลึก" ที่อยู่ในบัตรประชาชนนั้นไม่ได้หลุดออกไป เพราะมีระบบป้องกันข้อมูลส่วนตัว ไม่สามารถมีใครเข้าถึงได้นอกจากเจ้าหน้าที่ที่รับผิดชอบ และหากเจ้าหน้าที่คนไหนที่มีส่วนทำให้ข้อมูลของประชาชนรั่วไหลก็ต้องได้รับโทษ

ที่มา - มติชน

Read more

True แถลงกรณีข้อมูลหลุด เป็นข้อมูลการลงทะเบียนซิมผ่าน iTruemart โดนแฮ็ก

By mk Founder on Tag: True, TrueMove H, Data Breach, Security
True

จากข่าว TrueMove H เผลอเปิดสตอเรจบน S3 ออกสาธารณะ ข้อมูลภาพบัตรประชาชนลงทะเบียนเลขหมายหลุดจำนวนมาก ที่กลายเป็นข่าวใหญ่ของวันนี้

ล่าสุด Blognone ได้รับอีเมลแถลงการณ์จาก True โดยมีเนื้อหาทั้งหมดท้ายข่าว อีเมลฉบับนี้มาจาก iTruemart ซึ่งเป็นแบรนด์ย่อยของ True (ปัจจุบันกลายเป็น Wemall) โดยระบุว่าข้อมูลที่หลุดเป็นข้อมูลของลูกค้า Truemove H ที่ลงทะเบียนซิมผ่าน iTruemart เท่านั้น และไม่กระทบระบบหลักของ Truemove H

Read more

พบช่องโหว่บนระบบจัดการโฮสติ้ง VestaCP ผู้ใช้งานควรตรวจสอบและอัพเดทด่วน

By POAKPONG Contributor on Tag: Security, VestaCP, Trojan
Security

ประกาศจาก DigitalOcean ผู้ให้บริการเซิร์ฟเวอร์ แจ้งว่าได้บล็อก port 8083 ซึ่งเป็น port ในการเข้าแผงควบคุมของ Vesta Control Panel (VestaCP) ระบบจัดการเว็บโฮสติ้ง เนื่องจากมีการรายงานว่าพบสิ่งแปลกปลอมในระบบ

DigitalOcean อ้างถึงกระทู้ในชุมชนผู้ใช้งาน VestaCP ว่าพบไฟล์ /etc/cron.hourly/gcc.sh โดยระบุว่าควรหยุดการทำงานทันทีถ้าเป็นไปได้ หรือบล็อกการใช้งานผ่าน port 8083

Read more

สู่ยุคหลังรหัสผ่าน W3C เปิดตัวมาตรฐาน WebAuthn ล็อกอินเว็บโดยไม่ต้องใช้รหัสผ่าน

By lew Founder on Tag: FIDO, Authentication, Security
FIDO

W3C องค์กรมาตรฐานเว็บ เปิดตัวมาตรฐาน WebAuthn ที่พัฒนาต่อมาจาก FIDO2 และ Client to Authenticator Protocol (CTAP) โดยได้รับการสนับสนุนจาก Chrome, Edge, และไฟร์ฟอกซ์

มาตรฐาน CTAP สร้างมาตรฐานการเชื่อมต่อระหว่างเบราว์เซอร์ และอุปกรณ์สำหรับยืนยันตัวตน ไม่ว่าจะเป็นกุญแจอิเล็กทรอนิกส์หรือโทรศัพท์มือถือ โดยสามารถเชื่อมต่อได้ทั้ง NFC, USB, หรือ Bluetooth เพื่อการยืนยันตัวตนผู้ใช้กับบริการที่ใช้ทางอินเทอร์เน็ต

Read more

Intel แนะผู้ใช้ให้ลบแอป Intel Remote Keyboard หลังพบช่องโหว่ระดับวิกฤติ

By nismod Writer on Tag: Intel, Security, NUC
Intel

Intel ประกาศให้ผู้ใช้ Intel Remote Keyboard แอปบนสมาร์ทโฟนสำหรับควบคุม NUC และ Compute Stick ให้ลบแอปออกจากตัวเครื่อง หลังพบช่องโหว่ระดับวิกฤติ 3 ช่องโหว่ ที่เปิดช่องให้แฮกเกอร์โจมตีและสามารถส่งคำสั่งผ่านคีย์บอร์ดและรันโค้ดได้ด้วยสิทธิระดับผู้ใช้

Intel ประกาศให้ผู้ใช้ Intel Remote Keyboard ทั้งหมดลบแอปนี้ทิ้งเสีย โดยไม่มีการออกแพตช์อุดช่องโหว่แต่อย่างใด โดยทางโฆษกของ Intel ระบุว่าบริษัทมีแผนจะระงับการให้บริการแอปนี้แต่แรกอยู่แล้ว โดยไม่เกี่ยวข้องกับการค้นพบบั๊กนี้

Read more

AWS เปิดตัวฟีเจอร์ Private CA บริการสร้างและจัดการใบรับรองส่วนตัวบนคลาวด์

By nutmos Writer on Tag: AWS, Digital Certificate, Amazon, Security
AWS

AWS เปิดตัวฟีเจอร์ใหม่คือ Private Certificate Authority หรือ Private CA อยู่ภายใต้บริการจัดการใบรับรองหรือ AWS Certificate Manager (ACM)

แต่เดิมนั้น การรับรองส่วนตัวเพื่อใช้งานภายในกลุ่มหรือองค์กร จะต้องมีโครงสร้างพื้นฐานแบบพิเศษรวมถึงความรู้ด้านความปลอดภัย ซึ่งทำให้การจัดการและดำเนินงานมีความซับซ้อนและค่าใช้จ่ายสูง ฟีเจอร์ Private CA ของ AWS จะเข้ามาตอบโจทย์นี้ โดยระบบจะถูกรวมเข้ากับ ACM จึงทำให้ผู้ใช้สามารถจัดการใบรับรองส่วนตัวได้ง่าย และใช้โมเดลจ่ายเงินแบบ pay as you go

Read more

บริษัทระบบออนไลน์แชททำข้อมูลบัตรเครดิตหลุด กระทบลูกค้าสายการบิน Delta และเชนห้างสรรพสินค้า Sears

By nutmos Writer on Tag: Security, Data Breach, Delta Air Lines
Security

สายการบิน Delta และเชนห้างสรรพสินค้า Sears ของสหรัฐฯ​ รายงานข้อมูลหลุดรอบล่าสุด โดยมีข้อมูลบัตรเครดิตของลูกค้านับแสนคนที่หลุดออกไปด้วย ซึ่งเป็นการหลุดผ่าน [24]7.ai บริษัทที่ให้บริการออนไลน์ซัพพอร์ต ซึ่งระบบออนไลน์แชทของ Delta และ Sears ใช้ซอฟต์แวร์จาก [24]7.ai

Read more

ไมโครซอฟท์เพิ่มฟีเจอร์ต่อต้าน Ransomware ใน OneDrive, ส่งอีเมลเข้ารหัสแบบ end-to-end ได้แล้ว

By lew Founder on Tag: Office 365, Microsoft, Security
Office 365

ไมโครซอฟท์ประกาศเพิ่มฟีเจอร์ความปลอดภัยให้กับบริการ Office 365 สำหรับการป้องกันมัลแวร์เข้ารหัสเรียกค่าไถ่ และการรักษาความเป็นส่วนตัวของข้อมูลในอีเมลและการแชร์ไฟล์

การป้องกันมัลแวร์เข้ารหัสเรียกค่าไถ่ เริ่มจากฟีเจอร์ File Restore ที่เปิดบริการใน OneDrive for Business มาก่อนแล้ว ตอนนี้บัญชีผู้ใช้ทั่วไปก็สามารถใช้งานได้เช่นกัน ทำให้ผู้ใช้สามารถย้อนไปกู้ไฟล์ที่ถูกสั่งลบ หรือเขียนทับ กลับมาได้ อีกฟีเจอร์คือ__ตรวจสอบมัลแวร์เข้ารหัสเรียกค่าไถ่__ ฟีเจอร์นี้จะตรวจพฤติกรรมการใช้ OneDrive อัตโนมัติ หากพบว่ามัลแวร์กำลังไล่ทำลายไฟล์ก็จะหยุดและกู้ไฟล์กลับมาให้เอง

Read more

AWS เปิดตัว Secrets Manager บริการเก็บรหัสผ่านและคีย์ ไม่ต้องฮาร์ดโค้ดในแอพ

By mk Founder on Tag: AWS, Password, Authentication, Security, Cloud Computing
AWS

ทุกวันนี้การพัฒนาแอพพลิเคชันจำนวนมาก มักจำเป็นต้องเก็บรหัสผ่านหรือคีย์บางอย่าง เช่น รหัสผ่านเข้าถึงฐานข้อมูล หรือ คีย์สำหรับเข้าถึง API ภายนอก

ปัญหาในแง่ความปลอดภัยคือการเก็บข้อมูลลับเหล่านี้ไม่ควรเก็บอยู่ในโค้ดของตัวโปรแกรม (hard code) เพราะอาจรั่วไหลไปยังบุคคลอื่นได้ ที่ผ่านมาก็มี หลายกรณี ที่รหัสผ่านหลุด จากการฝังไว้แบบ hard code

Read more

กูเกิลปล่อยแพตช์ความปลอดภัย Pixel/Nexus รอบเมษายน 2018

By tekkasit Contributor on Tag: Android Oreo, Security, Google Pixel, Google Nexus, Google, Android
Android Oreo

พบกันเป็นประจำทุกเดือนครับ รอบนี้กูเกิลออกแพตช์ความปลอดภัย Android ประจำเดือนเมษายน 2018 แพตช์รอบนี้เป็นแบบตามปกติมี 2 ชุด ได้แก่ชุด 1 เม.ย. สำหรับพาร์ทเนอร์ที่ต้องการอุดช่องโหว่ก่อน ชุด 5 เม.ย. ที่เป็นแพตช์ชุดสมบูรณ์ (แพตช์ตัวนี้จะรวมเอาแพตช์ 1 เม.ย. มาด้วย)

Read more

Chrome 67 จะเปิดใช้ฟีเจอร์ Site Isolation แยกโพรเซสตามโดเมนเว็บ เพิ่มความปลอดภัย

By mk Founder on Tag: Chrome, Security, Browser
Chrome

Chrome กำลังจะเพิ่มฟีเจอร์ใหม่ชื่อ Site Isolation ช่วยยกระดับความปลอดภัยขึ้นอีกขั้น ฟีเจอร์นี้ถูกเพิ่มเข้ามาแล้วใน Chrome 63 แต่ถูกปิดการทำงานไว้ และจะเปิดใช้ใน Chrome 67

ที่ผ่านมา Chrome แยกโพรเซสตามแท็บ โดยจัดกลุ่มแท็บที่เกี่ยวข้องกันตามลำดับการเปิดลิงก์ เช่น หากเราเปิดลิงก์ในแท็บใหม่ แท็บนั้นจะอยู่ในโพรเซสเดียวกับแท็บเดิม ข้อเสียของแนวทางนี้คือเว็บไซต์คนละโดเมนกัน อาจเข้าถึงข้อมูลข้ามกันได้ (หากมีช่องโหว่ที่ตัวโปรแกรม) เพราะอยู่ในโพรเซสเดียวกัน

Read more

แอพสุขภาพ MyFitnessPal ของ Under Armour โดนแฮ็ก ข้อมูลผู้ใช้รั่วไหล 150 ล้านราย

By mk Founder on Tag: Under Armour, Hacking, Security, Data Breach
Under Armour

MyFitnessPal แอพด้านสุขภาพและการออกกำลังกายชื่อดัง (ปัจจุบันเป็นของแบรนด์ชุดกีฬา Under Armour ซื้อกิจการในปี 2015) ประกาศว่าฐานข้อมูลของตัวเองโดนแฮ็ก และมีข้อมูลของผู้ใช้งาน 150 ล้านรายถูกขโมยออกไป

Under Armour ระบุว่าเหตุการณ์เกิดขึ้นช่วงปลายเดือนกุมภาพันธ์ 2018 แต่เพิ่งค้นพบเมื่อวันที่ 25 มีนาคมที่ผ่านมา ข้อมูลที่หลุดออกไปมีชื่อผู้ใช้ อีเมล และรหัสผ่านที่ 'ส่วนใหญ่' ถูกเข้ารหัสผ่าน bcrypt แต่ข้อมูลบัตรเครดิตไม่ถูกขโมยออกไปด้วยเพราะเก็บแยกกัน

Read more

โรงงานผลิตเครื่องบิน Boeing ถูกมัลแวร์ WannaCry โจมตี บริษัทยืนยันไม่มีผลกระทบต่อการผลิต

By nutmos Writer on Tag: Boeing, WannaCrypt, Cybersecurity, Security, Airplane
Boeing

สำนักข่าว The Seattle Times รายงานว่า โรงงานของ Boeing ในเมือง Charleston รัฐ South Carolina ได้ถูกโจมตีด้วยมัลแวร์เรียกค่าไถ่ WannaCry เมื่อวันพุธที่ผ่านมา

Read more

Europol จับแก๊งมัลแวร์ตู้เอทีเอ็มได้แล้ว ก่อเหตุใน 40 ประเทศรวมถึงไทยด้วย

By lew Founder on Tag: Europol, Security, Banking
Europol

Europol แถลงความสำเร็จในการจับกุมกลุ่มเบื้องหลังมัลแวร์ Carbanak และ Cobalt ที่โจมตีตู้เอทีเอ็มแบบ Jackpotting เข้าเครือข่ายธนาคารวางมัลแวร์สั่งให้ตู้เอทีเอ็มปล่อยเงินออกมา โดยกลุ่มคนร้ายถูกจับได้ในสเปน

แถลงการระบุว่ากลุ่มนี้เป็นนักพัฒนากลุ่มเดียวกับมัลแวร์ Anunak จานั้นพัฒนาเป็นมัลแวร์ Carbanak ที่ประสิทธิภาพสูงขึ้น และจนเป็น Cobalt ที่พัฒนาจากชุดทดสอบความปลอดภัย Cobalt Strike

Read more

พบช่องโหว่ตัวอ่าน QR Code ของแอพกล้องบน iOS 11 สามารถสร้าง url หลอกได้

By arjin Writer on Tag: Safari, QR Code, iOS 11, Bug, Security
Safari

Infosec รายงานการพบช่องโหว่ในแอพกล้องของ iOS 11 ซึ่งเพิ่มคุณสมบัติสแกน QR Code แล้วเข้าไปยังเว็บไซต์ได้โดยตรง โดยพบว่าสามารถแสดง url หลอกเพื่อให้ผู้ใช้เข้าใจผิดกดเข้าไป แต่ความจริงเป็นอีก url หนึ่งได้

ตัวอย่างที่ทดสอบนั้น เจตนาต้องการให้เข้าเว็บไซต์ https://infosec.rm-it.de/ แต่เมื่อใส่ฟอร์แมตใน QR Code เป็น https://xxx@facebook.com:443@infosec.rm-it.de/ จะพบว่า url ที่แสดงขึ้นมาในแอพกล้องเป็น url แรกนั่นคือ facebook.com

Infosec บอกว่ารายงานปัญหานี้ให้แอปเปิลไปแล้วตั้งแต่ 23 ธันวาคม แต่ยังไม่ถูกแก้ไข

Read more

กูเกิลเปิดตัว Outline ซอฟต์แวร์ VPN แบบติดตั้งเซิร์ฟเวอร์เองได้ง่าย ไคลเอนต์ใช้ได้ทุกแพลตฟอร์ม

By lew Founder on Tag: Google, Security, VPN
Google

กูเกิลเปิดตัว Outline โครงการซอฟต์แวร์ VPN ที่มุ่งเป้าสำหรับสำนักข่าวสามารถสร้าง VPN ให้กับนักข่าวในสังกัดสามารถใช้งาน VPN ได้โดยง่าย โดยตัวซอฟต์แวร์เป็นชุด ได้แก่ Outline Manager สำหรับจัดการเซิร์ฟเวอร์, ตัวเซิร์ฟเวอร์, และไคลเอนต์

Outline Manager มีความสามารถในการเชื่อมต่อกับ Digital Ocean เพื่อสร้างเซิร์ฟเวอร์ได้เอง แต่หากไม่ต้องการก็เลือกใช้ผู้ให้บริการคลาวด์รายอื่นได้ แต่กระบวนการอาจจะไม่สมบูรณ์นัก เมื่อติดตั้งเซิร์ฟเวอร์ด้วยสคริปต์ที่จะดึงอิมเมจ Docker มารันเป็นเซิร์ฟเวอร์สำเร็จแล้ว จะสามารถสร้างกุญแจเชื่อมต่อส่งให้กับผู้ใช้นำกุญแจไปใช้กับไคลเอนต์ได้

Read more
Subscribe to Security