Kraiwin

IT Director | Dev, Network, Cloud, AI & Cybersecurity
เล่าสิ่งที่เรียนรู้จากงานไอทีให้เข้าใจง่าย

[Kraiwin @kraiwin]

Microsoft อัปเดตว่า Outlook เริ่มกลับมาใช้งานได้มากขึ้น และการส่งอีเมลดีขึ้นในหลายส่วนที่ได้รับผลกระทบ

รออ่าน Incident Report ครับ ถ้าจะส่งทางอีเมล ขอเลขติดตามด้วยนะครับ 😅

[Microsoft 365 Status @MSFT365Status]

We’re seeing encouraging recovery progress, with service availability and email delivery performance improving across a growing portion of affected infrastructure. We know our customers rely on our services to get important work done every day, and regret the impact these outages had on those who depend on us.

We will continue to share more information as we have it, and for now we can confirm that there is no indication this is the result of malicious or cyber activity. Our teams are reviewing what happened and how we can prevent similar issues going forward.

[Kraiwin @kraiwin]

ขอให้เดาผิดเหมือนกันครับ 😂 แต่ขอเติมจากมุมทีม IT ว่าวันจันทร์น่าจะเจอแบบนี้

ผู้ใช้ถามว่า “เมลที่ผมส่งวันศุกร์ออกไปหรือยังครับ ยังอยู่ในคิว หรือถึงปลายทางแล้ว?”
อีกคนถามว่า “คู่ค้าบอกว่าส่งเมลมาแล้ว แต่ผมยังไม่เห็นใน Inbox เมลค้างอยู่ไหมครับ?”
ทีม IT ต้องไล่เช็กเมลอัตโนมัติจากระบบว่าฉบับไหนส่งสำเร็จ ฉบับไหนยังค้าง และฉบับไหนต้องส่งใหม่
เปิดเคสขอ Incident Report จาก Microsoft ด่วน ว่าล่มเพราะอะไร กระทบช่วงไหน และจัดการเมลที่ค้างอย่างไร
ถาม Microsoft ว่าจะรับผิดชอบอย่างไร และลูกค้ายื่นขอ Service Credit ตาม SLA ได้ไหมครับ

[Kraiwin @kraiwin]

เห็นหน้าคนรู้จักในวิดีโอคอล ก็ยังไม่พอยืนยันว่ากำลังคุยกับเขาจริง ๆ โดยเฉพาะเมื่ออีกฝ่ายขอให้รันโค้ดเพื่อแก้ปัญหาเสียง

FBI หน่วยงานสืบสวนของรัฐบาลกลางสหรัฐฯ เตือนเมื่อ 12 พฤศจิกายนถึงรูปแบบหลอกลวงชื่อ FaceStealer โดยระบุว่าเป็นปฏิบัติการของแฮกเกอร์ที่รัฐเกาหลีเหนือสนับสนุน

เป้าหมายคือคนทำงานด้านคริปโทหรือสินทรัพย์ดิจิทัล และ Web3 ซึ่งเป็นแนวทางบริการอินเทอร์เน็ตที่ใช้บล็อกเชนและคริปโท และมุ่งกระจายการควบคุมไปยังผู้ใช้ รวมถึงผู้พัฒนาและผู้ดูแลซอฟต์แวร์โอเพนซอร์ส ซอฟต์แวร์ประเภทนี้เปิดซอร์สโค้ดพร้อมสิทธิให้ใช้ ดัดแปลง และแจกจ่ายตามใบอนุญาต

วิธีหลอกเริ่มจากบัญชีสื่อสารที่ยึดมาจากเหยื่อก่อนหน้า หรือบัญชีใหม่ ส่งคำชวนประชุมและลิงก์ไปยังหน้าที่เลียนแบบบริการจริง เมื่อเหยื่อเข้าไป ผู้โจมตีเปิดคลิปเว็บแคมที่แอบบันทึกจากเหยื่อเก่าให้ดูเหมือนคนรู้จักกำลังคุยด้วย และบันทึกวิดีโอของเหยื่อใหม่ไว้ด้วย

จากนั้นอ้างว่าเสียงหรือระบบมีปัญหา แล้วชวนให้อัปเดต กดลิงก์ หรือวางโค้ดใน terminal ซึ่งเป็นช่องรับคำสั่งของเครื่อง เพื่อ “แก้” ปัญหา แต่คำแนะนำเหล่านั้นดาวน์โหลดหรือติดตั้งมัลแวร์

หากเครื่องถูกยึด ผู้โจมตีอาจขโมยคริปโทที่เข้าถึงได้ หรือใช้สิทธิของเหยื่อเข้าถึงเครือข่ายนายจ้างและบัญชีคลังซอฟต์แวร์ที่เหยื่อควบคุม เพื่อพยายามแทรกซอฟต์แวร์อันตรายไปยังผู้ใช้ต่อ FBI ระบุว่า FaceStealer ขโมยคริปโทไปมากกว่า 400 ล้านดอลลาร์ในช่วง 18 เดือนก่อนประกาศ ซึ่งเป็นยอดสะสม ไม่ใช่ความเสียหายจากเหตุเดียว

อ่านประกาศ FBI: https://t.co/2IauGkQRIF

วิธีลดความเสี่ยงที่ FBI แนะนำ:
• ยืนยันนัดกับผู้ชวนผ่านอีกช่องทาง เช่น โทรหรือส่งข้อความไปยังข้อมูลติดต่อที่มีอยู่เดิม
• เข้าแอปประชุมทางการด้วยรหัสเชิญ แทนการกดลิงก์ไปหน้าเว็บจากผู้ติดต่อ โดยเฉพาะคนใหม่หรือคนที่ไม่ค่อยได้คุย
• หากมีคำขอให้อัปเดตระหว่างประชุม อย่ารันสคริปต์หรือวางโค้ดตามคำสั่งนั้น ให้แยกไปอัปเดตแอปเอง หรือเข้าเว็บบริการจริงด้วยรหัสเชิญ
• เปิดการยืนยันตัวตนหลายขั้นและแจ้งเตือนการเข้าสู่ระบบในแอปสื่อสารที่รองรับ

หากสงสัยว่าถูกเจาะ FBI แนะนำให้เปลี่ยนรหัสผ่าน ออกจากเซสชันที่ใช้งานอยู่ และเพิ่มการยืนยันตัวตนหลายขั้นให้บัญชีสื่อสารและบัญชีสำคัญ รวมถึงบัญชีนักพัฒนา แจ้งผู้ติดต่อ และแจ้งนายจ้างหากใช้เครื่องงานหรือมีไฟล์งานในเครื่องส่วนตัว ขั้นตอนเหล่านี้ไม่ได้ยืนยันว่าเครื่องสะอาดหรือบัญชีกลับมาปลอดภัยแล้ว

[Kraiwin @kraiwin]

@AroundTheD แลกกันจ้า

[Kraiwin @kraiwin]

อีเมล์เริ่มเข้ามาแล้ว Happy Friday

[Microsoft 365 Status @MSFT365Status]

We’re seeing continued recovery progress across affected regions, with broader improvements in North America, sustained improvements across much of Europe, and encouraging recovery signals in Asia Pacific. Some users may still experience intermittent access issues or delayed email delivery as mitigation continues across remaining affected infrastructure. Our focus remains on stabilizing recovered infrastructure, completing mitigation in remaining impacted areas, and reducing delayed email queues and backlogs while we validate service consistency across connection methods. A more comprehensive update can be found at MO1550821 in the Microsoft 365 admin center, as well as https://t.co/bVoAAh3D2G if the admin center is not available to you.

[Kraiwin @kraiwin]

Apache ออกแพตช์แก้ช่องโหว่ในเว็บเซิร์ฟเวอร์ที่เปิด HTTP/2 ผู้ดูแลควรตรวจทั้งโมดูล การตั้งค่า และแพ็กเกจที่ใช้อยู่

Apache HTTP Server หรือ httpd เป็นซอฟต์แวร์เว็บเซิร์ฟเวอร์ ส่วน mod_http2 เป็นโมดูลที่เพิ่มการรองรับ HTTP/2 ให้เซิร์ฟเวอร์ Apache ระบุว่า CVE-2026-119618 เป็นช่องโหว่ระดับ Critical ในโมดูลนี้: การประสานงานผิดพลาดเมื่อใช้ทรัพยากรร่วมกันอาจทำให้หน่วยความจำเสียหาย และอาจนำไปสู่การรันโค้ดจากระยะไกล

รุ่น upstream ที่ได้รับผลคือ 2.4.55 ถึง 2.4.70 โดย Apache ระบุว่าแก้ช่องโหว่นี้ใน 2.4.71 ซึ่งออกเมื่อ 11 พฤศจิกายน 2026 ผู้ใช้รุ่น upstream ที่ได้รับผลควรอัปเดตเป็นรุ่นที่แก้แล้ว

เงื่อนไขสำคัญคือการเปิด HTTP/2 ผ่านการตั้งค่า Protocols เช่น h2 ซึ่งใช้ TLS หรือ h2c ซึ่งส่งผ่าน TCP แบบไม่เข้ารหัส Red Hat ผู้จัดจำหน่ายระบบปฏิบัติการ Linux สำหรับองค์กร ระบุว่าเซิร์ฟเวอร์ที่ให้บริการเฉพาะ HTTP/1.1 ไม่ได้รับผลจาก CVE นี้ แต่การเห็นว่าเบราว์เซอร์เชื่อมต่อด้วย HTTP/1.1 เพียงครั้งเดียวไม่เพียงพอจะสรุปการตั้งค่าทั้งระบบ

ผู้ดูแลตรวจเบื้องต้นได้ดังนี้:

• ใช้ `apachectl -M` หรือ `httpd -M` ตามการติดตั้ง เพื่อดูว่ามี `http2_module` หรือไม่ โดยใช้ binary และ config ที่ตรงกับ service จริง ผลแสดงโมดูลที่โหลดจาก config ที่คำสั่งอ่าน และการมีโมดูลไม่ได้ยืนยันว่าเปิด HTTP/2 ใช้งานจริง
• ตรวจ `Protocols` ใน server config รวมถึงทุก VirtualHost ที่ใช้งานและไฟล์ config ที่ถูก include ด้วย เพราะ VirtualHost อาจตั้งค่าของตนเองแทนค่าจาก base server
• หากติดตั้งผ่านแพ็กเกจของ Linux distribution ให้ตรวจ advisory และแพ็กเกจแก้สำหรับ OS และ branch ที่ใช้ ผู้จัดจำหน่ายอาจนำตัวแก้ไปใส่ในแพ็กเกจรุ่นเก่าผ่าน backport จึงใช้เลขรุ่น upstream เพียงอย่างเดียวตัดสินไม่ได้

รายละเอียดช่องโหว่และรุ่นที่แก้: https://t.co/MMksJAIpy1
เงื่อนไข HTTP/2: https://t.co/uk2DM3yLOb
คู่มือโมดูลและการตั้งค่า: https://t.co/YnmYgvQAKc และ https://t.co/KCWSS1dXSl
คู่มือตรวจโมดูล: https://t.co/adRaaumLDi
อธิบาย backport: https://t.co/ia0eZbDitP

[Kraiwin @kraiwin]

@kktp สุดยอด

[Kraiwin @kraiwin]

@bouiyun @Silenya05 สวัสดีครับแลกกันครับ

[Kraiwin @kraiwin]

@KAZUMII2004 สวัสดีครับแลกกันครับ

[Kraiwin @kraiwin]

@JamesIrungu43 Finally, a Microsoft feature everyone actually wants. 😂

[Kraiwin @kraiwin]

MS364

[Microsoft 365 Status @MSFT365Status]

We’ve made additional progress toward recovery, with actions now completed across portions of affected infrastructure and traffic being gradually restored. We’re seeing improvements in key scenarios, including mailbox access and delayed email processing, though some intermittent issues may continue. Our focus is extending these recovery actions across remaining affected infrastructure while continuing stabilization and adding capacity to improve consistency. A more comprehensive update can be found at MO1550821 in the Microsoft 365 admin center, as well as https://t.co/bVoAAh3D2G if the admin center is not available to you.

[Kraiwin @kraiwin]

@Ms_ITsavvy ITにもどうにもできないことはあります。でも、営業からの次の電話だけは確実に来ますね。😂

[Kraiwin @kraiwin]

@skongki2000 ลุงฮูก ดีใจจนน่ำตาไหลเลยเหรอครับ

[Kraiwin @kraiwin]

@kreadony Hi guy

[Kraiwin @kraiwin]

@Muaymashare888 @Withtime_e มาครับ

[Kraiwin @kraiwin]

@BeBeFYi หวัดดีค้าบ

[Kraiwin @kraiwin]

โค้ดใน repository ถูกย้อนกลับแล้ว ก็ยังต้องตรวจว่าเคยมีการรันตัวขโมยข้อมูลลับหรือไม่

Aikido, SafeDep และ StepSecurity ผู้เผยแพร่งานวิเคราะห์ด้านความปลอดภัย รายงานกิจกรรมที่เรียกว่า WFX ซึ่งพบตั้งแต่ 10 พฤศจิกายน โดยผู้โจมตีใช้ GitHub token ที่ถูกขโมยและยังมีสิทธิ์เขียน repository เพื่อแทรกโค้ดขโมยข้อมูลเข้าไป

เป้าหมายหนึ่งคือ GitHub Actions ระบบที่ทีมพัฒนาใช้สร้าง ทดสอบ และส่งซอฟต์แวร์โดยอัตโนมัติ ผู้วิจัยพบทั้งการแทรกโค้ดใน workflow และซ่อนไว้ใน shell script ที่งานอัตโนมัติเรียกใช้ อีกแบบหนึ่งผูกสคริปต์กับ npm postinstall ใน package.json ซึ่งอาจรันได้เมื่อติดตั้งแพ็กเกจจากโค้ดชุดนั้นและอนุญาตให้ lifecycle script ทำงาน ทั้งบนระบบอัตโนมัติและเครื่องนักพัฒนา

ถ้าโค้ดดังกล่าวรัน ตัวขโมยมุ่งเก็บข้อมูลลับและ token ที่งานหรือเครื่องที่รันงานเข้าถึงได้ ผู้วิจัยยังพบว่าโค้ดพยายามสร้างช่องทางเข้าถึง Cloud ไว้ต่อ แต่การพยายามไม่ได้ยืนยันว่าทำสำเร็จทุกแห่ง

สิ่งที่ทำให้ตรวจยากคือผู้วิจัยพบการย้อนโค้ดและลบ workflow run เพื่อกลบร่องรอย หน้าโค้ดล่าสุดจึงอาจดูสะอาด ทั้งที่ก่อนหน้านั้นโค้ดอันตรายอาจเคยรันแล้ว

สำหรับเจ้าของ repository และทีมที่ดูแลงานอัตโนมัติ ควรตรวจประวัติ PR และ commit ตั้งแต่ 10 พฤศจิกายน รวมถึง commit ที่ถูกย้อนแล้ว เปิดดู diff ใน .github/workflows, package.json และ shell scripts ที่งานเรียกใช้ จากนั้นเทียบ commit ที่น่าสงสัยกับประวัติ Actions run และ audit log ที่มีอยู่ เลข run ที่หายไปเป็นเพียงสัญญาณให้สืบต่อ ไม่ใช่หลักฐานว่าข้อมูลถูกขโมยสำเร็จ และการไม่พบร่องรอยก็ไม่ได้ยืนยันว่าปลอดภัย

หากพบว่าบัญชีหรือ token ถูกใช้โดยไม่ได้รับอนุญาต ให้เพิกถอนสิทธิ์ที่เกี่ยวข้องและตรวจบัญชีที่ผลัก commit รวมถึงบัญชีบอต หากยืนยันหรือมีหลักฐานหนักแน่นว่าตัวขโมยรัน ให้เพิกถอนและหมุน credentials ตามขอบเขตที่งานหรือเครื่องที่รันงานเข้าถึงได้ รวมถึงตรวจสิทธิ์ Cloud และถอนช่องทางเข้าถึงที่ไม่ได้รับอนุญาตหลังตรวจความเป็นเจ้าของแล้ว เพราะการย้อนโค้ดหรือหมุน secrets อย่างเดียวอาจไม่พอหากยังมีสิทธิ์ค้างอยู่

ที่มา:
https://t.co/TaLiWnfdl3
https://t.co/elB9Mk5ow3
https://t.co/RWZ5mg6uoK

[Kraiwin @kraiwin]

Happy Friday, Claude มี Major Outage ด้วย

[Kraiwin @kraiwin]

Mozilla องค์กรผู้อยู่เบื้องหลัง Firefox โปรแกรมสำหรับเปิดเว็บ เผยบทความอธิบายงานวิจัยเรื่อง fingerprinting เมื่อ 10 พฤศจิกายน 2026 พร้อมชวนตรวจการตั้งค่าความเป็นส่วนตัวที่มีอยู่ใน Firefox

Mozilla อธิบายว่า fingerprinting คือการนำรายละเอียดของเบราว์เซอร์และเครื่องมารวมกันเพื่อจำแนกผู้ใช้ข้ามเว็บไซต์ได้ แม้ไม่ได้เก็บคุกกี้ Firefox จึงลดความแตกต่างของข้อมูลที่เว็บไซต์อ่านได้ เช่น ซ่อนรายละเอียดขนาดหรือตำแหน่ง dock หรือแถบงาน เพื่อให้แยกผู้ใช้จากกันได้ยากขึ้น แต่ Mozilla ระบุว่าการป้องกันนี้ไม่ได้ทำให้ fingerprinting เป็นไปไม่ได้

บางมาตรการเปิดอยู่แล้ว และบางส่วนเพิ่มในโหมดท่องเว็บส่วนตัวกับโหมดเข้มงวด (Strict) ของระบบป้องกันการติดตาม หรือ Enhanced Tracking Protection (ETP) โดย Mozilla แนะนำ Strict เพื่อให้การป้องกันเพิ่มเติมครอบคลุมทุกหน้าต่าง

บน Firefox สำหรับคอมพิวเตอร์ ตามคู่มือให้เข้าเมนู → Settings หรือ Preferences → Privacy & Security (บางหน้าจอใช้ Privacy and security) → Enhanced Tracking Protection → Advanced settings หากมี → Strict แล้วกดปุ่มโหลดแท็บทั้งหมดใหม่เพื่อให้ค่ามีผล ชื่อเมนูอาจต่างตามรุ่นหรือภาษา

Strict อาจทำให้บางเว็บไซต์ทำงานติดขัด หากพบปัญหา สามารถเปิดเว็บนั้น กดรูปโล่ข้างช่องที่อยู่ แล้วปิดสวิตช์ ETP เฉพาะเว็บได้ แต่การยกเว้นจะอนุญาตตัวติดตามบนเว็บนั้นด้วย เว็บไซต์อื่นยังได้รับการป้องกัน และเปิดสวิตช์กลับได้ภายหลัง

แหล่งข้อมูล:
https://t.co/qlsGMzekd7
https://t.co/rL5bzDbedR