Tag Archives: ความเสี่ยง

เตือนช่องโหว่บนแอป Transmission BitTorrent เสี่ยงถูกแฮ็กเกอร์เข้าควบคุมคอมพิวเตอร์

Tavis Ormandy นักวิจัยด้านความมั่นคงปลอดภัยจาก Google Project Zero ออกมาแจ้งเตือนถึงช่องโหว่บนแอปพลิเคชัน Transmission BitTorrent ซึ่งช่วยให้แฮ็กเกอร์สามารถรันคำสั่งและเข้าควบคุมคอมพิวเตอร์ของผู้ใช้จากระยะไกลได้ทันที ที่สำคัญคือยังไม่มีแพตช์สำหรับอุดช่องโหว่จากเจ้าของผลิตภัณฑ์ แอปพลิเคชัน Transmission BitTorrent ทำงานในรูปแบบ Server-client โดยผู้ใช้จำเป็นต้องติดตั้ง Daemon Service บนคอมพิวเตอร์เพื่อใช้งานแอปพลิเคชันผ่านทางเว็บเบราว์เซอร์ Daemon Service นี้จะทำการติดต่อกับ Server เพื่อดาวน์โหลดและอัปโหลดไฟล์ผ่านทางเบราว์เซอร์โดยร้องขอผ่าน JSON RPC Ormandy พบว่า แฮ็กเกอร์สามารถใช้เทคนิคการแฮ็กที่เรียกว่า Domain Name System Rebinding เพื่อโจมตีการทำงานดังกล่าวผ่าน Daemon Serice ซึ่งช่วยให้แฮ็กเกอร์สามารถลอบรันคำสั่งอันตรายบนคอมพิวเตอร์ของผู้ใช้จากระยะไกลเมื่อผู้ใช้เผลอเข้าถึงเว็บไซต์ที่ถูกออกแบบมาเป็นพิเศษของแฮ็กเกอร์ได้ทันที จากการตรวจสอบพบว่าปัญหามาจาก Daemon Service ที่ถูกติดตั้งลงบนคอมพิวเตอร์สามารถถูกนำไปใช้เพื่อติดต่อกับเว็บไซต์อื่นนอกจาก Transmission BitTorrent ได้ Google ได้เปิดเผยโค้ดและรายละเอียดสำหรับการทำ Proof-of-Concept หลังจากค้นพบช่องโหว่และรายงานเจ้าของผลิตภัณฑ์เพียง 40 วัน แทนที่จะเป็น 90 วันตามการดำเนินงานปกติ เนื่องจากไม่ได้รับการตอบรับหรือมีการอัปเดตใดๆ จากทีมนักพัฒนาของ Transmission BitTorrent อย่างไรก็ตาม…

เตือนมัลแวร์ GhostTeam บน Android ขโมยข้อมูลล็อกอินของ Facebook

Avast! และ Trend Micro สองผู้ให้บริการซอฟต์แวร์ Antivirus ชื่อดัง ออกมาแจ้งเตือนถึงมัลแวร์ GhostTeam ซึ่งแพร่กระจายตัวอยู่ใน Google Play Store รวมแล้วมากกว่า 50 แอปพลิเคชัน ซึ่งช่วยให้แฮ็กเอร์สามารถขโมยข้อมูลล็อกอินของ Facebook และแสดงโฆษณาบนอุปกรณ์ที่ติดมัลแวร์ได้ ทีมนักวิจัยด้านความมั่นคงปลอดภัยของทั้งสองบริษัทระบุว่า มัลแวร์ดังกล่าวแฝงตัวอยู่ในแอปพลิเคชันบน Google Play Store มาตั้งแต่เดือนเมษายนปี 2017 โดยใช้เทคนิคในการแพร่กระจายตัวที่ค่อนข้างใหม่และมีประสิทธิภาพ โดยเริ่มจากหลอกให้ผู้ใช้ดาวน์โหลดแอปพลิเคชันบน Google Play Store มาติดตั้งก่อน แอปพลิเคชันดังกล่าวจะเป็นแอปพลิเคชันที่ดูเหมือนไม่มีพิษมีภัย ไม่ได้ทำอันตรายแก่ตัวเครื่องโดยตรง แต่จะทำหน้าที่เป็น Dropper ซึ่งจะติดต่อกับ C&C Server เพื่อทำการดาวน์โหลดและติดตั้งแอปพลิเคชันอีกตัวหนึ่งซึ่งมีมัลแวร์ GhostTeam แฝงตัวอยู่ ผ่านทางการแจ้งเตือนผู้ใช้ว่ามีปัญหาเกี่ยวกับความมั่นคงปลอดภัย จำเป็นต้องดาวน์โหลดแอปมาติดตั้งเพิ่มเติมและต้องใช้สิทธิ์ Admin หลังจากที่แอปพลิเคชัน GhostTeam ถูกติดตั้งลงบนเครื่องและได้สิทธิ์ Admin แล้ว มันจะเริ่มแสดงโฆษณาบนเครื่องของผู้ใช้ทันที รวมไปถึงใช้วิธีพิเศษในการแอบขโมยข้อมูล Credential จากหน้าล็อกอินจริงของ Facebook…

DHS เริ่มทดลองตรวจสอบแอปพลิเคชันด้านความเป็นส่วนตัวและความมั่นคงปลอดภัย

          กระทรวงความมั่นคงแห่งมาตุภูมิแห่งสหรัฐอเมริกา หรือ DHS ได้เริ่มต้นทดลองโปรแกรมเพื่อตรวจสอบแอปพลิเคชันร้องขอความช่วยเหลือจากบุคคลที่เกิดเหตุวิกฤต (First Responder) บน Android และ iOS ในด้านความเป็นส่วนตัวและความมั่นคงปลอดภัย โดย 33 แอปพลิเคชันจาก 20 นักพัฒนาถูกตรวจสอบในโปรแกรมเริ่มต้นครั้งนี้ 32 จาก 33 แอปพลิเคชันมีปัญหาละเมิดความเป็นส่วนตัว           จากการตรวจสอบพบว่า 32 แอปพลิเคชันมีปัญหาเกี่ยวกับความเป็นส่วนตัว โดยมีการยกระดับสิทธิ์การเข้าถึงเกินความจำเป็น เช่น ส่งข้อความ ใช้กล้อง และเข้าถึงลิสต์รายชื่อติดต่อ นอกจากนี้ 18 แอปพลิเคชันถูกระบุว่ามีช่องโหว่ที่สามารถทำ Man-in-the-Middle, การจัดการ SSL Certificate ผิดพลาด หรือ มีการฝัง Credential ลงในโค้ด การตรวจสอบนี้กินเวลาร่วม 3 เดือนรวมถึงฝ่ายสืบสวนได้เตือนไปยังนักพัฒนาแอปพลิเคชันเหล่านั้นแล้ว โดยตามรายงานสื่อของ DHS เมื่อสัปดาห์ที่แล้วกล่าวว่า 14…

ธปท.เตือนลงทุนเงินดิจิทัลเสี่ยง กฎหมายไม่รับรองชี้เป็นช่องแชร์ลูกโซ่-ฟอกเงิน

ผู้ว่าแบงก์ชาติเตือนลงทุนคริปโตเคอเรนซี (Cryptocurrecy) หวั่นเป็นช่อง ทางของ “แชร์ลูกโซ่ และฟอกเงิน” ชี้ยัง ไม่มีรัฐบาลใดรับรองชำระหนี้ได้ตาม กฎหมาย ราคาผันผวนสูง และมีความเสี่ยงซื้อสินค้าและบริการไม่ได้ ขณะที่ ยูบิทเว็บเงินดิจิทัลเกาหลีใต้ประกาศปิดตัวส่งผลราคาเงินดิจิทัลที่ซื้อขายร่วงทันที 75% นายวิรไท สันติประภพ ผู้ว่าการธนาคารแห่งประเทศไทย กล่าวถึงสกุลเงินดิจิทัล หรือคริปโตเคอเรนซี (Cryptocurrecy) อาทิเช่น บิทคอยน์ วันคอยน์ แดส Ethereum ฯลฯ ว่า ในช่วงนี้มีคนไทยจำนวนมากเริ่มหันมาสนใจซื้อขายเงินดิจิทัลกันมากขึ้น ทำให้จำเป็นต้องทำความเข้าใจว่า คริปโตเคอเรนซีไม่ใช่สื่อกลางการชำระเงินตามกฎหมาย หากจะให้นิยามน่าจะเป็นเพียงสินทรัพย์หนึ่งเพื่อการลงทุน ในลักษณะคล้ายกับการลงทุนตราสารหนี้เท่านั้น โดยอาจจะเรียกได้ว่าเป็น “สินทรัพย์ดิจิทัล” และจนถึงขณะนี้ยังไม่มีธนาคารกลางใดในโลกที่รับรองสกุลเงินคริปโตเคอเรนซี ในลักษณะสกุลเงินที่ใช้ซื้อขายแลกเปลี่ยนตามกฎหมาย ดังนั้น หากสนใจที่จะลงทุนในสกุลเงินคริปโตเคอเรนซีเหล่านี้ จะต้องทำความเข้าใจถึงความเสี่ยงที่จะมากับการลงทุนดังกล่าว อย่ามองแต่ในด้านผลตอบแทนเห็นว่าสูง เพราะสกุลเงินคริปโตเคอเรนซี มีความผันผวนในด้านราคาที่สูงมาก มีอัตราการขึ้นลงที่รวดเร็ว และหากพิจารณาจะเห็นว่าราคาของสกุลเงินคริปโตเคอเรนซีที่สูงมากในขณะนี้จะคล้ายคลึงกับราคาสินค้าโภคภัณฑ์ในช่วงหนึ่งซึ่งปรับตัวขึ้นไปสูงมาก หรือราคาน้ำมันที่เคยขึ้นไปแตะอัตราสูงสุดที่ 100 เหรียญสหรัฐฯ ต่อบาร์เรล แต่ราคาที่ปรับขึ้นไปสูงๆ นั้นอยู่ได้ไม่นาน และปรับลดลงอย่างรวดเร็ว ผู้ว่าการ ธปท. กล่าวต่อว่า สกุลเงินคริปโตเคอเรนซี…

ศาลสหรัฐแฉ ‘อูเบอร์’ ตั้งทีมเฉพาะกิจล้วงตับข้อมูลคู่แข่ง

REUTERS : The letter emerged during Uber’s legal battle with Waymo           16 ธ.ค. 2560 สำนักข่าว BBC ของอังกฤษ รายงานว่า ศาลสหรัฐอเมริกา แถลงเมื่อศุกร์ที่ 15 ธ.ค.60 ตามเวลาท้องถิ่นว่า “อูเบอร์” (UBER) บริษัทให้บริการรถรับจ้างรายใหญ่ มีการจัดตั้งทีมงานเฉพาะกิจสำหรับขโมยข้อมูลลับของคู่แข่งรายอื่นๆ รวมถึงป้องกันการถูกขโมยความลับของบริษัทตน หลังมีคดีพิพาทกันระหว่างอูเบอร์กับ Waymo บริษัทผลิตรถยนต์ไร้คนขับ ซึ่งทาง Waymo กล่าวหาว่าอูเบอร์ขโมยข้อมูลเทคโนโลยีของบริษัทตน           เรื่องราวดังกล่าวถูกเปิดเผยขึ้นเมื่อมีเอกสารที่ถูกส่งจากทนายความของอดีตพนักงานอูเบอร์ ทำให้เกิดการตรวจสอบบริษัทในเดือน พ.ค. 2560 อย่างไรก็ตามเอกสารดังกล่าว ยังไม่ถูกเผยแพร่ต่อสาธารณะจนปัจจุบัน ขณะที่ทางอูเบอร์ ออกแถลงการณ์ชี้แจงว่า อูเบอร์มีความชัดเจนในการแข่งขันอย่างสุจริตและเป็นธรรม บนความแข็งแกร่งของแนวคิดและเทคโนโลยีของตนเอง โดยผู้เปิดประเด็นอื้อฉาวดังกล่าวคือ Richard Jacobs ที่ลาออกจากอูเบอร์ไปเมื่อสิ้นเดือน…

เตือน 66% ของแอป Cryptocurrency ยอดนิยมบน Android ไม่เข้ารหัสข้อมูล

จากการที่กระแสงเงินดิจิทัลหรือ Cryptocurrency เริ่มบูมมากขึ้น ส่งผลให้มีแอปพลิเคชันสำหรับแลกเปลี่ยนหรือทำธุรกรรมโดยใช้ Cryptocurrency เป็นจำนวนมาก อย่างไรก็ตาม แอปพลิเคชันเหล่านี้ยังขาดการออกแบบให้มีความมั่นคงปลอดภัย เช่น การเข้ารหัสข้อมูล High-Tech Bridge บริษัทที่ปรึกษาด้านความมั่นคงปลอดภัยสารสนเทศชื่อดัง ได้ออกมาแจ้งเตือนถึงภัยคุกคามบนแอปพลิเคชัน Cryptocurrency ซึ่งนอกจากจะพบว่ามีแฮ็กเกอร์สร้างแอปพลิเคชันปลอมเพื่อหลอกขโมยชื่อบัญชีและรหัสผ่านของผู้ใช้แล้ว ยังแอปพลิคเชันแท้ส่วนใหญ่ยังขาดการพัฒนาให้มีความมั่นคงปลอดภัย ส่งผลให้อาจถูกแฮ็กเกอร์ขโมยข้อมูลสำคัญออกไปได้ High-Tech Bridge ใช้ Mobile X-Ray ซึ่งเป็นซอฟต์แวร์สำหรับวิเคราะห์แอปพลิเคชันบนอุปกรณพกพาที่พัฒนาขึ้นมาเอง ในการสำรวจแอปพลิเคชัน Crytocurrency ยอดนิยม ไม่ว่าจะเป็นแอปพลิเคชันสำหรับติดตามค่าเงิน แลกเปลี่ยนเงินตรา หรือ Wallet จำนวนรวม 90 แอป พบสถิติที่น่าสนใจ ดังนี้ ร้อยละ 94 ใช้การเข้ารหัสข้อมูลแบบเก่าที่ไม่แนะนำให้ใช้กันแล้ว ร้อยละ 66 ไม่ได้ใช้ HTTPS ในการเข้ารหัสข้อมูลที่รับส่งกับภายนอก ร้อยละ 44 มีการ Hard Code รหัสผ่านลงไปในโค้ดของแอปพลิเคชันเลย ร้อยละ 94 ของแอปพลิเคชันมีความเสี่ยงระดับปานกลางหรือสูงกว่ามากกว่า 3 รายการ…