史上最大的加密貨幣劫案~駭客從Axie Infinity遊戲背後的區塊鏈 Ronin Network 盜走 6.2億美元

今年最火的NFT 遊戲Axie Infinity,今傳出被駭客入侵,駭客從Axie Infinity 目前使用的側鏈 Ronin Network竊取了近 6.2 億美元的以太坊和 USDC 貨幣,這是加密貨幣圈迄今為止最大的劫案事件之一。

根據Ronin Network 的說法,入侵是今天首次發現的,但攻擊可以追溯到 3 月 23 日,駭客於23 日破解了其中由 Axie Infinity 母公司 Sky Mavis控制的 4 個節點,跟 1 個由 Axie DAO 所控制的節點。據稱,母公司Sky Mavis 開發的 Ronin 鏈目前由 9 個驗證節點組成,要能驗證存款或取款,最少要獲得其中 5 個節點同意。

加密貨幣持有者通常並不只在一個區塊鏈生態系統中運作,因此開發人員建立了跨鏈橋(Cross-Chain Bridges),讓用戶將加密貨幣從一條鏈發送到另一條鏈。在這種情況下,Ronin橋將 Axie Infinity 連接到其他區塊鏈,例如以太坊。

使用這座橋, 玩家可以將以太坊或 USDC 存入 Ronin,並用它來購買NFT或遊戲內貨幣,然後他們可以出售他們的遊戲內資產並提取資金。

根據Ronin 橋接上的交易明細紀錄,駭客盜取資金在六天前就完成,並將資金轉移到 FTX 與 Crypto.com ; Ronin則是在 3/29 合法用戶無法在跨鏈橋提取5,000 枚以太坊後才發現。

紀錄1
紀錄2

另外根據Bloomberg 報導,資產證券公司Securitize Inc說,這個事情居然六天都沒有人注意到,直到今天才被發現,光是這一事實就讓人驚覺,應該建立一些架構來監控非法轉移。Ronin 表示,它正在與執法部門和鑑識密碼學家合作,以確保所有資金都得到追回,目前用戶無法提取或存入資金,同時Ronin將驗證門檻從 5 個增加到 8 個,也暫停了的橋接機制。

過去其他加密貨幣劫案涉及的金額:

PolyNetwork  ——  6億美元

Cream Finance  –  1.3 億美元 (10 月)

Liquid ——9700 萬美元

EasyFi  ——  8100萬美元

bZx  –  5500 萬美元

Cream Finance  –  3700 萬美元 (2 月)

Vee Finance  ——  3500萬美元

Cream Finance  –  2900 萬美元 (8 月)

pNetwork  ——  1200萬美元

Rari Capital  ——  1100萬美元

駭客劫持未修補的 Exchange伺服器上的電郵,植入惡意的回覆內容來傳播惡意軟體IcedID

研究人員發現了一個新的釣魚郵件活動,該活動旨在劫持的電子郵件的回覆內容 (Email Thread Hijacking) 並植入難以發現的惡意payload,瞄準未修補和暴露網路上Microsoft Exchange伺服器,將用於資料竊取的IcedID惡意軟體傳送到受感染的機器上。

IcedID 是一種模組化銀行木馬,於 2017 年首次被發現,已發展成為駭客建立切入點,用於部署第二階段的惡意軟體,例如勒索軟體或Cobalt Strike工具。IcedID使攻擊者能連接到遠端伺服器並下載下一階段的植入程式和工具,使駭客能執行後續活動並在受影響的網路中橫向移動,以投放其他的惡意軟體。根據以色列資安公司Intezer週一(3/28) 發布的報告,此次活動針對以前的被盜電子郵件並偽造回覆,以用作說服收件者打開附件,值得注意的是,在3 月中旬檢測到的最新一波攻擊瞄準了能源、醫療保健、法律和製藥領域的組織。

Photo Credit: Intezer

攻擊是如何發生

據悉,雖然早期的 IcedID 活動利用網站聯繫表格(Website Contact Form)向組織發送帶有惡意軟體的鏈結,但此次活動的攻擊在易受攻擊的 Microsoft Exchange伺服器上從被劫持的帳號發送誘騙電子郵件,這表明社交工程攻擊的進一步發展。Intezer的研究人員Joakim Kennedy和Ryan Robinson說,payloads也已經從使用Office檔轉向使用帶有Windows LNK檔和DLL檔的ISO檔案,使用ISO檔案允許威脅行為者繞過Web標記控制,導致惡意軟體的執行而不會向使用者發出警告。

研究人員觀察到攻擊中使用的釣魚郵件帶有誘騙的警告,警告用戶在最近的合約中有未處理的付款,並指向附件中的法律文件,攻擊者在這些電子郵件中利用對話劫持,使用合法的、受感染的電子郵件並將自己插入現有對話中,使釣魚攻擊更具說服力,最終使用戶難以檢測到。

據悉,附件的 zip存檔文件受密碼保護,密碼在電子郵件中給出。存檔包含一個 ISO 檔案。當受害者點擊該檔案時,它會使用regsvr32.exe來執行一個 DLL 檔案,研究人員稱這是一種通過允許proxy執行 main.dll 的惡意程式碼來實現防禦規避的技術。

誰是新的 IcedID活動的幕後黑手?

雖然 Intezer 沒有在 IcedID 活動與網路犯罪組織TA551 的之間直接聯繫起來,但分析報告確實提及到 Proofpoint 在2021 年6月的一份報告,該報告強調了網路犯罪組織 TA577 和 TA551 傾向於使用 IcedID 作為其惡意軟體。但Intezer認為這次的活動由TA551發起,因為該組織已知以DDL的二進位檔proxy和受密碼保護的ZIP檔執行regsvr32.exe。

研究人員總結說,對話劫持的使用是一種強大的社交工程技術,可提高網路釣魚的成功率。

有關IcedID的部分入侵指標(Indicator of compromise -IOCs):

SHA 256:

3542d5179100a7644e0a747139d775dbc8d914245292209bc9038ad2413b3213

698a0348c4bb8fffc806a1f915592b20193229568647807e88a39d2ab81cb4c2

a17e32b43f96c8db69c979865a8732f3784c7c42714197091866473bcfac8250

汽車零件製造商遭勒索攻擊又添一樁,三桜工業遭Conti毒手

針對汽車行業供應鏈的網路攻擊,正在接二連三地發生,不久前,如豐田汽車的關鍵供應商,汽車零件大廠電裝公司(DENSO Corporation) 和另一零部件供應商小島工業相繼遭攻擊後,於昨天(3/25) 根據NHK的報導,總部位於東京的汽車零部件製造商三桜工業(Sanoh Industrial Co., Ltd)的美國子公司(Sanoh America)於23日證實在本月12日發現了勒索軟體攻擊並收到贖金信。Sanoh America在檢測到攻擊時,就已經斷開互聯網連接,以防止攻擊散播。

“Sanoh America”主要為美國生產汽車剎車管和燃油管,被攻擊後切斷互聯網連接,然後在採取臨時措施恢復備份後,恢復了生產。

根據Conti揭秘網站,他們宣稱成功駭入Sanoh America ,並開始發布從Sanoh America竊取得來大約 900MB的數據,當中包含一些預算管理和會議記錄的檔案。

另外據觀察,Cuba勒索軟體的揭秘網站,聲稱攻擊了現代汽車集團旗下位於美國喬治亞州的汽車零部件製造商現代派沃特(Hyundai Powertech),並外洩其財務檔案、員工的銀行資料、稅務檔案、薪酬資料和原始碼。

關於汽車產業的勒索軟體攻擊,層出不窮,竣盟科技建議針對勒索軟體的應對措施:

*由於您的所有文件都是使用軍用級加密算法進行加密的,而且密鑰在犯罪者手上,因此基於原始數據復原(指解密),這是個無解的困境。

*向犯罪者支付贖金或試圖與之聯繫有很大的風險。因為在付款後,對方有可能會就此停止聯繫,甚至解密器可能無法工作,或其本身帶來了更多威脅。

*千萬不要使用號稱功能強大的反惡意軟體,這種軟體聲稱可以完全消除系統中的有害威脅。但使用之後,您可能失去的更多。

*針對勒索病毒的危害,正確的應對措施是平日的多重備份機制與定時的還原演練。

*除了基本的防火牆外,還要積極佈署具備篩選功能的代理伺服器、閘道過濾、電子郵件閘道防護,以及終端電腦的弱點更新、防毒碼更新等安全防護佈署。

*佈署威脅偵測機制,如 SIEM、HIDS、封包檢測及進階誘捕系統等產品,可以早期發現,並防止威脅擴散。

對於重要的交易系統,可以佈署執行程序限制方案,防止惡意程式的執行。

*透過教育訓練與各種攻擊演練,加強終端用戶的資安防護意識。

 “轉貼、分享或引用文章內容,請註明出處為竣盟科技 https://www.billows.com.tw , 以免觸法”

中國APT駭客Storm Cloud利用惡意軟體GIMMICK針對macOS用戶

GIMMICK 是一種新發現的 macOS 植入載體(Implant),由中國國家級駭客組織Storm Cloud 開發,用於針對亞洲各地的組織。2021 年末,資安公司Volexity 研究員調查了他們正在監控的環境中的一次入侵,並發現了有執行 macOS 11.6 (Big Sur) 的作業系統的MacBook Pro,被一種被追踪為GIMMICK的惡意程式感染。研究人員解釋說,他們在過去的調查中發現了相同植入載體,但都是針對Windows版本的電腦而來,專家們並將此次針對macOS用戶的攻擊歸因於中國國家級駭客Storm Cloud,Storm Cloud被認為是一組進階且多才多藝的駭客組織,擅長調整其工具集以匹配其目標使用的不同操作系統。

Photo Credit: Volexity

macOS版的惡意軟體GIMMICK主要使用 Objective C 編寫,而Windows版本則同時使用 .NET 和 Delphi編寫。但兩者使用的C2架構、檔案路徑、攻擊模式相同,且濫用 C2 的公有雲託管服務(例如 Google Drive)來逃避檢測。部署後,GIMMICK可以作為守護程式啟動,也可以以客製化應用程式的形式啟動,並旨在模擬目標用戶經常啟動的程式。該惡意軟體被配置為僅在工作日與其基於 Google Drive 的 C2 伺服器進行通信,以進一步融入目標環境中的網路流量。

更重要的是,後門除了從C2伺服器檢索任意檔案和執行命令外,還具有自我解除安裝功能,使其能夠從受感染的機器中自我刪除。

為了保護用戶免受惡意軟體的侵害,Apple 已於2022 年 3 月 17 日為其內置的反惡意軟體保護套件 XProtect發布了新特徵碼,以通過其惡意軟體刪除工具(Malware Removal Tool – MRT)攔截和刪除感染。

研究員總結分析說,將這種惡意軟體移植並使其系統適應新的操作系統 (macOS) 所涉及的開發並非易事,這表明其惡意軟體的背後參與者資源充足、熟練且多才多藝。

有關GIMMICK的部分入侵指標(Indicator of compromise -IOCs):

SHA 256:

2a9296ac999e78f6c0bee8aca8bfa4d4638aa30d9c8ccc65124b1cbfc9caab5f

SHA 1:

fe3a3e65b86d2b07654f9a6104c8cb392c88b7e8

MD5:

943c3743f72f06e58e60fa147481db83

Lapsus$駭不停,駭入身份驗證供應商Okta!

身份驗證提供商 Okta是最新一家成為備受矚目的 Lapsus$ 駭客行動的受害者,據路透社報導,週二(3/22),知名駭客組織 Lapsus$發布了據稱包含Okta內部系統敏感資料的截圖後。 Okta在一份聲明試圖淡化了此遭駭事件,表示沒有發現新攻擊的證據。根據 Okta的說法,發現攻擊者曾在今年1月在其第三方的客戶支援工程師帳戶進行社交工程攻擊,Okta 表示,該帳戶在 1 月 16 日至 21 日的五天內處於攻擊者的控制之下,但強調Okta服務並未被入侵,並且仍然完全可以正常運作。Okta發言人Chris Hollis說,我們相信網上分享的截圖與一月的事件有關。根據我們迄今為止的調查,除了 1 月份檢測到的活動之外,沒有證據表明有任何惡意活動正在進行。

Okta顯然在 1 月下旬就意識到了這一事件,但直到本週才披露——這可能會增加其客戶的數據洩露風險。對Okta的任何駭客攻擊都可能對依賴Okta來驗證用戶存取內部系統的公司、大學和政府機構產生影響。

根據Lapsus$對Okta說法的回應,駭客聲稱他們竊取了的客戶服務的帳戶,還能夠重新設定Okta大約 95%的客戶密碼的憑證,認為Okta只是在嘗試在淡化其遭駭的嚴重性。根據Dark reading報導,安全研究員Bill Demirkapi檢查了Lapsus$公開Okta內部系統的截圖,表明攻擊者入侵了為 Sykes Enterprises, Inc. 工作第三方的客戶支援工程師的機器,被感染的個人電腦似乎為 Okta 的客戶工作支援團隊,提供Tier 2的支援。Demirkapi進一步說利用此支援工程師擁有的存取權,Lapsus$ 能夠存取Slack 中的 Okta 聊天消息、Jira 中的客戶支援ticket以及用於協助客戶的超級使用者權限的後端管理工具。正如華爾街日報的報導,駭客聲稱沒有登入或竊取 Okta 的任何數據,而是專注於該公司客戶,其中包括Cloudflare,Grubhub,Peloton,Sonos,T-Mobile和Engadget母公司雅虎。

根據Okta的最新的聲明,得出的結論是一小部分客戶(約 2.5%)可能受到影響,他們的數據可能已被查看或採取行動。

如果您是 Okta 的客戶並想了解更多資訊,建議您查看過去 90 天的 Okta安全日誌​​以查找可疑活動,或直接與 Okta 聯繫。

Lapsus$於2021 年 7 月首次出現,最近幾個月一直在進行駭客攻擊,在此期間針對大模範企業,包括 Impresa、巴西衛生部、Claro、Embratel、NVIDIA三星、Mercado Libre、育碧 、Vodafone,以及昨天的MicrosoftLG

3月23日,來自Lapsus$的最新消息,表示他們有一部分成員要休假至3月30日,這段時間他們會很安靜。駭客休假是不是真的代表沒有攻擊行動呢? 值得我們持續的關注下去 !

有關Lapsus$的部分入侵指標(Indicator of compromise -IOCs):

SHA 256

0e1638b37df11845253ee8b2188fdb199abe06bb768220c25c30e6a8ef4f9dee

Hamakaze.exe

SHA 256

9d123f8ca1a24ba215deb9968483d40b5d7a69feee7342562407c42ed4e09cf7

mimikatz.exe

 “轉貼、分享或引用文章內容,請註明出處為竣盟科技 https://www.billows.com.tw , 以免觸法”

Lapsus$又出手!微軟旗下Bing 、Bing Maps和Cortana的原始碼疑遭外洩!同時韓國LG的員工和服務帳戶的hash值也遭公開!

據觀察,就在今天早上(3月22日) 9 點 17 分南美駭客組織在其Telegram 頻道發布了兩段簡短的訊息,公開了LGE.com 的員工和服務帳戶的所有hash值,並同時也公開微軟Bing、Bing Maps和Cortana的原始碼,此前Lapsus$也曾在此頻道公開外洩從Nvidia三星竊取得來的數據。

Lapsus$的兩段訊息

3月20日,Lapsus$ 曾發布了一張截圖,聲稱是微軟的原始碼存儲庫,包括 Bing 和 Cortana,Lapsus$聲稱他們通過入侵 Azure DevOps 伺服器存取了存儲庫,但該截圖在幾分鐘後被Lapsus$刪除,並留言說,暫時刪除,稍後會重新發布(Deleted for now will repost after)微軟沒有就Lapsus$的說法發表公開聲明,但已告訴多家資安媒體它正在調查。

今天在關於微軟的訊息中包括一個 483.7 KB 的檔案,Lapsus$ 聲稱該檔案包含微軟Bing搜索引擎、Bing地圖服務和語音助理Cortana的部分原始碼,該檔案包含其聲稱已竊取的 90% 的 Bing 地圖數據,以及聲稱已竊取的 45% 的 Bing 和 Cortana 數據。

根據Emsisoft的威脅分析師 Brett Callow告訴資安媒體itwire,最近Lapsus$攻擊了許多大公司,鑑於微軟和Lapsus$過去的受害者都沒有否認,因此他們聲稱攻擊了微軟並非完全不可信。

另外在關於LG的訊息中,Lapsus$稱這是他們在 1 年內第二次入侵LG,並承諾會很快發布LG的infrastructure confluence。2020年6 月底,LG也曾被Maze勒索軟體攻擊,被竊40GB的Python原始碼。

有關Lapsus$的部分入侵指標(Indicator of compromise -IOCs):

SHA 256

0e1638b37df11845253ee8b2188fdb199abe06bb768220c25c30e6a8ef4f9dee

Hamakaze.exe

SHA 256

9d123f8ca1a24ba215deb9968483d40b5d7a69feee7342562407c42ed4e09cf7

mimikatz.exe

華碩設備成為了俄羅斯國家級駭客的目標?!華碩針對Cyclops Blink惡意軟體攻擊其路由器產品發出警告!

一項的新研究發現,華碩設備成為了俄羅斯國家級駭客製作的Cyclops Blink殭屍網路的目標,專家至少從 2019 年 6 月開始觀察到 Cyclops Blink 殭屍網路的存在,認為Cyclops Blink和俄羅斯國家駭客組織Sandworm或Voodoo Bear有關,根據英國國家網路安全中心 (NCSC) 進行的分析,Cyclops Blink 是一種進階模組化的殭屍網路,擁有150多個C&C伺服器組成的龐大網路,英國和美國政府在 2 月下旬提出警告,表示網路安全供應商 WatchGuard 的設備受到攻擊並被用作殭屍網路基礎設施。今根據Trend Micro研究報告,Cyclops Blink瞄準並感染華碩的路由器,利用命令及控制(Command and Control,CnC)的攻擊基本元素感染受害者並將他們帶入更大的殭屍網路,Cyclops Blink 的作用是為設備上的威脅參與者建立持久性,使駭客能遠端控制受感染的網路。

用於寫入快閃記憶體的模組程式碼 Photo Credit: Trend Micro

Trend Micro警告說,該惡意軟體具有一個專門針對多個華碩路由器的模組,允許惡意軟體讀取快閃記憶體(Flash Memory)以收集有關關鍵檔案、可執行檔案、數據庫的資料,然後惡意軟體會接收到嵌套在快閃記憶體中並建立永久持久性(persistence)的命令,即使恢復設定(factory reset)也不會擦除該存儲空間。

華碩在 3 月 17 日發布的安全公告中,表示它確認有多個路由器型號容易受到與俄羅斯有關Cyclops Blink 惡意軟體的威脅,目前正在調查並致力於修補,該公告還包括受影響的路由器清單以及建議的緩解措施。WatchGuard 在 2 月份亦發布了類似的公告。

華碩受影響的產品清單如下:

GT-AC5300 firmware under 3.0.0.4.386.xxxx

GT-AC2900 firmware under 3.0.0.4.386.xxxx

RT-AC5300 firmware under 3.0.0.4.386.xxxx

RT-AC88U firmware under 3.0.0.4.386.xxxx

RT-AC3100 firmware under 3.0.0.4.386.xxxx

RT-AC86U firmware under 3.0.0.4.386.xxxx

RT-AC68U, AC68R, AC68W, AC68P firmware under 3.0.0.4.386.xxxx

RT-AC66U_B1 firmware under 3.0.0.4.386.xxxx

RT-AC3200 firmware under 3.0.0.4.386.xxxx

RT-AC2900 firmware under 3.0.0.4.386.xxxx

RT-AC1900P, RT-AC1900P firmware under 3.0.0.4.386.xxxx

RT-AC87U (EOL)

RT-AC66U (EOL)

RT-AC56U (EOL)

目前,華碩尚未發布新的韌體更新以防止Cyclops Blink,但已發布以下可用於保護設備的緩解措施:

*將設備重置為出廠default設定:登錄 Web GUI,進入管理 → 恢復/保存/上傳設置,點擊“初始化所有設定並清除所有數據日誌”,然後點擊“恢復”按鈕。

*更新到最新的可用韌體。

*確保default 管理員密碼已更改為更安全的密碼。

*關閉遠端管理(預設為關閉,只能通過進階設定啟用)。

*如果您使用停產的三種型號中的任何一種,請注意這些型號不再受支援,因此不會收到韌體安全更新。在這種情況下,建議您更換新設備。

有關Cyclops Blink的部分入侵指標(Indicator of compromise -IOCs):

SHA 256:

ccae8f66ef880ac02b9affdeaca07a7ddb9428b4f683fd55b35ea3ec20ead5ca

7923585e8e6117eb6b3fb4a12871bc31b81d54a7ed297927bf72715c45c41da6

IPv4: 96.80.68.197

IPv4: 96.80.68.196

提防俄羅斯網路攻擊!德國聯邦資訊安全局(BSI)呼籲,勿使用卡巴斯基防毒軟體

Getty Image

由於俄羅斯入侵烏克蘭引發俄羅斯與西方國家對立,德國聯邦資訊安全局 (Das Bundesamt für Sicherheit in der Informationstechnik- BSI) 在 3 月 15 日警告組織不要使用卡巴斯基(Kaspersky)防病毒軟體,因為擔心它可能被用於網路間諜活動或在俄羅斯正在進行的烏克蘭戰爭中發動網路攻擊。

德國聯邦資訊安全局的公告

BSI公告指出,使用防毒軟體須同意軟體製造商取得電腦系統諸多權限,並隨時與製造商伺服器保持連線,因此防毒軟體製造商的可信度至關重要。雖然卡巴斯基很可能是值得信賴的,但它仍然必須遵守俄羅斯的法律規範,包括允許國家特工存取私人公司的數據庫。BSI表示,總部位於俄羅斯的卡巴斯基可能會被迫代表俄羅斯政府,入侵國外的 IT 系統,或者俄羅斯間諜特工可以在卡巴斯基不知情的情況下秘密使用其技術發動網路攻擊。因此,BSI建議使用卡巴斯基的防毒軟體時務必當心,並審慎評估當前情勢,以其他產品取代卡巴斯基的防毒軟體。BSI 表進一步示,德國公司以及管理關鍵基礎設施的政府機構尤其面臨駭客攻擊的風險。

BSI 發出警告之際,俄羅斯對烏克蘭的入侵隨著俄羅斯軍隊對烏克蘭首都的砲擊升級。

另外,卡巴斯基在其網站上發布的一份聲明中表示,德國的警告是基於政治理由,而不是對其產品的技術評估。“我們將繼續向我們的合作夥伴和客戶保證我們產品的質量和完整性,我們將與 BSI 合作,以澄清其決定以及解決其和其他監管機構擔憂的方法,”聲明中寫道。

卡巴斯基的聲明

卡巴斯基的聲明指出,它相信和平對話可以解決衝突,並且“戰爭對任何人都沒有好處”。

針對卡巴斯基的警告和理由類似於美國聯邦政府早在2017年就禁止政府機關使用卡巴斯基的軟體。國土安全部官員指出,根據俄羅斯法律,卡巴斯基有義務協助聯邦安全局處理情報事務。

新型勒索軟體潘朵拉(Pandora)再一次針對日本企業,日本汽車零件大廠電裝公司(DENSO) 在3個月內第二次遭駭?!

總部位於日本愛知縣的汽車零部件製造商電裝公司(DENSO Corporation) 已確認,3 月 10 日其德國據點Denso Automotive Deutschland GmbH網路遭到未經授權人士存取,DENSO德國立即採取措施將伺服器和個人電腦與網路斷開連接, DENSO日本總部亦正了解詳情,表示目前在調查中,預計未對營運造成影響。

Pandora 在其網站上發布DENSO的內部檔案 Photo Credit: 朝日新聞

根據日本資安公司Mitsui Bussan Secure Directions,名為 Pandora 的勒索軟體組織於日本時間週日(3月13 日)下午在其揭秘網站Pandora data leak上發布帶有DENSO檔案清單的頁面,Pandora聲稱它取得DENSO超過 157,000 份採購訂單、電郵和圖面相關的檔案,約 1.4 TB 的數據,如談判協商失敗將在3月16日釋出全部盜來的數據。此次之前,Pandora勒索軟體亦曾入侵台灣矽晶圓大廠環球晶旗下的GlobalWafers Japan,使其4間工廠生產停擺。 Pandora勒索軟體於今年2月浮出水面,GlobalWafers Japan 是其首間公布在Pandora data leak上成功入侵的企業。

根據《Automative News》全球百強零件製造商排名,DENSO是僅次於Robert Bosch的全球第二大汽車供應商,DENSO德國據點遭入侵,是最近針對豐田供應商的第二起網路攻擊事件。

兩週前,另一豐田供應商在小島工業(Kojima Industries Corporation)的管理系統受到攻擊後,豐田暫停其在日本的所有工廠運作。

另外值得一提的是,根據竣盟科技的觀察,DENSO曾經在去年12月 2 7日被名為Rook的勒索軟體納入其受害者名單,當時該勒索軟體組織聲稱從DENSO盜走了1.1TB的數據,但目前Rook勒索軟體的揭秘網站已不存在,相信Rook勒索軟體和Pandora勒索軟體是否有一定的關聯性是值得我們持續觀察的。

有關Pandora的部分入侵指標(Indicator of compromise -IOCs):

SHA 256:

f87be226e26e873275bde549539f70210ffe5e3a129448ae807a319cbdcf7789

ebfdee6e5fe2aa5699280248a5e7b714ca18e5bfd284cac0ba4fb88ccbcec5b6

ebfdee6e5fe2aa5699280248a5e7b714ca18e5bfd284cac0ba4fb88ccbcec5b6

2c940a35025dd3847f7c954a282f65e9c2312d2ada28686f9d1dc73d1c500224

 “轉貼、分享或引用文章內容,請註明出處為竣盟科技 https://www.billows.com.tw , 以免觸法”

知名輪胎生產商普利司通Bridgestone遭網路攻擊,系統下線,美國多間工廠停工,幕後黑手指向LockBit2.0勒索軟體

Viasat 和 豐田的供應商遭遇網路事件後,總部位於日本的輪胎製商普利司通在2月28日公佈,旗下普利司通美洲(Bridgestone Americas)遭到網路攻擊,導致在美國伊利諾伊州、愛荷華州、北卡羅來納州、南卡羅來納州和田納西州的輪胎製造工廠以及加拿大的工廠停工。

正如媒體報導,Bridgestone Americas在發現入侵後不久,就開始調查此事,聲明中說:

“Bridgestone Americas目前正在調查一起潛在的資安事件。自2月27日凌晨得知發生事件以來,我們已展開全面調查,以迅速收集證據,同時努力確保我們的IT系統的安全性。出於謹慎考慮,我們將拉丁美洲和北美的許多工廠與內部網路斷開連接,以遏制和防止任何潛在的影響。”

雖然該公司迅速分享了一份新聞稿,向公眾通報知了此事,但​​它還沒有透露很多細節,直到2022 年 3 月 3 日,只有維修部、倉庫部、收貨部和 MRC 實驗室等部門的工作人員可上夜班。

普利司通是一家日本跨國公司,也是世界上最大的輪胎製造商。普利司通美洲公司在加拿大、中美洲、拉丁美洲和加勒比地區擁有50多個生產設施,並了大約55,000名員工。

根據觀察,操作LockBit的背後駭客已在其揭秘網站上公佈Bridgestone Americas為其新增的受害者,但目前LockBit並沒有公佈所盜的任何檔案的截圖或樣本,只聲稱會在3月11日發佈盜來的所有數據。

LockBit2.0 是一種現可利用AD群組原則的勒索軟體,能自動加密Windows 網域下所有電腦,駭客不必寫程式進行勒贖軟體部署,只要取得 Windows Server 網域控制器的存取權,就能自動進行傳播,並在網域控制器上建立新的群組原則,將其推送到 Windows 網域中的所有電腦。這些原則包含禁用安全措施,例如 Microsoft Defender 和警報,並阻止操作系統向 Microsoft 提交樣本以避免檢測,以實現持久性。

FBI在2月發布的警告中,建議企業做好以下各種防禦措施:

*要求所有帳戶的登入密碼改為使用強密碼及獨一密碼,不使用重複密碼。

* 盡可能為所有帳戶啟用多重因素驗證 (MFA) 登入審查

*為所有作業系統及軟體安裝最新的系統更新

*詳細檢查涉及管理權限的登入帳戶,移除不必要的員工。

*使用建基於主機的防火牆,只允許必要的管理員通過 SMB 工具連接管理。

*啟用 Windows 系統的檔案保護功能,阻止勒索軟體對重要檔案進行加密。

其他 LockBit 2.0的報導:

LockBit勒索軟體推出了新的招募會員計劃“LockBit 2.0”,稱其最新的工具StealBit是世上最迅速盜竊數據的神器–>https://blog.billows.com.tw/?p=1173

勒索軟體LockBit2.0持續發威,繼曼谷航空、IT顧問巨頭Accenture等遭Lockbit2.0加密後,台灣某製造業大廠也中–>https://blog.billows.com.tw/?p=1350

注意了~繼北市某製造業遭LockBit2.0攻擊,今見台灣上市工程公司也遭殃–>https://blog.billows.com.tw/?p=1411