Tag Archives: เทคโนโลยี

โลกเรามาถึงจุดที่ “อแดปเตอร์ชาร์จไฟ” ก็สามารถถูกแฮกได้แล้ว!

By Watcharakul Pattanaprateep Xiaomi เปิดตัว Mi 10 พร้อมกับอแดปเตอร์ utilized gallium nitride technology หรือ GaN ที่สามารถจ่ายไฟได้มากถึง 65W แต่เบื้องต้นมีรายงานว่าอแดปเตอร์ดังกล่าวไม่รองรับหลายแพลตฟอร์ม แถมยังมีช่องโหว่ที่ทำให้ถูกแฮกได้ด้วย สื่อต่างประเทศรายงานว่า Xiaomi ได้รับการเตือนจากบริษัทด้านความปลอดภัย โดยทีมรักษาความปลอดภัยแจ้งกับ Xiaomi ว่า อแดปเตอร์ชนิด GaN ของ Xiaomi นั้นใช้ใช้ชิป eFlash / MTP ในการจัดการระบบการจ่ายไฟของตัวอแดปเตอร์ และยังสามารถอัปเดตซอฟต์แวร์ได้อีกด้วย อย่างไรก็ตาม ชิป eFlash ที่ Xiaomi นำมาใช้นั้นเป็นแบบเขียนข้อมูลซ้ำลงไปได้ หรือ Rewrite แถม Xiaomi ไม่ได้เข้ารหัสเอาไว้ มันจึงเป็นข่องโหว่ที่ทำให้แฮกเกอร์สามารถดัดแปลงอแดปเตอร์ชาร์จได้นั่นเอง แฮกอแดปเตอร์ได้แล้วยังไง? อ่านมาถึงตรงนี้หลายคนอาจสงสัยว่า ในเมื่ออแดปเตอร์หรือที่ชาร์จไฟบ้านไม่มีข้อมูลอะไรที่สำคัญ แฮกไปแล้วจะยังไงต่อ? การแฮกเข้าชิป eFlash นั่นหมายถึงสามารถควบคุมการทำงานของอแดปเตอร์ได้ เมื่อควบคุมการทำงานได้ แฮกเกอร์อาจสั่งให้อแดปเตอร์จ่ายไฟเกินกว่าที่ระบบตั้งเอาไว้ตั้งแต่แรก อันทำให้เกิดอันตรายกับผู้ใช้งานรวมถึงอุปกรณ์ที่นำมาใช้ชาร์จด้วย…

Zoom งานงอก! นักแฮกเร่ขายล็อกอิน 5 แสนชื่อ ตกชื่อละไม่ถึง 25 สตางค์

5 แสนชื่อก็เทียบเท่ากับครึ่งล้านรายทีเดียว สำหรับซูม (Zoom) เครื่องมือสำคัญที่ชาวโลกบางส่วนเลือกใช้ประชุมงานออนไลน์ขณะต้องทำงานอยู่บ้านในช่วงสกัดกั้นโควิด-19 ล่าสุดแอปพลิเคชันประชุมผ่านวิดีโอตกอยู่ในที่นั่งลำบากอีกครั้ง เพราะมีการพบว่านักแฮกสามารถรวบรวมข้อมูลล็อกอินสำหรับการเข้าใช้งานระบบ ออกมาจำหน่ายบนเว็บไซต์ใต้ดินได้มากกว่า 5 แสนบัญชี โดยตั้งราคาไว้ต่ำมากจนเฉลี่ยแล้วตกชื่อละ 1 เพนนี คิดเป็นมูลค่าไม่ถึง 25 สตางค์ต่อล็อกอิน ที่ผ่านมา Zoom ซึ่งกลายเป็นหนึ่งในเครื่องมือสำคัญของโลกยุคโควิด-19 นั้นถูกถกเถียงกันมากเรื่องความเป็นส่วนตัวและการรักษาความปลอดภัยที่มีช่องโหว่ แน่นอนว่า Zoom พยายามดำเนินการแก้ไขอย่างรวดเร็วเพื่อจัดการกับคำวิจารณ์มากมาย แต่ขณะนี้มีข่าวว่าในตลาดมือเริ่มมีการซื้อขายข้อมูลผู้ใช้ Zoom บนราคาต่ำมากจนมีโอกาสที่จะถูกนำไปใช้กว้างขวางตามอำเภอใจ ผู้ค้นพบการขายข้อมูลล็อกอิน Zoom คือบริษัทไซเบอร์ซีเคียวริตี้ชื่อไซเบิล (Cyble) พบว่าบนเว็บไซต์สังคมนักแฮกมีการประกาศขายข้อมูลล็อกอินเข้าสู่ระบบบัญชี Zoom มากกว่า 500,000 รายการ สนนราคาต่อล็อกอินเพียง 0.002 เหรียญ ซึ่งในบางกรณี ข้อมูลล็อกอินเข้าสู่ระบบเหล่านี้อาจเปิดแจกฟรีก็ได้ ข้อมูลล็อกอินเพื่อเข้าสู่ระบบแต่ละบัญชีประกอบด้วยอีเมลแอดเดรส รหัสผ่าน URL การประชุมส่วนบุคคล และรหัสโฮสต์หรือ host key ทั้งหมดเป็นสิ่งที่นักแฮกต้องการสำหรับภารกิจขโมยข้อมูลสำคัญในการประชุมออนไลน์ของบางบุคคลหรือบางบริษัท Cyble ยืนยันว่าข้อมูลล็อกอินที่ถูกวางจำหน่ายไม่ได้แปลว่าระบบของ Zoom ถูกแฮก แต่นักแฮกตัวร้ายรวบรวมข้อมูลการเข้าสู่ระบบ Zoom โดยใช้การโจมตี…

ภาพรวมเทคนิคการโจมตีโดยกลุ่ม APT ที่ใช้เรื่อง COVID-19 เป็นตัวล่อ

บริษัท Malwarebytes ได้เผยแพร่รายงาน threat intelligence ประจำเดือนเมษายน 2563 โดยเป็นการรวบรวมและวิเคราะห์ข้อมูลการโจมตีโดยกลุ่ม APT (Advanced Persistent Threat) ที่อาศัยเรื่องไวรัสโคโรน่าหรือ COVID-19 เป็นช่องทางในการหลอกล่อ ทั้งนี้ในรายงานฉบับดังกล่าวมีข้อมูลของกลุ่ม APT ที่มุ่งเป้าโจมตีหน่วยงานในประเทศไทยด้วย การโจมตีแบบ APT คือการใช้เทคนิคขั้นสูงเพื่อเจาะเข้ามาฝังตัวอยู่ในระบบเป็นเวลานาน โดยในขั้นตอนแรก ๆ ของการโจมตีมักใช้วิธีเจาะระบบผ่านช่องโหว่ หรือหลอกล่อให้บุคคลภายในหลงเชื่อเปิดไฟล์มัลแวร์ที่เปิดช่องทางให้ผู้โจมตีเชื่อมต่อเข้ามาในระบบได้ ตัวอย่างเทคนิคการโจมตีที่พบ เช่น ส่งไฟล์ Microsoft Office ที่อ้างว่าเป็นข้อมูลการรับมือ COVID-19 โดยไฟล์เอกสารดังกล่าวมีสคริปต์ Macro ฝังอยู่ หากอนุญาตให้สคริปต์ทำงาน มัลแวร์ก็จะถูกดาวน์โหลดมาติดตั้งลงในเครื่อง เป็นต้น นอกจากนี้ยังพบการโจมตีผ่านช่องโหว่ของการประมวลผลไฟล์ RTF หรือฝังคำสั่งอันตรายมาในไฟล์ LNK เป็นต้น ซึ่งช่องทางเหล่านี้อาจถูกใช้เพื่อติดตั้งมัลแวร์หรือเปิดช่องทางให้ผู้โจมตีเชื่อมต่อเข้ามาควบคุมเครื่องคอมพิวเตอร์ของเหยื่อได้ในภายหลัง ในรายงานของ Malwarebytes ระบุว่ากลุ่ม APT ที่มุ่งเป้าโจมตีประเทศไทยนั้นมีทั้งหมด 2 กลุ่ม ประกอบด้วย Ocean Lotus และ…

รวมข้อมูลประเด็นความมั่นคงปลอดภัยและความเป็นส่วนตัวของโปรแกรม Zoom

Zoom เป็นโปรแกรมประเภท video conference ที่ได้รับความนิยมเพิ่มมากขึ้นเนื่องจากเหตุการณ์ไวรัสโคโรน่าหรือ COVID-19 แพร่ระบาด ทำให้หลายองค์กรต้องปรับรูปแบบการทำงานให้รองรับการประชุมจากนอกสถานที่ หรือสถาบันการศึกษาหลายแห่งต้องปรับรูปแบบการเรียนการสอนมาเป็นจากระยะไกลแทน อย่างไรก็ตาม หลายฝ่ายได้มีความกังวลต่อประเด็นความมั่นคงปลอดภัยและความเป็นส่วนตัวของการใช้งานโปรแกรม Zoom เนื่องจากมีการรายงานช่องโหว่และพฤติกรรมการทำงานในบางจุดที่อาจก่อให้เกิดข้อกังวลดังกล่าว ไทยเซิร์ตได้รวบรวมข้อมูลประเด็นที่เกี่ยวข้องซึ่งสามารถสรุปได้ดังนี้ ประเด็นด้านความมั่นคงปลอดภัย ตัวติดตั้งของโปรแกรม Zoom เวอร์ชัน Mac มีการเรียกใช้สคริปต์บางอย่างในสิทธิ์ระดับสูง ซึ่งอาจก่อให้เกิดอันตรายกับระบบได้ ทาง Zoom รับทราบและแก้ไขแล้ว (อ้างอิง) โปรแกรม Zoom เวอร์ชัน Windows มีช่องโหว่ที่อาจถูกขโมยรหัสผ่านบัญชีได้ด้วยการหลอกให้คลิกลิงก์ ส่วนเวอร์ชัน Mac มีช่องโหว่ที่อาจถูกดักฟังได้ด้วยการหลอกให้เข้าเว็บไซต์อันตราย ทาง Zoom รับทราบและแก้ไขแล้ว (อ้างอิง) รูปแบบการรับส่งข้อมูลภาพและเสียงในระหว่างที่มีการทำ video conference นั้นไม่ได้ใช้วิธีเข้ารหัสลับข้อมูลในรูปแบบ end-to-end (ต้นทางจนถึงปลายทาง) ซึ่งอาจถูกผู้ไม่หวังดีดักฟังการประชุมได้ ทาง Zoom ยอมรับว่ามีประเด็นนี้จริง ยังไม่มีรายละเอียดว่าจะปรับปรุงในเรื่องนี้หรือไม่ แต่ก็ได้ให้ข้อมูลเพิ่มเติมว่าข้อมูลที่รับส่งระหว่างเครื่องของผู้ใช้กับเซิร์ฟเวอร์ของ Zoom นั้นมีการเข้ารหัสลับข้อมูลแล้ว (อ้างอิง) รูปแบบของอัลกอริทึมที่ใช้เข้ารหัสลับข้อมูลนั้นมีความเสี่ยงที่อาจถูกโจมตีได้ง่าย (ECB mode)…

ไต้หวันห้ามหน่วยงานรัฐใช้ “ซูม” จากความกังวลเรื่องความปลอดภัย

รัฐบาลไต้หวันแนะนำให้หน่วยงานรัฐบาลไต้หวันยุติการใช้งานแอพประชุมผ่านวิดีโอออนไลน์ของบริษัท Zoom Video Communications เนื่องจากความกังวลเรื่องความปลอดภัยและความเป็นส่วนตัว แถลงการณ์ของคณะรัฐมนตรีไต้หวัน ระบุว่า หากหน่วยงานใดต้องการประชุมผ่านวิดีโอออนไลน์ให้หลีกเลี่ยงแอพของบริษัทที่มีปัญหาด้านความปลอดภัย เช่น Zoom ขณะที่กระทรวงศึกษาธิการไต้หวัน ยืนยันว่าได้สั่งห้ามใช้ Zoom สำหรับการเรียนการสอนออนไลน์แล้ว ผู้ใช้แอพ Zoom มีจำนวนเพิ่มขึ้นเป็นมากกว่า 200 ล้านคนตั้งแต่เดือนมีนาคม หลังจากที่คนทำงานจำนวนมากต้องทำงานจากบ้าน และนักเรียนต้องเรียนผ่านวิดีโอออนไลน์ แต่บริษัท Zoom กำลังถูกวิจารณ์อย่างหนักจากผู้ใช้ จากการที่ไม่มีระบบเข้ารหัสการประชุมแต่ละครั้ง รวมทั้งเหตุการณ์ที่เรียกว่า “zoombombing” หรือการที่มีแขกที่ไม่ได้รับเชิญปรากฎตัวออกมาระหว่างการประชุมออนไลน์ เป็นต้น รัฐบาลไต้หวันถือเป็นประเทศแรกที่แนะนำอย่างเป็นทางการให้หลีกเลี่ยงการใช้ Zoom ขณะที่ FBI ของสหรัฐฯ ก็มีคำเตือนให้ระวังการใช้แอพนี้เช่นกัน เมื่อไม่กี่วันก่อน เอริค หยวน ซีอีโอ ของ Zoom Video Communications Inc. กล่าวว่า ทีมงานของบริษัทกำลังพยายามแก้ไขสถานการณ์เพื่อฟื้นฟูชื่อเสียงของ Zoom ความนิยมของ Zoom ในช่วงวิกฤติโควิด-19 นี้ นอกจากสำหรับการประชุมทีมงานและการอบรมแบบออนไลน์แล้ว ผู้ใช้งานยังใช้แพลตฟอร์มนี้เพื่อกิจกรรมนันทนาการอื่น ๆ เช่น…

e-Meeting กับข้อกำหนดที่กฎหมายรองรับ เพื่อการทำงานที่ต่อเนื่อง

สำนักงานพัฒนาธุรกรรมทางอิเล็กทรอนิกส์ (สพธอ.) หรือ ETDA (เอ็ตด้า) กระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม หน่วยงานพัฒนา ส่งเสริม และสนับสนุนการทำธุรกรรมทางอิเล็กทรอนิกส์ของประเทศไทย ได้รวบรวมกฎหมายที่เกี่ยวข้องกับการประชุมผ่านสื่ออิเล็กทรอนิกส์ (e-Meeting)  การบังคับใช้และผลทางกฎหมาย เงื่อนไข ข้อกำหนดต่าง ๆ รวมทั้งจัดทำแบบประเมินความสอดคล้องของระบบประชุมจากผู้ให้บริการระบบ เพื่อเป็นข้อมูลประกอบการพิจารณาเลือกใช้ระบบประชุมของผู้สนใจ กฎหมายที่เกี่ยวข้องกับการประชุมผ่านสื่ออิเล็กทรอนิกส์ – ประกาศคณะรักษาความสงบแห่งชาติ ฉบับที่ 74/2557 เรื่อง การประชุมผ่านสื่ออิเล็กทรอนิกส์ – ประกาศกระทรวงเทคโนโลยีสารสนเทศและการสื่อสาร เรื่อง มาตรฐานการรักษาความมั่นคงปลอดภัยของการประชุมผ่านสื่ออิเล็กทรอนิกส์ พ.ศ. ๒๕๕๗ การประชุมผ่านสื่ออิเล็กทรอนิกส์ การบังคับใช้และผลทางกฎหมาย ใช้สำหรับการประชุมที่ต้องการผลตามกฎหมาย หรือกฎหมายกำหนดให้ต้องมีการประชุม เช่น การประชุมสามัญผู้ถือหุ้น หรือการประชุมของคณะกรรมการต่างๆ ใช้ได้ทั้งการประชุมของภาครัฐ และภาคเอกชน คนที่เข้าร่วมประชุมมีเงื่อนไขอย่างไร ผู้เข้าร่วมประชุมอย่างน้อย 1 ใน 3 ขององค์ประชุมต้องอยู่ในที่ประชุมเดียวกัน ผู้ร่วมประชุมทั้งหมดต้องอยู่ในราชอาณาจักรขณะที่ประชุม ข้อกำหนดของระบบ e-Meeting สำหรับการประชุมที่จะมีผลตามกฎหมาย มีกระบวนการรักษาความมั่นคงปลอดภัยด้านสารสนเทศ และต้องสอดคล้องตามแนวนโยบายและแนวปฏิบัติในการรักษาความมั่นคงปลอดภัยด้านสารสนเทศของหน่วยงานของรัฐ ผู้ร่วมประชุมสามารถสื่อสารกันได้ด้วยเสียงหรือทั้งเสียงและภาพ เชื่อมโยงสถานที่ประชุมตั้งแต่สองแห่งขึ้นไปเข้าด้วยกัน ทำให้ผู้ร่วมประชุมสามารถสื่อสารกันได้สองทาง มีอุปกรณ์สำหรับนำเข้าข้อมูลจากที่หนึ่งไปยังอีกที่หนึ่ง เช่น โทรศัพท์ กล้อง ไมโครโฟน มีอุปกรณ์เพื่อทำหน้าที่เชื่อมโยงหรือแปลงสัญญาณเสียงหรือทั้งเสียงและภาพที่เหมาะสม การบริหารจัดการระบบ…