國際驗船機構「挪威船級社」 遭勒索軟體攻擊，1,000 艘船受到波及

Posted on by blogadmin
Photo Credit: SecurityAffairs

大約1千艘船使用挪威般級社(DNV)的海事航運軟體ShipManager，因DNV遭到勒索軟體攻擊而受到影響。據悉，ShipManager一種船舶管理、運營和船舶設計的軟體，平台包含的模組可讓客戶深入了解船舶管理數據的技術、運營和合規性方面，包括計劃維護系統 (PMS)、航運採購、船舶安全管理系統 (QHSE)、船員管理系統、船體完整性管理、船舶維修及航運數據分析等。總部位於挪威奧斯陸的 DNV（世界上最大的海事組織之一）表示，它在 1 月 7 日晚上遭到勒索軟體攻擊，被迫關閉與其 ShipManager 系統相連的 IT伺服器。DNV在一份聲明中表示，每天都與受影響的70 名客戶保持著密切聯繫，向他們更新正在進行的鑑識調查的結果，到目前為止共約有 1000 艘船隻受到影響。但DNV進一步說，所有用戶仍然可以使用 ShipManager軟體的onbroad和offline功能，沒有跡象表明 DNV 的任何其他軟體或數據受到影響。為了實施恢復計劃並調查攻擊背後的駭客，並試圖盡快讓 ShipManager恢復，表示正在與挪威警方和第三方 IT公司合作應對這一事件，目前DNV仍沒有公佈勒索軟體名字。

到目前為止，DNV稱只有岸上系統而非船上系統受到網路攻擊的影響，但專家警告說，隨著頻寬的改進使陸上系統與導航和其他船載系統之間的相互依賴性加強，這種情況可能會發生變化。

DNV 是世界上最大的船級社之一，負責管理船舶和海上結構物建造和運營的技術認證，這家挪威公司為 13,175 艘船和行動海上裝置 (mobile offshore units)提供服務，DNV在任何船的整個生命週期內提供解決方案和服務，從設計和工程到風險評估和船舶管理， 2021年收入超過 20 億美元。

對 DNV 的攻擊是影響航運業的最新事件，兩週前，里斯本(Lisbon)港口成為 LockBit 勒索軟體組織的目標。2022年2 月西歐石油港口碼頭遭受BlackCat勒索軟體入侵，至少攻擊了17個港口的石油港口碼頭軟體，改變了油輪的路線並嚴重擾亂了供應鏈。11 月，美國國土安全部長Alejandro Mayorkas告訴國會，美國港口面臨的最大威脅是網路攻擊。

“我們正在提高我們港口運營的技術水平，這就是為什麼不僅海關和邊境保護局關注網路安全，美國海岸警衛隊也是如此，關於我們的港口，我認為網路安全是一個重大威脅，我們當然非常專注於防禦它並加強我們的網路安全。” Mayorkas說。

常見船舶發生網路漏洞的原因：

過時和不受支援的操作系統

未修補的系統軟體

過時或缺乏防毒軟體和惡意軟體的防護

不安全的船上電腦網路

關鍵基礎設施與岸邊持續連接

對第三方（包括承包商和服務提供商）的存取控制不足

網路風險方面培訓不足和/或缺乏技術熟練的員工

 “轉貼、分享或引用文章內容，請註明出處為竣盟科技 https://www.billows.com.tw , 以免觸法”

英國皇家郵政遭網路攻擊，導致國際郵寄嚴重受阻，幕後黑手疑是LockBit勒索軟體

Posted on by blogadmin

英國皇家郵政公司（Royal Mail）1月11日指出，系統遭網路攻擊導致其服務嚴重中斷，迫使皇家郵政停止了其國際出口服務，該公司週三表示，暫時無法寄送出口物品，並警告稱運往國際目的地的信件和包裹會出現延誤。皇家郵政沒有提供有關網路攻擊的其他細節，目前尚不清楚皇家郵政的哪些數據遭到破壞以及服務將受到影響多長的時間，但他們表示正與外部專家合作調查事件，並已通知英國監管機構。根據英國每日電訊報(The Telegraph)，這起事件很有大可能源自LockBit勒索軟體的操作或至少是使用它們的加密產生器 (Builder)。據悉，勒索軟體攻擊加密了用於國際運輸的設備，並導致用於海關備案的印表機上不斷印列勒索信。這是 LockBit 3.0 勒索軟體中的一項內置功能，可在網路印表機上重複地列印勒索信，從而引起受害公司的混亂。根據BleepingComputer看到的勒索信，可以確認勒索信上包含了指向LockBit揭秘網站的 Tor網址及登錄聊天室所需的Decryption ID。

Photo Credit: BleepingComputer

1月13日，皇家郵政發言人拒絕評論這次攻擊是否是勒索軟體，但一再警告客戶，投遞中斷的情況還沒有結束，該公司仍然無法向海外發送信件和包裹，表示正在努力解決這個問題。另外，進入英國的郵件也有輕微延誤，但國內遞送不受影響。

值得一提的是，資安研究團隊VX-Underground今天在Twitter表示，LockBit否認對皇家郵政的攻擊負責。鑑於LockBit勒索軟體產生器的程式曾被外洩，是不是其他駭客使用外流的程式發動攻擊，或是LockBit正在說謊，目前仍無法下定論，此資安事件值得我們繼續關注下去。

LockBit勒索軟體集團被廣泛認為總部位於俄羅斯，是世界上最多產的勒索軟體之一，自大約三年前首次出現以來，已針對數百個組織發起攻擊。資安公司 Emsisoft 的威脅分析師 Brett Callow 表示，LockBit的贖金要求是基於每個受害者的支付能力，可能從數萬美元到數百萬美元不等。他表示，皇家郵政的贖金不太可能低於 100 萬美元。

 “轉貼、分享或引用文章內容，請註明出處為竣盟科技 https://www.billows.com.tw , 以免觸法”

美國CISA 下令聯邦機構修補被勒索軟體集團濫用的Exchange 伺服器漏洞

Posted on by blogadmin

美國網路安全暨基礎設施安全局（CISA）在1月10日在其已知濫用資安漏洞(Known Exploited Vulnerabilities)清單中又增加了兩個漏洞。

第一個漏洞為CVE-2022-41080， 屬於Exchange伺服器特權提升的漏洞，可與ProxyNotShell漏洞(CVE-2022-41082)連結起來實現遠端執行任意程式碼。根據總部位於德州的雲端服務業者 Rackspace一周前的證實，Play軟體集團利用它作為零時差漏洞來繞過Microsoft的ProxyNotShell URL 重寫緩解措施從而濫用網頁版郵件管理介面Outlook Web Access（OWA）來遠端執行任意程式碼來攻擊Exchange。資安公司CrowdStrike 將此漏洞利用手法稱為“OWASSRF”，在成功入侵後，駭客便利用遠端存取工具Plink、AnyDesk來維持存取，並在Exchange伺服器上執行反取證技術以試圖隱藏他們的擊行動，這可使其他網路犯罪分子更容易建立自己自訂義的漏洞利用程式或根據自己的目的調整 Play 勒索軟體的工具，從而增加了盡快更新和修補漏洞的緊迫性。

CISA建議擁有落地Exchange 伺服器的組織立即部署最新的 Exchange 安全更新或禁用網頁版郵件管理介面(OWA)，直到他們可以應用 CVE-2022-41080 修補。

CISA 新增到其已知濫用資安漏洞清單中的第二個漏洞是Windows 進階本機程序呼叫（Advanced Local Procedure Call，ALPC）中的特權升級時差漏洞 ( CVE-2023-21674 )，被標記為已在攻擊中被利用，微軟在本月安全更新Patch Tuesday釋出修補，CISA下令聯邦機構必須在 1 月底之前完成修補。CISA 於 2021 年 11 月發布具有約束性作業指引:降低已知被開採漏洞的重大風險(Binding Operational Directive (BOD) 22-01: Reducing the Significant Risk of Known Exploited Vulnerabilities)，為了聯邦民事執行機構 (Federal Civilian Executive Branch) 的網路免受添加已知濫用資安漏洞的侵害，可約束其在特定時間內完成修補。此次CISA給予 FCEB 機構三週的時間，直到 1 月 31 日，以修補這兩個安全漏洞並阻止針對其系統的潛在攻擊。CISA 警告說“這些類型的漏洞是惡意網路參與者的常見攻擊媒介，並對聯邦企業構成重大風險。

雖然該指令僅適用於美國聯邦機構，但 CISA 還強烈敦促所有組織修補這些漏洞以避免受到攻擊。自 BOD 22-01 指令發布以來，CISA 在其被在其已知濫用資安漏洞清單中增加了 800 多個安全漏洞，要求聯邦機構以更緊迫的時間表解決這些漏洞，以防止潛在的安全漏洞。

 “轉貼、分享或引用文章內容，請註明出處為竣盟科技 https://www.billows.com.tw , 以免觸法”

Fortinet 和 Zoho 敦促用戶儘快修補它們產品中的漏洞

Posted on by blogadmin
Photo Credit: The Hacker News

Fortinet 警告稱其產品的 FortiADC 應用程式交付控制器存在嚴重漏洞影響並多個版本，該漏洞編號為CVE-2022-39947，位於FortiADC web接口中，漏洞可導致任意程式碼執行。Fortinet在公告中表示，FortiADC操作系統命令漏洞中使用的特殊元素的不當中和可允許經過身份驗證的攻擊者存取 Web 界面以通過特製的 HTTP 請求執行未經授權的程式碼或命令，此漏洞的CVSS風險評分高達8.6，屬於高度風險。

Fortinet提到該漏洞由其內部產品安全團隊發現，並公布影響以下版本:

FortiADC 版本 7.0.0 到 7.0.1

FortiADC 版本 6.2.0 到 6.2.3

FortiADC 版本 5.4.0 到 5.4.5

FortiADC 所有版本 6.1

FortiADC 所有版本 6.0

官方已發布更新版本:

建議用戶將FortiADC版本6.0, 6.1 , 6.2.0 到 6.2.3升級到6.2.4或7.0.0 到 7.0.1升級到7.0.2以上版本；

另外，也即將推出的FortiADC 5.4.6 或以上版本以應對受影響的5.4.0 到 5.4.5版本

Fortinet在 1 月還發布了FortiTester 中的多個風險命令注入漏洞的修補，這些漏洞被統稱為CVE-2022-35845（CVSS風險評分高達7.6），這些漏洞可允許經過身份驗證的攻擊者在底層 shell 中執行任意命令，攻擊者可利用漏洞要求認證。據 Fortinet 稱，受影響的FortiTester 版本2.xx、3.xx、4.xx、7.x 和7.1.0，已在發布 FortiTester 版本 3.9.2、4.2.1、7.1.1 和 7.2.0時得到解決。

此外，Zoho本周也發布了一份安全公告，呼籲其用戶立即修補影響其三款ManageEngine產品( ManageEngine Password Manager Pro、PAM360 和 Access Manager Plus) 的SQL injection 高風險漏洞，漏洞編號為CVE-2022-47523，可授予攻擊者未經身份驗證的後端資料庫存取權限，並讓他們執行自訂義查詢以獲得對資料庫表中的條目的存取權限。據 Zoho稱，漏洞已通過添加適當的驗證和轉義特殊字符得到解決，強烈建議用戶立即升級到最新版本的 PAM360、Password Manager Pro 和 Access Manager Plus即Password Manager Pro 的12210版本、PAM360 版本 5801 和 Access Manager Plus的 4309 版本。

以上這兩家公司並未提到這些漏洞已遭利用。

 “轉貼、分享或引用文章內容，請註明出處為竣盟科技 https://www.billows.com.tw , 以免觸法”

LockBit為攻擊加拿大Sickkids醫院道歉，首次釋出免費解密工具，專家稱醫院仍需數月完全恢復系統

Posted on by blogadmin

臭名昭著的LockBit勒索軟體集團，在承認其會員(Affiliate) 之一是加拿大最大兒科醫院(Sickkids) 網路攻擊的幕後黑手後，罕見地道歉並免費釋出解密工具給與受害醫院。12 月 18 日，多倫多病童醫院 (SickKids ) 遭到勒索軟體攻擊，導致該機構無法存取其許多關鍵系統，該事件影響了醫院內部系統、醫院電話線路和網站。雖然這次攻擊只加密了幾個系統，但 SickKids表示，該事件導致實驗室和影像系統的接收延遲，導致患者等待時間的增加，該醫院同時發出了灰色代碼（Code Grey）警示。截至 12 月 29 日，SickKids說它已重新恢復近 50% 的優先系統(Priority system)，包括那些導致診斷和治療延誤的系統。12 月 31 日，LockBit 勒索軟體集團在其揭秘網站發出道歉聲明，LockBit 為這次攻擊道歉並發布了解密工具，LockBit道，“我們對加拿大Sickkids醫院的攻擊正式道歉，並免費提供解密工具，攻擊這家醫院的會員違反了我們的規定，已被封鎖，不能再加入我們的會員聯盟中。”

LockBit為Sickkids醫院提供解密工具
LockBit向Sickkids醫院道歉，SickKids 是多倫多的一家教學和研究醫院，專注於為患病兒童提供醫療保健。

根據Bleeping Computer的及報導，解密工具明顯地只適用於Linux/VMware ESXi系統，不支援 Windows，這表明 LockBit的會員只加密了醫院網路上的虛擬機。Sickkids在 1 月 1日表示，在獲悉勒索軟體組織在網上發布的聲明，其中包括提供免費解密工具以恢復受網路攻擊事件影響的系統，已聘請第三方專家來驗證和評估解密工具，並補充說他們沒有支付任何贖金。目前尚不清楚，為什麼 LockBit花了將近兩週的時間才向 SickKids 提供免費解密，值得注意的是，在過去LockBit也曾針對醫院發動攻擊但並沒有釋出解密工具的紀錄，。例如，在2022年8 月，LockBit向法國醫院 Centre Hospitalier Sud Francilien勒索1000萬美元的贖金在醫院拒付後和最終外洩患者數據。2022年6 月，日本德島縣鳴門市醫院遭LockBit入侵，導致電子病歷無法存取。

Lockbit勒索軟體集團以勒索軟體即服務(Ransomware as a service，RaaS) 的操作來運營，負責建立及維護勒索軟體、加密工具和網站，其會員負責入侵受害者的網路、竊取數據和加密設備，該集團從所有贖金中抽取 20%作為報酬，其餘80%則交給會員。

 “轉貼、分享或引用文章內容，請註明出處為竣盟科技 https://www.billows.com.tw , 以免觸法”

北韓APT駭客利用網路釣魚，攻擊了近900百南韓名外交政策專家

Posted on by blogadmin

Key Points:

*南韓當局表示，這些攻擊誘使一些受害者登錄虛假網站，將他們的登錄詳細資料暴露給攻擊者

*南韓國家情報局認為，自 2017 年以來，北韓在全球竊取了約360億台幣的加密貨幣

南韓國家警察廳報告稱，北韓對南韓至少 892 名外交政策專家進行了網路攻擊，目標是他們的個人資料與電子郵件清單，並對在線上商城進行勒索軟體攻擊。據南華早報報導，這些攻擊始於 4 月，主要針對智庫專家和教授。駭客從多個假冒名人的帳戶，發送網路釣魚電子郵件，其中包括五月時遭冒用的南韓執政黨國民力量國會議員太永浩辦公室秘書，以及十月南韓培訓涉外人員的國立外交院一名官員，這些電郵通常包括一個假網站的連結，或帶有病毒的附件，開啟後便發動攻擊。該機構表示在 892 名目標中，有 49 人最終存取了假網站並登錄，允許駭客滲透和監控他們的電郵帳號並下載數據。南韓警方表示，北韓駭客在 26 個國家/地區使用了 326 台代理伺服器，並清洗了他們的 IP 位址，使其難以在線追踪。

除了外交政策專家外，據信還攻擊了存在網路安全漏洞的購物網站，13家公司使用的19台伺服器遭加密，今年也是南韓首次發現北韓駭客使用勒索軟體。據報導，其中兩家公司向該組織支付了價值 250 萬韓元（約合台幣六萬五千元）的比特幣作為贖金，警方懷疑這些駭客與2014年攻擊南韓水電與核電公司的幕後黑手Kimsuky同個組織。當局指出攻擊的來源IP 位址、駭客使用外國網站誘騙目標、代理伺服器的滲透及管理，使用北韓用語，以及針對外交、兩韓統一、國安與國防專家攻擊等事實，有理由相信是北韓駭客組織Kimsuky所為。

國家情報院 (NIS) 還預測包含的網路攻擊將在明年繼續，國家反網路恐怖情報院副院長Lee Gyu-bong預測 2023 年該國網路安全面臨的潛在威脅，包含來自和中國等國家級的駭客組織將繼續攻擊南韓，以竊取南韓與網路安全相關的技術如核能業、太空、半導體、國防以及與美國針對北韓的聯合戰略。

此外，Lee Gyu-bong還指出，北韓有可能使用deepfakes 在網上製作和傳播虛假視頻，就像烏克蘭總統澤倫斯基向俄羅斯投降的虛假視頻中的那樣，北韓駭客將以deepfakes視頻作為反對的南韓宣傳，副院長認為總統和部長的智慧手機、電腦和其他個人設備也是這些駭客攻擊的主要目標。Lee Gyu-bong說，北韓駭客受過訓練，擁有世界一流的能力來滲透數位貨幣等虛擬資產。他稱北韓自 2017 年以來在全球竊取了約 1.5兆韓元（約360億台幣）的加密貨幣，其中有1,000多億韓元（約25億台幣）來自南韓。

Kimsuky(也稱為Black Banshee、Thallium 和Velvet Chollima)為北韓政府資助進階持續威脅(Advanced Persistent Threat, APT)組織，自2012年活躍至今，擅長採用社交工程攻擊、魚叉式釣魚郵件攻擊及水坑攻擊(Watering hole attack)。 2020年美國網路安全和基礎設施安全局(CISA)發布針對Kimsuky的警報，稱Kimsuky長期以全球實體為目標，是為北韓政權從事全球情報蒐集任務的組織，側重於與朝鮮半島有關的外交政策和國家安全問題上的情報蒐集活動。

 “轉貼、分享或引用文章內容，請註明出處為竣盟科技 https://www.billows.com.tw , 以免觸法”

研究發現PLAY勒索軟體利用新的手法，來繞過Exchange伺服器上ProxyNotShell的緩解措施

Posted on by blogadmin

根據 CrowdStrike 的最新研究，PLAY勒索軟體正在使用一種新的利用方法來繞過 Microsoft 的 ProxyNotShell 緩解措施並獲得對 Exchange伺服器的初期存取權限。ProxyNotShell 包含兩個 Microsoft Exchange Server 漏洞，這些漏洞在 9 月公開披露之前已被廣泛利用。攻擊者將一個伺服器端請求偽造 (SSRF) 漏洞（編號為 CVE- 2022-41040）和一個來遠端執行任意程式碼（編號為 CVE-2022-41802）連結在一起，以獲取對用戶系統的存取權限。雖然 Microsoft 發布了 Autodiscover 端點的 URL 重寫緩解措施以回應 ProxyNotShell，但PLAY勒索軟體攻擊者找到了解決方法，可使Exchange 伺服器處於另一波潛在重大攻擊浪潮的中。

CrowdStrike 將 ProxyNotShell 漏洞利用鏈與它發現的PLAY駭客團體使用的新漏洞利用方法進行了比較

CrowdStrike在周二的Blog文章中詳細介紹了企業將面臨的新風險，並指出PLAY勒索軟體背後的駭客團體如何利用 CVE-2022-41080 和 ProxyNotShell 漏洞之一CVE-2022-41082，濫用網頁版郵件管理介面(Outlook Web Access -OWA) 實現遠端執行任意程式碼，CrowdStrike 將此漏洞利用方法稱為“OWASSRF”，根據 CrowdStrike 最近對數個 PLAY勒索軟體入侵的調查，其中共同的入口向量被確認為 Microsoft Exchange伺服器上。駭客通過這種新的手法OWASSRF進行初期存取後，駭客便利用合法的遠端存取工具Plink 和 AnyDesk 可執行檔案來維持存取，並在Exchange伺服器上執行反取證技術以試圖隱藏他們的擊行動。

Microsoft 的漏洞指南將 CVE-2022-41080 歸類為Exchange伺服器特權提升漏洞，屬於攻擊複雜性低且無需與用戶互動。由於 CVE-2022-41080 與 CVE-2022-41040 具有相同的CVSS評級，並且被 Microsoft 標記為有可能被利用，因此 CrowdStrike 評估該新技術很可能與該漏洞有關。

隨後，CrowdStrike 確認 CVE-2022-41080 並未被利用來獲得初期存取權限，而是與 ProxyNotShell 漏洞結合以繞過 Microsoft 的緩解措施。新的利用方法繞過了微軟為回應ProxyNotShell 而提供的自動發現端點的URL 重寫緩解措施，這是一種新穎的、以前未記錄的方式，可以通過OWA 前端端點存取PowerShell 遠端服務，而不是利用自動發現端點。

另一家資安公司Rapid 7，在周三發布的一篇博客文章中表示，已經觀察到通過上述OWASSRF漏洞利用鏈獲得遠端執行Exchange伺服器的入侵數量有所增加， Rapid7 敦促用戶立即安裝最新的 Exchange 更新，並警告他們不要依賴 Microsoft 重寫緩解措施，僅使用 Microsoft 緩解措施的伺服器確實容易受到攻擊，並指出已修補的伺服器不容易受到攻擊。此外，在測試已修補和未修補的系統後，CrowdStrike 敦促組織應為 Exchange 系統安裝名為 KB5019758 的修補程式，以防止被利用。如果組織無法立即修補，建議完全禁用網頁版郵件管理介面(OWA)。

 “轉貼、分享或引用文章內容，請註明出處為竣盟科技 https://www.billows.com.tw , 以免觸法”

德國連鎖酒店H-Hotels遭PLAY勒索攻擊，通訊中斷，無法接收訂單及回覆客戶郵件；出現第二家遭PLAY攻擊的上市企業，新竹無晶圓廠IC供應商疑中招

Posted on by blogadmin

德國連鎖酒店 H-Hotels披露了在12月11日發生的網路攻擊，導致其通訊中斷的事件；值得一提，PLAY勒索軟體集團已聲稱這次攻擊出自其手，並在其Tor揭秘網站PLAY NEWS上聲稱竊取了H-Hotels的數據，包括個人數據、客戶文件、護照、身份證等，然而PLAY尚未發布任何樣本來支持這說法，H-Hotels稱無法驗證PLAY勒索軟體集團聲稱擁有這些資料的準確性。H-Hotels 是一家知名酒店集團，在德國、奧地利和瑞士的 50 個地點經營著 60 家酒店，共有 9,600 間客房。這家連鎖酒店擁有 2,500 名員工，是德奧瑞三個國家最大的連鎖酒店之一，營運著以H-Hotels的名義以及子品牌 Hyperion、H4 Hotels、H2 Hotels、H + Hotels、H.ostels和H.omes的酒店。

根據H-Hotels內部和外部 IT 專家的初步調查結果，駭客在其專業攻擊的下設法繞過了酒店的多層的技術防護和IT保護系統，為應對此次攻擊，酒店立即關閉IT系統並與互聯網斷開連接，以防止進一步擴散，確保集團旗下個別酒店的持續運營，並照常接受酒店預訂， 但目前無法或不能及時回答通過電郵進行的查詢，建議客戶通過電話聯繫所需或已經預訂的酒店。H-Hotels 已將此攻擊事件通報德國調查機構，並正在與一家 IT 取證公司合作，以盡快恢復其係統。該公司還表示，它正在採取措施確保在未來能夠充分保護自己免受類似的網絡攻擊。

繼11月底，台灣上市顯卡大廠遭PLAY入侵後，上禮拜五(12/16)也傳出興櫃半導體，遭PLAY列為受害者的消息。同樣地，PLAY聲稱已盜取該IC設計大廠的數據但未提供任何的資料樣本。

PLAY是一支新型的勒索軟體，在6月份浮出水面，以簡潔的勒索信引人關注，勒索信不含任何說明，只留下:

  1. PLAY的字眼
  2. 電郵地址

提供極少的資訊給與受害組織，並且不會公開勒索的贖金，使其添加了神秘的色彩，然而資安研究員Dominic Alvieri 證實PLAY使用與伊朗APT駭客活動的相同IP (104.21.43(.)80) ，PLAY是否真的源於伊朗國家駭客仍有待進一步的觀察。

有關PLAY勒索軟體的部分入侵指標(Indicator of compromise -IOCs):

 “轉貼、分享或引用文章內容，請註明出處為竣盟科技 https://www.billows.com.tw , 以免觸法”

Billows UCM攜手Panorays，打造資安合規環境，共同守護資訊安全

Posted on by blogadmin

自工業3.0以來，製造業就迎來了一股數位化、自動化、以及智慧化的風潮。網路技術的蓬勃發展以及資訊的快速流通，結合網路與機械，快速生產、客製多樣化，這些舉措讓企業整體的生產成本大幅降低，為企業提升競爭力，滿足多變的市場需求。然而這也引發了一個問題，傳統OT實體隔離的作法，在如今需要更多的與虛擬世界結合，如何靈活地應對來自網路的攻擊將會比以往更加的重要。

此外，在強調專業分工的現代社會，緊密且穩定的供應鏈生態已然在各個產業成形，廠商之間透過各種電子資訊交換，令整個產業供應鏈能夠高效且穩定的運作，但這也讓網路攻擊者從中找到了攻破有堅實防禦的對象的方法。透過滲透資安防護不足的供應鏈廠商，以暗渡陳倉之方式侵擾，這也使得耗費重資建設資安防護的公司不禁問道，究竟我還該做些甚麼？

供應鏈資安的議題搖身一變成為熱門話題，產業龍頭們紛紛推出屬於自己或是產業的資安標準，要求所有相關的供應廠商必須遵守，但供應鏈廠商何其繁多，以人力方式一一檢驗其資安能耐難免產生疏漏。那麼，是否有能夠統一管理供應商安全指數的資安風險管理方式呢？Panorays網路資安風險管理平台即是以此為目標的新興解決方案。它能夠以駭客的角度來檢視公司以及所有供應廠商對外的網路邊界安全狀況，透過自動化檢驗以及一系列的問卷方式，協助偵測資安風險，同時也提供補強之方法，能夠讓客戶有效地了解供應商的資安指數與可能的威脅所在，確保整體供應鏈系統能夠有效控管資安風險。

Panorays總部位於紐約和以色列，在全世界都有設立辦公室或是合作夥伴，提供第三方安全風險管控的解決方案。其主要客戶來自北美、英國、以及歐盟，涉及的領域包含製造業、金融業、以及醫療保健組織。竣盟科技自2022年第四季起引入Panorays網路資安風險管理平台，將其作為資安防護框架Billows UCM的風險評估工具，能夠讓客戶在前期的資安健檢階段獲得公正且透明的資訊，並透過該評估報告，正確且有效地規劃資安防護策略。

Billows 資通安全威脅偵測管理平台（Billows UCM），是以協助企業符合資安法規為出發點，進而開發的整合式資安合規監控服務。這項服務繼承竣盟科技過往產品特色，能快速搜集設備所有日誌，並符合各種軌跡資料長期保存的要求，提供相關稽核報表以符合法規稽核之需求。由於在符合法規規範時，企業也必須擁有一定的監控能力，所以該平台核心監控機制是以威脅情資作為動力，搜集全球不同來源的資安情資，並進行匯聚與過濾，從而萃取出高價值的可用情資。透過與Panorays的合作，將能為客戶提供更加高效且安全的資安防護解決方案。

欲了解更多關於 Billows UCM 及 Panorays 的資訊，請聯繫竣盟科技 desiree@billows.com.tw 電話: 02-25623952 ext. 16

LockBit 3.0 勒索軟體集團在雙12公布了十家受害組織，驚見兩家台灣企業榜上有名

Posted on by blogadmin

台灣汽機車機電系統整合大廠及觸控面板大廠疑遭駭

12月12日LockBit勒索軟體集團一口氣列出十家遭其入侵的企業，以國家來劃分，當中台灣、日本、墨西哥及越南各佔了兩家，委內瑞拉及美國各佔一家，可見LockBit已有鎖定亞洲的趨勢。

據LockBit的聲稱，台灣某汽機車機電系統整合大廠為其12/12公布的受害企業之一，該整合大廠為國內外提供排放控制解決方案、機電一體化（OEM）代工服務等服務，工廠遍布福建、上海、印度、越南及桃園等地。LockBit給與13天的談判時間，如雙方沒達到合作成共識，受害企業的數據將在聖誕節當天被公開。另外，另一受害企業為觸控面板大廠，生產電容式觸控面板、薄膜按鍵觸控面板，電阻式觸控面板等， LockBit聲稱將在12月22日公布觸控面板大廠的相關資料，目前尚未不清楚這兩家公司有多少數據被盜。

某汽機車機電系統整合大廠
某觸控面板大廠

根據竣盟科技的統計，從2022年6月LockBit的版本升級至3.0以來，我國出現超過十家遭LockBit.30攻擊的受害公司，製造業為最常被攻擊的目標。

LockBit 3.0的版本的顯著功能，包括：

*逃避 Anti-virus 和 EDR 系統的反檢測機制

*啟動時都需要一個獨有的 32 個字符的密碼，這可產生反分析功能

*LockBit 3.0 要求在執行時提供參數作為存取權杖

*新版本比舊版本更具規避性，速度更快

*增加了新的anti-debug功能

*還存在用於禁用 Windows Defender 和調試 Windows 事件日誌的機制。

執行後，LockBit 3.0 會嘗試禁用 Windows Defender 以防止其檢測，如上所述。

竣盟科技建議您:

*使用多因素身份驗證來保護員工的帳戶

*執行每日備份並保持離線狀態以避免丟失數據

*通過建立獨立的網段、清晰的訪問層次結構以及活動目錄、網域管理員和本地域的額外安全性來破壞網路移動/調查——從而使 LockBit 3.0 的操作複雜化。

*佈署威脅偵測機制，如 SIEM、HIDS、封包檢測及進階誘捕系統等產品，可以早期發現，並防止威脅擴散。

*除了基本的防火牆外，還要積極佈署具備篩選功能的代理伺服器、閘道過濾、電子郵件閘道防護，以及終端電腦的弱點更新、防毒碼更新等安全防護佈署。

*對於重要的交易系統，可以佈署執行程序限制方案，防止惡意程式的執行。

*透過教育訓練與各種攻擊演練，加強終端用戶的資安防護意識。

LockBit 3.0 的”部分”入侵指標(Indicator of compromise -IOCs):

Hashes~

cf1f380d736c035793581d87868952efe789520a

1d8596310e2ea54b1bf5df1f82573c0a8af68ed4da1baf305bcfdeaf7cbf0061

77c5fb080bf77f099c5b5f268dcf4435

f019495a1d4feecc07769dc1fbecccb871634cc707c43befe1ea7aa2c629e337

 “轉貼、分享或引用文章內容，請註明出處為竣盟科技 https://www.billows.com.tw , 以免觸法”