Acalvio榮獲 GigaOm Radar公認為動態欺敵技術的市場領導者及快速發展者

2023 年 4 月 6 日,竣盟科技全球合作夥伴,且擁有全球最先進欺敵技術的Acalvio Technologies 在 GigaOm Radar Report for Deception Technology報告中獲選為領導者,並被定位為該領域領先的快速發展者(Fast Mover)。

GigaOm 的雷達報告Radar Report重點介紹了主要的欺敵技術供應商,為 IT決策者提供了選擇最適合其業務及個人所需的資訊,該報告評估了欺敵技術解決方案在服務四個特定細分市場(中小企業、大型企業、聯邦/地方政府以及教育機構實體和服務提供商)以及三種部署模型(投射法Projection method,專用資產 Dedicated asset和消失代理Vanishing agent)方面的定位,該報告詳述了市場部門對關鍵產品特性和標準頂級解決方案特徵的分析評估(如可擴充性、性能和總成本)及帶來的影響。

GigaOm 分析師Chris Ray表示:“ 對於希望領先攻擊者一步的組織而言,欺敵技術已成為一種必不可少的工具。” “Acalvio為市場帶來了一系列領先的功能,採用涵蓋眾多欺敵使用案例的全包式平台。Acalvio 通過由 AI 提供支援的自主流程,為動態欺敵功能帶來了廣度和深度。”

GigaOm 是 IT領域的一家頂尖分析公司,在其雷達報告中評估了欺敵技術的領導力,GigaOm雷達報告的判斷公式著眼於「橫跨兩個座標軸,在成熟度和創新、功能導向和平台導向之間取得平衡」,同時預測每種解決方案在未來 12 到 18 個月的演變 [方向]。」根據該報告,Acalvio 執行了所有既定的關鍵標準,並且由於其深思熟慮和全面性的欺敵方法而得到了極高的評價,並被定位為欺敵解決方案領導者(Leader)及快速發展者(Fast Mover)。

Acalvio的ShadowPlex平台是一個全面的人工智慧解決方案,通過現實的漏洞預測和有效及包羅萬象的誘餌來欺騙攻擊者。ShadowPlex 旨在在整個組織的網路中部署動態、智慧且高度可擴充性的欺敵行為。該平台獲得超過 25項註冊專利,形成了一個完全不同的架構,對 IT 的影響很小,在 AI 的幫助下提供了規模化、自動化和真實性。此外,該報告還引用了 Acalvio 的身份威脅檢測和回應 (ITDR)、運營技術 (OT)/工業控制系統 (ICS) 功能以及周到的部署功能,使 Acalvio 解決方案脫穎而出。

Acalvio Technologies聯合創辦人兼首席執行長Ram Varadarajan 表示:“我們在 GigaOm 的雷達報告中領先地位證明了我們自成立以來一直致力於創新和卓越的承諾。”“隨著 2023 財年國防授權法案(National Defense Authorization Act)最近呼籲使用欺敵技術,我們很高興獲得基於欺敵的主動防禦的認可,支持零信任戰略,這是下一波網路防禦浪潮的基礎。這種認可進一步使政府和商業客戶能夠充滿信心地部署 Acalvio 欺敵技術。”

關於 Acalvio Technologies

Acalvio是應對網路欺敵攻擊的主動防禦解決方案的全球領導者,其突破性的自主欺敵技術基於分散式欺敵和進階人工智慧領域,並獲得超過 25個註冊專利,以實現有效、易於使用和企業規模的主動式防禦部署。Acalvio 的自主欺敵通過早期檢測進階威脅來減少攻擊者的停留時間,並通過利用複雜的調查和主動威脅搜尋功能提高SOC的效率。Acalvio是CMMC第三方評鑑機關Booz Allen Hamilton戰略合作夥伴,共同推動零信任環境採用欺敵策略。Acalvio ShadowPlex是唯一經美國授予聯邦政府風險與授權管理計劃FedRAMP 認證可用於美國政府環境的專利自主欺敵產品,是目前市場上唯一FedRAMP Ready的欺敵技術的解決方案,這家位於矽谷的公司的解決方案服務於財富500強企業、美國政府機構和大型 MSSP。

竣盟科技是Acalvio的台灣唯一代理商以及指定技術合作夥伴,目前已將Acalvio ShadowPlex持續導入到國內企業與機構中,協助建構高擬真的欺敵平台,並完美地融入現有的監控模式,更加提升網路安全防護等級。

欲了解更多關於 Acalvio ShadowPlex的資訊,請聯繫竣盟科技 desiree@billows.com.tw 電話: 02-25623952 ext. 16

“轉貼、分享或引用文章內容,請註明出處為竣盟科技https://www.billows.tech/, 以免觸法”

外媒報導,台灣電競設備大廠微星科技疑遭新型勒索軟體Money Message攻擊,被勒索約1億2千萬新台幣

Photo Credit: BleepingComputer

4月6日台灣時間晚上,資安網站BleepingComputer報導,新型電競筆電大廠微星科技疑遭Money Message勒索軟體入侵,被盜約1.5TB的數據,Money Message聲稱已入侵微星網路系統,在公開的螢幕截圖可見,當中包括微星的CTMS和ERP系統的數據庫,以及微星的軟體源始碼、私鑰和 BIOS 韌體的數據等。

Money Message在其Tor的揭秘網上稱,若微星不支付4佰萬美元(約新台幣1億2千萬的贖金,將在 2023 年 4 月 12 日星期三公佈盜來的所有數據。據報導, Money Message 透過與受害者溝通的即時chat room,疑似與微星的代表進行談判,駭客強調擁有微星的源始碼包括開發 bios 的框架及自訂義的模組等。

4月7日,微星發布重大訊息證實其部分資訊系統遭受駭客網路攻擊,但稱其資訊部門自偵測到網路異常後於第一時間啟動相關防禦機制與進行復原,並通報政府執法部門與資安單位,目前受影響之系統已陸續恢復正常運作,並評估對財務業務無重大影響。

Money Message 為新型勒索軟體並實施雙重勒索攻擊,即攻擊者同時竊取目標的敏感數據並對其進行加密。為實現這一目標,攻擊者利用多種方式來存取公司網路,釣魚登錄憑證可能是最簡單的,但根據攻擊者的技術水平,他們還可以利用漏洞和暴力破解 RDP 伺服器等策略。

基本上,Money Message 的運作方式如下,加密工具是用C++ 編寫的,帶有 JSON 配置,有助於檢查檔案並選擇要加密的檔案,

以下檔案不會在此過程中加密:

ntuser.ini

ntldr

ntuser.dat.log

bootsect.bak

boot.ini

autorun.inf

bootfont.bin

desktop.ini

ntuser.dat

thumbs.db

iconcache.db

根據Bleeping Computer 的說法,Money Message不如其他勒索軟體系列那麼有效。事實上,與其他加密工具相比,它實際上非常慢。一旦勒索軟體進入,它就會留下一個名為 money_message.log的勒索字條,其中包含一個指向 TOR 站點的鏈接以協商贖金。

Money Message勒索軟體的部分入侵指標(Indicator of compromise -IOCs):

bbdac308d2b15a4724de7919bf8e9ffa713dea60ae3a482417c44c60012a654b

“轉貼、分享或引用文章內容,請註明出處為竣盟科技https://www.billows.tech/, 以免觸法”

LockBit聲稱已成功入侵南韓國稅局,並將公開盜竊得來的數據

3月29日,LockBit勒索軟體集團在其揭秘網站上張貼了關於韓國國家稅務的頁面,聲稱已功入侵該機構並將於韓國時間4月1日晚上8時公開盜取得來的數據。不過與其他攻擊案例不同的是,此次並沒發布機構圖片、相關內容和樣本等,引發外界的好奇及揣測。

根據韓國多家媒體報導,韓國國稅局駁稱LockBit的說法不屬實,稱目前還沒有任何資料外洩的情形。國稅局進一步解釋,稅務資料單獨存儲在未連網的內部網路中,並沒有外部入侵的跡象。此外還補充說明,目前尚無已知事件表明國稅局職員已打開任何電子郵件而遭勒索病毒感染,國稅局也稱LockBit沒有正式向其聯繫要求任何的贖金。

韓媒稱,國稅局隸屬經濟及財政部,如果此次入侵屬實將可造成嚴重的影響。韓國資安公司S2W特別呼籲,隨著針對南韓網路威脅不斷加劇,攻擊者掌握了韓國的資安應對方法和水平,組織需做出更強而有力的回應。此次之前,LockBit勒索軟體在2022年7 月 入侵了局意大利國稅局 (L’Agenzia delle Entrate),聲稱竊取了100MB數據並在其揭秘網站上公開一些樣本作為攻擊的證明。

2023 年 3 月,美國FBI、CISA及MS-ISAC共同發佈了LockBit3.0勒索軟體的資安通告,該警報概述了入侵指標和緩解建議。這些建議包括:

*遵循強密碼實踐和管理

*啟用防網絡釣魚的多重身份驗證 (MFA)

*分段網路以防止惡意軟體橫向移動

*禁用未使用的端口

*禁用命令行和腳本操作的權限

*保持離線備份,對其進行加密並定期維護

“轉貼、分享或引用文章內容,請註明出處為竣盟科技https://www.billows.tech/, 以免觸法”

美國CISA在 Joint Cyber​​ Defense Collaborative支援下,推出了勒索軟體預警通知計劃

目前已有60家組織受惠於此計劃,得到CISA的預警通知,預警通知是作為提醒機構注意早期勒索軟體攻擊的新舉措

美國網路安全暨基礎設施安全局(CISA)和聯合網路防禦協作組織(Joint Cyber Defense Collaborative-JCDC)在3 月 23 日宣布了一項新舉措,名為勒索軟體預警通知(Pre-Ransomware Notification Initiative,旨在提醒組織注意早期勒索軟體攻擊,以幫助組織快速修補勒索軟體攻擊者針對的漏洞。據瞭解,自今年年初以來,該機構已預警通知了包含能源、教育、醫療保健、供水/廢水處理和其他領域的 60 多家組織,據稱其中有許多組織在數據被成功加密或外洩前得以緩解攻擊。 

勒索軟體預警通知是一種主動網路防禦功能,旨在警告組織它們遭到入侵,以便他們可以在被部署加密勒索軟體之前將攻擊者從其網路中驅逐出去。聯合網路防禦協作組織(JCDC)副主任Clayton Romans指出,勒索軟體參與者在獲得對目標的初始入侵權後通常需要一些時間才能加密或竊取資訊,從最初存取網路到系統加密之間的隔間時間,可以持續數小時到數天,這個空窗期可讓他們有時間通知受害組織勒索軟體參與者已經獲得了對其網路的初始入侵權,可幫助受害組織限制勒索軟體攻擊造成的損失。通過在收到預警時立即採取行動,組織可以減少潛在的數據外洩,避免對營運的影響,並減少財務影響和其他不利後果。

Romans進一步說,CISA 和JCDC從多個來源收集有關潛在早期勒索軟體活動的資訊,當中包括網路安全研究社群、基礎設施提供商和網路威脅情資公司等,然後由美國各地的到場職員通知受害者組織並提供具體的緩解指導。值得一提的是,如果受害人是美國境外的實體,CISA還將通過其國際CERT合作夥伴向美國以外的組織提供通知。

Romans補充說,在勒索軟體參與者已經加密網路並持有數據和系統以索取贖金的情況下,JCDC與受害組織將密切合作,提供攻擊者的策略、技術和程序 (TTP) 以及指南,以幫助減少再一次被攻擊的可能性。

資安全公司SafeBreach的首席安全官Avishai Avivi 在評論這項新舉措時表示,這是一個有意義的信號,表明拜登政府正在推動實施本月早些時候發布的國家網路安全戰略。

在此處閱讀有關美國戰略的更多資訊:白宮發布國家網路安全戰略

Avivi表示該預警通知計劃對應美國國家網路戰略列出的其中之一項目標,提高情資共用和受害者通知的速度、規模和打擊網路犯罪,以擊敗勒索軟體。Avivi補充說,認為這種類型的合作將使組織能夠驗證其安全控制,同時增強其安全計劃對這些類型攻擊的彈性。

“轉貼、分享或引用文章內容,請註明出處為竣盟科技https://www.billows.tech/, 以免觸法”

CL0P勒索軟體受害者爆增,多倫多市和維珍等證實駭客通過檔案傳輸管理系統存取了他們的數據!

注意了!CL0P勒索軟體組織鎖定檔案傳輸管理系統GoAnywhere的零時差漏洞,在過去的 24 小時已新增了42名受害者

3 月 23日,多倫多市政府和英國跨國企業集團維珍證實,駭客通過流行的檔案傳輸服務Fortra GoAnywhere MFT(Managed File Transfer)管理控制臺中的零時差遠端程式碼執行(Remote Code Execution-RCE)漏洞即CVE-2023-0669存取了他們的數據。GoAnywhere 是一個可以託管在雲中或組織網路上的系統允許公司傳輸大量數據和其他大型檔案。

多倫多官員周四告訴IT外媒ITWorld Canada,他們正在調查入侵其GoAnywhere檔案傳輸系統的事件,多倫多是最近被添加到 CL0P揭秘網站CL0P Leaks的數十名受害者之一,市政府官員在一份聲明中表示,他們在 3 月 20 日,發現到被未經授權存取其城市數據,多倫多政府發言人Alex Burke說,多倫多市已確認,確實有第三方供應商未經授權存取了它們的數據,並表示市政府正在積極調查已識別檔案的詳細資訊。該發言人補充說,“未經授權存取城市數據與 Fortra 的 GoAnywhere 服務中的零零時差漏洞有關。Tech Crunch報導,自2022年 1 月下旬或 2 月初發生攻擊以來——確切日期未知——CL0P披露了它過利用Fortra GoAnywhere伺服器上的這個特殊漏洞入侵了 130 多個組織並竊取了他們的數據。從那以後,受害者名單每天都在持續增。

本週四,CL0P在其揭秘網站上增加了42名新受害者,其中包括多家知名組織,維珍集團、日本SOLPAC株式會社、英國養老金保護基金、美國電視廣播公司 Gray TV、P&G及Pluralsight等。當中英國維珍旗下點數兌換業務 Virgin Red證實已被駭客通過CVE-2023-0669漏洞入侵。一位發言人說,最近一個自稱 CL0P 的勒索軟體組織聯繫了我們,他們通過對我們供應商 GoAnywhere 的網路攻擊非法獲取了一些 Virgin Red檔案,發言人表示有問題的檔案不會對客戶或員工構成風險,因為它們不包含任何個人數據。

Photo Credit: Daily Dark Web

另外,線上學習平台 Pluralsight 也坦承它確實使用 Fortra 的 GoAnywhere Managed File Transfer 產品將平台使用數據“傳輸”給他們的專業服務客戶。“Pluralsight 的產品和基礎設施沒有受到這次事件的影響,”一位發言人說。“當 Forta 將此事件告知我們時,我們立即停止使用該產品,並通知所有受影響的客戶,並解釋了他們數據的潛在風險。”

上週,日本科技巨頭 Hitachi Investissement Québec向資安外媒TechCrunch證實,他們因Fortra GoAnywhere的相關漏洞遭受駭客攻擊,被添加到 CL0P的名單。另外,世界第二大金屬和礦業公司力拓 (Rio Tinto) 表示,在被列入名單後,它正在調查這一問題。雲數據管理巨頭 Rubrik也證實,它遭到了駭客攻擊,而美國最大的醫療服務提供商之一Community Health SystemHatch Bank向監管機構通報了該事件。

Searchlight Cyber​​ 的威脅情報分析師 Louise Ferrett 指出,這並不是CL0P第一次利用第三方軟體中的漏洞“大規模入侵”多家組織。

在 2020 年底和 2021 年初,CL0P勒索軟體組織使用相同的策略,結合使用零時差漏洞和新的 Web shell,攻擊了100 多個使用 Accellion檔案傳輸設備的組織,由於Accellion FTA的漏洞,多倫多市在 2021 年 4 月同樣遭受了數據外洩。

意大利超級跑車製造商法拉利已確認受到勒索軟體的攻擊,導致客戶的個資外洩

在個資外洩發生後,這家豪華跑車製造商還透露,駭客存取了其公司的 IT 系統。

Photo Credit:法拉利

法拉利執行長 Benedetto Vigna 致受影響客戶的一封信中表示:“我們很遺憾地通知您法拉利發生了一起網路事件,攻擊者能夠存取我們 IT 環境中的有限數量的系統。”

這家汽車製造商表示,駭客存取了客戶的姓名、地址、電子郵件地址和電話號碼。根據迄今為止的調查,法拉利表示,沒有任何付款資料或擁有或訂購的法拉利汽車的詳細資料被盜,但尚不清楚該汽車製造商是否具有檢測的技術能力(例如對日誌或數據洩露)。法拉利僅表示,我們可以確認,入侵行為對我們公司的運營功能沒有影響。

法拉利不願透露有多少客戶受到入侵的影響,也不願透露公司是如何或何時受到攻擊的,在 3 月 21 日的一份聲明中法拉利表示,其公司的政策是不會屈服於此類犯罪活動,因此不會支付贖金,並認為最好的方案是通知客戶,因此他們已將潛在的數據洩露和事件的性質通知客戶,提醒可能的風險。儘管法拉利聲稱他們現在正在與第三方專家合作“進一步加強”他們的系統並且“對他們的彈性充滿信心,這次的事件只是該公司的網路資安事件的其中一宗。

目前尚不清楚此次入侵是否與去年 10 月發生的一起事件有關,當時一個名為“RansomEXX”的勒索軟體組織聲稱入侵了這家汽車製造商,但法拉利當時否認了這一說法。根據資安外媒TechCrunch看到,RansomEXX 在其揭秘網站上列出了據稱從法拉利竊取的 7GB 數據,包括內部文件、數據表和維修手冊等。

路透社報導了 2021 年的另一起事件,其中 Everest 勒索軟體組織成功攻擊了法拉利、蘭博基尼和瑪莎拉蒂的零部件供應商 Speroni,就在兩個月前,一名研究人員發現了法拉利和其他公司的車輛存在網路安全漏洞,這些漏洞可能會導致車輛的全面接管。

由於法拉利擁有世界上最昂貴的汽車系列之一,因此高端客戶的清單對網路犯罪分子非常有吸引力,促使他們有機會定制惡意的、有針對性的電子郵件。

美國FBI、CISA及MS-ISAC共同發佈了LockBit3.0勒索軟體的資安通告,為各大企業及組織提供所需的情報

2023 年3月16日,三個美國政府機構,聯邦調查局 (FBI)、網路安全暨基礎安全局(CISA) 以及跨州資訊共享分析中心 (Multi-State Information Sharing and Analysis Center,MS-ISAC) 聯手發布了針對勒索軟體LockBit 3.0的資安通告(Cybersecurity Advisory),旨在為網路防禦者提供他們所需的情報,當中包括LockBit3.0 的各種攻擊策略、技術及程序(Tactics, Techniques, and Procedures, TTPs)及其入侵指標(Indicators of Compromise,IOC)。

根據該資安通告,自 2020 年 1 月以來,LockBit一直以基於勒索軟體即服務 (Ransomware As a Service,RaaS) 模式運作,針對廣泛的企業和關鍵基礎設施實體,LockBit3.0也稱為 LockBit Black,與LockBit及LockBit2.0的變種相比具有更加模組化的架構,並支援在部署後修改其行為的各種參數。為了規避分析和檢測,LockBit 3.0安裝程式被加密,並只有在提供密碼的情況下才能執行。一個典型的例子是 LockBit 3.0 接受橫向移動和重新啟動到安全模式的特定操作需附加參數,如果 LockBit成員無法存取”無密碼”的LockBit 3.0 勒索軟體,則必須在執行勒索軟體時提供密碼參數。未能輸入正確密碼的 LockBit 3.0 成員將無法執行勒索軟體,密碼是解碼 LockBit 3.0 可執行檔的加密金鑰。

在觀察到的 LockBit 3.0 攻擊中,初始入侵管道是通過遠端桌面協議 (RDP)、路過式攻擊、網路釣魚、洩露的憑證以及利用面向公眾的應用程序公式中的漏洞而獲得的。然後,惡意軟體會嘗試提升權限、收集系統資料、終止特定進程和服務、啟動命令、啟用自動登錄以實現持久性以及刪除日誌、回收檔案和刪除系統還原備份的資料等。勒索軟體使用寫死的憑證清單橫向移動到網路中,還可以通過伺服器訊息區塊 (SMB)通過群組策略對象和 PsExec 進行傳播。然後,LockBit 3.0會加密本地和遠端設備上的所有檔案,留下勒索信,並將牆紙和圖標更改為其品牌。該過程完成後,惡意軟體會從機器中刪除自身。

作為觀察到的攻擊的一部分,LockBit 3.0 的操作員使用名為StealBit(一種從LockBit 2.0 時期已經使用的自訂義滲漏工具)、Rclone (一個命令列雲端儲存同步程式)及公開可用的檔案共享服務例如 MEGA,來外洩敏感數據。

美國FBI、CISA以及MS-ISAC提供以下緩解措施和安全控制,以防止和減少LockBit3.0的威脅影響:

備份

*在獨立、分段、安全位置上維護重要數據和伺服器的多個備份,以實現恢復和維護離線備份

*確保備份數據加密且不可變

*練習從備份中恢復

帳戶和存取控制

*遵循強密碼實踐和管理

*要求在盡可能多的服務上使用抗網路釣魚多的因子身份驗證,至少在那些存取關鍵系統的帳戶和服務上

*審計具有管理員權限的帳戶,並採用“最小權限原則”的方法進行存取控制

*檢查網域控制器、伺服器、工作站和活動目錄中的未識別帳戶或新帳戶

*使更高級別的存取權限基於時間,以便僅在完成特定任務所需的時間內授予存取權限

防禦

*定期及時修補韌體、操作系統和軟體

*優先緩解已知被利用的漏洞

*分段網路,以阻止勒索軟體的傳播

*禁用命令行和腳本活動和權限,以減少勒索軟體參與者橫向移動和提升特權的能力

減少攻擊面

*使用網路監控工具“識別、檢測和調查異常活動”以及勒索軟體參與者的潛在橫向移動

*使用並定期更新防病毒軟體,並開啟實時檢測功能

*禁用未使用的端口

*禁用收到的電子郵件中的超連結,並在電子郵件中添加banners,以提醒收件人是否從組織外部發送電子郵件。

聯合資安通告中有更詳細的建議和解釋:

https://www.cisa.gov/sites/default/files/2023-03/aa23-075a-stop-ransomware-lockbit.pdf

疑似與中國有關聯的駭客利用Fortinet零時差漏洞進行間諜活動,以 Fortinet FortiOS 為目標攻擊政府實體

一個疑似的中國APT駭客通過利用 Fortinet FortiOS 中的安全漏洞以政府實體和大型組織為目標,正如 Fortinet在上週的披露,該安全漏洞允許攻擊者通過在未修補的 FortiGate 防火牆設備上執行未經授權的程式碼或命令來部署惡意軟體有效負載 。

其中一個事件是在客戶的 FortiGate 設備因FIPS韌體完整性相關錯誤而關閉時發現的,導致其無法運行,進一步的分析表明,攻擊者可以使用該惡意軟體進行間諜活動,包括數據洩露、在受感染設備上下載和寫入檔案,或者在收到惡意製作的 ICMP 數據包時打開遠端 shell,有問題的零時差漏洞是CVE-2022-41328(CVSS 分數:6.5),這是 FortiOS 中的一個中等目錄遍歷漏洞,可能導致任意程式碼執行。該漏洞影響 FortiOS 版本 6.0、6.2、6.4.0 至 6.4.11、7.0.0 至 7.0.9 以及 7.2.0 至 7.2.3。該公司分別發布了 6.4.12、7.0.10 和 7.2.4 版本來解決該漏洞。

在一位客戶的 FortiGate 設備突然停止且無法重新啟動後,Fortinet 對這些攻擊展開了調查,設備停止顯示以下錯誤消息:

“由於 FIPS 錯誤,系統進入錯誤模式:韌體完整性自檢失敗”(System enters error-mode due to FIPS error: Firmware Integrity self-test failed)完整性測試的失敗會阻止設備重新啟動,以保護網路的完整性。研究人員發現攻擊者修改了韌體映像中的/sbin/init 檔案夾,他們注意到存在一個新檔案 /bin/fgfm,修改旨在為攻擊者提供持久存取。

對/sbin/init的修改 確保 /bin/fgfm在繼續執行常規啟動操作之前運行,這可能為攻擊者提供持久的存取和控制。” Fortinet發布的分析。

執行 fgfm 惡意軟體後,它會聯繫遠端伺服器 (C2) 並等待命令執行,惡意程式碼可以根據從 C&C 伺服器接收到的命令執行各種操作,包括退出程式、竊取數據、下載/寫入檔案、建立遠端 shell。

Fortinet 表示,這次攻擊具有很強的針對性,有證據指向政府或政府附屬組織,該漏洞為CVE-2022-41328可允許特權攻擊者通過精心設計的 CLI 命令讀取和寫入任意檔案。

鑑於漏洞利用的複雜性,懷疑攻擊者“對 FortiOS 和底層硬體有深入的了解”,並且擁有對 FortiOS 操作系統的不同方面進行逆向工程的高級功能。

目前尚不清楚攻擊者是否與今年 1 月初觀察到的另一組駭客有任何關聯,該組織利用 FortiOS SSL-VPN (CVE-2022-42475) 中的一個漏洞來部署 Linux 植入程式。

IceFire 勒索軟體利用 IBM 漏洞,攻擊基於 Linux 企業網路

Photo Credit: ID-Ransomware

已知基於Windows的勒索軟體IceFire已將其重點擴展到針對Linux企業網路。操作IceFire的駭客組織現在使用其新的專用加密器積極瞄準全球 Linux 系統。根據 SentinelOne最新的研究,IceFire勒索軟體通過利用 IBM Aspera Faspex 中的一個已知漏洞CVE-2022-47986來攻擊 Linux 伺服器。在3/9 (周四)的一篇網誌中,資安公司SentinelOne 的Alex Delamotte詳細介紹了SentinelLabs 從 2月中旬開始觀察到針對企業的攻擊活動,IceFire勒索軟體一年前出現在勒索軟體領域,在2022年 9 月 IceFire 被NCC Group列為最活躍的威脅組織名單中列前三名。

現在,除了 Windows 系統之外,IceFire 的活動已經擴展到針對 Linux 伺服器。與許多勒索軟體組織一樣,IceFire 似乎正在利用一個在某些企業環境中仍未修補的已知漏洞。SentinelOne 觀察到這些針對全球多個媒體和娛樂組織的攻擊,而且大多數威脅檢測工具似乎無法有效捕獲新的 Linux 版本。SentinelOne 的網誌警告說,IceFire二進製檔案沒有被檢測引擎VirusTotal檢測到。針對 Linux 的勒索軟體二進製檔案是一個 2.18 MB 的 64 位 ELF 檔案,它安裝在運行易受攻擊版本的 IBM Aspera Faspex 檔案伺服器軟體的 CentOS 主機上。它還能夠避免加密某些路徑,以便受感染的機器繼續運行。研究員Delamotte指出,目前的觀察表明,攻擊者利用 CVE-2022-47986 部署了勒索軟體,CVE-2022-47986 是 IBM Aspera Faspex 檔案共享軟體中的一個反序列化漏洞。

IBM 在本週更新的安全公告中詳細介紹了該漏洞,該漏洞已於 1 月份修補好。雖然 CVE-2022-47986 最初獲得的CVSS評分為 8.1,但它在 2 月 17 日更新為 9.8(滿分 10 分)。如果被利用,該漏洞可允許遠端攻擊者在系統上執行任程式碼。

另外,CISA 於 2 月 21 日將該漏洞添加到其已知的其已知濫用資安漏洞(Known Exploited Vulnerabilities)清單中,並下令聯邦機構在必須在 3 月 14 日之前完成修補。該漏洞於 2023 年 2 月 17 日正式發布

然而,IceFire 攻擊始於 2 月中旬。Delamotte表示,與 Windows 相比Linux 更難部署勒索軟體——尤其是大規模部署。許多 Linux 系統都是伺服器:典型的感染媒介,如網路釣魚或路過式下載(Drive by download),效果較差。為了克服這個問題,駭客轉向利用應用程式漏洞,正如 IceFire 的背後駭客員通過 IBM Aspera 漏洞部署有效載荷所展示的那樣。一旦駭客獲得存取權限,IceFire 勒索存取就會針對用戶和共享目錄進行加密。由於這些是檔案系統未受保護的部分,Delamotte 指出它們不需要提升權限即可寫入或修改。Delamotte 進一步說,檔案共享接收持續的連接——尤其是來自組織互聯網之外的系統——這使它們成為勒索軟體攻擊者非常吸引的目標。IceFire 勒索軟體在之前只專注於攻擊 Windows 系統之後擴大了 Linux 目標,這是一個戰略轉變,與近年來也開始攻擊 Linux 系統的其他勒索軟體組織手法一致。

IceFire勒索軟體的部分入侵指標(Indicator of compromise -IOCs):

SHA-1: b676c38d5c309b64ab98c2cd82044891134a9973

外媒報導宏碁證實遭駭,駭客聲稱持有Acer約160 Gb 的數據,並已在暗網兜售

根據多家資安外媒報導,3月6日,一個名為Kernelware的駭客在暗網論壇上聲稱成功在2月中旬入侵宏碁,並已竊盜該電腦巨擘共2869個檔案,即約160GB的數據。Kernelware是該論壇的知名成員,他沒有列出出售這批資料的售價,然而要求買家私訊了解並以門羅幣進行交易。報導稱Acer Corporate Communications發出聲明,證實駭客入侵了其託管維修技術人員使用的私人檔案的伺服器,然而該公司表示,到目前為止的調查結果並未表明此資安事件已影響客戶數據。(We have recently detected an incident of unauthorized access to one of our document servers for repair technicians. While our investigation is ongoing, there is currently no indication that any consumer data was stored on that server.)

據報導,Kernelware外洩的資料包含總共 160GB 的 655 個目錄和 2869 個檔案。這包括:

*簡報檔案

*各種技術問題的除錯手冊

* Windows 圖像格式資料

*大量二進製檔案(.exe、.dll、.bin 等……)

*後端基礎設施

*手機、平板電腦、筆記本電腦等的機密產品型號檔案和資料…

*可替換的Windows數位產品金鑰(RDPK)

*ISO檔案

*Windows 系統部署映像 (SDI) 檔案

*大量的 BIOS 內容

*ROM檔案

此次資安事件是宏碁不到兩年的時間裡發生的第4次遭入侵事件:

— 2021 年 3 月Acer被REvil勒索軟體攻擊並被勒索5000萬美元的贖金。

— 2021 年 10 月 15 日,Desorden Group 的駭客組織的入侵 Acer India的售後服務系統,被盜60 GB的數據

— 2021 年 10 月 18 日, Desorden Group駭入宏碁台灣的系統,盜走並釋出Acer員工的敏感資料。

宏碁是全球第六大個人電腦製造商,市場份額約佔全球總銷售額的 6%。該公司報告稱, 2022 年的總收入約為 90 億美元

資訊來源:  https://www.bleepingcomputer.com/news/security/acer-confirms-breach-after-160gb-of-data-for-sale-on-hacking-forum/

https://therecord.media/acer-computers-repair-technicians-server-data-breach

https://www.databreaches.net/another-acer-data-breach-hacker-claims-to-sell-160gb-trove-of-stolen-data/