Brute-Force

CERT-UA เตือนว่ากล้อง IP และเครื่องบันทึกภาพของ Dahua ในยูเครนถูกเข้าถึงโดยไม่ได้รับอนุญาต ทั้งดูภาพสด แก้คอนฟิก และสร้างบัญชีแปลกปลอม ทางเข้าหลัก คือ บริการ P2P Easy4IP ซึ่งใช้หมายเลขซีเรียลที่มีโครงสร้างคาดเดาได้ ผู้โจมตีจึงไล่เดาได้จำนวนมากโดยไม่ติด rate limit แม้เครื่องจะไม่ได้เปิดออกอินเทอร์เน็ตโดยตรง จากนั้นใช้รหัสผ่านอ่อนหรือช่องโหว่ข้ามการยืนยันตัวตน CVE-2021-33044 และ CVE-2021-33045 ผ่านด่านล็อกอิน ควรปิด P2P ที่ไม่จำเป็น อัปเดตเฟิร์มแวร์ และตรวจหาบัญชีที่ไม่รู้จัก

Unit 42 เปิดเผยเคสธนาคารแห่งหนึ่งในยุโรปที่ถูกบุกรุกผ่านเกตเวย์ VPN ซึ่งผู้ให้บริการภายนอกดูแลและบังคับยืนยันตัวตนไม่เข้มพอ ผู้บุกรุกใช้บัญชีที่ถูกขโมยเข้ามา สแกนระบบหลายพันเครื่อง และเดารหัสผ่านบัญชีแอดมินอยู่หลายเดือน ผู้บุกรุกยังดึงเอกสารภายในจาก share และหน้าเว็บภายในไปด้วย สุดท้ายพยายามใช้ช่องโหว่ RCE ของ WSUS บนเซิร์ฟเวอร์จัดการคอนฟิกกลางแต่ถูกสกัดได้ บทเรียนคือบัญชีที่ใช้ได้จริงบนเกตเวย์ภายนอกเปิดทางเข้าเครือข่ายภายในได้โดยไม่ต้องใช้ช่องโหว่

Dashlane เปิดเผยว่าถูกโจมตีแบบ brute-force เมื่อ 31 พฤษภาคม 2569 ผู้โจมตีส่งคำขอจำนวนมหาศาลไปยัง API ลงทะเบียนอุปกรณ์ สามารถเจาะ 2FA และดาวน์โหลด vault เข้ารหัสของผู้ใช้แผน Personal ไม่เกิน 20 ราย ข้อมูลยังเข้ารหัสอยู่และไม่สามารถเข้าถึงได้หากไม่มี Master Password