FBI พบแฮ็กเกอร์ส่งไดรฟ์ยูเอสบีอันตรายพร้อมกับตุ๊กตาหมีส่งทางไปรษณีย์

ข่าวประจำวัน

Loading

แฮ็กเกอร์จากกลุ่มอาชญากรไซเบอร์ชื่อ FIN7 กำลังพุ่งเป้าโจมตีธุรกิจหลายแห่งด้วยไดรฟ์ยูเอสบีอันตรายที่มีพฤติกรรมเหมือนเป็นคีย์บอร์ดเมื่อเสียบเข้ากับคอมพิวเตอร์ ซึ่งจะป้อนคำสั่งในการดาวน์โหลดและรันจาวาสคริปต์ที่เป็นประตูหลังให้ผู้โจมตีต่อไป โดยจากประกาศเตือน FLASH Alert ของ FBI เมื่อวันพฤหัสบดีที่ผ่านมานั้น มีการเตือนทั้งองค์กรและผู้ที่ทำงานด้านความปลอดภัยต่างๆ เกี่ยวกับเทคนิคที่กลุ่ม FIN7 ใช้ในการแพร่กระจายมัลแวร์ GRIFFON การโจมตีนี้เป็นหนึ่งในกลอุบายที่ใช้ชื่อว่า “การทำ USB หล่นหาย” ที่เหล่าผู้ทดสอบการเจาะระบบได้นำมาใช้ติดต่อกันหลายปีในการทดสอบของตนเอง ซึ่งมักประสบผลสำเร็จ สำหรับการโจมตีครั้งนี้ได้รับการศึกษาจากนักวิจัยของ Trustwave ซึ่งพบว่าหนึ่งในลูกค้าของบริษัทด้านความปลอดภัยรายนี้ได้รับพัสดุที่ระบุว่ามาจากห้าง Best Buy ในรูปของขวัญสมนาคุณที่มาพร้อมกิฟการ์ด 50 เหรียญสหรัฐฯ และในซองจดหมายก็มีไดรฟ์ยูเอสบีที่อ้างว่ามีข้อมูลเกี่ยวกับรายการสินค้าที่สามารถซื้อผ่านกิฟการ์ดได้ แน่นอนว่ากรณีดังกล่าวไม่ได้เกิดแค่รายเดียว ทาง FBI ได้เตือนว่ากลุ่ม FIN7 มีการส่งจดหมายพัสดุดังกล่าวไปยังสถานประกอบการหลายแห่งไม่ว่าจะเป็นร้านค้าปลีก ร้านอาหาร หรือโรงแรม ซึ่งจ่าหน้าซองถึงคนในฝ่ายทรัพยากรมนุษย์บ้าง ฝ่ายไอที หรือแม้แต่ผู้บริหาร โดยย้ำว่า “ช่วงไม่นานมานี้ กลุ่มอาชญากรไซเบอร์ที่ใช้ชื่อว่า FIN7 ที่รู้จักกันดีในการโจมตีกลุ่มธุรกิจผ่านการส่งเมล์ฟิชชิ่งนั้น ได้หันมาใช้กลยุทธ์ใหม่ด้วยการจัดส่งอุปกรณ์ยูเอสบีผ่านบริการส่งไปรษณีย์ของทางการสหรัฐฯ หรือ USPS ซึ่งในพัสดุที่ส่งมานั้นบางครั้งจะมีสิ่งของอย่างเช่นตุ๊กตาหมีหรือกิฟการ์ดเพื่อล่อหลอกพนักงานขององค์กรด้วย” ——————————————————————- ที่มา : EnterpriseITPro / 31 มีนาคม…

พบแอป Zoom บนวินโดวส์แปลงลิงก์แชร์ไฟล์ให้คลิกได้ เปิดทางแฮกเกอร์ล่อเอาค่าแฮชรหัสผ่าน

ข่าวประจำวัน

Loading

ผู้ใช้ทวิตเตอร์ @_g0dmode นักวิจัยด้านความมั่นคงปลอดภัยไซเบอร์รายงานถึงพฤติกรรมพิเศษของแอป Zoom บนวินโดวส์ที่จะแปลง UNC หรือ Universal Naming Convention ที่เป็นระบบอ้างอิงไฟล์แชร์ของวินโดวส์ ให้กลายเป็นลิงก์ที่คลิกได้ ทำให้หากผู้ใช้ได้รับลิงก์และเพียงแค่คลิกลิงก์นั้น วินโดวส์ก็จะพยายามเปิดไฟล์แชร์ตามโปรโตคอล SMB พร้อมกับพยายามล็อกอิน แฮกเกอร์ที่เปิดเซิร์ฟเวอร์ SMB รอไว้จะได้รับข้อมูลชื่อล็อกอินและค่าแฮชของรหัสผ่าน ซึ่งหากรหัสผ่านผู้ใช้ไม่แข็งแกร่งพอก็อาจจะทำให้แฮกเกอร์สามารถหาค่ารหัสผ่านกลับมาได้ นอกจากการดึงข้อมูลล็อกอินแล้ว ช่องโหว่นี้หากอ้างอิงถึงไฟล์ executable บนเครื่องของเหยื่อเองก็อาจจะรันไฟล์ได้ อย่างไรก็ดีวินโดวส์จะแจ้งเตือนผู้ใช้ก่อนรันโปรแกรมขึ้นมาจริงๆ Matthew Hickey นักวิจัยความมั่นคงปลอดภัยไซเบอร์อีกรายระบุว่า Zoom ไม่ควรแปลง UNC เป็นลิงก์ให้คลิกได้เช่นนี้ และเขาได้พยายามติดต่อ Zoom แล้วแต่ยังไม่มีการตอบกลับ พฤติกรรมการส่งข้อมูลล็อกอินไปยังงเซิร์ฟเวอร์แชร์ไฟล์เป็นค่าคอนฟิกเริ่มต้นของวินโดวส์แต่สามารถปิดการทำงานได้จาก Group Policy Editor หรือการแก้ค่า registry โดยตรง ——————————————————————— ที่มา : Blognone / 1 เมษายน 2563 Link : https://www.blognone.com/node/115583