ITFinities.Com

    Microsoft ได้ออกอัปเดตแพตซ์ด้านความปลอดภัยฉุกเฉินสำหรับ Windows 10 และ Windows 11 เพื่อแก้ไขช่องโหว่ Acropalypse ที่ส่งผลต่อรูปภาพที่มีการแก้ไขใน Windows Snipping Tool

  CVE-2023-28303 (คะแนน CVSS 3.1/10 ความรุนแรงต่ำ) ช่องโหว่ในชื่อ Acropalypse ซึ่งเกิดจากโปรแกรมแก้ไขรูปภาพที่ไม่ได้ลบข้อมูลรูปภาพที่ถูก crop ตัดอย่างถูกต้องเมื่อเขียนทับไฟล์ต้นฉบับ ทำให้มีความเสี่ยงที่จะโดนกู้คืนภาพที่ถูกแก้ไขไปแล้วได้ ซึ่งอาจทำให้ถูกเปิดเผยข้อมูลที่มีความสำคัญได้ โดยพบช่องโหว่ดังกล่าวทั้งใน Google Pixel's Markup Tool และ Windows Snipping Tool

ช่องโหว่ Acropalypse ใน Windows Snipping Tool เป็นข้อผิดพลาดในการบันทึกข้อมูลเพิ่มเติมหลังเครื่องหมายไฟล์ IEND ซึ่งแสดงถึงจุดสิ้นสุดของไฟล์ PNG ซึ่งที่จริงแล้วไม่ควรจะมีข้อมูลหลังจากเครื่องหมาย IEND

    โดยนักวิจัยคาดว่ามีจำนวนรูปภาพสาธารณะที่ได้รับผลกระทบจากช่องโหว่ Acropalypse จำนวนมาก ซึ่งใน VirusTotal เพียงอย่างเดียวมีรูปภาพมากกว่า 4,000 ภาพ ที่มีความเสี่ยง

    Microsoft ได้ออกอัปเดตแก้ไขช่องโหว่ Acropalypse ทั้งโปรแกรม Windows 10 Snip & Sketch และ Windows 11 Snipping Tool โดยหลังจากที่ทำการอัปเดต Windows 11 Snipping Tool จะเป็นเวอร์ชัน 10.2008.3001.0 และ Windows 10 Snip & Sketch จะเป็นเวอร์ชัน 11.2302.20.0

   โดยทาง Microsoft ได้ตั้งชื่อช่องโหว่ CVE-2023-28303 ว่า "Windows Snipping Tool Information Information Disclosure Vulnerability" ซึ่งช่องโหว่นี้มีความรุนแรง "ต่ำ" เนื่องจาก "จำเป็นต้องมีการโต้ตอบจากผู้ใช้งาน และมีปัจจัยหลายอย่างที่อยู่นอกเหนือการควบคุมของผู้โจมตี" ดังนี้

  ในการอัปเดตดังกล่าวสามารถเข้าไปที่ Microsoft Store แล้วไปที่ Libary > Get Updates จากนั้น Windows Snipping Tool เวอร์ชันล่าสุดจะถูกติดตั้งโดยอัตโนมัติ

  QNAP ได้ออกประกาศเตือนถึงช่องโหว่ใหม่ที่ทำให้ผู้ไม่หวังดีใช้งาน Linux Sudo เพื่อทำ Privilege Escalation ได้ ช่องโหว่นี้มีรหัส CVE-2023-22809 ถูกค้นพบโดยผู้เชี่ยวชาญด้านความมั่นคงปลอดภัยจาก Synacktiv โดยอธิบายว่าเป็นการใช้ “sudoers policy bypass” ใน Sudo เวอร์ชัน 1.9.12p1 ผ่านทาง sudoedit โดยมีการทดสอบโจมตีบน Sudo เวอร์ชันตั้งแต่ 1.8.0 จนถึง 1.9.12p1 จนสามารถทำ Privilege Escalation เพื่อเข้าถึงไฟล์ภายในได้

    ช่องโหว่นี้กระทบ NAS OS รุ่น QTS, QuTS hero, QuTScloud และ QVP (QVR Pro Appliance) ปัจจุบัน QNAP ได้ออกแพตช์อุดช่องโหว่นี้แล้วบน QTS และ QuTS hero ส่วน QuTScloud และ QVP นั้นกำลังอยู่ในขั้นตอนการแก้ไขเพื่อออกแพตช์ต่อไป อย่างไรก็ตาม QNAP ยังไม่พบการโจมตีผ่านช่องโหว่นี้แต่อย่างใด แต่ได้มีการเตือนผู้ดูแลระบบให้ทำการอัปเดตแพตช์ของอุปกรณ์ให้เป็นเวอร์ชันล่าสุด โดยสามารถดาวน์โหลดแพตช์ได้ผ่านทาง Download Center หรือเลือก Check for Update โดยตรงจากตัวอุปกรณ์

การโจมตีของ DotRunpeX Malware

 นักวิจัยระบุว่า Hacker จะเริ่มต้นจากการนำเว็บไซต์อันตรายที่มีการติดตั้งโทรจันซึ่งปลอมแปลงเป็นซอฟต์แวร์ยอดนิยมต่างๆ เช่น AnyDesk และ LastPass ไปแสดงในหน้าค้นหาบน Google Ad เพื่อให้เหยื่อทำการกดลิงค์เข้าถึงเว็บดังกล่าว และดาวน์โหลด DotRunpeX ไปยังเครื่องเป้าหมาย

    DotRunpeX ถูกพบครั้งแรกในเดือนตุลาคม 2022 เป็นมัลแวร์ที่สามารถแทรกคำสั่งอันตรายที่เขียนด้วย .NET โดยใช้เทคนิค Process Hollowing เพื่อแพร่กระจายมัลแวร์ประเภทต่าง ๆ เช่น Agent Tesla , Ave Maria , BitRAT , FormBook , LokiBot , NetWire , Raccoon Stealer , RedLine Stealer , Remcos , Rhadamanthys และ Vidar โดยมัลแวร์ที่อยู่ในรายการเหล่านี้ ยังมีความสามารถในการป้องกัน หรือปิดระบบป้องกันด้านความปลอดภัยอีกด้วย รวมถึง DotRunpeX ยังมีการใช้ procexp.sys ในการโจมตีช่องโหว่ และยกระดับสิทธิเป็น kernel mode อีกด้วย

    Check Point คาดการณ์ว่า DotRunpeX อาจจะมีส่วนเกี่ยวข้องกับกลุ่ม Hacker ชาวรัสเซีย เนื่องจากพบว่ามัลแวร์ที่ถูกใช้แพร่กระจายบ่อย ๆ คือ RedLine, Raccoon, Vidar, Agent Tesla และ FormBook

  Microsoft อธิบายการแจ้งเตือน LSA protection ที่ผิดพลาด ภายหลังจากการอัปเดต KB5007651 Microsoft Defender Antivirus ซึ่งส่งผลให้เกิดความผิดพลากในการแจ้งเตือนที่ระบุว่า Local Security Authority (LSA) Protection ปิดอยู่ ถึงแม้จะเปิดอยู่ก็ตาม

    LSA Protection หรือ Local Security Authority (LSA) Protection เป็นคุณลักษณะด้านความปลอดภัยที่ปกป้องข้อมูลที่มีความสำคัญของ Windows จาก Process Local Security Authority Subsystem Service (LSASS) เช่น การป้องกันข้อมูลประจำตัวถูกขโมยออกไปด้วยการบล็อก LSA code injection และการทำ process memory dumping

  โดยพบว่าผู้ใช้งานหลายรายได้แจ้งว่า ภายหลังจากทำการอัปเดต KB5007651 Microsoft Defender Antivirus ก็ได้มีหน้าต่างแจ้งเตือนด้านความปลอดภัยที่ระบุว่า "Local Security Authority protection is off. Your device may be vulnerable." ถึงแม้จะเปิด LSA Protection อยู่ก็ตาม

    โดยต่อมาทาง Microsoft ได้ออกมาอธิบายว่า การแจ้งเตือนลักษณะนี้เป็นความผิดพลาดที่จะแสดงบนระบบที่ใช้ Windows 11 21H2 และ 22H2 เท่านั้น ภายหลังจากการอัปเดต KB5007651 Microsoft Defender Antivirus (เวอร์ชัน 1.0.2302.21002) ที่ถึงแม้ว่ามีการเปิดใช้งาน LSA protection แล้ว การแจ้งเตือนก็จะยังแสดงว่าถูกปิดอยู่

    ทาง Microsoft กำลังดำเนินการแก้ไขปัญหาคำเตือนผิดพลาดดังกล่าว รวมถึงได้แนะนำว่า หากได้เปิดใช้การป้องกันของ Local Security Authority (LSA) และรีสตาร์ทอุปกรณ์อย่างน้อยหนึ่งครั้งไปแล้ว ผู้ใช้งานสามารถกด dismiss การแจ้งเตือน และไม่ต้องสนใจต่อการแจ้งเตือนที่ขอให้รีสตาร์ทได้

  ทั้งนี้สามารถตราจสอบว่า LSA Protection ทำงานอยู่จริงหรือไม่ โดยการค้นหา WinInit event ใน System logs ของ Windows Logs ดังนี้ "12: LSASS.exe was started as a protected process with level: 4" ทาง Microsoft มีแผนที่จะใช้ Local Security Authority (LSA) Protection เป็นค่าเริ่มต้น สำหรับ Windows 11 รุ่นถัดไป

    พบช่องโหว่ระดับความรุนแรงสูงที่อาจส่งผลต่อข้อมูลที่มีความสำคัญ โดยสามารถกู้คืนรูปภาพที่ถูกแก้ไขไปแล้วได้ในชื่อ 'acropalypse' ซึ่งส่งผลกระทบต่อ Windows Snipping Tool โดยช่องโหว่ทำให้ผู้ใช้งานสามารถกู้คืนเนื้อหาบางส่วนจากภาพที่แก้ไขไปแล้วได้

    โดยก่อนหน้านี้มีการพบช่องโหว่ acropalypse ใน Markup Tool ของ Google Pixel ทำให้สามารถกู้คืนภาพต้นฉบับได้ แม้ว่าจะถูกแก้ไข หรือ crop ตัดก็ตาม โดยช่องโหว่ดังกล่าวก่อให้เกิดข้อกังวลด้านความเป็นส่วนตัวอย่างมาก เนื่องจากหากผู้ใช้งานแชร์รูปภาพ เช่น บัตรเครดิตที่มีหมายเลขที่ถูกแก้ไข หรือรูปภาพใบหน้าที่ถูกลบออก ก็อาจถูกกู้คืนรูปภาพต้นฉบับกลับมาได้

ช่องโหว่ Acropalypse ส่งผลกระทบต่อ Windows Snipping Tool เช่นกัน

    Chris Blume วิศวกรซอฟต์แวร์ และ Will Dormann ผู้เชี่ยวชาญด้านช่องโหว่ได้ทำการทดสอบ และออกมายืนยันว่าช่องโหว่ Acropalypse ส่งผลกระทบต่อ Windows 11 Snipping Tool เช่นกัน โดยพบว่าหลังจากที่ใช้ช่องโหว่ Acropalypse เมื่อเปิดไฟล์ใน Windows 11 Snipping Tool และเขียนทับไฟล์ที่มีอยู่ แทนที่จะตัดข้อมูลที่ไม่ได้ใช้ออก โปรแกรมจะเก็บข้อมูลที่ไม่ได้ใช้ไว้เบื้องหลัง จึงทำให้สามารถกู้คืนข้อมูลได้บางส่วน

    การทดสอบจะทำโดยการเปิดไฟล์ PNG ที่มีอยู่ใน Windows 11 Snipping Tool จากนั้น crop ตัด (หรือสามารถใช้วิธีการแก้ไข หรือทำเครื่องหมายได้) จากนั้นจึงบันทึกการเปลี่ยนแปลงลงในไฟล์ต้นฉบับ

    ถึงแม้ว่าภาพที่ crop ตัดจะมีข้อมูลน้อยกว่าภาพต้นฉบับมาก แต่ขนาดไฟล์สำหรับไฟล์ภาพต้นฉบับ (office-screenshot-original.png) และไฟล์ภาพที่ถูก crop ตัด (office-screenshot.png) จะมีขนาดเท่ากัน

PNG file specification จะกำหนดให้ไฟล์ภาพ PNG ลงท้ายด้วยข้อมูล 'IEND' เสมอ โดยที่ข้อมูลใด ๆ ก็ตามที่ทำการเพิ่มเข้ามา หรือทำการแก้ไขทีหลังจะถูกละเว้นไว้ การใช้ Windows 11 Snipping Tool เพื่อเขียนทับ หรือแก้ไขภาพต้นฉบับด้วยเวอร์ชันที่ทำการแก้ไข crop ตัด พบว่าโปรแกรมไม่ได้ตัดทอนข้อมูลที่ไม่ได้ใช้อย่างถูกต้อง และยังคงอยู่ในข้อมูลที่ลงท้ายด้วย IEND

    การเปิดไฟล์ในโปรแกรมเพื่อดูรูปภาพจะแสดงรูปภาพที่ถูก crop ตัด เนื่องจากข้อมูลใดก็ตามหลังจาก IEND แรกจะถูกละเว้นไว้ แต่ข้อมูลที่ไม่ถูกตัดทอนนี้ สามารถนำไปใช้เพื่อสร้างภาพต้นฉบับขึ้นใหม่บางส่วน ซึ่งอาจทำให้เปิดเผยส่วนที่มีความสำคัญได้

    โดยพบว่าไฟล์ optimized PNGs จะได้รับผลกระทบจากช่องโหว่ดังกล่าว ซึ่งไฟล์ PNG ดั้งเดิมจะถูกบันทึกด้วยบล็อก zlib เดียว (optimized PNGs ) แต่ไฟล์ภาพที่แสดงให้เห็นจะถูกบันทึกด้วยบล็อก zlib หลายบล็อก

    ถึงแม้ว่าจะสามารถกู้คืนรูปภาพได้แค่บางส่วน แต่ก็ยังมีความเสี่ยงที่อาจจะถูกขโมยข้อมูลความเป็นส่วนตัวอยู่ดี หากมีการถ่ายภาพหน้าจอของสเปรดชีตที่มีความสำคัญ เช่น เอกสารลับ หรือแม้แต่ภาพเปลือย ซึ่งถึงแม้จะไม่สามารถกู้คืนรูปภาพต้นฉบับได้ทั้งหมด แต่ก็อาจจะเห็นข้อมูลที่มีความสำคัญที่ไม่ต้องการเปิดเผยต่อสาธารณะได้

    นอกจากนี้ BleepingComputer ยังพบว่าหากทำเปิดไฟล์ PNG ที่ไม่ถูกตัดทอนในโปรแกรมแก้ไขรูปภาพ เช่น Photoshop แล้วทำการบันทึกลงในไฟล์อื่น ข้อมูลที่ถูกแก้ไขออกไปจะถูกตัดออก ทำให้ไม่สามารถกู้คืนได้อีกต่อไป

    มีการเปิดเผยรายงานการพบกลุ่มผู้ไม่ประสงค์ดีจีนกำลังใช้ประโยชน์จากช่องโหว่ของระบบปฏิบัติการ Fortinet FortiOS ที่มีความรุนแรงระดับกลาง ซึ่งปัจจุบันมีการอัปเดตแพตซ์เพื่อแก้ไขช่องโหว่ไปเรียบร้อยแล้ว

    Mandiant ผู้เชี่ยวชาญทางด้าน Threat intelligence ระบุว่า การโจมตีดังกล่าวเป็นส่วนหนึ่งของการโจมตีขนาดใหญ่ที่ออกแบบมาเพื่อติดตั้ง backdoor ลงบนอุปกรณ์ Fortinet และ VMware เพื่อสร้างช่องทางสำหรับการแฝงตัวอยู่ภายในระบบของเป้าหมาย และกำลังติดตามการดำเนินการของกลุ่มดังกล่าวภายใต้ชื่อ UNC3886 ซึ่งคาดว่ามีความเกี่ยวข้องกับประเทศจีน "UNC3886" เป็นกลุ่มผู้ไม่ประสงค์ดีที่มีความสามารถเฉพาะตัวในการดำเนินการโจมตีอุปกรณ์บนเครือข่าย สังเกตได้จากเครื่องมือที่ใช้ในการโจมตี UNC3886 มุ่งเป้าหมายไปที่ Firewall และเทคโนโลยี virtualization ที่ยังไม่รองรับจากอุปกรณ์ EDR โดยมีความสามารถในการจัดการ Firmware ของ Firewall และใช้ประโยชน์จากช่องโหว่ที่ถูกพบ แสดงให้เห็นว่ากลุ่มผู้โจมตีมีความเชี่ยวชาญในเทคโนโลยีดังกล่าว

    ก่อนหน้านี้กลุ่มผู้ไม่ประสงค์ดีกลุ่มนี้ เกี่ยวข้องกับการโจมตีที่มุ่งเป้าหมายเป็นเซิร์ฟเวอร์ VMware ESXi และ เซิร์ฟเวอร์ Linux vCenter ซึ่งเป็นส่วนหนึ่งของแคมเปญ hyperjacking ที่ออกแบบมาเพื่อฝัง backdoor เช่น VIRTUALPITA และ VIRTUALPIE

    Mandiant เกิดขึ้นภายหลังจากที่ Fortinet เปิดเผยว่าหน่วยงานของภาครัฐ และองค์กรขนาดใหญ่ ได้รับผลกระทบจากการถูกโจมตีโดยการใช้ช่องโหว่บน Fortinet FortiOS ซึ่งอาจส่งผลให้ข้อมูลสูญหาย และเกิดความเสียหายในระบบปฏิบัติการได้

    โดยช่องโหว่ดังกล่าวมีหมายเลข CVE-2022-41328 (CVSS score: 6.5) เป็นช่องโหว่ path traversal บน FortiOS ซึ่งมีการอัปเดตแพตซ์เพื่อแก้ไขช่องโหว่ไปแล้วเมื่อวันที่ 7 มีนาคม 2023 ที่ผ่านมา

ตามรายงานจาก Mandiant ระบุว่าการโจมตีที่ UNC3886 ได้มุ่งเป้าไปที่อุปกรณ์ FortiGaet, FortiManager, และ FortiAnalyzer ของ Fortinert เพื่อติดตั้ง backdoor THINCRUST และ CASTLETAP ซึ่งจะสามารถทำได้หากอุปกรณ์ FortiManager ถูกเปิดให้เข้าถึงได้จากอินเทอร์เน็ต

    นักวิจัยระบุว่า "เมื่อ CASTLETAP ถูกติดตั้งบนไฟร์วอลล์ FortiGate แล้ว ผู้โจมตีจะเชื่อมต่อกับเครื่อง ESXi และ vCenter เพื่อสร้างช่องทางการแฝงตัวบนระบบ ซึ่งทำให้สามารถเข้าถึง hypervisors และเครื่อง guest อื่น ๆ"

    ในกรณีที่อุปกรณ์ FortiManager มีการจำกัดการเข้าถึงจากอินเทอร์เน็ต ผู้ไม่หวังดีจะใช้เทคนิค Pivoting โดยการเชื่อมต่อจาก FortiGate Firewall ที่โจมตีด้วย CASTLETAP เพื่อฝัง reverse shell backdoor ชื่อ REPTILE ("/bin/klogd") บนระบบจัดการเครือข่ายเพื่อให้สามารถกลับเข้าถึงระบบได้อีกครั้ง

UNC3886 ใช้เครื่องมือชื่อ TABLEFLIP เพื่อเชื่อมต่อโดยตรงกับอุปกรณ์ FortiManager โดยไม่สนใจ ACL (access-control list) ที่กำหนดไว้ในอุปกรณ์ FortiGate

    การโจมตีนี้ไม่ใช่ครั้งแรกที่กลุ่มผู้ไม่หวังดีจากจีน มุ่งเป้าหมายไปยังอุปกรณ์เครือข่ายเพื่อแพร่กระจายมัลแวร์ โดยก่อนหน้านี้ก็พบการโจมตีโดยการใช้ช่องโหว่อื่น ๆ ในอุปกรณ์ Fortinet และ SonicWall

Rapid7 พบว่าผู้ไม่หวังดีกำลังพัฒนา และเผยแพร่เครื่องมือที่ใช้ในการโจมตีได้รวดเร็วขึ้นกว่าที่ผ่านมา โดยมีช่องโหว่มากถึง 28 รายการ ที่ถูกนำมาใช้ในการโจมตีเพียง 7 วัน ภายหลังจากมีการเปิดเผยข้อมูลออกสู่สาธารณะ ซึ่งเพิ่มขึ้น 12% จากปี 2021 และเพิ่มขึ้น 87% จากปี 2020

    กลุ่มผู้โจมตีที่มีความเกี่ยวข้องกับประเทศจีนได้กลายเป็นผู้เชี่ยวชาญเฉพาะด้านในการใช้ช่องโหว่ zero-day และการแพร่กระจายมัลแวร์ที่ปรับแต่งให้เหมาะสม เพื่อขโมยข้อมูลประจำตัวผู้ใช้งาน และแฝงตัวบนระบบเครือข่ายของเป้าหมาย

    Mandiant ระบุว่า "การโจมตีนี้เป็นหลักฐานที่ชี้ให้เห็นว่าผู้โจมตีที่มีความเชี่ยวชาญ กำลังใช้ประโยชน์จากช่องโหว่เพื่อเข้าถึง และค้นหาข้อมูลของเป้าหมาย โดยเฉพาะเทคโนโลยีที่ไม่รองรับการป้องกันจากอุปกรณ์ EDR"

         Plugin Analytics & Monitoring ที่จะเลือกใช้คือ prometheus เริ่มต้นจากการเข้าไปที่ consumers เลือก user ที่ต้องการจะติดตั้ง plugin แล้วเลือก prometheus จากนั้นกด add plugin 

 docker pull prom/prometheus

 docker run -d -p 9090:9090 prom/prometheus